竣盟科技 - Billows 技術/情資訊息分享

中國APT組織Earth Baxia利用GeoServer漏洞攻擊亞太地區國家

Posted on 2024 年 9 月 25 日2024 年 9 月 25 日 by blogadmin

中國駭客組織Earth Baxia的攻擊目標擴及菲律賓、韓國、越南、台灣和泰國等地

截至2024年，中國支持的駭客組織已躋身國家支持的網路威脅前段班。經過上半年，資安研究人員發現了一系列由APT40、Velvet Ant、UNC3886、Mustang Panda等駭客組織主導的長期網路間諜活動和破壞性行動。這些組織越來越依賴網路釣魚攻擊和 CVE 漏洞來滲透目標網絡，對全球網路安全形成越來越大的威脅。

最近趨勢科技研究人員報告揭露，一個與中國有關的 APT 組織「地球巴夏」(Earth Baxia) 已經針對台灣的一個政府機構以及亞太地區 (APAC) 的其他國家發動了網路攻擊。

該駭客組織使用魚叉式網路釣魚電子郵件並利用最近更新的 GeoServer 漏洞CVE-2024-36401。GeoServer 是一個開源伺服器，它允許使用者共享和編輯地理空間的資料。

研究人員表示：「根據收集到的網路釣魚電子郵件、誘餌文件以及對事件的調查，攻擊目標主要為菲律賓、韓國、越南、台灣和泰國等地的政府機構、電信公司和能源產業。」

2024年7 月，研究人員發現到針對台灣某政府組織和其他亞太地區國家的機構的可疑活動。網路攻擊者在遭侵入的系統上部署了定製的 Cobalt Strike (一種滲透測試工具) 元件，並安裝了一支稱為 EAGLEDOOR 的新型後門程式，這支後門程式並且支援多種通訊協定。

經調查，資安專家發現有多台伺服器是託管於阿里雲服務上或是位於香港地區的。而有一些行動中使用的惡意軟體則是從中國上傳到 VirusTotal (免費線上掃毒網站) 的。

分析其多階段感染鏈的流程，發現到是利用兩種不同的技術，包括魚叉式網路釣魚電子郵件和利用 GeoServer 的缺陷（CVE-2024-36401，CVSS 評分：9.8），最終目的是送出Cobalt Strike 和先前未知的代號EAGLEDOOR 的後門程式，該程式允許資訊收集和負載 (payload) 傳遞。

該APT 組織仰賴 GrimResource 和 AppDomainManager 注入攻擊 (用來載入執行惡意程式的技術) 來部署額外的負載，其目的是降低受害者的警覺心並且避免被偵測到。

此外，日本網路安全公司 NTT Security Holdings 最近詳細介紹了一個與 APT41有關聯的駭客集團，據稱該集團使用了相同的兩種技術來針對台灣、菲律賓軍方以及越南的能源機構。

研究人員指出：「地球巴夏 (Earth Baxia) 的據點很可能位於中國，他們針對多個亞太地區國家的政府和能源部門發動了一系列精細設計的攻擊行動。」

「他們利用 GeoServer 漏洞、魚叉式網路釣魚和客製化惡意軟體（Cobalt Strike 和 EAGLEDOOR）等先進技術來入侵系統和外洩資料。該APT 組織利用公有雲服務來託管惡意檔案以及 EAGLEDOOR 的支援多重通訊協定特性，再再凸顯了他們行動的複雜性以及面對不同場域的應變能力。」

EAGLEDOOR後門程式共支援四種，包括透過 DNS、HTTP、TCP 和 Telegram 來與 C2 伺服器通訊的方法。前三個通訊協定其主要用途為傳送受害者狀態，不過核心功能則是透過 Telegram Bot API (網路機器人應用程式介面) 來執行的，用以上傳和下載檔案，以及執行額外的負載。而獲取到的資料則是透過curl.exe 執行程式來洩漏出去。

Earth Baxia組織相關的部分的入侵指標（IOCs）:

9f376a334f9362c6c316a56e2ffd4971

e51f2ea5a877e3638457e01bf46a20e1

9833566856f924e4a60e4dd6a06bf9859061f4be

d9b814f53e82f686d84647b7d390804b331f1583

dce0a4c008ea7c02d768bc7fd5a910e79781f925

e2b0c45beadff54771a0ad581670a10e76dc4cf1

04b336c3bcfe027436f36dfc73a173c37c66288c7160651b11561b39ce2cd25e

061bcd5b34c7412c46a3acd100167336685a467d2cbcd1c67d183b90d0bf8de7

1c13e6b1f57de9aa10441f63f076b7b6bd6e73d180e70e6148b3e551260e31ee

1c26d79a841fdca70e50af712f4072fea2de7faf5875390a2ad6d29a43480458

新興勒索軟體組織 Orca 崛起，瞄準台灣企業廠商

Posted on 2024 年 9 月 20 日2024 年 9 月 20 日 by blogadmin

勒索軟體組織 Orca 近日於暗網上聲稱對一家台灣製造業廠商發動攻擊

竣盟科技近日於勒索軟體揭秘網站發現，有一新興勒索軟體 Orca (虎鯨) 浮現檯面，並對台灣某金屬製造廠商發動網路攻擊。Orca是一個最新出現的勒索軟體，而台灣企業隨即成為其攻擊目標，加上近來陸續有駭客組織對台灣機構或企業發動攻擊的事件，這顯示出台灣企業普遍存在資安防護不足的情況，使其儼然成為駭客集團發動攻擊的容易目標。駭客聲稱，該受害公司被駭資料共計有18 GB，其中包括5張圖片及45,319個檔案。

據了解，Orca 勒索軟體組織的主要動機是財務因素，他們的信念是盡量避免對公司企業造成不必要的傷害。該組織於聲明中表示，「我們在追求財務收穫的同時也考量到道德的重要性，並遵守針對政府機構、醫院或非營利組織的嚴格政策，因為這些領域對社會至關重要。」

「我們的行動模式是以促進對話及尋求解決方案而非製造混亂和破壞。我們相信，創造一個企業可以參與進來，並且能有建設性地解決問題的環境，這樣可以為各方帶來更好的結果。這種模式使我們能夠以強調溝通協調及共同理解的方式來與企業組織互動，以促進經濟活動，同時盡量減少對社會基本功能運作的干擾。」

「在追求這些目標的過程中，我們致力於維持專業水準，優先考慮溝通和針對性互動的透明度，進而加強商業活動和網路安全可以共存的架構，而不會導致不必要的衝突或傷害。」

相較於之前先後攻擊台灣數家企業的勒索軟體組織RansomHub，這次發動攻擊的Orca 勒索軟體組織，知名度鮮為人知，相關細節資訊包括使用的軟體工具及攻擊手法等亦未被揭露，但仍不可掉以輕心，駭客集團或是勒索軟體組織的行動通常具有計畫性及持續性，需持續觀察並謹慎防備。

週四上午竣盟科技嘗試進入該受害企業的網站，但是該網站似乎因受到攻擊而暫時癱瘓，只出現了「無法連上這個網站」的訊息視窗。

針對這次事件的後續狀況以及進一步細節，竣盟科技也將密切關注其發展並做更詳實的資安訊息分享。

企業面對勒索軟體組織的網路攻擊，竣盟科技建議採取多層次的防備措施來減少風險和損失。以下是一些關鍵的防備步驟：

資料備份與復原計畫：定期備份重要資料於與主系統隔離的安全位置。
更新軟體與弱點掃描：定期更新所有系統的操作系統、應用程式和防毒軟體；另外應定期檢查系統中可能存在的安全漏洞。
多因子身份驗證 (MFA)：限制未經授權的使用者進入關鍵系統。
網路分段 (Network Segmentation)：通過將網路進行分段，限制勒索軟體在被攻擊系統中的橫向移動。
行為監控與威脅偵測：使用端點偵測與回應 (EDR) 工具，以及威脅情報分享。
與外部專業團隊合作：與專業的資安公司合作，進行資訊安全評估、滲透測試等服務，以提升企業的資安防禦能力。

Orca 勒索軟體相關的部分的入侵指標（IOCs）:

b8845a76e3942ff4d20ba4660ae926bb

eb90f945087c270a2ecc11753180ba4ecc270696

8ab79654152668be2c10be9cb17d941685e7733628dd7d38d6979516a75682ee

親俄羅斯駭客對台灣證券交易所和銀行等機構發動攻擊

Posted on 2024 年 9 月 18 日2024 年 9 月 18 日 by blogadmin

親俄駭客組織 NoName057 原已與 RipperSec 結盟， 9/17 另新增一加盟者 Red Eagle Crew

據報導，上週親俄羅斯駭客組織曾短暫地造成了台灣重要的金融服務平台中斷，包括證券交易所和大型金融控股公司網站，這次事件也暴露出了台灣在面對國外網路攻擊時的弱點。

台灣數位發展部 (MODA) 表示，親俄羅斯駭客組織上週針對 45 家台灣機構及單位發起分散式阻斷服務 (DDoS) 攻擊，其中包括政府機構和金融公司。

數位發展部部長黃彥男於記者會中表示，親俄駭客組織利用由伺服器控制的殭屍電腦網路來發動 DDoS 攻擊，除了台灣之外，攻擊目標還包括美國、加拿大和歐盟的重要基礎設施。

親俄駭客組織NoName057聲稱對台灣政府機構、金融公司和台北松山機場等目標發動了攻擊。據統計，台灣共有45家機構及單位受到了攻擊，不過影響是短期性的，大多數機構很快就恢復了正常運作。

受到影響的機構包括交通部航港局、地方稅務機關、中央政府高層機構、軍事單位包括憲兵指揮部、以及中華電信、國營及公股的金融和證券機構。另外私營企業方面，則以銀行為主要目標。

即時通訊軟體Telegram 上代號為「NoName057」和「RipperSec」的兩個組織上週四下午利用所謂的分散式阻斷服務 (DDoS) 攻擊癱瘓了目標網站，引發平台連線不穩定的問題。台灣證券交易所表示，在此次事件中，證券交易所偵測到來自海外網際網路協定位址 (IP address) 的網路查詢量比平常大上好幾倍。

雖然證券交易所在半小時內隨即恢復了正常運作，但這起事件也暴露出了台灣資訊網路平台的潛在弱點。台灣是全球最大的先進半導體生產國家，也是中美衝突的潛在爆發點。

上週五政府網站和交易系統已恢復正常運作。 DDoS 攻擊是屬於一種惡意性嘗試，透過癱瘓目標或其周圍基礎設施來中斷目標的伺服器、服務或網路的正常流量。

數位發展部最新聲明中表示，「關於NoName057和RipperSec的攻擊，有關當局正蒐集最新資訊，並採取必要措施。」台灣的內閣辦公室也發表譴責，聲稱網路攻擊者不僅在島內引發事端，而且影響範圍擴及整個鄰近區域。

數發布部也證實了本地媒體稍早的報導，並引用Radware研究人員的分析，親俄羅斯組織於Telegram上聲稱參與了此次攻擊事件，其中一個名為 NoName057 的組織在他們的Telegram頻道上說明了之所以針對台灣的原因。

隨著時間推移，事件並未停歇，竣盟科技觀察到，結盟參與攻擊的駭客組織有所增加，新加盟的是一個稱作Red Eagle Crew的駭客組織。值得注意的是，Red Eagle Crew 在這一波新的攻擊中將 DDoS 攻擊目標鎖定於台灣的私人企業，而非政府相關部門。

此外根據最新消息來源 (NoName057駭客組織於Telegram上發布之訊息)，最近遭遇到攻擊的單位還新增加了高雄市警局、彰化市政府以及員林市政府，短期內仍需密切關注並謹慎防範。

近年來，隨著台灣的戰略重要性日益增加，也使得台灣愈來愈頻繁地受到來自國外的網路攻擊。思科系統 (Cisco Systems) 的資安研究人員於八月時表示，一個據信與中國政府有關聯的駭客組織從台灣政府所屬下的一家電算研究中心盜取了密碼和文件。

NoName057駭客組織相關的部分的入侵指標（IOCs）:

01e2ad9b3069b939594ceae2e4fe694b

0465303c561129698304db1a57396c4b

0f4bd50d057d8f5d279113a3ca5445f7

116ff8c13afee6f906be41ec4b4833ea

1213e1d1bffbe6b514af16de6d0e0f4b

121c453f795e903d4c91012ea2566ca4

12215d3dc6583f4d47dd306f3237d372

13802ced91f97122e3bc230474c17fec

1afa90293565a1e2a72d5062c1674451

1eb6fddaef31d557f07e829a496e29ba

TIDRONE 間諜組織鎖定台灣無人機製造廠商進行網路攻擊

Posted on 2024 年 9 月 13 日 by blogadmin

中國關聯的TIDRONE駭客組織攻擊目標為軍事及衛星工業

趨勢科技 (Trend Micro) 日前發現了一個據稱與中國關聯密切的駭客組織TIDRONE，他們於2024 年開始進行網路攻擊活動，追蹤其行動，發現他們的目標是台灣的無人機製造廠商。

趨勢科技正在追蹤這個組織，並將該組織以TIDRONE作為稱號，趨勢表示這次行動是由間諜組織所主導的，而其攻擊重點是與軍事相關的產業鏈。

該組織之前從未被記錄或證實過，他們使用企業資源規劃 (ERP) 軟體和遠端桌面來部署高階惡意軟體，其中包括了CXCLNT和CLNTEND。

自今年4月以來，TIDRONE組織使用了CLNTEND，一種之前尚未被偵測到的遠端存取工具（RAT），這個軟體支援範圍更廣的網路通訊協定，因而進一步加強了他們的攻擊能力。

CXCLNT 和 CLNTEND 惡意軟體屬於後門程式，兩者都是經由 Microsoft Word 應用程式側載 (sideloading) 一個惡意的動態連結程式庫 (DLL) 來啟動的，進而使網路攻擊者能夠獲取更廣範圍的機敏資訊。

CXCLNT 具備了基本的上傳和下載檔案功能，以及清除痕跡、收集檔案清單和電腦名稱等受害者資訊，還可下載下一階段的可移植性執行檔 (PE, portable executable) 和 DLL 檔案以供執行所用。

資安研究人員表示：「考量檔案編譯的時間和網路攻擊者的操作時間，跟其他中國有關間諜組織從事的活動相比，兩者具有相當程度的一致性，因此可以推估這次攻擊行動很可能是由一個身份尚未明朗的中國背景威脅組織所發動的。」

網路安全公司 Acronis 公布了他們對這次攻擊行動的調查結果，調查中將這一系列攻擊稱之為「WordDrone 行動」，他們觀察到的攻擊行為發生於 2024 年 4 月至 7 月期間。

駭客集團侵入的一個特點是在部署 CLNTEND（又稱為 ClientEndPoint）之前會使用稱為Blindside (盲點) 的技術來迴避端點偵測和回應 (EDR) 軟體的偵測。

Acronis 進一步透露，在台灣一種 ERP 軟體 Digiwin 的資料夾中偵測到惡意構件 (artifacts)，這表示有可能是採用供應鏈攻擊或是利用產品中的安全缺陷來取得初始的存取權。

這家新加坡公司同時表示：「台灣大約有十幾家公司參與無人機製造，通常是屬於 OEM 的類型。」「台灣一直是美國的盟友，再加上台灣強大的科技技術背景，因而成為駭客組織從事軍事間諜活動或供應鏈攻擊的主要目標。」

總結來說，TIDRONE是一個與中國有關聯性的網路攻擊團體。這些攻擊行為是在台灣偵測到而發現的，主要目標為軍事相關產業，特別是無人機製造廠商。這些攻擊行動使用到 CXCLNT 和 CLNTEND 等高階惡意軟體的變種 (variant)，這些進階的惡意軟體是透過 ERP 軟體或遠端桌面等方式來傳播。

TIDRONE駭客組織相關的部分的入侵指標（IOCs）:

15e52f52ed2b8ed122fae897119687c4

26ff6fac8ac83ece36b95442f5bb81ce

798a707e1abac44b0ad7b1114bcd10a6

6ab0e2ede4e0968eae2bdc63864971054a534f7b

6e35ae1d5b6f192109d7a752acd939f5ca2b97a6

92d28c4201e0d56c46b2d750aa25856f60f2facb

0d91dfd16175658da35e12cafc4f8aa22129b42b7170898148ad516836a3344f

19bbc2daa05a0e932d72ecfa4e08282aa4a27becaabad03b8fc18bb85d37743a

1b08f1af849f34bd3eaf2c8a97100d1ac4d78ff4f1c82dbea9c618d2fcd7b4c8

1bf318c94fa7c3fb26d162d08628cef54157dfeb2b36cf7b264e3915d0c3a504

美國汽車租賃巨頭 Avis 揭露客戶資料外洩事件

Posted on 2024 年 9 月 11 日2024 年 9 月 11 日 by blogadmin

Avis艾維士租車公司是全球第一大汽車租賃公司

美國汽車租賃龍頭艾維士 (Avis) 日前通知客戶，就在上個月，不明的網路攻擊者侵入了他們系統中的一個商業應用程式，並竊取了其中的一些個人資訊。

「我們在 2024 年 8 月 5 日發現，有未經授權的第三方取得了對我們其中一個業務應用程式的存取權。在知曉這一事件之後，我們立即採取對應措施，停止未經授權的存取，然後在資安專家的協助下展開調查，並向有關當局發出通報。」

Avis發送資料外洩通知信給受到影響的客戶，「根據我們的調查，我們確定未經授權的存取是發生於2024年8月3日至2024年8月6日之間。」

當發現這起事件後，艾維士在資安專家的協助下針對安全漏洞展開了調查。此外，公司也加強了此次受到影響的應用程式的安全性。針對這次攻擊事件的應對處置，該公司在他們的系統中導入了額外的資安防護措施。

根據調查結果，網路攻擊者從 8 月 3 日到 8 月 6 日這段期間侵入了公司的業務應用程式，當時該公司將惡意攻擊者從系統中逐出並阻擋了入侵者對系統的存取。至 8月14日，另外還發現攻擊者已竊取了部分客戶的個人資訊，其中包括姓名和其他未公開的敏感資料。

向緬因州總檢察長提交的另一份文件中披露，網路攻擊者在此次外洩事件中總計竊取了 299,006 位 Avis 客戶的個人資訊。

Avis 發言人表示：「我們會持續進一步加強資訊安全實務和防禦措施，於此同時也向大約30 萬名的美國客戶（佔比不到客戶總數的1%）發送個別通知，提供個人資訊受到影響的客戶免費的信用和身份監控服務。」

艾維士表示，自事件發生以來，他們已與外部專家合作，補強受影響應用程式的安全防護，積極審視安全監控機制，以強化安全防禦，並警告客戶有關資料外洩後可能發生的身份盜用和詐欺風險。

Avis 是 Avis Budget Group (艾維士·百捷集團) 的子公司，Avis Budget Group 是領導全球的跨國汽車租賃集團，同時也擁有世界領先的汽車共享網路 Zipcar。集團的 Avis 和 Budget 汽車租賃品牌在橫跨北美、歐洲和澳洲的 180 個國家經營超過 10,000 個租賃據點。 Avis Budget Group的財務報告揭露，2024 年第二季營收即超過 30 億美元。

艾維士建議在事件中個人資訊受到影響的客戶，可以透過定期檢查和監控帳戶對帳單和歷史信用記錄，以便提早發現任何未經授權的交易或活動的跡象。如果懷疑有任何未經授權的活動，可以聯繫信用報告機構。

針對受到影響的客戶，Avis汽車租賃公司提供一年免費的 Equifax 信用監控服務，這個服務有助於偵測和解決身份盜用問題。

截至目前，該汽車租賃公司並未透露有關此次攻擊事件的技術細節或是背後參與的駭客團體。

竣盟科技建議，企業組織或機關團體及一般客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受網路攻擊及個資外洩的風險：

定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更有效地防止潛在的漏洞。
對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
熟悉惡意應用程式攻擊手段：了解常見的惡意應用程式攻擊手法以及如何辨識它們並做出因應，可以大幅降低受到侵害的風險。

LockBit 勒索軟體集團聲稱對多倫多教育局 (TDSB) 發動攻擊

Posted on 2024 年 9 月 6 日 by blogadmin

多倫多教育局Toronto District School Board (TDSB) 是加拿大最大的公立教育局

日前 LockBit 勒索軟體集團聲稱對加拿大最大的地區教育局多倫多教育局 (TDSB) 發動攻擊，同時間當局也確認這個發生於今年 6 月的攻擊事件，造成 2023/2024 學年度學生的個人資訊受到侵害，確切受到影響的學生人數尚不明朗。

多倫多教育局 (TDSB) 是加拿大最大的地區教育局，共計有 582 所學校和大約 235,000 名學生。6月的時候，教育局通知學生家長，其技術部門使用的測試系統有偵測到未經授權的活動。此測試環境與教育局的官方網路是分隔開的。當發現異常後，TDSB 的資安團隊迅速採取相應措施，以確保資料安全並保護重要系統。

遭到洩露的學生資訊包含了姓名、學校名稱、年級、TDSB 電子郵件地址、TDSB 學號和出生月份/ 日期等。

儘管 TDSB 的資安團隊和外部專家將此次事件對學生所造成的風險評估為“低”，並且據報導遭駭資料當時並沒有被公開，後來LockBit 勒索軟體集團聲稱參與此次攻擊事件，並且要求於兩週內支付贖金。

TDSB 表示，並不知道學生資料是否在明網和暗網上公開揭露。不過TDSB 立即採取了應對措施，像是隔離並確保受影響的系統安全、斷開測試環境、加強資訊安全措施以及通知執法部門等。多倫多教育局同時也向安大略省資訊和隱私專員公署通報了這起事件。

研究人員 Dominic Alvieri 報告中稱，Lockbit勒索軟體集團聲稱對多倫多地區教育局的攻擊事件負責，並且威脅如果教育局沒有在 2 週內支付贖金，將會洩露遭竊資料。然而，這個惡名昭彰的勒索軟體組織另外也聲稱對其他企業或組織發動了數十次的攻擊，但該組織發布的一些公告顯然是錯誤滿篇，其中有些其實是其他勒索軟體集團過去公布的資料外洩事件。

近幾個月來，加拿大境內陸續遭受到多起網路安全事件的打擊，政府網路和私人企業都感受到了強烈的衝擊。

今年4 月 28 日，總公司位於加拿大卑詩省 (British Columbia) 的知名零售和藥局連鎖商店London Drugs宣布，由於遭遇到嚴重的網路侵襲，被迫暫時關閉遍布於加拿大西部的商店。這次的攻擊事件非常嚴重，導致電話線路中斷，連鎖藥局只能於實體店面現場針對有「緊急」需求的病患提供服務。

同時期發生的，還有卑詩省圖書館 (BC Libraries) 通報了一起單獨的網路攻擊事件，一名駭客從剛上線運行的伺服器中竊取資料後試圖勒索贖金，並威脅道如果無法滿足其要求就要公開相關資訊。

7 月底，兩名外國籍人士 Ruslan Magomedovich Astamirov 和 Mikhail Vasiliev在紐華克聯邦法院 (Newark federal court) 認罪，承認他們在 LockBit勒索軟體行動中所擔任的角色。 LockBit 勒索軟體行動自 2020 年 1 月以來一直十分活躍，該組織陸續攻擊了超過 2,500 個受害機構，範圍跨越120 個國家，其中美國境內就有 1,800 個機構遭受過其攻擊。

LockBit勒索軟體組織的攻擊目標涵蓋了個人、企業、醫院、學校和政府機構等。該組織一路以來收取了共計約 5 億美元的贖金，另外更造成了數十億美元連帶相關的經濟損失。

LockBit勒索軟體相關的部分的入侵指標（IOCs）:

54d67710488b0e50ae015dbcadf9fb24

5a07502eb5e854aa8bd883453fc9decb

9c15aac2f31dd9e1e8d64cf8f04ea5d6

be8bf725892ddd7a200d0a1906b9387f

1f5638cf71fac8d51253360b4537b074292e70ff

28d09d35d3e5a8490ef4a4ebaa36262fa411afba

582a24a72b29e70f2de26a8d217492c7a6b983ff

78f3d5588a75efbe6a272c1f1a789d20e0ccd0c3

aaeeb05a24f6e7ef77d46ba71794490afbc414ab

166bba02413995aff28ffeb27d3bf3d5a5f6a6cd36893e252c7b9a22836f4980

RansomHub再度入侵上市企業台灣知名日系電機廠商機敏資料疑遭竊

Posted on 2024 年 9 月 4 日2024 年 10 月 25 日 by blogadmin

RansomHub勒索軟體組織宣稱竊取總計500 GB的資料，其中包括產品設計圖

繼竣盟科技日前發現RansomHub勒索軟體集團攻擊台灣某大出版廠商之後，台灣老牌日系電機廠商又驚傳成為RansomHub的攻擊目標。

據勒索軟體集團暗網所洩資料，其中包含該台灣電機廠商的10張產品設計圖及廠房圖紙等。相關資料亦透露這次駭客行動所竊之資料達500 GB，另外勒索軟體集團指定的贖金期限為9月9日。

RansomHub 是今年初才興起的勒索軟體集團，然而崛起之勢非常驚人，台灣陸續受到波及的企業就有三家，前後包括知名上市公司藍天電腦、某大教科書/出版廠商，以及這次的日系電機廠商，情勢不容小覷。

自2024 年2 月開始活動以來，RansomHub 已加密並竊取了至少210 個受害企業組織的資料，這些受害單位包括用水和汙水處理、資訊產業、政府單位、醫療保健和公共衛生機構、緊急服務、糧食和農業、金融服務機構、商業設施、製造業、運輸和通訊等重要基礎設施領域。

根據美國網路安全暨基礎設施安全局CISA 於8月29日發布的資料，RansomHub 隸屬團體通常會使用網路釣魚電子郵件 [ T1566 ]、利用已知漏洞 [ T1190 ] 和密碼噴灑攻擊 (Password spraying) [ T1110.003 ]等方法來侵害對向網際網路系統 (internet facing systems) 和使用者端點。而密碼噴灑攻擊的目的是侵入鎖定之帳戶，然後進一步造成資料外洩。

也發現RansomHub集團使用AngryIPScanner、Nmap等工具進行網路掃描，還有一種利用所謂living off the land (利用受害電腦裡現成的工具，來執行攻擊行動的有關任務)攻擊手法，是透過PowerShell來執行網路掃描[ T1018 ][ T1046 ][ T1059.001 ]。

自今年年初以來，RansomHub 聲稱已成功駭入包括美國非營利信用合作社Patelco、連鎖藥局Rite Aid、佳士得拍賣行、美國電信商Frontier Communications和石油產業巨擘哈里伯頓等公司。Frontier Communications 隨後也發出通知警告共計超過 75 萬名客戶，他們的個人資訊因這次事件而遭到外洩。

FBI、CISA、跨州資訊共享和分析中心 (MS-ISAC) 以及衛生及公共服務部 (HHS) 發布的聯合公告也證實，網路攻擊者是以雙重勒索的方式展開攻擊行動。

這些聯邦政府機構建議，企業組織應該優先致力於修補已經被利用的漏洞，並且針對網路郵件、虛擬私人網路 (VPN) 和連結到重要系統的帳戶都要使用高強度密碼和多因子驗證 (MFA)。同時也建議保持軟體更新並執行弱點掃描，並將其作為資訊安全規範的標準程序。

聯邦機構補充道：「不鼓勵受害企業支付贖金，因為支付贖金並不能保證受害者的檔案資料會完全復原。」

「除此之外，支付贖金還可能促使駭客集團更大膽地去對其他企業組織發動攻擊，同時也間接鼓勵其他網路犯罪者去參與勒索軟體的散布或是資助這類非法活動。」

RansomHub勒索軟體相關的部分的入侵指標（IOCs）:

34e479181419efd0c00266bef0210f267beaa92116e18f33854ca420f65e2087

36e5be9ed3ec960b40b5a9b07ba8e15d4d24ca6cd51607df21ac08cda55a5a8e

595cd80f8c84bc443eff619add01b86b8839097621cdd148f30e7e2214f2c8cb

7114288232e469ff368418005049cf9653fe5c1cdcfcd63d668c558b0a3470f2

7539bd88d9bb42d280673b573fc0f5783f32db559c564b95ae33d720d9034f5a

8f59b4f0f53031c555ef7b2738d3a94ed73568504e6c07aa1f3fa3f1fd786de7

a96a0ba7998a6956c8073b6eff9306398cc03fb9866e4cabf0810a69bb2a43b2

e654ef69635ab6a2c569b3f8059b06aee4bce937afb275ad4ec77c0e4a712f23

ea9f0bd64a3ef44fe80ce1a25c387b562a6b87c4d202f24953c3d9204386cf00

fb9f9734d7966d6bc15cce5150abb63aadd4223924800f0b90dc07a311fb0a7e

新型 Android 惡意軟體 NGate 竊取 NFC 資料用以複製感應式金融卡

Posted on 2024 年 8 月 30 日2024 年 8 月 30 日 by blogadmin

新型Android惡意軟體NGate涉及三家捷克銀行的網路犯罪活動

一種危險的新型 Android 惡意軟體已經出現，它可以從實體信用卡和金融卡複製感應支付的資料，並將其傳送到攻擊者的 Android 裝置，從而進行詐騙交易操作。

斯洛伐克網路安全公司ESET正在追蹤這個名為 NGate 的新型惡意軟體，並表示他們觀察到目標為捷克三家銀行的惡意軟體犯罪行動。

研究人員在分析中表示，「這個惡意軟體具備獨特的功能，可以透過安裝在Android 裝置上的惡意應用程式，將受害者金融卡中的資料傳送到攻擊者破解管理權限的Android 手機。」

攻擊的最終目的是利用 NGate 從受害者的實體金融卡複製 NFC (近距離高頻無線通訊技術) 資料，並將相關訊息傳輸到攻擊者的裝置，然後攻擊者的裝置就可以仿造原始卡片來從 ATM 取款。

NGate 的起源來自於一種名為NFCGate的合法工具，該工具最初是在 2015 年時，由TU Darmstadt (德國達姆施塔特工業大學) 安全行動網路實驗室的學生出於安全防護方面研究而開發的。

一般來說，這類型的攻擊鏈會結合社交工程和SMS簡訊網絡釣魚的方式，將用戶引導至冒充為合法的銀行網站，或是假冒的官方行動網路銀行Apps，以誘使用戶安裝 NGate。

ESET 表示：「安裝並開啟NGate程式之後，會顯示一個假冒的網站，要求用戶提供銀行資訊，然後將其傳送到攻擊者的伺服器。」

這個惡意軟體會引導受害人輸入銀行的客戶 ID、出生日期、金融卡 PIN 密碼以及其他敏感資訊。 ESET 表示，它還會要求受害者開啟智慧手機上的 NFC 功能，並將金融卡放在智慧型手機的背面，直到惡意應用程式成功識別到該卡片。

從2023 年 11 月至 2024 年 3 月這段期間，已經發現多達 6 個不同的 NGate 應用程式進行活動，自從捷克當局逮捕了一名涉嫌從 ATM竊取資金的 22 歲男子後，這些活動戛然而止。

這些攻擊採取了一種隱密潛伏的手法，當受害者透過SMS簡訊發送的連結安裝了PWA 或WebAPK 應用程式之後，他們的憑證被攻擊者以網路釣魚方式取得，隨後便接到來自駭客組織的電話，攻擊者假扮銀行行員通知受害人：由於安裝了該應用程式，他們的銀行帳戶已被入侵。

隨後，他們便被指示更改 PIN 密碼並使用不同於往常的手機應用程式（例如像NGate）來驗證其金融卡，該應用程式的安裝連結也是透過SMS簡訊來發送。目前並沒有證據證明這些應用程式是通過 Google Play 商店散發出去的。

Google發言人於評論中表示：「根據我們目前的偵查，Google Play 上並沒有發現包含此惡意軟體的應用程式。」「Google Play Protect 會自動保護Android 用戶免受這個惡意軟體的已知版本的侵害，這項功能在具備Google Play 服務的Android 裝置上預設為開啟。Google Play Protect 可以警告使用者或是阻擋呈現出惡意行為的應用程式，即使這些應用程式的來源並不是Google Play。」

這個惡意軟體利用Android 裝置原生的輔助服務功能，對被駭入的裝置進行精細的控制。在後台，該惡意軟體還會繼續下載網路釣魚頁面，這些頁面模仿常用的加密貨幣交易所和金融機構的標誌和應用程式名稱，誘使使用者墜入陷阱。

竣盟科技建議，Android手機用戶及使用銀行卡的客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受惡意應用程式攻擊的風險：

定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更有效地防止潛在的漏洞。
對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
熟悉惡意應用程式攻擊手段：了解常見的惡意應用程式攻擊手法以及如何辨識它們並做出因應，可以大幅降低受到侵害的風險。

勒索軟體 RansomHub 再度來襲，台灣知名教科書大廠成為目標

Posted on 2024 年 8 月 28 日2024 年 8 月 28 日 by blogadmin

勒索軟體RansomHub日前攻擊台灣某大教科書/出版廠商

竣盟科技近日於勒索軟體RansomHub的揭秘網站發現，台灣某大教科書/出版廠商成為勒索軟體RansomHub 的攻擊目標，被駭資料共計425GB。

這並不是RansomHub第一次對台灣企業廠商發動攻擊。2024年6月，臺灣上市公司藍天電腦傳出遭到勒索軟體攻擊的消息，當時勒索軟體集團RansomHub聲稱他們竊取了藍天電腦200 GB的資料，並公布屬於該公司的10份文件，此外攻擊者表示他們是透過網路釣魚的手法侵入系統。

RansomHub 是一個相對較新的勒索軟體集團，被認為是 Knight 勒索軟體的繼任者。該組織在 2024 年 2 月浮出檯面後，迅速在網路威脅領域崛起，並引發相當大的關注。

一般相信，RansomHub 發源於俄羅斯，採用勒索軟體即服務（RaaS）的模式進行運作，這種商業模式讓合作夥伴可獲得高達 90% 的贖金收入，而剩下的 10% 則歸該集團所有。RansomHub 的攻擊目標遍及全球，包括美國、巴西、印尼和越南等國，且攻擊模式靈活多變，非常難以預測。

RansomHub 的勒索軟體以 Golang 語言編寫，這樣的選擇反映出勒索軟體開發者對該語言的偏好。Golang 的使用可能預示著未來的勒索軟體攻擊將更加地複雜且難以偵測，對現有的防護機制來說是更嚴峻的挑戰。

英國資安軟體和硬體公司Sophos早前揭露勒索軟體集團RansomHub在今年5月發起的攻擊行動，駭客先利用名為EDRKillShifter的惡意程式，企圖停用受害電腦上的Sophos端點防護程式；隨後，這個工具會利用存在漏洞的舊版驅動程式，進行BYOVD（自帶驅動程式）攻擊，試圖癱瘓端點防護系統，但此舉動也引起了注意。

EDRKillShifter 是一種「自帶驅動程式攻擊」(BYOVD) 工具，使用包含密碼字串的指令列來執行；最終的目的是利用驅動程式之中一個比較容易攻擊的合法驅動程式，以獲得權限來解除 EDR 的防護。

BYOVD的技術原理，使得攻擊者可以載入存在漏洞的合法驅動程式，以便他們可以覆寫核心附近的程式碼來執行特許權限功能。危險的地方在於核心驅動程式並不是惡意的，造成檢測上更加地困難。一旦載入了驅動程式，就可以更深入地探入系統，並且能夠擁有更大的權限來操控系統。

如何防護企業組織的資訊安全

加強監控端點安全，強化企業網路衛生 (cyber hygiene) 並維持系統最新的更新狀態。EDRKillShifter 工具的使用現況確實令人擔憂，從他們對 RansomHub 勒索軟體的使用上來看，顯示出他們的經驗豐富而且非常堅決。他們現階段正利用這種專門用於癱瘓端點偵測和回應 (EDR) 軟體的新工具，這表示他們的攻擊行動是非常地精細複雜。

RansomHub勒索軟體相關的部分的入侵指標（IOCs）:

02e9f0fbb7f3acea4fcf155dc7813e15c1c8d1c77c3ae31252720a9fa7454292

104b22a45e4166a5473c9db924394e1fe681ef374970ed112edd089c4c8b83f2

2f3d82f7f8bd9ff2f145f9927be1ab16f8d7d61400083930e36b6b9ac5bbe2ad

34e479181419efd0c00266bef0210f267beaa92116e18f33854ca420f65e2087

36e5be9ed3ec960b40b5a9b07ba8e15d4d24ca6cd51607df21ac08cda55a5a8e

595cd80f8c84bc443eff619add01b86b8839097621cdd148f30e7e2214f2c8cb

7114288232e469ff368418005049cf9653fe5c1cdcfcd63d668c558b0a3470f2

7539bd88d9bb42d280673b573fc0f5783f32db559c564b95ae33d720d9034f5a

8f59b4f0f53031c555ef7b2738d3a94ed73568504e6c07aa1f3fa3f1fd786de7

美國半導體巨擘 Microchip 因網路攻擊而造成營運中斷

Posted on 2024 年 8 月 23 日 by blogadmin

美國晶片製造商 Microchip Technology 遭遇網路攻擊，嚴重影響其生產能力

美國晶片製造商 Microchip Technology (微晶片科技) 日前遭遇到網路攻擊，導致旗下多家製造工廠的營運中斷。 2024 年 8 月 17 日，他們發現到針對公司 IT 基礎設施而進行的潛在可疑活動。

Microchip Technology Incorporated 是一家美國上市公司，產品包括微型控制器、混合訊號、類比和 Flash-IP 積體電路等。其公司總部位於亞利桑那州錢德勒，在多個產業領域共計有約 123,000 個客戶，其中包括工業、汽車業、消費性產業、航太和國防工業、通訊和電算機市場。

其晶圓廠位於亞利桑那州坦佩(Tempe)、俄勒岡州格雷舍姆(Gresham)和科羅拉多州科羅拉多泉(Colorado Springs)。該公司的組裝/測試工廠位於泰國北柳、菲律賓卡蘭巴和卡布堯。 2024財務年度銷售額為76億美元。

這次攻擊嚴重影響了Microchip的產能，他們關閉或隔離了部分系統以防範事件擴大。 Microchip Technology 尋求外部資安專家的協助，針對場域的安全漏洞展開了事件調查。公司方面證實，這次攻擊事件影響頗鉅，甚至可能影響到公司訂單的履行。

當Microchip Technology（微晶片科技公司）偵測到在其IT系統的潛在可疑活動後，於第一時間公司立即採取評估措施，想方設法遏止潛在的未授權活動，以期能及時補救。

2024 年 8 月 19 日，公司確認遭到未經授權的威脅者侵入，影響到公司某些伺服器的正常使用和部分的業務運作。公司立即採取了額外措施來應對這次事件，其中包括隔離受影響的系統、關閉某些系統，以及藉由外部資安顧問的協助來展開調查。

該公司向美國證券交易委員會 (SEC) 提交的FORM 8-K 報告中提到：「肇因於該事件，公司 (Microchip Technology) 某些生產設施的運作狀況低於正常水平，公司目前履行訂單的能力受到影響。」

目前Microchip Technology正在外部資安專家的協助下評估這次網路攻擊的程度和影響。同時公司也在努力修復受影響的IT系統，並嘗試盡快讓日常的業務運作回歸正軌。

該公司於聲明中補充到：「事件的調查仍在進行中，有關此次事件的涵蓋範圍、攻擊類型和影響層面等目前尚不明朗。」「截至此聲明發佈之日，公司尚未確定這次事件是否可能對公司的財務狀況或營運業務造成重大影響。」

雖然該公司尚未揭露這起事件的屬性及類型等細節資訊，但美國證券交易委員會的文件間接表明這次事件是歸因於勒索軟體攻擊。然而，目前尚未有勒索軟體組織聲稱對這起攻擊事件負責。

竣盟科技建議，半導體產業製造商及其他企業客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受勒索軟體攻擊的風險：

定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
熟悉勒索軟體攻擊手段：了解常見的勒索軟體攻擊手法以及如何辨識它們並做出因應，可以顯著降低受到侵害的風險。