十多個俄羅斯關聯的駭客組織正在運用Sitting Ducks攻擊

網路攻擊者利用所謂的Sitting Ducks (甕中捉鱉) 劫持了超過 35,000 個已註冊網域，在Sitting Ducks攻擊中，攻擊者劫持了已在DNS (網域名稱系統) 服務商或web hosting provider (網頁代管供應商) 那邊註冊的域名，讓使用者無法連結到在DNS提供單位或註冊單位的真正帳戶。

在「甕中捉鱉」攻擊中，網路犯罪分子利用註冊單位網路層級的組態 (configuration)缺陷以及 DNS 提供單位的所有權驗證機制不足。

專門致力於 DNS 的網路安全供應商 Infoblox 以及韌體和硬體防護公司 Eclypsium 的研究人員發現，每天可能會有超過一百萬個網域透過 Sitting Ducks 攻擊的手法而遭到劫持。

Infoblox和Eclypsium聯合發佈的分析中揭露，有十多個與俄羅斯有關聯的網路犯罪組織正在運用這種攻擊手段，特別針對網域名稱系統 (DNS) 的弱點藉以隱密地劫持網域。

追根究柢，問題在於網域註冊單位和授予權限的 DNS 提供單位的組態 (configuration) 不正確，再加上名稱伺服器 (name server) 無法對其涵蓋的服務網域進行授權回應（這也稱作 lame delegation遜咖授權）。

攻擊者先向授權的 DNS 提供單位要求使用權，允許它在授權的 DNS 提供單位之處聲明網域的所有權，於此同時它並不用直接去存取網域名稱註冊單位的真正使用者者帳戶。

在這種情況之下，如果網域的授權 DNS 服務到期過後，攻擊者可以在DNS提供單位處建立帳戶並聲稱擁有​​該網域，最後假冒網域代表的品牌來進行散播惡意軟體的攻擊行動。

近年來，Sitting Ducks 攻擊已被許多不同的網路攻擊團體所採用，遭到盜取的網域用來支援多個流量分配系統 (TDSes) ，像是404 TDS（又稱作 Vacant Viper）和VexTrio Viper。同時它也被用來​​散播炸彈威脅騙局 (bomb threat hoaxes)和性勒索詐騙 (sextortion scams)。

Infoblox 威脅情報副總裁 Renee Burton 博士說：「企業組織應該定期檢查他們擁有的網域，確認是否仍有弱點或是漏洞，並且他們應該要選擇能夠有效防衛Sitting Ducks攻擊的DNS供應商」。

防衛重點

網域擁有者應定期檢查其DNS組態 (configurations) 是否屬於lame delegations (委派失效)，特別是在比較舊的網域上，並使用適當的 DNS 服務商來更新註冊單位或授權的名稱伺服器上的授權記錄。

建議註冊單位對委派失效的案例和告警通知人員進行主動檢查。另外他們還需確保在授予名稱伺服器授權之前，DNS服務已確立。

最後，註冊監管機構和標準管理機構必須制定長期策略來根本解決 DNS 漏洞，並驅使其管轄範圍內的 DNS 供應商採取更多有效行動來緩解坐鴨攻擊。

竣盟科技 提醒網域名稱及企業網路用戶，採取多種最佳防護措施及解決方案可以有效幫助降低遭受網路攻擊的風險：

1. 定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
2. 對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
3. 驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
4. 啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
5. 自學網路釣魚策略：了解常見的網路釣魚策略以及如何識別它們可以顯著降低陷入此類計劃的可能性。

駭客正在利用 CrowdStrike 事件進行網路釣魚、詐騙和惡意軟體傳播。

網路安全公司 CrowdStrike 因推出有缺陷的更新，造成使用該公司服務的Windows設備發生全球性大癱瘓。該公司現在警告，網路攻擊者藉機以提供修補程式為偽裝，向拉丁美洲CrowdStrike用戶散播 Remcos RAT惡意軟體。

攻擊手法是先散播名為「crowdstrike-hotfix.zip 」的 ZIP檔，其中包含名為Hijack Loader （又稱 DOILoader 或 IDAT Loader）的惡意軟體載入程式，該載入程式進而啟動 Remcos RAT。

具體來說，文件檔中還包括一個文字檔（“instruucciones.txt”），此文字檔附帶西班牙語說明，促使想要修復問題的受害者開啟執行檔（“setup.exe”）。

CrowdStrike表示，值得注意的是，ZIP 檔案中的西班牙語檔名和附帶說明，都顯示出該攻擊行動很可能是針對他們公司的拉丁美洲 (LATAM) 客戶。歸咎其原因，一個電子犯罪組織涉嫌重大。

上週五，CrowdStrike 證實，UTC (世界協調時間) 7 月19 日04:09 推送到EDR系統CrowdStrike Falcon 平台上 (使用Windows 設備) 的例行感應器組態更新無意中觸發了邏輯上的錯誤，因此導致藍屏當機(BSoD)，進而使得許多系統無法運行並讓企業陷入混亂。

CrowdStrike 表示，他們積極地協助客戶，補救因為最近的內容更新而導致全球數百萬台 Windows 主機癱瘓的情況。CrowdStrike建議受影響的客戶確保通過官方管道與 CrowdStrike 客戶服務代表聯繫，並遵循 CrowdStrike 支援團隊提供的技術指引。

英國國家網路安全中心（NCSC）警告，他們觀察到利用此次主機癱瘓事件的網路釣魚活動有大幅增加的情況。

惡意軟體沙箱服務業者AnyRun 也注意到「企圖假冒 CrowdStrike 以從中得利的情形有所增加，這些可能會引發網路釣魚型態的攻擊活動」。此外，威脅情報平台FalconFeeds的報告指出，巴勒斯坦駭客組織正利用 CrowdStrike 事件，試圖藉機引誘以色列企業用戶在他們的系統上安裝擦除器惡意軟體 (wiper malware )。

更糟糕的是 CrowdStrike 更新事故導致多個產業出現營運中斷，包括航空、金融、醫療和教育產業。美國有線電視新聞網 (CNN)週日報導，連續第三天有超過 1,500 架航班被取消，更有數千架航班因此延誤。

對於 CrowdStrike 的更新出錯，微軟一直有參與進行補救措施。據微軟表示，這次事件導致全球共計 850 萬台 Windows 裝置癱瘓(佔比不到所有 Windows 機器的百分之一)。

微軟也發布聲明：“這一事件說明了我們無遠弗屆的數位網路系統—包括全球雲端提供商、軟體平台、資訊安全廠商和其他軟體服務商以及客戶之間的相互關聯性。 ” “同時也提醒我們，對於整個數位技術系統中的所有人來說，利用現有機制優先進行安全性部署和建立自災難事故復原的標準流程，是最重要的課題。”

CrowdStrike/ RemCos惡意軟體相關的部分的入侵指標（IOCs）:

1e84736efce206dc973acbc16540d3e5

371c165e3e3c1a000051b78d7b0e7e79

da03ebd2a8448f53d1bd9e16fc903168

2a2ecbbd4840c486b3507a18307369336ec5a1aa

889b4f487d8bba6af6ff6eb7f5afd74957586c49

fef212ec979f2fe2f48641160aadeb86b83f7b35

48a3398bbbf24ecd64c27cb2a31e69a6b60e9a69f33fe191bcf5fddbabd9e184

5ae3838d77c2102766538f783d0a4b4205e7d2cdba4e0ad2ab332dc8ab32fea9

931308cfe733376e19d6cd2401e27f8b2945cec0b9c696aebe7029ea76d45bf6

c44506fe6e1ede5a104008755abf5b6ace51f1a84ad656a2dccc7f2c39c0eca2

d6d5ff8e9dc6d2b195a6715280c2f1ba471048a7ce68d256040672b801fda0ea