竣盟科技 - Billows 技術/情資訊息分享

Facebook爆中國國家級駭客利用其平台監控海外維吾爾族人，Facebook封殺Evil Eye設的約百個帳號!!!

Posted on 2021 年 3 月 26 日2021 年 3 月 26 日 by blogadmin

Facebook表示，中國駭客利用偽造賬戶和建立仿冒網站來鎖定維吾爾族人的手機，以便進行監控

Key Points:

*中國國家級駭客Evil Eye(邪惡之眼)利用臉書，鎖定中國境外，包含美國、澳洲、土耳其、敘利亞、加拿大、土耳其、哈薩克等國家的維吾爾族等少數民族之維權人士、記者或異議人士，透過發送指向惡意軟體的連結，用惡意軟體感染設備並實現監控。

* Facebook指Android惡意軟體由兩間中國公司，北京畢思特聯合科技有限公司（Beijing Best United Technology）和大連9Rush科技有限公司(9Rush) 所開發，偽裝成維吾爾語鍵盤和祈禱應用程式，實則上存有ActionSpy或PluginPhantom等木馬惡意程式，有些惡意網站則直接嵌入了iOS間諜程式Insomnia。

*利用社交工程：Evil Eye使用Facebook上的假帳戶創建虛構的角色，冒充人權倡導者，記者，維吾爾族成員或學生，以建立與目標人群的信任，並誘使他們點擊惡意連結。

Facebook在3月24日宣布，已對利用假賬戶監視維吾爾族穆斯林的中國駭客組織Evil Eye採取了行動，阻止了Evil Eye濫用其平台和架構，發佈惡意程式和入侵其他用戶。

Facebook 表示Evil Eye的手法十分高明，他們會檢查目標對象的iOS，是否使用指定的語言、國家、系統版本、瀏覽器、IP位址等，駭客只會對符合相關條件的用戶下手，避免了大規模攻擊而太早被發現。駭客亦會製作一些假網站，偽裝像真的維吾爾族或土耳其的新聞網站，當目標不小心瀏覽時，就會在其iOS裝置上安裝一些監控程式。而且中國駭客們為了監控維吾爾族人士亦相當用心，會製作一些假帳戶，而這些假帳戶會慢慢向目標建立信任，最終被選中的目標因為以為這些假帳戶是真朋友，而不小心按入有關網站，令自己的手機或電腦被監控。Facebook亦發現有不少由了製作的Android apps，以維吾爾族的主題做包裝，例如維吾爾語鍵盤和祈禱應用程式，這些apps都藏有惡意程式。Facebook續指有兩間中國公司涉及在內，由他們開發相關惡意程式。

據路透社報導，Facebook表示與駭客組織相關的目標少於500個，帳戶約於100個。

回顧之前有關Evil Eye的報導:

https://www.facebook.com/BillowsTechTW/posts/526372064693028

加拿大無線設備商司亞樂(Sierra Wireless)遭勒索軟體入侵，造成其生產線停頓!另美國保險業巨頭CNA Financial公司亦遭網路攻擊，影響業務營運被迫關閉特定系統!

Posted on 2021 年 3 月 24 日 by blogadmin

Key Points:

*勒索軟體對司亞樂的內部IT網路進行了加密，阻止了員工存取與製造和計劃相關的內部檔案和系統

*大部分工廠需要對客戶訂單和產品規格的取得最新的存取，無法存取導致司亞樂關閉了其製造工廠的生產線

*目前司亞樂沒有傳出歸因是哪一支勒索軟體

*CNA的員工透露他們的網站已斷網，連電話也無法接通，造成業務已停頓至少48小時了

*根據保險業新聞媒體The Insurer, CNA金融公司的網站和某些系統出現故障懷疑是勒索軟體造成。

根據司亞樂提交給美國證券交易委員會(SEC) 的一份文件中，司亞樂在2021年3月20日（星期六）遭勒索軟體攻擊。“目前司亞樂認為攻擊的影響僅限於司亞樂系統，因為該公司在其內部IT系統與面向客戶的產品和服務之間保持了明確的隔離，” 司亞樂發言人說。由於勒索軟體攻擊，司亞樂停止了其生產基地的生產。該公司的網站和其他內部運營也受到了攻擊的干擾，但司亞樂沒有透露生產系統何時會重新上線。

目前尚不清楚攻擊者是否從司亞樂網路中竊取了敏感資料，但大多數勒索軟體攻擊傾向於這樣做，還不清楚公司是否向攻擊者支付了解密檔案並恢復網路的費用，或者司亞樂是否正在從備份中恢復。

另外，美國最大的保險提供商之一CNA金融公司，目前正遭受廣泛的網路中斷，原因是這家總部位於芝加哥的保險公司受到可疑的網路攻擊，由於系統無法使用造成其承保和理賠方面的業務已停頓。

CNA金融公司在其網站上的最新聲明中確認，網路攻擊正在造成包括公司電子郵件在內的網路中斷。為了安全起見，CNA還確認他們已斷開系統與網路的連接。

根據CNA金融公司聲明，目前已聘請第三方鑑識團隊來調查此事，並已通報執法部門和配合調查。

LockBit勒索軟體中存有錯誤，可被濫用允許無限次免費解密，無需與駭客談判了?!

Posted on 2021 年 3 月 19 日2021 年 3 月 19 日 by blogadmin

一個勒索軟體研究員發現並披露了LockBit勒索軟體中的一個錯誤(bug)，該錯誤可已被用於免費解密。該錯誤影響了 LockBit的勒索軟體即服務（RaaS）中的運作方式，LockBit的勒索軟體即服務於2020年1月啟動，通過該操作，LockBit的背後駭客出租了他們勒索軟體的使用權。

一般來說， LockBit的RaaS的客戶（也稱為會員）執行對受害公司網路的入侵，他們在受害公司網路中部署LockBit勒索軟體以加密檔案，並要求受害者提供贖金以換取解密工具。LockBit通過留在desktop上的勒索信，告訴受害人連接一個暗網的入口網站(即LockBit揭秘網站)，他們可以在其中協商和付贖金。該揭秘網站還允許受害者試用一次免費的解密操作(trial decryptor)，因此受害者可以確認駭客擁有有效的解密密鑰。

#Malware #Ransomware #LockBit

In LockBit ransomware, clients found a bug that allows using trial decryptor infinitely. Also, one client reminded about critical bugs due to not usable LockBit in big ransomware attacks. pic.twitter.com/D98Na8MZ7r
— 3xp0rt (@3xp0rtblog) March 16, 2021

關於LockBit勒索軟體被發現的錯誤，是經由一個地下網路犯罪論壇發佈的，LockBit的錯誤是在讓受害者試用一次免費解密機制中被發現的，它可用來作無限地免費解密。儘管此發現未包括其他證據，但該錯誤是由著名的俄羅斯駭客Bassterlord確認和公開的，該披露的可信性極高。 Bassterlod曾與多個勒索軟體組織合作，包括LockBit，REvil，Avaddon和RansomExx。

儘管受害者很難恢復其被加密所有的資料，但肯定會被大量受害者大量使用LockBit此錯誤。對於該勒索軟體的受害者而言，肯定有所得益。通過以公開方式發布有關該錯誤的資訊，Bassterlord的舉動還引發了安全專家之間討論關於通報勒索軟體漏洞的正確方法。

McAfee安全研究總監John Fokker表示，正確的方法是向安全供應商或No More Ransom報告與勒索軟體相關的錯誤，安全供應商和No More Ransom項目均已建立了完善的機制，可以利用這些資料並幫助勒索軟體受害者，而不會提醒勒索軟體開發者，還適用於希望破壞競爭對手的駭客們。

根據ID Ransomware平台提供的數據，LockBit勒索軟體仍在每週加密大約數十名受害者。

據相信由於LockBit的錯誤被公諸於世，該勒索軟體的背後駭客正忙於修補該錯誤，安全公司Malwarebytes的惡意情資分析師Marcelo Rivero說，LockBit的入口網站正在處於關閉狀態，這可表明駭客正在實施修補程式碼。

中國APT駭客組織針對電信公司進行有關5G的網路間諜活動，旨在竊取與5G技術相關的數據

Posted on 2021 年 3 月 17 日 by blogadmin

McAfee的報告中稱，這項名為”Operation Diànxùn電信行動”的活動是由於在多個國家/地區禁止在5G推廣中使用中國技術而引起的。據安全廠商稱，活動背後的威脅者正在使用中國APT野馬熊貓(Mustang Panda) 在攻擊中使用的策略和相關手法，研判該行動出自他們之手，該組織先前已被多家安全廠商確認為中國政府資助的駭客。

根據McAfee的研究，攻擊的目標位於美國，歐洲和東南亞，特別針對德國和越南的電信公司。資料顯示受害者會被誘騙到一個偽裝成是華為求職的釣魚網站，從網站上研究員發現了偽裝為Flash應用程式的惡意軟體，這些惡意軟體會連接到受駭客控制下的網域“ hxxp：/ /update.careerhuawei.net”，hxxp：//career.huawei.com” 這些惡意網址經過精心設計，看起來像極合法的華為求職網站。研究員在12月還觀察到此行動中使用新的網址：“hxxp：//update.huaweiyuncdn.com。”

儘管數十個政府最初對華為和中興等中國公司建立5G感興趣，但近幾個月來，美國和一些歐洲國家已敦促各國對中國政府在一定程度上的封殺，華為被廣泛認為是5G領域的中國領導者，但包括美國、澳洲、日本、英國、法國等在內的國家的政府都禁止使用華為的5G技術，因為擔心華為的5G技術可能包含可以進行廣泛間諜活動的後門，但McAfee也補充說，沒有任何跡象顯示華為與當前的威脅活動有任何關連。

據安全廠商稱，目前尚不清楚攻擊者最初是如何誘騙受害者到釣魚網站的，但受害者一旦連接就會到一個與華為的求職網站非常相似的網頁。攻擊者使用虛假網站下載了偽裝成Flash應用程式的惡意軟體，還精心設計了從中下載的Flash應用程式的網站，使其外觀類似於Flash在中國的官方網頁，該惡意軟體還可以在受感染系統上下載Cobalt Strike滲透工具。

報告稱由於攻擊者利用虛假的華為網站，提供了更多有關行動的線索，相信該行動旨在竊取敏感數據與監視5G技術相關的電信公司，McAfee研究員Thomas Roccia又稱，觀察到大多數組織都是對中國推出的5G技術表示擔心的，這表明電信行動(Operation Diànxùn)與全球部署下一代通信技術(next-gen communications)息息相關。

Source:

https://www.mcafee.com/enterprise/en-us/assets/reports/rp-operation-dianxun.pdf

中國大學是培養駭客的溫床?! 人工智慧和機器學習恐成APT攻擊的利器⚔️⚔️⚔️

Posted on 2021 年 3 月 12 日 by blogadmin

硏究發現至少六間中國大學與APT駭客組織有關聯，利用大學課程研究開發人工智慧(Artificial Intelligence, AI)和機器學習(Machine learning, ML)技術，上海交通大學，哈爾濱工業大學，海南大學等紛紛上榜。

喬治城大學（Georgetown University）的安全和新興技術中心(CSET)在一篇名為“Academics, AI, and APTs,”的研究報告中警告說，一些中國大學中進行的研究很可能很快會被納入中國政府資助駭客組織(APTs)所使用的技術中。這些大學過去與中國駭客團體有聯繫，並經常從教職員或學生中招募駭客。

Academics, AI, and APTs的作者Dakota Cary表示：這些合作關係本身就是軍民融合(military-civil fusion)的案例，允許國家資助的駭客迅速將研究從實驗室轉移到實戰現場。

報告中研究的六所大學包括海南大學，東南大學(江蘇省)，上海交通大學，西安電子科技大學，浙江大學和哈爾濱工業大學。

海南大學

與APT 40有關聯：海南大學僱用的教授與APT 40主導了一埸的網路戰役，有資安界深喉嚨之稱的Intrusion Truth揭露並描述APT 40効力於海南省國安局 (Hainan Bureau of the MSS)。

目前的AI / ML研究：使用關於機器學習中的整體學習(Ensemble Learning)來建立用於分散式阻斷服務攻擊(DDoS)的預警系統的研究。

東南大學

與Deep Panda有關聯：2014年東南大學一位教授和一家與中國國安局簽約的知名的資安公司舉辦了駭客競賽，為駭客攻擊在美國提供了的真實目標。

該競賽中使用的惡意軟體也是Deep Panda在2015年用於Anthem遭駭客入侵導致大量用戶個資外洩事件中。該大學還多次獲得了中國政府有資訊項目的多次資助。東南大學還經常通過招攬與資安有關的職位或硏究職位，在其網站上標榜其成就。

目前的AI / ML研究：在大學進行的AI / ML研究主要集中在防禦技術上。這位曾於2014年舉辦駭客大賽的教授目前正在積極研究如何使用機器學習進行異常檢測-一種尋找網路行為異常模式的技術。他還是三個用於資訊安全研究計劃的秘密資助對象。根據大學網站其他教授也在中使用AI系統進行各自的網路安全研究。

上海交通大學

與APT1有關聯：新聞報導將大學員工與APT1（又稱中國人民解放軍61398部隊）進行的駭客攻擊聯繫起來。大學教職員還與APT1成員一起發表了研究論文。上海交通大學資訊安全工學院也位於一個軍事基地，APT1駭客還使用交通大學電子郵件地址註冊了網駭基礎設施。

目前的AI / ML研究：上海交通大學在進攻網路安全方面進行大量研究，大多數AI / ML研究都是為了在網路安全中使用防禦性AI/ML技術，例如識別惡意URL，檢查Web流量以識別殭屍網路，歸因於某類型的DDOS攻擊以及一連串的專用入侵檢測系統。同時也進行針對ML / AI的進攻性使用的研究，例如使用ML檢測軟體漏洞，檢測Tor流量以及提高密碼猜測攻擊的準確性。此外，上海交通大學教授撰寫的與AI有關的文章也出現在中國國安部期刊中。

西安電子科技大學

與APT3有關聯：中國國安部第十三局的一個部門和APT3的管理組織廣東省信息安全測評中心於2017年開始與西安電子科技大學合作，提供由網路和資訊安全學院聯合管理的研究生課程。據稱，在該計劃中，西安電子科技大學的學生與中國國安部員工配對，接受了操作培訓。

目前的AI / ML研究：西安電子科技大學的兩位教授聲稱為中國資安服務的所屬單位，進行AI和網路安全方面的研究。在最近的研究中，他們專注於使用AI / ML進行資料探勘，漏洞發現和利用以及軟體漏洞的自動修補。這項工作的結論是AI / ML最適合識別軟體漏洞，其中一位教授甚至向中國國家漏洞數據庫提交了20個漏洞。

浙江大學

與中國國安部（APT1）有關聯：該大學從未直接與特定的駭客活動聯繫在一起，但是從這所大學招募了許多中國軍事駭客，這所大學“是一所享有很高聲譽的國際知名網路安全研究學校”。根據CSET研究團隊的說法，大學生不僅會接受AI / ML課程，而且還會接受關於情報的課程。

目前的AI / ML研究：該大學似乎專注於研究如何攻擊和防御其他AI / ML系統和演算法，例如數據中毒攻擊或後門訓練的方法。

哈爾濱工業大學

與APT1有關聯：在美國Mandiant網路安全公司關於APT1的報告，將哈爾濱工業大學作為2013年中國網路運營商的招聘中心，雖然大學沒有直接參與任何攻擊，但是哈爾濱工業大學被授權從事最高機密的政府項目，其網路安全中心吹捧著從事9個政府資助的研究項目。存檔的網頁還證實，以前的哈爾濱工業大學員工曾為中國軍隊的電子情報部門工作，該部門的成員後來被指控對美國的Equifax發動網攻。

當前的AI / ML研究：哈爾濱工業大學的AI / ML研究專注於醫學領域的AI使用（51篇論文中佔了49篇）。另外兩篇論文關於ML和網路安全包含檢測和分類軟體的bugs以及使用AI進行軟體行為分析。

CSET團隊認為，通過分析當前的研究領域，外國分析師和決策者可以推斷中國政府的駭客團隊將來如何大量的依賴AI和 ML技術。

Source: https://cset.georgetown.edu/research/academics-ai-and-apts/

研究人員揭露與中國國家級駭客有關的新型Linux惡意後門“ RedXOR ”，發現台灣和印尼已有惡意軟體樣本上傳至VirusTotal。

Posted on 2021 年 3 月 11 日 by blogadmin

資安公司Intezer的研究人員發現了一種針對Linux端點和伺服器的新型複雜後門程式。後門被Intezer稱為“ RedXOR ”，RedXOR會偽裝成polkit daemon，發現與中國APT駭客Winnti Group使用的PWNLNX，XOR.DDOS和Groundhog等惡意軟體有相似。

RedXOR的源由：由於RedXOR使用基於XOR的技術對網路數據進行編碼，並且在舊版的Red Hat Enterprise Linux上使用舊版GCC編譯器進行的編碼，這表明該惡意軟體是針對舊版Linux的針對性攻擊而部署的系統，在系統中建立後門後，使攻擊者可以完全控制受感染的電腦。在部署成功後，RedXOR允許攻擊者瀏覽檔案，上傳和下載檔案，竊取數據，部署Web Shell或將網路流量連線傳輸到另一個目的地。

RedXOR除了在整體流程和功能和PWNLNX之間使用XOR編碼重疊之外，後門還採用了未剝離的64位ELF檔案（“ po1kitd-update-k”）的形式，並帶有錯別字名稱（“ po1kitd”與“ polkitd”），在執行之前，會先建立一個隱藏目錄來存儲與惡意軟體有關的檔案，甚至將其自身安裝到機器上。Polkit是用於定義和處理授權的工具包，允許非特權進程與特權進程進行通信。

此外，該惡意軟體帶有加密的配置，其中包含通過TCP Socket連線，C& C，IP address 和端口以及向C2伺服器進行身份驗證所需的密碼。通信不僅被偽裝成無害的HTTP流量，而且還使用XOR加密技術對兩種通信進行了編碼。

RedXOR支援多種功能，包括收集系統資料（MAC address，用戶名，distribution，clock speed，kernel版本等），執行檔案操作，以系統特權執行命令，運行任意的Shell命令，甚至是遠端更新惡意軟體。

受RedXOR攻擊的用戶可通過終止進程並刪除與該惡意軟體有關的所有檔案來採取保護措施。

針對Linux系統的攻擊活動越來越多，部分原因是IoT設備，Web伺服器和雲端伺服器廣泛採用Linux操作系統，導致攻擊者將其現有Windows工具移到Linux或新開發支援兩個平台的工具。Intezer和IBM X-Force的聯合研究發現了56個Linux惡意軟體家族，比2019年增長了40％，自2010年以來增長了500％。

Intezer表示，在2月23日至24日在VirusTotal發現由台灣和印尼上傳的兩個惡意軟體樣本，台灣和印尼經常受到中國APT駭客的攻擊。研究人員認為，與中國政府有聯繫的駭客組織正在使用RedXOR。它與Winnti Group也稱APT 41以前使用的惡意軟體和殭屍網路具有關鍵性相似之處。

Source: https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

駭客入侵了安裝在特斯拉，Equinox，Cloudflare，醫療診所，監獄和的銀行在內等的實時監控攝像頭!!!

Posted on 2021 年 3 月 10 日2021 年 3 月 10 日 by blogadmin

Key Points:

*駭客組織說希望顯示監控的普遍性

*被入侵的監視錄影畫面來自紅杉資本(Sequoia Capital)投資的新創公司Verkada

*駭客入侵了Verkada，在診所，警察分局，監獄，學校，特斯拉等15萬個監控攝像頭的動態和封存檔案

據彭博社報導，一群駭客入侵了矽谷新創公司Verkada 收集的大量安全攝像頭數據，存取了醫院，公司，警察局，監獄和學校中的15萬個監視攝像頭的即時動態影像。

曝光的影片包括汽車製造商Tesla公司和軟體提供商Cloudflare。此外，駭客還能夠從女性健康診所，精神病醫院和Verkada本身的辦公室內觀看視頻。某些攝像頭（包括醫院中的攝像頭）使用臉部識別技術來識別和分類在鏡頭上被拍攝的人。駭客說，他們還可以存取所有Verkada客戶的完整視頻檔案。

在彭博社看到的視頻中，佛羅里達州Halifax健康醫院內的Verkada攝像頭顯示，有八名醫院工作人員在綁住一名男子並將其固定在床上。另一個在上海特斯拉倉庫內拍攝的視頻顯示了工人在組裝線上。駭客表示還可以存取特斯拉工廠和倉庫中的222台攝像機。

其中一位駭客Tillie Kottmann曾入侵了晶片製造商Intel和汽車製造商Nissan公司而聲名狼藉。Kottmann說，入侵的原因是出於好奇，為資訊自由和

智慧產權而戰等，認為這樣做也太有趣了。

除了從攝像頭獲得的圖像外，駭客還分享了他們獲得root shell存取了Cloudflare和Telsa HQ所使用的監視系統的螢幕截圖。根據 Kottmann的說法，他們使用Verkada的超級管理員帳戶存取了這些監視系統，他們在公開的DevOps基礎架構中找到了Verkada超級管理員帳戶的硬編碼(寫死)憑證。Verkada是與所有這些組織合作的監控公司。

Kottmann在Twitter分享了對Linux操作系統的Root訪問權限的圖像。從圖像中，可以看到其中一個網卡的MAC address，與監控公司Verkada開發的設備相對應。

Verkada發言人在一份聲明中說：“我們已禁用所有內部管理員帳戶，以防止任何未經授權的存取。” “我們的內部安全團隊和外部安全公司正在調查此問題的規模和範圍，並已通知執法部門。”

總部位於舊金山的Cloudflare在一份聲明中說：“今天下午，我們被提醒，監視少數Cloudflare辦公室主要入口和主要通道的Verkada安全攝像頭系統已經入侵。” “這些攝像機位於少數幾個辦公室，這些辦公室已經正式關閉了幾個月。” 該公司表示已禁用攝像頭，並將其與辦公網路切斷連線。

另外，特斯拉和其他機構的代表沒有立即回應發表評論。

Verkada成立於2016年，銷售安全攝像頭，客戶可以通過網路訪問和管理安全攝像頭。2020年1月，它籌集了8000萬美元的風險投資資金，使公司估值達到16億美元，投資者中有矽谷最著名的風險投資公司紅杉資本(Sequoia Capital)。

相關新聞片段:

SolarWinds事件又有新進展，微軟和FireEye分別發表技術報告，微軟發現3個新的惡意軟體分別為GoldMax, Sibot, GoldFinger，FireEye發現新的後門程式SUNSHUTTLE

Posted on 2021 年 3 月 5 日 by blogadmin

微軟命名SolarWinds事件的幕後駭客為”NOBELIUM”

微軟和FireEye的研究人員分別披露了發現去年12月份SolarWinds事件的駭客組織使用了其他的惡意軟體。

FireEye的報告只詳細描述有一個惡意軟體，而根據微軟的報告，總共發現了三種新的惡意軟體，這三個惡意軟體分別是：

GoldMax : 基於Go的後門程式，攻擊者用來執行在安裝了惡意軟體之前已經遭到破壞的系統上執行各種命令，充當攻擊者的C2後門，GoldMax還可以部署誘餌的網路流量，允許惡意程式碼及其通信混入正常的網路流量中。FireEye報告中以SUNSHUTTLE的名稱詳細介紹了該惡意軟體，SUNSHUTTLE一樣用Go編寫，並且該第二階段後門具有一些逃避檢測的功能。該惡意程式碼似乎於2020年8月由位於美國的一家實體上載到惡意軟體存儲庫上。

Sibot : 一種VBScript惡意軟體，它旨在受感染的設備上實現持久性，然後從C2伺服器下載並執行其他payloads，發現Sibot有三種不同的變種。

GoldFinger : 另一個基於Go的惡意軟體。這是一個自定義HTTP跟踪器工具，用於檢測伺服器和重導（如受感染設備與C2伺服器之間的網路安全設備）。

之前已公佈過SolarWinds駭客使用的惡意軟體，包括：

Sunspot : 駭客在SolarWinds的內部網路中部署的惡意軟體，可以破壞Orion應用程式的構建過程。

Solorigate（Sunburst） : 在SolarWinds Orion應用程式中引入的惡意軟體在2020年3月至2020年6月之間進行了更新。該惡意軟體充當偵察工具，可幫助威脅者識別他們以後要瞄準的公司。

Teardrop : Teardrop通過Sunburst在選定網路上部署的惡意軟體，充當執行其他命令的後門。

Raindrop :在某些網路不部署Teardrop而部署Raindrop，充當第二階段後門。

新的惡意軟體是為受害者網路量身定制的

微軟表示，在其一些客戶的網路上發現了三種新的惡意軟體(GoldMax, Sibot, GoldFinger)在某些情況下，發現惡意軟體可追溯到2020年6月，而在其他情況下，惡意軟體的使用可追溯到2020年9月。

此外，惡意軟體還通過不同的方法植入。一些客戶通過受感染的SolarWinds Orion應用程式更新而受到入侵，而其他客戶則在駭客獲得了對該公司內部網路的合法憑據的訪問權限後，也感染了相同的惡意軟體。

無論採用哪種方式，無論最初的訪問媒介如何，微軟都表示，惡意軟體與SolarWinds的事件有關，微軟今天首次使用代號Nobelium命名SolarWinds事件的駭客。

“它們是為特定網路量身定制的，經過評估，是在參與者通過受到破壞的憑據或SolarWinds二進製檔獲得訪問權之後，以及在通過TEARDROP和其他手動鍵盤操作橫向移動之後引入的” Microsoft描述了這三種惡意軟體。

Microsoft補充說：“這些功能不同於以前已知的NOBELIUM工具和攻擊模式，並重申了駭客的複雜性。”

“在攻擊的所有階段，參與者都表現出對網路中常見的軟體工具，部署，安全軟體和系統以及事件回應團隊經常使用的技術的深入了解。”

今年1月5日，美國四個政府機構正式將SolarWinds供應鏈攻擊描述為“可能源於俄羅斯”。

針對美國實體的新第二階段後門GoldMax/SUNSHUTTLE的情資 :

https://otx.alienvault.com/pulse/60413cd1bb43dcf1d22c274b

https://www.fireeye.com/blog/threat-research/2021/03/sunshuttle-second-stage-backdoor-targeting-us-based-entity.html

雲端資安公司Qualys成為Accellion FTA事件的最新受害者，同時成為CLOP的敲詐對象，資料外洩被公開到CL0P ^ _- LEAKS網站上

Posted on 2021 年 3 月 5 日2021 年 3 月 5 日 by blogadmin

提供雲端安全與合規的Qualys遭受了數據外洩露，據稱駭客利用了Accellion FTA伺服器中的零時差漏洞並安裝一個名為“DEWMODE”的web shell，用於下載存儲在目標受害者FTA伺服器上的相關檔案。由十二月開始，一連串的攻擊針對Accellion FTA檔案傳輸應用程式的零時差漏洞，該漏洞使攻擊者能夠竊取伺服器上存儲的檔案。從那時起，CLOP勒索軟體就一直通過在其揭秘網站上發布盜來的數據來勒索這些受害者，如下圖已知的受害者包括交通運輸的新南威爾士州，新加坡電信，龐巴迪，Jones Day律師事務所，科技企業Danaher等

Qualys擁有大約19,000個客戶，其中包括Capital One和Experian等大型金融公司，對於熱衷於公開敏感數據的勒索者而言，Qualys是一個有吸引力的目標。

Qualys的資訊安全長 Ben Carr在周三晚上的一份聲明中說，承認該公司在DMZ環境中已使用了Accellion檔案傳輸技術來進行與客戶支援相關的檔案傳輸，攻擊者已存取了Accellion伺服器上託管的檔案。Carr說，Qualys通知了受此未經授權存取影響的客戶，但拒絕透露有多少客戶受到影響，並正在等待進行的調查結束，Carr補充說該事件並未影響Qualys Cloud Platform上託管的Qualys生產環境，codebase或客戶數據。

CLOP勒索軟體背後駭客聲稱已從Qualys竊取了數據，而根據外媒得到的截圖，洩露的數據包括了公司發票、採購訂單、稅務文件和掃描報告等

另外為了應對攻擊，Accellion FTA 伺服器供應商已經發布了多個安全修補，並且將在2021年4月30日淘汰該FTA伺服器軟體。

駭客利用Accellion FTA進行數據盜竊和勒索的有關情資:

https://otx.alienvault.com/pulse/6033df085aef66991b0b0462

有關Accelion FTA事件受影響的其他公司, 我們之前也有相關的報導:

http://billows.tech/MeTv1

又一Accellion用戶受其遇駭風波影響，加拿大飛機製造商龐巴迪（Bombardier）今揭露資料外洩!!軍用飛機產品的CAD圖被CL0P勒索軟體駭客對外公開!!!

Microsoft緊急發布4個零時差漏洞的修補，請立即更新

Posted on 2021 年 3 月 3 日 by blogadmin

KEY POINTS:

*微軟表示一個中國政府資助新的駭客組織”Hafnium”開採了其郵件伺服器程式碼中新發現的漏洞

*目標包括美國傳染病研究人員，律師事務所，高等教育機構，國防承包商，政策智庫和非政府組織

微軟在3月2日表示，中國政府資助新的國家級駭客組織正在利用攸關其Exchange伺服器中以前未被發現的四個零時差漏洞，從遠端入侵電子郵件信箱。微軟稱，Hafnium能利用這四個新發現的零時差漏洞闖入了公司網路上運行的Exchange電子郵件伺服器，從而使攻擊者能夠從受害者的組織中竊取數據（例如電子郵件帳戶和通訊錄），並且能夠植入惡意軟體，已發現Hafnium能將四個零日漏洞組合一起同時開採，形成一條攻擊鏈，該攻擊鏈可破壞運行的Exchange 2013或更新版本的落地伺服器(包括Exchange Server 2013、2016和2019。)

為了使攻擊起作用，駭客需要存取微軟落地版Exchange伺服器上的port 443 ，如果可用存取，則可使駭客利用以下漏洞獲取遠端存取：

CVE-2021-26855是一個伺服器端請求偽造(Server-Side Request Forgery)漏洞，在該漏洞中，伺服器（在這種情況下為落地Exchange Server）可能會被誘騙到運行本不應被允許運行的命令中，例如通過Exchange伺服器本身進行身份驗證。

攻擊者使用CVE-2021-26857在目標Exchange伺服器上的“系統”帳戶下運行他們選擇的程式碼。其他兩個零時差漏洞（CVE-2021-26858和CVE-2021-27065）可能使攻擊者可以將文件寫入伺服器的任何部分。

**使用nmap腳本指令可掃出Microsoft Exchange Server的弱點示意圖**

微軟表示，利用這些漏洞獲得初始訪問權限後，Hafnium在受感染的伺服器上部署了Web Shell。Web Shell本質上是軟體後門，它使攻擊者可以竊取數據並執行其他惡意操作，從而進一步破壞安全性。

在Microsoft和資安公司Volexity今日發布的報告中，兩家公司表示，Hafnium使用這四個Exchange零時差漏洞作為多部分攻擊鏈的一部分，以繞過身份驗證過程，獲取管理員特權，然後安裝ASPX Web Shell在受感染的伺服器上。

一旦攻擊者在組織的Exchange伺服器中立足，他們便開始導出電子郵件收件箱和地址簿的內容，並可將數據上傳到遠端伺服器。

Volexity表示是在其兩個客戶的Exchange伺服器上檢測到的這些可疑上傳。隨後的調查發現了持續的攻擊，該安全公司表示已將調查結果報告給了Microsoft。Volexity還表示，它可以追溯到2021年1月的攻擊。微軟還說，它也收到了丹麥資安公司Dubex關於攻擊的第二份報告。

微軟拒絕透露已經看到多少次成功的攻擊，但將其描述為“有限的”。

提供關於此次事件的惡意IPs清單，供貴司的SIEM或Logger使用:

103.77.192.219

104.140.114.110

104.250.191.110

108.61.246.56

149.28.14.163

157.230.221.198

167.99.168.251

185.250.151.72

192.81.208.169

203.160.69.66

211.56.98.146

5.254.43.18

5.2.69.14

80.92.205.81

91.192.103.43

有關駭客組織Hafnium開採Microsoft Exchange Server的零時差漏洞的情資:

https://otx.alienvault.com/pulse/603eb1abdd4812819c64e197

https://blogs.microsoft.com/on-the-issues/2021/03/02/new-nation-state-cyberattacks/

https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901

Operation Exchange Marauder: Active Exploitation of Multiple Zero-Day Microsoft Exchange Vulnerabilities