竣盟科技 - Billows 技術/情資訊息分享

FBI 及CISA: 古巴勒索軟體集團入侵了全球至少100個組織，贖金獲利超過6千萬美元

Posted on 2022 年 12 月 2 日2023 年 2 月 13 日 by blogadmin

根據美國FBI及CISA的最新聯合警報(Alert AA 22-335A)，截至2022年8月，古巴勒索軟體(Cuba Ransomware)在全球入侵了100多個組織(當中美國佔至少65個實體，其餘36個為其他國家，包含台灣一家受害上市半導體)後，索要超過1.45億美元的贖金，成功取得至少6千萬美元的贖金。報告指出，受古巴攻擊的美國實體的數量成長接近一倍，並持續針對五個關鍵性基礎設施進行攻擊，當中包括金融業、政府部門、醫療保健產業、關鍵性製造業及IT產業。

在此次警報中，CISA 及FBI透露Cuba勒索軟體攻擊者與 RomCom Remote Access Trojan 和 Industrial Spy 勒索軟體等其他惡意工具的幕後黑手有關聯，並進一步指出自今年年初以來擴充其新的戰術、技術與流程(TTPs) 來部署惡意軟體，據悉Cuba多數以寄生攻擊(Living Off-The-Land) 手法進行攻擊，依靠已知漏洞、網路釣魚活動、遠端桌面連線軟體和被盜憑證的組合來存取受害系統並部署惡意軟體。然而，這兩個機構引用了 Palo Alto Networks 的研究稱，自 2022 年 5 月以來，觀察到攻擊手法起了些變化，包括使用 ROMCOM RAT 惡意軟體、ZeroLogon 漏洞、本地權限提升漏洞利用和專門針對安全產品kernel driver的工具。

發現 Cuba 勒索軟體攻擊者擅長利用的漏洞，包括CVE-2022-24521一個影響 Windows 通用日誌檔案系統驅動程式的漏洞 – 以及CVE-2020-1472，是2020 年最常被利用的漏洞之一。

另外，此次警報大部分包括 FBI 在 2021 年 12 月發布Flash Alert CU-000156-MW的資訊，包括Cuba通過 Hancitor分發勒索軟體的事實——Hancitor 是一種以向受害者網路投放或執行竊取程式而聞名的載入程式，如遠端訪問木馬（RAT）和其他類型的勒索軟體。在目標網路內的受感染設備上站穩腳跟後，Cuba 勒索軟體威脅行為者使用合法的 Windows 服務（例如，PowerShell、PsExec 和各種其他未指定的服務）遠端部署有效負載並使用包含“.cuba” 副檔名的加密檔案。

在今天的聯合警報中，FBI 敦促曾在其企業或組織網路中檢測到Cuba 勒索軟體活動的人士，向其提供相關資料。

有助於識別勒索軟體組織成員和與他們合作的網路犯罪分子的有用資料包括:

*顯示與外國 IP address之間的通訊的boundary logs

*勒索信樣本

*與勒索軟體參與者的通訊

*比特幣錢包資料

*解密檔案和或加密檔案的良性樣本

警報中提供有關古巴勒索軟體的入侵指標(Indicator of compromise -IOCs):

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

新型勒索軟體PLAY來襲，揭秘網站首公開，18家受害公司名單中，驚見某台灣上市顯示卡公司疑遭鎖定

Posted on 2022 年 11 月 29 日2023 年 2 月 13 日 by blogadmin

竣盟科技於11月27日發現PLAY勒索軟體首度公開其揭秘網站PLAY NEWS，PLAY NEWS上已出現18家受害公司，目前只有八家公司名稱和資訊被披露，其餘10家公司名稱尚未公開，然而，受害名單中出現了台灣顯卡大廠的頁面，該大廠近幾來年積極布局智慧醫療領域，提供多元性的醫療解決方案。據觀察，目前該企業的網站運作正常，在公開資訊觀測站上沒有有關資安事件的重訊。但PLAY聲稱已盜取約355GB的數據，並已先公開外洩10GB數據作為入侵的證據，據PLAY稱，如該企業未在14天內付贖金，將發布所有盜來的數據。在外洩的數據中包含了合約，協議，研究數據及敏感資料的檔案，PLAY也在該顯卡大廠頁面中提供download link及密碼供任何人下載使用。

認識PLAY勒索軟體

PLAY勒索軟體於2022年 6 月首次出現，並因加密檔案後的.play副檔名而得名。有趣的是，操作PLAY勒索軟體的背後駭客並沒有像其他典型的勒索軟體一樣提供詳細的勒索信或說明，Play的勒索信異常的短且簡單。PLAY 的ReadMe.txt勒索信不會在每個檔案夾中建立，僅建立在硬碟的根目錄 (C:\) 中，並且只包含“PLAY”一詞和聯繫的Email地址，如下圖顯示:

2022 年 8 月中旬，當一名叫Luis Ernesto Zegarra的記者發現阿根廷科爾多瓦司法機構(Argentina’s Judiciary of Córdoba)受害時，宣布了第一起PLAY勒索軟體公開入侵事件，阿根廷司法部證實了這次

攻擊，並將其描述為有史以來對公共機構最嚴重的攻擊，司法部IT系統斷網及其數據庫被破壞，導致職員們被迫使用筆和紙來建立和處理法院的文件。據悉，PLAY使用常見的Big Game Hunting策略，例如利用保持連線的 SystemBC RAT 和Cobalt Strike的滲透工具，並使用自訂義 PowerShell 腳本和 AdFind 進行枚舉，使用 WinPEAS 進行權限升級，並使用 RDP或SMB 在目標網路內進行橫向移動。

PLAY是如何攻擊？

Play使用被入侵的有效帳戶、暴露的RDP 伺服器和 FortiOS 漏洞 CVE-2018-13379 和 CVE-2020-12812 來獲得對組織網路的初期存取。在獲得存取權限後，開始使用“ lolbins ”二進製檔案，將其用作攻擊的一部分，之後通過群組原則(GPO)在內部網路中分發可執行檔，然後運行任務排程的PsExec 或 wmic，在獲得對內部網路的完全存取權後，他們會使用“.play” 副檔名的加密檔。

值得指出的是，根據研究PLAY是擅長一個採取間歇性加密（Intermittent Encryption）的勒索軟體組織，間歇性加密是通過只加密部分檔案而非所有內容，可加速加密或是毀損資料的程序，也可躲避以統計分析為檢測方式的安全系統。另外， PLAY在常見問題中表示，會在收到贖金的一個小時內刪除盜來的數據及提供解密工具給受害者，然而根據PCrisk 的統計及評估，儘管受害者滿足贖金的要求，但通常不會收到解密數據的必要工具。

有關PLAY勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

006ae41910887f0811a3ba2868ef9576bbd265216554850112319af878f06e55

fc2b98c4f03a246f6564cc778c03f1f9057510efb578ed3e9d8e8b0e5516bd49

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

首度出現遭ALPHV勒索軟體攻擊的台灣企業，上市不銹鋼公司疑遭殃!

Posted on 2022 年 11 月 25 日2023 年 2 月 13 日 by blogadmin

根據APLHV勒索軟體(又稱BlackCat)的揭秘網站，竣盟科技發現某一家台灣上市不銹鋼大廠被列入受害者，該跨國企業總部位於南部，為不鏽鋼生產商與通路商，產品以外銷為主，大部份自製品及買賣產品的100%銷往美國子公司，ALPHV宣稱已盜取該企業的大量數據，當中包含內部文件、發票、個人資料、NDA、合約等，在張貼的告示中，ALPHV稱該企業的工廠在攻擊發生後，設備遇到問題，目前尚不清楚這說法是否屬實。

ALPHA/BlackCat被認為是 Darkside 和 BlackMatter 的繼任者，是最複雜、技術最先進的勒軟體即服務 (RaaS) 操作之一，ALPHV是第一支以Rust語言編寫的勒索軟體，相比C 或C++ 語言，用Rust 開發的程式更難找到常見的編程漏洞， Rust也可以更快速和穩定，允許更好的記憶體管理，並且能夠逃避現有的檢測功能。BlackCat勒索軟體允許高度可配置，它包括一個 JSON 檔案，允許用戶在四種不同的加密算法之間進行選擇，自定訂贖金記錄，指定要忽略哪些檔案、檔案夾和副檔名，並指定應該終止哪些服務和進程，以確保檔案被正確加密。BlackCat 還可以配置使用網域憑證，這將更好地使其傳播到其他系統。

另外，ALPHV採用“四重勒索”模式:

不僅會加密數據、感染網路和系統，還會通過其他的工具進行竊取敏感數據，以被盜數據勒索受害者支付贖金
在其揭秘網站上列出了部分受害者，如果不支付贖金，攻擊者將在揭秘網站上洩露盜取得來的數據。
如果受害者沒有在最後期限支付贖金，APLHV還會進行分散式阻斷服務攻擊(DDoS)。
騷擾受害者的客戶、合作夥伴和員工。

ALPHV勒索軟體在 2022 年初聲名狼藉，針對歐洲的燃料物流和運輸服務運營商以及美國的教育機構進行了一系列大膽的攻擊。

ALPHV自 2021 年 11 月浮出水面以來，一直持續使用名為Exmatter的工具，但於 2022 年 8 月進行了大量更新，使Exmatter更成熟，並具有以下變化：

*洩露的檔案類型為：PDF、DOC、DOCX、XLS、PNG、JPG、JPEG、TXT、BMP、RDP、SQL、MSG、PST、ZIP、RTF、IPT 和 DWG。

*添加 FTP 作為除 SFTP 和 WebDav 之外的滲透選項。

*添加“橡皮擦”功能，可以選擇損壞已處理的檔案

*如果在非有效環境中執行，添加“自毀”配置選項以退出並刪除自身

*刪除對 Socks5 的支援

*添加 GPO 部署選項

除了擴展的功能之外，最新的 Exmatter 版本還進行了大量程式碼重構，以更隱蔽的方式實現現有功能以逃避檢測，ALPHV的操作不斷演變，絕對是值得持續我們關注的勒索軟體。

根據資安公司 Resecurity，ALPHV勒索軟體集團將贖金要求提高到 2 至 250 萬美元，受害者通常會被要求在一周內付款，然而，贖金的增加並不令人意外，根據 Resecurity 的數據，2021 年上半年的平均贖金支付額達到 570,000 美元，到 2022 年幾乎翻了一倍，儘管主管機關有宣導不支付的贖金，但仍有約一半的受害者確實支付了恢復數據的費用。

有關ALPHV/BlackCat勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

Domain:

sty5r4hhb5oihbq2mwevrofdiqbgesi66rvxr5sr573xgvtuvr4cs5yd.onion

id7seexjn4bojn5rvo4lwcjgufjz7gkisaidckaux3uvjc7l7xrsiqad.onion

SHA 256:

f8c08d00ff6e8c6adb1a93cd133b19302d0b651afd73ccb54e3b6ac6c60d99c6

f815f5d6c85bcbc1ec071dd39532a20f5ce910989552d980d1d4346f57b75f89

f837f1cd60e9941aa60f7be50a8f2aaaac380f560db8ee001408f35c1b7a97cb

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

兩家東南亞 廉價航空 遭勒索軟體 的攻擊，Daixin勒索團隊入侵了亞洲航空;皇雀航空則遭Black Cat勒索軟體入侵

Posted on 2022 年 11 月 23 日2023 年 2 月 13 日 by blogadmin

根據竣盟科技的觀察，位於東南亞的兩家廉價航空公司遭勒索軟體列為受害者名單，分別是總部在馬來西亞的亞洲航空(AirAsia)和總部在泰國的皇雀航空(Nok Air)。

根據Daixin勒索團隊的揭秘網站，聲稱已盜取來自大馬亞航（AirAsia Malaysia）、印尼亞航（AirAisa Indonesia）和泰國亞航（AirAsia Thailand）的500萬乘客個人數據和所有員工的個人數據，資訊包括姓名、出生日期、醫療記錄號等個人識別資訊（PII ）以及受保護的健康資訊（PHI），作為入侵證據，目前已經發布sample.7z的樣本。亞航是馬來西亞最大的航空公司，擁有來自 60 個國家約 22,000 名員工，總部位於吉隆坡，在全球的165 多個地區開展業務。根據CISA發布的資安警報 (AA22-294A)，Daixin在過去幾個月裡一直在積極瞄準美國企業，尤其是醫療保健和公共衛生領域。Daixin 利用已知的 VPN 漏洞和網釣來存取受害者的網路，一旦獲得存取權限，他們就會提升權限並使用 RDP 和 SSH 在受害者網路內橫向移動。

另外，據外媒報導，Daixin 團隊向亞航集團提供了兩個.csv 檔案，據稱第一個檔案包含乘客的身份證件、全名、預訂 ID 等資料。第二個檔案則包含員工資料，照片、秘密問題和答案、出生城市等字段。

Daixin團隊的發言人向外媒表示，亞航對此次攻擊做出了回應，但亞航並未嘗試就金額進行談判，這表明未打算為數據支付贖金。據DataBreaches.net 報導，入侵發生於 11 月 11 日至 12 日，

目前仍不清楚Daixin要求的贖金金額。值得一提的是，Daixin表示在加密檔案時，已避免鎖定XEN、RHEL的雷達、空中交通管制等系統的飛行設備主機，Daixin 強調其團隊避免加密或銷毀任何將可能危及生命的檔案及系統。

Daixin進一步表示，亞航網路混亂且沒有任何標準，引起他們的憤怒和完全不願意重複攻擊(The chaotic organization of the network, the absence of any standards, caused the irritation of the group and a complete unwillingness to repeat the attack)，根據此次的攻擊，表明Daixin本質上該是投機取巧的，他們會尋找任何對網路安全投資較低的目標。另外，Daixin是基於Babuk Locker 外洩的原始碼衍生出來的勒索軟體，該批原始源是在Babuk向華盛頓特區警察局發動攻擊後被外洩的。2021 年 5 月，Babuk 集團在暗網上發布了數千份警方的敏感檔案，2021 年 9 月，Babuk 原始源在俄語網路犯罪論壇上洩露。勒索軟體集團使用公開可用的原始碼，表明他們缺乏構建自己的工具的技能和能力。

本週，另一家遭勒索軟體入侵的廉價航空是泰國的Nok Air， BlackCat (Alphv)勒索軟體集團在其揭秘網站上發布了盜來的數據截圖，聲稱已經盜取超過 500GB 的數據。從截圖中發現了一些名為 refund to customers.ink、req invoice.pdf、refund.xlsx、DD SWOT ANALYSIS.ppt 和其他機密檔案的文件。航空公司很可能是駭客的下一個關鍵目標，2022年秋季，針對航空公司發生了許多此類攻擊，包括對美國機場網站的分散式拒絕服務（DDoS）攻擊，駭客暫時停頓了幾個美國機場網路服務。在類似事件中，波音子公司 Jeppesen 於 2022 年 11 月 2 日受到影響，當時該公司透露該攻擊可能會影響其部分產品和服務的準確性，這些服務包括接收和處理空中任務通知，這有助於告知飛行員飛行期間的任何潛在危險。航空業擁有高度敏感的數據和非常高的收入，使它們成為網路犯罪分子更有利可圖的目標。

Daixin的部分入侵指標(Indicator of compromise -IOCs):

9E42E07073E03BDEA4CD978D9E7B44A9574972818593306BE1F3DCFDEE722238

19ED36F063221E161D740651E6578D50E0D3CACEE89D27A6EBED4AB4272585BD

54E3B5A2521A84741DC15810E6FED9D739EB8083CB1FE097CB98B345AF24E939

EC16E2DE3A55772F5DFAC8BF8F5A365600FAD40A244A574CBAB987515AA40CBF

475D6E80CF4EF70926A65DF5551F59E35B71A0E92F0FE4DD28559A9DEBA60C28

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

中國駭客集團利用4.2萬個惡意網站開展大規模惡意網釣活動

Posted on 2022 年 11 月 18 日2023 年 2 月 13 日 by blogadmin

Fangxiao利用 42,000 個網釣網站冒充 400 個品牌，詐騙What’s app的用戶以產生流量賺取網站廣告費及下載惡意軟體。

根據資安公司Cyjax的發現，總部位於中國的一個出於經濟動機的駭客集團Fangxiao利用國際知名品牌的名義策劃了大規模網釣活動，該網釣活動可追溯到 2019 年，已持續了大約五年，迄今為止已識別出超過 42,000 個獨特的網域名稱。根據Cyjax的研究員 Emily Dennison 和 Alana Witten，當用戶以獲得一些免費優惠、現金獎勵等幌子被誘騙存取這些網站時，這些網域會為駭客帶來廣告收入。

駭客透過WhatsApp傳送訊息，包含一個或多個偽造的優惠來吸引用戶點選連結，並藉此導向各個網釣網站，這些冒充品牌網站包括阿聯酋航空、蝦皮、聯合利華、可口可樂、麥當勞等知名和值得信賴的品牌，受害者從那裡被分發到詐騙應用程式站點或虛假的優惠。這些網站會提示用戶完成一項調查以領取現金獎勵，同時，他們被要求將訊息轉發給五個群組或 20 個朋友。據了解，導向最終網釣網站取決於受害者的 IP 網址和瀏覽器的User-Agent 字符串。

另外，據觀察，從 Android 設備點擊詐騙廣告的攻擊最終導致部署了名為Triada的行動木馬，該木馬最近也被發現通過假冒的 WhatsApp 應用程式進行傳播。

一旦受害者從Fangxiao賺取了錢並對網釣魚產生了投入，他們將被重定向到廣告公司旗下的一系列網站，包含銷售假冒的禮物卡、騙取使用者的憑證、各種投資詐騙，或者是用來下載惡意程式，受害者最終會進入各種危險的網站。

Fangxiao 是一個以盈利為動機的駭客集團，它會定期增加數百個新網域來保持流量。例如，該組織在 2022 年 10 月的某一天內添加了超過300個新的網域名稱，以躲避追蹤。根據Cyjax 的分析顯示，Fangxiao使用的網域名中，超過 67% 註冊了 .top，14% 以上註冊了 .cn，7.59% 註冊了 .cyou，2.9% 註冊了 .xyz，1.58% 註冊了 .work，1.04% 註冊了 .tech 和5.27% 與其他頂級網域名稱域名，Fangxiao透過89個網域名稱註冊商申請的數萬個網址，多數位於中國。另外，研究人員稱Fangxiao散布這些惡意連結的管道為WhatsApp，但中國禁用WhatsApp，這意味著攻擊是針對中國境外的用戶。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

中國國家級駭客組織APT 15利用BadBazaar和MOONSHINE 間諜軟體，協助中國政府加大監控新疆維吾爾族

Posted on 2022 年 11 月 16 日2023 年 2 月 13 日 by blogadmin

來自資安公司Lookout 的研究員揭露，發現了兩個針對維吾爾族的長期監控活動，活動背後的駭客使用兩個 Android 間諜軟體來監視受害者並竊取敏感資料。這些活動涉及一種名為 BadBazaar 的新惡意軟體，以及Citizen Lab 於 2019 年發現並用於攻擊西藏活動人士的MOONSHINE 監控軟體的新變種。

根據Lookout的報告，針對BadBazaar 的活動調查始於 2021 年底，並基於資安團隊MalwareHunterTeam的研究，揭露駭客的間諜活動以偽裝成維吾爾字典App來監控用戶，研究人員將這些活動歸因於與中國政府支持的駭客組織APT15 （又名 Nickel、 Ke3chang、 Mirage、 Vixen Panda、皇家 APT 和頑皮龍）有關。APT15 至少從 2010 年開始就一直活躍，它針對全球多個行業的目標開展了網路間諜活動，包括國防、高科技、能源、政府、航空航天和製造業。多年來，攻擊者的複雜程度越來越高，他們在攻擊中使用了自訂義惡意軟體和各種漏洞。BadBazaar 活動可追溯自 2018 年底，在此期間，研究人員獲取了 111 個Android的app，並發現都被植入這BadBazzar間諜軟體，這些app偽裝成無害的應用程式，種類涵蓋廣播應用程式、即時通、字典、提醒穆斯林禱告時間，甚至 TikTok等。

值得一提的是， Lookout研究員在 Apple App Store上發現了一個名為“Uyghur Lughat”的字典應用程式，該應用程式與Android應用程式使用的伺服器進行通信，以收集基本的iPhone資訊，此iOS 應用程式仍然可以從在 App Store 下載。研究人員指出，由於BadBazaar變體通常通過從其C2伺服器下載更新來獲取其監視功能，因此駭客可能之後更新具有類似監視功能的 iOS 樣本。

BadBazaar 安裝後具有多項功能，可以收集通話記錄、GPS 位置、SMS 消息和感興趣的文件；記錄電話；拍照；並洩露大量設備元資料。Lookout表示對BadBazaar 基礎設施的進一步分析顯示，與 2020 年 7 月曝光的另一項針對少數民族的間諜軟體操作存在重疊，該操作使用了名為DoubleAgent的 Android 工具集。

另外，自 2022 年 7 月以來，使用 MOONSHINE 的攻擊已經使用了 50 多個惡意應用程式，這些應用程式旨在從受感染的設備中收集個人數據，包含用於通話和麥克風錄音、聯繫人數據收集、設備定位、攝像頭控制以及從後端 wcdb 數據庫檔案收集微信數據的 C2 命令。這些樣本中的大多數是流行社交媒體平台的木馬化版本，如 WhatsApp 或 Telegram，或穆斯林文化應用程式、維吾爾語工具或祈禱應用程式的木馬化版本，Moonshine毫無疑問是一種精心打造且功能齊全的監控工具。

專家表示他們的MOONSHINE樣本是從多個維吾爾語交流群組獲得的，其中一些擁有數百名成員， Lookout 的報告表明，中國APT駭客組織繼續通過維吾爾語社交平台瞄準維吾爾和穆斯林行動設備用戶，儘管國際壓力越來越大，但代表中國政府開展活動的中國網路犯罪分子繼續針對該國的維吾爾族和穆斯林社區發起監視活動。用戶需要警惕通過社交媒體分發的任何應用程式，並避免從第三方應用程式商店下載app。

Moonshine的部分入侵指標(Indicator of compromise -IOCs):

8afe90ebb4666565891fcc33e12fad410996d4d1

ac235440a738938c2218e2608ea229dd3584701b

437f5e0aa400372a6e98de7aca32f6cf916040a0

16125c5ecd29bb1d359fdbbfc127341cafbae6bf

79fb6f43885df2a058a7aa9d60c88db6b44226dd

BadBazaar 的部分入侵指標(Indicator of compromise -IOCs):

64914dd41c052905c561a328654b63f4dc8c5d69

35a5e99e34d9f333a333f55b99b4b3b8ac75a7f6

4e4830857ed294d301494f0a39fc5a4571db879f

7adaa19388e9e2319b0281a15a15f7e80b21c8d7

0db9e300f43d7a500ae53ac76e0b8be50b0d74cc

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

大阪的大型醫院遭到Phobos勒索軟體攻擊，約1300台設備受影響，系統預計最快明年1月恢復

Posted on 2022 年 11 月 11 日2023 年 2 月 13 日 by blogadmin

位於日本大阪市住吉區的大阪急症和綜合醫療中心(大阪急性期・総合医療センター)在10 月 31 日遭到勒索攻擊，醫院管理所必需的核心系統，如電子病歷、藥物處方和會計等，均被加密。醫療業務被迫停止，除停止接收常規門診以及急救服務外，截至11月9日，已取消近80台手術，部分患者已轉移至附近醫院。

根據多家日本媒體報導(NHK、日本經濟新聞等)大阪急症綜合醫療中心在11月7日召開新聞發布會，公佈了當前情況，包括政府派出的專門小組的調查結果。據了解，入侵事件始於與該醫院相連的一家餐飲服務提供商(管理醫院要求的膳食)的伺服器上確認有大量可疑的數據通訊，勒索軟體由該公司與醫院伺服器連接的餐飲系統進行橫向移動，得已散播到醫院一半以上的設備，約1300台被加密，醫院系統出現問題，造成無法查看電子病歷，嚴重影響醫療服務。

目前已知道該餐飲服務商使用了與去年10月遭到LockBit 2.0勒索攻擊的德島縣鶴木市半田醫院同一家公司的VPN(虛擬網路)。據信該VPN軟體已過時並未更新，軟體中存在的漏洞沒有修補，使勒索軟體滲透成功，由於餐飲服務商及醫院收到大量來自Phobos勒索軟體的英文勒索信，證實Phobos正是此次資安事件的元兇。另外，大阪急症綜合醫療中心已向外界表示他們不會支付贖金，目前正在努力恢復系統，系統將在明年一月逐步恢復。

大阪急症綜合醫療中心是一家擁有約900張床位和約1500名員工的大型醫院，此外它還是大阪府唯一的核心災難醫療中心，也是縣內三個先進的重症監護中心之一，這次的資安事件使它暫時無法履行緊急和重症監護中心的角色。

Phobos一種基於Dharma (又名 CrySis) 惡意軟體的勒索軟體，於2019 年初首次出現，主要以遭到入侵的遠端桌面協定 (RDP) 連接傳播到多個系統，攻擊目標為醫療保健提供者，受害者分佈在美國、葡萄牙、巴西、印尼、德國、羅馬尼亞和日本。Phobos要求支付的贖金不高，增加了受害者支付贖金的機會，2021 年 7 月，Phobos 的平均贖金為 54,700 美元。

Phobos 勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

SHA-256

196c144fd6c99f115561e39bc233f56e174ef609625d088578f2cd7b05abad3b

e65778705e388300fd327bf330aa53ba61f139f4fc33e0eec9d062041318700e

e629c768101653789642f9f32a3b480a1fc58484e770a9dec732edf8787a7ba0

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

研究人員發現LockBit成員利用Amadey Bot惡意軟體，部署勒索軟體LockBit3.0

Posted on 2022 年 11 月 9 日2023 年 2 月 13 日 by blogadmin

根據韓國資安公司 AhnLab，已確認攻擊者正在利用 Amadey Bot惡意軟體續進行 LockBit。研究人員表示用於安裝 LockBit 的惡意軟體 Amadey Bot 正在通過兩種方式分發：一種是使用惡意 Word 文檔文件，另一種則是偽裝成 Word 檔案圖示(icon)的可執行檔案，從電子郵件主題來看，攻擊是針對公司的，以工作申請或版權侵權通知作為誘餌，進行網路釣魚。

Amadey Bot於 2018 年首次被發現，是一個殭屍網路資料竊取工具(Infostealer)，可在地下犯罪組織中以 600 美元的價格購買，Amadey的主要功能是從受感染的主機中收集敏感資料，並進一步兼作傳遞下一階段的渠道，如執行網路系統偵察、資料洩露和payloads的載入，今年 7 月初，被發現用於散布 SmokeLoader 惡意軟體。

在10月初，AhnLab的研究人員發現Amadey Bot惡意軟體以KakaoTalk（一種在韓國流行的即時通訊服務）為幌子傳播，作為網路釣魚活動的一部分。

第二個案例發生在 10 月下旬，發現使用帶有名為“Resume.exe”(Amadey Bot) 的檔案的電子郵件附件，該檔案並偽裝成 Word 檔案圖示，誘使收件人打開，兩種分發路徑都會導致使用相同C2網址受Amadey Bot的感染。

AhnLab的最新分析基於 2022 年 10 月 28 日上傳到 VirusTotal 的 Microsoft Word 檔案（“ 심시아.docx ”），該檔案包含一個惡意 VBA 宏，當受害者啟用該宏時，它會運行 PowerShell 命令下載並運行 Amadey Bot。

在另一個攻擊鏈中，Amadey 偽裝成一個看似無害的Word 檔案圖示的文件，但實際上是一個通過網路釣魚傳播的可執行檔案Resume.exe。在成功執行 Amadey Bot後，惡意軟體會從遠端伺服器獲取並啟動其他命令，其中包括 PowerShell (.ps1) 或二進制 (.exe) 格式的 LockBit 勒索軟體。

研究人員總結說，由於 LockBit 勒索軟體正在通過各種方法傳播，用戶在打開附件前務必要格外謹慎，另外竣盟科技也觀察到某台灣上市生技集團於本週被列入LockBit3.0的受害名單中，勒索軟體集團給予7天的協商期限，若談判未果將於11/16發佈盜來的數據，該生技集團為在上海在海外生產基地，並為歐美地區國際性著名化妝品品牌生產製造化妝品，為國際性專業品牌做 O.E.M 或 O.D.M 服務等，目前尚未不淸楚所盜的資料量。

LockBit 3.0，也稱為LockBit Black，於 2022 年 6 月推出，同時推出了一個新的暗網入口網站和第一個針對勒索軟體操作的漏洞賞金計劃，承諾在其網站和軟體中發現漏洞可獲得高達 100 萬美元的獎勵。

LockBit 3.0 的部分入侵指標(Indicator of compromise -IOCs):

MD5

– 13b12238e3a44bcdf89a7686e7179e16: Malicious Word Document (Sia_Sim.docx)

– ae59e82ddd8d9840b79bfddbe4034462: Downloaded malicious VBA macro (v5sqpe.dotm)

– bf4d4f36c34461c6605b42c456fa4492: Downloader LNK (skeml.lnk)

– 56c9c8f181803ece490087ebe053ef72: Amadey (1234.exe)

– bf331800dbb46bb32a8ac89e4543cafa: Amadey (Resume.exe)

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Emotet 殭屍網路重新活躍! 在中斷 4 個月後再次死灰復燃，通過電子郵件傳播惡意軟體

Posted on 2022 年 11 月 4 日2023 年 2 月 13 日 by blogadmin

Key Points:

* Emotet 在中斷 4 個月後再次向全球發送垃圾郵件以尋找新的受害者。

*專家警告應注意附檔的 XLS 檔案以及壓縮和受密碼保護的 XLS，因為這是 Emotet 最常用的方法。

*規避 Microsoft Office 的受保護檢視

Emotet 是一種惡意軟體感染，通過包含惡意 Excel 或 Word檔案的網路釣魚活動傳播。當用戶打開這些檔案並啟用宏時，Emotet DLL 將被下載並載入到內存中。Emotet 不僅搜索和竊取電子郵件以進一步擴大其垃圾郵件活動，甚至投放額外的payloads，例如 Cobalt Strike惡意軟體，從而導致勒索軟體攻擊等事件發生。

Emotet 是迄今為止傳播最廣泛的惡意軟體，Emotet 研究人員Cryptolaemus表示，在美國東部時間 11 月 2 日凌晨 4:00 左右，Emotet 的操作突然再次活躍起來，向全球發送電子郵件地址。根據用戶上傳到VirusTotal的報告，惡意檔案正以各種語言和文件名發送給全球用戶。這些檔案中的大多數都偽裝成發票、掃描檔案、電子表格或其他誘餌。

繞過 Microsoft Office 受保護的檢視

在新的活動中，Emotet活動還引入了一個新的Excel附件範本(Template)，其中包含繞過Microsoft的受保護的檢視(Protected view)。從電子郵件中下載excel附件後，Microsoft 將在檔案中添加特殊的一個特殊的 Mark-of-the-Web (MoTW) 標誌，使用受保護的檢視打開文件可防止執行惡意宏。

Emotet Excel 附件指示用戶將文件複製到名為範本(Template)的受信任檔案夾中，這樣做會繞過受保護的檢視。雖然 Windows 會警告用戶將文件複製到“Template” 檔案夾需要“管理員”權限，但用戶嘗試複製檔案的事實表明他們很有可能也會按下“繼續”按鈕。當附件從“Template” 檔案夾啟動時，它會打開並立即執行下載 Emotet 惡意軟體的宏。

Emotet 惡意軟體作為 DLL 下載到 %UserProfile%\AppData\Local 下的多個隨機命名檔案夾中，如下所示。

下載後，惡意軟體將在後台安靜地運行，同時連接到C2伺服器以獲取進一步的指令或安裝額外的payloads。

Emotet新活動的部分入侵指標(Indicator of compromise -IOCs)

SHA 256

ef2ce641a4e9f270eea626e8e4800b0b97b4a436c40e7af30aeb6f02566b809c

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

中國APT駭客組織使用新的隱形感染鏈部署 LODEINFO惡意程式，加強間諜活動，攻擊日本實體

Posted on 2022 年 11 月 2 日2023 年 2 月 13 日 by blogadmin

據觀察，中國國家級駭客組織 APT 41針對日本實體的攻擊中採用了一種新的隱蔽感染鏈，根據Kaspersky雙份報告(上、下部)，間諜活動的目標包括日本媒體、外交、政府和公共部門組織以及智囊團。

APT 41，也稱為APT10、Bronze Riverside、Stone Panda、 Cicada 和 Potassium，是一個網路間諜組織，以入侵對中國具有戰略意義的組織而聞名，駭客組織至少自 2009 年以來就一直活躍至今。

在 2022 年 3 月至 2022 年 6 月期間觀察到的新一組攻擊涉及使用偽造的 Microsoft Word 檔案和通過網路釣魚電子郵件傳播的 RAR 格式的自解壓檔案，而導致執行名為LODEINFO後門程式的惡意活動。雖然惡意檔案要求用戶啟用宏(Macro)來啟動攻擊鏈，但發現 2022 年 6 月的活動放棄了這種方法，轉而使用 SFX 檔案，該檔案在執行時會顯示無害的誘餌 Word 檔案以隱藏惡意活動。

啟用宏後，將刪除包含兩個檔的ZIP存檔，其中一個（“NRTOLF.exe”）是來自合法K7Security Suite軟體的可執行檔，通過 DLL 側載注入惡意DLL (“K7SysMn1.dll”）。

除了濫用安全應用程式之外，Kaspersky表示還在 2022 年 6 月發現了另一種初始感染方法，其中受密碼保護的 Microsoft Word 檔充當管道，在啟用宏時提供名為 DOWNIISSA 的無檔案下載器，嵌入式的宏生成 DOWNIISSA shellcode 並將其註入當前進程 (WINWORD.exe)

DOWNIISSA 被配置為與寫死的遠端伺服器通信，使用它來檢索 LODEINFO 的加密 BLOB payload，這是一個能夠執行任意 shellcode、截取螢幕截圖並將檔案洩露回伺服器的後門。

該惡意軟體於 2019 年首次出現，經過多次改進，Kaspersky在 2022 年 3 月、4 月、6 月和 9 月確定了六個不同的版本。這些變化包括增強規避技術、停止在具有“en_US”區域設置的機器上執行、修改支援的命令列表以及延伸對 Intel 64位元架構的支援。

研究人員總結說：“LODEINFO 惡意軟體更新非常頻繁，並繼續積極針對日本組織。”

LODEINFO的部分入侵指標(Indicator of compromise -IOCs)

MD5:

c5bdf14982543b71fb419df3b43fbf07

c9d724c2c5ae9653045396deaf7e3417

f7de43a56bbb271f045851b77656d6bd

0fcf90fe2f5165286814ab858d6d4f2a

6780d9241ad4d8de6e78d936fbf5a922

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”