美國一級創傷中心”南內華達大學醫學中心”遭REvil攻擊，數據被盜

Posted on by blogadmin

臭名昭著的REvil勒索軟體在其揭秘網站Happy Blog上又發文，並列出南內華達大學醫學中心(University Medical Center of Southern Nevada, UMCSN) 為其受害者，根據Review Journal報導，REvil在6月28日發布了只有六名人士的內華達州駕照、護照和社會安全卡的截圖，相信現階段駭客仍與UMCSN進行談判，目前也不知道勒索金額。

 6月29日UMCSN在一份聲明承認遭到入侵，確認網路犯罪分子在 6 月中旬非法存取了其系統用於存儲數據的伺服器。UMCSN說，執法部門現在正在調查這起事件，沒有證據表明在攻擊中存取了任何臨床系統，但會通知患者和員工他們的個資可能處於暴露的風險，醫院還將提供“免費身份保護和信用監控服務”。UMCSN表示其IT部門迅速採取行動，入侵僅影響了內部間歇性的電腦登錄問題，但沒有影響患者護理或 UMC 的臨床系統並沒有中斷。聲明更進一步說：“這種類型的攻擊在醫療保健行業變得越來越普遍，世界各地的醫院都遇到了類似的情況。”

南內華達大學醫學中心(UMCSN) 的聲明

聲明並未提及駭客的動機，但專門跟踪勒索軟體的 Emsisoft 安全研究員Brett Callow表示，REvil擅長在鎖定目標組織的系統之前竊取目標組織的數據，然後威脅要在網上發布數據以迫使組織支付贖金。Callow補充說，REvil可能以威脅要發布從整容手術過程中的前後照片等，盡其所能向UMCSN施加壓力。

截至目前仍無法打開官方網站的頁面:

UMCSN是一家非營利性公立醫院，也是內華達州唯一的 1 級創傷中心(Level 1 Trauma Center)。

REvil勒索軟體的情資: 

REvil ransomware Linux version

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

Linux版的REvil勒索軟體，鎖定VMware ESXi虛擬機器

Posted on by blogadmin

隨著企業轉向虛擬機以便更輕鬆地進行備份、設備管理和有效利用資源，同時也有越來越多的勒索軟體組織建立自己的工具來對 VM 使用的存儲進行大規模加密。現在資安研究員發現REvil 勒索軟體操作Linux 加密工具，來攻擊與加密VMware ESXi虛擬機器。

根據資安公司Advanced Intelligence的執行長Vitali Kreme分享了他分析REvil勒索軟體 的Linux變種是如何殺掉VM 的 process:

1. Leverages “esxcli” CLI component to kill VMs via world id

2. affiliate “sub”:”7864″ | usual struct

3. GCC: (Ubuntu 4.8.4-2ubuntu1~14.04.4) 4.8.4

另外AT &T Alien Labs技術總監Jaime Blasco，也分享了Linux 版的REvil勒索軟體的惡意程式特徵規則YARA RULE與Hash值:

FileHash-MD5 ab3229656f73505a3c53f7d2e95efd0e

FileHash-MD5 e199f02ffcf1b1769c8aeb580f627267

FileHash-MD5 96a157e4c0bef22e0cea1299f88d4745

FileHash-MD5 395249d3e6dae1caff6b5b2e1f75bacd

FileHash-SHA256 3d375d0ead2b63168de86ca2649360d9dcff75b3e0ffa2cf1e50816ec92b3b7d

FileHash-SHA256 796800face046765bd79f267c56a6c93ee2800b76d7f38ad96e5acb92599fcd4

FileHash-SHA256 d6762eff16452434ac1acc127f082906cc1ae5b0ff026d0d4fe725711db47763

FileHash-SHA256 ea1872b2835128e3cb49a0bc27e4727ca33c4e6eba1e80422db19b505f965bc4

FileHash-SHA1 446771415864f4916df33aad1aa7e42fa104adee

FileHash-SHA1 45404b862e70a7a1b4db6c73d374b8ac19ddf772

FileHash-SHA1 9586ebc83a1b6949e08820b46faf72ee5b132bca

FileHash-SHA1 29f16c046a344e0d0adfea80d5d7958d6b6b8cfa

看更多Linux版REvil勒索軟體的情資: REvil ransomware Linux version

勒索軟體的另類售後服務，付贖金後，REvil詳述如何入侵！

Posted on by blogadmin

根據Malwarebytes 的資安分析師Mr. Rivero取得的被駭公司(以下稱U公司)與REvil的缐上對話，由於該公司已付贖金，REvil釋出解密工具，U公司可直到7月11日截止時間前享有免費解密工具的使用權，一般來說，就算付了贖金給勒索軟體的駭客團體，他們釋出的解密工具是有時效性的，通常在䆁出的當天至往後的3-4個禮拜有效。如果沒有在時效內完成解密，駭客也不會再延長或給與新的解密功具。

在下圖的案例， 由於U公司的員工在收信過程不慎點擊了帶有惡意病毒的檔案使駭客有機可乘，把病毒payload安裝到受感染的電腦，之後REvil使用工具掃描電腦和所有用戶授權的數據，這授權數據正可用於遠端存取U公司網路。

Photo Credit : Mr. Rivero from Malwarebytes

REvil表示在掃描網路時，發現一個帶有遠端程式碼執行（RCE）弱點的伺服器，並進一步以該RCE來執行payload並收集對伺服器的所有存取權限。接下來，REvil以安全工具從伺服器中轉儲所有可能的密碼，並使用這些密碼收集對其他網路的存取，直到存取網域控制器。REvil植入木馬程式以鍵盤側錄方法式，存取和操控整個 IT 基礎設施。

由於駭客修改了M公司的防毒config，可逃避在IT 網路被檢測到，在收集並存取所有可能的 IT數據後，駭客也找到了連接到M公司其餘分公司的方法，在收集完M公司所有有價值的數據，REvil正式加密M公司的IT 系統。

在這案例中，REvil通過垃圾郵件活動來突破M公司的防禦，進入企業內部網路。透過教育訓練與各種社交工程的演練，提高員工的資安意識真的很重要!

這一兩年以來，REvil勒索軟體的威脅越來越大，台灣企業包括台灣塩野義製藥、宏碁、日月光孫公司Asteelflash Group、廣達紛紛遭到REvil的毒手，

在國外REvil的受害者更是不計其數，包括再生能源公司Invenergy，美國肉類供應巨頭 JBS，印度最大鋼鐵生產商塔塔鋼鐵等

有關REvil勒索軟體的情資:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

*****竣盟科技快報歡迎轉載，但請註明出處

在6名CLOP勒索軟體的嫌犯被捕一周後，CLOP在其揭秘網站上又公佈新的受害公司，這意味著什麼呢?!

Posted on by blogadmin

在上週 6 月 16 日，6名CLOP勒索軟體的幕後駭客被烏克蘭警方拘捕，當時警方表示，他們在烏克蘭首都基輔及其周邊地區對涉嫌駭客的家中和他們的汽車進行了 21 次搜查並扣獲了電腦、手機和伺服器設備、185,000 美元的現金(相信是贖金)及幾輛汽車等。

但今在CLOP揭秘網站CLOP^_-LEAKS上發現新的受害者，表示CLOP仍然活躍，也證明最近被逮捕的駭客不包括核心成員。目前尚不清楚這家新公司是何時遭到CLOP的攻擊，這是否在6名CLOP成員逮捕前已被入侵但直到現在才發布的數據，還是完全是一次新的攻擊。無論是哪種，它都表明CLOP仍然以某種方式活躍。專門跟踪勒索軟體的 Emsisoft 安全研究員Brett Callow表示：“數據已經發布的事實表明，烏克蘭警方的行動沒有涉及CLOP的核心成員，也沒有完全擾亂CLOP的操作。”

CLOP^_-LEAKS上的更新，出現新的受害者

CLOP在上週被捕後，今發布新的受害者和盜竊數據，正如網路安全情報公司Intel 471上週表示，被捕的嫌疑人僅限於CLOP業務的套現和洗錢方面，逮捕並沒有打擊經營犯罪集團的核心。

換句話說，CLOP又重新浮出水面意味著企業與CLOP的鬥爭遠未結束。

CLOP勒索軟體的相關情資:

https://otx.alienvault.com/pulse/5d442cfb09ea006776a81c42

LockBit勒索軟體推出了新的招募會員計劃“LockBit 2.0”，稱其最新的工具StealBit是世上最迅速盜竊數據的神器

Posted on by blogadmin

Key Points:

*最近發生了勒索軟體收山、駭客被逮捕和伺服器遭扣押等事件，估計LockBit2.0的推出可吸引曾使用 DarkSide、CLOP、Avaddon勒索軟體的駭客。

*操作LockBit的駭客推出一項名為LockBit2.0的勒索軟體即服務（Ransomware as a Service , RaaS）計劃， LockBit承諾提供會員世界上最快的加密和數據盜竊工具

在3月中被爆出LockBit勒索軟體含錯誤使其試用版解密工具能任意被使用，可免費解密後，LockBit沉寂一陣子，現重新露臉並立即推出其加強版LockBit2.0，以招募更多新的駭客會員使用其勒索軟體加密更多公司。據相信，LockBit2.0已修復之前Lockbit勒索軟體中的錯誤並加入更強大的Stealer程式“StealBit”， 據 LockBit 的承諾，它可以在不到 20 分鐘內從受感染的系統迅速下載 100 GB 的數據。迅速下載數據對於操作勒索軟體的駭客來說非常重要，因為他們盜竊數據的速度越快，越更大幅度減低被發現和阻擋的機會。竊取數據是當今勒索軟體攻擊的重點，這些數據通常是受害者支付贖金的原因。另外，StealBit同時還支援即時壓縮(Real-time compression)和拖放功能(Drag-and-drop)，並對安全工具保持隱藏。

LockBit提供StealBit對資料下載速度的比較表 Photo Credit: KELA

LockBit的駭客同時在加密也做出了同樣的承諾，聲稱是“世界上最快的加密軟體”，且優於其他的勒索軟體。LockBit表示，會員只需要對核心伺服器建立存取，其餘的工作全由LockBit 2.0一手包辦。

LockBit2.0招募合作夥伴頁面 Photo Credit: KELA

據信LockBit 2.0 計劃的合作夥伴將享有以下功能和特性：

*Tor中的管理員面板

*解密工具功能的自動測試

*阻止可能破壞加密過程的進程啟動

*進階的通訊埠端口掃描

*在聊天室推送通知

*自動清除受感染網路中的日誌

*通過 Wake-on-Lan 自動啟動電腦

*能使用在受害網路中連接的印表機印出需要的文件

*在受害網路中的自動散播

*刪除可用於備份還原的陰影複製

LockBit相關情資:

https://otx.alienvault.com/pulse/5ff7560e8ebcdf1d6e6201f9

Source:

https://twitter.com/Intel_by_KELA/status/1406905385580118017

遭勒索軟體攻擊，多倫多Humber River醫院緊急關閉5000電腦，醫院實施灰色代碼（Code Grey）警示!

Posted on by blogadmin
humber river hospital

加拿大多倫多Humber River醫院的一份聲明中，承認其系統在6月14日凌晨2點左右受到了勒索軟體攻擊，從那時起，醫院一直在 「灰色代碼 」（Code Grey）下運作， Code Grey是在意味著醫院基本服務喪失時所使用的警示。由於醫院工作人員無法存取電子病歷和診斷測試結果，醫院已經取消了各種門診，並在大門前派了工作人員來重新引導患者，聲明說，到目前為止，手術沒有受到影響，急診室仍然開放，但一些救護車將被轉移到其他醫院。

Humber River醫院表示，由於系統不斷更新（最近一次修補是在 6 月 13 日）並受到監控，因此立即發現了零時差攻擊，關閉了 5,000 台電腦和所有 IT 系統，包括患者健康記錄系統。醫院補充說雖然系統關閉阻止了大多數電腦被加密，但一些檔案有被損壞。

Humber River醫院表示，其 IT 部門正在與一家外部第三方資安公司合作，以使其係統恢復正常運行， 5,000 台電腦（其中 800 台是伺服器）將被手動重啟。醫院在6月15日下午的聲明中表示，系統將在接下來的 48 小時內以交錯的方式重新上線，並表示重要的是要知道沒有任何機密資料被洩露，另外醫院也沒有指出是哪個勒索軟體組織所為。

Humber River是一家大型急診醫院，擁有722張床位，每年住院30,000人次，每年接受急診就診135,000人次。每天有近 370 人尋求緊急護理。

烏克蘭與韓國警方的聯合行動，逮捕了6名CLOP勒索軟體的幕後駭客

Posted on by blogadmin

6 月 16 日在烏克蘭和韓國的執法機構聯合行動後，6名與 CLOP勒索軟體有關的嫌疑人已在烏克蘭被拘留。

烏克蘭國家警察和該國網路警察部門證實，在對首都基輔(Kyiv)附近地區的 21 處住宅進行搜查後，並逮捕了 6 名 CLOP勒索軟體組織的嫌疑人，目前還不清楚被告是否為CLOP勒索軟體組織的核心成員，他們被指控對美國和韓國企業的伺服器進行了勒索軟體攻擊。據稱Clop勒索軟體造成了約 5 億美元的總經濟損失。在行動之後，當局報告說他們成功關閉了CLOP用來發動過去攻擊的伺服器。當局補充道：“執法部門設法攜手關閉了用於散播勒索病毒的基礎設施，並封鎖了使其非法獲得的加密貨幣合法化的渠道”。

警方還從CLOP的幕後駭客中沒收了電腦，手機，伺服器，幾輛汽車(包括特斯拉，Lexus和賓士) 以及約 185,000 美元的現金。

據悉，CLOP 發動的攻擊可追溯到2019 年2 月，當時該組織攻擊了四家韓國企業、並加密了810 台內部伺服器和個人電腦。自那以後，CLOP涉及多起臭名昭著的勒索軟體攻擊，其中包括2020 年4 月針對美國製藥巨頭ExecuPharm 的入侵、以及11 月針對韓國電商巨頭E -Land 的攻擊（迫使該零售商關閉了將近一半的門店），韓國警方去年加大了對Clop的調查力度，在本週突襲CLOP駭客時韓國警察也親自到場。在過去的六個月裡，CLOP 一直特別忙於利用檔案傳輸設備(FTA) 中的四個不同的零時差漏洞，用來攻擊使用Accellion FTA的企業，其中包括加拿大飛機製造商龐巴迪Bombardier、Jones Day律師事務所、資安公司Qualys和新加坡電信巨頭Singtel，馬里蘭大學和斯坦福大學等。

目前尚不清楚烏克蘭當局的這項執法行動將在多大程度上影響 CLOP的運作。

網路安全情報公司Intel 471表示，烏克蘭的執法突襲僅限於 CLOP 業務的套現和洗錢方面。“我們認為 CLOP 背後的任何核心參與者都沒有被逮捕，因為他們很可能住在俄羅斯。”

烏克蘭與韓國執法部門突襲Clop的影片

CLOP勒索軟體的相關情資:

https://otx.alienvault.com/pulse/5d442cfb09ea006776a81c42

REvil盜走跨國再生能源公司Invenergy的4 TB數據，當中還包含Invenergy億萬富豪執行長勁爆的資訊

Posted on by blogadmin

REvil在其揭秘網站Happy Blog以標題“奧巴馬的朋友是個骯髒的變態”來介紹再生能源業者Invenergy

總部位於美國的可再生能源公司Invenergy遭到駭攻，該公司在6月11日發布了一份電子郵件聲明給彭博社並證實了這一點。據稱，該公司在其某些系統上檢測到未經授權的活動後，對其網路展開了調查，而勒索軟體REvil的背後駭客也直接在其揭秘網站公佈是他們所作的。

Invenergy 是一家跨國再生能源業者，該公司在美洲、歐洲和亞洲開發、建造、擁有和運營發電和儲能項目。其產品組合包括風能、太陽能和天然氣發電和儲能設施。它是美國六大風力發電廠所有者之一，也是北美最大的私營可再生能源發電公司。

REvil在其Happy Blog以標題“奧巴馬的朋友是個骯髒的變態”來介紹再生能源業者Invenergy

REvil在其揭秘網站Invenergy的頁面，聲稱竊取了大量數據：“我們擁有所有部門的所有資訊。項目、合約、保密協議、退稅、ssn、護照等。”為了迫使Invenergy付贖金，REvil還威脅要洩露有關Invenergy的億萬富豪執行長Michael Polsky的尷尬細節，REvil聲稱掌握了一些隱私與火辣(personal and spicy)的資訊，包含Polsky 的私人信件、有關他與第一任妻子 Maya 離婚的敏感事實以及這位富翁企業家的照片，Invenergy 沒有對這些說法發表任何評論。

據Forbes報導，Polsky在 1976 年以 500 美元從蘇聯烏克蘭移民到美國後，通過建立電力公司積累了 15 億美元的財富。2007 年，一名法官裁定，Maya Polsky 女士應獲得她當時丈夫的一半現金和資產，約 1.8 億美元，這是當時歷史上最昂貴的離婚案之一。

REvil聲稱已準備好與Invenergy進行長期的交涉，最後還在 Invenergy的頁面附上了Polsky上 Forbes封面的照片。

Invenergy 表示其運營並未受到攻擊的影響，沒有數據被加密，並補充說：“Invenergy 尚未支付也不打算支付任何贖金”。

有關REvil勒索軟體的情資:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

*****竣盟科技快報歡迎轉載，但請註明出處。

美國電玩巨擘EA美商藝電遭駭，780GB的遊戲原始碼及除錯工具被竊取

Posted on by blogadmin

EA稱這不是勒索軟體攻擊，未影響業務營運，沒有對玩家的隱私造成任何風險

Photo Credit: BBC

綜合外媒報導大型遊戲商美商藝電（EA）今坦承遭駭，內部資料被竊取，僅稱流失FIFA 國際足盟大賽和遊戲寒霜引擎Frostbite Engine原始碼和相關工具，EA 發言人在一份聲明中告訴外媒，玩家數據並未被存取，我們沒有理由相信玩家隱私存在任何風險。事件發生後，我們已加強安全措施，預計不會對我們的遊戲或業務產生影響，作為正在進行的刑事調查的一部份，我們正積極與執法部門官員和其他專家合作。

在駭客論壇上發現的消息，駭客現在正以 2800 萬美元的價格出售這批EA約780GB的數據和伺服器的存取權限，駭客還聲稱，可提供「充分利用EA所有服務的能力」。

駭客稱從該公司獲取了 780 GB 的數據:

*除錯工具、SDK 和 API 密鑰

*FIFA 21配對匹配伺服器代碼

*FIFA 22 API 密鑰和軟體開發工具包(SDK)和除錯工具

*寒霜引擎Frostbite Engine原始碼和除錯工具

*專有EA遊戲框架

*Microsoft XBOX 和 SONY 私有 SDK 和 API 密鑰

*XB PS 和 EA pfx 和 crt 密鑰

*FIFA 國際足盟大賽原始碼

*EA 玩家用作遊戲貨幣的積分

EA 在全球擁有超過 4.5 億註冊玩家，2020 年的淨收入為 55 億美元。EA其下作品包括《FIFA》、《戰鬥風雲》、《模擬市民》等長賣型作品，自家開發的「寒霜引擎」也用於許多暢銷遊戲製作。

Emsisoft資安公司的專家Brett Callow說，被竊的原始碼，可對EA的業務帶來問題，從理論上講，原始碼可以被其他開發人員複製，或在遊戲中製造外掛。Check Point發言人則說，無論如何原始碼只要外洩都不是好事，駭客可在原始碼中找到更深層的漏洞並加以利用，或將先前的原始碼在暗網上賣給其他惡意威脅行為者。

Source:

https://edition.cnn.com/2021/06/10/tech/electronic-arts-hack/index.html

https://www.theverge.com/2021/6/10/22528003/ea-data-breach-frostbite-fifa-internal-tools-hack

https://www.bbc.com/news/technology-57431987

https://www.bleepingcomputer.com/news/security/hackers-breach-gaming-giant-electronic-arts-steal-game-source-code/

認了！全球肉類供應大廠JBS付1100萬美元的贖金給REvil！

Posted on by blogadmin

全球最大肉類加工巨頭JBS的美國分公司在6月9日一份聲明中，承認支付了支付價值 1100 萬美元(約新台幣3億800萬元)的給駭客。JBS在5月30日遭勒索軟體攻擊，旗下所有美國肉類加工廠一度全線停產，影響整個美國市場約五分之一的肉類供應，除美國之外，澳洲及加拿大的肉類加工場也被迫關閉，6月2日美國聯邦調查局(FBI)將這次攻擊歸咎於 REvil勒索軟體，隔天JBS迅速恢復系統重新上線。

今JBS 美國公司執行長 Andre Nogueira 表示，公司是在大部分工廠恢復運作之後，支付贖金給駭客的，Nogueira說：“對我們公司和我個人而言，這是一個非常艱難的決定。“但是我們認為必須做出這一決定，以防止我們的客戶面臨任何潛在風險。” 該公司表示，支付贖金是為了“減輕與攻擊相關的任何不可預見的問題，並確保沒有數據被洩露”。

JBS 並不是最近第一家向俄羅斯網路犯罪分子支付贖金的企業，上個月Colonial Pipeline 也遭到DarkSide勒索軟體攻擊，並承認向 DarkSide 的背後駭客支付了 440 萬美元的比特幣，6月7日美國司法部宣布成功追回Colonial Pipeline被勒索的多半贖金。

聯邦調查局敦促被駭客攻擊的公司和組織避免支付贖金，指出付贖金不能保證會結束網路攻擊，並表示被駭客勒贖的公司應向治安單位求助。

有關REvil勒索軟體的情資:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff