新一波針對VMware虛擬化平臺的攻擊來勢洶洶，全球約3200臺ESXi伺服器遭勒索軟體鎖定，台灣已有19臺慘遭毒手

Posted on by blogadmin

新一波針對VMware虛擬化平臺的攻擊在全球蔓延，台灣時間2023年2月3日（週五）至4日（週六）左右，針對VMware的ESXi伺服器的勒索攻擊開始，研究人員將此次活動稱為“ESXiArgs”，因為加密檔案副檔名為.args而得名，不到48小時全球有超過3000台機器遭入侵，情況緊急。竣盟科技發布此博客文以作提醒，如果您使用的是ESXi伺服器，我們強烈建議您立即檢查您的環境並關注相關資訊。

根據CERT-FR(法國電腦緊急應變小組)，目標系統被認為是版本 6.x 和 6.7 之前的 ESXi伺服器，駭客的入侵途徑是利用兩年前披露的遠端程式碼執行漏洞CVE-2021-21974，CVE-2021-21974是由 OpenSLP服務中的堆積緩衝溢位（heap-overflow）漏洞，未經身份驗證的攻擊者可以在低複雜性攻擊中利用該漏洞，利用OpenSLP連接埠（427埠）入侵並部署勒索軟體。為防止此類攻擊，系統管理員必須在尚未更新的ESXi 伺服器上禁用服務定位協議 (SLP) 服務， CERT-FR 還強烈建議盡快應用更新並報告說，尚未更新的系統需要以掃描查找入侵跡象。CVE-2021-21974漏洞的修補，已於 2021 年 2 月發布，竣盟科技提醒您盡快更新未修補的伺服器。

CVE-2021-21974 影響以下系統：

ESXi versions 7.x prior to ESXi70U1c-17325551

ESXi versions 6.7.x prior to ESXi670-202102401-SG

ESXi versions 6.5.x prior to ESXi650-202102101-SG

根據BleepingComputer，被入侵的伺服器，ESXi登錄界面會被篡改，伺服器中的數據被加密，勒索軟體在受感染的ESXi伺服器上加密.vmxf、.vmx、.vmdk、.vmsd 和.nvram的檔案，為每個包含元數據（可能需要解密）的加密檔案建立一個.args檔案，並部署名為“ransom.html”和“How to Restore Your Files.html”的勒索信，每張勒索信都顯示不同的比特幣錢包地址，攻擊者要求受害者在被入侵後的三天內付大約 2 個比特幣金額(大約1百40萬台幣)。

暴露在互聯網的ESXi伺服器的登錄畫面被篡改這一事可以用來使用Shodan和Censys搜索引擎來調查受害者人數，查看截至 2023 年 2 月 5 日 遭鎖定的單位數量，可以確認全球有 3195 台被入侵，雖然法國位居榜首，其次是德國、加拿大、美國和荷蘭。按此順序，此波攻擊以歐洲和美國為中心，而在包括台灣及日本在內的亞洲也觀察到了類似事件, 儘管比例相對地很小，台灣仍有19台ESXi伺服器遭入侵，目前尚不清楚誰是勒索軟體活動的幕後黑手。

Photo credit: 資安研究員瀨戶山豐

新加坡SingCERT 在周末的警告中建議道，VMware用戶和管理員評估是否可以在不影響系統正常運行的情況下關閉作為勒索軟體攻擊目標的端口427埠。

ESXiArgs的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

10c3b6b03a9bf105d264a8e7f30dcab0a6c59a414529b0af0a6bd9f1d2984459

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

LockBit的變種LockBit Green出現了，此版本採用了基於Conti勒索軟體的加密程式

Posted on by blogadmin

最近，LockBit勒索軟體集團使用了其他勒索軟體的加密程式，這是繼LockBit Red 和 LockBit Black 之後的最新版本，此版本稱為”LockBit Green”。 據悉，LockBit RaaS 的會員可以使用LockBit portal 上的構建器功能獲得 LockBit Green版本，LockBit Green旨在將基於雲端服務納入其目標，新版本的發布得到了資安研究團隊VX-underground的證實：

VX-underground注意到 LockBit 修改了他們針對ESXI的變種，以繼續將其用作企業網路的入口點，ESXI是VMware開發的一款裸機虛擬化管理程式，用於部署和服務虛擬機。另外，據分析新版本的研究人員CyberGeeksTech稱，通過對樣本進行逆向工程，發現100% 的LockBit Green是基於Conti勒索軟體外洩的原始碼，但令人困惑的是，LockBit已經擁有屬於自己的加密程式，卻還要選擇基於Conti 建立的有效負載，是否為了於降低開發成本和時間，從而使LockBit RaaS運營商能夠最大限度地提高發布速度以吸引新的會員?!

根據資安公司PRODAFT分享了他們發現的四個 LockBit Green 樣本的 MD5 哈希值和包括可以檢測新變種的 Yara rules，發現LockBit Green使用與以前的 Conti 加密程式相同的命令行參數，並可以確認勒索信已修改為LockBit 3.0的樣式，而不是Conti 的格式。PRODAFT進一步指出，目前至少有5名受害者受到了LockBit Green變種的攻擊，當中包括英國軟體公司ION Trading UK，導致處理清算衍生品的伺服器癱瘓，2023 年 1 月 31 日，ION Trading UK在一份聲明中披露了這一事件，稱其影響了 ION Markets 的一個部門 ION Cleared Derivatives。這次攻擊迫使該公司的美國和歐洲的42 家大客戶轉向手動處理交易，造成嚴重延誤。

LockBit Green的勒索信

值得指出的是LockBit Green 變種使用隨機的副檔名，而不是標準的 .lockbit的副檔名。另外，PRODAFT觀察到Conti勒索軟體集團前會員特別在LockBit Green發布後，呈向使用此版本的LockBit勒索軟體，很有可能是LockBit是基於Conti的變種，使前成員們在使用更如魚得水。

有關LockBit Green的部分入侵指標(Indicator of compromise -IOCs):

MD5:

ea34ac6bf9e8a70bec84e37afeea458a

aacef4e2151c264dc30963823bd3bb17

37355f4fd63e7abd89bdc841ed98229f

730f72a73ff216d15473d2789818f00c

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

國際驗船機構「挪威船級社」 遭勒索軟體攻擊，1,000 艘船受到波及

Posted on by blogadmin
Photo Credit: SecurityAffairs

大約1千艘船使用挪威般級社(DNV)的海事航運軟體ShipManager，因DNV遭到勒索軟體攻擊而受到影響。據悉，ShipManager一種船舶管理、運營和船舶設計的軟體，平台包含的模組可讓客戶深入了解船舶管理數據的技術、運營和合規性方面，包括計劃維護系統 (PMS)、航運採購、船舶安全管理系統 (QHSE)、船員管理系統、船體完整性管理、船舶維修及航運數據分析等。總部位於挪威奧斯陸的 DNV（世界上最大的海事組織之一）表示，它在 1 月 7 日晚上遭到勒索軟體攻擊，被迫關閉與其 ShipManager 系統相連的 IT伺服器。DNV在一份聲明中表示，每天都與受影響的70 名客戶保持著密切聯繫，向他們更新正在進行的鑑識調查的結果，到目前為止共約有 1000 艘船隻受到影響。但DNV進一步說，所有用戶仍然可以使用 ShipManager軟體的onbroad和offline功能，沒有跡象表明 DNV 的任何其他軟體或數據受到影響。為了實施恢復計劃並調查攻擊背後的駭客，並試圖盡快讓 ShipManager恢復，表示正在與挪威警方和第三方 IT公司合作應對這一事件，目前DNV仍沒有公佈勒索軟體名字。

到目前為止，DNV稱只有岸上系統而非船上系統受到網路攻擊的影響，但專家警告說，隨著頻寬的改進使陸上系統與導航和其他船載系統之間的相互依賴性加強，這種情況可能會發生變化。

DNV 是世界上最大的船級社之一，負責管理船舶和海上結構物建造和運營的技術認證，這家挪威公司為 13,175 艘船和行動海上裝置 (mobile offshore units)提供服務，DNV在任何船的整個生命週期內提供解決方案和服務，從設計和工程到風險評估和船舶管理， 2021年收入超過 20 億美元。

對 DNV 的攻擊是影響航運業的最新事件，兩週前，里斯本(Lisbon)港口成為 LockBit 勒索軟體組織的目標。2022年2 月西歐石油港口碼頭遭受BlackCat勒索軟體入侵，至少攻擊了17個港口的石油港口碼頭軟體，改變了油輪的路線並嚴重擾亂了供應鏈。11 月，美國國土安全部長Alejandro Mayorkas告訴國會，美國港口面臨的最大威脅是網路攻擊。

“我們正在提高我們港口運營的技術水平，這就是為什麼不僅海關和邊境保護局關注網路安全，美國海岸警衛隊也是如此，關於我們的港口，我認為網路安全是一個重大威脅，我們當然非常專注於防禦它並加強我們的網路安全。” Mayorkas說。

常見船舶發生網路漏洞的原因：

過時和不受支援的操作系統

未修補的系統軟體

過時或缺乏防毒軟體和惡意軟體的防護

不安全的船上電腦網路

關鍵基礎設施與岸邊持續連接

對第三方（包括承包商和服務提供商）的存取控制不足

網路風險方面培訓不足和/或缺乏技術熟練的員工

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

英國皇家郵政遭網路攻擊，導致國際郵寄嚴重受阻，幕後黑手疑是LockBit勒索軟體

Posted on by blogadmin

英國皇家郵政公司（Royal Mail）1月11日指出，系統遭網路攻擊導致其服務嚴重中斷，迫使皇家郵政停止了其國際出口服務，該公司週三表示，暫時無法寄送出口物品，並警告稱運往國際目的地的信件和包裹會出現延誤。皇家郵政沒有提供有關網路攻擊的其他細節，目前尚不清楚皇家郵政的哪些數據遭到破壞以及服務將受到影響多長的時間，但他們表示正與外部專家合作調查事件，並已通知英國監管機構。根據英國每日電訊報(The Telegraph)，這起事件很有大可能源自LockBit勒索軟體的操作或至少是使用它們的加密產生器 (Builder)。據悉，勒索軟體攻擊加密了用於國際運輸的設備，並導致用於海關備案的印表機上不斷印列勒索信。這是 LockBit 3.0 勒索軟體中的一項內置功能，可在網路印表機上重複地列印勒索信，從而引起受害公司的混亂。根據BleepingComputer看到的勒索信，可以確認勒索信上包含了指向LockBit揭秘網站的 Tor網址及登錄聊天室所需的Decryption ID。

Photo Credit: BleepingComputer

1月13日，皇家郵政發言人拒絕評論這次攻擊是否是勒索軟體，但一再警告客戶，投遞中斷的情況還沒有結束，該公司仍然無法向海外發送信件和包裹，表示正在努力解決這個問題。另外，進入英國的郵件也有輕微延誤，但國內遞送不受影響。

值得一提的是，資安研究團隊VX-Underground今天在Twitter表示，LockBit否認對皇家郵政的攻擊負責。鑑於LockBit勒索軟體產生器的程式曾被外洩，是不是其他駭客使用外流的程式發動攻擊，或是LockBit正在說謊，目前仍無法下定論，此資安事件值得我們繼續關注下去。

LockBit勒索軟體集團被廣泛認為總部位於俄羅斯，是世界上最多產的勒索軟體之一，自大約三年前首次出現以來，已針對數百個組織發起攻擊。資安公司 Emsisoft 的威脅分析師 Brett Callow 表示，LockBit的贖金要求是基於每個受害者的支付能力，可能從數萬美元到數百萬美元不等。他表示，皇家郵政的贖金不太可能低於 100 萬美元。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

美國CISA 下令聯邦機構修補被勒索軟體集團濫用的Exchange 伺服器漏洞

Posted on by blogadmin

美國網路安全暨基礎設施安全局（CISA）在1月10日在其已知濫用資安漏洞(Known Exploited Vulnerabilities)清單中又增加了兩個漏洞。

第一個漏洞為CVE-2022-41080， 屬於Exchange伺服器特權提升的漏洞，可與ProxyNotShell漏洞(CVE-2022-41082)連結起來實現遠端執行任意程式碼。根據總部位於德州的雲端服務業者 Rackspace一周前的證實，Play軟體集團利用它作為零時差漏洞來繞過Microsoft的ProxyNotShell URL 重寫緩解措施從而濫用網頁版郵件管理介面Outlook Web Access（OWA）來遠端執行任意程式碼來攻擊Exchange。資安公司CrowdStrike 將此漏洞利用手法稱為“OWASSRF”，在成功入侵後，駭客便利用遠端存取工具Plink、AnyDesk來維持存取，並在Exchange伺服器上執行反取證技術以試圖隱藏他們的擊行動，這可使其他網路犯罪分子更容易建立自己自訂義的漏洞利用程式或根據自己的目的調整 Play 勒索軟體的工具，從而增加了盡快更新和修補漏洞的緊迫性。

CISA建議擁有落地Exchange 伺服器的組織立即部署最新的 Exchange 安全更新或禁用網頁版郵件管理介面(OWA)，直到他們可以應用 CVE-2022-41080 修補。

CISA 新增到其已知濫用資安漏洞清單中的第二個漏洞是Windows 進階本機程序呼叫（Advanced Local Procedure Call，ALPC）中的特權升級時差漏洞 ( CVE-2023-21674 )，被標記為已在攻擊中被利用，微軟在本月安全更新Patch Tuesday釋出修補，CISA下令聯邦機構必須在 1 月底之前完成修補。CISA 於 2021 年 11 月發布具有約束性作業指引:降低已知被開採漏洞的重大風險(Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities)，為了聯邦民事執行機構 (Federal Civilian Executive Branch) 的網路免受添加已知濫用資安漏洞的侵害，可約束其在特定時間內完成修補。此次CISA給予 FCEB 機構三週的時間，直到 1 月 31 日，以修補這兩個安全漏洞並阻止針對其系統的潛在攻擊。CISA 警告說“這些類型的漏洞是惡意網路參與者的常見攻擊媒介，並對聯邦企業構成重大風險。

雖然該指令僅適用於美國聯邦機構，但 CISA 還強烈敦促所有組織修補這些漏洞以避免受到攻擊。自 BOD 22-01 指令發布以來，CISA 在其被在其已知濫用資安漏洞清單中增加了 800 多個安全漏洞，要求聯邦機構以更緊迫的時間表解決這些漏洞，以防止潛在的安全漏洞。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Fortinet 和 Zoho 敦促用戶儘快修補它們產品中的漏洞

Posted on by blogadmin
Photo Credit: The Hacker News

Fortinet 警告稱其產品的 FortiADC 應用程式交付控制器存在嚴重漏洞影響並多個版本，該漏洞編號為CVE-2022-39947，位於FortiADC web接口中，漏洞可導致任意程式碼執行。Fortinet在公告中表示，FortiADC操作系統命令漏洞中使用的特殊元素的不當中和可允許經過身份驗證的攻擊者存取 Web 界面以通過特製的 HTTP 請求執行未經授權的程式碼或命令，此漏洞的CVSS風險評分高達8.6，屬於高度風險。

Fortinet提到該漏洞由其內部產品安全團隊發現，並公布影響以下版本:

FortiADC 版本 7.0.0 到 7.0.1

FortiADC 版本 6.2.0 到 6.2.3

FortiADC 版本 5.4.0 到 5.4.5

FortiADC 所有版本 6.1

FortiADC 所有版本 6.0

官方已發布更新版本:

建議用戶將FortiADC版本6.0, 6.1 , 6.2.0 到 6.2.3升級到6.2.4或7.0.0 到 7.0.1升級到7.0.2以上版本；

另外，也即將推出的FortiADC 5.4.6 或以上版本以應對受影響的5.4.0 到 5.4.5版本

Fortinet在 1 月還發布了FortiTester 中的多個風險命令注入漏洞的修補，這些漏洞被統稱為CVE-2022-35845（CVSS風險評分高達7.6），這些漏洞可允許經過身份驗證的攻擊者在底層 shell 中執行任意命令，攻擊者可利用漏洞要求認證。據 Fortinet 稱，受影響的FortiTester 版本2.xx、3.xx、4.xx、7.x 和7.1.0，已在發布 FortiTester 版本 3.9.2、4.2.1、7.1.1 和 7.2.0時得到解決。

此外，Zoho本周也發布了一份安全公告，呼籲其用戶立即修補影響其三款ManageEngine產品( ManageEngine Password Manager Pro、PAM360 和 Access Manager Plus) 的SQL injection 高風險漏洞，漏洞編號為CVE-2022-47523，可授予攻擊者未經身份驗證的後端資料庫存取權限，並讓他們執行自訂義查詢以獲得對資料庫表中的條目的存取權限。據 Zoho稱，漏洞已通過添加適當的驗證和轉義特殊字符得到解決，強烈建議用戶立即升級到最新版本的 PAM360、Password Manager Pro 和 Access Manager Plus即Password Manager Pro 的12210版本、PAM360 版本 5801 和 Access Manager Plus的 4309 版本。

以上這兩家公司並未提到這些漏洞已遭利用。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

LockBit為攻擊加拿大Sickkids醫院道歉，首次釋出免費解密工具，專家稱醫院仍需數月完全恢復系統

Posted on by blogadmin

臭名昭著的LockBit勒索軟體集團，在承認其會員(Affiliate) 之一是加拿大最大兒科醫院(Sickkids) 網路攻擊的幕後黑手後，罕見地道歉並免費釋出解密工具給與受害醫院。12 月 18 日，多倫多病童醫院 (SickKids ) 遭到勒索軟體攻擊，導致該機構無法存取其許多關鍵系統，該事件影響了醫院內部系統、醫院電話線路和網站。雖然這次攻擊只加密了幾個系統，但 SickKids表示，該事件導致實驗室和影像系統的接收延遲，導致患者等待時間的增加，該醫院同時發出了灰色代碼（Code Grey）警示。截至 12 月 29 日，SickKids說它已重新恢復近 50% 的優先系統(Priority system)，包括那些導致診斷和治療延誤的系統。12 月 31 日，LockBit 勒索軟體集團在其揭秘網站發出道歉聲明，LockBit 為這次攻擊道歉並發布了解密工具，LockBit道，“我們對加拿大Sickkids醫院的攻擊正式道歉，並免費提供解密工具，攻擊這家醫院的會員違反了我們的規定，已被封鎖，不能再加入我們的會員聯盟中。”

LockBit為Sickkids醫院提供解密工具
LockBit向Sickkids醫院道歉，SickKids 是多倫多的一家教學和研究醫院，專注於為患病兒童提供醫療保健。

根據Bleeping Computer的及報導，解密工具明顯地只適用於Linux/VMware ESXi系統，不支援 Windows，這表明 LockBit的會員只加密了醫院網路上的虛擬機。Sickkids在 1 月 1日表示，在獲悉勒索軟體組織在網上發布的聲明，其中包括提供免費解密工具以恢復受網路攻擊事件影響的系統，已聘請第三方專家來驗證和評估解密工具，並補充說他們沒有支付任何贖金。目前尚不清楚，為什麼 LockBit花了將近兩週的時間才向 SickKids 提供免費解密，值得注意的是，在過去LockBit也曾針對醫院發動攻擊但並沒有釋出解密工具的紀錄，。例如，在2022年8 月，LockBit向法國醫院 Centre Hospitalier Sud Francilien勒索1000萬美元的贖金在醫院拒付後和最終外洩患者數據。2022年6 月，日本德島縣鳴門市醫院遭LockBit入侵，導致電子病歷無法存取。

Lockbit勒索軟體集團以勒索軟體即服務(Ransomware as a service，RaaS) 的操作來運營，負責建立及維護勒索軟體、加密工具和網站，其會員負責入侵受害者的網路、竊取數據和加密設備，該集團從所有贖金中抽取 20%作為報酬，其餘80%則交給會員。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

北韓APT駭客利用網路釣魚，攻擊了近900百南韓名外交政策專家

Posted on by blogadmin

Key Points:

*南韓當局表示，這些攻擊誘使一些受害者登錄虛假網站，將他們的登錄詳細資料暴露給攻擊者

*南韓國家情報局認為，自 2017 年以來，北韓在全球竊取了約360億台幣的加密貨幣

南韓國家警察廳報告稱，北韓對南韓至少 892 名外交政策專家進行了網路攻擊，目標是他們的個人資料與電子郵件清單，並對在線上商城進行勒索軟體攻擊。據南華早報報導，這些攻擊始於 4 月，主要針對智庫專家和教授。駭客從多個假冒名人的帳戶，發送網路釣魚電子郵件，其中包括五月時遭冒用的南韓執政黨國民力量國會議員太永浩辦公室秘書，以及十月南韓培訓涉外人員的國立外交院一名官員，這些電郵通常包括一個假網站的連結，或帶有病毒的附件，開啟後便發動攻擊。該機構表示在 892 名目標中，有 49 人最終存取了假網站並登錄，允許駭客滲透和監控他們的電郵帳號並下載數據。南韓警方表示，北韓駭客在 26 個國家/地區使用了 326 台代理伺服器，並清洗了他們的 IP 位址，使其難以在線追踪。

除了外交政策專家外，據信還攻擊了存在網路安全漏洞的購物網站，13家公司使用的19台伺服器遭加密，今年也是南韓首次發現北韓駭客使用勒索軟體。據報導，其中兩家公司向該組織支付了價值 250 萬韓元（約合台幣六萬五千元）的比特幣作為贖金，警方懷疑這些駭客與2014年攻擊南韓水電與核電公司的幕後黑手Kimsuky同個組織。當局指出攻擊的來源IP 位址、駭客使用外國網站誘騙目標、代理伺服器的滲透及管理，使用北韓用語，以及針對外交、兩韓統一、國安與國防專家攻擊等事實，有理由相信是北韓駭客組織Kimsuky所為。

國家情報院 (NIS) 還預測包含的網路攻擊將在明年繼續，國家反網路恐怖情報院副院長Lee Gyu-bong預測 2023 年該國網路安全面臨的潛在威脅，包含來自和中國等國家級的駭客組織將繼續攻擊南韓，以竊取南韓與網路安全相關的技術如核能業、太空、半導體、國防以及與美國針對北韓的聯合戰略。

此外，Lee Gyu-bong還指出，北韓有可能使用deepfakes 在網上製作和傳播虛假視頻，就像烏克蘭總統澤倫斯基向俄羅斯投降的虛假視頻中的那樣，北韓駭客將以deepfakes視頻作為反對的南韓宣傳，副院長認為總統和部長的智慧手機、電腦和其他個人設備也是這些駭客攻擊的主要目標。Lee Gyu-bong說，北韓駭客受過訓練，擁有世界一流的能力來滲透數位貨幣等虛擬資產。他稱北韓自 2017 年以來在全球竊取了約 1.5兆韓元（約360億台幣）的加密貨幣，其中有1,000多億韓元（約25億台幣）來自南韓。

Kimsuky(也稱為Black Banshee、Thallium 和Velvet Chollima)為北韓政府資助進階持續威脅(Advanced Persistent Threat, APT)組織，自2012年活躍至今，擅長採用社交工程攻擊、魚叉式釣魚郵件攻擊及水坑攻擊(Watering hole attack)。 2020年美國網路安全和基礎設施安全局(CISA)發布針對Kimsuky的警報，稱Kimsuky長期以全球實體為目標，是為北韓政權從事全球情報蒐集任務的組織，側重於與朝鮮半島有關的外交政策和國家安全問題上的情報蒐集活動。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

研究發現PLAY勒索軟體利用新的手法，來繞過Exchange伺服器上ProxyNotShell的緩解措施

Posted on by blogadmin

根據 CrowdStrike 的最新研究，PLAY勒索軟體正在使用一種新的利用方法來繞過 Microsoft 的 ProxyNotShell 緩解措施並獲得對 Exchange伺服器的初期存取權限。ProxyNotShell 包含兩個 Microsoft Exchange Server 漏洞，這些漏洞在 9 月公開披露之前已被廣泛利用。攻擊者將一個伺服器端請求偽造 (SSRF) 漏洞（編號為 CVE- 2022-41040）和一個來遠端執行任意程式碼（編號為 CVE-2022-41802）連結在一起，以獲取對用戶系統的存取權限。雖然 Microsoft 發布了 Autodiscover 端點的 URL 重寫緩解措施以回應 ProxyNotShell，但PLAY勒索軟體攻擊者找到了解決方法，可使Exchange 伺服器處於另一波潛在重大攻擊浪潮的中。

CrowdStrike 將 ProxyNotShell 漏洞利用鏈與它發現的PLAY駭客團體使用的新漏洞利用方法進行了比較

CrowdStrike在周二的Blog文章中詳細介紹了企業將面臨的新風險，並指出PLAY勒索軟體背後的駭客團體如何利用 CVE-2022-41080 和 ProxyNotShell 漏洞之一CVE-2022-41082，濫用網頁版郵件管理介面(Outlook Web Access -OWA) 實現遠端執行任意程式碼，CrowdStrike 將此漏洞利用方法稱為“OWASSRF”，根據 CrowdStrike 最近對數個 PLAY勒索軟體入侵的調查，其中共同的入口向量被確認為 Microsoft Exchange伺服器上。駭客通過這種新的手法OWASSRF進行初期存取後，駭客便利用合法的遠端存取工具Plink 和 AnyDesk 可執行檔案來維持存取，並在Exchange伺服器上執行反取證技術以試圖隱藏他們的擊行動。

Microsoft 的漏洞指南將 CVE-2022-41080 歸類為Exchange伺服器特權提升漏洞，屬於攻擊複雜性低且無需與用戶互動。由於 CVE-2022-41080 與 CVE-2022-41040 具有相同的CVSS評級，並且被 Microsoft 標記為有可能被利用，因此 CrowdStrike 評估該新技術很可能與該漏洞有關。

隨後，CrowdStrike 確認 CVE-2022-41080 並未被利用來獲得初期存取權限，而是與 ProxyNotShell 漏洞結合以繞過 Microsoft 的緩解措施。新的利用方法繞過了微軟為回應ProxyNotShell 而提供的自動發現端點的URL 重寫緩解措施，這是一種新穎的、以前未記錄的方式，可以通過OWA 前端端點存取PowerShell 遠端服務，而不是利用自動發現端點。

另一家資安公司Rapid 7，在周三發布的一篇博客文章中表示，已經觀察到通過上述OWASSRF漏洞利用鏈獲得遠端執行Exchange伺服器的入侵數量有所增加， Rapid7 敦促用戶立即安裝最新的 Exchange 更新，並警告他們不要依賴 Microsoft 重寫緩解措施，僅使用 Microsoft 緩解措施的伺服器確實容易受到攻擊，並指出已修補的伺服器不容易受到攻擊。此外，在測試已修補和未修補的系統後，CrowdStrike 敦促組織應為 Exchange 系統安裝名為 KB5019758 的修補程式，以防止被利用。如果組織無法立即修補，建議完全禁用網頁版郵件管理介面(OWA)。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

德國連鎖酒店H-Hotels遭PLAY勒索攻擊，通訊中斷，無法接收訂單及回覆客戶郵件；出現第二家遭PLAY攻擊的上市企業，新竹無晶圓廠IC供應商疑中招

Posted on by blogadmin

德國連鎖酒店 H-Hotels披露了在12月11日發生的網路攻擊，導致其通訊中斷的事件；值得一提，PLAY勒索軟體集團已聲稱這次攻擊出自其手，並在其Tor揭秘網站PLAY NEWS上聲稱竊取了H-Hotels的數據，包括個人數據、客戶文件、護照、身份證等，然而PLAY尚未發布任何樣本來支持這說法，H-Hotels稱無法驗證PLAY勒索軟體集團聲稱擁有這些資料的準確性。H-Hotels 是一家知名酒店集團，在德國、奧地利和瑞士的 50 個地點經營著 60 家酒店，共有 9,600 間客房。這家連鎖酒店擁有 2,500 名員工，是德奧瑞三個國家最大的連鎖酒店之一，營運著以H-Hotels的名義以及子品牌 Hyperion、H4 Hotels、H2 Hotels、H + Hotels、H.ostels和H.omes的酒店。

根據H-Hotels內部和外部 IT 專家的初步調查結果，駭客在其專業攻擊的下設法繞過了酒店的多層的技術防護和IT保護系統，為應對此次攻擊，酒店立即關閉IT系統並與互聯網斷開連接，以防止進一步擴散，確保集團旗下個別酒店的持續運營，並照常接受酒店預訂， 但目前無法或不能及時回答通過電郵進行的查詢，建議客戶通過電話聯繫所需或已經預訂的酒店。H-Hotels 已將此攻擊事件通報德國調查機構，並正在與一家 IT 取證公司合作，以盡快恢復其係統。該公司還表示，它正在採取措施確保在未來能夠充分保護自己免受類似的網絡攻擊。

繼11月底，台灣上市顯卡大廠遭PLAY入侵後，上禮拜五(12/16)也傳出興櫃半導體，遭PLAY列為受害者的消息。同樣地，PLAY聲稱已盜取該IC設計大廠的數據但未提供任何的資料樣本。

PLAY是一支新型的勒索軟體，在6月份浮出水面，以簡潔的勒索信引人關注，勒索信不含任何說明，只留下:

  1. PLAY的字眼
  2. 電郵地址

提供極少的資訊給與受害組織，並且不會公開勒索的贖金，使其添加了神秘的色彩，然而資安研究員Dominic Alvieri 證實PLAY使用與伊朗APT駭客活動的相同IP (104.21.43(.)80) ，PLAY是否真的源於伊朗國家駭客仍有待進一步的觀察。

有關PLAY勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”