Maximus 已在截至 6 月 30 日的季度中預留了 1500 萬美元的費用，用於支付此次安全事件估計的所需調查和補救費用的成本，例如信用監控和身份恢復服務

一家為醫療補助、醫療保險、美國學生貸款服務商和其他政府項目提供服務的 IT 公司Maximus證實，駭客利用其MFT檔案共享系統MOVEit Transfer獲取了多達1000 萬人的個資。Maximus已向美國證券交易委員會 (SEC)通報並提交的監管備案。Maximus 表示，它使用的 MOVEit系統用於內部和外部檔案共享目的，包括與參與各種政府活動的個人及政府客戶共享數據程式，公司正在就此次網路安全事件配合執法部門，Maximus 在外部法律、取證和數據分析專家的協助下立即開始對此事件進行調查，並採取了補救措施來解決所報告的漏洞，但認為少 800 至 1100 萬人的個人資料，包括社會安全號碼、受保護的健康資料和/或其他個人資料遭存取，Maximus 表示，它正在向客戶以及聯邦和州監管機構通報這一事件，然後再開始向受影響的人發送通知。受影響的人將獲得免費的信用監控和身份恢復服務，具體時間未公開。

該事件預計將給該公司造成 1500 萬美元的損失，但Maximus指出調查仍在進行中，並將持續數週以上。Maximus 擁有超過 34,000 名員工，年收入超過 30 億美元，Maximus 與聯邦、州和地方政府簽訂合同，負責管理和管理政府資助的項目，例如醫療補助、醫療保險、醫療改革和工作福利，它還積極參與新冠肺炎 (COVID-19) 大流行期間的福利轉工作計劃以及政府記錄跟踪。

據網路安全公司Emsisoft的威脅分析師Brett Callow統計，至少 514 個組織受到 MOVEit 事件的影響，包括 97 所美國學校。近日Clop 勒索軟體在其揭秘網站上添加了數十家新公司、大學和組織，其包括中德勤(Deloitte)和豐田，根據Recorded Future News，德勤的一位發言人稱，他們沒有看到客戶數據受到影響的證據。該發言人表示，在意識到這個零日漏洞後，德勤立即應用了供應商的安全更新，並根據供應商的指導採取了緩解措施，並進一步說根據他們的分析，他們的全球網路對易受攻擊的 MOVEit Transfer 軟體的使用是有限的，然而該發言人沒有回答有關此次洩露涉及哪些資料以及員工數據是否被存取的問題。總部位於倫敦的德勤是全球收入規模最大的專業服務網路，也是繼普華永道(PwC)和安永(EY)被證實受到 Clop 勒索軟體組織攻擊之後的第三家受到檔案傳輸軟體利用影響的會計巨頭。

另外根據Recorded Future News，豐田紡織集團 (Toyota Group of Companies) 的成員公司豐田紡織 (Toyota Boshoku Corporation) 週三也(7/26)被添加到 Clop 的名單中，並在 6 月 10 日發布的一份聲明中確認其受到了影響。該公司表示，駭客存取了其歐洲子公司豐田紡織歐洲公司的數據，他們沒有透露哪些數據被存取。

MOVEit 漏洞

MOVEit 漏洞是 MOVEit Transfer 軟體中發現的一個嚴重安全漏洞，該軟體是 Progress Software 開發的託管文件傳輸 (MFT) 解決方案。該漏洞允許攻擊者在 MOVEit Transfer伺服器上執行任意 SQL 命令，從而竊取數據、安裝惡意軟體或控制伺服器。

該漏洞於 2023 年 5 月首次披露，Progress Software 於 6 月 1 日發布了修補來解決該漏洞。然而，當時該漏洞已被 CL0P 勒索軟體組織利用，針對全球數百個組織進行攻擊。此後，漏洞搜尋者發現了其他漏洞並向 Progress 報告，截至 7 月 5 日，漏洞總數達到 6 個，所有這些漏洞均已得到修復。截至 2023 年 7 月，估計有超過 500 個組織成為 MOVEit 攻擊的目標。這些組織包括政府機構、金融機構、醫療保健提供者和科技公司。這些攻擊導致數百萬份個人和財務記錄被盜，並導致關鍵業務運營中斷。

MOVEit 漏洞嚴重提醒我們保持軟體更新最新安全修補的重要性，使用 MOVEit Transfer 的組織應立即應用 Progress Software 發布的修補，以保護自己免受攻擊。

該事件外洩了一個313KB檔案，內含約5,600名註冊用戶的姓名和電子郵件地址的資料，當中包括美國、德國和台灣等國家情報機構的員工個資也遭殃

7月18日，據奧地利報紙《Der Standard》和德國新聞雜誌《Der Spiegel》的報導，Google旗下線上掃毒服務VirusTotal平台意外洩露了全球數百名國防和情報機構工作人員的姓名和電子郵件地址。其中包括美國司法部、國家安全局、聯邦調查局等機構的員工。

VirusTotal是世界各地網路安全專家廣泛地使用的工具，以其充當龐大的惡意軟體資料庫。VirusTotal一個惡意檔案分析的網站，可以上傳檔案、或丟入網址裡面，平台包含50家以上的掃毒軟體引擎去判斷是不是惡意軟體。然而，其用戶不僅限於安全專家，該平台還受到駭客和情報機構的青睞。

據了解，外洩的檔案雖然很小，僅有的313KB，但包含個資。外媒《Der Standard》和《Der Spiegel》分別驗證了該清單的真實性。確認名單中有20個與美國網路司令部(Cyber Command)相關的帳號，該司令部是美國軍方負責進攻性和防禦性駭客行動的一部分。據報導名單中的其他著名實體包括美國司法部、聯邦調查局 (FBI) 和國家安全局 (NSA)五角大樓、和美國一些軍事部門有聯繫的個人；其他國家如荷蘭及台灣等國家的情報機構等也榜上名，另外英國十幾名國防部人員的姓名，以及英國國家網路安全中心（GCHQ 的一部分）CERT-UK部門工作人員的電子郵件，以及在內閣辦公室、核退役管理局和養老金監管等機構工作的專家的電子郵件地。在奧地利，受影響的組織是聯邦國防部和內政部。名單還包括三名來自德國聯邦資料安全辦公室（BSI）的員工，以及德國鐵路公司的大約 30 名員工，德國央行和寶馬、戴姆勒集團、安聯集團和德國電信等多家德國公司的員工資料也包括在內。雖然帳碼密碼沒有被外洩，但此事件暴露了IT及資安人員的身份。這種暴露可能會導致針對特定個人的攻擊，估計此次的資料外洩事件，可為日後社交工程和有針對性的網路釣魚攻擊等惡意活動提供了機會。

Google的回應

此外，VirusTotal的所有者Google對此事件做出了回應，報導中引述了Google Cloud發言人的回覆，事件是因VirusTotal 的一名員工無意中讓一小部分客戶數據可供存取而引起，發言人補充說，在上傳後一小時內從平台上刪除了該清單，並將努力加強內部流程和技術控制，以防止將來發生類似事件。儘管Google在數據安全方面的具有優良的聲譽，然而此次個資外洩事件引起了人們的關注，即VirusTotal可能會無意中成為關鍵資料外洩的來源，也突顯了使用此類平台的風險。

微軟披露，一個名為Storm-0558的中國駭客組織，通過利用其雲端中的漏洞獲得了聯邦政府電子郵件帳號的存取權限

美國一家未透露姓名的聯邦文職行政部門 (Federal Civilian Executive Branch-FCEB) 機構於 2023 年 6 月中旬檢測到異常電子郵件活動，導致微軟發現了一項針對二十多個組織的新的與中國相關的間諜活動。

據美國網路安全和基礎設施安全局（CISA）和聯邦調查局（FBI）於2023年7月12日發布的聯合安全諮詢，中國駭客組織利用微軟遠端平台中發現的安全漏洞存取了包括美國政府機構在內的 25個組織的電子郵件帳號。當局表示：“2023 年 6 月，聯邦文職行政部門 (FCEB) 機構在其 Microsoft 365 (M365) 雲端環境中發現了可疑活動，微軟確定高級持續威脅 (APT) 攻擊者存取並外洩了非機密 Exchange Online Outlook 數據。雖然該政府機構的名稱並未透露，但美國有線電視新聞網《CNN》和《華盛頓郵報》援引知情人士表示，該機構是美國國務院，商務部以及國會工作人員、美國人權倡導者和美國智囊團的電子郵件帳號也帳號成為攻擊目標。

微軟於7月11日將此次活動歸因於一個名為 Storm-0558 的新興中國駭客組織，該組織主要針對西歐政府機構，專注於間諜活動和數據盜竊。到目前為止收集的證據表明，微軟得出結論，從 5 月 15 日開始， Storm-0558獲得了屬於大約 25 個獨立組織（包括政府實體）的電子郵件帳戶的存取權限。該公司在近一個月後開始調查異常郵件活動，並確定 Storm -0558 使用偽造的身份認證權杖來獲取帳戶的存取權限。根據公告，駭客使用 Exchange Online 和 Outlook.com 中的 Microsoft Outlook Web Access 來存取非機密電子郵件帳號，這顯然是收集情報和“實現間諜目標”的一部分。Storm-0558 還使用兩個名為 Bling 和Cigril的自訂義惡意軟體工具來促進憑證權限，Cigril被描述為一種特洛伊木馬程式，可以解密加密檔案並直接從系統內存運行它們以避免檢測。微軟表示，攻擊已成功緩解，Storm-0558 無法再存取受感染的帳號。然而，該公司尚未透露在攻擊者帳號的一個月時間內是否有任何敏感數據被洩露。

美國CISA在一份報告中表示，攻擊者存取了非機密電子郵件數據，一名聯邦調查局高級官員將這次長達一個月的入侵描述為一場“有針對性的行動”，他拒絕證實受害者總數，但表示受影響的政府機構數量為個位數，該官員拒絕透露受影響機構的名稱。CISA 表示，FCEB 機構能夠通過利用 Microsoft Purview Audit 中的增強日誌記錄功能（特別是使用MailItemsAccessed郵箱審核操作）來識別入侵行為。該機構進一步建議組織啟用 Purview Audit (Premium) 日誌記錄，打開 Microsoft 365 統一審核日誌記錄 ( UAL )，並確保操作員可以搜索日誌，以允許搜索此類活動並將其與環境中的預期行為區分開來。CISA 和 FBI 補充道：“鼓勵組織尋找異常值並熟悉基線模式，以更好地了解異常流量與正常流量。

然而，中國否認了駭客事件背後的指控，中國外交部發言人汪文斌週四(7/13)敦促美國官員提供有關駭客攻擊的更多細節，稱美國是世界上最大的駭客帝國和全球網路竊賊，並稱美國現在是解釋其網路攻擊活動並停應止散佈假訊息以轉移公眾注意力的時候。

中國國家級駭客組織被發現利用HTML挾帶(HTML Smuggling) 通過 PlugX 遠端存取木馬(RAT)滲透各歐洲外交部和大使館。據資安公司 Check Point的報告，研究人員將該活動命名為 SmugX，稱該活動至少自 2022 年 12 月以來一直在持續，並補充說這是中國駭客將重點轉向歐洲，利用 HTML挾帶技術以PlugX遠端存取木馬感染目標系統。

HTML挾帶是一種高度規避的惡意軟體傳播技術，利用合法的 HTML5 和 JavaScript 功能。惡意負載通過 HTML 附件或網頁中的編碼字串傳遞。惡意 HTML 程式碼是在目標設備上的瀏覽器內生成的，該目標設備位於受害者網路的安全範圍內。Check Point表示，該活動使用新的交付方法來部署（最引人注目的是 HTML挾帶）PlugX 的新變體，這種植入通常與中國駭客相關。根據Check Point，SmugX活動與中國 APT駭客組織 RedDelta 和 Mustang Panda的活動相互重疊，Check Point 進一步說，儘管這兩者在某種程度上與另一個APT駭客組織 Camaro Dragon 相關，但沒有足夠的證據表明 SmugX活動與 Camaro Dragon 組織有聯繫。

該活動針對歐洲的政府實體，重點是外國和國內政策實體。

駭客使用精心設計的魚叉式網路釣魚消息來誘騙收件人下載 JavaScript 或 ZIP 檔案。打開這些惡意 HTML 文檔，程式碼中嵌入的有效負載將被解碼並保存到 JavaScript blob 中。研究人員注意到，JavaScript 程式碼不是利用 HTML元素，而是動態建立。 惡意程式碼使用 createObjectURL 函數從 blob 建立 URL 對象，並使用所需的檔案名設置下載屬性。然後，惡意程式碼調用點擊操作來模擬用戶點擊鏈接並開始下載檔案。

研究人員注意到，對於較舊的瀏覽器版本，惡意程式使用 msSaveOrOpenBlob 以所需的檔案名保存 blob。

對上傳到 VirusTotal 的活動中使用的檔案的分析顯示，中國 APT 組織試圖針對捷克、匈牙利、斯洛伐克、英國和烏克蘭的外交官和政府實體。誘餌檔案中提到的其他國家包括法國和瑞典。

上傳到 VirusTotal 的誘餌包括：

*這封信來自塞爾維亞駐布達佩斯大使館。

*一份闡述瑞典擔任歐盟理事會主席國的優先事項的文件。

*匈牙利外交部發出的外交會議邀請函。

*一篇關於兩名中國人權律師被判處十多年監禁的文章。

中國APT駭客組織使用了多階段感染過程，該過程依賴於 DLL 側面加載方法來傳遞 PlugX RAT。根據Check Point， “我們在此活動樣本中看到的一個顯著變化是，與我們過去看到的簡單 XOR 解密相比，RC4 加密方法的使用越來越多。加密的配置仍然駐留在數據部分，但它在配置的開頭預先添加了密鑰，而不是像之前的示例那樣放在解密函數中。在我們調查樣本的過程中，駭客發送了一個從 C&C伺服器發送的batch scripts，旨在清除其活動的任何痕跡。這個名為 del_RoboTask Update.bat 的腳本會消除合法的可執行檔案、PlugX 加載程式DLL 以及為持久性而實現的登錄機碼，並最終刪除自身。研究人員指出，該歸因是基於與 RedDelta 或 Mustang Panda 的活動的相似性，包括基礎設施、用於部署 PlugX 的路徑以及受害者學和引誘策略。

SmugX活動的部分入侵指標(Indicator of compromise -IOCs):

edb5d4b454b6c7d3abecd6de7099e05575b8f28bb09dfc364e45ce8c16a34fcd

736451c2593bc1601c52b45c16ad8fd1aec56f868eb3bba333183723dea805af

0e4b81e04ca77762be2afb8bd451abb2ff46d2831028cde1c5d0ec45199f01a1

989ede1df02e4d9620f6caf75a88a11791d156f62fdea4258e12d972df76bc05

10cad59ea2a566597d933b1e8ba929af0b4c7af85481eacaab708ef4ddf6e0ee