汽車零件製造商遭勒索攻擊又添一樁，三桜工業遭Conti毒手

Posted on by blogadmin

針對汽車行業供應鏈的網路攻擊，正在接二連三地發生，不久前，如豐田汽車的關鍵供應商，汽車零件大廠電裝公司(DENSO Corporation) 和另一零部件供應商小島工業相繼遭攻擊後，於昨天(3/25) 根據NHK的報導，總部位於東京的汽車零部件製造商三桜工業(Sanoh Industrial Co., Ltd)的美國子公司(Sanoh America)於23日證實在本月12日發現了勒索軟體攻擊並收到贖金信。Sanoh America在檢測到攻擊時，就已經斷開互聯網連接，以防止攻擊散播。

“Sanoh America”主要為美國生產汽車剎車管和燃油管，被攻擊後切斷互聯網連接，然後在採取臨時措施恢復備份後，恢復了生產。

根據Conti揭秘網站，他們宣稱成功駭入Sanoh America ，並開始發布從Sanoh America竊取得來大約 900MB的數據，當中包含一些預算管理和會議記錄的檔案。

另外據觀察，Cuba勒索軟體的揭秘網站，聲稱攻擊了現代汽車集團旗下位於美國喬治亞州的汽車零部件製造商現代派沃特(Hyundai Powertech)，並外洩其財務檔案、員工的銀行資料、稅務檔案、薪酬資料和原始碼。

關於汽車產業的勒索軟體攻擊，層出不窮，竣盟科技建議針對勒索軟體的應對措施:

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

中國APT駭客Storm Cloud利用惡意軟體GIMMICK針對macOS用戶

Posted on by blogadmin

GIMMICK 是一種新發現的 macOS 植入載體（Implant），由中國國家級駭客組織Storm Cloud 開發，用於針對亞洲各地的組織。2021 年末，資安公司Volexity 研究員調查了他們正在監控的環境中的一次入侵，並發現了有執行 macOS 11.6 (Big Sur) 的作業系統的MacBook Pro，被一種被追踪為GIMMICK的惡意程式感染。研究人員解釋說，他們在過去的調查中發現了相同的植入載體，但都是針對Windows版本的電腦而來，專家們並將此次針對macOS用戶的攻擊歸因於中國國家級駭客Storm Cloud，Storm Cloud被認為是一組進階且多才多藝的駭客組織，擅長調整其工具集以匹配其目標使用的不同操作系統。

Photo Credit: Volexity

macOS版的惡意軟體GIMMICK主要使用 Objective C 編寫，而Windows版本則同時使用 .NET 和 Delphi編寫。但兩者使用的C2架構、檔案路徑、攻擊模式相同，且濫用 C2 的公有雲託管服務（例如 Google Drive）來逃避檢測。部署後，GIMMICK可以作為守護程式啟動，也可以以客製化應用程式的形式啟動，並旨在模擬目標用戶經常啟動的程式。該惡意軟體被配置為僅在工作日與其基於 Google Drive 的 C2 伺服器進行通信，以進一步融入目標環境中的網路流量。

更重要的是，後門除了從C2伺服器檢索任意檔案和執行命令外，還具有自我解除安裝功能，使其能夠從受感染的機器中自我刪除。

為了保護用戶免受惡意軟體的侵害，Apple 已於2022 年 3 月 17 日為其內置的反惡意軟體保護套件 XProtect發布了新特徵碼，以通過其惡意軟體刪除工具(Malware Removal Tool – MRT)攔截和刪除感染。

研究員總結分析說，將這種惡意軟體移植並使其系統適應新的操作系統 (macOS) 所涉及的開發並非易事，這表明其惡意軟體的背後參與者資源充足、熟練且多才多藝。

有關GIMMICK的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

2a9296ac999e78f6c0bee8aca8bfa4d4638aa30d9c8ccc65124b1cbfc9caab5f

SHA 1:

fe3a3e65b86d2b07654f9a6104c8cb392c88b7e8

MD5:

943c3743f72f06e58e60fa147481db83

Lapsus$駭不停，駭入身份驗證供應商Okta!

Posted on by blogadmin

身份驗證提供商 Okta是最新一家成為備受矚目的 Lapsus$ 駭客行動的受害者，據路透社報導，週二(3/22)，知名駭客組織 Lapsus$發布了據稱包含Okta內部系統敏感資料的截圖後。 Okta在一份聲明試圖淡化了此遭駭事件，表示沒有發現新攻擊的證據。根據 Okta的說法，發現攻擊者曾在今年1月在其第三方的客戶支援工程師帳戶進行社交工程攻擊，Okta 表示，該帳戶在 1 月 16 日至 21 日的五天內處於攻擊者的控制之下，但強調Okta服務並未被入侵，並且仍然完全可以正常運作。Okta發言人Chris Hollis說，我們相信網上分享的截圖與一月的事件有關。根據我們迄今為止的調查，除了 1 月份檢測到的活動之外，沒有證據表明有任何惡意活動正在進行。

Okta顯然在 1 月下旬就意識到了這一事件，但直到本週才披露——這可能會增加其客戶的數據洩露風險。對Okta的任何駭客攻擊都可能對依賴Okta來驗證用戶存取內部系統的公司、大學和政府機構產生影響。

根據Lapsus$對Okta說法的回應，駭客聲稱他們竊取了的客戶服務的帳戶，還能夠重新設定Okta大約 95%的客戶密碼的憑證，認為Okta只是在嘗試在淡化其遭駭的嚴重性。根據Dark reading報導，安全研究員Bill Demirkapi檢查了Lapsus$公開Okta內部系統的截圖，表明攻擊者入侵了為 Sykes Enterprises, Inc. 工作的第三方的客戶支援工程師的機器，被感染的個人電腦似乎為 Okta 的客戶工作支援團隊，提供Tier 2的支援。Demirkapi進一步說利用此支援工程師擁有的存取權，Lapsus$ 能夠存取Slack 中的 Okta 聊天消息、Jira 中的客戶支援ticket以及用於協助客戶的超級使用者權限的後端管理工具。正如華爾街日報的報導，駭客聲稱沒有登入或竊取 Okta 的任何數據，而是專注於該公司的客戶，其中包括Cloudflare，Grubhub，Peloton，Sonos，T-Mobile和Engadget母公司雅虎。

根據Okta的最新的聲明，得出的結論是一小部分客戶（約 2.5%）可能受到影響，他們的數據可能已被查看或採取行動。

如果您是 Okta 的客戶並想了解更多資訊，建議您查看過去 90 天的 Okta安全日誌​​以查找可疑活動，或直接與 Okta 聯繫。

Lapsus$於2021 年 7 月首次出現，最近幾個月一直在進行駭客攻擊，在此期間針對大模範企業，包括 Impresa、巴西衛生部、Claro、Embratel、NVIDIA、三星、Mercado Libre、育碧 、Vodafone，以及昨天的Microsoft和LG。

3月23日，來自Lapsus$的最新消息，表示他們有一部分成員要休假至3月30日，這段時間他們會很安靜。駭客休假是不是真的代表沒有攻擊行動呢? 值得我們持續的關注下去 !

有關Lapsus$的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

0e1638b37df11845253ee8b2188fdb199abe06bb768220c25c30e6a8ef4f9dee

Hamakaze.exe

SHA 256

9d123f8ca1a24ba215deb9968483d40b5d7a69feee7342562407c42ed4e09cf7

mimikatz.exe

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Lapsus$又出手！微軟旗下Bing 、Bing Maps和Cortana的原始碼疑遭外洩！同時韓國LG的員工和服務帳戶的hash值也遭公開！

Posted on by blogadmin

據觀察，就在今天早上(3月22日) 9 點 17 分南美駭客組織在其Telegram 頻道發布了兩段簡短的訊息，公開了LGE.com 的員工和服務帳戶的所有hash值，並同時也公開微軟Bing、Bing Maps和Cortana的原始碼，此前Lapsus$也曾在此頻道公開外洩從Nvidia和三星竊取得來的數據。

Lapsus$的兩段訊息

3月20日，Lapsus$ 曾發布了一張截圖，聲稱是微軟的原始碼存儲庫，包括 Bing 和 Cortana，Lapsus$聲稱他們通過入侵 Azure DevOps 伺服器存取了存儲庫，但該截圖在幾分鐘後被Lapsus$刪除，並留言說，暫時刪除，稍後會重新發布(Deleted for now will repost after)微軟沒有就Lapsus$的說法發表公開聲明，但已告訴多家資安媒體它正在調查。

今天在關於微軟的訊息中包括一個 483.7 KB 的檔案，Lapsus$ 聲稱該檔案包含微軟Bing搜索引擎、Bing地圖服務和語音助理Cortana的部分原始碼，該檔案包含其聲稱已竊取的 90% 的 Bing 地圖數據，以及聲稱已竊取的 45% 的 Bing 和 Cortana 數據。

根據Emsisoft的威脅分析師 Brett Callow告訴資安媒體itwire，最近Lapsus$攻擊了許多大公司，鑑於微軟和Lapsus$過去的受害者都沒有否認，因此他們聲稱攻擊了微軟並非完全不可信。

另外在關於LG的訊息中，Lapsus$稱這是他們在 1 年內第二次入侵LG，並承諾會很快發布LG的infrastructure confluence。2020年6 月底，LG也曾被Maze勒索軟體攻擊，被竊40GB的Python原始碼。

有關Lapsus$的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

0e1638b37df11845253ee8b2188fdb199abe06bb768220c25c30e6a8ef4f9dee

Hamakaze.exe

SHA 256

9d123f8ca1a24ba215deb9968483d40b5d7a69feee7342562407c42ed4e09cf7

mimikatz.exe

華碩設備成為了俄羅斯國家級駭客的目標?!華碩針對Cyclops Blink惡意軟體攻擊其路由器產品發出警告!

Posted on by blogadmin

一項的新研究發現，華碩設備成為了俄羅斯國家級駭客製作的Cyclops Blink殭屍網路的目標，專家至少從 2019 年 6 月開始觀察到 Cyclops Blink 殭屍網路的存在，認為Cyclops Blink和俄羅斯國家駭客組織Sandworm或Voodoo Bear有關，根據英國國家網路安全中心 (NCSC) 進行的分析，Cyclops Blink 是一種進階模組化的殭屍網路，擁有150多個C&C伺服器組成的龐大網路，英國和美國政府在 2 月下旬提出警告，表示網路安全供應商 WatchGuard 的設備受到攻擊並被用作殭屍網路基礎設施。今根據Trend Micro研究報告，Cyclops Blink瞄準並感染華碩的路由器，利用命令及控制（Command and Control，CnC）的攻擊基本元素感染受害者並將他們帶入更大的殭屍網路，Cyclops Blink 的作用是為設備上的威脅參與者建立持久性，使駭客能遠端控制受感染的網路。

用於寫入快閃記憶體的模組程式碼 Photo Credit: Trend Micro

Trend Micro警告說，該惡意軟體具有一個專門針對多個華碩路由器的模組，允許惡意軟體讀取快閃記憶體(Flash Memory)以收集有關關鍵檔案、可執行檔案、數據庫的資料，然後惡意軟體會接收到嵌套在快閃記憶體中並建立永久持久性(persistence)的命令，即使恢復設定(factory reset)也不會擦除該存儲空間。

華碩在 3 月 17 日發布的安全公告中，表示它確認有多個路由器型號容易受到與俄羅斯有關Cyclops Blink 惡意軟體的威脅，目前正在調查並致力於修補，該公告還包括受影響的路由器清單以及建議的緩解措施。WatchGuard 在 2 月份亦發布了類似的公告。

華碩受影響的產品清單如下：

GT-AC5300 firmware under 3.0.0.4.386.xxxx

GT-AC2900 firmware under 3.0.0.4.386.xxxx

RT-AC5300 firmware under 3.0.0.4.386.xxxx

RT-AC88U firmware under 3.0.0.4.386.xxxx

RT-AC3100 firmware under 3.0.0.4.386.xxxx

RT-AC86U firmware under 3.0.0.4.386.xxxx

RT-AC68U, AC68R, AC68W, AC68P firmware under 3.0.0.4.386.xxxx

RT-AC66U_B1 firmware under 3.0.0.4.386.xxxx

RT-AC3200 firmware under 3.0.0.4.386.xxxx

RT-AC2900 firmware under 3.0.0.4.386.xxxx

RT-AC1900P, RT-AC1900P firmware under 3.0.0.4.386.xxxx

RT-AC87U (EOL)

RT-AC66U (EOL)

RT-AC56U (EOL)

目前，華碩尚未發布新的韌體更新以防止Cyclops Blink，但已發布以下可用於保護設備的緩解措施：

*將設備重置為出廠default設定：登錄 Web GUI，進入管理 → 恢復/保存/上傳設置，點擊“初始化所有設定並清除所有數據日誌”，然後點擊“恢復”按鈕。

*更新到最新的可用韌體。

*確保default 管理員密碼已更改為更安全的密碼。

*關閉遠端管理（預設為關閉，只能通過進階設定啟用）。

*如果您使用停產的三種型號中的任何一種，請注意這些型號不再受支援，因此不會收到韌體安全更新。在這種情況下，建議您更換新設備。

有關Cyclops Blink的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

ccae8f66ef880ac02b9affdeaca07a7ddb9428b4f683fd55b35ea3ec20ead5ca

7923585e8e6117eb6b3fb4a12871bc31b81d54a7ed297927bf72715c45c41da6

IPv4: 96.80.68.197

IPv4: 96.80.68.196

提防俄羅斯網路攻擊!德國聯邦資訊安全局（BSI）呼籲，勿使用卡巴斯基防毒軟體

Posted on by blogadmin
Getty Image

由於俄羅斯入侵烏克蘭引發俄羅斯與西方國家對立，德國聯邦資訊安全局 (Das Bundesamt für Sicherheit in der Informationstechnik- BSI) 在 3 月 15 日警告組織不要使用卡巴斯基(Kaspersky)防病毒軟體，因為擔心它可能被用於網路間諜活動或在俄羅斯正在進行的烏克蘭戰爭中發動網路攻擊。

德國聯邦資訊安全局的公告

BSI公告指出，使用防毒軟體須同意軟體製造商取得電腦系統諸多權限，並隨時與製造商伺服器保持連線，因此防毒軟體製造商的可信度至關重要。雖然卡巴斯基很可能是值得信賴的，但它仍然必須遵守俄羅斯的法律規範，包括允許國家特工存取私人公司的數據庫。BSI表示，總部位於俄羅斯的卡巴斯基可能會被迫代表俄羅斯政府，入侵國外的 IT 系統，或者俄羅斯間諜特工可以在卡巴斯基不知情的情況下秘密使用其技術發動網路攻擊。因此，BSI建議使用卡巴斯基的防毒軟體時務必當心，並審慎評估當前情勢，以其他產品取代卡巴斯基的防毒軟體。BSI 表進一步示，德國公司以及管理關鍵基礎設施的政府機構尤其面臨駭客攻擊的風險。

BSI 發出警告之際，俄羅斯對烏克蘭的入侵隨著俄羅斯軍隊對烏克蘭首都的砲擊升級。

另外，卡巴斯基在其網站上發布的一份聲明中表示，德國的警告是基於政治理由，而不是對其產品的技術評估。“我們將繼續向我們的合作夥伴和客戶保證我們產品的質量和完整性，我們將與 BSI 合作，以澄清其決定以及解決其和其他監管機構擔憂的方法，”聲明中寫道。

卡巴斯基的聲明

卡巴斯基的聲明指出，它相信和平對話可以解決衝突，並且“戰爭對任何人都沒有好處”。

針對卡巴斯基的警告和理由類似於美國聯邦政府早在2017年就禁止政府機關使用卡巴斯基的軟體。國土安全部官員指出，根據俄羅斯法律，卡巴斯基有義務協助聯邦安全局處理情報事務。

新型勒索軟體潘朵拉(Pandora)再一次針對日本企業，日本汽車零件大廠電裝公司(DENSO) 在3個月內第二次遭駭?!

Posted on by blogadmin

總部位於日本愛知縣的汽車零部件製造商電裝公司(DENSO Corporation) 已確認，3 月 10 日其德國據點Denso Automotive Deutschland GmbH網路遭到未經授權人士存取，DENSO德國立即採取措施將伺服器和個人電腦與網路斷開連接， DENSO日本總部亦正在了解詳情，表示目前在調查中，預計未對營運造成影響。

Pandora 在其網站上發布DENSO的內部檔案 Photo Credit: 朝日新聞

根據日本資安公司Mitsui Bussan Secure Directions，名為 Pandora 的勒索軟體組織於日本時間週日(3月13 日)下午在其揭秘網站Pandora data leak上發布了帶有DENSO檔案清單的頁面，Pandora聲稱它取得DENSO超過 157,000 份採購訂單、電郵和圖面相關的檔案，約 1.4 TB 的數據，如談判協商失敗將在3月16日釋出全部盜來的數據。此次之前，Pandora勒索軟體亦曾入侵台灣矽晶圓大廠環球晶旗下的GlobalWafers Japan，使其4間工廠生產停擺。 Pandora勒索軟體於今年2月浮出水面，GlobalWafers Japan 是其首間公布在Pandora data leak上成功入侵的企業。

根據《Automative News》全球百強零件製造商排名，DENSO是僅次於Robert Bosch的全球第二大汽車供應商，DENSO德國據點遭入侵，是最近針對豐田供應商的第二起網路攻擊事件。

兩週前，另一豐田供應商在小島工業(Kojima Industries Corporation)的管理系統受到攻擊後，豐田暫停其在日本的所有工廠運作。

另外值得一提的是，根據竣盟科技的觀察，DENSO曾經在去年12月 2 7日被名為Rook的勒索軟體納入其受害者名單，當時該勒索軟體組織聲稱從DENSO盜走了1.1TB的數據，但目前Rook勒索軟體的揭秘網站已不存在，相信Rook勒索軟體和Pandora勒索軟體是否有一定的關聯性是值得我們持續觀察的。

有關Pandora的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

f87be226e26e873275bde549539f70210ffe5e3a129448ae807a319cbdcf7789

ebfdee6e5fe2aa5699280248a5e7b714ca18e5bfd284cac0ba4fb88ccbcec5b6

ebfdee6e5fe2aa5699280248a5e7b714ca18e5bfd284cac0ba4fb88ccbcec5b6

2c940a35025dd3847f7c954a282f65e9c2312d2ada28686f9d1dc73d1c500224

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

知名輪胎生產商普利司通Bridgestone遭網路攻擊，系統下線，美國多間工廠停工，幕後黑手指向LockBit2.0勒索軟體

Posted on by blogadmin

繼 Viasat 和 豐田的供應商遭遇網路事件後，總部位於日本的輪胎製商普利司通在2月28日公佈，旗下普利司通美洲(Bridgestone Americas)遭到網路攻擊，導致在美國伊利諾伊州、愛荷華州、北卡羅來納州、南卡羅來納州和田納西州的輪胎製造工廠以及加拿大的工廠停工。

正如媒體報導，Bridgestone Americas在發現入侵後不久，就開始調查此事，聲明中說：

“Bridgestone Americas目前正在調查一起潛在的資安事件。自2月27日凌晨得知發生事件以來，我們已展開全面調查，以迅速收集證據，同時努力確保我們的IT系統的安全性。出於謹慎考慮，我們將拉丁美洲和北美的許多工廠與內部網路斷開連接，以遏制和防止任何潛在的影響。”

雖然該公司迅速分享了一份新聞稿，向公眾通報知了此事，但​​它還沒有透露很多細節，直到2022 年 3 月 3 日，只有維修部、倉庫部、收貨部和 MRC 實驗室等部門的工作人員可上夜班。

普利司通是一家日本跨國公司，也是世界上最大的輪胎製造商。普利司通美洲公司在加拿大、中美洲、拉丁美洲和加勒比地區擁有50多個生產設施，並了大約55,000名員工。

根據觀察，操作LockBit的背後駭客已在其揭秘網站上公佈Bridgestone Americas為其新增的受害者，但目前LockBit並沒有公佈所盜的任何檔案的截圖或樣本，只聲稱會在3月11日發佈盜來的所有數據。

LockBit2.0 是一種現可利用AD群組原則的勒索軟體，能自動加密Windows 網域下所有電腦，駭客不必寫程式進行勒贖軟體部署，只要取得 Windows Server 網域控制器的存取權，就能自動進行傳播，並在網域控制器上建立新的群組原則，將其推送到 Windows 網域中的所有電腦。這些原則包含禁用安全措施，例如 Microsoft Defender 和警報，並阻止操作系統向 Microsoft 提交樣本以避免檢測，以實現持久性。

FBI在2月發布的警告中，建議企業做好以下各種防禦措施：

*要求所有帳戶的登入密碼改為使用強密碼及獨一密碼，不使用重複密碼。

* 盡可能為所有帳戶啟用多重因素驗證 (MFA) 登入審查

*為所有作業系統及軟體安裝最新的系統更新

*詳細檢查涉及管理權限的登入帳戶，移除不必要的員工。

*使用建基於主機的防火牆，只允許必要的管理員通過 SMB 工具連接管理。

*啟用 Windows 系統的檔案保護功能，阻止勒索軟體對重要檔案進行加密。

其他 LockBit 2.0的報導:

LockBit勒索軟體推出了新的招募會員計劃“LockBit 2.0”，稱其最新的工具StealBit是世上最迅速盜竊數據的神器–>https://blog.billows.com.tw/?p=1173

勒索軟體LockBit2.0持續發威，繼曼谷航空、IT顧問巨頭Accenture等遭Lockbit2.0加密後，台灣某製造業大廠也中–>https://blog.billows.com.tw/?p=1350

注意了~繼北市某製造業遭LockBit2.0攻擊，今見台灣上市工程公司也遭殃–>https://blog.billows.com.tw/?p=1411

環球晶旗下GlobalWafers Japan遭網路攻擊，疑出自新型勒索組織Pandora，駭客稱已盜1Tb數據

Posted on by blogadmin

根據新潟日報、Yahoo Japan和Tech+等日本媒體報導，臺灣矽晶圓大廠環球晶旗下日本子公司GlobalWafers Japan（新潟縣西羅町）3月2日宣布，確認內部伺服器於 2022 年 2 月 28 日被非法存取，據該公司稱，在當天凌晨 1 點左右，檢測到未經授權的非法存取，據報導，該公司表示收到了一份英文勒索信，附有如果你想解密檔案，到這裡來的字句，懷疑是勒索軟體攻擊，Global Wafers Japan為了防止損害擴大，因此採取措施將內部網路與系統關閉，並暫停日本國內四個基地（新潟、關川、小國和德山工廠）的生產作業。另外，為了早日恢復生產和發貨，他們將從確認系統安全後開始依序進行恢復工作、生產和發貨的時間，但根據Tech+，截至 3 月 7 日上午 9 點，該公司尚未在網站上公佈恢復的時間。

另外，根據暗網情報業者DarkTracer, 他們發現一個全新的勒索軟體揭秘網站名叫Pandora Data Leak，而GlobalWafers Japan正是目前唯一的受害者。Pandora稱他們已從GlobalWafers Japan中盜出1Tb數據，並威脅會在 3月10日發布盜來的數據，但沒有進一步透露有關入侵的細節和勒索金額，由於這是Pandora首次出現，目前沒有這種勒索軟體的攻擊手法和相關的入侵指標。另外，在此之前，日商半導體材料公司Fujimi和其台灣子公司福吉米在二月份發生網路攻擊事件，遭第三方未經授權存取，導致生產線停擺。半導體產業有設備系統老舊、無法更新等問題，一直為駭客覬覦的對象。在新冠疫情下催生的遠距辦公更是仰賴伺服器，使駭客更有機會下手。

竣盟科技建議針對勒索軟體的應對措施:

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Lapsus$又出擊，科技巨擘三星Samsung疑遭殃，傳出被盜190GB原始碼，高通也被波及

Posted on by blogadmin

繼Nvidia在二月份遭Lapsus$攻擊後，上週六(3/5)傳出韓國科技巨頭也遭Lapsus$攻擊。綜合資安外媒報導，入侵Nvidia的同一個組織Lapsus$也成功入侵了三星，並在其Telegram頻道上發布了三星近 190GB 的機密資料，包括專有資訊(proprietary information)、應用程式的原始碼和與各種三星項目相關的數據存儲庫，更具體地說，Lapsus$ 聲稱擁有下列數據:

*Samsung Knox身份驗證碼

*生物特徵解鎖操作的演算法

*所有最新三星設備的Bootloader原始碼

*安裝在所有三星設備的TrustZone環境上Trusted Applet的原始碼，以及每種類型的 TEE 操作系統（QSEE、TEEGris 等）的特定程式碼，這包括DRM模組和 keymaster/gatekeeper 的數據。

*用於授權和驗證三星帳戶的技術的完整原始碼，包括 API 和服務

*來自高通的機密原始碼

*三星activation servers的原始碼

目前尚不清楚三星的系統是什麼時候被駭客入侵，以及駭客與三星進行了任何類型聯繫或談判，但如果上述資料準確無誤，這些重大數據的外洩，可對三星產生嚴重的影響。

截圖中顯示了Samsung軟體中的C/C++ 指令

Lapsus$ 將發佈的190GB數據拆分為三個壓縮檔案，將資料上傳到網路，並以torrent 形式提供下載，Lapsus$還表示由於下載者數量眾多，將部署更多

伺服器以提高下載速度。

據悉，從 torrent下載的一個ReadMe.txt中，解釋了三個 7Zip檔案的內如下容:

Part1.7z：包含有關 Security/Defense/Knox/Bootloader/TrustedApps 和其他各種項目的原始碼和相關數據的轉儲

Part2.7z：包含有關設備安全和加密的原始碼和相關數據的轉儲

Part3.7z：包含來自三星 Github 的各種存儲庫：行動防禦工程、三星帳戶後端、三星通行證後端/前端和 SES（Bixby、Smartthings、商店）

根據韓聯社報導，三星正在評估情況。

有關Lapsus$的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

0e1638b37df11845253ee8b2188fdb199abe06bb768220c25c30e6a8ef4f9dee

Hamakaze.exe

SHA 256

9d123f8ca1a24ba215deb9968483d40b5d7a69feee7342562407c42ed4e09cf7

mimikatz.exe

3/8更新: 根據彭博的新聞報導，三星證實內部資料在駭客入侵中被竊，在初步調查中發現有關Galaxy手機運作的原始碼外洩，但沒有證據顯示外洩的資料包含員工或用戶的個資。