紐西蘭CERT(電腦緊急應變團隊)已發布安全警報，警告有關Nefilim勒索軟體組織的攻擊,
CERT NZ提醒遠端工作可能使您的網路面臨Nefilim勒索軟體的風險並發佈了有關利用遠端桌面（RDP）技術和Nefilim勒索軟體活動的資訊,
紐西蘭Cert特別在這份警報裹,引用了AlienVault OTX情資平台上針對Nefilim勒索軟體的相關入侵指標和情資, 在此提供您參考
https://otx.alienvault.com/pulse/5eecd2be0dc1df57dba2a52c
https://otx.alienvault.com/pulse/5ed88c3876496dea6e1403e5
紐西蘭CERT的資安警報: https://www.cert.govt.nz/it-specialists/advisories/active-ransomware-campaign-leveraging-remote-access-technologies/
資安研究人員近日揭露了針對“大型航空公司和軍事企業”的網路間諜釣魚和惡意軟體活動，相信該活動是由 2014 年攻擊 Sony Pictures 的同一北韓駭客集團 Lazarus Group 發起的.
網路資安研究人員周三表示，駭客冒充美國航空和國防巨頭 Collins Aerospace 和 General Dynamics 的 HR 招募人員，在 LinkedIn 上闖入歐洲的軍事承包商網路。
斯洛伐克的網路安全公司 ESET 說，在去年年底時, 網路間諜透過提供美國公司的工作機會來接觸受害者，從而破壞了中東和歐洲至少兩家國防和航空公司的系統。
ESET 威脅研究負責人 Jean-Ian Boutin 說，攻擊者利用 LinkedIn 的私人訊息功能，發送能誘騙受害者打開惡意代碼的文件。
ESET 以客戶機密為由，拒絕透露受害者的名字，也不透露是否有任何資料被盜。雷神科技公司 Raytheon Technologies Corporation 所擁有的 General Dynamics 和 Collins Aerospace 也拒絕評論。
ESET 無法 100% 確定駭客的身份，但表示此次攻擊與一個名為北韓駭客集團 Lazarus Group 有一定關聯，該組織被美國檢察官指控策劃了一系列針對性的網路攻擊，其中包括 Sony Pictures 和孟加拉中央銀行的搶案。
研究人員說，一旦進入目標網路，犯罪者將試圖強行使用他們可以找到的任何 Active Directory 管理員帳戶，通過將數據捆綁到 RAR 壓縮檔中，並試圖將其上傳到 Dropbox 帳戶中以竊取數據。
在受害者被捲入後，Lazarus 會試圖誘使他們下載受密碼保護的 RAR 存檔，其中包含“ LNK 文件”。一旦點擊該 LNK 文件包含工作資料的 PDF 就會出現在受害者面前。受害者其實是下載了一個惡意執行檔 (.EXE)，這個執行檔會建立許多文件夾，並在 Windows 工作排程器設定為每隔一段時間執行一次遠端腳本。
圖片來源: ESET , 這使攻擊者可以在目標公司內部獲得最初的立足點，並在受到感染的電腦上獲得持久性，圖片說明了導致入侵的步驟。
攻擊者要求受害者在使用 Internet Explorer 的 Windows 電腦上回應他們的工作機會。駭入後進到 Powershell，並利用了預設公開可用的 PowerShdll 執行 PowerShell 命令，這也間接證明 Lazarus Group 在嘗試進行暴力破解之前，會先透過連接的 domain 來列舉所有 Active Directory 帳戶，接下來就是暴力破解取得管理員權限。
另外，這些攻擊並不是 LinkedIn 首次被國際間諜活動所困擾，對手使用 LinkedIn 來挑選軍事和國防公司的目標，隨後向他們提供假的工作機會。攻擊者不怕直接接觸，並與受害者聊天，說服他們打開惡意文件。
LinkedIn表示已找出並刪除了攻擊者使用的帳戶。該公司的資安負責人 Paul Rockwell 說：“我們積極尋找平台上由國家級駭客的活動的跡象，並迅速採取行動對付不良行為者。
關於這起間諜攻擊的資安事件, OTX 的情資平台也有相關的 MITRE ATT&CK 攻擊手法和相關情資, 請點擊以下連結
https://otx.alienvault.com/pulse/5eea47f6776f5e41c8346a31
另外也附上Lazarus Group的相關情資
https://otx.alienvault.com/pulse/5ebaee4cb570b4824f773f44
參考來源:
https://www.welivesecurity.com/wp-content/uploads/2020/06/ESET_Operation_Interception.pdf
竣盟科技資安快報: 台灣的防疫成功, 衞生福利部疾病管制署功不可沒! 也因為台灣的成功, 引來了駭客虎視眈眈並進行攻擊, 以竊取機密情報, 一個神秘的駭客組織 ” V怪客” 被發現一直在冒充台灣疾病管制署 CDC，鎖定盜取某些台灣用戶的敏感數據, 根據外媒 Cyberscoop 報導, V 怪客(Vendetta)駭客組織特別挑選了攻擊對象–其中可能包括向台灣疾病管制中心的員工發出精心編寫的惡意釣魚郵件, 這起資安事件是由西班牙電信 Telefonica 資安部門的 ElevenPaths 所發現並披露的。 在 5 月初時，駭客向某些台灣用戶發送了魚叉式網路釣魚電子郵件，敦促他們進行新型冠狀病毒測試，電子郵件附帶了一個名為 Nanocore RAT 的遠端駭客工具，能夠竊取登錄憑證並劫持網路攝影機，使駭客能控制和盜竊受害者系統中的資料。ElevenPaths 的威脅情安分析師 MiguelÁngel de CastroSimón 說: 由工具的類型和選擇的目標, 顯示了駭客的入侵是在尋找特定情報，而且主要是政府方面的情報。”
V 怪客組織是網路犯罪領域中一個相對較新的參與者，僅在最近兩個月才出現, 該組織活動的最初跡象於今年 4 月間發現。研究人員說，他們擅長以多種語言冒充機構官員, V 怪客是一個多產的組織，主要以 Covid-19 相關的惡意釣魚電子郵件活動作為攻擊手段。在澳洲，墨西哥，埃及，羅馬尼亞，奧地利和中國已經觀察到該組織的攻擊，目標是盜取商業和政府部門組織的敏感資料與情報。
研究人員說 V 怪客組織的武器庫包括特制工具以及商業軟體, 其中包括 Nanocore RAT，AgentTesla，Remcos 和 Formbook，ReZer0，Azolurt，Warzone RAT (Ave Maria) 或Hawkeye。V 怪客還使用不同的手動打包器例如 ConfuserEx，Eazfuscator，IntelliLock 或 iLProtector。
另外當被問及台灣有多少用戶受到攻擊時， CastroSimón 說：“這類組織不會進行大規模攻擊，但是[有選擇性]，因此[受害者]的數量不會太多，CastroSimón 再説道，目前尚不清楚網路釣魚是否成功。
參考來源:
如果您想知道關於 V 怪客的相關情資 和 MITRE ATT&CK 的攻擊手法, 請直接點向以下連結：
https://otx.alienvault.com/pulse/5ebeb6c93487c96715a4d504
竣盟科技快報歡迎轉載，但請註明出處
在吹哨人 Libertas 向 IT 部落客 Haschek 和德國媒體 Heise.de 投信揭發並曝光後，奧地利最大的網際網路服務提供商 A1 Telekom，本周承認存在安全漏洞。A1 Telekom 在去年 11月發現網路受惡意軟體感染, 但資安團隊在 12月才檢測到確切的惡意軟體, 同時發現該惡意軟體難以移除, 致使他們花了六個月才能將該惡意軟體連根拔起並取回 Web 伺服器的控制權。
A1 Telekom是奧地利最大的電信公司之一，他們擁有包括 FTTH 連接在內的各種 IT 基礎架構業務。他們的年收約為 25億歐元，擁有 8,300 多名員工。A1 Telekom 在向奧地利的多個偏遠地區提供行動電話連接和 Internet 服務, 實際上具有壟斷性的地位。
在 2019年 12發現了駭客透過利用未公開的 Microsoft 產品漏洞, 設法破壞了 A1 的企業網路。由於 A1 內部回應團隊未能及時做出有效回應，故當他們在2020年5月22日方能阻止漏洞時，時間已經過了六個月。據報導在 A1 Telekom 被駭客攻擊的事件中，駭客組織利用惡意軟體感染了 Web 伺服器並安裝了 Web Shell。 從此之後，他們就可以任意安裝其他工具，以便他們在 A1 網路探索游走。
A1 Telekom 在接受在德國新聞網站 Heise.de 的採訪中表示，儘管持續了六個多月相當嚴重的漏洞影響，但攻擊者”並未獲得任何客戶的敏感數據。” A1 稱內部網路的複雜性阻止了駭客訪問他們的其他系統，“因為成千上萬的數據庫及其關係對於外部人員而言並不容易理解”
至於被洩露了什麼樣的數據? 消息人士稱，駭客訪問了公司的內部和一些外部客戶數據庫。 吹哨者說，駭客總共可以訪問 12,000台伺服器，但遭 A1 否認並稱攻擊者只能訪問「一個不包含任何客戶數據的 SQL 數據庫」。 A1也聲稱儘管駭客在六個月內對系統持續不間斷的訪問，但從未訪問或洩露過任何敏感的客戶端數據。
後記: 相信是出自於外交的考慮，A1 Telekom 並未指明這次攻擊事件駭客的身份。但根據吹哨者透露這次資安漏洞是由中國國家級 Gallium 駭客組織引起, Microsoft 威脅情資中心(MSTIC) 在 2019年 12月 12日發佈了關於 Gallium 駭客組織的安全警報，警告電信業者提高警覺, 因為可能將要面臨著大規模的持續攻擊行動。而眾所周知，Gallium 駭客組織會在已被入侵的電信公司中, 搜尋所有範圍內的機密資料。
參考來源:
*****本文歡迎轉載，但請註明出處。
竣盟科技快報: Anonymous “匿名者”預警了?! 美國遭到 DDoS 重大攻擊 , T-Mobile, Verizon, Instagram, Facebook 呈現斷網狀態…
根據 ”匿名者” 在 Twitter 發佈的推文, 下圖可見, 代表全球駭客組織的匿名者, 認為美國正面臨大規模的 DDoS 攻擊, 情況也極為嚴重.
美國時間 6月15日由於電信服務被中斷, 影響的範圍甚廣, 美國三大電信公司之一, T-Mobile 證實它們在全美國各地正處於斷網狀態, 客戶無法撥打電話或發簡訊。
上圖為 T-Mobile 的技術總監在 Twitter 推文上, 向客戶致歉。
另外, 在 Downdetector 的網站上,列出了正處於斷網狀態的一系列美國網站, 包括 T-Mobile, Metro, Verizon, AT&T, Sprint, Consumer Cellular, US Cellular, 網路提供商 Spectrum, Comcast, CenturyLink, Cox, 社交媒體平台 Facebook, Instagram, Twitter, Snapchat, Twitter, 遊戲和遊戲服務 Fortnite, Roblox, Call of Duty, Steam, Xbox Live, Playstation Network, 流行媒體服務 Netflix, Hulu, HBO Now, Twitch, 金融業如大通銀行, 美國銀行, 送貨服務 Doordash 和其他主要平台, 例如 Google 和 Zoom.
“匿名者” 也聲稱 DDoS 攻擊的來源仍然未知, 但推測可能是中國, 因為南北朝鮮之間的局勢目前正在惡化。
有趣的是 CloudFlare 的創辦人兼 CEO. Matthew Prince 似乎並不認為這些網路中斷與 DDos 攻擊有關, Matthew Prince 在他的推文寫道: 目前，針對美國的“大規模 DDoS 攻擊”引起了廣泛關注，並附有令人恐懼的圖表（請參閱下面的 Tweet）。 儘管在當前已經很戲劇化的時期成為了很好的頭條新聞，但這並不準確。 實際上可能只是個無趣的事件。
DDoS attack (distributed denial-of-service attack)，中文名稱為分散式阻斷服務攻擊，DDoS 攻擊是一種分散式阻斷攻擊，旨在破壞網頁或服務，並讓實際使用它的用戶無法訪問。與普通的直接阻斷服務攻擊不同，因為 DDoS 攻擊來自廣泛的來源，所以使得防止變得更加困難。這種攻擊經常使得伺服器因請求過載而無法提供服務。
#Billows #竣盟科技
#美國 DDoS 攻擊
#需要👽SIEM👽記得找竣盟科技唷
三大勒索軟體—Maze, LockBit 和 Ragnar Locker 組成敲詐勒索聯盟 (Extortion Cartel )，讓您不容忽視!
始於 2019 年 11 月, Maze 勒索軟體的幕後駭客組織將勒索攻擊延伸至公開盜來的數據。他們將拒絕支付贖金的受害組織的數據, 公然地發放在其架設的 ”Maze News” 的網站, 根據Bleeping Computer 的報導, 於 2020 年 6 月 3 日
Maze 證實他們正在與 LockBit 合作，以分享他們的攻擊經驗和數據洩漏 (leak site) 平台。他們還表示，未來幾天還將有另一個勒索軟體組織加入他們的聯盟。
6月8日 “Ransom Leaks “的 Twitter 帳戶通知 Bleeping Computer ，Maze 已添加了 Ragnar Locker 勒索軟體的受害者的數據。
Maze 勒索軟體的幕後駭客還採用了 ”cartel” 標籤，標註他們與競爭性勒索軟體組織的合作關係，他們相信透過這種託管和分發受害者被盜數據的合作，會為他們帶來一定程度上互惠互利的結果。
令人好奇的是, 本身擁有自家數據洩漏站點 (Leak Site) 的 Ragnar Locker 能從這種合作帶來什麼好處? 另外, Maze 勒索軟體的駭客是否能透過這種方式得到 LockBit 和 Ragnar Locker 的分潤?
在不同勒索軟體組織之間共享經驗，建議，策略並集中管理數據洩漏平台，將會使駭客們能夠執行更高級別的攻擊，且可能使贖金提高。勒索軟體家族之間的這種”聯盟”合作方式絕對值得我們持續的關注。
https://www.bleepingcomputer.com/news/security/ransomware-gangs-team-up-to-form-extortion-cartel/
Ragnar Locker 的勒索軟體相關情資, 請點擊這裡–>
https://otx.alienvault.com/pulse/5ee0fecd7663ca5837037ea0
*****竣盟科技快報歡迎轉載，但請註明出處。
奇虎360和百度 , 曾經因為3B大戰對薄公堂, 現在兩間中國的網路巨頭聯手合作, 共同破壞針對中國的殭屍網路, 是怎樣的惡意攻擊使得不對盤的雙方攜手合作呢? 人客啊, 快來看下去….
你可曾聽過 DoubleGuns惡意軟體? 一個專門獨家針對中國的惡意軟體,在過去的三年中，DoubleGuns木馬已成為中國最大的惡意軟體殭屍網路之一。
DoubleGuns是一種專門針對中文Windows惡意軟體, 主要通過在中國網站上共享的誘餌應用程式進行分發，多數是以在中國社交網路和遊戲論壇上提供的盜版遊戲作為傳播, 並通過VBR和MBR rootkit感染用戶PC。這是為了安裝各種惡意驅動程式，以最終竊取用戶的登錄憑證。
DoubleGuns還充當廣告軟體和垃圾郵件發送模組, 它在用戶設備上插入廣告，並劫持QQ帳戶，以通過私人消息將廣告傳播給受害者的朋友
奇虎360 上週在一篇網誌說，由於DoubleGuns殭屍網路的規模已經擴大到不容忽視, 它最近與百度進行聯合行動，破壞了DoubleGuns殭屍網路的運作，關閉殭屍網路的某些後端基礎架構，其中大部分都在使用百度的Tieba圖像託管服務, 在過去三年來，DoubleGuns一直從Tieba下載圖像。這些圖像包含秘密代碼（使用一種稱為圖像隱碼術的技術隱藏在圖像內部），該代碼為DoubleGuns惡意機器人提供了有關在受感染主機上執行哪些操作的指令。
奇虎和百度表示，在過去的兩個星期中，他們一直在刪除DoubleGuns使用的圖像並記錄來自受感染主機的連結，這就是他們發現殭屍網路規模巨大的原因，目前殭屍網路的數量估計為“數十萬” 。
由於殭屍網路基礎設施的其他部分仍在運行，並且殭屍網路的營運商仍然龐大，因此中斷被視為暫時的。
AlienLabs OTX後記: 我們基於DNS數據的威脅監控系統DNSmon, 標記了可疑域pro.csocools.com。該系統估計感染的規模可能遠遠超過成數十萬的用戶。通過分析相關樣本和C2，我們將其家族追溯到DoubleGuns。
欲了解更多關於DoubleGuns的資訊 , 請參考OTX情資:
https://otx.alienvault.com/pulse/5ecd55be9616fb56ef638475
新聞來源參考:
https://techdator.net/baidu-and-qihoo-teamed-up-to-fight-against-chinese-malware-doubleguns/
https://blog.netlab.360.com/shuang-qiang-zui-xin-huo-dong-fen-xi-bao-gao-nei-bu-bao-gao-ban/
*****竣盟科技快報歡迎轉載，但請註明出處
由於立法院被釣魚郵件攻擊, 小編從各大媒體報導看到相關的惡意連結conference.outlook-offices.com和惡意程式conference-2020.docx.zip, 為了帶給大家更多更詳細的參考資訊 ,小編發揮資安小偵探的精神先到相關的資安情資平台研究一番, 發現沒有直接明確的佐證資料, 便到國外資安網站繼續搜尋, 皇天不負有心人讓小編找到明確的惡意程式的hash值, 向老闆滙報後便發信向AlienVault OTX 通報, 由下圖所見是昨天5月23日早上, 小編發信給AlienVault聯絡人有關此次釣魚郵件的附檔名稱:conference-2020.docx.zip和Hash值: 2ad58b00695f71c7a43a9e1a5a2c9fd996f7e243db3f3638a0c41bbc3b85f543
圖1
小編於5月23日零晨收到兩封回信,以下提供一封回信截圖供大家參考
圖2
根據OTX研究人員分析, 他們有理由相信攻擊台灣立法院的駭客也攻擊了西藏! 駭客攻擊西藏又攻擊台灣, 背後的目的估計不離政治因素, 更多詳情🔎請看OTX情資
https://otx.alienvault.com/pulse/5ec7ff4ec67d6aca23b7c350
若有更多後續的硏究發展, 小編一定為大家提供喔, 請大家多多支持和關注竣盟科技的FB, line@和部落格喔! 歡迎轉載,請註明出處,感謝!
#竣盟科技資安快報#立法院釣魚郵件攻擊 #需要👽SIEM👽記得找竣盟科技唷
#資安交流 #誘捕專家Acalvio的ShadowPlex平台竣盟科技也有代理喔
#資安情資請看OTX
#快follow竣盟科技的粉絲專頁吧^^
*****本文歡迎轉載，但請註明出處。
據法務部調查局發佈的”國內重要企業遭勒索軟體攻擊事件調查說明” , 調查局研判該駭客組織為Winnti Group或與該組織有密切關聯的駭客…
請參閱: 調查局新聞稿
來源中央社新聞-中央社記者蕭博文攝
在此小編與您分享Winnti Group的相關資訊, 從AlienVault OTX情資中, 我們得悉並高度相信Winnti與中國國家情報機構有關，至少有一些駭客活動來自位於北京西城區。從2009年到2018年，許多以前沒有公開關聯的中國國家情報部門實際上都與Winnti有關。我們高度確信Winnti Group通過使用共同的目標和攻擊資源而建立聯繫展開攻擊。根據401TRG的Tom Hegel的報告,最初的攻擊目標通常是美國，日本，韓國軟體和遊戲組織和那些特別是被強調為中國經濟發展重點的行業，主要是收穫代碼簽名證書和操縱軟體，其次是獲得經濟利益，後期針對德國企業和其他目標, 通常是來自於政治動機或高價值的技術組織。
來源QuoIntelligence-德國企業受Winnti Group攻擊的時間表
Tom Hegel在報告中說：“在攻擊者的理想情況下，所有遠端存取都是通過自己的C2基礎結構進行的，該C2基礎結構充當proxy並掩蓋了其真實位置。” “但是，我們已經觀察到一些攻擊者在沒有proxy的情況下錯誤地訪問受害者機器的情況，識別出在這個過程中個人的真實位置–中國聯通北京城西城區的Netblock 網段221.216.0.0/13。”
另外根據QuoIntelligence在2019年12月的報告，德國聯邦憲法保護局Germany’s Federal Office for the Protection of the Constitution（BfV）發佈了一份報告，該報告與所謂的中國政府贊助的駭客組織Winnti Group有關。通過的惡意軟體分析，QuoIntelligence相信他們發現的樣本與BfV報告中描述的Winnti樣本高度相似，該樣本還與國際資安公司ESET的白皮書”CONNECTINGTHE DOTS Exposing the arsenal and methods of the Winnti Group”有著共同特徵。想了解更多有關Winnti Group, 請參考以下OTX情資…
https://otx.alienvault.com/pulse/5e9f16be94921dc55f085324
https://otx.alienvault.com/pulse/5e7c8929e3065fc66d5a9f77
https://otx.alienvault.com/pulse/5e7b4a11d552fbcfce6c314d
https://otx.alienvault.com/pulse/5e4bbe896e6393eb79a1d2c9
ESET發布的”CONNECTINGTHE DOTS Exposing the arsenal and methods of the Winnti Group”的白皮書:
https://www.welivesecurity.com/wp-content/uploads/2019/10/ESET_Winnti.pdf
YARA規則GitHub 網址:
https://github.com/eset/malware-ioc/tree/master/winnti_group
*****竣盟科技快報歡迎轉載，但請註明出處
小編在週日看到東森新聞的節目”聚焦關鍵”討論了駭客入侵總統府的報導, 據知入侵的駭客團體為Naikon , 入侵的木馬為新型惡意程式Aria Body，台灣國安單位首次判定為認知攻擊, 小編在上週一已分享Aria body惡意程式的相關入侵指標和情資, 錯過的伙伴們請連結至我們的po
Aria Body惡意程式和Naikon駭客團體的OTX資訊
https://otx.alienvault.com/pulse/5eb2c66fa6da6120124cf84c
另外補充說明,據ThreatConnect的報告，Naikon駭客團體似乎隸屬於中國人民解放軍第二技術偵察局78020部隊，主要駐紮在中國南方城市昆明。據稱Naikon駭客團體負責中國在東南亞和南中國海的網路行動和技術間諜活動有理由相信駭客入侵總統府的動機為政治因素 。
Aria-body旨在滲透任何用來打開嵌入它的文件的電腦，並馬上讓機器服從駭客的指令, 包括建立一條秘密的、難以查出的通信線路，讓目標電腦上的數據通過這條線路流向攻擊者使用的伺服器。Aria-body也可以像寄生蟲一樣附著在各種類型的文件上，因此它沒有固定的活動模式。操縱Aria Body的駭客可以遠端更改部分代程式碼，所以在攻擊了一台電腦後，Aria-body在入侵下一台機器時看上去可能會不同。
# 竣盟科技資安快報#駭客團體Naikon
#需要👽SIEM👽記得找竣盟科技唷
#誘捕專家Acalvio的 ShadowPlex平台竣盟科技也有代理喔
#資安情資請看OTX
#快follow竣盟科技的粉絲專頁吧^^
*****竣盟科技快報歡迎轉載，但請註明出處。