Gartner 公布 2022年需要深挖的十二大戰略科技趨勢,雲端原生平台、分散式企業、組合性應用程式…還有什麼??

Gartner於10月19日在Gartner IT Symposium/Xpo 研討會上,分析師們公布了他們的最新研究成果,正式發布企業機構在2022年需要深挖及探索的十二項重要戰略技術趨勢, Gartner 研究副總裁 David Groombridge表示,CEO們進入 2022 年的兩大業務重點是擴大數位化和建立電子商務,將通過這種方式贏回在封鎖和大流行中損失的收入,以期加速重回業務。肩負著快速實現數位化以滿足CEO需求的CIO必須確保他們具備快速增長和擴展的技術基礎,同時應對混合工作制的新模式,這將使雲端原生平台、網路安全網格和分散式企業成為關鍵趨勢。

Photo Credit: Gartner

Gartner預測在2022年最重要的戰略技術發展趨勢包含:

1.超自動化Hyperautomation

2.生成式人工智慧 Generative Artificial Intelligence (AI)

3.資料結構Data Fabric

4.人工智慧工程AI Engineering

5.自主系統Autonomic Systems

6.決策智慧Decision Intelligence

7.組合性應用程式Composable Applications

8.雲端原生平台 Cloud-native Platforms (CNPs)

9.隱私增強運算Privacy-enhancing Computation (PEC)

10.網路安全網格Cybersecurity Mesh

11.分散式企業Distributed Enterprise

12. 全面體驗Total Experience (TX)

1.超自動化

自動化是數位化轉型的關鍵因素。超自動化(Hyperautomation)提出了一種更快的途徑來識別、審查和自動化整個企業的流程。Gartner 指出,為了最好地實現這一目標,需要重點關注的領域包括提高工作質量、加快業務流程的步伐以及培養決策的敏捷性。

2.生成式人工智慧 (AI)

Gartner 指出,在過去一年中,人們對生成式人工智慧的興趣和投資有所增加。生成式 AI 引用算法,可以使用現有內容(如音頻檔案、圖像或文本)來建立新內容。生成式人工智能可用於多種活動,如支援軟體開發、促進藥物研發和有針對性的營銷,但該技術也會被濫用於詐騙、政治造謠、偽造身份等。Gartner預計到2025年,生成式人工智慧將佔所有生成數據的10%,而目前這一比例還不到1%。

3.資料結構

Gartner 將資料結構(Data Fabric) 定義為一個設計概念,作為資料和連接過程的整合層(結構),作為一種跨平台和業務用戶的靈活、彈性資料的整合方式,資料結構可以顯著減少資料管理的工作,能夠簡化企業機構的資料整合基礎設施並建立一個可擴展架構來減少大多數資料和分析團隊因整合難度上升而出現的技術債務。

4. 人工智慧工程

人工智慧投資的持久力和持久價值在許多公司中參差不齊。一個問題是,一些公司部署了一次 ​​AI 模型並期望價值會永久增加,Gartner 副總裁David Groombridge指出,必須推動持續的努力和模型演變,以從這些投資中獲得更多收益,並指出人工智慧工程(AI Engineering)的採用應該會為人工智慧的工作帶來三倍的價值。 

5. 自主系統

儘管自主系統(Autonomic Systems)處於早期階段,但未來五年應該會從中產生更大的價值。具有內置自學習功能的自主系統可以動態優化性能,在惡劣環境中保護 [公司],並確保他們不斷應對新挑戰,自治系統是可以從所在環境中學習自我管理物理或軟體系統,與自動化甚至自主系統不同,自治系統無需外部軟體更新就可以動態修改自己的算法,使它們能夠像人類一樣迅速適應現場的新情況。Groombridge 指出,這種趨勢預示著軟體的自我管理水平會更高。

6. 決策智慧

決策智慧(Decision intelligence)旨在以可重複的方式對決策進行建模,以提高決策效率並加快實現價值的速度,它預計通過增強人類智慧的自動化來實現這一目標,透過清楚理解並精心設計做出決策的方式以及根據反饋評估、管理和改進結果的方式來改進決策。Gartner預測在未來兩年,三分之一的大型企業機構將使用決策智慧實現結構化決策,進而提高競爭優勢。

7. 組合性應用程式

組合性應用程的思想強調了應用程式的功能塊可以與整個應用程式分離。可以對組件部分進行更精細的調整,以建立比其單一前身俱有更大價值的新應用程式。Gartner 指出,利用組合性應用程式的公司在新功能實施方面可以超過競爭對手 80%。Groombridge表示:“在動蕩的時代,可組合的業務原則幫助企業機構駕馭對業務韌性和增長至關重要的加速變化。沒有它的現代企業機構可能會失去在市場中的前進動力和客戶忠誠度。”

8. 雲端原生平台

為了真正能夠在任何地方提供數位能力,企業必須放棄熟悉的直接遷移並轉向雲端原生平台 Cloud-native Platforms (CNPs)。CNP運用雲端計算的核心能力,向使用互聯網技術的技術創造者提供可擴展的彈性IT相關能力“即服務”,從而加快價值實現時間並降低成本。Gartner 認為,利用雲端技術的本質為技術人員提供 IT 相關功能即服務的雲端原生平台,將在2025 年為大多數新的數位計劃奠定基礎。

9. 隱私增強運算

隱私已成為整個商業環境中越來越重要的問題和優先事項。除了應對不斷成熟的國際隱私和數據保護法外,隱私增強運算(Privacy-Enhancing Computation)可以保護公司及其客戶的敏感數據,保護數據的機密性。Gartner 假設這是通過減少與隱私相關的問題和網路安全事件來維持客戶忠誠度的一種途徑,它認為到 2025 年,大約 60% 的大型企業將使用一種或多種隱私增強運算技術。

10. 網路安全網格

安全網格(Cybersecurity Mesh)是一種架構形式,它為安全 IT 資產提供了一種整合方法,無論它們位於何處。它通過將網路安全的邊界重新定義為個人或事物的身份,為網路安全提供了一種更加標準化和回應性更強的方法。據 Gartner 稱,這是一種在不到兩年的時間內將網路事件的財務影響減少 90% 的途徑。

11. 分散式企業

Gartner 相信混合工作方法的價值,相信那些完全啟用它的公司將實現比未啟用它的同行公司快 25% 的收入增長。這種模式允許員工以地域分散的方式工作,開闢了人才獲取的新途徑。

12. 全面體驗

全面體驗是一項結合客戶體驗、員工體驗、用戶體驗和多重體驗的業務戰略。全面體驗的目標是提升客戶和員工的信心、滿意度、忠誠度和擁護度。企業機構將通過實現具有適應性和韌性的全面體驗業務成果來增加收入和利潤。

駭客組織Desorden Group緊咬宏碁,加碼爆出駭入宏碁台灣的系統,已盜走並釋出員工的敏感資料

根據資安外媒Privacy Affairs,在入侵宏碁印度(Acer India)僅三天後,駭客組織 Desorden表示已經入侵宏碁台灣總部的伺服器,在伺服器上發現儲存了有關其員工和產品資訊的數據,並同時聲稱也已在宏碁馬來西亞和印尼網路上發現了漏洞,就此次入侵事件駭客組織Desorden Group以email聯繫了Privacy Affairs,並表示他們並沒有竊取所有數據,只下載了與宏碁員工有關的詳細資訊。這次網路攻擊主要是想證明,宏碁的全球網路系統很容易就被入侵,另外Desorden聲稱在入侵後,立即通知了宏碁的管理層,隨後宏碁也將受入侵影響的伺服器下線。

Desorden以email聯繫了Privacy Affair ,Photo Credit: Privacy Affair

據了解,在資料外洩的樣本中顯示了最近在10月14 日的數據,表明所謂的駭攻應該是發生在14日左右的某個時間,被盜的資料包括登錄資訊,位於台灣的伺服器和內部管理面板的密碼等。

這次新的駭客攻擊事件是在上一次Desorden攻擊了宏碁印度之後三天發生的, Desorden 表示經濟動機(financially motivated )是其駭攻原因之一,但目前仍不清楚駭客實際要求多少贖金。

Photo Credit: Privacy Affair

電腦巨頭宏碁驚爆今年第二度遭駭,承認其印度子公司的售後服務系統被入侵,駭客稱已盜60 GB的數據

Key Points:

*繼今年3月宏基遭REvil勒索軟體加密並被勒索天價14億台幣後,現被爆其印度子公司被名為”Desorden Group”的駭客組織盜取了60GB的數據

*宏基印度子公司在2012年亦曾遭駭,被盜20,000個用戶憑證

最近有駭客在一個論壇上宣傳出售宏碁超過 60 GB 的數據後,台灣電腦品牌大廠宏碁的一位發言人今天證實,該公司遭遇了今年第二次網攻事件,一個名為 Desorden Group 的駭客組織在RAID論壇 (RAID是過去幾年駭客用來勒索公司和出售被盜數據使用的論壇)上表示,它從宏碁印度(Acer India)伺服器中竊取了超過 60GB 的檔案和數據,其中包括屬於宏碁印度零售商和分銷商的客戶、公司和財務數據以及登錄的詳細資訊。作為證據,Desorden Group 還提供了一段視頻,其中展示了被盜檔案和數據庫、10,000 名客戶的記錄以及 3,000 家印度宏碁分銷商和零售商的被盜憑證。這是繼REvil在3月份的勒索攻擊之後,這家電腦巨頭的系統今年第二次遭到入侵。

Photo Credit: Privacy Affairs
Photo Credit: Privacy Affairs

宏碁發言人企業傳訊部的 Steven Chung在一封電子郵件中證實了駭攻,並聲明如下:

我們最近檢測到對我們在印度當地售後服務系統的孤立攻擊(isolated attack)。一經發現,我們立即啟動了安全協議並對我們的系統進行了全面掃描。我們正在通知印度所有可能受影響的客戶。該事件已報告給當地執法部門和印度Cert,對我們的運營和業務連續性沒有重大影響。

Desorden Group最近也曾發動過攻擊,在9月23日,Desorden 在嘉里物流馬來西亞分公司ABX Express的伺服器偷取了200GB數據,1500 萬條客戶記錄被盜,數據洩露還涉及ABX Express合作夥伴(Lazada、Shopee 等)

日本Olympus的EMEA分公司在九月份遭到BlackMatter勒索軟體攻擊,今在十月份其美洲分公司又被網攻,被迫關閉IT系統

日本科技巨頭Olympus證實,它在周末遭到網攻,迫使其關閉了在美國、加拿大和拉丁美洲(Americas)的 IT 系統。Olympus在其網站上的一份聲明中表示:

*於 10 月 10 日在美洲的 IT 系統檢測到可疑活動,並正在努力解決此問題

*Olympus已暫停受影響的系統;事件對其他地區沒有已知的影響

Olympus沒有透露在潛在的網路安全事件期間,客戶或公司數據是否被存取或被盜,表示調查仍在進行中,也會陸續提供有關此事件的更新。這與Olympus上個月在其歐洲、中東和非洲(EMEA)的IT系統遭到網路攻擊後發表的聲明幾乎相同。上個月,儘管Olympus沒有分享任何關於攻擊者身份的資訊,但據知情人士透露,Olympus的EMEA的IT系統是從勒索軟體攻擊中恢復過來,在受感染的系統上留下了來自 BlackMatter勒索軟體組織的勒索信。

Olympus沒有透露有關襲擊其美洲 IT 系統的攻擊性質的詳細資訊,但眾所周知,勒索軟體組織會在周末和假期進行攻擊以延遲檢測。FBI 和 CISA在 8 月發布的聯合諮詢中表示,他們“觀察到在美國的假期和周末(辦公室通常關閉時)發生的極具影響力的勒索軟體攻擊有所增加。

資安公司Egnyte表示,在短短一個月內像Olympus這樣的科技巨頭的第二次網路攻擊是一個重要的警示:任何大型跨國公司都不應認為自己可以避免於勒索軟體攻擊。

香港的數位行銷公司Fimmick遭REvil勒索軟體入侵,官網目前關閉,REvil宣稱已盜1TB的數據

根據資安外媒的ZDNet報導,香港的Fimmick(日崚)成為最新受REvil勒索軟體攻擊的受害者!Fimmick在香港、日本、台灣及中國各地設有辦公室,其客戶包括麥當勞、可口可樂、Shell、華碩等多家知名企業,現時 Fimmick的網站呈現「維護中」的狀態。

Fimmick官網呈現維護中的狀態

根據英國資安公司 X Cyber​​ Group 的執行長Matt Lane 表示,在美國時間的周2,發現 REvil 入侵了 Fimmick 的數據庫,據指Fimmick的數據庫中有​​來自多個全球品牌的數據,操作REvil勒索軟體的駭客在其揭秘網站Happy Blog中,上傳盜來的數據目錄,名單上有 Cetaphil、麥當勞、可口可樂、Adidas和 Kate Spade、 Acuvue等企業。

Photo Credit: Darkfeed

對於勒索軟體攻擊者而言,行銷公司具有極高程度的吸引力,由於與其他企業有緊密合作,擁有很多大公司的重要數據,能觸發更多可攻擊的目標,就像攻擊服務提供商一樣,或會觸發骨牌效應,令其他使用受害者服務的企業同受波及,攻擊這兩類公司可讓勒索軟體組織獲得更大的收益。

資安公司 Recorded Future的勒索軟體專家Allan Liska 表示,留意到行銷公司相較容易受到攻擊,尤其是網路釣魚攻擊,因為他們經常接觸不同類型的客戶,並會收到大量帶有附件的電子郵件,而這正正是勒索軟體組織最喜歡的初始接觸受害者的方法,去年至少有其他三間行銷公司(Wieden+Kennedy、MBA Group 和 Empirical Research Partners)受到勒索軟體的攻擊,但Liska 又指,被攻擊的行銷公司的實際數量可能還要更多,但與學校或醫院不同,當行銷公司受到勒索軟體攻擊時,它很少成為頭條新聞。 McAfee 在最近發布的深度威脅研究報告Ransomware’s Increasing Prevalence中指出,REvil勒索軟體是占2021年第二季勒索軟體攻擊的檢測量第1名,總檢測量為73%,第2和3名攻擊最兇的勒索軟體分別是RansomEXX和Ryuk。

REvil以向受害者索取高昂贖金而臭名昭著,當中遭勒索的企業包括:

*日月光集團旗下子Asteelflash Group曾遭勒索2400萬美元

*Acer曾遭勒索5千萬美元

*廣達曾遭勒索5千萬美元

*美國JBS Food承認支付1100 萬美元

*Kaseya被REvil勒索7千萬美元

有關REvil勒索軟體的入侵指標(Indicator of compromise -IOCs):

SHA 1: 29f16c046a344e0d0adfea80d5d7958d6b6b8cfa

SHA1: 9586ebc83a1b6949e08820b46faf72ee5b132bca

SHA1 :45404b862e70a7a1b4db6c73d374b8ac19ddf772

SHA1: 446771415864f4916df33aad1aa7e42fa104adee

SHA 256: ea1872b2835128e3cb49a0bc27e4727ca33c4e6eba1e80422db19b505f965bc4

SHA 256 : d6762eff16452434ac1acc127f082906cc1ae5b0ff026d0d4fe725711db47763

SHA 256:

796800face046765bd79f267c56a6c93ee2800b76d7f38ad96e5acb92599fcd4

SHA 256:

3d375d0ead2b63168de86ca2649360d9dcff75b3e0ffa2cf1e50816ec92b3b7d

MD5:395249d3e6dae1caff6b5b2e1f75bacd

MD5: ab3229656f73505a3c53f7d2e95efd0e

MD5: 96a157e4c0bef22e0cea1299f88d4745

注意了~繼北市某製造業遭LockBit2.0攻擊,今見台灣上市工程公司也遭殃!

號稱史上加密速度最快的勒索軟體LockBit2.0又來襲,新北市某上市工程公司遭其毒手, 10月6日竣盟科技在LockBit2.0的揭秘網站上,發現某工程公司的資料,據了解,LockBit2.0在10月3日發布有關公司的受害者頁面,並聲稱會在10月9日公開盜來的數據,但目前仍沒看到任何疑似外洩的檔案作為攻擊的證據,也不知道LockBit2.0獲取了多少數據和要求的勒索贖金額,另外,目前也尚不清楚LockBit2.0是如何入侵該公司以及安全漏洞是何時發生,該公司在近期發布之重大訊息中並也沒有包含任何資安事件。

與其他操作勒索軟體組織一樣,LockBit 2.0 實施了把勒索軟體當成一種服務販售的運作方式,也就是勒索軟體即服務(Ransomware-as-a-Service;RaaS),同時會招募員(Affiliate)並維護會員的網路。 LockBit勒索軟體自2019年9月始一直活躍,直到2021 年 6 月宣布推出LockBit 2.0 RaaS計劃。LockBit對外表示,會員只需要對核心伺服器建立存取,其餘的工作全由LockBit 2.0一手包辦。

另外,根據外媒的報導,LockBit2.0最近的受害者名單包括以色列航空與國防公司 EMIT Aviation Consulting Ltd、 Riviana、Wormington & Bollinger、Anaasia Group、Vlastuin Group、SCIS Air Security、Peabody Properties、DATA SPEED SRL、Island Independent Buying Group、Day Lewis、Buffington Law Firm 和全球其他數十家公司,可見LockBit2.0發動攻擊的趨勢沒有下滑,仍異常的活躍,

8月初IT顧問公司Accenture和8月底泰國的曼谷航空也成為LockBit2.0的受害者,澳洲網路安全中心 (ACSC) 在今年8 月警告稱 ,從 7月開始它們觀察到LockBit2.0在當地的製造、零售、營建等產業發起了一連串的入侵活動,攻擊數量持續上升。9月初,發現台灣某製造業大廠中了LockBit2.0,今在一個月內又發現我國企業遭同一勒索軟體入侵,可見LockBit2.0值得我們高度關注。

竣盟科技建議針對勒索軟體的應對措施:

*由於您的所有文件都是使用軍用級加密算法進行加密的,而且密鑰在犯罪者手上,因此基於原始數據復原(指解密),這是個無解的困境。

*向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後,對方有可能會就此停止聯繫,甚至解密器可能無法工作,或其本身帶來了更多威脅。

*千萬不要使用號稱功能強大的反惡意軟體,這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後,您可能失去的更多。

*針對勒索病毒的危害,正確的應對措施是平日的多重備份機制與定時的還原演練。

*除了基本的防火牆外,還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護,以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

*佈署威脅偵測機制,如 SIEM、HIDS、封包檢測及進階誘捕系統等產品,可以早期發現,並防止威脅擴散。

對於重要的交易系統,可以佈署執行程序限制方案,防止惡意程式的執行。

*透過教育訓練與各種攻擊演練,加強終端用戶的資安防護意識。

有關LockBit2.0勒索軟體的入侵指標(Indicator of compromise -IOCs):

LockBit2.0 Tor Domains:

hxxp://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd[.]onion

hxxp://lockbitsap2oaqhcun3syvbqt6n5nzt7fqosc6jdlmsfleu3ka4k2did[.]onion

hxxp://lockbitsup4yezcd5enk5unncx3zcy7kw6wllyqmiyhvanjj352jayid[.]onion

SHA256: 66b4a0681cae02c302a9b6f1d611ac2df8c519d6024abdb506b4b166b93f636a

SHA 256: 36e33eb5280c23cbb57067f18514905e42f949250f95a5554f944180fcd5fe36

MD5: f47e3555461472f23ab4766e4d5b6f6fd260e335a6abc31b860e569a720a5446

MD5: 0dd0cb0eda6374e48e6cc403151ac5ba

SHA 1:c96924053567407dc917d0abb9ed89fd7f99d574

SHA256: f47e3555461472f23ab4766e4d5b6f6fd260e335a6abc31b860e569a720a5446

SHA 256:6d15cf3f757f4df04b425252041b1d679b084d82bf62bf12bebc82a9d7db621f

SHA 256: dae5fbdaa53b4f08876e567cf661346475ff4ae39063744ca033537d6393639a

SHA 256: ce162d2d3649a13a48510e79ef0046f9a194f9609c5ee0ee340766abe1d1b565

SHA 256: c667c916b44a9d4e4dd06b446984f3177e7317f5f9cff91033d580d0cc617eaa

SHA 256: 7e97f617ef7adbb2f1675871402203c245a0570ec35d92603f8f0c9e6347c04a

日本跨國電子企業JVC KENWOOD遭Conti入侵, 1.5TB 數據被竊,並遭勒索700 萬美元

9 月 29 日,日本JVC KENWOOD透露其歐洲公司受到網路攻擊,伺服器經未授權存取。據新聞稿,JVC KENWOOD在9月22日發現集團在歐洲的一些銷售公司出現無法收發電子郵件的問題,經調查,發現伺服器遭被外部存取,影響了JVC KENWOOD集團旗下荷蘭、比利時和英國的公司。據信,員工和業務合作夥伴的電話號碼和電子郵件地址等個人資料恐遭外洩。JVCKenwood 是一家總部位於日本的跨國電子公司,擁有 16,956 名員工,2021 年的收入為 24.5 億美元。該公司以其 JVC、Kenwood 和 Victor 品牌而聞名,這些品牌生產汽車和家庭音頻設備、醫療保健和無線電設備等。

今天,據外媒BleepingComputer的報導,一位消息人士分享了這次針對 JVC KENWOOD攻擊中來自CONTI 勒索軟體的勒索信。另外在一次談判中,操作Conti的駭客告訴JVC KENWOOD,他們已竊取了 1.5 TB 的檔案,並要求 700 萬美元贖金,以換取不公佈數據並提供解密工具。同時,攻擊者分享了一份 JVCKenwood 員工的掃描護照PDF檔案作為證明,但自提供證明以來,JVCKenwood 代表沒有進一步聯繫,表明該公司可能不會支付贖金。

據日本媒體Security Next報導,JVC KENWOOD對於受影響的系統,啟動了一個新的臨時系統並恢復了操作。

據信Conti勒索軟體是由 TrickBot的駭客組織運營,通常在網路被TrickBot、BazarBackdoor 和 Anchor 木馬入侵後安裝。過去曾遭Conti入侵的公司有研華愛爾蘭衛生健康署蘇格蘭環境保護局新西蘭五間醫院等。八月初,Conti的會員(Affiliate)因分到的贖金太少,心生不滿的在地下駭客論壇XSS上載了Conti勒索軟體培訓會員及用於攻擊的手冊,使執法部門和研究人員能深入了解他們的策略,但也沒有影響Conti的攻擊。在上週,美國FBI、CISA 和 NSA 共同發佈針對Conti勒索軟體的攻擊持續激增的警報。

研究人員發現,俄羅斯APT駭客組織Turla 在攻擊目標系統上部署新型的second-chance後門程式

研究人員發現俄羅斯國家級駭客 Turla是一系列新的入侵活動的幕後黑手,該攻擊活動使用以前未被記錄過的新型後門程式來入侵美國、德國和阿富汗的系統。根據Cisco Talos的研究,俄羅斯的APT 駭客組織Turla (又名Snake、Venomous Bear、Uroburos和WhiteBear) Turla至少自2004年以來就一直活躍。多年來,該組織以美國、烏克蘭或阿拉伯國家為目標,開發並維護了一套龐大的攻擊工具,如Crutch或Kazuar。

這一系列新的入侵活動利用一個隱蔽的second-chance後門” TinyTurla”來維持被感染的設備的存取權限。在這裡”second-chance “意指可作為第二次入侵的使用,據了解Tiny Turla後門很難被清除,即使被感染的機器清除了主要的惡意軟體,攻擊者也能繼續保持對系統的存取,同時還可以用作第二階段的dropper,用其他惡意軟體感染系統。此外,TinyTurla 可以上傳和執行檔案或將敏感數據從受感染的機器傳輸到遠端伺服器,同時每五秒請求一次C2伺服器以獲取最新的命令。

TinyTurla的入侵活動涉及使用.BAT 檔案來部署惡意軟體,但確切的入侵途徑尚不清楚,另外研究人員發現,這個新穎的後門——偽裝成一個無害但虛假的微軟 Windows 時間服務(“ w32time.dll ”),能夠上傳、執行或竊取檔案,被編排以註冊自身與攻擊者控制的伺服器建立通信,以接收進一步的指令,範圍從下載和執行任意進程到將命令的結果上傳回伺服器。

由於TinyTurla的功能有限且編碼高效,反惡意軟體工具很難檢測到它是惡意軟體。這也就解釋了為什麼儘管攻擊者從2020年就開始部署它,但是一直沒有被發現。

有關TinyTurla的入侵指標Indicators of compromise (IOCs):

SHA256:

030cbd1a51f8583ccfc3fa38a28a5550dc1c84c05d6c0f5eb887d13dedf1da01

SHA1: 02c37ccdfccfe03560a4bf069f46e8ae3a5d2348

MD5:

028878c4b6ab475ed0be97eca6f92af9

微軟警告說SolarWinds 事件的攻擊者Nobelium,利用一個名為“FoggyWeb” 的後門針對性攻擊 AD FS伺服器

惡意後門可竊取Windows domains的敏感數據

微軟的報告稱, Nobelium 正在使用一種新開發的後門,該後門能夠從受感染的Active Directory 同盟服務(Active Directory Federated Services,AD FS)伺服器中竊取敏感數據。

FoggyWeb後門通訊的示意圖(Photo credit:微軟)

Nobelium駭客組織是去年針對 SolarWinds 的 Orion 軟體的大規模供應鏈攻擊的幕後黑手。從那以後,微軟持續追踪Nobelium攻擊的活動,其中包括在 5 月份冒充美國國際開發署 (US Agency for International Development ; USAID) 的電子郵件活動。最近,微軟威脅情報中心 (MSTIC) 表示,Nobelium組織使用名為 FoggyWeb 的新型惡意軟體,用於盜竊憑證來獲得對 AD FS 伺服器的管理員級別的存取權限。微軟表示早於2021 年 4 月,已發現FoggyWeb後門的蹤跡,並已通知了觀察到成為目標或受到威脅的客戶。

FoggyWeb 是一種針對性強的後門,允許濫用SAML token,並為參與者定義的 URI 配置 HTTP 偵聽器,以攔截發送到與自定義 URI 模式匹配的AD FS 伺服器的 GET/POST 請求,從而從受感染的 AD FS伺服器中遠端竊取敏感數據。它還可以從C2伺服器接收其他惡意命令,並在受害者的伺服器上執行它們。微軟說,Nobelium利用FoggyWeb後門遠端滲透受感染的 AD FS 伺服器中的配置數據庫、解密的Token-Signing 憑證和Token-Decryption憑證,以及下載和執行其他組件。

微軟提供有關FoggyWeb的入侵指標Indicators of compromise (IOCs):

美國CISA、FBI 和 NSA聯合警告,涉及Conti勒索軟體的攻擊持續升溫

儘管在幾週前Conti勒索軟體遭會員爆料並公開其攻擊和培訓的技術手冊,但 Conti 的攻擊並沒有放緩,在9月22 日,美國網路安全暨基礎安全局(CISA)、聯邦調查局(FBI)和國家安全局(NSA)共同發佈針對Conti勒索軟體的攻擊持續激增的警報,這三個美國聯邦機構稱,已觀察到Conti 勒索軟體對美國和其他國家的組織發動了 400 多次的攻擊,敦促企業 IT管理員審查其組織的網路安全狀況,並立即實施聯合警告中概述的行動,以抵禦 Conti 勒索軟體。

為了保護企業系統免受 Conti 勒索軟體的侵害,CISA、FBI 和NSA建議實​​施公告中描述的緩解措施,其中包括要求多因素身份驗證 (MFA)、實施網路分段以及保持操作系統和軟體是最新的版本。

根據這三個美國聯邦機構,操作Conti 的攻擊者常利用合法的遠端監控和管理軟體以及遠端桌面軟體作為後門來維持受害者網路的持久性。攻擊者使用受害者網路上已有的工具——並根據需要再添加額外的工具,如 Windows Sysinternals 和 Mimikatz——來獲取用戶的hashes和明文憑證,這使攻擊者能夠提升網域內的權限並執行其他後滲透攻擊和橫向移動。在一些被觀察到的案例,攻擊者還使用 TrickBot 惡意軟體來執行後滲透攻擊任務。

Conti 勒索軟體一個勒索軟體即服務 (RaaS),於 2019 年 12 月底首次出現,並通過 TrickBot 感染進行傳播,據信Conti由一個名為Wizard Spider的俄羅斯網路犯罪組織控制。自 2020 年 8 月以來,Conti在暗網啓動了其揭秘網站Conti News ,以揚言發佈盜取得來的機敏數據來威脅受害者,一般來說,在一個典型的Conti 勒索軟體攻擊中,操作Conti的駭客會竊取檔案、加密伺服器和工作站,並要求支付贖金。

另外,Conti 與臭名昭著的 Ryuk 勒索軟體共享其大部分程式碼,在 Ryuk 的攻擊活動於 2020 年 7 月開始放緩後,與TrickBot相關的駭客改用部署Conti勒索軟體進行攻擊,因此Conti被視為是Ryuk的接班人

以下為聯合警告中提供的緩解措施:

*使用多重身份驗證。

*實施網路分段和過濾流量。

*掃描漏洞並保持軟體更新。

*刪除不必要的應用程式並控管好應用

*實施使用端點和檢測回應工具。

*限制對網路資源的存取,尤其是限制 RDP。

*保護用戶帳戶

*如果受感染,請使用勒索軟體回應清單(Ransomware Response Checklist)