作者: blogadmin

【資安觀點】DragonForce 勒索軟體濫用 SimpleHelp，發動針對 MSP 的供應鏈攻擊

Posted on by blogadmin
Photo Credit: Sophos

2025 年初，勒索軟體集團 DragonForce 發動一起具有高度戰略性的攻擊行動，成功入侵一家受託管理服務供應商（MSP），並濫用其遠端管理工具 SimpleHelp，針對多家下游客戶展開雙重勒索攻擊。這起事件不僅再度暴露 MSP 在供應鏈安全中的高風險地位，也凸顯遠端監控與管理平台成為攻擊者的熱門武器。

01｜攻擊概覽：從 MSP 入手、層層滲透

根據 Sophos 的資安調查報告，DragonForce 疑似利用 SimpleHelp 未修補的三個漏洞（CVE-2024-57727、57728、57726）作為攻擊入口。攻擊者在取得 MSP 系統控制權後，直接操作 SimpleHelp 進行下列行動：

  • 偵察與側錄： 針對 MSP 客戶系統進行橫向偵察，蒐集裝置資訊、用戶帳號、系統組態與網路連線資料。
  • 資料竊取與部署加密器： 將勒索軟體推送至多個客戶環境，有部分成功加密與資料外洩。
  • 雙重勒索策略： 除了加密資料，更威脅公開外洩資料以提高贖金壓力。

02｜SimpleHelp：MSP 的利器，也可能是攻擊者的捷徑

SimpleHelp 是許多 MSP 廣泛部署的遠端支援工具，用來存取、維運與部署軟體。正因其高度系統權限與跨客戶的控管能力，一旦遭到濫用，便成為攻擊者可以“一次入侵，多點打擊”的絕佳利器。

值得注意的是，DragonForce 並非首例濫用 MSP 工具的勒索集團。過去，REvil 曾利用 Kaseya 發動大規模供應鏈攻擊，影響逾千家企業；而 ConnectWise ScreenConnect 亦屢次成為攻擊渠道。

03｜攻擊者輪廓：DragonForce 正在擴張其「勒索聯盟」

DragonForce 此前已在英國知名零售商 Marks & Spencer、Co-op 的攻擊中現身，成功竊取大量顧客資料，並部署勒索程式。根據 BleepingComputer 的觀察，該集團正推動一種 白標式勒索軟體即服務（White-label RaaS）模式，允許 affiliate 使用自訂品牌部署 DragonForce 的加密工具，試圖建立類似「勒索聯盟」的網路勢力。

這種 affiliate-friendly 模型降低了技術門檻，讓更多駭客團體能輕易使用強大的勒索工具，加速勒索產業的「商品化」。

04｜專家觀點：MSP 是新戰場的核心破口

MSP 因具備橫跨多家企業的系統存取權限，正逐漸成為勒索集團的主要攻擊目標。資安團隊若忽視 MSP 工具的風險評估與存取控管，將讓供應鏈變成最薄弱的一環。

建議重點如下：

  • 立即盤點與修補： 確認是否仍使用受影響版本的 SimpleHelp 並盡快更新至最新版本。
  • 強化帳號保護： 為 MSP 工具啟用多因素驗證（MFA）、限制系統權限，並落實最小授權原則。
  • 監控異常活動： 部署端點與網路層級的偵測機制，持續監控 RMM 工具的異常使用行為。
  • 與 MSP 合作建立資安SLA： 要求 MSP 提供漏洞修補時間表與異常存取通報機制。

結語｜面對供應鏈威脅，防禦不能只守城門

本次 DragonForce 濫用 SimpleHelp 的案例，再次提醒我們：「敵人早已不再從正面突破，而是從你信任的供應商後門潛入。」

無論您是企業、MSP 或資安廠商，都應將供應鏈風險納入核心資安治理範疇。透過持續風險監控、漏洞修補與零信任架構的實踐，才能真正提升整體抵禦勒索攻擊的能力。

【資安觀點】FBI 查封 LummaC2 惡意軟體主控網域：全球竊資行動遭重創

Posted on by blogadmin
美國司法部的查封公告

美國司法部（DOJ）日前正式宣布，透過兩張獲得法院核准的搜查令，成功查封五個與知名竊資惡意軟體 LummaC2 有關的網域，此行動由 FBI 聯同微軟、及多個政府機構與民間單位協力完成。

這起跨國打擊行動對全球資訊竊取活動造成重大衝擊，也再次凸顯「惡意軟體即服務（Malware-as-a-Service, MaaS）」模式所帶來的資安風險正持續升高。

LummaC2 是什麼？為何它備受關注？

LummaC2 是一種資訊竊取型惡意軟體（Infostealer），近年來於地下網路世界中聲名大噪，成為黑市中最受歡迎的竊資工具之一。此類惡意軟體可在感染裝置後竊取以下資訊：

  • 瀏覽器自動填寫資料與歷史紀錄
  • 電子郵件與網銀帳號密碼
  • 加密貨幣錢包助記詞（seed phrases）
  • 各類個人敏感資料與認證憑證

這些被竊資訊，最終可能被用於盜領銀行帳戶、身份冒用、或發動進一步針對企業或個人的攻擊，例如 BEC 詐騙或資料勒索。

背後運作模式揭密

根據法院文件揭露，LummaC2 的操作者經營多組網域，這些網域主要作為用戶後台（user panels）使用，提供已購買或租用服務的駭客夥伴部署惡意軟體、遙控感染裝置、並回傳所竊資料。

FBI 調查發現，全球至少有 170 萬個裝置遭 LummaC2 感染並資料外洩，可見其規模之龐大與滲透範圍之廣。

FBI 行動時間軸總覽

  • 2025 年 5 月 19 日：美國政府查封與 LummaC2 相關的兩個主要網域。
  • 2025 年 5 月 20 日：LummaC2 管理員緊急發布三個替代網域，供用戶恢復操作。
  • 2025 年 5 月 21 日：FBI 立即回應，再次查封上述三個新網域，徹底中斷服務。

目前這些網域已無法訪問，僅顯示 DOJ 與 FBI 的查封公告，意味著該服務暫時無法對外營運。

官方聲明重申威脅嚴峻

  • DOJ 國安局長 Sue J. Bai 表示：「這次行動彰顯公私協力在網路威脅應對中的關鍵角色。」
  • 刑事調查部門主管 Matthew R. Galeotti 指出：「LummaC2 竊取數百萬人個資，助長銀行詐騙與虛擬貨幣盜竊。」
  • FBI 資安部門助理局長 Bryan Vorndran 強調：「這是目前地下市場中最廣泛使用的 infostealer 之一。」

除了查封行動，微軟也同步提起民事訴訟，額外關閉 2,300 個可能與 LummaC2 有關的網域，此舉反映科技業對抗資安威脅的決心與責任。

資安專家觀點：這場戰役只是開端

雖然這次成功癱瘓 LummaC2 的核心基礎設施，但我們作為資安專業人員必須正視一個現實：惡意軟體供應鏈具有高度替代性與彈性。只要需求仍存在，其他類似的 infostealer 工具勢必會繼續出現，甚至升級演化以規避偵測。

建議企業與個人應採取的防禦措施：

  1. 導入端點偵測與回應系統（EDR/XDR）：強化對 infostealer 行為的即時攔截能力。
  2. 限制使用者權限：防止惡意軟體於感染後快速橫向移動。
  3. 加密憑證與資料儲存機制：避免明文存放登入資訊。
  4. 定期審查瀏覽器與密碼管理器中的自動填寫內容。
  5. 教育員工警覺釣魚郵件與社交工程攻擊。

結語：資訊戰不斷演進，防守思維不能停滯

LummaC2 案再次提醒我們：資安並非單一事件的應對，而是一場持續進行的長期戰爭。只有結合技術、流程與意識教育，並積極參與公私協作網絡，才能有效降低風險，保護我們的數位資產與未來。

【資安通報】新型勒索軟體 Bert 現身：結合進階規避技術與雙重勒索戰術，企業須嚴陣以待

Posted on by blogadmin

首次發現時間：2025年4月初
威脅等級：高
攻擊手法：雙重勒索（加密檔案 + 資料外洩威脅）
主要傳播管道：釣魚郵件、偽冒軟體更新、漏洞利用等

威脅概觀

Bert 勒索軟體是 2025 年出現的新型勒索軟體家族，具備典型的「雙重勒索」特性：不只對受害者的檔案進行加密，此外，Bert 擁有資料外洩網站（Data Leak Site），若企業拒絕支付贖金，攻擊者將在此平台曝光竊取的敏感內容，造成更嚴重的商譽損害與合規風險。

被加密的檔案會加上副檔名：.encryptedbybert，並產生一份名為 .note.txt 的勒索說明文件，要求受害者透過 Session 通訊應用程式聯繫攻擊者，這也顯示攻擊者重視匿名性與規避執法機構追蹤的能力。

已知受害對象

  • SIMCO Electronics（美國）
  • Yozgat City Hospital（土耳其）
  • National Ticket Company（美國）
  • 台灣某半導體供應鏈廠商

目前觀察顯示，Bert 並未鎖定特定產業，攻擊對象涵蓋醫療、製造、服務等多個垂直領域，顯示其行動以經濟利益為主導。

攻擊技術與行為特徵

  • 檔案加密副檔名：.encryptedbybert
  • 勒索訊息檔名：.note.txt
  • 通訊方式：Session App（匿名即時通訊工具）
  • 加密同時竊取機敏資料進行勒索
  • 傳播方式包括：
    • 含有惡意巨集的 Office 文件（釣魚郵件）
    • 偽裝成更新程式或破解工具的惡意執行檔
    • 網頁掛馬與漏洞利用
    • 外接裝置如 USB 傳染

MITRE ATT&CK 戰術與技術對應

根據對 Bert 勒索軟體樣本的靜態與動態行為分析，其攻擊鏈可明確對應至多項 MITRE ATT&CK 技術，涵蓋從初始執行到資料加密的各階段。以下為相關技術對應摘要：

高級規避與持久化技術

Bert 除了具備典型勒索軟體功能，更整合虛擬化與沙箱環境偵測機制（T1497），可有效繞過自動化分析與監控系統。其進一步透過修改 Windows 的 Image File Execution Options（IFEO）登錄機碼，實現程序攔截與靜默執行，從而增強持久性與隱蔽性。這類技術顯示 Bert 擁有高度模組化與針對分析環境調適的能力。

初步攻擊指標（Indicators of Compromise, IOC）

檔案資訊：

  • 加密副檔名：.encryptedbybert
  • 勒索說明檔名：.note.txt

疑似通訊 ID（Session App 範例）：

  • 05be2653fc28a7b9ee95c8cda412bf2c749fa2bd9e7f650bbaaf116e0ac315d5

可疑檔案路徑：

  • C:\Users\[username]\AppData\Roaming\Bert\payload.exe
  • C:\ProgramData\BertLauncher\launch.bat

可疑下載 URL（應列入封鎖名單）：

  • hxxp://malicious-domain[.]com/updates/officepatch.exe
  • hxxps://fileshare[.]xyz/crack/BertLoader.exe

相關 SHA-256 檔案雜湊：

  • ad4ef2d5c7a3cfdfebcfaf726c8de12349b30b5e72438dc7f3a8eb95e2b10f13

防禦建議

  1. 強化備份策略
    定期備份關鍵資料，並儲存於 離線或不可變更（Immutable）儲存設備，防止勒索軟體加密備份檔案。
  2. 端點偵測與回應（EDR）
    部署具行為分析與威脅獵捕功能的 EDR 工具，監控可疑檔案執行、權限異常提升、系統 API 操作等行為。
  3. 員工資安訓練
    針對釣魚郵件、社交工程、非法軟體安裝等進行教育訓練。可結合 模擬攻擊演練（Phishing Simulation） 增加實戰應對經驗。
  4. 監控異常 Session 通訊與加密行為
    設置 SIEM/IDS 規則偵測使用 Session 通訊 App 的流量（如 port 4280），以及大量檔案加密、重命名等行為。
  5. 引入誘捕防禦技術（Deception Technology）
    在企業內部部署誘餌帳號（decoy accounts）、虛假資料夾、仿真伺服器等誘捕資產，一旦遭到存取，立即觸發告警。
    • 有效偵測橫向移動與勒索軟體活動
    • 適合與 SIEM、EDR 結合使用
    • 可作為早期偵測機制，比傳統病毒碼更快發現新變種行為

專家觀點總結

Bert 勒索軟體反映出現代勒索攻擊者的策略日益成熟，除了透過加密造成業務中斷，更強調資訊外洩帶來的威脅與談判籌碼。面對這類新型威脅，企業應建立「資安韌性框架」，從預防、防禦、監控到應變流程全面強化。

【資安警示】BianLian 與 RansomExx 利用 SAP NetWeaver 漏洞部署 PipeMagic 木馬程式

Posted on by blogadmin
Photo Credit: SAP

近期，兩個知名的勒索軟體集團——BianLian 與 RansomExx，被發現正在濫用 SAP NetWeaver 平台的一項重大漏洞（CVE-2025-31324），並藉此部署新型木馬程式 PipeMagic。這項發現再次證明了高價值企業應用系統（如 SAP）對進階持續性威脅（APT）組織具有高度吸引力，並且正被多方惡意勢力同時針對。

漏洞概況：CVE-2025-31324 與 PipeMagic 的關聯

根據資安公司 ReliaQuest在 5月14日發布了研究報告的更新，他們發現了來自 BianLian 勒索集團 和 RansomExx 勒索家族（微軟稱其為 Storm-2460） 的攻擊證據。研究團隊追蹤到與過往 BianLian 架構有關聯的 IP 位址，進一步證實該組織參與了至少一起事件。

報告指出，一台 IP 為 184[.]174[.]96[.]74 的伺服器正在運行由 rs64.exe 啟動的反向代理服務，該伺服器所使用的 SSL 憑證與埠號與先前 BianLian 的 C2 基礎設施相同，另一個 IP 184[.]174[.]96[.]70 也被確認由同一託管服務商管理，強化了 BianLian 涉案的可信度。

PipeMagic 木馬及零時差漏洞的攻擊鏈

值得警惕的是，ReliaQuest 發現此波攻擊不僅針對 SAP，還搭配部署了一個名為 PipeMagic 的模組化木馬程式。該木馬近期曾被用於攻擊 Windows CLFS 系統的一項權限提升漏洞（CVE-2025-29824），並已影響到美國、委內瑞拉、西班牙與沙烏地阿拉伯等國的機構。

駭客在利用 SAP NetWeaver 漏洞成功植入 web shell 後，透過這些後門傳送 PipeMagic。雖然首次嘗試部署未遂，但後續攻擊則透過 MSBuild 的 inline 任務執行功能 部署 Brute Ratel C2 管理框架，並伴隨觸發 dllhost.exe 的異常行為，明確顯示了攻擊者正在重複利用 CVE-2025-29824 的 CLFS 漏洞進行滲透。

中國駭客組織亦介入漏洞利用

就在 ReliaQuest 公布調查結果前一天，EclecticIQ 也指出，數個中國背景的 APT 組織，包括 UNC5221、UNC5174 與 CL-STA-0048，皆已針對 CVE-2025-31324 展開大規模攻擊行動，散播各式惡意程式載荷。

此外，資安業者Onapsis 證實，自 2025 年 3 月起，攻擊者已同時利用 CVE-2025-31324 及一個與其相關的物件反序列化漏洞（CVE-2025-42999）進行入侵行動。幸好，SAP 最新發布的修補程式已修正這兩項漏洞的根本原因。

專家建議：務必盡速更新修補，防止持續滲透

ReliaQuest 表示：「雖然 CVE-2025-42999 在技術上需要較高權限才能利用，但 CVE-2025-31324 卻能讓攻擊者在無驗證的狀態下獲得完整系統控制權，兩者幾乎沒有實質差異，防禦措施應相同處理。」

針對此波威脅，我們建議：

  • 立即檢查並更新 SAP NetWeaver 系統至最新版本
  • 監控是否有異常的 MSBuild 執行行為或 DLL 裝載情況
  • 加強對反向代理與 C2 通訊的偵測規則
  • 封鎖已知涉案 IP、憑證與特徵碼

結語

此次事件顯示，即使是高度專業、企業等級的應用平台如 SAP，也難以避免成為攻擊目標。尤其當多個攻擊組織同時盯上同一漏洞時，更顯示出該漏洞的高風險性質。企業與政府單位務必強化補丁管理流程，提升威脅獵捕與端點偵測反應（EDR）能力，避免成為下一個 PipeMagic 的受害者。

Fortinet 修補 CVE-2025-32756 零時差 RCE 漏洞，FortiVoice 系統已遭攻擊，其他多項產品亦受波及

Posted on by blogadmin
Photo Credit: Fortinet

Fortinet 近日發布資安通告，修補一項遭到零時差攻擊利用的重大遠端程式碼執行（Remote Code Execution, RCE）漏洞，該漏洞編號為 CVE-2025-32756，影響範圍涵蓋 FortiVoice、FortiMail、FortiNDR、FortiRecorder 及 FortiCamera 等多項產品，CVSS 風險評分高達 9.6（極高）。

漏洞技術細節與攻擊行為分析

CVE-2025-32756 為一個 堆疊溢位漏洞（CWE-121），攻擊者可透過特製的 HTTP 請求，在無需身份驗證的情況下，遠端執行任意程式碼或系統命令，取得設備控制權限。

Fortinet 表示，此漏洞是由內部產品安全團隊在分析實際攻擊行為時發現。攻擊者入侵後會：

  • 發動內部網路掃描
  • 刪除系統崩潰紀錄（crash logs）以掩蓋入侵痕跡
  • 啟用非預設的 fcgi debugging 功能，用以記錄系統或 SSH 登入嘗試時的帳號密碼
  • 部署惡意軟體、設定 cron job 蒐集認證資訊
  • 投放指令碼掃描整體網路結構與其他潛在攻擊目標

其中 fcgi debugging 為一項異常指標（Indicator of Compromise, IOC），若在系統上啟用，執行以下指令可進行檢查：

nginx

diag debug application fcgi

若回傳包含「general to-file ENABLED」，即表示該功能已被啟用，系統可能已遭入侵。

已知攻擊來源 IP（建議封鎖）

  • 198.105.127[.]124
  • 43.228.217[.]173
  • 43.228.217[.]82
  • 156.236.76[.]90
  • 218.187.69[.]244
  • 218.187.69[.]59

受影響產品與修補建議版本如下：

FortiVoice

  • 6.4.x → 升級至 6.4.11 或以上
  • 7.0.x → 升級至 7.0.7 或以上
  • 7.2.x → 升級至 7.2.1 或以上

FortiMail

  • 7.0.x → 升級至 7.0.9 或以上
  • 7.2.x → 升級至 7.2.8 或以上
  • 7.4.x → 升級至 7.4.5 或以上
  • 7.6.x → 升級至 7.6.3 或以上

FortiNDR

  • 1.1–1.5, 7.1 → 建議升級至最新修補版本
  • 7.0.x → 升級至 7.0.7 或以上
  • 7.2.x → 升級至 7.2.5 或以上
  • 7.4.x → 升級至 7.4.8 或以上
  • 7.6.x → 升級至 7.6.1 或以上

FortiRecorder

  • 6.4.x → 升級至 6.4.6 或以上
  • 7.0.x → 升級至 7.0.6 或以上
  • 7.2.x → 升級至 7.2.4 或以上

FortiCamera

  • 1.1, 2.0 → 建議遷移至已修補版本
  • 2.1.x → 升級至 2.1.4 或以上

緊急緩解措施（若暫時無法修補）

對於無法即時更新修補的設備，Fortinet 建議暫時 關閉 HTTP/HTTPS 管理介面，以降低攻擊面。

關聯背景資訊

在此事件發生之前，Fortinet 曾於上月被 Shadowserver Foundation 發現，已有 超過 16,000 台暴露於網際網路的 Fortinet 設備 遭到入侵，且設置了一種新型的 symlink 後門，雖已修補但仍允許威脅者存取敏感檔案。

此外，Fortinet 亦在今年 4 月初通報另一個與 FortiSwitch 相關的重大漏洞，顯示威脅者正持續鎖定 Fortinet 各類產品作為入侵企業網路的跳板。

資安專家建議行動項目：

  1. 立即修補漏洞：優先升級受影響產品至安全版本。
  2. 封鎖惡意 IP：將上述攻擊來源納入防火牆黑名單。
  3. 檢查入侵跡象：確認是否啟用了 fcgi debugging，並檢視系統帳號登入紀錄與可疑排程任務。
  4. 強化防護策略：落實多因素驗證（MFA）、限制管理介面存取來源 IP、強化日誌監控與異常行為偵測。
  5. 進行網路流量分析：觀察是否有與已知惡意 IP 通聯的異常連線。

此事件再次警示企業應強化資安態勢感知與設備防護措施，尤其針對邊界設備與管理介面之防禦應更為嚴謹。建議企業導入持續威脅偵測（EDR/NDR）、漏洞管理平台（VMS）與資安事件應變流程，以提升整體防護韌性。

Interlock 勒索軟體攻擊事件曝露全球國防供應鏈的脆弱性

Posted on by blogadmin

資安業界持續警告，勒索軟體已不再只是金錢勒索的工具，而是被用作地緣政治博弈中的數位武器。近期 Interlock 勒索軟體針對某國防承包商的攻擊事件，再次揭示了這類攻擊對於國防產業供應鏈、機敏資料外洩與戰略安全風險的巨大衝擊。

根據資安公司Resecurity 的調查，這次事件中遭到入侵的系統揭露了多家全球國防產業領頭企業的供應鏈與作業資訊。這不僅對該受害公司造成影響，也可能對全球其他承包商與軍方單位產生連鎖性的風險擴散效應。

攻擊揭露的國際國防企業名單包括：

  • Hanwha（韓華）
  • German Aerospace（德國航太）
  • Leonardo（李奧納多）
  • PW Defence
  • Raytheon（雷神）
  • Simmel Difesa
  • SpaceX（太空探索技術公司）
  • SE Corporation
  • Thales（泰雷茲）
  • Talley Defense
  • QinetiQ（英國凱尼提克）

這些企業在全球防衛網絡中扮演關鍵角色，任一點被入侵，整體鏈條都有風險失守的可能。

勒索軟體背後的真正意圖：滲透、間諜與破壞

雖然表面上看來是為勒贖而來，但根據 Resecurity 的分析，有些勒索集團與國家支持的進階持續性威脅（APT）組織有直接或間接關聯。這些組織利用勒索軟體當作掩護行動的工具，進行以下目的：

  • 暗中蒐集軍工業情報與關鍵技術
  • 操控軍事供應鏈時程，延緩生產與部署
  • 作為戰略性破壞或心理戰手段
  • 利用資訊外洩影響外交或軍事決策

隨著全球地緣衝突升溫，類似手法可能會持續成為國家級敵對行動的一環。

攻擊的供應鏈效應：從單點滲透到全面擴散

在國防產業中，供應鏈環環相扣。當主要承包商的系統被入侵時，相關下游供應商、製造商、甚至政府單位也可能遭受次級攻擊。常見的風險包括：

  • 憑證竊取後的橫向滲透
  • 假冒信件造成的標靶式釣魚攻擊
  • 對老舊裝置與合作平台的漏洞利用
  • 未受保護的 API、FTP 或存取端口被掃描與滲透

這些風險在未實作資安縱深防禦（Defense in Depth）架構的環境中尤其明顯。

引入「欺敵技術」作為防禦新思維

在面對像 Interlock 這類高風險威脅時，傳統的被動防禦（如防火牆、AV、EDR）已顯不足。主動式防禦技術──尤其是「欺敵技術（Deception Technology）」，正成為企業與國防單位的新防線。

欺敵技術的核心目的是： 在真實環境中佈建出一套虛假但可信的資產與資源，引誘攻擊者進入陷阱，以便及早偵測並回應攻擊行為。

欺敵技術常見的部署元件包括：

  • Decoys 誘餌主機：模擬伺服器、工作站、資料庫、印表機、網路裝置等資源
  • Lures 誘導資訊：如弱密碼帳號、預設設定、虛構的權限或 AD 元件
  • Breadcrumbs 麵包屑：部署在真實生產環境中的誘導資料，例如記憶體憑證、瀏覽器紀錄、資料夾捷徑、網路磁碟代號
  • Baits 勾餌內容：引誘點擊或存取的敏感文件、Beacon 檔案、虛構 DNS 紀錄、程式程序等

一旦攻擊者接觸這些資源，即可觸發偵測與封鎖機制，有效縮短「潛伏時間（dwell time）」，並提升攻擊溯源能力。

國防產業需全面提升資安等級

針對此次事件，資安專家提出以下因應建議：

  • 落實 CMMC（Cybersecurity Maturity Model Certification）驗證與追蹤
  • 強化網路區隔與關鍵系統隔離
  • 部署零信任架構（Zero Trust Architecture）與用戶行為監控
  • 建立欺敵防禦環境以即時發現潛藏攻擊者
  • 公私部門合作，建立共享的威脅情報平台
  • 規劃橫跨內部與供應鏈的危機應變機制

結語：國防產業的資安已是國安等級任務

Interlock 事件再次提醒我們，在數位戰爭時代，任何承包商、技術供應商甚至中小製造商，都是國家防禦的一環。資安不只是技術問題，更是組織風險、信任機制與國安防線的延伸。

唯有透過持續的監控、創新的防禦架構（如欺敵技術）、合規驗證與跨部門協作，我們才能真正守護國家級基礎關鍵資產。

【威脅分析】MirrorFace 再出手：針對日本與台灣的 APT 行動揭露升級版 ANEL 與 ROAMINGMOUSE 工具鏈

Posted on by blogadmin
Photo Credit: TrendMicro

2025 年 3 月，資安業者TrendMicro偵測到中國關聯的國家級駭客組織 MirrorFace（又名 Earth Kasha） 發動新一波網路間諜攻擊，明確鎖定日本與台灣的政府機關與公部門單位。此次攻擊採用一系列升級的惡意程式，包括新的ROAMINGMOUSE dropper與功能強化的ANEL 後門程式，顯示該組織具備持續研發與行動能力，且正在強化針對亞太地區的滲透行動。

攻擊關鍵概覽

  • 攻擊者組織：MirrorFace（Earth Kasha / 疑似 APT10 子集）
  • 主要目標：台灣與日本的政府機構、公營單位
  • 攻擊時間點：2025 年第一季
  • 核心工具：
    • ROAMINGMOUSE（含 Base64 解碼與側載能力的 dropper）
    • ANEL（升級版後門，支援 BOF in-memory execution）
    • NOOPDOOR（隱蔽型次階段後門，支援 DNS over HTTPS）

攻擊流程解析

MirrorFace 延續一貫手法，自魚叉式釣魚攻擊（Spear Phishing）展開滲透行動。初始信件多來自被入侵的合法帳號，信中嵌入的 OneDrive 連結會下載 ZIP 檔案，內含惡意 Excel 文件，並觸發巨集執行載具程式 ROAMINGMOUSE。

ROAMINGMOUSE 的行為特徵包括：

  1. 解碼內嵌的 ZIP 檔（Base64 格式）並釋出到本地磁碟。
  2. 拆出以下元件：
    • 合法執行檔（如 JSLNTOOL.exe）
    • 惡意 DLL：JSFC.dll（ANELLDR，負責側載執行）
    • 加密後的 ANEL payload
    • 合法 DLL 依賴檔（如 MSVCR100.dll）
  3. 利用 Windows 合法程式（explorer.exe）觸發側載程序，使惡意 DLL（ANELLDR）得以解密並啟動 ANEL 後門模組。

ANEL 功能強化概述

此次行動中使用的 ANEL 為升級版本，具備以下新功能：

  • 支援 BOF（Beacon Object File）記憶體內執行
    BOF 是可擴充 Cobalt Strike agent 功能的輕量 C 語言模組，此支援顯示 MirrorFace 正結合紅隊工具進行後滲透行動。
  • 資訊收集命令集擴充
    包含螢幕截圖、程序清單、網域與使用者資訊等，供攻擊者遠端分析與橫向移動判斷。

此外，趨勢科技觀察到 MirrorFace 在某些案例中搭配使用開源工具 SharpHide，部署新版本的 NOOPDOOR 後門（又稱 HiddenFace），其最大特點是採用 DNS over HTTPS（DoH） 技術進行 C2 溝通，以規避傳統 DNS 安控機制的偵測。

對台灣與日本的資安啟示

MirrorFace 此次針對台灣與日本的行動，再次印證該組織長期關注亞太區高價值機構，並具備持續武器升級與投放能力。

此類攻擊帶給資安防禦團隊的幾項重要啟示：

1. 情資導入為首要防線

企業與政府單位應優先整合各界 APT 威脅情資，透過 IOC 匹配提升偵測力，並加速威脅反應機制。

2. 端點行為監控為關鍵

導入具備行為分析、記憶體側載偵測能力的 EDR/XDR 解決方案，才能有效攔截類似 ROAMINGMOUSE 與 ANEL 的無檔案攻擊鏈。

3. 加強內部教育與滲透測試

高階駭客利用信任機制（如已知聯絡人信箱）發動釣魚攻擊，強化內部資安教育與定期模擬演練，已成為防線中不可或缺的一環。

結語：APT 威脅將常態化，資安策略需持續演進

MirrorFace 展示出的行動規劃與技術能力，已不再是「間歇性行動」，而是持續滲透與情報收集的長期部署。面對此類國家級駭客組織，傳統以「事件回應」為主的策略已難以應對，企業與政府單位應朝向「情資驅動防禦（Threat Intelligence-Driven Defense）」進行全面升級。

在未來的資安策略中，情資整合、攻防模擬、行為監控與跨部門協作將是核心要素。台灣作為地緣政治敏感地區之一，更應提前佈建防禦縱深，以因應下一波更具針對性的威脅行動。

【資安通報】Apache Parquet Java 漏洞（CVE-2025-46762）可被利用進行遠端程式碼執行攻擊

Posted on by blogadmin
Photo Credit: gbhackers.

近期發現 Apache Parquet Java 存在一項高風險安全漏洞（CVE-2025-46762），可被攻擊者利用來進行遠端程式碼執行（Remote Code Execution, RCE），影響層面廣泛。該漏洞由 Apache Parquet 開發貢獻者吳剛（Gang Wu）於 parquet-avro 模組中發現，並於 2025 年 5 月 2 日正式公開。

漏洞概述

此漏洞影響 Apache Parquet Java 1.15.1 及其以前的所有版本。攻擊者可將惡意程式碼嵌入 Parquet 檔案中的 Avro schema 中，當應用程式解析該檔案時，便可能觸發程式碼執行。該行為不需任何使用者互動，且一旦成功執行，將導致系統完全淪陷，具高度危險性。

技術分析：CVE-2025-46762

本次漏洞核心問題出在 parquet-avro 模組的結構（schema）解析流程不安全。具體而言，Avro schema 欄位可被植入惡意程式碼，而當 Java 系統載入該檔案時，若採用了 specific 或 reflect 資料模型（為預設常用設定），將可能自動執行這段程式碼，導致 RCE。

雖然使用 generic 資料模型的系統不受此漏洞影響，但值得注意的是，Java 預設信任的套件（如 java.util）仍可能成為攻擊入口，使漏洞有機可乘。

影響範圍

  • 所有 Apache Parquet Java 1.15.1 以下版本
  • 使用 parquet-avro 的 大數據平台，例如：
    • Apache Spark
    • Apache Hadoop
    • Apache Flink
  • 依賴 Avro schema 處理的 資料處理流程與 ETL 管線

任何從外部來源讀取 Parquet 檔案的系統若未進行版本修補，皆有可能在反序列化階段被植入惡意程式碼並觸發 RCE。

緩解建議（Mitigation）

為降低風險並阻止攻擊路徑，建議採取以下資安行動：

方案一：立即升級至 Apache Parquet Java 1.15.2

此版本已修復信任套件範圍管理不當問題，可有效阻止攻擊者透過 Avro schema 注入程式碼。

方案二：暫時修補（適用於尚無法升級者）

請將 JVM 啟動參數設為：

bash

複製編輯

-Dorg.apache.parquet.avro.SERIALIZABLE_PACKAGES=””

此設定將清空可被序列化執行的 Java 套件清單，防止惡意程式碼載入執行。

加強策略建議

  • 優先採用 generic Avro model：此模型不受漏洞影響，應列為資料處理預設選項。
  • 封鎖外部不明來源的 Parquet 檔案，並進行嚴格的驗證流程。
  • 實作 Schema 驗證與 Sandboxing，避免在生產環境直接執行未驗證的 Avro 結構。

資安風險與威脅評估

未修補的系統將暴露於以下風險：

  • 遠端程式碼執行（RCE）：攻擊者可植入具後門能力的 Parquet 檔進行惡意操作。
  • 供應鏈攻擊：惡意檔案可能透過數據流程進入後端系統，引發連鎖性失控。
  • 資料外洩與存取權限提升：攻擊成功後，可能導致敏感資料暴露或被竊取。
  • 業務營運中斷：一旦後端伺服器遭控制，將可能導致資料處理中斷或毀損。

資安專家總結

CVE-2025-46762 是一起極具危害性的漏洞，特別是對於使用 Apache Parquet 處理大量資料的企業與金融單位而言。建議所有企業資訊團隊即刻審查是否使用受影響版本，並採取修補或風險控制措施，以確保資料處理流程的完整性與安全性。

Phorpiex 殭屍網路自動投遞 LockBit 勒索軟體：資安防線正面臨自動化攻擊新威脅

Posted on by blogadmin

簡介

在全球勒索軟體持續進化的威脅態勢下，資安研究人員觀察到一項令人警覺的新發展——LockBit 勒索軟體現已結合 Phorpiex（又稱 Trik）殭屍網路，實現自動化部署並全面繞過傳統人工操作流程。此一新型攻擊手法顯示威脅行為者正加速朝自動化、大規模、難以追蹤的模式發展，進一步模糊「商品級惡意程式」與「進階持續性威脅（APT）」的界線。

自動化攻擊鏈簡析：從釣魚信到勒索執行

根據 資安業者Cybereason 的研究報告，此波攻擊透過傳統的釣魚電子郵件作為感染初始點，夾帶 ZIP 附件發送至受害者。這些附件中可能包含：

  • SCR 執行檔：作為 LockBit 下載器。
  • LNK 快捷方式：觸發 Phorpiex TWIZT 變種，進一步下載並部署 LockBit 勒索程式。

一旦檔案被開啟，惡意程式即會在受感染機器上直接部署 LockBit，無需橫向移動或人工操控。即便觀察期間未偵測到成功連線至 C2（指揮控制）伺服器，但其行為與 LockBit 一致，顯示攻擊流程設計完整且具備備援機制。

Photo Credit: Cybereason

Phorpiex 殭屍網路變種行為分析

自 Phorpiex 原始碼於 2021 年外洩出售後，該殭屍網路家族持續演化，常見變種包含：

  • TWIZT 變種：
    • 具 JPEG 標記檔掃描功能，避免重複感染。
    • 建立 mutex（互斥鎖）維持單一感染執行實體。
    • 自動刪除 Zone.Identifier 等元資料以隱匿活動。
    • 修改登錄機碼（registry key）達成開機自啟與持久性。
  • GandCrab 下載器變種：
    • 具備反沙箱與反分析能力，偵測分析環境即自動終止。
    • 可停用 Windows Defender 以繞過防毒偵測。

這些模組化設計反映專業級惡意程式開發邏輯，並明確朝「惡意程式即服務（MaaS）」模式邁進。

勒索軟體集團策略轉型：從 Cronos 打擊到自動化反撲

儘管全球執法單位於 2024 年初針對 LockBit 展開代號 Operation Cronos 的大規模打擊，短期內瓦解其基礎設施，但 LockBit 迅速以更分散與自動化的架構回歸：

  • 降低人為操作需求：減少駭客進行橫向移動、權限提升等行為，降低曝險風險。
  • 提升散布效率：透過殭屍網路與釣魚信，實現近乎零接觸的大規模攻擊。
  • 加強規避機制：TWIZT 與 GandCrab 變種可有效逃避沙箱、EDR 與防毒軟體的攔截。

這代表 LockBit 不再只是高度目標式攻擊組織，其技術已商品化、標準化，具備自動部署與攻擊能力的即插即用工具包。

對企業與資安防護的挑戰

這類自動化攻擊模式對現有資安架構帶來重大挑戰：

  1. 偵測困難：傳統防毒無法準確區分標準作業與自動化惡意行為。
  2. 行為模糊化：LockBit 自動部署方式與商品級殭屍網路重疊，使得 APT 變得平民化。
  3. 資安誤判風險升高：舊型殭屍網路工具（如 Phorpiex）被視為過時而忽略，實則威脅重啟。

專家建議：重新構建防禦觀念與技術策略

資安團隊需因應新威脅格局，全面升級偵測、分析與應變機制：

  • 電子郵件安全強化：加強閘道防護與內容掃描，阻斷 ZIP 附件初始攻擊向量。
  • 行為式偵測技術部署：導入 EDR/XDR，監控登錄機碼、mutex、Zone.Identifier 等異常行為。
  • 反分析對策應用：利用自動分析沙箱進行動態樣本行為解析。
  • 員工資安意識訓練：強化釣魚識別教育，減少終端用戶成為感染入口。
  • 建立勒索事件模擬與應變計畫：模擬殭屍網路觸發自動勒索的場景，預先定義清除與封鎖流程。

結語：自動化勒索浪潮來襲，資安思維需全面升級

此次 Phorpiex 自動投遞 LockBit 的攻擊行動，不僅代表一波單一事件，而是反映未來勒索軟體運作的新常態。威脅行為者正積極部署「無人化」、「大規模」、「模糊化」的攻擊流程，意圖在最大化影響力的同時，降低自身被追蹤與阻斷的風險。

資安防線必須超前佈署，從工具導入、流程建置到人員意識全方位強化，否則在未來的自動化攻擊浪潮中，將陷入被動挨打的局面。

美國 CISA 將 SAP NetWeaver 漏洞列入「已知遭利用漏洞」清單：零時差攻擊現蹤，全面修補迫在眉睫

Posted on by blogadmin

美國網路安全暨基礎設施安全局（CISA）日前正式將 SAP NetWeaver 的一項高風險漏洞（CVE-2025-31324）納入其「已知遭利用漏洞（Known Exploited Vulnerabilities, KEV）」目錄中。

此漏洞於上週被研究人員揭露為一項零時差（Zero-day）漏洞，CVSS 評分達到最高的 10 分（滿分 10 分），並已確認遭到實際攻擊者利用。全球數以千計直接暴露於網際網路的 SAP 應用系統正面臨重大潛在風險。

這個漏洞存在於 SAP NetWeaver 的 Visual Composer Metadata Uploader 元件，主要是因為缺乏適當的授權檢查，導致未經驗證的攻擊者（即未持有有效憑證者）可以直接上傳惡意可執行檔至目標系統。

一旦這些檔案成功上傳並執行，攻擊者將有機會完全接管 SAP 系統環境。SAP 已於 2025 年 4 月的 Security Patch Day 中發布修補程式以修正此問題。

資安業者ReliaQuest 的研究人員在調查多起攻擊事件時發現此漏洞，其中部分案例即便系統已套用最新修補程式仍遭入侵。

「我們於 2025 年 4 月 22 日發表了針對 SAP NetWeaver 系統遭攻擊的調查報告，進而發現這個關鍵漏洞，後來被 SAP 確認為 CVE-2025-31324，嚴重性評為 10 分。」ReliaQuest 的報告指出。「原先以為是遠端檔案包含（RFI）問題，經確認後實為無限制檔案上傳（Unrestricted File Upload）漏洞，SAP 隨即發佈修補程式，我們強烈建議立即套用。」

研究人員指出，SAP 系統由於被全球政府機關與大型企業廣泛採用，因此始終是攻擊者高度鎖定的目標。ReliaQuest 在漏洞公開前，已通報 SAP 並同步部署偵測機制以強化對客戶的防護。

在實際攻擊案例中，威脅行為者透過特製的 POST 請求，利用 Metadata Uploader 上傳惡意的 JSP webshell，並使用 GET 請求進行遠端執行，藉此全面掌控目標系統。這些 webshell 多部署於同一個根目錄，具備類似功能，並重複使用來自公開 GitHub 上的遠端程式碼執行（RCE）專案代碼。

「此漏洞位於 /developmentserver/metadatauploader 端點，原設計是為 SAP NetWeaver 環境中的應用開發與配置流程處理 metadata 檔案。」報告中寫道，「但在我們調查的事件中，攻擊者藉由精心構造的 POST 請求，上傳 JSP webshell 至 j2ee/cluster/apps/sap.com/irj/servletjsp/irj/root/ 資料夾中，並透過簡單的 GET 請求執行，徹底控制系統，將此端點變成攻擊跳板。」

攻擊者所植入的 webshell（如 helper.jsp 或 cache.jsp）允許執行系統指令、上傳檔案與建立持久存取權限。有一個變種甚至結合 Brute Ratel 與 Heaven’s Gate 技術，以增強隱蔽性與操控能力，顯示這是一場針對系統全面滲透與資料竊取的高階威脅行動。

有趣的是，有些攻擊案例中，從初始入侵到後續行動之間存在數日間隔，研判攻擊者極可能是「初始存取仲介商」（Initial Access Broker），透過 VPN、RDP 或漏洞攻擊等方式獲取入侵點後，再轉售給其他威脅行為者。

「我們觀察到某次攻擊中，從取得初始存取權到進行後續操作花了數天時間，因此我們推測該攻擊者應為初始存取仲介，並透過地下論壇販售對受害組織的存取權限。」報告指出。

儘管有些受害系統已打上最新修補，攻擊行為仍成功，專家高度懷疑目前存在尚未公開的 RFI 弱點，正在被鎖定於 SAP NetWeaver 公開伺服器的攻擊中加以利用。

「根據現有證據，我們有高度信心認為此次攻擊涉及一個尚未揭露的遠端檔案包含（RFI）漏洞，目前尚無法確認是否只影響特定版本，但在多起案例中，受害伺服器都已套用最新修補。」報告補充。

根據 CISA 所發佈的《作業指令 22-01：降低已知遭利用漏洞之重大風險》（Binding Operational Directive, BOD 22-01），所有 FCEB（聯邦民營與行政單位）機構必須在指定期限前修補此類漏洞，以防遭受相關攻擊。

資安專家也強烈建議私部門機構定期檢視 KEV 清單，評估並修補企業內部基礎設施中可能存在的相關漏洞。

CISA 要求聯邦機構最遲須於 2025 年 5 月 20 日 前完成修補作業。