月份: 2020 年 5 月

奇虎360和百度共同破壞了有數十萬受害者的殭屍網路

Posted on by blogadmin

奇虎360和百度 , 曾經因為3B大戰對薄公堂, 現在兩間中國的網路巨頭聯手合作, 共同破壞針對中國的殭屍網路, 是怎樣的惡意攻擊使得不對盤的雙方攜手合作呢? 人客啊, 快來看下去….

你可曾聽過 DoubleGuns惡意軟體? 一個專門獨家針對中國的惡意軟體,在過去的三年中，DoubleGuns木馬已成為中國最大的惡意軟體殭屍網路之一。

DoubleGuns是一種專門針對中文Windows惡意軟體, 主要通過在中國網站上共享的誘餌應用程式進行分發，多數是以在中國社交網路和遊戲論壇上提供的盜版遊戲作為傳播, 並通過VBR和MBR rootkit感染用戶PC。這是為了安裝各種惡意驅動程式，以最終竊取用戶的登錄憑證。

DoubleGuns還充當廣告軟體和垃圾郵件發送模組, 它在用戶設備上插入廣告，並劫持QQ帳戶，以通過私人消息將廣告傳播給受害者的朋友

奇虎360 上週在一篇網誌說，由於DoubleGuns殭屍網路的規模已經擴大到不容忽視, 它最近與百度進行聯合行動，破壞了DoubleGuns殭屍網路的運作，關閉殭屍網路的某些後端基礎架構，其中大部分都在使用百度的Tieba圖像託管服務, 在過去三年來，DoubleGuns一直從Tieba下載圖像。這些圖像包含秘密代碼（使用一種稱為圖像隱碼術的技術隱藏在圖像內部），該代碼為DoubleGuns惡意機器人提供了有關在受感染主機上執行哪些操作的指令。

圖片：奇虎360 Netlab

奇虎和百度表示，在過去的兩個星期中，他們一直在刪除DoubleGuns使用的圖像並記錄來自受感染主機的連結，這就是他們發現殭屍網路規模巨大的原因，目前殭屍網路的數量估計為“數十萬” 。

由於殭屍網路基礎設施的其他部分仍在運行，並且殭屍網路的營運商仍然龐大，因此中斷被視為暫時的。

AlienLabs OTX後記: 我們基於DNS數據的威脅監控系統DNSmon, 標記了可疑域pro.csocools.com。該系統估計感染的規模可能遠遠超過成數十萬的用戶。通過分析相關樣本和C2，我們將其家族追溯到DoubleGuns。

欲了解更多關於DoubleGuns的資訊 , 請參考OTX情資:

https://otx.alienvault.com/pulse/5ecd55be9616fb56ef638475

新聞來源參考:

https://techdator.net/baidu-and-qihoo-teamed-up-to-fight-against-chinese-malware-doubleguns/

https://blog.netlab.360.com/shuang-qiang-zui-xin-huo-dong-fen-xi-bao-gao-nei-bu-bao-gao-ban/

*****竣盟科技快報歡迎轉載，但請註明出處

竣盟科技資安快訊: 號外 ! 號外 ! 針對立法院釣魚郵件攻擊,獨家披露有突破的發現…

Posted on by blogadmin

由於立法院被釣魚郵件攻擊, 小編從各大媒體報導看到相關的惡意連結conference.outlook-offices.com和惡意程式conference-2020.docx.zip, 為了帶給大家更多更詳細的參考資訊 ,小編發揮資安小偵探的精神先到相關的資安情資平台研究一番, 發現沒有直接明確的佐證資料, 便到國外資安網站繼續搜尋, 皇天不負有心人讓小編找到明確的惡意程式的hash值, 向老闆滙報後便發信向AlienVault OTX 通報, 由下圖所見是昨天5月23日早上, 小編發信給AlienVault聯絡人有關此次釣魚郵件的附檔名稱:conference-2020.docx.zip和Hash值: 2ad58b00695f71c7a43a9e1a5a2c9fd996f7e243db3f3638a0c41bbc3b85f543

圖1

一張含有 文字 的圖片 自動產生的描述

小編於5月23日零晨收到兩封回信,以下提供一封回信截圖供大家參考

圖2

一張含有 螢幕擷取畫面 的圖片 自動產生的描述

根據OTX研究人員分析, 他們有理由相信攻擊台灣立法院的駭客也攻擊了西藏! 駭客攻擊西藏又攻擊台灣, 背後的目的估計不離政治因素, 更多詳情🔎請看OTX情資

https://otx.alienvault.com/pulse/5ec7ff4ec67d6aca23b7c350

若有更多後續的硏究發展, 小編一定為大家提供喔, 請大家多多支持和關注竣盟科技的FB, line@和部落格喔! 歡迎轉載,請註明出處,感謝!

#竣盟科技資安快報#立法院釣魚郵件攻擊 #需要👽SIEM👽記得找竣盟科技唷

#資安交流 #誘捕專家Acalvio的ShadowPlex平台竣盟科技也有代理喔

#資安情資請看OTX

#快follow竣盟科技的粉絲專頁吧^^

*****本文歡迎轉載，但請註明出處。

竣盟科技資安快報:Winnti Group駭客團體

Posted on by blogadmin

據法務部調查局發佈的”國內重要企業遭勒索軟體攻擊事件調查說明” , 調查局研判該駭客組織為Winnti Group或與該組織有密切關聯的駭客…

請參閱: 調查局新聞稿

來源中央社新聞-中央社記者蕭博文攝

在此小編與您分享Winnti Group的相關資訊, 從AlienVault OTX情資中, 我們得悉並高度相信Winnti與中國國家情報機構有關，至少有一些駭客活動來自位於北京西城區。從2009年到2018年，許多以前沒有公開關聯的中國國家情報部門實際上都與Winnti有關。我們高度確信Winnti Group通過使用共同的目標和攻擊資源而建立聯繫展開攻擊。根據401TRG的Tom Hegel的報告,最初的攻擊目標通常是美國，日本，韓國軟體和遊戲組織和那些特別是被強調為中國經濟發展重點的行業，主要是收穫代碼簽名證書和操縱軟體，其次是獲得經濟利益，後期針對德國企業和其他目標, 通常是來自於政治動機或高價值的技術組織。

來源QuoIntelligence-德國企業受Winnti Group攻擊的時間表

Tom Hegel在報告中說：“在攻擊者的理想情況下，所有遠端存取都是通過自己的C2基礎結構進行的，該C2基礎結構充當proxy並掩蓋了其真實位置。” “但是，我們已經觀察到一些攻擊者在沒有proxy的情況下錯誤地訪問受害者機器的情況，識別出在這個過程中個人的真實位置–中國聯通北京城西城區的Netblock 網段221.216.0.0/13。”

另外根據QuoIntelligence在2019年12月的報告，德國聯邦憲法保護局Germany’s Federal Office for the Protection of the Constitution（BfV）發佈了一份報告，該報告與所謂的中國政府贊助的駭客組織Winnti Group有關。通過的惡意軟體分析，QuoIntelligence相信他們發現的樣本與BfV報告中描述的Winnti樣本高度相似，該樣本還與國際資安公司ESET的白皮書”CONNECTINGTHE DOTS Exposing the arsenal and methods of the Winnti Group”有著共同特徵。想了解更多有關Winnti Group, 請參考以下OTX情資…

https://otx.alienvault.com/pulse/5e9f16be94921dc55f085324

https://otx.alienvault.com/pulse/5e7c8929e3065fc66d5a9f77

https://otx.alienvault.com/pulse/5e7b4a11d552fbcfce6c314d

https://otx.alienvault.com/pulse/5e4bbe896e6393eb79a1d2c9

ESET發布的”CONNECTINGTHE DOTS Exposing the arsenal and methods of the Winnti Group”的白皮書:

https://www.welivesecurity.com/wp-content/uploads/2019/10/ESET_Winnti.pdf

YARA規則GitHub 網址:

https://github.com/eset/malware-ioc/tree/master/winnti_group

*****竣盟科技快報歡迎轉載，但請註明出處

竣盟資安快報: 疑似入侵總統府的惡意木馬程式Aria-Body, AlienVault的 OTX 情資平台已於5月6日建立了相關入侵指標和情資…

Posted on by blogadmin

小編在週日看到東森新聞的節目”聚焦關鍵”討論了駭客入侵總統府的報導, 據知入侵的駭客團體為Naikon , 入侵的木馬為新型惡意程式Aria Body，台灣國安單位首次判定為認知攻擊, 小編在上週一已分享Aria body惡意程式的相關入侵指標和情資, 錯過的伙伴們請連結至我們的po

根據Check Point…

由 Billows竣盟科技發佈於 2020年5月11日 星期一

Aria Body惡意程式和Naikon駭客團體的OTX資訊

https://otx.alienvault.com/pulse/5eb2c66fa6da6120124cf84c

另外補充說明,據ThreatConnect的報告，Naikon駭客團體似乎隸屬於中國人民解放軍第二技術偵察局78020部隊，主要駐紮在中國南方城市昆明。據稱Naikon駭客團體負責中國在東南亞和南中國海的網路行動和技術間諜活動有理由相信駭客入侵總統府的動機為政治因素 。 

Aria-body旨在滲透任何用來打開嵌入它的文件的電腦，並馬上讓機器服從駭客的指令, 包括建立一條秘密的、難以查出的通信線路，讓目標電腦上的數據通過這條線路流向攻擊者使用的伺服器。Aria-body也可以像寄生蟲一樣附著在各種類型的文件上，因此它沒有固定的活動模式。操縱Aria Body的駭客可以遠端更改部分代程式碼，所以在攻擊了一台電腦後，Aria-body在入侵下一台機器時看上去可能會不同。

# 竣盟科技資安快報#駭客團體Naikon

#需要👽SIEM👽記得找竣盟科技唷

#誘捕專家Acalvio的 ShadowPlex平台竣盟科技也有代理喔

#資安情資請看OTX

#快follow竣盟科技的粉絲專頁吧^^

*****竣盟科技快報歡迎轉載，但請註明出處。

竣盟科技資安快訊:LockTaiwan 勒索軟體獨家追蹤

Posted on by blogadmin

竣盟科技資安快訊: 根據日前國外知名的資安網站 Malware Hunter Team 惡意軟體獵人團隊發佈的推文，以及其專家的分析，可看出雖然攻擊臺灣企業的惡意軟體是在 5月 4日開始攻擊，但其實他們已經在 5月 3日編譯完成，而在撰寫本文時，僅知在台灣的企業受到影響。

以下為臺灣企業最近收到的勒索信，名稱為: How to Unlock Files.txt

圖一

圖二

圖三

部份資訊已被外媒 Cyberscoop 報導，他們相信有最少 2個惡意程式樣本，另根據分析文章的作者 Amigo-A 表示，已經從事件檢測與回應中，命名此惡意軟體為 LockTaiwan，由於此乃新型勒索惡意軟體，國內尚未有參考資料。

類似 LockTaiwan 這種惡意軟體常與免費的第三方程式捆綁在一起傳播，這些程式一般透過不可靠的網站下載。另外當您打開或點擊帶有惡意程式郵件內容時，病毒也可能會感染到您的電腦上。所以在打開附件或點擊可疑連結之前，使用額外安裝的病毒掃瞄程式檢查是非常重要的。已感染的特洛伊木馬和惡意軟體下載程式，也可能會在您的PC上感染此病毒。瀏覽色情或 P2P種子網站，以及下載破解軟體或遊戲等等，都可能會將這類病毒帶入您的系統。

應對措施

  • 由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。
  • 向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。
  • 千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。
  • 針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。
  • 除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。
  • 佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。
  • 對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。
  • 透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

以上為竣盟科技您整理出來的資料

資料來源請參考 MalwareHunterTeam on Twitter:

以及完整的分析文件

https://id-ransomware.blogspot.com/2020/05/locktaiwan-ransomware.html

#需要👽SIEM👽記得找竣盟科技唷

#誘捕專家Acalvio的 ShadowPlex平台竣盟科技也有代理喔

#資安情資請看OTX

#快去follow竣盟科技的粉絲專頁吧^^

*****本文歡迎轉載，但請註明出處。

Shiny Hunters(閃亮的獵人)的駭客正在Darknet (暗網)出售11家公司7000多萬條的用戶記錄…

Posted on by blogadmin

一個名為“Shiny Hunters” 駭客小組的成員正在利用洩漏的數據庫充斥著黑暗的網路，以供出售。據BleepingComputer報導，Shiny Hunters駭客組織涉嫌威脅來自11家公司的7320萬條用戶記錄。他們是印尼最大的電子商務網站Tokopedia數據洩露的幕後黑手，其中9,100萬條用戶記錄被破壞，並以5,000美元的價格在駭客論壇上出售。後來Shiny Hunters還洩露了位於印度的在線學習平台Unacademy的信息，該網站暴露了2200萬用戶的詳細信息，並將記錄保留在darknet論壇上，售價為2,000美元。

網路安全公司Cyble的安全研究人員證實，Shiny Hunters正在出售11家不同公司的數據，包括食品配送公司HomeChef，照片打印服務ChatBooks和Chronicle.com。最近ChatBooks 確認，Shiny Hunters於2020年5月3日在一個黑暗的網路市場上發布了其用戶記錄，要求1500萬條用戶記錄的價格為2,000美元。

Cyble說，據稱駭客正在出售來自各種組織的被盜數據庫，包括：

儘管Tokopedia和Chatbooks已確認它們已遭到駭客入侵，但列出的其他公司尚未確認或任何聲稱駭客的入侵，目前為止也沒有發現台灣企業的資料遭Shiny Hunters洩露。

從Bleeping Computer看到的用戶記錄樣本中，數據洩露看起來是合法的，但尚未100％確認。

在得知即將出售的新數據庫後，Bleeping Computer已與受影響的公司聯繫，但尚未得到回覆。

誰是ShinyHunters？

名為“ ShinyHunters”的駭客組織於2020年4月17日首次以Shiny Hunters名號出現在RaidForums上。一個同伴的Twitter帳戶@sh_corp於2020年1月開設，而ShinyHunters黑暗網路帳戶也是如此，目前未有更多關於Shiny Hunters的資料。