1 月, 2023 - 竣盟科技

國際驗船機構「挪威船級社」遭勒索 軟體攻擊，1,000 艘船受到波及

Posted on 2023 年 1 月 18 日2023 年 2 月 13 日 by blogadmin

大約1千艘船使用挪威般級社(DNV)的海事航運軟體ShipManager，因DNV遭到勒索軟體攻擊而受到影響。據悉，ShipManager一種船舶管理、運營和船舶設計的軟體，平台包含的模組可讓客戶深入了解船舶管理數據的技術、運營和合規性方面，包括計劃維護系統 (PMS)、航運採購、船舶安全管理系統 (QHSE)、船員管理系統、船體完整性管理、船舶維修及航運數據分析等。總部位於挪威奧斯陸的 DNV（世界上最大的海事組織之一）表示，它在 1 月 7 日晚上遭到勒索軟體攻擊，被迫關閉與其 ShipManager 系統相連的 IT伺服器。DNV在一份聲明中表示，每天都與受影響的70 名客戶保持著密切聯繫，向他們更新正在進行的鑑識調查的結果，到目前為止共約有 1000 艘船隻受到影響。但DNV進一步說，所有用戶仍然可以使用 ShipManager軟體的onbroad和offline功能，沒有跡象表明 DNV 的任何其他軟體或數據受到影響。為了實施恢復計劃並調查攻擊背後的駭客，並試圖盡快讓 ShipManager恢復，表示正在與挪威警方和第三方 IT公司合作應對這一事件，目前DNV仍沒有公佈勒索軟體名字。

到目前為止，DNV稱只有岸上系統而非船上系統受到網路攻擊的影響，但專家警告說，隨著頻寬的改進使陸上系統與導航和其他船載系統之間的相互依賴性加強，這種情況可能會發生變化。

DNV 是世界上最大的船級社之一，負責管理船舶和海上結構物建造和運營的技術認證，這家挪威公司為 13,175 艘船和行動海上裝置 (mobile offshore units)提供服務，DNV在任何船的整個生命週期內提供解決方案和服務，從設計和工程到風險評估和船舶管理， 2021年收入超過 20 億美元。

對 DNV 的攻擊是影響航運業的最新事件，兩週前，里斯本(Lisbon)港口成為 LockBit 勒索軟體組織的目標。2022年2 月西歐石油港口碼頭遭受BlackCat勒索軟體入侵，至少攻擊了17個港口的石油港口碼頭軟體，改變了油輪的路線並嚴重擾亂了供應鏈。11 月，美國國土安全部長Alejandro Mayorkas告訴國會，美國港口面臨的最大威脅是網路攻擊。

“我們正在提高我們港口運營的技術水平，這就是為什麼不僅海關和邊境保護局關注網路安全，美國海岸警衛隊也是如此，關於我們的港口，我認為網路安全是一個重大威脅，我們當然非常專注於防禦它並加強我們的網路安全。” Mayorkas說。

常見船舶發生網路漏洞的原因：

過時和不受支援的操作系統

未修補的系統軟體

過時或缺乏防毒軟體和惡意軟體的防護

不安全的船上電腦網路

關鍵基礎設施與岸邊持續連接

對第三方（包括承包商和服務提供商）的存取控制不足

網路風險方面培訓不足和/或缺乏技術熟練的員工

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

英國皇家郵政遭網路攻擊，導致國際郵寄嚴重受阻，幕後黑手疑是LockBit勒索軟體

Posted on 2023 年 1 月 13 日2023 年 2 月 13 日 by blogadmin

英國皇家郵政公司（Royal Mail）1月11日指出，系統遭網路攻擊導致其服務嚴重中斷，迫使皇家郵政停止了其國際出口服務，該公司週三表示，暫時無法寄送出口物品，並警告稱運往國際目的地的信件和包裹會出現延誤。皇家郵政沒有提供有關網路攻擊的其他細節，目前尚不清楚皇家郵政的哪些數據遭到破壞以及服務將受到影響多長的時間，但他們表示正與外部專家合作調查事件，並已通知英國監管機構。根據英國每日電訊報(The Telegraph)，這起事件很有大可能源自LockBit勒索軟體的操作或至少是使用它們的加密產生器 (Builder)。據悉，勒索軟體攻擊加密了用於國際運輸的設備，並導致用於海關備案的印表機上不斷印列勒索信。這是 LockBit 3.0 勒索軟體中的一項內置功能，可在網路印表機上重複地列印勒索信，從而引起受害公司的混亂。根據BleepingComputer看到的勒索信，可以確認勒索信上包含了指向LockBit揭秘網站的 Tor網址及登錄聊天室所需的Decryption ID。

1月13日，皇家郵政發言人拒絕評論這次攻擊是否是勒索軟體，但一再警告客戶，投遞中斷的情況還沒有結束，該公司仍然無法向海外發送信件和包裹，表示正在努力解決這個問題。另外，進入英國的郵件也有輕微延誤，但國內遞送不受影響。

值得一提的是，資安研究團隊VX-Underground今天在Twitter表示，LockBit否認對皇家郵政的攻擊負責。鑑於LockBit勒索軟體產生器的程式曾被外洩，是不是其他駭客使用外流的程式發動攻擊，或是LockBit正在說謊，目前仍無法下定論，此資安事件值得我們繼續關注下去。

LockBit勒索軟體集團被廣泛認為總部位於俄羅斯，是世界上最多產的勒索軟體之一，自大約三年前首次出現以來，已針對數百個組織發起攻擊。資安公司 Emsisoft 的威脅分析師 Brett Callow 表示，LockBit的贖金要求是基於每個受害者的支付能力，可能從數萬美元到數百萬美元不等。他表示，皇家郵政的贖金不太可能低於 100 萬美元。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

美國CISA 下令聯邦機構修補被勒索軟體集團濫用的Exchange 伺服器漏洞

Posted on 2023 年 1 月 11 日2023 年 2 月 13 日 by blogadmin

美國網路安全暨基礎設施安全局（CISA）在1月10日在其已知濫用資安漏洞(Known Exploited Vulnerabilities)清單中又增加了兩個漏洞。

第一個漏洞為CVE-2022-41080，屬於Exchange伺服器特權提升的漏洞，可與ProxyNotShell漏洞(CVE-2022-41082)連結起來實現遠端執行任意程式碼。根據總部位於德州的雲端服務業者 Rackspace一周前的證實，Play軟體集團利用它作為零時差漏洞來繞過Microsoft的ProxyNotShell URL 重寫緩解措施從而濫用網頁版郵件管理介面Outlook Web Access（OWA）來遠端執行任意程式碼來攻擊Exchange。資安公司CrowdStrike 將此漏洞利用手法稱為“OWASSRF”，在成功入侵後，駭客便利用遠端存取工具Plink、AnyDesk來維持存取，並在Exchange伺服器上執行反取證技術以試圖隱藏他們的擊行動，這可使其他網路犯罪分子更容易建立自己自訂義的漏洞利用程式或根據自己的目的調整 Play 勒索軟體的工具，從而增加了盡快更新和修補漏洞的緊迫性。

CISA建議擁有落地Exchange 伺服器的組織立即部署最新的 Exchange 安全更新或禁用網頁版郵件管理介面(OWA)，直到他們可以應用 CVE-2022-41080 修補。

CISA 新增到其已知濫用資安漏洞清單中的第二個漏洞是Windows 進階本機程序呼叫（Advanced Local Procedure Call，ALPC）中的特權升級時差漏洞 ( CVE-2023-21674 )，被標記為已在攻擊中被利用，微軟在本月安全更新Patch Tuesday釋出修補，CISA下令聯邦機構必須在 1 月底之前完成修補。CISA 於 2021 年 11 月發布具有約束性作業指引:降低已知被開採漏洞的重大風險(Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities)，為了聯邦民事執行機構 (Federal Civilian Executive Branch) 的網路免受添加已知濫用資安漏洞的侵害，可約束其在特定時間內完成修補。此次CISA給予 FCEB 機構三週的時間，直到 1 月 31 日，以修補這兩個安全漏洞並阻止針對其系統的潛在攻擊。CISA 警告說“這些類型的漏洞是惡意網路參與者的常見攻擊媒介，並對聯邦企業構成重大風險。

雖然該指令僅適用於美國聯邦機構，但 CISA 還強烈敦促所有組織修補這些漏洞以避免受到攻擊。自 BOD 22-01 指令發布以來，CISA 在其被在其已知濫用資安漏洞清單中增加了 800 多個安全漏洞，要求聯邦機構以更緊迫的時間表解決這些漏洞，以防止潛在的安全漏洞。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Fortinet 和 Zoho 敦促 用戶儘快修補它們產品中的漏洞

Posted on 2023 年 1 月 6 日2023 年 2 月 13 日 by blogadmin

Fortinet 警告稱其產品的 FortiADC 應用程式交付控制器存在嚴重漏洞影響並多個版本，該漏洞編號為CVE-2022-39947，位於FortiADC web接口中，漏洞可導致任意程式碼執行。Fortinet在公告中表示，FortiADC操作系統命令漏洞中使用的特殊元素的不當中和可允許經過身份驗證的攻擊者存取 Web 界面以通過特製的 HTTP 請求執行未經授權的程式碼或命令，此漏洞的CVSS風險評分高達8.6，屬於高度風險。

Fortinet提到該漏洞由其內部產品安全團隊發現，並公布影響以下版本:

FortiADC 版本 7.0.0 到 7.0.1

FortiADC 版本 6.2.0 到 6.2.3

FortiADC 版本 5.4.0 到 5.4.5

FortiADC 所有版本 6.1

FortiADC 所有版本 6.0

官方已發布更新版本:

建議用戶將FortiADC版本6.0, 6.1 , 6.2.0 到 6.2.3升級到6.2.4或7.0.0 到 7.0.1升級到7.0.2以上版本；

另外，也即將推出的FortiADC 5.4.6 或以上版本以應對受影響的5.4.0 到 5.4.5版本

Fortinet在 1 月還發布了FortiTester 中的多個風險命令注入漏洞的修補，這些漏洞被統稱為CVE-2022-35845（CVSS風險評分高達7.6），這些漏洞可允許經過身份驗證的攻擊者在底層 shell 中執行任意命令，攻擊者可利用漏洞要求認證。據 Fortinet 稱，受影響的FortiTester 版本2.xx、3.xx、4.xx、7.x 和7.1.0，已在發布 FortiTester 版本 3.9.2、4.2.1、7.1.1 和 7.2.0時得到解決。

此外，Zoho本周也發布了一份安全公告，呼籲其用戶立即修補影響其三款ManageEngine產品( ManageEngine Password Manager Pro、PAM360 和 Access Manager Plus) 的SQL injection 高風險漏洞，漏洞編號為CVE-2022-47523，可授予攻擊者未經身份驗證的後端資料庫存取權限，並讓他們執行自訂義查詢以獲得對資料庫表中的條目的存取權限。據 Zoho稱，漏洞已通過添加適當的驗證和轉義特殊字符得到解決，強烈建議用戶立即升級到最新版本的 PAM360、Password Manager Pro 和 Access Manager Plus即Password Manager Pro 的12210版本、PAM360 版本 5801 和 Access Manager Plus的 4309 版本。

以上這兩家公司並未提到這些漏洞已遭利用。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

LockBit為攻擊加拿大Sickkids醫院道歉，首次釋出免費解密工具，專家稱醫院仍需數月完全恢復系統

Posted on 2023 年 1 月 3 日2023 年 2 月 13 日 by blogadmin

臭名昭著的LockBit勒索軟體集團，在承認其會員(Affiliate) 之一是加拿大最大兒科醫院(Sickkids) 網路攻擊的幕後黑手後，罕見地道歉並免費釋出解密工具給與受害醫院。12 月 18 日，多倫多病童醫院 (SickKids ) 遭到勒索軟體攻擊，導致該機構無法存取其許多關鍵系統，該事件影響了醫院內部系統、醫院電話線路和網站。雖然這次攻擊只加密了幾個系統，但 SickKids表示，該事件導致實驗室和影像系統的接收延遲，導致患者等待時間的增加，該醫院同時發出了灰色代碼（Code Grey）警示。截至 12 月 29 日，SickKids說它已重新恢復近 50% 的優先系統(Priority system)，包括那些導致診斷和治療延誤的系統。12 月 31 日，LockBit 勒索軟體集團在其揭秘網站發出道歉聲明，LockBit 為這次攻擊道歉並發布了解密工具，LockBit道，“我們對加拿大Sickkids醫院的攻擊正式道歉，並免費提供解密工具，攻擊這家醫院的會員違反了我們的規定，已被封鎖，不能再加入我們的會員聯盟中。”

LockBit向Sickkids醫院道歉，SickKids 是多倫多的一家教學和研究醫院，專注於為患病兒童提供醫療保健。

根據Bleeping Computer的及報導，解密工具明顯地只適用於Linux/VMware ESXi系統，不支援 Windows，這表明 LockBit的會員只加密了醫院網路上的虛擬機。Sickkids在 1 月 1日表示，在獲悉勒索軟體組織在網上發布的聲明，其中包括提供免費解密工具以恢復受網路攻擊事件影響的系統，已聘請第三方專家來驗證和評估解密工具，並補充說他們沒有支付任何贖金。目前尚不清楚，為什麼 LockBit花了將近兩週的時間才向 SickKids 提供免費解密，值得注意的是，在過去LockBit也曾針對醫院發動攻擊但並沒有釋出解密工具的紀錄，。例如，在2022年8 月，LockBit向法國醫院 Centre Hospitalier Sud Francilien勒索1000萬美元的贖金在醫院拒付後和最終外洩患者數據。2022年6 月，日本德島縣鳴門市醫院遭LockBit入侵，導致電子病歷無法存取。

Lockbit勒索軟體集團以勒索軟體即服務(Ransomware as a service，RaaS) 的操作來運營，負責建立及維護勒索軟體、加密工具和網站，其會員負責入侵受害者的網路、竊取數據和加密設備，該集團從所有贖金中抽取 20%作為報酬，其餘80%則交給會員。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”