標籤: News

賀!Acalvio榮登Gartner新興技術的自動移動目標防禦(AMTD)的創新者

Posted on by blogadmin

Acalvio 在2023年Gartner新興技術報告中的自動移動目標防禦技術被評為技術創新者(Tech Innovator)

2023 年 6 月 28 日–先進網路欺敵技術領域的領導者Acalvio Technologies宣布獲得Gartner Report新興技術中自動移動目標防禦 (Emerging Tech: Security – Emergence Cycle for Automated Moving Target Defense) 的技術創新者(Tech Innovator)，Acalvio 的ShadowPlex平台提高了自動移動目標防禦(AMTD)技術的標準，並提供了將AMTD解決方案推向市場的最佳實踐和建議。

Gartner指出，資安全團隊因必須提供反應性檢測和回應而不堪重負，因高警報量和誤報導致產生疲勞。因此，對有效保護和加強網路安全的解決方案的需求很高。

Gartner 在 2023 年 2 月發布的”新興技術：安全-網路的未來是自動化移動目標防禦”(Emerging Tech: Security -The Future of Cyber Is Automated Moving Target Defense)報告中指出，AMTD的核心包含四個主要要素：主動網路防禦機制、協調攻擊面移動或變化的自動化、欺敵技術的使用以及執行智慧-變更決策的能力。

Acalvio Technologies聯合創辦人兼首席執行長Ram Varadarajan 表示，Gartner的自動移動目標防禦(AMTD)報告對分層式解決方案如何以及為何在構建更強大的網路安全防禦方面變得至關重要，進行了重要分析，而Acalvio豐富的主動防禦和身分威脅偵測及回應(ITDR)功能為客戶提供了分層防禦（Layered Defense），解決了 AMTD 的所有四個要素。從攻擊者的角度來看，ShadowPlex高級威脅防禦環境看起來像一個目標豐富的環境，攻擊者接觸的每個節點只會讓他們感到困惑和沮喪，因為每當他們碰觸到欺敵誘餌時，他們的策略、技術及程序(Tactics, Techniques, and Procedures, TTPs) 就會變得不那麼有效，他們開始對自己的工具和自己的能力失去信心。當他們試圖大量就地取材（Living Off-the-Land，LOL）並利用現有的工具和命令時，會發現這些工具變得不如預期，而進一步挫敗和暴露了他們。高保真警報會隨著他們採取的每一步而觸發，從而洩露他們的操作並浪費的時間。

根據Gartner報告，AMTD解決方案使網路駭客的攻擊變得更加困難和昂貴，AMTD通過在環境中主動且持續地進行更改來混淆、破壞和阻止攻擊者，從而改變IT環境的傳統「靜態」性質。通過主動式回應更改服務或基礎設施的變項，防禦者可以更有效地識別、理解和阻止攻擊者。Gartner網路安全新興技術和趨勢管理副總裁Carl Manion 表示，由 AMTD 欺敵組成的分層防禦可顯著提升組織的安全態勢，Acalvio 提供了豐富的欺敵功能，可以將攻擊者引向錯誤的方向，從而保護 IT 和運營技術 (OT) 環境。

關於 Acalvio Technologies

Acalvio是應對網路欺敵攻擊的主動防禦解決方案的全球領導者，其突破性的自主欺敵技術基於分散式欺敵和進階人工智慧領域，並獲得超過 25個註冊專利，以實現有效、易於使用和企業規模的主動式防禦部署。Acalvio 的自主欺敵通過早期檢測進階威脅來減少攻擊者的停留時間，並通過利用複雜的調查和主動威脅搜尋功能提高SOC的效率。Acalvio是CMMC第三方評鑑機關Booz Allen Hamilton戰略合作夥伴，共同推動零信任環境採用欺敵策略。Acalvio ShadowPlex是唯一經美國授予聯邦政府風險與授權管理計劃FedRAMP 認證可用於美國政府環境的專利自主欺敵產品，是目前市場上唯一FedRAMP Ready的欺敵技術的解決方案，這家位於矽谷的公司的解決方案服務於財富500強企業、美國政府機構和大型 MSSP。

竣盟科技是Acalvio的台灣唯一代理商以及指定技術合作夥伴，目前已將Acalvio ShadowPlex持續導入到國內企業與機構中，協助建構高擬真的欺敵平台，並完美地融入現有的監控模式，更加提升網路安全防護等級。

欲了解更多關於 Acalvio ShadowPlex的資訊，請聯繫竣盟科技 desiree@billows.com.tw 電話: 02-25623952 ext. 16

“轉貼、分享或引用文章內容，請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”

完整的“新興技術：安全——自動移動目標防禦的技術創新者”報告可以在 Gartner 網站上找到。

1 Gartner ® 2023 年新興技術：安全 — 自動移動目標防禦的技術創新者，作者：Mark Pohto、Carl Manion，2023 年 6 月 7 日發布。

2 Gartner ® 2023 新興技術：安全 — 網路的未來是自動移動目標防禦，作者：Lawrence Pingree、Carl Manion、Matt Milone、Sean ONeill、Travis Lee、Mark Pohto、Mark Wah、Ruggero Contu、Dan Ayoub、Elizabeth Kim， Rustam Malik、Nat Smith，2023 年 2 月 28 日發布。

日本最大港口-名古屋港作業系統遭LockBit勒索軟體攻擊而中斷

Posted on by blogadmin

勒索軟體攻擊引起貨櫃搬運系統不能操作，導致無法裝卸貨櫃，貨櫃車在港口附近大排長龍。

日本最大的港口名古屋港遭受LockBit勒索軟體攻擊，其運營受到嚴重影響。根據朝日電視台，位於伊勢灣的名古屋港是日本最大、最繁忙的貿易港口，約佔日本貿易總額的10%。值得注意的是，這個港口是日本最大的汽車出口地，也是豐田汽車公司出口大部分汽車的地方。該港口遭受勒索軟體攻擊，影響了貨櫃碼頭的運營。據管理系統的名古屋港運協會證實，7月4日上午6點30分左右，當時一名員工無法存取名古屋聯合終端系統 (Nagoya United Terminal System-NUTS)，該系統用於操作該港口的五個貨運碼頭。因網路攻擊引起貨櫃搬運系統不能操作，導致無法裝卸貨櫃，貨櫃車在港口附近大排長龍。據稱，由於駭客遠端地向印表機發送了超過100份英文勒索信，該信上出現LockBit字樣，可推斷攻擊來自LockBit勒索軟體集團，然而仍不清楚勒索贖金。

Photo Credit : 朝日電視台

根據日經的報導，名古屋港計劃於7月5日下午6:00前恢復系統，力爭7月6日上午8:30起恢復裝卸工作。在此之前，所有使用貨櫃車在碼頭進行的裝卸貨櫃作業均已取消，給港口造成了巨大的財務損失，並嚴重擾亂了進出日本各地的貨物流通。以名古屋港為進出口據點的日本豐田汽車表示，事故導致零部件裝卸作業無法進行，但暫時未有妨礙生產。這是名古屋港第二次遭到網路攻擊。去年 9 月，親俄羅斯組織 Killnet針對該港口發起的大規模分散式阻斷服務 (DDoS)攻擊，導致該港口網站關閉。這次LockBit的攻擊無疑是向名古屋港發出的一個警告信號，表明其系統需要徹底地進行網路安全檢修。

中國 APT組織利用 HTML挾帶手法來攻擊歐洲外交部和大使館

Posted on by blogadmin

中國國家級駭客組織被發現利用HTML挾帶(HTML Smuggling) 通過 PlugX 遠端存取木馬(RAT)滲透各歐洲外交部和大使館。據資安公司 Check Point的報告，研究人員將該活動命名為 SmugX，稱該活動至少自 2022 年 12 月以來一直在持續，並補充說這是中國駭客將重點轉向歐洲，利用 HTML挾帶技術以PlugX遠端存取木馬感染目標系統。

HTML挾帶是一種高度規避的惡意軟體傳播技術，利用合法的 HTML5 和 JavaScript 功能。惡意負載通過 HTML 附件或網頁中的編碼字串傳遞。惡意 HTML 程式碼是在目標設備上的瀏覽器內生成的，該目標設備位於受害者網路的安全範圍內。Check Point表示，該活動使用新的交付方法來部署（最引人注目的是 HTML挾帶）PlugX 的新變體，這種植入通常與中國駭客相關。根據Check Point，SmugX活動與中國 APT駭客組織 RedDelta 和 Mustang Panda的活動相互重疊，Check Point 進一步說，儘管這兩者在某種程度上與另一個APT駭客組織 Camaro Dragon 相關，但沒有足夠的證據表明 SmugX活動與 Camaro Dragon 組織有聯繫。

Photo Credit: Check Point

該活動針對歐洲的政府實體，重點是外國和國內政策實體。

駭客使用精心設計的魚叉式網路釣魚消息來誘騙收件人下載 JavaScript 或 ZIP 檔案。打開這些惡意 HTML 文檔，程式碼中嵌入的有效負載將被解碼並保存到 JavaScript blob 中。研究人員注意到，JavaScript 程式碼不是利用 HTML元素，而是動態建立。 惡意程式碼使用 createObjectURL 函數從 blob 建立 URL 對象，並使用所需的檔案名設置下載屬性。然後，惡意程式碼調用點擊操作來模擬用戶點擊鏈接並開始下載檔案。

研究人員注意到，對於較舊的瀏覽器版本，惡意程式使用 msSaveOrOpenBlob 以所需的檔案名保存 blob。

對上傳到 VirusTotal 的活動中使用的檔案的分析顯示，中國 APT 組織試圖針對捷克、匈牙利、斯洛伐克、英國和烏克蘭的外交官和政府實體。誘餌檔案中提到的其他國家包括法國和瑞典。

上傳到 VirusTotal 的誘餌包括：

*這封信來自塞爾維亞駐布達佩斯大使館。

*一份闡述瑞典擔任歐盟理事會主席國的優先事項的文件。

*匈牙利外交部發出的外交會議邀請函。

*一篇關於兩名中國人權律師被判處十多年監禁的文章。

此活動中使用的一些誘餌-Photo Credit: Check Point

中國APT駭客組織使用了多階段感染過程，該過程依賴於 DLL 側面加載方法來傳遞 PlugX RAT。根據Check Point， “我們在此活動樣本中看到的一個顯著變化是，與我們過去看到的簡單 XOR 解密相比，RC4 加密方法的使用越來越多。加密的配置仍然駐留在數據部分，但它在配置的開頭預先添加了密鑰，而不是像之前的示例那樣放在解密函數中。在我們調查樣本的過程中，駭客發送了一個從 C&C伺服器發送的batch scripts，旨在清除其活動的任何痕跡。這個名為 del_RoboTask Update.bat 的腳本會消除合法的可執行檔案、PlugX 加載程式DLL 以及為持久性而實現的登錄機碼，並最終刪除自身。研究人員指出，該歸因是基於與 RedDelta 或 Mustang Panda 的活動的相似性，包括基礎設施、用於部署 PlugX 的路徑以及受害者學和引誘策略。

SmugX活動的部分入侵指標(Indicator of compromise -IOCs):

edb5d4b454b6c7d3abecd6de7099e05575b8f28bb09dfc364e45ce8c16a34fcd

736451c2593bc1601c52b45c16ad8fd1aec56f868eb3bba333183723dea805af

0e4b81e04ca77762be2afb8bd451abb2ff46d2831028cde1c5d0ec45199f01a1

989ede1df02e4d9620f6caf75a88a11791d156f62fdea4258e12d972df76bc05

10cad59ea2a566597d933b1e8ba929af0b4c7af85481eacaab708ef4ddf6e0ee

多國網路安全機構:LockBit勒索軟體已在約1700次攻擊中，獲得超過九千萬美元的不法所得

Posted on by blogadmin

6月15日，為了幫助各地的組織了解和抵禦LockBit 勒索軟體，這現為全球最猖獗的威脅及其大量會員(affiliate)，美國網路暨基礎安全局 (CISA)、聯邦調查局 (FBI) 以及包含澳洲、 加拿大、 英國、 德國、 法國和新西蘭等多國網路安全機構共同發布了關於題為Understanding Ransomware Threat Actors: LockBit的聯合網路安全諮詢，該諮詢包括:

*LockBit 使用了大約 30 個免費和開源工具的清單

*超過40個mapping 到MITRE ATT&CK的攻擊戰略、攻擊手法(TTPs)

*觀察到常被利用的CVEs漏洞

*LockBit勒索軟體即服務(RaaS)的演變以及全球趨勢和統計數據

*推薦的資源和緩解措施，以幫助抵禦全球 LockBit 活動

該公告指出，自 2020 年以來，僅在美國就發生了約 1,700 次 LockBit 勒索軟體攻擊，企業和組織為此支付了約 9,100 萬美元的贖金。這些多安全機構警告，LockBit 勒索軟體即服務 (RaaS) 吸引附屬會員(affiliate)使用 LockBit 進行勒索攻擊，導致大量互不關聯的攻擊者進行各種各樣的攻擊。根據Malwarebytes上週分享的統計數據，LockBit 於 2019 年底首次出現，它具有破壞性和多產性，僅在 2023 年 5 月就針對多達 76 名受害者。迄今為止，與俄羅斯有關聯繫的會員稱對至少 1,653 起勒索軟體攻擊負責。網路犯罪行動攻擊了廣泛的關鍵基礎設施部門，包括金融服務、食品和農業、教育、能源、政府和緊急服務、醫療保健、製造和運輸。到目前為止，LockBit 已經進行了三次實質性的升級：LockBit Red（2021 年 6 月）、LockBit Black（2022 年 3 月）和 LockBit Green（2023 年 1 月），其中最後一個的升級是基於已經被解散的 Conti勒索軟體遭外洩的原始碼。

根據該公告，LockBit 用於吸引會員的一些方法包括但不限於，通過允許會員在收到贖金之後再付款；在線上論壇中貶低其他勒索軟體團體；花錢推廣宣傳活動，例如花錢招募人來紋含有 LockBit logo的紋身；推出抓漏獎勵專案等;它還包括為其勒索軟軟體開發和維護一個簡化的點擊式界面，使技術水平較低的人也可以使用它，使LockBit成為是去年全球最熱門活躍的勒索軟體組織。

Photo Credit: Cert NZ

涉及 LockBit 的攻擊鏈利用，包含最近披露的 Fortra GoAnywhere Managed File Transfer (MFT) 和 PaperCut MF/NG 伺服器中的漏洞以及 Apache Log4j2、F5 BIG-IP 和 BIG-IQ 以及 Fortinet 設備中的其他已知漏洞來獲得初始存取權限。LockBit還使用了三十多個免費軟體和開源工具，允許網路偵察、遠端存取和隧道、憑證轉儲和檔案外洩。該公告補充說，在大多數入侵中都觀察到了 PowerShell 和batch-script的使用，這些入侵側重於系統發現、偵察、密碼/憑證搜索和權限升級，這些入侵被發現進一步濫用合法的紅隊工具，如Metasploit和Cobalt Strike。

該諮詢提出各種預防相關攻擊的緩解措施，包括實施沙盒瀏覽器，要求所有使用密碼登錄的帳戶遵守 NIST 標準以製定和管理密碼策略；在電子郵件網關上實施過濾機制；安裝網路應用防火牆；分段網路；採用最少權限的最佳實踐；強制管理和審核具有管理權限的用戶帳戶；對設置在管理員級別和更高級別的帳戶實施基於時間的存取。它還建議開發並定期更新綜合網路圖；控制和限制網路連接；啟用增強的 PowerShell 日誌記錄；配置 Windows 登錄檔案以要求 UAC批准任何 PsExec 操作；禁用命令行和腳本活動和權限；啟用憑證保護；實施本地管理員密碼解決方案 (LAPS)。

另外，CISA本週發布了一項具有約束力的操作指令 23-02，指示聯邦機構在發現後 14 天內保護暴露在公共互聯網上的防火牆、路由器和交換機等網絡設備，並採取措施最大限度地減少攻擊面。

了解更多關於此資安諮詢: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a

中國駭客利用 VMware ESXi零時差漏洞部署後門，入侵國防和科技領域

Posted on by blogadmin

資安研究員觀察到一個中國網路間諜組織利用VMware ESXi零時差漏洞進行權限提升，廣泛使用一系列攻擊者腳本來獲取 vpxuser憑證、枚舉 ESXi 主機及其來賓虛擬機，並操縱連接的 ESXi 主機防火牆規則以竊取數據。

6 月 14 日，資安公司Mandiant 警告稱，一個追踪為 UNC3886 的中國駭客間諜組織被發現利用 VMware ESXi 零時差漏洞來提升客戶虛擬機的權限。UNC3886 最初於 2022 年 9 月詳細介紹，一直在使用惡意 vSphere 安裝服務包(VIB)（通常用於維護系統和部署更新的軟體包）在 ESXi 管理程式上安裝後門並獲得命令執行、檔案操作和反向 shell 功能。該組織的惡意行為會影響 VMware ESXi 主機、vCenter伺服器和Windows 虛擬機 (VM)。

在最近的攻擊中，UNC3886從 vCenter Server 獲取所有連接的 ESXi 主機的憑證，使用 VMCI套接字(一種用於虛擬機通信介面的網路套接字API)部署後門以實現橫向移動和持久性，以及修改和關閉受感染系統上的日誌記錄服務。此外，該組織一直在利用 VMware Tools 中的零時差漏洞繞過身份驗證並在 Windows、Linux 和 PhotonOS (vCenter) 來賓虛擬機上執行特權命令。該漏洞編號為 CVE-2023-20867，具有低嚴重性評級，因為它的利用需要攻擊者擁有對 ESXi 伺服器的root存取權限。VMware 在一份公告中表示，受感染的 ESXi 主機可能會迫使 VMware Tools 無法驗證主機到客戶的操作，從而影響客戶虛擬​​機的機密性和完整性，並在VMware Tools的12.2.5版本中解決了該漏洞，建議用戶進行修補。

Photo Credit : Mandiant

根據 Mandiant 的說法，UNC3886 被發現使用腳本通過連接的 vPostgreSQL 數據庫從受感染的 vCenter伺服器獲取憑證，枚舉所有 ESXi 主機及其來賓虛擬機，並修改所有連接的ESXi主機的允許IP清單。

UNC3886組織還使用安裝腳本將惡意安裝服務包(VIB)部署到主機，並利用 CVE-2023-20867 執行命令並將檔案從受感染的 ESXi 主機與來賓 VM 來回傳輸，而無需身份驗證且不留痕跡。

Mandiant進一步說，當從 ESXi 主機執行命令時，利用 CVE-2023-20867 不會在來賓虛擬機上生成身份驗證日誌事件。Mandiant還觀察到該組織使用 VMCI 套接字部署了兩個後門（VirtualPita 和 VirtualGate）以實現橫向移動和持續持久性，以確保他們的惡意活動不被發現。該惡意軟體為攻擊者提供了新級別的持久性（通過存取 VM 重新獲得對受感染 ESXi 主機的存取權限），還允許網路分段繞過和逃避對開放偵聽端口的安全審查。

Mandiant 指出，與 CVE-2023-20867 結合，將重新獲得對 ESXi 主機的存取權限允許攻擊者在該 ESXi 主機下運行的任何虛擬機上使用最高特權帳戶執行未經身份驗證的操作。如果 vCenter 作為 ESXi 主機下的虛擬機存在，攻擊者可以繼續連接到 vCenter 的所有 ESXi 主機獲取所有連接的 vpxuser 憑證，並繼續在環境中橫向移動。Mandiant 補充道，UNC3886以集中攻擊美國和 APJ 地區的國防、政府、電信和技術部門的組織而聞名。他們最喜歡的目標是沒有端點偵測與回應(EDR)功能的防火牆和虛擬化平台中的零時差漏洞，組織必須保持警惕，確保他們不僅在操作系統層監控網路，而且還要繼續修補和維護。

Cl0p 勒索軟體組織聲稱通過利用MOVEit Transfer中的漏洞攻擊了全球數百家公司

Posted on by blogadmin

Cl0p 勒索軟體利用MOVEit Transfer中的的零時差漏洞竊取個資，危害了全球數百家公司。MOVEit Transfer 是一種MFT檔案共享系統，它允許企業使用 SFTP、SCP 和基於 HTTP 的上傳在業務合作夥伴和客戶之間安全地傳輸檔案。該零時差漏洞CVE-2023-34362是一個SQL注入漏洞，未經授權的攻擊者可利用該漏洞對MOVEit Transfer的資料庫進行未經授權的存取，竊取個資。最近傳出勒索軟體組織駭入MOVEit，攻擊BBC、英航和加拿大政府等企業。6月6日，微軟表示是次MOVEit Transfer的攻擊由勒索軟體組織Cl0p策劃。

Progress公司在發布的公告中表示，在 MOVEit Transfer Web 應用程式中發現了一個 SQL 注入漏洞，該漏洞可能允許未經身份驗證的攻擊者獲得對 MOVEit Transfer 數據庫的未經授權的存取。根據所使用的數據庫引擎（MySQL、Microsoft SQL Server 或 Azure SQL），攻擊者除了執行更改或刪除資料庫元素的 SQL 語句外，還可能推斷出有關數據庫結構和內容的資料。

該漏洞影響所有MOVEit Transfer版本，不影響雲端產品。Progress亦已在5月31日發佈修補程式，但是已經有用戶受害。6月7日，Cl0p在其暗網網站Cl0p News上聲稱已入侵數百家企業，暗示到6月14 日他們必須向其聯絡付贖金，滿足他們的需求，否則他們將把受害公司機密資訊公佈於網上。

目前無法確定遭Cl0p利用 MOVEit Transfer 漏洞入侵的組織的確切數量和是否存在台灣企業遭受此漏洞的影響。

5 月 31 日，資安公司Rapid7 專家發現了大約 2,500 個可在互聯網上公開存取的 MOVEit Transfer 實例 ，其中很大一部分位於美國。

Rapid7稱到目前為止，其團隊已經在多個客戶環境中觀察到相同的 webshel​​l 名稱，這可能表明存在自動利用。遭到零時差漏洞CVE-2023-34362攻擊的組織之一是薪資服務提供商Zellis，為英國數百家公司提供薪資支援服務，Zellia透露他們的MOVEit Transfer伺服器遭駭，部分客戶受到波及包含BBC 和英國航空公司員工的出現資料外洩的情況。另外，英國保健和美容零售商及藥店連鎖店 Boots 也證實受到了此次襲擊的影響。該公司尚未確定受影響員工的人數。另一家受影響的公司是愛爾蘭航空公司，該公司證實我們的一些現任和前任員工資料已被披露。

Progress 已及時提供緩解措施，通過將 MOVEit Transfer 更新到其中一個修補版本來幫助防止利用此漏洞。如果更新到上述修補對您的組織不可行，建議禁用 MOVEit Transfer 的 HTTP(s) 流量。

這並非Clop第一次經由檔案傳輸服務製造軟體供應鏈安全危機。該組織分別在2020和 2021年以檔案傳輸服務Accellion及2023年的GoAnywhere 造成大規模感染攻擊。

微軟Outlook 在親俄駭客組織的DDoS攻擊後在周一當掉

Posted on by blogadmin

在親俄羅斯駭客組織 Anonymous Sudan 聲稱已開始了一項專門針對美國公司和基礎設施的攻擊活動之後，微軟 Outlook 在週一當掉，造成全球用戶受到影響。

Anonymous Sudan 的Telegram頻道

美國東部時間週一上午 10 點左右，總部位於蘇丹的駭客組織 Anonymous Sudan開始在其Telegram 頻道上發布已發動攻擊微軟的消息，大約在同一時間，Outlook 用戶開始在 Twitter 上發布抱怨Outlook.com當掉，這影響了他們的工作效率的消息。從 Anonymous Sudan 分享的 check-host.net URL 來看，他們的目標是“ https://outlook.live.com/mail/0/ ”，這是 Outlook.com 網路服務的主要 URL。當時，約 15,000 名微軟用戶向Downdetector 報告故障事件。

微軟在推特上回覆了預設回覆，“您好。對於由此造成的不便，我們深表歉意。我們已讓相關團隊了解此問題，我們正在努力讓您盡快恢復正常運行。感謝您的耐心等待，”Outlook說。

隨後，微軟證實當掉的不僅是Outlook.com， Microsoft 365與其他服務包含OneDrive for Business、Microsoft Teams、SharePoint Online等也當掉，同時表示正在檢查網路系統與更新活動，以確認造成服務中斷的原因。

Anonymous Sudan 的Telegram頻道

Anonymous Sudan為了向其followers提供背景資料，該組織在Telegram中特別提到了美國國務卿安東尼·布林肯 (Antony Blinken)。布林肯上周訪問了沙特阿拉伯，討論處理蘇丹危機的戰略方法。美國國務卿還宣布對蘇丹的多個實體實施經濟制裁，包括蘇丹武裝部隊 (SAF) 和快速支援部隊 (RSF)，以應對最近“對平民住宅和基礎設施的搶劫、佔領和襲擊”。

Anonymous Sudan駭客組織自今年 1 月出現，它擅長對目標進行分散式服務阻斷攻擊 (Distributed Denial of Service -DDoS)，分散式阻斷服務攻擊為DoS (Denial of Service)的延伸，為駭客利用大量偽造且無意義的封包，藉以消耗被攻擊者的網路頻寬與系統資源，導致網路癱瘓，無法提供正常的服務。

專家警告技嘉系統中存在類似後門的行為，數百萬PC可能因技嘉系統中的關鍵韌體漏洞而成為駭客的目標

Posted on by blogadmin

韌體安全公司 Eclypsium 表示，技嘉主機板中的更新過程可能會忽略驗證下載是否來自官方的來源

Photo Credit: Gigabyte

韌體安全服務提供商 Eclypsium的研究人員在超過200款技嘉主機板主中發現了類似後門的功能，進一步分析表明，技嘉系統中的韌體在系統啟動過程中會投下並執行Windows本機執行檔。執行檔用於不安全下載和執行其他有效負載。專家指出，這與其他OEM類似後門的功能（如Computrace後門（又名LoJack DoubleAgent）和韌體植入物（如Sednit LoJax，MosaicRegressor，Vector-EDK）觀察到的行為相同。

Eclypsium分析這個後門似乎正在實施有意的功能，需要韌體更新才能將其從受影響的系統中完全刪除，並表示雖然我們正在進行的調查尚未證實特定攻擊者的利用，但一個活躍的、廣泛存在的、難以移除的後門給擁有技嘉系統的組織帶來了供應鏈風險。

Eclypsium 表示， 它於 2023 年 4 月首次檢測到該異常情況，在分析受影響的 UEFI韌體後，研究人員確定了一個名為8ccbee6f7858ac6b92ce23594c9e2563ebcef59414b5ac13ebebde0c715971b2.bin的檔案，這是一個 Windows 原生二進制執行檔，Windows 執行檔駐留在 UEFI韌體卷中。

韌體在系統啟動過程中將執行檔案寫入磁盤，這種技術通常被 UEFI 植入程式和後門程式採用。

該執行檔案可用於執行惡意活動，例如下載和執行其他有效負載。

Windows 可執行檔案是一個 .NET 應用程式，它根據其配置從以下位置之一下載並運行可執行負載：

http://mb.download.gigabyte.com/FileList/Swhttp/LiveUpdate4

https://mb.download.gigabyte.com/FileList/Swhttp/LiveUpdate4

https://software-nas/Swhttp/LiveUpdate4

專家指出，使用 HTTP 為中間人攻擊打開了大門，研究人員還注意到，即使使用 HTTPS 協議，遠端伺服器憑證的驗證也未能正確實作，在這種情況下也允許 MITM 攻擊，使情況更加複雜的是，韌體不支援執行檔案的數位簽名驗證。

“投下的執行檔案和正常下載的技嘉工具確實具有滿足 Microsoft Windows 程式簽名要求的技嘉加密簽名，但這對抵消惡意使用幾乎沒有作用，尤其是在使用離地生存技術（如在最近關於Volt Typhoon攻擊者的警報中  ）因此任何攻擊者都可以利用它通過 MITM 或受損的基礎設施持續感染易受攻擊的系統，類似後門的行為可能會影響超過三百個 Gigabyte 系統。

這些問題使組織面臨範圍廣泛的攻擊場景:

*攻擊者濫用 OEM 後門。

*OEM 更新基礎設施和供應鏈的妥協

*使用 UEFI Rootkit 和植入程式的持久性

*MITM 攻擊韌體和軟體更新功能

*由於官方韌體中的不良行為而持續存在風險

Eclypsium建議採取以下措施將風險降至最低：

*掃描和監控系統和韌體更新

*將系統更新到經過驗證的最新韌體和軟體。

*檢查並禁用技嘉系統上 UEFI/BIOS 設置中的App Center下載和安裝功能，並設置 BIOS 密碼以阻止惡意更改

*阻止上述網站加入封鎖名單

6 月 1 日， 技嘉更新：已發布修復程式以解決主機板漏洞，並表示其程師在對技嘉主機板的新BIOS進行全面測試和驗證後，已經降低了潛在風險，並將Intel 700/600和AMD 500/400系列Beta BIOS上傳至官網。

兆勤警告其防火牆和 VPN 設備存在兩個重大漏洞，呼籲儘快更新

Posted on by blogadmin
Photo Credit: Zyxel

#CVE-2023-33009

#CVE-2023-33010

網路設備製造商兆勤科技Zyxel 警告客戶其數款防火牆和 VPN 產品中存在兩個嚴重漏洞，攻擊者無需身份驗證即可利用這些漏洞。

這兩個安全問題都是緩衝區溢出的漏洞，並可能允許在易受攻擊的設備上執行阻斷服務攻擊 (DoS) 和遠端程式碼。

“兆勤已經發布了針對受多個緩衝區溢出漏洞影響的防火牆的修補，”該供應商在一份安全公告中表示。“建議用戶安裝它們以獲得最佳保護，”該公司補充道。

緩衝區溢出問題允許內存操作，使攻擊者能夠在分配的部分之外寫入數據。它們通常會導致系統崩潰，但在某些情況下，成功利用可以允許在設備上執行代碼。

Zyxel 的最新修補解決了以下漏洞，以下是對這兩個漏洞的簡要說明:

CVE-2023-33009：通知功能中的緩衝區溢出漏洞可能使未經身份驗證的攻擊者能夠導致拒絕服務 (DoS) 條件和遠端程式碼執行（CVSS 分數為 9.8）

CVE-2023-33010：ID 處理函數中的緩衝區溢出漏洞，允許未經身份驗證的攻擊者執行遠端程式碼或導致拒絕服務 (DoS)（CVSS 分數為 9.8）

該公司表示，以下設備受到影響：

ATP（版本 ZLD V4.32 到 V5.36 Patch 1，在 ZLD V5.36 Patch 2中修補）

USG FLEX（版本 ZLD V4.50 到 V5.36 Patch 1，在 ZLD V5.36 Patch 2中修補）

USG FLEX50(W) / USG20(W)-VPN（版本 ZLD V4.25 到 V5.36  Patch 1，在 ZLD V5.36 Patch 2 中修補）

VPN（版本 ZLD V4.30 到 V5.36 Patch 1，在 ZLD V5.36 Patch 2中修補），以及

ZyWALL/USG（版本 ZLD V4.25 到 V4.73 Patch 1，在 ZLD V4.73 Patch 2 中修補）

供應商建議受影響產品的用戶盡快應用最新的安全更新，以消除駭客利用這兩個漏洞的風險。

中小型企業使用運行上述易受攻擊版本的設備來保護他們的網路，並允許遠端或在家辦公的員工進行安全網路訪問 (VPN)。攻擊者密切關注影響此類設備的任何重大漏洞，因為它們可以促進輕鬆存取公司網路。

上週，網路安全研究員Kevin Beaumont報告稱，4 月底，Zyxel 在其防火牆設備中修復了一個嚴重的 RCE 漏洞，跟踪為 CVE-2023-28771  （CVSS 分數為9.8），並敦促客戶安裝補丁。該公司還修復了影響某些特定防火牆版本的高嚴重性身份驗證後命令注入問題（CVE-2023-27991 ，CVSS 分數為8.8）。

鈴木摩托車Suzuki Motorcycle India因網路攻擊導致工廠生產線已停工一周，造成嚴重生產損失

Posted on by blogadmin

Key Points:

*鈴木摩托車印度廠提供全球近一半的鈴木汽車產品，該國也是該品牌在 2023 財年增長最快的市場

*除了造成超過 20,000輛摩托車的生產損失外，該資安事件還迫使鈴木推遲其年度供應商大會

*該公司尚未透露攻擊的來源或何時恢復生產

負責製造鈴木摩托車的印度廠在遭受網路攻擊後被迫關閉，據印度媒體報導，由於營運受到網路攻擊，Suzuki Motorcycle India 的工廠被迫停產，自 5 月 10 日(星期六)以來，生產一直停滯不前，估計在此期間造成了至少 20,000 多輛摩托車的生產損失。鈴木摩托車稱已採取措施應對這一情況，包括因前所未有的業務需求(unprecedent business requirement)而推遲了原定於本週開始的年度供應商會議。該公司已將事件報告給有關政府部門，並正在配合調查。不過，該發言人補充說出於安全考慮，目前無法提供更多細節，因此並未透露此次攻擊的來源，也未提供恢復生產的具體時間表。如果該公司之後透露遭受到勒索軟體攻擊，相信任何人都不會感到驚訝。儘管如此，消息人士表示，該工廠將在未來幾天恢復營運。

Photo Credit: 鈴木摩托車印度廠

據印度Acko Drive的報導，鈴木摩托車是 2023 財年該國第五大兩輪車生產商，產量接近 100 萬輛，就像其姊妹公司 Maruti Suzuki 一樣，印度是這家兩輪車製造商在日本以外的最大市場。它是日本鈴木汽車的主要出口中心，印度 20% 的產品供應全球主要市場。印度佔鈴木汽車公司全球產量的 50%，是上一財年增長最快的市場之一。鈴木的全球產量在 2023 財年增長了超過 22 萬輛，其中近 85% 的增量來自印度。

鈴木摩托車在競爭激烈的印度兩輪車市場中佔有接近 5% 的市場份額，其 Burgman Street 和 Access 踏板車系列享有很高的市場佔有率。踏板車佔其 2023 財年總產量的 90% 以上，該公司在該領域的市場份額為 14%。憑藉在踏板車領域 14% 的市場份額，鈴木計劃在其產品線中推出更多產品，但像這樣的資安事件肯定會破壞或延誤其一些計劃。

印度公司經常成為攻擊目標

此次鈴木遭攻擊前，在過去 3-4 年中，包括印度國家銀行 (SBI)、印度最大的電力公司Tata Power、印度最大的醫療機構全​​印度醫學科學研究所( AIIMS ) 、頂級醫院Safdarjung

印度香料航空SpiceJet、印度航空和達美樂印度等幾家大企業亦曾被網路或勒索軟體攻擊，在所有行業中，醫療保健受到網路攻擊的打擊最嚴重，其次是教育和政府。然而印度並不孤單，因為全球網路攻擊在2022年激增38%後達到歷史最高水平，隨著 ChatGPT 開啟了駭客快速生成程式碼的可能性，網路安全變得更具挑戰性。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”