標籤: IOCs

據報導，日本知名媒體巨頭角川公司在2024年6月遭受了嚴重的網路攻擊，最終向與俄羅斯有關的BlackSuit勒索軟體集團支付了298萬美元贖金。然而，即便如此，該組織仍違背承諾，洩露了大量被盜數據。

什麼是 BlackSuit 勒索軟體？

BlackSuit 是一種具有高針對性和高破壞力的勒索軟體，自 2023 年底以來，Darktrace 已偵測到其滲透進入多家美國企業的網路。該勒索軟體的攻擊範圍廣泛，目標行業涵蓋藝術、娛樂、房地產、公共管理、國防以及社會保障等領域。

根據報導，BlackSuit 勒索軟體已索要超過 5 億美元的贖金，單次最高要求達到 6,000 萬美元。在過去BlackSuit針對的目標包括，CDK Global(一家專注於汽車零售技術的全球公司)；多家教育機構(特別是美國的高等教育機構)；Octapharma Plasma(一家專注於血漿治療的全球生物醫藥公司)；巴西政府(影響其多個公共部門運營)等等。

攻擊始末與初步影響

這場網路攻擊於6月8日首次發生，目標鎖定角川的伺服器，涵蓋支援流行視訊串流平台Niconico及其相關服務的系統。攻擊者BlackSuit聲稱對此事件負責，並表示在發動攻擊前幾週已成功滲透角川網路，利用系統漏洞存取了大量敏感數據，包括員工詳細資料、合約文件以及財務記錄等。

作為日本媒體領域的龍頭企業，角川以其多元的出版、電影及網路服務業務享譽業界。然而，這次攻擊對其運營帶來了毀滅性影響。Niconico服務被迫中斷數週，角川不得不採取臨時措施以維持部分平台功能。此外，其出版和商品業務也因延誤而受挫，進一步損害了公司聲譽與財務穩定性。

緊張的贖金談判

根據網路安全公司Unknown Technologies曝光的內部信件，角川公司與攻擊者之間的談判充滿緊張與不確定性。BlackSuit初步索要825萬美元的巨額贖金，然而，角川子公司Dwango Co.的營運長栗田茂隆（Shigetaka Kurita）表示該數額無法接受。栗田在與攻擊者的溝通中指出，由於公司在此前涉及東京奧運賄賂醜聞後採取了更加嚴格的合規政策，支付金額被限制在300萬美元以下。

最終，雙方協議支付價值298萬美元的比特幣（44枚），以換取攻擊者刪除被盜數據的承諾。然而，支付完成後，BlackSuit仍洩露了大部分敏感數據，包括Dwango Co.所有員工的個人信息及其他公司機密資料。

資料洩露與後續影響

此次數據洩露對角川公司及其相關利害關係人造成了深遠影響。雖然角川公司聲明未涉及信用卡資訊洩露，但洩露的員工個資與公司敏感數據嚴重損害了其公眾形象，並引發用戶及投資人的強烈不滿。

據分析，這些資料已被BlackSuit在暗網公開展示。角川公司對外表示，警方已介入調查，並拒絕正面回應是否支付贖金。然而，支付贖金的消息經洩露後，再次引發了有關勒索談判的道德與實際效果的激烈討論。專家警告稱，向攻擊者支付贖金不僅可能鼓勵其繼續犯罪，還不能保證資料不被洩露或受害者不被再次攻擊。

結語

角川的經歷提醒我們，面對不斷進化的勒索軟體攻擊，企業不僅需要加強技術防禦，更應在管理層面建立更健全的資安文化與預案。將資源投入於預防與恢復能力建設，才是最有效的應對方式。

BlackSuit勒索軟體的部分的入侵指標（IOCs）:

0bb61c0cff022e73b7c29dd6f1ccf0e2                 

1b2b0fc8f126084d18c48b4f458c798b                

3900ebc7766f3894fb1eb300460376ad

3bf1142b3294c23852852053135ec0df

519dc779533b4ff0fc67727fecadba82

6015e6e85d0d93e60041fa68c6a89776    

76a2363d509cc7174c4abee9a7d7ae68   

820cfde780306e759bb434da509f7a91

b54240c98ca23202e58a1580135ad14c

bed5688a4a2b5ea6984115b458755e90

SmokeLoader 惡意軟體因其多功能性與進階的規避技術而聞名，台灣企業成為最新目標

台灣的製造業、醫療保健及資訊科技等領域的企業，近日成為新的 SmokeLoader 惡意軟體攻擊活動的目標。SmokeLoader 是一款以其適應性和規避技術聞名的模組化惡意軟體。在此次攻擊中，它被用來直接執行惡意程式及指令，而非僅作為其他惡意軟體的下載媒介。

網路安全公司 Fortinet FortiGuard Labs 在一份報告中指出：「SmokeLoader 因其多功能性與高階的規避技術而聞名，其模組化的設計使它能執行廣泛的攻擊模式。」「雖然 SmokeLoader 主要是作為下載器來傳送其他惡意軟體，但在此案例中，它是從指令與控制（C2）伺服器下載外掛程式來自行執行攻擊。」

SmokeLoader 是一款於 2011 年首次在網路犯罪論壇上公開的惡意軟體下載器，主要用途是執行後續的惡意程式及指令。此外，它還能下載更多模組，擴充其功能以竊取資料、發動分散式阻斷服務（DDoS）攻擊，以及進行加密貨幣挖礦。

雲端運算安全公司 Zscaler ThreatLabz 對該惡意軟體的分析表示：「SmokeLoader 會偵測分析環境，生成假的網路流量，並混淆程式碼來規避偵測及阻礙分析。」「該惡意軟體系列的開發者持續提升其功能，透過引入新功能及混淆技術來阻礙分析工作。」

在 2024 年 5 月下旬，由歐洲刑警組織（Europol）主導的 Operation Endgame 行動中，與數個惡意軟體家族（例如 IcedID、SystemBC、PikaBot、SmokeLoader、Bumblebee 和 TrickBot）相關的基礎設施被拆除，導致 SmokeLoader 的活動大幅減少。

多達 1,000 個與 SmokeLoader 連結的 C2 網域被移除，超過 50,000 個受感染系統經由遠端清理。然而，該惡意軟體仍舊被網路威脅團體利用，透過新的 C2 基礎設施散發惡意程式及指令。Zscaler 表示，這主要歸因於網路上公開流通的許多破解版本，使得該惡意軟體仍具有活躍性。

根據 FortiGuard Labs 的發現，最新攻擊鏈的起點是一封帶有微軟 Excel 附件的網路釣魚電子郵件。當附件被開啟時，利用了多年前的安全漏洞（例如 CVE-2017-0199 和 CVE-2017-11882），挾帶一個名為 Ande Loader 的惡意軟體載入器，隨後將 SmokeLoader 部署到受感染的主機上。

SmokeLoader 包含兩個元件：stager 和主模組。

• Stager 的目的是解密、解壓縮並將主模組注入到 explorer.exe 程序中執行。
• 主模組則負責建立並維續持續性、與 C2 基礎設施通訊並執行指令。

該惡意軟體支持數種外掛程式，可以竊取登錄憑證、FTP 驗證資料、電子郵件地址、Cookie，以及來自網頁瀏覽器、Outlook、Thunderbird、FileZilla 和 WinSCP 的其他資訊。

FortiGuard Labs 提出幾項防禦措施以應對如 SmokeLoader 的威脅：

• 防毒軟體保護： 確保防毒軟體的特徵碼是最新版本，以有效偵測及阻絕惡意軟體。
• 網路釣魚攻擊意識培訓： 鼓勵企業組織利用免費資源來進行資訊安全意識的培訓。
• 內容拆解與重建（CDR）： 建置 CDR 服務，能使檔案文件中嵌入的惡意巨集失效。

Fortinet 解釋：「SmokeLoader 是一種能適應不同需求的模組化惡意軟體。在此案例中，SmokeLoader 是透過其外掛程式來執行攻擊，而非下載完整檔案來完成最後階段。這展現了 SmokeLoader 的靈活度，同時也警示分析人員，即使面對像這樣的知名惡意軟體，也需要特別謹慎小心。」

 SmokeLoader 惡意軟體相關的部分的入侵指標（IOCs）:

Liminal Panda 自 2020 年起就開始滲透南亞和非洲的電信網路

自 2020 年起，一個新的中國關聯的網路間諜團體被發現持續瞄準南亞與非洲的電信企業發動一系列針對性網路攻擊，其目的是進行情報蒐集。根據網路安全公司 CrowdStrike 的分析，該團體被命名為 Liminal Panda，其成員對於電信網路的運作模式、底層協定，以及不同電信服務供應商之間的互聯結構擁有深入了解。

Liminal Panda 是 CrowdStrike 所追蹤的 63 個不同的「Panda」之一。「Panda」是該網路安全公司用來指涉及中國內部或與中國有聯繫的網路入侵者的命名方式。自 2020 年起，Liminal Panda 就開始滲透南亞和非洲的電信網路。

CrowdStrike 指出，Liminal Panda 使用一系列專門設計的惡意工具來實現隱匿訪問、指令及控制（C2）和資料外洩。這些工具被用於滲透受害者的電信伺服器，並將攻擊範圍擴大至其他地區的服務供應商。該團體還利用支援行動通訊的協定，例如模擬全球行動通訊系統（GSM）協議進行 C2 操作，並開發工具來檢索行動用戶資訊、通話詮釋資料 (call metadata) 和簡訊（SMS）。

值得注意的是，部分與 Liminal Panda 有關的滲透活動早在 2021 年 10 月就已被記錄，但當時被錯誤地歸咎於另一個威脅團體 LightBasin（又名 UNC1945）。LightBasin 自 2016 年起便以攻擊電信企業而惡名昭彰，這次錯誤主要是因為有多個駭客團體都在同一受感染網路中進行惡意活動所導致。經過深入分析，CrowdStrike 確認這是一個全新的威脅團體，並揭露其專屬的工具組和攻擊模式。

Liminal Panda 的工具組包括數款專門針對電信協定設計的惡意軟體。例如，SIGTRANslator 是一個 Linux ELF 二進位檔案，能透過 SIGTRAN 協定進行資料傳輸；CordScan 是一款具備封包攔截與網路掃描功能的工具，專門用於辨識和檢索與電信協定相關的資料；PingPong 則是一個後門程式，能監聽特殊的 ICMP 回應請求，並建立反向的 TCP 殼層連結。這些工具展現了該團體對電信網路基礎設施的深厚理解。

該團體還採用開源後門工具 TinyShell 和公開的 SGSN 模擬器（稱為 sgsnemu）來進行指令與控制 (C2) 通訊。攻擊者常利用密碼噴灑攻擊法 (password spraying) 滲透外部 DNS（eDNS）伺服器，特別針對使用極弱密碼或與第三方相關的密碼進行攻擊。攻擊的最終目標是蒐集網路遙測資料與用戶資訊，或是利用電信業者之間的互聯需求，進一步滲透其他電信服務提供者。

Liminal Panda 的活動利用電信業者之間的信任關係，以及許多網路安全政策的漏洞。藉此由外部主機進而取得核心基礎設備的存取權限，進一步滲透受害者的網路。

CrowdStrike已追蹤中國關聯的網路威脅超過 20 年，據內部人員表示，這些攻擊行動已經從早期的「搶劫式突襲」進化為針對高價值目標個體和資訊的精準活動。這通常意味著鎖定能提供政治和軍事機密的來源，或者可能增進中國國家利益的智慧財產。

與此同時，法國網路安全公司 Sekoia 強調，中國的網路攻擊生態系統是一個由多方組成的合作體系，包括國家支持單位（如國家安全部 MSS 和公安部 MPS）、民間駭客以及民營機構。這些單位組織共同參與漏洞研究與攻擊工具開發，形成了一個緊密的合作網路。Sekoia 進一步指出，這種生態系統不僅涵蓋了攻擊的操作執行，還涉及販賣被盜資訊、提供攻擊服務與工具等多種業務，展現了國家與民間之間複雜而互補的協同關係。

這些針對電信業的攻擊行動，包括 Liminal Panda 以及其他如 Salt Typhoon 的中國相關威脅團體，突顯了電信業及其他關鍵基礎設施面臨的國家支持攻擊威脅。在這樣的背景下，強化通訊協定安全與防護電信供應商間信任模式下的漏洞成為各大電信業者的當務之急。

Liminal Panda 駭客組織相關的部分的入侵指標（IOCs）:

Fortinet VPN 客戶端的零日漏洞被利用來提取憑證及 VPN 伺服器資訊

中國政府有關聯的駭客組織正在利用 Fortinet 的 Windows VPN 客戶端中的零日漏洞來竊取憑證和其他資訊。這個零日漏洞使得網路威脅者在可以在用戶透過 VPN 裝置進行身份驗證後，從記憶體中竊取憑證資訊。

Volexity 威脅情報團隊指出，他們於今年夏天稍早發現了此漏洞並向 Fortinet 報告，目前該問題尚未被修復，亦未被給予 CVE 編號。

報告解釋道，「Volexity 在 2024 年 7 月 18 日將此漏洞向 Fortinet 報告，Fortinet 在 2024 年 7 月 24 日確認了這個問題，截至目前為止該問題尚未解決。」

此攻擊是由北京支持的駭客團體「BrazenBamboo」發起，他們素以開發和部署針對 Windows、macOS、iOS 和 Android 系統的高階惡意程式而著名，主要用於監視行動。

Volexity 解釋，網路威脅者在其攻擊中使用了多種惡意程式，包括 LightSpy 和 DeepPost。

• LightSpy 惡意程式主要在記憶體中執行。它包含外掛程式來記錄按鍵、音訊和影像；收集 Cookies、存儲的憑證，以及已安裝軟體和服務的詳細資訊。
• DeepPost 惡意程式則用於從受感染系統中竊取檔案。

Volexity 的報告重點介紹了 DeepData，一款用於 Windows 的模組化後滲透工具，具備多個外掛程式，專門用於竊取目標資料。

最新版本的DeepData於去年夏天被發現，內含一個專為 FortiClient 設計的外掛程式，利用產品中的零日漏洞來提取憑證（帳號、密碼）及 VPN 伺服器資訊。

DeepData 定位並解密 FortiClient 處理程序記憶體中的 JSON 物件，由於憑證會存留於記憶體中，便可透過 DeepPost 將資料外傳至攻擊者的伺服器。

透過入侵 VPN 帳戶，BrazenBamboo 能夠獲取企業網路的初始存取權，然後進行橫向移動、駭入敏感系統，並擴張其間諜活動。

Volexity 發現 DeepData 在 2024 年 7 月中旬利用了 FortiClient 零日漏洞，並指出它與 2016 年的一個漏洞相似（該漏洞亦未有 CVE 編號），該漏洞係因硬編碼 (hardcoded) 記憶體致使憑證暴露而遭利用。然而，2024 年的漏洞則是全新且不同以往的，僅出現於包括最新版本 v7.4.0 在內的近期釋出版本。

Volexity 解釋，問題出在 FortiClient 未能從記憶體中清除敏感資訊，包括帳號、密碼、VPN gateway (閘道器)，這些資訊仍以 JSON 物件形式存於記憶體中。

在 Fortinet 確認漏洞並釋出修復更新之前，建議限制 VPN 存取權並監控不尋常的登入活動。與最新 BrazenBamboo 活動相關的入侵指標（IoC）可在此處查閱。

Fortinet VPN 零日漏洞相關的部分的入侵指標（IOCs）:

MOVEit Transfer 資料洩露事件中，亞馬遜受到的影響最大

去年發生的 MOVEit Transfer 資料洩露事件，是近年來規模最大的事件之一，如今對各大企業仍存在深遠影響。最近一位自稱「資料激進駭客分子」的駭客將數百萬筆用戶資料公佈於資料洩露論壇。

亞馬遜是這次洩露中影響最大的公司，約有近 300 萬筆紀錄被洩露。亞馬遜證實，這次資料外洩中暴露了員工的電話號碼、電子郵件地址和辦公地點等資訊。然而，亞馬遜和 AWS 系統並未遭遇到資安事件的影響。

據網路安全公司 Hudson Rock 稱，其他受影響的公司還包括銀行巨頭匯豐（HSBC）、瑞銀集團（UBS）、City National Bank，還有科技大廠 HP 和聯想（Lenovo）。甚至連速食連鎖店麥當勞（McDonald’s）也在名單上。

攻擊者可能利用洩露的資訊來進行社交工程、網路釣魚攻擊和憑證填充攻擊(credential-stuffing attack)，從而導致這些公司內部出現進一步的資料外洩事件。

有趣的是，發布這個龐大資料集的攻擊者自稱為「資料安全佈道者」，並且在知名資料洩露論壇上宣稱此舉是為了提高安全意識。

據 Hudson Rock 稱，數十家公司受影響，洩露了數百萬筆紀錄。但並非所有企業組織受影響的程度皆相同，有些公司僅有數千筆紀錄被洩露，而其他公司則從 50 萬筆到 280 萬筆不等。受影響的主要公司名單包括有 Amazon，MetLife，HSBC，U.S. Bank，HP，Delta Airlines 等。

根據 Hudson Rock 的資料，上週洩露的資訊包括 25 家「主要企業組織」的員工目錄。Hudson Rock 指出，「這些目錄包含詳細的員工資訊，包括姓名、電子郵件地址、電話號碼、成本中心代碼，甚至某些還包含完整的組織架構資訊。」「這樣的資料對於尋求進行網路釣魚、身份盜竊甚至大規模社交工程攻擊的網路犯罪分子來說，無疑是個金庫。」

去年，已解散的勒索軟體組織 Clop 利用 MOVEit Transfer（一種管理檔案傳輸的軟體）中的零日漏洞進行了攻擊。該漏洞現已修補，但之前攻擊者能夠進入 MOVEit Transfer 的伺服器，存取並下載公司客戶儲存於其中的資料。

據估計，Clop 在 MOVEit 攻擊行動中透過勒索贖金就賺取了 7500 萬到 1 億美元的收益。

Clop的一系列攻擊影響了多家公司，包括殼牌、荷蘭國際集團（ING Bank）、德意志銀行、Postbank、美國航空、Radisson Americas 等。根據網路安全公司 Emisoft 的資料，有超過 2700 家企業組織受到影響，而且多達 9500 萬用戶的資料遭暴露。

MOVEit Transfer攻擊相關的部分的入侵指標（IOCs）: