標籤: News

Microsoft 敦促客戶立即安裝這些例外的安全更新以解決 PrintNightmare 漏洞，但有研究人員指出這次修補只補好RCE漏洞，本地權限升級(LPE)漏洞仍未修補好。

今天微軟發布了緊急的例外(Out-of-band)安全更新，以修補以一個關鍵的零日漏洞（稱為“PrintNightmare”）， 該漏洞影響Windows Print Spooler 服務，可讓攻擊者執行任意程式碼並接管易受攻擊的系統。

在上周微軟警告稱已檢測到攻擊者針對編號為CVE-2021-34527（CVSS 8.8）的開採，且該遠端程式碼執行缺陷影響所有市場上的Windows版本。

根據美國CERT協調中心(CERT Coordination Center)，Windows Print Spooler 服務未能限制對允許用戶添加印表機和相關驅動程式功能的存取，這可允許遠端身份驗證的攻擊者以系統權限在易受攻擊的系統上執行遠端程式碼。

值得注意的是，PrintNightmare漏洞包括遠端程式碼執行(RCE)和本地特權升級(LPE) 向量，可在攻擊中被濫用以在目標 Windows 機器上運行具有系統權限的命令。

CERT/CC 漏洞分析師 Will Dormann說: 微軟針對 CVE-2021-34527 的更新似乎只解決​​了 PrintNightmare 的遠端程式執行(RCE)，而不是本地特權升級（LPE）。這實際上意味著修補不全，攻擊者仍可以在本地利用該漏洞獲得系統(SYSTEM)權限。在微軟發布例外更新後，安全研究員 Matthew Hickey也證實該修補僅修復了 RCE 而不是 LPE 組件。

另外另一個變通方法，Microsoft 建議停止和關閉Print Spooler 列印緩衝處理服務或通過群組政策(Group Policy Object)關閉接收遠端列印以阻止遠端攻擊。CISA 上週也發布了關於 PrintNightmare 零日漏洞的通知，鼓勵管理員在不用於打印的服務器上關閉 Windows Print Spooler 服務。

Windows針對以下版本已發布了修補：

Windows Server 2019

Windows Server 2012 R2

Windows Server 2008

Windows 8.1

Windows RT 8.1, and

Windows 10 (versions 21H1, 20H2, 2004, 1909, 1809, 1803, and 1507)

微軟甚至採取了不常見的做法，為去年正式停止支援的Windows 7 發布修補。Windows 10 版本 1607、Windows Server 2016 或 Windows Server 2012 的安全更新尚未發布，但據微軟稱，它們也將很快發布。

美國國土安全部之網路安全暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA) 已發布關於關鍵 PrintNightmare 零日漏洞的說明，並建議資安人員在不用於列印的伺服器上停用(Disable) Windows Print Spooler 列印緩衝處理服務。

CISA表示，CERT 協調中心已針對 Windows Print spooler 服務中的一個關鍵遠端程式碼執行漏洞發布了VulNote，並指出：“雖然 Microsoft 已發布針對 CVE-2021-1675的更新，但更新並未解決CVE-2021-1675 的公共漏洞利用。” 攻擊者可以利用此漏洞（稱 PrintNightmare）來控制受影響的系統。

CISA 鼓勵資安人員應採用 Microsoft 在2021 年 1 月 11 日發布的操作指南作最佳實踐：“由於存在暴露的可能性，網域控制器和AD管理系統需要停用列印後台處理程式服務，推薦的方法是使用群組原則(Group policy object)。

根據 Microsoft 的建議，應通過群組原則在所有網域控制器和 AD管理系統上停用Print Spooler 服務，因為它會增加遭受攻擊的風險，微軟補充說，由於大多數 Windows 客戶端和伺服器平台上預設啟用這服務，建議在所有不需要的伺服器上停用它，以減輕未來受攻擊的風險。

目前，在Microsoft完全解決PrintNightmare零日漏洞之前，停用Print Spooler 服務是確保駭客，尤其是勒索軟體組織不會趁機攻擊企業網路的最簡單方法。

加拿大多倫多Humber River醫院的一份聲明中，承認其系統在6月14日凌晨2點左右受到了勒索軟體攻擊，從那時起，醫院一直在 「灰色代碼 」（Code Grey）下運作， Code Grey是在意味著醫院基本服務喪失時所使用的警示。由於醫院工作人員無法存取電子病歷和診斷測試結果，醫院已經取消了各種門診，並在大門前派了工作人員來重新引導患者，聲明說，到目前為止，手術沒有受到影響，急診室仍然開放，但一些救護車將被轉移到其他醫院。

Humber River醫院表示，由於系統不斷更新（最近一次修補是在 6 月 13 日）並受到監控，因此立即發現了零時差攻擊，關閉了 5,000 台電腦和所有 IT 系統，包括患者健康記錄系統。醫院補充說雖然系統關閉阻止了大多數電腦被加密，但一些檔案有被損壞。

Humber River醫院表示，其 IT 部門正在與一家外部第三方資安公司合作，以使其係統恢復正常運行， 5,000 台電腦（其中 800 台是伺服器）將被手動重啟。醫院在6月15日下午的聲明中表示，系統將在接下來的 48 小時內以交錯的方式重新上線，並表示重要的是要知道沒有任何機密資料被洩露，另外醫院也沒有指出是哪個勒索軟體組織所為。

Humber River是一家大型急診醫院，擁有722張床位，每年住院30,000人次，每年接受急診就診135,000人次。每天有近 370 人尋求緊急護理。

EA稱這不是勒索軟體攻擊，未影響業務營運，沒有對玩家的隱私造成任何風險

綜合外媒報導大型遊戲商美商藝電（EA）今坦承遭駭，內部資料被竊取，僅稱流失FIFA 國際足盟大賽和遊戲寒霜引擎Frostbite Engine原始碼和相關工具，EA 發言人在一份聲明中告訴外媒，玩家數據並未被存取，我們沒有理由相信玩家隱私存在任何風險。事件發生後，我們已加強安全措施，預計不會對我們的遊戲或業務產生影響，作為正在進行的刑事調查的一部份，我們正積極與執法部門官員和其他專家合作。

在駭客論壇上發現的消息，駭客現在正以 2800 萬美元的價格出售這批EA約780GB的數據和伺服器的存取權限，駭客還聲稱，可提供「充分利用EA所有服務的能力」。

駭客稱從該公司獲取了 780 GB 的數據:

*除錯工具、SDK 和 API 密鑰

*FIFA 21配對匹配伺服器代碼

*FIFA 22 API 密鑰和軟體開發工具包(SDK)和除錯工具

*寒霜引擎Frostbite Engine原始碼和除錯工具

*專有EA遊戲框架

*Microsoft XBOX 和 SONY 私有 SDK 和 API 密鑰

*XB PS 和 EA pfx 和 crt 密鑰

*FIFA 國際足盟大賽原始碼

*EA 玩家用作遊戲貨幣的積分

EA 在全球擁有超過 4.5 億註冊玩家，2020 年的淨收入為 55 億美元。EA其下作品包括《FIFA》、《戰鬥風雲》、《模擬市民》等長賣型作品，自家開發的「寒霜引擎」也用於許多暢銷遊戲製作。

Emsisoft資安公司的專家Brett Callow說，被竊的原始碼，可對EA的業務帶來問題，從理論上講，原始碼可以被其他開發人員複製，或在遊戲中製造外掛。Check Point發言人則說，無論如何原始碼只要外洩都不是好事，駭客可在原始碼中找到更深層的漏洞並加以利用，或將先前的原始碼在暗網上賣給其他惡意威脅行為者。

Source:

https://edition.cnn.com/2021/06/10/tech/electronic-arts-hack/index.html

https://www.theverge.com/2021/6/10/22528003/ea-data-breach-frostbite-fifa-internal-tools-hack

https://www.bbc.com/news/technology-57431987

https://www.bleepingcomputer.com/news/security/hackers-breach-gaming-giant-electronic-arts-steal-game-source-code/

美國6月3日上午消息，美國司法部官員稱，在輸油管道公司 Colonial Pipeline遭遇駭攻，以及網路犯罪造成的損害不斷增加之後，美國司法部正在提升對勒索攻擊的調查等級，提升至與恐怖主義案件類似的優先級別。根據一份在周四發給全美各地檢察官辦公室的內部指南，稱勒索調查應與華盛頓最近成立的特別專案小組集中協調。

上個月，操作DarkSide勒索軟體的駭客組織攻擊美國東岸輸油管道，導致系統癱瘓，駭客要求Colonial Pipeline支付約500萬美元以換取解密工具。司法部在指南中表示，勒索軟體和數位勒索對國家構成的威脅日益增加，為了應對危機，美國認為應該加強追蹤能力。

另據NBC報導，拜登政府正在採取行動，將勒索軟體攻擊視為“國家安全威脅”，利用情報機構監視外國罪犯，並考慮對俄羅斯境內的駭客進行攻擊性網路行動。

司法部決定對勒索軟體予以打擊，此舉說明它的優先順序已經提升；以前美國司法部只是用這種方式對付恐怖主義，不包括勒索軟體。在操作過程中，未來美國檢察官辦公室在處理勒索軟體相關案件時，可能會與華盛頓分享案件詳細資訊和技術資訊。

另外，美國白宮向企業發公開信，促請企業緊急行動應對勒索軟體威脅。信件由美國國家安全委員會首席網路安全顧問Anne Neuberger發出，信中促請企業認真對待勒索軟體罪行，確保企業數位防禦可應對威脅。信件亦表示，視勒索軟體為核心業務營運威脅多於視之為數據盜竊風險的企業，在回應及恢復時會更具效率。白宮表示在應對勒索軟體攻擊問題上，美國政府正在與世界各國合作，追究勒索軟體參與者和窩藏他們的國家的責任，敦促各公司加大力度處理勒索軟體攻擊的威脅。

Neuberger還強調了幫助防禦勒索軟體攻擊的最佳實踐：

*實施拜登總統行政命令中的五個最佳實踐

*備份您的數據、系統images和配置，定期對其進行測試，並使備份保持離線狀態

*及時更新和修補系統

*測試您的事件回應計劃

*使用第三方滲透測試檢查您的安全團隊的工作

*細分您的網路

在過去 30 天內發生了幾起勒索軟體事件(Colonial Pipeline關閉了美國最大的管道，全球最大的肉類加工商 JBS 也被迫停產等)影響了美國關鍵企業之後，白宮發布了這封信，所有這些攻擊，據信都是由俄羅斯的網絡路犯罪組織精心策劃的。

Key Points:

*這家日本公司週三表示，它在 6 月 1 日晚上發現到遭勒索軟體攻擊的可能性，並採取措施暫停所有受影響的系統。

*富士軟片控股公司 (FUJIFILM)正在調查從公司外部的非法第三方存取其伺服器的資安事件

*FUJIFILM表示正在努力確認未經授權存取的規模

根據東京路透社6 月3日報導——FUJIFILM在6 月2日宣布，由於1日午夜發現到勒索軟體攻擊的可能性，確認其使用的伺服器涉嫌被外部非法存取，正在調查資料是否外洩。FUJIFILM為了防止損害擴大，關閉網路並與外部通信斷開連接，目前無法通過電話或電子郵件回覆客戶，系統恢復時間也未定。

FUJIFILM這家跨國公司最出名的是照相機和底片製造商——最近也生產高科技醫療設備，包括用於快速處理 Covid-19 測試的設備。

根據新西蘭先驅報，FUJIFILM當地合夥人收到的電郵上說，“FUJIFILM將關閉網路和伺服器環境，因此將無法接收和履行訂單，我們意識到這對業務產生了重大影響，但目前尚不清楚這種情況會持續多久。”

雖然 FUJIFILM 沒有說明遭到哪個勒索軟體組織的攻擊，但資安公司Advanced Intel的CEO Vitali Kremez 告訴 BleepingComputer，他們追踪到FUJIFILM 在上個月(似乎5 月 15 日)感染了Qbot 惡意軟體，QBot是一種木馬，用於資料竊或潛入網路，並被REvil 勒索軟體的幕後駭客廣泛利用。

FUJIFILM全球員工超過 37,000 名，在2020 年的收入超過 200 億美元，無疑是網路犯罪分子有利可圖的目標。