外媒報導鴻海旗下富士康墨西哥Foxconn BC，遭勒索軟體LockBit 2.0入侵

Posted on by blogadmin

#官網張貼維護中的公告

根據資安新聞網站SecurityWeek的報導，操作勒索軟體LockBit 2.0的背後駭客聲稱入侵了富士康墨西哥的電腦系統，富士康墨西哥工廠Foxconn BC位於下加州Baja California(墨西哥最靠近北邊的州) 的最大城市提華納(Tijuana)，Foxconn BC是致力於製造醫療設備和消費電子產品的大型製造業者，該工廠約有 5,000 名員工。

Photo Credit : SecurityWeek

直到目前，尚不清楚LockBit2.0勒索軟體的攻擊是否對該工廠運營科技 (OT) 系統產生任何影響，是否波及製造環境導致生產線關閉等問題。然而，據觀察，Foxconn BC的官網目前呈現維護中的畫面。

Foxconn BC的官網目前呈現維護中的畫面

據報導，駭客威脅除非收到贖金，否則將在 6 月 11 日發布所有取得的資料，但索要的贖金金額仍不得而知。據悉，外媒已經聯繫了Foxconn BC，但該公司尚未發表任何評論作出回應。此次之前，2020年11月底，位於墨西哥Ciudad Juárez, Chihuahua的富士康CTBG工廠亦曾遭勒索軟體Doppel Paymer加密，當時駭客宣稱竊取了100GB的檔案，而且加密了1,200臺伺服器，已刪除的20-30 TB備份，要求富士康CTBG工廠支付3,400萬美元的贖金。

勒索軟體LockBit2.0導致國內企業有不少災情:

2022年5月份，有四家台灣企業遭LockBit2.0勒索軟體的攻擊，當中包含台灣某背光模組大廠和其子公司–> https://blog.billows.com.tw/?p=1923

2022 年 4 月某一飲料原物料商–>https://blog.billows.com.tw/?p=1833

2021年10月某製造業成衣副料商–>https://blog.billows.com.tw/?p=1411

2021年11月上市營建公司日勝生及該集團旗下百貨京站也遭LockBit2.0攻擊

最近傳出LockBit2.0將升級成為LockBit3.0的版本，並將更名為LockBit Black，LockBit2.0被譽為當今最快加密的勒索軟體，它的升級是否會帶來更多的變化，值得我們持續關注。

有關LockBit2.0的部分入侵指標(Indicator of compromise -IOCs):

URL:

http://45.32.108.54:443/c0000015.log

http://45.32.108.54:443/glib-2.0.dll

IPv4: 149.28.137.7

SHA 1:

e35a702db47cb11337f523933acd3bce2f60346d

729eb505c36c08860c4408db7be85d707bdcbf1b

25fbfa37d5a01a97c4ad3f0ee0396f953ca51223

1458421f0a4fe3acc72a1246b80336dc4138dd4b

0c842d6e627152637f33ba86861d74f358a85e1f

091b490500b5f827cc8cde41c9a7f68174d11302

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

哥斯達黎加社會保障基金被勒索軟體Hive入侵，公共衛生服務遭影響

Posted on by blogadmin

2022 年 5月31日，哥斯達黎加政府證實其公共衛生服務網路上的所有電腦系統(稱為哥斯達黎加社會保障基金Costa Rican Social Security Fund-CCCS)在周二凌晨遭到Hive勒索軟體攻擊後斷網，正在對該事件進行調查。據稱，社會保障機構的1,500 台伺服器中至少有 30 台遭入侵，但恢復時間的仍然未知。

根據CCSS 負責人Álvaro Ramos向當地媒體發表講話說，今天早上政府機構內的許多印表機開始大量印出Hive的勒索信。

Hive的勒索信，以基於ASCII的亂碼印出

CCSS表示正在進行分析以嘗試恢復關鍵服務，但無法確定它們何時投入使用。目前，預防性地關閉了所有系統。這次Hive的入侵事件是繼在4月底Conti 勒索軟體集團的攻擊之後，Conti的攻擊針對了多個哥斯達黎加政府機構，尤其是其財政部，該機構仍未恢復對其部分系統的控制權。Emsisoft勒索軟體分析師 Brett Callow 表示，Conti 和 Hive 是獨立的勒索軟體操作，然而最近一些分析師懷疑他們已經建立了某種合作關係。

一家公共衛生診所外張貼的手寫通知警告說，由於網路攻擊該國的醫療保健系統而導致系統中斷

根據哥斯達黎加網路安全諮詢公司ATTI Cyber​​ 的創始人Esteban Jimenez CCSS 遭受了網路攻擊，破壞了公共藥房的唯一數位醫療檔案(EDUS)和國家處方系統，因此醫療機構已經轉向用紙和筆手動應急，對於依賴公共衛生系統的哥斯達黎加人來說，造成無法在健康中心的藥房配藥，醫療行為被推遲直到系統恢復正常等。

針對拉丁美洲的勒索攻擊有激增的情況，根據Inter-American Development銀行最近的一份報告，許多拉丁美洲國家缺乏應對網路攻擊的威脅，在過去 90 天裡，巴西的 15 個政府、9 個阿根廷、6 個哥倫比亞、4 個厄瓜多爾和3 個智利的機構已被勒索軟體入侵。

有關Hive勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

Hive Tor Domain:

http://hiveleakdbtnp76ulyhi52eag6c6tyc3xw7ez7iqy6wc34gd2nekazyd.onion

Winlo.exe

MD5 b5045d802394f4560280a7404af69263

SHA256 321d0c4f1bbb44c53cd02186107a18b7a44c840a9a5f0a78bdac06868136b72c

File Path Observed C:\Windows\SysWOW64\winlo.exe

Description Drops 7zG.exe

7zG.exe

MD5 04FB3AE7F05C8BC333125972BA907398

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

勒索軟體集團LockBit又一次升級? 修補了MSSQL 數據庫的加密漏洞，將推出3.0的版本LockBit Black?!

Posted on by blogadmin
Photo Credit: vx-underground

根據資安研究團隊vx-underground，勒索軟體集團LockBit命名其3.0版本為“Lockbit Black”，並修補了 MSSQL 數據庫的加密漏洞， LockBit最早於 2019 年 9 月以ABCD 勒索軟體開始運營，後更名為 LockBit並於 2021 年 6 月推出升級版本 LockBit 2.0。Lockbit 2.0勒索軟體引入了陰影複製和日誌檔案刪除等新功能，使受害者更難恢復。Lockbit在流行的勒索軟體集團中擁有最快的加密速度，在一分鐘內能加密了大約25,000檔案，此外，LockBit擁有的最迅速盜竊數據的神器StealBit，能在不到 20 分鐘內從受感染的系統迅速下載 100 GB 的數據。

然而，聯邦調查局(FBI)於2022年2月4日發佈了關於Lockbit 2.0的

入侵指標（IOC）的FBI Flash安全公告。在FBI的公告之後，暗網論壇中的一位用戶發佈了標題為“Kockbit fuckup thread” 的文章，表示發現了在Lockbit 2.0勒索軟體中的錯誤以及恢復受害者數據的方法，對應了FBI的建議以及微軟檢測和回應團隊（DART）對Lockbit的研究。微軟DART研究人員發現和利用在Lockbit 2.0勒索軟體中的錯誤，發現了一種方法，使他們能夠成功恢復Lockit受害者MSSQL資料庫上的加密過程。

Microsoft DART研究的連結:

https://techcommunity.microsoft.com/t5/security-compliance-and-identity/part-1-lockbit-2-0-ransomware-bugs-and-database-recovery/ba-p/3254354

https://techcommunity.microsoft.com/t5/security-compliance-and-identity/part-2-lockbit-2-0-ransomware-bugs-and-database-recovery/ba-p/3254421

一名Lockbit 勒索軟體成員針對文章發表了評論，解釋了 MSSQL 含錯誤(bug)的原因，該Lockbit成員還說Lockbit 3.0中不會存在該錯誤。

3 月 17 日，資安研究團隊 vx-underground發布了他們與 LockBit 的一位成員對話的截圖。在截圖中，vx-underground 研究人員詢問何時會發布 Lockbit 3.0，Lockbit 成員表示最新版本將在一兩週內發布。

然而，自 vx-underground 在Twitter上發布他們與 Lockbit 成員的對話以來已經幾週了，根據觀察勒索軟體集團仍在使用 Lockbit 2.0 的名稱，Lockbit 3.0 的其他新功能和升級仍然是個謎，竣盟科技將持續關注 Lockbit 3.0 的更新，為您帶來最新的消息。

有關LockBit2.0的部分入侵指標(Indicator of compromise -IOCs):

URL:

http://45.32.108.54:443/c0000015.log

http://45.32.108.54:443/glib-2.0.dll

IPv4: 149.28.137.7

SHA 1:

e35a702db47cb11337f523933acd3bce2f60346d

729eb505c36c08860c4408db7be85d707bdcbf1b

25fbfa37d5a01a97c4ad3f0ee0396f953ca51223

1458421f0a4fe3acc72a1246b80336dc4138dd4b

0c842d6e627152637f33ba86861d74f358a85e1f

091b490500b5f827cc8cde41c9a7f68174d11302

印度廉航香料航空SpiceJet遭到勒索軟體攻擊，航班停飛，大批乘客滯留機場

Posted on by blogadmin

綜合外媒報導，印度香料航空（SpiceJet airline）稱其 IT 基礎設施於24日晚上面臨了企圖的勒索軟體攻擊(Attempted ransomware attack)，導致航班延誤，許多乘客滯留在機場。根據該航空公司於25日早上在Twitter的公告，表示某些香料航空系統在24日晚遭勒索軟體攻擊，影響並減慢了25日早上的航班起飛，但表示其 IT 團隊成功阻止了此次攻擊，因此現已恢復正常運行的狀態。

然而，直到當地時間中午過後仍起飛延誤和航班取消，使旅客抱怨連連，據報導，許多人在登機後被困在飛機上數小時，被告知由於系統問題，航班無法起飛，多個乘客在Twitter 和 Facebook 上抱怨，反映了持續存在的航班延誤，無法通過電話進行客戶服務，預訂系統仍然不可用等問題

乘客在Twitter上抱怨

香料航空於25日傍晚發布了更新，稱雖然他們的 IT 團隊在很大程度上控制和糾正了這種情況，但這對我們的航班產生了連鎖反應，導致延誤，並補充說一些飛往限制夜間運營的機場的航班已被取消，因此香料航空正在就此問題與專家和當局保持聯繫。

根據BleepingComputer報導，香料航空網站的主頁(homepage)雖然可運作，然而大多數底層系統和網頁都無法載入。根據公開數據，香料航空是印度第二大航空公司，運營著由 102 架飛機組成的機隊，服務60多個目的地，當地市場佔有率約15%，並擁有超過 14,000 名員工。因此影響其運營的勒索攻擊會影響大量的印度和國際乘客，而這些長時間的延誤會轉化為重大的經濟損失。

香料航空過去曾面臨過網路安全問題，據TechCrunch 報導，2020 年 2 月，一名美國安全研究員暴力破解了香料航空系統，並獲得了一個未加密的數據庫備份檔案，該檔案包含超過 120 萬乘客的個資。據報導，研究人員向印度電腦緊急應變小組(Computer Emergency Response Team India , CERT-In) 通報，CERT-In確認了安全漏洞並將警報發布給香料航空，然而該航空公司拒絕證實 CERT-In 的調查結果。

航空公司經常成為駭客的熱門目標，在最近的一次攻擊中，發現一個伊朗國家級APT駭客組織濫用 Slack的 API，在一家亞洲航空公司的系統中部署後門，竊取航空公司數據。另外，勒索軟體LockBit2.0也曾在2021年8月攻擊了泰國的曼谷航空，導致乘客的個人識別資訊(PII)遭外洩， 200多GB的數據被公開。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

國際刑警組織(Interpol)警告說，軍用的網路武器將在暗網上出現!

Posted on by blogadmin

Key Points:

*國際刑警組織秘書長Jurgen Stock表示，他擔心由國家開發的惡意軟體很快成為暗網上的商品，並估計這一進程難以逆轉。

*長期以來，網路戰爭一直是全球各國政府關注的話題，但在俄羅斯與烏克蘭的戰爭中，它又得到了新的聚焦。

*根據世界經濟論壇的《全球網路安全展望》報告，2021年全球網路攻擊的數量增加了一倍以上。

在科技持續發展、戰略不斷變化的時代，網路世界越來越重要，網路已經成為現代戰爭的新武器。最近在俄羅斯和烏克蘭之間持續的衝突中，由國家級駭客和非國家級駭客開發的惡意軟體對全球關鍵基礎設施和組織構成嚴重風險。週一（5月23日）國際刑警組織秘書長Jurgen Stock在瑞士Davos舉行的世界經濟論壇上表示，他擔心由國家開發的惡意軟體很快成為暗網上的商品，他解釋說，這已經成為現實世界中的一大主要問題——戰場上使用的武器逐漸落入有組織的犯罪集團手中，同樣地，數位武器也不例外，也許當前由軍方開發並使用，但明天將會被惡意駭客所利用。

Stock指出在俄羅斯入侵烏克蘭後的最初幾個月裡，資安公司觀察到針對烏克蘭政府實體和組織的多次襲擊。與俄羅斯有關的APT駭客組織使用資料破壞軟體wipers摧毀目標系統。本月初，歐盟譴責俄羅斯 於 2 月 24 日對由衛星通訊業者 Viasat 運營的烏克蘭KA-SAT衛星網路發起網路攻擊，企圖癱瘓烏克蘭國內的通訊，以利俄羅斯軍隊的攻擊，這次攻擊導致烏克蘭的通訊中斷，還影響了幾個歐盟成員國。由於這次襲擊的溢出效應，德國的5800台Enercon風力渦輪機無法存取。SentinelLabs的安全研究人員調查了這次攻擊，發現了一個以前未被發現的破壞性刪除程式，被跟蹤為AcidRain，移除了KA-SAT數據機及路由器中的所有資料，造成KA-SAT衛星網路服務失效。

Stock呼籲商界領袖加強與政府及執法部門的合作，以防止國家級惡意軟體在暗網上擴散，確保更行之有效地監管網路犯罪。

他表示，“一方面，我們需要把握當前態勢；而另一方面，我們需要私營機構數據的支持。我們需要企業的網路入侵報告。沒有這些報告，我們將無法看到威脅形勢。”然而Stock說，目前大量的網路攻擊未被上報。

根據世界經濟論壇全球網路安全展望報告(World Economic Forum’s Global Cybersecurity Outlook report)，2021年全球網路攻擊數量增加了一倍以上。報告稱，勒索軟體仍是當下最流行的攻擊類型，各受訪組織每年平均被攻擊270次。

參與討論的企業高管和政府官員表示，網路安全事件正在令關鍵的能源基礎設施和供應鏈面臨風險。工控系統（ICS）安全公司Dragos聯合創始人兼CEO Robert Lee也敦促企業關注現實世界威脅的場景，比如2015年由俄羅斯APT駭客組織Sandworm對烏克蘭電網攻擊，今年4月烏克蘭已經成功抵擋住俄駭客企圖破壞電網的攻擊等，而非一味假設風險場景。

Lee總結道，我們的問題用不著Next gen AI、區塊鍊或者其他技術來解決。我們的問題在於，很多已經投資並開發完成的成果仍未得到實際的應用。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

QNAP威聯通NAS設備第三次遭到 DeadBolt 勒索軟體攻擊

Posted on by blogadmin

Deadbolt勒索軟體鎖定使用 QTS 4.3.6 和 QTS 4.4.1 的 QNAP NAS 設備，QNAP呼籲所有 NAS 用戶儘速檢查並更新 QTS 至最新版本，並避免將 NAS 暴露於互聯網上。

台灣網路附加存儲 (NAS) 設備製造商 QNAP 週四(5/19)，證實正在對新一波DeadBolt的攻擊進行調查，據其產品安全事件回應團隊稱，此次攻擊鎖定使用 QTS 4.3.6 與 QTS 4.4.1 的 NAS 設備，受影響機型以 TS-x51 系列及 TS-x53 系列為主。QNAP 呼籲所有 NAS 用戶儘速檢查並更新 QTS 至最新版本，並避免將 NAS 暴露於互聯網上。

這一事件標誌著 QNAP 設備自今年年初以來第三次受到DeadBolt 勒索軟體的攻擊。今年1 月QNAP警告用戶，名為 DeadBolt的一種新勒索軟體利用所謂零時差漏洞廣泛針對其NAS設備。DeadBolt在對QNAP設備的持續攻擊中加密用戶數據並需支付比特幣解密，使多達 4,988 台受DeadBolt 勒索軟體攻擊的 QNAP 設備被發現，促使該公司發布了強制韌體更新，3 月中旬觀察到Deadbolt第二次攻擊的新案例，發現超過 1,000 台 QNAP QTS 設備已被 DeadBolt 勒索軟體感染。

由於QNAP在公告中沒有提及任何漏洞利用(CVE)，目前尚不清楚 DeadBolt 勒索軟體攻擊者是否正在利用特定漏洞。QNAP也沒有透露有關最近發現多少台設備遭攻擊，但表示他們沒有看到任何涉及已更新的系統遭 Deadbolt感染。 Palo Alto Networks的Unit 42 週一在 Twitter 上表示，觀察到最新一波的 DeadBolt 攻擊QNAP NAS 設備是從 5 月 13 日開始的，發現了大約 3000 個受感染設備。

QNAP 設備的最新攻擊突出了一個持續修補的重要性，如果仍然存在許多暴露的實例，這代表了在最新攻擊之後更新的緊迫性。

美國和其他政府機構最近發布的聯合網路安全諮詢警告企業，最常見的錯誤和安全弱點使攻擊者能夠獲得內部網路的初始存取權限，這包括暴露在公共互聯網上的配置錯誤的服務，以及開放的端口和過時的軟體。

QNAP 建議用戶關閉Port Forwarding功能以停止將 NAS 設備暴露在互聯網上。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

LockBit2.0鎖定台灣了?! 5月上、中旬已見四家台灣企業，遭LockBit2.0勒索軟體的攻擊

Posted on by blogadmin
LockBit 2.0勒索軟體聲稱攻擊了台灣某背光模組大廠和其子公司

據觀察，勒索軟體LockBit 2.0已在5月上、中旬，攻擊了四間不同的台灣企業，大肆在其揭秘網站上公告受害名單。當中引人關注的是一間上市的背光模組大廠與其子公司疑同時遭LockBit 2.0的毒手，LockBit揚言已竊得母公司和子公司的機密資料，包括apps的原始碼、財務報告、員工個資等超過 3 千份檔案。據了解母公司和子公司分別位於不同的縣市，該母公司的主要生產廠房遍佈台灣及大陸多個地區。截至目前，在公開資訊觀測站上沒有看到該母公司發佈重訊的相關訊息，另外，LockBit2.0聲稱會在5月18日發布從該母公司及子公司盜來的資料，但目前尚未看到任何公開流出的檔案。

另外，一家位於新北市的電線公司和一家位於台中的對講機製造廠商也成為LockBit 2.0的受害者。

LockBit 的演變，LockBit是目前其中最成功的勒索軟體即服務（Ransomware-as-a-Service；RaaS）之一，Photo Credit: Kaspersky

LockBit在2021年6月推出升級版 LockBit 2.0 以來，承諾通過名為StealBit的新工具提供市場上最快的數據上傳速度，該工具還支援實時壓縮和拖放功能，對安全工具保持隱藏。根據 LockBit 的承諾，它可以在不到 20 分鐘的時間內從受感染的系統下載 100 GB 的數據，攻擊的企業數量比以往更多。8月初，BleepingComputer曾報導，LockBit2.0積極招募目標企業的內鬼，幫助他們入侵和加密企業的網路，並會以百萬美元作為報酬。LockBit2.0能利用 Active Directory (AD) 的群組原則，自動將 Windows 網域內所有裝置加密，使攻擊更加有效，之後LockBit 2.0還在其工具包中增加了一個針對 VMware ESXi虛擬化系統中的Linux加密器。

美國FBI(聯邦調查局)在2022年2月針對LockBit發布了CU-000162-MW的Flash Alert警報，提供了與 LockBit 勒索軟體攻擊相關的技術細節和入侵指標。FBI 建議網絡安全人員要求使用強密碼、多因素身份驗證和更新軟件等，以降低 LockBit 2.0 勒索軟件的危害風險。

在過去Lockbit2.0曾攻擊過的台灣企業:

2021年10月某製造業成衣副料商àhttps://blog.billows.com.tw/?p=1411

2021年11月上市營建公司日勝生及該集團旗下百貨京站也遭LockBit2.0攻擊

2022 年 4 月某一飲料原物料商àhttps://blog.billows.com.tw/?p=1833

有關LockBit2.0的部分入侵指標(Indicator of compromise -IOCs):

URL:

http://45.32.108.54:443/c0000015.log

http://45.32.108.54:443/glib-2.0.dll

IPv4: 149.28.137.7

SHA 1:

e35a702db47cb11337f523933acd3bce2f60346d

729eb505c36c08860c4408db7be85d707bdcbf1b

25fbfa37d5a01a97c4ad3f0ee0396f953ca51223

1458421f0a4fe3acc72a1246b80336dc4138dd4b

0c842d6e627152637f33ba86861d74f358a85e1f

091b490500b5f827cc8cde41c9a7f68174d11302

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

加拿大空戰訓練服務承包商Top Aces和日本流行服飾しまむら思夢樂，遭LockBit2.0攻擊! Top Aces被盜44GB的數據；思夢樂旗下2200間店舖受影響，無法訂購及電子付款

Posted on by blogadmin

5月11日，加拿大私人假想敵公司 Top Aces透露，旗下美國分公司在調查針對其內部系統遭勒索軟體攻擊的事件，據The Record報導，Top Aces在發現被列為LockBit 2.0勒索軟體的受害者後，正展開調查。操作LockBit 2.0勒索軟體背後駭客已要求Top Aces在 5 月 15 日之前付贖金，以換取不外洩屬於Top Aces約 44 GB的數據。Top Aces擁有全球規模最大的私營戰鬥機機隊，用於為世界各地的軍隊提供訓練，除了與加拿大、德國、以色列等國家合作外，該公司還於2019年與美國簽署了一項協議，為防禦俄羅斯提供訓練工具。資安公司Emsisoft的威脅分析師 Brett Callow指出，對國防承包商的攻擊令人擔憂，因為無法知道被盜數據最終會落在哪裡。

思夢樂公告

日本大型服裝連鎖企業思夢樂5月11日透露，在日本黃金週假期間，其內部系統遭駭客入侵造成系統異常，無法在店舖進行電子支付和線上產品訂購，多達2200間商店受影響。NHK報導思夢樂防止損害的進一步擴大，在5月5日暫停所有店面電子支付，6日因確認安全性，恢復電子結帳，但目前2200間店舖仍無法提供店面無現貨的商品訂購服務。

根據觀察，LockBit 2.0聲稱取得思夢樂超過 16Gb的數據，要求思夢樂在5月16日前支付贖金，另外，思夢樂表示，目前未發現有客戶或員工的個資外流。

LockBit 仍然是最活躍的勒索軟體組織之一，去年發生了數百次攻擊。根據 Recorded Future 收集的數據，今年到目前為止，他們已經攻擊了至少 650 個組織。

Photo Credit: The Record

有關LockBit2.0的部分入侵指標(Indicator of compromise -IOCs):

URL:

http://45.32.108.54:443/c0000015.log

http://45.32.108.54:443/glib-2.0.dll

IPv4: 149.28.137.7

SHA 1:

e35a702db47cb11337f523933acd3bce2f60346d

729eb505c36c08860c4408db7be85d707bdcbf1b

25fbfa37d5a01a97c4ad3f0ee0396f953ca51223

1458421f0a4fe3acc72a1246b80336dc4138dd4b

0c842d6e627152637f33ba86861d74f358a85e1f

091b490500b5f827cc8cde41c9a7f68174d11302

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

繼哥斯大黎加因Conti的攻擊全國進入緊急狀態後，另一拉丁美洲政府”秘魯” 也遭Conti的毒手!

Posted on by blogadmin

操作Conti 勒索軟體背後駭客聲稱入侵了秘魯國家中央情報局( Dirección General de Inteligencia -DIGMIN) 並將其列為受害者，有關資訊也同時發布在Conti的揭秘網站Conti Leaks上，國家情報局DIGMIN是秘魯首屈一指的情報機構。該機構負責國家、軍事和警察情報以及反情報工作，Conti目前已公開了聲稱從情報局竊取得來9.41 GB 數據，作為入侵證據。

目前仍然無法存取秘魯國家情報局的網站

根據觀察，操作Conti 勒索軟體的背後駭客在其揭秘網站聲稱秘魯拒絕與他們溝通，並表示已在秘魯政府幾乎所有的國家機構網路中安裝了後門，警告稱如果秘魯當局再不透過情報局跟他們聯繫，將會像哥斯達黎加一樣有嚴重的後果，然而秘魯政府沒有就此發表任何聲明。值得一提的是，在Conti攻擊秘魯的事件中，國家情報局特別指出，它們網路上的數據沒有被加密。駭客組織對情報機構的攻擊可能導致包括財務機密、機密數據和文件和安全策略的外洩露，並對國家安全構成風險。

Conti於4月下旬入侵了哥斯達黎加多個政府系統，癱瘓海關及稅務系統，獲得對大約800台伺服器的存取權，其中近 1TB 的數據已被洩露，目前有資安專家已針對一小部分外洩數據進行初步分析，結果顯示原始碼和SQL數據庫確實來自哥國政府網站。另外Conti的攻擊影響了其他政府部門，包括財政部、科創部、勞動部與社會保障部、社會發展與家庭津貼基金、國家氣象研究所、哥斯達黎加社會保障基金、阿拉胡埃拉市各大學主校等，使哥國總統宣布國家緊急狀態。

上週，美國國務院懸賞高達 1500 萬美元的獎金，以重金徵求識別和定位 Conti 勒索軟體組織的領導和同謀的資訊。該獎勵是由國務院的跨國有組織犯罪獎勵計劃 (Transnational Organized Crime Rewards Program，TOCRP) 提供的。美國當局將提供1000萬美元給提供資訊協助逮捕Conti首腦的線民，同時額外提供 500萬美元給提供資訊協助逮捕Conti其他成員的資訊。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

美資安研究揭中國APT駭客組織Winnti以企業ERP系統存在的漏洞，作為切入點，數年來一直竊取涉及美歐亞30企業的商業機密

Posted on by blogadmin

資安公司Cyber​​eason的研究指出，Winnti（也稱為 APT41、Blackfly 和 BARIUM）是一個效力於中國政府的駭客組織，自 2010 年以來一直很活躍，以複雜、隱秘和專注於竊取技術機密而聞名，這次的發現是Winnti以名為CuckooBees的間諜行動多次的入侵製造、科技、能源和製藥等產業的約30家跨國公司並竊取了大量商業機密和智慧財產，該網路竊密行動至少可以回溯到2019年，但直到最近才曝光。Cyber​​eason 發布了兩份與 CuckooBees 行動相關的報告，第一份是關於Winnti 的入侵策略和獨特性，第二份則是關於Winnti所使用的惡意軟體和漏洞的深入分析。 

攻擊鏈和有效負載部署是通過“紙牌屋”方法實現的，每個組件都依賴於其他組件才能正常運行，這使得單獨分析每個組件變得困難。

根據Cybereason的調查，自網路間諜活動開始以來，Winnti迄今已從 30 多個全球組織竊取了數百 GB 的數據包括藍圖、圖表、配方和與製造相關的專有數據和其他商業機密。此外，Cyber​​eason表示，Winnti還收集了有關目標組織的網路架構、用戶帳戶、憑證、客戶數據和業務的詳細資料，攻擊者可以在未來的攻擊中利用這些資料。Cyber​​eason的調查還揭示從CuckooBees行動中發現Winnti的武器庫中新增了前以被未記錄名為DEPLOYLOG的新惡意軟體，其有效負載隱藏和檢測規避是基於對 Windows CLFS 功能的濫用。此外，Winnti也在攻擊中使用已知的惡意軟體，包括Spyder Loader，PRIVATELOG和WINNKIT等。

入侵調查揭示了入侵始於駭客利用企業資源規劃 (ERP)平台中存有的遠端程式碼執行漏洞，在ERP Web 應用程式伺服器上部署JSB WebShell後門以保持持久性，並開始網路偵察和憑證轉儲，這進一步允許橫向移動，最終導致敏感數據從關鍵伺服器和員工的端點外洩。在CuckooBees 行動中使用Winnti多種持久性技術。第一個是刪除 WebShell 的 VBScript 版本，使用 wscript 執行它，然後將結果複製到外部可存取的檔案夾中。第二種持久性方法提供了一個額外的備份切入點，涉及修改 WinRM 遠端管理協議以啟用 HTTP 和 HTTPS 偵聽器以進行遠端 shell存取。

觀察到的Winnti攻擊鏈，Photo credit: Cybereason

第三種方法利用簽名的內核 rootkit，而第四種技術濫用合法的IKEEXT和PrintNotify Windows 服務來側載 Winnti DLL 並保持持久性。最初的偵察使用內置的 Windows 命令來收集有關受感染服務器的信息。一旦在多台機器上建立了立足點，Winnti 就開始使用計劃任務來執行不同機器之間不同的batch scripts，並根據攻擊者的目標使用不同的命令。憑證轉儲使用了兩種方法：reg save 命令和名為MFSDLL.Exe的未知工具，已知的 reg save 用於轉儲SYSTEM、SAM和SECURITY註冊表配置單元，使攻擊者能夠在本地破解密碼的hash。Cyber​​eason 無法恢復 MFSDLL 的樣本，但已經了解了它的使用方式和載入內容，它載入了一個名為mktzx64.dll的 DLL ，該 DLL與 Mimikatz 工具的使用有關。

Winnti 使用受被入侵感染的網域管理員憑證，進而使用scheduled tasks在數十台受感染的電腦上執行命令，使其能夠橫向移動並使用被盜憑證感染大量主機。

對於數據收集，攻擊者使用重新命名的中文版本的WinRAR來建立包含被盜數據的密碼保護檔案，並被重新命名為rundll32.exe偽裝成其他Windows系統檔案。

Cybereason認為，在諸如CuckooBees行動等駭客攻擊活動中最常見被利用的安全漏洞包含因為系統未打修補、網路分段不足、資產不受管理、帳戶被遺忘以及缺乏多因素身份驗證產品。儘管這些漏洞看起來很容易修復，但當今的安全性很複雜，大規模實施緩解措施並不總是那麼容易。防禦者應遵循 MITRE或類似框架，以確保他們擁有適當的可見性、檢測和補救能力來保護他們的最關鍵的資產。

另外，鑑於攻擊的複雜程度以及該活動於 2019 年發起且直到去年才被發現的事實，全球可能還有更多受害者。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”