研究人員在華為的AppGallery中發現了190 多款包含Android.Cynos.7.origin木馬的遊戲，約930萬部Android手機受感染

Posted on by blogadmin
安裝量超過 2,000,000 次的 “快點躲起來”遊戲
#drweb
安裝量超過 427,000 次的“Cat adventures”遊戲：

大約930個 Android木馬偽裝成190多個不同的應用程式，上架在華為 AppGallery，並已被大量下載作，成為大規模惡意軟體活動。俄羅斯防毒公司Dr. Web的報告，已將該木馬識別為Android.Cynos.7.origin，用途在收集的用戶敏感數據，該木馬程式為 Cynos惡意軟體的變種。

目前Dr.Web已經將此發現和報告通報給華為，並協助華為從他們的AppGallery中刪除了檢測到的應用程式，但在Android手機上已安裝應用程式的用戶還是需要手動進行刪除。

據了解在Android應用程式中，攻擊者將他們的惡意軟體偽裝成模擬器、街機遊戲、平台遊戲、RTS 策略遊戲以及分別為俄語、中文與國際用戶推出的射擊遊戲，受惡意軟體感染的熱門遊戲包括 Drive school 或 Cat Adventures等。在安裝這些應用程式後木馬的攻擊性就顯現出來，例如它會請求允許執行與遊戲無關的活動，撥打電話、偵測使用者位置等。該惡意軟體還允許攻擊者竊取以下數據：

電話號碼

地理位置數據

WiFi 網路的詳細資訊

行動網路參數和標識符

電話硬體和軟體規格

Dr.Web研究人員說，乍一看，手機號碼外洩似乎是一個微不足道的問題。然而，實際上，它會嚴重傷害用戶，特別是考慮到兒童是遊戲的主要目標受眾。即使手機號碼是成人註冊的，但從下載的遊戲也很可能表明孩子是實際使用手機的人。值得思考的是，父母是否希望上述手機數據不僅傳到未知的外國伺服器，或發送到任何外人上。

此處提供了Dr.Web 歸類為感染了Cynos惡意軟體版本的所有遊戲

入侵指標(Indicator of compromise -IOCs):

URL | App name | Package name | SHA-1

http://appgallery.huawei.com/#/app/C102937601 | 3D City Hunting | com.sns.csls3d.huawei | 8b1de0c1fdea45ff8f4ae250307c0a8f69c3d426

http://appgallery.huawei.com/#/app/C103277985 | 3D Cartoon man Parkour | com.szlh.zhebushikualan.huawei | f70f195fd9deffbde2ee812c93b327d07e18443f

http://appgallery.huawei.com/#/app/C103662071 | 3D City Wild Racing | com.zjld.tejimotuoche.huawei | fda4bc7b3883b3db3df13b0e1b07ad53bbe22a4d

http://appgallery.huawei.com/#/app/C104481373 | 3d Man action run | com.zjld.zbsklmar.huawei | e6024ce99966f4ecaff0efdae7781d9d448b2c79

http://appgallery.huawei.com/#/app/C104633441 | Ace of sky hero | com.hsrj.zhandoujiash.huawei | e5ed0eda9513f41b5c9ebd7b14529180a4e5d822

http://appgallery.huawei.com/#/app/C104684815 | Acrobatics diving training | com.zjld.xytsadt.huawei | d4c1b4b2a65279b768338f2c0d12b695572b101b

http://appgallery.huawei.com/#/app/C103622351 | Adventures of Magical Girl | com.yly.mengdongjielong.huawei | 532b2d05f528ee68a1f89d02fa2477a8fac7c88b

http://appgallery.huawei.com/#/app/C104374449 | Airplane master | com.hxy.fzfjam.huawei | fec03ced8741a8241fcb5f272ede566a634ba539

http://appgallery.huawei.com/#/app/C103616693 | All-Star Basketball Championship  com.cchl.guanlandazuozhan.huawei | f4b9517b19f8c4cee7295f653dca4af8f9e62a13

http://appgallery.huawei.com/#/app/C103768237 | almighty carry company | com.ccsk.quannenglaosiji.huawei | d4a1e722adda57f72f9daafdfd338630b48ae55f

http://appgallery.huawei.com/#/app/C104284813 | Ancient escape | com.yly.ywscae.huawei | 5599dfea0b274e4edbfdabad72d68e271b99e72d

http://appgallery.huawei.com/#/app/C103895857 | Anti-terrorism actions | com.xstk.csata.huawei | aeb5f642538bfdf6b2a8eb5cf3214035a634506f

http://appgallery.huawei.com/#/app/C103562987 | Anti-terrorist police battle | com.sns.qingsongduobi.huawei | b1112a4847c4006f126f0a5ab08b191df039adb7

http://appgallery.huawei.com/#/app/C103623983 | Ants survive in the wilderness | com.cchl.mayishengcunmoniqi.huawei | fb1b5402a51ebc00b17670d6e6b49dba28d36704

http://appgallery.huawei.com/#/app/C103171043 | Armed air attack at sea | com.zjld.jisulingyun.huawei | f05119b12fc28aca89f48b5a939d6e1928c04bc6

http://appgallery.huawei.com/#/app/C103562027 | Armed escort prisoners | com.hs.wuzhuangyajieqiufan.huawei | 7bf6516b2176363de9d7a7993445ede9f697260d

http://appgallery.huawei.com/#/app/C104457167 | Armed shooting raid | com.hxy.csasr.huawei | c4f1405bba22826a69e94ef20763cb664bc3b44c

http://appgallery.huawei.com/#/app/C103233993 | Armed zombie Tower Defense | com.cchl.baoweixiangrikui.huawei | c30291b34ec74128196612b0a80034424de2ea67

http://appgallery.huawei.com/#/app/C104338383 | Army car transport prisoners | com.sns.wzyjqfactp.huawei | f56151b7fd4096f73574717075f6c08e32ff4765

http://appgallery.huawei.com/#/app/C104661821 | Assassination Sniper | com.xstk.yjbzas.huawei | fca6cb15168ac7b256da4bbb442cf93050981b61

http://appgallery.huawei.com/#/app/C104338933 | Assassination time 3D | com.hsrj.yjbzat.huawei | 78e48efac48d7ed9ea53a7a7df294da0a97de066

http://appgallery.huawei.com/#/app/C104143713 | Battle of tanks | com.zjld.xintankebot.huawei | c80fee5ffccf9ce85ff15b7d085d700ae70aef98

http://appgallery.huawei.com/#/app/C104694107 | Battlefield assault team | com.yly.csbat.huawei | 4a4abab1e69ef629c1c622fd3be280c013e4e9fd

http://appgallery.huawei.com/#/app/C104173375 | Beach ambulance | com.hsrj.htjydba.huawei | b860d5303d8921fed08c5e374483ac127ee2385e

http://appgallery.huawei.com/#/app/C104735997 | Beach Emergency team | com.cchl.htyjxz.huawei | b936c97eb91bf6071aa38ead5fb5b8ce11d9a0c1

http://appgallery.huawei.com/#/app/C104516919 | Beach rescue driving | com.sns.htjydbrd.huawei | 38ab82696f45fdf52c04d3ba760e8b752b07df6d

http://appgallery.huawei.com/#/app/C104151447 | Beat the buddy | com.szlh.mtcrbtb.huawei | a4dbe44e0cbef5db32651050189848e9207e28ed

http://appgallery.huawei.com/#/app/C103162445 | Brave Ninja saves Princess | com.zjld.jiantoudaren.huawei | 1a17dd8b6bb1a08ab53b2d096535d251a8d7a8cb

http://appgallery.huawei.com/#/app/C104859673 | Bumper Car Arena | com.hsrj.debibca.huawei | 81ae7a0fac2f385b2984669356d92cf7e807fbb7

http://appgallery.huawei.com/#/app/C104621857 | Busy road driving | com.cchl.jyztcbrd.huawei | 7795827b9feb3e6d8a86f30a48686d3fe816ab30

http://appgallery.huawei.com/#/app/C104276919 | Car battle ground | com.xstk.kbphwcng.huawei | 6c748786e3d18321b7e2f6c64b578ecb310d5b82

http://appgallery.huawei.com/#/app/C103920731 | Car destruction war | com.yly.kbphwcdw.huawei | 195bad41d7c0cee3a388ec072353e9b62c923c67

http://appgallery.huawei.com/#/app/C103920329 | Car drive master | com.zjld.jcddcdm.huawei | 664e47cebb0464339d5e75efb4279c1fa86e131a

http://appgallery.huawei.com/#/app/C103955065 | Car merge shooting | com.szlh.xxlpdcms.huawei | f57efc2ee390c43d42dde0e6dde81a2c5dd1958b

http://appgallery.huawei.com/#/app/C104402277 | Car shooting defend war | com.yly.xxlpdcsdw.huawei | 6cc4c02dc12afeadd1e1c41f5a55f9be35aeca72

http://appgallery.huawei.com/#/app/C104114723 | Cat adventures | com.hxy.xmlxjca.huawei | 18558dca2734d6b098d91d570e0ca13623e0a851

http://appgallery.huawei.com/#/app/C104415377 | Cat cute diary | com.szlh.xmlxjccd.huawei | aa2f1784fe24b564fdeb577a340d439661db1571

http://appgallery.huawei.com/#/app/C103823729 | Cat game room | com.hs.xiaomaolixianji.huawei | 79ddb48ac25eb392c9e92dc44d32bbc522e19fae

http://appgallery.huawei.com/#/app/C104429049 | City car parking test | com.sns.jyztcccpt.huawei | 30abca107e63b3858bc661f27e2ab56ee3fbb471

全球最大網站代管暨網域名註冊商GoDaddy遭駭，WordPress逾120萬筆個資受影響

Posted on by blogadmin

GoDaddy 週一(11/22)表示，一名駭客獲得了其代管服務WordPress超過 120 萬客戶個資的存取權，並向美國證券交易委員會提交了文件，GoDaddy證實於11 月17 日發現其代管的WordPress環境遭入侵，根據隨後的調查發現，入侵者早在9 月6 日就已在存取其內部的客戶數據，表示駭客存取其伺服器長達兩個多月，據悉，入侵者使用洩露的密碼存取了GoDaddy託管的WordPress舊的原始碼庫中的配置系統。WordPress 是一種基於 Web 的內容管理系統，數百萬人使用它來建立部落格或網站，GoDaddy 代管在他們的伺服器上WordPress。

GoDaddy證實WordPress遭入侵

根據目前的調查證據，駭客獲得了以下資料及GoDaddy的應對：

*其代管服務WordPress的平台上，多達120 萬的活躍和不活躍的客戶的電子郵件地址和客戶編號遭外洩。僅表示電子郵件地址的暴露存在網路釣魚攻擊的風險。

*GoDaddy 在建立站點時向客戶發放的原始 WordPress 管理員密碼。如果這些憑證仍在使用中，我們將重置這些密碼

*活躍客戶的sFTP 和數據庫用戶名和密碼被洩露。我們重置了密碼

*一部分活躍客戶的 SSL 私鑰遭公開。我們為這些客戶頒發和安裝新的 SSL證書

GoDaddy目前仍在調查入侵者的身份，正在通知受影響的客戶。GoDaddy在去年5月也曾遭入侵，當時提醒客戶，網站代管的28,000 個客戶帳號遭不明人士透過SSH存取。

加密貨幣交易平台BTC-Alpha遭LockBit2.0勒索軟體入侵

Posted on by blogadmin

由烏克蘭人 Vitaliy Bodnar 創立的加密貨幣交易所 BTC-Alpha 於 2021 年 11 月 1 日 成為大規模 DDoS 攻擊的受害者，11 月 1 日 為BTC-Alpha成立的5週年，根據Prleap的報導，網路犯罪分子試圖竊取BTC-Alpha用戶的資金但未果。在竊取失敗之後，BTC-Alpha創辦人Vitaliy Bodnar收到了來自不知名人士的威脅暗示，聲稱將對他進行暴力行動。Bodnar 認為這一切以及包含這次的DDoS攻擊都是其競爭對手的詭計。Bodnar說，”這是我們競爭對手的方法，我們拒絕與他們合作，添加他們的貨幣到我們的平台。當他們出貨幣時，在同一天，我們遭到大規模攻擊。我不相信這樣的巧合。”

LockBit 的揭秘網站上, BTC-Alpha 的頁面

然而根據LockBit2.0的揭秘網站，操作該勒索軟體的駭客已在11月17日將BTC-Alpha添加為受害者。 LockBit 2.0稱如果他們沒有收到贖金，將在 12 月 1 日公佈BTC-Alpha的數據，據了解雖然Lockbit 2.0 勒索軟體通過內神通外鬼的方式入侵了BTC-Alpha系統，駭客通過他們的電腦直接向BTC-Alpha的員工發送病毒，當中有員工讓這種病毒進入。在入侵過程，駭客更試圖竊取用戶的資金，但最終仍沒有成功，竊取了BTC-Alpha交易平台的原始碼及36.2萬名用戶的詳細資訊，LockBit2.0目前開價100 BTC 約1800 萬美元的贖金，但據了解BTC-Alpha拒絕談判。

值得一說，BTC-Alpha 於 2021 年 11 月 1 日，即公司成立 5 週年紀念日遭到攻擊。據Bodnar稱，這次襲擊是由半年前精心策劃的，目前仍有未解決的問題使公司無法對損害進行全面評估，但稱在未來幾天交易所全面恢復後，所有用戶都可以從他們的賬戶中自由提取資金。

BTC-Alpha為前100 大加密交易所之一

有關LockBit2.0勒索軟體的入侵指標(Indicator of compromise -IOCs):

SHA 256:

3407f26b3d69f1dfce76782fee1256274cf92f744c65aa1ff2d3eaaaf61b0b1d

2f18e61e3d9189f6ff5cc95252396bebaefe0d76596cc51cf0ade6a5156c6f66

4db7eeed852946803c16373a085c1bb5f79b60d2122d6fc9a2703714cdd9dac0

07a3dcb8d9b062fb480692fa33d12da05c21f544492cbaf9207956ac647ba9ae

bd14872dd9fdead89fc074fdc5832caea4ceac02983ec41f814278130b3f943e

ced3de74196b2fac18e010d2e575335e2af320110d3fdaff09a33165edb43ca2

107d9fce05ff8296d0417a5a830d180cd46aa120ced8360df3ebfd15cb550636

IPv4:

139.60.160.200

168.100.11.72

174.138.62.35

185.215.113.39

193.38.235.234

45.227.255.190

88.80.147.102

93.190.143.101

93.190.139.223

LockBit2.0 Tor Domains:

hxxp://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd[.]onion

hxxp://lockbitsap2oaqhcun3syvbqt6n5nzt7fqosc6jdlmsfleu3ka4k2did[.]onion

hxxp://lockbitsup4yezcd5enk5unncx3zcy7kw6wllyqmiyhvanjj352jayid[.]onion

MD5: f47e3555461472f23ab4766e4d5b6f6fd260e335a6abc31b860e569a720a5446

MD5: 0dd0cb0eda6374e48e6cc403151ac5ba

CISA制定了新的網路安全事件和漏洞回應手冊，旨在改進和標準化聯邦及民營機構在面臨威脅時的安全流程

Posted on by blogadmin

Key Points:

*CISA 發布事件和漏洞回應手冊，以加強聯邦及民營機構的網路安全

*這是拜登總統改善國家網路安全頒布的行政命令的一部分

*CISA建議各機構應使用手冊來塑造整體防禦性網路行動

11月16日(週二)美國網路安全暨基礎設施安全局(CISA)發布了新的指導手冊，其中包括針對面臨全資威脅時聯邦及民營機構的標準化回應程序。新的指導方針是CISA根據拜登總統在5月份頒布的網路安全行政命令而制定的，據了解，指導手冊中的範例為聯邦及民營機構提供了一套標準程序，以應對影響它們網路的漏洞和資安事件，手冊涵蓋了機構應如何管理與事件和漏洞相關的網路安全流程——包括準備(preparation)、調查(investigation)、遏制(containment)、報告(reporting)和補救(remediation)。CISA 在宣布手冊時表示，聯邦及民營機構應該使用這些手冊來塑造他們的整體防禦網路行動。

手冊以CISA 約束性操作指令 22-01( Binding Operational Directive 22-01 ) 為基礎，標準化了在應對這些對聯邦政府、私營和公共部門構成重大風險的漏洞時應遵循的流程，CISA強烈建議公營和私營機構的合作夥伴檢閱手冊，以評估他們的漏洞和事件回應實踐。手冊內容包括事件回應手冊(Incident Response Playbook)適用於涉及已確認的惡意網路活動且已宣布或尚未合理排除的重大事件，漏洞回應手冊(Vulnerability Response Playbook ) 適用於任何被對手觀察到用於獲取未經授權進入電腦資源的漏洞。

CISA 敦促各機構應使用這些手冊來幫助塑造整體的防禦性網路行動，以提高整體彈性和確保一致性和有效的回應。

Emotet捲土重來並以Trickbot重建其殭屍網路!

Posted on by blogadmin

Key Points:

*在歐洲刑警關閉Emotet殭屍網路及其C2伺服器的十個月後，Emotet再次活躍起來。

*今年 4 月 25 日，執法部門還從受感染的電腦上大規模移除了 Emotet。

*新的 Emotet 伺服器和惡意軟體樣本已於 11 月 14 日出現。

Emotet 惡意軟體曾被認為是傳播最廣泛的惡意軟體，它使用垃圾郵件活動和惡意附件來分發惡意軟體，Emotet 會使用受感染的設備來執行其他垃圾郵件活動並安裝其他payloads，例如 QakBot (Qbot) 和 Trickbot 惡意軟體。然後，這些payloads將用於向駭客提供部署包括 Ryuk、Conti、ProLock、Egregor 等勒索軟體的入侵初期的存取權限。

今年年初，由歐洲刑警組織和8國警方合作協調的一項國際執法行動接管了 Emotet 基礎設施並逮捕了兩名系統管理員，並為了預防Emotet起死回生，於4月25自遠端關閉了受害系統上的Emotet功能並自動執行程式，移除Emotet殭屍網路，從受感染的設備中移除了惡意軟體，但新的Emotet伺服器和惡意軟體樣本已於 11 月 15 日出現。

Photo Credit: Cryptolaemus
Emotet感染鏈, Photo Credit:SANS ISC

來自Cryptolaemus、GData和Advanced Intel的研究人員已經開始看到 TrickBot 惡意軟體在受感染設備上投放Emotet的載入器（Loader），根據Cryptolaemus研究員，在過去駭客經常運用Emotet來在受害電腦下載TrickBot，但駭客現在使用一種稱為“Operation Reacharound”的方法，利用TrickBot 的現有基礎設施重建 Emotet 殭屍網路，研究員相信這可能是Emotet回歸的方式。

另外，Cryptolaemus的成員 Abuse.ch發布了新的Emotet殭屍網路C2伺服器列表，據了解，新的 Emotet 基礎設施正在迅速增長，已有超過 246 台受感染設備已經充當C2伺服器，強烈建議網路管理員封鎖以下相關的 IP 地址。

177.72.80.14

51.210.242.234

51.178.61.60

196.44.98.190

185.148.169.10

142.4.219.173

168.197.250.14

94.177.248.64

81.0.236.93

66.42.55.5

45.76.176.10

188.93.125.116

103.8.26.103

103.8.26.102

相關的Indicators of Compromise (IOCs)

SHA256 hash: 7c5690577a49105db766faa999354e0e4128e902dd4b5337741e00e1305ced24

SHA256 hash: bd9b8fe173935ad51f14abc16ed6a5bf6ee92ec4f45fd2ae1154dd2f727fb245

SHA256 hash: f7a4da96129e9c9708a005ee28e4a46af092275af36e3afd63ff201633c70285

SHA256 hash: d95125b9b82df0734b6bc27c426d42dea895c642f2f6516132c80f896be6cf32

SHA256 hash: 88b225f9e803e2509cc2b83c57ccd6ca8b6660448a75b125e02f0ac32f6aadb9

SHA256 hash: 1abd14d498605654e20feb59b5927aa835e5c021cada80e8614e9438ac323601

URLs:

hxxp://av-quiz[.]tk/wp-content/k6K/
hxxp://devanture[.]com[.]sg/wp-includes/XBByNUNWvIEvawb68/
hxxp://ranvipclub[.]net/pvhko/a/
hxxp://visteme[.]mx/shop/wp-admin/PP/
hxxps://goodtech.cetxlabs[.]com/content/5MfZPgP06/
hxxps://newsmag.danielolayinkas[.]com/content/nVgyRFrTE68Yd9s6/
hxxps://team.stagingapps[.]xyz/wp-content/aPIm2GsjA/

製作TrickBot殭屍網路的駭客組織與釣魚郵件駭客Shatak聯手合作，在受害電腦上植入Conti勒索軟體

Posted on by blogadmin

根據資安業者Cybereason最新的報告指出，TrickBot殭屍網路背後的駭客組織Wizard Spider目前正與 Shatak (TA551) 駭客組織合作，散布TrickBot 和 Bazar Backdoor 惡意軟體，以用於在受感染系統上部署 Conti 勒索軟體。研究人員發現，Shatak 和 TrickBot 於 2021 年 7 月開始合作，並取得了不錯的成果，

因此攻擊活動一直持續到今。

Shatak 的感染鏈
Photo Credit:Cybereason

Cybereason警告說Shathak 駭客組織正在大肆散佈惡意惡意垃圾郵件，這些郵件以受密碼保護的存檔檔案的形式附加到網路釣魚電子郵件中，檔案包含帶有macros的惡意檔案，這些macros可以下載和執行 TrickBot 或 BazarBackdoor，使駭客能進行包括偵察、橫向移動、竊取憑證和數據外洩。

據了解，製作TrickBot殭屍網路的駭客組織Wizard Spider(或被稱為ITG23)，除通過勒索軟體即服務 ( Ransomware as a Service;RaaS ) 運作模式將惡意軟體的存取權出租給會員之外，還負責開發和維護Conti勒索軟體。

Cybereason 的研究人員說，他們觀察到駭客獲得初始入侵到企業網路，再到駭客實際部署勒索軟體的平均時間為兩天，可見這聯手合作發揮了相當大程度的功效。美國網路安全和基礎設施安全局 (CISA) 和聯邦調查局 (FBI) 警報稱，截至 2021 年 9 月，Conti 勒索軟體針對美國和其他國際企業的攻擊已發生超過 400 起。

為了保護系統免受 Conti 勒索軟體的入侵，CISA和FBI建議實施的緩解措施，包括多重身份驗證 (MFA)、禁用未使用的 RDP 服務、實施網路分段以及使操作系統和軟體保持最新狀態等。

Clop 勒索軟體攻擊激增，鎖定Serv-U軟體的安全漏洞 CVE-2021-35211

Posted on by blogadmin

NCC Group的研究人員發現，操作Clop勒索軟體駭客組織（也稱為TA505和FIN11）正在積極性利用 SolarWinds 的Serv-U 漏洞CVE-2021-35211破壞企業網路並最終對設備進行加密。CVE-2021-35211存在於 SolarWinds 的 Serv-U 產品中，當Serv-U的 SSH 暴露在 Internet 上時，該漏洞將允許駭客以特權執行任意程式，駭客可安裝和運行惡意payloads，或查看和更改數據等操作。SolarWinds於2021年7月發布了緊急的安全更新，因為它發現了中國駭客組織DEV-0322在針對性攻擊中利用它。距離 SolarWinds 發布此漏洞的安全更新已經近四個月，但潛在的易受攻擊的 Serv-U伺服器的百分比仍保持在 60% 以上，建議立即使用Serv-U 15.2.3版本的hotfix或更高的版本。

以往Clop也在其攻擊中使用漏洞，例如在Accellion FTA伺服器中的零時差漏洞攻擊。NCC研究人員表示，在發現的新攻擊中，在成功利用 CVE-2021-35211 之後，操作Clop勒索軟體的駭客利用 Serv-U伺服器產生一個由攻擊者控制的子進程(Subprocess)，從而使他們能夠在目標系統上運行command，開闢了惡意軟體的部署、網路偵察和橫向移動，為勒索軟體攻擊奠定了基礎。研究人員解釋說，作為攻擊的一部分，Clop使用PowerShell命令來部署 Cobalt Strike Beacon。此外，攻擊者劫持了名為 RegIdleBackup 的預定任務，使他們能夠在入侵的機器上實現持久性並在下一階段，部署FlawedGrace RAT (TA505至少自 2017 年 11 月以來一直在使用的工具)。

Photo Credit: NCC Group

目前，最多易受攻擊的 Serv-U伺服器的國家是中國，有1141台，而美國則位居第二，台灣也有50台受攻擊的伺服器。

研究人員在報告中警告說，7 月份在Port22上識別出的 Serv-U (S)FTP伺服器中有 5945台 (94%)處於易受攻擊的狀態。10月份，在SolarWinds發佈修補三個月後，潛在易受攻擊的伺服器數量仍然很大，為2784台（66.5%）。

NCC Group 為懷疑受到攻擊的系統管理員發布了以下的清單:

*檢查您的 Serv-U 版本是否易受攻擊

*找到 Serv-U 的 DebugSocketlog.txt

*搜索諸如‘EXCEPTION: C0000005; CSUSSHSocket::ProcessReceive();’之類的項目

*檢查 Windows 事件日誌中圍繞異常日期/時間的事件 ID 4104，並查找可疑的 PowerShell 命令

*使用提供的 PowerShell 命令檢查是否存在名為 RegIdleBackup被劫持的預定任務

*預防被濫用：COM handler中的 CLSID 不應設置為 {CA767AA8-9157-4604-B64B-40747123D5F2}

*如果任務包含不同的 CLSID：使用提供的 PowerShell 命令檢查註冊表中 CLSID 對象的內容，返回 Base64 編碼字串可能是入侵的指標。

美國要線索!懸賞1000萬美元，決心追捕DarkSide勒索軟體的幕後駭客

Posted on by blogadmin

美國國務院(The Department of State)懸賞最高 1000萬美元，以獎勵能夠識別或定位Darkside幕後關鍵領導成員的資訊提供者。根據國務院 11月4日發布的新聞稿，該部門還提供最高 500 萬美元的獎金，獎勵在任何國家逮補或定罪參與DarkSide勒索軟體事件的人。通過提供這一懸賞，美國表明其致力於保護世界各地的勒索軟體受害者，免受網路犯罪分子的利用。美國期待那些窩藏勒索軟體罪犯的國家願意為受勒索軟體影響的受害者企業和組織伸張正義。

美國政府官員指出，DarkSide 是 2021 年 5 月對 Colonial Pipeline 的勒索軟體攻擊的幕後黑手，該攻擊導致該公司關閉了約 5,500 英里的管道，其中包含輸送美國東岸使用的 45% 的燃料，造成停工數日，導致油價飆升、民眾恐慌性購買(Panic buying)，最後Colonial Pipeline支付了440 萬美元，而後美國司法部通過獲得加密貨幣錢包的存取權收回了其中的大部分贖金。

據新聞稿，此獎金也將適用於DarkSide勒索軟體的更名品牌(Rebrand) BlackMatter勒索軟體，當勒索軟體在攻擊一個高度敏感的組織後開始感受到執法部門的壓力時，他們通常會以不同的名稱重新命名，過去也有其他勒索軟體進行了更名。包括：

GandCrab–> REvil

Maze –>Egregor

Bitpaymer–> DoppelPaymer­­–>Grief

Nemty –> Nefilim –> Karma

據了解，懸賞的獎金由國務院的跨國有組織犯罪獎勵計劃 (the State Department’s Transnational Organized Crime Rewards Program; TOCRP) 提供，旨在打擊跨國有組織犯罪。迄今為止，TOCRP 已經支付了超過 1.35 億美元的獎勵，官員們表示，自 1986 年以來，已有超過 75 名跨國犯罪分子和毒販等經過TOCRP獎勵計劃被繩之以法。

為遏止重大基礎設施遭網攻和勒索軟體事件的激增，美國國務院7 月也曾提出Rewards for Justice(正義獎勵)計畫。

BlackMatter 勒索軟體利用名為Exmatter的竊密工具，加速竊取受害公司的數據

Posted on by blogadmin

根據資安公司賽門鐵克的安全研究人員的觀察，BlackMatter已開始在攻擊中利用一種新的竊密工具，加速竊取受害公司的數據。被稱為Exmatter的自訂義工具允許操作BlackMatter 勒索軟體的駭客組織輕鬆定位受感染系統中的有價值數據，表明他們旨在加快攻擊的速度。

據了解，Exmatter 從選定的目錄中竊取特定類型的檔案，並在勒索軟體本身在受感染系統上執行之前將它們上傳到攻擊者控制的伺服器。研究人員表示，這種將數據源(Data source)縮減到僅被視為最有利可圖或業務最關鍵的數據源，旨在加快整個竊取過程，相信是為了讓駭客可以在被中斷之前完成他們的攻擊階段。

Exmatter被編譯為.NET 可執行工具，如果發現特定的command line參數，則嘗試隱藏其視窗，然後繼續收集系統上的所有驅動器名稱和檔案路徑，不包括特定目錄、具有特定屬性的檔和大小小於1，024位元組的檔。Exmatter旨在對選定的檔案類型（如 PDF、Word 檔、spreadsheets和 PowerPoint）進行滲透，並以 LastWriteTime 優先處理要滲透的檔案類型。一旦滲透完成，Exmatter 將覆蓋並刪除受害者電腦中的任何痕跡。

賽門鐵克在報告中表示，攻擊者一直致力於改進 Exmatter，迄今為止觀察到該工具的多種變體，表明其開發人員試圖改進其功能，以盡可能加快數據竊取過程。

自 2021 年 7 月以來，BlackMatter 已被用於攻擊全球多個組織，包括美國的關鍵基礎設施實體。

BlackMatter 與 Coreid 網路犯罪組織有關聯，該組織也經營 Darkside 勒索軟體。在過去的 12 個月中，該組織一直在進行各種引人注目的攻擊，例如 2021 年 5 月對殖民地管道的攻擊。

與大多數勒索軟體參與者一樣，與 Coreid 相關的攻擊會竊取受害者的數據，然後該組織威脅要發布這些數據，以進一步迫使受害者支付贖金。賽門鐵克總結道，Exmatter竊密工具是由Coreid本身或是其會員建立的仍有待觀察，但其發展表明數據盜竊和勒索仍然是該組織的核心重點。

有關Exmatter的入侵指標Indicators of compromise (IOCs):

URL:

https://159.89.128.13/data/

https://157.230.28.192/data/

IPv4:

165.22.84.147

157.230.28.192

159.89.128.13

SHA 256:

fcaed9faa026a26d00731068e956be39235487f63e0555b71019d16a59ea7e6b

8eded48c166f50be5ac33be4b010b09f911ffc155a3ab76821e4febd369d17ef

325ecd90ce19dd8d184ffe7dfb01b0dd02a77e9eabcb587f3738bcfbd3f832a1

SHA 256:

58e77aa4207d1f3ae808215c447839ef8b081609

347b3921b0660986bc0ce4d1a41aa77f04377a37

日本跨國醫藥服務公司立力科，遭Rangar Locker勒索軟體攻擊

Posted on by blogadmin

立力科於10月初曾公告其總部的伺服器遭非法存取，10月底發現其歐洲子公司也遭駭客攻擊

日本遊戲開發商巨頭卡普空也曾於2020年9月遭Ragnar Locker加密，被盜1TB數據

10月27日，日本立力科(Lincial) 在其官網上發布關於其歐洲子公司遭網路攻擊的資安事件。據了解，事緣於10月21 立力科歐洲子公司檢測到外部第三方網路攻擊而中斷了歐洲網路以及與日本、亞洲和美國連接的的網路，在經當地的IR資安公司進行恢復及評估後，聲稱沒有任何資訊外洩或破壞，但隨後在10月25日證實收到Ragnar Locker的勒索信，要求支付贖金以換取被盜的數據。立力科的總部位於日本大阪，為東京證券交易上市之公司並已於全球23個國家，包括台灣、歐洲及北美洲等地設立子公司，全球員工則超過1000位。

立力科官網

立力科同時證實不打算與駭客交涉也不会支付贖金，另一方面，操作Ragnar Locker勒索軟體的駭客也已在其揭秘網站上列出立力科的頁面，並稱該公司不在意數位安全。

由於立力科曾於10月5日，發布有關其日本總部檔案伺服器被非法的第三方存取的資安事件，這次遭Ragnar Locker攻擊是否也因非法第三方存取日本伺服而器引起?目前仍不得而知，但據了解立力科目前正配合外部第三方資安公司進行進一步的調查，並已經通報包括日本及歐洲有關當局。

以往曾被Ragnar Locker攻擊的知名受害企業包括:

*2021年6月台灣記憶體大廠威剛科技ADATA遭Ragnar Locker攻擊

*日本知名遊戲大廠卡普空，被盜1TB 數據，勒索1100萬美元的贖金

*義大利酒商Campari Group，被盜多達2TB未加密的檔案，提出高達1,500萬美元的贖金要求

*法國貨櫃船運業者CMA CGM ，要求1,000萬美元的贖金，最後CMA CGM以450萬美元支付贖金。

*葡萄牙跨國能源巨頭Energias de Portugal竊取了 10 TB 的，勒索1100萬美元的贖金

有關Ragnar Locker勒索軟體的入侵指標Indicators of compromise (IOCs):

SHA 1:

01fff32c5e016bfd3692072ef0ef5b943f2da110

af53890ed1d4753e7493d48862bdd7d18a2b11f6

0f944504eebfca5466b6113853b0d83e38cf885a

e22344a92c91b567a6cba7eb66686c438d479462

64b99b55f0a1ec4f8f30897a460c574300a8acbd

MD5:

9b2a874de86f10ff992a30febdb6f9e8

5b06303cdf191dae161e849841f8aff4

f7c48ee1f3ee1b18d255ad98703a5896

00fb3f27bccef7c5658ff9f5ce487cec

7529e3c83618f5e3a4cc6dbf3a8534a6