擁槍團體美國全國步槍協會,遭Grief勒索軟體入侵

10 月 28 日,據美國NBC新聞報導,操作Grief勒索軟體的俄羅斯駭客組織聲稱已經成功入侵了美國全國步槍協會 (NRA),週三在其揭秘網站上發布了來自全國步槍協會數據庫的13 個檔案,威脅說如果不支付贖金,就會發布敏感資訊。美國全國步槍協會( National Rifle Association ; NRA ; 簡稱美國槍會 )是美國最大規模的槍械組織,有超過五百萬名會員,美國槍會積極參加美國當地的政治活動,具有重大政治影響力。目前尚不清楚 Grief是否攻擊了美國槍會的一個較小的分支機構,或是攻擊了的中央網路。

Grief勒索軟體揭秘網站

根據消息人士,美國槍會沒有回應 NBC 就此次駭客事件發表評論的請求,但據報導,美國槍會只稱是它們的電子郵件系統遇到了技術問題。隨後,美國槍會在Twitter一條推文中表示,它們不討論是其實體或電子安全相關的問題,並補充說它們採取非常措施來保護會員和捐助者的資料。

近年來,針對各種公司和組織的勒索軟體攻擊激增,但很少有像美國槍會那樣具有政治敏感性的目標。該組織長期以來一直與美國共和黨高層立法者保持密切聯繫,並且一直是共和黨候選人的主要支持者。全國步槍協會在過去兩次總統選舉中花費了數千萬美元幫Donald Trump助選。

BleepingComputer,Grief 勒索軟體與名為 Evil Corp. 的俄羅斯駭客組織有關,Evil Corp 自 2009 年以來一直活躍,並參與了許多惡意網路活動,包括分發Dridex木馬以竊取網上銀行憑證和竊取資金。

駭客組織在 2017 年轉向勒索軟體,當時他們發布了名為 BitPaymer 的勒索軟體。BitPaymer 後來在 2019 年演變為 DoppelPaymer 勒索軟體操作。

在多年攻擊美國利益後,美國司法部指控 Evil Corp 成員竊取超過 1 億美元,並將該駭客組織列入外國資產控制辦公室 (OFAC) 制裁名單。

不久之後,美國財政部隨後警告說, 勒索軟體談判人員可能會因協助向制裁名單上的駭客組織支付贖金而面臨民事處罰。

從那時起,Evil Corp 就經常以不同的名稱發布新的勒索軟體,以逃避美國的制裁。這些勒索軟體系列包括 WastedLocker、  Hades、  Phoenix CryptoLocker、  PayLoadBin,以及最近的 Macaw Locker。然而,他們最初的勒索軟體 DoppelPaymer 以相同的名稱運作了多年,直到 2021 年 5 月,他們停止在揭秘網站點上列出新的受害者。

一個月後,Grief 勒索軟體出現了,基於程式碼的相似性資安研究人員認為這是DoppelPaymer 的品牌重塑。

有關Grief勒索軟體的入侵指標Indicators of compromise (IOCs):

SHA256 :

b5c188e82a1dad02f71fcb40783cd8b910ba886acee12f7f74c73ed310709cd2

91e310cf795dabd8c51d1061ac78662c5bf4cfd277c732385a82f181e8c29556

dda4598f29a033d2ec4f89f4ae687e12b927272462d25ca1b8dec4dc0acb1bec

0864575d4f487e52a1479c61c2c4ad16742d92e16d0c10f5ed2b40506bbc6ca0

b21ad8622623ce4bcdbf8c5794ef93e2fb6c46cd202d70dbeb088ea6ca4ff9c8

聯邦調查局的Flash Alert,警告說Ranzy Locker勒索軟體已經入侵了數十家美國公司

聯邦調查局 (Federal Investigation Bureau-FBI) 表示,操作Ranzy Locker 勒索軟體的駭客已經入侵了 30 多家美國公司。FBI在CU-000153-MW的Flash Alert警報中提及,直到2021 年 7 月,使用 Ranzy Locker勒索軟體的未知網路犯罪分子已經入侵了 30 多家美國企業,受害者包括關鍵製造業的建築部門、政府設施部門的學術部門、IT部門和交通部門等。

根據FBI的警報, 操作Ranzy Locker的駭客擅長通過暴力破解遠端桌面協議 (RDP) 利用易受攻擊的 Microsoft Exchange伺服器或使用在網路釣魚攻擊中竊取的憑證來入侵目標的網路。一旦進入受害者的網絡,操作Ranzy Locker的駭客還會在加密受害者公司網路上的系統之前竊取未加密的檔案,這同時是大多數其他勒索軟體使用的策略。一般來說,駭客威脅洩露的檔案包含客戶資料、個人身份資料 (PII) 和財務記錄等敏感資料,迫使受害者支付贖金以恢復其檔案並防止數據外洩。

Ranzy Locker勒索信

據了解,Ranzy Locker揭秘網站的網域曾被 Ako 勒索軟體使用,而 Ako 隨後改名為 ThunderX,然後又再改名為 Ranzy Locker,相信從 Ako 到 ThunderX 再到 Ranzy Locker只是勒索軟體品牌重塑的一部分。ThunderX於 2020 年 8 月啟動,由於它的加密機制存在缺陷,在啟動後的一個月內, 被資安公司 Tesorion 發現了其加密的弱點,並建立了一個免費的解密器,不久之後,駭客修復了這些錯誤,並以 Ranzy Locker 的名義發布了更新版本的勒索軟體。

此次聯邦調查局的警報是與 CISA 協調發布的,旨在提供資料以幫助安全專業人員檢測和防範此類勒索軟體攻擊的企圖,以下有關Ranzy Locker勒索軟體的入侵指標:

Hostname:

www.tutorialjinni.com

URL:

https://www.tutorialjinni.com/ranzy-ransomware-sample-download.html

SHA 256:

c4f72b292750e9332b1f1b9761d5aefc07301bc15edf31adeaf2e608000ec1c9

bbf122cce1176b041648c4e772b230ec49ed11396270f54ad2c5956113caf7b7

ade5d0fe2679fb8af652e14c40e099e0c1aaea950c25165cebb1550e33579a79

90691a36d1556ba7a77d0216f730d6cd9a9063e71626489094313c0afe85a939

776261646d696e2044454c4554452053595354454d53544154454241434b5550

393fd0768b24cd76ca653af3eba9bff93c6740a2669b30cf59f8a064c46437a2

SHA 1:

9a77e2f8bf0da35f7d84897c187e3aff322f024d

43ccf398999f70b613e1353cfb6845ee09b393ca

國外資安媒體揭露,技嘉再次成為勒索軟體的受害者,AvosLocker攻擊了主板大廠商技嘉,威脅發布所有盜來的數據

AvosLocker的揭秘網站上技嘉的頁面

根據國外資安媒體ThreatpostCybernews等的報導,在被ransomEXX勒索攻擊的三個月後,技嘉(Gigabyte)又被AvosLocker勒索軟體攻擊,操作名為 AvosLocker勒索軟體的駭客聲稱已成功攻擊了技嘉。AvosLocker是一種新型勒索軟體,於 2021 年6月首次被發現,與大多數勒索軟體組織一樣,以勒索軟體即服務(Ransomware as a Service;RaaS)的模式經營,也同時招募會員(Affiliate),其揭秘網站以紫藍色甲蟲作為標誌,過去的受害者包括美國、英國、阿聯酋、比利時、西班牙和黎巴嫩,此次技嘉事件是AvosLocker首度入侵台灣,一般來說AvosLocker的勒索金額從50,000美元到75,000美元不等,比其他勒索軟體要求的金額相對地低。根據資安公司Cyble在 7 月的報告,AvosLocker勒索軟體主要通過垃圾郵件活動或廣告傳播惡意軟體來感染 Windows 系統。本月較早時候,AvosLocker引入了拍賣功能,通過拍賣的方式在Telegram和暗網論壇上轉售不付贖金的受害者數據。

10月20日,AvosLocker釋出了一些盜來數據,證明他們確實攻擊了技嘉,這些數據包括密碼和用戶名、員工工資單的詳細資料、人力資源檔案和信用卡詳細資料等。此外,還包括有關技嘉與 Barracuda Networks Inc.、Blizzard Entertainment Inc.、Black Magic、Intel Corp.、Kingston Technology Corp.、Amazon.com Inc. 和 Best Buy Co. 之間的文件。

AvosLocker揭秘網站上的受害者名單
AvosLocker釋出技嘉客戶的樣本

這是技嘉3個月內的第二次被勒索軟體攻擊事件,8月初遭受RansomEXX勒索軟體攻擊,被盜112GB 的數據,其中包括來自 Intel、AMD 和 American Megatrends 的有價值的機密文件,此外,目前尚不清楚 8 月初的攻擊是否與此次AvosLocker的攻擊有關。

10月中宏碁印度的售後服務系統遭Desorden Group入侵,後又證實Desorden也入侵了臺灣總部的系統,並盜取員工的機敏資訊,台灣企業接連發生被入侵後又再次被入侵的事件,資安的把關無疑是企業需要正視的課題。

有關AvosLocker勒索軟體的入侵指標:

SHA 256: 6584cd273625ee121e330a981cc04e1f1d312356c9cccdb62932ea7aad53a731

SHA 256: 43b7a60c0ef8b4af001f45a0c57410b7374b1d75a6811e0dfc86e4d60f503856

SHA 1: f6f94e2f49cd64a9590963ef3852e135e2b8deba

MD5: d285f1366d0d4fdae0b558db690497ea

MD5: cf0c2513b6e074267484d204a1653222

Gartner 公布 2022年需要深挖的十二大戰略科技趨勢,雲端原生平台、分散式企業、組合性應用程式…還有什麼??

Gartner於10月19日在Gartner IT Symposium/Xpo 研討會上,分析師們公布了他們的最新研究成果,正式發布企業機構在2022年需要深挖及探索的十二項重要戰略技術趨勢, Gartner 研究副總裁 David Groombridge表示,CEO們進入 2022 年的兩大業務重點是擴大數位化和建立電子商務,將通過這種方式贏回在封鎖和大流行中損失的收入,以期加速重回業務。肩負著快速實現數位化以滿足CEO需求的CIO必須確保他們具備快速增長和擴展的技術基礎,同時應對混合工作制的新模式,這將使雲端原生平台、網路安全網格和分散式企業成為關鍵趨勢。

Photo Credit: Gartner

Gartner預測在2022年最重要的戰略技術發展趨勢包含:

1.超自動化Hyperautomation

2.生成式人工智慧 Generative Artificial Intelligence (AI)

3.資料結構Data Fabric

4.人工智慧工程AI Engineering

5.自主系統Autonomic Systems

6.決策智慧Decision Intelligence

7.組合性應用程式Composable Applications

8.雲端原生平台 Cloud-native Platforms (CNPs)

9.隱私增強運算Privacy-enhancing Computation (PEC)

10.網路安全網格Cybersecurity Mesh

11.分散式企業Distributed Enterprise

12. 全面體驗Total Experience (TX)

1.超自動化

自動化是數位化轉型的關鍵因素。超自動化(Hyperautomation)提出了一種更快的途徑來識別、審查和自動化整個企業的流程。Gartner 指出,為了最好地實現這一目標,需要重點關注的領域包括提高工作質量、加快業務流程的步伐以及培養決策的敏捷性。

2.生成式人工智慧 (AI)

Gartner 指出,在過去一年中,人們對生成式人工智慧的興趣和投資有所增加。生成式 AI 引用算法,可以使用現有內容(如音頻檔案、圖像或文本)來建立新內容。生成式人工智能可用於多種活動,如支援軟體開發、促進藥物研發和有針對性的營銷,但該技術也會被濫用於詐騙、政治造謠、偽造身份等。Gartner預計到2025年,生成式人工智慧將佔所有生成數據的10%,而目前這一比例還不到1%。

3.資料結構

Gartner 將資料結構(Data Fabric) 定義為一個設計概念,作為資料和連接過程的整合層(結構),作為一種跨平台和業務用戶的靈活、彈性資料的整合方式,資料結構可以顯著減少資料管理的工作,能夠簡化企業機構的資料整合基礎設施並建立一個可擴展架構來減少大多數資料和分析團隊因整合難度上升而出現的技術債務。

4. 人工智慧工程

人工智慧投資的持久力和持久價值在許多公司中參差不齊。一個問題是,一些公司部署了一次 ​​AI 模型並期望價值會永久增加,Gartner 副總裁David Groombridge指出,必須推動持續的努力和模型演變,以從這些投資中獲得更多收益,並指出人工智慧工程(AI Engineering)的採用應該會為人工智慧的工作帶來三倍的價值。 

5. 自主系統

儘管自主系統(Autonomic Systems)處於早期階段,但未來五年應該會從中產生更大的價值。具有內置自學習功能的自主系統可以動態優化性能,在惡劣環境中保護 [公司],並確保他們不斷應對新挑戰,自治系統是可以從所在環境中學習自我管理物理或軟體系統,與自動化甚至自主系統不同,自治系統無需外部軟體更新就可以動態修改自己的算法,使它們能夠像人類一樣迅速適應現場的新情況。Groombridge 指出,這種趨勢預示著軟體的自我管理水平會更高。

6. 決策智慧

決策智慧(Decision intelligence)旨在以可重複的方式對決策進行建模,以提高決策效率並加快實現價值的速度,它預計通過增強人類智慧的自動化來實現這一目標,透過清楚理解並精心設計做出決策的方式以及根據反饋評估、管理和改進結果的方式來改進決策。Gartner預測在未來兩年,三分之一的大型企業機構將使用決策智慧實現結構化決策,進而提高競爭優勢。

7. 組合性應用程式

組合性應用程的思想強調了應用程式的功能塊可以與整個應用程式分離。可以對組件部分進行更精細的調整,以建立比其單一前身俱有更大價值的新應用程式。Gartner 指出,利用組合性應用程式的公司在新功能實施方面可以超過競爭對手 80%。Groombridge表示:“在動蕩的時代,可組合的業務原則幫助企業機構駕馭對業務韌性和增長至關重要的加速變化。沒有它的現代企業機構可能會失去在市場中的前進動力和客戶忠誠度。”

8. 雲端原生平台

為了真正能夠在任何地方提供數位能力,企業必須放棄熟悉的直接遷移並轉向雲端原生平台 Cloud-native Platforms (CNPs)。CNP運用雲端計算的核心能力,向使用互聯網技術的技術創造者提供可擴展的彈性IT相關能力“即服務”,從而加快價值實現時間並降低成本。Gartner 認為,利用雲端技術的本質為技術人員提供 IT 相關功能即服務的雲端原生平台,將在2025 年為大多數新的數位計劃奠定基礎。

9. 隱私增強運算

隱私已成為整個商業環境中越來越重要的問題和優先事項。除了應對不斷成熟的國際隱私和數據保護法外,隱私增強運算(Privacy-Enhancing Computation)可以保護公司及其客戶的敏感數據,保護數據的機密性。Gartner 假設這是通過減少與隱私相關的問題和網路安全事件來維持客戶忠誠度的一種途徑,它認為到 2025 年,大約 60% 的大型企業將使用一種或多種隱私增強運算技術。

10. 網路安全網格

安全網格(Cybersecurity Mesh)是一種架構形式,它為安全 IT 資產提供了一種整合方法,無論它們位於何處。它通過將網路安全的邊界重新定義為個人或事物的身份,為網路安全提供了一種更加標準化和回應性更強的方法。據 Gartner 稱,這是一種在不到兩年的時間內將網路事件的財務影響減少 90% 的途徑。

11. 分散式企業

Gartner 相信混合工作方法的價值,相信那些完全啟用它的公司將實現比未啟用它的同行公司快 25% 的收入增長。這種模式允許員工以地域分散的方式工作,開闢了人才獲取的新途徑。

12. 全面體驗

全面體驗是一項結合客戶體驗、員工體驗、用戶體驗和多重體驗的業務戰略。全面體驗的目標是提升客戶和員工的信心、滿意度、忠誠度和擁護度。企業機構將通過實現具有適應性和韌性的全面體驗業務成果來增加收入和利潤。

駭客組織Desorden Group緊咬宏碁,加碼爆出駭入宏碁台灣的系統,已盜走並釋出員工的敏感資料

根據資安外媒Privacy Affairs,在入侵宏碁印度(Acer India)僅三天後,駭客組織 Desorden表示已經入侵宏碁台灣總部的伺服器,在伺服器上發現儲存了有關其員工和產品資訊的數據,並同時聲稱也已在宏碁馬來西亞和印尼網路上發現了漏洞,就此次入侵事件駭客組織Desorden Group以email聯繫了Privacy Affairs,並表示他們並沒有竊取所有數據,只下載了與宏碁員工有關的詳細資訊。這次網路攻擊主要是想證明,宏碁的全球網路系統很容易就被入侵,另外Desorden聲稱在入侵後,立即通知了宏碁的管理層,隨後宏碁也將受入侵影響的伺服器下線。

Desorden以email聯繫了Privacy Affair ,Photo Credit: Privacy Affair

據了解,在資料外洩的樣本中顯示了最近在10月14 日的數據,表明所謂的駭攻應該是發生在14日左右的某個時間,被盜的資料包括登錄資訊,位於台灣的伺服器和內部管理面板的密碼等。

這次新的駭客攻擊事件是在上一次Desorden攻擊了宏碁印度之後三天發生的, Desorden 表示經濟動機(financially motivated )是其駭攻原因之一,但目前仍不清楚駭客實際要求多少贖金。

Photo Credit: Privacy Affair

電腦巨頭宏碁驚爆今年第二度遭駭,承認其印度子公司的售後服務系統被入侵,駭客稱已盜60 GB的數據

Key Points:

*繼今年3月宏基遭REvil勒索軟體加密並被勒索天價14億台幣後,現被爆其印度子公司被名為”Desorden Group”的駭客組織盜取了60GB的數據

*宏基印度子公司在2012年亦曾遭駭,被盜20,000個用戶憑證

最近有駭客在一個論壇上宣傳出售宏碁超過 60 GB 的數據後,台灣電腦品牌大廠宏碁的一位發言人今天證實,該公司遭遇了今年第二次網攻事件,一個名為 Desorden Group 的駭客組織在RAID論壇 (RAID是過去幾年駭客用來勒索公司和出售被盜數據使用的論壇)上表示,它從宏碁印度(Acer India)伺服器中竊取了超過 60GB 的檔案和數據,其中包括屬於宏碁印度零售商和分銷商的客戶、公司和財務數據以及登錄的詳細資訊。作為證據,Desorden Group 還提供了一段視頻,其中展示了被盜檔案和數據庫、10,000 名客戶的記錄以及 3,000 家印度宏碁分銷商和零售商的被盜憑證。這是繼REvil在3月份的勒索攻擊之後,這家電腦巨頭的系統今年第二次遭到入侵。

Photo Credit: Privacy Affairs
Photo Credit: Privacy Affairs

宏碁發言人企業傳訊部的 Steven Chung在一封電子郵件中證實了駭攻,並聲明如下:

我們最近檢測到對我們在印度當地售後服務系統的孤立攻擊(isolated attack)。一經發現,我們立即啟動了安全協議並對我們的系統進行了全面掃描。我們正在通知印度所有可能受影響的客戶。該事件已報告給當地執法部門和印度Cert,對我們的運營和業務連續性沒有重大影響。

Desorden Group最近也曾發動過攻擊,在9月23日,Desorden 在嘉里物流馬來西亞分公司ABX Express的伺服器偷取了200GB數據,1500 萬條客戶記錄被盜,數據洩露還涉及ABX Express合作夥伴(Lazada、Shopee 等)

日本Olympus的EMEA分公司在九月份遭到BlackMatter勒索軟體攻擊,今在十月份其美洲分公司又被網攻,被迫關閉IT系統

日本科技巨頭Olympus證實,它在周末遭到網攻,迫使其關閉了在美國、加拿大和拉丁美洲(Americas)的 IT 系統。Olympus在其網站上的一份聲明中表示:

*於 10 月 10 日在美洲的 IT 系統檢測到可疑活動,並正在努力解決此問題

*Olympus已暫停受影響的系統;事件對其他地區沒有已知的影響

Olympus沒有透露在潛在的網路安全事件期間,客戶或公司數據是否被存取或被盜,表示調查仍在進行中,也會陸續提供有關此事件的更新。這與Olympus上個月在其歐洲、中東和非洲(EMEA)的IT系統遭到網路攻擊後發表的聲明幾乎相同。上個月,儘管Olympus沒有分享任何關於攻擊者身份的資訊,但據知情人士透露,Olympus的EMEA的IT系統是從勒索軟體攻擊中恢復過來,在受感染的系統上留下了來自 BlackMatter勒索軟體組織的勒索信。

Olympus沒有透露有關襲擊其美洲 IT 系統的攻擊性質的詳細資訊,但眾所周知,勒索軟體組織會在周末和假期進行攻擊以延遲檢測。FBI 和 CISA在 8 月發布的聯合諮詢中表示,他們“觀察到在美國的假期和周末(辦公室通常關閉時)發生的極具影響力的勒索軟體攻擊有所增加。

資安公司Egnyte表示,在短短一個月內像Olympus這樣的科技巨頭的第二次網路攻擊是一個重要的警示:任何大型跨國公司都不應認為自己可以避免於勒索軟體攻擊。

香港的數位行銷公司Fimmick遭REvil勒索軟體入侵,官網目前關閉,REvil宣稱已盜1TB的數據

根據資安外媒的ZDNet報導,香港的Fimmick(日崚)成為最新受REvil勒索軟體攻擊的受害者!Fimmick在香港、日本、台灣及中國各地設有辦公室,其客戶包括麥當勞、可口可樂、Shell、華碩等多家知名企業,現時 Fimmick的網站呈現「維護中」的狀態。

Fimmick官網呈現維護中的狀態

根據英國資安公司 X Cyber​​ Group 的執行長Matt Lane 表示,在美國時間的周2,發現 REvil 入侵了 Fimmick 的數據庫,據指Fimmick的數據庫中有​​來自多個全球品牌的數據,操作REvil勒索軟體的駭客在其揭秘網站Happy Blog中,上傳盜來的數據目錄,名單上有 Cetaphil、麥當勞、可口可樂、Adidas和 Kate Spade、 Acuvue等企業。

Photo Credit: Darkfeed

對於勒索軟體攻擊者而言,行銷公司具有極高程度的吸引力,由於與其他企業有緊密合作,擁有很多大公司的重要數據,能觸發更多可攻擊的目標,就像攻擊服務提供商一樣,或會觸發骨牌效應,令其他使用受害者服務的企業同受波及,攻擊這兩類公司可讓勒索軟體組織獲得更大的收益。

資安公司 Recorded Future的勒索軟體專家Allan Liska 表示,留意到行銷公司相較容易受到攻擊,尤其是網路釣魚攻擊,因為他們經常接觸不同類型的客戶,並會收到大量帶有附件的電子郵件,而這正正是勒索軟體組織最喜歡的初始接觸受害者的方法,去年至少有其他三間行銷公司(Wieden+Kennedy、MBA Group 和 Empirical Research Partners)受到勒索軟體的攻擊,但Liska 又指,被攻擊的行銷公司的實際數量可能還要更多,但與學校或醫院不同,當行銷公司受到勒索軟體攻擊時,它很少成為頭條新聞。 McAfee 在最近發布的深度威脅研究報告Ransomware’s Increasing Prevalence中指出,REvil勒索軟體是占2021年第二季勒索軟體攻擊的檢測量第1名,總檢測量為73%,第2和3名攻擊最兇的勒索軟體分別是RansomEXX和Ryuk。

REvil以向受害者索取高昂贖金而臭名昭著,當中遭勒索的企業包括:

*日月光集團旗下子Asteelflash Group曾遭勒索2400萬美元

*Acer曾遭勒索5千萬美元

*廣達曾遭勒索5千萬美元

*美國JBS Food承認支付1100 萬美元

*Kaseya被REvil勒索7千萬美元

有關REvil勒索軟體的入侵指標(Indicator of compromise -IOCs):

SHA 1: 29f16c046a344e0d0adfea80d5d7958d6b6b8cfa

SHA1: 9586ebc83a1b6949e08820b46faf72ee5b132bca

SHA1 :45404b862e70a7a1b4db6c73d374b8ac19ddf772

SHA1: 446771415864f4916df33aad1aa7e42fa104adee

SHA 256: ea1872b2835128e3cb49a0bc27e4727ca33c4e6eba1e80422db19b505f965bc4

SHA 256 : d6762eff16452434ac1acc127f082906cc1ae5b0ff026d0d4fe725711db47763

SHA 256:

796800face046765bd79f267c56a6c93ee2800b76d7f38ad96e5acb92599fcd4

SHA 256:

3d375d0ead2b63168de86ca2649360d9dcff75b3e0ffa2cf1e50816ec92b3b7d

MD5:395249d3e6dae1caff6b5b2e1f75bacd

MD5: ab3229656f73505a3c53f7d2e95efd0e

MD5: 96a157e4c0bef22e0cea1299f88d4745

注意了~繼北市某製造業遭LockBit2.0攻擊,今見台灣上市工程公司也遭殃!

號稱史上加密速度最快的勒索軟體LockBit2.0又來襲,新北市某上市工程公司遭其毒手, 10月6日竣盟科技在LockBit2.0的揭秘網站上,發現某工程公司的資料,據了解,LockBit2.0在10月3日發布有關公司的受害者頁面,並聲稱會在10月9日公開盜來的數據,但目前仍沒看到任何疑似外洩的檔案作為攻擊的證據,也不知道LockBit2.0獲取了多少數據和要求的勒索贖金額,另外,目前也尚不清楚LockBit2.0是如何入侵該公司以及安全漏洞是何時發生,該公司在近期發布之重大訊息中並也沒有包含任何資安事件。

與其他操作勒索軟體組織一樣,LockBit 2.0 實施了把勒索軟體當成一種服務販售的運作方式,也就是勒索軟體即服務(Ransomware-as-a-Service;RaaS),同時會招募員(Affiliate)並維護會員的網路。 LockBit勒索軟體自2019年9月始一直活躍,直到2021 年 6 月宣布推出LockBit 2.0 RaaS計劃。LockBit對外表示,會員只需要對核心伺服器建立存取,其餘的工作全由LockBit 2.0一手包辦。

另外,根據外媒的報導,LockBit2.0最近的受害者名單包括以色列航空與國防公司 EMIT Aviation Consulting Ltd、 Riviana、Wormington & Bollinger、Anaasia Group、Vlastuin Group、SCIS Air Security、Peabody Properties、DATA SPEED SRL、Island Independent Buying Group、Day Lewis、Buffington Law Firm 和全球其他數十家公司,可見LockBit2.0發動攻擊的趨勢沒有下滑,仍異常的活躍,

8月初IT顧問公司Accenture和8月底泰國的曼谷航空也成為LockBit2.0的受害者,澳洲網路安全中心 (ACSC) 在今年8 月警告稱 ,從 7月開始它們觀察到LockBit2.0在當地的製造、零售、營建等產業發起了一連串的入侵活動,攻擊數量持續上升。9月初,發現台灣某製造業大廠中了LockBit2.0,今在一個月內又發現我國企業遭同一勒索軟體入侵,可見LockBit2.0值得我們高度關注。

竣盟科技建議針對勒索軟體的應對措施:

*由於您的所有文件都是使用軍用級加密算法進行加密的,而且密鑰在犯罪者手上,因此基於原始數據復原(指解密),這是個無解的困境。

*向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後,對方有可能會就此停止聯繫,甚至解密器可能無法工作,或其本身帶來了更多威脅。

*千萬不要使用號稱功能強大的反惡意軟體,這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後,您可能失去的更多。

*針對勒索病毒的危害,正確的應對措施是平日的多重備份機制與定時的還原演練。

*除了基本的防火牆外,還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護,以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

*佈署威脅偵測機制,如 SIEM、HIDS、封包檢測及進階誘捕系統等產品,可以早期發現,並防止威脅擴散。

對於重要的交易系統,可以佈署執行程序限制方案,防止惡意程式的執行。

*透過教育訓練與各種攻擊演練,加強終端用戶的資安防護意識。

有關LockBit2.0勒索軟體的入侵指標(Indicator of compromise -IOCs):

LockBit2.0 Tor Domains:

hxxp://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd[.]onion

hxxp://lockbitsap2oaqhcun3syvbqt6n5nzt7fqosc6jdlmsfleu3ka4k2did[.]onion

hxxp://lockbitsup4yezcd5enk5unncx3zcy7kw6wllyqmiyhvanjj352jayid[.]onion

SHA256: 66b4a0681cae02c302a9b6f1d611ac2df8c519d6024abdb506b4b166b93f636a

SHA 256: 36e33eb5280c23cbb57067f18514905e42f949250f95a5554f944180fcd5fe36

MD5: f47e3555461472f23ab4766e4d5b6f6fd260e335a6abc31b860e569a720a5446

MD5: 0dd0cb0eda6374e48e6cc403151ac5ba

SHA 1:c96924053567407dc917d0abb9ed89fd7f99d574

SHA256: f47e3555461472f23ab4766e4d5b6f6fd260e335a6abc31b860e569a720a5446

SHA 256:6d15cf3f757f4df04b425252041b1d679b084d82bf62bf12bebc82a9d7db621f

SHA 256: dae5fbdaa53b4f08876e567cf661346475ff4ae39063744ca033537d6393639a

SHA 256: ce162d2d3649a13a48510e79ef0046f9a194f9609c5ee0ee340766abe1d1b565

SHA 256: c667c916b44a9d4e4dd06b446984f3177e7317f5f9cff91033d580d0cc617eaa

SHA 256: 7e97f617ef7adbb2f1675871402203c245a0570ec35d92603f8f0c9e6347c04a

日本跨國電子企業JVC KENWOOD遭Conti入侵, 1.5TB 數據被竊,並遭勒索700 萬美元

9 月 29 日,日本JVC KENWOOD透露其歐洲公司受到網路攻擊,伺服器經未授權存取。據新聞稿,JVC KENWOOD在9月22日發現集團在歐洲的一些銷售公司出現無法收發電子郵件的問題,經調查,發現伺服器遭被外部存取,影響了JVC KENWOOD集團旗下荷蘭、比利時和英國的公司。據信,員工和業務合作夥伴的電話號碼和電子郵件地址等個人資料恐遭外洩。JVCKenwood 是一家總部位於日本的跨國電子公司,擁有 16,956 名員工,2021 年的收入為 24.5 億美元。該公司以其 JVC、Kenwood 和 Victor 品牌而聞名,這些品牌生產汽車和家庭音頻設備、醫療保健和無線電設備等。

今天,據外媒BleepingComputer的報導,一位消息人士分享了這次針對 JVC KENWOOD攻擊中來自CONTI 勒索軟體的勒索信。另外在一次談判中,操作Conti的駭客告訴JVC KENWOOD,他們已竊取了 1.5 TB 的檔案,並要求 700 萬美元贖金,以換取不公佈數據並提供解密工具。同時,攻擊者分享了一份 JVCKenwood 員工的掃描護照PDF檔案作為證明,但自提供證明以來,JVCKenwood 代表沒有進一步聯繫,表明該公司可能不會支付贖金。

據日本媒體Security Next報導,JVC KENWOOD對於受影響的系統,啟動了一個新的臨時系統並恢復了操作。

據信Conti勒索軟體是由 TrickBot的駭客組織運營,通常在網路被TrickBot、BazarBackdoor 和 Anchor 木馬入侵後安裝。過去曾遭Conti入侵的公司有研華愛爾蘭衛生健康署蘇格蘭環境保護局新西蘭五間醫院等。八月初,Conti的會員(Affiliate)因分到的贖金太少,心生不滿的在地下駭客論壇XSS上載了Conti勒索軟體培訓會員及用於攻擊的手冊,使執法部門和研究人員能深入了解他們的策略,但也沒有影響Conti的攻擊。在上週,美國FBI、CISA 和 NSA 共同發佈針對Conti勒索軟體的攻擊持續激增的警報。