標籤: News

十多個俄羅斯關聯的駭客組織正在運用Sitting Ducks攻擊

網路攻擊者利用所謂的Sitting Ducks (甕中捉鱉) 劫持了超過 35,000 個已註冊網域，在Sitting Ducks攻擊中，攻擊者劫持了已在DNS (網域名稱系統) 服務商或web hosting provider (網頁代管供應商) 那邊註冊的域名，讓使用者無法連結到在DNS提供單位或註冊單位的真正帳戶。

在「甕中捉鱉」攻擊中，網路犯罪分子利用註冊單位網路層級的組態 (configuration)缺陷以及 DNS 提供單位的所有權驗證機制不足。

專門致力於 DNS 的網路安全供應商 Infoblox 以及韌體和硬體防護公司 Eclypsium 的研究人員發現，每天可能會有超過一百萬個網域透過 Sitting Ducks 攻擊的手法而遭到劫持。

Infoblox和Eclypsium聯合發佈的分析中揭露，有十多個與俄羅斯有關聯的網路犯罪組織正在運用這種攻擊手段，特別針對網域名稱系統 (DNS) 的弱點藉以隱密地劫持網域。

追根究柢，問題在於網域註冊單位和授予權限的 DNS 提供單位的組態 (configuration) 不正確，再加上名稱伺服器 (name server) 無法對其涵蓋的服務網域進行授權回應（這也稱作 lame delegation遜咖授權）。

攻擊者先向授權的 DNS 提供單位要求使用權，允許它在授權的 DNS 提供單位之處聲明網域的所有權，於此同時它並不用直接去存取網域名稱註冊單位的真正使用者者帳戶。

在這種情況之下，如果網域的授權 DNS 服務到期過後，攻擊者可以在DNS提供單位處建立帳戶並聲稱擁有​​該網域，最後假冒網域代表的品牌來進行散播惡意軟體的攻擊行動。

近年來，Sitting Ducks 攻擊已被許多不同的網路攻擊團體所採用，遭到盜取的網域用來支援多個流量分配系統 (TDSes) ，像是404 TDS（又稱作 Vacant Viper）和VexTrio Viper。同時它也被用來​​散播炸彈威脅騙局 (bomb threat hoaxes)和性勒索詐騙 (sextortion scams)。

Infoblox 威脅情報副總裁 Renee Burton 博士說：「企業組織應該定期檢查他們擁有的網域，確認是否仍有弱點或是漏洞，並且他們應該要選擇能夠有效防衛Sitting Ducks攻擊的DNS供應商」。

防衛重點

網域擁有者應定期檢查其DNS組態 (configurations) 是否屬於lame delegations (委派失效)，特別是在比較舊的網域上，並使用適當的 DNS 服務商來更新註冊單位或授權的名稱伺服器上的授權記錄。

建議註冊單位對委派失效的案例和告警通知人員進行主動檢查。另外他們還需確保在授予名稱伺服器授權之前，DNS服務已確立。

最後，註冊監管機構和標準管理機構必須制定長期策略來根本解決 DNS 漏洞，並驅使其管轄範圍內的 DNS 供應商採取更多有效行動來緩解坐鴨攻擊。

竣盟科技 提醒網域名稱及企業網路用戶，採取多種最佳防護措施及解決方案可以有效幫助降低遭受網路攻擊的風險：

1. 定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
2. 對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
3. 驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
4. 啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
5. 自學網路釣魚策略：了解常見的網路釣魚策略以及如何識別它們可以顯著降低陷入此類計劃的可能性。

駭客正在利用 CrowdStrike 事件進行網路釣魚、詐騙和惡意軟體傳播。

網路安全公司 CrowdStrike 因推出有缺陷的更新，造成使用該公司服務的Windows設備發生全球性大癱瘓。該公司現在警告，網路攻擊者藉機以提供修補程式為偽裝，向拉丁美洲CrowdStrike用戶散播 Remcos RAT惡意軟體。

攻擊手法是先散播名為「crowdstrike-hotfix.zip 」的 ZIP檔，其中包含名為Hijack Loader （又稱 DOILoader 或 IDAT Loader）的惡意軟體載入程式，該載入程式進而啟動 Remcos RAT。

具體來說，文件檔中還包括一個文字檔（“instruucciones.txt”），此文字檔附帶西班牙語說明，促使想要修復問題的受害者開啟執行檔（“setup.exe”）。

CrowdStrike表示，值得注意的是，ZIP 檔案中的西班牙語檔名和附帶說明，都顯示出該攻擊行動很可能是針對他們公司的拉丁美洲 (LATAM) 客戶。歸咎其原因，一個電子犯罪組織涉嫌重大。

上週五，CrowdStrike 證實，UTC (世界協調時間) 7 月19 日04:09 推送到EDR系統CrowdStrike Falcon 平台上 (使用Windows 設備) 的例行感應器組態更新無意中觸發了邏輯上的錯誤，因此導致藍屏當機(BSoD)，進而使得許多系統無法運行並讓企業陷入混亂。

CrowdStrike 表示，他們積極地協助客戶，補救因為最近的內容更新而導致全球數百萬台 Windows 主機癱瘓的情況。CrowdStrike建議受影響的客戶確保通過官方管道與 CrowdStrike 客戶服務代表聯繫，並遵循 CrowdStrike 支援團隊提供的技術指引。

英國國家網路安全中心（NCSC）警告，他們觀察到利用此次主機癱瘓事件的網路釣魚活動有大幅增加的情況。

惡意軟體沙箱服務業者AnyRun 也注意到「企圖假冒 CrowdStrike 以從中得利的情形有所增加，這些可能會引發網路釣魚型態的攻擊活動」。此外，威脅情報平台FalconFeeds的報告指出，巴勒斯坦駭客組織正利用 CrowdStrike 事件，試圖藉機引誘以色列企業用戶在他們的系統上安裝擦除器惡意軟體 (wiper malware )。

更糟糕的是 CrowdStrike 更新事故導致多個產業出現營運中斷，包括航空、金融、醫療和教育產業。美國有線電視新聞網 (CNN)週日報導，連續第三天有超過 1,500 架航班被取消，更有數千架航班因此延誤。

對於 CrowdStrike 的更新出錯，微軟一直有參與進行補救措施。據微軟表示，這次事件導致全球共計 850 萬台 Windows 裝置癱瘓(佔比不到所有 Windows 機器的百分之一)。

微軟也發布聲明：“這一事件說明了我們無遠弗屆的數位網路系統—包括全球雲端提供商、軟體平台、資訊安全廠商和其他軟體服務商以及客戶之間的相互關聯性。 ” “同時也提醒我們，對於整個數位技術系統中的所有人來說，利用現有機制優先進行安全性部署和建立自災難事故復原的標準流程，是最重要的課題。”

CrowdStrike/ RemCos惡意軟體相關的部分的入侵指標（IOCs）:

1e84736efce206dc973acbc16540d3e5

371c165e3e3c1a000051b78d7b0e7e79

da03ebd2a8448f53d1bd9e16fc903168

2a2ecbbd4840c486b3507a18307369336ec5a1aa

889b4f487d8bba6af6ff6eb7f5afd74957586c49

fef212ec979f2fe2f48641160aadeb86b83f7b35

48a3398bbbf24ecd64c27cb2a31e69a6b60e9a69f33fe191bcf5fddbabd9e184

5ae3838d77c2102766538f783d0a4b4205e7d2cdba4e0ad2ab332dc8ab32fea9

931308cfe733376e19d6cd2401e27f8b2945cec0b9c696aebe7029ea76d45bf6

c44506fe6e1ede5a104008755abf5b6ace51f1a84ad656a2dccc7f2c39c0eca2

d6d5ff8e9dc6d2b195a6715280c2f1ba471048a7ce68d256040672b801fda0ea

Scattered Spider是最危險的金融駭客組織之一，具有先進的社交工程攻擊能力

根據微軟威脅情報團隊警告，Scattered Spider (又被稱為Octo Tempest) 駭客集團已添加最新攻擊手法，包括RansomHub和Qilin等勒索軟體皆是他們目前使用的攻擊武器。

Scattered Spider集團於2022年首次出現，其特點是使用先進的社交工程技術以及進行個資(ID)入侵，攻擊目標鎖定 VMware ESXi 伺服器並且部署 BlackCat 勒索軟體。它也是去年對Caesars Palace (凱撒皇宮) 和MGM Entertainment (米高梅娛樂公司) 進行大規模勒索軟體攻擊的幕後黑手。

去年11月，FBI 和 CISA (美國網際安全暨基礎設施安全局) 發布了一份公告，重點介紹了 Scattered Spider 的策略、技術和程序 (TTPs)。其中包括冒充資訊廠商員工，來誘使客戶服務人員向他們提供憑證或使用遠端存取工具以入侵目標網路。已知他們用於網路存取的其他策略還包括網路釣魚、MFA bombing (多因子驗證轟炸式攻擊) 和 SIM swapping (SIM卡交換攻擊)。

在2022 年Qilin 勒索軟體曾經以不同的名稱「Agenda」出現過，但很快就更名了。據微軟所稱，該組織已針對130 多家公司進行了攻擊並宣稱是幕後主使，索要的贖金從25,000 美元到數百萬美元不等，並且正在開發一種特製規格的Linux 加密器，針對目標就是VMware ESXi 伺服器。同時， RansomHub是一種勒索軟體服務 (RaaS) 產品，越來越受到網路攻擊者的青睞，這使其成為當今最廣泛運用的勒索軟體之一。

與許多其他針對企業的勒索軟體組織一樣，他們運用Qilin勒索軟體以滲透到公司的網路並在其網路系統中橫向移動，竊取重要資料。在獲得管理員憑證並收集所有敏感資料後，他們部署勒索軟體來將所有網路設備進行加密，並利用竊取的資料進行雙重勒索。

上個月，英國國家網路安全中心 (NCSC) 執行長將6月初醫療機構Synnovis遭到網路襲擊歸因為Qilin勒索軟體攻擊 ，該攻擊事件影響了倫敦的幾家主要 NHS(國民保健署) 醫院，迫使它們取消了數百件手術和預約門診。

微軟威脅情報團隊所進行的資安事件調查之中，Scattered Spider集團占了很大的比例，那是因為微軟團隊處理的異常事件回應，很多是由Scattered Spider所主導的攻擊。該集團首次的「oktapus」攻擊事件因為針對 130 多個知名企業而引發廣泛關注，而藉由了解這些案例進一步有所防備是必要的。

RansomHub相關的部分的入侵指標（IOCs）:

02e9f0fbb7f3acea4fcf155dc7813e15c1c8d1c77c3ae31252720a9fa7454292

104b22a45e4166a5473c9db924394e1fe681ef374970ed112edd089c4c8b83f2

2f3d82f7f8bd9ff2f145f9927be1ab16f8d7d61400083930e36b6b9ac5bbe2ad

34e479181419efd0c00266bef0210f267beaa92116e18f33854ca420f65e2087

36e5be9ed3ec960b40b5a9b07ba8e15d4d24ca6cd51607df21ac08cda55a5a8e

595cd80f8c84bc443eff619add01b86b8839097621cdd148f30e7e2214f2c8cb

7114288232e469ff368418005049cf9653fe5c1cdcfcd63d668c558b0a3470f2

7539bd88d9bb42d280673b573fc0f5783f32db559c564b95ae33d720d9034f5a

8f59b4f0f53031c555ef7b2738d3a94ed73568504e6c07aa1f3fa3f1fd786de7

a96a0ba7998a6956c8073b6eff9306398cc03fb9866e4cabf0810a69bb2a43b2

e654ef69635ab6a2c569b3f8059b06aee4bce937afb275ad4ec77c0e4a712f23

ea9f0bd64a3ef44fe80ce1a25c387b562a6b87c4d202f24953c3d9204386cf00

f1a6e08a5fd013f96facc4bb0d8dfb6940683f5bdfc161bd3a1de8189dea26d3

fb9f9734d7966d6bc15cce5150abb63aadd4223924800f0b90dc07a311fb0a7e

利用該漏洞Akira勒索軟體，從初始登入到資料洩露的整個操作，僅花了 133 分鐘。

備份軟體Veeam Backup & Replication中的漏洞CVE-2023-27532（CVSS風險評為7.5分），此漏洞的根源發生在Veeam.Backup.Service.exe元件。網路攻擊者可以利用這個漏洞來取得組態資料庫(configuration database)中儲存的加密憑證，從中取得備份基礎設施主機(backup infrastructure hosts)的存取權限。

該漏洞已於2023年3月獲得修補，不久後該漏洞的PoC漏洞利用程式碼(PoC exploit code)也被公開發布。

有關專家觀察到，俄羅斯網路犯罪組織FIN7自2023年4月以來一直在利用該漏洞。

2023年8月，發現古巴勒索軟體集團利用該漏洞進行攻擊後不久，美國網際安全暨基礎設施安全局CISA將 CVE-2023-27532 增加到其已知遭濫用之漏洞清單中。

新加坡威脅情報公司Group-IB研究人員也發現了一個勒索軟體組織利用了 Veeam Backup & Replication中的漏洞。有關專家的報告指出，2024年4月，EstateRansomware勒索軟體集團使用PoC漏洞利用程式碼來攻擊漏洞CVE-2023-27532。

在網路安全公司BlackBerry 的報告中揭露，於2024年6月，網路攻擊團體利用Akira勒索軟體攻擊了一家拉丁美洲航空公司。對目標網路的初始存取是透過 Secure Shell (SSH) 協定進行的，攻擊者在第二天部署Akira勒索軟體之前竊取了關鍵資料。一旦資料外洩成功，攻擊者就會部署勒索軟體來加密受感染的系統。Akira是一種勒索軟體，利用CVE-2023-27532的漏洞來攻擊鎖定的目標、創建未授權帳戶並竊取受害者數據。一旦進入網絡，攻擊者就會創建一個名為“backup”的account，並將其增加到管理員群組中以確保提升的權限。攻擊者部署了合法的網路管理工具Advanced IP Scanner來掃描透過route print識別的本地子網路。整個操作，從初始入侵到資料洩露，僅花了 133 分鐘。

據了解，操作Akira的駭客團體可能利用企業尚未修補的Veeam Backup & Replication漏洞，進而執行初始存取、部署各種後脅迫(post-exploitation)工具、執行Active Directory偵察並癱瘓安全防護產品。

Veeam備份資料的所有權是透過Veeam備份資料夾取得的，而網路攻擊者則從其他系統壓縮和上傳資料。此備份中包含文件、圖像和電子表格等常見的文件類型，勒索軟體集團企圖藉由收集並利用機密和有價值的數據來獲取自己的經濟利益。

Veeam 漏洞事件的部分的入侵指標（IOCs）:

2c56e9beea9f0801e0110a7dc5549b4fa0661362                 

5e460a517f0579b831b09ec99ef158ac0dd3d4fa                 

107ec3a7ed7ad908774ad18e3e03d4b999d4690c

DodgeBox 是一個載入程式，它會載入名為 MoonWalk 的新後門

   知名資安外媒The Hacker News報導，中國駭客組織APT41使用已知惡意軟體StealthVector 的「高級升級版」來投放先前未紀錄過的後門名為MoonWalk。   

2024年4月Zscaler ThreatLabz 發現了 StealthVector的新變種，被Zscaler 認定為改進版本的DodgeBox。DodgeBox與StealthVector一樣，是一個用C語言編寫的Shell代碼載入器，可以配置各種功能——包括「解密和加載嵌入的DLL、進行環境檢查和綁定以及執行清理程式。」

然而與StealthVector相比，DodgeBox在其實施上有顯著改進。DodgeBox的一些功能包括加密——它使用AES密碼反饋（AES-CFB）模式加密其配置。它還進行一系列環境檢查，以確保它達到了正確的目標並擁有正確的權限，以確保最大限度地訪問受害者的系統。

安全研究人員表示，DodgeBox 是一個載入程式，它會載入一個名為MoonWalk的新後門。同時也結合了呼叫堆疊誘騙、DLL側載和DLL空洞等的各種技術。MoonWalk擁有DodgeBox的許多規避技術，並利用Google Drive 進行命令和控制通訊。目前尚不清楚惡意軟體傳播的確切方法。

研究人員表示， APT41採用DLL側載作為執行DodgeBox的一種方式。利用由Sandboxie簽署的合法可執行檔(taskhost.exe)來側載惡意DLL(sbiedll.dll)。”流氓DLL (即DodgeBox) 是一個用C語言編寫的DLL載入器，充當解密和啟動第二階段有效負載(MoonWalk 後門)的管道。

將DodgeBox 歸屬於APT41源自於DodgeBox與StealthVector的相似之處 ; 使用DLL側面加載，這是China-nexus組織廣泛使用的技術，用於傳播PlugX等惡意軟體 ; 事實上，DodgeBox樣本已從泰國和台灣提交給VirusTotal。

APT41自2007年來一直活躍至今，APT41也被稱為Barium、Wicked Panda、Wicked Spider和Earth Baku——與中國國家安全部有密切聯繫。除了數位間諜活動外，該組織還偶爾進行以金錢為目的的犯罪行為。Google的Mandiant安全單位認為這是該組織資助其間諜活動的方式。多年來，美國政府已指控APT41成員入侵全球超過100名受害多家公司的電腦網路。

2021年5月至2022年2月期間該威脅組織與對美國州政府網路的入侵有關，此外還使用名為Google Command and Control（GC2）的開源紅隊工具針對台灣媒體組織發動攻擊。

APT41相關的部分的入侵指標（IOCs）:

0d068b6d0523f069d1ada59c12891c4a                        

294cc02db5a122e3a1bc4f07997956da                                            

393065ef9754e3f39b24b2d1051eab61                                   

4141c4b827ff67c180096ff5f2cc1474                   

72070b165d1f11bd4d009a81bf28a3e5                         

b3067f382d70705d4c8f6977a7d7bee4     

bc85062de0f70afd44bb072b0b71a8cc

bcac2cbda36019776d7861f12d9b59c4

d72f202c1d684c9a19f075290a60920f                

f062183da590aba5e911d2392bc29181               

     美國雲端通訊巨頭Twilio週三向證實遭駭，根據TechCrunch的報導，名為ShinyHunters的駭客在知名駭客論壇上的貼文表示，他們入侵了Twilio，能夠識別與Authy (Twilio旗下流行的雙重認證應用程式) 帳戶相關的數據，並取得3,300萬名Authy用戶的電話號碼。Twilio強調Authy帳戶並未受到入侵，然而駭客可能嘗試使用與Authy帳戶關聯的電話號碼進行網路釣魚和簡訊攻擊。                              

     2022年，Twilio遭受了更大規模的資料洩漏，當時一群駭客存取了100多家公司的客戶資料。隨後，駭客發起了大規模的網路釣魚活動，導致至少130家公司的約10,000份員工憑證被盜。Twilio表示，作為當時入侵的一部分，駭客成功瞄準了93名Authy用戶，並能夠在這些受害者的Authy帳戶上註冊其他設備，使他們能夠有效竊取真正的雙因素代碼。

     網路安全專家Rachel Tobac向TechCrunch表示 : 「如果攻擊者可以列舉用戶的電話號碼列表，那麼這些攻擊者就可以對這些用戶冒充Authy / Twilio ，從而增加對該電話號碼進行網路釣魚攻擊的可信度。」

     Twilio發言人Kari Ramirez 告訴TechCrunch，該公司「已偵測到，由於端點未經身份認證，駭客能夠識別與Authy帳戶相關的數據，包括電話號碼。我們已採取措施保護此端點，不再允許未經身份驗證的請求。」

   7 月 1 日，Twilio也在其官方網站上發布了警告，其中包括一封電子郵件中相同的聲明:「我們沒有看到任何證據表明駭客獲得了Twilio系統或其他敏感資料的存取權限。作為預防措施，我們要求所有Authy用戶(在您運行的任何裝置上)更新到最新的Android和iOS應用程式以獲得最新的安全更新，我們鼓勵所有Authy用戶保持警惕，並對接收到的簡訊提高警覺。」

竣盟科技提醒Authy用戶，多種最佳實踐可以幫助降低因資料外洩而遭受網路釣魚攻擊的風險：

1. 定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
2. 對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
3. 驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
4. 啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
5. 自學網路釣魚策略：了解常見的網路釣魚策略以及如何識別它們可以顯著降低陷入此類計劃的可能性。

根據國外資安媒體TheHackerNews的報道，名為Velvet Ant的中國APT駭客組織利用Cisco交換機中NX-OS軟體的零時差漏洞，編號為CVS-2024-20399 (CVSS評分: 6.0) 的命令注入漏洞，允許經過驗證的攻擊者以root身份，在受影響設備的底層作業系統上執行任意命令，傳播惡意軟體。

     Velvet Ant於上個月首次被以色列網路安全公司紀錄在案，該事件涉及針對東亞一個未命名組織的網路攻擊，持續約三年，透過使用過時的F5 BIG-IP設備建立持久性，秘密竊取客戶和資料。

     網路安全公司Sygnia表示「透過利用此漏洞，Velvet Ant 成功執行了一種以前未知的自訂惡意軟體，該惡意軟體允許威脅組織遠端連接到受感染的Cisco Nexus、上傳其他文件並在設備上執行代碼。網路設備，特別是交換機，通常不受監控，它們的日誌也經常不會轉發到集中式日誌系統。」”缺乏監控給識別和調查惡意活動帶來了重大挑戰。”

     Cisco表示，該問題源於對傳遞給特定配置CLI命令的參數驗證不足，攻擊者可以透過精心設計的輸入作為受影響的配置CLI命令的參數來利用這些參數。更重要的是，它使具有管理員權限的使用者能夠在不觸發系統日誌訊息的情況下執行命令，從而可以隱藏被駭設備上shell命令的執行情況。

     以下為受到CVE-2024-20399影響的Cisco交換機設備 :

• MDS 9000 系列多層交換機
• Nexus 3000 系列交換機
• Nexus 5000 平台交換機
• Nexus 5600 平台交換機
• Nexus 6000 系列交換機
• Nexus 7000 系列交換機
• 獨立NX-OS模式的Nexus 9000系列交換機

竣盟科技的LogMaster巨量日誌搜尋管理系統，透過設定關鍵字可主動查覺異常日誌紀錄，定期的智能監控日誌內容與收容狀況，主動分析告警讓資安管理人員找出異常行為，從而降低企業資安風險及減輕監控負擔。