竣盟科技 - Billows 技術/情資訊息分享

美國商務部將七個中國超級電腦實體列入美國出口管制的黑名單

Posted on 2021 年 4 月 9 日 by blogadmin

美國以違反美國國家安全或外交政策利益的活動為由，將七家中國超級電腦公司和機構列入美國出口管制的實體清單（黑名單）。

根據商務部新聞稿，七個實體包括：

天津飛騰信息技術有限公司

上海集成電路技術與產業促進中心

信維微電子

國家超級計算濟南中心

國家超級計算深圳中心

國家超級計算無錫中心

國家超級計算鄭州中心

商務部在周四的一份新聞聲明中表示，這些實體參與的活動與美國的國家安全或外交政策利益背道而馳而被列入出口管制的實體清單，禁止美國企業在未先獲得美國政府許可的情況下與其開展業務往來。這些實體被指參與了中國軍方使用的超級電腦的製造、參與軍事現代化、或研發大規模殺傷性武器計劃(weapons of mass destruction programs)。

The Washington Post報導指出，在中國西南部的隱密軍事設施，中國正使用天津飛騰信息技術公司設計的超級電腦，模擬極音速導彈穿越大氣層的高熱與阻力，中國可能使用這種導彈對付美國船艦或台灣。據指中國飛騰的超級電腦是利用美國軟體設計出的晶片驅動，並在台灣的台積電以美國的機密機械製造完成。飛騰自稱是民間企業，立志成為像Intel一樣的全球晶片巨頭，該企業隱瞞了與解放軍研究部門的關聯。

另外，2021年3月，喬治城大學（Georgetown University）的學者發表了一份報告，揭示了幾所已知與中國政府資助的駭客組織合作的中國大學目前正在對網路安全，人工智能和機器學習的交集進行廣泛的研究。

商務部對七個實體出口管制的補充:

https://public-inspection.federalregister.gov/2021-07400.pdf

REvil又來了，印度最大鋼鐵生產商塔塔鋼鐵，遭REvil勒索軟體入侵，藍圖被公開

Posted on 2021 年 4 月 7 日 by blogadmin

Key Points:

*塔塔鋼鐵(Tata Steel) 沒有與駭客談判，也沒有支付贖金

*由於沒有談判，駭客已公開了塔塔鋼鐵生產線機器的Autocad技術圖紙

*據稱加密發生在2021年3月25日，所以已經有十多天了

根據LeMagIT，最初的贖金需求為400萬美元，後來又增加了一倍，變成相當於800萬美元的門羅幣，在贖金的網頁上已經沒有其他可加倍的金額，據相信下一階段駭客將發布樣本的檔案，並將其餘竊取到的檔案出售給其他駭客或感興趣的買家。

REvil勒索軟體最近特別活躍，繼先前3月20日宏碁集團中REvil勒索軟體遭勒索5000萬美元後，在4月5日，日月光代子公司環旭電子公告，其控股子公司Asteelflash Group有部分伺服器也感染REvil勒索軟體。

在過去的幾年中，REvil（又名Sodinokibi）一直是最泛濫的勒索軟體即服務（RaaS）之一，藉由招募合作夥伴，以提供勒索軟體為手法，於獲得贖金後再拆帳的模式經營。REvil曾利用Pulse Secure VPN漏洞，入侵倫敦外匯交易公司Travelex的網路而聞名。

在3月29日The DFIR Report的資安研究員觀察到REvil入侵始於惡意垃圾郵件，該惡意垃圾郵件將含有IcedID（Bokbot）丟到受害環境中，以允許隨後存取分發REvil勒索軟體。在入侵過程中，威脅參與者將權限提升為Domain Administrator，竊取數據，並使用REvil加密所有的系統。根據該研究報告:

*REvil的攻擊勒索時間Time to Ransom(TR): 4小時

*入侵初期Initial Access使用: IcedID

*Discover使用: nltest, net, wmic, AdFind, BloodHound, etc.

*權限提升使用: UAC-TokenMagic & Invoke-SluiBypass

*逃避偵測使用: Safe Mode & new GPO

*滲透使用: Rclone

*C2使用: CobaltStrike

攻擊時程如下:

更多有關報告的資訊，請參見: https://thedfirreport.com/2021/03/29/sodinokibi-aka-revil-ransomware/

有關REvil的情資，請參考如下:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

日月光旗下環旭電子的法國子公司Asteelflash也中了 REvil 勒索軟體

Posted on 2021 年 4 月 6 日2021 年 4 月 6 日 by blogadmin

Key Points:

*日月光旗下子公司環旭電子持股100%的控股公司 Asteelflash Group 於 4月2日公佈在IT團隊的例行檢查中發現部分伺服器感染REvil勒索軟體。

*根據TechNadu 的報導切入點疑是Microsoft RPC遠端程式呼叫服務

*根據BleepingComputer的報導，勒索金高達2400萬美元

*此次之前，Acer也被REvil勒索軟體攻擊並被勒索5000萬美元的贖金

REvil對Asteelflash集團的勒索贖金約2400萬美元 (Photo credit:BleepingComputer)

根據BleepingComputer的報導，REvil最初索要1200萬美元的贖金，但隨著時間過去，贖金加倍，達到2400萬美元。BleepingComputer取得了REvil與Asteelflash在Tor付款頁面上的談判對話，REvil為了證明攻擊成功，分亨了一份名為asteelflash_data_part1.7z的檔案。至此兩方之間的對話陷入僵局，沒有更多有關對贖金部分的資訊。

另外，根據TechNews，環旭電子對此一資安事件也發布聲明，指出 Asteelflash發現伺服器被感染後，及時啟動應急回應措施，避免進一步傳播擴散。雖有部分生產據點的產能受到影響，但經過 IT 人員和外部安全顧問的努力，目前 Asteelflash集團的訊息系統已恢復正常，而受影響的生產據點已全部恢復正常運營。

Revil 也稱為Sodinokibi，於2019年4月問世，成為當今世界上危害最大的和最多產和的勒索軟體之一，根據日本資安研究員辻伸弘的統計，由2019年12月直至2021年3月REvil共加密了193受害公司。

另外，值得關注的是,REvil勒索軟體已演變能通過網路將目標電腦重啟動到安全模式 (Safe mode) 來運作以逃避/disable EDR,附上Malware Hunter team研究人員發現 REvil 的最新sample如下 :

Argument: -smode

有關REvil的情資，請參考如下:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

Google揭露北韓駭客再次瞄準攻擊安全研究人員

Posted on 2021 年 4 月 1 日2021 年 4 月 1 日 by blogadmin

Google的威脅分析團隊（Threat Analysis Group，TAG）表示，北韓國家級駭客再次使用假Twitter和LinkedIn社交媒體帳戶將安全研究人員作為攻擊目標，他們會使用瀏覽器的漏洞在研究人員的電腦植入惡意軟體。

TAG團隊於3月17觀察到駭客還為一家名為SecuriElite（位於土耳其）的假公司建立了一個網站，並據稱提供了攻擊性安全服務如滲透測試，軟體安全評估和漏洞利用等。

由於北韓國家級駭客使用了他們在第一次攻擊中也使用的公共PGP密鑰，因此Google能夠將先前的攻擊活動與SecuriElite公司聯繫起來，就像在2021年1月期間檢測到的攻擊一樣，SecuriElite網站還託管了攻擊者的PGP公鑰，作為誘餌，在打開頁面後觸發瀏覽器漏洞後，以使安全研究人員感染惡意軟體。

Google表示，即使在發現之時SecuriElite網站的內容並不是惡意，但它仍將其URL（securielite [.] com）添加到安全瀏覽API中，以防止用戶輕易訪問該網站，甚至是意外訪問。

此外， TAG團隊還表示，他們向Twitter和LinkedIn舉報了攻擊者的社交媒體帳戶，Twitter和LinkedIn也已暫停了他們的帳戶。

儘管我們可能永遠不確定這些攻擊背後的原因和動機，但是有兩種理論解釋了為什麼北韓政府支持的駭客會在這種活動中投入如此多的精力。

第一個理論是，北韓駭客可能試圖在安全研究人員管理的系統上立足，以便在漏洞被公開和修補之前獲得零時差的研究機會。

第二種理論是，攻擊者可能希望在安全公司的網路上站穩腳跟，從那裡他們可以收集有關受害者的客戶及其網路中的弱點的數據。

Facebook爆中國國家級駭客利用其平台監控海外維吾爾族人，Facebook封殺Evil Eye設的約百個帳號!!!

Posted on 2021 年 3 月 26 日2021 年 3 月 26 日 by blogadmin

Facebook表示，中國駭客利用偽造賬戶和建立仿冒網站來鎖定維吾爾族人的手機，以便進行監控

Key Points:

*中國國家級駭客Evil Eye(邪惡之眼)利用臉書，鎖定中國境外，包含美國、澳洲、土耳其、敘利亞、加拿大、土耳其、哈薩克等國家的維吾爾族等少數民族之維權人士、記者或異議人士，透過發送指向惡意軟體的連結，用惡意軟體感染設備並實現監控。

* Facebook指Android惡意軟體由兩間中國公司，北京畢思特聯合科技有限公司（Beijing Best United Technology）和大連9Rush科技有限公司(9Rush) 所開發，偽裝成維吾爾語鍵盤和祈禱應用程式，實則上存有ActionSpy或PluginPhantom等木馬惡意程式，有些惡意網站則直接嵌入了iOS間諜程式Insomnia。

*利用社交工程：Evil Eye使用Facebook上的假帳戶創建虛構的角色，冒充人權倡導者，記者，維吾爾族成員或學生，以建立與目標人群的信任，並誘使他們點擊惡意連結。

Facebook在3月24日宣布，已對利用假賬戶監視維吾爾族穆斯林的中國駭客組織Evil Eye採取了行動，阻止了Evil Eye濫用其平台和架構，發佈惡意程式和入侵其他用戶。

Facebook 表示Evil Eye的手法十分高明，他們會檢查目標對象的iOS，是否使用指定的語言、國家、系統版本、瀏覽器、IP位址等，駭客只會對符合相關條件的用戶下手，避免了大規模攻擊而太早被發現。駭客亦會製作一些假網站，偽裝像真的維吾爾族或土耳其的新聞網站，當目標不小心瀏覽時，就會在其iOS裝置上安裝一些監控程式。而且中國駭客們為了監控維吾爾族人士亦相當用心，會製作一些假帳戶，而這些假帳戶會慢慢向目標建立信任，最終被選中的目標因為以為這些假帳戶是真朋友，而不小心按入有關網站，令自己的手機或電腦被監控。Facebook亦發現有不少由了製作的Android apps，以維吾爾族的主題做包裝，例如維吾爾語鍵盤和祈禱應用程式，這些apps都藏有惡意程式。Facebook續指有兩間中國公司涉及在內，由他們開發相關惡意程式。

據路透社報導，Facebook表示與駭客組織相關的目標少於500個，帳戶約於100個。

回顧之前有關Evil Eye的報導:

https://www.facebook.com/BillowsTechTW/posts/526372064693028

加拿大無線設備商司亞樂(Sierra Wireless)遭勒索軟體入侵，造成其生產線停頓!另美國保險業巨頭CNA Financial公司亦遭網路攻擊，影響業務營運被迫關閉特定系統!

Posted on 2021 年 3 月 24 日 by blogadmin

Key Points:

*勒索軟體對司亞樂的內部IT網路進行了加密，阻止了員工存取與製造和計劃相關的內部檔案和系統

*大部分工廠需要對客戶訂單和產品規格的取得最新的存取，無法存取導致司亞樂關閉了其製造工廠的生產線

*目前司亞樂沒有傳出歸因是哪一支勒索軟體

*CNA的員工透露他們的網站已斷網，連電話也無法接通，造成業務已停頓至少48小時了

*根據保險業新聞媒體The Insurer, CNA金融公司的網站和某些系統出現故障懷疑是勒索軟體造成。

根據司亞樂提交給美國證券交易委員會(SEC) 的一份文件中，司亞樂在2021年3月20日（星期六）遭勒索軟體攻擊。“目前司亞樂認為攻擊的影響僅限於司亞樂系統，因為該公司在其內部IT系統與面向客戶的產品和服務之間保持了明確的隔離，” 司亞樂發言人說。由於勒索軟體攻擊，司亞樂停止了其生產基地的生產。該公司的網站和其他內部運營也受到了攻擊的干擾，但司亞樂沒有透露生產系統何時會重新上線。

目前尚不清楚攻擊者是否從司亞樂網路中竊取了敏感資料，但大多數勒索軟體攻擊傾向於這樣做，還不清楚公司是否向攻擊者支付了解密檔案並恢復網路的費用，或者司亞樂是否正在從備份中恢復。

另外，美國最大的保險提供商之一CNA金融公司，目前正遭受廣泛的網路中斷，原因是這家總部位於芝加哥的保險公司受到可疑的網路攻擊，由於系統無法使用造成其承保和理賠方面的業務已停頓。

CNA金融公司在其網站上的最新聲明中確認，網路攻擊正在造成包括公司電子郵件在內的網路中斷。為了安全起見，CNA還確認他們已斷開系統與網路的連接。

根據CNA金融公司聲明，目前已聘請第三方鑑識團隊來調查此事，並已通報執法部門和配合調查。

LockBit勒索軟體中存有錯誤，可被濫用允許無限次免費解密，無需與駭客談判了?!

Posted on 2021 年 3 月 19 日2021 年 3 月 19 日 by blogadmin

一個勒索軟體研究員發現並披露了LockBit勒索軟體中的一個錯誤(bug)，該錯誤可已被用於免費解密。該錯誤影響了 LockBit的勒索軟體即服務（RaaS）中的運作方式，LockBit的勒索軟體即服務於2020年1月啟動，通過該操作，LockBit的背後駭客出租了他們勒索軟體的使用權。

一般來說， LockBit的RaaS的客戶（也稱為會員）執行對受害公司網路的入侵，他們在受害公司網路中部署LockBit勒索軟體以加密檔案，並要求受害者提供贖金以換取解密工具。LockBit通過留在desktop上的勒索信，告訴受害人連接一個暗網的入口網站(即LockBit揭秘網站)，他們可以在其中協商和付贖金。該揭秘網站還允許受害者試用一次免費的解密操作(trial decryptor)，因此受害者可以確認駭客擁有有效的解密密鑰。

#Malware #Ransomware #LockBit

In LockBit ransomware, clients found a bug that allows using trial decryptor infinitely. Also, one client reminded about critical bugs due to not usable LockBit in big ransomware attacks. pic.twitter.com/D98Na8MZ7r
— 3xp0rt (@3xp0rtblog) March 16, 2021

關於LockBit勒索軟體被發現的錯誤，是經由一個地下網路犯罪論壇發佈的，LockBit的錯誤是在讓受害者試用一次免費解密機制中被發現的，它可用來作無限地免費解密。儘管此發現未包括其他證據，但該錯誤是由著名的俄羅斯駭客Bassterlord確認和公開的，該披露的可信性極高。 Bassterlod曾與多個勒索軟體組織合作，包括LockBit，REvil，Avaddon和RansomExx。

儘管受害者很難恢復其被加密所有的資料，但肯定會被大量受害者大量使用LockBit此錯誤。對於該勒索軟體的受害者而言，肯定有所得益。通過以公開方式發布有關該錯誤的資訊，Bassterlord的舉動還引發了安全專家之間討論關於通報勒索軟體漏洞的正確方法。

McAfee安全研究總監John Fokker表示，正確的方法是向安全供應商或No More Ransom報告與勒索軟體相關的錯誤，安全供應商和No More Ransom項目均已建立了完善的機制，可以利用這些資料並幫助勒索軟體受害者，而不會提醒勒索軟體開發者，還適用於希望破壞競爭對手的駭客們。

根據ID Ransomware平台提供的數據，LockBit勒索軟體仍在每週加密大約數十名受害者。

據相信由於LockBit的錯誤被公諸於世，該勒索軟體的背後駭客正忙於修補該錯誤，安全公司Malwarebytes的惡意情資分析師Marcelo Rivero說，LockBit的入口網站正在處於關閉狀態，這可表明駭客正在實施修補程式碼。

中國APT駭客組織針對電信公司進行有關5G的網路間諜活動，旨在竊取與5G技術相關的數據

Posted on 2021 年 3 月 17 日 by blogadmin

McAfee的報告中稱，這項名為”Operation Diànxùn電信行動”的活動是由於在多個國家/地區禁止在5G推廣中使用中國技術而引起的。據安全廠商稱，活動背後的威脅者正在使用中國APT野馬熊貓(Mustang Panda) 在攻擊中使用的策略和相關手法，研判該行動出自他們之手，該組織先前已被多家安全廠商確認為中國政府資助的駭客。

根據McAfee的研究，攻擊的目標位於美國，歐洲和東南亞，特別針對德國和越南的電信公司。資料顯示受害者會被誘騙到一個偽裝成是華為求職的釣魚網站，從網站上研究員發現了偽裝為Flash應用程式的惡意軟體，這些惡意軟體會連接到受駭客控制下的網域“ hxxp：/ /update.careerhuawei.net”，hxxp：//career.huawei.com” 這些惡意網址經過精心設計，看起來像極合法的華為求職網站。研究員在12月還觀察到此行動中使用新的網址：“hxxp：//update.huaweiyuncdn.com。”

儘管數十個政府最初對華為和中興等中國公司建立5G感興趣，但近幾個月來，美國和一些歐洲國家已敦促各國對中國政府在一定程度上的封殺，華為被廣泛認為是5G領域的中國領導者，但包括美國、澳洲、日本、英國、法國等在內的國家的政府都禁止使用華為的5G技術，因為擔心華為的5G技術可能包含可以進行廣泛間諜活動的後門，但McAfee也補充說，沒有任何跡象顯示華為與當前的威脅活動有任何關連。

據安全廠商稱，目前尚不清楚攻擊者最初是如何誘騙受害者到釣魚網站的，但受害者一旦連接就會到一個與華為的求職網站非常相似的網頁。攻擊者使用虛假網站下載了偽裝成Flash應用程式的惡意軟體，還精心設計了從中下載的Flash應用程式的網站，使其外觀類似於Flash在中國的官方網頁，該惡意軟體還可以在受感染系統上下載Cobalt Strike滲透工具。

報告稱由於攻擊者利用虛假的華為網站，提供了更多有關行動的線索，相信該行動旨在竊取敏感數據與監視5G技術相關的電信公司，McAfee研究員Thomas Roccia又稱，觀察到大多數組織都是對中國推出的5G技術表示擔心的，這表明電信行動(Operation Diànxùn)與全球部署下一代通信技術(next-gen communications)息息相關。

Source:

https://www.mcafee.com/enterprise/en-us/assets/reports/rp-operation-dianxun.pdf

中國大學是培養駭客的溫床?! 人工智慧和機器學習恐成APT攻擊的利器⚔️⚔️⚔️

Posted on 2021 年 3 月 12 日 by blogadmin

硏究發現至少六間中國大學與APT駭客組織有關聯，利用大學課程研究開發人工智慧(Artificial Intelligence, AI)和機器學習(Machine learning, ML)技術，上海交通大學，哈爾濱工業大學，海南大學等紛紛上榜。

喬治城大學（Georgetown University）的安全和新興技術中心(CSET)在一篇名為“Academics, AI, and APTs,”的研究報告中警告說，一些中國大學中進行的研究很可能很快會被納入中國政府資助駭客組織(APTs)所使用的技術中。這些大學過去與中國駭客團體有聯繫，並經常從教職員或學生中招募駭客。

Academics, AI, and APTs的作者Dakota Cary表示：這些合作關係本身就是軍民融合(military-civil fusion)的案例，允許國家資助的駭客迅速將研究從實驗室轉移到實戰現場。

報告中研究的六所大學包括海南大學，東南大學(江蘇省)，上海交通大學，西安電子科技大學，浙江大學和哈爾濱工業大學。

海南大學

與APT 40有關聯：海南大學僱用的教授與APT 40主導了一埸的網路戰役，有資安界深喉嚨之稱的Intrusion Truth揭露並描述APT 40効力於海南省國安局 (Hainan Bureau of the MSS)。

目前的AI / ML研究：使用關於機器學習中的整體學習(Ensemble Learning)來建立用於分散式阻斷服務攻擊(DDoS)的預警系統的研究。

東南大學

與Deep Panda有關聯：2014年東南大學一位教授和一家與中國國安局簽約的知名的資安公司舉辦了駭客競賽，為駭客攻擊在美國提供了的真實目標。

該競賽中使用的惡意軟體也是Deep Panda在2015年用於Anthem遭駭客入侵導致大量用戶個資外洩事件中。該大學還多次獲得了中國政府有資訊項目的多次資助。東南大學還經常通過招攬與資安有關的職位或硏究職位，在其網站上標榜其成就。

目前的AI / ML研究：在大學進行的AI / ML研究主要集中在防禦技術上。這位曾於2014年舉辦駭客大賽的教授目前正在積極研究如何使用機器學習進行異常檢測-一種尋找網路行為異常模式的技術。他還是三個用於資訊安全研究計劃的秘密資助對象。根據大學網站其他教授也在中使用AI系統進行各自的網路安全研究。

上海交通大學

與APT1有關聯：新聞報導將大學員工與APT1（又稱中國人民解放軍61398部隊）進行的駭客攻擊聯繫起來。大學教職員還與APT1成員一起發表了研究論文。上海交通大學資訊安全工學院也位於一個軍事基地，APT1駭客還使用交通大學電子郵件地址註冊了網駭基礎設施。

目前的AI / ML研究：上海交通大學在進攻網路安全方面進行大量研究，大多數AI / ML研究都是為了在網路安全中使用防禦性AI/ML技術，例如識別惡意URL，檢查Web流量以識別殭屍網路，歸因於某類型的DDOS攻擊以及一連串的專用入侵檢測系統。同時也進行針對ML / AI的進攻性使用的研究，例如使用ML檢測軟體漏洞，檢測Tor流量以及提高密碼猜測攻擊的準確性。此外，上海交通大學教授撰寫的與AI有關的文章也出現在中國國安部期刊中。

西安電子科技大學

與APT3有關聯：中國國安部第十三局的一個部門和APT3的管理組織廣東省信息安全測評中心於2017年開始與西安電子科技大學合作，提供由網路和資訊安全學院聯合管理的研究生課程。據稱，在該計劃中，西安電子科技大學的學生與中國國安部員工配對，接受了操作培訓。

目前的AI / ML研究：西安電子科技大學的兩位教授聲稱為中國資安服務的所屬單位，進行AI和網路安全方面的研究。在最近的研究中，他們專注於使用AI / ML進行資料探勘，漏洞發現和利用以及軟體漏洞的自動修補。這項工作的結論是AI / ML最適合識別軟體漏洞，其中一位教授甚至向中國國家漏洞數據庫提交了20個漏洞。

浙江大學

與中國國安部（APT1）有關聯：該大學從未直接與特定的駭客活動聯繫在一起，但是從這所大學招募了許多中國軍事駭客，這所大學“是一所享有很高聲譽的國際知名網路安全研究學校”。根據CSET研究團隊的說法，大學生不僅會接受AI / ML課程，而且還會接受關於情報的課程。

目前的AI / ML研究：該大學似乎專注於研究如何攻擊和防御其他AI / ML系統和演算法，例如數據中毒攻擊或後門訓練的方法。

哈爾濱工業大學

與APT1有關聯：在美國Mandiant網路安全公司關於APT1的報告，將哈爾濱工業大學作為2013年中國網路運營商的招聘中心，雖然大學沒有直接參與任何攻擊，但是哈爾濱工業大學被授權從事最高機密的政府項目，其網路安全中心吹捧著從事9個政府資助的研究項目。存檔的網頁還證實，以前的哈爾濱工業大學員工曾為中國軍隊的電子情報部門工作，該部門的成員後來被指控對美國的Equifax發動網攻。

當前的AI / ML研究：哈爾濱工業大學的AI / ML研究專注於醫學領域的AI使用（51篇論文中佔了49篇）。另外兩篇論文關於ML和網路安全包含檢測和分類軟體的bugs以及使用AI進行軟體行為分析。

CSET團隊認為，通過分析當前的研究領域，外國分析師和決策者可以推斷中國政府的駭客團隊將來如何大量的依賴AI和 ML技術。

Source: https://cset.georgetown.edu/research/academics-ai-and-apts/

研究人員揭露與中國國家級駭客有關的新型Linux惡意後門“ RedXOR ”，發現台灣和印尼已有惡意軟體樣本上傳至VirusTotal。

Posted on 2021 年 3 月 11 日 by blogadmin

資安公司Intezer的研究人員發現了一種針對Linux端點和伺服器的新型複雜後門程式。後門被Intezer稱為“ RedXOR ”，RedXOR會偽裝成polkit daemon，發現與中國APT駭客Winnti Group使用的PWNLNX，XOR.DDOS和Groundhog等惡意軟體有相似。

RedXOR的源由：由於RedXOR使用基於XOR的技術對網路數據進行編碼，並且在舊版的Red Hat Enterprise Linux上使用舊版GCC編譯器進行的編碼，這表明該惡意軟體是針對舊版Linux的針對性攻擊而部署的系統，在系統中建立後門後，使攻擊者可以完全控制受感染的電腦。在部署成功後，RedXOR允許攻擊者瀏覽檔案，上傳和下載檔案，竊取數據，部署Web Shell或將網路流量連線傳輸到另一個目的地。

RedXOR除了在整體流程和功能和PWNLNX之間使用XOR編碼重疊之外，後門還採用了未剝離的64位ELF檔案（“ po1kitd-update-k”）的形式，並帶有錯別字名稱（“ po1kitd”與“ polkitd”），在執行之前，會先建立一個隱藏目錄來存儲與惡意軟體有關的檔案，甚至將其自身安裝到機器上。Polkit是用於定義和處理授權的工具包，允許非特權進程與特權進程進行通信。

此外，該惡意軟體帶有加密的配置，其中包含通過TCP Socket連線，C& C，IP address 和端口以及向C2伺服器進行身份驗證所需的密碼。通信不僅被偽裝成無害的HTTP流量，而且還使用XOR加密技術對兩種通信進行了編碼。

RedXOR支援多種功能，包括收集系統資料（MAC address，用戶名，distribution，clock speed，kernel版本等），執行檔案操作，以系統特權執行命令，運行任意的Shell命令，甚至是遠端更新惡意軟體。

受RedXOR攻擊的用戶可通過終止進程並刪除與該惡意軟體有關的所有檔案來採取保護措施。

針對Linux系統的攻擊活動越來越多，部分原因是IoT設備，Web伺服器和雲端伺服器廣泛採用Linux操作系統，導致攻擊者將其現有Windows工具移到Linux或新開發支援兩個平台的工具。Intezer和IBM X-Force的聯合研究發現了56個Linux惡意軟體家族，比2019年增長了40％，自2010年以來增長了500％。

Intezer表示，在2月23日至24日在VirusTotal發現由台灣和印尼上傳的兩個惡意軟體樣本，台灣和印尼經常受到中國APT駭客的攻擊。研究人員認為，與中國政府有聯繫的駭客組織正在使用RedXOR。它與Winnti Group也稱APT 41以前使用的惡意軟體和殭屍網路具有關鍵性相似之處。

Source: https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/