美國司法部已指控六名俄羅斯情報特工涉嫌與平昌冬奧會，2017年法國大選，烏克蘭停電以及臭名昭著的NotPetya勒索軟體攻擊有關的駭客行動。

美國司法部起訴書指出，以上六人全是俄羅斯情報局GRU的74455部隊情報特工，屬於精英駭客組織 “Sandworm”。美國國家安全助理總檢察長John Demers說：“沒有哪個國家像俄羅斯那樣惡意或不負責任地武器化其網路能力，肆意造成空前的破壞，以謀求小規模的戰術優勢並滿足各種惡意。美國官員說，這六人在俄羅斯政府的命令下進行了“破壞性”網路攻擊，目的是破壞其他國家的穩定，干涉其國內政治並造成破壞和金錢損失。

他們過去的十年攻擊，其中包括迄今為止已知的一些最大的網路攻擊：

1. 烏克蘭政府與關鍵基礎設施：從2015年12月到2016年12月，使用稱為BlackEnergy，Industroyer和KillDisk的惡意軟體對烏克蘭的電網，財政部和國庫署進行破壞性惡意軟體攻擊。

2. 法國大選：2017年4月和2017年5月，Sandworm針對法國總統馬克龍（Macron）的“共和國街”（LaRépubliqueEn Marche！）進行魚叉式網路釣魚廣告活動和相關的破解和洩漏工作。

3. NotPetya勒索軟體爆發：2017年6月27日，Sandworm發布了NotPetya勒索軟體。勒索軟體最初是針對烏克蘭公司的，後來迅速傳播並影響了世界各地的公司，給受害者造成了超過10億美元的損失。

4. 平昌冬奧會的主辦方，參與者，合作夥伴和與會人員：2017年12月至2018年. 2月，Sandworm發起了針對韓國公民和官員，奧林匹克運動員，合作夥伴和訪客以及國際奧委會（IOC）的魚叉式網路釣魚活動和惡意行動應用程式

5. 2017年12月至2018年2月入侵支援2018年平昌冬奧會的電腦，該電腦最終於2018年2月9日對開幕式進行了破壞性惡意軟體攻擊，使用被稱為奧林匹克毀滅者的惡意軟體。

6. Novichok中毒調查：2018年4月，Sandworm小組組織了針對魚叉式網路釣魚的活動，以反對化學武器組織（OPCW）和英國國防科學技術實驗室（DSTL）的調查為目標，調查了Sergei Skripal，他的女兒和一些英國公民。

7. 喬治亞的公司和政府實體：Sandworm在2018年針對喬治亞洲的一家主要媒體公司發起了魚叉式網路釣魚廣告活動。在這些攻擊之後，於2019年破壞喬治亞洲議會網路，並於2019年進行大規模的網站污損活動。

Sandworm的相關情資, 就在竣盟科技代理的 AlienVault OTX 情資平台上:

https://otx.alienvault.com/pulse/5ecfda839894083b8aa8d781

https://otx.alienvault.com/pulse/5dd6b0afa9f6a0d3ff633539

https://otx.alienvault.com/pulse/5da728ff4ab2bb66796d41fa

Source:

https://www.justice.gov/opa/press-release/file/1328521/download

*****竣盟科技快報歡迎轉載，但請註明出處

本週二Egregor勒索軟體的背後駭客在其暗網發布了包含未加密的檔案，證明他們在攻擊中，已竊取了從Ubisoft和Crytek兩間公司的數據，根據外媒BleepingComputer 的確認，證實Crytek是Egregor勒索軟體攻擊的受害者，雖然不確定德國Crytek有多少設備已遭加密，但確認檔案已被加密並重命名為包括“ .CRYTEK” 副檔名。例如，名為test.jpg的檔案已被加密並重命名為test.jpg.CRYTEK。

除加密設備外，Egregor的背後駭客還從Crytek竊取了未加密的檔案，並在其暗網數據洩漏站點上洩漏了380MB的檔案。

這些洩漏的數據包括與WarFace，Crytek取消《命運的競技場》 的MOBA遊戲以及其網路操作有關的檔案

Egregor勒索軟體還聲稱已破壞了Ubisoft(育碧)的網路並竊取了未加密的數據，包括即將推出的Watch Dogs：Legion遊戲的原始碼。

對於Ubisoft(育碧)洩密事件，Egregor的駭客發布了一個20MB的檔案，表明他們擁有該公司的一款Watch Dog遊戲的原始碼。在其暗網上，該組織吹捧他們擁有定於本月晚些時候發布的Watch Dog：Legion遊戲的原始碼。然而無法確認這些檔案是否來自新遊戲，而不是現有版本。

竣盟科技建議針對勒索軟體的應對措施:

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

*****竣盟科技快報歡迎轉載，但請註明出處

Seyfarth statement on malware attackhttps://t.co/4uJ0qwAsy2

— Seyfarth (@seyfarthshawLLP) October 12, 2020

Seyfarth Shaw是一家國際性的AmLaw 100律師事務所，在美國，歐洲和亞太地區的17個辦事處擁有900多名律師，去年的總收入超過7億美元，總部位於芝加哥，其客戶包括300多家《Fortune》500強公司。根據Seyfarth Shaw律師事務所發布的聲明，攻擊發生在2020年10月10日，Seyfarth成為了一次精密而具攻擊性的惡意軟體攻擊的受害者。“目前我們的電子郵件系統處於關閉狀態。” Seyfarth表示：“我們了解許多其他實體也受到相同的攻擊。我們的監控系統檢測到了未經授權的活動，我們的IT團隊迅速採取了行動以防止其擴散並保護我們的系統＂

Seyfarth Shaw確認其許多系統均被加密，目前尚不清楚這種攻擊的危害程度，但是Seyfarth Shaw說，他們沒有找到證據表明攻擊者訪問或竊取了客戶或公司數據。“但是，我們的許多系統都被加密，為了預防起見，我們已將系統關閉。＂該公司已通知執法部門，並配合FBI進行的調查。

由於律師事務所必須遵循將客戶數據保密保存的基本業務原則，因此，數據洩露或勒索軟體攻擊造成的任何數據洩漏都可能對他們的業務造成重大後果。截至發稿時，該律師事務所尚未透露有關攻擊的詳細資料，尚不清楚影響Seyfarth Shaw的勒索軟體和安全事件的嚴重程度。

另外，Cyber​​Edge 2020年網路威脅防禦報告Cyberthreat Defense Report指出， 2020年到迄今為止，北美超過69％的公司和拉丁美洲61％的公司受到勒索軟體攻擊，位居第一和第二，其次是非洲和中東佔59％的攻擊，歐洲排名第四，佔57％，亞洲排名第五，攻擊率為55％。

竣盟科技建議針對勒索軟體的應對措施:

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

*****竣盟科技快報歡迎轉載，但請註明出處

上週六，Clop勒索軟體背後的駭客團隊攻擊了德國企業軟體巨頭Software AG的網路，在竊取員工個資和公司檔案後，要求約2300萬美元的贖金，攻擊者在暗網上發布了公司數據的螢幕截圖，顯示了來自公司內部網路的員工護照和ID掃描，員工電子郵件，財務文件和目錄等。

該公司週一發布的新聞稿說10月5日：“自2020年10月3日晚上以來，Software AG的IT基礎結構受到惡意軟體攻擊的影響。”

Software AG還表示，勒索軟體攻擊僅影響其內部網路，而客戶雲端服務不受影響。

“為客戶提供的服務（包括基於雲端的服務）不會受到影響，Software AG已根據公司的內部安全法規以受控方式關閉了內部系統，”該軟體巨頭補充道。

“公司正在恢復其系統和數據，以恢復有序的運營。” Software AG補充說，但其內部通信和技術支援服務仍受此攻擊影響。

在星期四發布的新聞稿中(10月8日)，Software AG說，它“獲得了第一筆證據證實數據是從Software AG的伺服器和員工筆記型電腦下載的。”

根據對MalwareHunterTeam的分析，Clop的背後駭客竊取了Software AG約1 TB數據。以下圖片為從Clop勒索軟體駭客組織發送到Software AG的勒索信。

自2019年以來，該駭客組織以企業為目標。其主要目標是美國，歐洲（尤其是德國），印度，俄羅斯，墨西哥和土耳其的公司。以下是Clop勒索軟體受害者的列表：

INRIX

Polyvlies

IndiaBulls

Hoedlmayr

ExecuPharm

NETZSCH Group

Maastricht University

PlanatolPlanatol ProMinent

GmbH

Recreativos Franco

MVTec Software GmbH

NFT Distribution Holdings Ltd

Prettl Produktions Holding GmbH

IHI Charging Systems International

Technische Werke Ludwigshafen AG（TWL）

Clop勒索軟體的Tor支付站上顯示Software AG贖金為23,000,000美元（或2083,0069比特幣）Software AG的贖金要求是有史以來勒索軟體攻擊中最龐大的贖金。

Software AG是全球領先的軟體公司之一，在70個國家/地區擁有10,000多家企業客戶，包括DHL，Vodafone，Airbus，Fujistu和Telefonica等等。該公司的產品包括業務基礎架構軟體，如企業服務總線（ESB）框架，數據庫系統，業務流程管理系統（BPMS）和軟體體系結構（SOA）等。

Clop勒索軟體的相關情資, 就在竣盟科技代理的 AlienVault OTX 情資平台上:

https://otx.alienvault.com/pulse/5d442cfb09ea006776a81c42

*****竣盟科技快報歡迎轉載，但請註明出處

攻擊發生在上週，該機構已經採取了“強大的安全措施”來保護IT系統

聯合國國際海事組織（IMO）是國際航運安全，安保和環境性能的全球標準制定機構，聯合國海事組織制定的監管框架，在全球內採用，以確保運輸的安全和保障以及防止船舶造成海洋和大氣污染。

據該機構稱，第一次網路攻擊導致IMO網站和其他Web服務在9月30日斷網，IMO最初將問題歸因於技術問題，但在10月1日，IMO透露問題的真正原因是網路攻擊。

IMO在新聞稿稱，電子郵件系統，其虛擬會議平台以及其他內部和外部協作平台均未受影響，受影響的系統如IMO網站，在10月2日（星期五）恢復。

該機構說：“ IMO總部的檔案伺服器位於英國，在日內瓦擁有大量的備份系統，備份和還原系統都有定期測試。”

新聞稿中說：“在攻擊之後，秘書處關閉了關鍵系統，以防止受到攻擊的進一步破壞。秘書處並與國際資安專家合作，以盡快恢復系統，確定攻擊源，並進一步增強安全系統，以防止再受到攻擊。” 但IMO沒有分享有關攻擊的技術細節，目前也尚不清楚IMO是否受到勒索軟體攻擊。

另外在9月底，法國海上運輸和物流巨頭CMA CGM SA透露，它是Ragnar Locker惡意軟體攻擊的受害者，該惡意軟體攻擊影響了其網路上的某些伺服器。

*****竣盟科技快報歡迎轉載，但請註明出處

Emotet是一種常見的銀行木馬，最近廣泛被用作竊取憑證，被視為勒索軟體攻擊的先兆並在近年來已發展成為一個殭屍網路，TA542駭客組織使用該殭屍網路在受感染的設備上傳送第二階段惡意軟體的payloads。

Emotet木馬將在受感染的電腦下載並安裝其他惡意軟體，如TrickBot和QakBot。 眾所周知，這些木馬會引起Ryuk，Conti和ProLock的勒索軟體駭客組織所攻擊及利用。

根據在週二發布的警報: CISA和MS-ISAC(多州資料共享與分析中心)收集到的資料，Emotet自2020年7月以來復活，

另美國國土安全部（DHS）解釋說，在此期間，“ CISA觀察到Emotet在針對性的攻擊活動中分階段性執行。

自8月以來，CISA和MS-ISAC 發現“利用Emotet網路釣魚電子郵件，針對州和地方政府的惡意網路參與者的數量已大大增加”。CISA補充說：“這種增加使Emotet成為最普遍的持續威脅之一。”

Emotet的廣泛使用是結合了許多技巧的結果，其中包括：

*能夠傳播到附近的Wi-Fi網路

*多型(polymorphic)，意味著它不斷地改變其可識別的特徵，使其很難被檢測為惡意。

*無檔案感染（例如Powershell腳本）使感染後的檢測變得困難

*蠕蟲般的功能，它們竊取管理密碼並使用它們在整個網路中傳播

*電子郵件線程劫持Email thread hijacking”是指它從一台被感染的電腦上竊取電子郵件鏈，並使用欺騙性的身份來回應，欺騙線程中的其他人打開惡意文件或點擊惡意連結。

在2020年7月開始，CISA注意到Emotet的活動有所增加，其EINSTEIN入侵檢測系統可保護聯邦，民用行政部門網路已檢測到約16,000個相關警報。

為了保護網路和設備免受Emotet攻擊，CISA和MS-ISAC建議管理員和用戶在打開可疑附件時，要謹慎並使用防病毒軟體和阻止可疑IP。

Source: https://us-cert.cisa.gov/ncas/alerts/aa20-280a

*****竣盟科技快報歡迎轉載，但請註明出處

勒索軟體已開始使用另一種手段來勒索受害者：DDoS攻擊受害者的網站，直到受害企業回應，並進行協商為止。

根據研究人員發現，在最近勒索軟體攻擊的談判陷入僵局後，SunCrypt勒索軟體的背後駭客DDoS了受害者的網站。

當受害者重新登錄勒索軟體的Tor付款網站時，他們收到一條消息，表示SunCrypt發動了DDoS攻擊，如果不進行談判，攻擊將繼續下去。

SunCrypt勒索軟體的駭客警告受害者：“由於我們技術人員的努力，目前您的網站已被關閉。請盡快向我們發送訊息，否則我們將採取進一步行動。”

當受害者詢問為什麼要DDoS攻擊並使其網站關閉時，SunCrypt則表示是要迫受害者進行談判。

駭客說：“我們在談判的整個過程中，您沒有露面，所以採取了進一步的行動。”

在受害者再次開始談判之後，SunCrypt同意讓技術人員暫停DDoS攻擊

研究人員相信這種策略對小型企業的受害者特別有效，最終導致受害人支付贖金。通過結合竊取數據，威脅洩露數據，無法訪問已加密的檔案以及現在添加的DDoS攻擊，小型企業的營運會受到極大的影響而停運。

研究人員表示，這是SunCrypt勒索軟體的駭客更新其策略以增加對受害者的施壓的示範，目的是在使受害企業除了支付贖金外別無選擇。

竣盟科技建議針對勒索軟體的應對措施:

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

*****竣盟科技快報歡迎轉載，但請註明出處

Emotet是一種惡意軟體病毒，它通過包含惡意Word或Excel文檔的垃圾郵件傳播， 在打開並啟用macros後，可在受害者的電腦上安裝Emotet木馬。感染後，Emotet將竊取受害者的電子郵件，並在攻擊者的控制下將其發送回伺服器。這些電子郵件將被用作將來的垃圾郵件活動的一部分，以使惡意垃圾郵件看起來更真實。

Emotet木馬將在受感染的電腦下載並安裝其他惡意軟體，如TrickBot和QakBot。 眾所周知，這些木馬會引起Ryuk，Conti和ProLock的勒索軟體駭客組織所攻擊及利用。

現在有一項最新的資安服務，名為“ Have I Been EMOTET”，可讓您輸入電子郵件地址並檢查是否：

*已收到Emotet電子郵件

*電子郵件被盜並用於Emotet垃圾郵件 

*或者有電腦可能感染了Emotet

網站名稱: Have I Been EMOTET

網址連結: https://www.haveibeenemotet.com/

Have I Been EMOTET由意大利TG Soft資安公司開發，TG Soft公司自2020年8月至9月23日之間已經監測並分析了70萬以上的Emotet外發電子郵件，並收集了超過210萬個電子郵件地址。竣盟科技使用了Have I been EMOTET 的網站來檢測並發現不少台灣企業已成為emotet的受害者。

如果您的網域名或email沒有與emotet有關聯或受感染, 結果的顯示會是綠色的，反之結果則顯示紅色，紅字的說明及解釋如下:

REAL SENDER：表示使用此電子郵件帳戶的電腦已被盜用，並已用於發送垃圾郵件。

FAKE SENDER：表示您的郵件被盜並用於垃圾郵件活動。

RECIPIENT ：表示您是Emotet垃圾郵件的收件人。

另提供示範檢測的結果供對比, 如下圖: 

#竣盟科技關心您

#情資才是王道

有關Emotet的相關情資, 盡在竣盟科技代理的AlienVault OTX情資平台上:

https://otx.alienvault.com/pulse/5f484a8b7258dd001feb992f

https://otx.alienvault.com/pulse/5f4d42ac67920e64f5ed30c5

*****竣盟科技快報歡迎轉載，但請註明出處