標籤: Ransomware

美國晶片製造商 Microchip Technology 遭遇網路攻擊，嚴重影響其生產能力

美國晶片製造商 Microchip Technology (微晶片科技) 日前遭遇到網路攻擊，導致旗下多家製造工廠的營運中斷。 2024 年 8 月 17 日，他們發現到針對公司 IT 基礎設施而進行的潛在可疑活動。

Microchip Technology Incorporated 是一家美國上市公司，產品包括微型控制器、混合訊號、類比和 Flash-IP 積體電路等。其公司總部位於亞利桑那州錢德勒，在多個產業領域共計有約 123,000 個客戶，其中包括工業、汽車業、消費性產業、航太和國防工業、通訊和電算機市場。

其晶圓廠位於亞利桑那州坦佩(Tempe)、俄勒岡州格雷舍姆(Gresham)和科羅拉多州科羅拉多泉(Colorado Springs)。該公司的組裝/測試工廠位於泰國北柳、菲律賓卡蘭巴和卡布堯。 2024財務年度銷售額為76億美元。

這次攻擊嚴重影響了Microchip的產能，他們關閉或隔離了部分系統以防範事件擴大。 Microchip Technology 尋求外部資安專家的協助，針對場域的安全漏洞展開了事件調查。公司方面證實，這次攻擊事件影響頗鉅，甚至可能影響到公司訂單的履行。

當Microchip Technology（微晶片科技公司）偵測到在其IT系統的潛在可疑活動後，於第一時間公司立即採取評估措施，想方設法遏止潛在的未授權活動，以期能及時補救。

2024 年 8 月 19 日，公司確認遭到未經授權的威脅者侵入，影響到公司某些伺服器的正常使用和部分的業務運作。公司立即採取了額外措施來應對這次事件，其中包括隔離受影響的系統、關閉某些系統，以及藉由外部資安顧問的協助來展開調查。

該公司向美國證券交易委員會 (SEC) 提交的FORM 8-K 報告中提到：「肇因於該事件，公司 (Microchip Technology) 某些生產設施的運作狀況低於正常水平，公司目前履行訂單的能力受到影響。」

目前Microchip Technology正在外部資安專家的協助下評估這次網路攻擊的程度和影響。同時公司也在努力修復受影響的IT系統，並嘗試盡快讓日常的業務運作回歸正軌。

該公司於聲明中補充到：「事件的調查仍在進行中，有關此次事件的涵蓋範圍、攻擊類型和影響層面等目前尚不明朗。」「截至此聲明發佈之日，公司尚未確定這次事件是否可能對公司的財務狀況或營運業務造成重大影響。」

雖然該公司尚未揭露這起事件的屬性及類型等細節資訊，但美國證券交易委員會的文件間接表明這次事件是歸因於勒索軟體攻擊。然而，目前尚未有勒索軟體組織聲稱對這起攻擊事件負責。

竣盟科技建議，半導體產業製造商及其他企業客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受勒索軟體攻擊的風險：

1. 定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
2. 對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
3. 驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
4. 啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
5. 熟悉勒索軟體攻擊手段：了解常見的勒索軟體攻擊手法以及如何辨識它們並做出因應，可以顯著降低受到侵害的風險。

McLaren Health Care攻擊事件影響到旗下 13 家醫院及門診手術中心

這個週二，位於密西根州的邁凱倫醫療 (McLaren Health Care) 遭受了一次嚴重的網路攻擊，這次攻擊事件已確認與 INC Ransom勒索軟體有關。根據報導，這場攻擊對McLaren醫療系統旗下的多家醫院構成了運營上的衝擊，使其醫療服務受到重大影響。

此次攻擊事件始於8月6日，McLaren Health Care發現其IT系統和電子病歷系統出現異常，隨後就發現遭受了勒索軟體攻擊。這款名為INC Ransom的勒索軟體以將重要檔案資料加密的方式來威脅受害者，要求支付贖金以換取解密密碼。由於大量醫療資料被加密，使得醫療人員無法正常存取病患資訊和進行日常的醫療運作。

報導指出，攻擊發生後，McLaren醫院不得不暫時改用人工方式處理病歷，這不僅大幅增加了工作負擔，也提高了醫療失誤的風險。急診室的運作也受到影響，部分病人需面臨更長時間的等待，這對病人的健康可能是潛在的威脅。

INC Ransom勒索軟體是一種新型的攻擊手法，通常經由釣魚郵件或網路漏洞進行攻擊。一旦成功入侵系統，該勒索軟體會加密大量檔案資料並索求高額贖金。受害者必須先支付贖金，之後才能換取解密工具來恢復資料，只不過即使已經支付了贖金，並不能確保攻擊者不會再次的入侵。

McLaren Health Care已經開始進行系統恢復和資料解密的工作，並且與聯邦調查局（FBI）及其他資安專家合作，試圖找出攻擊的具體來源和擴散範圍。雖然醫院方面並未透露是否已經支付贖金，但他們表示正在全力以赴處理這次事件。

INC Ransom最早大約出現於 2023 年 7 月，此後一直針對公共單位和民間組織企業。受害名單包括教育、醫療保健、政府和工業團體，例如Yamaha Motor Philippines (山葉機車菲律賓分公司)、Xerox Business Solutions(全錄商業方案公司)美國分公司和蘇格蘭國家醫療服務 (National Health Service)。

資訊專業媒體 BleepingComputer 對新的 Lynx 勒索軟體加密器和最新的 INC 加密器之間的字串進行了分析比對，除了有一小部分的改變之外，可以確定的是它們大部分都相同。

2023 年 11 月，McLaren 向近 220 萬人通報資料遭到外洩，源頭的網路攻擊則發生在 2023 年 7 月下旬至 8 月之間，其中包括他們的個資和病歷等醫療資訊遭到外洩。被侵入的資料包括姓名、社會安全號碼、健保和病歷資訊，其他還有醫療保險/醫療補助、處方/藥物、診斷結果和診療資訊等。

ALPHV/BlackCat 勒索軟體組織宣稱他們參與了2023 年 7 月的攻擊事件，以及後續於 10 月 4 日發生的資料外洩。

資安專家建議，醫療機構應該定期進行系統安全評估和資安演練，以檢測和改進現有的防禦措施。此外，定期備份關鍵數據也是防範此類攻擊的重要措施之一，這可以在系統遭受攻擊後，快速恢復業務營運，減少資料被駭的風險。

McLaren Health Care的這次事件不僅對醫療機構本身，也對整個產業提出了資安防護的新挑戰。隨著網路攻擊技術的持續演進，醫療機構必須不斷更新和加強其資安防護措施，才能有效應對各種網路安全威脅。

竣盟科技建議，醫療機構及其他企業網路用戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受勒索軟體攻擊的風險：

1. 定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
2. 對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
3. 驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
4. 啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
5. 熟悉勒索軟體攻擊手段：了解常見的勒索軟體攻擊手法以及如何辨識它們並做出因應，可以顯著降低受到侵害的風險。

多倫多公共圖書館(Toronto Public Library-TPL)仍處於從Black Basta勒索軟體攻擊中恢復的過程中，Black Basta攻擊限制了其服務，令TPL的運作方式大規模的改變。圖書館人員以手工核對材料，任何退回的書本或物品都無法重新登入系統中，，大約有 100 萬件物品裝滿了 10 輛拖拉機拖車。圖書館內的公共電腦已關閉，無法提出跨分館圖書轉移請求。

多倫多市圖書館館長Vickery Bowles週三發表了一份新聞稿，解釋了自 10 月底攻擊事件曝光以來圖書館所面臨的災難性局。Bowles表示，該圖書館擁有 100 個分館，擁有 5,000 多名員工，其服務將於 1 月底開始逐步恢復。

儘管他們花了數週時間試圖恢復服務，但圖書館的線上帳戶仍然無法使用，公共電腦和印表機也無法使用。這對於依賴城市圖書館作為主要網路存取來源的人來說是毀滅性的——特別是低收入城市居民和學童。

Bowles表示，雖然許多圖書館服務仍在繼續運營，但隨著調查的繼續，圖書館仍然是犯罪現場。我們知道我們員工的個人資訊被盜，我們將在網路安全專家的支持下繼續調查資料外洩的程度。我們知道，我們是多倫多許多最弱勢群體獲得電腦的唯一管道。他們無法滿足日常需求，這尤其具有挑戰性和令人擔憂。我們還收到了依靠我們的電腦完成學業的學生、依靠我們印表機列印簡歷的求職者以及使用圖書館電腦與家人和朋友保持聯繫的人們的來信。

Bowles補充說，家庭、研究人員和其他人告訴圖書館，他們的有限存取使生活「變得更加艱難和更加昂貴」。Bowles表示，儘管遇到了困難，圖書館仍能允許顧客借閱 50 萬個實體資料，仍有近 1 萬人能夠註冊借書卡。

Bowles解釋說，漫長的恢復過程需要幾個月的時間，因為圖書館需要以一種能夠防止未來攻擊的方式恢復所有內容。

「前面的路很長，但我們期待著全面回歸，」Bowles說。“儘管這些犯罪分子傷害了我們，但他們當然沒有阻止我們履行我們的使命，即提供免費和公平的圖書館服務，以滿足多倫多人民不斷變化的需求。”

Black Basta是一個在2022年4月才出現的勒索軟體組織，已被用來攻擊全球超過 329 個組織，並已成為 2022-2023 年受害者數量第四大活躍的勒索軟體，Black Basta 沒有採用激進的前端策略，而是精心針對美國、日本、加拿大、英國、澳洲和紐西蘭的組織。研究人員認為Black Basta 可能是 Conti 的一個分支。在該組織於 2022 年 5 月解散之前，Conti的線上聊天內容被洩露，暗示其與俄羅斯政府有聯繫，並支持入侵烏克蘭。根據Elliptic 和 Corvus Insurance 的聯合研究發現，自 2022 年以來，Black Basta 勒索軟體組織已收到至少 1.07 億美元的比特幣贖金。Black Basta慣用雙重勒索策略，先竊取被害者敏感檔案和資訊，並威脅要公開資料來勒索被害者支付贖金。研究發現 Black Basta 針對VMWare ESXi伺服器製作的新型勒索軟體，同時也有感染 Windows 系統的版本。此外，許多攻擊都利用 Qakbot（也稱為 QBot）來幫助其在組織中橫向傳播、執行偵察、竊取資料和執行有效負載。

2023 年，多個城市圖書館系統面臨攻擊，其中包括涉及大英圖書館（世界上最大的圖書館之一、英國國家圖書館）的重大事件。

勒索軟體Black Basta的部分入侵指標(Indicator of compromise -IOCs):

e8f5fa12faea9430645853fbb24ce46a5a62cb906168dd17b62d865ddfe201e3

e2eb9029fd993a9ab386beb7ca4fa21a1871dc0c7568eb802cac1ea3c53cad8b

d4dd79c97b091dd31791456c56d727eb0b30af9c0172dd221556d28495b8a50f

cd5b4bd824bad0be78e4cdf6d7fe8a950bd63f294713b8cb49de887d8a8410bc

4f7d97bf4803bf1b15c5bec85af3dc8b7619fe5cfe019f760c9a25b1650f4b7c

102.184.151.194

102.40.236.32                

104.194.10.130                      

104.243.38.65                

105.111.60.60