標籤: News

BlackCat對Ultra Intelligence & Communications的攻擊 造成瑞士空軍大量敏感資訊外洩

Posted on by blogadmin

一家為全球國防公司提供通訊技術的美國安全公司Ultra Intelligence & Communications(簡稱ULTRA)成為勒索軟體攻擊的受害者，ULTRA是一家全球領先的科技公司，總部位於英國。該公司提供先進的情報、通訊和安全技術解決方案，服務的客戶包括美國國防部、聯邦調查局(FBI)、緝毒局、北約、美國電話電報公司、瑞士聯邦國防部和國防承包商RUAG 等，這一廣泛的客戶群突顯了此次外洩事件對全球潛在的影響。

據稱在攻擊事件發生後，瑞士聯邦國防部證實瑞士空軍受到了攻擊的影響並確認有資料外洩，瑞士當局隨即對此事件展開了調查。

根據瑞士廣播電視台 (SRF) 報道，駭客竊取了美國著名國防公司ULTRA的數萬份文件，大約 30 GB 的部分敏感和機密瑞士空軍文件已上傳到暗網，可供公眾存取。

Photo Credit: https://securityaffairs.com/

DDPS 對暗網外洩的回應

在這一重大事件發生後，瑞士聯邦國防部民防及體育部(Federal Department of Defense, Civil Protection and Sport-DDPS) 一直在積極應對這一情況。發言人告訴 Keystone-SDA 通訊社，瑞士武裝部隊和國防部立即收到了有關網路攻擊的通知。DDPS 認為，瑞士武裝部隊的作業系統並未受到此次惡意軟體攻擊的影響。

暗網上外洩的價值數百萬美元的合約

外洩的資料中包括 DDPS 和 Ultra 之間價值近 500 萬美元的重要合約等文件。該合約對於瑞士空軍的加密通訊技術至關重要。

此外，在暗網上還發現了與這些交易相關的電子郵件通訊和付款收據。

對暗網資料外洩的持續調查

雖然 DDPS 發言人提供的細節有限，但他們承認瑞士武裝部與Ultra 公司之間存在業務關係。迄今為止，外洩的數據主要類型是商業數據，但對事件全面範圍的調查仍在進行中。

BlackCat聲稱對資料被盜負責

BlackCat勒索軟體聲稱對這次攻擊負責，據報導該攻擊發生在 2023 年 12 月底。BlackCat於2021年11月中旬首次被Malwarehunterteam研究人員揭露，是第一個基於RUST語言編寫的專業勒索軟體系列，並因其高度客製化和個人化的攻擊而迅速氾濫。BlackCat攻擊過知名企業包括高梅國際酒店集團（MGM Resorts International）、Bandai Namco(萬代南夢宮)、台灣上市不銹鋼和Henry Schein漢瑞祥等等。網路安全專家認為BlackCat起源於俄羅斯，是被稱為 BlackMatter 的勒索軟體組織的改名(Rebrand)，而BlackMatter又是 DarkSide 的改名，該組織因2021年攻擊美國美運油供應商Colonial Pipeline而臭名昭著。2023 年 12 月FBI查封BlackCat的線上基礎設施，瓦解多個BlackCat經營的網站，然而這次針對ULTRA的入侵並盜取其商業客戶的機密資料攻擊證實BlackCat勒索軟體已成功另起爐灶。

瑞士聯邦數據網路攻擊的最新歷史

此事件標誌著過去六個月內針對瑞士聯邦數據的第三次重大網路攻擊。先前的事件涉及針對瑞士公司 Xplain 和 Concevis 的勒索軟體攻擊，這兩家公司都與 DDPS 和其他聯邦組織有聯繫。

總而言之，最近對 Ultra 的網路攻擊導致瑞士空軍資料在暗網上未經授權發布，這清楚地提醒人們國家安全基礎設施面臨持續的網路威脅。正在進行的調查強調了加強網路安全措施以保護敏感國防資訊的重要性。

美國資安公司 Mandiant的X(Twitter)帳號遭到駭客入侵6小時

Posted on by blogadmin

週三，Google旗下的美國資安公司Mandiant 的 X（前身為 Twitter）帳號被身份不明的攻擊者入侵了六個多小時，以傳播加密貨幣騙局。駭客劫持了Mandiant的 X 帳號，並利用該帳號傳播了一個連結，試圖從點擊該帳號的人那裡竊取加密貨幣。該騙局虛假承諾向 25 萬名用戶免費提供 $PHNTM 代幣，甚至轉發真實 Phantom 帳號的貼文以顯得可信。

Mandiant在一份聲明中寫道：“我們意識到該事件影響了Mandiant的 X 帳號，並正在努力解決該問題。”“我們已經重新獲得了對該帳號的控制權，目前正在努力恢復它。”該聲明沒有回答有關該公司是否已確定該帳號是如何被盜用的問題。

目前尚不清楚該帳號是如何被盜用的，猜測是透過社群工程進行網路釣魚，或是利用社群媒體平台中的漏洞。

但據一直在監視事件的MalwareHunterTeam 的研究人員指出，被駭的 Mandiant帳號最初被重新命名為“@phantomsolw”，以冒充 Phantom 加密錢包服務。具體來說，該帳號的詐騙貼文宣傳了空投詐騙，敦促用戶點擊虛假連結並賺取免費代幣，隨後被駭的帳號後來被用來攻擊Mandiant，要求其更改密碼。但在許多情況下，社群媒體帳號劫持涉及濫用第三方服務，而不是直接攻擊帳號。Mandiant採取行動恢復帳號，但駭客在復原過程中一度重新獲得了控制權，MalwareHunterTeam指出考慮到一些 X 用戶在遭受駭客攻擊後花了幾天甚至更長的時間才重新完全控制其帳號，Mandiant 並沒有花很長時間來恢復該帳號。

Mandiant 並不是第一個帳號被劫持的知名組織或個人。2020 年亞馬遜創辦人 Jeff Bezos、微軟聯合創辦人Bill 、美國前總統歐巴馬和特斯拉執行長馬斯克（在他購買該網站之前）的帳號被接管以宣傳比特幣騙局。另外，加拿大參議員阿米娜·格巴 (Amina Gerba) 的 X 帳號也發生過類似的入侵事件，該帳號也被用來宣傳詐欺計劃。

這些攻擊的性質突顯了網路犯罪分子利用政府和商業機構的社群媒體平台進行加密貨幣詐騙的手段日益複雜。

截至撰寫本文時，Mandiant帳號已在社交媒體平台上恢復。

Black Basta攻擊已過兩個月 多倫多公共圖書館至今仍是犯罪現場 對外服務將於明年一月逐步恢復?!

Posted on by blogadmin
Photo Credit: TripWire

多倫多公共圖書館(Toronto Public Library-TPL)仍處於從Black Basta勒索軟體攻擊中恢復的過程中，Black Basta攻擊限制了其服務，令TPL的運作方式大規模的改變。圖書館人員以手工核對材料，任何退回的書本或物品都無法重新登入系統中，，大約有 100 萬件物品裝滿了 10 輛拖拉機拖車。圖書館內的公共電腦已關閉，無法提出跨分館圖書轉移請求。

多倫多市圖書館館長Vickery Bowles週三發表了一份新聞稿，解釋了自 10 月底攻擊事件曝光以來圖書館所面臨的災難性局。Bowles表示，該圖書館擁有 100 個分館，擁有 5,000 多名員工，其服務將於 1 月底開始逐步恢復。

儘管他們花了數週時間試圖恢復服務，但圖書館的線上帳戶仍然無法使用，公共電腦和印表機也無法使用。這對於依賴城市圖書館作為主要網路存取來源的人來說是毀滅性的——特別是低收入城市居民和學童。

Bowles表示，雖然許多圖書館服務仍在繼續運營，但隨著調查的繼續，圖書館仍然是犯罪現場。我們知道我們員工的個人資訊被盜，我們將在網路安全專家的支持下繼續調查資料外洩的程度。我們知道，我們是多倫多許多最弱勢群體獲得電腦的唯一管道。他們無法滿足日常需求，這尤其具有挑戰性和令人擔憂。我們還收到了依靠我們的電腦完成學業的學生、依靠我們印表機列印簡歷的求職者以及使用圖書館電腦與家人和朋友保持聯繫的人們的來信。

Bowles補充說，家庭、研究人員和其他人告訴圖書館，他們的有限存取使生活「變得更加艱難和更加昂貴」。Bowles表示，儘管遇到了困難，圖書館仍能允許顧客借閱 50 萬個實體資料，仍有近 1 萬人能夠註冊借書卡。

Bowles解釋說，漫長的恢復過程需要幾個月的時間，因為圖書館需要以一種能夠防止未來攻擊的方式恢復所有內容。

「前面的路很長，但我們期待著全面回歸，」Bowles說。“儘管這些犯罪分子傷害了我們，但他們當然沒有阻止我們履行我們的使命，即提供免費和公平的圖書館服務，以滿足多倫多人民不斷變化的需求。”

Black Basta是一個在2022年4月才出現的勒索軟體組織，已被用來攻擊全球超過 329 個組織，並已成為 2022-2023 年受害者數量第四大活躍的勒索軟體，Black Basta 沒有採用激進的前端策略，而是精心針對美國、日本、加拿大、英國、澳洲和紐西蘭的組織。研究人員認為Black Basta 可能是 Conti 的一個分支。在該組織於 2022 年 5 月解散之前，Conti的線上聊天內容被洩露，暗示其與俄羅斯政府有聯繫，並支持入侵烏克蘭。根據Elliptic 和 Corvus Insurance 的聯合研究發現，自 2022 年以來，Black Basta 勒索軟體組織已收到至少 1.07 億美元的比特幣贖金。Black Basta慣用雙重勒索策略，先竊取被害者敏感檔案和資訊，並威脅要公開資料來勒索被害者支付贖金。研究發現 Black Basta 針對VMWare ESXi伺服器製作的新型勒索軟體，同時也有感染 Windows 系統的版本。此外，許多攻擊都利用 Qakbot（也稱為 QBot）來幫助其在組織中橫向傳播、執行偵察、竊取資料和執行有效負載。

2023 年，多個城市圖書館系統面臨攻擊，其中包括涉及大英圖書館（世界上最大的圖書館之一、英國國家圖書館）的重大事件。

勒索軟體Black Basta的部分入侵指標(Indicator of compromise -IOCs):

e8f5fa12faea9430645853fbb24ce46a5a62cb906168dd17b62d865ddfe201e3

e2eb9029fd993a9ab386beb7ca4fa21a1871dc0c7568eb802cac1ea3c53cad8b

d4dd79c97b091dd31791456c56d727eb0b30af9c0172dd221556d28495b8a50f

cd5b4bd824bad0be78e4cdf6d7fe8a950bd63f294713b8cb49de887d8a8410bc

4f7d97bf4803bf1b15c5bec85af3dc8b7619fe5cfe019f760c9a25b1650f4b7c

102.184.151.194

102.40.236.32                

104.194.10.130                      

104.243.38.65                

105.111.60.60

 美國密蘇里州的自由醫院 遭新型勒索軟體Inc.攻擊後轉移病患

Posted on by blogadmin
Photo Credit: https://twitter.com/BrettCallow/status/1737657266105667895

密蘇里州堪薩斯城(Kansas City)的一家名為自由(Liberty) 的醫院本週因網路攻擊限制其系統而難以為患者提供護理。自由醫院在周三(12/21)的更新中表示，該醫院仍在處理週二開始的電腦系統中斷問題。該機構最初不得不將一些患者轉移到其他醫院，但官員表示情況已經穩定，我們繼續按照標準的斷網方案照顧患者。我們沒有在一夜之間將任何額外的患者轉移到其他設施。今天，我們繼續積極調查中斷的根源。

醫院在周三的更新中表示，病患的安全和照護以及讓我們的系統恢復上線是我們的首要任務。我們預計這個過程需要時間。我們的初級和專科護理診所繼續接待某些患者，並根據需要重新安排其他患者。如果您需要重新配藥，請致電您的提供者辦公。

週二(12/20)，醫院敦促那些需要醫療護理的人去其他醫院。官員表示，一些患者被轉移到其他機構，多家當地新聞媒體報道稱，醫院聯繫了堪薩斯城消防局等消防和緊急醫療服務部門，尋求幫助轉移患者。

週二，自由醫院營運長Mike Hopkins告訴《堪薩斯城星報》，消防部門運送了約 30 名患者，另有 10 至 15 名患者被緊急醫療服務機構送往其他醫院。該醫院在周二的聲明中解釋說，在電腦系統癱瘓的情況下，它仍一直在努力記錄患者護理情況。

官員們無法透露這個問題會持續多久，醫生正在與預約的患者聯繫，以找出替代方案。幾名患者告訴當地新聞媒體的記者，他們對不得不重新安排所需的預約感到沮喪，有些患者是在到達醫院後才發現的。

儘管該醫院沒有回應有關這是否是勒索軟體事件的置評請求，但KMBC 報道稱，獲得了獨家消息，該醫院的官員收到了一張勒索信。“我們已經入侵你並下載了你公司的所有機密資料。據報道，該消息稱，它可以傳播給人們和媒體。你的名譽將會被毀掉。不要猶豫，拯救您的生意。我們是能夠快速恢復您的系統的人。從現在開始，您有72小時的時間聯繫我們。” 資安專家Brett Callow亦在其X貼文中證實，Inc.勒索軟體為這次的幕後黑手。

Inc.勒索軟體是2023 年 7 月出現的新型勒索軟體，Inc.將自己定位為受害者挽救聲譽的服務提供者， Inc.勒索軟體業者針對多個行業，這包括對醫療保健、教育和政府實體的攻擊。觀察到的方法包括魚叉式網路釣魚電子郵件以及針對易受攻擊的服務。這包括 Citrix NetScaler 中CVE-2023-3519的利用。一旦威脅行為者獲得初步存取權限，就會利用各種COTS或LOLBIN來繼續內部偵察和橫向移動。與 Inc. 勒索軟體操作相關的工具包括：

NETSCAN.EXE – 多協定網路掃描器和分析器

MEGAsyncSetup64.EXE – 用於 MEGA 檔案共用/同步/雲端服務的桌面應用程式

ESENTUTL.EXE – 用於資料庫管理和復原的 Microsoft 實用程式

AnyDesk.exe – 遠端管理/遠端桌面

勒索軟體攻擊者不休假，這次聖誕節假期攻擊為勒索軟體組織持續專門針對醫療機構的災難性的一年畫上句號。2023 年全年，數十家醫院在勒索軟體攻擊後被迫轉移救護車並關閉部門，危及數千人的生命。

Sony旗下遊戲商Insomniac Games遭勒索軟體Rhysida攻擊，被勒索200 萬美元

Posted on by blogadmin

Insomniac Games 是《拉捷特與克拉克》系列和《漫威蜘蛛人》系列等遊​​戲的開發商，遭Rhysida勒索軟體入侵，連目前正打造的全新遊戲《漫威金鋼狼》的大量遊戲資料如遊戲截圖及角色設計等遭到駭客提前被曝光。

12月13日，Sony旗下電玩遊戲開發商 Insomniac Games 的系統據稱遭到Rhysida 勒索軟體集團的駭客攻擊，Rhysida聲稱對這起事件負責，並宣布，如果 Insomniac和Sony不付款，該組織將以 50個比特幣(200 萬美元)的價格出售所獲得的所有數據。

作為成功入侵的證據，Rhysida公開了 Insomniac Games機密數據，這些資料包括《漫威金鋼狼》遊戲截圖、其他漫威相關角色圖片、公司員工的護照掃描檔案，甚至包括在《漫威蜘蛛人》系列中為「蜘蛛人」主角Peter Parker配音的配音演員 Yuri Lowenthal ，其個資也被公布，其餘外洩資料還包括公司內部電郵和已簽署的機密文件等等。

Sony已就此事向《Video Games Chronicle》發表聲明，寫道「我們獲悉有關 Insomniac Games 成為網路安全攻擊受害者的報導」。該公司表示，“目前正在調查這一情況”，但指出，但無理據顯示，其他Sony部門亦受影響。

Rhysida 是網路犯罪領域相對較新的參與者，首次出現於 2023 年 5 月。美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）就曾在 11 月對 Rhysida 的攻擊行動發出警告， 將其歸類為針對各行業「機會目標」的威脅者，攻擊目標包括教育、醫療保健、製造、資訊科技和政府。據了解該組織已針對近50個組織發起了攻擊，其中包括智利政府、大英圖書館和 Prospect Medical Group進行了高調的攻擊，Rhysida經營著一種以盈利為主的勒索軟體即服務 ( RaaS )，據信Rhysida的前身是Vice Society勒索軟體。根據Check Point的研究，Rhysida 和 Vice Society 部署的策略包括遠端桌面協定 (RDP) 連線、遠端 PowerShell 工作階段 (WinRM) 以及使用 PsExec 等工具進行橫向移動。值得一提的是，攻擊者展示了先進的防禦規避能力，刪除日誌和取證工件以阻礙偵測和分析，Rhysida 的勒索軟體負載部署從最初的橫向移動到廣泛部署僅花了八天。

Rhysida的部分入侵指標(Indicator of compromise -IOCs):

f875ebf4c6809e76775d54f389840da67d236b36

5b1bb39d0caa11e4ce62248ff2d031dae28725fc

6633fa85bb234a75927b23417313e51a4c155e12f71da3959e168851a600b010

4e34b9442f825a16d7f6557193426ae7a18899ed46d3b896f6e4357367276183

97766464d0f2f91b82b557ac656ab82e15cae7896b1d8c98632ca53c15cf06c4

北韓APT駭客組織 Lazarus被發現利用Log4j漏洞部署新的 RAT 惡意軟體

Posted on by blogadmin

北韓APT 組織 Lazarus 是一場新的駭客活動的幕後黑手，該活動利用 Log4j 漏洞部署以前未記錄的遠端存取木馬 (RAT)。思科 Talos 研究人員將該活動追蹤為鐵匠行動Operation Blacksmith，該行動於 2023 年 3 月左右開始，針對全球製造、農業和實體安全公司。鐵匠行動代表了Lazarus所使用的戰術和工具的顯著轉變，再次證明了這個威脅組織不斷變化的戰術。據信，北韓駭客至少打造了三個基於DLang的新惡意軟體系列。其中包括一種名為NineRAT 的RAT（利用Telegram 進行命令和控制(C2)）、DLRAT 和一個名為BottomLoader 的下載程式。Talos 認為 NineRAT 於 2022 年 5 月左右打造成，但首次被發現是在 2023 年 3 月，當時是鐵匠行動的一部分。三月，駭客襲擊了南美洲的農業組織，專家在 2023 年 9 月左右觀察到 NineRAT 針對一家歐洲製造實體的使用情況。

新的惡意軟體工具

第一個惡意軟體 NineRAT 是 Lazarus兩種新型 RAT 中的第一種。它使用 Telegram API 進行命令和控制 (C2) 通信，包括從受攻擊的電腦接收命令和竊取檔案。

NineRAT 包含一個釋放器，它還負責建立持久性並啟動主要的二進位檔案。

該惡意軟體支援以下命令，這些命令透過 Telegram 接受：

info – 收集有關受感染系統的初步資訊。

setmtoken – 設定令牌值。

setbtoken – 設定新的機器人令牌。

setinterval – 設定惡意軟體輪詢 Telegram 頻道之間的時間間隔。

setsleep – 設定惡意軟體應休眠/休眠的時間段。

升級 – 升級到新版本的植入程式。

exit – 退出惡意軟體的執行。

卸載 – 從端點卸載自身。

sendfile – 從受感染端點將檔案傳送到 C2 伺服器。

第二個惡意軟體DLRAT是一種木馬和下載程式，Lazarus 可利用它在受感染的系統上引入額外的酬載。DLRAT 是 Lazarus 趨勢的另一個迭代，它始於MagicRAT，使用奇異/不常見的語言和框架，以及模組化惡意軟體以避免檢測

DLRAT 在設備上的第一個活動是執行硬編碼命令來收集初步系統資訊，如作業系統詳細資訊、網路 MAC 位址等，並將其發送到 C2 伺服器。

攻擊者的伺服器回應受害者的外部 IP 位址和以下命令之一，以便惡意軟體在本地執行：

deleteme – 使用 BAT 檔案從系統中刪除惡意軟體

下載 – 從指定的遠端位置下載檔案

重新命名 – 重新命名受感染系統上的檔案

iamsleep – 指示惡意軟體在設定的時間內進入休眠狀態

上傳-上傳檔案到C2伺服器

showurls – 尚未實施

最後，思科分析師發現了BottomLoader，這是一種惡意軟體下載程式，它使用PowerShell 從硬編碼URL 獲取並執行有效酬載，同時也透過修改啟動目錄來建立持久性。此外，BottomLoader 還為 Lazarus 提供了將檔案從受感染系統洩漏到 C2 伺服器的能力，從而提供了一定的操作多功能性。

Log4Shell 攻擊

Cisco Talos 觀察到的攻擊涉及利用Log4Shell，這是Log4j 中的關鍵遠端程式碼執行漏洞，大約在兩年前被發現並修復仍然是一個安全問題.

這些目標是面向公眾的VMWare Horizo​​n伺服器，該伺服器使用易受攻擊的Log4j日誌庫版本，允許攻擊者執行遠端程式碼。

入侵後，Lazarus 設定了一個代理工具，用於在受攻擊的伺服器上進行持久訪問，運行偵察命令，創建新的管理員帳戶，並部署 ProcDump 和 MimiKatz 等憑證竊取工具。

在攻擊的第二階段，Lazarus 在系統上部署 NineRAT，該系統支援廣泛的命令。

Photo Credit: Operation Blacksmith attack chain (Cisco Talos)

思科的結論是，Lazarus 可能會向其旗下的其他 APT（進階持續性威脅）組織提供 NineRAT 收集的資料。

這個假設基於以下事實：NineRAT 執行系統re-fingerprinting，在某些情況下，這意味著它可能正在為多個參與者執行系統識別和資料收集。

Operation Blacksmith的部分入侵指標(Indicator of compromise -IOCs):

9b020978a1ddab1e949a631c4863e4a9d4328149

7f32ca98ce66a057ae226ec78638db95feebc59295d3afffdbf407df12b5bc79

a48abe2847e891cfd6c18c7cdaaa8e983051bc2f7a0bd9ef5c515a72954e1715

0d133dde99d883274bf5644bd9e59af3c54c2b3c65f3d1bc762f2d3725f80582

4f01ffe98009a8090ea8a086d21c62c24219b21938ea3ec7da8072f8c4dcc7a6

汽車製造商日產Nissan揭露澳洲、紐西蘭資料外洩的事故

Posted on by blogadmin

目前正在進行調查中以確認資料外洩的程度

12月7日(週四)日本汽車製造巨頭日產正在調查可能的資料外洩事件，並警告客戶警惕潛在的詐騙電子郵件和傳播惡意軟體的訊息。日產大洋洲(Nissan Oceania)在其公司網站主頁上發布了一份聲明，揭露了一次影響其內部系統的網路攻擊，即其在澳洲和紐西蘭的業務受到網路攻擊事件。Nissan Oceania負責上述國家的分銷、行銷、銷售和服務。

根據通知，有關該​​事件的詳細資訊很少，但該公司已啟動其全球事件回應團隊來解決該問題，日產正在與其全球事回件應團隊和相關利益相關者合作，調查事件的嚴重程度以確定日產資料外洩的程度以及是否有任何個人資訊受到存取。

該公司採取了積極主動的方式，向澳洲網路安全中心和紐西蘭國家網路安全中心通報了資料外洩事件，顯示了在解決潛在網路安全威脅方面對透明度和合作的承諾。在調查仍在進行的同時，日產敦促其客戶對其帳戶保持警惕。建議客戶留意任何異常或詐騙活動，並及時報告任何問題，該公司致力於讓客戶了解情況。

日產也指出，雖然其經銷商系統受到該事件的影響，但當地經銷商仍繼續運營，因此建議客戶直接聯繫當地日產經銷商以獲得協助。

日產還表示，它一直在努力恢復受該事件影響的系統，這表明勒索軟體攻擊可能迫使其關閉系統。關閉系統或斷開系統與網路的連接是對勒索軟體感染的典型回應，因為它有助於遏制攻擊並可能阻止廣泛的檔案加密，然而該公司沒有公開攻擊的類型或背後威脅者的身份。另外日產也計劃透過其網站 nissan.com.au 和 nissan.co.nz 提供有關事件的更新。在這之前，2023 年 1 月，日產北美公司通知客戶，一家第三方服務提供商發生資料外洩事件，該事件洩露了客戶資訊，影響了該公司近 18,000 名客戶。

竣盟科技已經檢查了幾個主要勒索軟體組織的揭秘網站，但目前沒有一個組織聲稱攻擊了Nissan Oceania。

過去曾遭勒索攻擊的汽車業者有:

2021年2月，起亞汽車(Kia)美國公司遭DoppelPaymer加密,被勒索2千萬美元

2020年6月，本田汽車網路疑遭勒索軟體Snake攻擊，部份產線停工

2019年2月，豐田汽車澳洲公司確認網路攻擊未遂事件

2017年2月，汽車製造商日產Nissan稱其英國工廠遭勒索軟體攻擊

汽車零部件大廠延鋒Yan Feng遭麒麟勒索軟體入侵 克萊斯勒、道奇、吉普等汽車工廠遭影響 生產線暫停

Posted on by blogadmin

中國汽車零部件供應商延鋒(Yan Feng)向通用汽車、大眾集團、福特、Stellantis（Fiat、克萊斯勒、吉普、道奇）、寶馬、戴姆勒、豐田、本田、日產和上汽集團銷售內裝零件，該公司是這些汽車製造商供應鏈的重要組成部分，在全球 240 個地點擁有超過 57,000 名員工。根據資安網站Cybernews麒麟(Qilin)勒索軟體組織聲稱對延鋒的網路攻擊負責。對這家中國供應商的攻擊對北美汽車製造供應鏈產生了連鎖反應，導致多家美國工廠中斷，其中包括全球汽車製造商 Stellantis 營運的工廠。

本月早些時候，有 報導 稱對延鋒網路攻擊的直接影響到Stellantis，迫使該汽車公司停止其北美工廠的生產。Cybernews 聯繫了延鋒，該公司沒有回應，也沒有就攻擊發表公開聲明。然而延鋒網站癱瘓了一個多星期，直到昨天它的主要網站才重新上線，但沒有任何有關斷網的聲明。另外吉普車主也報告說，客戶服務熱線癱瘓了好幾天。

Stellantis （原菲亞特克萊斯勒，2023 年與法國 PSA 集團合併） 在美國擁有 22 家製造工廠，加拿大有 6 家，墨西哥有 7 家。

11 月 15 日，根據Stellantis的發言人，「由於外部供應商的問題，Stellantis 的一些北美組裝工廠的生產受到干擾。我們正在監控情況並與供應商合作，以減輕對我們營運的進一步影響。」

據威脅研究專家Kevin Beaumont指出，這次攻擊是駭客利用了名為Citrix Bleed（CVE-2023-4966，CVSS風險評分為9.4）的零時差漏洞。

根據美國網路安全和基礎設施安全局(CISA) ，駭客利用Citrix Bleed漏洞入侵網路環境，可以繞過密碼和多因素身份驗證(MFA) 請求，從而成功劫持Citrix NetScaler Web 應用程式交付控制(ADC) 和網關設備上的合法用戶會話， 一旦進入目標網路，駭客就會利用各種遠端和網路監控工具來獲得進一步的存取權並找到將使用勒索軟體加密的最終伺服器。

麒麟（又名 Agenda）於 11 月 27 日(星期一)在其揭秘網站上發布了延鋒頁面，並附上了23 張盜竊數據的截圖。麒麟稱，截圖證實我們擁有大量敏感資料，並將在未來幾天內發布這些資料。

另外Group-IB在上週發布其在3月秘密調查的報告，揭露了麒麟勒索軟體集團的內部運作。該組織於 2022 年首次被發現，經常使用網路釣魚電子郵件來瞄準受害者。Group-IB 研究人員被認為與俄羅斯有聯繫，他們發現了該集團的會員是如何佈局的。

「對於總額為 300 萬美元或以下的勒索金額，會員可以獲得 80% 付款項。對於超過 300 萬美元，他們則可以獲得 85%，」Group-IB 表示。

根據威脅情報公司 Cyble 發布的 2023 年第二季勒索軟體報告，2023 年上半年針對全球製造業的勒索軟體攻擊激增了 130%。

此次之前，2022年10月，麒麟勒索軟體曾入侵某台灣製藥大廠:

新加坡電信Singtel旗下第二家澳洲子公司發生資安事件，疑出自麒麟(Qilin)駭客組織之毒手；同時麒麟的揭秘網站上也驚見台灣受害企業

北韓駭客Diamond Sleet針對台灣訊連科技(CyberLink)用戶發動供應鏈攻擊

Posted on by blogadmin
Photo Credit: CybersecurityNews

在不斷發展的網路安全領域，出現了由北韓國家級駭客精心策劃的複雜供應鏈攻擊，他們將惡意檔案植入到合法的照片和影片編輯應用程式安裝檔案中。這次巧妙的攻擊涉及篡改合法的訊連科技應用程式，部署隱藏第二階段有效負載的惡意變體。11月23日，微軟透露，名為Diamond Sleet(又稱 Lazarus、Hidden Cobra)的北韓駭客入侵了台灣軟體開發商訊連科技，並對其一款合法應用程式進行木馬化，該應用程式被用作分發惡意軟體的管道。受感染的安裝程式雖然看起來合法並使用有效的訊連的憑證簽章，但隱藏了旨在下載和執行輔助負載的惡意程式碼。

該惡意軟體被稱為 LambLoad，既充當下載程式又充當載入程式。載入程式檢查以下進程名稱：

csfalconservice.exe  （CrowdStrike Falcon）

xagt.exe  （FireEye 代理程式）

taniumclient.exe  （Tanium EDR 解決方案）

該惡意軟體經過編程，可在啟動任何惡意活動之前檢查系統的日期和時間，確保其在預先配置的執行期內運行。LambLoad 的目標是沒有FireEye、CrowdStrike和Tanium等公司安全軟體的企業環境。如果偵測到這些廠牌的端點防護系統，該惡意軟體就會中止其惡意操作，並允許合法的訊連科技軟體暢通無阻地運作。如果不存在端點防護，則從受害電腦下載偽裝成PNG圖檔的第2階段惡意酬載，該有效酬載在記憶體中可以被提取、解密和啟動，並將從C2接收駭客的命令。

研究人員發現，自10 月20 日首次觀察到該惡意安裝程式以來，包括日本、台灣、加拿大和美國在內的多個國家/地區的100 多台設備已受到該惡意安裝程式的影響。儘管研究人員迄今尚未確認任何入侵後的目的，但資料外洩的可能性、進一步向供應鏈下游移動以及對受害者環境的持續存取仍然是一個重大問題。

微軟高度確信這次攻擊是由北韓Diamond Sleet 發起的，該組織以針對全球媒體、國防和資訊科技產業而聞名。據微軟稱，Diamond Sleet 的活動包括間諜活動、資料竊取、經濟利益和破壞企業網路。自從發現該攻擊以來，Microsoft 已通知訊連科技和 Microsoft Defender 受活動影響的 Endpoint 客戶。這次攻擊也報告給了 GitHub，後者刪除了第二階段的有效酬載。

訊連科技是一家台灣軟體公司，以開發多媒體軟體（包括 PowerDVD）以及人工智慧臉部辨識技術而聞名。訊連科技擁有 200 多項專利技術並在全球銷售了超過 4 億個應用程式。

對於研究人員的發現，11月23 日下午，訊連科技發佈公告指出，在其產品「Promeo」的安裝程式中發現惡意軟體，已經移除問題，他們也透過微軟、CrowdStrike、賽門鐵克、趨勢科技、Sophos的資安工具清查旗下所有產品，確認其他產品不受此攻擊行動影響。

LambLoad的部分入侵指標(Indicator of compromise -IOCs):

166d1a6ddcde4e859a89c2c825cd3c8c953a86bfa92b343de7e5bfbfb5afb8be

089573b3a1167f387dcdad5e014a5132e998b2c89bff29bcf8b06dd497d4e63d

915c2495e03ff7408f11a2a197f23344004c533ff87db4b807cc937f80c217a1

hxxps[:]//update.cyberlink[.]com/Retail/Promeo/RDZCMSFY1ELY/CyberLink_Pr omeo_Downloader.exe

hxxps[:]//update.cyberlink[.]com/Retail/Patch/Promeo/DL/RDZCMSFY1ELY/Cyb erLink_Promeo_Downloader.exe

加拿大政府因其外包商遭到駭客攻擊 證實資料外洩

Posted on by blogadmin

屬於數量不詳的加拿大政府僱員的敏感資料因針對兩家政府外包商的網路攻擊而被外洩，據了解，入侵行為發生在上個月，為加拿大政府員工提供搬遷服務的供應商 Brookfield Global Relocation Services (BGRS) 和 SIRVA Worldwide Relocation & Moving Services(SIRVA)成為網路攻擊的受害者。負責所有加拿大聯邦僱員的財政部在周五的聲明中披露了這一消息，聲明稱，加拿大政府正在分析「大量」數據，但初步調查顯示，洩露的資訊可能屬於早在 1999 年就使用過搬遷服務的任何人，當中包括加拿大武裝部隊成員、現任和前任聯邦員工以及加拿大皇家騎警人員的資料。

BGRS 為公家機關和私人企業提供搬遷服務，為調到新職位的員工提供協助。SIRVA Canada 系統處理實際的搬家服務。據 BGRS 網站稱，該機構每年監管超過 20,000 起搬遷案件。超過 8,000 家供應商支援其搬遷方案。兩家公司關係密切。去年，SIRVA Canada 的美國母公司 SIRVA Inc. 和 BGRS共同建立了一家新公司，名為 SIRVA BGRS Worldwide。

10月20日，CBC新聞報導稱，國防部已向員工發出內部說明，警告BGRS遭受了一起資安事件，該說明是在一些軍人發現BGRS線上入口網站不能使用。國防部的那份說明也被公開，稱9月29日，政府被告知發生了一起“事件”，但到10月19日，確認未經授權存取了BGRS持有的資訊。聲明稱，這些數據由 BGRS 和 SIRVA的IT 系統持有。

雖然加拿大政府尚未確定該事件的來源，但 LockBit 勒索軟體已聲稱對破壞 SIRVA 系統負責，並洩露了他們聲稱包含 1.5TB 盜竊資料的檔案。LockBit 也公開了與所謂的 SIRVA 代表談判失敗的內容。據LockBit稱，他們已洩露超過1.5TB 的資料，當中包括3 個SIRVA分公司（歐盟、北美和澳洲）的3 個CRM 完整備份。10 月 19 日，加拿大政府獲悉承包商的資安事故後，政府立即向加拿大網路安全中心和隱私專員辦公室等相關當局報告了該漏洞。

為了應對資安事故，加拿大政府正在採取積極主動的預防措施，上週五發表的一份聲明稱，加拿大政府不會靜待調查的結果，而是採取積極主動的預防措施來支持那些可能受到影響的人。 政府為過去 24 年來隨 BGRS 或 SIRVA Canada 調動的現任和前任公務員、加拿大皇家騎警和加拿大武裝部隊成員提供信用監控或重新簽發有效護照。

以下是政府向可能受影響的個人提供的建議：

*更新可能與 BGRS 或 SIRVA Canada 使用的登入憑證類似的登入憑證

*對用於線上交易的帳戶啟用多重身份驗證

*監控財務和個人線上帳戶是否有任何異常活動

LockBit的部分入侵指標(Indicator of compromise -IOCs):

fb49b940570cfd241dea27ae768ac420e863d9f26c5d64f0d10aea4dd0bf0ce3

b3ea0f4f442da3106c0d4f97cf20e244b84d719232ca90b3b7fc6e59e37e1ca1

45c317200e27e5c5692c59d06768ca2e7eeb446d6d495084f414d0f261f75315

27b8ee04d9d59da8e07203c0ab1fc671215fb14edb35cb2e3122c1c0df83bff8

竣盟科技建議針對勒索軟體的應對措施：

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階欺敵系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”