北韓駭客部署 Linux 版 FASTCash 惡意軟體試圖從 ATM 竊取資金

最新的 FASTCash 惡意軟體攻擊事件係針對 Linux 作業系統平台

Photo Credit: The Cyber Times

北韓駭客近期透過一個新的 Linux 版本的 FASTCash 惡意軟體,針對金融機構的支付系統進行攻擊,未經授權地從 ATM 提款。這種攻擊手法是透過入侵支付交換系統,操縱交易訊息,使本應被拒絕的交易成功通過,從而實現非法提款。

FASTCash 惡意軟體自 2016 年起發現被用來攻擊 ATM 提款系統,駭客透過操控交易請求,竊取全球多國金融機構的資金。過去,這種惡意軟體主要針對 Windows 和 IBM AIX 作業系統,然而最新的攻擊事件則是鎖定 Linux 平台,特別是 Ubuntu 22.04 LTS 系統。

Linux 的 Ubuntu 22.04 (Focal Fossa) 作業系統,是採用 C++ 程式語言所開發,資料加密方式為 AES-128 CBC 加密。組態設定檔案 (configuration file) 受到硬式編碼金鑰 (hardcoded key) 的保護,以增加攻擊上的難度。

駭客攻擊的重點是金融機構的支付交換系統,這些系統負責處理 ATM 和銀行之間的交易請求。Linux 版本的FASTCash偽裝成名為「libMyFc.so」的共享物件檔案,專門針對 ISO 8583 訊息進行攻擊,ISO 8583 是支付網路中通信用的標準格式。針對特定的持卡人帳戶清單,這個惡意軟體會攔截那些由於持卡人帳戶餘額不足而被拒絕的交易訊息,將「拒絕」訊息改為「批准」訊息,以達成非法提款的目的。

這些攻擊通常依賴於高度精細的技術手段,駭客首先將惡意軟體注入支付交換伺服器中,然後攔截並操縱金融交易訊息。透過竄改訊息中的交易金額和批准代碼,攻擊者成功地欺騙銀行系統核准這些本應被拒絕的交易。

由這次攻擊中發現的新型 Linux 版本惡意軟體所示,北韓駭客正試圖擴展他們的攻擊目標至不同的作業系統平台。這不僅增加了其攻擊的靈活性,也讓網路安全專家面臨更嚴峻的挑戰,因為不同平台的安全漏洞和防護機制存在顯著的差異。

這類的攻擊事件並非針對單一地區,而是對全球多個國家的金融系統造成威脅。根據過去的經驗,FASTCash 攻擊每次都能造成數千萬美元的損失,而此次攻擊可能會影響更多國家的金融機構,尤其是那些使用 Linux 系統的機構。

國際安全機構也對這類攻擊表達了高度關注,並警告金融單位要加強對支付交換系統的安全防護。美國網路司令部(US Cyber Command)已多次發布警告,指出這些攻擊活動與北韓國家支持的駭客組織 Lazarus (又名 Hidden Cobra) 集團有關。

Linux 系統通常被認為是安全性較高的作業系統,但這次的攻擊事件顯示出,即便是 Linux 系統也無法完全地避免網路攻擊。FASTCash 的攻擊手法利用了 Linux 中的 ptrace 系統呼叫功能,將惡意軟體以共享函式庫的形式注入到支付交換伺服器的執行程序中,藉以攔截並操縱金融交易訊息。

隨著駭客工具的不斷演進,FASTCash 不僅持續更新,還不斷推出適用於不同作業系統的新版本。資安研究員 HaxRob 的報告指出,除了 Linux 版本外,駭客還在積極開發新的 Windows 版本,這顯示出駭客集團對於攻擊技術的持續投入和精進。

為了防範類似攻擊,金融機構需要加強對 ATM 和支付系統的監控,並採用更嚴格的驗證機制來確保交易安全。此外,應限制對關鍵伺服器的存取權限,並定期進行安全審核和系統更新,以降低遭受攻擊的風險。

北韓駭客透過新型 Linux 版本的 FASTCash 惡意軟體再次展示了他們在網路犯罪領域的高度威脅性。隨著他們的攻擊面向不斷地擴張,全球的金融機構和資安專家必須更加警覺,採取積極措施來防範這類高階技術性的攻擊。這次攻擊再次凸顯了網路安全的重要性,並喚起各國政府和企業機構共同應對日益嚴峻的網路安全威脅。

FASTCash 惡意軟體相關的部分的入侵指標(IOCs):

03e6496b8a0187d0265b64612ec85291
14d72896e174c0601d5d9ee4a5976ea5
46b318bbb72ee68c9d9183d78e79fb5a
4ce9d999e0656fafab9d53e4a6b306a3
518acee0cc61041709e9ebb38169bea0
7bae539b25bed652540a4792d32c7909
a97920557623296123d961f72e164513
ac057094659b056c68360eb6665e4ace
c4141ee8e9594511f528862519480d36
d1bb81f507a697548e1acbce814904de

疑似中國國家級駭客利用 Ivanti 雲端服務設備 (CSA) 中的零日漏洞發動攻擊

Ivanti Cloud Service Appliance (CSA) 的三個零日漏洞遭到駭客利用

Photo Credit: The Hacker News

Fortinet (網路安全公司) FortiGuard Labs 的研究人員警告,疑似國家支持的網路威脅者正在利用 Ivanti (IT軟體公司) 雲端服務設備 Cloud Service Appliance (CSA) 中的三個零日漏洞來進行惡意活動。

這三個漏洞分別是:

  • CVE-2024-9380 (CVSS 分數:7.2) – Ivanti CSA 5.0.2 之前版本的管理員網頁控制台中存在的作業系統指令注入漏洞。具有管理員權限的遠端身份驗證攻擊者可利用該漏洞執行遠端程式碼。
  • CVE-2024-8190 (CVSS 分數:7.2) – Ivanti CSA 4.6 Patch 518 及之前版本中的指令注入漏洞。具備管理員權限的遠端身份驗證攻擊者可利用此漏洞進行遠端程式碼的執行。
  • CVE-2024-8963 (CVSS 分數:9.4) – Ivanti CSA 4.6 Patch 519 之前的版本存在路徑遍歷 (path traversal) 漏洞。未經身份驗證的遠端攻擊者可利用此漏洞存取部分功能。

而其中最主要的漏洞是 CVE-2024-8190,它允許遠端執行程式碼。然而,利用該漏洞需要更高的權限,攻擊者將此漏洞與其他 CSA 漏洞(例如 CVE-2024-8963、CVE-2024-9379 和 CVE-2024-9380)聯合起來利用,以達到認證所需。

根據網路安全公司 Fortinet 的分析,攻擊者利用這些 CSA 零日漏洞入侵系統,然後進行橫向移動、部署 web shell (一種網頁惡意程式)、蒐集資訊、進行掃描和暴力破解攻擊 (Brute-force attack),並利用被駭的 Ivanti 設備來代理流量 (proxying traffic)。

Fortinet 的公告指出:「我們觀察到有高階網路攻擊者利用這三個影響 Ivanti CSA 的漏洞。在我們著手調查時,這其中的兩個漏洞還尚未被公開。此次事件顯示了網路威脅者如何串聯多個零日漏洞以取得目標網路的初始存取權。」

網路攻擊者利用零日漏洞獲取未經身份驗證的 CSA 存取權,列舉 (enumerate) CSA 設備中的用戶,並試圖取得他們的憑證。一旦攻擊者取得了 gsbadmin 和 admin 憑證後,便可利用 /gsb/reports.php 中的指令注入漏洞,並且部署一種web shell「help.php」。

2024 年 9 月 10 日,Ivanti 針對 CVE-2024-8190 發布了通報,遭駭網路中的威脅攻擊者「修補」了在 DateTimeTab.php 和 reports.php 中被利用的指令注入漏洞,其原因可能是為了防範其他入侵者也利用這些漏洞。攻擊者將參數 TW_ID 和 TIMEZONE 中的分號替換為底線,致使這些漏洞無效。此技術已經過測試證實,由此可以看出網路攻擊者試圖獨佔侵入環境的存取權。

Fortinet 的研究人員在進行記憶體分析時發現,網路威脅者使用了一種名為 ReverseSocks5 的代理工具,透過 CSA 設備發動內部網路攻擊。2024 年 9 月 7 日的日誌顯示,攻擊者試圖在受感染的系統上部署 Linux 核心模組 rootkit (偽裝成驅動程式載入到作業系統核心中的惡意軟體),可能是為了即使設備恢復出廠設置,依舊能夠維持持續性的存取權限。這部分也與之前 Ivanti CSA 設備遭入侵的報告內容一致。

報告總結道:「我們觀察到有高階的網路攻擊者利用並串聯零日漏洞,藉以建立進軍目標網路的前哨站。更多關於 Ivanti CSA 零日攻擊的詳情可參閱我們的威脅信號報告https://www.fortiguard.com/threat-signal-report/5556。」

Fortinet 也提到,這次攻擊可能是由某個國家支持的駭客組織所發動的,目前尚未確認具體的威脅組織身份。然而,有研究人員指出,Fortinet 公布的一個作為入侵指標 (IoC) 的 IP,先前曾被歸咎於 UNC4841,這是一個與中國有關聯的駭客組織,該組織在 2023 年末被發現到他們利用網路設備廠商 Barracuda 產品的零日漏洞進行活動。

眾所周知,中國支持的駭客組織會在其行動中利用 Ivanti 產品的零日漏洞。另外值得注意的是,Fortinet 的最新報告中提到,部分觀察到的惡意活動與之前中國有關聯的 Ivanti 網路攻擊事件非常類似。

Ivanti CSA零日漏洞相關的部分的入侵指標(IOCs):

64efc1aad330ea9d98c0c705e16cd4b3af7e74f8

beb723a5f20a1a2c4375f9aa250d968d55155689

6edd7b3123de985846a805931ca8ee5f6f7ed7b160144aa0e066967bc7c0423a

8d016d02f8fbe25dce76481a90dd0b48630ce9e74e8c31ba007cf133e48b8526

d57a2cac394a778e19ce9b926f2e0a71936510798f30d20f207f2a49b49ce7b1

CISA 警告 Fortinet 關鍵漏洞在攻擊中被利用,Palo Alto 及 Cisco 也揭露重大安全性漏洞

Fortinet 的遠端程式執行 (RCE) 漏洞被網路攻擊者利用

Photo Credit: The Hacker News

10/9 (週三) 美國網路安全暨基礎設施安全局 CISA 發出公告,駭客正在積極利用 FortiOS 作業系統中一個嚴重的遠端程式執行 (RCE) 漏洞。

這個漏洞(CVE-2024-23113)是由於 fgfmd 常駐程式接受了外部控制的格式字串作為引數 (argument) 所引發,讓未經授權的網路威脅者可以在未作程式修補的設備上執行指令或任意程式碼 (arbitrary code)。這類攻擊的複雜性較低,且不需要與使用者互動。

CVE-2024-23113 漏洞影響到 FortiOS 7.0 及其後的版本、FortiPAM 1.0 及更高階版本、FortiProxy 7.0 及以上版本,還有 FortiWeb 7.4 版本。

Fortinet (美國網路安全公司) 於今年二月份揭露並修補了這個安全漏洞,當時建議網路管理者移除所有介面中對 fgfmd 常駐程式的存取,來作為一種緩解措施,藉以阻擋潛在的攻擊行為。

該公司也建議道,「另外需注意的是,僅允許特定 IP 與 FGFM 連接的區域性策略雖然可以減少攻擊層面,不過還是無法完全防止這個漏洞從該 IP 被利用。因此,這僅能作為一種緩解措施,並不是完備的解決方案。」

儘管 Fortinet 尚未更新其二月的公告並確認 CVE-2024-23113 漏洞遭到利用,CISA 已於10/ 9 (週三) 將此漏洞新增到「已知被利用漏洞目錄」之中。

美國聯邦機構現在也被要求在三週內(即 10 月 30 日之前)確保其網路中的 FortiOS 設備安全無虞,以防範這些持續性的攻擊,這是根據 2021 年 11 月發佈的強制命令 (BOD 22-01) 所要求的。

CISA 警告道,「這類型的漏洞經常是惡意網絡攻擊者的攻擊向量 (attack vector),並且對聯邦機構造成重大風險。」

荷蘭軍事情報和安全局 (MIVD) 在今年 6 月警告稱,中國駭客在 2022 年至 2023 年期間利用另一個 FortiOS 嚴重的 RCE 漏洞 (CVE-2022-42475) 發動攻擊,植入惡意軟體並且感染了至少 20,000 台 FortiGate 網絡安全設備。

Palo Alto Networks 揭露 Expedition 中的嚴重漏洞

此外,網路安全公司 Palo Alto Networks 也公佈了其 Expedition 軟體中的多個安全漏洞,這些漏洞可以允許攻擊者讀取資料庫內容與任意檔案 (arbitrary files),並將任意檔案寫入系統的臨時儲存位置。

Palo Alto Networks 在週三 (10/ 9) 的警告中表示,「這些漏洞可能洩露包括使用者名稱、明文密碼、裝置組態和 PAN-OS 防火牆的 API 金鑰等資訊。」

影響 Expedition 1.2.96 之前所有版本的漏洞包括有:CVE-2024-9463(CVSS 評分:9.9)、CVE-2024-9464(CVSS 評分:9.3)、CVE-2024-9465(CVSS 評分:9.2)、CVE-2024-9466(CVSS 評分:8.2)、CVE-2024-9467(CVSS 評分:7.0)。

Cisco 修復 Nexus Dashboard Fabric Controller 漏洞

上週,Cisco (思科) 釋出了修補程式,修復 Nexus Dashboard Fabric Controller (NDFC) 網路管理平台之中一個嚴重的指令執行漏洞。該漏洞是由於不當的使用者授權和指令引數的驗證不足所導致。

該漏洞編號為 CVE-2024-20432,CVSS 評分為 9.9,它允許通過驗證的低權限遠端攻擊者對受影響的設備進行指令注入攻擊。此漏洞已在 NDFC 12.2.2 版本中修復。需要注意的是,11.5 及更早的版本並未受到該漏洞影響。

Fortinet 安全性漏洞相關的部分的入侵指標(IOCs):

0f76936e237bd87dfa2378106099a673
1079d416e093ba40aa9e95a4c2a5b61f
129ba90886c5f5eb0c81d901ad10c622
1b7aee68f384e252286559abc32e6dd1
1d89b48548ea1ddf0337741ebdb89d92
2716c60c28cf7f7568f55ac33313468b
2bade2a5ec166d3a226761f78711ce2f
2c28ec2d541f555b2838099ca849f965
381b7a2a6d581e3482c829bfb542a7de
3a8a60416b7b0e1aa5d17eefb0a45a16

夏威夷社區診所揭露因 Lockbit 勒索軟體攻擊而導致資料外洩

Lockbit 勒索軟體組織針對多家醫療機構發動網路攻擊

Photo Credit: CYWARE

Mālama I Ke Ola 健康中心,夏威夷毛伊島上的一家社區型診所,是屬於非營利的醫療機構。他們於上週通知美國當局,今年早前遭受到了網路攻擊因而導致資料外洩,此事件的影響人數超過了 12 萬人。

當地媒體於今年5 月的報導提到 ,毛伊島的醫療機構在經歷了「重大的IT中斷」後,花了兩週以上的時間才重啟營運。 

到了6 月,惡名昭彰的 LockBit 勒索軟體組織對外聲稱,他們是毛伊島社區診所網路攻擊事件的幕後主導者。

毛伊島社區診所,也稱為 Mālama I Ke Ola 健康中心,是一家致力於為毛伊島社區提供服務的非營利醫療機構。這個診所提供的服務範圍,包括基礎醫療、牙科保健和心理健康支援。他們的營運方針是提供無遠弗屆的醫療保健,無論病患的經濟能力如何,都能在教育、預防和宣導上有所成效。

Mālama 健康中心與外部資安專業人員一起調查了這一次的網路安全事件,截至2024 年8 月7 日調查確定,在2024 年5 月4 日至2024 年5 月7 日這段期間,個人資料可能遭到未經授權的存取及盜竊。

毛伊島社區診所日前揭露了LockBit 勒索軟體攻擊引發的資料外洩事件,共計有 123,882 受到影響

外洩的資訊包括姓名、社會安全號碼、出生日期、駕照號碼、護照號碼、金融卡及支付卡資訊、登入資訊以及其他的機敏醫療資訊。 

自 2024 年 9 月 26 日開始,Mālama 健康中心通知受到影響的個人,另外針對那些社會安全號碼可能暴露的人,也提供了免費的信用監控服務。

「2024 年 5 月 7 日,Mālama 健康中心經歷了一場網路安全事件,也因而影響了我們的網路連線。」致緬因州總檢察長的資料外洩通知信提及, 「在得知此事件發生之後,我們立即展開快速、徹底的調查,同時也通知了執法部門。我們一直與經驗豐富的外部資安專業人員緊密合作,經過嚴密的取證調查和全面的文件審查,我們於2024 年8 月7 日調查確定,您的個人資料可能於2024 年5 月4 日至2024 年5 月7 日這段期間遭到未經授權的存取及外洩。」

目前尚不確定LockBit 勒索軟體組織是否在其洩露網站上公布了這些被盜資訊。即便勒索軟體組織沒有這樣做,也可以十分肯定網絡犯罪分子定會試圖運用這些機敏資訊並從中獲利,儘管健康中心聲稱目前並沒有遭到不當使用的證據。

今年7 月,Lockbit 勒索軟體組織侵入了伊利諾伊州費爾菲德紀念醫院 (Fairfield Memorial Hospital)。不幸的是,該勒索軟體組織聲稱同時期其他醫院也遭遇到他們的駭客攻擊。另外他們宣稱梅里曼國內危機中心 (Merryman House Domestic Crisis Center) 和佛羅裡達州衛生部所發生的駭客攻擊也都是由他們主導的。

針對醫院的網路攻擊是非常危險的,儘管主要勒索軟體組織對其隸屬團體加諸限令以避免他們針對醫院,但最近仍有許多類似事件成為頭條新聞。

LockBit 勒索軟體相關的部分的入侵指標(IOCs):

54d67710488b0e50ae015dbcadf9fb24
5a07502eb5e854aa8bd883453fc9decb
9c15aac2f31dd9e1e8d64cf8f04ea5d6
be8bf725892ddd7a200d0a1906b9387f
1f5638cf71fac8d51253360b4537b074292e70ff
28d09d35d3e5a8490ef4a4ebaa36262fa411afba
582a24a72b29e70f2de26a8d217492c7a6b983ff
78f3d5588a75efbe6a272c1f1a789d20e0ccd0c3
aaeeb05a24f6e7ef77d46ba71794490afbc414ab
166bba02413995aff28ffeb27d3bf3d5a5f6a6cd36893e252c7b9a22836f4980

中國APT組織Earth Baxia利用GeoServer漏洞攻擊亞太地區國家

中國駭客組織Earth Baxia的攻擊目標擴及菲律賓、韓國、越南、台灣和泰國等地

Photo Credit: SOC Prime

截至2024年,中國支持的駭客組織已躋身國家支持的網路威脅前段班。經過上半年,資安研究人員發現了一系列由APT40Velvet AntUNC3886Mustang Panda等駭客組織主導的長期網路間諜活動和破壞性行動。這些組織越來越依賴網路釣魚攻擊和 CVE 漏洞來滲透目標網絡,對全球網路安全形成越來越大的威脅。

最近趨勢科技研究人員報告揭露,一個與中國有關的 APT 組織「地球巴夏」(Earth Baxia) 已經針對台灣的一個政府機構以​​及亞太地區 (APAC) 的其他國家發動了網路攻擊。

該駭客組織使用魚叉式網路釣魚電子郵件並利用最近更新的 GeoServer 漏洞CVE-2024-36401。GeoServer 是一個開源伺服器,它允許使用者共享和編輯地理空間的資料。

研究人員表示:「根據收集到的網路釣魚電子郵件、誘餌文件以及對事件的調查,攻擊目標主要為菲律賓、韓國、越南、台灣和泰國等地的政府機構、電信公司和能源產業。」

2024年7 月,研究人員發現到針對台灣某政府組織和其他亞太地區國家的機構的可疑活動。網路攻擊者在遭侵入的系統上部署了定製的 Cobalt Strike (一種滲透測試工具) 元件,並安裝了一支稱為 EAGLEDOOR 的新型後門程式,這支後門程式並且支援多種通訊協定。

經調查,資安專家發現有多台伺服器是託管於阿里雲服務上或是位於香港地區的。而有一些行動中使用的惡意軟體則是從中國上傳到 VirusTotal (免費線上掃毒網站) 的。

分析其多階段感染鏈的流程,發現到是利用兩種不同的技術,包括魚叉式網路釣魚電子郵件和利用 GeoServer 的缺陷(CVE-2024-36401,CVSS 評分:9.8),最終目的是送出Cobalt Strike 和先前未知的代號EAGLEDOOR 的後門程式,該程式允許資訊收集和負載 (payload) 傳遞。

該APT 組織仰賴 GrimResource 和 AppDomainManager 注入攻擊 (用來載入執行惡意程式的技術) 來部署額外的負載,其目的是降低受害者的警覺心並且避免被偵測到。

此外,日本網路安全公司 NTT Security Holdings 最近詳細介紹了一個與APT41有關聯的駭客集團,據稱該集團使用了相同的兩種技術來針對台灣、菲律賓軍方以及越南的能源機構。

研究人員指出:「地球巴夏 (Earth Baxia) 的據點很可能位於中國,他們針對多個亞太地區國家的政府和能源部門發動了一系列精細設計的攻擊行動。」

「他們利用 GeoServer 漏洞、魚叉式網路釣魚和客製化惡意軟體(Cobalt Strike 和 EAGLEDOOR)等先進技術來入侵系統和外洩資料。該APT 組織利用公有雲服務來託管惡意檔案以及 EAGLEDOOR 的支援多重通訊協定特性,再再凸顯了他們行動的複雜性以及面對不同場域的應變能力。」

EAGLEDOOR後門程式共支援四種,包括透過 DNS、HTTP、TCP 和 Telegram 來與 C2 伺服器通訊的方法。前三個通訊協定其主要用途為傳送受害者狀態,不過核心功能則是透過 Telegram Bot API (網路機器人應用程式介面) 來執行的,用以上傳和下載檔案,以及執行額外的負載。而獲取到的資料則是透過curl.exe 執行程式來洩漏出去。

Earth Baxia組織相關的部分的入侵指標(IOCs):

9f376a334f9362c6c316a56e2ffd4971
e51f2ea5a877e3638457e01bf46a20e1
9833566856f924e4a60e4dd6a06bf9859061f4be
d9b814f53e82f686d84647b7d390804b331f1583
dce0a4c008ea7c02d768bc7fd5a910e79781f925
e2b0c45beadff54771a0ad581670a10e76dc4cf1
04b336c3bcfe027436f36dfc73a173c37c66288c7160651b11561b39ce2cd25e
061bcd5b34c7412c46a3acd100167336685a467d2cbcd1c67d183b90d0bf8de7
1c13e6b1f57de9aa10441f63f076b7b6bd6e73d180e70e6148b3e551260e31ee
1c26d79a841fdca70e50af712f4072fea2de7faf5875390a2ad6d29a43480458

新興勒索軟體組織 Orca 崛起,瞄準台灣企業廠商

勒索軟體組織 Orca 近日於暗網上聲稱對一家台灣製造業廠商發動攻擊

Photo Credit: Dark Web

竣盟科技 近日於勒索軟體揭秘網站發現,有一新興勒索軟體 Orca (虎鯨) 浮現檯面,並對台灣某金屬製造廠商發動網路攻擊。Orca是一個最新出現的勒索軟體,而台灣企業隨即成為其攻擊目標,加上近來陸續有駭客組織對台灣機構或企業發動攻擊的事件,這顯示出台灣企業普遍存在資安防護不足的情況,使其儼然成為駭客集團發動攻擊的容易目標。駭客聲稱,該受害公司被駭資料共計有18 GB,其中包括5張圖片及45,319個檔案。

Photo Credit: Dark Web

據了解,Orca 勒索軟體組織的主要動機是財務因素,他們的信念是盡量避免對公司企業造成不必要的傷害。該組織於聲明中表示,「我們在追求財務收穫的同時也考量到道德的重要性,並遵守針對政府機構、醫院或非營利組織的嚴格政策,因為這些領域對社會至關重要。」

「我們的行動模式是以促進對話及尋求解決方案而非製造混亂和破壞。我們相信,創造一個企業可以參與進來,並且能有建設性地解決問題的環境,這樣可以為各方帶來更好的結果。這種模式使我們能夠以強調溝通協調及共同理解的方式來與企業組織互動,以促進經濟活動,同時盡量減少對社會基本功能運作的干擾。」

「在追求這些目標的過程中,我們致力於維持專業水準,優先考慮溝通和針對性互動的透明度,進而加強商業活動和網路安全可以共存的架構,而不會導致不必要的衝突或傷害。」

相較於之前先後攻擊台灣數家企業的勒索軟體組織RansomHub,這次發動攻擊的Orca 勒索軟體組織,知名度鮮為人知,相關細節資訊包括使用的軟體工具及攻擊手法等亦未被揭露,但仍不可掉以輕心,駭客集團或是勒索軟體組織的行動通常具有計畫性及持續性,需持續觀察並謹慎防備。

Photo Credit: Corporate Website

週四上午 竣盟科技 嘗試進入該受害企業的網站,但是該網站似乎因受到攻擊而暫時癱瘓,只出現了「無法連上這個網站」的訊息視窗。

針對這次事件的後續狀況以及進一步細節,竣盟科技也將密切關注其發展並做更詳實的資安訊息分享。

企業面對勒索軟體組織的網路攻擊,竣盟科技建議採取多層次的防備措施來減少風險和損失。以下是一些關鍵的防備步驟:

  1. 資料備份與復原計畫:定期備份重要資料於與主系統隔離的安全位置。
  2. 更新軟體與弱點掃描:定期更新所有系統的操作系統、應用程式和防毒軟體;另外應定期檢查系統中可能存在的安全漏洞。
  3. 多因子身份驗證 (MFA):限制未經授權的使用者進入關鍵系統。
  4. 網路分段 (Network Segmentation):通過將網路進行分段,限制勒索軟體在被攻擊系統中的橫向移動。
  5. 行為監控與威脅偵測:使用端點偵測與回應 (EDR) 工具,以及威脅情報分享。
  6. 與外部專業團隊合作與專業的資安公司合作,進行資訊安全評估、滲透測試等服務,以提升企業的資安防禦能力。

Orca 勒索軟體相關的部分的入侵指標(IOCs):

b8845a76e3942ff4d20ba4660ae926bb
eb90f945087c270a2ecc11753180ba4ecc270696
8ab79654152668be2c10be9cb17d941685e7733628dd7d38d6979516a75682ee

親俄羅斯駭客對台灣證券交易所和銀行等機構發動攻擊

親俄駭客組織 NoName057 原已與 RipperSec 結盟, 9/17 另新增一加盟者 Red Eagle Crew                                                

Photo Credit: Telegram

據報導,上週親俄羅斯駭客組織曾短暫地造成了台灣重要的金融服務平台中斷,包括證券交易所和大型金融控股公司網站,這次事件也暴露出了台灣在面對國外網路攻擊時的弱點。

台灣數位發展部 (MODA) 表示,親俄羅斯駭客組織上週針對 45 家台灣機構及單位發起分散式阻斷服務 (DDoS) 攻擊,其中包括政府機構和金融公司。

數位發展部部長黃彥男於記者會中表示,親俄駭客組織利用由伺服器控制的殭屍電腦網路來發動 DDoS 攻擊,除了台灣之外,攻擊目標還包括美國、加拿大和歐盟的重要基礎設施。

親俄駭客組織NoName057聲稱對台灣政府機構、金融公司和台北松山機場等目標發動了攻擊。據統計,台灣共有45家機構及單位受到了攻擊,不過影響是短期性的,大多數機構很快就恢復了正常運作。

受到影響的機構包括交通部航港局、地方稅務機關、中央政府高層機構、軍事單位包括憲兵指揮部、以及中華電信、國營及公股的金融和證券機構。另外私營企業方面,則以銀行為主要目標。

即時通訊軟體Telegram 上代號為「NoName057」和「RipperSec」的兩個組織上週四下午利用所謂的分散式阻斷服務 (DDoS) 攻擊癱瘓了目標網站,引發平台連線不穩定的問題。台灣證券交易所表示,在此次事件中,證券交易所偵測到來自海外網際網路協定位址 (IP address) 的網路查詢量比平常大上好幾倍。

雖然證券交易所在半小時內隨即恢復了正常運作,但這起事件也暴露出了台灣資訊網路平台的潛在弱點。台灣是全球最大的先進半導體生產國家,也是中美衝突的潛在爆發點。

上週五政府網站和交易系統已恢復正常運作。 DDoS 攻擊是屬於一種惡意性嘗試,透過癱瘓目標或其周圍基礎設施來中斷目標的伺服器、服務或網路的正常流量。

數位發展部最新聲明中表示,「關於NoName057和RipperSec的攻擊,有關當局正蒐集最新資訊,並採取必要措施。」台灣的內閣辦公室也發表譴責,聲稱網路攻擊者不僅在島內引發事端,而且影響範圍擴及整個鄰近區域。

數發布部也證實了本地媒體稍早的報導,並引用Radware研究人員的分析,親俄羅斯組織於Telegram上聲稱參與了此次攻擊事件,其中一個名為 NoName057 的組織在他們的Telegram頻道上說明了之所以針對台灣的原因。

隨著時間推移,事件並未停歇,竣盟科技 觀察到,結盟參與攻擊的駭客組織有所增加,新加盟的是一個稱作Red Eagle Crew的駭客組織。值得注意的是,Red Eagle Crew 在這一波新的攻擊中將 DDoS 攻擊目標鎖定於台灣的私人企業,而非政府相關部門。

Photo Credit: Telegram

此外根據最新消息來源 (NoName057駭客組織於Telegram上發布之訊息),最近遭遇到攻擊的單位還新增加了高雄市警局、彰化市政府以及員林市政府,短期內仍需密切關注並謹慎防範。

近年來,隨著台灣的戰略重要性日益增加,也使得台灣愈來愈頻繁地受到來自國外的網路攻擊。思科系統 (Cisco Systems) 的資安研究人員於八月時表示,一個據信與中國政府有關聯的駭客組織從台灣政府所屬下的一家電算研究中心盜取了密碼和文件。

NoName057駭客組織相關的部分的入侵指標(IOCs):

01e2ad9b3069b939594ceae2e4fe694b
0465303c561129698304db1a57396c4b
0f4bd50d057d8f5d279113a3ca5445f7
116ff8c13afee6f906be41ec4b4833ea
1213e1d1bffbe6b514af16de6d0e0f4b
121c453f795e903d4c91012ea2566ca4
12215d3dc6583f4d47dd306f3237d372
13802ced91f97122e3bc230474c17fec
1afa90293565a1e2a72d5062c1674451
1eb6fddaef31d557f07e829a496e29ba

TIDRONE 間諜組織鎖定台灣無人機製造廠商進行網路攻擊

中國關聯的TIDRONE駭客組織攻擊目標為軍事及衛星工業

Photo Credit: cybernews

趨勢科技 (Trend Micro) 日前發現了一個據稱與中國關聯密切的駭客組織TIDRONE,他們於2024 年開始進行網路攻擊活動,追蹤其行動,發現他們的目標是台灣的無人機製造廠商。

趨勢科技正在追蹤這個組織,並將該組織以TIDRONE作為稱號,趨勢表示這次行動是由間諜組織所主導的,而其攻擊重點是與軍事相關的產業鏈。

該組織之前從未被記錄或證實過,他們使用企業資源規劃 (ERP) 軟體和遠端桌面來部署高階惡意軟體,其中包括了CXCLNT和CLNTEND。

自今年4月以來,TIDRONE組織使用了CLNTEND,一種之前尚未被偵測到的遠端存取工具(RAT),這個軟體支援範圍更廣的網路通訊協定,因而進一步加強了他們的攻擊能力。

CXCLNT 和 CLNTEND 惡意軟體屬於後門程式,兩者都是經由 Microsoft Word 應用程式側載 (sideloading) 一個惡意的動態連結程式庫 (DLL) 來啟動的,進而使網路攻擊者能夠獲取更廣範圍的機敏資訊。

CXCLNT 具備了基本的上傳和下載檔案功能,以及清除痕跡、收集檔案清單和電腦名稱等受害者資訊,還可下載下一階段的可移植性執行檔 (PE, portable executable) 和 DLL 檔案以供執行所用。

資安研究人員表示:「考量檔案編譯的時間和網路攻擊者的操作時間,跟其他中國有關間諜組織從事的活動相比,兩者具有相當程度的一致性,因此可以推估這次攻擊行動很可能是由一個身份尚未明朗的中國背景威脅組織所發動的。」

網路安全公司 Acronis 公布了他們對這次攻擊行動的調查結果,調查中將這一系列攻擊稱之為「WordDrone 行動」,他們觀察到的攻擊行為發生於 2024 年 4 月至 7 月期間。

駭客集團侵入的一個特點是在部署 CLNTEND(又稱為 ClientEndPoint)之前會使用稱為Blindside (盲點) 的技術來迴避端點偵測和回應 (EDR) 軟體的偵測。

Acronis 進一步透露,在台灣一種 ERP 軟體 Digiwin 的資料夾中偵測到惡意構件 (artifacts),這表示有可能是採用供應鏈攻擊或是利用產品中的安全缺陷來取得初始的存取權。

這家新加坡公司同時表示:「台灣大約有十幾家公司參與無人機製造,通常是屬於 OEM 的類型。」 「台灣一直是美國的盟友,再加上台灣強大的科技技術背景,因而成為駭客組織從事軍事間諜活動或供應鏈攻擊的主要目標。」

總結來說,TIDRONE是一個與中國有關聯性的網路攻擊團體。這些攻擊行為是在台灣偵測到而發現的,主要目標為軍事相關產業,特別是無人機製造廠商。這些攻擊行動使用到 CXCLNT 和 CLNTEND 等高階惡意軟體的變種 (variant),這些進階的惡意軟體是透過 ERP 軟體或遠端桌面等方式來傳播。

TIDRONE駭客組織相關的部分的入侵指標(IOCs):

15e52f52ed2b8ed122fae897119687c4
26ff6fac8ac83ece36b95442f5bb81ce
798a707e1abac44b0ad7b1114bcd10a6
6ab0e2ede4e0968eae2bdc63864971054a534f7b
6e35ae1d5b6f192109d7a752acd939f5ca2b97a6
92d28c4201e0d56c46b2d750aa25856f60f2facb
0d91dfd16175658da35e12cafc4f8aa22129b42b7170898148ad516836a3344f
19bbc2daa05a0e932d72ecfa4e08282aa4a27becaabad03b8fc18bb85d37743a
1b08f1af849f34bd3eaf2c8a97100d1ac4d78ff4f1c82dbea9c618d2fcd7b4c8
1bf318c94fa7c3fb26d162d08628cef54157dfeb2b36cf7b264e3915d0c3a504

LockBit 勒索軟體集團聲稱對多倫多教育局 (TDSB) 發動攻擊

多倫多教育局Toronto District School Board (TDSB) 是加拿大最大的公立教育局

Photo Credit: CBC News

日前 LockBit 勒索軟體集團聲稱對加拿大最大的地區教育局多倫多教育局 (TDSB) 發動攻擊,同時間當局也確認這個發生於今年 6 月的攻擊事件,造成 2023/2024 學年度學生的個人資訊受到侵害,確切受到影響的學生人數尚不明朗。

多倫多教育局 (TDSB) 是加拿大最大的地區教育局,共計有 582 所學校和大約 235,000 名學生。6月的時候,教育局通知學生家長,其技術部門使用的測試系統有偵測到未經授權的活動。此測試環境與教育局的官方網路是分隔開的。當發現異常後,TDSB 的資安團隊迅速採取相應措施,以確保資料安全並保護重要系統。

遭到洩露的學生資訊包含了姓名、學校名稱、年級、TDSB 電子郵件地址、TDSB 學號和出生月份/ 日期等。

儘管 TDSB 的資安團隊和外部專家將此次事件對學生所造成的風險評估為“低”,並且據報導遭駭資料當時並沒有被公開,後來LockBit 勒索軟體集團聲稱參與此次攻擊事件,並且要求於兩週內支付贖金。

TDSB 表示,並不知道學生資料是否在明網和暗網上公開揭露。不過TDSB 立即採取了應對措施,像是隔離並確保受影響的系統安全、斷開測試環境、加強資訊安全措施以及通知執法部門等。多倫多教育局同時也向安大略省資訊和隱私專員公署通報了這起事件。

研究人員 Dominic Alvieri 報告中稱,Lockbit勒索軟體集團聲稱對多倫多地區教育局的攻擊事件負責,並且威脅如果教育局沒有在 2 週內支付贖金,將會洩露遭竊資料。然而,這個惡名昭彰的勒索軟體組織另外也聲稱對其他企業或組織發動了數十次的攻擊,但該組織發布的一些公告顯然是錯誤滿篇,其中有些其實是其他勒索軟體集團過去公布的資料外洩事件。

近幾個月來,加拿大境內陸續遭受到多起網路安全事件的打擊,政府網路和私人企業都感受到了強烈的衝擊。

今年4 月 28 日,總公司位於加拿大卑詩省 (British Columbia) 的知名零售和藥局連鎖商店London Drugs宣布,由於遭遇到嚴重的網路侵襲,被迫暫時關閉遍布於加拿大西部的商店。這次的攻擊事件非常嚴重,導致電話線路中斷,連鎖藥局只能於實體店面現場針對有「緊急」需求的病患提供服務。

同時期發生的,還有卑詩省圖書館 (BC Libraries) 通報了一起單獨的網路攻擊事件,一名駭客從剛上線運行的伺服器中竊取資料後試圖勒索贖金,並威脅道如果無法滿足其要求就要公開相關資訊。

7 月底,兩名外國籍人士 Ruslan Magomedovich Astamirov 和 Mikhail Vasiliev在紐華克聯邦法院 (Newark federal court) 認罪,承認他們在LockBit勒索軟體 行動中所擔任的角色。 LockBit 勒索軟體行動自 2020 年 1 月以來一直十分活躍,該組織陸續攻擊了超過 2,500 個受害機構,範圍跨越120 個國家,其中美國境內就有 1,800 個機構遭受過其攻擊。

LockBit勒索軟體組織的攻擊目標涵蓋了個人、企業、醫院、學校和政府機構等。該組織一路以來收取了共計約 5 億美元的贖金,另外更造成了數十億美元連帶相關的經濟損失。

LockBit勒索軟體相關的部分的入侵指標(IOCs):

54d67710488b0e50ae015dbcadf9fb24
5a07502eb5e854aa8bd883453fc9decb
9c15aac2f31dd9e1e8d64cf8f04ea5d6
be8bf725892ddd7a200d0a1906b9387f
1f5638cf71fac8d51253360b4537b074292e70ff
28d09d35d3e5a8490ef4a4ebaa36262fa411afba
582a24a72b29e70f2de26a8d217492c7a6b983ff
78f3d5588a75efbe6a272c1f1a789d20e0ccd0c3
aaeeb05a24f6e7ef77d46ba71794490afbc414ab
166bba02413995aff28ffeb27d3bf3d5a5f6a6cd36893e252c7b9a22836f4980

RansomHub再度入侵上市企業 台灣知名日系電機廠商機敏資料疑遭竊

RansomHub勒索軟體組織宣稱竊取總計500 GB的資料,其中包括產品設計圖

竣盟科技 日前發現RansomHub勒索軟體集團攻擊台灣某大出版廠商之後,台灣老牌日系電機廠商又驚傳成為RansomHub的攻擊目標。

據勒索軟體集團暗網所洩資料,其中包含該台灣電機廠商的10張產品設計圖及廠房圖紙等。相關資料亦透露這次駭客行動所竊之資料達500 GB,另外勒索軟體集團指定的贖金期限為9月9日。

RansomHub 是今年初才興起的勒索軟體集團,然而崛起之勢非常驚人,台灣陸續受到波及的企業就有三家,前後包括知名上市公司藍天電腦、某大教科書/出版廠商,以及這次的日系電機廠商,情勢不容小覷。

自2024 年2 月開始活動以來,RansomHub 已加密並竊取了至少210 個受害企業組織的資料,這些受害單位包括用水和汙水處理、資訊產業、政府單位、醫療保健和公共衛生機構、緊急服務、糧食和農業、金融服務機構、商業設施、製造業、運輸和通訊等重要基礎設施領域。

根據美國網路安全暨基礎設施安全局CISA 於8月29日發布的資料,RansomHub 隸屬團體通常會使用網路釣魚電子郵件 [ T1566 ]、利用已知漏洞 [ T1190 ] 和密碼噴灑攻擊 (Password spraying) [ T1110.003 ]等方法來侵害對向網際網路系統 (internet facing systems) 和使用者端點。而密碼噴灑攻擊的目的是侵入鎖定之帳戶,然後進一步造成資料外洩。

也發現RansomHub集團使用AngryIPScanner、Nmap等工具進行網路掃描,還有一種利用所謂living off the land (利用受害電腦裡現成的工具,來執行攻擊行動的有關任務)攻擊手法,是透過PowerShell來執行網路掃描[ T1018 ][ T1046 ][ T1059.001 ]。

自今年年初以來,RansomHub 聲稱已成功駭入包括美國非營利信用合作社Patelco、連鎖藥局Rite Aid佳士得拍賣行、美國電信商Frontier Communications和石油產業巨擘哈里伯頓等公司。Frontier Communications 隨後也發出通知警告共計超過 75 萬名客戶,他們的個人資訊因這次事件而遭到外洩。

FBI、CISA、跨州資訊共享和分析中心 (MS-ISAC) 以及衛生及公共服務部 (HHS) 發布的聯合公告也證實,網路攻擊者是以雙重勒索的方式展開攻擊行動。

這些聯邦政府機構建議,企業組織應該優先致力於修補已經被利用的漏洞,並且針對網路郵件、虛擬私人網路 (VPN) 和連結到重要系統的帳戶都要使用高強度密碼和多因子驗證 (MFA)。同時也建議保持軟體更新並執行弱點掃描,並將其作為資訊安全規範的標準程序。

聯邦機構補充道:「不鼓勵受害企業支付贖金,因為支付贖金並不能保證受害者的檔案資料會完全復原。」

「除此之外,支付贖金還可能促使駭客集團更大膽地去對其他企業組織發動攻擊,同時也間接鼓勵其他網路犯罪者去參與勒索軟體的散布或是資助這類非法活動。」

RansomHub勒索軟體相關的部分的入侵指標(IOCs):
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