麒麟勒索軟體攻擊澳洲法院系統 聽證紀錄遭竊

法院稱首次檢測到攻擊是在12月21日,但根據事後的調查,入侵發生於12月8日。

1月2日,澳洲維多利亞法院服務處 (Court Services Victoria-CSV) 披露,法院案件和法庭受到網路安全事件的影響,造成法庭內視聽技術網路被中斷,影響錄音和轉譯服務,攻擊者可能已存取聽證會紀錄。這次攻擊是在 12 月 21 日聖誕節假期前夕被發現的,當時工作人員的電腦被鎖定,螢幕上顯示主題為「YOU HAVE BEEN PWND」的訊息。維多利亞州法庭服務處執行長Louise Anderson透過聲明表示,需要時間來確定哪些錄音和筆錄受到影響,Anderson稱他們在2023 年 12 月 21 日首次檢測到網路攻擊,該攻擊允許駭客中斷運作並存取其錄音和筆錄的檔案。雖然在檢測到的當下,受影響的系統立即被隔離和停用,然而根據隨後的調查顯示,該入侵發生在更早的日期,即 2023 年 12 月 8 日。聲明指出2023年11月1日到12月21日的部分法院聽證會錄音可能已失竊;11月1日之前的一些聽證會錄音已在網路攻擊中被存取,據信,一些失竊的錄音可能涉及身份受法院保護令的人。

具體來說,以下法院和司法管轄區受到了安全事件的影響:

最高法院—上訴法院、刑事庭和實務法院於 12 月 1 日至 21 日期間舉行聽證會,並於 2023 年 11 月舉行兩次地區聽證會。

縣法院-2023 年 11 月 1 日至 12 月 21 日期間所有刑事和民事法院舉行聽證會。

治安法院-2023 年 11 月 1 日至 12 月 21 日期間審理了一些案件。

兒童法庭-2023 年 10 月起舉行一場聽證會。

驗屍法庭– 2023 年 11 月 1 日至 12 月 21 日期間舉行的所有聽證會。

澳洲法院將向那些被視為受事件影響的人發出通知,並已向包括維多利亞警察局、維多利亞州政府服務部和澳洲國家身分和網路支援社區服務 (IDCARE) 等單位通報了資料外洩事件,他們正在協助調查和應對。

儘管維多利亞法院服務處仍在重組受影響的系統,但維多利亞州法院的運作不會受到影響,預計於 2024 年 1 月審理的所有案件都將正常進行。維多利亞法院沒有透露對此次攻擊負責的網路犯罪分子的名字,但接受 澳洲 ABC News採訪的消息人士稱,此次攻擊是由麒麟(Qilin)勒索軟體組織發動的。麒麟勒索軟體作業於 2022 年 8 月以「Agenda」名稱啟動,但後來更名為麒麟。2022 年 10 月,台灣某上市製藥大廠也被列為其受害者。2023 年 11 月,一般來說,麒麟透過發送包含惡意連結的網路釣魚電子郵件來瞄準受害者,以存取其網路並竊取敏感數據,一旦麒麟完成初始存取,它通常會在受害者的基礎設施中橫向傳播,試圖找到要加密的關鍵統計數據。加密資料後,麒麟留下勒索字條“您的網路/系統已加密,加密的檔案具有新的檔案副檔名”,並要求勒索贖金以支付解密金鑰。

有關麒麟的部分入侵指標(Indicator of compromise -IOCs):

555964b2fed3cced4c75a383dd4b3cf02776dae224f4848dcc03510b1de4dbf4

417ad60624345ef85e648038e18902ab

76f860a0e238231c2ac262901ce447e83d840e16fca52018293c6cf611a6807e

fd7cbadcfca84b38380cf57898d0de2adcdfb9c3d64d17f886e8c5903e416039

汽車零部件大廠延鋒Yan Feng遭麒麟勒索軟體入侵 克萊斯勒、道奇、吉普等汽車工廠遭影響 生產線暫停

中國汽車零部件供應商延鋒(Yan Feng)向通用汽車、大眾集團、福特、Stellantis(Fiat、克萊斯勒、吉普、道奇)、寶馬、戴姆勒、豐田、本田、日產和上汽集團銷售內裝零件,該公司是這些汽車製造商供應鏈的重要組成部分,在全球 240 個地點擁有超過 57,000 名員工。根據資安網站Cybernews麒麟(Qilin)勒索軟體組織聲稱對延鋒的網路攻擊負責。對這家中國供應商的攻擊對北美汽車製造供應鏈產生了連鎖反應,導致多家美國工廠中斷,其中包括全球汽車製造商 Stellantis 營運的工廠。

本月早些時候,有 報導 稱對延鋒網路攻擊的直接影響到Stellantis,迫使該汽車公司停止其北美工廠的生產。Cybernews 聯繫了延鋒,該公司沒有回應,也沒有就攻擊發表公開聲明。然而延鋒網站癱瘓了一個多星期,直到昨天它的主要網站才重新上線,但沒有任何有關斷網的聲明。另外吉普車主也報告說,客戶服務熱線癱瘓了好幾天。

Stellantis (原菲亞特克萊斯勒,2023 年與法國 PSA 集團合併) 在美國擁有 22 家製造工廠,加拿大有 6 家,墨西哥有 7 家。

11 月 15 日,根據Stellantis的發言人,「由於外部供應商的問題,Stellantis 的一些北美組裝工廠的生產受到干擾。我們正在監控情況並與供應商合作,以減輕對我們營運的進一步影響。」

據威脅研究專家Kevin Beaumont指出,這次攻擊是駭客利用了名為Citrix Bleed(CVE-2023-4966,CVSS風險評分為9.4)的零時差漏洞。

根據美國網路安全和基礎設施安全局(CISA) ,駭客利用Citrix Bleed漏洞入侵網路環境,可以繞過密碼和多因素身份驗證(MFA) 請求,從而成功劫持Citrix NetScaler Web 應用程式交付控制(ADC) 和網關設備上的合法用戶會話, 一旦進入目標網路,駭客就會利用各種遠端和網路監控工具來獲得進一步的存取權並找到將使用勒索軟體加密的最終伺服器。

麒麟(又名 Agenda)於 11 月 27 日(星期一)在其揭秘網站上發布了延鋒頁面,並附上了23 張盜竊數據的截圖。麒麟稱,截圖證實我們擁有大量敏感資料,並將在未來幾天內發布這些資料。

另外Group-IB在上週發布其在3月秘密調查的報告,揭露了麒麟勒索軟體集團的內部運作。該組織於 2022 年首次被發現,經常使用網路釣魚電子郵件來瞄準受害者。Group-IB 研究人員被認為與俄羅斯有聯繫,他們發現了該集團的會員是如何佈局的。

「對於總額為 300 萬美元或以下的勒索金額,會員可以獲得 80% 付款項。對於超過 300 萬美元,他們則可以獲得 85%,」Group-IB 表示。

根據威脅情報公司 Cyble 發布的 2023 年第二季勒索軟體報告,2023 年上半年針對全球製造業的勒索軟體攻擊激增了 130%。

此次之前,2022年10月,麒麟勒索軟體曾入侵某台灣製藥大廠:

新加坡電信Singtel旗下第二家澳洲子公司發生資安事件,疑出自麒麟(Qilin)駭客組織之毒手;同時麒麟的揭秘網站上也驚見台灣受害企業

Dialog及某台灣製藥大廠出現麒麟(Qilin)的揭秘網站

繼澳洲的第二大電信業者Optus坦承上月被駭,近1000萬人個資外洩後,新加坡電信公司(Singtel) 於10/10表示,旗下第2家澳洲子公司也遭駭客入侵,Singtel向新加坡交易所(Singapore Exchange)遞交文件,其中包括該公司4月收購的澳洲IT 服務提供商 Dialog的聲明,證實有一個未經授權的第三方恐已取得Dialog的資料。根據外媒報導,針對Dialog的攻擊是來自僅在 Windows 系統上運作的 Agenda 勒索軟體。

Dialog 在澳洲的客戶包括新南威爾士州選舉委員會、公共服務部、昆士蘭衛生局、澳洲維珍航空、澳洲國民銀行(NAB)、Suncorp、阿爾弗雷德衛生局、塔斯馬尼亞大學等,作為IT服務提供商,Dialog擁有1000 多名 IT 專家。Agenda 於2022年8月被發現,是相對較新的勒索軟體,Agenda具有多種功能,包括以安全模式重啟系統並停止特定於伺服器的進程和服務,以及運行多種模式。Agenda還具有檢測規避技術,更改使用者密碼並啟用自動登錄,Agenda利用受影響設備的全模式功能來繼續其檔案加密而不被發現,根據TrendMicro資安研究報告,麒麟駭客組織是分發Agenda勒索軟體的幕後黑手。

Singtel表示,Dialog的資安事件恐對1000名Dialog現有及前員工,以及約20名客戶造成影響。據悉,首次發現遭駭客攻擊是在9月10日,之後在10月7日再度發現Dialog的小規模資料外洩,其中包括部分員工的個資被公布在麒麟(Qilin)的揭秘網站上。

另外,根據竣盟科技的觀察,麒麟的揭秘網站上,也出現台灣受害企業,該企業為國內上市製藥大廠,麒麟於9月15日公開該受害企業,並於9月22日發布盜竊得來的相關資料。

Agenda勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

E4a319f7afafbbd710ff2dbe8d0883ef332afcb0363efd4e919ed3c3faba0342

28aeb2d6576b2437ecab535c0a1bf41713ee9864611965bf1d498a87cbdd2fab

117fc30c25b1f28cd923b530ab9f91a0a818925b0b89b8bc9a7f820a9e630464

 “轉貼、分享或引用文章內容,請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”