標籤: Ransomware

多倫多公共圖書館(Toronto Public Library-TPL)仍處於從Black Basta勒索軟體攻擊中恢復的過程中，Black Basta攻擊限制了其服務，令TPL的運作方式大規模的改變。圖書館人員以手工核對材料，任何退回的書本或物品都無法重新登入系統中，，大約有 100 萬件物品裝滿了 10 輛拖拉機拖車。圖書館內的公共電腦已關閉，無法提出跨分館圖書轉移請求。

多倫多市圖書館館長Vickery Bowles週三發表了一份新聞稿，解釋了自 10 月底攻擊事件曝光以來圖書館所面臨的災難性局。Bowles表示，該圖書館擁有 100 個分館，擁有 5,000 多名員工，其服務將於 1 月底開始逐步恢復。

儘管他們花了數週時間試圖恢復服務，但圖書館的線上帳戶仍然無法使用，公共電腦和印表機也無法使用。這對於依賴城市圖書館作為主要網路存取來源的人來說是毀滅性的——特別是低收入城市居民和學童。

Bowles表示，雖然許多圖書館服務仍在繼續運營，但隨著調查的繼續，圖書館仍然是犯罪現場。我們知道我們員工的個人資訊被盜，我們將在網路安全專家的支持下繼續調查資料外洩的程度。我們知道，我們是多倫多許多最弱勢群體獲得電腦的唯一管道。他們無法滿足日常需求，這尤其具有挑戰性和令人擔憂。我們還收到了依靠我們的電腦完成學業的學生、依靠我們印表機列印簡歷的求職者以及使用圖書館電腦與家人和朋友保持聯繫的人們的來信。

Bowles補充說，家庭、研究人員和其他人告訴圖書館，他們的有限存取使生活「變得更加艱難和更加昂貴」。Bowles表示，儘管遇到了困難，圖書館仍能允許顧客借閱 50 萬個實體資料，仍有近 1 萬人能夠註冊借書卡。

Bowles解釋說，漫長的恢復過程需要幾個月的時間，因為圖書館需要以一種能夠防止未來攻擊的方式恢復所有內容。

「前面的路很長，但我們期待著全面回歸，」Bowles說。“儘管這些犯罪分子傷害了我們，但他們當然沒有阻止我們履行我們的使命，即提供免費和公平的圖書館服務，以滿足多倫多人民不斷變化的需求。”

Black Basta是一個在2022年4月才出現的勒索軟體組織，已被用來攻擊全球超過 329 個組織，並已成為 2022-2023 年受害者數量第四大活躍的勒索軟體，Black Basta 沒有採用激進的前端策略，而是精心針對美國、日本、加拿大、英國、澳洲和紐西蘭的組織。研究人員認為Black Basta 可能是 Conti 的一個分支。在該組織於 2022 年 5 月解散之前，Conti的線上聊天內容被洩露，暗示其與俄羅斯政府有聯繫，並支持入侵烏克蘭。根據Elliptic 和 Corvus Insurance 的聯合研究發現，自 2022 年以來，Black Basta 勒索軟體組織已收到至少 1.07 億美元的比特幣贖金。Black Basta慣用雙重勒索策略，先竊取被害者敏感檔案和資訊，並威脅要公開資料來勒索被害者支付贖金。研究發現 Black Basta 針對VMWare ESXi伺服器製作的新型勒索軟體，同時也有感染 Windows 系統的版本。此外，許多攻擊都利用 Qakbot（也稱為 QBot）來幫助其在組織中橫向傳播、執行偵察、竊取資料和執行有效負載。

2023 年，多個城市圖書館系統面臨攻擊，其中包括涉及大英圖書館（世界上最大的圖書館之一、英國國家圖書館）的重大事件。

勒索軟體Black Basta的部分入侵指標(Indicator of compromise -IOCs):

e8f5fa12faea9430645853fbb24ce46a5a62cb906168dd17b62d865ddfe201e3

e2eb9029fd993a9ab386beb7ca4fa21a1871dc0c7568eb802cac1ea3c53cad8b

d4dd79c97b091dd31791456c56d727eb0b30af9c0172dd221556d28495b8a50f

cd5b4bd824bad0be78e4cdf6d7fe8a950bd63f294713b8cb49de887d8a8410bc

4f7d97bf4803bf1b15c5bec85af3dc8b7619fe5cfe019f760c9a25b1650f4b7c

102.184.151.194

102.40.236.32                

104.194.10.130                      

104.243.38.65                

105.111.60.60

密蘇里州堪薩斯城(Kansas City)的一家名為自由(Liberty) 的醫院本週因網路攻擊限制其系統而難以為患者提供護理。自由醫院在周三(12/21)的更新中表示，該醫院仍在處理週二開始的電腦系統中斷問題。該機構最初不得不將一些患者轉移到其他醫院，但官員表示情況已經穩定，我們繼續按照標準的斷網方案照顧患者。我們沒有在一夜之間將任何額外的患者轉移到其他設施。今天，我們繼續積極調查中斷的根源。

醫院在周三的更新中表示，病患的安全和照護以及讓我們的系統恢復上線是我們的首要任務。我們預計這個過程需要時間。我們的初級和專科護理診所繼續接待某些患者，並根據需要重新安排其他患者。如果您需要重新配藥，請致電您的提供者辦公。

週二(12/20)，醫院敦促那些需要醫療護理的人去其他醫院。官員表示，一些患者被轉移到其他機構，多家當地新聞媒體報道稱，醫院聯繫了堪薩斯城消防局等消防和緊急醫療服務部門，尋求幫助轉移患者。

週二，自由醫院營運長Mike Hopkins告訴《堪薩斯城星報》，消防部門運送了約 30 名患者，另有 10 至 15 名患者被緊急醫療服務機構送往其他醫院。該醫院在周二的聲明中解釋說，在電腦系統癱瘓的情況下，它仍一直在努力記錄患者護理情況。

官員們無法透露這個問題會持續多久，醫生正在與預約的患者聯繫，以找出替代方案。幾名患者告訴當地新聞媒體的記者，他們對不得不重新安排所需的預約感到沮喪，有些患者是在到達醫院後才發現的。

儘管該醫院沒有回應有關這是否是勒索軟體事件的置評請求，但KMBC 報道稱，獲得了獨家消息，該醫院的官員收到了一張勒索信。“我們已經入侵你並下載了你公司的所有機密資料。據報道，該消息稱，它可以傳播給人們和媒體。你的名譽將會被毀掉。不要猶豫，拯救您的生意。我們是能夠快速恢復您的系統的人。從現在開始，您有72小時的時間聯繫我們。” 資安專家Brett Callow亦在其X貼文中證實，Inc.勒索軟體為這次的幕後黑手。

Inc.勒索軟體是2023 年 7 月出現的新型勒索軟體，Inc.將自己定位為受害者挽救聲譽的服務提供者， Inc.勒索軟體業者針對多個行業，這包括對醫療保健、教育和政府實體的攻擊。觀察到的方法包括魚叉式網路釣魚電子郵件以及針對易受攻擊的服務。這包括 Citrix NetScaler 中CVE-2023-3519的利用。一旦威脅行為者獲得初步存取權限，就會利用各種COTS或LOLBIN來繼續內部偵察和橫向移動。與 Inc. 勒索軟體操作相關的工具包括：

NETSCAN.EXE – 多協定網路掃描器和分析器

MEGAsyncSetup64.EXE – 用於 MEGA 檔案共用/同步/雲端服務的桌面應用程式

ESENTUTL.EXE – 用於資料庫管理和復原的 Microsoft 實用程式

AnyDesk.exe – 遠端管理/遠端桌面

勒索軟體攻擊者不休假，這次聖誕節假期攻擊為勒索軟體組織持續專門針對醫療機構的災難性的一年畫上句號。2023 年全年，數十家醫院在勒索軟體攻擊後被迫轉移救護車並關閉部門，危及數千人的生命。

Insomniac Games 是《拉捷特與克拉克》系列和《漫威蜘蛛人》系列等遊​​戲的開發商，遭Rhysida勒索軟體入侵，連目前正打造的全新遊戲《漫威金鋼狼》的大量遊戲資料如遊戲截圖及角色設計等遭到駭客提前被曝光。

12月13日，Sony旗下電玩遊戲開發商 Insomniac Games 的系統據稱遭到Rhysida 勒索軟體集團的駭客攻擊，Rhysida聲稱對這起事件負責，並宣布，如果 Insomniac和Sony不付款，該組織將以 50個比特幣(200 萬美元)的價格出售所獲得的所有數據。

作為成功入侵的證據，Rhysida公開了 Insomniac Games機密數據，這些資料包括《漫威金鋼狼》遊戲截圖、其他漫威相關角色圖片、公司員工的護照掃描檔案，甚至包括在《漫威蜘蛛人》系列中為「蜘蛛人」主角Peter Parker配音的配音演員 Yuri Lowenthal ，其個資也被公布，其餘外洩資料還包括公司內部電郵和已簽署的機密文件等等。

Sony已就此事向《Video Games Chronicle》發表聲明，寫道「我們獲悉有關 Insomniac Games 成為網路安全攻擊受害者的報導」。該公司表示，“目前正在調查這一情況”，但指出，但無理據顯示，其他Sony部門亦受影響。

Rhysida 是網路犯罪領域相對較新的參與者，首次出現於 2023 年 5 月。美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）就曾在 11 月對 Rhysida 的攻擊行動發出警告， 將其歸類為針對各行業「機會目標」的威脅者，攻擊目標包括教育、醫療保健、製造、資訊科技和政府。據了解該組織已針對近50個組織發起了攻擊，其中包括智利政府、大英圖書館和 Prospect Medical Group進行了高調的攻擊，Rhysida經營著一種以盈利為主的勒索軟體即服務 ( RaaS )，據信Rhysida的前身是Vice Society勒索軟體。根據Check Point的研究，Rhysida 和 Vice Society 部署的策略包括遠端桌面協定 (RDP) 連線、遠端 PowerShell 工作階段 (WinRM) 以及使用 PsExec 等工具進行橫向移動。值得一提的是，攻擊者展示了先進的防禦規避能力，刪除日誌和取證工件以阻礙偵測和分析，Rhysida 的勒索軟體負載部署從最初的橫向移動到廣泛部署僅花了八天。

Rhysida的部分入侵指標(Indicator of compromise -IOCs):

f875ebf4c6809e76775d54f389840da67d236b36

5b1bb39d0caa11e4ce62248ff2d031dae28725fc

6633fa85bb234a75927b23417313e51a4c155e12f71da3959e168851a600b010

4e34b9442f825a16d7f6557193426ae7a18899ed46d3b896f6e4357367276183

97766464d0f2f91b82b557ac656ab82e15cae7896b1d8c98632ca53c15cf06c4

於 2023 年第三季才出現，名為Hunters International的新勒索軟體團隊已獲取了Hive勒索軟體（已遭美國FBI瓦解）的原始碼和基礎設施，並發起了屬於Hunters International的攻擊，最近(11月14日) 竣盟科技發現Hunters International的揭秘網站聲稱攻擊了台灣某大上市生醫集團，將其列入受害者名單，Hunter International稱已盜取約236GB的資料，約超過十萬個檔案，據稱當中檔案的範圍包含客戶投訴數據-資料庫備份檔（HR相關、CRM相關和其他）-財務數據（付款、報告、審計等）-營業單位數據（訂單，產品配方，實驗室測試，包裝等） – 美國子公司數據（網路設置、稽核、供應商、員工數據等）-客戶數據（訂單、混合配方、產品處方、實驗室測試、郵件等。

根據Bitdefender技術解決方案總監 Martin Zugec 在一份報告中表示：“ Hive 團隊的領導層已做出停止運營並將剩餘資產轉移給另一個團隊 Hunters International 的戰略決策。 ”為了保持連續性並避免執法調查，勒索軟體背後的駭客者經常進行品牌重塑、重組或重新定位其業務等變化。這項轉變非常重要，因為不僅是操作知識，連原始碼也被轉移，這毫無疑問為 Hunters International提供了一套完全開發的工具來啟動其惡意操作。上個月下旬，資安研究員@rivitna2率先偵測到 Hunters International 和 Hive 勒索軟體樣本之間的程式碼相似性。另一個資安研究員@BushidoToken還發現了多個程式碼重疊和相似之處，報告兩組碼程式碼之間至少有 60% 的匹配度。資安全產業最初的共識是 Hunters International 是 Hive 的更名版本，這是網路犯罪分子在重大破壞後經常觀察到的做法。

然而，Hunters International在一份不同尋常的聲明中回應了這些猜測，這是該組織迄今為止唯一的聲明。他們宣稱，他們不是 Hive 的更名版本，而是一個獨立的勒索軟體組織，只是從 Hive 獲取了原始碼和基礎設施。

值得指出的是Hunters International與其他勒索軟體組織的區別在於，即其主要重點是資料外洩。這個新組織的勒索軟體攻擊不僅涉及勒索，還涉及提取有價值的資訊。有趣的是，儘管所有受害者的資料都被盜取，迄今為止，資料從未被加密。程式碼分析也顯示 Hunters International 的開發人員簡化了程式碼。Hunters International 試圖透過減少命令列參數、更簡潔的惡意軟體和簡化的加密金鑰儲存方法來簡化其攻擊。不相關的檔案名稱、檔案副檔名或目錄不會被加密，該勒索軟體還專門攻擊備份和復原功能。目標是停用備份並停止復原。這種對勒索軟體概念的全新詮釋將Hunters International繪成一個更像敲詐勒索的組織。

Hunters International的部分入侵指標(Indicator of compromise -IOCs):

hunters33mmcwww7ek7q5ndahul6nmzmrsumfs6aenicbqon6mxfiqyd.onion

hunters55rdxciehoqzwv7vgyv6nt37tbwax2reroyzxhou7my5ejyid.onion

c4d39db132b92514085fe269db90511484b7abe4620286f6b0a30aa475f64c3e

94b6cf6c30f525614672a94b8b9788b46cbe061f89ccbb994507406404e027af

竣盟科技建議針對勒索軟體的應對措施：

＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。

＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。

＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。

＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。

＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階欺敵系統等產品，可以早期發現，並防止威脅擴散。

對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”