標籤: REvilRansomware

REvil又來了，印度最大鋼鐵生產商塔塔鋼鐵，遭REvil勒索軟體入侵，藍圖被公開

Posted on by blogadmin

Key Points:

*塔塔鋼鐵(Tata Steel) 沒有與駭客談判，也沒有支付贖金

*由於沒有談判，駭客已公開了塔塔鋼鐵生產線機器的Autocad技術圖紙

*據稱加密發生在2021年3月25日，所以已經有十多天了

塔塔鋼鐵在REvil的Happy Blog中的頁面

REvil勒索軟體的背後駭客與塔塔鋼鐵的線上聊天，塔塔沒有任何回應

根據LeMagIT，最初的贖金需求為400萬美元，後來又增加了一倍，變成相當於800萬美元的門羅幣，在贖金的網頁上已經沒有其他可加倍的金額，據相信下一階段駭客將發布樣本的檔案，並將其餘竊取到的檔案出售給其他駭客或感興趣的買家。

REvil勒索軟體最近特別活躍， 繼先前3月20日宏碁集團中REvil勒索軟體遭勒索5000萬美元後，在4月5日，日月光代子公司環旭電子公告，其控股子公司Asteelflash Group有部分伺服器也感染REvil勒索軟體。

在過去的幾年中，REvil（又名Sodinokibi）一直是最泛濫的勒索軟體即服務（RaaS）之一，藉由招募合作夥伴，以提供勒索軟體為手法，於獲得贖金後再拆帳的模式經營。REvil曾利用Pulse Secure VPN漏洞，入侵倫敦外匯交易公司Travelex的網路而聞名。

在3月29日The DFIR Report的資安研究員觀察到REvil入侵始於惡意垃圾郵件，該惡意垃圾郵件將含有IcedID（Bokbot）丟到受害環境中，以允許隨後存取分發REvil勒索軟體。在入侵過程中，威脅參與者將權限提升為Domain Administrator，竊取數據，並使用REvil加密所有的系統。根據該研究報告:

*REvil的攻擊勒索時間Time to Ransom(TR): 4小時

*入侵初期Initial Access使用: IcedID

*Discover使用: nltest, net, wmic, AdFind, BloodHound, etc.

*權限提升使用: UAC-TokenMagic & Invoke-SluiBypass

*逃避偵測使用: Safe Mode & new GPO

*滲透使用: Rclone

*C2使用: CobaltStrike

攻擊時程如下:

Credit to The DFIR Report

更多有關報告的資訊，請參見: https://thedfirreport.com/2021/03/29/sodinokibi-aka-revil-ransomware/

有關REvil的情資，請參考如下:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

日月光旗下環旭電子的法國子公司Asteelflash也中了 REvil 勒索軟體

Posted on by blogadmin

Key Points:

*日月光旗下子公司環旭電子持股100%的控股公司 Asteelflash Group  於 4月2日 公佈在IT團隊的例行檢查中發現部分伺服器感染REvil勒索軟體。

*根據TechNadu 的報導切入點疑是Microsoft RPC遠端程式呼叫服務

*根據BleepingComputer的報導， 勒索金高達2400萬美元

*此次之前，Acer也被REvil勒索軟體攻擊並被勒索5000萬美元的贖金

REvil對Asteelflash集團的勒索贖金約2400萬美元 (Photo credit:BleepingComputer)

根據BleepingComputer的報導，REvil最初索要1200萬美元的贖金，但隨著時間過去，贖金加倍，達到2400萬美元。BleepingComputer取得了REvil與Asteelflash在Tor付款頁面上的談判對話，REvil為了證明攻擊成功，分亨了一份名為asteelflash_data_part1.7z的檔案。至此兩方之間的對話陷入僵局，沒有更多有關對贖金部分的資訊。

另外，根據TechNews，環旭電子對此一資安事件也發布聲明，指出 Asteelflash發現伺服器被感染後，及時啟動應急回應措施，避免進一步傳播擴散。雖有部分生產據點的產能受到影響，但經過 IT 人員和外部安全顧問的努力，目前 Asteelflash集團的訊息系統已恢復正常，而受影響的生產據點已全部恢復正常運營。

Revil 也稱為Sodinokibi，於2019年4月問世，成為當今世界上危害最大的和最多產和的勒索軟體之一， 根據日本資安研究員辻伸弘的統計 ，由2019年12月直至2021年3月REvil共加密了193受害公司。

另外，值得關注的是,REvil勒索軟體已演變能通過網路將目標電腦重啟動到安全模式 (Safe mode) 來運作以逃避/disable EDR,附上Malware Hunter team研究人員發現 REvil 的最新sample如下 :

Argument: -smode

有關REvil的情資，請參考如下:

https://otx.alienvault.com/pulse/60620612447fce2d8297e899

https://otx.alienvault.com/pulse/5ef222cc894e26def88c012f?fbclid=IwAR3kW9d-gk-6L_ZXX9oV0smDFV3K-PppBIw_tIrM4iwKqT9VJ1WrwzptSh8

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

美國威士忌中蟬連第一的田納西威士忌-Jack Daniel’s Whiskey的母公司Brown-Forman百富門集團遭受REvil勒索軟體攻擊，被盜竊1TB數據。

Posted on by blogadmin
Pin on Whiskey
Jack Daniel’s 威士忌

美國最大的烈酒公司Brown-Forman，歷史悠久，旗下品牌眾多包括Jack Daniel’s Whiskey，Old Forester， Woodford，Glenglassaugh等等。Brown-Forman總部位於肯塔基州。在全球共有6000多名員工，年銷售收入20多億美金。

REvil勒索軟體背後駭客於上周五宣布，他們已經破壞了Brown-Forman的電腦網路，並用一個多月的時間檢查Brown-Forman的用戶服務，雲端數據存儲和總體結構。據外媒BleepingComputer報導, REvil勒索軟體背後駭客在其揭秘網站上發布了多個螢幕截圖，其中顯示了據稱屬於Brown-Forman的目錄和文件。Revil聲稱他們竊取了1TB數據，其中包括公司協議、合同、財務報表和內部通信的等等機密數據。



隨後Brown-Forman在一份聲明中披露了該事件，承認遭受到勒索軟體的攻擊，同時他們披露了有關該事件的一些細節，該公司也向當局報告了此資安事件，並聘請了世界一流的第三方數據安全專家來調查此事件並盡快解決此問題。Revil勒索軟體攻擊的最後一步是加密數據，但REvil此次並未部署此例程攻擊。Brown-Forman發言人告訴外媒，他們在數據被鎖定之前就發現了攻擊，並成功將其阻止。

Brown-Forman發言人說，很遺憾我們認為某些數據包括員工數據受到了影響。我們正在與執法部門以及世界一流的第三方數據安全專家緊密合作，以儘快緩解和解決這種情況。

REvil勒索軟體於五月駭入了美國娛樂律師事務所 Grubman Shire Meiselas & Sacks和斯里蘭卡電信, 六月攻擊了阿根廷電信和澳洲飲料大廠Lion公司, 七月入侵了西班牙國家鐵路公司Adif等等,行徑相當大膽!

有關REvil 的情資:

https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

禍不單行, 日本麒麟Kirin 旗下澳洲Lion公司二度受駭！

Posted on by blogadmin

禍不單行, 日本麒麟Kirin 旗下澳洲Lion公司二度受駭！

澳洲飲料公司Lion在幾天內遭受第二次網路攻擊，日本麒麟控股Kirin的澳洲子公司Lion 於6月8日發布公告，稱其系統遭遇網路攻擊而癱瘓，它們已採關閉IT系統等措施，影響了其生產線和客戶供應服務等問題。據了解駭客使用REvil勒索軟體攻入Lion，加密了Lion公司的文件並破壞其IT系統，在第一次攻擊時，導致製造流程和客戶服務中斷，據Lion官方網站，它們於6月15日在恢復其系統的運作已經取得良好的進展, 另外也積極地儘快恢復生產缐。Lion公司並未付贖金，據了解REvil經常會在受害者未付贖金的情況下，在暗網上洩漏少量文件作為威脅，將其作為一種討價還價的手段。

雪梨晨鋒報Sydney Morning Herald報導 , Lion公司的CEO, Stuart Irvine在周四(6月18)下午3點的員工會議上對員工說，它們遭到了第二次的網路攻擊，繼而使它們的IT系統進一步被破壞。該公司沒有透露第二次攻擊的詳細過程和相關資訊，僅只證實了第二次攻擊是預期的，攻擊手法也一樣，它們已僱用資安公司Accenture協助其進行恢復運作。

消息人士稱， Irvine對員工說這次攻擊被形容對公司的對網路危機的重大挑戰, 但Irvine也進一步表示, Lion公司現在已經採取了新的控制措施和技術來防止進一步的攻擊。

另外根據資安研究員Shadow Intelligence 的twitter上, 可見REvil 背後的駭客組織已公開他們盜來有關Lion公司的資訊。

根據Sydney Morning Herald報導REvil 的駭客組織要求80萬美金相等於116萬澳元的Monero加密貨幣來解密Lion公司的文件, Lion拒絕評論80萬美元勒索的報導。

有關REvil 的情資: https://otx.alienvault.com/pulse/5dfb4e6841d3dcb0058366ff

https://otx.alienvault.com/pulse/5d94e526aed10286c1219a4e

參考來源: https://read01.com/8aEjmx0.html

https://www.smh.com.au/technology/cyber-crisis-deepens-at-lion-as-second-attack-bites-beer-giant-20200618-p5540c.html

*****竣盟科技快報歡迎轉載，但請註明出處