英國NCA、美國FBI公開LockBit幕後首腦身分

執法單位宣布,他們已經識別、制裁並起訴了LockBit的幕後主使Dmitry Yuryevich Khoroshev

歷史上最臭名昭著的勒索軟體組織之一的領導者身份終於被揭露,週二(5月7日),由英國國家犯罪局(National Crime Agency-NCA))領導的執法聯盟宣布,31歲的俄羅斯公民Dmitry Yuryevich Khoroshev是暱稱“LockBitSupp”的幕後黑手,他也是LockBit勒索軟體的管理員和開發者,作為「為網路犯罪集團履行各種營運和管理職責」的一部分,Khoroshev據稱負責升級 LockBit 基礎設施、招募新的勒索軟體開發人員以及管理 LockBit 附屬成員。美國司法部也宣布對Khororshev提出起訴,指控他犯下電腦犯罪、詐欺和勒索罪。針對 Khoroshev 的行動是 NCA、FBI 和組成克諾司行動(Cronos Operation) 的國際執法工作小組對 LockBit 組織進行廣泛且持續調查的一部分。今年2 月,LockBit 基礎設施受到名為克羅諾斯行動的國際執法行動的嚴重破壞,導致兩人被捕、34 台伺服器被關閉、超過14,000 個流氓帳戶被關閉、200 多個加密貨幣帳戶被凍結。

現在,「LockBitSupp」首次被國際執法團隊揭露。在周二公佈的一份起訴書中,美國聯邦檢察官表示,Khoroshev及其下屬在掌管 LockBit(最多產的勒索軟體組織之一)的五年期間,向約 2,500 名受害者勒索了 5 億美元,其中約 1,800 名受害者位於美國,據稱Khoroshev從收入中分成了約 1 億美元。起訴書指控該俄羅斯國民犯有一項共謀實施欺詐、勒索和與電腦有關的相關活動的罪名,一項共謀實施電信詐欺的罪名,八項故意損壞受保護電腦的罪名,八項與電腦有關的勒索罪。如果罪名成立,Khoroshev最高將面臨 185 年監禁。他現在將受到一系列資產凍結和旅行禁令。除了起訴書之外,美國財政部官員以及英國和澳洲財政部官員也宣布對Khoroshev實施制裁。除此之外,美國的制裁允許官員對任何向 LockBit 集團付款或協助付款的美國人處以民事處罰。美國國務院也宣布懸賞 1000 萬美元,獎勵任何導致Khoroshev被捕和/或定罪的資訊。

英國國家犯罪局 (NCA) 在滲透 LockBit 基礎設施後發現,該組織在2022 年6 月至2024 年2 月期間發動了7,000 多次攻擊,主要針對美國、英國、法國、德國和中國的實體,其中包括100 多家醫院和醫療保健組織。超過 2,100 名受害者與該組織進行了某種形式的談判,雖然 LockBit 仍在繼續運營,但其活動目前比中斷前的水平減少了 70% 以上,至少在英國是如此。 NCA 表示,目前活躍的附屬機構不夠成熟,影響力也較小。

在打擊LockBit之前,NCA 確定了有194個使用 LockBit RaaS 的附屬成員,但自 2 月以來,這一數字已降至69 。NCA 提供了一份包含所有已發現身分的清單,其中包括新附屬成員的全名。該機構表示,目前擁有超過 2,500 個解密金鑰,並正在聯繫 LockBit 受害者,以協助他們恢復資料。

隨著克諾司行動在 10 個國家/地區執法機構的支持下繼續進行,歐洲刑警組織週二宣布,已識別出 33 個國家/地區的 3,500 多名 LockBit 受害者,強調受害者可以使用NoMoreRansom網站上提供的免費恢復工具來恢復其資料。

談判破裂?! Underground Team一口氣公開十一名受害者 包含一家台灣Nas設備業者

5 月1日,竣盟科技在Underground Team的暗網揭秘網站上,發現該組織公開了十一名受害者,當中包括某台灣Nas大廠,據了解,該大廠疑是在2023 年七月中旬遭到Underground Team攻擊,被盜51GB的資料。在Nas大廠的頁面,Underground Team 公開了竊盜得到的資料夾包含該大廠的德國子公司資料,目前尚不清楚此次攻擊的立足點是德國子公司或是台灣總部。

Underground Team勒索軟體使用 Microsoft Visual C/C++ 編寫,在 64 位元系統上運作。當它感染電腦時,會執行各種操作,例如刪除檔案的備份副本、更改Windows登錄檔中的設定以及停止名為 MSSQLSERVER 的特定資料庫服務。為了實現這些操作,勒索軟體使用特定的命令。例如,它使用命令刪除電腦上儲存的檔案的備份副本,使用戶更難恢復檔案。它還使用命令來調整與遠端桌面Session相關的設置,以影響遠端存取電腦的方式。

根據Cyble的研究報告,Underground Team還會強制停止 MSSQLSERVER 服務,這會導致破壞特定類型資料庫的功能。之後,勒索軟體會尋找受害電腦上的磁碟機和檔案系統,透過使用作業系統提供的某些功能來實現此目的。一旦辨識出驅動器,它就會在電腦上的各個資料夾中投放名為「!!readme!!!.txt」的勒索字條。接下來,勒索軟體便開始搜尋要加密的檔案和目錄並透過逐一掃描它們來做到這一點。此外,Underground Team會從加密過程中排除某些檔案名稱、檔案副檔名和特定資料夾。一旦檔案被識別,勒索軟體就會對其進行加密,使其無法讀取,但不會更改加密檔案的名稱或新增任何新的副檔名。加密完成後,Underground Team 勒索軟體會建立一個名為「temp.cmd」的檔案並執行它。該檔案旨在刪除特定文件、清除事件日誌以及將其自身從電腦中刪除,這樣做是為了隱藏它的存在並掩蓋其蹤跡。

Photo Credit: Cyble

勒索軟體和相關的數據洩露事件會嚴重影響業務流程,使組織無法存取營運和提供關鍵服務所需的數據。

竣盟科技建議您針對勒索軟體的應對措施:

*由於您的所有文件都是使用軍用級加密算法進行加密的,而且密鑰在犯罪者手上,因此基於原始數據復原(指解密),這是個無解的困境。

*向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後,對方有可能會就此停止聯繫,甚至解密器可能無法工作,或其本身帶來了更多威脅。

*千萬不要使用號稱功能強大的反惡意軟體,這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後,您可能失去的更多。

*針對勒索病毒的危害,正確的應對措施是平日的多重備份機制與定時的還原演練。

*除了基本的防火牆外,還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護,以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

*佈署威脅偵測機制,如 SIEM、HIDS、封包檢測及進階欺敵系統等產品,可以早期發現,並防止威脅擴散。

對於重要的交易系統,可以佈署執行程序限制方案,防止惡意程式的執行。

*透過教育訓練與各種攻擊演練,加強終端用戶的資安防護意識。

有關Underground Team的部分入侵指標(Indicator of compromise -IOCs):

059175be5681a633190cd9631e2975f6

fb4ad5d21f0d8c6755eb4addba0ac288bd2574b6

d4a847fa9c4c7130a852a2e197b205493170a8b44426d9ec481fc4b285a92666

“轉貼、分享或引用文章內容,請註明出處為竣盟科技 https://www.billows.tech , 以免觸法”

加拿大連鎖藥局London Drugs受網路攻擊 系統癱瘓 關閉所有門市

約80家門市週日(4/28)突然關閉,至今已停業三日,目前沒有重新開業的時間

Photo Credit: Ben Nelms/CBC News

上週日(4月28日),據CityNewsCTV報道,加拿大連鎖藥局 London Drugs在檢測到網路攻擊後,關閉所有門市,直到另行通知。根據媒體報道London Drugs拒絕回答有關入侵的具體問題,包括是否部署了勒索軟體 ,但發表聲明表示,出於高度謹慎的考慮,在2024 年 4 月 28 日發現自己成為網路安全事件的受害者後,加拿大西部各地的 London Drugs 商店暫時關閉,直至另行通知。在發現這起事件後,London Drugs公司立即採取對策保護其網路和數據,包括聘請領先的第三方網路安全專家協助遏制、補救和進行取證調查, London Drugs建議顧客如果有“緊急藥房需求”,請致電當地藥房進行安排。據CTV報道,有London Drugs的客戶服務代表表示,「我們所有的系統都癱瘓了」,門市暫時無法處理任何交易。

London Drugs在太平洋時間4月28日下午5:30左右通過電子郵件發送給加拿大CBC News的聲明中表示,目前我們沒有理由相信客戶或員工數據受到影響。此外該公司表示,藥劑師隨時待命以應對緊急需求。然而該公司的電話線路也仍然處於停機狀態,但表示顧客可以親自前往當地商店,那裡的工作人員將為他們提供協助。

London Drugs在X(以前稱為Twitter)上發文證實了其門市的關閉

由於London Drugs已停業三日,有專家指出今次網路攻擊情況嚴重,建議公眾考慮更改信用卡密碼,保障帳戶安全。加拿大互聯網註冊局網路安全和域名系統副總裁Jon Ferguson表示,即使London Drugs尚未確認事件具體細節,但相信情況相當嚴重,又指事件該提醒公司和市民要保護自己,避免受到網路攻擊。

加拿大網路安全專家Sam Lau指,曾光顧London Drugs的市民,可以考慮更改信用卡密碼,以保障自己的銀行帳戶安全。Sam Lau說:「現時很多大公司,都會把顧客的信用卡資料紀錄在系統中,因此他們的系統需要經常更新,並要有加密措施來保障客戶。」

根據 IBM X-Force 威脅情報指數 2024 的報告,在北美,醫療保健是 2023 年第三大網路攻擊目標產業,佔攻擊的 15%。 2023 年,醫療保健在全球攻擊份額中排名第六,佔目標的 6.3%,高於 2022 年的 5.8%。另外2023 年醫療保健資料外洩的平均成本為1,093 萬美元,比2020 年成長53.3%,與其他產業的資料外洩相比,醫療保健資料外洩的成本最高。

關於DragonForce 勒索軟體–您需要了解的訊息

研究人員發現 LockBit 和 DragonForce 勒索軟體之間的關聯

一種名為 DragonForce 的相對較新的勒索軟體在發生一系列備受矚目的攻擊後引起關注,研究員觀察到一種名為 新型勒索軟體DragonForce 使用了臭名昭著的 LockBit勒索軟體的製作工具(Builder)。據信DragonForce 勒索軟體於 2023 年 11 月出現,與許多其他勒索軟體組織一樣,DragonForce透過加密企業組織的電腦和數據,從而從受感染的系統中竊取數據向受害者勒索金錢並威脅透過暗網將數據發布給其他人。

DragonForce 最早已知的勒索軟體攻擊是針對俄亥俄州彩票公司的。在那起事件中,DragonForce 宣稱它竊取了超過 600 GB 的數據,其中包括 300 萬筆記錄,其中包含姓名、電子郵件地址、社會安全號碼和其他敏感資訊。其他聲稱的受害者包括澳洲養樂多公司(95.19 GB 的公司資料外洩)和新加坡的可口可樂(413.92 GB)。最近,2024 年 3 月中旬,帛琉政府遭受勒索軟體攻擊,導致電腦被鎖定。奇怪的是,勒索信是來自兩個勒索軟體組織,一份來自LockBit,一份來自 DragonForce。

根據資安公司Cyble的研究人員最近的分析顯示,DragonForce 的二進位檔案基於外洩的LOCKBIT Black的製作工具,該製作工具允許加密模式、檔案名稱混淆、進程模擬、檔案和資料夾排除以及勒索信範本等自訂。Cyble 透露,迄今為止,全球已有超過 25 名受害者被揭露,DragonForce利用洩漏的 LOCKBIT 基礎設施來提高營運效率,同時透過重新命名的「DragonForce」身分保持低調。分析程式碼後發現,DragonForce勒索軟體使用了洩漏的LOCKBIT產生器,該產生器在設計和功能方面具有許多共同特徵。

執行後,病毒會停止許多進程和服務,例如Oracle、Microsoft Office 應用程式、防毒軟體,甚至備份解決方案以加速加密。 加密的檔案被賦予一個隨機名稱,後面跟著「.AoVOpni2N」副檔名。

犯罪者還在每個加密資料夾中放​​入了名為「AoVOpni2N.README.txt」的勒索字條。它包含有關如何支付解密費用的說明。

DragonForce 勒索軟體顯示了 LOCKBIT Black 等惡意軟體建構者的製作工具洩露的情況是多麼危險。 這些類型的程式允許威脅行為者無需太多努力即可快速創建個人化勒索軟體,使國際公司更難保護自己免受這些勒索軟體的侵害。 報告稱,這種資料竊取和加密方法表明,網路攻擊者不斷發展其策略,透過勒索軟體攻擊造成最大的金錢損失,例如 DragonForce 等組織利用「雙重勒索」方法進行的勒索軟體攻擊。

Dragon Force的案例再次提醒我們,為什麼需要存在強有力的保護措施,以應對勒索軟體團體所構成的不斷變化的威脅,儘管尚不清楚誰是負責操作Dr​​agonForce 勒索軟體,但網路安全社群中的一些人已將勒索軟體與名為DragonForce Malaysia的馬來西亞駭客組織和論壇聯繫起來。

有關DragonForce的部分入侵指標(Indicator of compromise -IOCs):

FileHash-MD5  2915b3f8b703eb744fc54c81f4a9c67f                   

FileHash-MD5       7bdbd180c081fa63ca94f9c22c457376         

FileHash-MD5       d54bae930b038950c2947f5397c13f84                

FileHash-SHA1       bcfac98117d9a52a3196a7bd041b49d5ff0cfb8c          

FileHash-SHA1       e10361a11f8a7f232ac3cb2125c1875a0a69a3e4

美國針對商業間諜軟體的相關個人實施簽證限制

此舉標誌著美國政府為遏止商業間諜軟體傳播的最新努力,該軟體已被用來針對記者、政客和人權活動人士。

美國國務院週一(4/24)宣布,美國政府限制 13 名與商業間諜軟體開發的相關人員進入美國的簽證。這是美國政府在打擊商業間諜軟體的傳播和濫用方面邁出的重要一步。美國國務院對13名參與生產和傳播商業間諜軟體的個人及其直系親屬發出了簽證限制。新聞聲明稱這些人從這項有爭議的技術中獲得了經濟利益,該技術已被濫用來針對記者、學者、人權捍衛者、持不同政見者和美國政府人員等不同群體。

商業間諜軟體由合法公司開發並出售給政府和執法機構等客戶,是當今網路安全的一個主要問題。 間諜軟體供應商包括Cy4gate、Intellexa 和 NSO Group 等常取得零日漏洞並開發漏洞來傳播其商業間諜軟體。根據Google上個月發布的研究報告,去年針對Google產品和 Android 裝置的已知零時差攻擊中有 75% 的幕後黑手為間諜軟體供應商。

美國總統拜登上個月發布了一項行政命令,禁止在美國政府內部使用商業間諜軟體。今年二月,國務卿安東尼·布林肯宣布了國務院的一項新政策,根據新聞聲明,允許對參與濫用商業間諜軟體的個人實施簽證限制,呼應了美國《移民與國籍法》第212(a)(3)(C)條,允許美國政府對據信參與濫用商業間諜軟體的個人實施簽證限制;據信從濫用商業間諜軟體中獲得經濟利益的個人;以及這些人的直系親屬,包括配偶和子女。

週一的宣布標誌著這項政策的首次實施,也是美國政府遏制這些駭客工具擴散的最新努力。美國國務院在新聞稿中表示,正在採取措施「對參與開發和銷售商業間諜軟體或相關人員的直系親屬的 13 名個人實施簽證限制」。然而美國國務院沒有透露這些人的姓名,也沒有具體說明他們與哪些商業間諜軟體供應商有關聯。

加拿大多倫多的資安研究機構「公民實驗室」(Citizen Lab)高級研究員 John Scott-Railton 在 2 月在 X(前身為 Twitter)上發布的一系列帖子中表示,簽證規則將產生影響,因為它追究個人,雖然間諜軟體公司可以使用空殼公司和替代公司身分規避制裁,但二月份的政策重點在於個人及其家庭。值得一提的是,簽證限制是打擊僱傭間諜軟體的一個很有前途的工具。間諜軟體開發商和投資者獲得豐厚的回報,但他們也想把其中一些錢花去美國旅行和孩子在春藤盟校的學費上。另外根據數位民權非營利組織 Access Now,美國政府使用一切可用的手段追究負責任的個人責任是「至關重要的」。Access Now表示,這是對間諜軟體公司及其高管實施制裁發出了一個明確的訊息,即為濫用間諜軟體技術提供便利、使用或從中獲利是不可接受的,並將受到懲罰。雖然此舉受到認同,但 Access Now 繼續敦促美國公佈這些人的國籍。Access Now 還認為,如果國務院依法有權公開簽證目標,這些制裁將擁有更大的權力。

上個月,即 2024 年 3 月,美國財政部外國資產管制辦公室 (OFAC)對與商業間諜軟體開發相關的兩名個人和五個實體實施了制裁。

同月,芬蘭、德國、愛爾蘭、日本、波蘭和韓國等國加入《關於努力打擊商業間諜軟體擴散和濫用的聯合聲明》,並親自召開代表會議。

去年2023年3月,美國政府發布了一項行政命令,禁止美國政府成員使用可能對國家安全構成風險的商業間諜軟體。這些措施顯示美國政府並沒有對商業間諜軟體的擴散掉以輕心。

透過對相關個人的簽證和類似限制以及與其他國家的共同努力,政府旨在發出有關人權、隱私和全球安全問題的強烈訊息。

FBI:Akira勒索軟體從250多名受害者中獲利4200萬美元

4月19日,根據FBI、CISA、歐洲犯罪中心(EC3)以及荷蘭國家網絡安全中心(NCSC-NL)的聯合通告,Akira勒索軟體行動已經侵入了250多個組織的網路,並從勒索金中賺取了大約4200萬美元。

Akira於2023年3月出現,並迅速因為針對全球各行業的受害者而聞名。

到2023年6月,該組織的勒索軟體開發人員已經開發並部署了一個Linux加密器,以針對廣泛在企業組織中使用的VMware ESXi虛擬機器。

根據BleepingComputer獲取的談判記錄,Akira操作者要求的贖金從20萬美元到數百萬美元不等,具體取決於受影響組織的規模。

“截至2024年1月1日,勒索軟體組織影響了超過250個組織,聲稱大約從勒索軟體中獲得了4200萬美元的收入,”聯合通告警告說。

“自2023年3月以來,Akira勒索軟體影響了北美、歐洲和澳洲的各種企業和關鍵基礎設施。”

2023年12月,Akira聲日產大洋洲(Nissan Oceania)進行了勒索軟體攻擊,日產大洋洲在2024年3月警告客戶警惕潛在的詐騙電子郵件和傳播惡意軟體的訊息,並稱發生的資料外洩事件

影響了 10 萬人; 另外斯坦福大學,也在上個月透露在四個多月的時間裡未能偵測到Akira勒索軟體的入侵,造成27,000 人的個資被盜。

Akira自從去年浮出水面以來,該勒索軟體組織已經在其暗網洩露網站上新增了超過230個組織。

今天的諮詢還提供了有關減少與這個勒索軟體幫派攻擊相關的影響和風險的指導。

FBI強烈建議網路防禦者優先修補已經被利用的漏洞,並在所有服務中實施使用強密碼的多因素身份驗證(MFA),尤其是對於網路郵件、VPN和與關鍵系統相關的帳號。

此外,組織應定期更新和修補軟體到最新版本,並將漏洞評估作為其標準安全協議的組成部分。

這四個機構還提供了Akira的入侵指標(IOCs)以及在2024年2月FBI調查中識別出Akira的戰術、技術和程序(TTPs)的資訊。

Hunters International 再度入侵台灣 跨國上市電子公司遭殃

4月16日,竣盟科技在Hunters International 的暗網揭秘網站上發現台灣某跨國電子大廠的頁面,Hunters聲稱已取得該公司約1.2TB的資料共約420萬份檔案。該受害電子大廠主要從事鍵盤、影像相關產品、電源供應器、智慧家居產品等製造及代理各品牌電腦週邊設備等。目前Hunters International 沒有公佈確切發佈資料的日期及要求的贖金金額。 最近日本光學大廠Hoya也傳出成為Hunters 的受害者,被盜約200萬份資料及勒索1千萬美元的贖金。截至目前,Hoya被盜的資料還沒有在網路上出現,攻擊者也沒有公布他們是如何滲透到 Hoya 的。然而,Hoya 與網路犯罪分子之間談判過程的螢幕截圖已在網路上洩露,突顯了緊張的局勢。Hoya事件的直接結果是,一些生產工廠和某些產品的訂購系統受到了影響。 台灣電子大廠的生產線是否也如Hoya受到直接的影響,目前仍不得而知。

Hunters International於 2023 年第三季才浮出水面上,儘管只有幾個月的歷史,該組織的發展速度仍超出了任何人的預期,但這樣一個新組織為何能如此迅速地崛起呢?答案相對簡單:Hunters似乎是 Hive 勒索軟體的繼承者。Hive曾經是世界上最危險、資金充足、足智多謀的勒索軟體組織之一,該勒索軟體於 2023 年 1 月被 FBI 攻破,停止了Hive 勒索軟體的操作。據觀察Hunters International,是一種針對 Windows 和 Linux 環境的勒索軟體,一旦勒索軟體組織完成資料洩露,就會在受害者電腦上的加密檔案中加入.LOCKED副檔名。截至目前,他們列出的全球受害者,涉及健康、汽車、製造、物流、金融、教育、食品等產業。另外,根據Bitdefender 的報告,Hive 的程式碼與 Hunters International 的程式碼之間有重大相似之處,兩者程式碼有60%重疊。

此前,2023 年 11 月中, Hunters宣稱入侵了台灣某上市生醫並已盜取約236GB的資料,當中檔案的範圍包含客戶投訴數據-資料庫備份檔(HR相關、CRM相關和其他)-財務數據(付款、報告、審計等)-營業單位數據(訂單,產品配方,實驗室測試,包裝等) – 美國子公司數據(網路設置、稽核、供應商、員工數據等)-客戶數據(訂單、混合配方、產品處方、實驗室測試、郵件等。

根據 Cyber​​news的數據,Hunters International 是上個月最活躍的勒索軟體前五名之一。Hunters在 3 月聲稱有 23 名受害者,此外,自 2023 年 10 月以來總共有 89 名受害者。

有關Hunters International的部分入侵指標(Indicator of compromise -IOCs):

48b0a224697ead43ca1272c34a4777662049964913f083a40a5458a4ee1f78a6

c4d39db132b92514085fe269db90511484b7abe4620286f6b0a30aa475f64c3e

94b6cf6c30f525614672a94b8b9788b46cbe061f89ccbb994507406404e027af

美國政府因俄羅斯駭客竊取微軟重要信件而保持高度戒備

美國政府表示,午夜暴雪 (Midnight Blizzard)對微軟公司電子郵件帳戶的入侵「給聯邦機構帶來了嚴重且不可接受的風險」

Photo Credit: CISA

美國網路安全與基礎設施安全局(CISA) 週四(4/2)發布了一項緊急指令(ED 24-02),敦促聯邦機構在最近微軟系統遭到入侵並導致​​電子郵件通訊被盜後,尋找入侵跡象並制定預防措施。

今年稍早曝光的攻擊被認為是俄羅斯APT駭客組織 Midnight Blizzard(又名 APT29 或 Cozy Bear)所為。上個月,微軟透露攻擊者成功存取了部分原始碼儲存庫,但指出沒有證據表明面向客戶的系統遭到破壞。

CISA表示:“駭客正在利用最初從企業電子郵件系統洩露的資訊,包括微軟客戶和微軟通過電子郵件共享的身份驗證詳細資訊,來獲得或試圖獲得對微軟客戶系統的額外訪問權限。”

該機構表示,政府實體和微軟之間的電子郵件通訊被盜帶來了嚴重的風險,敦促有關各方分析洩露的電子郵件內容,重置受損的憑證,並採取額外措施確保特權Microsoft Azure 帳戶的身份驗證工具的安全性。

目前尚不清楚有多少聯邦機構的電子郵件交換在事件發生後被洩露,但 CISA 表示所有機構都已收到通知。

該機構還敦促受影響的實體在2024 年4 月30 日之前執行網路安全影響分析,並在2024 年5 月1 日晚上11:59 之前提供狀態更新。建議受該入侵影響的其他組織聯繫各自的Microsoft 帳戶團隊,並跟進任何問題。

CISA 表示:“無論直接影響如何,強烈鼓勵所有組織採用嚴格的安全措施,包括強密碼、多重身份驗證 (MFA) 以及禁止通過不安全的渠道共享未受保護的敏感資訊。”

這項進展正值 CISA發布了名為Malware Next-Gen的新版本惡意軟體分析系統之際,該系統允許組織提交惡意軟體樣本(匿名或以其他方式)和其他可疑工件進行分析。

微軟:中國利用生成式 AI 在美國和台灣散播假訊息 鎖定台美選民

與中國有關聯的駭客組織Storm-1376利用人工智慧(AI)生成的內容和虛假的社交媒體帳號,來煽動美國、台灣和其他地方的分裂,旨在加劇社會的混亂。

根據微軟威脅分析中心(MTAC)在4 月 6 日發布名為 Same targets, new playboks: East Aisa threat actors employ unique methods的報告,在過去七個月裡,中國的認知作戰的活動加強利用人工智慧在(AI)全球散佈虛假資訊並煽動不和,報告稱,微軟觀察到了國家支持的駭客組織的顯著趨勢,這表明駭客不僅在熟悉的目標上加倍努力,而且還試圖使用更複雜的影響技術來實現他們的目標,特別是激增的生成式AI內容也被用來增強與中國有關的線上認知作戰(Influence Operations) 的活動。

AI生成的虛假內容影響台灣選舉的時間表 Photo Credit: 微軟

微軟指出,它發現1月台灣總統選舉期間更複雜細緻的AI內容遽增,包括出現一個AI創造的假音檔片段,音檔中假造的郭台銘聲音表示,他支持另一位總統後選人。這是微軟威脅情報首次詳細介紹國家級駭客組織利用人工智慧產生的內容來試圖影響國外選舉的情況。微軟進一步說,我們稱之為 Storm-1376 的駭客組織,也稱為 Spamouflage 和 Dragonbridge,在台灣選舉日,它發布了由人工智慧生成的前候選人郭台銘(他於 2023 年 11 月退出競選)在總統競選中支持另一位候選人的虛假音訊。實際上,郭台銘並沒有發表過這樣的言論。

報告指出,Storm-1376 推廣了一系列人工智慧生成的梗圖(Memes),內容涉及台灣當時的民進黨(DPP)總統候選人賴清德、其他台灣官員以及世界各地的中國異議人士。其中包括至少從 2023 年 2 月起,Storm-1376 就開始越來越多地使用人工智慧生成的電視新聞主播。微軟觀察到在台灣的選舉中國宣傳團體製作人工智慧生成的新聞廣播,並配有假主播,以影響選舉。其中一些剪輯是使用 CapCut 產生的,CapCut 是位元組跳動(Tik Tok母公司)旗下的人工智慧編輯工具。

值得注意的是,與中國政府相關的帳號也發布了人工智慧生成的媒體片段,旨在煽動美國的混亂。報告指出,人工智慧生成的一張圖片將 2023 年夏威夷火災歸咎於美國製造的氣象武器,Storm-1376 使用人工智慧生成的燃燒的沿海道路和住宅圖像使內容更加引人注目,並以至少 31 種語言發布文字。在另一個案例中,該組織針對感恩節假期期間發生的肯塔基州火車脫軌事件發起了一場社群媒體活動。這些貼文散佈了這樣的說法:美國政府可能造成了這次脫軌,並且故意隱瞞了一些事情。此外,許多中國社群媒體訊息都要求追隨者評論他們支持哪位美國總統候選人。微軟表示,這些帳號的運作可能是為了增加圍繞美國關鍵投票人口統計的情報收集。

微軟預計中國網路和認知作戰的參與者將努力瞄準今年稍後舉行的一系列關鍵選舉,包括印度、韓國和美國,利用人工智慧協助他們的活動。研究人員警告說,雖然直接影響可能很小,但隨著時間的推移,中國的能力可能會變得更加複雜。除了影響選舉之外,微軟的報告還強調了北京如何擴大與情報收集相關的駭客行動。這些行動旨在更好地了解友好國家和敵對國家的政治進程並竊取敏感技術。

新版本的Vultur銀行木馬 模仿成McAfee安全應用程式攻擊用戶

Photo Credit: Fox-IT

Vultur,一種Android銀行木馬,已觀察到整合了新的技術特點,使得惡意軟體操作者能夠遠端與受害者的行動裝置通訊。此外,Vultur開始通過加密其C2通信、使用多個動態解密的載荷以及在合法程序的假象下執行其惡意活動,以掩蓋其惡意行為。Vultur具有按鍵記錄和與受害者裝置的屏幕互動等功能,主要針對銀行應用程序進行遠端控制和按鍵記錄。

Vultur於 2021 年 3 月下旬首次被發現,它透過 AlphaVNC 的 VNC(虛擬網路運算)獲得了受害者設備的全面可見性。2021 年 7 月,ThreatFabric 研究人員發現了 Android 版本的 Vultur,它使用螢幕錄製和鍵盤記錄來捕獲登入憑證。過去,Vultur利用ngrok和AlphaVNC兩款聲譽良好的軟體應用程式來遠端存取運行在受害者設備上的VNC伺服器。根據Fox-IT 的一份報告顯示,威脅行為者利用簡訊入侵和電話引誘目標下載帶有 Brunhilda 惡意軟體植入程式的 McAfee 安全應用程式的武器化版本。然後,安裝應用程式將執行與 Vultur 相關的有效負載,從而啟用輔助功能服務和命令與控制伺服器連線。

在最近的一次活動中,Brunhilda下載器通過短信和電話呼叫進行混合攻擊的傳播, 第一條短訊指引受害者進行電話呼叫。當受害者撥打號碼時,詐騙者會向受害者發送一條第二條短訊,其中包含下載器的鏈接:McAfee Security應用程式的修改版本。

Vultur的新技術特點

  • 下載、上傳、刪除、安裝、尋找檔案;
  • 使用 Android 輔助功能服務控制受感染的裝置(發送命令以執行捲動手勢、滑動手勢、點擊、靜音/取消靜音音訊等);
  • 阻止應用程式運行;
  • 在狀態列中顯示自訂通知;
  • 停用鍵盤防護以繞過鎖定螢幕安全措施。

Vultur 透過以下方式增強了逃避偵測和反分析的方法:

  • 修改合法應用程式(使用 McAfee Security 和 Android Accessibility Suite 軟體包名稱);
  • 使用本機程式碼來解密有效負載;
  • 在多個有效負載上傳播惡意程式碼;
  • 使用 AES 加密和 Base64 編碼進行 C2 通訊。

值得一提的是,該惡意軟體可能會使用 Android 的輔助服務來遠端連接受感染的裝置。操作Vultur的攻擊者可以傳輸命令,執行諸如滑動、點擊和捲動等操作。研究人員表示,檔案總管功能包括下載、上傳、刪除、安裝和尋找檔案的功能,這實際上使攻擊者能夠更好地控制受感染的設備。

阻止受害者與裝置的應用程式互動是另一個有趣的新功能。此功能允許惡意軟​​體操作者指定一個應用程式列表,一旦偵測到在裝置上運行,就應重新啟動這些應用程式攻擊鏈。

攻擊鏈

威脅行為者使用由兩條簡訊和一個電話組成的混合攻擊,誘騙無辜者安裝惡意軟體。

最初,受害者會收到一條短訊,告訴他們撥打一個號碼,以防他們不批准大筆交易。儘管這筆交易從未發生,但它給受害者留下了必須立即執行的印象,從而使其上當行騙。在通話過程中,系統會向受害者發送第二條短訊,指示他們點擊連結以安裝木馬版本的 McAfee Security 應用程式。

該程序本質上是Brunhilda下載器,對受害者來說看似無害,因為它具有McAfee Security應用程式中的功能。

此植入程式解密並執行三個與 Vultur 相關的有效負載,使威脅行為者能夠完全控制受害者的行動裝置。在最近提交的Vultur樣本的專家注意到,新功能不斷的增加,這表明該惡意軟體仍在積極開發中,根據這些觀察結果,預計在不久的將來 Vultur 會添加更多功能。

Vultur的部分入侵指標(Indicator of compromise -IOCs):

Photo Credit: Fox -IT