5 月1日，竣盟科技在Underground Team的暗網揭秘網站上，發現該組織公開了十一名受害者，當中包括某台灣Nas大廠，據了解，該大廠疑是在2023 年七月中旬遭到Underground Team攻擊，被盜51GB的資料。在Nas大廠的頁面，Underground Team 公開了竊盜得到的資料夾包含該大廠的德國子公司資料，目前尚不清楚此次攻擊的立足點是德國子公司或是台灣總部。
Underground Team勒索軟體使用 Microsoft Visual C/C++ 編寫，在 64 位元系統上運作。當它感染電腦時，會執行各種操作，例如刪除檔案的備份副本、更改Windows登錄檔中的設定以及停止名為 MSSQLSERVER 的特定資料庫服務。為了實現這些操作，勒索軟體使用特定的命令。例如，它使用命令刪除電腦上儲存的檔案的備份副本，使用戶更難恢復檔案。它還使用命令來調整與遠端桌面Session相關的設置，以影響遠端存取電腦的方式。
根據Cyble的研究報告，Underground Team還會強制停止 MSSQLSERVER 服務，這會導致破壞特定類型資料庫的功能。之後，勒索軟體會尋找受害電腦上的磁碟機和檔案系統，透過使用作業系統提供的某些功能來實現此目的。一旦辨識出驅動器，它就會在電腦上的各個資料夾中投放名為「!!readme!!!.txt」的勒索字條。接下來，勒索軟體便開始搜尋要加密的檔案和目錄並透過逐一掃描它們來做到這一點。此外，Underground Team會從加密過程中排除某些檔案名稱、檔案副檔名和特定資料夾。一旦檔案被識別，勒索軟體就會對其進行加密，使其無法讀取，但不會更改加密檔案的名稱或新增任何新的副檔名。加密完成後，Underground Team 勒索軟體會建立一個名為「temp.cmd」的檔案並執行它。該檔案旨在刪除特定文件、清除事件日誌以及將其自身從電腦中刪除，這樣做是為了隱藏它的存在並掩蓋其蹤跡。
勒索軟體和相關的數據洩露事件會嚴重影響業務流程，使組織無法存取營運和提供關鍵服務所需的數據。
竣盟科技建議您針對勒索軟體的應對措施：
＊由於您的所有文件都是使用軍用級加密算法進行加密的，而且密鑰在犯罪者手上，因此基於原始數據復原(指解密)，這是個無解的困境。
＊向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後，對方有可能會就此停止聯繫，甚至解密器可能無法工作，或其本身帶來了更多威脅。
＊千萬不要使用號稱功能強大的反惡意軟體，這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後，您可能失去的更多。
＊針對勒索病毒的危害，正確的應對措施是平日的多重備份機制與定時的還原演練。
＊除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。
＊佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階欺敵系統等產品，可以早期發現，並防止威脅擴散。
對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。
＊透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。
有關Underground Team的部分入侵指標(Indicator of compromise -IOCs):
059175be5681a633190cd9631e2975f6
fb4ad5d21f0d8c6755eb4addba0ac288bd2574b6
d4a847fa9c4c7130a852a2e197b205493170a8b44426d9ec481fc4b285a92666
“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.tech , 以免觸法”
