竣盟科技 - Billows 技術/情資訊息分享

TIDRONE 間諜組織鎖定台灣無人機製造廠商進行網路攻擊

Posted on 2024 年 9 月 13 日 by blogadmin

中國關聯的TIDRONE駭客組織攻擊目標為軍事及衛星工業

趨勢科技 (Trend Micro) 日前發現了一個據稱與中國關聯密切的駭客組織TIDRONE，他們於2024 年開始進行網路攻擊活動，追蹤其行動，發現他們的目標是台灣的無人機製造廠商。

趨勢科技正在追蹤這個組織，並將該組織以TIDRONE作為稱號，趨勢表示這次行動是由間諜組織所主導的，而其攻擊重點是與軍事相關的產業鏈。

該組織之前從未被記錄或證實過，他們使用企業資源規劃 (ERP) 軟體和遠端桌面來部署高階惡意軟體，其中包括了CXCLNT和CLNTEND。

自今年4月以來，TIDRONE組織使用了CLNTEND，一種之前尚未被偵測到的遠端存取工具（RAT），這個軟體支援範圍更廣的網路通訊協定，因而進一步加強了他們的攻擊能力。

CXCLNT 和 CLNTEND 惡意軟體屬於後門程式，兩者都是經由 Microsoft Word 應用程式側載 (sideloading) 一個惡意的動態連結程式庫 (DLL) 來啟動的，進而使網路攻擊者能夠獲取更廣範圍的機敏資訊。

CXCLNT 具備了基本的上傳和下載檔案功能，以及清除痕跡、收集檔案清單和電腦名稱等受害者資訊，還可下載下一階段的可移植性執行檔 (PE, portable executable) 和 DLL 檔案以供執行所用。

資安研究人員表示：「考量檔案編譯的時間和網路攻擊者的操作時間，跟其他中國有關間諜組織從事的活動相比，兩者具有相當程度的一致性，因此可以推估這次攻擊行動很可能是由一個身份尚未明朗的中國背景威脅組織所發動的。」

網路安全公司 Acronis 公布了他們對這次攻擊行動的調查結果，調查中將這一系列攻擊稱之為「WordDrone 行動」，他們觀察到的攻擊行為發生於 2024 年 4 月至 7 月期間。

駭客集團侵入的一個特點是在部署 CLNTEND（又稱為 ClientEndPoint）之前會使用稱為Blindside (盲點) 的技術來迴避端點偵測和回應 (EDR) 軟體的偵測。

Acronis 進一步透露，在台灣一種 ERP 軟體 Digiwin 的資料夾中偵測到惡意構件 (artifacts)，這表示有可能是採用供應鏈攻擊或是利用產品中的安全缺陷來取得初始的存取權。

這家新加坡公司同時表示：「台灣大約有十幾家公司參與無人機製造，通常是屬於 OEM 的類型。」「台灣一直是美國的盟友，再加上台灣強大的科技技術背景，因而成為駭客組織從事軍事間諜活動或供應鏈攻擊的主要目標。」

總結來說，TIDRONE是一個與中國有關聯性的網路攻擊團體。這些攻擊行為是在台灣偵測到而發現的，主要目標為軍事相關產業，特別是無人機製造廠商。這些攻擊行動使用到 CXCLNT 和 CLNTEND 等高階惡意軟體的變種 (variant)，這些進階的惡意軟體是透過 ERP 軟體或遠端桌面等方式來傳播。

TIDRONE駭客組織相關的部分的入侵指標（IOCs）:

15e52f52ed2b8ed122fae897119687c4

26ff6fac8ac83ece36b95442f5bb81ce

798a707e1abac44b0ad7b1114bcd10a6

6ab0e2ede4e0968eae2bdc63864971054a534f7b

6e35ae1d5b6f192109d7a752acd939f5ca2b97a6

92d28c4201e0d56c46b2d750aa25856f60f2facb

0d91dfd16175658da35e12cafc4f8aa22129b42b7170898148ad516836a3344f

19bbc2daa05a0e932d72ecfa4e08282aa4a27becaabad03b8fc18bb85d37743a

1b08f1af849f34bd3eaf2c8a97100d1ac4d78ff4f1c82dbea9c618d2fcd7b4c8

1bf318c94fa7c3fb26d162d08628cef54157dfeb2b36cf7b264e3915d0c3a504

美國汽車租賃巨頭 Avis 揭露客戶資料外洩事件

Posted on 2024 年 9 月 11 日2024 年 9 月 11 日 by blogadmin

Avis艾維士租車公司是全球第一大汽車租賃公司

美國汽車租賃龍頭艾維士 (Avis) 日前通知客戶，就在上個月，不明的網路攻擊者侵入了他們系統中的一個商業應用程式，並竊取了其中的一些個人資訊。

「我們在 2024 年 8 月 5 日發現，有未經授權的第三方取得了對我們其中一個業務應用程式的存取權。在知曉這一事件之後，我們立即採取對應措施，停止未經授權的存取，然後在資安專家的協助下展開調查，並向有關當局發出通報。」

Avis發送資料外洩通知信給受到影響的客戶，「根據我們的調查，我們確定未經授權的存取是發生於2024年8月3日至2024年8月6日之間。」

當發現這起事件後，艾維士在資安專家的協助下針對安全漏洞展開了調查。此外，公司也加強了此次受到影響的應用程式的安全性。針對這次攻擊事件的應對處置，該公司在他們的系統中導入了額外的資安防護措施。

根據調查結果，網路攻擊者從 8 月 3 日到 8 月 6 日這段期間侵入了公司的業務應用程式，當時該公司將惡意攻擊者從系統中逐出並阻擋了入侵者對系統的存取。至 8月14日，另外還發現攻擊者已竊取了部分客戶的個人資訊，其中包括姓名和其他未公開的敏感資料。

向緬因州總檢察長提交的另一份文件中披露，網路攻擊者在此次外洩事件中總計竊取了 299,006 位 Avis 客戶的個人資訊。

Avis 發言人表示：「我們會持續進一步加強資訊安全實務和防禦措施，於此同時也向大約30 萬名的美國客戶（佔比不到客戶總數的1%）發送個別通知，提供個人資訊受到影響的客戶免費的信用和身份監控服務。」

艾維士表示，自事件發生以來，他們已與外部專家合作，補強受影響應用程式的安全防護，積極審視安全監控機制，以強化安全防禦，並警告客戶有關資料外洩後可能發生的身份盜用和詐欺風險。

Avis 是 Avis Budget Group (艾維士·百捷集團) 的子公司，Avis Budget Group 是領導全球的跨國汽車租賃集團，同時也擁有世界領先的汽車共享網路 Zipcar。集團的 Avis 和 Budget 汽車租賃品牌在橫跨北美、歐洲和澳洲的 180 個國家經營超過 10,000 個租賃據點。 Avis Budget Group的財務報告揭露，2024 年第二季營收即超過 30 億美元。

艾維士建議在事件中個人資訊受到影響的客戶，可以透過定期檢查和監控帳戶對帳單和歷史信用記錄，以便提早發現任何未經授權的交易或活動的跡象。如果懷疑有任何未經授權的活動，可以聯繫信用報告機構。

針對受到影響的客戶，Avis汽車租賃公司提供一年免費的 Equifax 信用監控服務，這個服務有助於偵測和解決身份盜用問題。

截至目前，該汽車租賃公司並未透露有關此次攻擊事件的技術細節或是背後參與的駭客團體。

竣盟科技建議，企業組織或機關團體及一般客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受網路攻擊及個資外洩的風險：

定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更有效地防止潛在的漏洞。
對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
熟悉惡意應用程式攻擊手段：了解常見的惡意應用程式攻擊手法以及如何辨識它們並做出因應，可以大幅降低受到侵害的風險。

LockBit 勒索軟體集團聲稱對多倫多教育局 (TDSB) 發動攻擊

Posted on 2024 年 9 月 6 日 by blogadmin

多倫多教育局Toronto District School Board (TDSB) 是加拿大最大的公立教育局

日前 LockBit 勒索軟體集團聲稱對加拿大最大的地區教育局多倫多教育局 (TDSB) 發動攻擊，同時間當局也確認這個發生於今年 6 月的攻擊事件，造成 2023/2024 學年度學生的個人資訊受到侵害，確切受到影響的學生人數尚不明朗。

多倫多教育局 (TDSB) 是加拿大最大的地區教育局，共計有 582 所學校和大約 235,000 名學生。6月的時候，教育局通知學生家長，其技術部門使用的測試系統有偵測到未經授權的活動。此測試環境與教育局的官方網路是分隔開的。當發現異常後，TDSB 的資安團隊迅速採取相應措施，以確保資料安全並保護重要系統。

遭到洩露的學生資訊包含了姓名、學校名稱、年級、TDSB 電子郵件地址、TDSB 學號和出生月份/ 日期等。

儘管 TDSB 的資安團隊和外部專家將此次事件對學生所造成的風險評估為“低”，並且據報導遭駭資料當時並沒有被公開，後來LockBit 勒索軟體集團聲稱參與此次攻擊事件，並且要求於兩週內支付贖金。

TDSB 表示，並不知道學生資料是否在明網和暗網上公開揭露。不過TDSB 立即採取了應對措施，像是隔離並確保受影響的系統安全、斷開測試環境、加強資訊安全措施以及通知執法部門等。多倫多教育局同時也向安大略省資訊和隱私專員公署通報了這起事件。

研究人員 Dominic Alvieri 報告中稱，Lockbit勒索軟體集團聲稱對多倫多地區教育局的攻擊事件負責，並且威脅如果教育局沒有在 2 週內支付贖金，將會洩露遭竊資料。然而，這個惡名昭彰的勒索軟體組織另外也聲稱對其他企業或組織發動了數十次的攻擊，但該組織發布的一些公告顯然是錯誤滿篇，其中有些其實是其他勒索軟體集團過去公布的資料外洩事件。

近幾個月來，加拿大境內陸續遭受到多起網路安全事件的打擊，政府網路和私人企業都感受到了強烈的衝擊。

今年4 月 28 日，總公司位於加拿大卑詩省 (British Columbia) 的知名零售和藥局連鎖商店London Drugs宣布，由於遭遇到嚴重的網路侵襲，被迫暫時關閉遍布於加拿大西部的商店。這次的攻擊事件非常嚴重，導致電話線路中斷，連鎖藥局只能於實體店面現場針對有「緊急」需求的病患提供服務。

同時期發生的，還有卑詩省圖書館 (BC Libraries) 通報了一起單獨的網路攻擊事件，一名駭客從剛上線運行的伺服器中竊取資料後試圖勒索贖金，並威脅道如果無法滿足其要求就要公開相關資訊。

7 月底，兩名外國籍人士 Ruslan Magomedovich Astamirov 和 Mikhail Vasiliev在紐華克聯邦法院 (Newark federal court) 認罪，承認他們在 LockBit勒索軟體行動中所擔任的角色。 LockBit 勒索軟體行動自 2020 年 1 月以來一直十分活躍，該組織陸續攻擊了超過 2,500 個受害機構，範圍跨越120 個國家，其中美國境內就有 1,800 個機構遭受過其攻擊。

LockBit勒索軟體組織的攻擊目標涵蓋了個人、企業、醫院、學校和政府機構等。該組織一路以來收取了共計約 5 億美元的贖金，另外更造成了數十億美元連帶相關的經濟損失。

LockBit勒索軟體相關的部分的入侵指標（IOCs）:

54d67710488b0e50ae015dbcadf9fb24

5a07502eb5e854aa8bd883453fc9decb

9c15aac2f31dd9e1e8d64cf8f04ea5d6

be8bf725892ddd7a200d0a1906b9387f

1f5638cf71fac8d51253360b4537b074292e70ff

28d09d35d3e5a8490ef4a4ebaa36262fa411afba

582a24a72b29e70f2de26a8d217492c7a6b983ff

78f3d5588a75efbe6a272c1f1a789d20e0ccd0c3

aaeeb05a24f6e7ef77d46ba71794490afbc414ab

166bba02413995aff28ffeb27d3bf3d5a5f6a6cd36893e252c7b9a22836f4980

RansomHub再度入侵上市企業台灣知名日系電機廠商機敏資料疑遭竊

Posted on 2024 年 9 月 4 日2024 年 10 月 25 日 by blogadmin

RansomHub勒索軟體組織宣稱竊取總計500 GB的資料，其中包括產品設計圖

繼竣盟科技日前發現RansomHub勒索軟體集團攻擊台灣某大出版廠商之後，台灣老牌日系電機廠商又驚傳成為RansomHub的攻擊目標。

據勒索軟體集團暗網所洩資料，其中包含該台灣電機廠商的10張產品設計圖及廠房圖紙等。相關資料亦透露這次駭客行動所竊之資料達500 GB，另外勒索軟體集團指定的贖金期限為9月9日。

RansomHub 是今年初才興起的勒索軟體集團，然而崛起之勢非常驚人，台灣陸續受到波及的企業就有三家，前後包括知名上市公司藍天電腦、某大教科書/出版廠商，以及這次的日系電機廠商，情勢不容小覷。

自2024 年2 月開始活動以來，RansomHub 已加密並竊取了至少210 個受害企業組織的資料，這些受害單位包括用水和汙水處理、資訊產業、政府單位、醫療保健和公共衛生機構、緊急服務、糧食和農業、金融服務機構、商業設施、製造業、運輸和通訊等重要基礎設施領域。

根據美國網路安全暨基礎設施安全局CISA 於8月29日發布的資料，RansomHub 隸屬團體通常會使用網路釣魚電子郵件 [ T1566 ]、利用已知漏洞 [ T1190 ] 和密碼噴灑攻擊 (Password spraying) [ T1110.003 ]等方法來侵害對向網際網路系統 (internet facing systems) 和使用者端點。而密碼噴灑攻擊的目的是侵入鎖定之帳戶，然後進一步造成資料外洩。

也發現RansomHub集團使用AngryIPScanner、Nmap等工具進行網路掃描，還有一種利用所謂living off the land (利用受害電腦裡現成的工具，來執行攻擊行動的有關任務)攻擊手法，是透過PowerShell來執行網路掃描[ T1018 ][ T1046 ][ T1059.001 ]。

自今年年初以來，RansomHub 聲稱已成功駭入包括美國非營利信用合作社Patelco、連鎖藥局Rite Aid、佳士得拍賣行、美國電信商Frontier Communications和石油產業巨擘哈里伯頓等公司。Frontier Communications 隨後也發出通知警告共計超過 75 萬名客戶，他們的個人資訊因這次事件而遭到外洩。

FBI、CISA、跨州資訊共享和分析中心 (MS-ISAC) 以及衛生及公共服務部 (HHS) 發布的聯合公告也證實，網路攻擊者是以雙重勒索的方式展開攻擊行動。

這些聯邦政府機構建議，企業組織應該優先致力於修補已經被利用的漏洞，並且針對網路郵件、虛擬私人網路 (VPN) 和連結到重要系統的帳戶都要使用高強度密碼和多因子驗證 (MFA)。同時也建議保持軟體更新並執行弱點掃描，並將其作為資訊安全規範的標準程序。

聯邦機構補充道：「不鼓勵受害企業支付贖金，因為支付贖金並不能保證受害者的檔案資料會完全復原。」

「除此之外，支付贖金還可能促使駭客集團更大膽地去對其他企業組織發動攻擊，同時也間接鼓勵其他網路犯罪者去參與勒索軟體的散布或是資助這類非法活動。」

RansomHub勒索軟體相關的部分的入侵指標（IOCs）:

34e479181419efd0c00266bef0210f267beaa92116e18f33854ca420f65e2087

36e5be9ed3ec960b40b5a9b07ba8e15d4d24ca6cd51607df21ac08cda55a5a8e

595cd80f8c84bc443eff619add01b86b8839097621cdd148f30e7e2214f2c8cb

7114288232e469ff368418005049cf9653fe5c1cdcfcd63d668c558b0a3470f2

7539bd88d9bb42d280673b573fc0f5783f32db559c564b95ae33d720d9034f5a

8f59b4f0f53031c555ef7b2738d3a94ed73568504e6c07aa1f3fa3f1fd786de7

a96a0ba7998a6956c8073b6eff9306398cc03fb9866e4cabf0810a69bb2a43b2

e654ef69635ab6a2c569b3f8059b06aee4bce937afb275ad4ec77c0e4a712f23

ea9f0bd64a3ef44fe80ce1a25c387b562a6b87c4d202f24953c3d9204386cf00

fb9f9734d7966d6bc15cce5150abb63aadd4223924800f0b90dc07a311fb0a7e

新型 Android 惡意軟體 NGate 竊取 NFC 資料用以複製感應式金融卡

Posted on 2024 年 8 月 30 日2024 年 8 月 30 日 by blogadmin

新型Android惡意軟體NGate涉及三家捷克銀行的網路犯罪活動

一種危險的新型 Android 惡意軟體已經出現，它可以從實體信用卡和金融卡複製感應支付的資料，並將其傳送到攻擊者的 Android 裝置，從而進行詐騙交易操作。

斯洛伐克網路安全公司ESET正在追蹤這個名為 NGate 的新型惡意軟體，並表示他們觀察到目標為捷克三家銀行的惡意軟體犯罪行動。

研究人員在分析中表示，「這個惡意軟體具備獨特的功能，可以透過安裝在Android 裝置上的惡意應用程式，將受害者金融卡中的資料傳送到攻擊者破解管理權限的Android 手機。」

攻擊的最終目的是利用 NGate 從受害者的實體金融卡複製 NFC (近距離高頻無線通訊技術) 資料，並將相關訊息傳輸到攻擊者的裝置，然後攻擊者的裝置就可以仿造原始卡片來從 ATM 取款。

NGate 的起源來自於一種名為NFCGate的合法工具，該工具最初是在 2015 年時，由TU Darmstadt (德國達姆施塔特工業大學) 安全行動網路實驗室的學生出於安全防護方面研究而開發的。

一般來說，這類型的攻擊鏈會結合社交工程和SMS簡訊網絡釣魚的方式，將用戶引導至冒充為合法的銀行網站，或是假冒的官方行動網路銀行Apps，以誘使用戶安裝 NGate。

ESET 表示：「安裝並開啟NGate程式之後，會顯示一個假冒的網站，要求用戶提供銀行資訊，然後將其傳送到攻擊者的伺服器。」

這個惡意軟體會引導受害人輸入銀行的客戶 ID、出生日期、金融卡 PIN 密碼以及其他敏感資訊。 ESET 表示，它還會要求受害者開啟智慧手機上的 NFC 功能，並將金融卡放在智慧型手機的背面，直到惡意應用程式成功識別到該卡片。

從2023 年 11 月至 2024 年 3 月這段期間，已經發現多達 6 個不同的 NGate 應用程式進行活動，自從捷克當局逮捕了一名涉嫌從 ATM竊取資金的 22 歲男子後，這些活動戛然而止。

這些攻擊採取了一種隱密潛伏的手法，當受害者透過SMS簡訊發送的連結安裝了PWA 或WebAPK 應用程式之後，他們的憑證被攻擊者以網路釣魚方式取得，隨後便接到來自駭客組織的電話，攻擊者假扮銀行行員通知受害人：由於安裝了該應用程式，他們的銀行帳戶已被入侵。

隨後，他們便被指示更改 PIN 密碼並使用不同於往常的手機應用程式（例如像NGate）來驗證其金融卡，該應用程式的安裝連結也是透過SMS簡訊來發送。目前並沒有證據證明這些應用程式是通過 Google Play 商店散發出去的。

Google發言人於評論中表示：「根據我們目前的偵查，Google Play 上並沒有發現包含此惡意軟體的應用程式。」「Google Play Protect 會自動保護Android 用戶免受這個惡意軟體的已知版本的侵害，這項功能在具備Google Play 服務的Android 裝置上預設為開啟。Google Play Protect 可以警告使用者或是阻擋呈現出惡意行為的應用程式，即使這些應用程式的來源並不是Google Play。」

這個惡意軟體利用Android 裝置原生的輔助服務功能，對被駭入的裝置進行精細的控制。在後台，該惡意軟體還會繼續下載網路釣魚頁面，這些頁面模仿常用的加密貨幣交易所和金融機構的標誌和應用程式名稱，誘使使用者墜入陷阱。

竣盟科技建議，Android手機用戶及使用銀行卡的客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受惡意應用程式攻擊的風險：

定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更有效地防止潛在的漏洞。
對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
熟悉惡意應用程式攻擊手段：了解常見的惡意應用程式攻擊手法以及如何辨識它們並做出因應，可以大幅降低受到侵害的風險。

勒索軟體 RansomHub 再度來襲，台灣知名教科書大廠成為目標

Posted on 2024 年 8 月 28 日2024 年 8 月 28 日 by blogadmin

勒索軟體RansomHub日前攻擊台灣某大教科書/出版廠商

竣盟科技近日於勒索軟體RansomHub的揭秘網站發現，台灣某大教科書/出版廠商成為勒索軟體RansomHub 的攻擊目標，被駭資料共計425GB。

這並不是RansomHub第一次對台灣企業廠商發動攻擊。2024年6月，臺灣上市公司藍天電腦傳出遭到勒索軟體攻擊的消息，當時勒索軟體集團RansomHub聲稱他們竊取了藍天電腦200 GB的資料，並公布屬於該公司的10份文件，此外攻擊者表示他們是透過網路釣魚的手法侵入系統。

RansomHub 是一個相對較新的勒索軟體集團，被認為是 Knight 勒索軟體的繼任者。該組織在 2024 年 2 月浮出檯面後，迅速在網路威脅領域崛起，並引發相當大的關注。

一般相信，RansomHub 發源於俄羅斯，採用勒索軟體即服務（RaaS）的模式進行運作，這種商業模式讓合作夥伴可獲得高達 90% 的贖金收入，而剩下的 10% 則歸該集團所有。RansomHub 的攻擊目標遍及全球，包括美國、巴西、印尼和越南等國，且攻擊模式靈活多變，非常難以預測。

RansomHub 的勒索軟體以 Golang 語言編寫，這樣的選擇反映出勒索軟體開發者對該語言的偏好。Golang 的使用可能預示著未來的勒索軟體攻擊將更加地複雜且難以偵測，對現有的防護機制來說是更嚴峻的挑戰。

英國資安軟體和硬體公司Sophos早前揭露勒索軟體集團RansomHub在今年5月發起的攻擊行動，駭客先利用名為EDRKillShifter的惡意程式，企圖停用受害電腦上的Sophos端點防護程式；隨後，這個工具會利用存在漏洞的舊版驅動程式，進行BYOVD（自帶驅動程式）攻擊，試圖癱瘓端點防護系統，但此舉動也引起了注意。

EDRKillShifter 是一種「自帶驅動程式攻擊」(BYOVD) 工具，使用包含密碼字串的指令列來執行；最終的目的是利用驅動程式之中一個比較容易攻擊的合法驅動程式，以獲得權限來解除 EDR 的防護。

BYOVD的技術原理，使得攻擊者可以載入存在漏洞的合法驅動程式，以便他們可以覆寫核心附近的程式碼來執行特許權限功能。危險的地方在於核心驅動程式並不是惡意的，造成檢測上更加地困難。一旦載入了驅動程式，就可以更深入地探入系統，並且能夠擁有更大的權限來操控系統。

如何防護企業組織的資訊安全

加強監控端點安全，強化企業網路衛生 (cyber hygiene) 並維持系統最新的更新狀態。EDRKillShifter 工具的使用現況確實令人擔憂，從他們對 RansomHub 勒索軟體的使用上來看，顯示出他們的經驗豐富而且非常堅決。他們現階段正利用這種專門用於癱瘓端點偵測和回應 (EDR) 軟體的新工具，這表示他們的攻擊行動是非常地精細複雜。

RansomHub勒索軟體相關的部分的入侵指標（IOCs）:

02e9f0fbb7f3acea4fcf155dc7813e15c1c8d1c77c3ae31252720a9fa7454292

104b22a45e4166a5473c9db924394e1fe681ef374970ed112edd089c4c8b83f2

2f3d82f7f8bd9ff2f145f9927be1ab16f8d7d61400083930e36b6b9ac5bbe2ad

34e479181419efd0c00266bef0210f267beaa92116e18f33854ca420f65e2087

36e5be9ed3ec960b40b5a9b07ba8e15d4d24ca6cd51607df21ac08cda55a5a8e

595cd80f8c84bc443eff619add01b86b8839097621cdd148f30e7e2214f2c8cb

7114288232e469ff368418005049cf9653fe5c1cdcfcd63d668c558b0a3470f2

7539bd88d9bb42d280673b573fc0f5783f32db559c564b95ae33d720d9034f5a

8f59b4f0f53031c555ef7b2738d3a94ed73568504e6c07aa1f3fa3f1fd786de7

美國半導體巨擘 Microchip 因網路攻擊而造成營運中斷

Posted on 2024 年 8 月 23 日 by blogadmin

美國晶片製造商 Microchip Technology 遭遇網路攻擊，嚴重影響其生產能力

美國晶片製造商 Microchip Technology (微晶片科技) 日前遭遇到網路攻擊，導致旗下多家製造工廠的營運中斷。 2024 年 8 月 17 日，他們發現到針對公司 IT 基礎設施而進行的潛在可疑活動。

Microchip Technology Incorporated 是一家美國上市公司，產品包括微型控制器、混合訊號、類比和 Flash-IP 積體電路等。其公司總部位於亞利桑那州錢德勒，在多個產業領域共計有約 123,000 個客戶，其中包括工業、汽車業、消費性產業、航太和國防工業、通訊和電算機市場。

其晶圓廠位於亞利桑那州坦佩(Tempe)、俄勒岡州格雷舍姆(Gresham)和科羅拉多州科羅拉多泉(Colorado Springs)。該公司的組裝/測試工廠位於泰國北柳、菲律賓卡蘭巴和卡布堯。 2024財務年度銷售額為76億美元。

這次攻擊嚴重影響了Microchip的產能，他們關閉或隔離了部分系統以防範事件擴大。 Microchip Technology 尋求外部資安專家的協助，針對場域的安全漏洞展開了事件調查。公司方面證實，這次攻擊事件影響頗鉅，甚至可能影響到公司訂單的履行。

當Microchip Technology（微晶片科技公司）偵測到在其IT系統的潛在可疑活動後，於第一時間公司立即採取評估措施，想方設法遏止潛在的未授權活動，以期能及時補救。

2024 年 8 月 19 日，公司確認遭到未經授權的威脅者侵入，影響到公司某些伺服器的正常使用和部分的業務運作。公司立即採取了額外措施來應對這次事件，其中包括隔離受影響的系統、關閉某些系統，以及藉由外部資安顧問的協助來展開調查。

該公司向美國證券交易委員會 (SEC) 提交的FORM 8-K 報告中提到：「肇因於該事件，公司 (Microchip Technology) 某些生產設施的運作狀況低於正常水平，公司目前履行訂單的能力受到影響。」

目前Microchip Technology正在外部資安專家的協助下評估這次網路攻擊的程度和影響。同時公司也在努力修復受影響的IT系統，並嘗試盡快讓日常的業務運作回歸正軌。

該公司於聲明中補充到：「事件的調查仍在進行中，有關此次事件的涵蓋範圍、攻擊類型和影響層面等目前尚不明朗。」「截至此聲明發佈之日，公司尚未確定這次事件是否可能對公司的財務狀況或營運業務造成重大影響。」

雖然該公司尚未揭露這起事件的屬性及類型等細節資訊，但美國證券交易委員會的文件間接表明這次事件是歸因於勒索軟體攻擊。然而，目前尚未有勒索軟體組織聲稱對這起攻擊事件負責。

竣盟科技建議，半導體產業製造商及其他企業客戶，採取多重防護措施及最佳解決方案，可以有效幫助降低遭受勒索軟體攻擊的風險：

定期更新軟體：定期更新應用程式可確保修補任何已知漏洞，從而更好地防止潛在的漏洞。
對未經請求的訊息持懷疑態度：使用者應警惕未經請求的訊息，尤其是那些要求提供個人資訊或敦促他們立即採取行動的訊息。
驗證真實性：如果訊息聲稱來自 Authy 或 Twilio 等合法服務，使用者應在採取任何操作之前透過官方管道驗證其真實性。
啟用額外的安全措施：在可能的情況下，啟用額外的安全功能（例如生物辨識身分驗證或基於硬體的雙重認證）可以提供額外的保護層。
熟悉勒索軟體攻擊手段：了解常見的勒索軟體攻擊手法以及如何辨識它們並做出因應，可以顯著降低受到侵害的風險。

Toyota豐田汽車及CannonDesign被駭資料遭到外洩

Posted on 2024 年 8 月 21 日2024 年 8 月 21 日 by blogadmin

Toyota豐田汽車遭到勒索軟體集團駭入，共計240GB資料外洩

日前Toyota豐田汽車證實，他們的客戶資料遭到洩露。一名網路攻擊者在駭客論壇上洩露了他們從豐田的IT系統中竊取的 240GB 檔案資料。

針對這起事件，豐田回應道：「我們已經了解事件狀況。此次事件的範圍是局部性的，並沒有擴及整個IT系統。」

豐田補充說，「他們正在聯繫受到影響的客戶及人員，並在需要時提供協助。」目前尚未提供有關何時發現被入侵、攻擊者如何獲得存取權限以及有多少人的資料被暴露等資訊。

攻擊參與者 ZeroSevenGroup 聲稱已入侵豐田美國分公司，並竊取了 240GB 的檔案資料，內容涵蓋包括聯絡人、財務、客戶資料、計畫方案、員工資料、照片、資料庫、網路基礎設施、電子郵件和大量其他資料。

他們聲稱已經使用開源 ADRecon 工具收集了網路基礎設施資訊，包含憑證，這類工具可以幫助於從 Active Directory 環境中提取大量資訊。

豐田並未透露資料遭洩的確切日期，根據報導發現這些檔案被竊最早可以追溯到 2022 年 12 月 25 日。在這個時間點，攻擊者侵入備分伺服器，進而取得儲存於此的資料。

2023 年 12 月，豐田金融服務公司 (Toyota Financial Services) 通知客戶，公司遭遇了資料外事件，敏感性的個人資料及財務資料因勒索軟體攻擊而洩露，這起攻擊事件的影響範圍波及豐田的歐洲和非洲分公司。

2023 年 11 月 17 日，Medusa 勒索軟體集團聲稱參與了這起攻擊，並且威脅豐田如果不支付贖金，就會洩露被駭的資料。

CannonDesign資料外洩

Cannon Corporation (佳能集團) 旗下CannonDesign 正向 13,000 多名客戶發送資料外洩通知，告知客戶在 2023 年初的一次攻擊事件中駭客入侵了公司網路並竊取資料。

CannonDesign 是一家總部位於美國紐約州，屢獲殊榮的建築、工程和顧問公司，在學術性建築、醫院和體育場館等項目上的卓越表現而受到業界認可。

CannonDesign 開始向受影響的個人發送通知信，信中通報了 2023 年 1 月 19 日至 25 日這段期間發生的資安事件，該事件涉及未經授權的網路存取和資料外洩。

根據調查顯示，這場攻擊背後的執行者可能取得了姓名、地址、社會安全號碼 (SSNs) 和駕照號碼等資訊。

2023 年 2 月 2 日，Avos Locker 勒索軟體集團宣稱他們入侵了 CannonDesign 的系統，並且持有 5.7 TB 的被駭資料，其中包括公司和客戶相關檔案資料。

在勒索軟體集團索要贖金的計畫可能失敗後，他們將盜取資料轉到 Dunghill Leaks網站，該網站於 2023 年 9 月 26 日公佈了從 CannonDesign 竊取的 2TB 資料。這些資料包括資料庫轉儲 (database dumps)、專案圖表、聘僱文件、客戶詳細資訊、行銷資料、IT和基礎設施詳細資訊以及品質保證報告等。

Dunghill Leaks是 Dark Angels勒索軟體組織於 2023 年 4 月推出的資料外洩網站，用於迫使受害者支付勒索軟體集團要求的贖金。

攻擊豐田的勒索軟體Medusa的部分的入侵指標（IOCs）:

a57f84e3848ab36fd59c94d32284a41e

e4b7fdabef67a0550877e6439beb093d

042ce9ab1afe035e0924753f076fcb20de0d1a1d

0823d067541de16325e5454a91b57262365a0705

4d5992de4601c4306885c71b0ba197184bb69221

78daa8b99d2fa422926465f36e13f31587b9e142

db5e29c0729486ba3833426093652451c5fca9b5

ee4575cf9818636781677d63236d3dc65652deab

3e19d1653c08206c55e1f835bd890b067b652b99a7b38bad4d78ad7490c6a0f8

4d4df87cf8d8551d836f67fbde4337863bac3ff6b5cb324675054ea023b12ab6

美國Kootenai Health醫院資料外洩事件影響超過 464,000名病患

Posted on 2024 年 8 月 16 日 by blogadmin

Kootenai Health醫院受到勒索軟體集團ThreeAM的攻擊

Photo Credit: GBHackers庫特內醫院（Kootenai Health）近日披露了一起資料外洩事件，超過464,088名病患的個資受到影響，這些資料是被名為ThreeAM（3AM）的勒索軟體集團所洩露。Kootenai Health 是一家位於愛達荷州科達倫 (Coeur d’Alene) 的醫療機構。它是一個區域醫療中心，提供全方位的醫療服務，包括緊急護理、外科手術、癌症醫療和專門治療。 Kootenai Health 以致力於綜合性醫療而聞名，並且提供住院病床和門診服務。

根據庫特內醫院提交給緬因州總檢察長辦公室的資料外洩通知信，2024年3月2日，公司發現部分IT系統出現異常，隨即展開調查，並尋求業界頂尖的資安專家協同合作。

調查顯示，2024年2月22日左右，網路攻擊者入侵了庫特內醫院的網路，竊取了病患的個人資訊，包括姓名、出生日期、社會安全號碼、駕照或政府發行的身份證號碼、病歷號碼、治療資訊以及診斷資訊、用藥資訊及健康保險資訊等。

庫特內醫院表示，目前尚不知道有任何遭竊資訊被盜用的情況。他們盡快通知受影響的病患，並附上受影響個人如何註冊 12 至 24 個月個資保護服務的說明，依據受害者遭到洩露的是哪種資料，會予以相應的個資保護服務。

庫特內醫院表示，發現異常活動後，立刻採取相應措施以確保數位環境的安全。經過全面性的查驗，確認受影響的資料後，於2024年8月1日，庫特內醫院對受影響資料的後續處置措施也告一段落。

應對這次的事件，庫特內醫院宣布實施額外的安全措施，並已通知當地執法單位，包括聯邦調查局（FBI）。另外庫特內醫院還透過IDX公司 (入侵回應服務廠商) 提供免費的信用監控和個資竊盜保護服務。

凌晨3點 勒索軟體集團洩露資料

3AM勒索軟體集團已聲明他們確實參與了這次攻擊，並在他們的暗網入口網頁上洩露了被駭資料，這也間接表明了受害方尚未支付贖金。

遭竊資料包含一個 22GB 的檔案，這個檔案免費提供使用，任何其他網路犯罪分子都可以任意下載該檔案資料並用於其他進一步的攻擊行動。

網路安全技術廠商賽門鐵克 (Symantec) 的威脅獵捕團隊表示，3AM勒索軟體系列是在2023年9月首次被發現。這個軟體是用Rust程式語言編寫，在開始加密程序之前，它會嘗試中斷多種服務，並在加密完成後試圖刪除磁碟區陰影副本（Volume Shadow copies）。

被加密的檔案其檔名末端會被添加“.threeamtime”，此外這個勒索軟體還支援多種指令來阻止應用程式進行備份及資訊安全軟體的運作。另一個特性是此軟體僅對符合預設條件的檔案進行加密。

資安培訓認證公司Intrinsec分析師於一月份的報告中談到，他們發現3AM和Conti，the Royal等勒索軟體集團之間有著顯著的關聯性，表明這三個集團之間應該存在某種結盟關係。

ThreeAM勒索軟體相關的部分的入侵指標（IOCs）:

079b99f6601f0f6258f4220438de4e175eb4853649c2d34ada72cce6b1702e22

307a1217aac33c4b7a9cd923162439c19483e952c2ceb15aa82a98b46ff8942e

680677e14e50f526cced739890ed02fc01da275f9db59482d96b96fbc092d2f4

991ee9548b55e5c815cc877af970542312cff79b3ba01a04a469b645c5d880af

ecbdb9cb442a2c712c6fb8aee0ae68758bc79fa064251bab53b62f9e7156febc

832a3c90b047e7c5dcfd373d238d16e33e238354d9b1af673003af22f4376e4c

EastWind行動-中國駭客組織鎖定俄羅斯政府和IT企業

Posted on 2024 年 8 月 14 日2024 年 8 月 14 日 by blogadmin

EastWind攻擊行動背後是與中國關聯的駭客組織APT27及APT31

自2024 年 7 月底開始，發生一系列針對性的網路攻擊事件，其目標鎖定在俄羅斯政府組織和 IT 企業所使用的數十個系統，據瞭解這一系列攻擊事件與中國關聯的 APT27 和 APT31 駭客組織有關。

俄羅斯電腦安全公司Kaspersky (卡巴斯基) 日前發現該系列攻擊行動，並將之稱為“EastWind” (東風行動)，報告稱該行動使用了更新版的CloudSorcerer 後門程式，目標是俄羅斯政府。在 2024 年 5 月類似的網路間諜活動中，也發現有使用相同的後門程式。

要特別注意的是CloudSorcerer 攻擊行動並不局限於俄羅斯，在 2024 年 5 月，電子郵件防護廠商Proofpoint 記錄了一次針對美國智庫的攻擊事件，其中也有使用CloudSorcerer。

EastWind東風攻擊手法

網路攻擊者先寄出帶有 RAR 檔案附件的網路釣魚電子郵件，其中含有用來安裝惡意軟體的 Windows 捷徑。攻擊者藉由雲端儲存服務 Dropbox 向惡意軟體發出指令，以安裝額外的木馬程式，像是網路間諜組織APT31使用的工具就是這類，另外還有一種名為 GrewApacha 的更新版CloudSorcerer後門程式也是。

卡巴斯基發布的報告中提到：「攻擊者使用一種典型的 DLL (動態連結程式庫) sideloading (側載入) 技術：當desktop.exe執行檔啟動時，惡意的 VERSION.dll 程式庫就會載入到對應的程序之中。」「這個程式庫是一組包含 VMProtect 工具的後門程式。一旦啟動，它會嘗試使用hardcoded (編碼寫死) 的授權憑證來連結 Dropbox 雲端服務。當連接到雲端，後門程式就會從儲存裝置內含的< computer name >/a.psd檔之中讀取要執行的指令。」

然後惡意軟體將這些指令的執行結果上傳到雲端儲存的檔案 < computer name >/b.psd 之中。

EastWind 攻擊行動中也使用變異版本的 CloudSorcerer 後門程式 (一種名為 GetKey.exe的工具程式)，其中包含 VMProtect 保護程式，這個惡意軟體的目的是用於加密只能在受駭使用者電腦上解密的傳輸資料。

其他在EastWind攻擊中發現的植入程式還有一種透過 CloudSorcere後門程式帶入的PlugY，這是一個前所未知的新種後門程式。

PlugY 在 C2(Command and Control) 通訊部份具備高度多功能性，包括能夠執行檔案操作指令、shell (外層) 指令執行、螢幕截圖、鍵盤記錄和剪貼簿監控等等。

卡巴斯基的分析指出，PlugY後門程式中使用的程式碼之前曾在 APT27 駭客組織的攻擊中出現過。

卡巴斯基評論道，由於 EastWind 攻擊中使用的後門程式明顯不同，因此要在被入侵的電腦上偵測出所有的後門程式是有相當難度。需要注意的項目包括：

「C:\Users\Public」目錄中超過 5MB 的 DLL (動態連結程式庫) 檔案
檔案系統中未簽署的「msedgeupdate.dll」檔案
每個使用者登入時啟動的「msiexec.exe」執行程序

在 EastWind攻擊行動中，駭客組織使用精密且高階的程式工具組合來掩飾網路流量中的惡意行動。攻擊者利用 GitHub、Dropbox、Quora 等常見的網路服務以及 LiveJournal 和 Yandex.Disk 等俄羅斯的系統平台，將這些平台用作命令伺服器。EastWind行動涉及到兩個與中國關聯的 APT 駭客組織，APT27和APT31，這部分也顯示出 APT 組織是如何地緊密合作並且共享惡意軟體工具。

EastWind行動相關的部分的入侵指標（IOCs）:

1f5c0e926e548de43e0039858de533fc

67cfecf2d777f3a3ff1a09752f06a7f5

bed245d61b4928f6d6533900484cafc5

d0f7745c80baf342cd218cf4f592ea00

f6245f64eaad550fd292cfb1e23f0867

faf1f7a32e3f7b08017a9150dccf511d

426bbf43f783292743c9965a7631329d77a51b61

bce22646f0d7c3abc616996cd08b706590e724e1

c0e4dbaffd0b81b5688ae8e58922cdaa97c8de25

e1cf6334610e0afc01e5de689e33190d0c17ccd4