全球最大網站代管暨網域名註冊商GoDaddy遭駭，WordPress逾120萬筆個資受影響

Posted on by blogadmin

GoDaddy 週一(11/22)表示，一名駭客獲得了其代管服務WordPress超過 120 萬客戶個資的存取權，並向美國證券交易委員會提交了文件，GoDaddy證實於11 月17 日發現其代管的WordPress環境遭入侵，根據隨後的調查發現，入侵者早在9 月6 日就已在存取其內部的客戶數據，表示駭客存取其伺服器長達兩個多月，據悉，入侵者使用洩露的密碼存取了GoDaddy託管的WordPress舊的原始碼庫中的配置系統。WordPress 是一種基於 Web 的內容管理系統，數百萬人使用它來建立部落格或網站，GoDaddy 代管在他們的伺服器上WordPress。

GoDaddy證實WordPress遭入侵

根據目前的調查證據，駭客獲得了以下資料及GoDaddy的應對：

*其代管服務WordPress的平台上，多達120 萬的活躍和不活躍的客戶的電子郵件地址和客戶編號遭外洩。僅表示電子郵件地址的暴露存在網路釣魚攻擊的風險。

*GoDaddy 在建立站點時向客戶發放的原始 WordPress 管理員密碼。如果這些憑證仍在使用中，我們將重置這些密碼

*活躍客戶的sFTP 和數據庫用戶名和密碼被洩露。我們重置了密碼

*一部分活躍客戶的 SSL 私鑰遭公開。我們為這些客戶頒發和安裝新的 SSL證書

GoDaddy目前仍在調查入侵者的身份，正在通知受影響的客戶。GoDaddy在去年5月也曾遭入侵，當時提醒客戶，網站代管的28,000 個客戶帳號遭不明人士透過SSH存取。

加密貨幣交易平台BTC-Alpha遭LockBit2.0勒索軟體入侵

Posted on by blogadmin

由烏克蘭人 Vitaliy Bodnar 創立的加密貨幣交易所 BTC-Alpha 於 2021 年 11 月 1 日 成為大規模 DDoS 攻擊的受害者，11 月 1 日 為BTC-Alpha成立的5週年，根據Prleap的報導，網路犯罪分子試圖竊取BTC-Alpha用戶的資金但未果。在竊取失敗之後，BTC-Alpha創辦人Vitaliy Bodnar收到了來自不知名人士的威脅暗示，聲稱將對他進行暴力行動。Bodnar 認為這一切以及包含這次的DDoS攻擊都是其競爭對手的詭計。Bodnar說，”這是我們競爭對手的方法，我們拒絕與他們合作，添加他們的貨幣到我們的平台。當他們出貨幣時，在同一天，我們遭到大規模攻擊。我不相信這樣的巧合。”

LockBit 的揭秘網站上, BTC-Alpha 的頁面

然而根據LockBit2.0的揭秘網站，操作該勒索軟體的駭客已在11月17日將BTC-Alpha添加為受害者。 LockBit 2.0稱如果他們沒有收到贖金，將在 12 月 1 日公佈BTC-Alpha的數據，據了解雖然Lockbit 2.0 勒索軟體通過內神通外鬼的方式入侵了BTC-Alpha系統，駭客通過他們的電腦直接向BTC-Alpha的員工發送病毒，當中有員工讓這種病毒進入。在入侵過程，駭客更試圖竊取用戶的資金，但最終仍沒有成功，竊取了BTC-Alpha交易平台的原始碼及36.2萬名用戶的詳細資訊，LockBit2.0目前開價100 BTC 約1800 萬美元的贖金，但據了解BTC-Alpha拒絕談判。

值得一說，BTC-Alpha 於 2021 年 11 月 1 日，即公司成立 5 週年紀念日遭到攻擊。據Bodnar稱，這次襲擊是由半年前精心策劃的，目前仍有未解決的問題使公司無法對損害進行全面評估，但稱在未來幾天交易所全面恢復後，所有用戶都可以從他們的賬戶中自由提取資金。

BTC-Alpha為前100 大加密交易所之一

有關LockBit2.0勒索軟體的入侵指標(Indicator of compromise -IOCs):

SHA 256:

3407f26b3d69f1dfce76782fee1256274cf92f744c65aa1ff2d3eaaaf61b0b1d

2f18e61e3d9189f6ff5cc95252396bebaefe0d76596cc51cf0ade6a5156c6f66

4db7eeed852946803c16373a085c1bb5f79b60d2122d6fc9a2703714cdd9dac0

07a3dcb8d9b062fb480692fa33d12da05c21f544492cbaf9207956ac647ba9ae

bd14872dd9fdead89fc074fdc5832caea4ceac02983ec41f814278130b3f943e

ced3de74196b2fac18e010d2e575335e2af320110d3fdaff09a33165edb43ca2

107d9fce05ff8296d0417a5a830d180cd46aa120ced8360df3ebfd15cb550636

IPv4:

139.60.160.200

168.100.11.72

174.138.62.35

185.215.113.39

193.38.235.234

45.227.255.190

88.80.147.102

93.190.143.101

93.190.139.223

LockBit2.0 Tor Domains:

hxxp://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd[.]onion

hxxp://lockbitsap2oaqhcun3syvbqt6n5nzt7fqosc6jdlmsfleu3ka4k2did[.]onion

hxxp://lockbitsup4yezcd5enk5unncx3zcy7kw6wllyqmiyhvanjj352jayid[.]onion

MD5: f47e3555461472f23ab4766e4d5b6f6fd260e335a6abc31b860e569a720a5446

MD5: 0dd0cb0eda6374e48e6cc403151ac5ba

CISA制定了新的網路安全事件和漏洞回應手冊，旨在改進和標準化聯邦及民營機構在面臨威脅時的安全流程

Posted on by blogadmin

Key Points:

*CISA 發布事件和漏洞回應手冊，以加強聯邦及民營機構的網路安全

*這是拜登總統改善國家網路安全頒布的行政命令的一部分

*CISA建議各機構應使用手冊來塑造整體防禦性網路行動

11月16日(週二)美國網路安全暨基礎設施安全局(CISA)發布了新的指導手冊，其中包括針對面臨全資威脅時聯邦及民營機構的標準化回應程序。新的指導方針是CISA根據拜登總統在5月份頒布的網路安全行政命令而制定的，據了解，指導手冊中的範例為聯邦及民營機構提供了一套標準程序，以應對影響它們網路的漏洞和資安事件，手冊涵蓋了機構應如何管理與事件和漏洞相關的網路安全流程——包括準備(preparation)、調查(investigation)、遏制(containment)、報告(reporting)和補救(remediation)。CISA 在宣布手冊時表示，聯邦及民營機構應該使用這些手冊來塑造他們的整體防禦網路行動。

手冊以CISA 約束性操作指令 22-01( Binding Operational Directive 22-01 ) 為基礎，標準化了在應對這些對聯邦政府、私營和公共部門構成重大風險的漏洞時應遵循的流程，CISA強烈建議公營和私營機構的合作夥伴檢閱手冊，以評估他們的漏洞和事件回應實踐。手冊內容包括事件回應手冊(Incident Response Playbook)適用於涉及已確認的惡意網路活動且已宣布或尚未合理排除的重大事件，漏洞回應手冊(Vulnerability Response Playbook ) 適用於任何被對手觀察到用於獲取未經授權進入電腦資源的漏洞。

CISA 敦促各機構應使用這些手冊來幫助塑造整體的防禦性網路行動，以提高整體彈性和確保一致性和有效的回應。

Emotet捲土重來並以Trickbot重建其殭屍網路!

Posted on by blogadmin

Key Points:

*在歐洲刑警關閉Emotet殭屍網路及其C2伺服器的十個月後，Emotet再次活躍起來。

*今年 4 月 25 日，執法部門還從受感染的電腦上大規模移除了 Emotet。

*新的 Emotet 伺服器和惡意軟體樣本已於 11 月 14 日出現。

Emotet 惡意軟體曾被認為是傳播最廣泛的惡意軟體，它使用垃圾郵件活動和惡意附件來分發惡意軟體，Emotet 會使用受感染的設備來執行其他垃圾郵件活動並安裝其他payloads，例如 QakBot (Qbot) 和 Trickbot 惡意軟體。然後，這些payloads將用於向駭客提供部署包括 Ryuk、Conti、ProLock、Egregor 等勒索軟體的入侵初期的存取權限。

今年年初，由歐洲刑警組織和8國警方合作協調的一項國際執法行動接管了 Emotet 基礎設施並逮捕了兩名系統管理員，並為了預防Emotet起死回生，於4月25自遠端關閉了受害系統上的Emotet功能並自動執行程式，移除Emotet殭屍網路，從受感染的設備中移除了惡意軟體，但新的Emotet伺服器和惡意軟體樣本已於 11 月 15 日出現。

Photo Credit: Cryptolaemus
Emotet感染鏈, Photo Credit:SANS ISC

來自Cryptolaemus、GData和Advanced Intel的研究人員已經開始看到 TrickBot 惡意軟體在受感染設備上投放Emotet的載入器（Loader），根據Cryptolaemus研究員，在過去駭客經常運用Emotet來在受害電腦下載TrickBot，但駭客現在使用一種稱為“Operation Reacharound”的方法，利用TrickBot 的現有基礎設施重建 Emotet 殭屍網路，研究員相信這可能是Emotet回歸的方式。

另外，Cryptolaemus的成員 Abuse.ch發布了新的Emotet殭屍網路C2伺服器列表，據了解，新的 Emotet 基礎設施正在迅速增長，已有超過 246 台受感染設備已經充當C2伺服器，強烈建議網路管理員封鎖以下相關的 IP 地址。

177.72.80.14

51.210.242.234

51.178.61.60

196.44.98.190

185.148.169.10

142.4.219.173

168.197.250.14

94.177.248.64

81.0.236.93

66.42.55.5

45.76.176.10

188.93.125.116

103.8.26.103

103.8.26.102

相關的Indicators of Compromise (IOCs)

SHA256 hash: 7c5690577a49105db766faa999354e0e4128e902dd4b5337741e00e1305ced24

SHA256 hash: bd9b8fe173935ad51f14abc16ed6a5bf6ee92ec4f45fd2ae1154dd2f727fb245

SHA256 hash: f7a4da96129e9c9708a005ee28e4a46af092275af36e3afd63ff201633c70285

SHA256 hash: d95125b9b82df0734b6bc27c426d42dea895c642f2f6516132c80f896be6cf32

SHA256 hash: 88b225f9e803e2509cc2b83c57ccd6ca8b6660448a75b125e02f0ac32f6aadb9

SHA256 hash: 1abd14d498605654e20feb59b5927aa835e5c021cada80e8614e9438ac323601

URLs:

hxxp://av-quiz[.]tk/wp-content/k6K/
hxxp://devanture[.]com[.]sg/wp-includes/XBByNUNWvIEvawb68/
hxxp://ranvipclub[.]net/pvhko/a/
hxxp://visteme[.]mx/shop/wp-admin/PP/
hxxps://goodtech.cetxlabs[.]com/content/5MfZPgP06/
hxxps://newsmag.danielolayinkas[.]com/content/nVgyRFrTE68Yd9s6/
hxxps://team.stagingapps[.]xyz/wp-content/aPIm2GsjA/

製作TrickBot殭屍網路的駭客組織與釣魚郵件駭客Shatak聯手合作，在受害電腦上植入Conti勒索軟體

Posted on by blogadmin

根據資安業者Cybereason最新的報告指出，TrickBot殭屍網路背後的駭客組織Wizard Spider目前正與 Shatak (TA551) 駭客組織合作，散布TrickBot 和 Bazar Backdoor 惡意軟體，以用於在受感染系統上部署 Conti 勒索軟體。研究人員發現，Shatak 和 TrickBot 於 2021 年 7 月開始合作，並取得了不錯的成果，

因此攻擊活動一直持續到今。

Shatak 的感染鏈
Photo Credit:Cybereason

Cybereason警告說Shathak 駭客組織正在大肆散佈惡意惡意垃圾郵件，這些郵件以受密碼保護的存檔檔案的形式附加到網路釣魚電子郵件中，檔案包含帶有macros的惡意檔案，這些macros可以下載和執行 TrickBot 或 BazarBackdoor，使駭客能進行包括偵察、橫向移動、竊取憑證和數據外洩。

據了解，製作TrickBot殭屍網路的駭客組織Wizard Spider(或被稱為ITG23)，除通過勒索軟體即服務 ( Ransomware as a Service;RaaS ) 運作模式將惡意軟體的存取權出租給會員之外，還負責開發和維護Conti勒索軟體。

Cybereason 的研究人員說，他們觀察到駭客獲得初始入侵到企業網路，再到駭客實際部署勒索軟體的平均時間為兩天，可見這聯手合作發揮了相當大程度的功效。美國網路安全和基礎設施安全局 (CISA) 和聯邦調查局 (FBI) 警報稱，截至 2021 年 9 月，Conti 勒索軟體針對美國和其他國際企業的攻擊已發生超過 400 起。

為了保護系統免受 Conti 勒索軟體的入侵，CISA和FBI建議實施的緩解措施，包括多重身份驗證 (MFA)、禁用未使用的 RDP 服務、實施網路分段以及使操作系統和軟體保持最新狀態等。

Clop 勒索軟體攻擊激增，鎖定Serv-U軟體的安全漏洞 CVE-2021-35211

Posted on by blogadmin

NCC Group的研究人員發現，操作Clop勒索軟體駭客組織（也稱為TA505和FIN11）正在積極性利用 SolarWinds 的Serv-U 漏洞CVE-2021-35211破壞企業網路並最終對設備進行加密。CVE-2021-35211存在於 SolarWinds 的 Serv-U 產品中，當Serv-U的 SSH 暴露在 Internet 上時，該漏洞將允許駭客以特權執行任意程式，駭客可安裝和運行惡意payloads，或查看和更改數據等操作。SolarWinds於2021年7月發布了緊急的安全更新，因為它發現了中國駭客組織DEV-0322在針對性攻擊中利用它。距離 SolarWinds 發布此漏洞的安全更新已經近四個月，但潛在的易受攻擊的 Serv-U伺服器的百分比仍保持在 60% 以上，建議立即使用Serv-U 15.2.3版本的hotfix或更高的版本。

以往Clop也在其攻擊中使用漏洞，例如在Accellion FTA伺服器中的零時差漏洞攻擊。NCC研究人員表示，在發現的新攻擊中，在成功利用 CVE-2021-35211 之後，操作Clop勒索軟體的駭客利用 Serv-U伺服器產生一個由攻擊者控制的子進程(Subprocess)，從而使他們能夠在目標系統上運行command，開闢了惡意軟體的部署、網路偵察和橫向移動，為勒索軟體攻擊奠定了基礎。研究人員解釋說，作為攻擊的一部分，Clop使用PowerShell命令來部署 Cobalt Strike Beacon。此外，攻擊者劫持了名為 RegIdleBackup 的預定任務，使他們能夠在入侵的機器上實現持久性並在下一階段，部署FlawedGrace RAT (TA505至少自 2017 年 11 月以來一直在使用的工具)。

Photo Credit: NCC Group

目前，最多易受攻擊的 Serv-U伺服器的國家是中國，有1141台，而美國則位居第二，台灣也有50台受攻擊的伺服器。

研究人員在報告中警告說，7 月份在Port22上識別出的 Serv-U (S)FTP伺服器中有 5945台 (94%)處於易受攻擊的狀態。10月份，在SolarWinds發佈修補三個月後，潛在易受攻擊的伺服器數量仍然很大，為2784台（66.5%）。

NCC Group 為懷疑受到攻擊的系統管理員發布了以下的清單:

*檢查您的 Serv-U 版本是否易受攻擊

*找到 Serv-U 的 DebugSocketlog.txt

*搜索諸如‘EXCEPTION: C0000005; CSUSSHSocket::ProcessReceive();’之類的項目

*檢查 Windows 事件日誌中圍繞異常日期/時間的事件 ID 4104，並查找可疑的 PowerShell 命令

*使用提供的 PowerShell 命令檢查是否存在名為 RegIdleBackup被劫持的預定任務

*預防被濫用：COM handler中的 CLSID 不應設置為 {CA767AA8-9157-4604-B64B-40747123D5F2}

*如果任務包含不同的 CLSID：使用提供的 PowerShell 命令檢查註冊表中 CLSID 對象的內容，返回 Base64 編碼字串可能是入侵的指標。

美國要線索!懸賞1000萬美元，決心追捕DarkSide勒索軟體的幕後駭客

Posted on by blogadmin

美國國務院(The Department of State)懸賞最高 1000萬美元，以獎勵能夠識別或定位Darkside幕後關鍵領導成員的資訊提供者。根據國務院 11月4日發布的新聞稿，該部門還提供最高 500 萬美元的獎金，獎勵在任何國家逮補或定罪參與DarkSide勒索軟體事件的人。通過提供這一懸賞，美國表明其致力於保護世界各地的勒索軟體受害者，免受網路犯罪分子的利用。美國期待那些窩藏勒索軟體罪犯的國家願意為受勒索軟體影響的受害者企業和組織伸張正義。

美國政府官員指出，DarkSide 是 2021 年 5 月對 Colonial Pipeline 的勒索軟體攻擊的幕後黑手，該攻擊導致該公司關閉了約 5,500 英里的管道，其中包含輸送美國東岸使用的 45% 的燃料，造成停工數日，導致油價飆升、民眾恐慌性購買(Panic buying)，最後Colonial Pipeline支付了440 萬美元，而後美國司法部通過獲得加密貨幣錢包的存取權收回了其中的大部分贖金。

據新聞稿，此獎金也將適用於DarkSide勒索軟體的更名品牌(Rebrand) BlackMatter勒索軟體，當勒索軟體在攻擊一個高度敏感的組織後開始感受到執法部門的壓力時，他們通常會以不同的名稱重新命名，過去也有其他勒索軟體進行了更名。包括：

GandCrab–> REvil

Maze –>Egregor

Bitpaymer–> DoppelPaymer­­–>Grief

Nemty –> Nefilim –> Karma

據了解，懸賞的獎金由國務院的跨國有組織犯罪獎勵計劃 (the State Department’s Transnational Organized Crime Rewards Program; TOCRP) 提供，旨在打擊跨國有組織犯罪。迄今為止，TOCRP 已經支付了超過 1.35 億美元的獎勵，官員們表示，自 1986 年以來，已有超過 75 名跨國犯罪分子和毒販等經過TOCRP獎勵計劃被繩之以法。

為遏止重大基礎設施遭網攻和勒索軟體事件的激增，美國國務院7 月也曾提出Rewards for Justice(正義獎勵)計畫。

BlackMatter 勒索軟體利用名為Exmatter的竊密工具，加速竊取受害公司的數據

Posted on by blogadmin

根據資安公司賽門鐵克的安全研究人員的觀察，BlackMatter已開始在攻擊中利用一種新的竊密工具，加速竊取受害公司的數據。被稱為Exmatter的自訂義工具允許操作BlackMatter 勒索軟體的駭客組織輕鬆定位受感染系統中的有價值數據，表明他們旨在加快攻擊的速度。

據了解，Exmatter 從選定的目錄中竊取特定類型的檔案，並在勒索軟體本身在受感染系統上執行之前將它們上傳到攻擊者控制的伺服器。研究人員表示，這種將數據源(Data source)縮減到僅被視為最有利可圖或業務最關鍵的數據源，旨在加快整個竊取過程，相信是為了讓駭客可以在被中斷之前完成他們的攻擊階段。

Exmatter被編譯為.NET 可執行工具，如果發現特定的command line參數，則嘗試隱藏其視窗，然後繼續收集系統上的所有驅動器名稱和檔案路徑，不包括特定目錄、具有特定屬性的檔和大小小於1，024位元組的檔。Exmatter旨在對選定的檔案類型（如 PDF、Word 檔、spreadsheets和 PowerPoint）進行滲透，並以 LastWriteTime 優先處理要滲透的檔案類型。一旦滲透完成，Exmatter 將覆蓋並刪除受害者電腦中的任何痕跡。

賽門鐵克在報告中表示，攻擊者一直致力於改進 Exmatter，迄今為止觀察到該工具的多種變體，表明其開發人員試圖改進其功能，以盡可能加快數據竊取過程。

自 2021 年 7 月以來，BlackMatter 已被用於攻擊全球多個組織，包括美國的關鍵基礎設施實體。

BlackMatter 與 Coreid 網路犯罪組織有關聯，該組織也經營 Darkside 勒索軟體。在過去的 12 個月中，該組織一直在進行各種引人注目的攻擊，例如 2021 年 5 月對殖民地管道的攻擊。

與大多數勒索軟體參與者一樣，與 Coreid 相關的攻擊會竊取受害者的數據，然後該組織威脅要發布這些數據，以進一步迫使受害者支付贖金。賽門鐵克總結道，Exmatter竊密工具是由Coreid本身或是其會員建立的仍有待觀察，但其發展表明數據盜竊和勒索仍然是該組織的核心重點。

有關Exmatter的入侵指標Indicators of compromise (IOCs):

URL:

https://159.89.128.13/data/

https://157.230.28.192/data/

IPv4:

165.22.84.147

157.230.28.192

159.89.128.13

SHA 256:

fcaed9faa026a26d00731068e956be39235487f63e0555b71019d16a59ea7e6b

8eded48c166f50be5ac33be4b010b09f911ffc155a3ab76821e4febd369d17ef

325ecd90ce19dd8d184ffe7dfb01b0dd02a77e9eabcb587f3738bcfbd3f832a1

SHA 256:

58e77aa4207d1f3ae808215c447839ef8b081609

347b3921b0660986bc0ce4d1a41aa77f04377a37

日本跨國醫藥服務公司立力科，遭Rangar Locker勒索軟體攻擊

Posted on by blogadmin

立力科於10月初曾公告其總部的伺服器遭非法存取，10月底發現其歐洲子公司也遭駭客攻擊

日本遊戲開發商巨頭卡普空也曾於2020年9月遭Ragnar Locker加密，被盜1TB數據

10月27日，日本立力科(Lincial) 在其官網上發布關於其歐洲子公司遭網路攻擊的資安事件。據了解，事緣於10月21 立力科歐洲子公司檢測到外部第三方網路攻擊而中斷了歐洲網路以及與日本、亞洲和美國連接的的網路，在經當地的IR資安公司進行恢復及評估後，聲稱沒有任何資訊外洩或破壞，但隨後在10月25日證實收到Ragnar Locker的勒索信，要求支付贖金以換取被盜的數據。立力科的總部位於日本大阪，為東京證券交易上市之公司並已於全球23個國家，包括台灣、歐洲及北美洲等地設立子公司，全球員工則超過1000位。

立力科官網

立力科同時證實不打算與駭客交涉也不会支付贖金，另一方面，操作Ragnar Locker勒索軟體的駭客也已在其揭秘網站上列出立力科的頁面，並稱該公司不在意數位安全。

由於立力科曾於10月5日，發布有關其日本總部檔案伺服器被非法的第三方存取的資安事件，這次遭Ragnar Locker攻擊是否也因非法第三方存取日本伺服而器引起?目前仍不得而知，但據了解立力科目前正配合外部第三方資安公司進行進一步的調查，並已經通報包括日本及歐洲有關當局。

以往曾被Ragnar Locker攻擊的知名受害企業包括:

*2021年6月台灣記憶體大廠威剛科技ADATA遭Ragnar Locker攻擊

*日本知名遊戲大廠卡普空，被盜1TB 數據，勒索1100萬美元的贖金

*義大利酒商Campari Group，被盜多達2TB未加密的檔案，提出高達1,500萬美元的贖金要求

*法國貨櫃船運業者CMA CGM ，要求1,000萬美元的贖金，最後CMA CGM以450萬美元支付贖金。

*葡萄牙跨國能源巨頭Energias de Portugal竊取了 10 TB 的，勒索1100萬美元的贖金

有關Ragnar Locker勒索軟體的入侵指標Indicators of compromise (IOCs):

SHA 1:

01fff32c5e016bfd3692072ef0ef5b943f2da110

af53890ed1d4753e7493d48862bdd7d18a2b11f6

0f944504eebfca5466b6113853b0d83e38cf885a

e22344a92c91b567a6cba7eb66686c438d479462

64b99b55f0a1ec4f8f30897a460c574300a8acbd

MD5:

9b2a874de86f10ff992a30febdb6f9e8

5b06303cdf191dae161e849841f8aff4

f7c48ee1f3ee1b18d255ad98703a5896

00fb3f27bccef7c5658ff9f5ce487cec

7529e3c83618f5e3a4cc6dbf3a8534a6

擁槍團體美國全國步槍協會，遭Grief勒索軟體入侵

Posted on by blogadmin

10 月 28 日，據美國NBC新聞報導，操作Grief勒索軟體的俄羅斯駭客組織聲稱已經成功入侵了美國全國步槍協會 (NRA)，週三在其揭秘網站上發布了來自全國步槍協會數據庫的13 個檔案，威脅說如果不支付贖金，就會發布敏感資訊。美國全國步槍協會( National Rifle Association ; NRA ; 簡稱美國槍會 )是美國最大規模的槍械組織，有超過五百萬名會員，美國槍會積極參加美國當地的政治活動，具有重大政治影響力。目前尚不清楚 Grief是否攻擊了美國槍會的一個較小的分支機構，或是攻擊了的中央網路。

Grief勒索軟體揭秘網站

根據消息人士，美國槍會沒有回應 NBC 就此次駭客事件發表評論的請求，但據報導，美國槍會只稱是它們的電子郵件系統遇到了技術問題。隨後，美國槍會在Twitter一條推文中表示，它們不討論是其實體或電子安全相關的問題，並補充說它們採取非常措施來保護會員和捐助者的資料。

近年來，針對各種公司和組織的勒索軟體攻擊激增，但很少有像美國槍會那樣具有政治敏感性的目標。該組織長期以來一直與美國共和黨高層立法者保持密切聯繫，並且一直是共和黨候選人的主要支持者。全國步槍協會在過去兩次總統選舉中花費了數千萬美元幫Donald Trump助選。

據BleepingComputer，Grief 勒索軟體與名為 Evil Corp. 的俄羅斯駭客組織有關，Evil Corp 自 2009 年以來一直活躍，並參與了許多惡意網路活動，包括分發Dridex木馬以竊取網上銀行憑證和竊取資金。

駭客組織在 2017 年轉向勒索軟體，當時他們發布了名為 BitPaymer 的勒索軟體。BitPaymer 後來在 2019 年演變為 DoppelPaymer 勒索軟體操作。

在多年攻擊美國利益後，美國司法部指控 Evil Corp 成員竊取超過 1 億美元，並將該駭客組織列入外國資產控制辦公室 (OFAC) 制裁名單。

不久之後，美國財政部隨後警告說， 勒索軟體談判人員可能會因協助向制裁名單上的駭客組織支付贖金而面臨民事處罰。

從那時起，Evil Corp 就經常以不同的名稱發布新的勒索軟體，以逃避美國的制裁。這些勒索軟體系列包括 WastedLocker、  Hades、  Phoenix CryptoLocker、  PayLoadBin，以及最近的 Macaw Locker。然而，他們最初的勒索軟體 DoppelPaymer 以相同的名稱運作了多年，直到 2021 年 5 月，他們停止在揭秘網站點上列出新的受害者。

一個月後，Grief 勒索軟體出現了，基於程式碼的相似性資安研究人員認為這是DoppelPaymer 的品牌重塑。

有關Grief勒索軟體的入侵指標Indicators of compromise (IOCs):

SHA256 :

b5c188e82a1dad02f71fcb40783cd8b910ba886acee12f7f74c73ed310709cd2

91e310cf795dabd8c51d1061ac78662c5bf4cfd277c732385a82f181e8c29556

dda4598f29a033d2ec4f89f4ae687e12b927272462d25ca1b8dec4dc0acb1bec

0864575d4f487e52a1479c61c2c4ad16742d92e16d0c10f5ed2b40506bbc6ca0

b21ad8622623ce4bcdbf8c5794ef93e2fb6c46cd202d70dbeb088ea6ca4ff9c8