【資安日報】3月15日，Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate

微軟在今年2月例行更新（Patch Tuesday），修補Microsoft Defender SmartScreen安全機制的漏洞CVE-2024-21412，當時通報漏洞的資安業者趨勢科技表示，這項漏洞在去年底就被APT駭客組織利用。

但在研究人員進一步追查後發現，今年1月有另一組人馬也將其用於散布惡意程式DarkGate。這樣的情況，很有可能還有其他駭客也在微軟修補之前，就掌握這項漏洞。

【攻擊與威脅】

微軟SmartScreen零時差漏洞遭駭客用於散布惡意程式DarkGate

去年12月資安業者趨勢科技發現駭客組織Water Hydra的攻擊行動，當中利用能繞過Microsoft Defender SmartScreen安全機制的零時差漏洞CVE-2024-21412（CVSS風險評分8.1），如今他們指出，還有其他惡意程式利用這項漏洞散布。

研究人員針對上述的零時差漏洞攻擊擴大調查，發現駭客在1月中旬利用該漏洞散布惡意軟體DarkGate，對方先是寄送挾帶PDF附件的釣魚郵件，一旦收信人點選PDF檔案裡的連結，攻擊者就會濫用Google的數位行銷平臺DoubleClick Digital Marketing（DDM），並採取開放重新導向（Open Redirect）手法，將收件人導向遭到入侵的網站，從而繞過CVE-2024-21412並下載惡意MSI安裝檔。收信人若是依照指示安裝，電腦就會被植入DarkGate。

竊資軟體Tweaks鎖定Roblox玩家而來，駭客透過YouTube及Discord聲稱能增加遊戲體驗來散布惡意程式

遊戲平臺Roblox的玩家請注意！本週有資安業者揭露攻擊這個社群的竊資軟體Tweaks（或稱Tweaker），對方先利用網路影音平臺YouTube的頻道，製作與發布以提升Roblox遊戲運作最佳化為主題的影片，引誘用戶觀看，宣稱能改善執行畫面每秒顯示的影格數（FPS），並提供Discord群組的連結，一旦玩家加入群組，對方就會以向他們提供修改器的名義，散布竊資軟體。

研究人員指出，此惡意程式使用PowerShell打造，會竊取使用者資訊，包括地理位置、Wi-Fi組態、Roblox帳號等敏感資料，一旦竊資軟體挖崛到相關資料，就會透過Discord的Webhook功能傳送到攻擊者的伺服器。

特別的是，可能是為了讓使用者降低戒心，這些駭客同時提供免費及付費版修改器，但實際上，兩者都會導致電腦被植入竊資軟體。考慮到該遊戲每天有超過7千萬玩家上線遊玩，再加上有45%玩家年齡低於13歲，這些小孩可能使用父母的裝置遊玩，而有可能導致家長其他的機敏資料被竊。

研究人員揭露駭客組織Muddled Libra攻擊手法的變化，並指出對方重度利用代理伺服器服務、虛擬機器隱匿行蹤

資安業者Palo Alto Networks揭露駭客組織Muddled Libra最新一波的攻擊行動，這些駭客最初鎖定軟體自動化、外包公司、電信業者，後來範圍擴及科技業、業務處理外包公司、旅館、金融產業，攻擊步調迄今並未出現放緩的跡象。

研究人員分析2022年中期至今年初的攻擊行動，發現這些駭客的手法有以下特質：像是在作案過程當中，會大量使用匿名代理伺服器服務，包含Nsocks、TrueSocks，並建立從特定資安業者轉寄給自己的郵件規則，以便監控通訊；此外，這些駭客也會對VMware vCenter伺服器下手，利用開源rootkit工具bedevil（bdvl）發動攻擊，並部署自製的虛擬機器（VM），目的是為了迴避偵測。這些駭客主要鎖定的地區是美國，並使用英文為主要語言，以便對目標進行社交工程攻擊，再者，研究人員也看到對方利用AI仿造受害者聲音的情況。

該駭客組織起初利用0ktapus網釣工具包收集帳密，從而入侵目標組織，而現在則是演變成針對服務臺系統從事社交工程攻擊來達到目的。值得一提的是，這些駭客在2023年成為勒索軟體駭客BlackCat（Alphv）的附屬組織，並隨即將相關工具用於攻擊行動，但不久就遇到美國司法部中斷該勒索軟體的運作，Muddled Libra改以竊取資料向受害組織進行勒索。

【其他新聞】

勒索軟體LockBit遭執法單位圍剿，成員大量湧入另一個組織Akira

研究人員在11個國家發現新的攻擊基礎設施，疑為間諜軟體Predator使用

惡意程式FakeBat透過惡意廣告散布，駭客假借提供熱門應用程式為誘餌吸引用戶上當

惡意軟體FakeUpdates攻擊行動鎖定WordPress網站而來

日產大洋洲分公司遭遇網路攻擊，10萬人個資外流

近期資安日報

【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞

【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注

【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織