中國駭客的攻擊行動最近再度傳出,其中最值得注意的是駭客組織TA416的攻擊行動,而且臺灣首當其衝──該組織已對一個臺灣政府機關下手。
另一個惡名昭彰的駭客組織APT41,則是針對材料公司下手竊取專利技術的情況,引起研究人員關注。
SIM卡挾持(SIM Swapping)攻擊為何如此氾濫?很有可能是駭客極為容易取得所需的資料促成。有資安新聞網站指出,3個專門從事這類攻擊的駭客組織,在去年就入侵美國電信業者T-Mobile超過100次。
【攻擊與威脅】
中國駭客TA416利用MQTT通訊協定遠端控制受害電腦,主要目標是臺灣的政府機關
資安業者ESET發現中國駭客組織TA416(亦稱Mustang Panda)新的攻擊手法,這些駭客自2023年1月,運用名為MQsTTang的後門程式,透過釣魚郵件發動攻擊,他們假借提供外交使團成員的護照,或是向大使館進行照會為名義,在RAR壓縮檔挾帶MQsTTang。此後門程式的獨特之處在於。與C2伺服器通訊過程採用了MQTT通訊協定,而有可能讓攻擊者的基礎設施更難被找到。
研究人員表示,這起攻擊行動主要是針對臺灣某個政府機關而來,但根據駭客使用的誘餌檔案名稱,他們研判亞洲及歐洲的政府機關也可能是目標。
資安業者賽門鐵克揭露中國駭客組織APT41的攻擊行動,駭客約於2022年底至2023年初,鎖定一家亞洲集團從事材料處理的兩家子公司,利用後門程式Winnkit、帳密匯出工具Mimikatz等多種工具作案,進行撈取帳密資料、截取螢幕畫面、注入Shell Code、查詢SQL資料庫等行為,目的可能是竊取智慧財產。
這種針對材料產業而來的攻擊行動並非首例,日前有名為Clasiopa的駭客組織,利用木馬程式Atharvan RAT、Lilith RAT變種,以及駭客工具Thumbsender進行竊密。
駭客聲稱在2022年入侵電信業者T-Mobile超過100次
根據資安新聞網站Krebs on Security的報導,有研究人員針對3個駭客組織Telegram頻道的對話內容進行分析,結果發現這些駭客在2022年5月中旬到年底,對美國電信業者T-Mobile攻擊超過100次,他們藉由誘騙該公司的員工,進而取得內部工具,竊取用戶資料以便進行SIM卡挾持(SIM Swapping)攻擊。
該新聞網站指出,上述駭客組織雖然也會竊取AT&T、Verizon的用戶資料並兜售,但相較於從T-Mobile竊得的資料介於1,000至1,500美元,來自上述兩家電信業者的資料價格通常開價高出一倍。
此外,其中一組駭客於10月下旬發現,原本的手法很可能因T-Mobile採取新的管制措施而受到限制,導致他們竊得的員工存取權限很快就失效。對此,T-Mobile拒絕回應採取那些措施強化資安。
法律事務所員工遭到水坑式攻擊,駭客企圖散布惡意軟體GootLoader和SocGholish
資安業者eSentire發現針對6家法律事務所的惡意軟體攻擊行動,其中一種是利用搜尋引擎最佳化污染(SEO Poisoning)手法,鎖定尋找業務相關文件檔案的使用者下手,企圖透過偷渡式下載(Drive-by Download)於受害電腦投放JavaScript惡意軟體。在攻擊行動裡,駭客也入侵WordPress網站並植入新的文章,來誘騙這些法律事務所的員工,一旦使用者依照指示下載檔案,電腦就有可能被植入惡意程式GootLoader 。
其中,也有部分攻擊行動駭客使用名為SocGholish的惡意軟體──他們先是破壞美國佛羅里達州一家公證人事務所的網站,藉由水坑式攻擊吸引使用者上當,駭客在網頁上加入彈出式訊息,表示使用者的需要更新Chrome瀏覽器,然而若是依照指示下載、安裝,電腦就會被部署SocGholish。
資安業者Uptycs揭露鎖定加密貨幣業者的攻擊行動,駭客透過釣魚郵件散布木馬程式Parallax RAT,先是執行以Visual C++打造的惡意酬載,然後透過處理程序挖空(Process Hollowing)手法,將Parallax RAT注入微軟Tablet PC元件pipanel.exe來執行,進而於受害電腦收集系統資訊,或是側錄鍵盤輸入的內容,甚至能進行遠端控制受害電腦。
值得一提的是,一旦成功植入上述木馬程式,攻擊者將會收到通知,他們也利用記事本軟體(Notepad)和受害者互動,要求使用Telegram頻道來對話,但這麼做的目的是什麼?研究人員沒有說明。
駭客組織Iron Tiger鎖定Windows、Linux電腦而來,接下來Mac電腦也可能是目標
資安業者趨勢科技公布駭客組織Iron Tiger(亦稱APT27)近期的攻擊行動。在其中一起事故裡,駭客針對菲律賓賭博業者下手,並使用與受害公司雷同的網域名稱來架設C2伺服器,攻擊者透過即時通訊軟體作為誘餌,結果有員工依照指示下載初期的惡意酬載,該酬載一旦執行,就會透過Microsoft Resource Compiler(rc.exe),進而利用DLL側載的手法執行Shell Code,接著在電腦重新開機後執行惡意軟體SysUpdate。
在針對Windows電腦之餘,該組織也開始鎖定Linux主機發動攻擊,他們在2022年7月首度測試Linux版惡意程式,並在10月用於攻擊行動。研究人員分析後,發現此版本的加密金鑰與檔案處理方式與Windows版本雷同,但不同的是,Linux具備DNS隧道(DNS Tunneling)功能,而使得該惡意軟體的行蹤更加隱密。
根據駭客採用Asio程式庫開發Linux版惡意程式,而可能較為容易跨平臺移植的情況,研究人員推測駭客很快就會將Mac電腦納入攻擊範圍。
又有GoAnywhere系統遭駭的組織出現!Fintech業者Hatch Bank近14萬客戶資料外洩
根據科技新聞網站TechCrunch的報導,金融科技(Fintech)業者Hatch Bank向主管機關通報資料外洩事故,起因是駭客鎖定他們部署的MFT系統GoAnywhere漏洞下手,在1月30日至31日未經授權存取存取他們的帳號資料,導致139,493名客戶資料外洩,而入侵管道很有可能就是零時差漏洞CVE-2023-0669,他們在2月3日接獲系統開發商的通知,確認資料遭到異常存取。
因上述MFT系統漏洞遭到攻擊Hatch Bank並非首例,美國醫療系統Community Health Systems於2月中旬通報資料外洩事故,導火線就是上述的GoAnywhere漏洞。
【漏洞與修補】
Quarks Lab研究人員根據參考程式碼,發現信賴平臺模組(TPM)2.0的漏洞CVE-2023-1017、CVE-2023-1018,有可能造成裝置機密資料外洩,或是讓駭客提升權限執行惡意程式碼。這些漏洞出現在CryptParameterDecryption()函式,與記憶體越界寫入及讀取有關,具備基本權限的攻擊者,可藉由傳送含有加密參數的惡意指令,對存在漏洞的韌體下手。
美國電腦緊急應變小組(CERT/CC)指出,在某些情況下,攻擊者有機會覆寫TPM韌體裡受到保護的資料,而且,由於這樣的弱點出現在TPM層面,使得電腦的防毒軟體也無法偵測相關攻擊行動。Red Hat指出,這兩個漏洞CVSS風險評分為7.7分及5.5分。
3月1日思科發布資安通告,修補旗下網路電話系統的重大漏洞CVE-2023-20078,此漏洞存在於網頁管理介面,起因是對於使用者輸入的內容驗證不足,而衍生的命令注入弱點,攻擊者一旦利用,就有可能在未經身分驗證的情況下,遠端執行任意程式碼,或是發動阻斷服務(DoS)攻擊,CVSS風險評分為9.8分,影響IP Phone 6800、7800、8800系列網路電話系統。
另一個思科修補的漏洞是CVE-2023-20079,也與網頁管理介面對於使用者輸入的內容驗證不足有關,CVSS風險評分為7.5分,影響IP Phone 6800、7800、7900、8800、8831系列,但值得留意的是,7900與8831系列已達生命週期結束(EOL)狀態,思科不會提供新版韌體。
【資安產業動態】
台積電加入FIRST國際資安應變組織,成國內第二家高科技製造業會員
根據FIRST國際資安應變組織的最新消息,國內半導體產業龍頭台積電的TSMC-CIRC在2月24日加入成為會員,而成為群創光電之後,國內第二家入會的高科技製造業會員。
同日,資安新創微智安聯的ShieldX PSIRT也加入FIRST。在此之前,我國已有幾家資安業者成為會員,包括早年就加入的趨勢科技,以及3年前加入的奧義智慧。截至2月底,臺灣會員增至14個,而國際間共有683個組織與企業參與。
【資安防禦措施】
FIRST國際資安應變組織的DNS濫用工作小組在2月28日發布了「DNS濫用技術矩陣(DNS Abuse Techniques Matrix)」的文件,目的希望幫助事件應變人員與安全團隊在應對DNS濫用事件時,快速找到相關建議資訊。該工作小組表示,這份文件主要關注DNS濫用技巧,總共歸納出21種濫用技術,並依據偵測、減緩與防禦這三大行動面向,分成三個矩陣表單來一一說明。
舉例來說,在涉及DNS快取污染(DNS Cache Poisoning)的事件中,團隊可以透過緩解矩陣的表單,查看DNS快取污染有關的內容,找出可能有所關連的利益關係者來共同緩解資安事件。
CISA局長提出警告,一旦中國對臺灣動武,也有可能同時對西方國家展開大規模網路攻擊
美中臺之間持續處於政治緊繃狀態,臺灣的網路安全若出現重大危機,美國也無法置身事外。美國網路安全暨基礎設施安全局(CISA)局長Jen Easterly於卡內基美隆大學發表演說中提到,有鑑於烏克蘭戰爭當中,援助烏克蘭的歐美國家成為俄羅斯駭客鎖定的目標,她認為美國與盟友也要針對中國做好準備,以防該國攻擊臺灣的時候,中國駭客也會針對美國多個關鍵基礎設施(CI)下手的情形,這些包含了天然氣管線、供水系統、電信系統、交通系統等,駭客的用意是製造恐慌,並動搖美國民眾的意志,達到阻止美國調度軍事資源聲援臺灣的目的。
【其他資安新聞】
近期資安日報
【3月2日】 惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來
【3月1日】 駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動
熱門新聞
2024-12-10
2024-12-10
2024-12-08
2024-12-10
2024-12-11
2024-11-29