![](https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/20230616.png?itok=HLXejrs0)
近期的大規模零時差漏洞攻擊,主要是集中在MFT檔案共享系統MOVEit Transfer的事故上,但另一起針對Barracuda郵件安全閘道的事故、且廠商採取要求用戶更換設備的情況,也相當值得留意。資安業者Mandiant揭露針對Barracuda郵件安全閘道的零時差漏洞CVE-2023-2868攻擊調查結果,說明該廠商派送修補程式後續發展過程。
安卓惡意程式GravityRAT的攻擊行動也引起研究人員關注,因為駭客不只將攻擊範圍擴及WhatsApp的資料,同時也搭上人工智慧聊天機器人的風潮,假借提供BingeChat(比微軟BingChat多了個e)來引誘使用者上當。
攻擊者偏好透過遠端桌面連線(RDP)入侵電腦的情況究竟有多嚴重?有研究人員進行實驗,結果發現,在3個月內,他們設下的蜜罐陷阱環境,總共遭到超過340萬次相關攻擊。
【攻擊與威脅】
Barracuda郵件安全閘道零時差漏洞攻擊疑中國駭客組織所為
資安業者Barracuda在5月19日發現郵件安全閘道(ESG)的零時差漏洞CVE-2023-2868攻擊,進一步追查攻擊行動可能早在2022年10月就開始,而對於攻擊者的身分,在他們尋求資安業者Mandiant協助調查後,有了新的發現。
Mandiant的研究人員指出,發動這起攻擊行動的是中國資助的駭客組織UNC4841 ,駭客在成功利用上述零時差漏洞入侵ESG,然後部署惡意程式Saltwalker、Seaspy、Seaside,來持續於郵件安全閘道設備上行動,進而在受害組織的網路環境橫向移動,或是發送惡意郵件。
在這起事故裡,Barracuda在5月21日派送修補程式來遏止駭客的行動,而駭客也迅速更換惡意軟體因應,並於22日至24日對於至少16個國家的受害組織進行高頻率攻擊,其中有三分之一是政府機關。
韓國國家情報院(NIS)於6月14日提出警告,北韓駭客仿造韓國最大的入口Naver(www[.]naverportal[.]com),意圖竊取使用者的帳號及個資。
該機構指出,有別於過往出現的冒牌網站,該網站內容與正版Naver(www.naver.com)幾乎一模一樣,光從網站的即時新聞、廣告、功能選單,很難察覺有異。韓國國家情報院指出,駭客在境外架設伺服器而難以追查。
安卓惡意軟體GravityRAT鎖定WhatsApp備份資料而來
資安業者ESET揭露安卓惡意軟體GravityRAT近期的攻擊行動,駭客假借提供名為BingeChat加密通訊應用程式,來對使用者散布上述的安卓惡意軟體,但研究人員發現,該惡意軟體從2022年8月出現了變化,駭客納入新的功能,而可從受到感染的裝置竊取WhatsApp的備份資料,此外,該惡意程式也能從C2接收命令,刪除特定類型的檔案、聯絡人,或是通話記錄。
另一個特別的地方,在於駭客的BingeChat採用了邀請制度,使用者必須註冊才能取得應用程式,這樣的手法也讓研究人員取得惡意程式檔案的難度變高。
研究人員揭露駭客偏好針對RDP發動攻擊的現象,3個月內發動逾340萬次攻擊
資安業者GoSecure在網路安全會議NorthSec上揭露他們對遠端桌面連線(RDP)攻擊的研究成果,研究人員設置了RDP蜜罐陷阱(Honeypot),發現自2022年7月1日至9月30日,總共遭到3,427,611次攻擊,來自逾1,500個IP位址。
而對於駭客存取這些陷阱所用的手法,研究人員指出主要是運用暴力破解,試圖猜出與奪取帳號密碼,且大部分是針對管理員帳號而來,但也有駭客鎖定一些使用者名稱、電腦名稱下手。關於駭客用於嘗試登入的密碼,研究人員發現大部分是10個字以下的字串,且多是password及其變形。
勒索軟體Clop傳出向MOVEit Transfer攻擊受害組織勒索
5月底,勒索軟體駭客組織Clop鎖定MOVEit Transfer零時差漏洞CVE-2023-34362發動攻擊,聲稱有數百個組織受害,最近他們公布部分名單,揭露遇害對象的身分。
根據資安新聞網站Bleeping Computer的報導,勒索軟體Clop於6月14日公布1份受害組織名單,總共列出13個對象,其中包含了石油公司殼牌、保險公司UnitedHealthcare Student Resources、喬治亞大學(UGA)、喬治亞大學系統(USG)、精密印刷機械業者海德堡(Heidelberger Druckmaschinen)、歐洲渡假村集團Landal Greenparks。對此,殼牌、Landal Greenparks證實有部分客戶資料外洩,海德堡則表示尚無資料外洩的跡象。此外,根據CNN的報導,美國能源部及多個聯邦機構也遭遇此次的零時差漏洞攻擊。
參考資料
1. https://www.bleepingcomputer.com/news/security/clop-ransomware-gang-starts-extorting-moveit-data-theft-victims/
2. https://edition.cnn.com/2023/06/15/politics/us-government-hit-cybeattack/index.html
【漏洞與修補】
MOVEit Transfer再傳新的SQL注入漏洞,Progress呼籲用戶限制HTTP、HTTPS存取因應
IT系統業者Progress於6月15日發布資安通告,指出他們發現新的MOVEit Transfer、MOVEit Cloud漏洞(CVE編號尚未取得),此為SQL注入漏洞,攻擊者一旦利用,就有可能進行權限提升,或是未經授權存取此MFT檔案共享系統。
由於該公司尚未提供修補程式,他們呼籲用戶應透過防火牆,暫時封鎖此系統的HTTP及HTTPS流量因應。而這是繼CVE-2023-34362、CVE-2023-35036之後,第3個該公司提出警告的漏洞。
Google於6月13日發布Chrome 114更新114.0.5735.133、114.0.5735.134,總共修補4個漏洞,其中被列為重大層級的是CVE-2023-3214,這是記憶體釋放後濫用(UAF)漏洞,出現在自動填寫的支付功能上。另外3個漏洞CVE-2023-3215、CVE-2023-3216、CVE-2023-3217為高風險漏洞,出現在WebRTC、V8、WebXR元件裡。稍微值得慶幸的是,上述漏洞目前沒有遭到利用的跡象。
【其他新聞】
勒索軟體Rhysida聲稱從智利軍隊竊得內部資料,疑有士兵涉案
近期資安日報
熱門新聞
2024-08-28
2024-08-26
2024-08-30
2024-08-26
2024-08-27
2024-08-29