![](https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/20230828.png?itok=W8wHTcoV)
面對臺海的緊張局勢,中國駭客鎖定臺灣的任何攻擊行動格外受到關注。上週微軟揭露的新駭客組織Flax Typhoon,就鎖定臺灣數十個企業組織下手,進行長時間的網路間諜行動,值得一提的是,駭客為了隱匿攻擊行動,大量就地取材,運用寄生攻擊(LOLBins)手法,儘可能使用最少的惡意軟體來達成目的。
無論是提升權限、建立遠端存取的管道,或是在受害組織的內部網路進行橫向移動,這些駭客大部分都利用Windows作業系統內建元件來進行,使得資安人員難以察覺異狀。
【攻擊與威脅】
微軟揭露中國駭客組織Flax Typhoon約自2021年中發起的攻擊行動,其主要目標是臺灣的政府機關、教育機構、重要製造商、資訊科技組織等數十個單位,但研究人員也有看到東南亞、北美、非洲的組織受害。
這些駭客鎖定可透過網際網路存取的伺服器,例如:VPN主機、網頁伺服器、SQL Server資料庫等,利用已知漏洞取得初期存取的權限,然後部署大小僅有4 KB的Web Shell中國菜刀(China Chopper),以便遠端執行命令,過程中駭客可能為了提升權限,他們會透過開源程式Juicy Potato或BadPotato來利用系統的已知漏洞,取得管理者層級的權限。接著駭客利用登錄檔關閉網路層身分驗證(NLA),且透過粘滯鍵(Sticky Keys)建立遠端桌面連線(RDP),而能夠持續存取受害伺服器,甚至取得啟動終端機、導出記憶體內容的能力。
特別的是,駭客為了跳脫他們設計的RDP只能存取內部網路的限制,再度透過寄生攻擊(LOLBins)手法,利用名為Invoke-WebRequest的PowerShell指令碼,或是Bitsadmin、certutil,部署SoftEther的VPN用戶端程式。再者,駭客也透過WinRM、WMIC來進行橫向移動。
風險控管業者Kroll員工遭遇SIM卡挾持攻擊,破產申請人資料恐外洩
根據Bleeping Computer、Hacker News、Krebs on Security等多家資安新聞網站報導,正在協助已宣布破產的加密貨幣業者FTX、BlockFi、Genesis清償債務的風險控管業者Kroll,傳出遭未經授權的外部人士存取內部系統的資料外洩事故,FTX、BlockFi透露此事,並表示曝露的個資為部分債權人的非敏感資料,兩家公司的系統沒有直接遭到破壞,他們用戶的密碼及資金未受到波及。
Kroll也在8月25日發出聲明證實此事,並指出是19日有人對其中一名員工的T-Mobile帳號發動攻擊所致,導致該電信業者依照這位假裝是用戶本人的駭客指示,將該手機門號移轉到駭客名下,過程中並未獲得員工的授權。駭客疑似藉此存取部分BlockFi、FTX、Genesis債權人的資料,該公司已針對3個受到影響的帳號採取保護行動,並寄送電子郵件通知受影響的人士。
資料來源
1. https://twitter.com/FTX_Official/status/1694899217326608611
2. https://twitter.com/BlockFi/status/1694844414294704547
3. https://www.kroll.com/en/about-us/news/security-incident
惡意工具組Spacecolon被用於散布勒索軟體Scarab
資安業者ESET揭露土耳其駭客組織CosmicBeetle的攻擊行動,駭客從2020年5月,利用名為Spacecolon的惡意工具包,鎖定存在ZeroLogon漏洞的電腦,或是能夠暴力破解的遠端桌面連線(RDP)伺服器下手,一旦成功入侵便會部署攻擊工具包的ScHackTool元件,進而透過其他工具來停用防毒軟體或資安防護元件,並收集敏感資料以便獲得進一步的存取權限。
接著,駭客部署工具包的另一個元件ScInstaller,並將其用於安裝遠端存取工具ScService,最終植入勒索軟體Scarab。在部分攻擊行動裡,駭客透過開源的網路掃描工具Impacket取代ScInstaller,不過,也有未用ScHackTool的情況。此外,在研究人員看到的勒索軟體當中,內含了名為ClipBanker的剪貼簿挾持軟體,該惡意程式竄改使用者複製的加密貨幣錢包地址,將資金轉到攻擊者的錢包。
特別的是,研究人員發現在部分情境裡,駭客還會執行.NET程式ScPatcher,修補受害系統的特定漏洞,但目前無人知道他們為何這麼做。
勒索軟體Play鎖定安全服務代管業者下手,利用已知漏洞發動攻擊
資安業者Adlumin揭露勒索軟體Play近期的攻擊行動,主要標的是美國、澳洲、英國、義大利的地方政府,以及金融、軟體產業、法律事務所、航運公司、物流業等中端企業,駭客先是針對上述企業組織的代管服務供應商(MSP)下手,然後利用遠端監控及管理(RMM)軟體,進而繞過大部分的資安系統,取得目標組織完整的存取權限。
除了上述的供應鏈攻擊手法,駭客也有可能透過其他應用系統的漏洞,例如:FortiOS防火牆作業系統的SSL VPN漏洞CVE-2018-13379、CVE-2020-12812,以及Exchange漏洞ProxyNotShell、OWASSRF等。此外,為了防範資安系統察覺整個檔案遭到竄改,駭客利用間歇性加密手法來迴避偵測。
臺灣大型加密貨幣交易業者麒點科技因工程師報復,部分程式交易出現鉅額虧損,法院判決出爐
2020年臺灣大型加密貨幣交易業者麒點科技(Kronos Research)發生部分程式交易出現鉅額虧損,經過調查是陳姓、許姓2名工程師於同年5月1日、9日,疑似不滿公司並未依照約定發出獎金,在12日離職前共謀於交易程式Zeus當中埋入錯誤的參數,造成多筆交易執行最差的交易策略,導致該公司粗估虧損140萬美元(相當於新臺幣4,451萬元)。
臺北地檢署於2022年1月27日起訴2人,近期判決出爐,臺北地方法院認為,2人當時仍任職,但沒有忠實執行職務,濫用資訊專業導致公司受到損害,審酌2人坦承部分犯行、沒有前科,依無故變更、刪除他人電腦電磁紀錄罪,判陳男8月徒刑,另依偽造文書、無故入侵電腦罪,合併判陳男8月徒刑,得易科罰金24萬元;許男則被依無故變更、刪除他人電腦電磁紀錄、偽造文書罪,合併判刑10月得易科罰金30萬元,全案仍可上訴。究竟這2名工程師造成損失的規模如何?判決中並未提及,麒點科技已向2人提起附帶民事求償。
【資安產業動態】
8月24日金融監督管理委員會公布2022年企業投保資安保險的情況,全年投保件數累計達到604件,較去年增加6.15%;簽章保費達到4.02億元,年增68.96%,無論簽單保費或投保件數,皆創下統計新高。而對於今年上半的部分,簽單保費為2.05億元,較去年同期增加36.67%,金管會認為,若下半年維持上半年的投保意願,今年有望再創資安險簽單保費新紀錄。
金管會保險局副局長林志憲指出,產險公司資安險保費收入從2018年8,908萬元,穩定成長至2022年的4.02億元,顯示近年企業透過資安險移轉資安風險意識提高。金管會指出,除了針對大型企業資安需求提供的客製化保單,產險業者近年也推出3類險種較適合中小企業投保的險種,讓資安保險投保門檻降低,分別是資訊系統不法行為險、資料保護責任險、資訊安全綜合險。
【資安防禦措施】
2022年智慧型手機資安抽測結果出爐,數位部表示今年將增加測試項目
數位發展部去年承接國家通訊傳播委員會(NCC)的智慧型手機內建軟體資安檢測業務,針對蘋果iPhone 13、三星Galaxy S22 Ultra、Sony Xperia 1 IV、Google Pixel 6等12款高銷量手機,以及5款中國品牌手機進行檢驗,8月27日公布結果,17款手機全數過關。
今年數位部從8月開始新一輪的手機資安檢測作業,同樣挑選12款高銷量手機、5款中國品牌手機檢查,並預計在2024年5月前完成,但有別於過往從臺灣資通產業標準協會(TAICS)測試規範挑選項目進行檢驗,因為有愈來愈多使用者透過手機消費,數位部今年決定調整部分檢驗項目,並新增以下三種測試,分別是:一、內建軟體在初次存取使用者帳號的時候,應告知使用者將存取與其帳戶相關的敏感性資料;二、手機系統應提供強制使用者輸入通行碼機制;三、內建軟體預設的付費功能當中,在每次付款前,必須提示並取得使用者同意後才能執行。
【其他新聞】
針對Prospect Medical Holdings遭到攻擊面臨服務中斷,勒索軟體Rhysida聲稱是他們所為,竊走1 TB檔案及1.3 TB的SQL資料庫
WordPress外掛程式Jupiter X Core存在漏洞,攻擊者可用來挾持網站
近期資安日報
【8月25日】 北韓駭客Lazarus鎖定歐洲、美國組織,利用Zoho ManageEngine服務臺系統漏洞發動攻擊
熱門新聞
2024-08-28
2024-08-26
2024-08-30
2024-08-26
2024-08-27
2024-08-29