隨著國際局勢日益緊張,航太設施的重要性變得越來越重要,與這個領域有關的企業與組織也成為駭客竊取機密的重要目標,甚至有專門鎖定航太機構的駭客組織出現。
有資安業者揭露專門針對航太產業從事網路間諜行動的駭客組織AeroBlade,並指出這些駭客在1年內僅進行兩波攻擊,而且他們採用了多種手法藏匿行蹤,使得受害組織難以察覺有異。
【攻擊與威脅】
資安業者BlackBerry揭露鎖定美國航太領域的駭客組織AeroBlade,疑似從事商業間諜行為,收集有價值的機密資訊。
這些駭客先在2022年9月發動第一波攻擊,他們利用釣魚郵件挾帶Word文件檔案(.DOCX),一旦收信人開啟附件檔案,攻擊者就會進行遠端範本注入(Remote Template Injection)手法,在電腦載入用於第二階段的範本檔案(DOTM)並執行,然後觸發此範本裡的巨集,於受害電腦部署反向Shell,連線到C2伺服器。研究人員指出,上述的反向Shell會向駭客列出電腦上所有資料夾的名稱,並具備迴避分析機制,包含反沙箱偵測、使用特定字串進行編碼、利用無法執行的程式碼(Dead Code)、流程控制(Control Flow)混淆等。
而在今年7月,這些駭客發起第二波攻擊,研究人員比對兩起攻擊行動駭客所使用的工具及手法,發現駭客的反向Shell都連向相同的IP位址,但第二次加入了更多迴避手法,而能持續從受害組織竊取資料不被察覺。
俄羅斯駭客APT28鎖定Outlook漏洞,意圖挾持Exchange電子郵件信箱帳號
12月4日微軟威脅情報團隊提出警告,俄羅斯駭客組織APT28(亦稱Fancy Bear、Strontium、Forest Blizzard)近期積極利用今年3月修補的Outlook零時差漏洞CVE-2023-23397(CVSS風險評分為9.8),企圖存取Exchange伺服器上的電子郵件信箱帳號,目標是美國、歐洲、中東的政府機關、運輸業 、非政府組織。
這項漏洞最初是由微軟與烏克蘭電腦網路危機處理小組(CERT-UA)共同發現,為權限提升漏洞,攻擊者可傳送帶有特定MAPI屬性的惡意郵件觸發漏洞,收信人連向駭客控制的SMB共享資料夾,導致駭客能夠取得Net-NTLMv2的雜湊值,進而執行NTLM重放攻擊(NTLM Relay)。
而在這一波漏洞攻擊行動裡,微軟發現駭客不光利用CVE-2023-23397,還可能會搭配其他已知漏洞,例如:WinRAR漏洞CVE-2023-38831,或是瀏覽器排版引擎MSHTML排版引擎漏洞CVE-2021-40444。波蘭網路司令部(Polish Cyber Command)也在當地察覺類似的攻擊行動,並提供工具讓IT人員來檢查Exchange伺服器是否受害。
資料來源
1. https://twitter.com/msftsecintel/status/1731626192300634585
2. https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/
資安業者卡巴斯基揭露針對Mac用戶的木馬程式攻擊行動,駭客從今年4月底開始,假借提供4K Video Donwloader Pro、Aissessoft Mac Data Recovery、AnyMP4 Android Data Recovery for Mac等35款破解版應用程式的名義,散布代理伺服器惡意程式,將受害者的電腦當作代理伺服器並將其出售牟利。
研究人員指出,有別於一般macOS應用程式開發者大多提供DMG映像檔,這次駭客使用的是PKG封裝檔案,而有可能在安裝的過程裡,同時執行惡意指令碼,從而以安裝程式取得的管理員權限進行檔案修改、自動執行,或是執行命令。
在這次攻擊行動當中,使用者一旦執行這類惡意安裝程式,就有可能觸發PKG檔案內嵌的指令碼,進而執行木馬程式,此為偽裝成Google組態檔案(GoogleHelperUpdater.plist)的WindowServer系統處理程序檔案,啟動後會透過DNS-over-HTTPS(DoH)與C2連線,接收攻擊者下達的命令。
10月初基因檢驗業者23andMe資料外洩規模擴大,690萬用戶資料流出
今年10月有人聲稱入侵基因檢驗業者23andMe,先公布100萬名猶太人及10萬名中國人資料,隨後宣稱手上握有其他400萬名用戶的資料。同月23andMe向美國證券交易委員會(SEC)通報,駭客透過帳號填充(Credential Stuffing)侵入該公司系統,當時認為僅有0.1%用戶資料遭到未經授權存取,相當於1.4萬名使用者受到影響,如今這起事故的受害範圍再度擴大。
根據科技新聞網站TechCrunch的報導,23andMe上週呈報給SEC的資料提及,他們發現駭客也存取大量含有其他用戶祖先資料的檔案,並在網路上散布資料,而這些曝險的使用者,都採用了DNA Relatives服務,該公司向TechCrunch表示,這項服務有550萬名用戶使用,另有140萬名用戶的資料,因族譜資訊遭到此服務存取而曝險。截至目前為止,這起資料外洩事故影響的總人數,已接近總用戶數(1,400萬人)的一半。
Google針對臺海情勢提出警告,中國加速對臺灣的網路攻擊行動
根據彭博社的報導,Google旗下的威脅情報團隊提出警告,在最近半年裡,中國政府資助的駭客對臺灣的網路攻擊行動大幅增加,並且採用複雜的手段來隱匿攻擊來源。其中一種方法是滲透家用或小型辦公室的路由器,取得控制權並將其用於攻擊行動。
Google資深工程主管Kate Morgan透露,他們監控超過100個中國駭客組織,這些駭客鎖定臺灣的各行各業,包含國防單位、政府機關、民間企業。
勒索軟體駭客LockBit聲稱攻擊臺灣自動化設備業者盟立
威脅情報平臺FalconFeeds.io、ThreatMon指出,勒索軟體駭客組織LockBit於12月3日,將臺灣自動化設備廠盟立(mirle.com.tw)列於其暗網網站上,並要求該公司在12月8日前向他們聯繫。不過,究竟駭客竊得多少資料,目前仍不得而知。對此,我們也向盟立進一步詢問,但截稿之前並未得到回覆。
資料來源
1. https://twitter.com/FalconFeedsio/status/1731329945589227871
2. https://twitter.com/TMRansomMonitor/status/1731325863860342894
【漏洞與修補】
人工智慧開源社群平臺Hugging Face 存在API漏洞,導致微軟、Meta、Google等企業持有的逾1500個Token外洩
資安業者Lasso揭露人工智慧開源社群平臺Hugging Face的API漏洞,不只有機會取得知名企業的身分驗證資訊,甚至可讓攻擊者汙染訓練資料,或是竊取、竄改AI模型。研究人員從Hugging Face、程式碼儲存庫GitHub當中,總共找到1,681個能存取Hugging Face平臺API的Token,這些涉及723個企業組織,包括Meta、微軟、Google、VMware等大型IT業者,其中,有655個Token具有寫入權限,77個甚至能寫入多個組織的帳號。
一旦攻擊者取得,就有機會完全控制多個知名公司的儲存庫,例如:Hugging Face上的Pythia的EleutherAI、Bloom的BigScience Workshop、Meta Llama 2,從而發動攻擊,竊取模型與訓練資料集,或是進行汙染,甚至發動供應鏈攻擊,竄改模型並危害依賴的應用程式。
此外,他們察覺Hugging Face宣布停用的Token「org_api」仍能執行讀取的工作,從而下載不公開的模型。
【其他新聞】
逾60個美國信用合作社所使用的雲端服務平臺遭到勒索軟體攻擊,駭客利用CitrixBleed漏洞入侵而得逞
美國金融科技業者Tipalti傳出遭到勒索軟體駭客組織BlackCat攻擊,外流256 GB資料
安卓惡意程式FjordPhantom濫用虛擬化功能,在容器環境執行惡意程式碼迴避偵測
Google發布12月安卓更新,修補可被用於發動RCE攻擊的零時差漏洞
近期資安日報
【12月4日】 研究人員揭露竊資軟體Lumma攻擊行動,駭客佯裝金融服務業者寄送發票,將用戶導向不存在的網頁迴避偵測
熱門新聞
2024-12-03
2024-11-29
2024-12-02
2024-12-02
2024-12-03