近日，明朝萬達(dá)安元實(shí)驗(yàn)室發(fā)布了2024年第四期《安全通告》。該份報(bào)告收錄了2024 年4月最新的網(wǎng)絡(luò)安全前沿新聞和最新漏洞追蹤，其中重點(diǎn)內(nèi)容包括：
網(wǎng)絡(luò)安全前沿新聞
黑客在惡意軟件活動(dòng)中劫持了eScan防病毒更新機(jī)制
安全研究人員發(fā)現(xiàn)并分析了一個(gè)惡意軟件活動(dòng)，該活動(dòng)利用eScan防病毒的更新機(jī)制分發(fā)后門和挖礦病毒。威脅行為者使用了兩種不同類型的后門，并以大型企業(yè)網(wǎng)絡(luò)為目標(biāo)。
研究人員認(rèn)為，這場運(yùn)動(dòng)可能歸因于與朝鮮有關(guān)的APKimsuky，GuptiMiner分發(fā)的最后一個(gè)有效載荷也是。XMRigAvast發(fā)布的分析中寫道：“GuptiMiner是一種高度復(fù)雜的威脅，它使用了一個(gè)有趣的感染鏈以及一些技術(shù)，包括對攻擊者的DNS服務(wù)器執(zhí)行DNS請求、執(zhí)行側(cè)加載、從看起來無辜的圖像中提取有效載荷、用自定義的可信證書頒發(fā)機(jī)構(gòu)對其有效載荷進(jìn)行簽名等”。eScan承認(rèn)了這個(gè)缺陷，并對其進(jìn)行了解決。
美國懸賞1000萬美元通緝四名伊朗國民
美國財(cái)政部海外資產(chǎn)控制辦公室（OFAC）對四名伊朗國民實(shí)施制裁，因?yàn)樗麄儏⑴c了針對美國政府、國防承包商和私營公司的網(wǎng)絡(luò)攻擊。OFAC還制裁了兩家幌子公司，Mehrsam Andisheh Saz Nik（MASN）和Dadeh Afzar Arman（DAA），這兩家公司與伊朗伊斯蘭革命衛(wèi)隊(duì)開伯爾電子司令部（IRGC-CEC）有關(guān)聯(lián)。
伊朗伊斯蘭革命衛(wèi)隊(duì)網(wǎng)絡(luò)電子司令部（IRGC-CEC）是伊朗政府內(nèi)負(fù)責(zé)網(wǎng)絡(luò)安全和網(wǎng)絡(luò)戰(zhàn)的組織。由于它參與了各種惡意網(wǎng)絡(luò)活動(dòng)，包括美國在內(nèi)的許多國家都認(rèn)為它是一個(gè)主要威脅。
司法部逮捕了加密貨幣混合機(jī)Samourai的創(chuàng)始人，罪名是為20億美元的非法交易提供便利
美國司法部逮捕了加密貨幣混合機(jī)Samourai的兩名聯(lián)合創(chuàng)始人，并沒收了該服務(wù)器。這些指控包括為20多億美元的非法交易提供便利和洗錢1億多美元的犯罪所得。
Keonne Rodriguez（35歲）和William Lonergan Hill（65歲）被控經(jīng)營Samourai錢包，司法部稱其為未經(jīng)許可的匯款業(yè)務(wù)，Rodriguez是Samourai錢包（“Samourai”）的首席執(zhí)行官，William Lonergan Hill是該公司的首席技術(shù)官，司法部發(fā)布的新聞稿中寫道：“這些指控源于被告開發(fā)、營銷和運(yùn)營一個(gè)加密貨幣混合器，該混合器執(zhí)行了超過20億美元的非法交易，并為絲綢之路和九頭蛇市場等非法暗網(wǎng)市場的1億多美元洗錢交易提供了便利。
一次網(wǎng)絡(luò)攻擊使意大利Synlab的運(yùn)營陷入癱瘓
自4月18日以來，主要的醫(yī)療診斷服務(wù)提供商意大利Synlab一直因網(wǎng)絡(luò)攻擊而中斷?！癝ynlab通知所有患者和客戶，它是計(jì)算機(jī)系統(tǒng)在全國范圍內(nèi)遭到黑客攻擊的受害者。
作為預(yù)防措施，在發(fā)現(xiàn)攻擊后，根據(jù)公司的計(jì)算機(jī)安全程序，意大利的所有公司計(jì)算機(jī)系統(tǒng)立即被禁用。”Synlab目前無法確定何時(shí)可以恢復(fù)操作，這些聲明強(qiáng)調(diào)了該公司隔離系統(tǒng)的必要性，以防止威脅的傳播并減輕其影響這種嚴(yán)厲的遏制措施通常與惡意軟件感染有關(guān)，而受影響系統(tǒng)的不可用性往往表明存在勒索軟件感染因此，遭受勒索軟件攻擊的公司無法預(yù)測何時(shí)恢復(fù)運(yùn)營，因?yàn)樗麄冃枰苡绊懴到y(tǒng)的威脅并恢復(fù)所有備份。
由于網(wǎng)絡(luò)攻擊，萊斯特城的路燈無法關(guān)閉
萊斯特市議會(huì)在3月份遭受了一次網(wǎng)絡(luò)攻擊，嚴(yán)重影響了當(dāng)局的服務(wù)，并導(dǎo)致機(jī)密文件泄露。此次襲擊背后的勒索軟件集團(tuán)泄露了多份文件，包括租金聲明和購買議會(huì)住房的申請。襲擊發(fā)生在3月7日，使市議會(huì)的IT系統(tǒng)癱瘓。由于網(wǎng)絡(luò)攻擊，一些燈被卡了一整天，市議會(huì)無法關(guān)閉。
”65歲的博蒙特-萊斯居民羅杰·尤恩斯（Roger Ewens）注意到他路上的路燈一直亮著，并問市議會(huì)為什么。當(dāng)他收到回復(fù)，指責(zé)網(wǎng)絡(luò)攻擊影響了“中央管理系統(tǒng)”，導(dǎo)致路燈“行為不端”時(shí)，他感到驚訝?！睋?jù)萊斯特直播網(wǎng)站報(bào)道路燈的問題應(yīng)該在下周末之前完全解決。
Akira勒索軟件從250多名受害者那里收到了4200萬美元的贖金
CISA、聯(lián)邦調(diào)查局、歐洲刑警組織和荷蘭國家網(wǎng)絡(luò)安全中心（NCSC-NL）發(fā)布的一份聯(lián)合公告顯示，自2023年初以來，Akira勒索軟件運(yùn)營商從全球250多名受害者那里收到了4200萬美元的贖金。
Akira勒索軟件自2023年3月以來一直活躍，惡意軟件背后的黑客聲稱已經(jīng)入侵了教育、金融和房地產(chǎn)等多個(gè)行業(yè)的多個(gè)組織。與其他勒索軟件團(tuán)伙一樣，該組織開發(fā)了一款針對VMware ESXi服務(wù)器的Linux加密機(jī)。Akira勒索軟件運(yùn)營商通過在加密之前過濾受害者的數(shù)據(jù)來實(shí)現(xiàn)雙重勒索模式。
與朝鮮有關(guān)的APT集團(tuán)針對韓國國防承包商
韓國國家警察局警告稱，與朝鮮有關(guān)的黑客正以國防工業(yè)實(shí)體為目標(biāo)，竊取國防技術(shù)信息據(jù)韓國國家警察局報(bào)道，與朝鮮有關(guān)聯(lián)的APT集團(tuán)Lazarus、Andariel和Kimsukyhack在韓國擁有多家國防公司的后門。國家資助的黑客利用目標(biāo)系統(tǒng)中的漏洞入侵國防公司的分包商，并部署了惡意軟件。
警方表示，襲擊是以全面戰(zhàn)爭的形式進(jìn)行的，多個(gè)APT團(tuán)體參與了這場戰(zhàn)爭。政府專家警告說，攻擊者使用了復(fù)雜的黑客技術(shù)。韓國國家警察廳提供了不同APT組織實(shí)施的多起襲擊的細(xì)節(jié)。
網(wǎng)絡(luò)攻擊后，法國一家醫(yī)院被迫重新安排手術(shù)
近日，戛納Simone Veil醫(yī)院（CHC-SV）遭到網(wǎng)絡(luò)攻擊，醫(yī)療程序受到影響，工作人員不得不回到紙筆上。醫(yī)院的網(wǎng)站上寫道：“網(wǎng)絡(luò)攻擊正在進(jìn)行中！所有非緊急會(huì)診都應(yīng)重新考慮?！痹ㄓ诒局苓M(jìn)行的非緊急手術(shù)和會(huì)診已被推遲，法國醫(yī)院被迫將所有電腦離線，而電話線沒有受到影響。
醫(yī)院正在ANSSI、Cert Santé、Orange CyberDéfense和GHT06的幫助下調(diào)查這起事件，該組織沒有收到任何贖金要求，也沒有發(fā)現(xiàn)數(shù)據(jù)泄露。
“沙丘吉訶德”運(yùn)動(dòng)以中東為目標(biāo)，包含一個(gè)復(fù)雜的后門
卡巴斯基的研究人員于2024年2月發(fā)現(xiàn)了“沙丘吉訶德”運(yùn)動(dòng)，但他們認(rèn)為該活動(dòng)可能自2023年以來一直活躍?？ò退够l(fā)現(xiàn)了該運(yùn)動(dòng)中使用的30多個(gè)“沙丘吉柯德”植入程序樣本。專家們確定了植入程序的兩個(gè)版本，常規(guī)植入程序（以可執(zhí)行文件或DLL文件的形式）和被篡改的名為“Total Commander”的合法工具的安裝程序文件。
威脅參與者在這些功能中使用的字符串包括西班牙詩歌的摘錄。字符串因樣本而異，從而改變了每個(gè)樣本的特征以避免通過傳統(tǒng)方法進(jìn)行檢測。然后，在執(zhí)行誘餌函數(shù)之后，惡意軟件為所需的API調(diào)用構(gòu)建框架。這個(gè)框架充滿了Windows API函數(shù)的偏移，通過各種技術(shù)解決植入程序計(jì)算組合字符串的MD5散列，并將其用作解碼C2服務(wù)器地址的密鑰。然后植入程序與C2服務(wù)器連接，并下載下一階段的有效載荷。
聯(lián)合國開發(fā)計(jì)劃署（開發(fā)署）調(diào)查數(shù)據(jù)泄露
聯(lián)合國開發(fā)計(jì)劃署（UNDP）正在調(diào)查一起涉嫌導(dǎo)致數(shù)據(jù)盜竊的勒索軟件攻擊事件，聯(lián)合國開發(fā)計(jì)劃署（UNDP）是一個(gè)聯(lián)合國機(jī)構(gòu)，其任務(wù)是幫助各國消除貧困，實(shí)現(xiàn)可持續(xù)經(jīng)濟(jì)增長和人類發(fā)展網(wǎng)絡(luò)攻擊最近針對的是位于哥本哈根聯(lián)合國城的原子能機(jī)構(gòu)的信息技術(shù)基礎(chǔ)設(shè)施。
3月27日，開發(fā)署意識(shí)到一名數(shù)據(jù)勒索黑客竊取了包括人力資源和采購信息在內(nèi)的數(shù)據(jù)。
聯(lián)合國開發(fā)計(jì)劃署正在調(diào)查這起安全事件，以確定網(wǎng)絡(luò)攻擊的范圍。該機(jī)構(gòu)正在不斷更新受違規(guī)影響的個(gè)人，并與其他利益相關(guān)者分享信息，包括其在聯(lián)合國系統(tǒng)的合作伙伴。聲明繼續(xù)說道：“聯(lián)合國開發(fā)計(jì)劃署極其嚴(yán)肅地對待這一事件，我們重申我們致力于數(shù)據(jù)安全。我們致力于繼續(xù)努力，檢測并將網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)降至最低?！?/span>
MITRE透露，黑客通過Ivanti零日進(jìn)行破壞
2024年4月，MITRE披露了其一個(gè)研究和原型網(wǎng)絡(luò)的安全漏洞。該組織的安全團(tuán)隊(duì)立即展開調(diào)查，注銷黑客，并聘請第三方取證事件響應(yīng)團(tuán)隊(duì)與內(nèi)部專家合作進(jìn)行獨(dú)立分析
據(jù)MITRE公司稱，2024年1月，一個(gè)國家行為者通過鏈接兩個(gè)Ivanti Connect Secure零日漏洞，破壞了其系統(tǒng)。
盡管MITRE努力遵循行業(yè)最佳實(shí)踐，實(shí)施供應(yīng)商建議，并遵守政府指導(dǎo)以加強(qiáng)、更新和強(qiáng)化其Ivanti系統(tǒng)，但他們忽視了向VMware基礎(chǔ)架構(gòu)的橫向移動(dòng)。該組織表示，核心企業(yè)網(wǎng)絡(luò)或合作伙伴的系統(tǒng)沒有受到此次事件的影響。MITRE總裁兼首席執(zhí)行官Jason Providakes表示：“沒有一個(gè)組織能夠免受這種類型的網(wǎng)絡(luò)攻擊，即使是一個(gè)努力維護(hù)最高網(wǎng)絡(luò)安全的組織也無法幸免?！?
FIN7針對一家美國大型汽車制造商進(jìn)行網(wǎng)絡(luò)釣魚攻擊
2023年末，黑莓研究人員發(fā)現(xiàn)威脅因素FIN7通過魚叉式網(wǎng)絡(luò)釣魚活動(dòng)瞄準(zhǔn)了一家美國大型汽車制造商。FIN7針對的是在公司IT部門工作并擁有更高級(jí)別管理權(quán)限的員工,攻擊者利用免費(fèi)IP掃描工具的誘惑，用Nunak后門感染系統(tǒng)，并使用陸上二進(jìn)制文件、腳本和庫（lolbas）獲得初步立足點(diǎn)。
FIN7是一個(gè)俄羅斯犯罪集團(tuán)（akaCarbanak），自2015年年中以來一直活躍，專注于美國的餐館、賭博和酒店業(yè)，以獲取用于攻擊或在網(wǎng)絡(luò)犯罪市場出售的金融信息，在BlackBarry分析的攻擊中，威脅參與者使用了一種打字抓取技術(shù)，他們使用了一個(gè)惡意URL“advanced ip sccanner[.]com”偽裝成合法網(wǎng)站““雖然在過去的一年里，這場戰(zhàn)役所涉及的戰(zhàn)術(shù)、技術(shù)和程序（TTP）已經(jīng)有了很好的記錄，但攻擊者使用的OpenSSH代理服務(wù)器并沒有被傳播。”報(bào)告總結(jié)道，其中還包括緩解和IoC（妥協(xié)指標(biāo)）的建議。“黑莓認(rèn)為，讓個(gè)人和實(shí)體也能識(shí)別這些主機(jī)并保護(hù)自己是明智之舉?！?
執(zhí)法行動(dòng)拆除釣魚即服務(wù)平臺(tái)LabHost
由歐洲刑警組織協(xié)調(diào)的代號(hào)為Nebulae的國際執(zhí)法行動(dòng)導(dǎo)致了世界上最大的釣魚即服務(wù)平臺(tái)之一LabHost的癱瘓，來自19個(gè)國家的執(zhí)法部門參加了這次行動(dòng)，逮捕了37人。該釣魚即服務(wù)平臺(tái)可在透明網(wǎng)絡(luò)上使用，現(xiàn)已被警方關(guān)閉。
4月14日至4月17日，執(zhí)法機(jī)構(gòu)對全球70個(gè)地址進(jìn)行了搜查，最終逮捕了嫌疑人。包括LabHost最初開發(fā)者在內(nèi)的四人在英國被捕網(wǎng)絡(luò)釣魚即服務(wù)（PaaS）平臺(tái)向騙子提供網(wǎng)絡(luò)釣魚工具和資源，通常需要付費(fèi)或訂閱。這些工具通常包括預(yù)先設(shè)計(jì)的網(wǎng)絡(luò)釣魚模板、電子郵件或短信發(fā)送功能、網(wǎng)絡(luò)釣魚頁面的網(wǎng)站托管服務(wù)。大多數(shù)重要的PhaaS平臺(tái)也為其客戶提供技術(shù)支持。
思科警告針對VPN和SSH服務(wù)的大規(guī)模暴力攻擊
Cisco Talos的研究人員警告稱，至少自2024年3月18日起，將有針對多個(gè)目標(biāo)的大規(guī)模憑據(jù)暴力攻擊，包括虛擬專用網(wǎng)絡(luò)（VPN）服務(wù)、web應(yīng)用程序身份驗(yàn)證接口和SSH服務(wù)。以下是已知受影響服務(wù)的列表：成功的暴力攻擊可能導(dǎo)致未經(jīng)授權(quán)的網(wǎng)絡(luò)訪問、帳戶鎖定或拒絕服務(wù)（DoS）情況。
這些攻擊源于TOR出口節(jié)點(diǎn)、匿名隧道和代理，例如：“暴力強(qiáng)制嘗試使用特定組織的通用用戶名和有效用戶名。這些攻擊的目標(biāo)似乎是不分青紅皂白的，并非針對特定地區(qū)或行業(yè)?！盋isco Talos發(fā)布的建議中寫道惡意活動(dòng)缺乏對特定行業(yè)或地區(qū)的具體關(guān)注，這表明它采用了更廣泛的隨機(jī)機(jī)會(huì)主義攻擊策略，Talos發(fā)布的咨詢包括一份針對這場運(yùn)動(dòng)的妥協(xié)指示者名單。
勒索軟件集團(tuán)Dark Angels聲稱芯片制造商N(yùn)experia的1TB數(shù)據(jù)被盜
黑暗天使（Dunghill）勒索軟件集團(tuán)聲稱對黑客攻擊芯片制造商N(yùn)experia并竊取該公司1 TB的數(shù)據(jù)負(fù)責(zé)該組織發(fā)布了一組文件作為安全漏洞的證據(jù)，并威脅稱，如果受害者不支付贖金，將泄露所有被盜數(shù)據(jù)。
這家芯片制造商證實(shí)，它在2024年3月意識(shí)到某些Nexperia it服務(wù)器被未經(jīng)授權(quán)訪問。為了應(yīng)對這一事件，該公司斷開了受影響系統(tǒng)與互聯(lián)網(wǎng)的連接，以防止威脅傳播。Nexperia在第三方網(wǎng)絡(luò)安全專家的幫助下對安全漏洞展開了調(diào)查，該公司發(fā)布的新聞聲明中寫道：“我們已向主管當(dāng)局報(bào)告了這一事件，包括‘個(gè)人財(cái)產(chǎn)管理局’和警方，并隨時(shí)向他們通報(bào)我們的調(diào)查進(jìn)展。”
