分类: 网络攻击

CISA 发布 AA22-103A 新警报:警惕针对 ICS/SCADA 设备的 APT 网络攻击

本周三,包括美国能源部(DOE)、网络安全和基础设施安全局(CISA)和联邦调查局(FBI)在内的多个机构,向关键基础设施运营商发出了严重的潜在攻击警报。近年来,某些持续威胁(APT)参与者创建了许多定制工具,并在针对工业控制系统(ICS)、监控和数据采集设备(SCADA)等关键基础设施的攻击事件中发挥了相当大的威力。 (来自:CISA) 具体说来是,此类攻击多针对施耐德电气的 PLC(通用控制器)、欧姆龙 Sysmac N PLC 和开放平台统一通信架构(OPC UA)服务器而发起。 鉴于上述产品亦在美国诸多重要的工业设施中得到了广泛的使用,美国多个联邦部门在警报中发出了严厉的提醒: 一旦被攻击者获得对相关运营技术(OT)的最终访问权限,特定工具将能够对内网进行扫描、破坏和建立远程控制能力。 此外针对工控主板驱动漏洞的利用,也潜在于基于 Windows 操作系统的工程信息技术(IT)或 OT 环境的工作站中。 通过制定和维护对 ICS / SCADA 设备的访问权限,APT 参与者可顺利提权、在 OT 环境中四处游荡,进而破坏关键设备或系统功能。 正因如此,有关部门才不厌其烦地在每一份馆建设施实施警报中给出相关检测和缓解建议。 本轮攻击波及施耐德电气的 MODICON 和 MODICON Nano PLC,影响 TM251、TM241、M258、M23、LMC058 和 LMC078 等型号。 欧姆龙 Sysmac NJ NX8 PLC 亦有在列,受影响的产品涵盖了 NEX NX1P2、NX-SL3300、NX-ECC203、NJ501- 1300、S8VK 和 R88D-1SN10F-ECT 等型号。 ICS 网络安全软件公司 aDolus Technology 首席技术官 Eric Byres 在接受 The Record 采访时指出:基于通用的“共同合作协议”,OPC UA 的大多数供应商系统都允许配合多方的产品使用。 安全公司 Dragos 首席执行官 Robert Lee 补充道,他们一直在追踪此类针对 ICS 的恶意软件。可知其最初以施耐德电气和欧姆龙等厂家的产品为目标,且会利用本机功能来逃避安全检测。 庆幸的是,大部分此类恶意软件尚未在目标网络中被激活,意味着广大基础设施运营商仍有机会在灾难发生前迅速落实防御措施。 据悉,此类恶意软件最初似乎特别针对液化天然气和电力等能源基础设施。但从本质上来剖析,可知其亦可在各种各样的工业控制器和系统上运行。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1258133.htm 封面来源于网络,如有侵权请联系删除

微软 Windows 受到 Hafnium 恶意软件 “Tarrask” 的集团化攻击

对微软Exchange服务器造成严重破坏的臭名昭著的Hafnium黑客组织回来了。但这一次,微软清楚地知道这个国家支持的威胁行为者团体的活动意图,该组织正在利用”Tarrask”恶意软件来瞄准并不断削弱Windows操作系统的防御能力。 微软检测和响应小组(DART)在一篇博文中解释说,Hafnium集团正在利用Tarrask这种”防御规避恶意软件”来规避Windows的防御,并确保被破坏的环境保持脆弱。 随着微软继续追踪高优先级的国家支持的威胁行为者HAFNIUM,我们发现了新的活动,利用未修补的零日漏洞作为初始载体。进一步的调查显示了使用Impacket工具执行取证,并发现了一个名为Tarrask的防御规避恶意软件,它创建了”隐藏”的计划任务,并随后采取行动删除任务属性,以掩盖计划任务的传统识别手段。 微软正在积极跟踪Hafnium的活动,并意识到该组织正在利用Windows子系统内的新的漏洞。该组织显然是利用了一个以前未知的Windows漏洞,将恶意软件隐藏在”schtasks /query”和任务调度程序中。 该恶意软件通过删除相关的安全描述符注册表值成功地逃避了检测。简单地说,一个尚未打补丁的Windows任务调度程序错误正在帮助恶意软件清理其踪迹,并确保其磁盘上的恶意软件有效残余尽可能地不显示出相关性,展示出潜伏能力与迷惑性。其结果是,该组织似乎正在使用”隐藏的”计划任务,即使在多次重启后也能保留对被入侵设备的访问。与任何恶意软件一样,即使是Tarrask也会重新建立与指挥和控制(C2)基础设施的中断连接。 微软的DART不仅发出了警告,而且还建议在Microsoft-Windows-TaskScheduler/Operational Task Scheduler日志中启用”TaskOperational”的日志。这有助于管理员从关键的资产中寻找可疑的出站连接。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1257621.htm 封面来源于网络,如有侵权请联系删除

在 ESET 和微软帮助下 乌克兰成功阻止针对能源设施的网络攻击

在 ESET 和微软研究人员的帮助下,乌克兰官员表示成功阻止了一起针对能源设施的网络攻击。在本次阻止攻击过程中,它们发现了 Industroyer 的新变种,它是一个臭名昭著的恶意软件,在 2016 年被 Sandworm APT 组织用来切断乌克兰的电力。 乌克兰政府计算机应急小组(CERT-UA)表示,该攻击使用 Industroyer 变体尝试对“几个基础设施”发起攻击,包括高压变电站、设施的计算机、网络设备和运行 Linux 操作系统的服务器设备。 CERT-UA 解释说:“受害组织遭受了两波攻击。最初的妥协发生在 2022 年 2 月之前。变电站的断电和公司基础设施的退役被安排在2022年4月8日星期五晚上进行。同时,到目前为止,恶意计划的实施已经被阻止了”。 ESET在关于这一情况的解释中说,它还看到攻击者使用了其他几个破坏性的恶意软件家族,包括CaddyWiper、ORCSHRED、SOLOSHRED和AWFULSHRED。 ESET说,它不确定攻击者是如何入侵最初的受害者的,也不确定他们如何设法从IT网络转移到工业控制系统(ICS)网络。但CERT-UA说,攻击者能够”通过创建SSH隧道链”在不同网段之间横向移动。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1257667.htm 封面来源于网络,如有侵权请联系删除

黑客利用 Conti 泄露的勒索软件攻击俄罗斯公司

一个黑客组织利用Conti恶意软件集团泄露的勒索软件源代码创建了他们自己的勒索软件,然后用于对俄罗斯组织进行网络攻击。虽然经常听到勒索软件攻击公司并加密数据,但我们很少听到位于俄罗斯的黑客组织受到类似的攻击。这种缺乏攻击的情况是由于俄罗斯黑客普遍认为,如果他们不影响俄罗斯的利益,那么该国的执法部门将对攻击其他国家的行为视而不见。 然而,现在情况发生了变化,一个被称为NB65的黑客组织现在专门以俄罗斯组织为目标进行勒索软件攻击。 过去一个月,一个名为NB65的黑客组织一直在入侵俄罗斯实体,窃取他们的数据,并将其泄露到网上,并警告说这些攻击是由于俄罗斯入侵乌克兰。 据称被该黑客组织攻击的俄罗斯实体包括文件管理运营商Tensor,俄罗斯航天局,以及国有的俄罗斯电视和广播公司VGTRK。 对VGTRK的攻击尤其重要,它导致了据称786.2GB的数据被盗,其中包括90万封电子邮件和4000个文件,这些数据被公布在DDoS Secrets网站上。 最近,NB65黑客转向了一种新的战术–自3月底以来以俄罗斯组织为目标进行勒索软件攻击。 更有趣的是,该黑客组织使用泄露的Conti勒索软件操作的源代码创建了他们定制版本的勒索软件,这些来自俄罗斯的网络安全威胁行为始作俑者通常禁止其成员攻击俄罗斯的实体。 Conti的源代码是在他们在攻击乌克兰的问题上与俄罗斯站在一起之后泄露的,一位安全研究员泄露了17万条内部聊天信息和他们行动的源代码。 BleepingComputer首先通过威胁分析师Tom Malka了解到NB65的攻击,但我们找不到勒索软件的样本,而且该黑客组织也不愿意分享它。 然而,这种情况在昨天发生了变化,NB65修改过的Conti勒索软件可执行文件的样本被上传到VirusTotal,让我们得以一窥它的运作方式。 几乎所有的杀毒软件供应商都将VirusTotal上的这个样本检测为Conti,Intezer Analyze还确定它使用的代码与通常的Conti勒索软件样本有66%相同。 BleepingComputer给NB65的勒索软件做了一个测试,当加密文件时,它会在被加密文件的名称后加上.NB65的扩展名。 该勒索软件还将在整个加密设备中创建名为R3ADM3.txt的勒索信文本,威胁者将网络攻击归咎于总统弗拉基米尔·普京入侵乌克兰。 “我们正在密切关注。 你们的总统不应该犯下战争罪。”NB65勒索软件显示的说明中写道。 NB65黑客组织的一名代表表示,他们的加密器是基于第一个Conti源代码的泄漏,但因为改变了算法,所以现有的解密器将无法工作。 “它被修改后,所有版本的Conti解密器都无法工作。每次部署都会根据我们为每个目标改变的几个变量产生一个随机的密钥。如果不与我们联系,真的没有办法解密。” 目前,NB65还没有收到他们的受害者的任何通信,并告诉我们他们不期待任何通信。 至于NB65攻击俄罗斯组织的原因: “在布查屠杀事件后之后,我们选择了针对某些公司,这些公司可能看上去是服务于民用市场的,但仍然会对俄罗斯的正常运作能力产生影响。 俄罗斯民众对普京的战争罪行的支持是压倒性的。 从一开始我们就明确表示。 我们在支持乌克兰。 我们将兑现我们的承诺。 当俄罗斯停止在乌克兰的所有敌对行动并结束这场荒谬的战争时,NB65将停止攻击俄罗斯互联网上的资产和公司。” “我们将不会攻击俄罗斯以外的任何目标。 像Conti和Sandworm这样的组织,以及其他俄罗斯APT多年来一直通过勒索软件、供应链攻击(Solarwinds或国防承包商)来打击西方。我们认为现在是他们自己处理这个问题的时候了。”   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1256653.htm 封面来源于网络,如有侵权请联系删除

FBI 向托管 Cyclops Blink 恶意软件的僵尸网络服务器发起了行动

美国联邦调查局(FBI)透露,该机构于今年 3 月发起了针对 GRU 控制的大型僵尸网络的专项行动。在获得加利福尼亚和宾夕法尼亚两州法院的授权后,FBI 清理了存在于指挥和控制服务器(C2S)上的所谓 Cyclops Blink 恶意软件,从而切断了其与受感染设备的连接。 本周三,美国司法部披露了在 3 月份成功开展的这一专项行动。不过对于设备所有者们来说,DOJ 还是警告其应该参考 2 月 23 日给出的最初建议,以防受损的设备被再次感染。 自 2 月份曝出与 Cyclops Blink 威胁有关的威胁以来,已有数千台设备得到了处理。不过“大多数”受感染的设备,还是拖到了 3 月中旬甚至更晚。 安全专家将 Cyclops Blink 视作 VPNFilter 的继任者,后者也是一个僵尸网络,于 2018 年被首次曝光,后续一直成为美国政府的一个主要行动目标,以破坏其指挥和控制服务器。 据说 Cyclops Blink 和 VPNFilter 恶意威胁的幕后黑手都是 Sandworm,推测该黑客组织与俄罗斯军事情报部门 GRU 有千丝万缕的联系。 最后,尽管美国当局没有明确指出 Cyclops Blink 的攻击目标,但安全研究人员有指出,该僵尸网络能够收集信息并开展间谍活动、发起用峰值流量瘫痪网络和服务器的 DDoS 攻击,并且具有让设备瘫痪、导致系统与网络中断的攻击能力。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1255669.htm 封面来源于网络,如有侵权请联系删除

SentinelLabs:俄罗斯利用 AcidRain 擦除恶意软件攻击了 ViaSat

早些时候,美国卫星通信服务提供商 Viasat 遭受了一轮网络攻击,结果导致中东欧地区的服务出现了中断。而由 SentinelLabs 研究人员 Juan Andres Guerrero-Saade 和 Max van Amerongen 最新发布的安全研究报告可知,这口锅应该扣在一款名为“酸雨”(AcidRain)的新型擦除(wiper)恶意软件头上。 Surfbeam2 调制解调器攻击前后的并排比较(via SentinelLabs) 鉴于此事与俄乌冲突爆发的时间点接近,早期调查认为俄罗斯方面有很大的嫌疑。此外这轮攻击还断开了德国约 5800 台风力发电机的远程访问,起初还以为它们遭到了分布式拒绝服务(DDoS)攻击。 不过参考 SentinelLabs 最新发布的安全研究报告,作为一款新冒出的擦除恶意软件,AcidRain 旨在远程清除易受攻击的调制解调器和路由器。 设备擦除代码:写入 ox40000(左)或使用 MEM*IOCTLS(右) 可知 3 月 15 日那天,研究人员从意大利用户 ukrop 上传到 VirusTotal 的样本中发现了端倪,并推测该用户名为“乌克兰行动”(Ukraine operation)的缩写。 至于这款擦除器的功能,研究人员称其相当“通用”。因为在尝试破坏数据之前,它会对文件系统和各种已知存储设备上的文件进行深度抹除,然后让设备重启变砖。 尝试重启设备的代码 SentinelLabs 研究人员 Juan Andres Guerrero-Saade 和 Max van Amerongen 表示: AcidRain 的功能相对简单,并且会进行暴力尝试。意味着攻击者要么不熟悉目标固件的细节,要么希望该工具保持通用性和可重复使用。 部分标题字符串对比 尽管攻击者的确切身份仍是个谜,但 SentinelLabs 观察到了 AcidRain 和 VPNFilter 恶意软件之间的相似之处 —— 后者感染了全球数千个家庭和小型企业的路由器等网络设备。 2018 年,FBI 将 VPNFilter 操作归咎于有俄罗斯背景的“Fancy Bear”(又名 APT28)黑客组织。 左为 AcidRain,右为 VPNFilter 。 最后,研究人员推测 AcidRain 是自俄乌冲突爆发以来的第七款擦除类恶意软件,但仍需进一步调查背后的关系。由周三发表的有关 2 月份网络攻击的第一份事件响应报告可知: 未具名的攻击者利用了错误配置的虚拟专用网设备,远程访问了 KA-SAT 网络的‘可信访问’部分。 接着利用相关访问权限,执行了同时面向大量家庭调制解调器的有针对性的管理命令。 这些破坏性命令覆盖了调制解调器闪存中的关键数据,导致 Modem 无法访问网络、但也并非永久无法使用。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1253557.htm 封面来源于网络,如有侵权请联系删除

不少 WordPress 网站被注入恶意脚本 对乌克兰网站发起 DDoS 攻击

不少 WordPress 网站正在遭受黑客们的攻击,通过注入的恶意脚本,利用访问者的浏览器对乌克兰网站进行分布式拒绝服务攻击。今天,MalwareHunterTeam 发现一个 WordPress 网站被入侵使用这个脚本,针对十个网站进行分布式拒绝服务(DDoS)攻击。 这些网站包括乌克兰政府机构、智囊团、乌克兰国际军团的招募网站、金融网站和其他亲乌克兰的网站。 目标网站的完整清单如下。 https://stop-russian-desinformation.near.page https://gfsis.org/ http://93.79.82.132/ http://195.66.140.252/ https://kordon.io/ https://war.ukraine.ua/ https://www.fightforua.org/ https://bank.gov.ua/ https://liqpay.ua https://edmo.eu 当加载时,JavaScript 脚本将迫使访问者的浏览器对列出的每个网站执行 HTTP GET 请求,每次不超过 1000 个并发连接。DDoS攻击将在后台发生,而用户不知道它正在发生,只是他们的浏览器会变慢。这使得脚本能够在访问者不知道他们的浏览器已被用于攻击的情况下进行 DDoS 攻击。 对目标网站的每个请求都将利用一个随机查询字符串,这样请求就不会通过 Cloudflare 或 Akamai 等缓存服务提供,而是直接由被攻击的服务器接收。例如,DDoS 脚本将在网站服务器的访问日志中产生类似以下的请求。 “get /?17.650025158868488 http/1.1” “get /?932.8529889504794 http/1.1” “get /?71.59119445542395 http/1.1” BleepingComputer 只找到了几个感染了这种 DDoS 脚本的网站。然而,开发者 Andrii Savchenko 表示,有数百个 WordPress 网站被破坏,以进行这些攻击。Savchenko 在Twitter上说:“实际上大约有上百个这样的网站。都是通过WP漏洞。不幸的是,许多供应商/业主没有反应”。 在研究该脚本以寻找其他受感染的网站时,BleepingComputer 发现,亲乌克兰的网站 https://stop-russian-desinformation.near.page,也在使用同样的脚本,用于对俄罗斯网站进行攻击。在访问该网站时,用户的浏览器被用来对67个俄罗斯网站进行 DDoS 攻击。 虽然这个网站澄清它将利用访问者的浏览器对俄罗斯网站进行DDoS攻击,但被攻击的WordPress网站在网站所有者或其访问者不知情的情况下使用了这些脚本。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1252613.htm 封面来源于网络,如有侵权请联系删除

基于800个恶意 NPM 包的大规模供应链攻击

Hackernews 编译,转载请注明出处: 一个名为“RED-LILI”的攻击者发布了近800个恶意模块,与正在进行的针对 NPM 软件包库的大规模供应链攻击活动联系紧密。 以色列安全公司 Checkmarx 说: “通常,攻击者使用一个匿名的一次性 NPM 帐户发动攻击。”“这一次,攻击者似乎已经完全自动化了 NPM 帐户的创建过程,并且开设了专用帐户,每个包一个账户,这使得他的新恶意软件包更难被发现。” 这些发现建立在 JFrog 和  Sonatype 近期的报告的基础上,这两份报告详细介绍了数百个 NPM 软件包,这些软件包利用依赖项混淆和类型定位等技术来针对 Azure、 Uber 和 Airbnb 的开发者。 根据对 RED-LILI 作案手法的详细分析,异常行为的最早痕迹发生在2022年2月23日,在一周的时间里,大量恶意软件包呈爆发式分发。 具体来说,将rogue库上传到 NPM (Checkmarx 称之为“工厂”)的自动化过程包括同时使用自定义 Python 代码和 Selenium 等 web 测试工具,以模拟所需的用户操作,好在注册表中复制用户创建过程。 为了通过 NPM 设置的一次性密码验证屏障,攻击者利用一个名为Interactsh 的开放源码工具将 NPM 服务器发送的 OTP 提取到注册过程中提供的电子邮件地址,高效地使帐户创建请求成功。 有了这个全新的 NPM 用户帐号,攻击者接着以自动的方式创建和发布一个恶意软件包,每个帐号只有一个,但不是在创建访问令牌之前,以便在不需要电子邮件 OTP 验证的情况下发布软件包。 研究人员说: “随着供应链攻击者提高他们的技能,防御者的工作会更加艰难,这次攻击标志着他们技术取得了极大进步。”“通过将软件包分发在多个用户名之间,攻击者使防御者更难将它们联系起来,并一举解决它们。而且,通过这种方式,设备会更容易被感染。” 消息来源:TheHackerNews,译者:Zoeppo; 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文

CISA 与 FBI 在 Viasat 网络攻击后发出警告 美国卫星通讯亦面临安全威胁

因担心俄乌冲突引发的近期针对欧洲卫星网络发起的攻击可能很快蔓延到美国本土,政府机构已经向卫星通信网络运营商发出了“潜在威胁”预警。在美国网络安全与基础设施安全局(CISA)和联邦调查局(FBI)本周联合发布的一份公告中,其敦促卫星通讯(SATCOM)网络提供商和基础设施组织加强安全防御。若被入侵,或对其客户造成难以预知的风险。 截图(来自:CISA) 虽然安全公告中没有列出受威胁的具体部门,但鉴于卫星通讯在美国各地的普遍性,各大卫星通讯服务提供商仍不可掉以轻心。据估计,全美约有 800 万人在依靠 SATCOM 网络访问互联网。 专门从事卫星通信系统的网络安全专家 Ruben Santamarta 指出,卫星网络被广泛应用于航空、政府、媒体、军事,以及位于偏远地区的天然气设施、以及电力服务站等行业。 对于美国军方来说,尤其应该对此类攻击提高警惕。Santamarta 指出,2 月针对 Viasat 的网络攻击,已导致数以万计的客户离线,表明这类手段足以造成相当大的损害。 此外乌克兰军方的一名代表承认,该国正在使用这种卫星终端,攻击对其造成了通讯方面的巨大损失,且军方也是当前受到影响的最重要部门之一。 最后,海运等行业同样面临着此类安全威胁,而且事情不仅仅与网络安全有关。由于传播使用卫星通讯来开展安全操作,若未能顺利通过无线电频率或卫星通讯频道发送遇险呼叫信息,后果也将不堪设想。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1248783.htm 封面来源于网络,如有侵权请联系删除

俄罗斯管道巨头 Transneft 遭攻击 79 GB数据泄露

俄乌冲突进入第 3 周,一些非常规行为者继续针对俄罗斯国家支持的企业发起攻击,进行一连串的黑客攻击和数据泄露。而由俄罗斯国家控制的石油管道巨头 Transneft 无疑成为了重点攻击对象。 本周四,泄密托管网站 Distributed Denial of Secrets 发布了一个 79GB 的电子邮件链接,这些电子邮件来自 Transneft 的研发部门 Omega 公司。 Transneft的总部设在莫斯科,是世界上最大的管道公司。作为一家俄罗斯国有企业,根据对俄罗斯的制裁条款,它现在被阻止接受来自美国市场的投资。 它的内部研发单位 Omega 公司生产一系列用于石油管道的高科技声学和温度监测系统,具有讽刺意味的是,这些系统主要用于泄漏检测。 泄露的电子邮件似乎包含了公司员工的多个电子邮件账户的内容,不仅包括电子邮件信息,还包括包含发票和产品发货细节的文件附件,以及显示服务器机架和其他设备配置的图像文件。 不寻常的是,根据分布式拒绝秘密组织随同电子邮件上传的一份说明,消息来源将泄漏的数据献给希拉里·克林顿。在 2 月份接受 MSNBC 采访时,克林顿采取了非常规的措施,鼓励 Anonymous 对俄罗斯发动网络攻击。克林顿说:“热爱自由的人,了解我们的生活方式取决于支持那些也相信自由的人,可以参与对俄罗斯街头的人进行网络支持”。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1248347.htm 封面来源于网络,如有侵权请联系删除