中國駭客鎖定東南亞關鍵基礎設施，企圖竊取SCADA設計資料

最近半年的時間，資安業者陸續揭露許多攻擊事故，背後都與中國駭客有關，例如，有多組駭客自2017年開始，鎖定大型電信業者發動攻擊，且濫用了微軟Exchange重大漏洞「Proxylogon」。但有不同的調查報告指出，有其他的中國駭客不只是攻擊電信業者，還對於多個類型的關鍵基礎設施（CI）下手。

賽門鐵克揭露由中國駭客發起的攻擊行動，攻擊延續數個月之久，至少自2020年11月持續到2021年3月，對象包含了水資源公司、電力公司、電信公司，以及國防組織等多個關鍵基礎設施。

而對於攻擊者的身分，該公司根據他們的調查結果，研判攻擊者來自中國，但無法確定是那個駭客組織所為。

不同事故卻存在共通跡證

為何會認定這些針對不同類型關鍵基礎設施的攻擊，是同一組駭客所為？原因與賽門鐵克找到的證據存在了數個共通點，例如，他們在攻擊目標的地理位置找到關連，且在不同組織的電腦上出現相同的工具－－其中2個組織出現了下載器，而鍵盤側錄器存在於3個組織裡，再者，則是針對其中2個組織的攻擊行動裡，研究人員發現了相同的IP位址。

究竟攻擊者的目的為何？賽門鐵克認為，主要是竊取帳密，以及進行橫向移動。為了達到目的，攻擊者廣泛在受害電腦就地取材（Living Off-the-Land，LOL），運用多項電腦裡現成、合法的工具，諸如Windows Management Instrumentation（WMI）、ProcDump、PsExec，以及Mimikatz等。

研究人員提到，在執行惡意工具的過程裡，他們也發現攻擊者濫用合法的影音播放器PotPlayer Mini，來側載DLL，並用另一款合法的工具載入惡意檔案，而且這個影音播放器的蹤跡，在所有的受害單位都有出現。

從攻擊者所運用的合法工具來看，有些是Windows作業系統內建的工具，也有系統監控軟體，而Mimikatz則是駭客常用於竊取密碼的工具。相較之下，PotPlayer Mini是偏向個人用戶的應用程式，且並非作業系統內建的軟體，若是維護關鍵基礎設施的管理者採用白名單機制，駭客很有可能就因為無法執行PotPlayer Mini，而使得攻擊行動受到阻礙。由此可見，攻擊者對於這些目標的內部環境應該是相當了解。

疑似鎖定設計SCADA系統的資料

在針對上述提及的水資源公司、電力公司、電信公司，以及國防單位等，具體而言，攻擊者究竟如何運用合法工具來發動攻擊？以鎖定水資源公司的事故為例，賽門鐵克指出，攻擊者先是濫用WMI，接著運用了PotPlayer Mini來載入惡意DLL檔案。

再來，攻擊者了執行ProcDump、PsExec，以及Mimikatz。而他們運用這些工具的目的為何？其中，攻擊者用ProcDump來存取LSASS.EXE處理程序，目的是竊取憑證，並下達net view指令，來列舉網域用戶，接下來受害電腦啟動了可疑的加密連線。

在攻擊過程裡，賽門鐵克發現攻擊者並未竊取資料，但為何要入侵水資源公司的電腦？賽門鐵克表示，這些受害電腦所存放的資料，很可能與設計SCADA系統有關，而成為攻擊者的目標。

而在針對電力公司的攻擊行動中，攻擊者也運用類似於水資源公司的手法。賽門鐵克指出，有跡象顯示該電力公司的受害電腦，存放了工程設計的資料。從攻擊者想要尋找的資料及攻擊策略，賽門鐵克認為，這兩起事故是相同的駭客所為。

在電信公司出現新的合法工具

在上述的水資源公司與電力公司事故裡，攻擊者運用了相似的攻擊手法。但在針對電信公司的攻擊行動中，駭客濫用了上述2起事故沒有出現過的合法工具：Google Chrome內嵌框架（Google Chrome Frame）、PAExec。

什麼是Google Chrome內嵌框架？這是Google自2009年推出的瀏覽器外掛程式（現已終止支援），適用於Internet Explorer（IE），能讓該瀏覽器的使用者，利用Chrome瀏覽器引擎來載入網頁。而攻擊者使用它的目的，則是用來載入惡意檔案。

但這款IE外掛程式的來源為何？賽門鐵克表示並不確定，有可能是這家公司的受害電腦本來就有，但也可能是攻擊者自行帶來的工具。

除了Google Chrome內嵌框架，攻擊者也使用了開源的PAExec工具，並透過Windows排程工具at.exe執行。

在攻擊的過程中，駭客也運用了WMI，不只用於竊取憑證，亦讓Google Chrome內嵌框架能排程執行，藉此橫向移動找尋目標，並執行net.exe來存取網路上隱藏的C$共享資料夾等攻擊行動。一般而言，這種型態的手法，很有可能被攻擊者用於收集網路裡竊得的資料。

但在這些只有出現於電信公司的攻擊手法之外，賽門鐵克也發現與前述事故的共通之處。例如，他們從這家受害的電信公司裡，發現一個鍵盤側錄程式與數個檔案，而這些檔案也在前述的水資源公司網路出現。

再者，在受害的國防單位中，攻擊者也濫用了PotPlayer Mini。賽門鐵克表示，該單位受害電腦的檔案，與上述的水資源公司和電信公司有所交集。

從本次攻擊行動的過程裡，駭客就地取材所運用的合法工具，涵蓋的類型可說是相當廣。這樣的情況也突顯出，網管人員在管制應用程式上所面臨的難題。