【資安日報】2022年3月16日，新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限

漏洞利用的攻擊行動，今天有兩則新聞，一則是近期出現的新殭屍網路B1txor20病毒，利用Log4Shell漏洞入侵Linux主機；另一起則是俄羅斯駭客攻擊非政府組織（NGO）的過程中，利用Windows漏洞PrintNightmare來提升權限。

而在國際的情勢中，以色列政府網站遭到DDoS攻擊，當地媒體認為與日前伊朗核能設施遭到攻擊有關。

【攻擊與威脅】

新的殭屍網路利用Log4Shell漏洞入侵受害電腦，並透過DNS隧道埋藏攻擊流量

又有駭客利用Log4Shell漏洞散布殭屍網路病毒。資安業者360 Netlab於2月9日開始，在蜜罐系統發現名為B1txor20的殭屍網路病毒，駭客透過Log4Shell漏洞，入侵x86、Arm架構的Linux主機，植入此殭屍網路病毒。目前研究人員攔截到4個版本的B1txor20，它們皆具備後門、SOCK5代理伺服器、遠端部署Rootkit、反向Shell等功能，而能讓駭客將受害電腦當作跳板，進而攻擊組織的內部網路環境。值得留意的是，駭客採用DNS加密隧道（DNS Tunneling）的方式，來隱藏C2中繼站與B1txor20之間的流量，並傳送惡意酬載。

俄羅斯駭客利用組織對於使用者帳號的管理不當，繞過雙因素身分驗證機制並控制使用者帳號

別以為導入了雙因素驗證（MFA）措施，使用者帳號就能高枕無憂，因為，IT人員若是帳號管理不當，沒有完全停用離職員工的相關帳號，很可能使得這類防護形同虛設。

美國聯邦調查局（FBI）與美國網路安全暨基礎設施安全局（CISA），聯手在3月15日提出警告，俄羅斯國家級駭客約於2021年5月，鎖定非政府組織（NGO）下手，先是透過已外洩的帳密取得初步的存取權限，並藉由受害組織所導入思科的雙因素驗證解決方案Duo中，配置不當的情況，註冊新的列管裝置。攻擊者藉由暴力破解的方式，存取使用弱密碼的用戶帳號，而這個用戶在Duo因長時間沒有活動，帳號遭到註銷，但該名用戶的AD帳號並未停用。駭客利用在Duo預設的配置下，允許長期未使用的帳號能夠重新註冊新裝置的特性，註冊了新的裝置用來完成雙因素驗證流程。

在成功掌控上述長期未使用的帳號後，駭客利用PrintNightmare漏洞（CVE-2021-34527）取得管理者權限，並在停用相關的MFA機制後，透過遠端桌面連線（RDP）存取網域控制器（DC），以竊取受害組織其他網域的帳密。

CISA指出，這些駭客可以藉此橫向移動到受害組織的雲端儲存服務，或是存取電子郵件帳號。美國呼籲組織要落實漏洞修補，並留意雙因素驗證的機制上，是否存在配置不當的情況。

以色列多個政府網站遭到DDoS攻擊

中東情勢緊張，疑似因伊朗與以色列的衝突引發網路攻擊。根據耶路撒冷郵報（Jerusalem Post）的報導，以色列政府於3月14日指出，大量政府的網站疑似遭到攻擊。資安業者Code Blue指出，攻擊者可能是與伊朗有關的駭客組織Black Shadow，目的是為了報復兩國之間的衝突。另一家資安業者Confidas透露，這起事故疑似是駭客對電信業者Cellcom發動分散式阻斷服務（DDoS）攻擊所致，發生時間是當地下午6時15分至7時30分。

該新聞網站指出，駭客發動攻擊的原因，很可能是為了報復以色列情報及特殊使命局（亦稱摩薩德）日前攻擊伊朗福爾多（Fordow）核能設施。

新的勒索軟體Nokoyawa疑似與Hive有關，鎖定南美洲而來

勒索軟體Hive最近幾個月接連發動攻擊而引起關注，但最近疑似有其他駭客仿效其攻擊手法。趨勢科技發現名為Nokoyawa的勒索軟體，其攻擊目標多半在南美洲，且大多攻擊行動是針對阿根廷而來，而這款引起研究人員關注的原因，在於它的攻擊鏈與Hive有許多共同之處，例如，都是透過Cobalt Strike入侵受害電腦，並利用惡意軟體Coroxy來部署PowerShell程式碼，而對於規避偵測的部分，兩者都是使用名為GMER的工具。

不過，駭客開發這2款勒索軟體的程式語言不同，用於加密的API也不一樣，且Nokoyawa不像HIve採取雙重勒索的策略，駭客沒有在網站上公布受害組織的名單。但即時如此，研究人員認為Nokoyawa的出現，後續動態相當值得觀察。

2018年Meta資料外洩事件判罰1,700萬歐元

Meta在歐盟GDPR於2018年5月正式上路後，傳出不少資料外洩事件，近期相關的判決出爐。愛爾蘭資料保護委員會（DPC）於3月15日宣布，Meta在2018年6月7日至12月4日，發生12起違反GDPR的資料外洩事件，經調查後他們發現，該公司並未採取適當的技術來保護用戶資料，決定判罰1,700萬歐元。

【漏洞與修補】

威聯通公告部分NAS設備存在Linux寫入權限漏洞Dirty Pipe

日前研究人員揭露Linux寫入權限漏洞Dirty Pipe（CVE-2022-0847），也有網路設備廠商確認旗下產品受影響的範圍，要用戶提高警覺。威聯通（QNAP）於3月14日發布公告，表示執行QTS 5.0或QuTS hero h5.0作業系統的NAS，將受到Dirty Pipe影響，且無論是採用x86或Arm處理器的機種都可能受到波及，而採用QTS 4作業系統的NAS則不受影響。該公司指出，此漏洞尚未有其他的緩解措施，他們將會儘速發布安全性更新予以修補。