【資安日報】2022年3月21日，消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來

密碼的使用習慣不良，使用相當容易被猜到的密碼算是相當常見，但這種情況不只是發生在一般的使用者身上，IT人員也可能一時疏忽而釀成大禍。在今天的資安新聞中，有一家位於南非的公司傳出資料外洩事故，但在外界追查之下發現，原因疑似管理者使用了極為容易被猜到的密碼，而使得駭客組織輕易取得了該公司大量資料。究竟是管理者偷懶，抑或是伺服器存放於隔離網路環境，覺得攻擊者無法存取而掉以輕心？這樣的情況不只使得資料遭到外洩，也讓顧客對於該公司保護資料的態度產生質疑。

勒索軟體頻頻針對關鍵基礎設施（CI）下手，而引起政府機關的高度重視，並發布警訊要經營CI的業者嚴加防範。近期美國針對勒索軟體AvosLocker的攻擊行動提出警告，值得留意的是，攻擊者鎖定的目標遍及全球，臺灣也在其攻擊範圍裡。

殭屍網路TrickBot的攻擊行動也相當值得留意，使得近期研究人員提出警告。操縱該殭屍網路的駭客鎖定MikroTik路由器設備，利用這些設備做為C2中繼站和受害電腦之間存取管道，而使得攻擊行動更加難以被察覺。

【攻擊與威脅】

巴西駭客聲稱透過弱密碼，入侵消費者信用業者環聯南非分公司

駭客嘗試透過暴力破解的方式入侵，因管理者使用極為容易的弱密碼而快速破解。消費者信用徵信公司環聯（TransUnion）於3月20日發布公告，駭客疑似濫用管理員的帳密存取該公司南非伺服器，他們也接到駭客的勒索訊息，並表態不會付錢。環聯察覺異常存取的跡象後，暫停顧客存取的服務並會同資安業者著手調查。初步調查顯示，一臺位於隔離網路的伺服器受到攻擊事件影響，該伺服器存放了部分南非業務的資料。

根據資安新聞網站Bleeping Computer報導，巴西駭客組織N4ughtysecTU宣稱是他們所為，並竊得約5,400萬個客戶的資料，而他們入侵的方式，僅是針對SFTP伺服器暴力破解管理員的密碼而得手，駭客找到的密碼是「Password」。

美國警告勒索軟體AvosLocker鎖定關鍵基礎設施下手，臺灣也有受害者

勒索軟體屢屢鎖定關鍵基礎設施（CI）下手的現象，先前美國政府曾警告Ragnar Locker近期已攻擊了52個設施，但不到半個月後相關單位再度發出警告，要CI業者嚴加戒備。美國聯邦調查局（FBI）、財政部、金融犯罪執法局（FinCEN）聯手，於3月18日發出資安通報，指出勒索軟體AvosLocker已鎖定當地的金融服務業者、關鍵製造業、政府設施等產業發動攻擊。FBI亦在公告裡公布AvosLocker的詳細資料，並特別提及這些駭客還會在發動勒索軟體攻擊後，還會打電話向受害者施壓，並引導他們到付款網站，部分攻擊事故駭客在還會要脅發動分散式阻斷服務（DDoS）攻擊。

FBI指出，駭客聲稱受害者至少遍及臺灣、美國、中國等12個國家。FBI在此通報裡，提供了防護措施供相關業者參考。

勒索軟體駭客BlackMatter亦曾使用另一款勒索軟體BlackCat

惡名昭彰的勒索軟體駭客組織BlackCat（亦稱Alphv），日前傳出很可能就是另一個組織BlackMatter的成員另起爐灶，現在研究人員找到兩個組織新的關連。思科在2021年12月調查勒索軟體BlackCat的攻擊事故時，發現其中一個被用於持續通訊的C2網域，曾被BlackMatter於同年9月使用，他們進一步分析，兩起事故的攻擊者採用了共通的工具、一致的檔案命名方式，以及攻擊手法。

針對上述發現，研究人員認為，BlackMatter所屬的駭客，很可能在BlackCat成立的初期曾使用這個新的勒索軟體，而導致上述的現象，這項發現也再度映證兩個駭客組織之間的關連。

殭屍網路TrickBot鎖定MikroTik路由器設備而來

殭屍網路TrickBot的攻擊行動，因駭客不斷強化該殭屍網路病毒的持久能力，以及規避偵測的手法而備受關注，而近期出現鎖定特定廠牌網路設備進行感染的情況，使得研究人員提出警告。微軟近日發現，TrickBot將攻擊目標從個人電腦延伸到物聯網（IoT）裝置，而現在駭客將其C2中繼站的基礎設施加以調整，鎖定MikroTik路由器設備而來，使得這些受威染的設備成為C2中繼站的代理伺服器，並將惡意流量透過非標準的網路連接埠傳送。

駭客究竟如何掌控這些路由器？研究人員提到，很有可能是使用出廠預設的管理員密碼，或者是透過暴力破解攻擊。此外，若是路由器執行早於6.42版的RouterOS作業系統，駭客也可能會利用漏洞CVE-2018-14847下手。對此，研究人員提供檢測工具，讓管理者能檢查MikroTik路由器是否遭到感染。

烏克蘭人士再度公布勒索軟體Conti的原始碼

勒索軟體Conti表態支持俄羅斯，引起烏克蘭人士的不滿，有人先後公布該組織的內部討論記錄，以及部分的原始碼，該名人士最近再度發布新的資料。根據資安新聞網站Bleeping Computer的報導，一名烏克蘭人士於3月20日，使用名為Conti Leaks的推特帳號，宣稱將勒索軟體Conti第3版的原始碼上傳到惡意軟體檢測網站VirusTotal，隨後並以受到密碼保護的壓縮檔案，來公布該勒索軟體的原始碼。值得留意的是，雖然該程式碼的最後修改日期為2021年1月25日，但到截稿之前，沒有防毒軟體引擎能察覺其攻擊行為。

【漏洞與修補】

WD電腦版應用程式EdgeRover存在目錄穿越漏洞，攻擊者恐用於外洩資料

外接式硬碟管理軟體存在本地權限提升（LPE）漏洞，一旦被攻擊者利用，就有機會癱瘓這些外接裝置的運作。硬碟製造商Western Digital（WD）於3月18日發布資安公告，表示他們提供給WD和SanDisk外接式硬碟的管理工具EdgeRover，存在目錄穿越漏洞CVE-2022-22988，攻擊者一旦利用這項漏洞，不只能提升執行命令的權限，且能逃逸基本檔案系統的沙箱機制，進而洩露敏感資料，或是造成阻斷服務（DoS）的情況。根據美國國家弱點資料庫（NVD）的風險評估，此漏洞的CVSS風險層級達9.1分。

【資安產業動態】

義大利以國安為由，要求政府部門棄用卡巴斯基防毒軟體

烏克蘭戰爭開戰後，出身俄羅斯的防毒軟體卡巴斯基，再度成為歐美政府封殺的對象，繼德國發布公告呼籲企業和民眾棄用之後，現在又有國家跟進。根據路透社3月17日的報導，義大利政府擔心莫斯科可能會濫用俄羅斯品牌的防毒軟體，來入侵義大利的重要網站。該新聞網站取得義大利國家安全部副部長Franco Gabrielli於3月15日向參議院提案內容，指出該國打算透過立法，來徹底要求聯邦部門根除卡巴斯基開發的軟體。未具名的消息人士透露，新的法規將允許行政機關換掉所有含有潛在風險的軟體，最快將於3月19日前通過。

除了義大利政府打算要求公部門移除該廠牌的防毒軟體，當地的跑車製造商法拉利也傳出決定在一級方程式賽車的車身上，移除卡巴斯基的商標，並宣稱兩家公司已暫停合作。