【資安日報】2022年4月15日，甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動

在今天的資安新聞裡，甫修補的重大漏洞相當值得留意，一個是已遭利用的CVE-2022-22954，這項漏洞與VMware Workspace ONE Access、Identity Manager等身分管理平臺有關；另一個則是微軟在4月份例行修補（Patch Tuesday）修補的CVE-2022-26809，與Windows的遠端程序呼叫（RPC）元件有關。這兩項漏洞都極為危險，CVSS風險層級都達到9.8分。使用者應儘速安裝修補程式與採取緩解措施。

其中，CVE-2022-26809引起許多資安人員高度關注，原因是此漏洞具備蠕蟲特質，若被駭客利用，很可能發動類似WannaCry的大規模攻擊事故。

近期有新興的殭屍網路攻擊行動，也引起研究人員關切。其中，從Gafgyt修改而來的Enemybot，採取了過往殭屍網路相當少見的做法，駭客利用多種混淆字串的手法，而能躲過許多資安系統的偵測。

【攻擊與威脅】

VMware於4月初公布身分管理平臺重大漏洞，本週已出現漏洞利用攻擊

VMware於4月6日針對旗下的身分管理平臺Workspace ONE Access、Identity Manager等解決方案，發布漏洞修補程式，其中最值得留意的漏洞之一是CVE-2022-22954，其CVSS風險層級達到9.8分，且最近已被用於攻擊行動。

根據資安新聞網站Bleeping Computer的報導，資安研究團隊Bad Packets在偵測嘗試利用上述漏洞的攻擊者時，發現已有人用於散布Linux版Tsunami後門程式，或是挖礦軟體CoinMiner，再者，也有研究人員公布概念性驗證（PoC）攻擊程式。該新聞網站認為，不久後會有更多攻擊者利用這項漏洞。

殭屍網路病毒Enemybot感染多種處理器架構的設備，以發動DDoS攻擊

殭屍網路是攻擊者投放惡意軟體的重要管道，如今駭客利用更為隱密的方式來建置。資安業者Fortinet在3月中旬偵測到名為Enemybot的DDoS殭屍網路，駭客鎖定D-Link、Seowon Intech、iRZ等廠牌的路由器下手。研究人員針對殭屍網路病毒進行分析發現，駭客針對Arm、MIPS、x86等多種處理器架構的物聯網裝置而來，主要程式碼來自另一個殭屍網路Gafgyt，但也運用了部分Mirai的模組。

值得留意的是，駭客在Enemybot運用多種混淆字串的手法來避免被偵測，例如，在C2中繼站的網域名稱裡，運用XOR演算法搭配多位元的金鑰處理、對於受害裝置進行SSH暴力破解時，以及字串使用Mirai風格的編碼方式等。

殭屍網路Fodcha利用裝置漏洞與暴力破解工具發動攻擊

新的殭屍網路鎖定網路上存在漏洞的路由器、DVR、伺服器下手，且快速壯大。中國資安業者奇虎360的網路安全研究實驗室（360 Netlab）發現名為Fodcha的殭屍網路，在3月29日到4月10日之間，已有6.2萬臺設備遭到感染，其中，實際在運作的殭屍網路機器人（Bot）超過5.6萬個，有1萬個是來自中國的IP位址。

研究人員指出，Fodcha不只會感染Totolink與Zhone路由器、Lilin與MVPower的DVR設備，還會對於GitLab伺服器，以及Android ADB除錯伺服器下手，利用上述環境的已知漏洞入侵，再使用Crazyfia暴力破解工具猜測帳密，最終部署殭屍網路病毒。

竊密軟體ZingoStealer兼具讓駭客投放其他惡意軟體的功能

近期有多款竊密軟體出現，且功能越來越強大，不只能偷取受害電腦的敏感資料，還能使用挖礦軟體牟利。思科揭露名為ZingoStealer的竊密軟體，這個惡意軟體甫於今年3月出現，由駭客組織Haskers Gang積極開發，並免費提供給其他駭客。攻擊者大多運用這個竊密軟體，以遊戲作弊程式、盜版軟體為名義，來對使用俄語的用戶下手，藉此從受害電腦竊取多種加密貨幣錢包的帳密資料，以及瀏覽器儲存的敏感資料。

再者，駭客亦能以此竊密軟體投放RedLine Stealer等惡意程式，再由Haskers Gang的客戶購買存取受害電腦的管道來獲利。而Haskers Gang另一個牟利的管道，則是利用此竊密軟體在受害電腦植入XMRig挖礦軟體。

駭客以提供Windows 11用戶Android子系統功能為幌子，散布惡意軟體

微軟計畫在Windows 11上提供能執行Android應用程式的功能，但他們與Amazon的市集配合，使得不少用戶尋求第三方Google Play市集的解決方案，而有攻擊者利用這點來散布惡意軟體。

根據資安新聞網站Bleeping Computer的報導，近期有人在GitHub發布名為Windows Toolbox的工具包，號稱能清除Windows 11內建的垃圾元件、啟動Windows與Office軟體，並能在該作業系統上安裝Google Play市集，但多名研究人器證實，此工具包實際上是木馬程式，使用者一旦依照指示安裝到電腦，駭客將會植入木馬點擊程式，由於攻擊過程中駭客會從Cloudflare Workers下載PowerShell程式碼，而使得防毒軟體難以察覺其攻擊行為。

駭客組織OldGremlin以金融卡停用為由入侵俄羅斯組織，發動勒索軟體攻擊

許多企業因俄羅斯發起戰爭而相繼於當地停止提供服務，有駭客看上這一點發動攻擊。資安業者Group-IB指出，勒索軟體駭客組織OldGremlin於2022年3月，發起2次網路釣魚攻擊行動，至少有一家俄羅斯採礦業者受害。

該組織冒充俄羅斯金融機構的會計師，指出因西方國家對俄羅斯進行制裁，導致收信人的Visa和萬事達金融卡都將無法使用，薪資轉帳戶頭必須改與其他的金融卡搭配，收信人才能使用當中的存款，並要求對方5小時內回覆，一旦收信人照做電腦將會被植入後門程式TinyFluff，而讓駭客能夠入侵收信人所屬的組織，最終發動勒索軟體TinyCrypt（亦稱TinyCryptor）攻擊。

駭客鎖定烏克蘭政府機關散布惡意軟體IcedID，並針對協作平臺Zimbra漏洞下手

隨著烏克蘭戰爭中烏克蘭逐步從俄羅斯軍隊收復部分被入侵的國土，有駭客假借國家表揚武裝部隊為由來散布惡意軟體。烏克蘭電腦緊急應變小組（CERT-UA）發現駭客組織UAC-0041、UAC-0097的攻擊行動。

UAC-0041藉由烏克蘭動員名單的名義，鎖定該國的政府機關下手，引誘收信人打開Excel檔案，一旦收信人照做並啟用巨集，就會執行惡意軟體GzipLoader，最終會在受害電腦植入金融木馬程式IcedID，收集受害電腦的帳密，並能讓駭客進一步投放其他惡意軟體。

而另一起由UAC-0097發動的攻擊，則是以該國總統澤倫斯基要表彰武裝部隊的名義，鎖定協作平臺Zimbra的收信軟體的已知漏洞而來，藉由有問題的圖檔附件來觸發CVE-2018-6882。烏克蘭電腦緊急應變小組呼籲Zimbra用戶，應儘速安裝新版軟體來防堵漏洞利用攻擊。

美國指控大型NFT電玩Axie Infinity遭駭是北韓駭客Lazarus所為

駭客於3月23日自大型NFT電玩Axie Infinity的交易平臺「Ronin Bridge」，盜走價值6.25億美元的加密貨幣引起關注，現在傳出攻擊者可能是北韓的駭客組織。根據加密貨幣新聞網站CoinDesk的報導，美國財政部於4月14日在制裁名單增列以太坊的網址，經該新聞網站確認，這個錢包網址與Ronin Bridge遭駭有關。美國聯邦調查局（FBI）指控，此錢包的不法所得來自於北韓駭客組織Lazarus。