【資安日報】2022年5月3日，駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式

從上週末到今天的資安新聞中，資安業者揭露的網路間諜攻擊行動相當值得留意，而在其中一起事故當中，駭客的手法相當特別，他們鎖定受害組織的Exchange伺服器下手，竊取公司併購相關的往來郵件，但除此之外，駭客還利用後門程式針對有網路視訊設備下手，將這些系統變成殭屍網路的機器人（Bot）。但攻擊者是否也針對鏡頭錄下的內容進行監聽？研究人員沒有進一步說明。

另一起中國駭客Moshen Dragon的網路間諜行動也相當值得留意。在攻擊過程中，駭客竟是經由防毒軟體的元件來側載（Sideloading）惡意程式，來躲過各式資安系統的偵測。不過，研究人員認為，駭客利用的是作業系統本身的設計缺陷，而非防毒軟體出現瑕疵。

而在上述的網路間諜攻擊事故之外，還有一起中國駭客的網路間諜行動引起資安業者的關注，原因是駭客運用了較為少見的滲透測試工具Viper，並透過開源的資產盤點工具進行監控。

【攻擊與威脅】

網路間諜藉由Exchange伺服器竊密，並攻擊網路視訊設備

研究人員發現手法極為神秘的攻擊行動，駭客不只竊取往來郵件，還針對視訊會議系統下手。資安業者Mandiant揭露駭客組織UNC3524的攻擊行動，駭客在成功入侵受害組織後，透過Exchange伺服器（包含內部建置的伺服器與雲端服務），竊取含有公司合併資訊的電子郵件，並在沒有受到資安系統監控的網路設備上部署Quietexit後門程式，而在部分攻擊行動裡，他們也在受害組織的DMZ網路伺服器上，植入了名為reGeorg的Web Shell，來建立SOCKS隧道，可能暗中埋伏在受害組織超過18個月。

值得留意的是，這些駭客也利用Quietexit後門程式，針對曝露於網際網路的網路視訊設備下手，包含D-Link視訊監控鏡頭、LifeSize視訊會議系統來下手，疑似透過預設的管理者帳密入侵設備，來將這些設備納入殭屍網路。

中國駭客Moshen Dragon操弄防毒軟體元件，利用DLL側載的方式執行後門程式

駭客為了避免攻擊行動被發現，往往會透過關閉防毒軟體，或是將惡意軟體加入白名單等方式來進行，但最近有駭客竟是運用防毒軟體來側載惡意程式。資安業者SentinelOne指出，他們發現中國駭客Moshen Dragon在鎖定中亞電信業者的間諜攻擊行動裡，會濫用防毒軟體的部分元件，如Symantec SNAC、TrendMicro Platinum Watch Dog、Bitdefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher等，以DLL搜尋順序挾持（DLL Search Order Hijacking）的方式，來側載惡意程式PlugX與ShadowPad。

在受害電腦站穩腳跟後，駭客就會進一步濫用網路流量監聽工具Impacket進行橫向移動，最終在受害組織植入後門程式竊密。研究人員認為，駭客挾持防毒軟體的做法，主要還是與Windows作業系統維持DLL呼叫的相容性有關，而能讓攻擊者運用DLL搜尋順序挾持的手法對防毒軟體下手。

中國駭客Naikon攻擊南亞軍事單位，植入滲透測試工具Viper

資安業者Cluster25揭露中國駭客組織Naikon的網路間諜攻擊行動，目標疑似鎖定南亞國家的政府機構。這些駭客藉由釣魚郵件發動攻擊，並以網頁應用程式防火牆WAF設備的招標文件當作誘餌，一旦對方開啟這份文件，電腦就會被植入滲透測試框架Viper，駭客也在C2伺服器上部署資產探索工具Asset Reconnaissance Lighthouse（ARL）進行監控。研究人員指出，根據Naikon的武器庫分析結果，該組織長期暗中進行間諜行動，為了避免被受害者發現，也不時調整其攻擊的策略、技術、程序（TTP）。

勒索軟體Magniber以Windows 10更新名義散布

雖然微軟推出了Windows 11，但仍有不少使用Windows 10的用戶，也成為駭客鎖定的對象。資安新聞網站Bleeping Computer指出，他們討論區的用戶疑似遭到勒索軟體Magniber攻擊，而駭客散布的手法，是假借Windows 10系統更新檔案的名義散布，檔案名稱如Win10.0_System_Upgrade_Software.msi、System.Upgrade.Win10.0-KB47287134.msi等，使用者很可能因為有系統升級、臭蟲知識庫編號（KB）而不疑有他。

這波勒索軟體攻擊行動很可能自4月8日開始出現，鎖定一般個人用戶或是學生，駭客向多數電腦遭到加密的受害者索討2.500美元或0.068個比特幣。

【漏洞與修補】

Google修補Chrome逾30個漏洞，當中7個存在重大風險

Google於4月26日發布新的Chrome電腦版101.0.4951.41，當中總共修補超過30漏洞，其中總共有7項屬重大漏洞。這些重大漏洞有5項與記憶體釋放後的濫用（UAF）有關，存在於Vulkan圖形API、Swiftshader 3D渲染器、ANGLE圖形引擎抽象層、Device API，以及Sharing元件，當中又以存在於Vulkan的漏洞CVE-2022-1477最為嚴重，研究人員獲頒1萬美元獎金。其餘2項重大漏洞分別與WebGL實作不當、WebGPU記憶體堆疊緩衝溢位有關。該公司建議用戶安裝新版Chrome來緩解上述漏洞。

微軟修補Azure PostgreSQL租戶隔離漏洞

雲端資料庫的漏洞，很有可能讓駭客能用於存取其他租戶的資料庫內容。資安業者Wiz Research發現在微軟Azure Database for PostgreSQL的服務裡，存在名為ExtraReplica的漏洞，這項漏洞包含兩項缺陷，其中之一是微軟為強化PostgreSQL Flexible Server功能所做的修改，而能被攻擊者用於提升權限，另一項則是允許攻擊者使用正向表達式，發布含有萬用符號結尾的憑證，而運用於跨租戶攻擊的弱點。攻擊者一旦串連上述漏洞，就有可能藉讚此取得其他Azure PostgreSQL Flexible Server用戶資料庫的讀取權限，微軟獲報後已於4月28日完成修補。

【資安防禦措施】

OpenSSF推出能檢測惡意NPM與PyPI套件的工具

惡意NPM套件的攻擊事故近期已有數起，有鑑於這種現象，研究人員開發了相關的分析工具。開源安全基金會（OpenSSF）於4月28日，公布了軟體套件分析（Package Analysis）專案的系統原型，研究人員藉此系統來解析開源市集NPM、PyPI裡的惡意套件，經過一個月測試，他們找到超過200個惡意套件。研究人員指出，目前該系統所識別出的惡意套件，多數與程式碼的混淆與偽造網址有關，有些僅有簡單的程式碼，很有可能是資安人員為了漏洞懸賞而上架的概念性驗證程式（PoC）。OpenSSF呼籲社群要協助強化此系統的能力，以便此專案能早日實際應用於開發社群，以便更快找到有問題的開發套件。