【資安日報】2022年5月5日, 研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞

在烏克蘭戰爭中，許多的DDoS攻擊都是針對俄羅斯或烏克蘭政府機關而來，但在攻擊的手法上，從先前傳出利用瀏覽網站用戶的電腦，最近傳出烏克蘭的IT軍隊疑似利用雲端服務來出手，他們藉由Docker映像檔，讓建置Docker雲端服務的組織來發動DDoS攻擊。

而在今日的新聞裡，北韓駭客的攻擊行動也有2起，一則是針對駭客組織Lazarus運用的多種勒索軟體進行調查的結果，第二則是駭客組織DarkSeoul針對美國企業的攻擊行動。值得留意的是，後者入侵受害組織的管道，就是存在Log4Shell漏洞的VMware遠距工作平臺。

最近幾年，研究人員揭露了Intel、AMD、Arm處理器的推測執行漏洞，而自去年出現的Apple Silicon處理器，現在有研究人員發現類似的弱點Augury，而可能導致相關資料還沒傳送到處理器核心與執行緒就被洩露。

【攻擊與威脅】

CrowdStrike的Docker蜜罐發現兩個可能引發阻斷服務的映像檔，疑似鎖定俄羅斯、白俄羅斯政府機關

烏克蘭戰爭開打至今，雙方的網路攻擊行動也不斷出現，但最近駭客的攻擊手法發生了變化。資安業者CrowdStrike近日指出，他們在2月27日至3月1日之間，看到疑似是烏克蘭政府發起的IT軍隊（UIA），利用曝露於網路的Docker引擎API，向俄羅斯與白俄羅斯24個政府機關、新聞網站，發動分散式阻斷服務（DDoS）攻擊。

這些駭客了上傳兩個Docker映像檔到Docker Hub，若有人去下載、部署這些映像檔，可能會啟動相關的攻擊，上述兩個檔案目前已被下載超過15萬次。

北韓駭客Lazarus利用多種勒索軟體發動攻擊

因攻擊銀行而惡名昭彰的北韓駭客組織Lazarus（亦稱APT38、Hidden Cobra），有研究人員發現，這些駭客最近2年疑似也透過勒索軟體來牟利。資安業者Trellix指出，他們發現Lazarus的成員運用勒索軟體VHD的跡象，進一步分析與比對後，發現該組織還有利用Beaf、PXJ、ZZZZ、ChiChi等多款勒索軟體，這些勒索軟體共用部分程式碼，其中又以Beaf和ZZZZ的相似程度最高。

這些駭客鎖定的目標，很可能是亞太地區的實體，不過，研究人員提及，其中發生在2020年的一起攻擊行動中，駭客只收到2.2個比特幣（時價約2萬美元），獲利並不高，研究人員認為，上述的勒索軟體攻擊事故，很可能是大型攻擊行動的一部分。

北韓駭客DarkSeoul利用Log4Shell漏洞入侵VMware遠距工作平臺

國家級駭客運用Log4Shell漏洞發動攻擊的情況，已有數起，且有不少是針對VMware遠距工作平臺而來。資安業者賽門鐵克於今年2月發現，北韓駭客DarkSeoul（亦稱Stonefly、BlackMine）攻擊美國工程公司，該公司與美國國防與能源領域具有合作關係。而駭客入侵該公司的管道，就是針對該公司的遠距工作平臺VMware View（舊版的VMware Horizon）伺服器下手，利用Log4Shell漏洞入侵。

在成功進入受害組織後，駭客部署後門程式Preft（亦稱Dtrack、Valefor），並利用Mimikatz收集帳密，之後於該公司內部網路進行橫向移動，進行竊密的工作。研究人員指出，這些駭客透過寄生攻擊（LoL）的手法，大量採用開源工具WinSCP、3proxy 等，並專注於竊取機密資訊的工作。他們呼籲組織應儘速修補相關系統的Log4Shell漏洞。

網路圖書館應用程式Onleihe供應商遭到勒索軟體LockBit攻擊

歐洲國家的圖書館資料走向數位化，而能透過線上系統存取，但相關資料也成為攻擊者下手的目標。根據資安新聞網站的報導，圖書借閱應用程式Onleihe的服務供應商EKZ，於4月18日遭到網路攻擊，導致Onleihe部分系統無法運作，該公司直到約28日恢復了大部分的系統，但與設備販售相關的網站服務仍未恢復運作。

而在EKZ宣布復原大部分系統的運作後，同日勒索軟體LockBit宣稱此起攻擊事件是他們所為，並公布全部他們竊得的資料。但這些資料公布後究竟會帶來那些影響？有待後續觀察。

駭客以無聊猿的名義向圖像創作者散布惡意軟體

非同質化代幣（NFT）的創作當紅，駭客也看上這波熱潮，以徵求NFT作品所需的圖像為由，向創作者發動攻擊。資安業者Malwarebytes指出，近期有人鎖定DeviantArt、Pixiv等圖像作品分享網站的用戶，發送釣魚郵件，他們宣稱是NFT專案Cyberpunk Ape Executives，尋求與平面圖像的創作者合作，一旦對方被錄取，每天將會有200至350美元的報酬。

一旦收信人照作，就會從檔案共享網站Mega下載RAR壓縮檔，內含了許多GIF圖檔，但其中混入了可執行檔，一旦收信人不慎當作圖片開啟，電腦就有可能被植入竊密程式。對此Cyberpunk Ape Executives也提出警告，他們沒有相關的合作計畫，呼籲收到相關郵件的人不要回覆，也不要點選信件裡的連結。

西班牙總理、國防部長手機感染間諜軟體Pegasus

又有歐洲國家透露高層遭到間諜軟體Pegasus監控，但外界認為公布相關消息可能別有用意。西班牙政府於5月2日指出，該國總理Pedro Sanchez、國防部長Margarita Robles，兩人的手機先後於2021年5月、6月，感染了Pegasus間諜程式。

但外界認為，西班牙公布此事的動機並不單純，原因是加拿大公民實驗室於今年4月指出，63隻加泰羅尼亞人士的手機遭到Pegasus監控，這些手機的所有者包含該國總統、立法委員、公民組織成員等，背後疑似是西班牙所為，這次西班牙公布總理和國防部長遭到監控的事件，很有可能是要淡化針對加泰羅尼亞的攻擊行動。

【漏洞與修補】

蘋果Apple Silicon處理器存在Augury漏洞，恐洩露準備要執行的命令

蘋果自行設計的Apple Silicon處理器晶片中，可能也存在類似推測執行（Speculative Execution）的漏洞。美國伊利諾大學香檳分校（UIUC）、華盛頓大學（UW），以及以色列特拉維夫大學的數名研究員聯手，在蘋果的A14、M1、M1 Max處理器上發現名為Augury的漏洞，這項漏洞與該廠牌處理器所採用的記憶體資料預先讀取機制（Data Memory-Dependent Prefetcher，DMP）有關，一旦攻擊者利用這項漏洞，就有可能洩露處理器核心或指令集尚未讀取的資料。再者，該漏洞也會讓這些蘋果處理器對於Spectre漏洞的防禦措施失效。

研究人員指出，雖然這個漏洞目前尚未遭到利用，但此漏洞可能會被攻擊者用於破壞作業系統，使得記憶體使用位址空間隨機載入（ASLR）的機制失效。研究人員已經通報相關分析結果，不過目前蘋果沒有進一步回應。