【資安日報】2022年5月11日，F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使

F5於上週修補BIG-IP重大漏洞CVE-2022-1388，研究人員約在9日發現漏洞探測的攻擊行為，但現在有人竟開始利用這樣的漏洞，破壞尚未修補的BIG-IP系統。

針對從2月底進行至今的烏克蘭戰爭，美國衛星網路Ka-Sat於戰爭初期就遇害，當時外界就懷疑可能是俄羅斯所為，但沒有相關證據。直到最近，多個國家表示已經掌握相關情報，指出這起攻擊行動就是俄羅斯所為。

昨天微軟也發布了每月的例行修補（Patch Tuesday），當中引起資安人員高度關注的漏洞之一，就是已經被用於攻擊行動的CVE-2022-26925，這項漏洞存在於所有版本的Windows作業系統，用戶應儘速修補。

【攻擊與威脅】

駭客透過F5的BIG-IP重大漏洞進行破壞性攻擊，意圖清除該系統上的所有檔案

網路安全業者F5於本月初修補BIG-IP重大漏洞CVE-2022-1388，研究人員約於9日開始發現嘗試利用漏洞的攻擊行為，但現在有人進行更具破壞性的攻擊行動。美國系統網路安全研究院（SANS Institute）於5月10日指出，他們從密罐裡發現了針對CVE-2022-1388的攻擊行動，駭客來源的IP位址為177.54.127[.]111，但值得留意的是，駭客對於攻擊目標的BIG-IP系統下達了rm -rf /*命令，企圖刪除該系統上的所有檔案。

研究人員Kevin Beaumont也觀察到相關的攻擊行動，並指出從物聯網搜尋引擎Shodan發現到不少BIG-IP設備都停止回應，疑似和這種破壞性攻擊有關。對此，F5表示正在尋求SANS合作調查此事，並呼籲用戶儘速採取緩解措施，且不要把BIG-IP的管理介面曝露於網際網路。

美國、英國、歐盟提出證據並指控俄羅斯是衛星網路Ka-Sat攻擊事件的幕後黑手

美國衛星網路Ka-Sat於俄羅斯進軍烏克蘭當日（2月24日），就遭遇到駭客攻擊而癱瘓，美國衛星通訊業者Viasat於3月底公布調查結果，資安業者SentinelOne隨後揭露駭客所使用的惡意程式，而此事到了最近又有新的進展。美國、英國、歐盟紛紛於5月10日指控，根據他們所掌握的情報，此起網路攻擊是俄羅斯所策畫，目的是為了擾亂烏克蘭軍隊的指揮與聯繫，以利俄羅斯軍隊的武裝行動。

但這起網路攻擊同時也波及德國的風力發電，並對於其他歐洲國家造成影響，突顯俄羅斯在網路空間為所欲為，完全不考慮可能會危及其他國家的情況。對此，歐盟正考慮採取進一步的措施來防範類似的攻擊行為，亦表明會對烏克蘭提供必要的資源，來強化該國的網路韌性。

伊朗駭客鎖定德國汽車產業散布竊密程式

駭客鎖定特定產業發動釣魚攻擊，並使用極為近似的網域，而使得受害者難以識破意圖。資安業者Check Point揭露約自2021年7月開始的德國汽車產業攻擊行動，駭客的目標主要是當地的汽車經銷商與製造商，且假借購車的名義寄送釣魚郵件。駭客於郵件中挾帶ISO映像檔，一旦收信人依照指示開啟映像檔裡的HTML應用程式檔案（HTA），電腦就會顯示德文的汽車購買合約，但在此同時，HTA檔案也在背景執行VBScript程式碼，進而於受害電腦下載並執行Raccoon Stealer、AZORult，以及BitRAT等竊密軟體。

研究人員指出，他們將這起攻擊行動追蹤到14個與德國汽車產業有關的組織，而攻擊行動的高峰出現在2021年10月底、2021年11月底，以及2022年3月中旬，且在研究人員公布細節時攻擊行動仍在持續進行。根據駭客將竊密軟體上傳到伊朗網域，研究人員認為，攻擊者很可能來自伊朗。

美國林肯學院因勒索軟體攻擊被迫閉校

學校在疫情中苦撐，若是再遇到勒索軟體攻擊，很可能將是壓倒校方的最後一根稻草，讓經營者不得結束學校的運作。位於美國伊利諾州的林肯學院（Lincoln College）近日發布公告，該校在經歷了這兩年的武漢肺炎大流行，再加上去年12月的勒索軟體攻擊事故，導致校方決定於今年5月13日關閉學校，結束長達157年的運作。林肯學院指出，這起勒索軟體攻擊事故導致該校網站停擺，招生、募款相關系統亦無法運作，直到今年3月才完全復原，此時發現今年秋季招生將不如預期，將即使他們透過募款、出售資產等方式調度資金，該校財務狀況仍不見起色，迫使他們不得不做出上述的決定。

安卓木馬FluBot透過多媒體簡訊向芬蘭散布

芬蘭國家網路安全中心（NCSC-FI）於5月10日發布資安通告，指出安卓惡意程式FluBot的攻擊行動再度升溫，但有別於去年底出現的大規模攻擊行動，駭客不只使用一般的文字簡訊發動網釣攻擊（Smishing），也可能透過多媒體簡訊（MMS）來進行。攻擊者可能以語音訊息、未接來電通知等名義，引誘對方透過簡訊裡的連結下載、安裝惡意程式FluBot。雖然這起攻擊行動的主要目標是安卓手機用戶，但NCSC-FI指出，iPhone用戶若是點選簡訊的連結，將會被引導到詐騙網站。

【漏洞與修補】

微軟發布5月例行修補，修補75個漏洞，其中3個為零時差漏洞

微軟於5月10日發布例行修補（Patch Tuesday），當中總共修補了75個漏洞，當中有8個為重大漏洞，一旦攻擊者利用，有可能藉此發動RCE攻擊，或是提升權限。這些漏洞當中有3個為零時差漏洞，又以CVE-2022-26925最值得留意，因為駭客已將該漏洞用於攻擊行動。此漏洞與NT LAN Manager（NLTM）有關，CVSS風險指數為8.1分，攻擊者可在未經身分驗證的情況下，強制網域控制器以NTLM向攻擊者進行身分驗證，進行NTLM中繼攻擊（NTLM Relay Attack），所有版本的Windows用戶端、伺服器版作業系統都存在上述漏洞。

微軟特別提到，若是攻擊者透過AD憑證服務（AD CS）與此漏洞串連，CVSS風險層級將大幅提升至重大等級的9.8分。該公司亦建議組織的IT人員，參考他們去年對於PetitPotam漏洞發布的資安通告，來取得緩解NTLM中繼攻擊的相關資訊。