【資安日報】2022年6月8日，駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重大漏洞對烏克蘭下手

在有許多企業導入虛擬化平臺的情況下，有越來越多勒索軟體駭客最近幾年也相繼開發針對VMware ESXi的勒索軟體。而傳聞可能是俄羅斯駭客組織Conti改名的Black Basta，在4月開始活動之後，現在也開始攻擊上述的虛擬化平臺。

微軟Office的MSDT零時差漏洞CVE-2022-30190自揭露至今，已傳出數起攻擊行動。而這樣的漏洞也出現在針對烏克蘭政府的攻擊行動，使得烏克蘭電腦緊急應變小組（CERT-UA）提出警告，並公布入侵指標（IoC）。

駭客運用Office檔案發動攻擊不時有事故傳出，其中有許多是利用惡意巨集下載作案工具，而使得資安系統難以從Office檔案發現攻擊徵兆。但最近有駭客使用過往相當罕見的手法，將惡意程式藏匿在檔案屬性資料當中。

【攻擊與威脅】

駭客組織Black Basta發展Linux版勒索軟體，鎖定VMware ESXi而來

勒索軟體駭客組織鎖定企業的VMware虛擬化平臺發動攻擊，紛紛開發Linux版的勒索軟體，最近又有駭客組織投入這塊領域。根據資安新聞網站Bleeping Computer的報導，甫於今年4月開始行動的勒索軟體駭客組織Black Basta，最近針對VMWare ESXi伺服器製作新的勒索軟體，該勒索軟體執行後會搜尋受害伺服器的/vmfs/volumes檔案資料夾，使用ChaCha20演算法加密虛擬機器（VM）的相關檔案，並使用多個處理器加速作案的過程，最後在加密完成後留下勒索訊息。研究人員指出，這應該是該駭客組織首度針對虛擬化平臺而來的攻擊行動。

有人利用微軟Office的MSHTML、MSDT重大漏洞，在烏克蘭散布Cobalt Strike

微軟的MSDT零時差漏洞CVE-2022-30190，也被駭客用於攻擊烏克蘭政府機關。烏克蘭電腦緊急應變小組（CERT-UA）於6月2日發出資安通告，指出他們發現有人以調整薪資的名義，發送挾帶Word檔案的釣魚郵件，一旦收信人開啟附件，電腦就會執行JavaScript指令碼，進而利用MSHTML漏洞CVE-2021-40444，以及近期被揭露的MSDT零時差漏洞CVE-2022-30190，下載滲透測試工具Cobalt Strike的Beacon到受害電腦。烏克蘭電腦緊急應變小組公布了入侵指標（IoC），供相關單位加以防範。

MSDT零時差漏洞再度遭到利用，TA570用於散布惡意軟體QBot

與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，自5月底揭露以來已有數起攻擊事故，如今這個漏洞也被用於傳送惡名昭彰的QBot。資安業者Proofpoint於6月8日指出，他們看到駭客組織TA570正在利用上述漏洞，投放惡意軟體QBot。

這些駭客挾持含有HTML附件的郵件訊息，收信人一旦開啟附件，電腦就會下載ZIP壓縮檔，其內容是IMG光碟映像檔，當中包含了Word檔案、LNK捷徑檔案，以及DLL程式庫。LNK檔案的作用是執行DLL程式庫，來啟動QBot，而Word檔案一旦被開啟，將會載入HTML檔案，進而執行PowerShell並利用CVE-2022-30190，下載QBot到受害電腦。資安新聞網站Bleeping Computer認為，駭客同時運用兩種執行QBot的方法，很有可能是正在挑選效果較佳的做法。

攻擊者透過Office檔案屬性投放惡意軟體SVCReady，進一步在受害電腦部署竊密程式RedLine

攻擊者透過Office檔案挾帶惡意軟體時有所聞，但最近出現了新的手法引起研究人員關注。HP的威脅情報團隊揭露近期的惡意軟體SVCReady攻擊行動，駭客組織TA551（亦稱Hive0106、Shathak）疑似從4月22日開始，發動釣魚郵件攻擊，挾帶含有惡意巨集的Word檔案，在受害電腦投放惡意程式SVCReady。

但這起攻擊行動相當不同的是，駭客將載入惡意程式的管道，埋藏在Word檔案的屬性裡面，VBA巨集被觸發後，會重組上述檔案屬性的字串執行Shell Code，接著於受害電腦投放並執行SVCReady，不久後攻擊者又將該惡意軟體刪除。在上述的過程中，駭客不需要透過PowerShell或是MSHTA等內建工具，從遠端伺服器下載作案工具。研究人員在其中1臺受害電腦裡，看到駭客植入了竊密程式RedLine進行第二階段的攻擊行動。

【漏洞與修補】

中國紫光展銳晶片存在重大漏洞，全球一成手機用戶曝險

受到許多廉價手機採用的中國紫光展銳（Unisoc），其手機晶片存在漏洞而引起資安人員注意。資安業者Check Point指出，他們透過搭載紫光展銳晶片的Motorola手機進行研究，結果發現重大漏洞CVE-2022-20210，CVSS風險評分達到9.4分，一旦攻擊者利用這項漏洞，很可能可以造成手機的LTE網路無法使用，甚至可以發動遠端執行程式碼攻擊。這項漏洞通報後紫光展銳已予以修補，Google亦打算將相關修補程式碼納入6月份的例行更新。

雖然目前上述漏洞尚未出現遭到利用的跡象，但該廠牌的系統單晶片多半運用於廉價手機（該廠牌全球市占約11%，僅次於蘋果、高通、聯發科），而這些手機的廠商很可能較少推送更新程式，有可能使得相關修補進度緩慢。

【資安防禦措施】

歐盟網路安全演練本月登場，聚焦醫療領域

為提升國家關鍵基礎設施防護水準，全球各國均設法透過真實網路安全事件，舉行網路攻防實戰演練，例如，美國的CyberStorm，而臺灣也在2019年，與美國國土安全部聯手舉辦大規模網路攻防演練CODE，測試金融產業安全防護能力。今年6月初，歐盟將舉辦第6次的Cyber Europe，這項演練的主要目的，是測試歐洲關鍵基礎設施遭遇大規模網路事件時，現有的機制、程序，以及資訊流，是否足以因應危機，參與者能藉此機會，強化技術與行動上的專業知識，以及處理危機溝通的能力。為了因應COVID-19疫情導致的網路威脅加劇，Cyber Europe 2022將聚焦在醫療領域的資安應變，在6月進行為期兩天的演練。

近期資安日報

【2022年6月7日】  MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集

【2022年6月6日】  Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊

【2022年6月2日】  研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索