7月19日資安業者CrowdStrike派送EDR系統Falcon的更新出錯,導致Windows電腦用戶面臨藍色當機(BSoD)的窘境,全球不少政府機關、企業組織傳出災情,估計約有850萬臺電腦、超過67.4萬個企業組織受到影響。然而,在這樣一片混亂的情勢之下,駭客利用這樣的機會,對於想要尋求排除當機方法的使用者發動攻擊。
隔日CrowdStrike的威脅情報團隊發出警告,他們發現當天事故發生同時,有人假借提供這起事故的解決方法為由,散布名為crowdstrike-hotfix.zip的壓縮檔案,內容含有惡意程式載入工具HijackLoader的有效酬載,一旦使用者依照指示執行,電腦就會載入惡意程式RemCos。
研究人員根據對方使用西班牙語命名檔案、編寫相關操作步驟的文件,認為這波攻擊行動很有可能是針對拉丁美洲(LATAM)的用戶而來。
對於察覺這起事故的緣由,是研究人員發現有墨西哥人士在惡意軟體掃描服務上傳前述的ZIP壓縮檔案,內含西班牙話的說明文件,聲稱使用壓縮檔內含的公用程式,能夠將電腦復原到CrowdStrike Falcon更新導致當機之前的狀態。
這份說明文件提及,使用者執行Setup.exe,將會在電腦安裝思科的VPN連線軟體AnyConnect,使用者只要一直點選下一步,而對於安裝連線軟體的程式資料夾位置,建議使用預設組態。
上述步驟若是完成,使用者只要等待端點代理程式同步,從而緩解CrowdStrike更新造成的異常情形。
然而實際上,一旦使用者依照這些步驟操作,Setup.exe便會使用DLL搜尋順序攻擊,從名為madBasic_.bpl的檔案裡,載入HijackLoader第一階段酬載,並讀取組態檔案maidenhair.cfg,以便最終載入及執行最終的RemCos惡意酬載,然後向C2伺服器進行通訊。
值得留意的是,駭客不光利用這起資安系統更新出錯的事故散布惡意程式,CrowdStrike也發現駭客佯裝該公司客服寄送釣魚郵件、撥打詐騙電話,或是聲稱是資安研究員,表明藍色當機問題與網路攻擊有關。
此外,也有駭客趁機兜售號稱能解決當機問題的指令碼。該公司也公布約30個被用於假冒他們的網域名稱,呼籲用戶提高警覺。
熱門新聞
2024-10-05
2024-10-04
2024-10-02
2024-10-03
2024-09-29
2024-10-01
2024-10-01