針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。
半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。
【攻擊與威脅】
中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊
今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，透露相關資安事故，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。
根據趨勢科技昨天揭露的調查報告指出，名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。
究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。
勒索軟體劫持資料無處放，竟把歪腦筋動到Azure儲存桶與資料複製工具
為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。
一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，變臉（BianLian）、Rhysida等多個勒索軟體駭客組織，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。
為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。
駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom
從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月全錄企業解決方案（XBS）美國分公司受害，接著3月底駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料，8月初有一起資安事故針對美國密西根州醫療照護體系McLaren而來，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。
本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society，他們看到美國醫療產業成為他們的攻擊目標。一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。
其他攻擊與威脅
◆駭客組織TeamTNT鎖定CentOS主機植入Rootkit
◆義大利使用者遭巴西駭客鎖定，藉由釣魚郵件散布惡意程式SambaSpy
◆重機製造商Kawasaki歐洲分公司傳出遭駭，勒索軟體RansomHub聲稱竊得487 GB資料
◆營造業者採用的會計軟體遭到鎖定，駭客利用SQL Server漏洞取得管理員權限
【漏洞與修補】
GitLab揭露CVSS滿分漏洞，若不盡快修補，恐被繞過SAML身分驗證
9月17日GitLab發布社群版（CE）及企業版（EE）的17.3.3、17.2.7、17.1.8、17.0.8、16.11.10版更新，當中修補CVSS風險程度達到滿分（10分）的漏洞CVE-2024-45409，這項漏洞能用於繞過SAML身分驗證機制，存在於Ruby SAML程式庫元件Ruby-SAML，攻擊者可在未經身分驗證的情況下，利用漏洞存取已由身分驗證提供者（IdP）簽署的SAML檔案，進而偽造SAML的回應。
這項漏洞發生的原因，在於Ruby-SAML無法正確驗證SAML回應的簽章，影響1.13.0至1.16.0版，以及12.2版以下的Ruby-SAML。對此，GitLab在公告中指出，IT人員應套用上述新版，或是手動將相依元件進行更新：omniauth-saml升級為2.2.1版、ruby-saml升級為1.17.0版，就能緩解漏洞帶來的危險。
究竟這項漏洞是否遭到利用？GitLab並未說明，但他們特別提及如何檢測漏洞遭到利用，以及GitLab系統是否遭到入侵的方法，這意味著可能有駭客著手嘗試利用。
其他漏洞與修補
◆Atlassian發布9月例行更新，修補會引發阻斷服務攻擊的漏洞
【資安產業動態】
Google強化瀏覽器密碼管理功能，讓使用者能跨平臺運用Passkey
Google周四（9月19日）宣布，即日起使用者將可透過安卓作業系統與Chrome中的Google Password Manager存放通行密鑰（Passkey），並同步到不同的平臺上使用，同時也新增了PIN碼保護通行密鑰。
在此之前，使用者僅能將Passkey存放於安卓裝置內建的Google Password Manager，若要在其他裝置使用Passkey，必須透過安卓裝置掃描條碼取得相關授權。這次則是開放將Passkey存放於瀏覽器，目前相關功能已支援電腦版Chrome，ChromeOS則是在測試版階段。
近期資安日報
【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train
熱門新聞
2024-11-05
2024-11-05
2024-11-07
2024-11-02
2024-11-04
2024-11-07