每周安全速遞322|Black Basta勒索軟件利用社交工程與多階段感染流程展開(kāi)攻擊
發(fā)布時(shí)間：2024-12-13
閱讀次數(shù)： 1288 次
Black Basta勒索軟件利用社交工程與多階段感染流程展開(kāi)攻擊安全研究員發(fā)現(xiàn)Black Basta勒索軟件組織(UNC4393)通過(guò)精細(xì)化的社交工程與多階段感染流程，針對(duì)全球企業(yè)發(fā)起了一系列復(fù)雜攻擊。攻擊者通過(guò)電子郵件轟炸掩護(hù)，冒充IT支持人員在Microsoft Teams上與受害者接觸，并誘騙其安裝遠(yuǎn)程管理工具(如QuickAssist、AnyDesk)。攻擊者還利用二維碼技術(shù)繞過(guò)多因素認(rèn)證(MFA)，盜取受害者憑證后實(shí)施遠(yuǎn)程控制。攻擊者在控制受害者操作系統(tǒng)后將部署Zbot和DarkGate等惡意工具進(jìn)行憑證竊取、橫向移動(dòng)及數(shù)據(jù)泄露，并最終投放Black Basta勒索軟件，加密關(guān)鍵數(shù)據(jù)以勒索贖金。與以往手法相比，新攻擊進(jìn)一步改進(jìn)了負(fù)載投放與混淆技術(shù)，隱蔽性更強(qiáng)。
https://hackread.com/black-basta-gang-ms-teams-email-bombing-malware/
羅馬尼亞能源供應(yīng)商Electrica集團(tuán)正在調(diào)查一起持續(xù)的勒索軟件攻擊羅馬尼亞電力供應(yīng)商Electrica集團(tuán)遭受勒索軟件攻擊，公司關(guān)鍵系統(tǒng)未受影響，但由于安全協(xié)議增強(qiáng)，客戶服務(wù)可能會(huì)暫時(shí)中斷。這些措施旨在保護(hù)運(yùn)營(yíng)和個(gè)人數(shù)據(jù)。Electrica已啟動(dòng)內(nèi)部應(yīng)急程序，與網(wǎng)絡(luò)安全機(jī)構(gòu)合作調(diào)查攻擊來(lái)源并控制其影響。能源部長(zhǎng)確認(rèn)攻擊未波及電網(wǎng)SCADA系統(tǒng)，網(wǎng)絡(luò)設(shè)備已隔離。此次事件可能與羅馬尼亞總統(tǒng)選舉因俄方干預(yù)被取消相關(guān)，情報(bào)部門報(bào)告超過(guò)85000次網(wǎng)絡(luò)攻擊針對(duì)選舉系統(tǒng)，部分網(wǎng)站憑證泄露至俄羅斯網(wǎng)絡(luò)犯罪平臺(tái)。Electrica提醒客戶警惕釣魚(yú)風(fēng)險(xiǎn)，繼續(xù)優(yōu)先保障電力供應(yīng)及數(shù)據(jù)安全。
https://securityaffairs.com/171832/hacking/electrica-group-ransomware-attack.html德勤回應(yīng)Brain Cipher勒索組織的攻擊德勤回應(yīng)Brain Cipher勒索組織聲稱其竊取了公司超過(guò)1TB數(shù)據(jù)的指控。該組織在暗網(wǎng)網(wǎng)站上列出了德勤英國(guó)，并威脅將在五天內(nèi)公開(kāi)這些數(shù)據(jù)，除非支付贖金。據(jù)德勤發(fā)言人表示，這次事件與德勤網(wǎng)絡(luò)外部的單一客戶系統(tǒng)有關(guān)，公司內(nèi)部系統(tǒng)未受影響。Brain Cipher自2024年4月起活躍，曾攻擊印尼數(shù)據(jù)中心，引發(fā)重大服務(wù)中斷。該組織使用基于LockBit的加密軟件，并竊取受害者數(shù)據(jù)，與SenSayQ和EstateRansomware組織存在聯(lián)系。SenSayQ以針對(duì)教育和制造業(yè)的精準(zhǔn)攻擊聞名，而EstateRansomware則以復(fù)雜的多階段感染流程和高效數(shù)據(jù)加密方式見(jiàn)長(zhǎng)，均對(duì)全球多個(gè)行業(yè)構(gòu)成嚴(yán)重威脅。
https://www.securityweek.com/deloitte-responds-after-ransomware-groups-claims-data-theft/
Check Point Research發(fā)布Akira勒索軟件Rust版本分析報(bào)告Check Point Research深入分析了2024年初傳播的Akira勒索軟件Rust版本的構(gòu)造及控制流，重點(diǎn)研究其針對(duì)ESXi服務(wù)器的獨(dú)特功能。報(bào)告揭示了Rust語(yǔ)言慣用語(yǔ)法、模板代碼及編譯器優(yōu)化如何共同作用，形成復(fù)雜的匯編結(jié)構(gòu)。Akira v2是Akira勒索軟件即服務(wù)(RaaS)平臺(tái)的新變種，采用Rust語(yǔ)言開(kāi)發(fā)，支持跨平臺(tái)功能，特別針對(duì)ESXi服務(wù)器。Rust程序以難以逆向分析而聞名。分析顯示，該惡意軟件以多線程方式執(zhí)行加密邏輯，核心控制流包括Main、default_action、lock及l(fā)ock_closure等函數(shù)。Main函數(shù)負(fù)責(zé)解析命令行參數(shù)，default_action確定目標(biāo)行為及文件，lock啟動(dòng)線程執(zhí)行加密，最終由lock_closure完成實(shí)際加密邏輯。研究還詳細(xì)分析了Rust標(biāo)準(zhǔn)庫(kù)在內(nèi)存中處理命令行參數(shù)的方式，揭示了程序通過(guò)跨平臺(tái)抽象層（PAL）調(diào)用C語(yǔ)言FFI獲取參數(shù)并將其轉(zhuǎn)換為內(nèi)存中的動(dòng)態(tài)數(shù)組。
參考鏈接：
https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/
克羅地亞最大的干貨港口特許經(jīng)營(yíng)商——里耶卡港（Luka Rijeka d.d.）近日遭到8Base勒索軟件組織的攻擊。攻擊者聲稱竊取了包括發(fā)票、收據(jù)、會(huì)計(jì)文件、個(gè)人數(shù)據(jù)、合同和保密協(xié)議在內(nèi)的大量敏感信息，并在其Tor泄密網(wǎng)站上公布了部分詳情。8Base勒索軟件組織要求在2024年12月10日前支付贖金，但里耶卡港首席執(zhí)行官杜什科·格拉博瓦茨（Du?ko Grabovac）向當(dāng)?shù)孛襟w表示，此次事件并未影響港口運(yùn)營(yíng)，公司也明確表示不會(huì)向攻擊者支付贖金。此次網(wǎng)絡(luò)攻擊突顯了港口作為關(guān)鍵基礎(chǔ)設(shè)施在網(wǎng)絡(luò)安全方面的脆弱性，同時(shí)也表明勒索軟件團(tuán)伙對(duì)基礎(chǔ)設(shè)施和經(jīng)濟(jì)服務(wù)機(jī)構(gòu)的攻擊日益猖獗，且威脅范圍不僅限于運(yùn)營(yíng)中斷，還涉及大量敏感數(shù)據(jù)泄露。
參考鏈接：
https://securityaffairs.com/171779/cyber-crime/8base-ransomware-croatias-port-of-rijeka.html
荷蘭反勒索軟件行動(dòng)引領(lǐng)全球打擊勒索軟件由荷蘭公共與私營(yíng)部門合作推動(dòng)的反勒索軟件計(jì)劃“Melissa項(xiàng)目”在全球范圍內(nèi)有效削弱了勒索軟件威脅。根據(jù)萊頓大學(xué)的評(píng)估，該項(xiàng)目協(xié)助執(zhí)行了包括Genesis Market黑市的取締和LockBit勒索軟件基礎(chǔ)設(shè)施的查封等行動(dòng)。“Melissa項(xiàng)目”由荷蘭網(wǎng)絡(luò)安全中心和Cybersafe Netherlands聯(lián)合安全企業(yè)于2023年啟動(dòng)，旨在通過(guò)信息共享推動(dòng)犯罪中斷與起訴。項(xiàng)目還幫助獲取了超過(guò)150個(gè)Deadbolt勒索軟件的解密密鑰。評(píng)估報(bào)告指出，該項(xiàng)目的成功在于其“清晰的目標(biāo)與有限的范圍”。項(xiàng)目成員每六周定期會(huì)議討論黑客策略，有效拉近了網(wǎng)絡(luò)安全機(jī)構(gòu)與私營(yíng)企業(yè)間的合作。參與公司包括荷蘭ESET和德勤。盡管項(xiàng)目取得重大成就，但其法律框架對(duì)數(shù)據(jù)共享的限制被視為信息交流的潛在障礙。報(bào)告建議在保持勒索軟件聚焦的前提下，吸納更多網(wǎng)絡(luò)安全專家參與研究，以增強(qiáng)項(xiàng)目的效能。
參考鏈接：
https://www.govinfosecurity.com/dutch-counter-ransomware-initiative-led-to-global-takedowns-a-26994Termite勒索軟件襲擊供應(yīng)鏈平臺(tái)Blue Yonder供應(yīng)鏈管理平臺(tái)Blue Yonder及其客戶近日遭遇了由新型勒索軟件“Termite”發(fā)起的攻擊。研究顯示，“Termite”是臭名昭著的Babuk勒索軟件的重命名版本。Cyble研究與情報(bào)實(shí)驗(yàn)室（CRIL）分析了Termite的樣本，并指出該勒索軟件已經(jīng)在其泄露網(wǎng)站上列出七個(gè)受害者。技術(shù)分析表明，Termite在運(yùn)行后調(diào)用SetProcessShutdownParameters(0, 0) API，以確保其進(jìn)程在系統(tǒng)關(guān)機(jī)時(shí)最晚被終止，從而獲得足夠的時(shí)間完成加密操作。隨后，它利用OpenSCManagerA() API連接至服務(wù)控制管理器數(shù)據(jù)庫(kù)，獲取對(duì)系統(tǒng)服務(wù)的控制權(quán)，并終止特定服務(wù)以避免加密過(guò)程被中斷。這些服務(wù)包括veeam、vmms和memtas等。Termite的攻擊活動(dòng)再次警示企業(yè)強(qiáng)化網(wǎng)絡(luò)安全防護(hù)措施，特別是在服務(wù)管理與供應(yīng)鏈平臺(tái)方面。
https://cyble.com/blog/technical-look-at-termite-ransomware-blue-yonder/
官方訂閱號(hào)
官方服務(wù)號(hào)
第59號(hào)
浙公網(wǎng)安備 33010502006954號(hào) 
