每周安全速遞322|Black Basta勒索軟件利用社交工程與多階段感染流程展開攻擊
發布時間：2024-12-13
閱讀次數： 1895 次
Black Basta勒索軟件利用社交工程與多階段感染流程展開攻擊安全研究員發現Black Basta勒索軟件組織(UNC4393)通過精細化的社交工程與多階段感染流程，針對全球企業發起了一系列復雜攻擊。攻擊者通過電子郵件轟炸掩護，冒充IT支持人員在Microsoft Teams上與受害者接觸，并誘騙其安裝遠程管理工具(如QuickAssist、AnyDesk)。攻擊者還利用二維碼技術繞過多因素認證(MFA)，盜取受害者憑證后實施遠程控制。攻擊者在控制受害者操作系統后將部署Zbot和DarkGate等惡意工具進行憑證竊取、橫向移動及數據泄露，并最終投放Black Basta勒索軟件，加密關鍵數據以勒索贖金。與以往手法相比，新攻擊進一步改進了負載投放與混淆技術，隱蔽性更強。
https://hackread.com/black-basta-gang-ms-teams-email-bombing-malware/
羅馬尼亞能源供應商Electrica集團正在調查一起持續的勒索軟件攻擊羅馬尼亞電力供應商Electrica集團遭受勒索軟件攻擊，公司關鍵系統未受影響，但由于安全協議增強，客戶服務可能會暫時中斷。這些措施旨在保護運營和個人數據。Electrica已啟動內部應急程序，與網絡安全機構合作調查攻擊來源并控制其影響。能源部長確認攻擊未波及電網SCADA系統，網絡設備已隔離。此次事件可能與羅馬尼亞總統選舉因俄方干預被取消相關，情報部門報告超過85000次網絡攻擊針對選舉系統，部分網站憑證泄露至俄羅斯網絡犯罪平臺。Electrica提醒客戶警惕釣魚風險，繼續優先保障電力供應及數據安全。
https://securityaffairs.com/171832/hacking/electrica-group-ransomware-attack.html德勤回應Brain Cipher勒索組織聲稱其竊取了公司超過1TB數據的指控。該組織在暗網網站上列出了德勤英國，并威脅將在五天內公開這些數據，除非支付贖金。據德勤發言人表示，這次事件與德勤網絡外部的單一客戶系統有關，公司內部系統未受影響。Brain Cipher自2024年4月起活躍，曾攻擊印尼數據中心，引發重大服務中斷。該組織使用基于LockBit的加密軟件，并竊取受害者數據，與SenSayQ和EstateRansomware組織存在聯系。SenSayQ以針對教育和制造業的精準攻擊聞名，而EstateRansomware則以復雜的多階段感染流程和高效數據加密方式見長，均對全球多個行業構成嚴重威脅。
https://www.securityweek.com/deloitte-responds-after-ransomware-groups-claims-data-theft/
Check Point Research發布Akira勒索軟件Rust版本分析報告Check Point Research深入分析了2024年初傳播的Akira勒索軟件Rust版本的構造及控制流，重點研究其針對ESXi服務器的獨特功能。報告揭示了Rust語言慣用語法、模板代碼及編譯器優化如何共同作用，形成復雜的匯編結構。Akira v2是Akira勒索軟件即服務(RaaS)平臺的新變種，采用Rust語言開發，支持跨平臺功能，特別針對ESXi服務器。Rust程序以難以逆向分析而聞名。分析顯示，該惡意軟件以多線程方式執行加密邏輯，核心控制流包括Main、default_action、lock及lock_closure等函數。Main函數負責解析命令行參數，default_action確定目標行為及文件，lock啟動線程執行加密，最終由lock_closure完成實際加密邏輯。研究還詳細分析了Rust標準庫在內存中處理命令行參數的方式，揭示了程序通過跨平臺抽象層（PAL）調用C語言FFI獲取參數并將其轉換為內存中的動態數組。
參考鏈接：
https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/
克羅地亞最大的干貨港口特許經營商——里耶卡港（Luka Rijeka d.d.）近日遭到8Base勒索軟件組織的攻擊。攻擊者聲稱竊取了包括發票、收據、會計文件、個人數據、合同和保密協議在內的大量敏感信息，并在其Tor泄密網站上公布了部分詳情。8Base勒索軟件組織要求在2024年12月10日前支付贖金，但里耶卡港首席執行官杜什科·格拉博瓦茨（Du?ko Grabovac）向當地媒體表示，此次事件并未影響港口運營，公司也明確表示不會向攻擊者支付贖金。此次網絡攻擊突顯了港口作為關鍵基礎設施在網絡安全方面的脆弱性，同時也表明勒索軟件團伙對基礎設施和經濟服務機構的攻擊日益猖獗，且威脅范圍不僅限于運營中斷，還涉及大量敏感數據泄露。
參考鏈接：
https://securityaffairs.com/171779/cyber-crime/8base-ransomware-croatias-port-of-rijeka.html
由荷蘭公共與私營部門合作推動的反勒索軟件計劃“Melissa項目”在全球范圍內有效削弱了勒索軟件威脅。根據萊頓大學的評估，該項目協助執行了包括Genesis Market黑市的取締和LockBit勒索軟件基礎設施的查封等行動?！癕elissa項目”由荷蘭網絡安全中心和Cybersafe Netherlands聯合安全企業于2023年啟動，旨在通過信息共享推動犯罪中斷與起訴。項目還幫助獲取了超過150個Deadbolt勒索軟件的解密密鑰。評估報告指出，該項目的成功在于其“清晰的目標與有限的范圍”。項目成員每六周定期會議討論黑客策略，有效拉近了網絡安全機構與私營企業間的合作。參與公司包括荷蘭ESET和德勤。盡管項目取得重大成就，但其法律框架對數據共享的限制被視為信息交流的潛在障礙。報告建議在保持勒索軟件聚焦的前提下，吸納更多網絡安全專家參與研究，以增強項目的效能。
參考鏈接：
https://www.govinfosecurity.com/dutch-counter-ransomware-initiative-led-to-global-takedowns-a-26994Termite勒索軟件襲擊供應鏈平臺Blue Yonder供應鏈管理平臺Blue Yonder及其客戶近日遭遇了由新型勒索軟件“Termite”發起的攻擊。研究顯示，“Termite”是臭名昭著的Babuk勒索軟件的重命名版本。Cyble研究與情報實驗室（CRIL）分析了Termite的樣本，并指出該勒索軟件已經在其泄露網站上列出七個受害者。技術分析表明，Termite在運行后調用SetProcessShutdownParameters(0, 0) API，以確保其進程在系統關機時最晚被終止，從而獲得足夠的時間完成加密操作。隨后，它利用OpenSCManagerA() API連接至服務控制管理器數據庫，獲取對系統服務的控制權，并終止特定服務以避免加密過程被中斷。這些服務包括veeam、vmms和memtas等。Termite的攻擊活動再次警示企業強化網絡安全防護措施，特別是在服務管理與供應鏈平臺方面。
https://cyble.com/blog/technical-look-at-termite-ransomware-blue-yonder/
浙公網安備 33010502006954號 
