Security News Feed

近期，駭客組織NoName057和RipperSec因政治因素，聲稱其已對台灣多個網站發起分散式阻斷服務(Distributed Denial-of-Service, DDoS)攻擊。第一波攻擊目標以政府機關為主，隨後財稅單位、金融機關及部分企業也陸續受到影響。 分散式阻斷服務攻擊是一種常見的網路攻擊手法，攻擊者利用受控的殭屍網路裝置，對目標伺服器發起大規模流量或資源消耗攻擊，使伺服器因無法負荷而無法正常提供服務。此次，NoName057宣稱使用名為「DDoSia」的工具，透過HTTPs Flood及TCP SYN Flood等方式攻擊台灣網站。這類型的攻擊，是利用三向交握的網路連線機制，傳送偽冒來源IP的SYN封包，使伺服器回應偽造IP位址，於伺服器等待回應的期間，攻擊者仍會大量持續傳送SYN請求封包，而偽冒來源IP的封包使得伺服器無法順利收到回覆，並佔用大量伺服器連接埠，導致正常用戶無法連線。 針對此類DDoS攻擊，企業可以採取以下幾種防護措施來降低攻擊對服務的影響： 防火牆 (Firewall)：作為基本防護，防火牆能有效阻擋特定協定、Port及IP等異常流量。隨著大數據及人工智慧技術的應用，近期的防火牆較能識別異常流量，並在不影響正常流量的前提下，阻擋DDoS攻擊，或在防火牆上開啟地理IP(Geo-IP)過濾功能，設定阻擋特定國家或地區的IP地址範圍，避免不必要的跨境連線，可以有效降低潛在攻擊來源的影響。 應用程式防火牆(WAF)：WAF能監控進入網站的HTTP和HTTPS請求，通過設置特定的閾值來監測每個來源的請求頻率。當來自單一IP或多個IP的請求在短時間內異常增加並超出正常範圍時，可識別為HTTPs Flood攻擊，並採取相應措施。 入侵防禦系統 (Intrusion-Prevention Systems, IPS)：透過比對特徵碼，IPS能阻擋異常流量，針對SYN Flood及應用層DDoS攻擊進行特定防護。 交換器 (Switch)：具備速率限制與存取控制(Access Control List, ACL)功能，並能透過Traffic Shaping機制防禦低速緩慢攻擊及SYN Flood等DDoS攻擊。 路由器 (Router)：利用速率限制及存取控制等功能，啟用入口過濾(Ingress Filtering)機制，檢測並過濾偽造IP位址的攻擊流量，如SYN Flood攻擊。 網路流量清洗 (Flow Cleaning)：由服務提供商建立的流量清洗機制，能針對常見的DDoS攻擊類型，如SYN Flood、應用層DDoS攻擊及低速攻擊，提供乾淨的網路環境，保障服務不中斷。 資安業者Sekoia指出，DDoSia工具是NoName057等駭客組織發動DDoS攻擊的核心工具之一，駭客透過C2(Command and Control)伺服器發送指令給殭屍電腦，以大量的惡意流量來癱瘓目標伺服器，這些C2伺服器及殭屍電腦分佈在全球，駭客利用受控設備來進行多點攻擊。為了減少這類攻擊的影響，Sekoia整理了相關的C2伺服器IP清單，企業可將此IP加入相關資安設備，以進行偵測或阻擋來自外部的惡意流量，也能防止內部的電腦因感染惡意軟體而遭駭客操控，進而成為殭屍網路的一部分，參與對外發動攻擊。 IPv4 Date of activation (YYYY/MM/DD) Host country Autonomus System (AS) ASN 38.180.95[.]29 2024-02-23 Hong Kong M247 AS9009 38.180.101[.]98 2024-02-22 Serbia M247 AS9009 185.39.204[.]86 2024-02-22 Turkey GIR-AS AS207713 195.133.88[.]73 2024-02-21 Germany GIR-AS AS207713 185.239.48[.]70 2024-02-21 Israel IL AS42474 5.252.23[.]100 2024-02-20 Slovakia STARK-INDUSTRIES AS44477 193.17.183[.]18 2024-02-19 Spain NEARIP AS49600 193.233.193[.]65 2024-02-12 Hong Kong ADCDATACOM-AS-AP AS135330 77.75.230[.]221 2024-02-10 Czech Republic STARK-INDUSTRIES AS44477 185.234.66[.]239 2024-02-09 Turkey STARK-INDUSTRIES AS44477 83.217.9[.]33 2024-02-08 Turkey GIR-AS AS207713 83.217.9[.]48 2024-02-08 Turkey GIR-AS AS207713 193.187.175[.]252 2024-02-08 France CLOUDBACKBONE AS56971 45.84.0[.]235 2024-02-08 Moldova STARK-INDUSTRIES AS44477 45.136.199[.]235 2024-02-07 Romania M247 AS9009 185.234.66[.]126 2024-02-06 Turkey STARK-INDUSTRIES AS44477 193.233.193[.]90 2024-02-04 Hong Kong ADCDATACOM-AS-AP AS135330 45.89.55[.]4 2024-02-02 Serbia STARK-INDUSTRIES AS44477 188.116.20[.]254 2024-02-01 Kazakhstan ASNLS AS200590 77.83.246[.]159 2024-01-31 Poland GIR-AS AS207713 185.255.123[.]84 2024-01-29 Nigeria BrainStorm Network AS136258 195.35.19[.]138 2024-01-26 Brazil AS-HOSTINGER AS47583 89.105.201[.]91 2024-01-23 Netherlands NOVOSERVE-AS AS24875 5.44.42[.]29 2024-01-23 United Arab Emirates GIR-AS AS207713 193.233.193[.]240 2024-01-22 Hong Kong ADCDATACOM-AS-AP AS135330 94.131.97[.]202 2024-01-20 Czech Republic STARK-INDUSTRIES AS44477 94.140.115[.]89 2023-10-26 Latvia NANO-AS AS43513 94.140.115[.]92 2023-07-05 Latvia NANO-AS AS43513 77.75.230[.]221 2023-05-15 Czech Republic STARK-INDUSTRIES AS44477 161.35.199[.]2 2023-02-10 Germany DIGITALOCEAN-ASN AS14061 212.73.134[.]208 2023-01-27 Bulgaria NETERRA-AS AS34224 94.140.114[.]239 2023-01-10 Latvia NANO-AS AS43513  

近期Palo Alto Networks Unit 42資安研究員Yaron Avital在 GitHub Actions artifacts 發現的一種名為「ArtiPACKED」的攻擊手法 ，此攻擊可能由於Github Actions 使用不安全的設定、錯誤的設定，而導致第三方雲端服務與Github Token外洩，使攻擊者可以利用這些資訊接管整個儲存庫，甚至取得組織的雲端環境存取權限。 Github Action是Github提供的一項CI/CD服務，透過自動化的流程不僅降低錯誤率和提升維護品質，還可以同時縮短開發時間並提高效率。CI(持續整合，Continuous Integration)是指開發的程式碼送出後，會經過自動化的測試及驗證，以確保程式在正式環境上可以正常運作；CD(持續部署，Continuous Deployment)則是程式通過測試後，自動將其部署到正式環境中。以上的服務，不僅使應用程式快速更新且頻繁地發布，還能減少了手動部署過程中的錯誤。 Yaron Avital發現在Github Action的過程中，測試或執行檔案所產生Artifacts檔案，可用於在同一個工作流程中與其它的工作項目共享日誌記錄、測試結果或二進位檔案等資料。由於這些資料是公開的，並且會保留90天，這意味者攻擊者可能藉此讀取這些檔案，取得敏感資訊，其中包括 GITHUB_TOKEN及ACTIONS_RUNTIME_TOKEN，攻擊者即可進一步利用前述的Token進行攻擊活動。 在GitHub 中，經常出現兩種類型的 Token： GITHUB_TOKEN：是一個自動產生的憑證，用於在 GitHub Actions 工作流程中，執行針對儲存庫的認證操作。每次執行 GitHub Actions 工作流程時，GitHub 會自動產生一個 GITHUB_TOKEN，並將其設置為工作流程的環境變數。雖然 GITHUB_TOKEN 會在工作流程結束時過期，但由於 Artifacts 功能在版本 4 中的提升速度的攻擊，攻擊者可以利用競爭條件(race condition)的情況，在工作流程運行過程中下載 Artifacts，從而竊取並使用這些 Token。 ACTIONS_RUNTIME_TOKEN：是一個JSON Web Token (JWT)，通常由 GitHub Actions 在執行工作流程時自動產生。這個 Token 通常用於內部的工作流程管理，如 Artifacts 的上傳(actions/upload-artifact)和快取(actions/cache)，其有效期長達六小時。如果在此期間，攻擊者能夠成功取得 Token，便可能利用該 Token 來執行惡意操作。 以下二種使用方式也可能導致Token被公開，使用者需要額外注意： 使用Github基本功能時，如checkout進行clone，使用者忽略使用該功能後，GITHUB_TOKEN 將被寫入本機以便執行git命令，使用者不經意將含有Token的隱藏.git檔上傳至公開Github儲存庫。 代碼檢查器Super-linter的log file會紀錄許多細節也替工程師提供資訊且解決問題，例如log file儲存含有Token的環境參數。當CREATE_LOG_FILE屬性被設置為True時，該操作可能導致軟體暴露在危險中。目前，Super-linter已經將環境參數從log file移除。 另外，Yaron Avital 提到，許多使用者對於 Artifact 掃描的意識普遍不足，並建議應掃描檔案中是否含有敏感資訊作為防禦此類攻擊，因此也呼籲使用者在每一個環節中都應考慮潛在的威脅，因為被利用的威脅往往是那些被忽略的小細節。事實上，許多大型知名科技公司，如 Amazon Web Services（AWS）、Google、Microsoft、Red Hat 和 Ubuntu，都面臨這種隱藏的問題。GitHub 也表示，企業應自行負責管理和保護Artifacts，以有效防範潛在的安全風險。

GitHub項目問題(Issue)的評論功能遭到濫用，駭客利用該功能傳播Lumma Stealer惡意程式，使用者應留意Github上的任何檔案與連結，若有不慎遭攻擊成功，應儘速更換帳號密碼，以確保個人電腦使用安全。 此次事件最早是由一位維護Rust函式庫:teloxide的人員在Reddit論壇上提出，發現其維護的函式庫中的評論出現偽裝修復程式，實際上為惡意程式的留言內容。 下圖為駭客散播惡意程式的評論範例，顯示民眾可透過bit.ly或 mediafire 連結來下載修復程式，且在目前觀察到的評論中，密碼皆使用changeme。 圖1  駭客散播惡意程式的評論，圖片取自 BleepingComputer 若點擊圖1的連結就會下載 fix.zip ，解壓縮後為圖2的內容，將其丟入 AnyRun 惡意程式分析沙箱平台，即能識別為Lumma Stealer 惡意程式。 圖2 含有 Lumma Stealer 惡意程式的檔案，圖片取自 BleepingComputer Lumma Stealer惡意程式是一種竊取資料的惡意程式，將竊取使用者的瀏覽器裡儲存的 Cookie、憑證、信用卡、密碼、瀏覽紀錄等，並將竊取的資料傳回饋予攻擊者，而後攻擊者可以利用這些資料進行下一階段的攻擊，或將其販賣於地下市場。 資安研究人員Nicholas Sherlock指出過去 3 天觀察到超過 29,000 個評論在 Github上散播Lumma Stealer惡意程式，Github管理人員亦表示已經有檢測到這些評論並將其刪除，但在Reddit仍持續有發現民眾留言表示遭受攻擊。 上個月Check Point研究人員發出一份報告，其有關駭客組織Stargazer Goblin 利用Github上有3,000多個假帳號遭利用來散播惡意程式，雖不確定是否跟此次事件有關，但使用者須小心謹慎對待Github上的任何檔案和連結，若有使用者有遭受此攻擊，應儘速更換所有帳號的密碼，來確保個人電腦使用安全。

GiveWP是一個WordPress 網站捐贈Plugin，可以讓網站輕鬆接受來自世界各地的捐贈，近期遭揭露重大資安漏洞(CVE-2024-5932)，可以讓駭客遠端執行任意程式碼且不需要任何身分認證，並能刪除所有檔案，建議使用者應更新至3.14.2版本。 WordPress此次的漏洞是出現在GiveWP Plugin，漏洞編號為CVE-2024-5932，此漏洞在通用漏洞評分系統（CVSS）的分數為10.0（滿分），代表了漏洞的嚴重性極高。 此漏洞為PHP物件注入(PHP Object Injection)，主要在 GiveWP Plugin 的 give_title 參數上，可透過注入特殊的PHP物件來觸發反序列化，而該物件跟 Plugin 裡面現有的POP 面向屬性編程鏈結合，成為遠端程式碼執行 (RCE)，也就是攻擊者可不經身份驗證，就可完全控制受漏洞影響的WordPress網站。 序列化是指可將複雜的資料轉換後做儲存，反序列化即是將序列化後的資料轉換回原本的模樣，如底下是一個 PHP 序列化資料的範例 a:2:{s:12:”productPrice”;s:5:”11111″;s:7:”price”;i:10;} PHP 程式碼基本都是物件導向的，其中程式碼被組成「類別」，類別為包含有變數(稱為屬性)和函數(稱為方法)的模板，程式透過類別來創建物件，從而產生可重複使用和維護的程式碼，若Plugin 在沒有清理乾淨的情況下，反序列化使用者輸入的資料，則可能讓攻擊者注入惡意的內容，使其在反序列化的時候變成 PHP 物件，若反序列化出來的物件存在魔法方法 (Magic Method)時，可能會導致惡意的攻擊行為。 魔法方法(Magic Method)是類別中的特殊函數，用以定義某些事件發生時要執行的行為，如不需要物件時要如何清理、創建物件時要初始化執行的事情等。 此漏洞為資安研究員 villu164 透過Wordfence Bug漏洞賞金計畫發現並提出研究報告，鑒於此Plugin是作為捐贈和募款平台性質使用，故而攻擊可能會曝露捐贈者的敏感資料，並影響使用該Plugin組織的聲譽，建議使用者/組織應儘速更新至3.14.2版，以避免受到影響。

Infoblox和Eclypsium的研究人員發現一種網域名稱劫持攻擊，取名為「Sitting Ducks」，有超過百萬個網域易遭受此攻擊，且目前觀察到有數十個與俄羅斯相關的攻擊者正在利用此種攻擊。 Infoblox 和 Eclypsium 的研究人員發現 DNS 存在一種攻擊媒介，且有十多個與俄羅斯有關的攻擊者正在利用此種媒介進行攻擊，這是一種網域名稱劫持，研究人員給其名稱：Sitting Ducks。網域名稱系統(Domain Name System, DNS)是用以將網域名稱與IP連結，網域名稱是為了讓人更好記憶網站，但電腦裝置之間的通訊是透過IP來傳輸，因此透過DNS將網域轉為IP位址，這樣瀏覽器才能載入網站。 過去存在很多種針對DNS進行網域劫持，可讓攻擊者去執行惡意軟體傳播、網路釣魚、品牌冒充及資料外洩，而從2019年以來至今，Eclypsium 的研究人員認為超過 3 萬個網域被 Sitting Ducks 攻擊劫持，且當前有超過百萬個網域都有遭受此攻擊的風險。 Sitting Ducks攻擊的特性為易於執行攻擊且難以偵測，但可以完全被預防。Sitting Ducks攻擊是攻擊者去劫持目前已經註冊的網域，這些網域註冊在公開具權威性的DNS服務供應商或網頁主機供應商，而一旦攻擊者劫持網域，就可以假藉合法者的身分來進行任何惡意活動，如散播惡意程式、寄送釣魚信等。 由於Sitting Ducks攻擊並不需要攻擊者註冊網域名稱，故而跟常見的 DNS 劫持攻擊有根本的不同。Sitting Ducks攻擊的核心是網域名稱註冊商的錯誤配置和DNS 提供者的預防不充分所造成。 以下幾種情況可能會發生Sitting Ducks攻擊： 註冊的網域解析使用其他家DNS供應商，也就是使用DNS委派(即DNS 伺服器將部分網域解析作業委託其他DNS 伺服器執行) DNS委派異常，意即接受委派的DNS伺服器上並沒有該註冊網域資料，因此無法提供DNS查詢。 DNS服務供應商設定錯誤，攻擊者可與DNS服務供應商聲明其擁有受害者網域名稱並設定DNS紀錄，而不需證明其為網域名稱註冊處的對應有效使用者。 故而促成此攻擊的主要因素就是DNS委派上的問題，同時DNS服務供應商存在錯誤的設置。 Infoblox研究人員表示其觀察約十幾個DNS服務供應商，發現此攻擊被廣泛利用，尤其以俄羅斯相關犯罪者最為常見，每天有數百個網域被劫持。 圖1說明Sitting Ducks攻擊的常見流程，主要攻擊過程為受害者跟網域供應商Registrar A 註冊網域 brand.com ，並交由DNS 服務供應商 Auth DNS B 做解析 而一段時間後，受害者暫時不再需要使用網域 brand.com，但仍透過Registrar A 保有網域的擁有權，但這時 Auth DNS B解析服務已過期，這時攻擊者跟 DNS 服務供應商 Auth DNS B 聲稱擁有網域 brand.com 的擁有權，並設置 DNS 解析紀錄，來將該網站解析到攻擊者的惡意網站，此時攻擊者就可以假冒受害者的身分來對其他人發送釣魚郵件或散播惡意程式，這時受害者嘗試跟DNS服務供應商Auth DNS B聲稱擁有網域 brand.com的擁有權，會遭到拒絕。 圖1 : Sitting Ducks 範例攻擊流程 圖片取自：https://blogs.infoblox.com/threat-intelligence/who-knew-domain-hijacking-is-so-easy/ Sitting Ducks 攻擊是可以被預防的，透過上圖說明可知它的存在成因源自網域名稱和 DNS 紀錄管理上的缺陷，如果網域註冊商跟 DNS 服務供應商是同一家單位則不存在此問題，而如果是不同單位，只要確實做好管理就可以預防攻擊發生 過去也有這次的攻擊事件探討跟發生： 此次攻擊最早一次被提及是 2016 年由作者 Matthew Bryant 寫的文章「孤立的網路–透過 DNS 漏洞接管 12 萬個網域」 2019年時，攻擊者透過此攻擊濫用了 GoDaddy.com 的弱點發送大量的垃圾郵件 建議網域持有者可以執行以下操作： 檢查自己的網域註冊服務商跟DNS 服務供應商是否為同一個提供者，如果是的話則不會受此攻擊影響。 檢查自己的網域和子網域是否將網域名稱解析委派給已經過期或無效的服務供應商, 若是，請更新資訊以避免受此攻擊影響 諮詢自己的DNS服務供應商是否對此類攻擊已有緩解措施，如果 DNS 服務供應商已經有緩解措施則不必擔心此類攻擊。

美國網際安全暨基礎設施安全局（CISA）日前發布警告，指出由陞泰科技（Avetech Security）製造的網路攝影機存在高風險命令注入漏洞。由於該漏洞尚未修補，且已遭利用攻擊，CISA建議用戶立即採取相關防護措施，以確保系統安全。 該漏洞編號為CVE-2024-7029（CVSS 3.x分數為8.8），允許攻擊者在無需密碼或身份驗證的情況下，可以管理者身份遠端向攝影機注入並執行指令。受影響的設備包括特定韌體版本的AVM1203 IP攝影機。 陞泰科技近期針對本次漏洞發表聲明，指出AVM1230為停產近七年的產品，並表示後續將評估是否釋出修補軟體或提供替代方案。此外，該公司已對目前產品線進行全面檢測，確認目前銷售的機種已經採取相關處理措施與解決方案，確認銷售機種韌體不存在本次漏洞。 CISA指出，此漏洞由Akamai通報，並經第三方組織確認特定產品及韌體存在問題。Akamai研究人員在2024年3月就已發現針對該漏洞進行探測的紀錄，並在分析蜜罐日誌時確認本次漏洞。漏洞存在於文件 /cgi-bin/supervisor/Factory.cgi 的「亮度」功能中，利用此漏洞可使攻擊者在目標系統上遠端執行程式碼。目前，該漏洞已被用來傳播惡意軟體，該惡意軟體疑似是Mirai變種。 由於該漏洞的產品廣泛使用於全球，包括商業設施、醫療保健、金融服務和交通運輸等關鍵基礎設施領域。在廠商尚未釋出修復更新前，CISA建議用戶透過防火牆或相關防護設備限制網際網路的IP存取網路攝影機並與企業內部網路隔離，若有遠端存取的需求，僅開放VPN或特定IP來源等連線方式。

美國於2024年7月20日開始禁止資安軟體公司卡巴斯基（Kaspersky）在美國銷售網路安全產品及防毒軟體，此項禁令為美國商務部工業及安全局(Bureau of Industry and Security，BIS)於2024年6月20日宣布之裁決結果（Final Determination），主要原因為該公司產品影響美國國家安全，自2024年9月29日起，卡巴斯基也將被禁止提供相關產品更新，惟未涵蓋卡巴斯基所提供的威脅情報產品/服務、安全培訓產品/服務、顧問與諮詢服務。 卡巴斯基(Kaspersky)是一家全球知名的網絡安全公司，總部位於俄羅斯，成立於1997年。由尤金·卡巴斯基(Eugene Kaspersky)創立，該公司專注於提供全面的網路安全解決方案，包括防毒軟體、防火牆等。卡巴斯基的產品服務範圍涵蓋個人、小型企業、大型企業及政府機關，以其高效的威脅檢測和防護技術著稱。公司致力於保護用戶免受各種網路威脅，並在全球擁有廣大的客戶。 美國工業及安全局針對卡巴斯基軟體對於國家安全構成不當或不可接受的風險原則提出理由如下： 卡巴斯基受到俄羅斯政府的管轄、控制或指揮，可能導致利用卡巴斯基防毒軟體存取電子設備之敏感資訊。 卡巴斯基可透過提供網路安全和防毒軟體，對客戶資訊擁有廣泛的存取與管理權限，因此卡巴斯基的員工可能將美國客戶的資料轉移至俄羅斯。 卡巴斯基可藉由安裝產品在美國客戶設備上之名義，安裝惡意軟體或阻止關鍵更新，使美國客戶和關鍵基礎設施容易受到惡意軟體利用和威脅。 卡巴斯基的軟體產品可透過轉售，將其網路安全或防毒軟體整合到其他第三方產品，將會導致第三方交易中，因軟體原始碼未知而增加卡巴斯基軟體無意間被引入用戶的設備或網路。 此次禁令導致卡巴斯基多項產品受到影響，美國政府允許企業和用戶有一段時間可以尋找替代方案，在2024年9月29日之前仍可更新卡巴斯基的軟體服務。 值得注意的是，該禁令並未涵蓋卡巴斯基所提供的威脅情報產品/服務、安全培訓產品/服務、顧問與諮詢服務。因此，美國組織仍可與卡巴斯基進行教育性質的服務。

資安業者 Group-IB Threat Intelligence 發現了一款基於Golang的勒索軟體-Eldorado，勒索軟體專門針對大型企業進行攻擊，並且具有跨平台攻擊能力，可攻擊 VMware ESXi、Windows 和 Linux 等多種系統。Eldorado 屬於勒索軟體即服務(Ransomware-as-a-Service,RaaS)，利用先進的方式加密金鑰及目標檔案，以SMB協定進行橫向擴散，並刪除特定檔案抹除加密痕跡及避免加密檔案被還原。   隨著科技的進步，攻擊者不斷探索新的攻擊方式，勒索軟體即服務已經演變成類似於大型企業的運作模式，這些勒索軟體組織持續在暗網論壇招募新的合作夥伴，並讓不同夥伴在團隊中執行特定任務。Eldorado 的相關訊息最初出現在俄羅斯的地下勒索軟體論壇 RAMP，當企業受駭後，Eldorado會透過暗網Onion 網域的聊天平台與受駭者聯繫。截至 2024 年 6 月，全球已有 16 家公司遭到 Eldorado 攻擊，其中大部分位於美國，受影響的行業包括房地產、教育、專業服務、醫療保健和製造業等。   為了支援跨平台功能，Eldorado 使用 Golang 程式語言開發，讓其程式可在Windows與Linux的32bit及64bit系統中執行。此勒索軟體使用 Chacha20 演算法快速加密檔案，以Rivest Shamir Adleman-Optimal Asymmetric Encryption Padding(RSA-OAEP)加密金鑰，被加密的檔案其副檔名會被改為”.00000001”，並在「文件」和「桌面」的目錄中建立名為「HOW_RETURN_YOUR_DATA.TXT」的文字檔案，裡面含有攻擊者的聯絡資訊。另Eldorado會透過 SMB 協定（SMB2/3）方式加密共用網路上的文件，且在加密完檔案後，使用 PowerShell 的命令，先以隨機位元的方式覆蓋加密器(encryptor)再刪除該檔案，以抹除相關加密的痕跡，最後也在系統中刪除windows的陰影複製(shadow copy)備份資料，防止受害電腦透過此機制復原被加密的檔案。   整體而言，儘管企業的網路安全意識不斷提高，但總有新形式的網路攻擊在不斷精進和發展。Group-IB 建議採取以下防禦措施： 採多重身份驗證（Multi-factor authentication,MFA） 建置端點偵測和回應（Endpoint Detection and Response,EDR），以協助識別勒索軟體的活動跡象 定期進行資料備份 使用人工智慧進行即時偵測入侵 定期更新系統並執行安全性修補 安排教育訓練，以幫助員工識別網路攻擊(如:釣魚郵件) 每年針對系統進行技術稽核或安全性評估 永遠不要支付贖金 受到攻擊時，尋求專家協助 Group-IB 強調，企業必須在網路安全工作中保持警覺和主動，以減輕這些不斷演變的威脅所帶來的風險。

2024年7月19日資安公司CrowdStrike的Falcon Sensor更新程式出現故障，導致全球各地Windows電腦出現藍色畫面當機(BSOD)​狀況，全球企業和政府機關產生影響，包括航空公司、醫院、運輸機構及媒體公司等，許品Falcon Sensor市佔率為前幾名，因此這次更新問題導致大量Windows電腦多機構的運營受到嚴重干擾。CrowdStrike是知名的網路安全公司，其端點防護產陷入當機及系統重啟的循環，使得用戶無法正常使用電腦。 此次事件是由於Crowdstrike的Falcon平台派送有缺陷的更新所引起，導致已安裝該產品的某些版本Windows系統大範圍崩潰。許多企業反映其Windows電腦會自動重新啟動，並不斷循環地進入藍色當機畫面，其影響巨大，使全球的關鍵基礎設施營運產生嚴重衝擊，包含德國、日本、印度和美國的企業都出現類似問題。在台灣，許多公私立機關和企業也受到了影響，多家銀行、醫療機構及科技公司在事件發生後紛紛發現其系統無法正常運作，部分機構的業務運營因此中斷超過1小時。 CrowdStrike在發現問題後迅速做出了反應，發布了修補程式及解決方案。該公司表示這不是網路攻擊，問題的根源是某個Falcon Sensor更新檔案未經充分檢查所致。CrowdStrike已經刪除錯誤更新檔案並發布了修補程式，用戶可透過官方網站提供的步驟回復系統(可參考相關連結)。 此外，微軟針對此當機狀況提出2個復修方式，分別是「從WinPE復原」及「從安全模式復原」。若選擇從「從WinPE復原」，可以快速並直接復原系統，不需要系統管理者的權限，但系統已透過BitLocker或第三方軟體加密時，需先解除加密狀況才能修復受影響的系統。若選擇「從安全模式復原」，則需使用本地管理者權限的使用者登入後進行修復。需要注意的是，在復修之前需先下載已簽署的Microsoft Recovery Tool，並透過工具中的powershell檔案建立USB開機碟。 全球資訊科技研究顧問公司 Gartner 指出，企業即使在此次事件未受影響，以安全性的角度來看，仍需關注其帶來的影響，以防範未來類似事件的發生。Gartner 同時建議企業應重視資安事件的應變措施，資安事件發生時的相關處理措施如下： 立即採取行動（第一到七天）： 【事件應變與危機管理】 通知危機管理團隊，讓其參與並協助應處 通過有效的危機溝通通知所有利害關係人 驗證資訊來源以避免遭受二次網路攻擊 動員危機管理團隊以防止使用者操作失誤 指派專門的溝通團隊進行內部利害關係人的協調 讓安全運營團隊參與監控和應對新威脅 【技術修復】 讓 IT 專業人員幫助使用者解決問題 建立分類流程，以對資產進行分類並確定設備修復的優先順序 利用資產管理工具識別並列出已離線的設備 避免過度反應，例如完全停用或替換CrowdStrike 中期行動（第1到2週）： 【評估影響與安全】 與 SOC 團隊一起檢視異常情況，以降低未檢測到的攻擊風險 參與營運衝擊分析會議，一同討論潛在的安全風險 向公司中高階領導報告設備的狀況，並持續提供穩定的環境 盡量讓端點保護工具在佈署更新檔時能先行測試，減少更新失敗的狀況 可透過輪班或其它方式，以減輕員工的壓力及倦怠感 長期行動（第8 至 12 週） 【韌性和準備】 重新審視公司在發生大規模主機當機時的預防、回應和支援程序 檢查並更新停機程序，並根據需要修訂危機溝通計劃、事件反應流程及災害復原和持續營運計畫 確保關鍵員工有能力並參與測試企業系統 CrowdStrike 的停機事件強調了專注於韌性的必要性，必需建立全面性的策略目標 部署安全產品前評估其效益，選擇合適的工具以改善現有的防護機制

2024年7月8日俄羅斯資安公司 Solar 的網路威脅情資中心(4RAYS)資安人員揭露一個親烏克蘭APT 組織：Lifting Zmiy 對俄羅斯政府和私人公司進行一系列的攻擊活動。 攻擊活動追蹤時間為 2023 年 9 月至 2024 年 6 月發生的4 起攻擊事件作分析，目標為俄羅斯工控自動化公司Tekon-Avtomatika 的可程式化邏輯控制器(Programmable Logic Controller，PLC) 設備，型號為 KUN-IP8，並在設備上部署中繼站，進而以此攻擊其他目標，研究人員分析發現受害者遍及各個行業，Linux 和 Windows 系統均無法幸免。 此次威脅研究足以表明，過往大多認為營運科技(Operation Technology, OT)網路攻擊是透過入侵資訊科技(Informatiom Technology, IT)系統做為跳板，進而滲透至OT環境，而本次的攻擊則是先透過入侵OT環境後，轉攻擊IT。此次問題的原因在於PLC設備使用了預設的憑證資訊。 資安人員Jose Bertin 在2022年3月研究指出存在大量使用預設最高管理員憑證的PLC設備，而這些憑證資訊當時公開在 Tekon-Avtomatika 公司的官方網站上，儘管該公司隨後即刪除預設最高管理員憑證，但仍有不少設備並未更改，而APT組織 Lifting Zmiy 即利用這些資訊入侵PLC設備，並將其作為中繼站。此外，這些中繼站IP的供應商為 Starlink Services LLC ，其為SpaceX的一個部門，SpaceX在全世界各地提供衛星網路服務，駭客透過SpaceX的 Starlink 基礎設施來隱蔽其行蹤，且受益於動態IP，以規避物理位置的檢測分析，為駭客提供一個難以被追蹤和監控的攻擊平台。 然而，在此之前已有資安人員對OT環境安全感到憂心，BlackHat USA 2015 演講：INTERNET-FACING PLCS-A NEW BACK ORIFICE 和BlackHat Asia 2016演講：PLC-Blaster:A Worm Living Solely in the PLC共同探討透過感染 PLC 作為中繼站的展示，此次研究是歷史上首個公開研究針對攻擊 PLC 作為 中繼站跳板的攻擊，研究人員寫了一個概念性驗證程式，給其名字為：PLC-Blaster，他是研究人員為了測試而開發的概念性驗證的蠕蟲(一種惡意程式類型)。攻擊對像為西門子所開發的PLC設備，型號為 S7-1200，研究人員是透過將惡意程式寫入至PLC，使PLC作為跳板執行命令作攻擊行為。 此次研究站在防禦的角度上，過往工控資安防禦主要為對HMI和PLC之間的流量建立Baseline來偵測異常，並實施白名單管制，從Purdue Model角度來看，關注的安全防護主要是垂直的。垂直的意思是HMI和PLC之間的通訊，也就是Purdue Model裡面Level 2 和Level 1之間的網路流量，而鮮少探討水平之間的流量檢測，水平的意思就是Purdue Model裡面Level 1和Level 1之間的通訊流量，且過往白名單會去信任PLC，所以透過PLC發出的流量會無條件被信賴，此次研究則利用此問題，透過控制 PLC 作為跳板進行攻擊以規避防禦產品偵測 近期2022 年由工控資安公司Claroty的Team82 研究團隊曾發布白皮書：EVIL PLC ATTACK: WEAPONIZING PLCS，內容研究的攻擊名字取名為：Evil PLC，主要是透過感染 PLC 讓其武器化可以執行命令。 研究人員撰寫了概念性驗證程式並對 7 家工控廠商(洛克威爾公司、施耐德電氣公司、通用電氣公司、貝加萊公司、信捷電氣公司、英國奧威公司、艾默生電氣公司)的PLC設備進行測試，顯示過往PLC多為攻擊的目標，如歷史出現過的資安事件：Stuxnet,Incontroller/Pipedream等，但此研究是將 PLC作為攻擊使用的武器，來進一步對其他系統作攻擊，雖然非真實的案件，但也證明這樣的攻擊情境是值得關注的。 總結來說，過往針對工控的安全大多會無條件去信任PLC，且一般已知攻擊主要都是透過感染IT系統之後擴散攻擊至OT 環境。 而從目前越來越多研究表明存在以PLC做為入侵端點，攻擊其他資訊系統，因此，在OT環境設置上，不能再無條件信任PLC發送的資料，同時也需要做好網路分段，避免所有人機介面(Human-Machine Interface,HMI)都可以跟 PLC 做連接，從而增加 PLC 被寫入惡意程式的可能性，也要盡量即時更新 OT 軟體，已避免存在已知漏洞能直接對 PLC 做寫入。