The Good, the Bad and the Ugly in Cybersecurity – Week 18

The Good

本週的好消息有待再觀察，但就目前來說，這對成千上萬的勒索程式受害者是一大好消息。 一個 github 使用者自稱代表 Shade，宣布他們從去年年底以來已停止攻擊，而且還公開發布了 750,000 個 decryption key 以及解密程式。 Shade，Trotldesh 或 Encoder.858 勒索程式從 2014 年首次開始出現，出現後一直是個沒有停歇過的威脅，一些資安廠商指出，在2018 末和 2019 初，Shade 攻擊急劇增加。我們目前還看不出有什麼端倪，或者他們已經被競爭對手攻陷或注意力轉移到其他地方。 但無論哪種情況，公布出的 decryption key 貌似是真的，而 Shade 這個勒索程式的消失確實是件好消息。

The Bad

在疫情期間，居家辦公時，我們比以往任何時候都更加依賴資安軟體，尤其是通過線上通話的會議商務會議方面。 儘管 Zoom 的問題已被記錄下來，但別忘了還有微軟的 Team 。 據說，Team 有一個類似蠕蟲的主要安全漏洞，該漏洞可能讓在遠端的駭客完全接管企業的團隊帳戶，並用 lateral movement 攻擊整個網路。 這次非常技術性的零時差攻擊僅需將 image 或 GIF 發送給受害者即可。 研究人員說，一旦將圖開啟於 viewer 中，攻擊就成功，而且受害者不會知道自己已遭到了攻擊。 這個漏洞已於 3 月 23 日秘密的告知 Microsoft，並於 4 月 20 日修復。 話不多說，如果你還沒有更新的話，請立即更新。

此外，這周其他的壞消息中，駭客們不斷的零時差攻擊在 Sophos XG Firewall 產品的漏洞。 這是一個在身份驗證前 SQL injection 漏洞 （CVE-2020-12271），這會建立一個遠端執行代碼（RCE）狀態，駭客可以隨之利用漏洞進入 XG 設備，expose local 用戶名稱，帳號還有密碼。 駭客並在受感染的設備上用了 Asnarok 木馬程式再次攻擊。 Sophos 已發布了一個修補程序，但仍建議用戶在防火牆的 WAN 接口上 disable  HTTPS Admin Service 和 User Portal access 來減少攻擊。

The Ugly

醜陋消息中的常客：Maze ，在本周也不例外的又出現，這次他們有了 “創新”  的 MO。 他們一如往常的加密，洩密和洩漏策略有了新的變化，他們現在聲稱拒絕從一家受害者中獲利的機會，並堅持認為他們是製造了更多有利於受害者的動機。 Maze 的一份聲明聲稱，他們在去年 8 月和今年 2 月攻擊了 Banco de Costa Rica （Banco BCR 銀行），藉由攻擊他們得到了付款處理系統的權限，並竊取了 1100 萬張信用卡憑證，其中包括 14萬 美國公民。 到目前為止，這些都是在意料之中。

故事轉折來了，Maze 聲稱他們沒有 “阻礙銀行的工作”，因為 “在疫情期間這是不正確的行為”。 但是，他們似乎比較擔心該銀行既未披露去年的首次攻擊，也沒有採取必要措施來保護受到入侵的系統。 Maze 聲稱，今年二月他們依舊輕鬆地重新攻擊系統，並且銀行沒有因爲糟糕的安全性而負責任。 聲明繼續表示，Maze 無意出售數據，而是 “將攻擊事件告知 Banco BCR，媒體和監管機構。” 但聲明最後還是用了令人害怕的威脅結尾。 “如果我們未收到任何回應，我們將公開所有信息。 這意味著將發布 1100 萬張信用卡號和其他憑證。”

目前還看不清楚他們希望獲得什麼樣的 “回應”，但如果它變成不鼓勵洩漏的一個誘因，我們也不會感到驚訝。 無論如何，這似乎比在 Darknet 上與其他犯罪分子交易更容易賺錢。 同時，如果這份聲明是真的，我們可以與 Maze 有一樣的共識：那就是 Banco BCR 的確需要在資安上做的更好，而且要快！

原文