The Good, the Bad and the Ugly in Cybersecurity – Week 23

The Good

在本週呢，網路安全和基礎架構安全局（CISA）發布了第一個（也將會以系列型發布）的 “Cyber Essentials Toolkit”。 該機構計劃每月發布更新。 每個工具包的設計均與 CISA 的6個 “基本要素” 為基礎。 通過工具包的每個步驟和 module，目標是引導老闆們，CISO 和 information owners 完成開發和落實的網路安全實踐和習慣的過程。 通過採取這些 “小規模” 的措施，企業組織應具備管理和理解風險的能力，並適當的分隔信息和資源以補充降低風險和暴露的能力。 以下為 CISA定義的 6 個 “基本要素”是：

• Yourself
• Your Staff
• Your Systems
• Your Surroundings
• Your Data
• Your Actions Under Stress

這些 toolkits 中的第一個以 “自己” 元素為重點，面向網絡安全人員以及 IT 專業人員和服務提供商。 整個項目面向 C -level 主管。 如果你想更了解有關 Cyber Essentials 工具包和相關的更多信息，我們建議你來看看 CISA 的網站以獲取持續更新。

The Bad

而這週的壞消息是由研究人員發現到，VMware Cloud Director 出現了一個關鍵漏洞，而該漏洞可能使攻擊者完全控制受影響的基礎架構。

這個缺陷是因為輸入處理不當，導致狀態允許任意代碼注入。 之後可以通過基於 Flex 和 HTML5 的接口以及提供的 API，通過惡意製作的流量來觸發安全漏洞。 Citadelo 的研究人員在一次安全審核中發現了並 report 為 CVE-2020-3956 的漏洞。
​
除了遠端執行， 研究人員還證明了通過此漏洞，攻擊者可以進入在外部的雲端基礎架構。 漏洞可利用來獲得 vCloud 數據庫的完全權限，操縱系統管理員帳戶的憑證，最終以完全特權進入所有的託管客戶。

那麼除了發布的安全漏洞的信息之外，Citadelo 還發布了詳細的 PoC 來 demo 這個漏洞。 VMware 已發布更新來解決此問題。 我們鼓勵所有被影響或相關的客戶來查看發布的資料，並建議遵循指南和修補程序。

The Ugly

那本週醜陋的主角是: DoppelPaymer - 這個勒索軟體的背後執行者宣布了對於在 Maryland 的IT服務提供商 Digital Management, LLC 的攻擊。 受害者有許多是榮登在 Fortune 100 客戶，包括了美國 NASA。 在 DoppelPaymer 的 blog 網站上還特別註明了 NASA 與 Digital Management, LLC 的關係。

攻擊者已在建立在 TOR 的 blog 上發布了經過證實的數據樣本，並聲稱已加密了2,583台主機。 而當作者在撰寫此篇文章時，這個勒索程式運營商已公開發布了來自該攻擊的 21 個範例檔案。

而他們聲稱竊取了屬於 NASA 和 SpaceX 的內部文件，其中包括了: 設備設計和計劃，人力資源和人員數據。 據說被竊取出來的數據跨越了從 2016年或更早到今天。

有鑑於 Digital Management LLC 在隸屬聯邦的空間內運作，因此他們的合規性和法規要求，是比非聯邦實體要嚴格得多，因此他們可能會面臨來自監管機構和客戶的災難性影響。 在某些方面，這些攻擊可能比許多政府贊助的攻擊造成的損害更大。 儘管攻擊者可能缺乏 APT 的秘密技術，但其影響可能是毀滅性的，甚至是會破產的。 Digital Management，LLC 肯定會在試圖撲滅此漏洞造成的巨大影響中、及在其他方面展開艱苦的奮鬥。

原文