The Good, the Bad and the Ugly in Cybersecurity – Week 41

The Good

本週的好消息 ～ 蘋果和五位 “白帽” 漏洞賞金人員都受到了表揚，他們所做的一些出色工作讓蘋果產品和基礎架構中的 55 個錯誤得以修復，其中 11 個被評為 critical。 這些白帽駭客- Sam Curry，Brett Buerhaus，Ben Sadeghipour，Samuel Erb 和Tanner Barnes - 花了三個月的時間，悄悄地入侵了蘋果系統，發現了一個接個的 zero-day 漏洞。 最嚴重的漏洞包括經由向用戶發送惡意 email 來接管用戶的 iCloud 的功能。 僅需要通過打開 email 即可 - 也無需進一步點擊任何連結，或任何的 social engineering - 用戶不僅讓攻擊者完全控制自己的 iCloud 帳戶，而且還會將可傳播的漏洞發送給所有聯繫人。

這當然是個好新聞， 對於這些白帽駭客，對蘋果以及對用戶來說，這是個 triple - win situation。 首先，白帽們採取了負責任的態度，向 Apple 充分告知了這些錯誤。 大家想想，若是這些嚴重的漏洞有意的或 "無意“ 的被洩漏出去，或全部交易給第三方以獲取豐厚的利潤，這將會是多大的災難？
 
其次，Apple 及時（48 小時之內）的修復了這些錯誤，以確保用戶沒有被暴露之外， 蘋果也表示，在 log 裡沒有顯示這些錯誤中的任何一個都已在外被利用。 再來就是針對白帽本身的：Apple 還在根據漏洞賞金計劃的條款評估賞金，但迄今為止，他們已獲得近 30 萬美元的獎勵，另外還有 20 萬美元 is on the way。
​
最後，這對整個資安研究界帶來了更大的勝利。 過去，大眾一直對 Apple 的漏洞賞金計劃抱著質疑的態度，而 Apple 在此的給了一個模範反饋：研究人員得到了獎勵，他們也可以發表詳細的信息，而且漏洞在被記錄的時間內得到修復。 這只會鼓勵其他的研究人員來參與蘋果的漏洞賞金計劃，這對我們所有人來說都是勝利。

The Bad
​
在 fireware 中的惡意程式是特別麻煩的事，但同時卻是罕見的。 LoJax 早在 2018 年就成為大新聞，因為它是第一個在外被發現的 UEFI Rootkit，在 2015 年也在一家意大利私人情報公司 “Hacking Team “ 的工具洩漏中發現了當時唯一在 firmware 中的惡意程式，也沒有發現代碼被廣泛使用，直到現在為止。。。 研究人員本周公布了一項調查的詳細信息，他們發現了 Hacking Team 的 “ Vector-EDK” 惡意程式的修改版本，被用於在針對來自非洲，亞洲和歐洲的外交官和非政府組織的攻擊。

根據研究人員的說法，這個惡意 firmware 用於將惡意的執行文件 “ IntelUpdate.exe” 植入受害者的 “Startup” 中，而執行檔似乎可更廣泛部署一個名為 “ MosaicRegressor” 的惡意 framework。 Framework 的 downloader 包含多種與攻擊者的 C2 聯繫機制，包括 CURL，WinHTTP API 和 BITS 的 transfer interface。 不尋常的是，還有一種 POP / SMTP / IMAP 機制可以從寫死的的電子郵件地址 thtgoolnc@mail.ru 和 thbububugyhb85@mail.ru 中獲取 payload。 由於研究人員無法檢視惡意程式框架的 component，因此無法確定程式的所有功能。 但其中一個 component : load.rem 似乎是專門在竊取用戶在 Recent Documents 的 directory。

Source: Securelist

目前還無法歸因 APT 小組是如何植入惡意 UEFI image，儘管似乎是可能有人實際操作直接進入設備或經由受損的 firmware 更新機制進行的。 也由於 UEFI 攻擊的稀有性，所有細節都值得去研究。 有關 dumping UEFI 和 reversing  UEFI image 的資訊，請參考文中的連結。

The Ugly

對於希望在今年秋天重返課堂，並可以恢復正常的一群 Massachusetts 的 25,000 學生來說，這是令人失望的一周。
這週四時， Springfield 公立學校區遭到勒索程式攻擊，並導致學校關閉。所有的課程被暫停，直至另行通知。

這個攻擊影響了學校和所有遠端的學習活動，地區不得不迅速採取行動，要求立即關閉所有學校設備，以遏制勒索程式。

除了六十多所學校的學生外，這次的停課還影響到 4,500 名教學人員和其他工作人員。

目前還不清楚是哪種勒索程式的攻擊，也不清楚攻擊是否有造成數據洩露。 而關於幾時可以恢復上學的公告，
也很模糊的表示 “寄望在不久之後可消除並解決風險” 。 讓我們為這些工作人員，學生和家庭一起集氣吧！

原文