2024-09-26
为了加密受害电脑文件，勒索软件黑客RansomHub会运用名为EDRKillShifter的工具，将杀毒软件或端点防护工具EDR停用，该勒索软件运作已超过半年，迄今超过210个企业组织受害，而受到资安圈高度关注。但黑客如何运用EDRKillShifter达到目的？有研究人员公布更多细节。
资安业者趋势科技指出，黑客已将EDRKillShifter整合到他们的攻击链，而这个恶意程序之所以能攻入受害者电脑，主要是利用存在弱点的驱动程序，但除此之外，黑客也企图让这支程序持续于受害电脑运作，目的是让整个攻击流程都能不受干扰。
值得留意的是，攻击者不只将EDRKillShifter用于阻碍杀毒软件及EDR的运作，还将其当作恶意程序加载工具，来运行各阶段的作案工具。
资安业者ThreatFabric针对安卓金融木马Octo2的攻击行动提出警告，根据他们的研究，该恶意程序以名为Octo（也叫做ExobotCompact）的木马程序为基础进行开发，而且，为了提高设备接管（Device Takeover，DTO）攻击的可用性，攻击者改良远程控制功能的稳定性，也纳入复杂的混淆技术，从而回避相关侦测机制。值得留意的是，在部分欧洲国家已出现实际攻击行动。
根据研究人员收集的威胁情报指出，首度出现的Octo2，在意大利、波兰、摩尔多瓦、匈牙利都有活动迹象，黑客假借提供Chrome、NordVPN，以及名为Enterprise Europe Network的应用程序为诱饵，引诱用户上当。
一旦用户运行黑客提供的文件，手机就会被植入恶意程序Zombinder，接着攻击者会声称为了符合Google的用户数据隐私政策，要求用户同意安装必要的插件程序，而这个插件就是Octo2。之所以这么做，目的就是要绕过Google从Android 13导入的新防护机制。
其他攻击与威胁
◆黑客利用Rust打造的红队演练工具Splinter从事攻击行动
◆北美交通物流业者遭到锁定，黑客散布恶意软件Lumma Stealer、NetSupport
◆汽车经销商AutoCanada传出遭Hunter International泄露员工数据
◆俄罗斯黑客偏好针对安卓、iOS行动设备下手，从事网络间谍活动、窃取机密及军事情报
◆Mozilla基金会传出通过Firefox隐私功能，未经同意追踪用户上网行为
【漏洞与修补】
macOS版ChatGPT软件存在漏洞，攻击者恐借此将间谍软件植入AI工具
今年2月OpenAI宣布将为ChatGPT提供名为记忆（Memory）的功能，并于9月初正式开放所有用户使用，但有研究人员发现，电脑版应用程序弱点，有机会让攻击者将间谍软件植入AI系统。
资安研究员Johann Rehberger揭露名为SpAIware的弱点，攻击者可借由第三方网站进行提示注入（Prompt Injection）攻击手法，将含有能窃取用户信息的间谍软件注入ChatGPT的记忆区，因此，在macOS版应用程序当中，用户与AI机器人对话的内容，将会持续发送到攻击者的服务器。OpenAI获报后，已发布新版应用程序予以修补。
究竟要如何发动SpAIware攻击？具体而言，攻击者要引诱用户分析不受信任的文件，或是将他们导向不受信任的网站，而这个网站含有控制ChatGPT及插入恶意数据而能渗透ChatGPT记忆功能的命令。一旦得逞，应用程序就会将用户后续的聊天内容发送给攻击者。
数据库管理工具pgAdmin存在重大漏洞，攻击者可绕过OAuth身分验证流程挟持用户数据
9月23日PostgreSQL数据库管理工具pgAdmin 4发布8.12版，当中修补重大层级漏洞CVE-2024-9014，这项漏洞存在8.11版之前的所有版本，若不处理，很有可能对用户数据造成危害。
细部而言，此项资安弱点的问题出在OAuth2身分验证机制，攻击者有机会借此取得用户端ID及帐密机敏数据（Secret），进而在未经授权的情况下存取用户的数据，CVSS风险评分为9.9（满分10分）。
Acronis修补备份软件Plug-in程序的重大资安漏洞
数据保护软件与服务厂商Acronis，于9月16日发布旗下Acronis Backup备份软件Plug-in程序的更新通报，提醒用户尽速更新软件，以修补其中含有的重大资安漏洞CVE-2024-8767。
CVE-2024-8767是Acronis评为严重性9.9分（满分10分）的重大漏洞，问题出在Plug-in程序的权限设置不当，可能会让受影响的服务器发生敏感信息外泄的状况，并让攻击者运行未授权的操作。
受这个漏洞影响的Acronis Backup备份Plug-in程序，包括搭配cPanel & WHM、Plesk与DirectAdmin等3款Linux平台主机与网站管理工具的Plug-in程序，这些Plug-in程序的用途是将前述管理工具的数据，备份到Acronis Backup环境中。Acronis建议将搭配cPanel & WHM与Plesk的Plug-in程序，分别更新到1.8.0版，而搭配DirectAdmin的Plug-in则更新到1.2.0版。
近期资安日报
【9月25日】UNC1860为攻击中东企业组织的黑客开路
【9月24日】北韩黑客散布恶意PyPI套件，意图发动供应链攻击
【9月23日】中国声称遭我国成立的黑客组织攻击
