【资安日报】2月21日，中国资安业者惊传资料外泄，意外曝露中国政府对全球各国从事网路间谍行动的情况

中国政府资助的骇客佯装成资安公司，在全球从事网路间谍活动，过往通常是借由研究人员找到的蛛丝马迹，才能揭露骇客暗中从事多年的行为，但最近有一批文件的曝光，间接反映了这样的情形，而引起资安圈的高度讨论。

根据一位台湾资安研究员的揭露，中国资安业者「安洵信息」发生内部资料外泄，而导致中国当局网路间谍活动曝光，当中提及该公司从事网路间谍行动的经验，并说明他们使用的作案工具，虽然资料的来源与真实性仍有待进一步确认，但根据其内容来看，他们提供了各式各样的网路攻击服务，很有可能听从中国政府的指示对指定目标下手。

 

【攻击与威胁】

研究人员指出，这些资料很有可能来自该公司专门研发间谍软体的部门，其软体平台能挖掘使用者X（推特）帐号登记的电话号码及电子邮件信箱，并对特定帐号的动态进行即时监控，甚至能冒用帐号来进行发文、删文、转推、按赞。该公司针对Windows、macOS、Linux、iOS、安卓等作业系统，自制RAT木马程式Hector，其中Windows版木马号称能回避95%防毒软体侦测，此外，公司还开发外观与行动电源极为相似的「Wi-Fi抵近攻击系统（Wi-Fi Near Field Attack System）」。在业务运作上，这家公司同时经营DDoS僵尸网路，所用的病毒档案大小仅有29 KB，此僵尸网路号称能产生10至100Gbps的流量。除此之外，还有APT攻击的教战手则，并能透过分析邮件、中国社群网站平台内容来从事间谍行动的说明文件。

而对于这些资料外流的原因，新闻网站大纪元认为，很有可能是员工对公司及薪资不满所致；另一个新闻媒体Coinlive指出，该公司员工曾讨论如何贩卖国家机密，或是制作色情聊天网站来维持生计。

资料来源

1.  3. 思科威胁情报团队Talos与非政府组织电脑紧急应变小组（CERT.NGO）联手，发现俄罗斯骇客Turla使用新的后门程式TinyTurla-NG（TTNG），研究人员去年12月看到骇客以波兰的非政府组织（NGO）为目标，部署该后门程式并借由已被入侵的WordPress网站充当C2伺服器，这些网站也被对方用来代管恶意PowerShell指令码TurlaPower-NG。

研究人员指出，骇客通常是在其他工具失效，或是不慎触发了受害环境的资安系统警报时，才会使用该后门程式来进行最后的尝试。而对于PowerShell指令码TurlaPower-NG的用途，研究人员指出是窃取受害电脑资料，再交由前述的后门程式回传。根据恶意程式编译的时间，这起攻击行动可能在去年11月开始。

根据资安新闻网站Bleeping Computer的报导，勒索软体骇客组织Cactus声称，他们1个月前入侵施耐德电机的网路环境，窃得1.5 TB资料，提供25 MB档案供买家检验，并附上数名美国民众的护照，以及保密协议文件的扫描档案。但究竟有那些资料遭窃，目前仍不得而知。

 

【漏洞与修补】

2. 

有许多关注勒索软体LockBit动态的研究人员及资安新闻媒体发现，该组织架设于暗网的网站已遭执法单位控制，如今这样的情况也得到证实。

2月20日欧洲刑警组织（Europol）发出声明，由英国国家刑事局（National Crime Agency，NCA）发起的执法行动Operation Cronos，在10个国家的执法部门投入相关工作，并由欧洲刑警组织及欧洲司法组织从中进行协调之下，成功关闭该组织架设于荷兰、德国、芬兰、法国、瑞士、澳洲、美国、英国的34台伺服器，并冻结超过200个加密货币帐户，同时在波兰及乌克兰逮捕2名嫌犯。

NCA已控制了LockBit的基础设施及暗网网站，并表示他们取得了原始码，同时发现骇客并未依照承诺，删除已付赎金的受害组织资料。 2. 2月6日Linux基金会宣布成立后量子密码学联盟（Post-Quantum Cryptography Alliance，PQCA），主要目的是要促进后量子密码学进步，期望透过制作高保证性的软体，来实践标准化演算法的目标，从而支援持续开发并产生新的后量子演算法的标准化，初始会员包括AWS、Google、IBM、Nvidia等11家企业组织。

该联盟将打造程式库及软体套件的中枢，以符合美国国家安全局（NSA）推荐的加密指南「商业国家安全演算法套件2.0（Commercial National Security Algorithm Suite 2.0，CNSA 2.0）」的资安建议。此外，PQCA将从事各式专案，包括开发软体来评估、设计、部署新的后量子演算法，透过提供软体实作，进而促进后量子密码学在产业中实际应用。

 

【其他新闻】