【资安日报】3月27日，AiTM网钓攻击工具包Tycoon 2FA针对微软365、Google用户而来

为了突破双因素验证（2FA）的防护机制，骇客采用中间人攻击（AiTM）网钓攻击套件的情况相当泛滥，最近出现新型态的工具包Tycoon 2FA，在短短半年内，已有骇客采行而滥用超过1千个网域，引起研究人员关注。

值得留意的是，这个套件采用多阶段攻击流程，其产生的钓鱼邮件不仅具有URL，也有出现QR Code的情况，这代表行动装置用户也可能是对方攻击的目标。

 

【攻击与威胁】

到了今年2月中旬，卖家提供新版Tycoon 2FA，并出现广泛使用的情况，开发者增强混淆的程度及防范侦测的能力，并改变网路通讯的模式，使其攻击行动变得更难发现。

研究人员指出，该套件采取多个阶段的攻击流程，骇客先是借由内含URL或QR Code的钓鱼邮件引诱收信人上当，接著透过图灵验证系统Cloudflare Turnstile排除机器人，然后将收信人导向冒牌微软登入网页及伪造的双因素验证流程，过程中骇客收集受害者的电子邮件信箱、密码，并透过WebSocket外流。

但值得留意的是，攻击者在成功入侵Windows电脑后，便会利用嵌入勒索软体档案的PowerShell指令码，对VMware ESXi、vCenter进行横向感染，窜改ESXi主机root密码，并透过SSH进行档案传输，最终进行档案加密。 

而发这项重大讯息的原因，很可能与

存在于动态随机存取记忆体（DRAM）的设计弱点Rowhammer，最早于2014年出现，该漏洞公布后制造商也开始采取「目标列更新」（Target Row Refresh，TRR）的机制来因应，但现在传出新架构的电脑也有可能遭受相关攻击的情况。

苏黎世联邦理工学院的研究人员指出，他们成功在搭载AMD Zen 2及Zen 3微架构处理器的电脑上，对DDR4及DDR5记忆体进行Rowhammer攻击，他们将针对上述处理器电脑的攻击手法称为「ZenHammer」，并表示这是首度成功针对DDR5进行Rowhammer攻击的发现（尽管成功机率仅约十分之一）。

对此，AMD也发布资安公告，表示他们在2月26日获报此事，将著手进行相关评估，并提供缓解措施。

3月25日美国针对与中国骇客组织APT31有关的武汉晓睿智科技（Wuhan XRZ）进行制裁，并控告7名参与骇客行动的中国人，由于涉嫌入侵电脑及电信诈欺，司法部将冻结他们在美国的资产。

美国政府指出，这些被告针对美国及其他国家的个人与组织，发送超过1万封恶意电子邮件，一旦收信人开启邮件，就会曝露自己的地理位置、IP位址，以及网路环境及装置的资讯，对方就有机会利用这些资讯进一步策画攻击行动，破坏收信人网路环境的路由器及其他电子设备。

此外，APT31也被指控在2020年针对美国总统大选的竞选工作人员攻击、渗透5G网路设备供应商、无线网路技术供应商、国防承包商等数十家企业。

 

近期资安日报