【资安日报】11月13日，疑为未修补Citrix NetScaler重大漏洞酿祸！中国工商银行美国分公司遭勒索软体攻击，波及美债交易

10月上旬Citrix修补NetScaler重大漏洞CitrixBleed（CVE-2023-4966），随后陆续资安业者Mandiant揭露，至少4组人马将其用于攻击行动，但并未透露受害对象。如今传出有企业因没有修补漏洞而遭遇勒索软体攻击，使得业务受到严重影响。

在上周中国工商银行（ICBC）美国子公司发生的勒索软体攻击事故，就是这样的例子，有资安专家发现，骇客在事发数日前入侵了NetScaler伺服器，而能够存取该公司的网路环境。

 

【攻击与威胁】

对此，工银金融也于9日证实特定系统遭到勒索软体攻击，面临服务中断的情况，该公司事发后，切断受害系统的网路并进行隔离，控制受害范围。该公司强调，他们的业务系统及电子邮件系统，独立于母公司之外，中国工商银行总部办公室，以及其他海外分公司不受影响。

而对于这起事故发生的原因，资安专家Kevin Beaumont透露，骇客很可能是针对该公司的Citrix Netscaler系统下手，利用CitrixBleed漏洞（CVE-2023-4966，CVSS风险评分为9.4）入侵网路环境，此伺服器在6日之后就处于离线状态。

资料来源

1.  3. 

当时，Cloudflare表示网站出现异常，但该公司其他服务不受影响，随后Cloudflare释出修补程式因应。该公司发言人证实，上述服务中断的现象，起因是他们遭遇了DDoS攻击，并强调该网站架设于独立的基础设施，其他Cloudflare服务不受影响。

而对于攻击者的身分，俄罗斯骇客组织Anonymous Sudan声称是他们所为，但没有说明下手的动机。这并非近期该组织首度针对大型IT业者下手，11月8日OpenAI遭到攻击，导致旗下ChatGPT及API服务中断超过一天。

资安业者Huntress揭露针对医疗产业而来的攻击行动，攻击者滥用名为ScreenConnect的远端桌面连线（RDP）工具，于10月28日至11月8日这段期间，他们发现针对制药厂、医疗保健机构的攻击行动。

这些事故存在共通的攻击战术及手法，骇客于执行Windows Server 2019的伺服器上，透过美国药品管理系统供应商Outcomes（原Transaction Data Systems）建置的ScreenConnect入侵，成功后骇客再部署自己的ScreenConnect或AnyDesk用户端程式，以便持续控制受害主机。

接者，攻击者下载名为text.xml的恶意酬载，此XML档案内含C#程式码，主要功能是将Metasploit延伸模组Meterpreter载入记忆体内执行，接著，滥用列印多工缓冲处理器（Print Spooler）服务执行其他处理程序。但究竟骇客如何入侵Outcomes建置的ScreenConnect系统？研究人员表示仍不得而知。

值得留意的是，为了降低使用者戒心，骇客并非架设冒牌的CPU-Z网站，而是伪造专门报导Windows新闻的网站Windows Report，以该新闻网站的名义提供下载。

 

【资安产业动态】

华硕全球副总裁林宗梁指出，尽管端点侦测与回应（EDR）解决方案推出市场已久，但国内还是有很多企业没有采用，这次双方的合作会先从台湾开始，未来希望能与IBM有更多合作，可涵盖更多资安产品领域，并且扩展至全球市场。

此次这两家公司联合推出的资安加值服务，将区分为两种形式，一种是选购EDR工具，一种是选购MDR服务，前者将提供云端平台管理权限供企业自行使用，后者则是企业向华硕选购服务，背后服务团队则是由IBM负责，提供威胁侦测应变与事件处理建议，特别的是，除了华硕与IBM两家公司的合作，在本地的系统整合厂商方面，将由凯信资讯扮演IBM与台湾企业之间的桥梁，提供更贴近用户的服务。

 

【其他新闻】