【资安日报】1月4日,俄罗斯骇客入侵乌克兰民用网路摄影机并用于飞弹精准轰炸

乌克兰战争开战已经接近2年,俄罗斯骇客将网路攻击配合军事行动的情况不时传出,使得相关的网路攻击在这场战争当中,具有举足轻重的地位。

而最近乌克兰面临大规模空袭的期间,也传出俄罗斯骇客趁机攻击乌克兰首都的网路摄影机,使得俄罗斯能够掌握乌克兰防空部署,更有效进行飞弹轰炸。

 

【攻击与威胁】

乌克兰住宅区网路摄影机遭骇,俄罗斯将其用于军事行动侦察

根据基辅独立报、SecurityAffairs、The Record等媒体报导,乌克兰国家安全局(SBU)宣布拆除2台位于基辅的网路摄影机,原因是俄罗斯骇客入侵上述设备后,在1月2日大规模空袭期间收集基辅的防空系统,以及关键基础设施的位置。

SBU指出,这些摄影机遭到攻击后,俄罗斯特种部队取得相关画面之后,而得以监视驻扎当地的乌克兰军队,其中一台设备位于公寓阳台,原本是当地住户用于监控周边情况,另一台也是住宅区居民所设,用于监控停车场。值得留意的是,对方得逞后,不只取得远端的存取权限来进行控制,改变摄影机角度,甚至将其与YouTube连线。

而这并非乌克兰的网路摄影机遭到俄罗斯入侵的首例,自2022年2月乌克兰战争开打,SBU已经阻断约1万台IP摄影机的运作,以免敌军将其用于空袭。

资料来源

1.  3. 

1月2日澳洲维多利亚州法院服务中心(CSV)发布公告,表明他们在12月21日察觉遭遇网路攻击,本次事故出现未经授权存取的情况,导致法院内的视听网路中断,影响录影、录音、转录的工作。CSV随即隔离、停用受到影响的网路系统,并确保一月份的听证会能照常举行。根据初步调查的结果,11月1日至12月21日部分听证会的录音遭到异常存取,但也有部分10月以前的资料可能外流,受影响的单位,包括最高法院、县立法院、行政法院、儿童法庭、验尸法庭。

关于攻击者的来历,根据ABC News报导指出,有一位资安专家Robert Potter掌握相关证据,认为攻击者来自俄罗斯,对方使用勒索软体Qilin发动攻击,并向法院进行双重勒索。

资料来源

1. 

到了1月2日,该公司证实遭遇网路攻击,并透露这起事故资安人员察觉后已进行遏止,经调查后确认仅有旗下的Xerox Business Solutions(XBS)美国分公司XBS U.S.受到影响,导致XBS部分人士的个资可能外流,但全录公司的系统及营运皆未受到影响,XBS营运也并未受到影响。

资料来源

1. 

本次并非Coop首度因网路攻击而受害,2021年7月,该公司揭露他们因软体供应商受到Kaseya供应链攻击,而导致遭遇勒索软体REvil攻击,500家超市被迫暂停营业。

1月3日Shadowserver基金会指出,可从网际网路上存取的伺服器,有近1,100万台存在CVE-2023-48795漏洞,而能透过Terrapin对其发动攻击,这些伺服器所使用的IPv4及IPv6位址,占整体的52%。其中美国曝露的主机台数最多,有330万台,其次是中国、德国、俄罗斯,分别有130万台、100万台、70万台。

由于这种方法以该资料夹里的应用程式执行档为目标,而能够在无需提升权限的情况下,执行恶意程式码,再者,则是因为利用该资料夹已被视窗作业系统索引的档案,攻击者不需要自备执行档,就能从事攻击行动,另一方面,研究人员认为这样的手法能让攻击变得更加隐密,原因是他们利用作业系统已信任的元件,且在专属的记忆体空间执行恶意程式码,使得资安分析工具难以将其视为有害。

为了验证这种攻击手法,研究人员尝试在WinSXS资料夹寻找有可能被利用的EXE档案(如ngentask.exe、aspnet_wp.exe),并设置相同档案名称的恶意DLL档案,而有机会透过DLL搜寻顺序挟持手法,成功执行任意程式码。

 

近期资安日报