趨勢科技 TrendMicro | 資安趨勢部落格

GandCrab 勒索病毒鎖定攻擊 MySQL 資料庫

2019 年 06 月 05 日2019 年 06 月 04 日趨勢科技 TrendMicro

資安研究人員發現有大量突發的攻擊事件，鎖定執行 MySQL 資料庫的 Windows 伺服器，透過 GandCrab 勒索病毒 Ransomware (勒索軟體/綁架病毒)進行感染 (由趨勢科技偵測為 Ransom.Win32.GANDCRAB.SMILC)。這類攻擊最初是在去年 5 月 19 日透過誘捕系統 (honeypot) 發現，會掃描網際網路對向 (internet-facing) 的 MySQL 資料庫，並確認資料庫是否運行於 Windows 作業系統，然後執行惡意的 SQL 指令上傳檔案，擷取並協助執行勒索病毒。

發現這種入侵手法的資安研究員發現，這種掃描活動會搜尋不安全或設定不當的 MySQL 資料庫或防火牆，並可能攻擊任何暴露了連接埠 3306 的 MySQL 伺服器，這是 MySQL 預設使用的連接埠。

該攻擊行動涉及的 GandCrab 版本/樣本下載已經超過 2,300 次。雖然這樣的次數並不多，但攻擊仍造成重大的資安風險。MySQL 是相當普遍的資料庫技術，據報市佔率超過 50%。

[延伸閱讀：深層網路提供勒索軟體即服務?這對企業有何影響?]

GandCrab 本身使用不同的攻擊媒介，因為這項軟體最初是使用 Rig 及 GrandSoft 等漏洞攻擊套件。GandCrab 操作者在檔案分享網站使用惡意廣告，透過新開發的漏洞攻擊套件傳遞勒索軟體，例如 Fallout、JavaScript malware 及 spam attachments。透過種類廣泛的攻擊媒介，這種勒索軟體威脅逐漸猖獗 — GandCrab 在 2018 年是北美地區最常遭到偵測的勒索病毒系列。

繼續閱讀

網路勒索集團清除了 12,000 多個 MongoDB 資料庫

2019 年 06 月 04 日2019 年 06 月 04 日趨勢科技 TrendMicro

過去幾週以來，全球有超過 12,000 個 MongoDB 資料庫遭到駭客清除，而使用者若想復原這些資料庫，就必須支付贖金給歹徒。

這樣的勒贖事件並非第一次出現，MongoDB 和類似的企業多年來一直不斷遭到這類攻擊。根據 Bleeping Computer 的報告指出，這起最新的資料庫受害案件是一位名叫 Sanyam Jain 的獨立資安研究人員所發現。Jain 利用 BinaryEdge 連網裝置搜尋引擎，發現了 12,564 個遭到清除的 MongoDB 資料庫。此外他還發現，這些攻擊的背後主謀很可能是 Unistellar 駭客團體。

Jain 最早是在四月份開始注意到這些攻擊，他發現有某個遭到清除的 MongoDB 資料庫當中含有一封簡短的勒索訊息。在經過進一步的追查之後，他發現了更多被清除的資料庫，以及兩個歹徒留下的電子郵件地址，這些地址指向 Unistellar 駭客集團。

該報告指出，駭客很可能是利用 BinaryEdge 和 Shodan 這類搜尋引擎來找尋暴露在網路上的 MongoDB 資料庫，並且採用自動化攻擊。其自動化腳本在找到並連上這些缺乏安全保護的資料庫之後，就會將資料庫清除。而且在清除資料之前會先建立還原點，以便能在受害者支付贖金之後將資料還原。之前的 MongoDB 攻擊案例都直接要求受害者支付一定比特幣 (bitcoin) 的贖金，但最近的這起攻擊卻只留下電子郵件聯絡地址，以便受害者能和歹徒聯繫並商量贖金。

繼續閱讀

近一半的組織網路安全技術人才短缺,該怎麼辦?

2019 年 06 月 04 日2019 年 05 月 20 日趨勢科技 TrendMicro

根據(ISC)²，一家網路安全及IT安全專家組織所指出，全球的網路安全技術人員短缺在2018年達到了近300萬。人才短缺問題也反映在趨勢科技委託進行的Opinium調查裡。在1,125名資訊安全長(CISO)中，有近50%的人認為這是他們組織所擔心的重點之一。隨著資安威脅的持續增加(趨勢科技在2018年阻止了超過480億次威脅)且變得更加先進，全球技術人才短缺也讓組織面臨更高的風險。

[延伸閱讀：主動事件回應策略的歷史概述及其對企業的意義]

技術人外短缺是全球性的問題

來自美國、英國、德國、西班牙、義大利、瑞典、芬蘭、法國、荷蘭、波蘭、比利時及捷克的資訊安全長在接受訪談時評估網路安全的挑戰，包括了技術人才短缺。

調查顯示，在人員方面，資訊安全長不僅面臨組織內部缺乏網路安全意識的問題，還面臨著技術人才短缺的問題。有33%的受訪者表示在招聘新人才時面臨問題，49%的受訪者擔心人才短缺會讓自己的組織面臨更大的風險。美國的資訊安全長裡有54%(被調查國家裡的最高比例)承認很難請到熟練的專業人才。

繼續閱讀

惡意虛擬貨幣挖礦容器,針對暴露API 的 Docker主機，並用 Shodan 找出其他受害目標

2019 年 06 月 03 日2019 年 08 月 21 日趨勢科技 TrendMicro

éå¼µåçç alt å±¬æ§å¼çºç©ºï¼å®çæªæ¡åç¨±çº feature_vul-200x200.jpg

趨勢科技架設了一台機器模擬Docker主機來監控針對容器的惡意活動，這個蜜罐系統的主機有著對外暴露的API，這是容器相關威脅最常攻擊的目標之一。我們的目標是透過監控蜜罐系統來偵測是否有人找到它並用來部署有問題的容器，最終希望可以找出攻擊的源頭。我們最近檢查了蜜罐狀態，發現已經有容器被部署進去。

分析蜜罐系統的日誌和流量資料後發現此容器來自名為zoolu2的公開（因此可以連上）Docker Hub儲存庫。檢查並下載儲存庫的內容後，我們發現它包含了9個映像，裡面含有客製化shell、Python腳本、設定檔，還有Shodan和虛擬貨幣挖礦程式。請注意，Docker自己也發現了此儲存庫，並在本文撰寫時已經讓其離線。

zoolu2儲存庫內的所有映像都包含了門羅幣（XMR）挖礦程式。這引起了我們的興趣，因為我們之前看過了將容器部署成礦工。此外，有些映像包含了列出有對外暴露API Docker主機的Shodan腳本，我們推測這些腳本是用來找出進一步散播的目標。