本系列三篇部落格將探討 CNC 工具機相關的資安風險。
在本系列的第 1 篇，我們探討了 CNC 工具機的用途與基本觀念，這些觀念對進一步了解這類機械及其整體作業方式相當重要。此外，我們也說明了我們如何評估研究所挑選的廠商。
接下來這篇，我們將繼續說明我們對廠商的評估，並點出我們的研究發現。
繼續閱讀工業 4.0：CNC 工具機資安風險 (中篇)
作者: 趨勢科技 TrendMicro
趨勢科技併購 SOC 技術專家 Anlyz
這項技術併購將進一步強化業界最廣泛使用的 XDR 資安平台
【2023 年 2 月 23 日台北訊】全球網路資安領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 今天宣布正式簽約併購資安營運中心(SOC) 技術領導廠商 Anlyz。這項併購將進一步延伸趨勢科技的協作、自動化與整合能力，並且讓企業及託管式資安服務供應商 (MSSP) 提升營運效率、成本效益及資安成效。
此併購案包含了智慧財產、產業專業能力以及超過 40 名的具專業技術的員工，主要著重於支援趨勢科技的資安平台策略。透過此次併購，趨勢科技將能擴大其原本 超過3,000 多人的研發團隊，同時也在印度班加羅爾 (Bangalore) 增加一個新的研發中心。
繼續閱讀工業 4.0：CNC 工具機資安風險 (上篇)
本系列三篇部落格將探討 CNC 工具機相關的資安風險。
CNC 全名為「電腦數值控制」，是一種工廠內用來製造產品的工具機，這類機器已廣泛使用多年，而且在過去 10 年當中，由於連線能力的提升，這類工具機的應用還變得更廣。連線能力的提升也使得這類工具機更依賴軟體來運作，因此也更容易遭到駭客攻擊。這項弱點起因於工廠環境充斥著各式各樣的技術，但使用者卻缺乏安全觀念，不知該如何保護系統。
本系列三篇部落格將探討 CNC 工具機相關的資安風險。我們針對四家代表性廠商進行了一系列資安評估，同時分析了工業 4.0 潮流下的一些技術發展，並針對真實世界安裝情境進行一系列的攻擊實驗。
以下是這份研究在挑選廠商時的幾個條件：
- 地理區域分散 (也就是總部和分支機構遍部全球)，同時業務也遍布全球。
- 在市場上已經有數十年歷史。
- 規模龐大，例如年營收至少 10 億美元以上。
- 採用業界廣泛使用技術，遍及各種不同製造領域。
了解 CNC 工具機
工具機是一種使用刀具來將一塊原料切削成產品的裝置，這個過程稱為機械加工，它可生產出符合特定幾何形狀的成品。機械加工是一種消去法，換句話說，就是將不要的部分削除來創造出想要的形狀。
所謂「數位控制」(NC) 是一種透過電腦來控制工具機的技術，這項技術革命性改變了工具機，讓它們變得更加精準，使用上也更有彈性。NC 工具機現在廣泛應用於製造業，但也可應用於其他類型的設備，例如雷射與彎曲機。
基本概念
為了讓讀者更容易理解我們的研究結果，以下稍微介紹工具機的一些基本概念：
- 數值控制。NC 是這台機器最重要的單元，因為它控制了整個流程。這套系統包含了視覺化程式設計功能，可加快製造程序的設定。此外，NC 一定會配備人機介面 (HMI) 來幫助操作人員控制機器。
- 程式設計。工具機最普遍使用的程式設計語言是「G-code」(或稱為「G 碼」，也就是 RS-274)，開發於 1950 年代。其程式是一連串的指令，每個指令由一個字母開頭的位址碼加數字組成，一行可以有好幾個指令，每一行稱做一個「單節」(block)。位址碼代表的是移動方式或使用者呼叫的機能。
- 參數化程式設計。參數化程式設計是一種可讓程式根據不同數值而做調整的方式。這是透過使用者輸入的變數值來達成，程式會根據這些輸入值來做一些改變。這在工具機當中用來協助處理生產系統之間的回饋與封閉迴路控制之類的情況。
- 單節執行 (Single Step)。此功能可以讓工作程式一次只執行一行。這樣一來，操作人員就能檢查程式碼執行後的結果是否達到最佳效果，進而決定是否該手動修改。
- 進給暫停 (Feed Hold)。進給暫停功能主要用來查看複雜功能是否正確執行，先查看一下正在加工的部位然後再繼續執行後續步驟。事實上，材料切削過程中所產生的碎屑有可能累積在加工部位，或累積在偵測器上，進而導致測量失準，或造成後續加工上的瑕疵 (如果碎屑沒有清除的話)。
- 刀具。機械加工是一種使用「刀具」來將一塊原始材料上不要的部分去除的製造技巧。切削的動作是藉由被加工材料與刀具之間的相對速度來達成，也就是所謂的切削速度或表面速度。除了這項參數之外，進給速度 (feed rate) (也就是刀具沿著被加工材料移動的速度) 也會影響碎屑移除的過程。刀具的種類繁多，視加工的需求而定。
廠商評估
針對每一家我們研究的廠商，我們會對其工具機執行一系列相同的資安評估：
- 所謂「工業 4.0 相容」技術是智慧工廠設備用來對外傳輸資訊的一些介面和相關通訊協定，例如將生產資料傳送至中央系統以改善管理或降低成本，此外也方便遠端管理，如此操作人員就不須親臨現場也能變更要執行的程式。
- 我們利用像 Nessus 這類的自動化掃描工具來發掘這些對外暴露的服務是否有潛在的漏洞，包括一些可能造成危險的已知漏洞和組態設定錯誤，不過我們暫時略過這些問題，將焦點擺在領域相關的 CNC 介面攻擊。
- 接著，我們深入分析前面發現的 CNC 相關技術，看看是否存在著被攻擊的風險，並針對 CNC 控制器發動實際攻擊。為此，我們開發了一個攻擊工具，然後搭配廠商提供的專屬 API 來攻擊我們發現的領域相關介面弱點。
- 我們將相關證據蒐集起來，然後通報給廠商，並提出一些防範建議。所有證據都來自於我們對真實世界安裝環境的測試結果，不過我們也使用模擬器來執行一些初步測試，或者當身邊沒有可用的實際環境時，也會用模擬器進行測試。
既然我們對 CNC 工具機已經有了一些基本認識，接下來在本系列的第 2 篇，我們將深入討論這次挑選的幾家廠商，包括我們如何評估這些廠商，以及我們的研究發現。
勒索病毒 Mimic 利用 Everything API 來執行加密流程
趨勢科技研究員最近發現了一個新的勒索病毒會利用一個名為「Everything」的合法工具當中的 API，這是一個由 Voidtools 所開發的 Windows 檔名搜尋引擎，可快速搜尋並即時更新，且資源用量很低。
趨勢科技研究員最近發現了一個新的勒索病毒會利用一個名為「Everything」的合法工具當中的 API，這是一個由 Voidtools 所開發的 Windows 檔名搜尋引擎，可快速搜尋並即時更新，且資源用量很低。這個勒索病毒 (我們根據其執行檔內的某個字串將它命名為「Mimic」) 最早是在 2022 年 6 月在網路上被發現，專門攻擊使用俄羅斯文與英文的使用者。它擁有許多功能，例如：刪除系統還原點 (shadow copy)、終止各種應用程式和服務、利用 Everything32.dll 函式來查詢它準備加密的目標檔案。
本文將詳細探討 Mimic 勒索病毒的元件和功能，以及它與 2022 年初外洩的 Conti 勒索病毒產生器之間的關聯。
入侵形態與元件
Mimic 是以執行檔的形態進入系統，該執行檔會在系統植入多個二進位檔案，以及一個密碼保護的壓縮檔 (假冒成 Everything64.dll)，該檔案解壓縮後就會出現勒索病毒的惡意檔案。此外也包含一些用來關閉 Windows Defender 的工具，以及合法的 sdel 二進位檔。
| 檔案名稱 | 說明 |
| 7za.exe | 合法的 7zip 檔案，用來解壓縮惡意檔案。 |
| Everything.exe | 合法的 Everything 應用程式。 |
| Everything32.dll | 合法的 Everything 應用程式。 |
| Everything64.dll | 密碼保護的壓縮檔，內含惡意檔案。 |
當該病毒執行時，首先它會將其元件植入「%Temp%/7zipSfx」資料夾。接著，使用它植入的 7za.exe 來解開密碼保護的 Everything64.dll 檔案到同一個目錄下，指令如下：
%Temp%\7ZipSfx.000\7za.exe” x -y -p20475326413135730160 Everything64.dll
此外，它還會將連線階段金鑰檔「session.tmp」寫入同一目錄，萬一它在加密過程中被打斷，就能使用這個檔案來繼續執行加密。
接著，它會將植入的檔案複製到「%LocalAppData%\{Random GUID}\」，然後勒索病毒會被重新命名為「bestplacetolive.exe」，並且將「%Temp%」目錄中的原始檔案刪除。
根據我們的分析，Mimic 還可支援其他指令列參數，如表 2 所示。
| 指令列選項 | 可接受的數值 | 說明 |
| -dir | 要加密的檔案路徑 | 要加密的目錄。 |
| -e | all local net watch ul1 ul2 | 全部加密 (預設)。 加密本機檔案。 加密網路共用資料夾中的檔案。 ul:unlocker 建立一個具備跨處理程序通訊 (IPC) 功能的執行緒並試圖 解鎖另一個處理程序的某些記憶體位址。 |
| -prot | 保護勒索病毒不被終止。 | |
| -pid | <整數> | 先前執行的勒索病毒處理程序識別碼 (PID)。 |
表 2：Mimic 勒索病毒可接受的參數。
Mimic 勒索病毒分析
Mimic 勒索病毒會利用 CreateThread 函式來建立多個執行緒以加快加密流程，並且讓資安研究人員的分析工作更具挑戰性。
當它執行時，它首先會利用 RegisterHotKey API 註冊一組快捷鍵 (Ctrl + F1)，按下這組快捷鍵會顯示勒索病毒的執行狀態記錄檔。
勒索病毒的設定是存在於它的 Overlay 記憶體中並且使用 NOT 運算元來解密。
以下圖 8 詳細顯示其設定中的項目和數值。
Mimic 勒索病毒具備了多種能力，包括：
- 蒐集系統資訊。
- 透過 RUN 機碼常駐系統。
- 略過使用者帳戶控制 (UAC) 機制。
- 停用 Windows Defender。
- 停用 Windows 監測功能。
- 啟用防關閉措施。
- 啟用防終止措施。
- 卸載虛擬磁碟。
- 終止處理程序和服務。
- 停用系統的睡眠模式與關機功能。
- 移除指標。
- 防止系統還原。
在加密過程當中使用 Everything32 API
Mimic 使用「 Everything32.dll」這個合法的 Windows 檔案名稱搜尋引擎來即時搜尋檔案。它會利用這個工具來查詢某些副檔名與檔名，利用 Everything 的 API 來取得檔案的路徑以便加密。
它使用 Everything_SetSearchW 函式來搜尋要加密或避開的檔案，搜尋格式如下：
file:<ext:{list of extension}>file:<!endwith:{list of files/directory to avoid}>wholefilename<!{list of files to avoid}>
有關 Mimic 會搜尋或避開哪些檔案的詳細資訊，請參閱此處。
接著它會將「.QUIETPLACE」副檔名附在被加密的檔案名稱後端，最後，它會顯示勒索訊息。
圖 11：遭到 Mimic 勒索病毒加密的檔案。
Conti 勒索病毒產生器外流的程式碼
根據我們的分析，該病毒有某些程式碼似乎是以 2022 年 3 月外洩的 Conti 勒索病毒產生器為基礎。例如，在 Mimic 和 Conti 的加密模式當中，有些模式的數值是一樣的。
參數「 net」相關的程式碼也是以 Conti 為基礎。它會使用 GetIpNetTable 函式來讀取 Address Resolution Protocol (ARP) 快取，並檢查 IP 位址是否含有「172.」、「192.168」、「10.」或「169.」等字樣。Mimic 還增加了一個過濾規則來排除含有「169.254」字樣的 IP 位址，因為這是 Automatic Private IP Addressing (APIPA) 的 IP 位址。
此外，Mimic 在搜尋 Windows 網路共用資料夾時也使用到 Conti 的程式碼，它使用 NetShareEnum 函式來尋找所有其蒐集到的 IP 位址上的共用資料夾。
最後，Mimic 的連接埠掃描函式也是參考 Conti 產生器。
有關 Mimic 勒索病毒行為的更多詳細資訊，請參閱這份報告。
結論
具備多種能力的 Mimic 勒索病毒似乎是採用了一種新的作法來加快動作，它在加密過程當中運用了多重執行緒，並使用 Everything 的 API，如此可降低資源的用量，執行起來更有效率。此外，Mimic 背後的駭客似乎擁有豐富的資源與不錯的技術能力，他們擷取了一個外洩的勒索病毒產生器中的多項功能，然後加以改良來提高攻擊成效。
要保護系統免於勒索病毒攻擊，我們建議不論是一般使用者或企業都應該養成良好資安習慣並採取最佳實務原則，例如透過資料防護、備份及復原措施來保護可能被加密或清除的資料。定期執行漏洞評估並隨時修補系統，如此可降低那些專門攻擊漏洞的勒索病毒所帶來的損害。
一套多層式的方法有助於企業防範各種駭客可能入侵其系統的途徑，如：端點、電子郵件、網站以及網路。此外，還可利用適當的資安解決方案來偵測惡意元件與可疑行為來保護企業。
- Trend Micro Vision One™ 提供了多層式防護與行為偵測，可提早攔截可疑行為與工具，不讓勒索病毒有機會造成破壞。
- Trend Micro Cloud One™ Workload Security 可保護系統，防範已知和未知的漏洞攻擊。這項防護採用的是像虛擬修補和機器學習這樣的技巧。
- Trend Micro™ Deep Discovery™ Email Inspector 採用客製化沙盒模擬分析與進階分析技巧來有效攔截勒索病毒用來突破企業防線的惡意郵件 (包括網路釣魚郵件)。
- Trend Micro Apex One™ 可進一步提供自動化威脅偵測及回應，防範無檔案式威脅與勒索病毒等進階攻擊，保障端點安全。
入侵指標資料
如需本文當中提到的入侵指標，請參閱 此處。
原文出處：New Mimic Ransomware Abuses Everything APIs for its Encryption Process
✅防毒防詐✅守護帳密✅VPN安心串流✅阻絕惡意✅安心蝦拚
PC-cillin 讓你的『指指點點』可以開心又安心點！
