「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」榮獲Computex Best Choice Award 金獎
IR 服務深度介紹

威脅狩獵案例分享:勒索軟體入侵之調查與應變

2023.06.26Global Support & Service
Share:
TeamT5 杜浦數位安全專注資安威脅情資分析與端點防護解決方案,並成立威脅偵測應變代管服務 (MDR) 團隊,協助國內外客戶狩獵資安威脅,即時防禦可疑的資安事件。
本次部落格綜合近期威脅狩獵案例,與讀者分享 TeamT5 實際如何進行威脅狩獵,給予使用類似資訊系統配置的企業,做為參考。

事件開端

TeamT5 威脅偵測應變代管服務 (MDR) 團隊同仁於2023年4月中旬,發現客戶端部署 TeamT5 解決方案 ThreatSonar Anti-ransomware (下簡稱ThreatSonar)之設備,跳出勒索事件阻擋告警;團隊同仁即於第一時間通報客戶,客戶表示此端點為伺服器區的資料庫主機。

事件通報內容

本次事件由 ThreatSonar 雲端平台版本偵測到,標記為高風險事件。TeamT5 團隊隨即通報客戶,內容包含有以下資訊:
  • 端點HOSTNAME:WEB-DB
  • 端點IP:172.16.x.x
  • 觸發條件:Ransomware
  • 惡意程式路徑:C:\XXX\example.exe
  • 分析結果:端點遭執行勒索軟體,因觸發ThreatSonar勒索防護規則遭攔截
  • 處置建議:
    • 透過 ThreatSonar 對端點進行隔離,避免攻擊者進行橫向移動,減低受害範圍。
    • 進行資安事件調查程序(Incident Response, IR)。

事件調查

通報完成後,TeamT5 團隊 – 威脅偵測應變代管服務團隊與資安事件調查團隊 – 共同協助客戶進行根因調查,詳細檢視 ThreatSonar 雲端平台上相關主機的報告及客戶端主動提供之 log 檔案。

事件結果

  • 在這次的勒索事件中,ThreatSonar 的掃描報告顯示,除勒索軟體本身之外,並未有其他惡意程式或是木馬軟體存在,因此增加調查的困難度。隨後查閱 eventlog 發現有異常的登入紀錄 (EventID 4625),便與管理者確認來源為對外服務之網頁應用程式主機。
  • 可疑來源主機於 ThreatSonar 並無監控記錄,管理者表示這台主機主要負責對外廠商提供網頁服務,並未安裝 ThreatSonar Agent。TeamT5 團隊認為這台主機極有可能是攻擊者所使用之跳板,當下請管理者對該主機進行實體隔離,並使用 ThreatSonar 離線掃描工具進行檢測。
  • TeamT5 團隊在取得報告之後發現該主機上含有 Webshell 惡意程式和開源內網穿透工具FRP,攻擊者可以透過此 Webshell 對內網進行攻擊(如:遠端指令、竊取帳密、提權、內網探測等行為)。
  • TeamT5 團隊在分析相關 log 後確認攻擊者利用客戶網頁之上傳功能漏洞,於數個月前便對客戶網站進行掃描,並於年初上傳了 Webshell 惡意程式,進行後續一連串的探測和攻擊行為。

本次事件攻擊路徑與時間軸

teamt5-mdr-team-threat-hunting-case_pic1.JPG

teamt5-mdr-team-threat-hunting-case_pic2.JPG

事件後續改善做法

TeamT5 團隊在調查完成之後,對客戶提出以下建議:
  • 針對遭勒索攻擊之主機,建議還原取回重要檔案後重建。
  • 相關遭利用之主機,建議清除惡意程式和駭客工具。
  • 盤點網頁服務中的上傳功能,對前後端進行上傳檔案限制(檔案類型、附檔名、大小),對於上傳的檔案利用沙箱或是檔案清洗方案進行檢測,並加強具有上傳功能頁面之權限控管。
  • 盤點場域內未控管主機,安裝並持續使用 ThreatSonar 監控。
  • 對 Webshell 及 FRP 調查中所取得之 Command & Control (C2)位置,於防火牆進行封鎖和關聯,確認是否有其他受害主機。
  • 內網劃分區隔,各網段間流量要通過防火牆控管及監控。
  • 重設高權限使用者密碼。

TeamT5 威脅偵測應變代管服務 (MDR) 團隊呼籲

針對近期攻擊行為,我們建議企業採取以下做法,增強資安韌性,防禦可能的攻擊:
  • 採用VPN帳號啟用雙因子驗證 (Two-Factor Authentication, 2FA)。
  • 加強網頁上傳功能的前後端驗證機制。
  • 除重要主機資料定期備份外,勒索軟體第一步會刪除 Windows 還原點,需要對還原點進行保護措施。



TeamT5 杜浦數位安全提供威脅偵測應變代管服務 (Managed Detection and Response, MDR),由擅長防禦的專家團隊與企業一同應變,防禦多元的惡意程式入侵;由經驗豐富的專家團隊與企業攜手,防禦持續演進的攻擊手法。
立刻聯絡我們,展開資安防禦第一步: https://teamt5.org/tw/request-information/
2023.06.26Global Support & Service
Share:
為提供您最佳的服務體驗,本網站使用 Cookies。當您使用本網站,即表示您同意 Cookies 技術支援。更多資訊請參閱隱私權與Cookies使用政策。