每周安全速遞3??|STAC6451攻擊印度多家組織并部署Mimic勒索軟件
發布時間：2024-08-09
閱讀次數： 2002 次
STAC6451攻擊印度多家組織并部署Mimic勒索軟件研究人員在支持一起活躍事件時，發現了一個新的威脅活動集群STAC6451，該集群通過公開暴露在互聯網的Microsoft SQL Server數據庫服務器（默認TCP/IP端口1433）對印度的多家組織進行攻擊，試圖部署勒索軟件。STAC6451集群的主要特征是濫用SQL Server進行未經授權的訪問，并通過xp_cmdshell遠程執行代碼，使用BCP（大批量復制程序）工具在被攻擊的MSSQL數據庫中安置惡意負載和工具，包括權限提升工具、Cobalt Strike Beacons和Mimic勒索軟件二進制文件。此外，攻擊者還利用Python Impacket庫創建各種后門賬戶用于橫向移動和持久化。研究人員首次在2024年3月末發現該活動，當時支持某組織的SQL Server遭到攻擊并嘗試橫向移動。深入分析后，發現了多個具有相似戰術、技術和程序（TTPs）的事件，最終形成了STAC6451集群。該集群主要通過暴露在互聯網的MSSQL服務器獲取初始訪問權限，并使用簡單賬戶憑證進行暴力破解攻擊。攻擊者在獲取訪問權限后，啟用xp_cmdshell以通過SQL服務執行命令。
https://news.sophos.com/en-us/2024/08/07/sophos-mdr-hunt-tracks-mimic-ransomware-campaign-against-organizations-in-india/
勒索軟件攻擊致Sonic Automotive損失3000萬美元收入Sonic Automotive向投資者披露，一起針對其關鍵服務提供商CDK Global的勒索軟件攻擊導致其每股收益在截至6月30日的季度中下降了三分之一。作為美國第五大汽車零售商，Sonic Automotive因CDK Global在6月19日的網絡勒索事件受到嚴重影響，多個系統被迫停用，包括銷售、庫存、會計和客戶關系管理系統，導致北美汽車零售行業銷售受損。Sonic Automotive報告稱，第二季度GAAP稀釋后每股收益為1.18美元，比預期低0.64美元，主要因CDK Global系統中斷導致的估計收入損失和費用增加。此次事件估計使其第二季度稅前收入減少約3000萬美元，凈收入減少約2220萬美元，其中約1160萬美元用于支付因CDK停電而產生的員工額外補償。https://www.board-cybersecurity.com/incidents/tracker/20240621-sonic-automotive-inc-cybersecurity-incident/#8-ka-filed-on-2024-08-05
McLaren醫院系統因INC Ransom勒索軟件攻擊中斷McLaren Health Care醫院的IT和電話系統在一次與INC Ransom勒索軟件有關的攻擊后中斷。McLaren是一家年收入超過65億美元的非營利性醫療系統，在密歇根州運營13家醫院，擁有640名醫生和超過28000名員工，并與印第安納州和俄亥俄州的113000個網絡提供商合作。McLaren在其網站上發布聲明稱，正在調查其信息技術系統的中斷，建議患者在預約時攜帶詳細的藥物信息、醫生訂單和最近的實驗室測試結果。部分預約和非緊急或選擇性程序可能會被重新安排。盡管McLaren尚未披露事件的具體性質，但McLaren Bay Region Hospital的員工分享了一份勒索信，警告稱醫院系統已被加密，如果不支付贖金，數據將被泄露到INC Ransom勒索軟件團伙的網站上。https://www.mclaren.org/main/notification
勒索軟件團伙利用新型SharpRhino惡意軟件攻擊IT工作者
研究人員發現，Hunters International勒索軟件團伙正在使用一種名為SharpRhino的全新C#遠程訪問木馬（RAT），專門針對IT人員入侵企業網絡。此惡意軟件幫助Hunters International實現初始感染、提升在受感染系統上的權限、執行PowerShell命令，并最終部署勒索軟件。根據研究人員的報告，SharpRhino通過一個假冒合法網絡工具Angry IP Scanner網站的typosquatting站點傳播。Hunters International部署偽裝成合法開源網絡掃描工具的網站，表明其目標是IT人員，希望通過他們入侵具有提升權限的賬戶。https://www.quorumcyber.com/insights/sharprhino-new-hunters-international-rat-identified-by-quorum-cyber/2024年8月4日，全球各地的家庭用戶正遭受一波大規模的Magniber勒索軟件攻擊，設備被加密后需支付高達數千美元的贖金才能獲取解密器。自2024年7月20日以來，BleepingComputer論壇上尋求幫助的Magniber勒索軟件受害者激增，勒索軟件識別網站ID-Ransomware也收到了近720份相關提交。盡管目前尚不清楚受害者是如何感染的，但一些受害者表示，他們的設備在運行軟件破解或密鑰生成器后被加密，這也是威脅者過去常用的方法。一旦啟動，勒索軟件會加密設備上的文件，并在加密的文件名后附加隨機的5-9字符擴展名，如.oaxysw或.oymtk。勒索軟件還會創建名為READ_ME.htm的贖金通知，包含有關文件發生狀況的信息和訪問威脅者Tor贖金網站的唯一URL。Magniber的贖金要求通常從1000美元起，如果在三天內未支付比特幣，贖金將增加至5000美元。不幸的是，目前沒有免費解密當前版本Magniber加密文件的方法。https://www.bleepingcomputer.com/news/security/surge-in-magniber-ransomware-attacks-impact-home-users-worldwide/
勒索軟件攻擊導致Keytronic損失超過1700萬美元
電子制造服務公司Keytronic披露，最近的一次勒索軟件攻擊導致其額外開支和收入損失總計超過1700萬美元。公司在2024財年第四季度的初步財務報告中公布了與此次事件相關的成本。Keytronic表示：“由于此次事件，公司在第四季度產生了大約230萬美元的額外開支，并且預計損失了約1500萬美元的收入。”此次網絡攻擊發生于5月6日，導致美國和墨西哥的多個站點運營中斷。這些站點的運營因事件暫停了兩周。公司在6月初次報告時，已為外部網絡安全專家支付了約60萬美元的費用。黑客組織Black Basta聲稱對這次攻擊負責，并稱竊取了超過500GB的數據，包括財務文件、工程文件、人力資源信息及其他類型的公司數據。https://www.sec.gov/Archives/edgar/data/719733/000071973324000044/q42024preliminaryexhibit991.htm據研究人員報告稱，4月至6月間監控到的所有勒索軟件攻擊中，10%來自獨立操作員，這是一個巨大的激增。這些黑客很可能是Alphv（又名BlackCat）或LockBit的前附屬黑客，或因“有毒”勒索軟件品牌的曝光、干擾和利潤損失風險增加而決定獨立行動。并非所有被解散的勒索軟件團伙的前附屬黑客都選擇獨立行動。今年早些時候，一名受害者向Dark Angels勒索軟件團伙支付了迄今為止最高的公開勒索金額——7500萬美元。Dark Angels自2022年5月起運營，運行Dunghill數據泄漏網站，但“引起的關注非常少”。勒索軟件攻擊的不斷創新突顯了其盈利驅動，醫院、血庫、學校和關鍵基礎設施的反復攻擊就是證明。近年來，隨著勒索軟件即服務（RaaS）組織的興起，創新不斷。這些組織將開發加密鎖定惡意軟件、運行數據泄漏基礎設施和處理談判的操作員與使用惡意軟件攻擊目標的附屬黑客配對，通常附屬黑客可獲得每次勒索金額的70%或80%。https://www.coveware.com/blog/2024/7/29/ransomware-actors-pivot-away-from-major-brands-in-q2-2024
浙公網安備 33010502006954號 
