site logo: www.epochtimes.com

骇客恐将再攻击10企业 调查局:立即检查防护机制

调查局资安站副主任刘家荣提醒,骇客恐将发动下一波攻击,国内企业应立即针对网路防护机制进行检查。(袁世钢/大纪元)
人气: 161
【字号】    
   标签: tags: , ,

【大纪元2020年05月15日讯】(大纪元记者袁世钢台湾台北报导)中油总公司资讯系统、台塑加油站电脑主机日前接续遭骇客入侵,感染恶意勒索病毒,引发国安疑虑。调查局资安站副主任刘家荣15日表示,骇客使用的中继云端主机公司负责人为华裔人士;他也提醒,骇客恐将发动下一波攻击,国内企业应立即针对网路防护机制进行检查。

刘家荣表示, 4日至5日国内共有3家重要能源及科技公司的内部系统、个人电脑及服务器等资讯设备,接连遭勒索软体攻击,造成重要档案均无法开启,使营运受到严重影响,并收到骇客要求交付赎金的电邮。为稳定国内重要能源及科技企业营运、遏止网路犯罪,调查局遂成立专案小组侦办。

中油总公司资讯系统、台塑加油站电脑主机日前接续遭骇客入侵,调查局表示,骇客使用的中继云端主机公司负责人为华裔人士。(大纪元资料照)

经查发现,骇客在数月前透过Web服务器、员工个人电脑、网页等途径,入侵公司内部网路潜伏,窃取特权账号后侵入网域控制服务器(AD),并利用AD的派送功能将勒索加密软体散布至全公司电脑。骇客利用凌晨时段窜改群组原则(GPO)派送工作排程,并预埋lc.tmp恶意程式;当员工上班打开电脑时,会立即套用遭窜改的GPO并自动下载,执行勒索软体。

刘家荣指出,若电脑中的档案遭加密成功,会显示勒索讯息及联络电邮账号。同时,骇客也留有连往境外中继站的后门程式,该中继站为骇客向美国云端主机(VPS)服务提供商“petaexpress.com”所租用,并使用商用渗透工具Cobaltstrike作为远端存取控制器;据了解,“petaexpress.com”的负责人是华裔人士,而该骇客组织为Winnti Group或与其关系密切的骇客,目前已由国外司法单位协查。

然而,刘家荣也提醒,根据情资显示,骇客将在近日针对国内10家企业再度发动攻击,研判遭骇客锁定的10家企业应已遭入侵潜伏长达数月,因此国内企业应立即检查对外网路服务是否存在漏洞或破口,重要主机应关闭远端桌面协定(RDP)功能等;并观察企业VPN有无异常登入行为或遭安装SoftEther VPN及异常网路流量,如异常的DNS Tunneling、异常对国内外VPS的连线等。

此外,国内企业应注意具软体派送功能的系统,如网域/目录(AD)服务器、防毒软体、资产管理系统,尤其是AD服务器的群组原则遭异动、工作排程异常新增等;并更新防毒软体病毒码,留意防毒告警,极可能是大范围感染前之征兆;加强监控网域中特权账号,应限定账号使用范围与登入主机,并建立备份机制,离线保存。

责任编辑:玉珍

评论