資安威脅趨勢 - 駭客利用勒索軟體BlackByte 2.0入侵Exchange伺服器

                     

駭客利用勒索軟體BlackByte 2.0入侵Exchange伺服器

一、摘要

        微軟揭露勒索軟體BlackByte 2.0的攻擊行動，駭客鎖定尚未修補的Exchange伺服器，藉由ProxyShell漏洞(CVE-2021-34473、CVE-2021-34523和CVE-2021-31207)入侵組織/單位，並於提升權限後部署Web Shell後門程式及Cobalt Strike Beacon建立C2的通訊，再以寄生攻擊（LoL）的手法，透過AnyDesk、NetScan、AdFind進行偵察，最終使用名為ExByte的自製工具洩露資料，並執行檔案加密。

二、存在風險

        微軟揭露勒索軟體BlackByte 2.0的攻擊行動，駭客鎖定尚未修補的Exchange伺服器，藉由ProxyShell漏洞(CVE-2021-34473、CVE-2021-34523和CVE-2021-31207)入侵組織/單位，並於提升權限後部署Web Shell後門程式及Cobalt Strike Beacon建立C2的通訊，再以寄生攻擊（LoL）的手法，透過AnyDesk、NetScan、AdFind進行偵察，最終使用名為ExByte的自製工具洩露資料，並執行檔案加密。據觀察，攻擊者是透過185.225.73[.]244這組來源，對Exchange伺服器進行入侵行為。

        攻擊技巧：

• 利用未修補的Exchange漏洞
• 部署Web Shell進行遠端存取
• 使用合法工具（Living Off-Land, LoL）持續探測和保持立足點
• 部署Cobalt Strike與C2進行溝通
• 採用處理程序挖空（Process Hollowing）藉規避資安系統偵測
• 部署後門軟體，藉以保持存取權，以及收集資訊
  
  

            勒索軟體BlackByte 2.0的能力：

1. 繞過防毒軟體偵測
2. Process Hollowing將合法的Process程式掏空，並替換成自己的惡意程式。
3. 修改或關閉Windows Firewall
4. 修改磁區陰影複製
5. 修改Registry Key/Value

        

        中繼站：

1. hxxps://myvisit[.]alteksecurity[.]org/t
2. hxxps://temp[.]sh/szAyn/sys.exe
3. 109.206.243[.]59:443

        

        探測所用之工具：

1. netscan.exe 
• SHA-256:1b9badb1c646a19cdf101ac4f6fdd23bc61eaab8c9f925eb41848cea9fd0738e
  
  
2. netapp.exe
• SHA-256:1b9badb1c646a19cdf101ac4f6fdd23bc61eaab8c9f925eb41848cea9fd0738e

        建議改善措施：

1. 確保對外服務之伺服器（如：Exchange Server）皆有進行修補。
2. 部署EDR，確保可以監控到惡意活動。
3. 定期更新防毒軟體資料庫。
4. 於防火牆啟用IPs功能，藉以阻擋外部入侵行為。
5. 將中繼站和惡意來源加入防火牆，進行聯防。
   
   

       情資報告連結：https://www.microsoft.com/en-us/security/blog/2023/07/06/the-five-day-job-a-blackbyte-ransomware-intrusion-case-study/