資安威脅趨勢 - 伊朗駭客OilRig利用Windows核心漏洞用於提升權限，便植入後門程式
伊朗駭客OilRig利用Windows核心漏洞用於提升權限，便植入後門程式
一、摘要
資安業者趨勢科技針對伊朗駭客OilRig近期的攻擊行動提出警告，指出駭客過程中會運用今年6月修補的Windows核心漏洞CVE-2024-30088，而能在受害主機提升權限至SYSTEM。
二、存在風險
資安業者趨勢科技揭露伊朗駭客OilRig的攻擊行為，該行動是針對Windows作業系統核心已知漏洞CVE-2024-30088，CVSS風險評為7.0分。駭客運用架構後門程式，企圖挖掘受害Exchange伺服器的帳密資料，並在加入CVE-2024-30088，以便於受害環境當中提升權限，並於Exchange伺服器部署能洩露敏感資料的後門程式，而收集到的資料則會轉送到駭客的電子郵件信箱。駭客還會藉由受害組織向其他政府機關下手，進行供應鏈攻擊。
駭客攻擊分析：
- 初始感染路徑：攻擊從上傳到具有Web Shell的Web 伺服器開始，Web Shell允許執行PowerShell命令和上傳、下載文件。攻擊者利用這一途徑下載ngrok遠端管理工具進行橫向移動，並進入網域控制器。
- 特權提升：攻擊者利用CVE-2024-30088進行特權提升，該漏洞允許執行SYSTEM級別的任意代碼。攻擊者使用RunPE-In-Memory技術將後門載入記憶體中，藉此達到隱蔽的效果。
- 持續性：攻擊者通過註冊密碼篩選DLL來攔截用戶的明文密碼，並將其外洩至由攻擊者控制的郵件地址。
- 資料竊取：資料外洩主要透過Exchange Server進行，攻擊者利用合法的帳號和密碼將被竊取的憑證和敏感資料作為附件發送到特定的郵箱。
IoC：
- db79c39bc06e55a52741a9170d8007fa93ac712df506632d624a651345d33f91 Update.dll
- a24303234e0cc6f403fca8943e7170c90b69976015b6a84d64a9667810023ed7 passwin.dll
- 6e4f237ef084e400b43bc18860d9c781c851012652b558f57527cf61bee1e1ef temp.ps1
- b3257f0c0ef298363f89c7a61ab27a706e9e308c22f1820dc4f02dfa0f68d897 t.exe
- abfc8e9b4b02e196af83608d5aaef1771354b32c898852dff532bd8cfd2ce59d Defaults.aspx
- 43c83976d9b6d19c63aef8715f7929557e93102ff0271b3539ccf2ef485a01a7 u.ps1
- ca98a24507d62afdb65e7ad7205dfe8cd9ef7d837126a3dfc95a74af873b1dc5 Defaults.aspx
- 7ebbeb2a25da1b09a98e1a373c78486ed2c5a7f2a16eec63e576c99efe0c7a49 Microsoft.Exchange.WebServices.dll
- c0189edde8fa030ff4a70492ced24e325847b04dba33821cf637219d0ddff3c9 Logout.aspx
- 6d8bdd3e087b266d493074569a85e1173246d1d71ee88eca94266b5802e28112 p.enc
- 27a0e31ae16cbc6129b4321d25515b9435c35cc2fa1fc748c6f109275bee3d6c e.xml
- 54e8fbae0aa7a279aaedb6d8eec0f95971397fea7fcee6c143772c8ee6e6b498 r.exe
- 1169d8fe861054d99b10f7a3c87e3bbbd941e585ce932e9e543a2efd701deac2 p.ps1
- af979580849cc4619b815551842f3265b06497972c61369798135145b82f3cd8 j.ps1
- 1d2ff65ac590c8d0dec581f6b6efbf411a2ce5927419da31d50156d8f1e3a4ff Defaults.aspx
- abfc8e9b4b02e196af83608d5aaef1771354b32c898852dff532bd8cfd2ce59d s.inc
- 98fb12a9625d600535df342551d30b27ed216fed14d9c6f63e8bf677cb730301 n.exe
- edfae1a69522f87b12c6dac3225d930e4848832e3c551ee1e7d31736bf4525ef PsExec64.exe
- ca98a24507d62afdb65e7ad7205dfe8cd9ef7d837126a3dfc95a74af873b1dc5 Globals.aspx
建議改善措施：
- 定期更新系統和軟體。
- 執行存取控制，最小化存取之權限。
- 定期執行安全評估。
- 定期執行安全意識訓練。
- 儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。
情資報告連結：https://www.trendmicro.com/en_us/research/24/j/earth-simnavaz-cyberattacks-uae-gulf-regions.html
