Myasiacloud亚洲云海

  出于经济动机的 FIN7 网络犯罪团伙伪装成另一家名为 “Bastion Secure” 的虚构网络安全公司，以渗透测试为幌子招募不知情的软件工程师，可能是勒索软件计划的前奏。   Recorded Future 的 Gemini 咨询部门在一份报告中说： “ 借助 FIN7 最新的假公司，犯罪集团利用来自各种合法网络安全公司的真实、公开可用的信息，为 Bastion Secure 创造了一层薄薄的合法性面纱。 ” “FIN7 正在采用虚假信息策略，以便如果潜在雇员或感兴趣的一方要对 Bastion Secure 进行事实检查，那么在谷歌上粗略搜索就会返回与 FIN7 的 Bastion Secure 名称或行业相似的公司的 ‘ 真实 ’ 信息。 ”   FIN7 ，也被称为 Carbanak ，碳蜘蛛和 Anunak ，有一个跟踪记录引人注目的餐厅，赌博和酒店业在美国感染点的销售终端（ POS ）系统的恶意软件旨在收获信用卡和借记卡号码然后在地下市场上使用或出售以获取利润。最新发展表明该集团已扩展到高利润的勒索软件领域。   设立虚假前台公司是 FIN7 的一个久经考验的公式，该公司之前曾与另一家名为 Combi Security 的虚假网络安全公司有关，该公司声称向客户提供渗透测试服务。从这个角度来看， Bastion Secure 是这种策略的延续。   新网站不仅包含从其他合法网络安全公司（主要是 Convergent Network Solutions ）编译的窃取内容，运营商还在流行的招聘公告板上为 C++ 、 PHP 和 Python 程序员、系统管理员和逆向工程师宣传了看似真正的招聘机会，提供他们是面试过程中练习作业的几种工具。   对这些工具进行了分析，发现它们是后开发工具包 Carbanak 和 Lizar /Tirion 的组件，这两个工具包之前都属于该组织，可用于破坏 POS 系统和部署勒索软件。   然而，在招聘过程的下一阶段， Bastion Secure 参与犯罪活动变得明显，公司代表提供所谓的客户公司网络的访问权限，并要求潜在候选人收集有关域管理员、文件系统的信息和备份，表明强烈倾向于进行勒索软件攻击。   研究人员说：“ Bastion Sec

  透过计算机开机的统一可扩展固件接口（ UEFI ）的攻击手法，最近几年 被 资安人员 发现数个恶意软件，且攻击极为隐蔽而难以察觉、因应。例如，资安业者于 10 月 5 日揭露新的恶意软件 ESPecter ，它藉由 EFI 系统扇区（ EFI System Partition ， ESP ），而能持续在受害计算机运作，让攻击者得以绕过 Windows 的驱动程序强制签章机制（ DSE ），进而加载未签章的驱动程序，以便进行其他攻击行动。 针对这样的攻击手法 ，研究人员呼吁，使用者要严加防范：计算机要使用最新版本的韧体，并确定安全开机（ Secure Boot ）功能开启，再者，使用者也要留意特殊权限的管理，避免高权限账号遭到攻击者滥用。   1. 这样的工具会被如何？ 攻击者在受害计算机植入 ESPecter 之后，这个启动工具会窜改 Windows 启动管理器，而能在操作系统完全加载之前的早期启动阶段，执行没有签章的驱动程序，并绕过 Windows 驱动程序的强制签章要求。而这个没有签章的驱动程序，攻击者再以其他用户模块的组件注入，并启动 ESPecter 和 C2 中继站服务器的联机，使得攻击者能掌控受害计算机，执行 C2 命令，或是下载、执行其他的恶意软件。 而受这种攻击手法影响的范围，包含执行 Windows 7 至 Windows 10 的计算机。其中，研究人员指出，当中窜改 Windows 启动器档案（ bootmgfw.efi ）的手法，必须关闭 UEFI 安全开机才能达成。但究竟攻击者如何关闭受害计算机的安全开机功能？研究人员表示并不清楚，但推断有可能攻击者实际接触到受害计算机，或者是利用 UEFI 漏洞而能够达成。   2. 锁定 UEFI 韧体出现新手法 过往针对 UEFI 韧体攻击的恶意软件，主要是滥用 SPI 闪存，包含 ESET 在 2018 年揭露的 LoJax ，以及卡巴斯基于 2019 年发现的 MosaicRegressor 。 而这次他们发现的 ESPecter ，与卡巴斯基甫于今年 9 月底揭露的 FinSpy （亦称为 FinFisher ），则是锁定 EFI 系统扇区下手。在此之前，这种攻击 EFI 系统扇区的手法，只有出现在概念性验证（ PoC ）的攻击程序，并未于实际的攻击行动