TACERT台灣學術網路危機處理中心

[國際]微軟:俄羅斯國家的駭客正使用IoT設備來入侵企業網路

發佈日期：2019-08-05

參考位址： https://www.zdnet.com/article/microsoft-russian-state-hackers-are-using-iot-devices-to-breach-enterprise-networks/#ftag=RSSbaffb68

消息內容：

微軟:俄羅斯國家的駭客正使用IoT設備來入侵企業網路

新聞來源：ZDNet

微軟表示，他們偵測到名為Strontium的組織(APT28)正把目標指向VoIP電話，列印機，及影片解碼器。由俄羅斯政府所贊助的一個駭客組織正將IoT設備為目標，作為入侵企業網路的一種方式，並從企業網路轉向其他更有價值的目標。

微軟威脅情報中心(Microsoft Threat Intelligence Center)表示，已經觀察到一些攻擊行為。該中心是這家作業系統製造商的網路安全部門之一。作業系統製造者將攻擊歸咎於稱為Strontium的組織，也被稱作是眾所周知的APT28或Fancy Bear。
該組織此前曾參與2016年的DNC駭客攻擊，根據美國官員2018年提交的起訴書，該組織被認定為俄羅斯軍事情報機構GRU的26165部隊和74455部隊。

微軟在四月份發現了對IoT設備的攻擊
微軟表示，今年4月，其員工發現Strontium試圖“破壞多個客戶所在地的熱門IoT設備”。微軟表示，此組織試圖利用網路電話、辦公室印表機和影片解碼器。

這家總部位於Redmond的公司表示:“調查發現，一名攻擊者曾使用這些設備獲得企業網路的初始存取權限。”“在其中兩種情況下，這些設備的密碼沒有更改預設製造商的密碼，而在第三種情況下，最新的安全更新沒有應用到設備上。”

微軟表示，駭客利用受到攻擊的IoT設備作為進入目標內部網路的入口，在那裡他們將掃描其他易受攻擊的系統，以擴大最初的立足點。

微軟表示:“在獲得對每個設備的存取權後，攻擊者利用tcpdump來監聽本地子網上的網路流量。”

“他們還列舉了一些行政團體，企圖進一步進行漏洞利用。當駭客從一個設備移動到另一個設備時，他們會下載一個簡單的shell腳本，以便在網路上建立持久性，從而允許擴展存取繼續進行搜索。”作業系統製造商補充說。

微軟說，它在攻擊的早期階段就發現並阻止了這些攻擊，因此調查人員無法確定Strontium試圖從這些受到攻擊的網路中竊取什麼。

網路間諜組織越來越多地利用IoT設備

Strontium利用IoT設備並不是一個新策略。該組織此前使用VPNFilter惡意軟體創建了一個由數萬台家用路由器組成的殭屍網路。

專家們認為，Strontium準備在歐冠賽當晚使用殭屍網路發起DDoS攻擊。歐冠賽將於當年在烏克蘭基輔舉行。

但除了Strontium，其他國家資助的組織也開始瞄準IoT設備和主要路由器。例如，LuckyMouse、Inception Framework和Slingshot。

微軟計劃在本周晚些時候的“Black Hat美國2019安全會議”上公佈更多關於2019年4月發生的Strontium攻擊事件的資訊。微軟關於這些最近的攻擊的報告包括了一些入侵指標(IoCs)，例如Strontium命令和控制(C&C)伺服器的IP位址，這些組織可能想要在他們的網路上阻止

回最新消息列表頁