美國新聞業遭遇大規模供應鏈攻擊：數百家報紙網站被植入後門

2022 / 11 / 04

編輯部

美國安全廠商Proofpoint證實被駭的是一家主要向新聞機構提供影片和廣告內容的媒體公司，該公司服務美國多個新聞機構。

這次供應鏈攻擊背後的惡意團體為TA569，他們將惡意軟體注入各新聞媒體網站的JavaScript檔中。該惡意JavaScript檔安裝SocGholish，在網站上顯示虛假更新警告，再偽裝成瀏覽器更新但實為惡意軟體（例如Chromе.Uрdatе.zip、Chrome.Updater.zip、Firefoх.Uрdatе.zip等）感染網站訪問者。

Proofpoint威脅洞察團隊透露，該惡意軟體已被安裝在250多家美國新聞媒體網站之上，其中包括不少重量級新聞機構。雖然尚不清楚受影響新聞機構的確切數量，但Proofpoint表示包括國家新聞機構在內，已經有紐約、波士頓、芝加哥、邁阿密、華盛頓特區等地的多家媒體因此受害。

「TA569此前就曾利用媒體公司資產傳播過SocGholish。這種惡意軟體可能引發後續感染，包括潛在的勒索軟體攻擊。我們必須密切監視這種情況。」Proofpoint已經觀察到，TA569曾在攻擊目標被修復的幾天之後，再次感染。

與勒索軟體攻擊有關

Proofpoint曾觀察到，有SocGholish惡意活動利用虛假更新和網站重新定向來感染用戶，並在檔案中添加勒索軟體。Evil Corp網路犯罪團體也曾在一起類似的攻擊中使用過SocGholish，當時他們透過數十個被感染的美國報紙網站發送虛假軟體更新警報，借此蒙蔽了30多家美國私人企業中的員工。

一旦成功感染目的電腦，這群惡意駭客就會將這些設備作為入侵企業網路的跳板，嘗試部署該團夥的WastedLocker勒索軟體。

根據賽門鐵克發佈的報告，他們成功阻止了Evil Corp針對多家私營企業實施網路加密鎖定的嘗試。當時的事件共影響到30家美國企業，其中8家為Fortune 500大公司。

SocGholish最近還曾配合Raspberry Robin惡意軟體感染後門網路，微軟將此事定調為Evil Corp勒索攻擊前的準備行為。

本文轉載自Bleepingcomputer.com。

WastedLocker 勒索軟體攻擊媒體業 SocGholish TA569