https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

中芯數據觀察到GIS系統已成特定組織鎖定的攻擊目標

2024 / 05 / 13
編輯部
中芯數據觀察到GIS系統已成特定組織鎖定的攻擊目標
根據中芯數據IPaaS資安團隊的觀察和分析,發現疑似中國駭客組織以多種攻擊手法,對國內多個單位進行攻擊,且多針對於GIS系統與相關單位為主要目標。我們的研究員於2023~2024期間發現多筆針對GIS系統攻擊事件,且時至今日還持續進行中,從其行為可判斷該團體不斷試圖情搜本國地理資訊,如有在使用相關GIS系統的單位,建議盡快針對內部設備進行異常行為確認,或制定應對駭客攻擊的應急計劃,以免遭駭客潛伏於單位內部造成資安威脅。
 
案例分享
在去年的案例中,駭客對特定單位實施了多次攻擊,其中包括以GIS相關設備作為入侵點。他們使用遠端桌面(RDP)進行入侵,並利用一系列情搜指令如ipconfig、net user、quser等,注入惡意程式到正常程式中,並植入惡意後門進行潛伏。這些行爲顯示該集團可能試圖長期偷取GIS相關資料。此外,他們還使用特定手法刪除主機上的Event Log,增加鑑識調查的難度。為了避免防火牆封鎖國外IP的限制,他們將惡意中繼站IP設於台灣內,以確保連線不受阻礙。
 
在2023年初,攻擊者透過合作廠商的帳號進行了對單位A的攻擊。他們利用正常維護時間登入,而由於廠商負責系統維運,單位內未察覺異常。攻擊者在探測期間多次測試其他帳密,並企圖使用DLL Side-Loading手法躲避偵測。儘管3月導入IPaaS發現並阻擋了攻擊,但攻擊者仍持續對單位感興趣,於2023年內多次嘗試入侵,而IPaaS也都在第一時間即時通報,避免客戶資料被竊取。
 
標題駭客多次嘗試入侵, IPaaS都在第一時間即時通報,避免客戶資料被竊取。
 
 
持續擴大攻擊事件
在同一年底,單位B也發現了同一組攻擊者的活動。這次攻擊者為了擴大影響範圍,入侵後立即試圖掃描和連線大量設備,並掛載多個遠端磁碟。中芯數據資安團隊推測攻擊者試圖確認這些設備中的檔案,並嘗試刪除大量設備的日誌,以持續藏匿於單位設備中。另一家單位C屬於維護廠商,在其設備中也發現了攻擊者植入的「Cobalt Strike」試圖入侵。兩個單位都被IPaaS快速發現,並成功阻擋了攻擊,成功為我們的客戶避免了後續橫向風險的發生。
 
標題發現不同單位遭攻擊者植入試圖入侵,IPaaS都成功阻擋避免了後續橫向風險的發生。
 
在2024年,同一組駭客又出現在單位D進行攻擊。攻擊者曾在2023年底通過單位的VPN連線進入設備,並將未知的惡意程式放入其中。為了避免被偵測,這個惡意程式靜默運行了大約4個月,然後開始進行探測行為。為了進一步掩蓋其行蹤,攻擊者將惡意程式注入到正常服務中。這使得攻擊者可以利用設備內的任意程序進行探測。在被阻擋後的2個禮拜,攻擊者再次發動了攻擊。當然IPaaS服務在每次攻擊中都能即時通報,我們確保了服務單位的GIS相關資料沒有任何洩漏。
 
資安團隊的建議
根據中芯數據的觀察和分析,針對GIS系統的攻擊事件持續進行,這樣的情況下,針對這些攻擊採取一些安全措施是絕對必要的。以下是中芯數據資安團隊建議
 
  • 由於攻擊者使用台灣IP,阻擋國外IP已不再有效,建議對於需要對外或遠端維護的GIS相關設備進行行為偵測分析,以及時發現並應對攻擊行為。
 
  • 攻擊者有滅證行為,建議部署即時全收EDR以追蹤攻擊行為及來源,提高對攻擊的感知和應對能力。
 
  • 確認GIS維護廠商的資安防護措施,避免帳密和攻擊來源與維護廠商相關。強化維護廠商的資安能力將有助於有效保護單位免受攻擊。
 
最緊要的關鍵是建立針對未知惡意後門的檢測機制與因應措施,特別是面對攻擊者使用合法帳號和服務的方式進行攻擊。在建立這樣的機制時,以下問題需要特別注意:
 
  1. 每日大量告警是否有辦法進行全面確認?
  2. 資安人員能否分析告警是否為資安攻擊?
  3. 是否有人員鑽研最新的攻擊手法,針對單位進行調整?
  4. 如何在攻擊發生的第一時間給予佐證資料?
 
中芯數據IPaaS服務
考慮到攻擊者經常更換惡意程式和中繼站,傳統的黑名單、病毒碼和中繼站封鎖等防禦機制可能無法有效處理這些攻擊。在面對這種情況時,需要尋找更具彈性和靈活性的解決方案,包括如何更快地發現新型攻擊,即時發現並應對可能的安全漏洞和攻擊事件等。中芯數據的IPaaS服務可以作為內部資安團隊的延伸,提供更專業和全面的資安監控和應對能力。這種合作將能夠更快速地發現和應對進階威脅,有效保護組織的資訊安全。
 
中芯數據為客戶提供意圖威脅即時鑑識服務(IPaaS, Intention Prediction as a Service),達到保護企業網路安全的目的。IPaaS 不僅通過檢測全球情報和台灣獨有情報資料庫提供優質的資安防護,並透過獨有的Intended Intrusion Hunting(IIH)服務提供更先進進階的防禦能力。相較於傳統的資安設備都僅對單一行為進行偵測告警,IIH機制會對可疑行為的前後行為進行整合判斷,從而立即發現駭客的入侵行為,不論是利用系統或軟體漏洞進入,還是透過內部設備或合法管道進行入侵,都能即時偵測到。一旦發現可疑行為,IPaaS服務將立即通報並提供詳細的惡意程式資訊和完整的處置辦法,確保單位能成功應對各種最新的威脅,同時處理過程中單位內的服務都能正常運行不中斷。中芯數據 Cyber Defense Center 作為您企業內部資安團隊的延伸,協助企業共同防禦進階威脅。近一步了解中芯數據的IPaaS服務請至中芯數據官網。