香港保安觀察報告 (2022年第二季度)

涉及釣魚攻擊的網站，從2022年第一季度的806個，增加524%至第二季度的5,033個，大多網站都用相類近網址，相信黑客是利用自動化工具於短時間內產生及登記大量域名及架設釣魚網站。釣魚攻擊日益猖獗，機構除了要提高員工的保安意識來辨別釣魚攻擊的特徵外，建立一套全面的保安事故應變守則，以應對員工不幸中招，亦非常重要。

HKCERT最近出版了《中小企保安事故應變指南》，以情景方式介紹當保安事故發生時，由籌備到事故後處理的應變程序，當中涵蓋多種常見的攻擊種類，包括分散式阻斷服務、惡意軟件、釣魚電郵及網頁塗改/入侵等。指南亦附有檢查清單，讓中小企自行核對應變程序有否遺漏。可按此處下載。

微分段是什麼？為何在「零信任」中十分重要？

微分段是零信任架構的骨幹，它幫助企業遇到資訊保安事故時減低攻擊面和影響範圍，是一種常用於數據中心及雲端環境中創建網絡區域的方法，用作隔離及保護每一組獨立的工作負載。透過微分段，系統管理員可以基於零信任架構創建策略及限制工作負載之間的網絡流量。企業使用微分段能有效減少網絡攻擊範圍，改善保安事故的控制，並加強法規遵從性。

傳統網絡設計上只分為三個區域，內部網絡、外部網絡，以及放置要暴露於互聯網的伺服器的子網絡DMZ （Demilitarised Zone）。員工從內部網絡進入內部系統會被認為是符合保安要求的，繼而得到較寬鬆的限制，但其實很多網絡保安事故都是由黑客控制員工電腦後，再進行橫向攻擊的。

至於微分段網絡設計，它會利用到最少權限原則，例如網絡設計上會細分為不同部門及功能所需，部門一的員工只能存取所屬部門的系統，而部門二的員工是不能存取部門一的系統的，而每個部門的網絡必需有防火牆保護。微分段網絡設計有效地縮小攻擊規模及受影響時的範圍。

來源：https://www.techtarget.com/searchnetworking/definition/microsegmentation

如何實行「零信任」架構？

有關實施「零信任」所需的技術或工具，企業可以參考以下內容：

表1 – 實行「零信任」的技術或工具

企業需要先按不同業務所需，再制定相應的保安政策。在考慮使用任何技術或工具前，都應了解有否保安風險及風險被利用的後果。就算制定好了一套「零信任」架構，都必需定期覆核及檢測，從而達至降低網絡威脅和數據洩露的風險和影響。

資訊及通訊科技發展迅速，再加上新冠肺炎疫情，大家對網絡使用需求不斷上升。普羅大眾在網上購物和投資已成生活的一部分，中小企亦會建立電腦網絡系統或使用雲端服務來處理日常業務及交易，因此很多具價值的資料都會存取於網絡上及系統裡，導致網絡罪行及黑客入侵事件變得頻繁。

大家會時常聽到黑客攻擊其他人的伺服器，但是他們又是如何做到的？當然，網絡攻擊有形形色色的手法，有些會用釣魚攻擊，亦有部分會向用戶發出惡意軟件。但往往進行攻擊前，黑客都會做一些事前準備及觀察，收集情報。這篇文章將循Malicious Scan 方向剖析這行為。

首先，黑客會使用端口掃描工具，一次過掃描大量目標公司的域名，從而知道該公司的伺服器有否公開可被用作入侵的端口。每一個端口可被視作為網絡接入口，會預設一個數字及用途，以下是一些常用例子。

當黑客成功取得有關資訊後，便會嘗試遙距連結該端口來進行攻擊，例如使用密碼暴力攻擊(即Brute-force attack)來取得存取權限，或繼續搜集及攻擊系統的漏洞來入侵伺服器。以下例子就是端口掃描工具的畫面，可以看見21、22,、25及80端口已開放，意味著黑客可以利用這些「入口」進行網絡入侵。

來源：https://phoenixnap.com/kb/nmap-scan-open-ports

假如目標是網站伺服器 (開放了80或443端口)，黑客可以透過目錄掃描工具暴力破解網站伺服器上的目錄和文件名。原理是把常用的目錄和文件(例如: /index.php, /login.php 或 /images/) 附加到網址後方，從而得知網站收藏了哪些資料。

來源：https://www.kali.org/tools/dirbuster/

其他與密碼有關的黑客入侵

• 字典攻擊
  • 字典攻擊是一種蠻力攻擊。此手法通過許多常見詞語及密碼來猜出系統密碼的方法。黑客會使用最常用的密碼、流行的寵物名字、虛構人物或字典中的字詞的大量列表來進行嘗試。
• 資料外洩
  • 資料外洩也是一種可以導致密碼流出的原因之一，黑客會藉此取得系統密碼用作登入，根據香港資訊安全網資料顯示，資料外洩原因可以歸立為仿冒詐騙、軟件或系統漏洞、錯誤設定、內部威脅和用戶疏忽。
• 憑證填充
  • 黑客會利用殭屍網絡以自動化方式不停使用偷來的帳號密碼嘗試登入網絡服務。此方法利用大量外洩的電郵地址和密碼，再搭配自動化程式，不斷試圖登入網絡服務，直至某一組帳號密碼成功登入為止。由於很多人會貪方便及易記，於不同的網絡服務中重用相同的帳號名稱及密碼組合，所以黑客一旦偷得其中一組，便能很容易入侵用戶的其他帳戶。

掃描系統漏洞

攻擊機構系統的漏洞是另一種黑客常用的技倆，當中會利用漏洞掃描器掃描目標機構的系統，了解機構的系統版本與官方的最新系統版本漏洞上的差異，從而透過進行攻擊；亦會使用Nmap檢查目標系統是否在線、端口是否開放、查閱系統版本資訊。

來源：https://zh.wikipedia.org/zh-hk/Nmap#/media/File:Nmap-5.21.png

HKCERT早前發出一個有關微軟檢測工具 (MSDT) 漏洞的保安公告（CVE-2022-30190）。由於黑客可以利用該漏洞執行任意程式碼，加上有跡象顯示相關的網絡攻擊已經出現，所以被評為對相關系統構成極高風險。

至近日HKCERT更發現有報導指新版的QBot惡意軟件正試圖透過此漏洞散播，方法是發動大規模釣魚電郵攻擊，誘騙受害人開啟惡意附件。就此，HKCERT特別收集了其中一個電郵作樣本，並對整個攻擊手法及背後運作進行了分析。

甚麼是微軟支援診斷工具存在安全漏洞 (CVE-2022-30190)?

釣魚電郵

首先，黑客會發送一封帶有惡意 HTML 檔案的釣魚郵件，並誘騙受害者打開它。

來源：https://isc.sans.edu/diaryimages/images/2022-06-09-ISC-diary-image-04.jpg

於是HKCERT便翻查該HTML檔案的原始碼，先看到的是一段 JavaScript程式碼，但內容是經過Base64編碼方式處理的一排”亂碼”。

再從另一段落中，可以找到如直接開啟HTML檔案的話便會立即執行的程式碼，這程式碼會將上述的Base64”亂碼”轉換成二進位物件(Blob, Binary large object)，然後放進超連結中並觸發下載程序。

開啟該HTML檔案後，瀏覽器便會立即顯示已經下載了一個名為「17045690_045147.zip」的zip檔案。

將「17045690_045147.zip」解壓縮後會得出一個「17045690_045147.img」檔，再解壓縮後見到另外3個檔案如下。

針對「doc564.docx」進行分析

HKCERT嘗試截取網絡數據，發現當開啟「doc564.docx」後，有不尋常的網絡數據傳輸出現。從截取的數據中可以看到檔案首先以User-Agent: Microsoft Office Protocol Discovery連接伺服器（185[.]234[.]247[.]119），然後再試圖連接「185[.]234[.]247[.]119」去下載一個「123.RES」檔案的資料。

除觀察網絡數據外，亦可從分拆docx檔案後的「document.xml.rels」檔案中，看到黑客在背後其實是透過oleObject物件來下載及執行「123.res」檔案。 

而下載及開啟「123.res」檔案後，就會看到調用 ms-msdt通訊協議的指令，這便是直正利用CVE-2022-30190漏洞的程式碼，但內容亦是以Base64編碼方式隱藏了真正指令。

經重新編譯後，真正的指令是PowerShell的程式碼，會連接至3個不同的網站下載Qbot惡意軟件相關的檔案，並以 regsvr32 指令註冊在系統登錄檔上。

在撰寫本文時，Microsoft 已在 6 月15日的6月保安更新中發佈了針對此漏洞的修補程式。 因此，HKCERT 建議用戶：

1. 保持系統、軟件及防毒軟件於最更新狀態
2. 切勿胡亂開啟不明檔案、網頁及電郵
3. 開啟電郵內的附件及連結之前最好先確定寄件者身份及電郵內容
4. 檢查文件的副檔名以免被檔案名稱誤導
5. 有關最新的系統漏洞資訊及如何修復，可訂閱HKCERT網站的保安公告