NEITHNET 解決方案
NEITHNET 資安實驗室
近日收到政府單位需求,希冀提供網路惡意行為資安檢測報告,並針對政府單位內部的可疑網路行為進行清查。而在日前某企業收到政府資安單位發出的資安通報,發現該企業內,有可疑主機正持續進行惡意網址的連線。
NEITHNET針對此惡意行為,利用NEITHViewer進行內部網路惡意行為的盤查,監測數日後,發現該單位內確實有可疑主機持續發出惡意連線,利用這些分析後的威脅情資,進一步發現該單位的惡意連線與Darkside黑客組織有相當大的關聯。
底下是維基百科針對DarkSide (黑客組織)的描述:
DarkSide是一個黑客組織,曾利用勒索軟體來攻擊受害者。DarkSide的總部位於東歐,但與其他黑客組織不同的是,它並不是由國家支持的黑客組織。DarkSide基本只針對英語國家發動網絡襲擊。DarkSide的勒索軟體將默認語言設置為俄語、烏克蘭語、喬治亞語或白俄羅斯語的計算機列為白名單,這些電腦不會被該黑客組織的勒索軟體攻擊。在DarkSide網站的一份新聞稿中,該組織聲稱他們不會攻擊醫院、安寧醫院、學校、大學、非營利組織或政府部門。
DarkSide經常透過網路釣魚,或是利用遠端存取帳戶、系統以及虛擬桌面的基礎設施 (VDI)以獲得初始存取權限。另外,NEITHNET也觀察到 DarkSide 使用遠端桌面協定 (RDP) 來維持與受駭端主機進行連線,以持續竊取機密或進行提權。
在取得存取權限後,DarkSide攻擊者會部署DarkSide勒索軟體來加密和竊取敏感資料,DarkSide攻擊者主要使用洋蔥路由器(TOR)進行命令與控制。
2024上半年,某政府單位透過NEITHViewer的內網威脅鑑識系統監測,發現該單位正面臨DarkSide攻擊組織的駭客侵入。
在利用情資威脅分析的結果顯示,發現該單位在短時間內觸發各類不同攻擊情資類型,如下圖:
![](https://blog.neithnet.com/wp-content/uploads/2024/07/image.png)
由上述資訊發現,企業內部不僅觸發大量Malware惡意程式類別的IP位址,也同時觸發洋蔥路由器(TOR)節點連線的相關資訊,針對洋蔥路由器(TOR)節點連線行為,進階分析後發現內部主機在短時間內發出惡意網址與駭客組織darksidfqzcuhtk2.onion暗網連線,如下圖:
![](https://blog.neithnet.com/wp-content/uploads/2024/07/image-1.png)
透過上圖瞭解這三台主機在過去幾天共發出了18萬次DNS連線與TOR節點進行連絡,目前該單位正進行全面性資安清查與鑑識,避免後續資料外洩與加密勒索。
透過NEITHViewer的情資和內網鑑識系統,再藉由網路流量的威脅跡象,來拼湊事件更完整的樣貌,以便能採取適當的因應措施。可監控橫向擴散與縱向流量進而比對威脅情資達到可視化分析,掌握企業內部可疑活動。
網路威脅資安監控服務是由NEITHNET騰曜團隊資安專家們進行威脅分析與回應,能在第一時間內觀察到企業內部的可疑活動,透過事件告警讓企業更有效的掌握,能大幅降低企業IT維運人員的時間,提升企業全面性資安防禦能量。
![](https://blog.neithnet.com/wp-content/uploads/2024/07/image-2-1024x920.png)
更多資安訊息及防護策略,歡迎與NEITHNET資安專家聯繫:info@neithnet.com