Re: [新聞] 快訊／中油遭「勒索病毒」攻擊！僅能使用現金及信用卡加油

看板Gossiping作者maple7973 (Ciang)時間4年前 (2020/05/04 21:56)推噓8(8推 0噓 11→)

留言19則, 10人參與討論串23/27 (看更多)

純粹來湊個熱鬧做個不專業的分析現在有的情報： 1.檔案被加密 2.網頁掛掉 3.開著的機子都還能運作 4."應該"有異地備援 5.使用win server 6.GPO被改(? 7.有WSUS(? 8.防火牆擋很嚴以上不專業分析分兩個面向來看： 1.檔案中毒： 1.1通常為隨身碟或下載檔案，在GPO有阻擋的情況下，隨身碟無法使用另外防毒軟體也不是裝飾品，即使下載檔案或可以使用隨身碟都會直接掃毒。如果想要讓病毒掃不到也不是沒方法，但在這邊不好公開。 1.2另假設真的是檔案中毒，擴散感染，依照已知的加密病毒擴散模式，加密病毒會在與「中繼站」取得雙向連線後才開始加密。所以出口防火牆只要有擋住，基本上也不會有事。 1.3理論上只要查防火牆的連線記錄就大概知道是不是檔案中毒了。 2.被入侵： 2.1破口9成在DMZ區的網頁跟服務，DMZ是離內網最近的地區，對外是開放服務，對內是程式更新(管理伺服器)。架構大概長這樣(網路上找的)： https://blog.xuite.net/play.station/twblog/180515066-DMZ 2.2假設某服務被攻破，駭客首先需要知道他進的是哪台伺服器，然後摸網路環境，再來想辦法跳到另一台主機。 2.3無論駭客是否有跳到另一台主機，重點都還是進行病毒的散播。散播基本可以透過三種方式 (1)依已知情報，有AD跟WSUS，只要取得這兩台主機的權限即可大量散播病毒。 (2)感染共用檔案，讓管理員執行檔案後擴散感染。 (3)讓病毒慢慢爬。 3.個人淺見 3.1排除人員惡意，檔案中毒機率過低。 3.2DMZ區檢查點：可上傳檔案之服務(含圖片)>網頁服務漏洞>服務漏洞>OS漏洞>其他 3.3現在無法連上中油官網應該是阻斷內對外並做清查。 3.4無法使用信用卡只能現金交易，應該是避免病毒擴散出去，先把服務切斷。 3.5有備援，但問題不在備援，而是在端點(含各加油站)，只要任一端點的毒沒清掉，備援上了就是找死。 3.6以危機處理來說，中油做法算正確，對外斷網，對內清查，能營運的持續營運。以上個人淺見，歡迎討論另外我想講一個接下在公家機關/國營事業服務的資訊/資安人員可能會面臨一件很蠢的事就是上級要求加強端點防護(個人電腦防毒軟體社交工程 bla bla bla...) 請從節點下手好嗎！節點節點節點很重要說三次！端點下功夫只是耗費人力跟時間，效益奇差無比節點下功夫，方便管理，要死也死一區而已不從節點下手從端點下手，大家一起死！舉個例子武漢肺炎是戴口罩比較有用還是關國門比較有用？當然關國門阿草如果台灣北部群聚感染嚴重，南部未見疫情請問封城比較有效還是戴口罩？當然是封城阿草節點懂！？ ※ 引述《YummyYummy (優米平方好想吃大腸)》之銘言： : ※ 引述《ColeNorris (Cole)》之銘言： : : 剛剛不小心摔了一跤暈倒做了一些夢 : : 1.影響的範圍遠比大家想的還大連總公司都中標中油網頁也已經死了 : 這個講法從頭到尾都有問題因為就是總公司中獎 : 網頁當然也是伺服器主機從這邊開始就能知道你應該是文組 : 結果亂講卻推爆 : : 2.因為炸掉的是中油自身的系統所以沒有擴散到銀行 : : (因為金管會很嚴中油跟銀行中間都會檔好) : : 所以信用卡跟現金能用但是其他中油自身支付的方式全部炸裂 : 同1 你根本搞不懂自己在講啥 : 信用卡那些本來就不是中油好嗎? JCB/VISA/MASTER又關你屁事啊 : : 3.現在各站點機台只要一開機或重開機馬上全部都被加密 : : 能夠用的只剩下原本就開機還沒有重開機過的機器 : : 現在發公文通知所有站絕對不能關機或重開機 : : 4.源頭是公司沒有控管到的隨身碟 , 插上去之後就.....GG : : 5.據說 "沒有異地備援機制" 現在各資訊處臉臭到不行 : 很不巧剛好夢到國中國的中油是有異地備援的 : 所以清查後只要總公司發文就能重建了 : 所以你聽誰講的? : : 6.因為系統炸裂第一線員工變成整個下午沒事做 : : 因為這根本不是他們能處理的情況整個超閒der : : 中油應該算是資安法中的關鍵基礎設施 : : 我看這次真的要飛了 : 真巧，我剛好午睡睡到現在才醒來 : 看你的IP還沒飛又亂講 : 你應該是想挑戰法務對吧? : 講一下真正最怪的地方 : 1.中油伺服器居然WIN平台90%以上這是很匪夷所思 : 你說用戶端就算了伺服器要開WIN是幹三小? : 2.一條龍的總公司管理 : 所以這次是總公司被當成突破口然後被攻破後居然變成GPO : 稍微了解皮毛的都知道企業組織上層直接派發命令給大家電腦 : 那要怎麼檔? : PS 真正的"聽說" 賽X鐵X的亞太區人物應該被叫去夾軟蛋了 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 110.26.190.186 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1588600564.A.C5E.html

推

torosome

05/04 22:01, 4年前 , 1^F

05/04 22:01, 1^F

推

lbjstar

05/04 22:03, 4年前 , 2^F

05/04 22:03, 2^F

推

gogojay

05/04 22:03, 4年前 , 3^F

05/04 22:03, 3^F