CyCraft.AI 部落格

當商務組織越來越依賴雲端服務時，AD 聯邦服務 (Active Direcotry Federation Services，下稱AD FS) 伺服器便也成為攻擊目標，因為受害組織多半未察覺 AD FS 伺服器的重要性、讓攻擊者可輕易藉此取得雲端資料。對此疏於防守的弱點，企業應強化相關資安防禦的部署與落實。

與俄羅斯情報機關有密切關聯的 APT29 組織，在世界情勢益發動蕩的當下，也正不斷精進攻擊手段。APT29 組織此次利用 Azure 服務發起的攻擊，不只著重於建立地端後門，更開始利用雲端服務的內建權限來躲避監控，甚至透過購置雲端平台的服務來規避 IP 偵測，可見地端與雲端的安全已密不可分。此組織的高度政治化特性，也反映在它特別強調長期潛伏、並持續竊取資訊上，高科技企業、政府組織等都需要格外注意此駭客組織的攻擊手法。

LockBit 早已是遠負盛名、規模龐大的勒索軟體組織，曾犯下多起金額龐大、危害嚴重的勒索案件。如今隨著 LockBit 3.0 版本的推出，勢必會有越來越多的目擊報告和攻擊案例出現，值得所有研究單位與機構嚴加防備。

現今，許多大型企業的身分驗證有地對雲同步整合的需求，而 Active Directory Federation Services (AD FS) 為其常見的解決方案。然而，絕大多數企業並沒有將 AD FS 做為核心資產善加管理，容易忽視其安全性。因此本篇報告便以 AD FS 的重要性出發，分析攻擊者如何透過 GoldenSAML ，進而能夠攻擊信任 AD FS 簽章的服務。

本報告所分析之 IceApple 為一個成熟的模組化 Internet Information Server (IIS) 後脅迫 (Post-Exploitation) 框架。該框架以 C# 語言編寫而成，並濫用了許多 .NET 框架的特徵，具有相當豐富的功能，包括從登錄檔中獲取憑證、在微軟的 Outlook Web Access (OWA) 伺服器上登入憑證、偵查系統、竊取資料等。且大多數 IceApple 的活動都發生在記憶體內，難以進行靜態分析，因此追緝難度相當高。

美國聯邦調查局 (The Federal Bureau of Investigation, FBI)、網路安全暨基礎架構安全署 (Cybersecurity and Infrastructure Security Agency, CISA)、美國財政部 (Department of the Treasury) 發布聯合警報AA22–187A，分析勒索軟體 Maui 的活動，顯示該勒索軟體對於全美國的高危險性。而且值得注意的是，雖然有些勒索軟體為顧及人民的生命安全，不會鎖定衛生保健與公共健康組織，但勒索軟體 Maui 顯然不在此列，該勒索軟體特別鎖定安全措施薄弱、服務具有緊急性的健康安全產業，以趁勢獲得高額的贖金，因此醫療、健保相關單位應該特別注意勒索軟體 Maui 的技術與動向。