阻止網路犯罪分子濫用安全性工具

Microsoft 數位犯罪部門 (DCU)、網路安全軟體公司 Fortra™ 和健康資訊共享及分析中心 (Health-ISAC) 正在採取技術和法律行動，以瓦解 Cobalt Strike 的破解舊版複本和濫用的 Microsoft 軟體，這些軟體已遭網路犯罪者用來散發惡意軟體，包括勒索軟體。這是 DCU 昔日工作方式的轉變；範圍更大，營運也更複雜。這次，我們並非中斷惡意系列軟體的命令和控制，而是與 Fortra 合作刪除 Cobalt Strike 的非法舊版複本，使網路犯罪分子無法再使用。

我們需要堅持不懈地努力消弭世界各地託管的 Cobalt Strike 破解舊版複本。這是 Fortra 為保護其安全性工具的合法使用所採取的重要行動。Microsoft 同樣致力於其產品和服務的合法使用。我們也相信，Fortra 選擇與我們合作進行這項行動，正是對 DCU 在過去十年中打擊網路犯罪工作的肯定。我們共同致力於追查網路犯罪分子的非法散發方法。

Cobalt Strike 是 Fortra 提供的一種合法且受歡迎的後滲透工具，用於模擬對手。有時，舊版的軟體會遭犯罪份子濫用和篡改。我們將這些非法複本稱為「破解版」，並一向用於發動破壞性攻擊，例如針對哥斯大黎加政府和愛爾蘭衛生服務管理局的攻擊。Microsoft 軟體開發套件和 API 遭濫用作為惡意軟體編碼以及犯罪惡意軟體散發基礎設施的一部分，以針對和誤導受害者。

與 Cobalt Strike 破解複本相關或由其部署的勒索系列軟體，與超過 68 起勒索軟體攻擊有關，影響了全球超過 19 個國家/地區的醫療機構。這些攻擊使醫院系統損失了數百萬美元的復原和修復成本，並導致關鍵患者護理服務中斷，包括延遲診斷、影像和實驗室結果、取消醫療程序，以及延遲化療治療等。

Microsoft 資料顯示，受 Cobalt Strike 破解複本感染的電腦在全球散播。

2023 年 3 月 31 日，美國紐約東區地方法院發布了一項法院命令，允許 Microsoft、Fortra 和 Health-ISAC 瓦解犯罪分子用來促進其攻擊的惡意基礎設施。這樣做使我們能夠通知相關的網路服務提供者 (ISP) 和電腦緊急準備小組 (CERT)，他們協助將基礎設施斷線，進而有效切斷犯罪分子與受感染的受害者電腦之間的連接。

Fortra 和 Microsoft 的調查工作包括偵測、分析、遙測和反向工程，並透過全球合作夥伴網路 (包括 Health-ISAC、Fortra 網路情報團隊和 Microsoft 威脅情報團隊) 提供額外的資料和見解來鞏固我們的法律案件。 我們的行動僅專注於瓦解 Cobalt Strike 的破解、舊版複本和受侵害的 Microsoft 軟體。

Microsoft 也正在擴展一種成功用於瓦解惡意軟體和民族國家行動的法律方法，以打擊廣大網路犯罪分子濫用安全性工具的行為。瓦解 Cobalt Strike 的破解舊版複本將大幅阻礙這些非法複本的變現，並減緩其在網路攻擊中的使用，進而迫使犯罪分子重新評估和改變其策略。當今的行動還包括針對惡意使用 Microsoft 和 Fortra 軟體程式碼的版權索賠，這些程式碼遭更改和濫用以造成傷害。

Fortra 已採取大量措施來防止其軟體遭濫用，包括嚴格的客戶審查做法。然而，眾所周知，犯罪分子會竊取舊版本的安全性軟體 (包括 Cobalt Strike)，建立破解複本以獲得對電腦的後門存取權並部署惡意軟體。我們已觀察到勒索軟體業者會使用 Cobalt Strike 的破解複本，並濫用 Microsoft 軟體來部署 Conti、LockBit 和其他勒索軟體，作為勒索軟體即服務商業模式的一部分。

威脅行為者會使用破解的軟體複本來加速勒索軟體在受感染網路上的部署。下圖顯示了攻擊流程，突顯出影響因素，包括魚叉式網路釣魚和惡意垃圾電子郵件以獲得初始存取權限，以及濫用從 Microsoft 和 Fortra 等公司竊取的程式碼。