美国土安全部示警，中国利用各大网络设备已知漏洞对-部门发动攻击

美国国土安全部昨（14）日发出公告，指中国-有关的骇客利用Citrix、微软Exchange Server、F5及Pulse VPN等多项产品漏洞，攻击美国-单位。

国土安全部旗下网络安全暨基础架构安全署（CISA）指出，过去12个月来他们观察到由中国国安部指挥的网络骇客，利用开源及市售攻击工具，策动对美国-的网络攻击行动。

在开源工具方面，中国骇客利用Shodan来扫描有漏洞未修补的连网工具，并使用公开数据库如CVE数据库和NVD列出的漏洞作为攻击的依据。CISA指出，过去12个月遭中国骇客用来发动攻击的漏洞遍布主要网络设备，包括F5 Big-IP上的CVE-2020-5902执行任意程式指令或Java程式、删除档案或关闭服务；以Citrix VPN装置上的CVE-2019-19781发动目录穿越攻击（directory traversal attacks）；骇入Pulse Secure VPN 服务器的CVE-2019-11510档案读取漏洞，以存取受害者网络；以及开采Microsoft Exchange上的CVE-2020-0688执行远端程式，以便搜集受害者邮件。

遭到点名的产品涵括10多项Big-IP装置、Citrix（ADC、闸道及SDWAN WANOP）、Pulse Connect Secure及Pulse Policy Secure，以及微软Exchanger Server。

此外，中国骇客也使用市售工具，如Cobalt Strike的渗透测试工具来辅助键盘侧录、档案注入等行动，以网页应用Webshell程式China Chopper，并以Mimikatz来搜集受害者的登入密码以利后续权限升级行动。美国-某单位即被植入China Chopper，它可用来上传档案及暴力破解密码。

一如许多骇客组织，中国骇客使用各种手法，包括网钓邮件、恶意连结或扫描已知Web App、Web服务器、网络装置漏洞以开启行动，进入受害网络中即安装木马程式与外部C&C建立连线，并在受害者网络内进行窃密或窃取电子邮件等。

CISA指出，骇客行动成功大部分原因是受害者网络组态不当，或修补管理方案不够健全，给了掌握利用已知漏洞和工具的攻击者可趁之机。CISA和FBI也建议-单位因定期稽核组态及修补管理方案，以防堵新的威胁。

这是继上个月，美国-再一次点名特定国家涉入对美发动-层级的攻击。上个月美国也点名中国、伊朗及俄罗斯官方策动骇客攻击，影响美国总统大选。