iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，特別點出額外需要關注的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分達8.8分，因此，需要特別重視。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div>
2022/7/19 12:05作者羅正漢https://www.ithome.com.tw/news/151996
【資安日報】2022年7月18日，近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞裡，幾乎都與漏洞有關。這包含了針對WordPress外掛程式的攻擊行動，還有Intel、AMD處理器的漏洞Retbleed，已有多家企業級的系統軟體廠商已經著手修補。</p> <p>資安業者揭露專門針對WordPress外掛程式WPBakery Page Builder而來的攻擊行動，駭客鎖定了開發者已不再維護的元件Kaswara下手，利用任意文件上傳漏洞發動攻擊，在10天內已有近160萬個網站遭到漏洞利用嘗試攻擊。</p> <p>而在處理器漏洞Retbleed的部分，則是在研究人員公布細節後，很快就有企業級的軟體系統廠商著手修補，這些廠商多半為提供虛擬化平臺與Linux作業系統的業者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客鎖定近160萬個WordPress網站，攻擊外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p>研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p>研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">木馬程式Sality宣稱提供密碼破解功能來感染ICS系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p>研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。此外，微軟在最新版Windows修補程式裡，也有對於AMD處理器的Retbleed漏洞著手修補。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出引發火災</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> </div></div></div>
2022/7/18 16:32作者周峻佑https://www.ithome.com.tw/news/151987
Tor Browser 11.5現可自動偵測並繞過國家審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.torproject.org/new-release-tor-browser-115/" target="_blank">Tor專案於上周四（7/14）釋出了Tor Browser 11.5</a>，新版瀏覽器提供了新的Connection Assist功能，將可自動偵測並繞過各國的審查機制，且預設即進入HTTPS-Only模式（HTTPS-Only Mode）。</p> <p>Tor Browser是用來進入洋蔥路由器（The Onion Router，Tor）網路的瀏覽器，Tor透過由全球逾7,000個志願人士組織的中繼節點來存取網路，因此可隱藏使用者的真實位址，也能避免監控，而以Firefox瀏覽器作為基礎的Tor瀏覽器，即是進入Tor網路的工具之一。</p> <p>然而，有些國家為了審查境內用戶，封鎖了Tor網路的存取，例如中國、俄羅斯、白俄羅斯或土庫曼等，使得Tor Browser用戶必須手動變更Tor的網路設定，找出可繞過封鎖的途徑，不過，Tor Browser 11.5所內建的Connection Assist 1.0版，將可自動偵測及繞過各國的封鎖。</p> <p class="rtecenter"><img alt="" src="https://blog.torproject.org/new-release-tor-browser-115/connection-assist.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tor專案</span></span></p> <p>Connection Assist可查找及下載每個國家可繞過封鎖之各種選項的最新列表，並自動部署最適合使用者區域的設定，使用者還可儲存這些用來連結Tor網路的橋接資訊，並透過複製或QR code分享，例如分享給Android版的Tor Browser。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-Tor%20Browser%20-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Tor專案</span></p> <p>此外，過去只允許用戶連結HTTPS網站的HTTPS-Only Mode僅是Tor Browser的擴充程式之一，但有鑑於愈來愈少使用者存取HTTP網站，再加上安全的因素，Tor Browser 11.5已直接將HTTPS-Only Mode納入預設功能。</p> <p>目前桌面版Tor Browser發展最快，功能也最為齊全，不過Tor專案已決定接下來要強化Android版Tor Browser的能力，包括將開始定期更新Android版本，也會解決許多Android用戶的程式當掉問題，並準備要追上Fenix（Android版Firefox）的進度。</p> <p>Tor Browser 11.5支援Windows、macOS、Linux與Android，Tor專案亦鼓勵試用Connection Assist功能的使用者提出意見。</p> </div></div></div>
2022/7/18 14:29作者陳曉莉https://www.ithome.com.tw/news/151982
【資安週報】2022年7月11日到7月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周新聞中，雲端服務業者提供的伺服器與虛擬機器被濫用情形日益嚴重，本周揭露的濫用情形中，例如，趨勢科技揭露了駭客針對軟體開發流程自動化系統服務GitHub Actions並利用其搭配的Azure VM來挖礦的行徑，此外，資安業者Profero揭露雲端IDE程式編輯器Datacamp遭濫用，且難以追溯的問題並提出警告。</p> <p>在漏洞修補上，本周微軟發布本月的Patch Tuesday，修補84個漏洞，其中CVE-2022-22047最值得關注，因為修補前已發現遭駭客鎖定與成功利用的情形，美國CISA也在本月12日將之納入Known Exploited Vulnerabilities資料庫，還有AMD CPU分支的硬體漏洞CVE-2022-23816與CVE-2022-23825獲得修補，本周多個平臺已經因應，陸續發布修補相關漏洞的新版本，接下來是用戶也要盡速更新修補。</p> <p>其他關注消息中，以勒索軟體組織將竊取資料搞成大數據資料庫開放利用恐帶出新的威脅，以及諸多大規模的網釣攻擊最受注目。</p> <p>從近期勒索軟體動向來看，有一新趨勢是，勒索軟體駭客挾持受害組織的檔案後的深化利用，不只是要脅外洩施壓以勒索、或是販售給其他犯罪組織，打造勒索軟體BlackCat的駭客，甚至打造檔名、文件、圖片都能文字內容檢索的資料庫，供犯罪社群利用，而這也引起打造勒索軟體LockBit駭客的注意，進而改版網站並增添搜尋功能。</p> <p>本周網釣事件揭露有多起，其中微軟公布一起針對上萬Office組織的行動，由於混和多種手法使用受關注，不只是將釣魚網站以代理伺服器方式設在用戶連線至目標網站間，竊取用戶的憑證Cookie與連線Session，然後用以BEC詐騙，由於帳戶合法被冒用將更難防範。</p> <p>在其他重要大事中，WPS Office辦公軟體開始傳出配合中國敏感詞彙審查，一旦查出違規會將檔案禁止存取或刪除的消息，這樣的政策會否擴大受全球用戶受關注。</p> <p>另外，上月發生每秒2,600萬次DDoS攻擊事件，Cloudflare在本月有後續追蹤報告，指出將此殭屍網路命名為Mantis，也說明後續攻擊不斷，光是自家用戶就遭到超過3千次的HTTP DDoS攻擊，以產業來看，網路及電信產業受攻擊比例達36%最高，其次新聞出版業、遊戲、金融也都在10%以上。</p> <h2 class="rtecenter"><strong>本週重大關注資安新聞</strong></h2> <p class="rtecenter" id="A"><strong><a href="https://www.ithome.com.tw/news/151967#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-01.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-02.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-03.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-04.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-07(1).jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-05.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-06.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-09.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-08.jpg" style="width: 550px;" /></a></strong><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E7%9C%8B%E6%9B%B4%E5%A4%9A(1).jpg" style="width: 550px;" /><br /> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p id="D">研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p id="E">該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對預設封鎖Office巨集啟用，微軟表示只是暫時延後</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p id="F">資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef"><span style="color: rgb(0, 0, 0);">雲端IDE程式編輯器Datacamp恐遭到駭客濫用</span></a></strong></h3> <p>雲端的整合開發環境（IDE）可讓程式開發人員更容易進行協同作業，但這樣的工具也有可能讓攻擊者降低攻擊門檻，只需網頁瀏覽器就能發動攻擊。資安業者Profero揭露濫用雲端IDE系統DataCamp的攻擊行動，駭客疑似運用進階版Python的IDE模組，部署第三方模組來連線到AWS S3儲存桶，並將儲存桶內的資料藉由DataCamp流出。</p> <p>研究人員也嘗試在該平臺導入Nmap網路拓撲工具，結果發現，他們雖然不能直接部署該軟體，但可直接透過編譯程式碼的方式產生。研究人員認為，這種濫用DataCamp的攻擊行動很可能不會被發現，因為沒有明確的來源顯示其IP位址的範圍，而難以追溯來源，且類似的雲端IDE系統有可能成為駭客加以濫用的對象。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p id="J">比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭大規模網釣攻擊，駭客竊取Cookie與Session資訊可繞過MFA，目的是用於發動BEC詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a></p> <p>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，特別的是將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/abused-quickbooks-site-sends-phone-scam-emails"><span style="color: rgb(0, 0, 0);">雲端會計系統QuickBooks遭到濫用！駭客將其用於網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Retail Brands Impersonated in Vishing Attacks from Quickbooks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Retail%20Brands%20Impersonated%20in%20Vishing%20Attacks%20from%20Quickbooks.png" style="width: 300px; float: right;" /></a>攻擊者寄送以軟體訂閱服務為幌子的釣魚郵件，算是相當常見，但現在出現了更難察覺異狀的做法。資安業者Inky約自2021年12月開始，發現有人濫用了雲端會計系統QuickBooks，來針對使用Google Workspace與Microsoft 365的中小企業下手，進行電話詐騙，迄今已有2,272次攻擊行動。這些駭客濫用了QuickBooks的30天免費試用期，用來向受害者發送假的發票，聲稱收信人從Amazon、蘋果、BestBuy購買了軟體並已經成功付款，並說明若是沒有購買卻被扣款，可透過客服電話進行後續退款事宜。</p> <p>一旦受害者依照指示操作，駭客就會要求提供信用卡資料與其他個資，或是要求存取詐欺網站，來截取受害者的資料，有時候駭客甚至還會要求透過遠端桌面連線來處理問題。但實際上，受害者這麼做將會讓對方握有信用卡資料，而可能遭到盜刷。</p> <p id="G">研究人員指出，駭客濫用QuickBooks而能發出幾可亂真的發票，而且因為電子郵件來自提供此會計服務的IT業者Intuit，難以與真正使用這套會計系統的用戶進行區隔，他們呼籲使用者收到這類購買通知郵件時，應該通過網路商城網站提供的電話，或是向信用卡公司進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/paypal-phishing-scam-mimics-known-security-measures"><span style="color: rgb(0, 0, 0);">駭客將網路釣魚工具包植入WordPress網站，竊取PayPal用戶個資</span></a></strong></h3> <p>受到許多網站採用的線上支付工具PayPal，遭到駭客鎖定，利用工具來竊取使用者的個資。資安業者Akamai在他們的蜜罐裡，發現駭客針對WordPress網站下手，藉由暴力破解的方式入侵後，植入網路釣魚工具包，此工具包鎖定PayPal用戶，假冒一連串的人類驗證機制與身分驗證機制，進而騙取受害者銀行帳號資料、電子郵件信箱密碼、照片等個資，駭客得手後很有可能將其用於洗錢或是其他網路犯罪。</p> <p>研究人員指出，這個工具包採用一些獨特的手法來規避資安業者的偵測，像是駭客對於連線的IP位址設置，會避免在資安公司的網域黑名單裡，而有可能因此躲過相關檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/chromeloader-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png" style="width: 300px; float: right;" /></a>駭客不光打造EXE可執行檔或DLL程式庫的惡意程式，也企圖透過瀏覽器外掛程式來發動攻擊。資安業者Palo Alto Networks揭露名為ChromeLoader（亦稱Choziosi Loader、ChromeBack）的惡意軟體，研究人員大約於今年1月開始進行追蹤，駭客以光碟映像檔ISO、蘋果裝置的磁碟映像檔DMG的型式來進行散布，並以提供破解版電玩遊戲或是電影的種子檔案名義，來引誘使用者上當。</p> <p>一旦使用者依照指示在網頁瀏覽器Chrome上安裝了ChromeLoader，駭客不只能存取瀏覽器的個人設定資料，還能操弄瀏覽器發出的請求，同時也可追蹤使用者使用Google、Yahoo、Bing等搜尋的記錄，進而得知受害者的上網行為。</p> <p>研究人員指出，雖然駭客一開始主要是針對Windows電腦下手，但他們在今年3月看到鎖定Mac電腦的ChromeLoader，因此Mac電腦的用戶也要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-packages-steal-telegram-cache-files-add-windows-remote-desktop-accounts"><span style="color: rgb(0, 0, 0);">惡意PyPI套件鎖定Windows電腦用戶，攻擊Telegram軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg" style="width: 300px; float: right;" /></a>駭客使用PyPI惡意套件發動攻擊的情況又有新的攻擊事件，這次是針對Windows電腦的Telegram用戶而來。資安業者Sonatype發現flask-requests-complex、php-requests-complex、tkinter-message-box等惡意套件，flask-requests-complex與php-requests-complex內含的程式碼，會在攻擊過程建立使用者帳號，而能夠讓攻擊者透過遠端桌面連線（RDP）任意存取受害電腦；而第3個惡意套件的行為，引發研究人員注意，因為此套件專門鎖定Telegram電腦版程式的tdata使用者設定資料夾，一旦用戶安裝該套件，Telegram的帳號資料就有可能遭到外洩。PyPI接獲通報後，已移除上述套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/14/north-korean-threat-actor-targets-small-and-midsize-businesses-with-h0lygh0st-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客HolyGhost鎖定全球小型組織，發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png" style="width: 300px; float: right;" /></a>北韓駭客組織運用勒索軟體的攻擊行動，有可能是為了經濟利益而來。微軟揭露名為HolyGhost（DEV-0530）的駭客組織攻擊行動，這些駭客運用名為H0lyGh0st的勒索軟體，自2021年6月開始發動攻擊，並於2021年9月就有多個國家小型企業遇害，受害組織類型涵蓋銀行、學校、製造業，以及活動企畫公司。</p> <p>駭客疑似利用網站內容管理平臺DotCMS的漏洞CVE-2022-26352，來入侵受害組織，得逞後在網路環境投放勒索軟體加密檔案，並留下勒索訊息，要脅不付錢就公開竊得的資料。這些駭客通常會向受害組織索討1.2至1.5個比特幣贖金。</p> <p>研究人員指出，這些駭客很可能與另一個北韓駭客組織DarkSeoul（亦稱Plutonium）有所交流，攻擊的目的很有可能是為了經濟利益而出手。</p> <h3><strong style="font-size: 22px;"><a href="https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/"><span style="color: rgb(0, 0, 0);">研究人員揭露針對OAuth身分驗證流程進行帳號挾持的手法Dirty Dancing</span></a></strong></h3> <p>身分驗證機制OAuth能讓使用者利用自己的Google、微軟、臉書帳號，來存取網站服務，而不需特別申請個別網站的帳號，但這樣的機制有可能被攻擊者拿來挾持帳號。資安業者Detectify揭露名為Dirty Dancing的攻擊手法，駭客可藉由使用的OAuth回應類型的切換，結合重新導向的URI和第三方JavaScript套件的搭配，從中找到可能用來將Token或是授權碼洩露的弱點，執行OAuth-dance的驗證流程，進而挾持使用者的帳號。研究人員呼籲網站經營者要了解OAuth-dance涉及那些網頁，並避免在這些網頁使用外部指令碼，來減少駭客發動Dirty Dancing攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-0mega-ransomware-targets-businesses-in-double-extortion-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體0mega要脅對合作夥伴告狀，向受害企業進行雙重勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg" style="width: 300px; float: right;" /></a>新的勒索軟體最近幾個月不斷有研究人員揭露相關發現，而相當引人注目。根據資安新聞網站Bleeping Computer的報導，名為0mega的勒索軟體於今年5月出現，鎖定全球的組織下手，並向受害組織進行雙重勒索，索討數百萬美元的贖金，該新聞網站的研究人員看到的勒索訊息內容發現，駭客疑似對每個受害組織竊取不同類型的資料，有些事故駭客揚言會向合作夥伴與貿易協會告狀，破壞受害組織的商譽，企圖索討贖金。</p> <p>研究人員看到駭客公布其中一個疑似不願支付贖金的受害組織，該組織主要經營電子產品的維修與翻新，並表示他們竊得了152 GB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game"><span style="color: rgb(0, 0, 0);">駭客藉由網路釣魚，入侵NFT遊戲Axie Infinity所屬的區塊鏈金流</span></a></strong></h3> <p>NFT遊戲Axie Infinity的<a href="https://www.ithome.com.tw/news/150181">區塊鏈網路Ronin Network於今年3月下旬遭駭</a>，被盜走約6.25億美元加密貨幣，美國後來指控是北韓駭客Lazarus所為，而這起事故的調查似乎有了新的進展。根據區塊鏈新聞網站The Block於7月6日的報導，2名知情人士向他們透露，駭客入侵Ronin Network的管道，就是透過人脈網站LinkedIn下手，駭客鎖定1名Sky Mavis資深工程師，聲稱提供更好的薪資條件向他招手，使得這名工程師被騙，但這家提供職缺的公司，實際上根本不存在。</p> <p>消息人士指出，該名工程師還經過多次面試，以為得到一份報酬極為優渥的工作，並下載了名為「職缺（Offer）」的PDF檔案，使得駭客得以藉由Sky Mavis的IT基礎設施，在Ronin Network裡植入間諜程式，並控制驗證伺服器以取得所需的存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/07/transparent-tribe-targets-education.html"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客APT36鎖定印度大專院校，散布CrimsonRAT</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT36-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT36-image1.png" style="width: 300px; float: right;" /></a>駭客將攻擊目標鎖定學生的情況，近期有越來越多的事故發生。思科揭露巴基斯坦駭客組織APT36（亦稱Operation C-Major、Mythic Leopard、Transparent Tribe）自2021年12月發起的攻擊行動，駭客針對印度大專院校的學生下手，藉由網路釣魚的方式，向受害者投放惡意文件檔案，一旦收信人開啟檔案，電腦就有可能被部署木馬程式CrimsonRAT，進而長期洩露受害者電腦的資料，並回傳給駭客。</p> <p>研究人員指出，駭客使用了巴基斯坦主機代管服務業者Zain Hosting的伺服器，來架設基礎設施，但他們推估這只是其中一部分，APT36很有可能使用了多家主機代管服務的設施來進行建置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.antiy.cn/research/notice&report/research_report/20220713.html"><span style="color: rgb(0, 0, 0);">印度駭客組織Confucius對巴基斯坦軍事機構發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-4.png" style="width: 300px; float: right;" /></a>駭客為了避免遭到追查，很有可能濫用CDN服務來隱匿攻擊來源。中國資安業者安天（Antiy）揭露由印度駭客組織Confucius的攻擊行動，駭客自去年下半，開始假冒巴基斯坦政府員工的身分，針對政府機關與軍事單位進行釣魚郵件攻擊，一旦收信者開啟帶有巨集的文件，電腦就會被植入木馬程式QuasarRAT，以及該組織使用C++、C#開發的木馬程式，在受害電腦部署後門並進行竊密。</p> <p>研究人員指出，這起攻擊行動比較特別的是，駭客為了避免資安人員追查，他們使用了多種手法，例如，駭客竄改木馬程式的時戳，並使用Cloudflare的CDN服務來隱藏攻擊來源。</p> <p id="B">此外，這些駭客為了確保打開惡意文件檔案的收信人是他們鎖定的目標，他們也運用了Cloudflare防火牆來過濾來源IP位址，而且使用密碼來保護惡意文件。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p id="H">微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware修補去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/cisco-and-fortinet-release-security.html"><span style="color: rgb(0, 0, 0);">思科、Fortinet修補旗下產品漏洞</span></a></strong></h3> <p>思科與Fortinet近日修補旗下產品的重大漏洞，並呼籲用戶要儘速修補。思科於7月6日發布資安公告，總共修補了10個漏洞，其中最危險的是CVE-2022-20812與CVE-2022-20813，CVSS評分各為9.0與7.4，影響該公司的Expressway系列軟體，以及TelePresence視訊會議系統等兩套產品，一旦漏洞遭到利用，就有可能讓駭客覆寫任意檔案，或是製造空位元中毒攻擊。</p> <p>Fortinet也於7月5日修補4個高嚴重性漏洞，這些漏洞為CVE-2021-43072、CVE-2021-41031、CVE-2022-30302、CVE-2022-26117，CVSS評分為7.4至8.0分，影響FortiAnalyzer、FortiClient、FortiDeceptor，以及FortiNAC，一旦遭利用，攻擊者有可能在通過身分驗證的情況下執行任意程式碼，或是存取MySQL資料庫，以及從本地使用者提升為SYSTEM的權限。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-july-2022-three-applications-focus"><span style="color: rgb(0, 0, 0);">SAP修補ERP系統Business One的高嚴重漏洞</span></a></strong></h3> <p>SAP於7月12日發布每月的例行修補，針對20個漏洞的緩解措施進行公告，其中有4個漏洞屬於高風險漏洞，有3個存在於ERP系統Business One，另1個為BusinessObjects的漏洞。而在公告當中最為嚴重的漏洞是CVE-2022-35228，CVSS風險評分為8.3分，這是商業智慧軟體BusinessObjects集中管理主控臺的資訊洩露漏洞，資安業者Onapsis指出，攻擊者一旦利用這項漏洞，有機會在尚未通過身分驗證的情況下，藉由網路取得Token的資料。不過，駭客想要觸發這項漏洞有項前提，那就是需要有使用者存取應用程式的情況下，才能進行漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p id="I">資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p id="C"><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">臺灣企業資安投資抵稅正式上路，最新投資抵減辦法7月公布</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <h3><strong style="font-size: 22px;"><a href="https://pypi.org/security-key-giveaway/"><span style="color: rgb(0, 0, 0);">PyPI要求最熱門套件的開發者使用雙因素驗證，但有人打算鑽漏洞</span></a></strong></h3> <p>鎖定PyPI套件庫的攻擊事故，近期陸續出現數起，使得PyPI打算強制部分用戶採用雙因素驗證（2FA），而引起少部分開發人員反彈。PyPI於7月8日發布資安通告指出，他們即將在數個月內，陸續要求維護最為熱門的套件開發者，使用雙因素驗證，估計至少有3,500個套件的維護者、所有者，將必須通過進階身分驗證流程，才能執行套件的各式管理工作。</p> <p>PyPI將這些最熱門的套件稱為「關鍵（Critical）」套件，指的是在最近6個月內，下載次數在前1%的PyPI套件，一旦被登錄，該套件將會永久具備這項屬性。維護上述關鍵套件的經營者，將有機會免費取得2個由Google贊助的實體Token裝置Titan。</p> <p>此舉多數開發者表達支持立場，但也有人不願買單──例如，開發atomicwrites套件的Markus Unterwaditzer收到PyPI通知後，決定將這款每月下載超過6千次的套件下架，並重新以新的名稱上傳到套件庫，來迴避必須採用雙因素驗證的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ncsc.gov.uk/blog-post/preparing-the-long-haul-the-cyber-threat-from-russia"><span style="color: rgb(0, 0, 0);">來自俄羅斯的網路威脅導致資安人員工作更加吃重，英國呼籲企業重新檢視相關員工的工作量</span></a></strong></h3> <p>在烏克蘭戰爭中，相關的網路攻擊行動已經擴及歐洲其他國家，而使得資安人員工作量急劇增加，有可能難以持續工作，最後選擇離職，使得企業將面臨資安人力更加吃緊的現象。英國國家網路安全中心（NCSC）近日提出警告，他們先前呼籲企業要嚴加防範俄羅斯開戰後的網路攻擊行動，但隨著烏克蘭戰爭已經僵持數個月，企業應留意資安團隊可能因為長期處於高壓的狀態，而使得所屬團隊的員工已經不堪負荷，呼籲要調整因應網路威脅的做法，例如：</p> <p>●建立依據風險層級為依據的決策模式，來設立有效率且能長期運作的防禦制度</p> <p>●賦與第一線人員依據優先程度決策的權利</p> <p>●確保工作負載能平均分配個人與團隊，並讓第一線人員能獲得充分休息</p> <p>●提供管理者及團隊相關資源來察覺需要協助的員工</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/151963"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare披露全球DDoS攻擊能力最強大的Mantis殭屍網路</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/tech/151925"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/151701"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">深入2022年四大科技戰略，看摩根大通如何將科技變成競爭優勢？當中揭露AI應用與資安投入的積極性</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/free-decryptor-released-for-astralocker-yashma-ransomware-victims/"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體AstraLocker、Babuk、Yashma的解密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/"><span style="color: rgb(0, 0, 0);">駭客假冒CrowdStrike等資安業者，企圖在受害組織植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151963"><span style="color: rgb(0, 0, 0);">Mantis成為2022年6月全球最具威脅的殭屍網路</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/targeted-attack-on-government-agencies.html"><span style="color: rgb(0, 0, 0);">攻擊者以阿富汗和印度的關係為誘餌，鎖定多個國家的政府機關，散布AysncRAT和LimeRAT木馬</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.tasnimnews.com/en/news/2022/07/12/2742013/iraqi-cyberattack-targets-tel-aviv-municipality-website"><span style="color: rgb(0, 0, 0);">以色列捷運公司遭到伊拉克的網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.techtarget.com/searchsecurity/news/252522715/Researcher-develops-Hive-ransomware-decryption-tool"><span style="color: rgb(0, 0, 0);">研究人員針對新的勒索軟體Hive變種提供解密工具</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/iThome%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1Top%2010_0715.jpg" style="width: 550px;" /></span></span></strong></p> </div></div></div>
2022/7/15 17:51作者羅正漢https://www.ithome.com.tw/news/151967
架構師如何做決策
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發人員在網上搜尋當前問題的解決方案方面建立了出色的技能。例如，如果他們需要弄清楚如何在他們的環境中配置一個特定工具，專業地使用Google就會找到答案。</p> <p>但對架構師來說，情況並非如此。</p> <p>對於架構師來說，許多問題都帶來了獨特的挑戰，因為它們混淆了你組織的確切環境和情況──有人遇到了這種情況並將它發布在博客或貼在Stack Overflow上的機會有多少？</p> <p>架構師可能想知道，與框架、API等技術主題相比，為什麼關於架構的書籍這麼少。架構師很少會經歷常見的問題，但卻在新情況下為了做決定而不斷地掙扎。對於架構師來說，每一個問題都是一片雪花。在許多情況下，問題不僅僅是出現在特定的組織內，而對整個世界都是新的。對於這些問題，沒有任何的書籍或是會議討論它！</p> <p>架構師不應該一直為他們的問題尋找靈丹妙藥。因為幾乎每一個問題都會帶來新的挑戰，架構師的真正工作在於他們能夠客觀地決定和評估一個最終決定任何一方的權衡，以盡可能好地解決它。作者沒有談論「最佳解決方案」（在本書或現實世界中），因為「最佳」意味著架構師已經設法將設計中所有可能的競爭因素最大化。相反地，我們提出以下半開玩笑的建議：</p> <p>不要試圖在軟體架構中找到最好的設計；相反地，要爭取最不差的權衡組合。</p> <p>通常情況下，架構師可以建立的最好設計是最不差的權衡集合──沒有一個單一架構特徵能超過它單獨的那樣，但所有競爭架構特徵的平衡能促進專案成功。</p> <p>這就引出了一個問題，「架構師如何才能找到最不差的權衡組合（並有效地記錄它們）？」</p> <p><span style="font-size:28px;"><strong>為什麼是「困難部分」？</strong></span></p> <p>為什麼我們把這本書叫做《軟體架構：困難部分》？實際上，書名中的「hard」一字有雙重含義。首先，hard意味著困難，而架構師們不斷面臨著字面上（及象徵性地）以前沒有人所面臨過的困難問題，涉及許多具有長期影響的技術決策，這些決策必須發生在人際和政治環境之上。</p> <p>第二，hard意味著硬──就如同在分離的硬體和軟體中，硬的部分應該改變得比較少，因為它為軟的部分提供了基礎。同樣地，架構師也討論了架構和設計之間的區別，前者是結構性的，而後者更容易改變。</p> <p>軟體架構的定義本身已經為它的參與人員提供了許多時間的非生產性對話。一個最受歡迎半開玩笑的定義是「軟體架構是那些以後很難改變的東西。」</p> <p><span style="font-size:28px;"><strong>提供關於軟體架構的永恆建議</strong></span></p> <p>軟體開發的生態系統不斷地、混亂地轉變和成長。幾年前風靡一時的話題要麼被生態系統所包含並消失，要麼被不同/更好的東西所取代。例如，10年前，大型企業的主流架構樣式是協作驅動、服務導向的架構。現在，幾乎沒有人再採用這種架構的樣式了；目前許多分散式系統所青睞的樣式是微服務，這種轉變是如何以及為什麼發生的？</p> <p>當架構師注視一個特定的樣式（尤其是歷史性的），他們必須考慮導致這架構成為主流的約束因素。當時，許多公司合併成為企業，伴隨著這種過渡隨之而來的是整合問題。此外，對於大公司來說，開源並不是一個可行的選項（通常是出於政治而非技術原因）。因此，架構師強調共用資源以及集中協作作為一種解決方案。</p> <p>然而，在這幾年中，開源和Linux成為可行的替代方案，使作業系統在商業上免費。然而，真正的轉捩點發生在Linux隨著像是Puppet和Chef等工具的出現而在操作上變得免費，這些工具允許開發團隊以編程方式啟動他們的環境，作為自動建構的一部分。一旦有了這種能力，它就透過微服務和迅速出現的容器基礎架構，以及像是Kubernetes等協作工具而促進了一場架構革命。</p> <p>這說明了軟體開發的生態系統以完全無法預期的方式擴展和演進。一種新的能力導致了另一種能力，這又不預期地創造了新的能力。隨著時間的推移，這個生態系統一次一個地完全取代了自己。</p> <p><span style="font-size:28px;"><strong>資料在架構中的重要性</strong></span></p> <p>對於架構界許多人來說，資料就是一切。每個建立任何系統的企業都必須處理資料，因為它的壽命往往比系統或架構還長得多，需要勤奮的思考和設計。然而，資料架構師建立緊密耦合系統的許多本能在現代分散式架構中產生了衝突。例如，架構師和DBA必須確保商務資料在整體式系統被拆散後仍能存在，並且無論架構如何波動，商務仍可以從它的資料中獲得價值。</p> <p>有人說，資料是一個公司最重要的資產。企業希望從他們擁有的資料中提取價值，並在決策中找到新的方法部署資料。現在企業的每一部分都是由資料驅動的，從服務現有客戶到獲得新客戶、增加客戶保留率、改善產品、預測銷售和其他的趨勢。這種對資料的依賴意味著所有的軟體架構都在為資料服務，確保正確的資料可以被企業的各部門使用。</p> <p>幾十年前，當分散式系統剛開始流行時，作者就建立了許多分散式系統，但是現代微服務的決策似乎更為困難，我們想弄清楚為什麼。我們最終意識到，在分散式架構的早期，我們大多仍然是堅持資料在一個單一的關聯式資料庫中。然而，在微服務中，以及從「Domain-Driven Design」中對有界上下文的哲學堅持，作為限制實作細節耦合範圍的一種方式，資料已經和交易性一起移到了架構關注點上。現代架構的許多困難部分都來自於資料和架構關注點之間的緊張關係。</p> <p><span style="font-size:28px;"><strong>使用適應度函數</strong></span></p> <p>在2017年的《Building Evolutionary Architectures》（O’Reilly）一書中，作者（Neal Ford、Rebecca Parsons和Patrick Kua）定義了架構適應度函數的概念：對某些架構特徵或架構特徵的組合進行客觀完整性評估的機制。</p> <p>架構師實作適應度函數，以圍繞架構特徵的意外變化建立保護。在敏捷軟體開發領域，開發者實作單元、功能以及使用者驗收測試，以驗證領域設計的不同維度。然而，直到現在，還沒有類似的機制來驗證設計中的架構特徵部分。事實上，適應度函數和單元測試之間的分離為架構師提供了一個很好的範圍指引。適應度函數驗證架構特徵，而不是領域標準；單元測試則正好相反。因此，架構師可以透過詢問以下問題來決定是否需要適應度函數或單元測試：「執行這個測試是否需要任何的領域知識？」如果答案是「是」，那麼單元/功能/使用者驗收測試是合適的；如果答案是「否」，則需要一個適應度函數。</p> <p>例如，當架構師談論彈性時，指的是應用程式能夠承受使用者突然爆發的能力。請注意，架構師不需要知道有關領域的任何細節──這可以是電子商務網站、線上遊戲、或其他的東西。因此，彈性是一個架構上的問題，並且在適應度函數的範圍內。另一方面，如果架構師想要驗證一個郵寄位址的正確部分，則可以透過傳統測試來涵蓋。當然，這種分離並不是純粹的二分法──有些適應度函數會觸及到領域，反之亦然，但不同的目標提供了一個很好的方法來從精神上將它們分開。<span style="color:#696969;"><strong>（本文摘錄整理自《軟體架構：困難部分》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-1.jpg" style="width: 345px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>軟體架構：困難部分</strong></span><strong><span style="color:#0099ff;">──</span></strong><span style="color: rgb(51, 153, 255);"><strong>分散式架構的權衡分析</strong></span></p> <p>Neal Ford, Mark Richards, Pramod Sadalage, Zhamak Dehghani／著</p> <p>劉超群／譯</p> <p>碁峰資訊出版</p> <p>定價：780元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Neal Ford</strong></p> <p>Neal Ford是領先全球的技術諮詢公司Thoughtworks董事、軟體架構師和備忘錄整理者。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Mark Richards</strong></p> <p>Mark Richards是一位實踐型軟體架構師，在微服務、服務導向架構和分散式系統的設計和實作方面擁有豐富經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Pramod Sadalage</strong></p> <p>Pramod Sadalage是Thoughtworks資料和DevOps總監，在應用程式和演進資料庫開發、資料架構、NoSQL資料庫和資料庫重構模式等方面擁有豐富的經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%EF%BC%95_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Zhamak Dehghani</strong></p> <p>Zhamak Dehghani是Thoughtworks技術總監，專注於分散式架構和新興技術。她也是Data Mesh創始人。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> </div></div></div>
2022/7/15 11:29未署名https://www.ithome.com.tw/article/151950
IBM Power10新增4產品，主打中階市場、遠端辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html" target="_blank">IBM本周宣布</a>最新Power 10晶片為基礎的4項伺服器產品，將最新一代Power晶片推向中階市場及遠端辦公室雲端應用情境。</p> <p>Power是IBM自有RISC晶片，過去搭配IBM AIX Unix及AS/400作業系統，近年則轉向支援Linux為主，尤其是Red Hat Enterprise Linux及其Kubernetes平臺OpenShift，以供大型企業部署容器應用及雲端微服務。</p> <p>IBM是在2020年推出Power 10，並於隔年9月推出E1080伺服器。本次新增的4款產品，其中<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0035" target="_blank">E1050</a>為中階伺服器為4-socket系統，強調運算、Java及ERP執行效能，最多可擴充到16TB系統記憶體。透過IBM for RISE with SAP方案，<a href="https://www.ibm.com/tw-en/products/power-e1080" target="_blank">E1050</a>鎖定要在將本地部署的SAP ERP搬上企業私有雲SAP S/4HANA平臺的用戶，或是在混合雲環境下擴充AI或核心應用，此外也在IBM公有雲服務IBM Cloud下提供這項中階產品。</p> <p>另外3項屬於水平擴充（scale-out）應用機種，包括入門型的S1014及較高階的S1022及S1024，主打中小型企業，或是大型企業在混合雲環境中擴充核心系統或AI應用，或提供遠端辦公室環境存取。<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0030" target="_blank">S1022</a>及<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0029" target="_blank">S1024</a>分別為2-socket 2U及2-socket 4U伺服器，皆包含Capacity Upgrade on Demand（CuOD），允許隨需啟動擴增處理器，並具備核心內（in-core）AI推論及機器學習功能Matrix Math Accelerator。<a href="https://www.ibm.com/products/power-s1014" target="_blank">Power S1014</a>則為 1-socket、4U入門伺服器。</p> </div></div></div>
2022/7/14 14:39作者林妍溱https://www.ithome.com.tw/news/151941
【資安日報】2022年7月13日，雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在近期的資安新聞裡，駭客利用雲端服務業者提供的伺服器與虛擬機器（VM）挖礦的攻擊行動，有越來越多的趨勢，而最近有一起事故相當特別，駭客竟是鎖定軟體開發自動化服務GitHub Actions，進而利用所搭配的Azure VM來挖礦。</p> <p>VMware最近修補了vCenter Server漏洞CVE-2021-22048引起關注，原因是這項漏洞公布後已經過8個月，且該公司只針對最新的7.0版vCenter提供修補程式。</p> <p>微軟也在7月12日發布每月例行修補（Patch Tuesday），其中有1個漏洞CVE-2022-22047，因已遭到駭客用於發動攻擊，而使得研究人員認為，使用者應優先著手安裝相關更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p>研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p>該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware針對去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p>微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> </div></div></div>
2022/7/13 17:26作者周峻佑https://www.ithome.com.tw/news/151927
紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽今日（7/12）宣布<a href="https://www.redhat.com/en/about/press-releases/red-hat-names-matt-hicks-president-and-chief-executive-officer?sc_cid=701f2000000tyN6AAI">重大人事異動</a>，將任命紅帽產品與技術執行副總裁Matt Hicks為新任總裁暨執行長，Matt Hicks將接替現任執行長Paul Cormier職務，帶領這家公司持續推動混合雲及邊緣運算戰略。至於Paul Cormier卸下執行長職務後，未來將擔任紅帽董事長一職。</p> <p>2006年加入紅帽的Matt Hicks，從IT部門開發人員做起，後來更進到開發團隊負責核心產品開發，也是最早開發出Red Hat OpenShift混合雲產品的核心成員之一，到2020年時，紅帽雲端戰略開始轉變，從多雲混合雲跨入邊緣新戰場，他接下產品和技術執行副總裁一職，開始主導紅帽混合產品未來發展方向，要讓其產品能通吃混合雲與邊緣。</p> <p>在今年紅帽高峰會上，Matt Hicks更是執行長Paul Cormier以外登臺時間最久的高階主管，他在整場大會上，不只回顧紅帽開源使命，更揭露該公司下一階段產業邊緣運算布局，不只是搶進電信業，更要進軍汽車產業，與通用汽車聯手，要把紅帽作企業級作業系統RHEL帶進汽車上。</p> <p><a href="https://www.ithome.com.tw/news/151604">今年6月下旬接受iThome專訪時</a>，Matt Hicks點出了未來紅帽混合雲邊緣新戰略，即使這場專訪是在任命他為新任CEO之前，但從他當時談話中，也能反映出他對這家公司未來發展與期待。他表示，未來將把企業級Linux，打造成為一個值得信賴、標準的汽車作業系統平臺，可供汽車產業在這個基礎上建構自己的汽車應用，不只提供完整生命周期更新，未來還要把企業和雲端應用中許多實踐帶進車輛。在接任CEO後，在Matt Hicks領軍下，可以想見，除了混合雲產品，未來將會有更多與車廠相關合作及邊緣產品推出。</p> <p>在紅帽當了2年CEO的Paul Cormier，卸下執行長一職後，之後將轉任紅帽董事長，並以核心顧問身份協助公司持續擴大規模和加速客戶採用開源技術，以構建開放式混合雲架構。Matt Hicks和Paul Cormier兩人之後皆直接向IBM董事長暨執行長Arvind Krishna負責。</p> </div></div></div>
2022/7/13 16:22作者余至浩https://www.ithome.com.tw/news/151926
【資安週報】2022年7月4日至7月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入2022年下半，本週最大的資安事故，莫過於上海公安資料庫資料外洩影響10億人個資且當局至今噤聲的消息，不過幣安（Binance）執行長趙長鵬提出看法，指出威脅情報團隊確實發現暗網銷售相關資料，並指出可能是該政府放在阿里雲的Elasticsearch發生錯誤配置暴露於外，或是工程師在CSDN撰寫文件時不慎把帳密寫入而導致。此外，關於資料外洩事件，還有一起是萬豪（Marriott）飯店遭入侵，導致20 GB的內部資料外流。</p> <p>在資安漏洞消息方面，本周OpenSSL 3.0修補一個RCE漏洞，由於應用廣泛，用戶必續盡快因應，還有Jenkins公告34個外掛程式存在漏洞，由於29個尚待修補，須留意修補動向。另外，威聯通（QNAP）近日警告勒索軟體Checkmate鎖定提供舊版SMB v1的NAS設備攻擊，呼籲用戶應停用舊版SMB服務。</p> <p>在網路威脅趨勢上，軟體供應鏈攻擊本周就有兩起揭露，主要是惡意NPM套件的手法正持續被駭客利用。像是Checkmarx發現駭客CuteBoi透過上千個帳號，上傳了多達1,283個惡意NPM套件，以散布挖礦軟體XMRig，同時另一家資安業者ReversingLabs揭露不同的NPM供應鏈攻擊行動，是駭客組織IconBurst去年底上架的數十個惡意NPM套件，故意取名與知名套件的名稱相近，一旦開發者打錯字就會下載到錯誤的套件，實際也真的發生2.7萬次下載，恐影響數百網站與應用程式。</p> <p>此外，Google最近揭露駭客租賃（Hack-For-Hire）的手法也值得關注，亦傳出資安業者發現勒索軟體RedAlert專為VMware ESXi伺服器設計的情形。另外勒索軟體Eternity、Maui與Hive的手法與動向也被揭露，</p> <p>另一方面，在資安防護態勢上，近日也有兩大消息。本周NIST終於公布後量子密碼學標準化競賽的首批確認名單，PKE/KEM獲選將成標準的有CRYSTALS-Kyber，數位簽章獲選將成標準的有CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，由於還有第四輪要進行，並且有些密碼學專家還在嘗試找出CRYSTALS-Kyber的威脅面，NIST也指出正式成為標準前可能還有些微變動，但鼓勵資安專家現在就能針對新的演算法進行研究，因應未來的採用與導入。</p> <p>此外，在俄烏戰事與衛星網路攻擊事件之下，這也讓國際間更加重視衛星通訊網路的防護，除了今年稍早美國CISA發布衛星通訊SATCOM網路威脅的警告與緩解，最近德國也針對產業發布指引，希望建立最低防護要求基準供當地業者依循。</p> <h3 class="rtecenter"><strong>本週重大關注資安新聞</strong></h3> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/151863#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_01(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_02.jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_03(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_04(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_05(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_06(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_07(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_08(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_09(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_10(1).jpg" style="width: 550px;" /></a><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E9%BB%9E%E9%BB%9E%E9%BB%9E.jpg" style="width: 550px;" /><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C0709.jpg" style="width: 550px;" /></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151769"><span style="color: rgb(0, 0, 0);">駭客聲稱從中國警方取得逾10億民眾個資，有可能是史上規模最大的資料外洩事件</span></a></strong></h3> <p id="A">駭客公布大量資料的情況，在3年前，<a href="https://www.ithome.com.tw/news/128338">曾有人於地下論壇集結近3千起事故洩露的個資Collection #1</a>，總共有近7.7億個用戶受到波及，但現在這樣的規模將被打破。根據<a href="https://www.reuters.com/world/china/hacker-claims-have-stolen-1-bln-records-chinese-citizens-police-2022-07-04/">路透社</a>、<a href="https://www.wsj.com/articles/vast-cache-of-chinese-police-files-offered-for-sale-in-alleged-hack-11656940488">華爾街日報</a>等新聞媒體報導，名為ChinaDan的駭客於駭客論壇Breach Forums，出售檔案大小逾23 TB的資料庫，他聲稱資料來自上海國家警察（SHGA），內容涵蓋10億名中國民眾的姓名、生日、身分證字號、聯絡電話、住址，以及犯罪紀錄，這名駭客開價10個比特幣，約相當於20萬美元。</p> <p>為了取信買家，ChinaDan公布了其中75萬筆資料，根據這些已被公開的資料，駭客取得的資料涵蓋1995年至2019年，華爾街日報對於其中的部分內容進行驗證，至少有5人的資料正確，該新聞媒體亦表示，某些案件的細節只有警方才會掌握相關資料。</p> <p id="B"><a href="https://twitter.com/cz_binance/status/1543700689611792386">大型加密貨幣交易所幣安（Binance）執行長趙長鵬也針對此事提出看法</a>，指出該公司的威脅情報團隊確實在暗網中，發現兜售上述資料的情況，並表示這些資料來自某個亞洲國家的政府，疑似是部署Elasticsearch資料庫所引入的臭蟲而導致資料外洩，<a href="https://twitter.com/cz_binance/status/1543905416748359680">也有可能是政府的開發者在中國開發者社群CSDN撰寫部落格時，不慎外洩相關帳密</a>。但這些資料是否來自中國政府？上海市政府和公安部門都尚未針對此事做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/"><span style="color: rgb(0, 0, 0);">駭客組織CuteBoi發動軟體供應鏈攻擊，散布逾1,200個惡意NPM套件</span></a></strong></h3> <p>駭客組織散布惡意NPM套件的手法，已經演變成以自動化的方式進行，甚至能突破NPM上架流程的雙因素驗證（2FA）措施。</p> <p>資安業者Checkmarx近期發現了1,283個惡意NPM套件，駭客CuteBoi運用了超過1千個帳號來上架這些套件，所有的套件共通點，就是都包含了幾乎與名為eazyminer套件完全相同的程式碼，該套件是挖礦軟體XMRig的JavaScript包裝器，用途是徹底運用受害電腦閒置的運算資源。</p> <p>研究人員指出，這些套件本身看似無害，但內含的eazyminer程式碼所具備的挖礦能力，需要透過外部的工具呼叫，因此，挖礦軟體不會在這些NPM安裝之後就立刻執行，受害者很有可能沒有發現異狀。</p> <p>但在NPM已從今年初逐步要求套件開發者使用雙因素驗證機制的情況下，駭客又是如何突破並上架套件呢？研究人員根據CuteBoi建立NPM帳號的網域，推測駭客使用了mail.tm的拋棄式電子郵件服務，並透過REST API建立電子郵件帳號，使他們在自動化攻擊流程能夠通過NPM的雙因素驗證機制。該公司指出，目前仍有上千個惡意NPM套件尚未下架，他們設置了專屬網站（<a href="https://cuteboi.info/">https://cuteboi.info/</a>）來隨時更新此攻擊行動的後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/iconburst-npm-software-supply-chain-attack-grabs-data-from-apps-websites"><span style="color: rgb(0, 0, 0);">惡意NPM元件恐影響數百個網站與應用程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg" style="width: 300px; float: right;" /></a>有些NPM套件的供應鏈攻擊，因採用了高度混淆的JavaScript程式碼，而使得駭客能進行數個月攻擊行動而不被發現。</p> <p>資安業者ReversingLabs揭露從2021年12月出現NPM供應鏈攻擊行動，駭客組織IconBurst使用數十個套件，他們使用了與知名套件（如Umbrella JS、Ionicons）相近的名稱，例如上傳ionicio、ionic-icon、iconion-package、ionicon-package等套件，企圖藉由開發者可能會打錯字的情況，在受害電腦部署惡意NPM套件。</p> <p>這些套件迄今被下載超過2.7萬次，有超過6成是名為icon-package的惡意套件，達到17,774次。研究人員粗估，可能有數百個網站或是應用程式受到波及。</p> <p id="E">研究人員提出警告，雖然他們已於今年7月1日通報NPM？資安團隊，但NPM套件庫裡的IconBurst惡意套件仍尚未完全移除，研究人員呼籲開發人員安裝套件時仍應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/security-advisory-accidentally-exposes-vulnerable-systems/"><span style="color: rgb(0, 0, 0);">MITRE發布的資安通告疑曝露易受攻擊的IP設備主控臺</span></a></strong></h3> <p>資安通告若是曝露了過多資訊，有可能使得受到影響的系統更容易受到波及。根據資安新聞網站Bleeping Computer的報導，有讀者發現MITRE發布的4月份高危險漏洞安全公告裡，竟在參考資料裡，不慎列出了受影響的設備遠端管理網頁的連結，並指出一旦公布這類資訊後，攻擊者很有可能利用物聯網搜尋引擎Shodan、Censys等，來尋找存在相關弱點的攻擊目標下手。</p> <p>該新聞網站向MITRE確認此事，對方竟表示他們過往就列過這種型態的參考資料。CERT/CC漏洞分析師Will Dormann、Jonathan Leitschuh都認為MITRE的做法不妥，並表示在CVE資訊裡列舉易受到攻擊的對象，顯得對受到影響的單位不尊重。Bleeping Computer隨後發現，有部分CVE漏洞的資料來源，其實是中國研究人員在GitHub發布的文章，但MITRE疑似複製這些研究人員的發現，並以自己的名義在GitHub發布相關資訊（例如CVE-2022-25584，現此漏洞在GitHub的說明網頁已遭到刪除）。該新聞網站指出，他們向MITRE確認的數個小時後，前述讀者發現的參考資料已遭到刪除。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/countering-hack-for-hire-groups/"><span style="color: rgb(0, 0, 0);">Google公布駭客租賃服務手法，並封鎖相關網域</span></a></strong></h3> <p>駭客租賃（Hack-For-Hire）服務讓想要發動攻擊的人士，在無須具備相關技術，亦不需曝露身分的情況下，針對特定的目標下手。Google於6月30日指出，他們在追蹤駭客在印度、俄羅斯、阿拉伯的攻擊行動時，發現了駭客租賃服務的興起，對象包含了人權擁護者、政治活動家、記者，但也可能是一般民眾，這些受僱的駭客主要會運用網釣攻擊來入侵受害者的電腦，Google將這些駭客所用於網釣攻擊的網域加入Safe Browsing的黑名單。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cloudsek.com/threatintelligence/threat-actor-claiming-to-have-compromised-ibm-stanford-university-disclose-their-ttps/"><span style="color: rgb(0, 0, 0);">駭客聲稱攻陷IBM與史丹佛大學</span></a></strong></h3> <p>持續整合工具（CI）Jenkins成為駭客入侵組織的管道，且疑似有大型企業受害。資安業者CloudSEK在一個使用英文溝通的駭客論壇上，發現有人在5月7日聲稱，他們透過Jenkins儀表板的漏洞，成功入侵IT業者IBM，為了證明真有其事，這名使用者也附上了號稱是該公司Jenkins儀表板的螢幕截圖。研究人員指出，根據他們對於前述發文的駭客進行調查，這些駭客過往就曾經兜售IBM的初始存取管道，此外，還銷售多個政府實體（Entitiy）的Web Shell存取管道，因此真有其事的可能性相當高。</p> <p>這些研究人員發現，駭客藉由物聯網搜尋引擎Shodan，鎖定在網路上公開9443埠的企業資產，然後使用獨有的指令碼進行模糊測試，以便於存在漏洞的組織裡，藉由反向代理伺服器（RProxy）的錯誤配置，來進行攻擊。</p> <p id="I">除了IBM，駭客也提及他們如何入侵史丹佛大學──他們利用了Sudomy軟體列舉與大學相關的子網域，接著利用httpx程式找到WordPress網站的外掛程式路徑（/wp-content/plugins/），再藉由外掛程式的零時差漏洞來發動RCE攻擊。研究人員認為，上述的攻擊手法很有可能被其他人複製，對其他組織進行類似的攻擊，呼籲組織要落實網站應用系統的各式元件修補，並採取多因素驗證（MFA）等措施來防範相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-redalert-ransomware-targets-windows-linux-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體RedAlert鎖定VMware ESXi伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg" style="width: 300px; float: right;" /></a>駭客鎖定VMware ESXi虛擬化環境下手，並發動勒索軟體攻擊的情況，近期又有新的勒索軟體出現。資安研究團隊MalwareHunterTeam發現名為RedAlert（N13V）勒索軟體駭客組織，並指出已有組織疑似受害且不願意支付贖金，而遭到駭客公布。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案並進行解析，指出該軟體可在Linux主機上執行，是針對VMware ESXi所設計，因為，有部分的命令是專門為這類環境而設。例如，如果駭客下達了停止所有虛擬機器（VM）運作的參數，該勒索軟體就會執行esxcli的命令來關閉VM。</p> <p>該新聞網站指出，此勒索軟體採用了名為NTRUEncrypt的演算法加密檔案，且只對於LOG、VMDK、VMEM、VSWP、VMSN等副檔名的檔案執行加密，然後向受害組織索討門羅幣。此外，駭客可下達非對稱加密的命令，來對受害主機進行加密檔案速度測試。</p> <p id="D">值得一提的是，雖然上述勒索軟體鎖定ESXi而來，但研究人員在RedAlert的付款網站上，發現支援Windows作業系統的解密工具，由此推測駭客很可能也有開發Windows版的勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.databreaches.net/exclusive-marriott-hacked-again-yes-heres-what-we-know/"><span style="color: rgb(0, 0, 0);">萬豪飯店遭到駭客入侵，疑外洩20 GB機敏資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg" style="width: 300px; float: right;" /></a>飯店業遭到駭客攻擊，並發生資料外洩的情況，在疫情爆發前發生數起事故，這樣的攻擊行動隨著各國政府對出入境鬆綁又再度出現。資料外洩事故新聞網站DataBreaches於7月5日指出，他們在6月28日獲報萬豪（Marriott）飯店的資料外洩事件，不願具名的駭客組織宣稱在1個月前入侵，並竊得約20 GB的內部資料，當中包含信用卡交易資料，以及萬豪內部的資料。</p> <p>該新聞網站針對駭客提供的部分資料進行查核，發現資料來自該集團位於美國馬里蘭州BWI機場的飯店，這些駭客也向DataBreaches表示他們入侵了該飯店的伺服器。</p> <p>萬豪坦承確有此事，並認為他們之所以被入侵，是駭客經由社交工程攻擊員工得逞，進而存取該名員工的電腦。該公司指出，駭客能夠經由該名員工的權限存取相關資源，但目前沒有證據表明能存取其他的資料。這個說法看似合理，但駭客如果進行橫向移動，有可能得以存取其他資源。</p> <p id="J">該公司亦宣稱，在駭客向他們索討贖金之前就已察覺攻擊行動，並在6個小時就獲得控制，駭客竊得的是較不敏感的內部業務資料，不過他們仍需通知約300至400名受影響的人士，但對於這些人士的身分並未進一步透露。而針對贖金的部分，萬豪疑似贖金價碼過高，而沒有向駭客支付，駭客也表明沒有加密伺服器上的檔案。這起事故已是萬豪自2018年至今的第3次重大資料外洩事件。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png" style="width: 300px; float: right;" /></a>最近幾年駭客濫用滲透測試工具的情況相當頻繁，當中又以利用Cobalt Strike的攻擊行動最為常見，但有部分組織疑似開始改用其他工具來規避資安系統的偵測。資安業者Palo Alto Networks指出，俄羅斯駭客組織APT29（亦稱CozyBear、Dukes）約自5月下旬，開始利用名為Brute Ratel C4（BRc4）的滲透測試工具發動攻擊。</p> <p>BRc4是曾任職於Mandiant與CrowdStrike的紅隊演練專家Chetan Nayak製作，該名資安人員開發的動機就是要將其用於紅隊演練，替代Cobalt Strike，紅隊可在目標電腦上部署Badgers（相當於Cobalt Strike的Beacon），來接收攻擊者下達的命令，進行各式攻擊行為。</p> <p>研究人員指出，BRc4不若Cobalt Strike廣為人知，而且該軟體特別針對防毒軟體與EDR系統打造，使得這些防護系統幾乎無法察覺攻擊意圖。在APT29發起的攻擊行動中，駭客以寄送求職履歷的名義發動釣魚攻擊，挾帶惡意ISO映像檔，但ISO檔案內含的履歷檔案，實際上是Windows捷徑（LNK）檔案，一旦受害者開啟，就會觸發映像檔裡的OneDriveUpdater.exe，然後透過作業系統的Runtime Broker處理程序來載入BRc4的Badger元件。</p> <p>值得留意的是，Cobalt Strike與BRc4都是商業軟體，但前者已遭到駭客破解而大肆濫用，後者目前沒有類似的情形，究竟駭客如何啟用BRc4的軟體授權，而能用於攻擊行動？資安新聞網站Bleeping Computer取得Chetan Nayak的說法，很有可能是有客戶的員工洩露出去，威脅情報業者Advanced Intelligence（AdvIntel）則認為，駭客很有可能設立了假的公司，而通過Chetan Nayak對買家的背景驗證流程，成功買到BRc4的軟體授權。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/05/hive-ransomware-gets-upgrades-in-rust/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive改以程式語言Rust開發，恐更加難以察覺攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png" style="width: 300px; float: right;" /></a>勒索軟體Hive自去年6月出現後，已為全球帶來相當嚴重的威脅，而當時駭客使用Go語言開發勒索軟體引起研究人員的高度關注，但近期這些駭客再度更換程式語言，重新打造勒索軟體。微軟於7月5日指出，他們近期發現的新版勒索軟體Hive，出現了重大的變化，那就是駭客重新使用Rust程式語言打造勒索軟體，而這是繼BlackCat之後，另一款採用此種程式語言打造的勒索軟體。</p> <p>研究人員指出，駭客會採用Rust開發的原因，包含對於開發者提供更為友善的程式語法，並對系統資源有較精準的控制而執行更有效率，除此之外該程式語言亦具備各式各樣的密碼程式庫，並提供多種機制實現檔案加密保護，而使得研究人員想要對惡意程式逆向工程將會更加困難。研究人員指出，他們找到了改以Rust開發的多個Hive變種檔案，而這些勒索軟體的共通點，在於能察覺攻擊跡象的防毒軟體並不多，即使能夠將其識別為有害，也無法確認就是Hive的變種。</p> <p>附帶一提，新版Hive的加密手法也相當罕見且複雜──駭客在記憶體內產生兩組金鑰，以橢圓曲線迪菲．赫爾曼金鑰（ECDH）交換協定，並結合Curve25519和XChaCha20-Poly1305兩種演算法，使用ChaCha20對稱密碼用來加密檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.jpcert.or.jp/en/2022/07/vsingle.html"><span style="color: rgb(0, 0, 0);">駭客組織Lazarus濫用GitHub，遠端控制惡意軟體VSingle</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png" style="width: 300px; float: right;" /></a>北韓駭客組織Lazarus（亦稱Hidden Cobra）從2020年開始，<a href="https://www.ithome.com.tw/news/148151">利用名為VSingle的惡意軟體攻擊日本組織</a>，但近期這些駭客採用了更為隱密的通訊方式，而使得研究人員更難以追查行蹤。</p> <p>日本電腦緊急應變小組（JPCERT/CC）於7月5日指出，Lazarus改造了他們的後門程式VSingle，研究人員發現其通訊方式出現變化，此惡意軟體本身有3組預設C2伺服器IP位址，但在上述C2伺服器都無法存取的時候，VSingle會先連上GitHub取得新的C2伺服器IP位址，而過程中會隨機從超過10組使用者與儲存庫名稱裡，隨機挑選其中一組來進行連線，來取得新的C2伺服器位址。</p> <p>研究人員發現，駭客不只繼續發展先前的Windows版VSingle，也開始使用Linux版惡意軟體，而兩者與C2伺服器通訊、執行命令的方法也有所不同──前者濫用作業系統的API，後者則是利用wget來接收並執行駭客下達的命令。JPCERT/CC認為，駭客利用合法伺服器或是雲端服務來藏匿行蹤的情況，不時有事故發生，他們呼籲組織要管制伺服器能存取的外部網路範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.websiteplanet.com/blog/amm-breach-report/"><span style="color: rgb(0, 0, 0);">美國非營利婚禮司儀培訓機構的AWS S3儲存桶不設防，曝露630 GB婚禮相關資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png" style="width: 300px; float: right;" /></a>又是AWS S3儲存桶配置不當而造成資料曝露的情況，而且還是與許多民眾的終生大事有關。提供架設網站教學的Website Planet於今年4月26日發現，專門培訓婚禮主持人的美國非營利組織American Marriage Ministries（AMM），他們所屬的AWS S3儲存桶，在2018年3月31日至2022年4月的期間，沒有設置密碼或是採取加密等保護措施，使得該單位存放約18.5萬名牧師與1.5萬對夫妻婚禮的資料，任何人都有可能隨意取用。</p> <p>研究人員看到逾50萬張任命牧師主持婚禮的證書，以及14萬張婚禮的合照照片。該儲存桶總共存放了高達630 GB的資料，研究人員已向AMM與US-CERT通報，但尚未確定這些資料是否已經遭到駭客存取。AMM於5月11日為此儲存桶採取了保護措施，並表示會著手進一步調查。</p> <h3> </h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-21"><span style="color: rgb(0, 0, 0);">舊版SMB檔案服務再遭鎖定！勒索軟體Checkmate攻擊提供相關服務的威聯通NAS設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png" style="width: 300px; float: right;" /></a>駭客鎖定網路儲存設備NAS發動勒索軟體的情況，似乎有越來越嚴重的趨勢，近期有新的駭客組織也發動相關攻擊。威聯通（QNAP）於7月7日提出警告，指出該公司旗下的NAS設備遭到勒索軟體Checkmate攻擊，此勒索軟體鎖定提供舊版SMB服務（SMB v1）的NAS設備，藉由字典攻擊來進行暴力破解，進而在受害的NAS設備加密檔案，並留下檔名為!CHECKMATE_DECRYPTION_README的勒索訊息。該公司呼籲用戶應停用舊版SMB服務，並使用最新版本的作業系統來防堵相關攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-checkmate-ransomware-targeting-nas-devices/">根據資安新聞網站Bleeping Computer的調查</a>，此勒索軟體的攻擊行動首度於5月28日出現，受害者需支付1.5萬美元的贖金，才能換到解密金鑰。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/follina-rozena-leveraging-discord-to-distribute-a-backdoor"><span style="color: rgb(0, 0, 0);">駭客利用Follina漏洞散布惡意軟體Rozena</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1657126208232.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1657126208232.png" style="width: 300px; float: right;" /></a>研究人員於5月底揭露Windows支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190），已有多起利用此漏洞的攻擊行動出現，現在出現了更為複雜的攻擊手法。</p> <p>資安業者Fortinet發現，有人利用惡意Word文件與Follina漏洞，從即時通訊軟體Discord伺服器下載惡意程式Rozena，並藉由圖示與檔案名稱（Word.exe），將其偽裝成Word主程式，同時，為了不讓受害者察覺電腦遭到攻擊，駭客也下載另一個無害的Word檔案。</p> <p>一旦Rozena被執行，該惡意程式就會透過PowerShell執行Shikata Ga Nai（SGN）編碼加密的Shell Code，進而啟動反向Shell並連線到攻擊者的主機，完成後門的建置。研究人員呼籲使用者應儘速修補Follina漏洞，來防堵相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://stairwell.com/news/threat-research-report-maui-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客使用勒索軟體Maui，鎖定醫療保健相關機構下手</span></a></strong></h3> <p>勒索軟體的威脅可說是越來越嚴重，除了惡名昭彰的Conti、LockBit、BlackCat、Hive，專門鎖定特定產業、過往不曾發現的勒索軟體也相當值得留意。資安業者Stairwell在上個月發現名為Maui的勒索軟體，研究人員指出，這個勒索軟體與其他同類型的攻擊工具，有顯著不同的功能差異，例如，Maui缺少多數勒索軟體提供勒索訊息功能，也不會向攻擊者回傳加密金鑰，研究人員由此推測，駭客必須手動操作Maui，並指定要加密的檔案。</p> <p>同一天美國網路安全暨基礎設施安全局（CISA）、美國聯邦調查局（FBI）、美國財政部聯手，針對此勒索軟體的攻擊行動提出警告，並指出是北韓駭客所為，這些攻擊者至少從2021年5月就開始行動，鎖定的目標是醫療保健與公共衛生組織（HPH）。他們呼籲這些單位應透過相關措施來嚴加防範，並藉由Stairwell提供的情資來識別相關威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.shi.com/uncategorized/recent-security-incident-statement-from-shi/"><span style="color: rgb(0, 0, 0);">北美大型IT服務業者SHI遭到網路攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png" style="width: 300px; float: right;" /></a>大型IT服務業者遭到網路攻擊，很可能使得使用者受到波及。北美大型IT服務業者SHI傳出於7月4日遭到了專業的惡意軟體攻擊，該公司亦表示他們已快速做出因應，來儘可能減少對於營運的影響。資安新聞網站Bleeping Computer指出，該公司部分網站一度出現資訊系統正在維護的訊息，或是顯示Amazon CloudFront、AWS S3出錯的畫面。該公司正與執法單位著手調查，並強調目前沒有客戶的資料遭到外洩的跡象，該公司的供應鏈無外部系統受到波及。</p> <p><strong style="font-size: 22px;"><a href="https://hackerone.com/reports/1622449"><span style="color: rgb(0, 0, 0);">漏洞懸賞平臺HackerOne員工竊取研究人員通報的漏洞牟利</span></a></strong></p> <p>員工竊取營業秘密的資料，再轉手賣給他人的情況不時傳出，而這樣的資料多半是關於公司的智慧財產（IP），或是重大決策的消息。但如今有漏洞懸賞平臺的員工自肥，將研究人員通報的漏洞私下拿來向客戶索取報酬。</p> <p>漏洞懸賞平臺HackerOne於7月2日發布資安通告，指出他們在6月22日接獲客戶的調查請求，該客戶發現有人使用rzlr的ID名稱，並透過HackerOne以外的管道，以語帶威脅的方式向他們通報漏洞，其內容與其他研究人員藉由HackerOne提供的資訊相當雷同，雖然多名研究人員通報相同漏洞的情況，在漏洞懸賞計畫可說是相當常見，但這起事件相當不尋常的是，該名通報者刻意尋求其他管道與其聯繫，使得這個接獲漏洞通報的用戶決定通知HackerOne。</p> <p>經HackerOne的資安團隊調查，是一名員工為了自身利益，截取研究人員在HackerOne通報的資料，然後以匿名的身分在該漏洞懸賞平臺以外的管道透露漏洞資訊，目的是取得額外報酬。根據該公司資安團隊追查，至少有7個客戶受害，HackerOne已解僱該名員工，並打算採取法律行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-finds-raspberry-robin-worm-in-hundreds-of-windows-networks/"><span style="color: rgb(0, 0, 0);">微軟針對惡意軟體Raspberry Robin攻擊行動提出警告</span></a></strong></h3> <p>有研究人員去年發現惡意軟體Raspberry Robin的蹤跡，現在出現了新的攻擊行動而引起關注。根據資安新聞網站Bleeping Computer的報導，微軟針對Microsoft Defender for Endpoint的用戶，近期提供的威脅情報指出，他們發現許多用戶的網路環境裡，出現名為Raspberry Robin的蠕蟲，主要的散布途徑是透過USB外接裝置，該蠕蟲程式還會透過合法的Windows工具，來繞過使用者帳號控制（UAC）。微軟已將相關攻擊活動標記為高度風險，呼籲用戶要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/analysis-and-attribution-of-the-eternity-ransomware-timeline-and-emergence-of-the-eternity-group/"><span style="color: rgb(0, 0, 0);">勒索軟體Eternity加密各式文件檔案，並利用WMI刪除系統備份</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-19844-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-19844-1.png" style="width: 300px; float: right;" /></a>駭客組織Eternity對其他攻擊者銷售各式的惡意程式，包含了蠕蟲軟體、竊密程式（Infostealer）、DDoS攻擊工具等，其中近期該組織販賣的勒索軟體，引起了研究人員的關注。</p> <p>資安業者CloudSEK指出，他們注意到駭客近期對於Eternity推出的勒索軟體產生器產生高度興趣，研究人員根據找到的Eternity勒索軟體檔案進行分析，結果發現，此勒索軟體由C#和.NET編譯而成，在開始執行後會隨機產生一組密碼，並藉由RSA演算法加密，組成解密檔案所需的sendme.eternityraas，然後對受害電腦的資料進行加密，再透過Base64演算法對這些加密資料進行編碼，將其以sendme.eternityraas檔案存放在電腦的桌面資料夾，完成後會要求受害者將sendme.eternityraas傳送給駭客，而對方在收到800美元贖金後，會從上述檔案取得密碼並傳送給受害者，以便進行檔案解鎖的流程。</p> <p>而在加密受害電腦的檔案之後，研究人員發現，勒索軟體Eternity還會透過WMI來刪除系統的磁碟陰影複製（Volume Shadow Copy）檔案，並藉由登錄檔讓自己在電腦進入作業系統後就執行，而使得受害者更加難以因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/astralocker-ransomware-shuts-down-and-releases-decryptors/"><span style="color: rgb(0, 0, 0);">勒索軟體AstraLocker釋出解密金鑰</span></a></strong></h3> <p>勒索軟體駭客疑似為了避免執法單位找上門而決定收手，但這不代表他們打算就此改邪歸正。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客AstraLocker打算關閉相關業務，並將解密金鑰上傳到了惡意程式分析平臺VirusTotal，該新聞網站也確認駭客提供的解密程式確實能解鎖檔案，資安業者Emsisoft打算根據駭客的解密軟體，打造能因應組織所有攻擊行動的解密工具。</p> <p>這些駭客向Bleeping Computer表示，他們不想再發動勒索軟體攻擊，現在想要轉換跑道挾持他人電腦來挖礦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151768"><span style="color: rgb(0, 0, 0);">英國陸軍推特與YouTube帳號遭駭，並用於網路詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/elon-musk-british-army.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/elon-musk-british-army.jpg" style="width: 300px; float: right;" /></a>駭客針對知名組織、名人的推特或YouTube頻道進行挾持，並用於詐騙的情況，不時傳出相關事故，但最近有一起駭客同時針對上述兩種帳號進行挾持的事故，而引起各界關注。根據加密貨幣新聞網站Web3 Is Going Great的報導，擁有36.2萬人追蹤的英國陸軍推特帳號，以及該單位擁有17.8萬人追蹤的YouTube頻道，於上週末遭不明人士挾持，置換成推銷NFT及加密貨幣交易的詐騙訊息，英國國防部證實此事並著手調查，並於7月4日表示上述的推特與YouTube帳號恢復正常。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.avast.com/kids-discord-hacking-groups"><span style="color: rgb(0, 0, 0);">青少年透過即時通訊軟體Discord組成駭客團體，出售惡意軟體牟利</span></a></strong></h3> <p>網路犯罪的年齡層大幅下降，如今有研究人員發現，未成年的小孩疑似為了零用錢，加入銷售惡意軟體的行列。防毒業者Avast發現了一個Discord伺服器，當中的成員幾乎都是未成年的青少年，他們在打造、交易，以及傳播惡意軟體，這個組織疑似透過惡意軟體產生器與工具包，號稱無需實際撰寫程式，吸引青少年客製化惡意軟體的功能與介面樣貌，加入銷售這些網路攻擊工具，如：勒索軟體、竊密程式、挖礦軟體等。</p> <p>研究人員建議家長要留意小孩的狀態，若是他們開始使用dox、DDoS、Bot的網路術語，或是家裡網路流量大幅增加，小孩收到來路不明的新禮物等情況，就應該進一步了解，假若他們對駭客行為產生興趣，家長應鼓勵他們從事相關研究，並朝向白帽駭客與資安相關工作發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/dutch-uni-gets-cyber-ransom-money-back-interest"><span style="color: rgb(0, 0, 0);">遭到勒索軟體攻擊並支付贖金的荷蘭大學，2年後追回部分加密貨幣</span></a></strong></h3> <p>有大學數年前遭到勒索軟體攻擊，因執法單位追回部分贖金而幸運地彌補了損失。根據荷蘭新聞網站人民報（De Volkskrant）的報導，當地的馬城大學（Maastricht University）於2019年遭到大規模網路攻擊，駭客加密了數百臺Windows伺服器與備份系統，影響2.5萬名學生與員工，並向該校索討20萬歐元的比特幣，馬城大學為了讓學生能正常考試與完成論文，選擇向駭客低頭。</p> <p id="C">荷蘭警方於2020年追蹤到贓款流向，並查封洗錢者的帳戶，追回馬城大學先前支付的部分比特幣，經過2年後近期將歸還給學校。該新聞網站指出，這些比特幣的價值，已從支付贖金時的4萬歐元，現在價值大幅增加為50萬歐元。馬城大學表示，這些追回的贖金將用於幫助經濟拮据的學生。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.openssl.org/news/secadv/20220705.txt"><span style="color: rgb(0, 0, 0);">OpenSSL發布3.0.5版，修補嚴重程度可能比擬Heartbleed的漏洞</span></a></strong></h3> <p id="F"> 在6月下旬有研究人員揭露加密程式庫OpenSSL的漏洞CVE-2022-2274，這項漏洞使得支援AVX512指令集的64位元處理器在解析2048位元RSA私鑰發生錯誤，進而導致記憶體被破壞，攻擊者一旦利用這項漏洞，就有可能發動RCE攻擊，嚴重程度有可能接近2014年出現的Heartbleed。對此，OpenSSL於7月5日發布3.0.5版予以修補，使用3.0.4版的用戶應儘速更新。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/jenkins-discloses-dozens-of-zero-day-bugs-in-multiple-plugins/"><span style="color: rgb(0, 0, 0);">Jenkins公布近30個零時差漏洞</span></a></strong></h3> <p>持續整合平臺Jenkins於6月30日，公告34個外掛程式的漏洞，這些漏洞存在於29個外掛程式，其中，該公司已修補了GitLab、requests-plugin、TestNG Results、XebiaLabs XL Release等4項元件的漏洞，但值得留意的是，仍有29個漏洞仍有待修補，這些尚未修補的元件已被安裝逾2.2萬次，根據物聯網搜尋引擎Shodan的資料，逾14.4萬臺曝露於網際網路的Jenkins伺服器有可能成為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/update-google-chrome-browser-to-patch.html"><span style="color: rgb(0, 0, 0);">Google修補Chrome瀏覽器的零時差漏洞CVE-2022-2294</span></a></strong></h3> <p>Google<a href="https://www.ithome.com.tw/news/151379">於6月下旬推出Chrome 103版</a>，在2個星期後緊急推出更新，目的是為了修補已被利用的零時差漏洞。Google於7月4日，發布<a href="https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop.html">Windows版Chrome 103.0.5060.114</a>、<a href="https://chromereleases.googleblog.com/2022/07/chrome-for-android-update.html">Android版103.0.5060.71</a>，以及<a href="https://chromereleases.googleblog.com/2022/07/extended-stable-channel-update-for.html">延伸支援版本102.0.5005.148（Windows、macOS版本）</a>，該公司之所以推出這些版本，就是修補已經遭到利用的漏洞CVE-2022-2294，這是WebRTC堆積緩衝區溢位漏洞。相關用戶應儘速安裝新版Chrome來防堵攻擊行動。而這是今年以來Google修補的第4個Chrome零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.djangoproject.com/weblog/2022/jul/04/security-releases/"><span style="color: rgb(0, 0, 0);">網頁框架軟體Django發布新版，修補SQL注入漏洞</span></a></strong></h3> <p id="G">以程式語言Python打造的網頁框架Django，最近修補了SQL注入漏洞CVE-2022-34265，所有尚在支援的Django版本，包括3.2版、4.0版，以及尚在測試階段的4.1版都會受到影響。Django軟體基金會發布了3.2.14版與4.0.6版予以修補，並表示4.1版正式版本將包含相關的修補程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nist.gov/news-events/news/2022/07/nist-announces-first-four-quantum-resistant-cryptographic-algorithms"><span style="color: rgb(0, 0, 0);">NIST選出4款可防禦量子駭客的密碼學演算法</span></a></strong></h3> <p>美國國家標準暨技術研究院（NIST）於2016年，針對量子密碼提出標準化的提案（Post-Quantum Cryptography Standardization），並公開徵求適用於這類運算的加密演算法後，最近有了重大突破。</p> <p>NIST於今年7月5日，將4種量子密碼納入標準，它們是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，以及SPHINCS+。這4種量子密碼，CRYSTALS-Kyber是應用於上網安全，其餘3種則是適用於數位簽章領域。</p> <p id="H">該單位指出，他們挑選CRYSTALS-Kyber量子密碼的原因，在於其密鑰檔案較小，以及執行速度較佳等特性；而對於另外三個量子密碼的用途，主要是針對數位簽章提供保護，適用於數位交易與簽署文件，當中又以CRYSTALS-Dilithium最適合做為主力，FALCON適合運用於需要更小的檔案簽章應用程式，至於SPHINCS+，NIST指出與認為此量子密碼的主要價值，在於採用了散列函數，而非其他3個所使用。NIST也表示他們正在評估另外4款量子密碼，並有機會將它們也納入標準。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Weltrauminfrastrukturen.html"><span style="color: rgb(0, 0, 0);">德國發布衛星網路的資安防禦指引</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150871#ka-sat">衛星網路Ka-Sat在烏克蘭戰爭開打時就遭到破壞</a>，使得部分歐洲用戶受到波及，其中德國風力發電廠也因為採用此衛星網路遠端遙控發電設備而受到影響，該國近期也針對這種威脅發布相關的防護指南。</p> <p>德國聯邦資訊安全辦公室於6月30日，針對空中的基礎設施發布了IT防護的基準配置指南。此文件是德國聯邦資訊安全辦公室與空中巴士旗下的Airbus Defence and Space、德國太空中心（DLR）等機構合作長達一年的成果，目的是確保衛星從製造到正式上線運作的資訊安全，並列出各項保護工作的優先程度。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nato.int/cps/en/natohq/official_texts_196951.htm"><span style="color: rgb(0, 0, 0);">北約組織打算提升網路攻擊的因應能力</span></a></strong></h3> <p>俄羅斯對烏克蘭開戰後，不只頻頻對烏克蘭發動網路攻擊，鄰近國家也出現遭到波及的情況。對此，北大西洋公約組織（NATO）於6月29日在西班牙舉行的高峰會，公布有關的決策，當中特別提及北約盟國正面臨網路空間等不對稱的威脅，他們決定透過軍民合作的方式，來大幅增加網路防禦的能力，並將這項措施與能源的安全，視為盟國提升韌性（Resilience）的重要方針。而這是NATO自去年將網路攻擊視同武裝攻擊看待後，對於盟國之間的資訊安全的重大宣示。</p> <h3><strong style="font-size: 22px;"><a href="https://www.apple.com/tw/newsroom/2022/07/apple-expands-commitment-to-protect-users-from-mercenary-spyware/"><span style="color: rgb(0, 0, 0);">為防範間諜軟體攻擊，蘋果計畫在旗下電腦與行動裝置導入新資安功能</span></a></strong></h3> <p>間諜程式（如NSO Group開發的Pegasus）鎖定人手一隻的手機下手，針對政治人物或是新聞記者而來，這樣的情況近年來也越來越頻繁，使得手機廠商決定加入相關的機制來強化安全。</p> <p>蘋果於7月6日宣布，他們計畫在今年秋季發布的iOS 16、iPadOS 16，以及macOS Ventura等作業系統中，提供鎖定模式（Lockdown Mode），來防堵間諜程式攻擊的情況。在這種模式下，即時通訊軟體Messages將停用連結預覽功能，並阻擋圖片以外的附件；網頁瀏覽器也會在大部分的情況下，停用JavaScript的即時編譯（JIT）機制；而在手機鎖定時，該模式將禁止電腦與iPhone進行連接。</p> <p>此外，該公司亦在漏洞懸賞計畫增列相關類別，並提供最高200萬美元的獎金，他們也打算提供1千萬美元，來支持專門調查這類針對性網路間諜攻擊的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://ccoe.narlabs.org.tw/activity/37"><span style="color: rgb(0, 0, 0);">資安卓越中心公布建置成果</span></a></strong></h3> <p>行政院資通安全處於去年8月底，橫向整合跨部會資源，提出資安卓越中心計畫，成立資安卓越中心（CCoE），發展數位應用資安生態系。此計畫由科技部支援資安處辦理，擬定資安前瞻研究、頂尖實戰人才養成、國際合作，以及技術移轉創新育成等發展項目，來規畫並建置資安卓越中心。今天（7月8日）該中心於臺北科技大學發表此建置計畫的成果，除介紹該中心的服務項目，並對於密碼研究、網路威脅防禦、網路資料分析，以及人才培育等工作的推動進行說明。</p> <h3><strong style="font-size: 22px;"><a href="https://tiny-check.com/"><span style="color: rgb(0, 0, 0);">為推廣行動裝置檢測工具TinyCheck，卡巴斯基設立專屬網站</span></a></strong></h3> <p>近期攻擊者透過手機間諜程式跟蹤被害人的情況，不時有事故傳出，使得相關的檢測工具顯得更加重要。卡巴斯基最近針對2年前推出的檢測工具TinyCheck，設置了專屬的網站，並提供相關說明，以便組織將此工具部署於單板電腦Raspberry Pi，以非侵入式的方法，來檢查手機上是否有手機間諜程式活動的跡象──該系統藉由檢查手機對外的流量，並辨識這些流量互動的設備，來找出是否有存取手機間諜程式伺服器的情況。</p> <p>該公司強調，此系統只會與手機的通訊對象互動，所有分析都會在本地進行，資料不會傳送給卡巴斯基或是其他單位。而此工具在問世之後，已有多個非政府組織採用，近期亦受到歐盟組織、記者、企業的注意，當地執法機構也正在進行相關評估，並打算用於相關事故的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/australias-monash-university-launches-public-bug-bounty-program"><span style="color: rgb(0, 0, 0);">澳洲蒙納許大學啟動漏洞懸賞計畫</span></a></strong></h3> <p>許多IT業者為了強化系統安全，紛紛推出漏洞懸賞（Bug Bounty）計畫，讓研究人員與駭客協助找出漏洞，而這樣的做法也有學術單位跟進。</p> <p>位於澳洲墨爾本的蒙納許大學（Monash University）近期推出了漏洞懸賞計畫，他們在漏洞通報平臺Bugcrowd成立這項專案，研究人員有機會獲得最高2,500美元的獎勵，抓漏範圍包含了該校的網域與行動版App，還有他們使用的網路設施，如VPN和FileShare實例（Instance）等。蒙納許大學資安長Dan Maslin指出，此專案的成立，是他們邁向建校最終成熟階段的重要里程碑。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/06/30/toll-fraud-malware-how-an-android-application-can-drain-your-wallet/"><span style="color: rgb(0, 0, 0);">騙錢軟體可能會停用安卓手機的Wi-Fi網路，暗中訂閱服務</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.horizon3.ai/red-team-blog-cve-2022-28219/"><span style="color: rgb(0, 0, 0);">研究人員發現Zoho的AD稽核管理系統存在重大RCE漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://about.gitlab.com/releases/2022/06/30/critical-security-release-gitlab-15-1-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補重大RCE漏洞CVE-2022-2185</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://edition.cnn.com/2022/07/01/politics/russia-ukraine-dtek-hack/index.html?"><span style="color: rgb(0, 0, 0);">俄羅斯駭客XakNet鎖定烏克蘭大型能源業者DTEK發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151818"><span style="color: rgb(0, 0, 0);">臺灣46家新創參加SelectUSA Tech競賽打響市場知名，1資安與2醫療新創嶄露頭角</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/06/amazon-prime-day-or-amazon-crime-day-dont-fall-victim-to-phishing-warns-check-point-software/"><span style="color: rgb(0, 0, 0);">駭客盯上Amazon會員日活動，對買家發動釣魚郵件攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-copyright-complaints-push-icedid-malware-using-yandex-forms/"><span style="color: rgb(0, 0, 0);">駭客以圖片著作權侵犯為由，散布IcedID軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-affects-657-healthcare-orgs/"><span style="color: rgb(0, 0, 0);">已有657個醫療保健機構疑遭勒索軟體Quantum攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/incident-response/orbit-new-undetected-linux-threat/"><span style="color: rgb(0, 0, 0);">惡意軟體OrBit鎖定Linux主機竊密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.secuinfra.com/en/techtalk/whatever-floats-your-boat-bitter-apt-continues-to-target-bangladesh/"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉軍事單位下手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/30/infostealer/"><span style="color: rgb(0, 0, 0);">惡意軟體PennyWise鎖定加密貨幣錢包和瀏覽器資料發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-11_102026.jpg" style="width: 600px;" /></span></span></strong></p> </div></div></div>
2022/7/11 10:27作者羅正漢https://www.ithome.com.tw/news/151863
【資安日報】2022年7月8日，駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客組織Lazarus近期鎖定日本的攻擊行動，可說是相當引起研究人員的關注，原因是這些駭客採用了過往相當少見的手法，來提供惡意程式連線C2伺服器IP位址──他們將IP位址存放於特定的GitHub帳號，再讓惡意程式從GitHub取得相關資訊，進而迴避研究人員直接從惡意程式本身找到C2伺服器位址的情況。</p> <p>這類手法先前已有駭客採用，但他們濫用的是Google Drive、OneDrive等檔案共享服務，而如今駭客轉移目標，濫用程式碼代管服務，由於這種服務也常會有資安人員上傳概念性驗證的攻擊程式碼，使得要防堵駭客濫用的行為可能會變得更加困難。</p> <p>AWS S3儲存桶配置不當的情況，先前多半是企業與政府機關，在今天的資安新聞裡，這個沒有配置適當防護措施是美國的非營利組織，其主要業務是專門培訓牧師為新人主持結婚典禮。這些曝光的資料多達630 GB，使得結婚的新人、證婚的牧師個資，以及參與婚禮的親友名單都可能讓他人隨意存取。</p> <p>在6月下旬公布的OpenSSL漏洞CVE-2022-2274，這項漏洞在2個星期後獲得了修補，使用3.0.4版的用戶應儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.jpcert.or.jp/en/2022/07/vsingle.html"><span style="color: rgb(0, 0, 0);">駭客組織Lazarus濫用GitHub，遠端控制惡意軟體VSingle</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png" style="width: 300px; float: right;" /></a>北韓駭客組織Lazarus（亦稱Hidden Cobra）從2020年開始，<a href="https://www.ithome.com.tw/news/148151">利用名為VSingle的惡意軟體攻擊日本組織</a>，但近期這些駭客採用了更為隱密的通訊方式，而使得研究人員更難以追查行蹤。</p> <p>日本電腦緊急應變小組（JPCERT/CC）於7月5日指出，Lazarus改造了他們的後門程式VSingle，研究人員發現其通訊方式出現變化，此惡意軟體本身有3組預設C2伺服器IP位址，但在上述C2伺服器都無法存取的時候，VSingle會先連上GitHub取得新的C2伺服器IP位址，而過程中會隨機從超過10組使用者與儲存庫名稱裡，隨機挑選其中一組來進行連線，來取得新的C2伺服器位址。</p> <p>研究人員發現，駭客不只繼續發展先前的Windows版VSingle，也開始使用Linux版惡意軟體，而兩者與C2伺服器通訊、執行命令的方法也有所不同──前者濫用作業系統的API，後者則是利用wget來接收並執行駭客下達的命令。JPCERT/CC認為，駭客利用合法伺服器或是雲端服務來藏匿行蹤的情況，不時有事故發生，他們呼籲組織要管制伺服器能存取的外部網路範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.websiteplanet.com/blog/amm-breach-report/"><span style="color: rgb(0, 0, 0);">美國非營利婚禮司儀培訓機構的AWS S3儲存桶不設防，曝露630 GB婚禮相關資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png" style="width: 300px; float: right;" /></a>又是AWS S3儲存桶配置不當而造成資料曝露的情況，而且還是與許多民眾的終生大事有關。提供架設網站教學的Website Planet於今年4月26日發現，專門培訓婚禮主持人的美國非營利組織American Marriage Ministries（AMM），他們所屬的AWS S3儲存桶，在2018年3月31日至2022年4月的期間，沒有設置密碼或是採取加密等保護措施，使得該單位存放約18.5萬名牧師與1.5萬對夫妻婚禮的資料，任何人都有可能隨意取用。</p> <p>研究人員看到逾50萬張任命牧師主持婚禮的證書，以及14萬張婚禮的合照照片。該儲存桶總共存放了高達630 GB的資料，研究人員已向AMM與US-CERT通報，但尚未確定這些資料是否已經遭到駭客存取。AMM於5月11日為此儲存桶採取了保護措施，並表示會著手進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/"><span style="color: rgb(0, 0, 0);">駭客組織CuteBoi發動軟體供應鏈攻擊，散布逾1,200個惡意NPM套件</span></a></strong></h3> <p>駭客組織散布惡意NPM套件的手法，已經演變成以自動化的方式進行，甚至能突破NPM上架流程的雙因素驗證（2FA）措施。</p> <p>資安業者Checkmarx近期發現了1,283個惡意NPM套件，駭客CuteBoi運用了超過1千個帳號來上架這些套件，所有的套件共通點，就是都包含了幾乎與名為eazyminer套件完全相同的程式碼，該套件是挖礦軟體XMRig的JavaScript包裝器，用途是徹底運用受害電腦閒置的運算資源。</p> <p>研究人員指出，這些套件本身看似無害，但內含的eazyminer程式碼所具備的挖礦能力，需要透過外部的工具呼叫，因此，挖礦軟體不會在這些NPM安裝之後就立刻執行，受害者很有可能沒有發現異狀。</p> <p>但在NPM已從今年初逐步要求套件開發者使用雙因素驗證機制的情況下，駭客又是如何突破並上架套件呢？研究人員根據CuteBoi建立NPM帳號的網域，推測駭客使用了mail.tm的拋棄式電子郵件服務，並透過REST API建立電子郵件帳號，使他們在自動化攻擊流程能夠通過NPM的雙因素驗證機制。該公司指出，目前仍有上千個惡意NPM套件尚未下架，他們設置了專屬網站（<a href="https://cuteboi.info/">https://cuteboi.info/</a>）來隨時更新此攻擊行動的後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-21"><span style="color: rgb(0, 0, 0);">舊版SMB檔案服務再遭鎖定！勒索軟體Checkmate攻擊提供相關服務的威聯通NAS設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png" style="width: 300px; float: right;" /></a>駭客鎖定網路儲存設備NAS發動勒索軟體的情況，似乎有越來越嚴重的趨勢，近期有新的駭客組織也發動相關攻擊。威聯通（QNAP）於7月7日提出警告，指出該公司旗下的NAS設備遭到勒索軟體Checkmate攻擊，此勒索軟體鎖定提供舊版SMB服務（SMB v1）的NAS設備，藉由字典攻擊來進行暴力破解，進而在受害的NAS設備加密檔案，並留下檔名為!CHECKMATE_DECRYPTION_README的勒索訊息。該公司呼籲用戶應停用舊版SMB服務，並使用最新版本的作業系統來防堵相關攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-checkmate-ransomware-targeting-nas-devices/">根據資安新聞網站Bleeping Computer的調查</a>，此勒索軟體的攻擊行動首度於5月28日出現，受害者需支付1.5萬美元的贖金，才能換到解密金鑰。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/follina-rozena-leveraging-discord-to-distribute-a-backdoor"><span style="color: rgb(0, 0, 0);">駭客利用Follina漏洞散布惡意軟體Rozena</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1657126208232.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1657126208232.png" style="width: 300px; float: right;" /></a>研究人員於5月底揭露Windows支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190），已有多起利用此漏洞的攻擊行動出現，現在出現了更為複雜的攻擊手法。</p> <p>資安業者Fortinet發現，有人利用惡意Word文件與Follina漏洞，從即時通訊軟體Discord伺服器下載惡意程式Rozena，並藉由圖示與檔案名稱（Word.exe），將其偽裝成Word主程式，同時，為了不讓受害者察覺電腦遭到攻擊，駭客也下載另一個無害的Word檔案。</p> <p>一旦Rozena被執行，該惡意程式就會透過PowerShell執行Shikata Ga Nai（SGN）編碼加密的Shell Code，進而啟動反向Shell並連線到攻擊者的主機，完成後門的建置。研究人員呼籲使用者應儘速修補Follina漏洞，來防堵相關攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.openssl.org/news/secadv/20220705.txt"><span style="color: rgb(0, 0, 0);">OpenSSL發布3.0.5版，修補嚴重程度可能比擬Heartbleed的漏洞</span></a></strong></h3> <p> 在6月下旬有研究人員揭露加密程式庫OpenSSL的漏洞CVE-2022-2274，這項漏洞使得支援AVX512指令集的64位元處理器在解析2048位元RSA私鑰發生錯誤，進而導致記憶體被破壞，攻擊者一旦利用這項漏洞，就有可能發動RCE攻擊，嚴重程度有可能接近2014年出現的Heartbleed。對此，OpenSSL於7月5日發布3.0.5版予以修補，使用3.0.4版的用戶應儘速更新。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://ccoe.narlabs.org.tw/activity/37"><span style="color: rgb(0, 0, 0);">資安卓越中心公布建置成果</span></a></strong></h3> <p>行政院資通安全處於去年8月底，橫向整合跨部會資源，提出資安卓越中心計畫，成立資安卓越中心（CCoE），發展數位應用資安生態系。此計畫由科技部支援資安處辦理，擬定資安前瞻研究、頂尖實戰人才養成、國際合作，以及技術移轉創新育成等發展項目，來規畫並建置資安卓越中心。今天（7月8日）該中心於臺北科技大學發表此建置計畫的成果，除介紹該中心的服務項目，並對於密碼研究、網路威脅防禦、網路資料分析，以及人才培育等工作的推動進行說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/06/amazon-prime-day-or-amazon-crime-day-dont-fall-victim-to-phishing-warns-check-point-software/"><span style="color: rgb(0, 0, 0);">駭客盯上Amazon會員日活動，對買家發動釣魚郵件攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-copyright-complaints-push-icedid-malware-using-yandex-forms/"><span style="color: rgb(0, 0, 0);">駭客以圖片著作權侵犯為由，散布IcedID軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-affects-657-healthcare-orgs/"><span style="color: rgb(0, 0, 0);">已有657個醫療保健機構疑遭勒索軟體Quantum攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/incident-response/orbit-new-undetected-linux-threat/"><span style="color: rgb(0, 0, 0);">惡意軟體OrBit鎖定Linux主機竊密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.secuinfra.com/en/techtalk/whatever-floats-your-boat-bitter-apt-continues-to-target-bangladesh/"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉軍事單位下手</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151813">【2022年7月6日】惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引</a></p> <p><a href="https://www.ithome.com.tw/news/151771">【2022年7月5日】駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞</a></p> </div></div></div>
2022/7/8 16:37作者周峻佑https://www.ithome.com.tw/news/151858
【資安日報】2022年7月6日，惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員而來的惡意NPM元件攻擊行動，近期出現數起事故，而今天有研究人員揭露新的攻擊，這起行動相當值得留意的是，駭客進行攻擊行動長達半年才被發現，而且，該組織上傳的大量惡意套件，NPM獲報後尚未完全清除，開發者安裝套件時仍要提高警覺。</p> <p>而對於量子電腦可能會帶來的威脅，美國國家標準暨技術研究院（NIST）在2016年，提出量子密碼標準化的提案，在經歷6年、多次討論後有了重大進展──他們將4種量子密碼正式納為標準。</p> <p>衛星網路的資訊安全也引起政府的重視。近期大家比較有印象的重大事故，就是在烏克蘭戰爭開打被駭的衛星網路Ka-Sat，不只烏克蘭的用戶受到影響，德國風力發電廠也因此起事故而無法遠端控制。近期德國對此發布了相關的網路安全防禦指引，並從衛星的製造過程就將資安納入規畫。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/iconburst-npm-software-supply-chain-attack-grabs-data-from-apps-websites"><span style="color: rgb(0, 0, 0);">惡意NPM元件恐影響數百個網站與應用程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg" style="width: 300px; float: right;" /></a>有些NPM套件的供應鏈攻擊，因採用了高度混淆的JavaScript程式碼，而使得駭客能進行數個月攻擊行動而不被發現。</p> <p>資安業者ReversingLabs揭露從2021年12月出現NPM供應鏈攻擊行動，駭客組織IconBurst使用數十個套件，他們使用了與知名套件（如Umbrella JS、Ionicons）相近的名稱，例如上傳ionicio、ionic-icon、iconion-package、ionicon-package等套件，企圖藉由開發者可能會打錯字的情況，在受害電腦部署惡意NPM套件。</p> <p>這些套件迄今被下載超過2.7萬次，有超過6成是名為icon-package的惡意套件，達到17,774次。研究人員粗估，可能有數百個網站或是應用程式受到波及。</p> <p>研究人員提出警告，雖然他們已於今年7月1日通報NPM？資安團隊，但NPM套件庫裡的IconBurst惡意套件仍尚未完全移除，研究人員呼籲開發人員安裝套件時仍應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-redalert-ransomware-targets-windows-linux-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體RedAlert鎖定VMware ESXi伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg" style="width: 300px; float: right;" /></a>駭客鎖定VMware ESXi虛擬化環境下手，並發動勒索軟體攻擊的情況，近期又有新的勒索軟體出現。資安研究團隊MalwareHunterTeam發現名為RedAlert（N13V）勒索軟體駭客組織，並指出已有組織疑似受害且不願意支付贖金，而遭到駭客公布。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案並進行解析，指出該軟體可在Linux主機上執行，是針對VMware ESXi所設計，因為，有部分的命令是專門為這類環境而設。例如，如果駭客下達了停止所有虛擬機器（VM）運作的參數，該勒索軟體就會執行esxcli的命令來關閉VM。</p> <p>該新聞網站指出，此勒索軟體採用了名為NTRUEncrypt的演算法加密檔案，且只對於LOG、VMDK、VMEM、VSWP、VMSN等副檔名的檔案執行加密，然後向受害組織索討門羅幣。此外，駭客可下達非對稱加密的命令，來對受害主機進行加密檔案速度測試。</p> <p>值得一提的是，雖然上述勒索軟體鎖定ESXi而來，但研究人員在RedAlert的付款網站上，發現支援Windows作業系統的解密工具，由此推測駭客很可能也有開發Windows版的勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.avast.com/kids-discord-hacking-groups"><span style="color: rgb(0, 0, 0);">青少年透過即時通訊軟體Discord組成駭客團體，出售惡意軟體牟利</span></a></strong></h3> <p>網路犯罪的年齡層大幅下降，如今有研究人員發現，未成年的小孩疑似為了零用錢，加入銷售惡意軟體的行列。防毒業者Avast發現了一個Discord伺服器，當中的成員幾乎都是未成年的青少年，他們在打造、交易，以及傳播惡意軟體，這個組織疑似透過惡意軟體產生器與工具包，號稱無需實際撰寫程式，吸引青少年客製化惡意軟體的功能與介面樣貌，加入銷售這些網路攻擊工具，如：勒索軟體、竊密程式、挖礦軟體等。</p> <p>研究人員建議家長要留意小孩的狀態，若是他們開始使用dox、DDoS、Bot的網路術語，或是家裡網路流量大幅增加，小孩收到來路不明的新禮物等情況，就應該進一步了解，假若他們對駭客行為產生興趣，家長應鼓勵他們從事相關研究，並朝向白帽駭客與資安相關工作發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/dutch-uni-gets-cyber-ransom-money-back-interest"><span style="color: rgb(0, 0, 0);">遭到勒索軟體攻擊並支付贖金的荷蘭大學，2年後追回部分加密貨幣</span></a></strong></h3> <p>有大學數年前遭到勒索軟體攻擊，因執法單位追回部分贖金而幸運地彌補了損失。根據荷蘭新聞網站人民報（De Volkskrant）的報導，當地的馬城大學（Maastricht University）於2019年遭到大規模網路攻擊，駭客加密了數百臺Windows伺服器與備份系統，影響2.5萬名學生與員工，並向該校索討20萬歐元的比特幣，馬城大學為了讓學生能正常考試與完成論文，選擇向駭客低頭。</p> <p>荷蘭警方於2020年追蹤到贓款流向，並查封洗錢者的帳戶，追回馬城大學先前支付的部分比特幣，經過2年後近期將歸還給學校。該新聞網站指出，這些比特幣的價值，已從支付贖金時的4萬歐元，現在價值大幅增加為50萬歐元。馬城大學表示，這些追回的贖金將用於幫助經濟拮据的學生。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nist.gov/news-events/news/2022/07/nist-announces-first-four-quantum-resistant-cryptographic-algorithms"><span style="color: rgb(0, 0, 0);">NIST將4種量子密碼列為標準</span></a></strong></h3> <p>美國國家標準暨技術研究院（NIST）於2016年，針對量子密碼提出標準化的提案（Post-Quantum Cryptography Standardization），並公開徵求適用於這類運算的加密演算法後，最近有了重大突破。</p> <p>NIST於今年7月5日，將4種量子密碼納入標準，它們是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，以及SPHINCS+。這4種量子密碼，CRYSTALS-Kyber是應用於上網安全，其餘3種則是適用於數位簽章領域。</p> <p>該單位指出，他們挑選CRYSTALS-Kyber量子密碼的原因，在於其密鑰檔案較小，以及執行速度較佳等特性；而對於另外三個量子密碼的用途，主要是針對數位簽章提供保護，適用於數位交易與簽署文件，當中又以CRYSTALS-Dilithium最適合做為主力，FALCON適合運用於需要更小的檔案簽章應用程式，至於SPHINCS+，NIST指出與認為此量子密碼的主要價值，在於採用了散列函數，而非其他3個所使用。NIST也表示他們正在評估另外4款量子密碼，並有機會將它們也納入標準。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Weltrauminfrastrukturen.html"><span style="color: rgb(0, 0, 0);">德國發布衛星網路的資安防禦指引</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150871#ka-sat">衛星網路Ka-Sat在烏克蘭戰爭開打時就遭到破壞</a>，使得部分歐洲用戶受到波及，其中德國風力發電廠也因為採用此衛星網路遠端遙控發電設備而受到影響，該國近期也針對這種威脅發布相關的防護指南。</p> <p>德國聯邦資訊安全辦公室於6月30日，針對空中的基礎設施發布了IT防護的基準配置指南。此文件是德國聯邦資訊安全辦公室與空中巴士旗下的Airbus Defence and Space、德國太空中心（DLR）等機構合作長達一年的成果，目的是確保衛星從製造到正式上線運作的資訊安全，並列出各項保護工作的優先程度。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/australias-monash-university-launches-public-bug-bounty-program"><span style="color: rgb(0, 0, 0);">澳洲蒙納許大學啟動漏洞懸賞計畫</span></a></strong></h3> <p>許多IT業者為了強化系統安全，紛紛推出漏洞懸賞（Bug Bounty）計畫，讓研究人員與駭客協助找出漏洞，而這樣的做法也有學術單位跟進。</p> <p>位於澳洲墨爾本的蒙納許大學（Monash University）近期推出了漏洞懸賞計畫，他們在漏洞通報平臺Bugcrowd成立這項專案，研究人員有機會獲得最高2,500美元的獎勵，抓漏範圍包含了該校的網域與行動版App，還有他們使用的網路設施，如VPN和FileShare實例（Instance）等。蒙納許大學資安長Dan Maslin指出，此專案的成立，是他們邁向建校最終成熟階段的重要里程碑。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.benzinga.com/government/22/07/27954560/read-alibabas-role-in-chinas-recent-infamous-hack-as-weibo-tencent-baidu-struggle-to-censor-the-brea"><span style="color: rgb(0, 0, 0);">中國政府傳出著手調查上海警方資料庫外洩事件，相關訊息遭到封鎖</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151771">【2022年7月5日】駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151747">【2022年7月4日】漏洞懸賞平臺HackerOne員工竊取研究人員通報的漏洞牟利、駭客聲稱攻陷IBM與史丹佛大學</a></p> <p><a href="https://www.ithome.com.tw/news/151725">【2022年7月1日】駭客鎖定政府機關與NGO的Exchange伺服器下手、有人針對協作平臺Confluence漏洞挖礦</a></p> </div></div></div>
2022/7/6 17:37作者周峻佑https://www.ithome.com.tw/news/151813
中國發表openKylin開源社群以建置自家桌面作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國的麒麟軟件公司（KylinSOFT）在6月24日正式<a href="https://www.kylinos.cn/about/news/1050.html" target="_blank">發表了openKylin開源社群</a>，打算借助中國開源社群的力量，打造中國本土的桌面作業系統，擺脫對西方國家的依賴。</p> <p>麒麟軟件為中國電子訊息產業集團（China Electronics Corporation，中國電子）的子公司，而中國電子則是中國國有的獨資公司，為中國最大的國有綜合性IT企業集團，擁有數十家子公司，麒麟軟件僅是其中之一。</p> <p>openKylin社群理事長朱晨表示，期望透過openKylin推動中國的Linux開源技術及相關軟硬體生態的繁榮發展，以將openKylin打造成世界級的開源社群，填補中國桌面作業系統的空白，推動中國桌面作業系統產業生態的健康發展。</p> <p>由麒麟軟件主導的openKylin專案擁有完整的組織架構，包括理事會、諮詢委員會、秘書處、生態委員會與技術委員會等，準備融入RISC-V、AI與大數據等各方面的成果，實現開源作業系統的自主與快速發展，<a href="https://www.openkylin.top/index-cn.html" target="_blank">並設立了專屬網站</a>。</p> <p>目前openKylin社群已列出十多家參與組織，包括中國國家工信安全中心、普華基礎軟件、中科方德、元心科技及先進操作系統創新中心等。</p> <p>由於24日的發表主要著重在該社群的架構及未來的遠大目標，因未有任何具體的作法或成果而遭到外界質疑，使得openKylin在7月1日另行<a href="https://www.openkylin.top/news/1759-cn.html" target="_blank">公布了該專案的技術進展</a>，指出openKylin將以Linux 5.15核心為基礎，該核心支援英特爾與AMD的CPU，也支援聯想、華為、紫光與Dell等業者所推出的裝置。</p> <p>此外，openKylin也計畫讓該專案同時支援PC與平板電腦，改善相關的使用者介面，並努力推動對RISC-V開源指令集架構的支援。</p> <p>根據openKylin官網所公布的數字，目前該社群的貢獻者有246名，愛好者則是12萬名，提交次數為2.2萬。</p> <p>其實中國曾多次企圖發展自家作業系統，例如中科紅旗曾在1999年發布紅旗Linux 1.0版，<a href="https://www.ithome.com.tw/news/14767" target="_blank">並企圖進軍臺灣市場</a>，2014年時<a href="https://www.ithome.com.tw/news/84839" target="_blank">中國科學院軟件研究所曾發表</a>適用於所有裝置的China Operating Systems（COS），<a href="https://www.ithome.com.tw/news/90408" target="_blank">同年還傳出</a>中國打算以自有的作業系統取代微軟的Windows XP，不過現在看起來尚未有成功案例。</p> </div></div></div>
2022/7/4 12:36作者陳曉莉https://www.ithome.com.tw/news/151743
【資安週報】2022年6月27日至7月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到關注的資安事故，莫過於<a href="https://www.ithome.com.tw/news/151726">發生在日本尼崎市的資料保管不當事件</a>，承包商Bigprogy的員工隨意將該市46萬名市民個資，存放在隨身碟，而且沒有依照公司的工作準則，在下班的時候清除相關裝置存放的機敏資料。更離譜的是，這名員工下班後就帶著這個存放尼崎市市民個資的隨身碟去聚餐，喝醉後還睡在路邊，直到隔天早上才發現隨身碟遺失，向公司請假尋找未果，最後向警方報案、通知公司後東窗事發。</p> <p>這起事故讓人意外的是，竟是發生在做事極為嚴謹的日本，而且在上述事件爆發後，儘管隨身碟的資料有採取加密保護，後來也被警方尋回，目前該市市民資料尚且沒有出現外流的跡象，但這起事故發生的過程裡，同時突顯了政府官員資安意識不足，以及資訊業者將工作層層轉包的誇張現象，進而引起國際媒體大肆報導。</p> <p>另一起相當引人注目的資料外洩事件，則是駭客組織RansomHouse聲稱竊得AMD的內部資料。這種竊取IT大廠機密資料，然後向對方進行勒索的情況，先前在今年2月底至3月初，也有<a href="https://www.ithome.com.tw/news/149674">名為Lapsus$的駭客組織宣稱攻擊GPU大廠Nvidia</a>，駭客亦打算公布竊得的RTX系列的顯示卡相關資料。而兩起事故有所不同的是，RansomHouse表明他們能輕易得手AMD內部資料的原因，是該公司的員工使用了極為容易猜到的弱密碼。</p> <p>勒索軟體駭客組織LockBit的動態也是本週的焦點，該組織罕見推出了漏洞懸賞計畫（Bug Bounty），範圍包含了旗下的勒索軟體、網站，甚至是加密通訊軟體與洋蒠網路（Tor）。</p> <p>在防守方已施行多年的漏洞懸賞計畫，先前曾因廠商漏洞獎金減少而出現研究人員直接公布的狀況而讓人憂心，如今駭客卻反倒開始藉由這種做法來消除自身使用工具的弱點，由於勒索軟體攻擊者曾以贖金分紅引誘員工當內應，若用這些黑心錢來招攬替其抓漏的人力，若有重金誘惑，可能會有許多人響應，若資安圈找不出方法法遏止這種狀況，恐怕將使得攻守雙方更加不對等。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151726"><span style="color: rgb(0, 0, 0);">日本承包商員工隨意將尼崎市46萬民眾個資存放在隨身碟，隨身碟遺失才東窗事發</span></a></strong></h3> <p>承包政府機關業務的業者，很有可能接觸到大量民眾個資，一旦保管不慎很有可能有洩露的疑慮，但這樣的事故還是發生在以謹慎著稱的日本。根據日本NHK的報導，日本兵庫縣尼崎市政府為了要發送COVID-19疫情經困金，委託外部資訊服務廠商Biprogy彙整符合資格的民眾資料，但該市的官員指出，該廠商的員工未經市府同意，竟使用隨身碟存放該市46萬名市民的個資，並於21日工作結束後帶著隨身碟到居酒屋用餐、飲酒，事後發現隨身碟不異而飛，於22日報案並通知市政府。</p> <p><a href="https://www.city.amagasaki.hyogo.jp/kurashi/seikatusien/1027475/1030947.html">尼崎市政府表示</a>，此隨身碟設置了密碼，目前尚未發現資料外洩情事，市府承諾將會加強相關資料管理，並設立電話專線來處理民眾對本次事故的問題。</p> <p>而負責上述民眾資料彙整的資訊服務公司Biprogy坦承過失並<a href="https://www.biprogy.com/pdf/topics/info_20220624_1.pdf">公布事件發生經過</a>，他們的員工確實未經許可就利用隨身碟存放個資，也沒有遵守下班前刪除敏感資料的準則。<a href="https://www.biprogy.com/pdf/topics/info_20220624_2.pdf">這個隨身碟後來於24日尋獲</a>，該公司也<a href="https://www.biprogy.com/pdf/topics/info_20220626.pdf">於26日發布對於此事進行檢討，公布改進措施</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/ransomhouse-group-amd-advanced-micro-devices/"><span style="color: rgb(0, 0, 0);">駭客組織RansomHouse宣稱從AMD竊得450 GB內部資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg" style="width: 300px; float: right;" /></a>日前攻擊非洲大型連鎖超市Shoprite的駭客組織RansomHouse，最近聲稱也竊得IT大廠的內部資料。根據資安防護軟體介紹網站Restore Privacy的報導，RansomHouse宣稱於今年1月，成功入侵AMD的網路，並竊得逾450 GB的資料，經研究人員對於駭客公布的部分資料進行比對，很有可能是來自AMD。</p> <p>但這些駭客如何竊得該公司的資料？駭客指出，這家IT巨頭的員工使用弱密碼，像是Password、P@ssw0rd、123456等，使得他們很容易猜到，並成功取得的該公司的機密檔案。對此，AMD表示他們知悉此事，並著手調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/dragonbridge-targets-rare-earths-mining-companies"><span style="color: rgb(0, 0, 0);">中國駭客鎖定北美、澳洲稀土金屬業者，發起Dragonbridge攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg" style="width: 300px; float: right;" /></a>駭客為了自己國家的利益，很可能會在社群網站上散布不實言論，來抹黑其他國家的競爭企業。資安業者Mandiant最近揭露中國駭客組織Dragonbridge的攻擊行動，駭客疑似針對澳洲稀土業者Lynas Rare Earths、加拿大稀土業者Appia Rare Earths & Uranium，以及美國稀土業者USA Rare Earth，在社群網站發出不利的訊息，企圖影響上述業者即將進行的計畫，或是開採稀土金屬的行動。</p> <p>由於這些稀土金屬運用於導彈控制系統、飛機引擎等軍事武器，也用於汽車、電腦、手機等產品，在中美貿易戰亦成為中國對付美國的手段，使得美國國防部於2021年與Lynas Rare Earths達成在德州興建工廠；再者，今年6月，Appia Rare Earths & Uranium與USA Rare Earth都宣布發現新的礦源，使得Dragonbridge決定採取行動。</p> <p>這些駭客使用社群網站與論壇的帳號，來散布引人注目的言論，例如，他們假冒德州居民，指控對於工廠可能會帶來當地的環境與居民健康問題，並引用政治人物對於美國總統拜登的國防生產法（Defense Production Act）批評，企圖塑造該工廠會為美國帶來各式問題的風向。</p> <p>研究人員指出，駭客的攻擊究竟會造成多少影響有待觀察，但這也代表駭客有可能利用類似手法來操縱其他美國政治議題，進而讓中國獲得利益。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/vxunderground/status/1541156954214727685"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit推出3.0版，駭客也興起漏洞懸賞專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg" style="width: 300px; float: right;" /></a>為了找尋系統可能存在的漏洞，不少IT廠商祭出漏洞懸賞計畫（Bug Bounty），卻有許多廠商處理相當消極，或是削減研究人員的獎金。但這樣的做法竟被駭客發揚光大，模仿這樣的做法來為惡意程式除錯。</p> <p>資安研究團隊VX-Underground於6月27日，揭露勒索軟體LockBit的新態勢，駭客不只製作了3.0版LockBit，還同時推出漏洞懸賞計畫而引起資安人員關注。</p> <p>這些駭客懸賞的範圍也相當廣泛，不只包含勒索軟體的漏洞，還涵蓋了該組織網站，以及開源加密通訊軟體TOX、洋蔥（Tor）網路，獎金從1,000美元起跳。此外，若是有人能找出LockBit組織首腦身分，便能得到百萬美元的獎金。若是日後其他駭客也相繼跟進，強化作案工具，很有可能讓攻守雙方更加不對等。</p> <h3><strong style="font-size: 22px;"><a href="https://usa.kaspersky.com/about/press-releases/2022_apt-uses-shadowpad-backdoor-and-ms-exchange-vulnerability-to-attack-building-automation-systems"><span style="color: rgb(0, 0, 0);">駭客組織利用後門程式ShadowPad與Exchange漏洞攻擊大樓管理系統</span></a></strong></h3> <p>中國駭客使用Exchange Server漏發動攻擊的情況，最近又有事故傳出，而且是針對大樓的管理系統而來。卡巴斯基在去年10月發現不為人知的駭客組織，針對數個亞洲國家的電信業、製造業，以及運輸機構下手，而這些駭客入侵受害組織的方式，竟然是利用微軟Exchange Server的重大漏洞CVE-2021-26855（ProxyLogon），攻擊大樓自動化系統（Building Automation System，BAS），然後在這種管理系統中部署惡意軟體ShadowPad。</p> <p>研究人員進一步追查後發現，這起攻擊行動始於2021年3月，也就是漏洞ProxyLogon公布的時間點，且駭客使用中文進行溝通，再加上他們使用惡意程式如ShadowsPad、PlugX都是中國駭客常用的工具，很有可能是中國駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kaspersky.com/about/press-releases/2022_kaspersky-discovers-poorly-detected-backdoor-targeting-governments-and-ngos-around-the-globe"><span style="color: rgb(0, 0, 0);">駭客鎖定全球政府與NGO，攻擊Exchange Server並植入後門</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png" style="width: 300px; float: right;" /></a>有駭客針對Exchange Server，自ProxyLogon漏洞爆發後，利用後門程式發動攻擊超過一年才被發現。</p> <p>資安業者卡巴斯基最近揭露自今年4月下旬發現的攻擊行動，駭客組織Gelsemium從2021年3月開始，利用名為SessionManager的IIS後門程式，攻擊政府機關、非政府組織（NGO）、軍事單位，以及工廠下手，受害者遍及非洲、南美、亞洲、歐洲、俄羅斯，以及中東。</p> <p>研究人員指出，他們在調查的過程中發現，迄今仍有24個組織裡、34臺Exchange Server，仍存在上述後門程式，並強調此惡意軟體現在仍能逃過「知名的檔案掃描服務」檢測。</p> <p>一旦駭客藉由SessionManager入侵受害組終的網路環境後，就能存取該組織的電子郵件，或是部署其他惡意軟體來發動第二階段攻擊，這些被感染的Exchange Server也可能被駭客當作基礎設施運用。研究人員提出警告，呼籲組織仔細檢查Exchange Server是否被植入惡意工具，來避免遭到相關攻擊卻不知情。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1542281805549764608"><span style="color: rgb(0, 0, 0);">駭客組織8220利用Atlassian Confluence漏洞進行挖礦攻擊</span></a></strong></h3> <p>在1個月前，Atlassian Confluence零時差漏洞CVE-2022-26134被公布後，有不少駭客組織相繼用於發動攻擊，其中有一個駭客組織8220，同時也運用了其他應用系統的漏洞，引起研究人員的關注。</p> <p>微軟於6月30日，針對駭客組織8220的攻擊行動提出警告，指出該組織長期鎖定Linux系統而來，且最近的攻擊行動，就是利用CVE-2022-26134漏洞來做為初期入侵受害組織的管道，進而部署挖礦軟體pwnRig（1.41.0版）與IRC機器人，來接收C2伺服器的命令，並利用IP掃描工具找尋網路環境裡其他的SSH伺服器，並使用Go語言打造的暴力破解工具spirit散布。</p> <p>此外，駭客也藉由cronjob、nohup等命令建立排程工作，並設置每60秒就執行一次，而使得挖礦軟體和IRC機器人在Linux伺服器重開機後，仍能繼續運作。但除了上述的Atlassian Confluence漏洞之外，研究人員發現，該組織也可能利用Oracle WebLogic的RCE漏洞CVE-2019-2725，來入侵受害組織。</p> <p>這個駭客組織鎖定Atlassian Confluence漏洞的挖礦攻擊行動，在6月9日<a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/">資安業者Check Point曾提出相關發現並提出警告</a>，該公司指出，駭客也利用相同的漏洞，對Windows電腦上植入惡意指令碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/xfiles-info-stealing-malware-adds-support-for-follina-delivery/"><span style="color: rgb(0, 0, 0);">竊密軟體XFiles加入利用Follina漏洞的能力</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/xfiles-logs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xfiles-logs.png" style="width: 300px; float: right;" /></a>與Windows診斷工具MSDT有關的漏洞CVE-2022-30190（Follina），微軟於6月14日推修補程式後，有駭客持續將其用於攻擊行動。資安業者Cyberint發現，名為XFiles的竊密軟體，駭客近期新增了新的模組，這個模組的功能就是利用上述的漏洞Follina，將惡意酬載下載到受害電腦並執行。</p> <p>研究人員看到駭客疑似透過垃圾郵件挾帶惡意文件檔案，此文件檔案包含OLE物件，並連結外部的HTML檔案，該HTML檔案的程式碼內容，就包含了利用Follina的JavaScript指令碼。一旦受害者打開文件檔案，就有可能觸發指令碼，並對電腦下達以Base64編碼的PowerShell命令來執行惡意程式，然後，駭客使用ChimLacUpdate.exe這隻程式進行第二階段攻擊，此程式包含了硬編碼加密的Shell Code與AES解密金鑰，藉由API呼叫的方式解密Shell Code並執行，最終使得受害電腦感染XFIles。</p> <p>此竊密軟體會搜刮在網頁瀏覽器和加密貨幣錢包的帳密資料，亦會截取螢幕畫面、收集加密通訊軟體Discord和Telegram的帳密等，並將竊得的資料透過Telegram傳送到駭客手上。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/22/quantum-software-lnk-file-based-builders-growing-in-popularity/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用Quantum惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png" style="width: 300px; float: right;" /></a>駭客濫用Windows捷徑（LNK）檔案來載入惡意程式的手法，在攻擊事件裡也不時會出現。資安業者Cyble最近揭露惡意軟體Quantum的動態，駭客在地下論壇兜售這款軟體與相關工具，費用為每月189歐元起，並宣稱能透過他們提供的建置工具，打造LNK、ISO、HTA格式的檔案，來包裝Quantum，此外，客戶可透過賣家提供的工具，來指定產生的Quantum能否可繞過使用者存取控制（UAC）、執行的路徑、所需搭配的DLL程式庫檔案等。</p> <p>附帶一提的是，這些駭客還聲稱能利用MSDT漏洞CVE-2022-30190（Follina），來散布惡意程式。</p> <p>研究人員針對近期出現的Quantum惡意程式，與北韓駭客組織Lazarus的手法進行比對後，發現該組織近期疑似使用此惡意程式發動發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://mrd0x.com/attacking-with-webview2-applications/"><span style="color: rgb(0, 0, 0);">微軟Edge瀏覽器的WebView2應用程式可被用於繞過MFA</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif" style="width: 300px; float: right;" /></a>瀏覽器的渲染網頁元件不只能提供開發人員更快打造網頁應用程式，也可能成為駭客用來發動攻擊的管道。研究人員mr.d0x於6月21日公布鎖定微軟Edge的攻擊手法，滲透的主要管道是WebView2元件。他們修改了微軟提供的WebView2範例，即可透過WebView2本身的功能，將JavaScript注入網站，或是把鍵盤側錄程式植入微軟登入網頁，進而將使用者輸入的資料回傳。</p> <p>但研究人員指出，駭客不只能將WebView2用於上述攻擊，還能濫用於竊取Cookie，進而存取使用者檔案的資料夾（User Data Folder，UDF），有可能因此得以繞過雙因素驗證（MFA）機制。針對上述的發現，微軟認為使用者若是能藉由良好的使用習慣，還是有機會降低遭到濫用WebView2攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/python-packages-upload-your-aws-keys-env-vars-secrets-to-web"><span style="color: rgb(0, 0, 0);">惡意Python套件竊取用戶的AWS帳密</span></a></strong></h3> <p>近期鎖定PyPI套件用戶的情況已有數起攻擊事故出現，且有不少是針對開發人員的AWS帳密而來。資安業者Sonatype於6月23日表示，他們近期看到5個含有攻擊意圖的PyPI套件：loglib-modules、pyg-modules、pygrata、pygrata-utils，以及hkg-sol-utils。</p> <p>其中的loglib-modules與pyg-modules特別引起研究人員的注意，因為攻擊者將它們用來竊取AWS帳密、受害電腦網路環境參數等資料；而pygrata是唯一沒有竊密功能的套件，但與過往其他的惡意PyPI極為不同，它需要搭配pygrata-utils，且在其他4個套件遭到PyPI移除後，仍存在了一段時間。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/"><span style="color: rgb(0, 0, 0);">木馬程式ZuoRAT鎖定SOHO族的家用路由器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png" style="width: 300px; float: right;" /></a>駭客鎖定缺乏防護的家用路由器設備，進而站穩腳跟，對網路環境裡的連網設備下手的情況，在許多人處於居家辦公模式的工作狀態下，相當值得留意。</p> <p>資安業者Lumen近期發現木馬程式ZuoRAT的攻擊行動，駭客疑似自2020年12月開始，鎖定中小企業與SOHO族，目標是思科（Cisco）、華碩、Netgear，以及居易（DrayTek）等廠牌的近80款家用路由器，一旦木馬程式成功挾持後，就將這些路由器當作跳板，經用內部網路，透過DNS挾持或HTTP挾持的方式，進行中間人攻擊（MitM），下載CBeacon、GoBeacon、Cobalt Strike等軟體，植入Windows、macOS、Linux電腦。</p> <p>研究人員指出，駭客埋藏攻擊的手法相當精明，只要路由器重開機就會移除ZuoRAT與活動痕跡，而且，他們也能遠端刪除ELF檔案，使得攻擊行動不被發現。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/automotive-fabric-supplier-tb-kawashima-announces-cyberattack/"><span style="color: rgb(0, 0, 0);">豐田旗下的TB Kawashima疑遭勒索軟體LockBit攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織針對汽車大廠豐田旗下的零件供應商下手，自今年初至今已有數起事故，汽機車軟管製造商Nichirin於6月14日遭到攻擊後，疑似又有廠商受害。</p> <p>根據資安新聞網站Bleeping Computer報導，豐田紡織旗下專門供應汽車、飛機、火車等內裝材料的TB Kawashima透露，專門經營泰國銷售業務子公司傳出在6月23日遭到入侵，但該公司宣稱豐田紡織集團的所有業務都正常運作，不受攻擊事故影響。</p> <p>而針對攻擊者的身分，勒索軟體駭客組織LockBit宣稱在6月17日，入侵了TB Kawashima的其中一臺伺服器，並於24日傍晚公布竊得的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/walmart-denies-being-hit-by-yanluowang-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型連鎖超市Walmart傳出遭到勒索軟體Yanluowang攻擊，但該公司予以否認</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg" style="width: 300px; float: right;" /></a>去年出現的<a href="https://www.ithome.com.tw/news/147309">勒索軟體Yanluowang （閰羅王）</a>，最近又有新的動作，疑似因對方不付錢，而決定公布內部網路環境的相關資料。根據資安新聞網站Bleeping Computer報導，勒索軟體Yanluowang聲稱在一個多月前，對大型連鎖超市Walmart發動攻擊，加密4萬至5萬臺電腦，並向該公司索討5,500萬美元贖金，但Walmart始終沒有回應。</p> <p>駭客於6月27日公布此事，並上傳了Walmart的內部網路資料，包含了AD使用者名單、該公司的安全憑證檔案，以及經由<a href="https://www.qomplx.com/qomplx-knowledge-kerberoasting-attacks-explained/">Kerberoasting攻擊</a>破解的加鹽密碼，假若這些都是真實資料，其他駭客將有機會用來對Walmart再度下手。</p> <p>對此，Walmart發出聲明，認為上述說法並不準確，該公司的資安團隊全天候監控，並未察覺駭客對他們攻擊得逞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/smash-and-grab-astralocker-2-pushes-ransomware-direct-from-office-docs"><span style="color: rgb(0, 0, 0);">駭客利用Word檔案投放勒索軟體AstraLocker 2.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png" style="width: 300px; float: right;" /></a>為了擴大受到影響的範圍，駭客往往可能會選擇在調查完受害組織內部環境後，才發動勒索軟體攻擊，但現在有駭客採取直接了當的作法，一旦受害者不慎開啟誘餌，就執行檔案加密的工作。</p> <p>例如，資安業者ReversingLabs近期發現勒索軟體AstraLocker 2.0的攻擊行動，駭客疑似利用另一個勒索軟體Babuk外洩的程式碼打造而成，根據駭客用於索討贖金的門羅幣錢包，此勒索軟體很可能與Chaos有關。這些駭客將勒索軟體嵌入Word檔案的OLE物件，並透過網路釣魚來散布。一旦對方開啟了這個Word檔案，並依照指示執行OLE物件，電腦檔案就會隨即被AstraLocker 2.0加密。</p> <p>研究人員指出，這種有別於一般駭客對於組織發動勒索軟體攻擊的過程，代表了運用Babuk程式碼打造的AstraLocker 2.0駭客技能不算強，但想要積極讓許多人受害並支付贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/35822/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit寄送網站圖片著作權宣告信進行釣魚攻擊</span></a></strong></h3> <p>駭客發動網路釣魚的幌子，很可能讓對方以為會惹上麻煩遭到提告，而不疑有他開啟附件檔案。例如，資安業者AhnLab最近揭露勒索軟體LockBit的攻擊手法，駭客宣稱，收信人所屬的公司在網站上使用了侵權的圖片，要求從網站上刪除，否則將面臨法律訴訟。但這些郵件並未提及對方使用了那些侵權的圖片，而是宣稱相關資料列於附件檔案。</p> <p>假若收信人不慎開啟附件檔案，電腦就有可能遭到勒索軟體LockBit 2.0加密檔案。<a href="https://www.bleepingcomputer.com/news/security/fake-copyright-infringement-emails-install-lockbit-ransomware/">資安新聞網站Bleeping Computer指出</a>，他們最近也發現類似的釣魚郵件，攻擊者將其用於散布BazarLoader、Bumblebee等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.comparitech.com/blog/information-security/school-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">2021年有67起美國各級學校的勒索軟體攻擊，有954所受害</span></a></strong></h3> <p>駭客最近3至4年大肆攻擊美國各級學校的現象，似乎有略為趨緩的現象，但原因可能是有部分學校開始強化相關因應措施。資安業者Compatitech最近公布的調查報告指出，2021年總共有67起鎖定美國各級學校的勒索軟體攻擊，結果共有954所學校受害，這樣的攻擊行動次數較2020年減少19％、受害學校少了46%。</p> <p>研究人員認為相關事故減少的原因，在於學校已對此種攻擊的準備日益充分，停機與復原系統的時間都變得更快，而使得勒索軟體駭客降低對學校下手的頻率。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/27/exposed-kubernetes-clusters/"><span style="color: rgb(0, 0, 0);">逾9萬個K8s實體曝露在網際網路，恐成為駭客下手的目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png" style="width: 300px; float: right;" /></a>組織的自動化容器管理系統Kubernetes（K8s）若是配置不當，很有可能曝露內部的機敏資訊。資安業者Cyble提出警告，他們近期發現至少有超過9萬個K8s實體（Instance）曝露於網際網路，當中又以位於美國的實體最多，高達6成5（58.5萬個），其次是有14%位於中國、9%於德國。</p> <p>而從這些K8s所使用的連接埠來看，又以443埠最多，約103.8萬個；10250埠其次，有23.1萬個。而這些曝露於網際網路上的K8s主機，研究人員發現有799個會直接對攻擊者公開（會向存取K8s的用戶端，發出錯誤代號200的回應），甚至有些知名公司所用的K8s主控台、管理儀表板並未啟用密碼保護，使得駭客無需密碼就有可能從從網際網路上存取K8s的重要元件，或是執行相關操作。但為何與上個月ShadowServer發現有38萬臺K8s的資料相差甚遠？研究人員認為，原因很可能與掃描的範圍有關。</p> <h3><strong style="font-size: 22px;"><a href="https://cip.gov.ua/en/news/chotiri-misyaci-viini-statistika-kiberatak"><span style="color: rgb(0, 0, 0);">烏克蘭自開戰以來遭到近800次網路攻擊</span></a></strong></h3> <p>自烏克蘭戰爭開打以來已經超過3個月，在此期間的網路攻擊不曾停歇，近期陸續有相關的統計資料出爐。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）於6月30日表示，該國自戰爭開始至今，總計有796次網路攻擊事件，其中最多的是針對政府機關，有197起，其次是104起針對國防與安全部門而來、55起鎖定金融服務業者、另各有54起針對商業機構與能源產業而來。從攻擊的目的來看，比例最高的是資訊收集，有242起，其次是惡意程式攻擊有192起。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf"><span style="color: rgb(0, 0, 0);">美西銀行的ATM被安裝側錄裝置</span></a></strong></h3> <p>駭客不只在網路環境進行交易資料的側錄，也有針對實際環境下手的情況。法國巴黎銀行（BNP Paribas）美國子公司美西銀行於6月23日，向客戶提出警告，指出他們發現駭客在自動櫃員機（ATM）上部署了側錄裝置，可能有用戶的簽帳卡（Debit Card）資料遭竊。該公司最初察覺異狀是在去年11月，他們的資安團隊發現，有數個未經授權的帳號嘗試提款，於是該公司向警方通報，並著手檢查自家ATM的網路，結果發現，駭客已在數臺ATM上安裝了側錄裝置，這些裝置不只會記錄卡號、PIN碼，還有可能會干預簽帳卡的交易。</p> <p>該公司移除了有問題的ATM並著手調查，並呼籲用戶應時常留意自己戶頭的狀態，並承諾戶頭的存款若是遭到盜領或盜刷，他們將吸收相關損失。</p> <h3><strong style="font-size: 22px;"><a href="https://opensea.io/blog/safety-security/important-update-on-email-vendor-security-incident/"><span style="color: rgb(0, 0, 0);">NFT市集OpenSea的服務供應商員工濫用權限，該市集用戶的電子郵件信箱外洩</span></a></strong></h3> <p>大型NFT市集因內部採用的服務供應商員工濫用權限，而使得客戶的資料外洩。NFT市集OpenSea於6月29日發布資安通告，指出他們的電子郵件服務供應商Customer.io，有員工的權限遭到濫用，下載並外流OpenSea用戶的電子郵件信箱，該公司指出，即使是只有訂閱他們電子報的用戶也會受到影響。</p> <p>不過，OpenSea並未說明Customer.io是如何濫用權限，但此電子郵件服務業者向新聞網站TechCrunch表示，此事是具備特殊權限的員工所為，他們已註銷相關權限並予以停職。OpenSea呼籲用戶要提高警覺，留意可能會衍生的網路釣魚攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/revive-from-spyware-to-android-banking-trojan"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Revive疑似透過攔截簡訊來繞過雙因素驗證</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot 2022-06-27 at 14_11_58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot%202022-06-27%20at%2014_11_58.png" style="width: 300px; float: right;" /></a>駭客使用木馬程式對銀行用戶手機下手的情況，現在也變得更加針對特定銀行而來，甚至有機會突破雙因素驗證機制。資安業者Cleafy近期揭露名為Revive的安卓金融木馬程式，該軟體鎖定西班牙BBVA銀行用戶而來，並宣稱為了提升安全性，用戶必須安裝附加元件來進行強化。</p> <p>駭客為了讓對方相信確有其事，不只為該元件建置了專屬網站，還有教學影片解析整個安裝流程。一旦受害者照做，手機就會被安裝木馬程式Revive，然後要求授予此App存取簡訊與通話的權限，而這個惡意程式平時是在後臺執行的鍵盤側錄工具，記錄受害者輸入的內容，並定期傳送到C2。</p> <p>研究人員指出，駭客透過冒牌的銀行登入網頁來取得帳密，然後再攔截特定簡訊，藉此繞過雙因素驗證（MFA）流程，雖然這個惡意程式處於早期開發階段，但已具備繞過銀行身分驗證措施的能力而不容輕忽。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><span style="color: rgb(0, 0, 0);">美國警告駭客利用PwnKit漏洞發動攻擊，要求聯邦機構限期修補</span></a></strong></h3> <p>研究人員於今年年初，揭露存在於Linux系統元件Polkit的重大漏洞CVE-2021-4034（PwnKit），如今已出現了攻擊行動。美國網路安全暨基礎設施安全局（CISA）於6月27日，將PwnKit列為已遭利用的漏洞，並要求聯邦機構限期於7月18日前進行修補。</p> <p>由於這項漏洞影響所有版本的Linux，且公布時已存在長達12年，一旦駭客將其利用就有機會以root權限執行程式碼。CISA雖表明已掌握相關攻擊行動的證據，但沒有說明受害範圍等其他細節。</p> <h3><strong style="font-size: 22px;"><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/"><span style="color: rgb(0, 0, 0);">研究人員揭露損害程度比擬Heartbleed的OpenSSL的漏洞，恐導致記憶體損壞</span></a></strong></h3> <p>開源加密程式庫OpenSSL甫於6月21日發布3.0.4版，但有研究人員發現當中新的弱點，且可能會導致比Heartbleed更嚴重的後果。資安研究人員Guido Vranken揭露OpenSSL 3.0.4版存在的漏洞，一旦攻擊者觸發該漏洞，就有可能遠端執行程式碼，並強調遭到利用的後果可能會非常嚴重，有可能超越Heartbleed。</p> <p>不過，這項漏洞僅存在於特定版本OpenSSL，擁有許多用戶的1.1.1版，以及其他衍生的加密程式庫BoringSSL、LibreSSL都不受影響；再者，則是這項漏洞必須在支援AVX512指令集上的64位元Intel電腦才能觸發。OpenSSL已經著手修補，但尚未發布新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/zimbra-pre-auth-rce-via-unrar-0day/"><span style="color: rgb(0, 0, 0);">Zimbra網頁郵件伺服器的UnRAR元件漏洞恐被駭客用於攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png" style="width: 300px; float: right;" /></a>開源的協作平臺Zimbra，自去年底遭駭客組織TEMP_Heretic鎖定，利用零時差漏洞發動攻擊，使得相關漏洞引起不少研究人員關注。</p> <p>最近資安業者SonarSource發現了零時差漏洞CVE-2022-30333，這漏洞與Zimbra採用的UnRAR元件有關，此元件的開發者，就是推出了知名解壓縮軟體WinRAR的廠商RARLab。CVE-2022-30333是文件寫入漏洞，一旦攻擊者加以利用，就有機會在Zimbra的郵件伺服器上發送或收取郵件，並用來暗中竊取使用者的帳密，甚至有可能進一步利用這些帳密存取受害組織的其他內部應用系統。</p> <p>研究人員將上述漏洞通報了RARLab與Zimbra，前者發布了UnRAR新版6.12版予以修補，後者則調整Amavis服務的配置，改以7-Zip解壓縮RAR檔案來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/"><span style="color: rgb(0, 0, 0);">FabricScape容器逃逸漏洞恐讓攻擊者能讓駭客挾持Azure Service Fabric管理的Linux叢集</span></a></strong></h3> <p>提供建置微服務的系統一旦出現漏洞，有可能危害用戶的容器。資安業者Palo Alto Networks揭露名為FabricScape的容器逃逸漏洞（CVE-2022-30137），存在於微軟微服務應用系統平臺Azure Service Fabric，一旦遭到攻擊者利用，就有可能在Azure叢集執行程式，甚至是接管Linux叢集。</p> <p>雖然微軟將FabricScape列為中度風險漏洞，但此微服務代管了逾百萬應用程式，同時也是Azure許多服務的底層架構，例如，Azure SQL Database、Azure CosmosDB、Cortana，以及Power BI等。微軟已於6月的每月例行修補（Patch Tuesday）修補上述漏洞。研究人員指出，這項漏洞僅影響Linux容器，無法透過Windows容器觸發。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/brocade-vulnerabilities-could-impact-storage-solutions-several-major-companies"><span style="color: rgb(0, 0, 0);">Brocade軟體漏洞恐波及儲存區域網路解決方案</span></a></strong></h3> <p>網通業者Brocade於6月22日發布資安通告，指出他們發布了旗下儲存區域網路（SAN）管理系統SANnav的2.2.0.2版與2.1.1.8版，來修補9個漏洞，其中的CVE-2022-28167、CVE-2022-28168，以及CVE-2022-28166與該軟體本身相關，這些漏洞的CVSS評分為7.5至8.5分，一旦遭利用，攻擊者有機會從事件記錄檔案取得交換器與伺服器的密碼，或是透過靜態加密金鑰來竊取機敏資料，該公司指出，上述漏洞尚未出現被用於攻擊行動的跡象，亦不影響Fabric OS與ASCG兩套軟體。</p> <p>不過，這些漏洞有可能波及其他合作廠商的儲存解決方案，例如，HPE發布公告指出，旗下B系列SANnav管理入口系統受到相關漏洞影響；NetApp也發布相關公告，但該公司自己的產品似乎不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://peterjson.medium.com/miracle-one-vulnerability-to-rule-them-all-c3aed9edeea2"><span style="color: rgb(0, 0, 0);">甲骨文花了6個月修補Fusion Middleware的重大漏洞</span></a></strong></h3> <p>大型IT業者對於企業軟體漏洞處理牛步，很可能使得用戶曝險時間變長。資安業者VNG的研究人員PeterJson，與另一家資安業者VNPT的研究人員Nguyen Jang聯手，在去年10月發現Fusion Middleware的漏洞，分別影響Oracle Access Manager（OAM）的伺服器端請求偽造（SSRF）漏洞CVE-2022-21497，以及影響Oracle JDeveloper的ADF Faces Framework框架元件的RCE漏洞CVE-2022-21445。甲骨文先後於今年1月的2022年第1季的例行修補、4月的第2季例行修補提供更新軟體，研究人員呼籲用戶應儘速安裝相關修補程式。</p> <p>但研究人員指控，甲骨文處理的時間過長，已經超出業界常見的90天期限。尤其是CVE-2022-21445的CVSS風險評分高達9.8分，且攻擊者無須通過身分驗證就能利用，有機會藉此接管JDeveloper，研究人員進一步調查後發現，該公司旗下的Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management，以及ADF Faces Framework開發的網站也受到影響；另一個漏洞CVE-2022-21497的CVSS評分為8.1。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/news/2022/06/22/readout-cisas-third-cybersecurity-advisory-committee-meeting"><span style="color: rgb(0, 0, 0);">美國針對網路安全事故推出311專線</span></a></strong></h3> <p>為了提供中小企業對於資安事故的幫助，美國開始有人提倡應推出類似911的專線服務。美國網路安全暨基礎設施安全局（CISA）於6月22日，在德州舉行網路安全諮詢委員會議，這是自2021年12月開始舉辦後的第3次會議，其中有項提議相當引人關注，那就是由蘋果資訊安全副總裁George Stathakopoulos提出的311全國專線，這支電話成立的目的，就是為了在資安防護上資源較為有限的中小企業，提供即時的資安訓練資源。</p> <p>此外，311專線也有機會協助當局追蹤攻擊事件──因為，許多私人企業有可能在發生事故時拒絕向政府通報，使得CISA與美國聯邦調查局（FBI）難以進一步追查駭客的行蹤。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-hacking-spree-breaches-over-40-orgs-in-a-month/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti一個月攻陷逾40個組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-finally-shuts-down-data-leak-negotiation-sites/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti關閉公布受害者資料的網站</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-ransomware-attack-on-med-university-of-innsbruck/"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society聲稱攻陷了奧地利醫學院</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/macmillan-shuts-down-systems-after-likely-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型出版業者Macmillan疑遭勒索軟體攻擊，被迫關閉系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/06/22/defending-ukraine-early-lessons-from-the-cyber-war/"><span style="color: rgb(0, 0, 0);">不只鎖定烏克蘭！俄羅斯亦對於逾40個國家下手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cnbc.com/2022/06/30/cyberattack-hits-norway-pro-russian-hacker-group-suspected.html"><span style="color: rgb(0, 0, 0);">挪威遭到網路攻擊，疑親俄羅斯駭客所為</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/return-evilnum-apt-updated-ttps-and-new-targets"><span style="color: rgb(0, 0, 0);">駭客組織Evilnum鎖定從事移民業務的組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/cyberattack-forces-iran-steel-company-halt-production"><span style="color: rgb(0, 0, 0);">伊朗鋼鐵公司遭到網路攻擊被迫停止生產</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theregister.com/2022/06/28/tencent_qq_qr_code_attack/"><span style="color: rgb(0, 0, 0);">騰訊坦承用於登入即時通訊軟體QQ的QR Code遭駭</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sekoia.io/raccoon-stealer-v2-part-1-the-return-of-the-dead/"><span style="color: rgb(0, 0, 0);">竊密程式Raccoon東山再起</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/research/ytstealer-malware-youtube-cookies/"><span style="color: rgb(0, 0, 0);">惡意軟體YTStealer挾持YouTuber的帳號</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/nist-releases-new-macos-security-guidance-organizations"><span style="color: rgb(0, 0, 0);">NIST發布新版macOS資安指引</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/28/2022-cwe-top-25-most-dangerous-software-weaknesses"><span style="color: rgb(0, 0, 0);">美國針對25種最嚴重的漏洞提出警告</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151662"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 102，修補19個漏洞，並新增去除URL追蹤參數的功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/codesys-patches-11-flaws-likely-affecting-controllers-several-ics-vendors"><span style="color: rgb(0, 0, 0);">Codesys修補11個可能影響數個廠牌ICS控制器的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/chromium-browsers-vulnerable-to-dangling-markup-injection"><span style="color: rgb(0, 0, 0);">Google修補Chrome懸吊標記漏洞</span></a></span></strong></p> <p> </p> </div></div></div>
2022/7/2 09:21作者周峻佑https://www.ithome.com.tw/news/151732
【資安日報】2022年7月1日，駭客鎖定政府機關與NGO的Exchange伺服器下手、有人針對協作平臺Confluen…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，漏洞攻擊的事故占有相當高的比例。其中，去年3月被發現的Exchange Server重大漏洞ProxyLogon，當時有許多組織察覺遭到相關攻擊，而在今天的資安新聞裡，有駭客組織也從漏洞被公布的時候開始，將其用來對全球政府機關、軍事單位、NGO出手，暗中植入後門程式SessionManager，但直到最近才有研究人員察覺其攻擊行動。</p> <p>駭客組織8220鎖定Atlassian Confluence零時差漏洞CVE-2022-26134的攻擊行動，6月上旬就有資安業者提出警告，但最近又有新的發現，這些駭客同時也對Oracle WebLogic的RCE漏洞CVE-2019-2725下手，來入侵更多Linux主機。</p> <p>Follina漏洞不斷出現被駭客用於散布惡意程式的情況，最近有竊密軟體XFlies也加入利用此漏洞的行列，而引起研究人員的關注。比較值得留意的是，駭客利用加密通訊軟體Telegram將竊得資料回傳，而使得攻擊來源可能難以追蹤。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.kaspersky.com/about/press-releases/2022_kaspersky-discovers-poorly-detected-backdoor-targeting-governments-and-ngos-around-the-globe"><span style="color: rgb(0, 0, 0);">駭客鎖定全球政府與NGO，攻擊Exchange Server並植入後門</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png" style="width: 300px; float: right;" /></a>有駭客針對Exchange Server，自ProxyLogon漏洞爆發後，利用後門程式發動攻擊超過一年才被發現。</p> <p>資安業者卡巴斯基最近揭露自今年4月下旬發現的攻擊行動，駭客組織Gelsemium從2021年3月開始，利用名為SessionManager的IIS後門程式，攻擊政府機關、非政府組織（NGO）、軍事單位，以及工廠下手，受害者遍及非洲、南美、亞洲、歐洲、俄羅斯，以及中東。</p> <p>研究人員指出，他們在調查的過程中發現，迄今仍有24個組織裡、34臺Exchange Server，仍存在上述後門程式，並強調此惡意軟體現在仍能逃過「知名的檔案掃描服務」檢測。</p> <p>一旦駭客藉由SessionManager入侵受害組終的網路環境後，就能存取該組織的電子郵件，或是部署其他惡意軟體來發動第二階段攻擊，這些被感染的Exchange Server也可能被駭客當作基礎設施運用。研究人員提出警告，呼籲組織仔細檢查Exchange Server是否被植入惡意工具，來避免遭到相關攻擊卻不知情。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1542281805549764608"><span style="color: rgb(0, 0, 0);">駭客組織8220利用Atlassian Confluence漏洞進行挖礦攻擊</span></a></strong></h3> <p>在1個月前，Atlassian Confluence零時差漏洞CVE-2022-26134被公布後，有不少駭客組織相繼用於發動攻擊，其中有一個駭客組織8220，同時也運用了其他應用系統的漏洞，引起研究人員的關注。</p> <p>微軟於6月30日，針對駭客組織8220的攻擊行動提出警告，指出該組織長期鎖定Linux系統而來，且最近的攻擊行動，就是利用CVE-2022-26134漏洞來做為初期入侵受害組織的管道，進而部署挖礦軟體pwnRig（1.41.0版）與IRC機器人，來接收C2伺服器的命令，並利用IP掃描工具找尋網路環境裡其他的SSH伺服器，並使用Go語言打造的暴力破解工具spirit散布。</p> <p>此外，駭客也藉由cronjob、nohup等命令建立排程工作，並設置每60秒就執行一次，而使得挖礦軟體和IRC機器人在Linux伺服器重開機後，仍能繼續運作。但除了上述的Atlassian Confluence漏洞之外，研究人員發現，該組織也可能利用Oracle WebLogic的RCE漏洞CVE-2019-2725，來入侵受害組織。</p> <p>這個駭客組織鎖定Atlassian Confluence漏洞的挖礦攻擊行動，在6月9日<a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/">資安業者Check Point曾提出相關發現並提出警告</a>，該公司指出，駭客也利用相同的漏洞，對Windows電腦上植入惡意指令碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/xfiles-info-stealing-malware-adds-support-for-follina-delivery/"><span style="color: rgb(0, 0, 0);">竊密軟體XFiles加入利用Follina漏洞的能力</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/xfiles-logs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xfiles-logs.png" style="width: 300px; float: right;" /></a>與Windows診斷工具MSDT有關的漏洞CVE-2022-30190（Follina），微軟於6月14日推修補程式後，有駭客持續將其用於攻擊行動。資安業者Cyberint發現，名為XFiles的竊密軟體，駭客近期新增了新的模組，這個模組的功能就是利用上述的漏洞Follina，將惡意酬載下載到受害電腦並執行。</p> <p>研究人員看到駭客疑似透過垃圾郵件挾帶惡意文件檔案，此文件檔案包含OLE物件，並連結外部的HTML檔案，該HTML檔案的程式碼內容，就包含了利用Follina的JavaScript指令碼。一旦受害者打開文件檔案，就有可能觸發指令碼，並對電腦下達以Base64編碼的PowerShell命令來執行惡意程式，然後，駭客使用ChimLacUpdate.exe這隻程式進行第二階段攻擊，此程式包含了硬編碼加密的Shell Code與AES解密金鑰，藉由API呼叫的方式解密Shell Code並執行，最終使得受害電腦感染XFIles。</p> <p>此竊密軟體會搜刮在網頁瀏覽器和加密貨幣錢包的帳密資料，亦會截取螢幕畫面、收集加密通訊軟體Discord和Telegram的帳密等，並將竊得的資料透過Telegram傳送到駭客手上。</p> <h3><strong style="font-size: 22px;"><a href="https://cip.gov.ua/en/news/chotiri-misyaci-viini-statistika-kiberatak"><span style="color: rgb(0, 0, 0);">烏克蘭自開戰以來遭到近800次網路攻擊</span></a></strong></h3> <p>自烏克蘭戰爭開打以來已經超過3個月，在此期間的網路攻擊不曾停歇，近期陸續有相關的統計資料出爐。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）於6月30日表示，該國自戰爭開始至今，總計有796次網路攻擊事件，其中最多的是針對政府機關，有197起，其次是104起針對國防與安全部門而來、55起鎖定金融服務業者、另各有54起針對商業機構與能源產業而來。從攻擊的目的來看，比例最高的是資訊收集，有242起，其次是惡意程式攻擊有192起。</p> <h3><strong style="font-size: 22px;"><a href="https://opensea.io/blog/safety-security/important-update-on-email-vendor-security-incident/"><span style="color: rgb(0, 0, 0);">NFT市集OpenSea的服務供應商員工濫用權限，該市集用戶的電子郵件信箱外洩</span></a></strong></h3> <p>大型NFT市集因內部採用的服務供應商員工濫用權限，而使得客戶的資料外洩。NFT市集OpenSea於6月29日發布資安通告，指出他們的電子郵件服務供應商Customer.io，有員工的權限遭到濫用，下載並外流OpenSea用戶的電子郵件信箱，該公司指出，即使是只有訂閱他們電子報的用戶也會受到影響。</p> <p>不過，OpenSea並未說明Customer.io是如何濫用權限，但此電子郵件服務業者向新聞網站TechCrunch表示，此事是具備特殊權限的員工所為，他們已註銷相關權限並予以停職。OpenSea呼籲用戶要提高警覺，留意可能會衍生的網路釣魚攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/zimbra-pre-auth-rce-via-unrar-0day/"><span style="color: rgb(0, 0, 0);">Zimbra網頁郵件伺服器的UnRAR元件漏洞恐被駭客用於攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png" style="width: 300px; float: right;" /></a>開源的協作平臺Zimbra，自去年底遭駭客組織TEMP_Heretic鎖定，利用零時差漏洞發動攻擊，使得相關漏洞引起不少研究人員關注。</p> <p>最近資安業者SonarSource發現了零時差漏洞CVE-2022-30333，這漏洞與Zimbra採用的UnRAR元件有關，此元件的開發者，就是推出了知名解壓縮軟體WinRAR的廠商RARLab。CVE-2022-30333是文件寫入漏洞，一旦攻擊者加以利用，就有機會在Zimbra的郵件伺服器上發送或收取郵件，並用來暗中竊取使用者的帳密，甚至有可能進一步利用這些帳密存取受害組織的其他內部應用系統。</p> <p>研究人員將上述漏洞通報了RARLab與Zimbra，前者發布了UnRAR新版6.12版予以修補，後者則調整Amavis服務的配置，改以7-Zip解壓縮RAR檔案來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/brocade-vulnerabilities-could-impact-storage-solutions-several-major-companies"><span style="color: rgb(0, 0, 0);">Brocade軟體漏洞恐波及儲存區域網路解決方案</span></a></strong></h3> <p>網通業者Brocade於6月22日發布資安通告，指出他們發布了旗下儲存區域網路（SAN）管理系統SANnav的2.2.0.2版與2.1.1.8版，來修補9個漏洞，其中的CVE-2022-28167、CVE-2022-28168，以及CVE-2022-28166與該軟體本身相關，這些漏洞的CVSS評分為7.5至8.5分，一旦遭利用，攻擊者有機會從事件記錄檔案取得交換器與伺服器的密碼，或是透過靜態加密金鑰來竊取機敏資料，該公司指出，上述漏洞尚未出現被用於攻擊行動的跡象，亦不影響Fabric OS與ASCG兩套軟體。</p> <p>不過，這些漏洞有可能波及其他合作廠商的儲存解決方案，例如，HPE發布公告指出，旗下B系列SANnav管理入口系統受到相關漏洞影響；NetApp也發布相關公告，但該公司自己的產品似乎不受影響。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/28/2022-cwe-top-25-most-dangerous-software-weaknesses"><span style="color: rgb(0, 0, 0);">美國針對25種最嚴重的漏洞提出警告</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cnbc.com/2022/06/30/cyberattack-hits-norway-pro-russian-hacker-group-suspected.html"><span style="color: rgb(0, 0, 0);">挪威遭到網路攻擊，疑親俄羅斯駭客所為</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/return-evilnum-apt-updated-ttps-and-new-targets"><span style="color: rgb(0, 0, 0);">駭客組織Evilnum鎖定從事移民業務的組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/macmillan-shuts-down-systems-after-likely-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型出版業者Macmillan疑遭勒索軟體攻擊，被迫關閉系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/codesys-patches-11-flaws-likely-affecting-controllers-several-ics-vendors"><span style="color: rgb(0, 0, 0);">Codesys修補11個可能影響數個廠牌ICS控制器的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/chromium-browsers-vulnerable-to-dangling-markup-injection"><span style="color: rgb(0, 0, 0);">Google修補Chrome懸吊標記漏洞</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151686">【2022年6月30日】中國駭客意圖藉由社群網站干預美國取得稀土金屬的計畫、大型連鎖超市Walmart傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151669">【2022年6月29日】駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartbleed的OpenSSL漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> </div></div></div>
2022/7/1 17:03作者周峻佑https://www.ithome.com.tw/news/151725
Google更新Chrome與Android的密碼管理工具，可主動於Google Password Manager中輸…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/password-manager-update/" target="_blank">Google本周更新了</a>Chrome與Android平臺上的密碼管理工具Google Password Manager，包括將允許使用者直接於Google Password Manager中輸入與儲存密碼，在Android上的Chrome則提供觸控填入（Touch-to-Fill）功能，也將整合Android與Chrome上的密碼管理經驗。</p> <p>Google Password Manager中大多數的功能，都是由Google位於德國慕尼黑的Google安全工程中心（Google Safety Engineering Center，GSEC）團隊負責開發，此一功能主要奠基於Chrome上，因此不管是在Android、iOS、Windows、macOS或Linux平臺上使用Chrome，都可利用Google Password Manager來管理密碼，它會在使用者輸入密碼時自動詢問是否要儲存密碼，也能幫使用者建立安全密碼，並在需要時協助使用者填入密碼。</p> <p>過去Chrome都是在使用者要輸入程式或網站密碼時，詢問是否要儲存密碼，不過新的Google Password Manager將允許使用者主動至該服務，輸入特定程式或網站的密碼。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Blog-Asset_Add-Manually.gif" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>此外，當Android用戶透過Chrome要造訪某一個網站並執行登入時，Google Password Manager會在頁面下方自動現身，詢問是否要幫使用者輸入所儲存的帳號與密碼，只要觸碰它就能完成填入。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/New_One_Touch_Login.gif" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>有鑑於使用者抱怨Chrome與Android上的密碼管理使用經驗不一，Google則積極整合兩個平臺的密碼管理經驗，倘若使用者在同一程式或網站上擁有不同的密碼，Google Password Manager即會自動將它們歸類，現在還允許Android用戶直接於桌面上建立捷徑（下圖），以一鍵存取密碼功能。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Homescreen-Entry-Point.gif" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>至於iOS用戶若想利用Google Password Manager的密碼建立功能，則只要將Chrome設為自動填入供應商即可。</p> <p>另外，所有平臺上的Chrome用戶都可在特定密碼遭到危害時，收到Google Password Manager的警告，Android用戶則會額外收到密碼太薄弱或重複使用的提醒。</p> </div></div></div>
2022/7/1 13:51作者陳曉莉https://www.ithome.com.tw/news/151715
【資安日報】2022年6月30日，中國駭客意圖藉由社群網站干預美國取得稀土金屬的計畫、大型連鎖超市Walmart傳遭勒…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，駭客利用社群網站帶風向，意圖干預他國競爭業者的攻擊行動，這樣的做法甚至有可能進一步操縱其他國家政策，而引起研究人員高度關注。尤其，這起中國駭客發起的攻擊行動Dragonbridge，是涉及稀有金屬資源，想要塑造美國業者不顧當地環境與居民健康的訊息，來拖延該公司想要在美國設立工廠開採這類金屬的進度，進而導致該國很可能不得不向中國低頭的情況。</p> <p>勒索軟體攻擊行動也相當值得留意，尤其是去年出現的駭客組織<a href="https://www.ithome.com.tw/news/147309">Yanluowang （閰羅王）</a>，他們聲稱對大型連鎖超市Walmart下手，加密數萬臺電腦，但與許多攻擊事故不同的是，駭客並未公然外洩該公司大量的內部資料，而是在索討贖金不成後，公布該公司內部網路環境的相關資料，似乎有意吸引其他攻擊團體對其動手，目的有可能是為了報復他們不付贖金。</p> <p>代管微服務的系統一旦出現漏洞，很可能影響的範圍相當廣泛。研究人員揭露微軟微服務應用系統平臺Azure Service Fabric的容器逃逸漏洞FabricScape，雖然是中度風險的漏洞，但該服務涉及百萬支應用程式的代管，同時也是許多微軟服務的底層架構，這個漏洞一旦沒處理好，有可能會嚴重影響眾多IT服務的運作。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/dragonbridge-targets-rare-earths-mining-companies"><span style="color: rgb(0, 0, 0);">中國駭客鎖定北美、澳洲稀土金屬業者，發起Dragonbridge攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg" style="width: 300px; float: right;" /></a>駭客為了自己國家的利益，很可能會在社群網站上散布不實言論，來抹黑其他國家的競爭企業。資安業者Mandiant最近揭露中國駭客組織Dragonbridge的攻擊行動，駭客疑似針對澳洲稀土業者Lynas Rare Earths、加拿大稀土業者Appia Rare Earths & Uranium，以及美國稀土業者USA Rare Earth，在社群網站發出不利的訊息，企圖影響上述業者即將進行的計畫，或是開採稀土金屬的行動。</p> <p>由於這些稀土金屬運用於導彈控制系統、飛機引擎等軍事武器，也用於汽車、電腦、手機等產品，在中美貿易戰亦成為中國對付美國的手段，使得美國國防部於2021年與Lynas Rare Earths達成在德州興建工廠；再者，今年6月，Appia Rare Earths & Uranium與USA Rare Earth都宣布發現新的礦源，使得Dragonbridge決定採取行動。</p> <p>這些駭客使用社群網站與論壇的帳號，來散布引人注目的言論，例如，他們假冒德州居民，指控對於工廠可能會帶來當地的環境與居民健康問題，並引用政治人物對於美國總統拜登的國防生產法（Defense Production Act）批評，企圖塑造該工廠會為美國帶來各式問題的風向。</p> <p>研究人員指出，駭客的攻擊究竟會造成多少影響有待觀察，但這也代表駭客有可能利用類似手法來操縱其他美國政治議題，進而讓中國獲得利益。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/walmart-denies-being-hit-by-yanluowang-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型連鎖超市Walmart傳出遭到勒索軟體Yanluowang攻擊，但該公司予以否認</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg" style="width: 300px; float: right;" /></a>去年出現的<a href="https://www.ithome.com.tw/news/147309">勒索軟體Yanluowang （閰羅王）</a>，最近又有新的動作，疑似因對方不付錢，而決定公布內部網路環境的相關資料。根據資安新聞網站Bleeping Computer報導，勒索軟體Yanluowang聲稱在一個多月前，對大型連鎖超市Walmart發動攻擊，加密4萬至5萬臺電腦，並向該公司索討5,500萬美元贖金，但Walmart始終沒有回應。</p> <p>駭客於6月27日公布此事，並上傳了Walmart的內部網路資料，包含了AD使用者名單、該公司的安全憑證檔案，以及經由<a href="https://www.qomplx.com/qomplx-knowledge-kerberoasting-attacks-explained/">Kerberoasting攻擊</a>破解的加鹽密碼，假若這些都是真實資料，其他駭客將有機會用來對Walmart再度下手。</p> <p>對此，Walmart發出聲明，認為上述說法並不準確，該公司的資安團隊全天候監控，並未察覺駭客對他們攻擊得逞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/smash-and-grab-astralocker-2-pushes-ransomware-direct-from-office-docs"><span style="color: rgb(0, 0, 0);">駭客利用Word檔案投放勒索軟體AstraLocker 2.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png" style="width: 300px; float: right;" /></a>為了擴大受到影響的範圍，駭客往往可能會選擇在調查完受害組織內部環境後，才發動勒索軟體攻擊，但現在有駭客採取直接了當的作法，一旦受害者不慎開啟誘餌，就執行檔案加密的工作。</p> <p>例如，資安業者ReversingLabs近期發現勒索軟體AstraLocker 2.0的攻擊行動，駭客疑似利用另一個勒索軟體Babuk外洩的程式碼打造而成，根據駭客用於索討贖金的門羅幣錢包，此勒索軟體很可能與Chaos有關。這些駭客將勒索軟體嵌入Word檔案的OLE物件，並透過網路釣魚來散布。一旦對方開啟了這個Word檔案，並依照指示執行OLE物件，電腦檔案就會隨即被AstraLocker 2.0加密。</p> <p>研究人員指出，這種有別於一般駭客對於組織發動勒索軟體攻擊的過程，代表了運用Babuk程式碼打造的AstraLocker 2.0駭客技能不算強，但想要積極讓許多人受害並支付贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/"><span style="color: rgb(0, 0, 0);">木馬程式ZuoRAT鎖定SOHO族的家用路由器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png" style="width: 300px; float: right;" /></a>駭客鎖定缺乏防護的家用路由器設備，進而站穩腳跟，對網路環境裡的連網設備下手的情況，在許多人處於居家辦公模式的工作狀態下，相當值得留意。</p> <p>資安業者Lumen近期發現木馬程式ZuoRAT的攻擊行動，駭客疑似自2020年12月開始，鎖定中小企業與SOHO族，目標是思科（Cisco）、華碩、Netgear，以及居易（DrayTek）等廠牌的近80款家用路由器，一旦木馬程式成功挾持後，就將這些路由器當作跳板，經用內部網路，透過DNS挾持或HTTP挾持的方式，進行中間人攻擊（MitM），下載CBeacon、GoBeacon、Cobalt Strike等軟體，植入Windows、macOS、Linux電腦。</p> <p>研究人員指出，駭客埋藏攻擊的手法相當精明，只要路由器重開機就會移除ZuoRAT與活動痕跡，而且，他們也能遠端刪除ELF檔案，使得攻擊行動不被發現。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><span style="color: rgb(0, 0, 0);">美國警告駭客利用PwnKit漏洞發動攻擊，要求聯邦機構限期修補</span></a></strong></h3> <p>研究人員於今年年初，揭露存在於Linux系統元件Polkit的重大漏洞CVE-2021-4034（PwnKit），如今已出現了攻擊行動。美國網路安全暨基礎設施安全局（CISA）於6月27日，將PwnKit列為已遭利用的漏洞，並要求聯邦機構限期於7月18日前進行修補。</p> <p>由於這項漏洞影響所有版本的Linux，且公布時已存在長達12年，一旦駭客將其利用就有機會以root權限執行程式碼。CISA雖表明已掌握相關攻擊行動的證據，但沒有說明受害範圍等其他細節。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/"><span style="color: rgb(0, 0, 0);">FabricScape容器逃逸漏洞恐讓攻擊者能讓駭客挾持Azure Service Fabric管理的Linux叢集</span></a></strong></h3> <p>提供建置微服務的系統一旦出現漏洞，有可能危害用戶的容器。資安業者Palo Alto Networks揭露名為FabricScape的容器逃逸漏洞（CVE-2022-30137），存在於微軟微服務應用系統平臺Azure Service Fabric，一旦遭到攻擊者利用，就有可能在Azure叢集執行程式，甚至是接管Linux叢集。</p> <p>雖然微軟將FabricScape列為中度風險漏洞，但此微服務代管了逾百萬應用程式，同時也是Azure許多服務的底層架構，例如，Azure SQL Database、Azure CosmosDB、Cortana，以及Power BI等。微軟已於6月的每月例行修補（Patch Tuesday）修補上述漏洞。研究人員指出，這項漏洞僅影響Linux容器，無法透過Windows容器觸發。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151662"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 102，修補19個漏洞，並新增去除URL追蹤參數的功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sekoia.io/raccoon-stealer-v2-part-1-the-return-of-the-dead/"><span style="color: rgb(0, 0, 0);">竊密程式Raccoon東山再起</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/research/ytstealer-malware-youtube-cookies/"><span style="color: rgb(0, 0, 0);">惡意軟體YTStealer挾持YouTuber的帳號</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151669">【2022年6月29日】駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartbleed的OpenSSL漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> </div></div></div>
2022/6/30 16:02作者周峻佑https://www.ithome.com.tw/news/151686
微軟Azure Service Fabric漏洞可導致駭客接管叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/#The-Vulnerability" target="_blank">研究人員揭露</a>微軟Azure Service Fabric服務一項漏洞，最嚴重可導致Azure叢集執行程式甚至接管叢集。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30137" target="_blank">這項漏洞微軟已在6月修補</a>，發現該漏洞的安全廠商<a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/" target="_blank">Palo Alto Unit 24研究團隊於本周才說明細節</a>。</p> <p>這個漏洞影響微軟微服務應用平臺Azure Service Fabric。Service Fabric上，Azure雲端上的應用可切分成許多微服務，以便在不動到底層架構情況下獨立更新、維護。微軟表示，Service Fabric已代管超過100萬個應用程式，每日執行核心數百萬。它也是Azure許多服務的底層，包括Azure Service Fabric、Azure SQL Database和Azure CosmosDB，以及Cortana及Power BI等其他微軟服務。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2022/06/word-image-96.png" style="width: 500px;" /></p> <p>微軟6月修補編號<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30137" target="_blank">CVE-2022-30137</a>的漏洞時，僅描述它是容器權限擴張漏洞，列為中度風險漏洞。</p> <p>Service Fabric是以容器執行應用程式，在每次啟動容器時，Service Fabric會在每個容器內建立具有讀寫權限的新log目錄。所有log目錄又以Service Fabric的資料蒐集代理程式（DCA）集結以便稍後執行。為了存取所有目錄，DCA具有在所有節點以根權限執行的特權，但另一方面DCA處理的檔案又可為容器修改，因此只要能修改這些檔案，即可造成容器逃逸，並取得該節點的根執行權限。</p> <p>漏洞就出在DCA裏一個讀取檔案、檢查內容格式及修改、覆寫檔案內容的函式（GetIndex）。該函式又使用2個子函式負責讀取（LoadFromFile）及修改檔案（SaveToFile）的行為。研究人員指出，這裏產生了符號連結競爭（symlink race），讓進駐容器內的攻擊者先載入惡意檔案（或不知情的使用者執行檔案），在DCA讀取及覆寫處理下，利用DCA根權限，以惡意檔案覆寫掉節點檔案系統中的檔案。結果是使用者在節點內執行惡意程式，或是攻擊者接管容器甚至叢集。</p> <p>不過研究人員指出，雖然這類行為可在Linux及Windows容器內觀察，但開採漏洞僅能在Linux容器內實現，因為Windows容器內，沒有授權的攻擊者無法建立符號連結。</p> <p>微軟已針對Linux版本Azure Service Fabric釋出更新。研究人員並未發現有任何成功開採漏洞的情形，微軟建議未啟動自動更新的客戶應升級Linux 叢集到最新版Service Fabric。微軟及安全廠商也呼籲用戶，不要執行未獲信任的應用程式。</p> </div></div></div>
2022/6/30 13:22作者林妍溱https://www.ithome.com.tw/news/151683
ZuoRAT攻擊SOHO路由器以感染Mac、Windows設備，華碩等產品中標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/" target="_blank">研究人員發現</a>一隻名為ZuoRAT的木馬程式攻擊多款北美及歐洲等地小型企業及家用路由器，以便感染其他連網設備，包括思科、華碩在內等近80款產品曾遭到鎖定。</p> <p>Lumen Technologies的Black Lotus Labs研究人員近日發現一波鎖定中小企業及家用（SOHO）路由器的攻擊，允許攻擊者劫持這些設備後以之為跳板，經由用戶本地網路（LAN）感染其他同網路上的Windows、MacOS及Linux連網設備。研究人員目前發現有思科（Cisco）、華碩、Netgear及居易科技（DrayTek）等品牌的家用路由器產品成為目標。</p> <p>研究人員分析，這波攻擊是一種多階段攻擊，先由ZuoRAT打頭陣。Zuo取自中文的「左」，因它包含一個asdf.a的檔案，是利用鍵盤左手的4個字母組成。ZuoRAT是一個專為SOHO路由器撰寫的MIPS檔案，可能是經由路由器產品漏洞植入。ZuoRAT具有列舉主機及內部LAN、蒐集感染裝置封包，以及進行中間人攻擊（person-in-the-middle）的能力。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig1_ProcessOverview-1.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Black Lotus Labs</span></span></p> <p>一旦進入路由器設備後，攻擊就進入第二階段。在列舉連網裝置及LAN網路，尋找到目標後， ZuoRAT利用兩種方法進行中間人攻擊以存取這些設備，包括以DNS劫持及HTTP劫持。DNS劫持是置換路由器到外部服務網域如Google或Facebook的IP位址，後者則是在裝置對外連線時注入HTTP連線，製造302錯誤訊息。兩者的目的皆是將用戶連線導向惡意IP位址。研究人員指出，這2種劫持法相當難以偵測。</p> <p>在攻擊第3階段ZuoRAT結合一個C++下載器程式，植入後續其他程式，包括CBeacon、GoBeacon及Cobalt Strike。其中CBeacon是針對Windows工作站等環境的C++木馬程式，GoBeacon則是可橫跨Linux及macOS平臺。Cobalt Strike則作為輔助之用，三者都是全功能型木馬程式。可和其他被當成C&C伺服器的裝置建立連線，上傳下載檔案，執行程式碼及在裝置內滲透潛伏。</p> <p>研究人員分析第一階段ZuoRAT活動，顯示感染源自華碩、思科、居易科技及Netgear的設備。不過在研究期間出現開採活動者僅剩一臺中國品牌Techdata的JCG-Q20路由器。研究人員解釋，這是因為攻擊者使用高明的潛伏手法。路由器重開機就能移除ZuoRAT及任何活動痕跡，此外攻擊者也能遠端刪除裝置內的ELF檔，再下載新版C&C程式。</p> <p>而被駭入的路由器產品也可以當成C&C代理伺服器，和其他被感染的路由器相互通訊，例如Black Lotus Labs研究人員觀察到，至少在去年最後3個月期間，北美的多臺路由器連到1臺位於臺灣的Vigor DrayTek路由器，但後來又轉到位於加拿大的路由器。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig3_ZuoRAT_ProxyC2_Diagram-1.png" style="width: 505px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Black Lotus Labs</span></p> <p>研究人員分析，從攻擊感染的路由器年份來看，這波攻擊至少從2020年12月開始，在一年多期間共有約80臺裝置遭到感染。</p> <p>對一般消費者及用戶，研究人員建議應定期重開路由器，並安裝安全更新及修補程式，最好有EDR（endpoint detection and response）方案。至於企業，<a href="https://github.com/blacklotuslabs/IOCs/blob/main/ZuoRAT_IoCs.txt" target="_top">研究人員建議使用廠商提供的IOC辨識可疑檔案</a>，或使用SASE（Secure Access Service Edge）或類似方案。</p> </div></div></div>
2022/6/30 11:51作者林妍溱https://www.ithome.com.tw/news/151678
美國要求聯邦機構限時修補PwnKit安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149096" target="_blank">資安業者Qualys於今年1月揭露</a>一個存在Linux系統管理元件Polkit長達12年的安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-4034" target="_blank">CVE-2021-4034</a>，該漏洞允許駭客以根權限執行程式碼，而且波及所有主要Linux版本，又被稱為PwnKit漏洞。由於已發現針對該漏洞的攻擊行動，使得美國網路安全及基礎設施安全局<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">（CISA）於本月27日將它納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中</a>，要求美國聯邦機構必須在7月18日以前修補。</p> <p>Polkit負責制定與處理在Linux系統上可允許非特權程序及特權程序通訊的政策，其中的Pkexec工具可利用setuid功能代其它使用者執行命令，PwnKit漏洞即允許非特權的本地端駭客擴張權限，繞過任何政策與身分認證，取得管理員權限，從Red Hat、Ubuntu、Debian、Fedora到CentOS等Linux版本都受到影響。</p> <p>當Qualys在1月25日公布PwnKit漏洞之後的幾個小時，相關的概念性驗證程式就問世了。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog" target="_blank">CISA僅說已發現該漏洞遭到開採的證據</a>，並未說明受害者或攻擊內容。</p> <p>值得注意的是，除了PwnKit漏洞之外，CISA當天也將另外7個漏洞納入「已知遭開採漏洞」目錄中，包括Google於去年5月就修補的Chromium漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-30533" target="_blank">CVE-2021-30533</a>，以及蘋果自2018年到2021年間所修補的5個安全漏洞。</p> <p>除了要求聯邦機構限時修補之外，CISA也強烈建議所有組織應該優先修補被列入此一已遭開採目錄的所有安全漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/files/Known%20Exploited%20Vulnerabilities%20Catalog%20_%20CISA-0627.pdf" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 參考資訊 </span></span> CISA在6月27日所新增的「已知遭開採漏洞」名單</strong></a></p> </div></div></div>
2022/6/30 12:16作者陳曉莉https://www.ithome.com.tw/news/151679
Firefox 102出爐了，修補19個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/firefox/102.0/releasenotes/" target="_blank">Mozilla於28日釋出了支援Windows、macOS與Linux的Firefox 102</a>，此一版本允許使用者關閉下載時自動開啟的下載面板，進一步改善隱私功能，且其Linux版新增對GeoClue的支援，另也修補了19個安全漏洞。</p> <p>當使用者利用瀏覽器下載檔案時，瀏覽器總會自動跳出一個面板，顯示正在下載的檔案與進度，但Firefox 102允許使用者關閉面板自動跳出功能。</p> <p>新的隱私功能則存在於增強追蹤保護（Enhanced Tracking Protection，ETP）模式中，當使用者以ETP模式瀏覽網站時，Firefox 102將會去除那些用來追蹤使用者的URL參數。這是因為包括臉書等業者都會利用客製化的URL查詢參數來追蹤使用者的連結點擊，ETP模式中的Firefox 102即會剝離URL中的追蹤參數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-19-firfox%20102_ETP_Enhanced%20Tracking%20Protection_strict%20mode-android-V2.png" style="width: 360px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mozilla</span></span></p> <p>Linux版的Firefox 102主要是新增了對GeoClue地理位置的支援，它隸屬於D-Bus服務，可依據特定網站的需求提供位置功能。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-24/" target="_blank">Firefox 102亦修補了19個安全漏洞</a>，當中有4個被列為高度風險漏洞。</p> <p>根據StatCounter的統計，全球桌面瀏覽器市場仍由Chrome以66.16%的市占率居冠，Edge為10.12%，Safari為9.14%，Firefox以7.66%位居第四。</p> </div></div></div>
2022/6/29 11:38作者陳曉莉https://www.ithome.com.tw/news/151662
【人物專訪：紅帽產品與技術執行副總裁Matt Hicks】為何紅帽決定將企業級Linux帶進電動車？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目標是要打造一個值得信賴、標準的Linux平臺，可供汽車產業在這個基礎上建構自己的汽車應用。」紅帽產品與技術執行副總裁Matt Hicks表示。這位紅帽產品最高負責人，點出了紅帽搶進未來汽車平臺建立灘頭堡的關鍵利器，正是RHEL這款企業級Linux。不只汽車業，這一步，也是紅帽布局更多邊緣場景的關鍵一步。</p> <p><span style="font-size:28px;"><strong>車用RHEL軟體也是紅帽布局產業邊緣環境的RHEL版本</strong></span></p> <p>從紅帽產業邊緣運算戰略來看，電信業是它第一個聚焦的產業邊緣運算市場，接下來就是汽車產業。而紅帽進軍汽車市場的邊緣產品策略是，先把企業級Linux環境和技術帶進汽車中，當RHEL軟體進到汽車內，以後車上就會成為新的應用程式開發環境，所以，這也是紅帽一個布局產業邊緣環境的RHEL版本。</p> <p>因為採用了和雲端RHEL一樣的開發環境，也因此能讓汽車軟體開發走向更開放架構，對於許多App開發者而言，也將大大降低汽車應用開發門檻，讓他們更容易加入汽車開發，使用現有雲端開發工具，為汽車開發各種創新應用，進而發展出新的生態系。</p> <p>隨著汽車越來越像一個裝上輪子的小型資料中心，從ADAS、自動駕駛到資訊娛樂系統，OS在汽車軟體堆疊中扮演更關鍵作用。Matt Hicks解釋，之所以決定先把企業RHEL帶進汽車，一來安全本來就是RHEL的強項，涵蓋從軟體供應鏈到Runtime執行的安全都包含在內，這些都是在汽車平臺上可以運用的地方；二來，嵌入RHEL軟體之後，也能加速汽車產業擁抱軟體化，為汽車應用程式開發和部署提供完整的生命周期，讓OEM車廠可以專注於開發嶄新應用，如自動駕駛、ADAS等，做出產品差異化，「因為有這樣一個標準平臺，才能加快OEM廠商的應用開發，將產品推出上市。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%20%E8%87%B3%E6%B5%A9-matt-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為搶進汽車產業的邊緣運算商機，紅帽也積極向大型車廠靠攏，還找上美國汽車大廠GM合作，將為其正在開發的Ultifi汽車軟體平臺打造以RHEL為基礎的車用作業系統。</strong><span style="font-size:14px;">圖片來源／GM</span></span></p> <p><span style="font-size:28px;"><strong>不只可供車廠建構新應用，更要把企業和雲端應用中實踐帶進車輛</strong></span></p> <p>Matt Hicks也表示，RHEL作為車上OS有兩個好處，首先是可以支援車用OTA，讓汽車透過OTA更新系統更具彈性，提供完整生命周期更新，且不會有更新失敗的情況；再者，RHEL將成為未來汽車零組件硬體功能交付的核心平臺介面，「我認為它會朝這個方向來發展，因此我們的目標是，將紅帽在企業和雲端應用中許多實踐，更快帶入車輛。」這也是為何紅帽決定跨入汽車產業的原因。</p> <p>不過，汽車產業原本就有開發自己的開源Linux版本，例如在Linux基金會下發展的車規等級開源Linux　(Automotive Grade Linux，AGL)，作為該產業開放標準，已經發展10年之久，迄今有Toyota、DENSO、Suzuki、Renesas等車廠，還有AWS、三星、松下等科技公司多達150個成員加入，紅帽自己也是其中一員。</p> <p>但紅帽仍決定打造自己的車用Linux產品而不直接使用AGL的原因，Matt Hicks解釋，主要在於產品差異化。他表示，紅帽正在開發的車用Linux產品，因為是以RHEL核心為基礎，未來更能確保提供完整生命周期的軟體版本更新，以滿足OEM、汽車製造商對應用開發需求，並且可在持續認證和交付的環境中，保有更新與安全功能，以符合功能性安全的法遵要求，相較之下，「對於AGL而言，這會是一大挑戰。」但他也提到，紅帽過去在AGL社群中也積極投資和參與不少重要元件或功能開發，未來也能運用到自己的車用版本。</p> <p>但身為一家企業軟體公司，想更快地切入汽車軟體市場，紅帽仍需OEM車廠或汽車製造商的配合，為此，紅帽也積極向大型車廠靠攏，例如在今年紅帽高峰會上，紅帽與美國汽車大廠通用汽車（GM）展開合作，將為其正在開發的Ultifi汽車軟體平臺打造以RHEL為基礎的車用作業系統。</p> <p>根據GM的說明，未來Ultifi軟體平臺將分三層，有底層的機電系統及軟體層、中間的平臺及OS層，以及上層的GM雲端層。其中，中間的平臺及OS層，將使用紅帽的RHEL做開發。Matt Hicks表示，待車規版RHEL完成後，將可以幫助GM能夠更快交付Ultifi車載應用軟體，幫助其加速擁抱軟體化。預計明年就能看到搭載紅帽Linux的新款GM電動車亮相。</p> <p>不過，在汽車上執行RHEL軟體，也不是一件容易的事，尤其跟一般消費性軟體相比，車用軟體必須合乎功能性安全的法規要求，所以為了符合這個要求，早從去年起，紅帽在發展自己的車用RHEL（Red Hat In-Vehicle Operating System）的同時，就已經開始為RHEL取得如ISO 26262標準等功能性安全認證提早做準備，以便將來能支援各種車上關鍵應用，包括車載資訊娛樂系統、ADAS、車輛控制和連接服務等。</p> <p>除了功能性安全外，另一個挑戰則是在應用場景，過去RHEL產品剛推出時，加入許多功能，因應各種關鍵應用任務的需求，也讓它的發展越來越肥大，但以前的應用場景比較沒有問題，因為大多是部署在雲端環境，有提供充裕資源，如大量可用的記憶體等，不過，RHEL現在要部署到邊緣層級的裝置時仍有不少挑戰，因為許多邊緣裝置的外型規格，和雲端設備完全不同，搭配的硬體也所不同，比如以往雲端環境，多是配置x86伺服器，但在邊緣端或是汽車上就並非如此。</p> <p>為了解決這個問題，紅帽採取的策略，就是讓車用RHEL版本，和以往企業級RHEL相比，變得更輕量、尺寸規格更小。他表示，車用RHEL就像是企業級RHEL的子集（subset），可安裝於汽車上，因為使用相同RHEL核心做開發，所以具有和原RHEL幾乎相同的功能，但外型規格變得更小，更能適應車上硬體要求，甚至不需要大量記憶體就能執行。</p> <p>除了正在發展更輕量、尺寸規格更小的RHEL產品，紅帽也持續加強RHEL軟體對不同硬體架構的支援能力，如Arm或Nvidia Jetsons硬體等，讓RHEL可以跑在不同硬體架構的邊緣裝置或設備上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%BA%E7%89%A9.jpg" style="width: 294px;" /></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(105, 105, 105);">紅帽產品與技術執行副總裁Matt Hicks表示，紅帽的目標是要打造一個值得信賴、標準的Linux平臺，可供汽車產業在這個基礎上建構自己的汽車應用。</span></span></strong><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／紅帽</span></span></p> <p><span style="font-size:28px;"><strong>混合雲平臺OpenShift未來也能登上汽車</strong></span></p> <p>當車子裝上RHEL OS以後，紅帽未來更考慮把混合雲平臺OpenShift放進車上，讓汽車製造商可以利用容器在汽車中編寫、部署應用程式，然後也可以利用OpenShift和K8s管理和部署他們在企業資料中心、邊緣中的容器應用，意謂著，車廠以後可用同一套管理方式管本地、雲端，甚至是汽車上的邊緣應用。</p> <p>不過Matt Hicks也坦言，目前想在車上執行OpenShift軟體，仍有不少挑戰得克服，包括硬體規格、運算能力限制，以及功能安全認證等監理要求，甚至也可能需要其他傳輸技術來配合，如5G等。這也是未來紅帽車用OpenShift落地的挑戰。「一旦克服這些限制，我們將真正成為業界第一個在Linux平臺上提供該功能的公司。」他說。</p> <p>除了依靠車廠繼續增加汽車內可用的計算能力外，紅帽預計在今年底釋出OpenShift 4.12版本中，也將提供MicroShift平臺早期測試。MicroShift就是一個輕量的OpenShift版本，MicroShift本身具有OpenShift Kubernetes核心功能，並重新打包成更小的外形規格，可以將其嵌入到更小型的邊緣裝置，即使是記憶體只有2GB的Raspberry Pi 4 Model B也能用，未來也可在車上來使用。</p> <p>Matt Hicks表示，經過瘦身的OpenShift，可以只在單一臺機器上就能部署，取得這些平臺功能以後，企業可以更容易透過它來管理和調度裝置上的容器應用。他表示，儘管車用OpenShift平臺在今年底前推出機會不大，但這天也不會太遠。「等到車上硬體和環境都準備就緒，OpenShift就有可能在車上加以實現。」</p> <p><a href="https://www.ithome.com.tw/article/151606" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span> </a><a href="https://www.ithome.com.tw/article/151606" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" style="width: 550px;" /></a></p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/news/151604
【不只電信業，未來更要搶攻汽車產業邊緣運算需求】發展2年多，紅帽混合雲產品已能全面支援邊緣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，紅帽雲端戰略開始有了截然不同的新轉變，從以往混合雲戰場大步轉向邊緣新戰地，擴大其雲端服務版圖。尤其在今年，紅帽終於在邊緣運算發展上取得更大進展，不只兩大雲端主力產品RHEL、OpenShift平臺全面落地邊緣，就連在Raspberry Pi單板電腦等邊緣裝置上都能用，意謂者，紅帽能將自己在企業和雲端應用中許多實踐，帶到更靠近資料源的邊緣處，帶來更多創新應用。</p> <p>不光是雲端主力產品的支援，紅帽更開始切入邊緣運算產業新領域，除了搶攻5G電信機房轉型需求，今年開始跨足汽車產業，為汽車軟體化需求積極展開布局，也讓傳統封閉汽車產業跨出開放第一步。第一個登上電動車的紅帽雲端主力產品就是企業級RHEL，紅帽要把雲端Linux作業系統，轉為汽車平臺也能用的車載OS。預計明年就能看到搭載紅帽Linux OS的首款電動車亮相。</p> <p><span style="font-size:28px;"><strong>不同於雲端巨頭邊緣策略，紅帽從Kubernetes層管理需求布局邊緣</strong></span></p> <p>從這家公司邊緣發展策略來看，紅帽早從2019年起就已經展開布局，而且不同於其他雲端巨頭，該公司一開始便從Kubernetes層管理需求角度切入，要把混合雲的容器管理與調度能力，更進一步延伸到邊緣端。</p> <p>即使被IBM收購以後，公司換了新任CEO，紅帽仍持續擁抱邊緣運算，甚至更加積極。經過2～3年發展，到了2021年時，邊緣已成為了這家公司開放混合雲戰略重要一環。</p> <p>紅帽搶攻邊緣運算第一步，先從企業級RHEL與OpenShift混合雲平臺落地邊緣做起，接著擴大延伸到其他雲端產品，也加入支援行列，如Ansible自動化平臺等，藉此將雲端技術、K8s容器平臺，擴展到更靠近資料所在的邊緣環境，目標要通吃實體伺服器、VM、混合雲，以及邊緣應用。</p> <p>為何不只容器技術，紅帽更積極將Kubernetes容器管理平臺帶進邊緣？</p> <p>紅帽產品與技術執行副總裁Matt Hicks解釋，如果是在RHEL上部署容器，只能用於靜態的容器應用程式，沒辦法根據容器執行需求動態改變其大小，若要編寫更複雜的容器應用程式到邊緣執行，就需要借助如服務網格（Service Mesh）等微服務架構，來管理這些複雜容器應用，這時候，Kubernetes就能派上用場，「因為Kubernetes可以允許用戶更動態地利用容器，可將多容器組合以形成單個應用程式，並進行管理。」所以，為了支援各式各樣邊緣應用，就需要把Kubernetes推向邊緣。</p> <p>從近兩年紅帽用戶大會上，可以看見紅帽雲端產品發布轉向邊緣發展，像是去年用戶大會上，紅帽一改以往聚焦混合雲產品策略的作法，反而更重視邊緣功能和服務進展，今年4月舉行用戶大會時，紅帽雲端主要產品更新，也都圍繞邊緣端功能與服務更新，提供更多的支援或增強功能，甚至在新推出RHEL 9.0版中，紅帽更宣稱，已能提供全面的邊緣管理。</p> <p><span style="font-size:28px;"><strong>紅帽邊緣運算服務，聚焦三種不同Edge層應用需求</strong></span></p> <p>紅帽對邊緣產品或服務也有一套劃分方法，對應到三種不同應用場景的邊緣層，涵蓋從最外圍也最遠的邊緣位置到核心資料中心邊緣，分別是生產線邊緣層（含邊緣伺服器或閘道器在內的裝置邊緣層，與基於邊緣基礎架構的用戶端邊緣層）、提供者邊緣層（含遠端邊緣、存取邊緣及聚合邊緣)，以及企業邊緣層（含核心或區域級資料中心）。</p> <p>不同邊緣層的應用場景，對應到的邊緣服務也有所不同，比如在生產線邊緣層，邊緣運算硬體資源是有限的，因此針對這類型設備，紅帽就有提供了輕量的邊緣RHEL作業系統，邊緣容器平臺MicroShift、以及單節點OpenShift部署型態，可供企業在這些邊緣設備上安裝。又如在提供者邊緣層方面，因為是屬於通訊為主的邊緣設備，就會以支援5G電信邊緣應用的相關技術提供為主。</p> <p>紅帽表示，目前已能提供大部分邊緣運算產品，對應這三種邊緣層需求，未來2年將持續深化各種邊緣應用及創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-EDGE-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>紅帽從雲端延伸而提供的邊緣運算服務，其涵蓋範圍也相當廣，從核心資料中心到最遙遠的邊緣位置都是其服務範疇，主要聚焦三個邊緣層領域，最外圍是Operations edge層（包含邊緣伺服器或閘道器在內的裝置邊緣層，及邊緣基礎架構的用戶端邊緣層）、中間是Provider edge層（含Far edge、Access edge以及Aggregation edge），還有最內圈的Enterprise edge 層（含核心或區域級資料中心）。</strong>圖片來源／紅帽</span></p> <p><span style="font-size:28px;"><strong>紅帽兩大雲端主力產品落地邊緣</strong></span></p> <p>從紅帽邊緣產品發展策略來看，RHEL與OpenShift這兩大紅帽雲端主力產品，經過2年多，歷經多版本更新後，不但功能越來越完整，到今年，甚至已經可以支援包含部署、管理和維運在內的全套功能。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>企業級Linux作業系統RHEL的邊緣布局</strong></span></span></p> <p>以企業RHEL來說，紅帽早從2020年底推出RHEL 8.3時，就開始支援邊緣運算功能，像是在系統映像的作法上，8.3版RHEL支援混合映像與軟體套件封裝工具rpm-ostree，可簡化RHEL映像檔的製作，來加快RHEL在邊緣端部署。以OTA升級更新時，可針對異動程式做更新，不用每次更新都得重新安裝，更新檔只包含RPM軟體程式，除了減少取得更新所需的時間和頻寬，也較不受網路不穩或低頻寬影響。</p> <p>當RHEL作業系統更新或發生故障時，還有提供倒回（rollbacks）機制，可以自動恢復更新之前的狀態，以避免因為不必要的停機，而影響邊緣設備上關鍵服務、應用程式或系統運作。</p> <p>不過，RHEL初期僅能提供部分邊緣部署或管理功能，還沒辦法做到對邊緣環境完整的支援。</p> <p>緊接著隔年發布的RHEL 8.4中，該公司更進一步將整個平臺打造成輕量、生產環境等級的作業系統，以支援邊緣環境的部署，包括增加新的Linux容器、部署與管理功能，因應擴大使用邊緣運算的需求。其中一個重要的發布，就是更新開源容器引擎Podman，讓它不只能管混合雲中的容器，還一併將邊緣中的容器納管，並可自動更新容器功能，例如OS更新、配置或內容更改等，都能在單一控制介面中來管理，透過這樣的方式，讓整個工作流程越來越自動化，更容易實現邊緣端生命周期的管理。</p> <p>不僅如此，即使是無網路環境下，企業也能使用RHEL 8.4內建的Image Builder工具，來快速提供邊緣架構包含裸機在內的作業系統映像的安裝與部署，還支援了更輕量的UBI映像檔安裝方式，用戶可通過在Linux容器內執行小型RHEL實例，將RHEL安裝在較低規格硬體的邊緣設備上。</p> <p>下一個版本更新中，紅帽加入許多自動化和管理工具，來簡化及改善邊緣管理和部署方法，而且該版本的RHEL開始提供大規模邊緣部署的功能。</p> <p>除了原本已有邊緣部署和管理功能外，紅帽持續加強邊緣端安全性，像是今年5月推出RHEL 8.6版本中，就針對邊緣運算裝置的註冊方式（onboarding），提供了FIDO裝置註冊（FIDO Device Onboard）新功能，可以協助處理邊緣運算裝置上的RHEL映像檔自動建立及註冊程序等。</p> <p>到了9.0版推出時，RHEL對於邊緣環境管理功能更加全面，整合多功能，例如建立與管理邊緣系統映像、自動建立系統、檢視系統運作狀態是否正常，以及安全性的矯正等機制。該版本更增添Podman自動化容器倒回機制，當偵測到邊緣設備上容器更新失敗時，就會自動回復到之前最後的良好組態，避免影響其服務。</p> <p>不僅如此，還支援在邊緣大規模導入自動化，完成跨邊緣的叢集部署。在邊緣基礎架構管理也獲得加強，包括強化單一介面的安全與控制管理，如零接觸安裝（zero-touch provisioning）、系統狀態管理及漏洞緩解等。</p> <p>在RHEL 9還有另一個重要特色，就是引進關鍵作業系統功能即服務（key operating system functions as services），在新的Image Builder服務中，以往企業組建邊緣運算設備所需執行的RHEL系統映像，須透過內建的Image Builder工具來進行，接著再搭配其他支援後續管理作業的系統，現在透過Image Builder即服務，既不需要區分成初期建置與後續管理的作法，也不用依賴企業內部環境設置與維護的相關基礎架構，就能產生各種系統映像，可以省去企業用戶不少在邊緣端部署和管理作業。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>混合雲管理平臺OpenShift的邊緣布局</strong></span></span></p> <p>比RHEL支援邊緣更早一步，紅帽2019年發布新版OpenShift 4時，就已經為發展邊緣運算進行布局，第一步就是支援了Knative與Istio兩大開源技術專案，以加速Kubernetes落地邊緣。前者是由Google所建立並開源釋出的無伺服器管理專案，方便開發者在K8s上建立、部署和管理以無伺服器事件觸發為主的邊緣應用；後者，則是由Google、IBM及Lyft主推的微服務平臺Istio，能在K8s上來管理採用微服務架構的邊緣運算叢集，用以解決大量容器化邊緣應用帶來的網路溝通問題。</p> <p><span style="font-size:28px;"><strong>克服邊緣環境受限的挑戰，推出三種容器平臺部署方式</strong></span></p> <p>從OpenShift 4.5推出後，紅帽持續擴大容器平臺在邊緣部署能力，並在4.5、4.6、4.9版中，陸續提供三種全新部署方式，來克服邊緣環境空間或資源不足的部署限制，像是為了解決邊緣實體空間不足，企業能採用三節點叢集架構來部署，在邊緣環境建立OpenShift平臺時，只需用原本部署節點數的五分之三，也就是3臺伺服器，就能建立完整OpenShift執行所需的環境，並維持高可用性。採用三節點OpenShift部署方式時，每個節點最少需配置6顆CPU、24GB記憶體及120GB儲存空間。部署的形式，除了採用容器，也支援VM部署方式，並統一透過Kubernetes管理。</p> <p>還有一個遠端工作節點（Remote Worker Nodes）部署型態在後續版本推出，讓用戶可以將管理節點放在一個集中式的機房，或是一個在遠端機房建立一個管理各地所有Worker節點的管理節點，採用這種部署管理的架構，特別適合用於密集型的5G電信網路邊緣架構，如5G電信基地臺的中央單元（CU）及分散式單元（DU）等，可透過跨邊緣集中節點來進行管理。</p> <p>隨著OpenShift改版更新，持續加強對邊緣功能的支援，去年紅帽用戶大會會後一場全球媒體線上活動中，紅帽執行長Paul Cormier就明白表示：「OpenShift現在已經是一個邊緣運算平臺了」。</p> <p>甚至去年底4.9版推出時，OpenShift部署方式變得更加多元，除了前面提到的兩種部署型態，紅帽推出第三種部署方式，採用單節點OpenShift部署方式，比起傳統三節點叢集的部署作法，只要單臺伺服器，就能完成整個環境部署，不僅節省實體空間，也因此提高部署彈性。在單節點OpenShift中，因為同時整合控制層（control plane）和工作層（worker planes）節點的功能，所以可以自行獨立運作，不需要透過集中的Kubernetes控制層來管理，即使遇到網路中斷也不怕。適合5G行動通訊基地臺、廠區現場生產設備的應用場景。</p> <p>在最新OpenShift 4.10版本中，紅帽引進更自動化的邊緣部署方式，使OEM廠商可以使用零接觸安裝作法，將邊緣設備上所需建立OpenShift容器平臺組態和設定加以自動化，來加快工廠端的部署。另外，在管理上，能支援更多叢集節點管理，最多可以同時管理2,000個單一節點OpenShift叢集，並可透過容器儲存服務OpenShift Data Foundation管理叢集資料。</p> <p>不只有自動化邊緣部署，還要能做到自動維運。像是紅帽自動化平臺Ansible，後來可支援邊緣工作自動化，用於邊緣的自動化維運；而另一個紅帽數據服務，也能跨核心資料中心與邊緣的數據儲存、分析和數據分散處理。</p> <p>除了部署和自動化維運，紅帽接下來在OpenShift 4.12版推出時會提供一個瘦身OpenShift版本，以便將混合雲平臺推向更小型的邊緣裝置，即使只有配備雙核處理器，或搭配2GB記憶體的Raspberry Pi單板電腦也能用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-OpenShift-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了支援多種邊緣應用場景，OpenShift在邊緣環境提供三種部署方式，三節點叢集、遠端工作節點，而新推出的單節點OpenShift，比起傳統三節點叢集的部署方式，只需單臺伺服器，就能完成整個環境部署，除了較不占用實體空間，也因為在單節點OpenShift環境中，同時整合控制和工作節點的功能，因此可以獨立運作，不需要透過集中的Kubernetes控制層來管理，即使遇到網路中斷也不怕。適合5G行動通訊基地臺、廠區現場生產設備的應用場景。</strong>圖片來源／紅帽</span></p> <p><span style="font-size:28px;"><strong>兩大雲端產品全面支援邊緣後，紅帽全力搶攻產業邊緣應用需求</strong></span></p> <p>上述兩大產品在邊緣場景推出的部署、管理與自動化維運功能，現在都成為了紅帽把更多雲端產品和服務落地，搶攻產業邊緣需求的重要關鍵功能。</p> <p>全面落地支援邊緣管理以後，紅帽更進一步從垂直產業布局邊緣運算。去年用戶大會上，紅帽還發起一項Red Hat Edge啟用計畫，要把紅帽一系列混合雲產品加速擴展到邊緣，不光是要建立完整邊緣軟體堆疊架構，還要推出適合不同產業的邊緣解決方案及客製服務，涵蓋電信、運輸、智慧汽車以及企業邊緣設備等。</p> <p>而Red Hat Edge計畫的骨幹，就是紅帽雲端主力產品，包括企業級Linux OS、混合雲平臺OpenShift 、Ansible自動化平臺、基礎安全與多雲安全等，來滿足各產業在邊緣場景下應用需求。</p> <p>電信業是紅帽第一個搶攻的邊緣運算應用產業，結合自家邊緣運算產品及服務，提供電信業做運用，如英國電信商Vodafone在5G電信網路架構中使用的MEC邊緣設備及其環境建置，就是導入其邊緣產品方案，如OpenShift等。</p> <p><span style="font-size:28px;"><strong>瞄準傳統封閉汽車產業，要把雲端Linux落地推向汽車平臺</strong></span></p> <p>在今年4月舉行的用戶大會上，紅帽更擴大布局邊緣產業，不光是電信業，紅帽更揭露，下一步瞄準傳統封閉汽車產業，作為該公司布局更多邊緣運算場景的新戰略。</p> <p>尤其近兩年，全球汽車產業興起一股軟體定義汽車（Software Define Vehicle，SDV）的風潮，如同過去軟體定義化掀起機房革命，將運算、儲存、網路功能從專屬硬體中抽離，並以軟體方式在x86伺服器來執行，如今這股軟體定義風潮，吹向汽車產業，越來越多車廠擁抱SDV技術，要打造軟體化汽車。</p> <p>這樣一股浪潮下，成了紅帽搶進汽車產業邊緣應用需求的另一股推力。紅帽終於決定出手，一出手就是要把企業級Linux環境和技術全部帶進汽車。</p> <p>作為進軍汽車產業布局邊緣的第一步，紅帽找上美國汽車大廠通用汽車（GM）來合作，將在其新一代GM電動車內，內建紅帽車用Linux作業系統，作為其端到端Ultifi汽車軟體平臺的OS。首部搭載紅帽Linux OS的汽車，最快2023年推出。</p> <p>對於通用汽車來說，未來更希望透過採用紅帽Linux和標準化雲原生技術，減少跨平臺整合和軟體成本，並改善開發周期、加速產品上市時間，以及能夠提供創新的服務、商業模式。</p> <p>紅帽表示，有了這套車用OS，除了能提供完整生命周期更新與功能性安全認證，來支援各種車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等，未來將作為汽車硬體功能交付的核心平臺介面，協助車廠加快應用開發與服務創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-GM-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>美國汽車大廠通用汽車明年即將推出的新一代電動車中，將使用紅帽車用RHEL，作為其Ultifi端到端汽車軟體平臺的OS，未來可提供完整生命周期更新與功能性安全認證，來支援車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等。根據GM的說明，Ultifi軟體平臺將分三層，有底層的機電系統及軟體層、中間的平臺及OS層，以及上層的GM雲端層。中間的平臺及OS層，未來將採用紅帽的RHEL為基礎做開發。</strong>圖片來源／GM</span></p> <p><a href="https://www.ithome.com.tw/article/151606" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span> </a><a href="https://www.ithome.com.tw/article/151606" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" style="width: 550px;" /></a></p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/news/151605
紅帽邊緣運算新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年多布局，紅帽今年終於在邊緣運算發展上取得更大進展，兩大雲端主力產品全面支援邊緣應用，紅帽新戰略更切入產業邊緣運算新領域，不只搶攻5G電信機房轉型需求，更要翻轉汽車產業，紅帽搶進未來汽車平臺建立灘頭堡的關鍵利器，正是RHEL這款企業級Linux</p> <p> </p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/article/151606
【資安週報】2022年6月20日至24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，中國駭客的攻擊行動有數起事故，尤其是最近2年出現的新駭客組織ToddyCat、Tropic Trooper，前者大肆針對政府與軍事單位，利用Exchange Server漏洞發動攻擊，研究人員指出，除了在2021年2月至3月初，駭客鎖定了ProxyLogon做為入侵受害組織的管道，至於其他攻擊行動利用的Exchange Server漏洞，仍有待進一步確認。</p> <p>駭客組織Tropic Trooper在攻擊行動裡，使用了透過程式語言Nim打造的惡意程式Nimbda，來投放Shell Code與其他的作案工具，進而在受害電腦收集多種環境資訊。此外，這些駭客加密作案工具的手法也相當複雜，而使得研究人員調查更為困難。</p> <p>另一個由中國駭客APT41與APT10發起的攻擊行動也相當特別。一般來說，駭客植入木馬程式通常是偷偷摸摸，但這次兩個駭客組織卻是大張旗鼓發動勒索軟體攻擊，來讓受害組織將心力集中在這類攻擊行動，而有可能忽略駭客實際上的目的，是要散布木馬程式並從事間諜活動。</p> <p>網路間諜公司RCS Lab與電信業者聯手的攻擊行動陸續引起研究人員關注，但研究人員認為，利用這種商業間諜軟體監控特定人士手機的攻擊者，很可能就是當地政府，而使得電信業者也參與了攻擊行動。</p> <p>而在烏克蘭戰爭相關的網路攻擊行動裡，俄羅斯駭客將目標擴及曾經幫助烏克蘭的盟友，繼5月Killnet大肆攻擊義大利後，該組織旗下的駭客Legion – Cyber Spetsnaz RF疑似開始攻擊立陶宛。</p> <p>駭客發動勒索軟體攻擊的目標，通常是針對受害組織的電腦或是伺服器下手，但雲端的檔案共享服務也可能被駭客鎖定。有研究人員揭露針對SharePoint、OneDrive等服務攻擊手法，使得受害者即使藉由檔案多版本的備份功能，也難以恢復資料。</p> <p>存在Log4Shell漏洞的遠距工作平臺VMware Horizon仍是駭客偏好的攻擊目標！在本週的新聞裡，不只傳出有勒索軟體攻擊，也使得美國對於這樣的態勢再度提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/toddycat/106799/"><span style="color: rgb(0, 0, 0);">駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基在6月21日揭露新的國家級駭客組織，該組織專門攻擊亞洲及歐洲的微軟Exchange Server用戶，值得關注的是，臺灣、越南政府機關是其主要攻擊目標。</p> <p>研究人員自2020年底發現其活動，並將這個駭客組織命名為ToddyCat，攻擊目標為Exchange Server歐洲及亞洲用戶，專門鎖定高知名度組織，包括政府、軍事單位，以及軍方外包商。該組織第一波攻擊時間，是在2020年底到2021年2月之間，且臺灣與越南有3個組織的一些Exchange Server遭到攻擊。隨後的2月底到3月初，駭客更是積極開始鎖定ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>這些駭客入侵Exchange Server後，會部署名為中國菜刀（China Chopper）的Web Shell，最後在受害組織的網路上植入後門程式Samurai，以及木馬程式Ninja Trojan，以便進行橫向移動及遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/chinese-actor-takes-aim-armed-with-nim-language-and-bizarro-aes/"><span style="color: rgb(0, 0, 0);">駭客組織Tropic Trooper使用Nimbda惡意程式發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg" style="width: 300px; float: right;" /></a>駭客利用新的程式語言打造惡意程式，進而規避資安系統偵測的情況，最近又有相關攻擊行動出現。資安業者Check Point揭露中國駭客組織Tropic Trooper近期的攻擊行動，駭客假借提供SMS Bomber程式的名義，偷渡名為Nimbda的惡意程式載入工具，此軟體是透過Nim程式語言打造而成。</p> <p>攻擊者利用Nimbda在後臺將Shell Code注入記事本（Notepad.exe）的處理程序，從GitHub儲存庫下載惡意程式Yahoyah的變種，並將其解密後，利用挖空處理程序（Process Hollowing）的注入手法，透過dllhost.exe執行此惡意程式，收集受害電腦鄰近的無線網路SSID，以及特定的電腦資訊。</p> <p>研究人員指出，駭客加密Yahoyah的手法相當特別，該組織透過兩輪的AES演算法倒序作業，而被研究人員稱做AEES。研究人員指出，這種加密手法使得資安人員要解析惡意程式的難度大幅提升。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader"><span style="color: rgb(0, 0, 0);">中國駭客透過勒索軟體攻擊掩人耳目，在受害組織植入木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png" style="width: 300px; float: right;" /></a>駭客發動勒索軟體攻擊的動機千奇百怪，但最近有人目的竟是為了轉移焦點，讓受害組織忽略他們真正的攻擊意圖。資安業者Secureworks發現，中國駭客組織APT10（該公司稱為Bronze Starlight）、APT41（Bronze Riverside）於去年初，開始利用惡意軟體載入器HUI Loader，入侵受害組織後開始投放勒索軟體，而該組織使用的勒索軟體相當多元，包含了LockFile、AtomSilo、Rook、Night Sky，以及Pandora。</p> <p>但詭異的是，這些勒索軟體在受害組織活動的時間都很短，像是Night Sky僅有一天，而時間最長的是AtomSilo，但不超過3個月；再者，則是駭客攻擊的受害組織不算多，一年多總共加起來僅有21個。</p> <p>經研究人員的調查，有四分之三的攻擊行動與中國政府的利益相關，且這些駭客所使用的工具與基礎設施疑似也來自中國政府資助，他們推測該組織發動勒索軟體攻擊的目的並非向受害組織要錢，而是打算利用這樣的攻擊事故掩蓋網路間諜行動。研究人員指出，對於駭客來說，發動勒索軟體攻擊不只能誤導受害組織因應攻擊事件的方向，還可以藉由這類工具湮滅相關證據。</p> <h3><strong style="font-size: 22px;"><a href="https://en.lookout.com/blog/hermit-spyware-discovery"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Hermit被用於攻擊敘利亞、哈薩克、義大利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png" style="width: 200px; float: right;" /></a>上個月Google公布<a href="https://www.ithome.com.tw/news/151068#cytrox">網路間諜公司Cytrox利用數個零時差漏洞對安卓手機下手</a>，又有研究人員揭露其他間諜軟體的態勢。資安業者Lookout指出，他們發現義大利網路間諜公司RCS Lab與電信業者Tykelab Srl聯手，開發的間諜程式Hermit，自2019年開始在敘利亞、哈薩克、義大利等國下手，鎖定安卓與iPhone手機發動攻擊。其中，研究人員在今年4月，看到哈薩克政府疑似用來對當地民眾進行監控。</p> <p>此間諜程式散布的管道，很可能是透過簡訊，並引誘使用者點選連結，駭客宣稱提供三星、Oppo，以及Vivo等廠牌推出的應用程式，但實際上若是使用者照做，手機就會被植入Hermit。此惡意軟體的功能，與其他網路間諜公司的產品類似，具備側錄使用者的聲音、收集聯絡人資訊、照片的能力。研究人員呼籲，使用者要對於簡訊連結特別提防。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/"><span style="color: rgb(0, 0, 0);">網路間諜公司疑似與ISP狼狽為奸，攻擊義大利與哈薩克手機用戶，但背後原因很可能是當地政府主導</span></a></strong></h3> <p>網路間諜公司無所不用其極想要為客戶監控特定人士的行蹤，但現在傳出有網路服務業者（ISP）參與其中，誘導受害者下載惡意程式。Google旗下的威脅情報小組，最近揭露了義大利網路間諜公司RCS Labs涉案的攻擊行動，該行動鎖定義大利與哈薩克的手機用戶展開攻擊，但研究人員發現，駭客針對iPhone用戶攻擊的過程裡，ISP竟然參與了部分行動，這些ISP疑似關閉受害者的行動網路服務，而能讓駭客假借恢復電信網路的名義，引誘受害者下載惡意程式。</p> <p>根據研究人員的分析，受害者下載的檔案含有6款攻擊程式，這些惡意軟體利用了4個已知漏洞與2個零時差漏洞（CVE-2021-30883與CVE-2021-30983），一旦成功植入受害手機，駭客將能存取記憶體、安裝程式，或是建立檔案。由於iOS使用者只能透過App Store下載軟體，RCS Labs濫用了Apple Developer Enterprise Program簽章來繞過相關限制。</p> <p>而針對安卓手機的部分，研究人員看到駭客假借提供三星應用程式的名義，來散布RCS Labs的間諜程式Hermit，這樣的發現與資安業者Lookout相同。但為何ISP會配合駭客從事網路間諜行為？研究人員認為，義大利與哈薩克的網路間諜攻擊行動很有可能是當地政府主導，而使得這些業者必須配合。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lithuania-warns-of-rise-in-ddos-attacks-against-government-sites/"><span style="color: rgb(0, 0, 0);">鎖定立陶宛政府的DDoS攻擊大幅增加，疑為俄羅斯的報復行動</span></a></strong></h3> <p>自歐美多個國家於4月底提出警告，俄羅斯駭客不再只是集中火力攻擊烏克蘭，而是將範圍擴及曾經幫助烏克蘭的盟友，此後義大利在5月陸續遭到俄羅斯駭客組織Killnet的DDoS攻擊，但現在又有其他國家疑似遭到鎖定。</p> <p>立陶宛國家網路安全中心（NKSC）於6月23日提出警告，指出針對該國政府單位的DDoS攻擊急劇增加，當地的運輸單位、金融機構，以及其他大型組織一度出現服務暫時中斷的現象，他們呼籲關鍵基礎設施要遵循NKSC的防護建議，來因應相關攻擊行動。</p> <p>但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，名為Legion – Cyber Spetsnaz RF的俄羅斯駭客組織，透過Telegram頻道宣稱要對許多立陶宛組織發動攻擊，這些組織包含了大型銀行、物流業者、機場、能源業者等。該新聞網站認為，此駭客組織疑似因立陶宛政府封鎖部分俄羅斯的運輸管道，而打算藉此採取報復行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/russian-govt-hackers-hit-ukraine-with-cobalt-strike-credomap-malware/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28也使用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-credomap.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-credomap.png" style="width: 300px; float: right;" /></a>俄羅斯駭客利用Follina漏洞（CVE-2022-30190）對烏克蘭發動攻擊的現象，可說是越來越氾濫，先前有駭客組織Sandworm自4月開始利用上述漏洞，但現在有更多有更多攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月20日發布資安通告，指出俄羅斯駭客組織APT28利用戰爭警報的名義，散布名為Nuclear Terrorism A Very Real Threat.rtf的惡意檔案，受害者一旦不慎開啟，電腦將會下載HTML檔案並執行JavaScript指令碼，並觸發Follina漏洞，進而植入惡意程式CredoMap。</p> <p>CERT-UA也發現另一組利用Follina漏洞的駭客UAC-0098，他們假借烏克蘭政府財政部的名義，宣稱對方尚未繳稅，發送Imposition ofpension.docx的檔案，進而於受害電腦投放Cobalt Strike的Beacon。由於烏克蘭戰爭尚未結束，上述的釣魚郵件攻擊可能會不斷發生，CERT-UA呼籲關鍵基礎設施的員工應特別提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-dfscoerce-ntlm-relay-attack-allows-windows-domain-takeover/"><span style="color: rgb(0, 0, 0);">研究人員揭露新的NTLM中繼攻擊手法DFSCoerce</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png" style="width: 300px; float: right;" /></a>去年7月<a href="https://www.ithome.com.tw/news/145919">研究人員公布名為PetitPotam的漏洞</a>，攻擊者可藉由微軟的加密檔案系統遠端協定（EFSRPC），來發動NTLM中繼（NTLM Relay）攻擊，如今又有新的管道能發動類似的攻擊。</p> <p>研究人員Filip Dragovic近期公布名為DFSCoerce的攻擊手法，並提供概念性驗證（PoC）攻擊指令碼。這個指令碼同樣是透過利用PetitPotam漏洞為基礎打造，但不同的是這次研究人員沒有使用EFSRPC，而是利用了Windows分散式檔案系統（DFS）通訊協定MS-DFSNM，來達到發動NTLM中繼攻擊的目的。</p> <p>關於上述的攻擊指令碼，資安新聞網站Bleeping Computer接到其他研究人員的通報，這些研究人員表示，這個手法確實很容易讓權限不高的使用者成為網域管理員。該新聞網站呼籲，組織應透過微軟先前針對PetitPotam漏洞的緩解措施，來防範類似的NTLM中繼攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality"><span style="color: rgb(0, 0, 0);">駭客有可能更動Office 365配置讓多版本備份失效，並對OneDrive、SharePoint用戶發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-06-14 at 3_55_33 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-14%20at%203_55_33%20PM.png" style="width: 300px; float: right;" /></a>在防範勒索軟體的威脅態勢裡，不少資安人員會建議透過雲端的檔案共享服務來備份資料，來增加重要資料的可用性，一旦遭到相關攻擊，有機會從這些服務提供的多版本備份功能來復原檔案，然而最近有研究人員找到能針對這類系統用戶發動勒索軟體攻擊的手法。</p> <p>資安業者Proofpoint指出，他們針對Office 365（或Microsoft 365）的服務裡，發現了潛藏危險的機制，使得駭客可加密儲存在SharePoint或OneDrive服務裡的檔案，同時因為多版本備份功能失效，使受害者在無法復原檔案，向駭客支付贖金來換取解密金鑰。</p> <p>為什麼會發生這樣的狀況？攻擊者可藉由微軟的API、CLI指令碼，或是PowerShell指令碼，先是挾持組織部分用戶的SharePoint或OneDrive帳號並進行接管，然後竄改系統保留先前版本的數量上限配置。以OneDrive為例，通常預設是500個版本，但在這邊駭客會把保留版本數量竄改成1個，然後攻擊者再對檔案進行2次的加密處理，使得SharePoint或OneDrive上存放的檔案，以及保留的先前版本都遭到加密，受害者無法將檔案復原。</p> <p>該公司指出，上述手法主要影響存放於雲端服務的檔案，若是企業採用混合雲模式部署SharePoint，或是使用者透過用戶端軟體留存OneDrive的檔案，就有機會倖免於難。他們將上述發現進行通報，微軟表示，檔案版本的組態配置功能運作正常，若是用戶無法自行復原檔案，透過該公司客服亦有機會還原14天前的版本。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/06/avoslocker-new-arsenal.html"><span style="color: rgb(0, 0, 0);">勒索軟體AvosLocker利用Log4Shell漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png" style="width: 300px; float: right;" /></a>自Log4Shell漏洞於去年年底被揭露後，不時有駭客鎖定採用Apache Log4j元件的遠距辦公系統VMware Horizon下手，而最近也有勒索軟體駭客跟進而引起研究人員關注。</p> <p>思科在3月7日，接獲客戶遭到勒索軟體AvosLocker攻擊的事故通報，而駭客入侵受害組織的媒介，就是經由VMware Horizon的存取閘道Unified Access Gateways（UAG）元件，存取曝露於網際網路的ESXi伺服器，此UAG存在Log4Shell相關漏洞，包含了CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-44832，使得攻擊者能在沒有取得root權限下執行程式碼，進而運用多種商業軟體發動寄生攻擊（LoLBins）。</p> <p>研究人員調查後發現，駭客至少1個月前（2月7日）就開始入侵受害組織，並於2月11日利用Windows伺服器上的WMI提供者主機（WMI Provider Host，WmiPrvSE.exe）程式，以DownloadString的方法執行加密PowerShell程式碼。直到3月4日，駭客才再度以類似的手法執行PowerShell指令，並於6日投放滲透測試工具Sliver、Cobalt Strike，以及網路盤點工具SoftPerfect Network Scanner，最後駭客於8日投放AvosLocker，並利用軟體部署工具PDQ Deploy來在網路環境散布勒索軟體。</p> <p>該公司指出，他們觀察到AvosLocker駭客正在招兵買馬，相關攻擊行動日後可能會大幅增加，呼籲組織不只要透過靜態檢測機制，也要留意資安系統發出的重要警訊，才能防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a"><span style="color: rgb(0, 0, 0);">駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</span></a></strong></h3> <p>自去年12月Log4Shell漏洞公布後，不時傳出有駭客用來攻擊攻擊VMware Horizon遠距工作系統，這樣的情況目前仍在持續當中，而使得美國政府提出警告。美國網路安全暨基礎設施安全局（CISA）、美國海岸警衛隊網路司令部（CGCYBER）聯手，提出警告指出，駭客迄今仍針對尚未修補Log4Shell漏洞的VMware Horzion、Unified Access Gateway伺服器下手，進而取得受害組織網路的初始存取權限，CISA與CGCYBER提供相關攻擊細節，並呼籲組織應儘速安裝更新軟體，同時也要儘可能避免該系統直接曝露於網際網路上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nichirin.co.jp/news/20220622.pdf"><span style="color: rgb(0, 0, 0);">日本汽機車零件製造商Nichirin遭勒索軟體攻擊</span></a></strong></h3> <p>最近半年，駭客鎖定日本的汽車零件供應商發動勒索軟體攻擊，已有數起事故，現在又再度出現有相關業者受害。根據資安新聞網站Bleeping Computer的報導，生產多種汽機車軟管零件的Nichirin，於6月22日發布聲明指出，他們的美國子公司Nichirin-Flex USA於14日遭到勒索軟體攻擊，導致相關訂單的出貨可能會受到影響，美國分公司網站一度於17日早上發生故障而無法存取。該公司表示，他們正在調查駭客如何入侵，並警告員工或是客戶有可能會收到假冒該公司的惡意郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/resurgence-voicemail-themed-phishing-attacks-targeting-key-industry"><span style="color: rgb(0, 0, 0);">駭客透過語音訊息發動網釣攻擊，意圖竊取美國大型企業的Microsoft 365帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201.png" style="width: 300px; float: right;" /></a>利用語音留言的網路釣魚攻擊，不時有事故傳出，最近又有攻擊行動出現，鎖定美國的大型企業而來。資安業者Zscaler發現利用語音訊息作為幌子的釣魚郵件攻擊，目標包含了美國軍方、安全解決方案供應商、醫療保健與製藥廠，以及製造商的供應鏈等，竊取這些組織用戶的Microsoft帳密。</p> <p>駭客在郵件內容宣稱，對方有尚未讀取的語音郵件，需要開啟附件的HTML檔案，一旦收信人開啟，就有可能被攻擊者引導到人機驗證系統CAPTCHA，通過驗證後再前往假造的Microsoft 365登入頁面，攻擊者進而有機會挾持對方的微軟帳號。</p> <p>由於在寄件者的名稱中，駭客使用了收信人公司的網域名稱，而很容易讓人以為是從公司寄來的通知信件，但根據研究人員的分析，這些釣魚郵件實際上來自日本的郵件伺服器，且上述的登入網頁也不在微軟網域，他們呼籲使用者要提高警覺因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151536"><span style="color: rgb(0, 0, 0);">Arm電腦在安裝Patch Tuesday更新程式後，衍生Azure AD登入異常現象，微軟緊急發布修補程式</span></a></strong></h3> <p>微軟於6月14日發布例行修補（Patch Tuesday）更新，但傳出不少用戶更新後造成部分功能無法使用，該公司於20日推出緊急更新KB5016138、KB5016139，來解決搭載Arm晶片的Windows電腦無法正常存取Azure AD的問題。微軟指出，上述情況影響需要使用Azure AD帳號存取的應用程式與服務，例如Teams、Outlook，或是VPN連線等，但網頁版本不受影響，若是使用者無法及時安裝相關更新，可暫時使用網頁版本來因應。上述問題並未影響採用Intel與AMD處理器的電腦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/"><span style="color: rgb(0, 0, 0);">OT:Icefall漏洞恐導致10個廠牌的OT裝置曝險</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png" style="width: 300px; float: right;" /></a>操作科技（OT）環境系統的不安全，很有可能與設計當初並未將資安納入規畫，而使得攻擊者能加以利用。資安業者Forescout揭露名為OT:Icefall的一組漏洞，此漏洞組由56個漏洞組成，漏洞類型涵蓋層面甚廣，可能導致攻擊者能遠端執行程式碼、竊取帳密、竄改韌體或是組態設置，以及繞過身分驗證等，影響Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bently Nevada、Phoenix Contract、ProConOS，以及Yokogawa等廠牌的OT設備。研究人員指出，他們公布的這些漏洞，已經成為針對工控環境發動攻擊的惡意軟體利用的目標，這些惡意軟體包含了俄羅斯駭客針對烏克蘭發電廠所使用的Industroyer 2與CaddyWiper。</p> <p>研究人員指出，有7成4易受到攻擊的系統通過相關安全認證，這也突顯相關檢驗程序涵蓋的資安面向可能有所不足，他們呼籲用戶應參考系統製造商提供的資安通告，了解漏洞的影響範圍，以及相關的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-20"><span style="color: rgb(0, 0, 0);">威聯通NAS設備恐受到PHP漏洞波及，用戶應儘速更新作業系統</span></a></strong></h3> <p>威聯通於6月22日發布資安通告，指出旗下的NAS設備，可能會受到PHP漏洞CVE-2019-11043影響，若Nginx組態配置不當，可能會受到此漏洞影響，一旦攻擊者利用這項漏洞，就有可能遠端執行程式碼，呼籲用戶更新QTS、QuTS hero來防範相關攻擊。該公司表示，這項漏洞可能會影響QTS 4.5與5.0版、QuTS hero h4.5版與h5.0版，以及QuTScloud c5.0以上的作業系統，他們推出QTS 5.0.1.2034 build 20220515、QuTS hero h5.0.0.2069 build 20220614等版本予以修補。</p> <p>不過，威聯通指出，上述漏洞需要某些元件存在才會形成，這包含了Nginx與php-fpm兩項元件都必須在執行的狀態，才會觸發該漏洞。由於在該廠牌NAS預設的組態中，並未安裝Nginx元件，有可能不會受到上述漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esasma-info-dsc-Q9tLuOvM"><span style="color: rgb(0, 0, 0);">思科公布防火牆產品線重大漏洞</span></a></strong></h3> <p>思科近期針對旗下產品發布資安通告，這些漏洞存在於防火牆與郵件安全系統。其中，CVSS風險評分最高的是CVE-2022-20829，該漏洞存在於思科旗下的ASA防火牆產品，評分高達9.1分，一旦取得管理者權限的攻擊者利用這項漏洞，可上傳含有惡意程式碼的ASDM映像檔到前述的防火牆系統，該公司指出，防火牆必須執行ASA軟體9.18.2、ASDM軟體7.8.1.150，以及包含ASDM-IDM載入器1.9版的ASDM映像檔，才能完全防堵這項漏洞，且沒有安裝修補程式以外的緩解措施。目前思科已推出了ASDM軟體7.8.1.150版，但ASA軟體的修補程式可能要到8月才能提供。</p> <p><strong style="font-size: 22px;"><a href="https://mega-awry.io/"><span style="color: rgb(0, 0, 0);">檔案共享服務Mega修補加密機制可能遭到破解的漏洞</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png" style="width: 300px; float: right;" /></a>加密演算法的漏洞，有可能讓標榜資料點對點加密的檔案共享服務，用戶資料遭到洩露。瑞士蘇黎世聯邦理工學院的研究人員於3月24日，向前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega通報有關加密演算法的5個漏洞，近期亦公布5種可能的利用攻擊手法，這些手法多半仰賴竊得並解密RSA金鑰進行。</p> <p>研究人員指出，Mega標榜以用戶端控制的全面加密（User-Controlled End-to-End Encryption，UCE）機制來傳出資料，該公司透過使用者登入Mega的密碼來產生加密金鑰，所有使用者的RSA金鑰都存放在Mega伺服器，該公司卻沒有採取完整性保護的相關措施，使得研究人員能透過中間人攻擊（MitM）的手法，來取得特定用戶的RSA金鑰，甚至有可能逆向工程解密AES-ECB主鑰，以及整個金鑰組。</p> <p>Mega獲報後於6月21日發布新版用戶端程式，修補了其中3個漏洞，並承諾將於後續版本修補另外2個漏洞，該公司亦強調要利用這些漏洞的門檻相當高，但確實突破該公司提供的資料保護機制，使得他們相當重視這些研究人員通報的內容。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop_21.html"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 103，並修補14個漏洞</span></a></strong></h3> <p>Google於6月22日發布電腦版Chrome 103版，主要加入了HTTP 103狀態代碼來協助瀏覽器預載部分內容，來提升網頁的載入速度，但在此同時，該公司也修補了14個漏洞，其中較為嚴重的是Base元件的記憶體釋放後使用（UAF）漏洞CVE-2022-2156，此外，與UAF有關的漏洞還有CVE-2022-2157、CVE-2022-2161、CVE-2022-2163，分別涉及Interest groups、WebApp Provider、Cast UI and Toolbar等元件。Google宣稱，他們向通報漏洞的研究人員發出了4.4萬美元獎勵。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151533"><span style="color: rgb(0, 0, 0);">人機驗證系統CAPTCHA惱人又可能影響用戶隱私！蘋果計畫在新版作業系統加入自動身分驗證功能，繞過此種機制</span></a></strong></h3> <p>蘋果於6月初的開發者大會WWDC上，表示人機驗證系統CAPTCHA不只會影響使用者體驗，還可能危害用戶隱私，對此，他們宣布將以私有存取令牌（Private Access Tokens，PAT）來取代。而最近有開發人員在測試版iOS 16與iPadOS 16發現，蘋果很可能已經在測試相關功能──他們看到蘋果在Apple ID新增了自動身分驗證（Automatic Verification）的功能，啟用後將會透過iCloud自動檢驗使用者的裝置與帳號，而有可能讓使用者直接繞過應用程式或網頁上的CAPTCHA，上述機制未來也有機會在下一版macOS Ventura出現。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Data-Center/Third-SGX-Community-Day/post/1393177"><span style="color: rgb(0, 0, 0);">Intel宣布恢復舉辦SGX社群日活動</span></a></strong></h3> <p>為了推廣機密運算與自家公司開發的軟體防護延伸技術（SGX），英特爾實驗室曾於2020年7月中舉辦第二屆SGX Community Day，為期兩天，當時有超過1百位研究人員、工程師參加，他們來自英特爾、其他公司、大學、政府單位，並且展示了6種支援SGX應用的軟體框架，例如：Graphene、Occlum、Enarx、Mage、SCONE，能讓一般Linux應用程式、多種見證框架，以及Rust、WebAssembly執行時期元件無需修改，即可在SGX執行。</p> <p>或許是因為COVID-19的疫情關係，2021年並未舉辦SGX Community Day，但今年6月英特爾實驗室首席工程師Mona Vij在他們公司的社群部落格，宣布英特爾將於7月26日舉辦第三屆SGX Community Day，地點是美國俄勒岡州希爾斯伯勒市，屆時以實體與線上混合的方式進行，大會議程將於6月24日公布。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151584"><span style="color: rgb(0, 0, 0);">紅帽RHEL宣布支援物聯網裝置安全規範FDO</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/"><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip加入MoTW支援，防範從網路下載的的威脅</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.minerva-labs.com/does-acrobat-reader-unload-injection-of-security-products"><span style="color: rgb(0, 0, 0);">Adobe Acrobat、Acrobat Reader疑似會干擾防毒軟體掃描PDF檔案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.documentcloud.org/documents/22064071-flagstar-standard-notification-letter-06-17-2022?responsive=1&title=1"><span style="color: rgb(0, 0, 0);">美國大型銀行Flagstar資料外洩，波及150萬客戶</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/yodel-parcel-company-confirms-cyberattack-is-disrupting-delivery/"><span style="color: rgb(0, 0, 0);">英國快遞業者Yodel遭到網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/142546"><span style="color: rgb(0, 0, 0);">SMA流程自動化系統OpCon修補重大漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-rv-overflow-s2r82P9v"><span style="color: rgb(0, 0, 0);">思科RV路由器存在重大漏洞，攻擊者可執行任意指令或造成服務中斷</span></a></span></strong></p> </div></div></div>
2022/6/25 10:43作者周峻佑https://www.ithome.com.tw/news/151619
美、英、紐政府建議企業不要移除、關閉PowerShell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://media.defense.gov/2022/Jun/22/2003021689/-1/-1/1/CSI_KEEPING_POWERSHELL_SECURITY_MEASURES_TO_USE_AND_EMBRACE_20220622.PDF" target="_blank">美國、英國及紐西蘭安全主管機關本周發布聯合公告</a>，建議企業及政府機關，雖然PowerShell多次涉入惡意程式攻擊，但官方建議應採取適當組態和監控，而不要移除或完全關閉。</p> <p class="rtecenter"><a href="https://media.defense.gov/2022/Jun/22/2003021689/-1/-1/1/CSI_KEEPING_POWERSHELL_SECURITY_MEASURES_TO_USE_AND_EMBRACE_20220622.PDF" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Keeping%20PowerShell%EF%BC%9ASecurity%20Measures%20to%20Use%20and%20Embrace-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8-960.jpg" style="width: 550px;" /></a></p> <p>PowerShell 是由微軟開發的任務自動化和組態管理架構，由.NET Framework和.NET Core構建的命令列介面殼層、指令碼語言組成，最初是在Windows上執行，微軟於2016年開源並提供跨平臺支援，現在PowerShell可於Windows、Linux、macOS和雲端上執行。</p> <p>然而PowerShell作為Windows普及而好用的合法工具，卻多次被駭客用來發動攻擊。例如<a href="https://www.ithome.com.tw/news/148214" target="_blank">攻擊者用它來執行勒索軟體</a>，<a href="https://www.ithome.com.tw/news/149373" target="_blank">繞過防毒軟體軟體偵測</a>、<a href="https://www.ithome.com.tw/news/150991" target="_blank">對SQL Server發動離地攻擊（living-off-the-land，LoL）</a>、或是可結合Office文件開採近日揭露的<a href="http://www.ithome.com.tw/news/151211" target="_blank">Windows Follina漏洞</a>等。</p> <p>不過PowerShell在資安上也相當好用。在Windows上，可讓管理員或資安防護人員，啟用鑑識、強化事件回應及支援一般或重覆性任務的自動化。在Azure雲端上也可管理雲端資源，允許管理員建立自動化工具和安全措施。</p> <p>基於這些好處，美、英、紐的聯合安全公報建議不要移除或關閉PowerShell。完全關閉會讓企業或政府單位無法使用這些功能，也可能使Windows無法正常運作。他們建議透過適當的設定和監控，以便發揮PowerShell好處到最大。</p> <p>首先，官方建議管理員將PowerShell升級到最新的7.2版。7.2版有更好的安全管理功能，且相容於Windows 7、8及10內建的5.1版的設定及適用的指令、模組和script。但太老舊的版本如PowerShell version 2，官方就建議關閉及移除version 2。</p> <p>美、英政府建議的PowerShell設定包括：啟用PowerShell remoting、惡意軟體掃瞄及應用層控制。PowerShell remoting可預設執行Kerberos 或 NT LAN Manager（NTLM）協定，防止憑證外洩到遠端主機，此外以PowerShell remoting連結端點，會啟用Windows Firewall及要求端點權限，確保連結受信任的端點及網路，減少惡意程式橫向移動。它的AMSI（Antimalware Scan Interface）則可啟動Windows防毒軟體掃瞄PowerShell script來防止惡意程式。同時官方建議透過Windows AppLocker或WDAC（Windows Defender Application Control）設定PowerShell只能執行管理員許可的行為。</p> <p>最後，公報還建議管理員啟用PowerShell的偵測功能，如Deep Script Block Logging、Module Logging及Over-the-Shoulder transcription幫助偵測濫用行為。</p> </div></div></div>
2022/6/24 14:59作者林妍溱https://www.ithome.com.tw/news/151607
FIDO聯盟推IoT設備身分識別FDO標準，紅帽RHEL、Fedora開始支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著物聯網（IoT）的迅速擴展，設備安全性已成近年關注焦點，不應再是額外的選項，應是需要成為必備，這些聯網設備的身分驗證亦是重要一環，而這幾年來，隨著新世代網路身分識別FIDO標準崛起，在2019年我們即關注到該技術計畫擴展於IoT領域的應用，如今，這項IoT設備身分識別逐漸成形。</p> <p>近期，我們看到紅帽釋出RHEL 8.6與9.0版，當中強調將聚焦邊緣管理，新增加支援FIDO Device Onboard（FDO）安全標準規範，期望能簡化邊緣安裝程序，減少現場或遠端集中部署的管理負擔，以及提供更好的安全管理方式。顯然，這FDO標準在2022年應用有逐漸擴張的趨勢，值得關注。</p> <p>什麼是FDO？這是FIDO聯盟在2021年4月，針對物聯網設備所公布的IoT開放標準協定，名為FIDO Device Onboard（FDO），裡面定義簡易與安全的身分識別方式，IoT裝置無論連至雲端或企業內部網路的後端管理平臺，均可適用這樣的驗證方式。目前，FDO標準在今年4月19日已發布1.1版。</p> <p>FIDO聯盟期望這樣的協定，能夠支援大規模部署IoT設備的需求，幫助企業因應安全、成本、時間，以及管理複雜度等層面的挑戰。</p> <h3><strong>FDO標準抵定不到一年，已有系統業者開始宣布支援</strong></h3> <p>隨著這項標準成形，近期我們看到產業間已有不少行動。舉例來說，以晶片業者來看，去年國內晶片安全業者熵碼科技（PUFsecurity），運用其PUF解決方案，即宣布提供PUFiot裝置ID，幫助產品業者打造符合FDO標準的產品；以系統業者來看，在今年4月14日，紅帽釋出<a href="https://fedoraproject.org/wiki/Changes/FIDODeviceOnboarding">Fedora Linux 37</a>時，支援FDO是一大主打特色，為物聯網與邊緣裝置提供更好的安全使用方式，5月紅帽也宣布RHEL 8.6與9.0版將支援FDO標準，甚至還在5月底發布影片專門介紹FDO。</p> <p>特別的是，在4月底舉行的漢諾威工業展上，Google與Intel在展示智慧工廠新邊緣運算概念時，也示範使用FDO將電腦加入Anthos平臺。</p> <p>整體來看，FDO的推動，這不僅是IoT裝置安裝流程的自動化，也可視為解決目前企業IT與OT領域物聯網部署安全的第一步。儘管FDO標準推出還不到一年，但從上述廠商紛紛支援的消息來看，也反映整個IT產業對於FDO標準的積極程度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）紅帽介紹FDO標準_擷取自紅帽官方YouTube(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%B4%85%E5%B8%BD%E4%BB%8B%E7%B4%B9FDO%E6%A8%99%E6%BA%96_%E6%93%B7%E5%8F%96%E8%87%AA%E7%B4%85%E5%B8%BD%E5%AE%98%E6%96%B9YouTube(1).jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）紅帽介紹FDO標準_擷取自紅帽官方YouTube.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E7%B4%85%E5%B8%BD%E4%BB%8B%E7%B4%B9FDO%E6%A8%99%E6%BA%96_%E6%93%B7%E5%8F%96%E8%87%AA%E7%B4%85%E5%B8%BD%E5%AE%98%E6%96%B9YouTube.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>今年5月24日，在<a href="https://www.youtube.com/watch?v=_nq5IAVbl2Y&t=102s">Red Hat Enterprise Linux官方YouTube頻道</a>上，特別針對v9.0與v8.6版本所新支援的FIDO Device Onboard（FDO）標準規範做介紹。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Google%2BIntel_FDO標準_圖片來源Google.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Google%2BIntel_FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在今年5月27日<a href="https://cloud.google.com/blog/topics/manufacturing/edge-computing-smart-manufacturing-concept-intel-google-cloud-hannover-messe-2022">Google介紹了與Intel合作展示的智慧工廠新邊緣運算概念</a>，在結合Intel的Edge Insights for Industrial（EII）平臺、Intel NUC、Google Anthos之下，也示範使用FIDO Device Onboard（FDO）實現零接觸裝置註冊。</strong></span></p> <h3><strong>可因應大規模IoT布署需求，讓裝置註冊安全又有效率</strong></h3> <p>關於FDO的運作方式，FIDO聯盟是以原有FIDO網路身分識別標準為基礎，擴展至IoT裝置應用，因此，FDO的驗證方式同樣以硬體裝置為主，使用非對稱公鑰加密技術，特別是採行untrusted installer的方法，解決物聯網裝置註冊（onboarding）所帶來的各種安全問題。</p> <p>畢竟，傳統物聯網設備的部署，除了實體的裝置安裝，還需要密碼憑證的設置，使設備能夠安全連至後端管理平臺，但這樣的流程過去普遍由人工手動操作完成，往往不夠簡便、耗時且不安全。</p> <p>具體而言，所謂的裝置註冊（Device onboarding），指以將包含金鑰的機密資料及配置資料的設定安裝過程，使設備能與物聯網平臺安全地連接與互動。基本上，物聯網平臺就是設備擁有者用來管理裝置的系統，包括修補安全漏洞、安裝或更新軟體、檢視感測器資料，以及與執行器互動。</p> <p>更進一步來看，FDO就是在設備製造過程中即確定裝置的所有權，之後的裝置註冊過程，則可視為裝置所有權的轉移或授予。同時，自動化亦是FDO簡化相關驗證程序的一大關鍵，能讓一個物聯網裝置在不修改本身韌體與組態的情況下，能夠安全連入到不同的IoT平臺。</p> <p>FIDO聯盟指出，2022年FDO有兩大推動目標，一是促進整個產業採用FDO，包括終端用戶、專業設備代工（OEM）、原廠設計代工（ODM），以及晶片合作夥伴來共同推動；二是推出FDO認證計畫，包括功能性的認證與互動測試，以及安全認證測試。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FDO標準_圖片來源FIDO聯盟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">在2022年4月19發布的<a href="https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html#protentity">FIDO Device Onboard Specification 1.1</a>中，</strong><span style="color:#696969;"><strong>完整說明了這項裝置連入標準的規範，並圖解FDO的傳輸介面</strong>。（圖片來源／FIDO聯盟）</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）FDO標準_圖片來源FIDO聯盟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">今年<a href="https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html#protentity">FIDO FDO標準邁入1.1</a>版，規範文件中</strong><span style="color:#696969;"><strong>以圖像化方式說明協定的運作方式。（圖片來源／FIDO聯盟）</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）FDO標準_圖片來源FIDO聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在FIDO聯盟簡介FDO的一場簡報中，說明FDO運作的6大步驟。（圖片來源／FIDO聯盟）</strong></span></p> <h3><strong>從裝置出廠就具備身分驗證安全設計，FDO標準將為諸多產業帶來助益，並解決物聯網、邊緣運算的關鍵需求</strong></h3> <p>整體而言，在FIDO的FDO標準之下，設備製造的初期即安裝軟體並使用安全金鑰，裝置購買者從製造商獲得裝置並取得安全金鑰時，就能安全、快速且簡便地將產品布署到物聯網平臺，完成註冊並確保設備身分。</p> <p>我們可以如何看待FDO標準的發展？在2021年4月20日標準發布之際，FIDO聯盟執行董事兼行銷長（CMO）Andrew Shikiar曾說過，FDO標準的發布，將讓企業更體認到物聯網的巨大潛力，並且可謂製造、零售、醫療保健、運輸、物流等領域，帶來極大助益。</p> <p>對於FDO標準的成形，身為Intel物聯網部門工業控制與自動化總經理，也是FIDO聯盟IoT技術小組聯合主席的Richard Kerslake，他特別以家中買了一臺新的印表機來舉例，這樣的裝置只要透過USB線與電腦相連接，等待幾分鐘後，驅動程式已經自動安裝完成，這種隨插即用的體驗，與大多數IoT裝置的部分有很大的不同。因為這些IoT設備的布署是耗時、昂貴且不安全。如今，他們不僅加入FIDO聯盟，並且一同催生FDO標準，希望透過新的方法，解決這項產業界所共同面對的挑戰，</p> <p>也有人認為FDO將是一項革命性的標準，例如，英國電信集團（BT Group）研究經理與物聯網架構師Mohammad Zoualfaghari提出他的看法，指出FDO零接觸註冊（Zero touch onboarding）將可解決解決物聯網、邊緣運算與5G行業的關鍵需求，幫助擴展安全與自動化，從製造商到消費者安全，以及從設備到邊緣，邊緣到雲端。</p> <p>同時，我們也詢問國內這方面的專家，希望了解更多FDO的發展趨勢。</p> <p>工研院資通所副所長黃維中表示，過去幾年來，其實產業間一直都有在發展這樣的自動安裝布署，簡化裝置出廠到後續啟用的流程，像是前幾年，Intel就有提出Secure Device Onboard（SDO），讓IoT裝置能在目標裝置管理與雲端分析平臺順利上線，只是以往沒有缺乏一個統合的標準，而現在的FDO做到了。事實上，Intel本身也是FIDO聯盟Board Level會員，而現在的FDO標準規範，其實也就是基於Intel SDO技術而發展。</p> <p>除了系統平臺支援FDO，裝置支援FDO也會是關鍵。要讓裝置出廠的內部構件符合FDO，近年新興的物理不可仿製功能（Physically Unclonable Function，PUF），是近年受看好的技術之一。對此，熵碼科技資安技術經理莊愷莘表示，PUF的最大好處，就是可以讓每個裝置的金鑰都是獨一無二，不像傳統作法要將金鑰燒錄到裝置，需要特殊設備與安全環境，相對而言，PUF可以不用這樣的機制，就能建構獨特的金鑰。</p> </div></div></div>
2022/6/23 18:35作者羅正漢https://www.ithome.com.tw/news/151584
【資安日報】2022年6月23日，威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有不少與漏洞的修補和公布有關。其中，威聯通針對NAS設備的用戶發布資安通告，相當值得留意。這項漏洞是存在於PHP元件的CVE-2019-11043，可能會影響執行QTS、QuTS hero、QuTScloud作業系統的NAS設備，該公司已針對部分作業系統進行修補。</p> <p>操作科技（OT）的相關系統漏洞，有可能會因為設計過程沒有將資安納入考量，普遍存在於多個廠牌的設備，有資安業者近期公布一組名為OT:Icefall的漏洞，並指出至少有10個廠牌的設備存在相關漏洞，且很可能被駭客用於攻擊工控環境。</p> <p>前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega，最近也修補研究人員通報的漏洞，這些漏洞主要是能竊取並解密用來加密檔案的RSA金鑰，使得用戶的資料可能因此曝光。用戶應儘速更新用戶端程式來緩解相關漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/chinese-actor-takes-aim-armed-with-nim-language-and-bizarro-aes/"><span style="color: rgb(0, 0, 0);">駭客組織Tropic Trooper使用Nimbda惡意程式發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg" style="width: 300px; float: right;" /></a>駭客利用新的程式語言打造惡意程式，進而規避資安系統偵測的情況，最近又有相關攻擊行動出現。資安業者Check Point揭露中國駭客組織Tropic Trooper近期的攻擊行動，駭客假借提供SMS Bomber程式的名義，偷渡名為Nimbda的惡意程式載入工具，此軟體是透過Nim程式語言打造而成。</p> <p>攻擊者利用Nimbda在後臺將Shell Code注入記事本（Notepad.exe）的處理程序，從GitHub儲存庫下載惡意程式Yahoyah的變種，並將其解密後，利用挖空處理程序（Process Hollowing）的注入手法，透過dllhost.exe執行此惡意程式，收集受害電腦鄰近的無線網路SSID，以及特定的電腦資訊。</p> <p>研究人員指出，駭客加密Yahoyah的手法相當特別，該組織透過兩輪的AES演算法倒序作業，而被研究人員稱做AEES。研究人員指出，這種加密手法使得資安人員要解析惡意程式的難度大幅提升。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-20"><span style="color: rgb(0, 0, 0);">威聯通NAS設備恐受到PHP漏洞波及，用戶應儘速更新作業系統</span></a></strong></h3> <p>威聯通於6月22日發布資安通告，指出旗下的NAS設備，可能會受到PHP漏洞CVE-2019-11043影響，若Nginx組態配置不當，可能會受到此漏洞影響，一旦攻擊者利用這項漏洞，就有可能遠端執行程式碼，呼籲用戶更新QTS、QuTS hero來防範相關攻擊。該公司表示，這項漏洞可能會影響QTS 4.5與5.0版、QuTS hero h4.5版與h5.0版，以及QuTScloud c5.0以上的作業系統，他們推出QTS 5.0.1.2034 build 20220515、QuTS hero h5.0.0.2069 build 20220614等版本予以修補。</p> <p>不過，威聯通指出，上述漏洞需要某些元件存在才會形成，這包含了Nginx與php-fpm兩項元件都必須在執行的狀態，才會觸發該漏洞。由於在該廠牌NAS預設的組態中，並未安裝Nginx元件，有可能不會受到上述漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://mega-awry.io/"><span style="color: rgb(0, 0, 0);">檔案共享服務Mega修補加密機制可能遭到破解的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png" style="width: 300px; float: right;" /></a>加密演算法的漏洞，有可能讓標榜資料點對點加密的檔案共享服務，用戶資料遭到洩露。瑞士蘇黎世聯邦理工學院的研究人員於3月24日，向前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega通報有關加密演算法的5個漏洞，近期亦公布5種可能的利用攻擊手法，這些手法多半仰賴竊得並解密RSA金鑰進行。</p> <p>研究人員指出，Mega標榜以用戶端控制的全面加密（User-Controlled End-to-End Encryption，UCE）機制來傳出資料，該公司透過使用者登入Mega的密碼來產生加密金鑰，所有使用者的RSA金鑰都存放在Mega伺服器，該公司卻沒有採取完整性保護的相關措施，使得研究人員能透過中間人攻擊（MitM）的手法，來取得特定用戶的RSA金鑰，甚至有可能逆向工程解密AES-ECB主鑰，以及整個金鑰組。</p> <p>Mega獲報後於6月21日發布新版用戶端程式，修補了其中3個漏洞，並承諾將於後續版本修補另外2個漏洞，該公司亦強調要利用這些漏洞的門檻相當高，但確實突破該公司提供的資料保護機制，使得他們相當重視這些研究人員通報的內容。</p> <h3><strong style="font-size: 22px;"><a href="https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/"><span style="color: rgb(0, 0, 0);">OT:Icefall漏洞恐導致10個廠牌的OT裝置曝險</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png" style="width: 300px; float: right;" /></a>操作科技（OT）環境系統的不安全，很有可能與設計當初並未將資安納入規畫，而使得攻擊者能加以利用。資安業者Forescout揭露名為OT:Icefall的一組漏洞，此漏洞組由56個漏洞組成，漏洞類型涵蓋層面甚廣，可能導致攻擊者能遠端執行程式碼、竊取帳密、竄改韌體或是組態設置，以及繞過身分驗證等，影響Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bently Nevada、Phoenix Contract、ProConOS，以及Yokogawa等廠牌的OT設備。研究人員指出，他們公布的這些漏洞，已經成為針對工控環境發動攻擊的惡意軟體利用的目標，這些惡意軟體包含了俄羅斯駭客針對烏克蘭發電廠所使用的Industroyer 2與CaddyWiper。</p> <p>研究人員指出，有7成4易受到攻擊的系統通過相關安全認證，這也突顯相關檢驗程序涵蓋的資安面向可能有所不足，他們呼籲用戶應參考系統製造商提供的資安通告，了解漏洞的影響範圍，以及相關的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop_21.html"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 103，並修補14個漏洞</span></a></strong></h3> <p>Google於6月22日發布電腦版Chrome 103版，主要加入了HTTP 103狀態代碼來協助瀏覽器預載部分內容，來提升網頁的載入速度，但在此同時，該公司也修補了14個漏洞，其中較為嚴重的是Base元件的記憶體釋放後使用（UAF）漏洞CVE-2022-2156，此外，與UAF有關的漏洞還有CVE-2022-2157、CVE-2022-2161、CVE-2022-2163，分別涉及Interest groups、WebApp Provider、Cast UI and Toolbar等元件。Google宣稱，他們向通報漏洞的研究人員發出了4.4萬美元獎勵。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Data-Center/Third-SGX-Community-Day/post/1393177"><span style="color: rgb(0, 0, 0);">Intel宣布恢復舉辦SGX社群日活動</span></a></strong></h3> <p>為了推廣機密運算與自家公司開發的軟體防護延伸技術（SGX），英特爾實驗室曾於2020年7月中舉辦第二屆SGX Community Day，為期兩天，當時有超過1百位研究人員、工程師參加，他們來自英特爾、其他公司、大學、政府單位，並且展示了6種支援SGX應用的軟體框架，例如：Graphene、Occlum、Enarx、Mage、SCONE，能讓一般Linux應用程式、多種見證框架，以及Rust、WebAssembly執行時期元件無需修改，即可在SGX執行。</p> <p>或許是因為COVID-19的疫情關係，2021年並未舉辦SGX Community Day，但今年6月英特爾實驗室首席工程師Mona Vij在他們公司的社群部落格，宣布英特爾將於7月26日舉辦第三屆SGX Community Day，地點是美國俄勒岡州希爾斯伯勒市，屆時以實體與線上混合的方式進行，大會議程將於6月24日公布。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.minerva-labs.com/does-acrobat-reader-unload-injection-of-security-products"><span style="color: rgb(0, 0, 0);">Adobe Acrobat、Acrobat Reader疑似會干擾防毒軟體掃描PDF檔案</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> </div></div></div>
2022/6/23 18:03作者周峻佑https://www.ithome.com.tw/news/151583
支援WSL2的Windows Server 2022更新正式釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼五月底預告後，微軟本周將支援Windows Subsystem for Linux 2（WSL2）的Windows Server 2022更新版經由正式管道釋出。但Server 2019用戶還是無福享用。</p> <p><a href="https://www.ithome.com.tw/news/151175" target="_blank">微軟五月底公布</a>包含WSL2的Windows軟體更新KB5014021（OS Build 20348.740）時，用戶必須主動下載。一如當時預告，微軟本周釋出定期更新。微軟產品經理Craig Loewen表示，現在WSL2已成為Windows Server最新更新的一部份，用戶只需在Windows Server機器上點選「檢查更新」以下載最新版更新即可。透過這次更新，Server 2022可以使用WSL 2 type distro，讓Windows Server也能獲得桌機版SKU相同的現代Windows使用經驗。</p> <p>不過前提是<a href="https://support.microsoft.com/en-us/topic/june-14-2022-kb5014678-os-build-20348-768-3cec11a2-b5d6-40fa-b1f5-636283ccb7c4" target="_blank">機器上必須先具備KB 5014678</a>才能安裝最新更新。下載後，用戶以管理員權限從PowerShell指令視窗執行「wsl-install」即可安裝。</p> <p>微軟說明，與第1版WSL相比，WSL 2提供受控VM內的完整Linux核心、效能更佳、且具備完整的系統呼叫相容性。</p> <p>WSL 2早在2019年即已釋出，但僅提供Windows 10 2004版以後及使用半年通道更新（Semi-Annual Channel，SAC）的Windows Server。<a href="https://petri.com/microsoft-drops-semi-annual-channel-releases-starting-with-windows-server-2022/" target="_blank">去年微軟宣布終止SAC</a>，Windows Server將只留下長期更新通道（Long-Term Servicing Channel，LTSC），使得Windows Server 2019和Server 2022 LTSC用戶被排除在支援名單之外。</p> <p>雖然微軟已對Server 2022提供WSL 2，但Server 2019用戶還是無福享受。<a href="https://github.com/microsoft/WSL/issues/6301#issuecomment-1137740404" target="_blank">上個月微軟回答用戶問題時指出</a>，WSL 2不支援Server 2019 Long-Term Servicing Channel（LTSC）的計畫目前還是沒有改變。</p> </div></div></div>
2022/6/23 10:30作者林妍溱https://www.ithome.com.tw/news/151571
Container周報第151期：K8s叢集成本精準估算有新工具，自駕系統新創揭露部署3千節點EKS叢集的秘訣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/6/9~2022/6/17 精選容器新聞</strong></span></p> <p><span style="color:#0000FF;"><strong>本期重點：自動擴充調度的K8s叢集，如何事前估算成本是一大挑戰，不少公雲都推出了自家的成本估算工具，但如何跨這些業者、自家私雲都能有一套統一的成本估算標準是維運團隊常見的難題。最近引起高度關注的新開源專案OpenCost，就是要建立一套通用K8s成本計算標準。另外，Intel旗下自駕車系統公司Mobileye揭露了如何部署超大規模EKS叢集的經驗，單一叢集可以達到3,200個節點，超過10萬個vCPU的超大規模。值得注意的是，Linux創辦人最近預告，Rust語言明年將整合到Linux核心，這也意味將成為Linux的重要開發語言之一</strong></span></p> <p><strong>#成本管理、#K8s叢集管理<br /> AWS和GCP兩大公雲加入，OpenCost專案要建立估算K8s叢集成本的通用標準</strong></p> <p>K8s成本管理公司Kubecost最近捐給CNCF一項開源專案OpenCost，可以視覺化的方式，列出Kubernetes叢集的資源分配和所花費的成本。成本計算是管理K8s叢集的難題之一，因為高度自動化擴充能力，一開始都是從一個小型K8s叢集，但隨著時間，會動態依據用量，自動增加或減少叢集的節點數，因此，很難準確估算單一個K8s叢集的費用。OpenCost提供了視覺化的圖表，來呈現K8s叢集費用的歷史變化。多家業者也參與了這項專案，來協助K8s叢集成本的估算，包括了AWS、Google、Adobe、SUSE、D2iQ、Armory、Mindcurv和New Relic等。他們試圖透過這個專案，來建立一個標準的K8s成本監控機制，可以用來追蹤各種環境配置下的成本。OpenCost目前可以即時提供K8s服務的成本估算和各類資源分配，也能整合AWS、Azure或GCP帳單API來取得動態的公雲費用，甚至支援本地部署的K8s叢集客製化價格清單，來能將價格資料輸出到Prometheus方便進一步利用。</p> <p><strong>#FinOps、#雲端成本控管<br /> K8s叢集要花多少錢？最新FinOps調查出爐</strong></p> <p>CNCF和推廣雲端成本管理的FinOps基金會最近公布了一份K8s成本調查報告，去年中調查了195家中大型企業使用K8s的費用情況，半數企業規模超過500人，3成是5千人以上的大型企業。超過6成企業的K8s費用過去一年是正成長，甚至有3成的K8s費用更是增加了2成以上。不過，2成企業沒有辦法監控K8s成本，而44%的企業只能用推估，只有1成多的企業可以準確估算成本，另有一成企業建立了費用回溯機制。但是超過4成企業都認為，能夠每個月更精準地事先估算K8s叢集的帳單是一件重要的事。</p> <p>根據這份調查，目前企業K8s叢集的主要成本，8成來自運算，1成是記憶體的費用，再其次才是儲存空間的成本。目前常見用來追蹤K8s成本的工具，除了三大公雲提供的費用計算工具，如AWS支出探索工具、GCP支出工具和Azure成本管理工具之外，還有KubeCost成本估算工具和Apptio公司的Cloudability較多企業採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s%E6%88%90%E6%9C%AC%E5%B7%A5%E5%85%B7.png" /></p> <p> </p> <p><strong>#GitOps、#DevOps<br /> 如何用GitOps打造全自動CI/CD流程，Weaveworks推薦靠這3類工具</strong></p> <p>提出GitOps新CI/CD典範的Weaveworks公司，最近整理了一個用GitOps思維，來設計全自動化CI/CD流程的最佳實務做法，包括了四個重要的自動化關鍵，其中，善用K8s自動化機制是第一步。</p> <p>Weaveworks指出，GitOps是配置檔管理的最新進化的形式，以Git作為程式原始碼的唯一來源，這是將雲端原生應用持續部署，建立標準化作業的關鍵原則。</p> <p>在CI/CD流程中有四個核心階段，原始碼、部建（Build）、測試和部署，每一個階段都可以善用工具軟體來自動化。在原始碼階段，不只是開發者提交的異動要觸發通知，透過webhook機制來通知後續的CI/CD工具，還要留意得包括來自其他流程，或是自動化排程產生的異動都要納入觸發事件。第二個階段的部建自動化，則要用來控制不同釋出版本的變動。測試階段的自動化，則注重正確性和生產力，原則是要「快速部建、快速測試、快速失敗」，盡快找出有問題的地方，盡快通知開發者。最後一項部署階段，只要使用K8s，就可以有自動化CI/CD工具例如Helm charts來協助自動化。</p> <p>K8s叢集自動化是雲端原生工具自動化的第一線，要讓K8s叢集管理能到結合CI/CD流程，例如用k8s Operators來協助重複任務的自動化，也能用於各種部署需求，如擴充，備份和模擬節點失效情況。HPA則可用於控制部署後的Pod節點數量擴充或縮減，Cluster Autoscaler則能用CPU利用率，來擴充一個叢集中的節點數量。其次，從Git拉出程式碼到完成部署的自動化工具，則推薦Flux。這是Weaveworks捐給CNCF的孵化開源專案，能持續比對儲存庫環境的狀態和基礎架構部署環境的狀態，來進行從原始碼到部署的自動化，還可搭配Git版控進行政策遵循。最後一個推薦的GitOps工具是Flagger，這是可以用於主動派送工具，也是Weaveworks開源釋出的專案，可以用於進行藍綠部署、金絲雀發布。不過，Weaveworks沒有推薦測試自動化工具，而是建議得善用宣告式配置檔，就能降低部建與測試間的重工。</p> <p><strong>#函數即服務、#無伺服器框架<br /> 無伺服器框架OpenFunction正式成為CNCF沙箱專案</strong></p> <p>來自KubeSphere社群開源的一項無伺服器框架OpenFunction，最近通過CNCF技術監督委員會的投票，正式成為旗下沙箱專案之一，也代表了CNCF正式接管了這個專案的捐贈。OpenFunction是一個用來打造Function即服務的無伺服器框架，整合了Knative、Tekton、Shipwright、Dapr和KEDA等開源專案，來提供從函數觸發、函數建置到函數服務發布等功能，可以快速建立一個無伺服器平臺服務。目前OpenFunction是0.6.0版。</p> <p><strong>#Rust語言、#作業系統<br /> Linux創辦人預告：Rust語言明年將整合到Linux核心</strong></p> <p>最近Linux創辦人Linus Torvalds在Linux基金會開源大會上透露，熱門的Rust語言將在明年整合到Linux核心，甚至，最快「下一版Linux核心版本發布時就會併入。」也就是最快可在Linux 5.20版就納入。Linus在2年前一次專訪中就透露出採用Rust語言的意圖，當時他提到，雖然Linux核心主要是用C語言開發而成，C語言也是當前的十大熱門程式語言之一，但是，他認為，C語言有一種逐漸變成COBOL語言的風險，越來越難找得到擅長C語言的Linux核心維護者。因此，2年前他就開始考慮，在Linux核心專案開發中採用如Go或Rust等熱門的新興開發語言。他也曾透露過採用Rust的原因，有多項比C語言更進階的功能，例如記憶體安全機制的設計，在安全模式下不會出現沒有定義的行為，另外對於安全和非安全模式有更清楚的定義和區分等。Rust語言是由Mozilla在2009年開始贊助的一項通用程式語言，強調安全、平行運作和記憶體組態管理，主要用於大型網路系統的用戶端和伺服器端任務，於2010年首度公開，2015年釋出第一個1.0穩定版本，目前是1.61版。</p> <p><strong>#分散式資料庫、#NoSQL<br /> NoSQL資料庫Cassandra即將在7月釋出4.1版，最大特色將增加外掛擴充能力</strong></p> <p>去年7月才釋出十年大改版的NoSQL資料庫Cassandra，今年7月又將推出4.1新版，預計會增加一項重要的新功能外掛擴充機制，可以透過外掛方式來擴充Cassandra資料庫的功能，這也讓Cassandra變成了一個資料庫生態圈，來整合第三方供應商的服務。目前隨著4.1版的發布，也提供了多項新的外掛機制，包括了可提供快速記憶體儲存能力的儲存外掛，可用外部金鑰來進行機密管理的網路加密外掛、授權外掛機制、叢集Schema外掛。另外在4.1版還會新增一個配置管理框架，可用來支援Cassandra叢集規模化後的不同部署設定。而4.1版之後，也將進入下一個大版本5.0，預計未來要支援完整的ACID交易能力，這是目前正在討論中的重大功能。</p> <p><strong>#超大規模K8s叢集、#自駕車系統<br /> 單一EKS叢集如何部署10萬個vCPU，自駕車系統公司Mobileye靠6大秘訣</strong></p> <p>開發自駕車系統需要大量仰賴AI運算，來訓練自駕系統在不同模擬環境下的各種反應和操作。最近Intel旗下自駕車系統公司Mobileye的AI工程團隊，揭露了如何運用EKS，來支援超過250項工作流程的經驗。他們使用了4萬EKS的Pod叢集，單一叢集的規模最大甚至達到3,200個節點，超過10萬個vCPU的超大規模。</p> <p>Mobileye揭露了他們可以建立超大規模EKS運算叢集的經驗，第一是要針對工程團隊來進行平臺抽象化，避免工程團隊要處理瑣碎的基礎架構部署工作，其次是要建立一個統一配置平臺，可以支援不同團隊同時所用的各種不同類型工作負載的配置和管理需求。第三是要建置一個自動擴充平臺，Mobileye每小時經常要執行數十項資料處理作業，每個作業可能需要數百到數千個Pod節點來運算，因此需要有一個自動化擴充管理平臺才能勝任這麼龐大的擴充調度和部署需求。</p> <p>第四項則是成本控管需要有一套成本管理平臺，尤其Mobileye的EKS叢集節點高達95%都是用了競標式的Spot執行個體，來降低雲端運算的費用，要能記錄和管理這些價格變動的執行個體的費用，需要靠系統才能管理和精簡成本。</p> <p>另外在網路架構的管理上，也需要有一套解決方案，Mobileye都是在無法對外連網的私有VPC中執行所有運算來符合法遵要求，但需要有一套自己的網路架構管理系統，最後一項是要有能力支援不同運算類型的執行實例的擴充能力，例如他們的自動擴充機制也能夠調度GPU、Habana Gaudi加速器等特殊運算需求的節點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%AA%E9%A7%95%E8%BB%8A%E7%B3%BB%E7%B5%B1%E5%85%AC%E5%8F%B8EKS%E6%9E%B6%E6%A7%8B.jpeg" /></p> <p><strong>#可觀測性、#思科<br /> 思科推出可觀測性平臺服務，能監控AWS的K8s環境，未來會支援其他兩大公雲</strong></p> <p>思科在2022年度大會上發表了新的可觀測性平臺AppDynamics Cloud，來監控K8s上的雲端原生應用的運作狀態，包括Log紀錄，監測矩陣、事件紀錄、追蹤紀錄等，可以支援主流的可觀測性標準OpenTelemetry。這套可觀測平臺可以用來監控跨不同基礎架構、微服務、容器或API之間的互動。AppDynamics原本像是一套應用程式效能管理平臺，現在進一步變成了雲端原生應用可觀測性的管理平臺，不只是應用系統效能，還擴大到各種執行環境的觀測和管理。思考這套新的可觀測性平臺目前只能支援AWS公雲上的K8s環境監控，不過，思科預告，未來一定會支援其他兩朵公雲包括微軟Azure和GCP，甚至也計畫支援更多公雲服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%9D%E7%A7%91appDynamics%20cloud.png" /></p> <p><strong>更多新聞</strong></p> <p>CNCF推出雲端原生安全控制項型錄，盤點出194項主流資安規範的雲端生資安要求</p> <p><strong>@資料來源：iThome整理，2022年6月</strong></p> <p><strong>責任編輯：王宏仁</strong></p> <p><b>圖片來源：思科、Mobileye</b></p> </div></div></div>
2022/6/23 09:37作者王宏仁https://www.ithome.com.tw/news/151569
【資安日報】2022年6月20日，西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞中，漏洞修補的消息相當值得留意，其中對於西門子工控網路管理系統SINEC的修補，通報相關漏洞的資安人員指出，當中有2個漏洞最為嚴重，因為攻擊者一旦串連加以利用，就有可能取得NT AUTHORITY\SYSTEM權限，進而掌控受管理的工控設備。</p> <p>微軟對於遠端桌面連線（RDP）的漏洞修補，近期出現了修補完成後漏洞仍可被利用的情況。研究人員針對微軟在1月例行修補（Patch Tuesday）處理的漏洞CVE-2022-21893，揭露該漏洞的細節，並指出他們後來發現可繞過修補程式的管道。對此，微軟於4月的例行修補發布更新軟體因應。</p> <p>一般的殭屍網路主要由電腦或伺服器組成，但最近歐美執法單位摧毀殭屍網路基礎設施的行動中，他們摧毀了由各式各樣的連網裝置所組成的Rsocks，組成的裝置類型可說是目不暇給。比較特別的是，經營該殭屍網路的駭客提供了租賃的方式，讓客戶能輕易操縱大量連網裝置發動攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> </div></div></div>
2022/6/20 16:41作者周峻佑https://www.ithome.com.tw/news/151525
【兼具高擴展性、高效能與高可靠性的分散式儲存平臺】WekaIO WekaFS建立新生代高效能檔案系統的標竿
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wekafszhu_tu_1_tu_pian_lai_yuan_wekaio-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WekaIO，立捷速能</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去3、4年來，WekaIO堪稱最受矚目的新創儲存廠商之一，憑藉在IO500等高效能運算（HPC）排行榜的突出表現，該公司的WekaFS檔案系統，與Intel DAOS、Lustre等老牌分散式檔案系統分庭抗禮，成為重要的HPC儲存平臺之一。</p> <p><span style="font-size:28px;"><strong>高效能儲存系統的後起之秀</strong></span></p> <p>WekaIO成立於2014年，公司總部設於美國加州，研發總部在以色列特拉維夫，3位創辦成員來自另一家以色列新創儲存廠商XIV（2008年為IBM併購）。</p> <p>在2017年7月WekaIO結束隱形營運模式，正式發表了命名為Matrix的高效能平行分散式檔案系統，簡稱MatrixFS，也就是今日WekaFS檔案系統的前身。</p> <p>推出產品之後，從2017年下半年起，WekaIO隨即與聖地牙哥超級電腦中心、HPE、Intel等單位合作，展開了MatrixFS檔案系統的測試，展現這套檔案系統作為高效能儲存平臺的潛力。</p> <p>接著從2018年起，WekaIO在IO500高效能運算系統儲存效能榜單，締造了一連串佳績，在儲存市場聲名大噪。首先是在SC18大會公布的IO500榜單中，於10節點測試項目取得第2名成績，1年後在SC19大會中，WekaFS搭配AWS平臺組成的345節點系統，更一舉在IO500總榜單奪得第1。</p> <p>雖然WekaIO藉由在IO500排行中掄元，達到打響名號的目的之後，便未再進一步升級WekaFS on AWS測試平臺的規格，以致在IO500榜單中的排名逐漸下滑，為新的競爭對手超越。不過，即使過了3年以後，在SC21與ISC22大會發布的最新2份IO500榜單中，WekaFS on AWS當年締造的成績，依然能名列第9與第12，這些都已足以證明這家後起之秀，具備了與眾多老牌儲存平臺抗衡的實力，影響力也不斷擴大。</p> <p>以ISC22大會的最新IO500榜單為例，入榜的83套系統中，採用WekaIO WekaFS的系統便占了6套，在高效能運算領域已占有一席之地。</p> <p>在商業應用領域，WekaIO的影響力逐漸擴大，除了自身品牌的產品，還有許多大廠也將WekaFS引進他們的產品線。</p> <p><span style="font-size:28px;"><strong>WekaFS的基本架構</strong></span></p> <p>WekaFS是誕生於NVMe時代的分散式的平行檔案系統，是基於NVMe SSD來建構儲存層，可橫跨多臺實體或虛擬伺服器，將伺服器所內含的NVMe SSD，以叢集的方式建構成為統一的儲存池，以因應隨機、循序、大資料與小資料等不同存取型態的需求，並透過S3、SMB、NFS等標準的物件與檔案儲存協定，來為前端主機提供存取服務，還具備數千節點等級的大規模橫向擴展（Scale-Out）能力，以及橫跨本地端與雲端的分層儲存架構。</p> <p>基於NVMe SSD的儲存層設計，固然是WekaFS高效能表現不可或缺的關鍵，但僅依靠硬體支撐，還不足以讓WekaFS在高效能運算領域脫穎而出，WekaIO之所以力壓許多老牌分散儲存系統，更重要的還是專屬軟體架構的貢獻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>WekaFS檔案系統的基本架構</strong></span></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統兩大部分組成，一是由儲存端的儲存主機（儲存節點），另一是用戶端的應用伺服器。在儲存端，可橫跨多臺儲存主機組成儲存叢集，將儲存主機內含的NVMe SSD構成單一的全域命名空間，還可搭配本地端或公有雲的S3物件儲存設備，組成分層儲存架構。以儲存叢集的建置組態而言，WekaFS的最基本的儲存叢集規模是以6臺儲存主機組成，最大則可擴展到上千臺以至數千臺儲存主機。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>而在用戶端方面，應用伺服器則可透過標準的NFS、SMB等檔案傳輸協定或S3物件儲存協定，來存取WekaFS的檔案系統空間，也能透過Nvidia的GPUDirect傳輸協定，與基於Nvidia GPU的運算平臺直連。</strong></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>容器化的核心架構</strong></span></span></p> <p>WekaFS是由兩大部分組成：位於後端、負責提供儲存服務的Weka儲存主機（Storage Host）（早先稱為儲存節點），以及位於前端的Weka用戶端（Weka Client）（也稱為應用伺服器Application Server），特別之處在於，WeksFS採用少見的容器化部署架構，並含有自身的獨立作業系統。</p> <p>所有支撐WekaFS架構的核心元件，都是在Linux容器（Linux Container，LXC）的用戶空間，透過自身的即時作業系統（RTOS）來運行。這些在RTOS中執行的元件包括：</p> <p>負責管理多協定存取服務的檔案服務元件（File Service），負責管理資料分布、資料保護與metadata的檔案系統叢集元件（File System Cluster），用於將SSD轉換為網路儲存裝置的SSD Access Agent，提供命令列指令管理、狀態監控的管理節點（Management Node），以及用於存取物件儲存區的物件連接器（Object Connector）。</p> <p>透過整合於Linux容器內的RTOS運作架構，WekaFS可獲得下列兩大效益：</p> <p>第一，藉此實現系統部署的容器化與微服務化，提高應用靈活性與效能。在實體主機中，用戶可部署多個分別用於NFS、SMB、S3等儲存服務的容器，並透過橫跨多個容器的存取架構，讓WekaFS獲得更高的平行處理能力，以及更多的處理器與記憶體資源。</p> <p>第二，藉此實現系統的獨立性與高效能。部署在容器內的WeksFS可與主機上的其他程式與服務隔離，並透過RTOS自行管理與調度硬體資源（儲理器核心、記憶體、網路卡與SSD）、管理記憶體、I/O與網路堆疊，擺脫對於Linux Kernel的依賴。</p> <p>WekaIO宣稱這樣的架構，可以將處理器切換處理不同執行程式的上下文交換（context switch）降到最低，縮短I/O路徑，減少延遲。而且，這種架構也便於跨平臺部署與系統更新，既可移植部署到不同的實體或VM環境，也能獨立於底層的Linux外，更新WekaFS的前端與後端元件。</p> <p>為了改善傳輸效能，WekaFS的網路傳輸介面、應用程式存取介面，以及metadata架構，都有專屬的設計。</p> <p>在網路傳輸方面，WekaFS不用標準的Linux Kernel TCP/IP，而是以DPDK（Data Plane Development Kit）連結網路卡與LXC容器，並透過Weka protocol over UDP來連結用戶端與儲存端，藉此可避開Linux Kernel帶來的效能瓶頸，提高傳輸效能，減少延遲。</p> <p>WekaFS還以專屬的虛擬檔案系統（Virtual File System）核心驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面，既能提供完整的存取功能，又具備更高的效能。</p> <p>在metadata架構方面，WekaFS採用分散式架構，將metadata分散到整個叢集當中，不像許多其他平行檔案系統因採用獨立metadata服務，因而導致了效能瓶頸。</p> <p>同時，WekaFS具有稱作「自適應快取（Adaptive Caching）」的獨特快取加速功能，提供資料快取與metadata快取來減少存取延遲，特別有助於含有大量小型檔案與metadata的應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%962%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的容器化核心架構</strong></span></p> <p><span style="color:#696969;"><strong>有別於一般的檔案系統，WekaFS檔案系統既非裸機部署，也非透過VM部署，而是將核心元件部署在Linux容器（LXC）的用戶空間內，並透過自身的RTOS作業系統來調度硬體資源，擺脫對於Linux Kernel的依賴，有助於提高部署彈性，並提高效能、減少延遲。</strong></span></p> <p><span style="color:#696969;"><strong>為了獲得最佳化的效能，WekaFS的網路堆疊架構也不同於一般檔案系統，核心元件與底層硬體或上層應用程式的連結，都採用專屬的架構，而非一般常見的通用介面，例如WekaFS是透過專屬的SSD Agent與DPDK網路介面，分別用於連結NVMe SSD與網路卡，繞過了Linux Kernel。用戶端與儲存端的連結，也是採用專屬的Weka over UDP協定。</strong></span></p> <p><span style="color:#696969;"><strong>而在用戶端方面，這裡採用專屬的虛擬檔案系統（VFS）驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面。</strong></span>圖片來源／WekaIO，立捷速能</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>單一命名空間下的多檔案系統架構</strong></span></span></p> <p>許多Scale-Out NAS的檔案系統，都只支援單一檔案系統搭配單一命名空間，然後再透過目錄與配額來分派資源，對於不同的獨立用戶群組，必須建立新的獨立檔案系統與命名空間，以致形成不易管理的多個儲存孤島，而且，為了維持效能，還須避免目錄容量過大，導致必須建立更多的目錄，也增加管理的複雜性。</p> <p>相較之下，WekaFS則可在全域命名空間（global namespace），建立多個檔案系統（最多1,024個），每個檔案系統有獨立的用戶群組、存取權限、儲存分層設定與快照策略，還能即時變更容量，可靈活地調整儲存資源配置。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>彈性的部署型態</strong></span></span></p> <p>將WekaFS軟體安裝到基於Intel Xeon Scalable，或是AMD EPYC處理器的標準伺服器上，就能構成用於提供儲存服務的Weka儲存主機，WekaIO建議的最低安裝規格如附表所示，對於儲存裝置與網路介面規格的要求較高。</p> <p>在儲存裝置方面，每臺儲存節點須配備至少4臺NVMe SSD；網路卡方面雖然10GbE就能滿足最低要求，但WekaIO建議採用100GbE以上規格，才能獲得預期效能，WekaFS目前最高可支援200GbE與200Gb的InfiniBand HDR網路。</p> <p>一個WekaFS叢集環境最少需由6臺Weka儲存主機組成，以提供容忍其中2臺主機失效的可用性。最大叢集規模可達上千臺儲存主機，某些OEM廠商的資料甚至聲稱可達8,000臺儲存主機以上。</p> <p>在建置系統時，用戶可以選擇下列3種型式來部署WekaFS</p> <p>● 超融合式部署：將WekaFS安裝到運算節點上，與前端應用程式共享硬體資源，以便節省額外的儲存節點開銷。</p> <p>● 專用儲存伺服器部署：將WekaFS安裝在獨立的儲存伺服器上，不影響既有的運算節點架構，所有硬體資源都為WekaFS使用，也不受應用程式端的故障影響，具備較佳的效能、可靠性與擴展彈性。</p> <p>● 公有雲部署：將WekaFS安裝在公有雲的執行個體或虛擬機器上，如AWS的EC2執行個體，可獲得更彈性的資源配置，以及不受限的擴展能力。</p> <p>值得一提的是，當初WekaIO用於挑戰IO500的WekaFS on AWS測試站，便是標準的WekaFS公有雲部署模式。依據WekaIO的說法，任何用戶都可以仿效他們的做法，基於AWS的EC2執行個體，建構出同樣的高效能儲存平臺。</p> <p><span style="font-size:28px;"><strong>獨特的分層儲存架構</strong></span></p> <p>除了Weka儲存主機內含的NVMe SSD儲存空間，WekaFS也能搭配位於本地端或雲端、基於S3儲存協定的物件儲存設備，構成NVMe SSD加上物件儲存區的雙層儲存架構。</p> <p>而其中物件儲存設備的底層儲存裝置，可以是硬碟，或是硬碟搭配SSD的混合架構。</p> <p>我們只須將S3 Bucket儲存區配置給WekaFS，就可以將命名空間從NVMe SSD層延伸到物件儲存層，如單一命名空間般運作。</p> <p>同時，管理者還可以設定分層儲存政策，讓WekaFS將存取狀態較不活躍的檔案，從NVMe SSD層自動遷移到物件儲存層，藉此實現空間配置的最佳化。</p> <p>比較特別的是，WekaFS的分層儲存架構，是以盡可能讓每個檔案都能獲得高存取效能為優先，即使某個檔案被遷移到物件儲存層，原始檔案也會一直保留在NVMe SSD層上，充當快取使用，用戶仍可快速存取這個檔案，直到為寫入的新檔案覆蓋為止。</p> <p>更進一步來看，即使檔案被降級遷移到物件儲存層，該檔案的metadata始終還是保存在NVMe SSD層，所以，對於前端應用程式來說，所有檔案都是可以立即寫入的，無論檔案本體位於哪個分層上。</p> <p>此外，WekaFS也會透過監控NVMe SSD層的可用容量，當容量消耗到達高水位時，自動將資料遷到物件儲存層，確保NVMe SSD層始終有足夠容量。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料保護架構</strong></span></span></p> <p>如同多數分散式檔案系統，WekaFS也是採用stripe平行分散存取搭配parity的架構，來獲得高效能與資料保護能力。</p> <p>基本上，WekaFS的資料保護是以「故障域（Failure Domain）」為運作單位，1個故障域通常是1臺儲存主機，也可以是1座機架或公有雲服務區域，WekaFS會將寫入的資料分割為4k區塊組成的stripe，並產生parity，然後分散寫入儲存叢集的各個故障域儲存主機上。</p> <p>關於stripe的深度，我們可設為4到16之間的數值，一般而言，規模越大的儲存叢集，可以使用更大的stripe設定值，從而得到更高的效能。</p> <p>至於parity，則可設置為+2或+4，一般環境使用+2即可，若為數百臺規模的大型叢集，則可選用+4的設定，這可提供較常見的3副本架構更高的保護能力。</p> <p>在6臺儲存主機的最小叢集組態下，WekaFS支援4+2的stripe與parity設定，能承受2臺儲存主機或2個故障域失效。</p> <p>1個故障域內無論多少元件故障，WekaFS都視為單一故障域的失效，透過WekaFS的專屬演算法，屬於同一stripe的區塊，不會寫入同一個故障域，而會分散到不同故障域中，因而損失一個故障域的儲存主機時，只會損失stripe的單一區塊。WekaFS可利用parity重建損失的資料區塊，然後分散寫入其餘完好的故障域。同樣的，WekaFS用於因應元件失效的備用容量（spare space），也是均勻分散在所有故障域，所以當叢集出現失效元件時，是由叢集剩餘所有完好故障域一同提供備用容量。</p> <p>這也意味著，WekaFS的資料重建作業，是由所有完好的故障域主機一同參與，不會形成熱點，而且，叢集規模越大，參與重建的儲存主機越多，重建速度也將會越快。</p> <p>這種分散式的虛擬化備用容量架構，與當前許多新一代分散式RAID技術十分相似。然而，WekaFS是檔案系統，並不像RAID是在更底層的區塊層級上運作，因而WekaFS能識別儲存區中檔案實際占用部分，在執行資料重建時，能夠只重建受裝置故障影響的部份檔案，從而節省可觀的時間。</p> <p>相形之下，多數的RAID在執行重建時，由於區塊層級無法識別上層檔案的實際占用狀況，以致必須重建那些受影響設備或裝置上的所有區塊，包括空白區塊，因此，分散式RAID的資料重建速度，理論上要遜於WekaFS。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料服務功能</strong></span></span></p> <p>基於在WekaFS叢集本身的保護機制之餘，用戶也能透過WekaFS內含的快照功能（snapshot），來為個別的檔案系統製作副本，作為資料保護用途。</p> <p>WekaFS的快照是以檔案系統為單位運作，每個檔案系統允許建立最多4,096份快照副本，並可選擇建立唯讀或可讀寫兩種類型的快照（其中唯讀快照可轉換為可讀寫快照）。除了一般的指針式快照外，亦能建立檔案系統完整的Clone副本，但較消耗空間。</p> <p>另外，用戶還能利用WekaFS新提供的Snap-to-Object功能，將指定快照副本的完整資料（含metadata），複製到本地端或雲端的外部物件儲存設備上，作為遠端的備份副本使用，一旦來源端WekaFS叢集發生問題時，我們可以利用副本進行還原，或是將副本掛載到另一個WekaFS叢集上。</p> <p>Snap-to-Object這項功能可視為基於快照的非同步遠端複製，當第一次Snap-to-Object作業完成後，後續快照都是以增量方式傳輸與儲存，可大幅縮短作業時間。另外WekaFS還能以遠端備份功能，將快照傳送到第2座物件儲存設備上，構成3站點保護架構。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>系統管理與安全管理</strong></span></span></p> <p>WekaFS提供了網頁式GUI控制臺、命令列（Command Line Interface）、REST API等3種管理方式，後2者都是以指令方式運作，而GUI控制臺則能以儀表板方式顯示系統狀態，並透過點選方式，執行建立、擴展檔案系統，設定分層儲存政策，以及資料保護、加密、存取路徑與各式資料服務操作。</p> <p>在安全性方面，WekaFS支援3種存取權限管制機制，包括：LDAP、微軟的Active Directory，以及RBAC （Role-Based Access Control）。</p> <p>而在用戶的權限配置上，WekaFS則分為下列5種等級：叢集管理者（擁有管理WekaFS叢集全部權限）、組織管理者（多租戶環境下，可管理所屬租戶範圍的全部權限）、正常使用者（可掛載與存取檔案系統，但不能操作管理控制臺與CLI指令）、唯讀用戶（只能掛載與讀取檔案系統，不能寫入資料），以及S3使用者（只能執行S3物件儲存指令）。</p> <p>WekaFS也提供完整的全面加密功能，如遵循FIPS 140-3等級1標準的密鑰，以及XTS AES 512位元加密，用戶建立檔案系統的時候，可選擇是否啟用加密保護。WekaIO宣稱，啟用加密功能之後，對於WekaFS整體效能的影響很低，幾乎可以忽略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%963%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的控制臺介面</strong></span></p> <p><span style="color:#696969;"><strong>在系統管理介面上，WekaFS提供網頁控制臺與命令列等兩種選擇，上圖為用於參與IO500測試的WekaFS on AWS叢集的圖形介面（GUI），提供直觀的系統狀態儀表板，並能透滑鼠點選來執行組態設定與資料服務功能。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>與容器應用與AI平臺的整合</strong></span></span></p> <p>針對日漸普及的Kubernetes容器應用環境，WekaFS也特別提供專門的CSI（Container Storage Interface）Plug-in程式，作為Kubernetes的持續性儲存區（Persistent Volumes，PVs）連接WekaFS的介面，利用CSI介面還能使用容量配額功能，以此管理容器端應用程式的空間耗用。</p> <p>而針對高效能分散式平臺的一大主要應用情境——AI與機器學習應用，WekaIO也提出了標準的參考架構，幫助用戶的整合。</p> <p>透視WekaIO的AI參考架構，主要是安裝在8臺HPE ProLiant DL325伺服器而成的8節點WekaFS儲存叢集，搭配1至4臺Nvidia的DGX A100運算伺服器，WekaFS儲存叢集以200GbE網路連到2臺Nvidia Spectrum SN3700交換器，再以100GbE網路連接DGX A100，至於多臺DGX A100之間，則利用200Gb InfiniBand HDR網路互連。</p> <p>關於上述AI參考架構的組態，WekaIO已測試與驗證，在實際應用環境中，還可進一步擴充WekaFS儲存叢集的規模，獲得額外效能與容量。</p> <p><span style="color:#000000;"><span style="font-size:28px;"><strong>新世代檔案系統的標竿</strong></span></span></p> <p>與既有的分散式平行檔案系統相比，WekaFS同樣具備高擴展性與高效能，還擁有一系列嶄新的特性，包括基於NVMe SSD最佳化的底層儲存架構設計，容器化與微服務化的部署型態，涵蓋物件儲存的多協定支援與分層儲存，還有基於分散架構的高速資料重建能力等，可說實現了當前對於新一代分散式檔案系統的期望，兼具高效能、高擴展性、靈活的部署型式、彈性的應用環境支援，以及高可靠性與安全性。</p> <p>基於上述理由，WekaFS也獲得眾多一線大廠的青睞，以將WekaFS引入自身產品線，作為提供AI、巨量資料分析應用的儲存平臺，也讓WekaIO的影響力跨出自身品牌之外。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><span style="font-size:48px;"><span style="color:#3399ff;">其他廠商的WekaFS儲存產品</span></span></p> <p> </p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 36px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-WekaFS%E4%B8%BB%E5%9C%964%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO(2).png" style="width: 600px;" /></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hitachi Vantara HCSF </span> </strong></span><strong style="color: rgb(105, 105, 105);">HCSF是由WekaIO的WekaFS檔案系統，結合Hitachi Vantara伺服器而成的分散式儲存系統。</strong><span style="color: rgb(105, 105, 105);">圖片來源／Hitachi Vantara</span></p> <p><strong>憑藉著經過多次實證的高效能表現，WekaIO的WekaFS獲得眾多一線大廠的青睞，成為高效能運算領域最炙手可熱的新興檔案系統。目前已知有Cisco、Dell、Lenovo、HPE、Hitachi Vantara等大廠，都陸續將WekaFS引進自身產品線，將自身的硬體與WekaFS整合，作為支援AI、機器學習等應用的高效能儲存平臺。</strong></p> <p><strong>臺灣企業或組織若有意評估這項解決方案，可洽詢WekaIO代理商立捷速能取得原版WekaFS，也能從Hitachi Vantara取得OEM版的WekaFS產品，稱為Hitachi Content Software for File（HCSF）。</strong></p> <p><strong>HCSF系統的核心同樣也是WekaFS，與WekaIO原廠產品相比，特色是儲存節點的預先整合，以及提供了預設的物件儲存設備搭配方案。</strong></p> <p><strong>透過WekaFS與伺服器預先整合，Hitachi Vantara組成完整的儲存節點套件，可簡化用戶的建置與部署作業。不久之前，Hitachi Vantara更新與擴展HCSF的硬體規格，該公司最初提供的HCSF硬體，主要搭配Advanced Server系列當中的DS120伺服器，採用1U尺寸的機箱，預設搭載Intel Xeon Silver 4214或Xeon Gold 6226R處理器，以及192GB記憶體。</strong></p> <p><strong>現在HCSF則有4U／8槽、1U／10槽、2U／20槽等3種硬體款式，前2者搭載的處理器都是AMD EPYC 7413，後者則為AMD EPYC 7713，記憶體容量分別為每節點128 GB、256 GB、512 GB，儲存裝置組態更為多樣，效能也隨之提升。</strong></p> <p><strong>同時，Hitachi Vantara另一款物件儲存產品Hitachi Object Platform（HCP），也提供與HCSF整合的選項，用戶可省下為HCSF找尋其他的物件儲存設備的麻煩。HCP可提供高擴展性，由SSD與硬碟組成的低成本物件儲存空間，只須將其物件儲存空間，以S3協定掛載給HCSF，便能作為後者WekaFS擴展的物件儲存空間，組成分層儲存架構。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/wekaio">WekaIO</a></div><div class="field-item odd"><a href="/tags/wekafs">WekaFS</a></div><div class="field-item even"><a href="/tags/%E9%AB%98%E6%95%88%E8%83%BD%E9%81%8B%E7%AE%97">高效能運算</a></div><div class="field-item odd"><a href="/tags/hpc">HPC</a></div><div class="field-item even"><a href="/tags/nvme-ssd">NVMe SSD</a></div><div class="field-item odd"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E6%9C%8D%E5%8B%99">微服務</a></div><div class="field-item odd"><a href="/tags/%E5%88%86%E6%95%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">分散式儲存系統</a></div></div></div>
2022/6/20 07:00作者張明德https://www.ithome.com.tw/tech/151471
金融資安重固本與新科技風險，金管會下一步推軟體供應鏈安全
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情不只帶來考驗，也加速了金融創新與變革，零接觸金融進一步走向高峰，「今年底可望達到6兆臺幣！」金管會資訊服務處處長蔡福隆說。這是金管會2021年制定的非現金支付交易金額目標，原本計畫3年達成每年6兆元交易額，在疫情衝擊下，信用卡、ATM、電子支付和儲值卡等付款方式成為首選，有望提早在今年達標。</p> <p>不只零接觸金融，整體金融數位轉型也受到疫情推波助瀾，比如業者們更重視異業結盟，將金融服務帶入客源更廣的生態圈、嵌入民眾生活，而靠IT支援全通路經營的模式更成為主流，這種整合線上線下服務，放在金融場景，等於將實體分行與線上客戶業務需求，收件後統一由一個作業管理中心處理，前臺專注快速回應客戶需求即可。</p> <p>為因應這些多元的數位金融需求，不少金融機構展開核心系統大改造，不論是小核心、大周邊的架構，還是敏前臺、強中臺、穩後臺，又或是借助AI自動化分擔分析工作，都是IT支援轉型創新的手段。</p> <p>這種IT力，在疫情中尤為重要。「金融是資訊高度密集的產業，金流就是資訊流，」蔡福隆指出：「疫情中沒有好的IT，就無法支援業務。」</p> <p>但IT發展創新，也得顧及風險，尤其在數位世界中，資安更是一大風險。他點明，金融資安重點，不外乎固本與新興科技把關，固本是指落實基本功，如流量監控、嚴守第一道防線，事件發生時能迅速因應等。新興科技把關，則是要因應金融科技發展的新技術風險，諸如eKYC、身份驗證、行動應用、雲端和供應鏈等風險。</p> <p>這正是金管會近幾年制定許多資安要求的原因，要將資安這個煞車配套措施做好，金融機構才能放心加速前進。</p> <p><span style="font-size:28px;"><strong>要求設置專責單位和副總層級資安長，先強化全機構資安文化</strong></span></p> <p>其中，設置資安專責單位和副總階級的資安長，就是金管會祭出的重大資安要求之一。金管會在2020年發布的金融資安行動方案中就規畫，先要求30多家金融機構與純網銀設置資安長。</p> <p>設置專責單位和資安長這類強制性監理要求，以及近年來一系列資安規範，就像是宣告金融業者，不得不挪出資源多做一些事。金管會這些高度監管措施背後，其實隱含一個更重要的戰略。</p> <p>這個戰略，就是要推動企業全體重視資安文化，由上而下培養資安意識。蔡福隆指出，設置專責資安單位，「就像是品管一樣，」是機構資安的第二道防線，來把關各第一線部門的資安措施是否合規。再搭配副總層級的資安長，機構就能從更高、更全面的角度，來調度資源、協調不同部門落實資安規範，帶動全機構重視資安議題。「資安不單只是資安單位的任務，也不只是IT單位的工作，」蔡福隆表示，而是全組織動起來才能發揮最大效益。</p> <p>他也指出，設置副總層級資安長的要求，在今年3月正式達標。金控、銀行業者已全數設置了副總層級資安長，營收兆元以上的保險業者也已落實，證券則是分級進行。金管會也將這個成功經驗，進一步推廣到上市櫃公司，在去年宣布，鼓勵上市櫃公司分三級設置專責單位與資安長。</p> <p>金管會要求組織重視資安的力道，不只如此。去年11月，他們推出新政策，要求上市櫃公司（包含金融業者）在後年年報中，開始揭露資安架構、資安政策、投入資源，以及因應資安事件的作法等訊息，作為營運公開資訊之一。</p> <p>這是要求組織重視資安的另一個作法，同時也讓金管會，有能力掌握金融業者資安現況。目前，已有幾家金融業者和上市櫃公司，早一步在今年公開的年報中，自行先揭露了資安策略。</p> <p><span style="font-size:28px;"><strong>不只適用單一組織，由上而下也能推動跨組織聯防</strong></span></p> <p>金管會近年資安推動策略，不少是由上而下來推動資安的策略。蔡福隆去年底有次演講時也直言，金融聯防機制的設計，也採取了由上而下，以資源共享的理念來規劃。比如，不只在銀行、證券等金融機構，各自設置了應變小組，更上一層的金控，也得設置專屬資安應變小組（CERT），當旗下機構發生資安事件時，金控可以有能力共享資源、支援旗下資安能力較弱的機構。</p> <p>這種上下支援和聯防的模式，也延伸到跨產業組織，例如銀行公會、證交所各自設置應變小組，當金控難以支援體系下機構時，就能求助公會或證交所應變小組。再更上一層，當跨產業資安事件發生時，層次更高的金管會F-ISAC和F-CERT，就能提供資源、協助不同產業業者解決問題。這正是由上而下，一層層建立應變能力的策略。</p> <p>金管會所勾勒的資安聯防體系中，除了負責事發後應變的各級資安應變組織之外，還包括了聚焦事前預防的金融資安資訊分享與分析中心（F-ISAC）、事中監控的金融資安監控中心（F-SOC）。這些官方聯防機制，從無到有至今也3、4年了，蔡福隆正是關鍵推手。</p> <p>他回顧，金融資安聯防在這幾年進步許多，早期，金融業者單打獨鬥，獨自攬起所有資安工作。但2017年，金管會成立F-ISAC，提供情資分享、應變協處、監控防護、演練以及教育訓練等服務，聯防概念開始興起，業者們也開始明白，資安也能集眾人之力來強化。</p> <p>比如，2年多前，數家證券期貨業者遭受分散式阻斷服務（DDoS）攻擊，F-ISAC與證交所聯手，扮演情資蒐集、分析角色，並將攻擊流量等分析結果回報給證交所、F-CERT，進行後續處理。F-ISAC也肩負協調角色，協助券商與電信業者、政府其他機關溝通。「那次合作讓人安心，」蔡福隆表示，當時攻擊流量雖然時而增加，但聯防機制讓業者感到放心，他們知道遭遇資安事件不再是單打獨鬥，而是透過F-ISAC聯防機制協調，串聯其他機構一起對抗攻擊。</p> <p><span style="font-size:28px;"><strong>參考行政院GCB設計金融專屬組態基準</strong></span></p> <p>聯防機制不只在攻擊發生時發揮作用，平時還有不少未雨綢繆的預防措施，像是分享其他產業的資安事件情資、定期攻防演練，以及供業者交流經驗的教育訓練課程等。</p> <p>甚至，金融資安監控中心（F-SOC）還參考行政院政府國家資通安全會報技術服務中心制定的政府組態基準（GCB），發展出一套金融業專屬的電腦系統組態基準（FCB），也就是一系列IT系統安全設定，來給金融機構參考。其中，Windows版的FCB已於去年底釋出，Linux版本也隨之公布，近期仍在優化中。</p> <p>除了FCB，F-SOC也時時提供監控組態基準，來給金融業者參考。這類監控組態基準，是針對常見的駭客入侵手法而設置，比如防火牆設定，來強化金融業防禦能力。</p> <p>這種先想一步、設置對應標準的車同軌作法，也是金管會資安聯防的另一成果。對這套聯防體系，「我只有2個期許，」蔡福隆繼續說：「一是做好服務，讓人感到貼心，再來是，F-ISAC成立後，不要再發生重大資安事件。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIO%E6%8A%BD%E8%A8%80.jpg" style="width: 480px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>金管會資訊服務處處長蔡福隆表示，資安文化要由上而下推廣，由專責單位搭配副總層級資安長，來強化第二道防線，並由資安長調度資源、協調部門合作。</strong></span></span></p> <p><span style="font-size:28px;"><strong>持續加強資安韌性，年底將推出供應鏈風險管理相關規範</strong></span></p> <p>不過，金融資安不可能完美，總有需要改進之處。蔡福隆點出，資安韌性尤為重要，總會有新的挑戰，比如因應停電、國際情勢變動（如俄烏戰爭）等災害應變，或是從駭客攻擊、勒索病毒等快速復原。</p> <p>為確保金融機構有足夠的復原力，金管會本來就要求金融機構進行本地備援和異地備援，在本地資料中心執行核心業務、在異地中心執行次要業務，以便遭遇災害時，能彈性切換。</p> <p>但這樣還不夠，金管會希望進一步確保復原能力。蔡福隆點出，金融資安行動方案，也鼓勵金融機構，定期將核心業務改由備援中心執行，一段時間再切回原中心，如此發生問題時，業者才敢快速切換。</p> <p>他也透露，目前已有不少業者採行這種作法。金管會每半年，也會針對證券市場舉行一次會測，要求證券所和券商，將重點業務切換至備援中心執行，一段時間後再切換回來。「只要交易所出問題，業者有把握在40分鐘內切換完成，」他說。</p> <p>除了資安韌性，金管會也聚焦供應鏈資安風險，參考美國軟體供應鏈安全的做法，其中一項就是，美國開始在政府採購中要求軟體業者提供軟體材料清單（SBOM）。進一步來說，SBOM是一份軟體元件組成表，就像是食品營養成分標示一樣，來讓企業了解軟體組成、內部模組和所有相關的元件，進而可以用來降低軟體供應鏈的風險。參考國外經驗，金管會預計在今年年底前，於金融資安行動方案中，揭露供應鏈相關資安管理規範。</p> <p><span style="font-size:28px;"><strong>從金融科技到金融資安統籌者，成敗關鍵是超前部署</strong></span></p> <p>2015年至今，蔡福隆陸續擔任了金融科技辦公室執行秘書，以及金融資安政策的核心推手，他平時就養成觀察、思考問題的習慣，提前規劃各種新點子，口袋中總有好幾個可隨時端出、侃侃而談的新計畫。他深信「超前部署是成敗關鍵，」不少他參與的資安規範，就是為了因應金融轉型採用新興科技的風險把關。</p> <p>不只超前部署，蔡福隆對工作還有另一個堅持：不管做什麼，都要以成為其他產業可參考的最佳示範為目標，他也常告訴同仁：「不只是達標，還要能讓人來借鏡、學習。」</p> <p>例如金管會推動由上而下的資安聯防機制，就是以最佳示範為目標來實作，後來也果真成了醫界參考的聯防作法。從超前部署思維，到成為最佳示範的堅持，都是金管會資訊服務處不斷追求金融革新的動力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#696969;"><strong>金管會資訊服務處處長蔡福隆</strong></span></p> <p>學歷：交通大學經營管理研究所博士畢業</p> <p>經歷：2007年進入行政院主計處，擔任電子處理資料中心組長，後來升任副主任。2011年成為行政院主計處主機資訊處副處長，直至2013年7月，蔡福隆調任至金管會擔任資訊服務處，擔任處長至今，負責金管會IT政策與治理，以及金融資安相關策略</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>金融監督管理委員會</strong></p> <p>地址：新北市板橋區縣民大道二段7號18樓</p> <p>成立時間：2004年7月</p> <p>主要業務：綜理金融市場及金融服務業之發展、監督、管理及檢查業務</p> <p>員工數：894人</p> <p>網址：<a href="http://www.fsc.gov.tw">www.fsc.gov.tw</a></p> <p>主委：黃天牧</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資訊部門檔案 </span></span></strong></p> <p>資訊服務處主管職稱：資訊服務處處長</p> <p>資訊服務處主管姓名：蔡福隆</p> <p>直屬主管：金管會主委及副主委</p> <p>資訊服務處人數：18人</p> <p>資訊服務處分工：分資訊科及資安科二科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記：</span></strong></span></p> <p>2015年：推動金融周邊機構大數據應用分析計畫，提升金融監理資料分析能力</p> <p>2017年：推動成立金融資安資訊分享及分析中心（F-ISAC），建立金融資安聯防機制</p> <p>2018年：推動成立金融電腦緊急應變小組（F-CERT）；建構金管會暨所屬4局資料中心，推動資訊資源向上集中；推動金融資料開放應用，榮獲國發會3大奬</p> <p>2019年：與國發會合推MyData應用，在民眾授權下，金融機構可直接介接MyData平臺，便利申辦各項金融服務；推動成立金融資安監控中心（F-SOC），建立金融資安監控聯防機制；整合本會及所屬四局電子公文線上簽核系統</p> <p>2020年：制定金融資安行動方案</p> <p>2021年：推動監理科技應用，導入AI應用於監理業務</p> <p>2022年：推動金管會數位轉型計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ciozhu_tu_-960.jpg" width="960" height="420" alt="" title="金管會資訊服務處處長蔡福隆" /></div></div></div>
2022/6/20 07:00作者王若樸https://www.ithome.com.tw/people/151481
【資安週報】2022年6月13日至17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自5月底引起許多研究人員關注的Windows診斷支援工具（MSDT）零時差漏洞CVE-2022-30190（亦稱Follina），微軟在6月的例行修補（Patch Tuesday）裡發布相關更新程式，而在上週有不少研究人員揭露相關攻擊事故後，最近烏克蘭電腦緊急應變小組（CERT-UA）指出，這項漏洞俄羅斯駭客組織Sandworm疑似在4月就開始利用。</p> <p>內容管理平臺WordPress的外掛程式弱點，成為攻擊者下手的對象，不時有事故傳出，而在本週有表單外掛程式Ninja Forms，疑似因程式碼注入漏洞已被用於攻擊行動，使得WordPress罕見地再度透過強制更新的手段，推送新版Ninja Forms給WordPress網站。</p> <p>最近幾年駭客大肆針對電商網站發動網站側錄攻擊，過往大多針對Magento電商網站而來，但最近駭客組織Smilodon將目標轉向市占極高的WooCommerce電商平臺，攻擊其後臺而不易被察覺異狀。這樣的情形使得研究人員提出警告，因為針對這類電商平臺的攻擊行動很可能會越來越頻繁。</p> <p>網頁應用程式框架Telerik UI的漏洞攻擊也相當值得留意，研究人員揭露新一波的資安事故，但這次攻擊行動，駭客運用的是3年前的已知漏洞。研究人員指出很多組織的網頁應用程式可能委外架設，後續缺乏維護，而讓攻擊者仍能利用相關漏洞。</p> <p>勒索軟體攻擊的態勢也相當值得留意，本週有資安人員發現，駭客組織BlackCat（亦稱Alphv）採用了新的雙重勒索手法，他們架設了類似<a href="https://haveibeenpwned.com/">Have I Been Pwned</a>（HIBP）外洩密碼查詢網站，疑似是為了讓受害組織的員工、客戶確認自己的個資外洩，進而讓這些人向組織施壓，使得受害組織願意低頭向駭客付錢。</p> <p>而在漏洞揭露的部分，Hertzbleed的處理器旁路攻擊手法相當值得留意，因為Intel全部的處理器產品，以及AMD採用Zen 2與Zen 3微架構的產品都會曝險，但這兩家廠商目前都不打算推出修補程式。</p> <p>本週的資安產業動態裡，有一則消息特別引人注目，那就是美國國防承包商傳出打算買下網路間諜公司NSO Group，且美國政府也知情此事，但此消息一出也引發爭議。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/160530"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm疑在2個月前開始利用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png" style="width: 300px; float: right;" /></a>與Windows診斷支援工具（MSDT）有關的零時差漏洞CVE-2022-30190（亦稱Follina），6月初已傳出被用於攻擊烏克蘭，但實際上在2個月前可能就有相關攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月10日發布資安通告指出，俄羅斯駭客組織Sandworm疑似自4月開始，利用Follina發動攻擊。</p> <p>攻擊者鎖定超過500名廣播電臺與報紙的從業人員，以提供互動式地圖服務的網址名單為由，發送帶有Word檔案為附件的釣魚郵件。收信人一旦開此附件檔案，電腦將會執行檔名為2.txt的JavaScript程式碼，進而載入惡意程式CrescentImp。CERT-UA提供了入侵指標（IoC）供組織偵測相關攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/06/psa-critical-vulnerability-patched-in-ninja-forms-wordpress-plugin/"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Ninja Forms漏洞已遭利用</span></a></strong></h3> <p>提供WordPress網站管理者建置表單的外掛程式存在漏洞，有可能導致網站遭受攻擊。資安業者Wordfence指出，外掛程式Ninja Forms最近推送新的版本，原因很可能是為了修補一項程式碼注入漏洞（尚未取得CVE編號），駭客一旦利用這個弱點，就有可能在未通過身分驗證的情況下，從這個外掛程式的類別（class）呼叫數種方法，包含一種將使用者提供的內容非序列化的方法，從而導致物件注入攻擊。當網站上的屬性導向程式設計（Property Oriented Programming，POP）鏈存在時，攻擊者可藉此能夠執行任意程式碼，或是刪除網站上任意檔案。研究人員指出，他們找到這項漏洞已遭到攻擊者廣泛利用的跡象，呼籲WordPress用戶應儘速安裝已修補的新版套件。</p> <p>資安新聞網站Bleeping Computer指出，自開發商於6月14日發布新版套件以來，已有73萬次下載，有如此數量的網站更新該外掛軟體，原因很可能是WordPress採取了強制更新的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sucuri.net/2022/06/smilodon-credit-card-skimming-malware-shifts-to-wordpress.html"><span style="color: rgb(0, 0, 0);">Smilodon駭客組織鎖定WordPress網站發動側錄攻擊</span></a></strong></h3> <p>最近幾年駭客鎖定電商網站下手，進行網站側錄（Web Skimming）攻擊的情況，尤以針對Magento架設的網站最為氾濫，但如今有人開始將目標轉移到不同的電商網站平臺。</p> <p>資安業者Sucuri指出，他們在追蹤駭客組織Smilodon的Magecart攻擊行動中，發現這些駭客自2021年12月開始，將攻擊目標從原本的Magento平臺，轉向執行WooCommerce電商平臺元件的WordPress網站，且攻擊者的側錄程式在PHP後端運作，而使得用戶端的防毒軟體難以察覺信用卡交易資料遭到側錄的跡象。研究人員指出，由於採用WooCommerce架設的電商網站約有4成，攻擊者勢必會將心力集中於這類網站，他們呼籲網站管理者應儘可能採用最新版元件，並避免管理網域遭到未經授權的存取。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/15/telerik-ui-exploitation-leads-to-cryptominer-cobalt-strike-infections/"><span style="color: rgb(0, 0, 0);">駭客利用Telerik UI網頁應用程式框架漏洞部署惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png" style="width: 300px; float: right;" /></a>網頁應用程式框架的舊漏洞，最近又有駭客拿出來利用，而引起研究人員的關注。資安業者Sophos指出，他們在今年5月初發現有人針對網頁應用程式框架Telerik UI下手，利用3年前被揭露的漏洞CVE-2019-18935（CVSS風險評分為9.8分）發動攻擊，於受害系統上植入Cobalt Strike與挖礦軟體。</p> <p>此漏洞與Telerik UI for ASP.NET AJAX元件有關，攻擊者利用RadAsyncUpload功能的.NET反序列化漏洞，並搭配CVE-2017-11317或CVE-2017-11357漏洞取得加密金鑰，就有機會觸發CVE-2019-18935，進而遠端執行程式。</p> <p>由於CVE-2019-18935已在2020年與2021年，被美國政府列入最常遭到利用的資安漏洞清單，研究人員呼籲組織應儘速修補Telerik UI的相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/26m-rps-ddos/"><span style="color: rgb(0, 0, 0);">大規模HTTPS流量DDoS攻擊鎖定Cloudflare免費用戶下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png" style="width: 300px; float: right;" /></a>駭客不只發動DDoS攻擊，還使用了HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻每秒發出2千6百萬次請求（RPS）的大規模DDoS攻擊行動，目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>該公司研判，駭客濫用雲端服務上的虛擬機器（VM）與伺服器主機來發動攻擊。而他們也曾在今年4月攔截類似的攻擊行動，並指出這種使用HTTPS流量的DDoS攻擊手法，駭客會使用大量的垃圾請求，來耗盡目標伺服器的處理器與記憶體資源。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.confiant.com/how-seaflower-%E8%97%8F%E6%B5%B7%E8%8A%B1-installs-backdoors-in-ios-android-web3-wallets-to-steal-your-seed-phrase-d25f0ccdffce"><span style="color: rgb(0, 0, 0);">行動裝置後門程式SeaFlower竊取加密貨幣錢包的通關密語</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png" style="width: 300px; float: right;" /></a>近期出現鎖定安卓行動裝置偷取加密貨幣資產的惡意程式，但也有駭客對iPhone用戶下手。資安業者Cofiant於2022年3月，發現針對Web3使用者而來的SeaFlower攻擊行動，這些駭客建置冒牌的加密貨幣錢包網站，提供帶有惡意程式碼的加密錢包App，進而從安卓與iPhone手機竊取加密錢包的通關密語（Seed Words），將受害者的Coinbase、MetaMask、TokenPocket，以及imToken的錢包洗劫一空。</p> <p>而駭客如何引誘被害人前往冒牌網站，下載假的加密錢包App？答案是這些駭客購買了百度的搜尋引擎最佳化（SEO）廣告，研究人員在百度搜尋引擎輸入download metamask ios並執行搜尋，結果第一個項目就是SeaFlower駭客所架設的網站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-creates-site-for-employees-to-search-for-their-stolen-data/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat架設個資外洩查詢網站，疑透過員工向受害組織施壓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg" style="width: 300px; float: right;" /></a>為了脅迫受害組織付錢，勒索軟體駭客普遍在加密檔案前竊取機密資料，做為後續索討贖金的籌碼，但現在有人打算藉由與受害組織有關的人士來施壓，給予更大的付款壓力。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）近期攻擊美國俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。但與其他攻擊事件不同的是，駭客不只在洋蔥網路（Tor）的網站上公布資料，還架設了類似於個資外洩查詢「Have I Been Pwned」的網站，讓該飯店員工或是客戶，能透過查詢的方式，確認自己的個資是否受到攻擊事件影響。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金，而該飯店可能為了避免員工與住戶的集體訴訟，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat透過ProxyLogon漏洞入侵受害組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）疑似與之前攻擊美國大型油料輸送業者的另一個駭客Darkside有關，而引起研究人員的關注，最近又有相關的動態揭露。微軟近期公布他們對於BlackCat的發現，這群駭客在部分攻擊行動中，對於Exchange伺服器漏洞ProxyLogon下手，而成功進入受害組織的網路環境，進而掌握網域伺服器、管理員帳號，以及網路裡所有的電腦等相關資訊，過了約兩天半，攻擊者藉由PowerShell程式碼ADRecon，收集AD環境的各式資料，然後使用SMB協定或遠端桌面連線（RDP）存取受害電腦，並竊取組織的內部機密資料，最終使用PsExec散布並執行勒索軟體。</p> <p>而對於攻擊者的身分，研究人員至少確定有兩個駭客組織使用BlackCat，分別是DEV-0237（亦稱FIN12）與DEV-0504，前者是從先前使用的攻擊工具為Hive，轉換成BlackCat的用戶，後者則是往往會利用駭客組織LockBit提供的竊密工具StealBit，在加密檔案前下載受害電腦裡的檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/confluence-servers-hacked-to-deploy-avoslocker-cerber2021-ransomware/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞也被勒索軟體駭客利用</span></a></strong></h3> <p>在6月初獲報並修補的Atlassian Confluence漏洞CVE-2022-26134，之前傳出有多個駭客組織用於挖礦攻擊，現在也被勒索軟體駭客盯上。根據資安業者Prodaft、資安研究團隊MalwareHunterTeam，以及微軟的威脅情報團隊，發現勒索軟體AvosLocker、Cerber2021（亦稱CerberImposter）正在利用上述漏洞發動攻擊。</p> <p>Prodaft指出，AvosLocker鎖定尚未修補的Confluence伺服器，發動大規模攻擊，至少在美國、歐洲、澳洲已出現受害組織；MalwareHunterTeam與微軟則發現Cerber2021的攻擊行動，且駭客疑似同時加密了Confluence伺服器的配置檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/helloxd-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Hello XD不只加密電腦檔案，還會植入後門</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x4k-youtube-channel.png" style="width: 300px; float: right;" />新的勒索軟體不只在攻擊過程裡採取雙重勒索手法，還可能進一步部署其他工具在受害電腦常駐。資安業者Palo Alto Networks指出，他們在2021年11月發現名為Hello XD的勒索軟體，疑似從勒索軟體Babuk發展而來，引起他們關注的是其中一個Hello XD執行的過程中，會下載後門程式MicroBackdoor，從而在受害電腦存取、上傳、下載檔案，甚至執行多種命令。</p> <p>而這個駭客組織向受害者索討贖金的管道，主要是透過即時通訊軟體Tox Chat，或是其他藉由洋蔥網路（Tor）連線的即時通訊服務，但沒有透過特定的網站公布受害組織的名稱。根據上述的後門程式進行調查，研究人員認為攻擊者的身分是名為x4k的駭客組織（亦稱x4kme、unKn0wn、L4ckyguy）。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/new-jersey-school-district-forced-to-cancel-final-exams-amid-ransomware-recovery-effort/"><span style="color: rgb(0, 0, 0);">美國紐澤西州學校因遭勒索軟體攻擊取消期末考</span></a></strong></h3> <p>美國學校因勒索軟體攻擊影響運作的情況頻傳，近期有林肯學院因延誤招生工作而被迫閉校，現在又有學校因攻擊事故而停擺。根據資安新聞網站Recorded Future的報導，位於紐澤西州的公立學區Tenafly Public Schools，於6月2日遭到勒索軟體攻擊，校方正在復原相關系統，並決定取期未考。</p> <p>該校區聯絡經理Christine Corliss表示，他們在發現學校有檔案無法正常存取後，就委由網路安全專家協助調查，進而確認遭到勒索軟體攻擊，這些專家隨後亦聯繫美國聯邦調查局（FBI）、當地執法機關、資安險業者，但沒有透露是遭到何種勒索軟體攻擊。該名經理指出，目前資安人員已復原Google Workspace、Google Classroom、Google Drive的運作，而在此之前，師生則是透過投影機、紙筆進行教學，雖然系統復原狀態良好，但她無法保證完全恢復正常的時間。</p> <p>一名不願具名的學生家長向該新聞網站投訴，Google Classroom、評分系統等都無法使用，但校方行政部門對於此事始終三緘其口，沒有進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shopriteholdings.co.za/articles/Newsroom/2022/possible-data-compromise.html"><span style="color: rgb(0, 0, 0);">非洲大型連鎖超市Shoprite遭駭客勒索</span></a></strong></h3> <p>近年來開發中國家逐步數位化，遭到網路攻擊的情況也有數起事故。非洲大型連鎖超市Shoprite於6月10日證實，該公司疑似遭到駭客入侵，部分客戶姓名與身分證字號外洩，曾在史瓦帝尼、納米比亞，以及尚比亞等國家匯款的客戶受到波及，但外洩資料不含銀行帳號或其他金融資訊。該公司已發送簡訊通知相關客戶，並呼籲不要在電話、簡訊、電子郵件等管道進行溝通時，隨意透露個資。</p> <p>而<a href="https://www.bleepingcomputer.com/news/security/extortion-gang-ransoms-shoprite-largest-supermarket-chain-in-africa/">根據資安新聞網站Bleeping Computer的報導</a>，這起事故疑似勒索軟體駭客組織RansomHouse所為，該組織也在加密通訊軟體Telegram的頻道指出，Shoprite竟使用明文存放客戶資料，該組織與受害公司接洽後，對方只是變更密碼了事。RansomHouse宣稱不只取得對方的客戶資料，亦包含其他內部資料，假若Shoprite沒有做出符合他們期待的回應，駭客將會將竊得的資料出售。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/new-p2p-botnet-panchan"><span style="color: rgb(0, 0, 0);">P2P殭屍網路Panchan鎖定教育單位的Linux伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/admin-panel.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/admin-panel.png" style="width: 300px; float: right;" /></a>駭客鎖定Linux伺服器發動攻擊的現象，近期可說是越來越頻繁，且手法日趨隱密。資安業者Akamai發現了從2022年3月開始行動的殭屍網路Panchan，該殭屍網路主要的攻擊目標是Linux伺服器，駭客使用Go語言打造其殭屍網路病毒，該惡意軟體採用了SSH字典攻擊來入侵受害伺服器，同時也進一步企圖獲取SSH金鑰來進行橫向移動。在成功入侵受害伺服器後，Panchan會開啟可執行檔，向Discord Webhook發起HTTPS POST請求，這麼做的目的很可能是為了進行監控。該殭屍網路病毒為了能持續在受害伺服器上運作，會將自己複製到/bin/systemd-worker，並建立新的systemd服務，同時將自己偽裝成一般的系統服務，且會在伺服器開機後啟動，進而執行挖礦軟體xmrig與nbhash，這些挖礦軟體都在記憶體內執行而難以察覺。</p> <p>研究人員發現有209臺受害伺服器，當中有40臺正在挖礦，大部分受害伺服器都位於教育單位，遍布臺灣、香港，以及西班牙。研究人員認為攻擊者可能來自日本，並呼籲組織應採用雙因素驗證（MFA）、監控虛擬機器（VM）活動，以及限縮SSH存取的管道，來防範此種攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/davidalvarez/linux-threat-hunting-syslogk-a-kernel-rootkit-found-under-development-in-the-wild/"><span style="color: rgb(0, 0, 0);">Linux蠕蟲程式Syslogk於受害主機載入後門程式</span></a></strong></h3> <p>駭客透過開源專案，針對Linux開發攻擊程式的情況，最近已有數起事故。例如，防毒業者Avast揭露名為Syslogk的惡意程式，這是駭客透過開源的Rootkit程式Adore-Ng開發而來的攻擊工具，能將其模組載入Linux核心，從而隱藏特定的檔案資料夾與網路流量，並在受害主機植入後門程式Rekoobe。</p> <p>研究人員指出，該Rootkit程式第一次載入到Linux核心後，便會將自己從已經安裝的軟體模組清單裡刪除，來規避管理人員檢查，而在後續部署後門程式之後，此後門程式會處於休眠狀態而不會有任何行動，直到上述Rootkit收到攻擊者特定的魔術封包（Magic Packet），後門程式才會開始運作，此後Syslogk依照攻擊者指示啟動或暫停後門程式運作，來降低被發現的機會。研究人員呼籲IT人員要提高警覺，來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/pingpull-gallium/"><span style="color: rgb(0, 0, 0);">中國駭客Gallium利用木馬程式PingPull攻擊電信業者、金融與政府單位</span></a></strong></h3> <p>美國日前針對中國駭客攻擊電信業者的行動提出警告，最近又有研究人員發現，駭客使用難以發現的木馬程式，攻擊電信業。資安業者Palo Alto Networks指出，中國駭客組織Gallium（亦稱Softcell），以攻擊東南亞、歐洲、非洲電信業者在網路犯罪者之間闖出名號，但最近一年該組織擴大其攻擊範圍，也開始對於金融機構與政府單位出手，同時駭客運用了名為PingPull的木馬程式，這個木馬程式提供反向Shell的功能，讓駭客能遠端下達命令。</p> <p>研究人員針對其中3個版本的PingPull進行分析，其共通點是木馬程式都是冒統系統服務的方式運作，但攻擊者疑似規避特定的資安防護系統，這些木馬程式與C2連線的過程中，使用了不同的網路通訊協定：ICMP、HTTPS、TCP。研究人員確定該組織在最近一年內，至少鎖定了9個國家下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/lyceum-net-dns-backdoor"><span style="color: rgb(0, 0, 0);">伊朗駭客利用DNS後門程式對能源組織下手</span></a></strong></h3> <p>伊朗駭客去年多次鎖定關鍵基礎設施（CI）下手的情況，引起歐美高度關注，最近又有新的攻擊行動。資安業者Zscaler揭露駭客組織Lycaeum（亦稱Hexane、Spilrin）近期的攻擊行動，該組織以開源軟體DIG.net為基礎，以.NET打造了新的後門程式，進而發動DNS挾持攻擊，鎖定中東能源組織而來。</p> <p>駭客透過含有伊朗軍事新聞報導的Word檔案作為誘餌，吸引受害者開啟，一旦開啟檔案，攻擊者就會在受害電腦植入DNS後門程式，並執行後續的流量追蹤，或是從C2接收發動攻擊的命令。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/security/25-million-free-vpn-user-records-exposed/"><span style="color: rgb(0, 0, 0);">免費VPN服務疑資料庫配置不當，曝露2,500萬筆記錄</span></a></strong></h3> <p>服務業者的資料庫如果未做好防護，很可能會導致資料外洩而使得用戶的身分曝光。資安新聞網站Cybernews的研究人員指出，他們發現公開的Elasticsearch資料庫，內含免費VPN應用程式BeanVPN產生的2,500萬筆記錄，包含用戶設備的ID、VPN服務ID、來源IP位址，以及連線時間等資料，檔案大小為18.5 GB。</p> <p>研究人員指出，這些資料可以讓攻擊者找到用戶所在的地理位置、連線設備，以及電子郵件信箱等資料。他們多次向提供服務的業者Imsoft通報，但沒有得到任何回應，而上述的Elasticsearch資料庫已經下線。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.hertzbleed.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露Intel、AMD處理器旁路攻擊手法Hertzbleed</span></a></strong></h3> <p>最近幾年筆電的續航力顯著成長，當中處理器的功耗管理機制扮演重要的角色，但這類機制也可能成為駭客發動攻擊的管道。德州大學奧斯汀分校、伊利諾大學厄巴納-香檳分校（UIUC）、華盛頓大學的研究人員聯手，發現了名為Hertzbleed的旁路攻擊手法，一旦攻擊者利用這項漏洞，就能藉由觀察Intel與AMD處理器的動態電壓與時脈調整（DVFS）機制中，所控制的處理器頻率，來竊取完整的加密金鑰。</p> <p>DVFS是時下處理器採用的電源管理功能，能在電腦以高負載運作時避免溫度過高而故障，並在低負載運作時降低功耗。</p> <p>對此，Intel證實旗下全部處理器產品確實存在上述漏洞，並以CVE-2022-24436進行列管，AMD則指出旗下採用Zen 2與Zen 3微架構的產品曝險，包含多個系列的Ryzen產品線，以及第1代與第2代EPYC伺服器處理器等，並將該漏洞登錄為CVE-2022-23823。兩家公司皆提供開發人員緩解措施，但研究人員指出，兩家公司都不打算發布相關修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://pacmanattack.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊蘋果M1晶片的手法PACMAN</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pacman-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pacman-overview.png" style="width: 300px; float: right;" /></a>蘋果自行研發的M1晶片，存在可被用於攻擊的管道而引起研究人員關注。麻省理工學院電腦科學與人工智慧實驗室（CSAIL）揭露名為PACMAN的攻擊手法，駭客可藉由電腦軟體的記憶體相關漏洞觸發，繞過M1系統單晶片（SoC）的指標驗證機制（Pointer Authentication，PAC），來攻擊Mac電腦。研究人員指出，PACMAN會將原本的軟體記憶體執行錯誤，利用原語（Primitive，此處即PAC）來放大效應，攻擊者很可能得以執行任意程式碼。</p> <p>研究人員於去年底向蘋果通報，而該公司認為這種攻擊手法還需要搭配其他漏洞，不會對用戶直接造成威脅。雖然這項手法尚未被用於實際攻擊行動，但CSAIL呼籲Mac電腦用戶，應該使用最新版本軟體來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/travis-ci-security"><span style="color: rgb(0, 0, 0);">軟體開發測試平臺Travis CI恐曝露數千個GitHub、AWS、Docker憑證</span></a></strong></h3> <p>持續整合（CI）服務平臺存在的弱點，很可能導致用戶的雲端服務帳號外洩。資安業者Aqua Security指出，他們發現免費版本的Travis CI在防護措施上的缺失，進而使得用戶的事件記錄（Log）檔案曝光，危及GitHub、AWS、Docker Hub等雲端服務的登入帳密或是Token，超過7.7億筆事件記錄曝光。</p> <p>研究人員發現，透過2個Travis CI的API呼叫，並搭配列舉的命令，他們可取得大量明碼的事件記錄，結果他們從2013年至今年5月，總共截取7.74億筆資料，研究人員以其中1%進行分析，挖掘出7.3萬個帳密或是Token，他們也將相關結果通報給前述的雲端業者，對方已立即回應此事並採取因應措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/critical-code-execution-vulnerability-patched-splunk-enterprise?"><span style="color: rgb(0, 0, 0);">Splunk重大漏洞恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>Splunk於6月14日發布資安通告，指出Splunk Enterprise存在漏洞CVE-2022-32158，這項漏洞與Splunk Enterprise的部署伺服器（deployment server）有關，攻擊者一旦加以利用，可入侵其中一個Universal Forwarder端點後，在其他與相同部署伺服器註冊的Universal Forwarder端點上執行任意程式碼，CVSS風險評分為9.0分。Splunk Cloud Platform（SCP）平臺因不使用部署伺服器元件，該平臺的用戶不受影響。該公司呼籲Splunk Enterprise用戶，升級9.0版軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://support.citrix.com/article/CTX460016/citrix-application-delivery-management-security-bulletin-for-cve202227511-and-cve202227512"><span style="color: rgb(0, 0, 0);">Citrix ADM重大漏洞可讓攻擊者重設管理員密碼</span></a></strong></h3> <p>IT業者Citrix近期針對旗下的應用程式交付的管理平臺Application Delivery Management（ADM），修補CVE-2022-27511、CVE-2022-27512兩項漏洞，攻擊者一旦利用，就有可能透過未經身分驗證的使用者，遠端中斷系統的運作，並在管理者重新啟動ADM後，重設管理員的密碼，進而讓攻擊者能透過SSH連線，並使用預設密碼存取管理者帳號存取ADM。這些漏洞同時會影響伺服器與用戶端軟體，該公司發布13.1-21.53版與13.0-85.19版予以修補，呼籲用戶應儘速升級新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-june-2022-improper-access-control-can-compromise-your-systems"><span style="color: rgb(0, 0, 0);">SAP修補嚴重的NetWeaver漏洞</span></a></strong></h3> <p>SAP於6月14日發布6月份例行修補，當中緩解了17個漏洞，其中包含了數個重大漏洞，其中像是針對用戶端軟體SAP Business Client的更新，導入了Chromium 101.0.4951.54，修補之前版本82個弱點，其中包含了CVSS評分達10分的漏洞，亦有部分已出現攻擊行動。</p> <p>再者，本次SAP也修補了SAPRouter存取控制不當的漏洞CVE-2022-27668，該漏洞CVSS風險評分為8.6分，影響NetWeaver與ABAP平臺；另一個與存取控制有關的漏洞，影響NetWeaver AS Java，CVSS評分為8.2分，有可能導致系統損毀。SAP指出，所幸這些漏洞尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-secure-email-bug-can-let-attackers-bypass-authentication/"><span style="color: rgb(0, 0, 0);">思科修補電子郵件防護系統可被用於繞過身分驗證的漏洞</span></a></strong></h3> <p>思科於6月15日發布資安通告，指出旗下的郵件安全設備Email Security Appliance（ESA），以及管控郵件與網路的Secure Email and Web Manager兩款產品，存在漏洞CVE-2022-20798，一旦攻擊者利用這項漏洞，就有可能在登入介面輸入特定內容，進而繞過外部的身分驗證機制，存取受害系統的網頁管理介面，CVSS風險評分為9.8分，該公司發布新版Async軟體元件予以修補。</p> <p>思科指出，僅有啟用外部身分驗證，並搭配LDAP的用戶才會受到波及，採用預設配置而沒有開啟外部身分驗證機制的用戶不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/"><span style="color: rgb(0, 0, 0);">微軟修補MSDT零時差漏洞</span></a></strong></h3> <p>微軟於6月14日發布每月例行修補（Patch Tuesday），當中總共修補了55個漏洞，其中有1個是零時差漏洞，那就是5月底引起許多研究人員關注的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟針對工作站與伺服器版本Windows發布修補程式，電腦安裝相關更新程式後，將會防堵駭客執行PowerShell注入的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/06/14/security_azure_patch/"><span style="color: rgb(0, 0, 0);">資安業者指控微軟對Azure Synapse Analytics漏洞回應不夠積極</span></a></strong></h3> <p>最近有2家資安業者不約而同指出，微軟對於資料分析服務Azure Synapse Analytics的漏洞處理不甚積極。</p> <p>資安業者Orca Security揭露名為SynLapse的漏洞（CVE-2022-29972）攻擊者一旦利用此漏洞，就有可能繞過資料分析服務的租戶分離機制，來控制其他使用者的工作區。但研究人員指出，他們在今年1月就向微軟通報，該公司從3月開始發布修補程式，卻都修補不全，直到5月底才確實完成修補。</p> <p>無獨有偶，漏洞管理解決方案業者Tenable也指出，他們在今年3月向微軟通報了2個漏洞，其中一個允許攻擊者利用Spark VM的脈絡（context），將提升權限為root；另一個則是可讓攻擊者用竄改Spark池裡所有節點的hosts檔案，然而，該公司指控，微軟僅默默在89天後，修補了權限提升漏洞，另一個迄今尚未修補，也並未對客戶告知這些漏洞的嚴重性。Tenable表示，他們並非少數被微軟輕忽的通報者，而此舉將導致Azure Synapse Analytics用戶不知道已經曝險，是相當不負責任的做法。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cybavo.com/zh-tw/blog/announcing-cybavo-to-join-circle/"><span style="color: rgb(0, 0, 0);">美國Fintech業者併購臺灣資安新創Cybavo</span></a></strong></h3> <p>隨著加密貨幣業者對於資安的需求與日俱增，很可能會買下資安公司強化相關防護。發行美元穩定幣（USDC）的Fintech業者Circle，於6月10日宣布，將買下臺灣資安新創業者Cybavo，期望藉此在旗下產品裡，整合Cybavo加密貨幣資產管理解決方案Cybavo Vault，來強化區塊鏈與Web3的安全。Circle將打算與Cybavo共同推動USDC與Web3，並將Cybavo旗下產品納入Circle產品線並繼續開發。Cybavo也發出聲明，現有客戶將不會受到影響，該公司將持續提供相關產品與服務。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/jun/14/nso-group-pegasus-us-l3harris"><span style="color: rgb(0, 0, 0);">美國國防廠商傳出打算買下網路間諜公司NSO Group</span></a></strong></h3> <p>惡名昭彰的以色列網路間諜公司NSO Group，先前因多個國家政府施壓，而打算將間諜軟體Pegasus相關部門出售，近期竟傳出有美國國防業者打算併購該公司的消息。根據新聞網站Intelligence Online、衛報、華盛頓郵報、Haaretz的報導，美國知名國防承包商L3Harris有意買下NSO Group，主要是為了該公司間諜軟體的核心技術。</p> <p>衛報指出，這項併購案需要經過美國與以色列政府同意，前者將NSO Group列為制裁對象，後者由國防部進行監管，要通過這兩關並不容易。Haaretz指出，此事美國聯邦調查局（FBI）與中央情報局（CIA）都知情；對此一名美國白宮官員向衛報透露，此交易很可能對美國政府帶來嚴重的情報收集問題。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/blog/2022/06/14/microsoft-to-acquire-miburo/"><span style="color: rgb(0, 0, 0);">微軟併購外國網路威脅情資業者Miburo</span></a></strong></h3> <p>為了防範國家駭客與激進主義份子的網路威脅，微軟於6月14日宣布買下網路威脅分析及偵測服務業者Miburo，並計畫在完成併購後，將Miburo整合進微軟客戶安全與信賴事業群，並與該公司的威脅情報中心、威脅情境分析團隊，以及資料科學家等部門合作。外界認為，此項併購案也可能有助於微軟爭取美國政府的資安預算。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.se.com/ww/en/about-us/newsroom/news/press-releases/schneider-electric-and-claroty-launch-%27cybersecurity-solutions-for-buildings%27-reducing-cyber-and-asset-risks-for-smart-buildings-62a32e83abbdca1a52279ba4"><span style="color: rgb(0, 0, 0);">施耐德電機與資安業者Claroty聯手，推出智慧建築資安解決方案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.forescout.com/blog/r4iot-when-ransomware-meets-the-internet-of-things/"><span style="color: rgb(0, 0, 0);">研究人員揭露同時針對IT與OT環境的勒索軟體攻擊手法</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客組織8220也利用Atlassian Confluence伺服器挖礦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pypi-package-keep-mistakenly-included-a-password-stealer/"><span style="color: rgb(0, 0, 0);">PyPI套件Keep疑似被植入竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-exposes-an-iranian-phishing-campaign-targeting-former-israeli-foreign-minister-former-us-ambassador-idf-general-and-defense-industry-executives/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定以色列與美國前官員發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sonarsource.com/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra漏洞恐讓攻擊者竊取用戶明文密碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.syss.com/posts/rooting-mitel-desk-phones-through-the-backdoor/"><span style="color: rgb(0, 0, 0);">Mitel旗下IP電話存在漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/06/vuln-spotlight-anker-eufy-homebase.html"><span style="color: rgb(0, 0, 0);">Anker Eufy智慧家庭裝置存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.f5.com/labs/articles/threat-intelligence/f5-labs-investigates-malibot"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MaliBot鎖定義大利和西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/13/hydra-android-malware-distributed-via-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬Hydra鎖定歐洲銀行客戶，偽裝成文件管理App上架Google Play市集</span></a></span></strong></p> </div></div></div>
2022/6/18 10:08作者周峻佑https://www.ithome.com.tw/news/151513
【資安日報】2022年6月17日，WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零時差漏洞在獲得修補前就遭到利用的情況，今天就有兩起，其中又以WordPress網站的表單外掛程式Ninja Forms相當引起關注，其嚴重程度也使得WordPress疑似採取了強制更新的手法，為超過70萬個網站派送更新版套件。</p> <p>另一則我們想要請大家注意的新聞，是有關於勒索軟體駭客的脅迫手法，現今許多駭客會竊取受害組織的資料再行加密，以利後續運用竊得的資料，要脅組織付錢，但現在出現了新的手法，是要資料外洩的員工或是客戶給受害組織施壓，但後續發展如何有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/06/psa-critical-vulnerability-patched-in-ninja-forms-wordpress-plugin/"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Ninja Forms漏洞已遭利用</span></a></strong></h3> <p>提供WordPress網站管理者建置表單的外掛程式存在漏洞，有可能導致網站遭受攻擊。資安業者Wordfence指出，外掛程式Ninja Forms最近推送新的版本，原因很可能是為了修補一項程式碼注入漏洞（尚未取得CVE編號），駭客一旦利用這個弱點，就有可能在未通過身分驗證的情況下，從這個外掛程式的類別（class）呼叫數種方法，包含一種將使用者提供的內容非序列化的方法，從而導致物件注入攻擊。當網站上的屬性導向程式設計（Property Oriented Programming，POP）鏈存在時，攻擊者可藉此能夠執行任意程式碼，或是刪除網站上任意檔案。研究人員指出，他們找到這項漏洞已遭到攻擊者廣泛利用的跡象，呼籲WordPress用戶應儘速安裝已修補的新版套件。</p> <p>資安新聞網站Bleeping Computer指出，自開發商於6月14日發布新版套件以來，已有73萬次下載，有如此數量的網站更新該外掛軟體，原因很可能是WordPress採取了強制更新的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-creates-site-for-employees-to-search-for-their-stolen-data/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat架設個資外洩查詢網站，疑透過員工向受害組織施壓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg" style="width: 300px; float: right;" /></a>為了脅迫受害組織付錢，勒索軟體駭客普遍在加密檔案前竊取機密資料，做為後續索討贖金的籌碼，但現在有人打算藉由與受害組織有關的人士來施壓，給予更大的付款壓力。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）近期攻擊美國俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。但與其他攻擊事件不同的是，駭客不只在洋蔥網路（Tor）的網站上公布資料，還架設了類似於個資外洩查詢「Have I Been Pwned」的網站，讓該飯店員工或是客戶，能透過查詢的方式，確認自己的個資是否受到攻擊事件影響。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金，而該飯店可能為了避免員工與住戶的集體訴訟，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/new-p2p-botnet-panchan"><span style="color: rgb(0, 0, 0);">P2P殭屍網路Panchan鎖定教育單位的Linux伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/admin-panel.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/admin-panel.png" style="width: 300px; float: right;" /></a>駭客鎖定Linux伺服器發動攻擊的現象，近期可說是越來越頻繁，且手法日趨隱密。資安業者Akamai發現了從2022年3月開始行動的殭屍網路Panchan，該殭屍網路主要的攻擊目標是Linux伺服器，駭客使用Go語言打造其殭屍網路病毒，該惡意軟體採用了SSH字典攻擊來入侵受害伺服器，同時也進一步企圖獲取SSH金鑰來進行橫向移動。在成功入侵受害伺服器後，Panchan會開啟可執行檔，向Discord Webhook發起HTTPS POST請求，這麼做的目的很可能是為了進行監控。該殭屍網路病毒為了能持續在受害伺服器上運作，會將自己複製到/bin/systemd-worker，並建立新的systemd服務，同時將自己偽裝成一般的系統服務，且會在伺服器開機後啟動，進而執行挖礦軟體xmrig與nbhash，這些挖礦軟體都在記憶體內執行而難以察覺。</p> <p>研究人員發現有209臺受害伺服器，當中有40臺正在挖礦，大部分受害伺服器都位於教育單位，遍布臺灣、香港，以及西班牙。研究人員認為攻擊者可能來自日本，並呼籲組織應採用雙因素驗證（MFA）、監控虛擬機器（VM）活動，以及限縮SSH存取的管道，來防範此種攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.volexity.com/blog/2022/06/15/driftingcloud-zero-day-sophos-firewall-exploitation-and-an-insidious-breach/"><span style="color: rgb(0, 0, 0);">Sophos防火牆3月底的漏洞修補，傳出中國駭客在此之前就已經著手濫用</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-DriftingCloud-Sophos-0day-Attack-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-DriftingCloud-Sophos-0day-Attack-Flow.png" style="width: 300px; float: right;" /></a>資安業者Sophos於3月底修補旗下防火牆的漏洞CVE-2022-1040，但有研究人員發現駭客在3月初就用於攻擊行動。資安業者Volexity在3月初發現客戶的Sophos防火牆出現異常活動，經過分析後得知防火牆被植入後門程式，駭客入侵的管道就是上述的漏洞CVE-2022-1040，CVSS風險評分為9.8分。</p> <p>攻擊者在防火牆植入後門程式Web Shell，並建立VPN帳號來執行中間人攻擊（MitM），進而竄改DNS回應內容，竊得防火牆的管理員帳號。研究人員指出，駭客使用的Web Shell，是中國駭客常用的惡意框架Behinder，該框架4月也有人用於攻擊協作平臺Atlassian Confluence與SonicWall郵件安全閘道設備。</p> <p>針對攻擊者的身分，研究人員認為是中國駭客組織DriftCloud，該組織專門攻擊可能會動搖中國政權的「五毒（Five Poisons）」相關組織，且手法純熟，他們呼籲相關組織部署網路安全監控機制來加以防範，並提供YARA特徵碼讓組織能識別相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/security/25-million-free-vpn-user-records-exposed/"><span style="color: rgb(0, 0, 0);">免費VPN服務疑資料庫配置不當，曝露2,500萬筆記錄</span></a></strong></h3> <p>服務業者的資料庫如果未做好防護，很可能會導致資料外洩而使得用戶的身分曝光。資安新聞網站Cybernews的研究人員指出，他們發現公開的Elasticsearch資料庫，內含免費VPN應用程式BeanVPN產生的2,500萬筆記錄，包含用戶設備的ID、VPN服務ID、來源IP位址，以及連線時間等資料，檔案大小為18.5 GB。</p> <p>研究人員指出，這些資料可以讓攻擊者找到用戶所在的地理位置、連線設備，以及電子郵件信箱等資料。他們多次向提供服務的業者Imsoft通報，但沒有得到任何回應，而上述的Elasticsearch資料庫已經下線。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-exposes-an-iranian-phishing-campaign-targeting-former-israeli-foreign-minister-former-us-ambassador-idf-general-and-defense-industry-executives/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定以色列與美國前官員發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/06/vuln-spotlight-anker-eufy-homebase.html"><span style="color: rgb(0, 0, 0);">Anker Eufy智慧家庭裝置存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.f5.com/labs/articles/threat-intelligence/f5-labs-investigates-malibot"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MaliBot鎖定義大利和西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/13/hydra-android-malware-distributed-via-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬Hydra鎖定歐洲銀行客戶，偽裝成文件管理App上架Google Play市集</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> </div></div></div>
2022/6/17 18:12作者周峻佑https://www.ithome.com.tw/news/151507
【資安日報】2022年6月16日，軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，大部分都與應用系統的漏洞有關。其中又以與持續整合（CI）服務平臺Travis CI有關的弱點，相當引起研究人員關注，原因是相關的防護機制弱點竟能曝露用戶的事件記錄（Log）檔案，而能讓他人挖掘受害組織的多個雲端服務帳密與Token。</p> <p>網頁應用程式框架Telerik UI的漏洞，在今年5月成為駭客用來發動攻擊的對象，駭客將其用於在受害組織植入Cobalt Strike或挖礦軟體。值得注意的是，駭客運用的竟是在2019年被揭露及修補的漏洞CVE-2019-18935，這也代表有很多組織可能尚未修補，而讓攻擊者有機可乘。</p> <p>有不少企業採用的大數據分析軟體Splunk，近期也修補CVSS風險評分達9.0分的漏洞CVE-2022-32158，影響Splunk Enterprise的用戶，該公司推出9.0版予以修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/15/telerik-ui-exploitation-leads-to-cryptominer-cobalt-strike-infections/"><span style="color: rgb(0, 0, 0);">駭客利用Telerik UI網頁應用程式框架漏洞部署惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png" style="width: 300px; float: right;" /></a>網頁應用程式框架的舊漏洞，最近又有駭客拿出來利用，而引起研究人員的關注。資安業者Sophos指出，他們在今年5月初發現有人針對網頁應用程式框架Telerik UI下手，利用3年前被揭露的漏洞CVE-2019-18935（CVSS風險評分為9.8分）發動攻擊，於受害系統上植入Cobalt Strike與挖礦軟體。</p> <p>此漏洞與Telerik UI for ASP.NET AJAX元件有關，攻擊者利用RadAsyncUpload功能的.NET反序列化漏洞，並搭配CVE-2017-11317或CVE-2017-11357漏洞取得加密金鑰，就有機會觸發CVE-2019-18935，進而遠端執行程式。</p> <p>由於CVE-2019-18935已在2020年與2021年，被美國政府列入最常遭到利用的資安漏洞清單，研究人員呼籲組織應儘速修補Telerik UI的相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shopriteholdings.co.za/articles/Newsroom/2022/possible-data-compromise.html"><span style="color: rgb(0, 0, 0);">非洲大型連鎖超市Shoprite遭駭客勒索</span></a></strong></h3> <p>近年來開發中國家逐步數位化，遭到網路攻擊的情況也有數起事故。非洲大型連鎖超市Shoprite於6月10日證實，該公司疑似遭到駭客入侵，部分客戶姓名與身分證字號外洩，曾在史瓦帝尼、納米比亞，以及尚比亞等國家匯款的客戶受到波及，但外洩資料不含銀行帳號或其他金融資訊。該公司已發送簡訊通知相關客戶，並呼籲不要在電話、簡訊、電子郵件等管道進行溝通時，隨意透露個資。</p> <p>而<a href="https://www.bleepingcomputer.com/news/security/extortion-gang-ransoms-shoprite-largest-supermarket-chain-in-africa/">根據資安新聞網站Bleeping Computer的報導</a>，這起事故疑似勒索軟體駭客組織RansomHouse所為，該組織也在加密通訊軟體Telegram的頻道指出，Shoprite竟使用明文存放客戶資料，該組織與受害公司接洽後，對方只是變更密碼了事。RansomHouse宣稱不只取得對方的客戶資料，亦包含其他內部資料，假若Shoprite沒有做出符合他們期待的回應，駭客將會將竊得的資料出售。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/travis-ci-security"><span style="color: rgb(0, 0, 0);">軟體開發測試平臺Travis CI恐曝露數千個GitHub、AWS、Docker憑證</span></a></strong></h3> <p>持續整合（CI）服務平臺存在的弱點，很可能導致用戶的雲端服務帳號外洩。資安業者Aqua Security指出，他們發現免費版本的Travis CI在防護措施上的缺失，進而使得用戶的事件記錄（Log）檔案曝光，危及GitHub、AWS、Docker Hub等雲端服務的登入帳密或是Token，超過7.7億筆事件記錄曝光。</p> <p>研究人員發現，透過2個Travis CI的API呼叫，並搭配列舉的命令，他們可取得大量明碼的事件記錄，結果他們從2013年至今年5月，總共截取7.74億筆資料，研究人員以其中1%進行分析，挖掘出7.3萬個帳密或是Token，他們也將相關結果通報給前述的雲端業者，對方已立即回應此事並採取因應措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/critical-code-execution-vulnerability-patched-splunk-enterprise?"><span style="color: rgb(0, 0, 0);">Splunk重大漏洞恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>Splunk於6月14日發布資安通告，指出Splunk Enterprise存在漏洞CVE-2022-32158，這項漏洞與Splunk Enterprise的部署伺服器（deployment server）有關，攻擊者一旦加以利用，可入侵其中一個Universal Forwarder端點後，在其他與相同部署伺服器註冊的Universal Forwarder端點上執行任意程式碼，CVSS風險評分為9.0分。Splunk Cloud Platform（SCP）平臺因不使用部署伺服器元件，該平臺的用戶不受影響。該公司呼籲Splunk Enterprise用戶，升級9.0版軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://support.citrix.com/article/CTX460016/citrix-application-delivery-management-security-bulletin-for-cve202227511-and-cve202227512"><span style="color: rgb(0, 0, 0);">Citrix ADM重大漏洞可讓攻擊者重設管理員密碼</span></a></strong></h3> <p>IT業者Citrix近期針對旗下的應用程式交付的管理平臺Application Delivery Management（ADM），修補CVE-2022-27511、CVE-2022-27512兩項漏洞，攻擊者一旦利用，就有可能透過未經身分驗證的使用者，遠端中斷系統的運作，並在管理者重新啟動ADM後，重設管理員的密碼，進而讓攻擊者能透過SSH連線，並使用預設密碼存取管理者帳號存取ADM。這些漏洞同時會影響伺服器與用戶端軟體，該公司發布13.1-21.53版與13.0-85.19版予以修補，呼籲用戶應儘速升級新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-june-2022-improper-access-control-can-compromise-your-systems"><span style="color: rgb(0, 0, 0);">SAP修補嚴重的NetWeaver漏洞</span></a></strong></h3> <p>SAP於6月14日發布6月份例行修補，當中緩解了17個漏洞，其中包含了數個重大漏洞，其中像是針對用戶端軟體SAP Business Client的更新，導入了Chromium 101.0.4951.54，修補之前版本82個弱點，其中包含了CVSS評分達10分的漏洞，亦有部分已出現攻擊行動。</p> <p>再者，本次SAP也修補了SAPRouter存取控制不當的漏洞CVE-2022-27668，該漏洞CVSS風險評分為8.6分，影響NetWeaver與ABAP平臺；另一個與存取控制有關的漏洞，影響NetWeaver AS Java，CVSS評分為8.2分，有可能導致系統損毀。SAP指出，所幸這些漏洞尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-secure-email-bug-can-let-attackers-bypass-authentication/"><span style="color: rgb(0, 0, 0);">思科修補電子郵件防護系統可被用於繞過身分驗證的漏洞</span></a></strong></h3> <p>思科於6月15日發布資安通告，指出旗下的郵件安全設備Email Security Appliance（ESA），以及管控郵件與網路的Secure Email and Web Manager兩款產品，存在漏洞CVE-2022-20798，一旦攻擊者利用這項漏洞，就有可能在登入介面輸入特定內容，進而繞過外部的身分驗證機制，存取受害系統的網頁管理介面，CVSS風險評分為9.8分，該公司發布新版Async軟體元件予以修補。</p> <p>思科指出，僅有啟用外部身分驗證，並搭配LDAP的用戶才會受到波及，採用預設配置而沒有開啟外部身分驗證機制的用戶不受影響。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/blog/2022/06/14/microsoft-to-acquire-miburo/"><span style="color: rgb(0, 0, 0);">微軟併購外國網路威脅情資業者Miburo</span></a></strong></h3> <p>為了防範國家駭客與激進主義份子的網路威脅，微軟於6月14日宣布買下網路威脅分析及偵測服務業者Miburo，並計畫在完成併購後，將Miburo整合進微軟客戶安全與信賴事業群，並與該公司的威脅情報中心、威脅情境分析團隊，以及資料科學家等部門合作。外界認為，此項併購案也可能有助於微軟爭取美國政府的資安預算。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.sonarsource.com/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra漏洞恐讓攻擊者竊取用戶明文密碼</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/151406">【2022年6月13日】勒索軟體Hello XD加密電腦檔案同時會植入後門、駭客組織鎖定WordPress電商網站發動側錄攻擊</a></p> </div></div></div>
2022/6/16 17:21作者周峻佑https://www.ithome.com.tw/news/151475
【資安日報】2022年6月15日，大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用HTTPS流量的DDoS攻擊行動再度出現。雲端服務業者Cloudflare近期偵測到一起大規模的DDoS攻擊事故，並指出攻擊流量來源是從雲端的虛擬機器（VM）與伺服器主機而來，在雲端部署相關設施的組織應特別留意，VM與伺服器主機是否成為駭客用於發動DDoS攻擊的工具。</p> <p>在針對處理器的攻擊手法裡，先前研究人員發現推測執行漏洞，主要是鎖定處理器加速運算的機制而來，而在今天的資安新聞裡，有研究團隊指出用於管控處理器功耗的動態電壓與時脈調整（DVFS）機制，可被用於攻擊Intel與AMD處理器的電腦。</p> <p>微軟於6月14日發布本月例行修補（Patch Tuesday），其中最引起注意的是對於零時差漏洞CVE-2022-30190（亦稱Follina）的修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/26m-rps-ddos/"><span style="color: rgb(0, 0, 0);">大規模HTTPS流量DDoS攻擊鎖定Cloudflare免費用戶下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png" style="width: 300px; float: right;" /></a>駭客不只發動DDoS攻擊，還使用了HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻每秒發出2千6百萬次請求（RPS）的大規模DDoS攻擊行動，目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>該公司研判，駭客濫用雲端服務上的虛擬機器（VM）與伺服器主機來發動攻擊。而他們也曾在今年4月攔截類似的攻擊行動，並指出這種使用HTTPS流量的DDoS攻擊手法，駭客會使用大量的垃圾請求，來耗盡目標伺服器的處理器與記憶體資源。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.confiant.com/how-seaflower-%E8%97%8F%E6%B5%B7%E8%8A%B1-installs-backdoors-in-ios-android-web3-wallets-to-steal-your-seed-phrase-d25f0ccdffce"><span style="color: rgb(0, 0, 0);">行動裝置後門程式SeaFlower竊取加密貨幣錢包的通關密語</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png" style="width: 300px; float: right;" /></a>近期出現鎖定安卓行動裝置偷取加密貨幣資產的惡意程式，但也有駭客對iPhone用戶下手。資安業者Cofiant於2022年3月，發現針對Web3使用者而來的SeaFlower攻擊行動，這些駭客建置冒牌的加密貨幣錢包網站，提供帶有惡意程式碼的加密錢包App，進而從安卓與iPhone手機竊取加密錢包的通關密語（Seed Words），將受害者的Coinbase、MetaMask、TokenPocket，以及imToken的錢包洗劫一空。</p> <p>而駭客如何引誘被害人前往冒牌網站，下載假的加密錢包App？答案是這些駭客購買了百度的搜尋引擎最佳化（SEO）廣告，研究人員在百度搜尋引擎輸入download metamask ios並執行搜尋，結果第一個項目就是SeaFlower駭客所架設的網站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/confluence-servers-hacked-to-deploy-avoslocker-cerber2021-ransomware/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞也被勒索軟體駭客利用</span></a></strong></h3> <p>在6月初獲報並修補的Atlassian Confluence漏洞CVE-2022-26134，之前傳出有多個駭客組織用於挖礦攻擊，現在也被勒索軟體駭客盯上。根據資安業者Prodaft、資安研究團隊MalwareHunterTeam，以及微軟的威脅情報團隊，發現勒索軟體AvosLocker、Cerber2021（亦稱CerberImposter）正在利用上述漏洞發動攻擊。</p> <p>Prodaft指出，AvosLocker鎖定尚未修補的Confluence伺服器，發動大規模攻擊，至少在美國、歐洲、澳洲已出現受害組織；MalwareHunterTeam與微軟則發現Cerber2021的攻擊行動，且駭客疑似同時加密了Confluence伺服器的配置檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/lyceum-net-dns-backdoor"><span style="color: rgb(0, 0, 0);">伊朗駭客利用DNS後門程式對能源組織下手</span></a></strong></h3> <p>伊朗駭客去年多次鎖定關鍵基礎設施（CI）下手的情況，引起歐美高度關注，最近又有新的攻擊行動。資安業者Zscaler揭露駭客組織Lycaeum（亦稱Hexane、Spilrin）近期的攻擊行動，該組織以開源軟體DIG.net為基礎，以.NET打造了新的後門程式，進而發動DNS挾持攻擊，鎖定中東能源組織而來。</p> <p>駭客透過含有伊朗軍事新聞報導的Word檔案作為誘餌，吸引受害者開啟，一旦開啟檔案，攻擊者就會在受害電腦植入DNS後門程式，並執行後續的流量追蹤，或是從C2接收發動攻擊的命令。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.hertzbleed.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露Intel、AMD處理器旁路攻擊手法Hertzbleed</span></a></strong></h3> <p>最近幾年筆電的續航力顯著成長，當中處理器的功耗管理機制扮演重要的角色，但這類機制也可能成為駭客發動攻擊的管道。德州大學奧斯汀分校、伊利諾大學厄巴納-香檳分校（UIUC）、華盛頓大學的研究人員聯手，發現了名為Hertzbleed的旁路攻擊手法，一旦攻擊者利用這項漏洞，就能藉由觀察Intel與AMD處理器的動態電壓與時脈調整（DVFS）機制中，所控制的處理器頻率，來竊取完整的加密金鑰。</p> <p>DVFS是時下處理器採用的電源管理功能，能在電腦以高負載運作時避免溫度過高而故障，並在低負載運作時降低功耗。</p> <p>對此，Intel證實旗下全部處理器產品確實存在上述漏洞，並以CVE-2022-24436進行列管，AMD則指出旗下採用Zen 2與Zen 3微架構的產品曝險，包含多個系列的Ryzen產品線，以及第1代與第2代EPYC伺服器處理器等，並將該漏洞登錄為CVE-2022-23823。兩家公司皆提供開發人員緩解措施，但研究人員指出，兩家公司都不打算發布相關修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/06/14/security_azure_patch/"><span style="color: rgb(0, 0, 0);">資安業者指控微軟對Azure Synapse Analytics漏洞回應不夠積極</span></a></strong></h3> <p>最近有2家資安業者不約而同指出，微軟對於資料分析服務Azure Synapse Analytics的漏洞處理不甚積極。</p> <p>資安業者Orca Security揭露名為SynLapse的漏洞（CVE-2022-29972）攻擊者一旦利用此漏洞，就有可能繞過資料分析服務的租戶分離機制，來控制其他使用者的工作區。但研究人員指出，他們在今年1月就向微軟通報，該公司從3月開始發布修補程式，卻都修補不全，直到5月底才確實完成修補。</p> <p>無獨有偶，漏洞管理解決方案業者Tenable也指出，他們在今年3月向微軟通報了2個漏洞，其中一個允許攻擊者利用Spark VM的脈絡（context），將提升權限為root；另一個則是可讓攻擊者用竄改Spark池裡所有節點的hosts檔案，然而，該公司指控，微軟僅默默在89天後，修補了權限提升漏洞，另一個迄今尚未修補，也並未對客戶告知這些漏洞的嚴重性。Tenable表示，他們並非少數被微軟輕忽的通報者，而此舉將導致Azure Synapse Analytics用戶不知道已經曝險，是相當不負責任的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/"><span style="color: rgb(0, 0, 0);">微軟修補MSDT零時差漏洞</span></a></strong></h3> <p>微軟於6月14日發布每月例行修補（Patch Tuesday），當中總共修補了55個漏洞，其中有1個是零時差漏洞，那就是5月底引起許多研究人員關注的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟針對工作站與伺服器版本Windows發布修補程式，電腦安裝相關更新程式後，將會防堵駭客執行PowerShell注入的攻擊行動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/jun/14/nso-group-pegasus-us-l3harris"><span style="color: rgb(0, 0, 0);">美國國防廠商傳出打算買下網路間諜公司NSO Group</span></a></strong></h3> <p>惡名昭彰的以色列網路間諜公司NSO Group，先前因多個國家政府施壓，而打算將間諜軟體Pegasus相關部門出售，近期竟傳出有美國國防業者打算併購該公司的消息。根據新聞網站Intelligence Online、衛報、華盛頓郵報、Haaretz的報導，美國知名國防承包商L3Harris有意買下NSO Group，主要是為了該公司間諜軟體的核心技術。</p> <p>衛報指出，這項併購案需要經過美國與以色列政府同意，前者將NSO Group列為制裁對象，後者由國防部進行監管，要通過這兩關並不容易。Haaretz指出，此事美國聯邦調查局（FBI）與中央情報局（CIA）都知情；對此一名美國白宮官員向衛報透露，此交易很可能對美國政府帶來嚴重的情報收集問題。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.se.com/ww/en/about-us/newsroom/news/press-releases/schneider-electric-and-claroty-launch-%27cybersecurity-solutions-for-buildings%27-reducing-cyber-and-asset-risks-for-smart-buildings-62a32e83abbdca1a52279ba4"><span style="color: rgb(0, 0, 0);">施耐德電機與資安業者Claroty聯手，推出智慧建築資安解決方案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.forescout.com/blog/r4iot-when-ransomware-meets-the-internet-of-things/"><span style="color: rgb(0, 0, 0);">研究人員揭露同時針對IT與OT環境的勒索軟體攻擊手法</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/151406">【2022年6月13日】勒索軟體Hello XD加密電腦檔案同時會植入後門、駭客組織鎖定WordPress電商網站發動側錄攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151388">【2022年6月10日】惡意軟體Symbiote濫用BPF流量隱匿攻擊意圖、已修補的SAP漏洞遭到濫用</a></p> </div></div></div>
2022/6/15 18:34作者周峻佑https://www.ithome.com.tw/news/151461
Firefox預設啟用阻擋跨網站讀取cookies的隱私功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/products/firefox/firefox-rolls-out-total-cookie-protection-by-default-to-all-users-worldwide/" target="_blank">Mozilla周二（6/14）宣布釋出Firefox 101.0.1版</a>，將使禁止跨站讀取cookies的隱私保護功能Total Cookie Protection預設啟動。</p> <p>Mozilla表示，<a href="https://www.mozilla.org/en-US/firefox/101.0.1/releasenotes/" target="_blank">從最新版開始</a>，Total Cookie Protection成為全球所有Firefox的預設，意在使Firefox成為Windows、Mac及Linux平臺上最安全及最保護隱私的主要瀏覽器。</p> <p>Total Cookie Protection的原理是為不同網站建立個別的cookie jar，使某一網站置入的cookie只能為原生網站讀取，可防止其他網站讀取，它可防止監控工具或是廣告行銷商利用這些cookie追蹤用戶在不同網站的活動足跡，號稱是Firefox迄今發展最大的隱私工具。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0615-Total%20Cookie%20Protection%20firefox-600.bmp" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mozilla</span></span></p> <p>Mozilla持續在瀏覽器中拉高隱私防護。去年2月Firefox 86首先在ETP（Enhanced Tracking Protection）模式加入<a href="https://blog.mozilla.org/security/2021/02/23/total-cookie-protection/" target="_blank">Total Cookie Protection</a>，<a href="https://www.ithome.com.tw/news/144771" target="_blank">在去年6月</a>的Firefox 89又成為隱私瀏覽介面預設。最新的宣布則使這項功能普及適用於所有桌機版用戶。</p> <p>除了Total Cookie Protection功能外，新版本也解決了在MacOS版中關閉Firefox會清除剪貼簿、Windows版Firefox和win32k lockdown功能不相容、以及Linux版本上Picture-in-Picture視窗中按右鍵不見選單的問題，也改善了穩定性的問題。</p> </div></div></div>
2022/6/15 09:59作者林妍溱https://www.ithome.com.tw/news/151435
【資安日報】2022年6月14日，俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Sys…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用Follina漏洞（CVE-2022-30190）發動攻擊的情況，也出現於烏克蘭戰爭的網路攻防中。烏克蘭電腦緊急應變小組（CERT-UA）曾於6月初偵測到相關攻擊行動，但當時並不確定攻擊者身分，該組織最近再度發布資安通告，指出俄羅斯駭客組織Sandworm疑似運用該漏洞發動攻擊，且至少2個月前就開始。</p> <p>針對Linux主機的攻擊行動也相當值得留意。研究人員發現名為Syslogk的惡意程式，會將模式載入Linux核心執行而難以察覺其行蹤，駭客使用此惡意程式的目的，就是要用來控制後門程式運作而不致被發現。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/160530"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm疑在2個月前開始利用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png" style="width: 300px; float: right;" /></a>與Windows診斷支援工具（MSDT）有關的零時差漏洞CVE-2022-30190（亦稱Follina），6月初已傳出被用於攻擊烏克蘭，但實際上在2個月前可能就有相關攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月10日發布資安通告指出，俄羅斯駭客組織Sandworm疑似自4月開始，利用Follina發動攻擊。</p> <p>攻擊者鎖定超過500名廣播電臺與報紙的從業人員，以提供互動式地圖服務的網址名單為由，發送帶有Word檔案為附件的釣魚郵件。收信人一旦開此附件檔案，電腦將會執行檔名為2.txt的JavaScript程式碼，進而載入惡意程式CrescentImp。CERT-UA提供了入侵指標（IoC）供組織偵測相關攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/davidalvarez/linux-threat-hunting-syslogk-a-kernel-rootkit-found-under-development-in-the-wild/"><span style="color: rgb(0, 0, 0);">Linux蠕蟲程式Syslogk於受害主機載入後門程式</span></a></strong></h3> <p>駭客透過開源專案，針對Linux開發攻擊程式的情況，最近已有數起事故。例如，防毒業者Avast揭露名為Syslogk的惡意程式，這是駭客透過開源的Rootkit程式Adore-Ng開發而來的攻擊工具，能將其模組載入Linux核心，從而隱藏特定的檔案資料夾與網路流量，並在受害主機植入後門程式Rekoobe。</p> <p>研究人員指出，該Rootkit程式第一次載入到Linux核心後，便會將自己從已經安裝的軟體模組清單裡刪除，來規避管理人員檢查，而在後續部署後門程式之後，此後門程式會處於休眠狀態而不會有任何行動，直到上述Rootkit收到攻擊者特定的魔術封包（Magic Packet），後門程式才會開始運作，此後Syslogk依照攻擊者指示啟動或暫停後門程式運作，來降低被發現的機會。研究人員呼籲IT人員要提高警覺，來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat透過ProxyLogon漏洞入侵受害組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）疑似與之前攻擊美國大型油料輸送業者的另一個駭客Darkside有關，而引起研究人員的關注，最近又有相關的動態揭露。微軟近期公布他們對於BlackCat的發現，這群駭客在部分攻擊行動中，對於Exchange伺服器漏洞ProxyLogon下手，而成功進入受害組織的網路環境，進而掌握網域伺服器、管理員帳號，以及網路裡所有的電腦等相關資訊，過了約兩天半，攻擊者藉由PowerShell程式碼ADRecon，收集AD環境的各式資料，然後使用SMB協定或遠端桌面連線（RDP）存取受害電腦，並竊取組織的內部機密資料，最終使用PsExec散布並執行勒索軟體。</p> <p>而對於攻擊者的身分，研究人員至少確定有兩個駭客組織使用BlackCat，分別是DEV-0237（亦稱FIN12）與DEV-0504，前者是從先前使用的攻擊工具為Hive，轉換成BlackCat的用戶，後者則是往往會利用駭客組織LockBit提供的竊密工具StealBit，在加密檔案前下載受害電腦裡的檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/pingpull-gallium/"><span style="color: rgb(0, 0, 0);">中國駭客Gallium利用木馬程式PingPull攻擊電信業者、金融與政府單位</span></a></strong></h3> <p>美國日前針對中國駭客攻擊電信業者的行動提出警告，最近又有研究人員發現，駭客使用難以發現的木馬程式，攻擊電信業。資安業者Palo Alto Networks指出，中國駭客組織Gallium（亦稱Softcell），以攻擊東南亞、歐洲、非洲電信業者在網路犯罪者之間闖出名號，但最近一年該組織擴大其攻擊範圍，也開始對於金融機構與政府單位出手，同時駭客運用了名為PingPull的木馬程式，這個木馬程式提供反向Shell的功能，讓駭客能遠端下達命令。</p> <p>研究人員針對其中3個版本的PingPull進行分析，其共通點是木馬程式都是冒統系統服務的方式運作，但攻擊者疑似規避特定的資安防護系統，這些木馬程式與C2連線的過程中，使用了不同的網路通訊協定：ICMP、HTTPS、TCP。研究人員確定該組織在最近一年內，至少鎖定了9個國家下手。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pypi-package-keep-mistakenly-included-a-password-stealer/"><span style="color: rgb(0, 0, 0);">PyPI套件Keep疑似被植入竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.syss.com/posts/rooting-mitel-desk-phones-through-the-backdoor/"><span style="color: rgb(0, 0, 0);">Mitel旗下IP電話存在漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151406">【2022年6月13日】勒索軟體Hello XD加密電腦檔案同時會植入後門、駭客組織鎖定WordPress電商網站發動側錄攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151388">【2022年6月10日】惡意軟體Symbiote濫用BPF流量隱匿攻擊意圖、已修補的SAP漏洞遭到濫用</a></p> <p><a href="https://www.ithome.com.tw/news/151372">【2022年6月9日】殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料、美國針對中國駭客攻擊網路設備的漏洞提出警告</a></p> </div></div></div>
2022/6/14 18:15作者周峻佑https://www.ithome.com.tw/news/151433
微軟：勒索軟體駭客經常以盜來的憑證或Exchange漏洞入侵組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/" target="_blank">微軟本周公布了BlackCat勒索軟體的分析報告</a>，透過兩個攻擊案例來警告盜來的憑證或是未修補的Exchange Server安全漏洞，已成為勒索軟體駭客入侵組織的常見管道。</p> <p>BlackCat現身於2021年11月，是首批以Rust撰寫的勒索軟體之一，一來可躲避傳統防毒軟體的偵測，二來也提高反向工程的難度。它可感染Windows、Linux裝置與VMWare實例，亦採用了勒索軟體即服務（RaaS）的聯盟模式（Affiliate Model），代表其生態體系是由入侵網路的存取掮客、勒索軟體工具開發者，以及在受害網路中橫向移動、最終發動攻擊的不同角色所組成。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/05/Fig1-RaaS-affiliate-model-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>在RaaS聯盟模式中，由於參與者眾、選項也多，因此每次的攻擊都可能採用不同的存取策略、勒索軟體或部署方式，不過，微軟發現，至少有兩個已知的RaaS聯盟納入了BlackCat，包括DEV-0237與DEV-0504，而微軟則在這兩個聯盟利用BlackCat進行攻擊的兩個案例中，發現有一個是藉由開採Exchange Server漏洞，另一個則是使用盜來的憑證入侵了受害組織。</p> <p>微軟說，就算同樣使用BlackCat進行攻擊，但幾乎沒有看到兩個同樣的部署手法，但從這兩個案例可看出，RaaS聯盟模式經常利用盜來的憑證或是Exchange Server漏洞作為入侵的跳板。</p> <p class="rtecenter"><a href="https://www.microsoft.com/security/blog/uploads/securityprod/2022/06/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" target="_blank"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/06/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>駭客所開採的是已知的Exchange Server漏洞，儘管微軟並未指名遭到開採的漏洞，但在文章中提供了連結，顯示為該公司在去年3月所修補、存在於就地部署Exchange Server版本上的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855" target="_blank">CVE-2021-26855</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858">CVE-2021-26858</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857">CVE-2021-26857</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065">CVE-2021-27065</a>。</p> <p>由於很難找到勒索軟體駭客一致的部署方式，使得微軟建議各組織應該要修補最常見的攻擊路徑，包括採用適當的漏洞管理政策，以及執行存取監控等。</p> </div></div></div>
2022/6/14 13:24作者陳曉莉https://www.ithome.com.tw/news/151425
公有雲端業者仍在客戶VM下暗中安裝軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wiz.io/blog/the-cloud-gray-zone-secret-agents-installed-by-cloud-service-providers/" target="_blank">安全廠商指出</a>，雖然已經有前例證實，雲端服務業者安裝客戶不知道的軟體引發安全風險，但許多雲端業者迄今仍然還有這行為。</p> <p class="rtecenter"><a href="http://www.wiz.io/blog/the-cloud-gray-zone-secret-agents-installed-by-cloud-service-providers/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-wiz-600.png" style="width: 550px;" /></a></p> <p>本周在RSA 2022大會上，安全廠商Wiz公布三大公有雲業者中不為人知，但有漏洞的中介軟體（middleware），顯示雲端業者在未清楚告知或在用戶全然不知情下安裝中介軟體情況仍相當普遍。</p> <p>這是該公司繼去年一項Azure雲端漏洞發現後的後續研究。<a href="https://www.ithome.com.tw/news/146805" target="_blank">去年Wiz揭露</a>風險值9.8的OMIGOD遠端程式執行（RCE）漏洞，是發生在Open Management Infrastructure（OMI）代理程式中，當Azure啟動Linux VM時會暗中自動安裝，以致於用戶在不知情下曝險。</p> <p><a href="https://github.com/wiz-sec/cloud-middleware-dataset" target="_blank">Wiz上周公布</a>的資料僅列出Azure、AWS及Google Cloud內安裝的12項中介軟體，包含一些過去發生過漏洞者，包括Microsoft Azure Guest Agent（WALinuxAgent）關鍵資源許可分配不正確漏洞（CVE-2019-0804，CVSS 6.5）、AWS Systems Manager Agent的本地權限升級（LPE）到根目錄執行漏洞（CVE-2022-29527，CVSS 7.0）、Google Accounts Daemon的LPE到根目錄執行漏洞（CVE-2020-8933，CVSS 7.8）、以及Google osconfig agent的LPE漏洞。這些漏洞已經修補。</p> <p>不過研究人員指出，這些中介軟體是介接用戶虛擬機器和雲端業者代管基礎架構的角色，可能使客戶曝露於攻擊表面。另一個問題是，這類中介軟體冒出漏洞時，修補責任在誰身上並不明確。研究人員以去年OMIGOD為例說明，當微軟釋出修補程式時，Azure用戶必須自己安裝，但是用戶自己並不知道有漏洞。</p> <p>研究人員認為確保用戶安全的最好方法是要求業者清楚說明，它們整合在用戶虛擬機器的第三方軟體。</p> </div></div></div>
2022/6/14 12:19作者林妍溱https://www.ithome.com.tw/news/151422
Google Cloud計算出π小數點位後第100兆位數，再次打破世界紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-cloud/new-digit-pi-2022/" target="_blank">Google宣布</a>近日以Google Cloud，成功再推進數學史上知名的挑戰，計算出π小數點位後第100兆位數。</p> <p>完成這項任務的是Google 資深開發人員傳教士岩尾遙（Emma Haruka Iwao）。她利用Google Cloud為基礎架構，計算出π小數點位後第100兆位數是0，打破<a href="https://www.fhgr.ch/en/themenschwerpunkte/applied-future-technologies/davis-centre/pi-challenge/" target="_blank">2021年</a>由瑞士庫爾應用科學大學（Fachhochschule Graubünden）創下61.8兆位的世界紀錄。2019年的世界紀錄也是由岩尾遙所創下，當時她計算出小數點位的第31.4兆位數。</p> <p>岩尾表示，兩次世界紀錄她都是在Google Cloud上執行，且使用相同工具和手法，但是速度快得多。<a href="https://cloud.google.com/blog/products/compute/calculating-31-4-trillion-digits-of-archimedes-constant-on-google-cloud" target="_blank">2019年那次花了</a>111.8天，而這次是從去年10月14日到今年5月21日，花了157天，精確來說是157天23小時31分又7.651秒。時間上多了41%，但獲得的成果卻是2倍有餘。岩尾表示，主要是要拜Google Cloud基礎架構在運算、儲存及網路技術上的進步。</p> <p>以這次Google Cloud使用的架構及工具而言，主要程式是以Alexander J. Yee開發的多核心系統的首個多執行緒π標竿測試程式<a href="http://www.numberworld.org/y-cruncher/" target="_blank">y-cruncher</a> ，並使用Chudnovsky演算法。</p> <p><a href="https://cloud.google.com/blog/products/compute/calculating-100-trillion-digits-of-pi-on-google-cloud" target="_blank">Google解釋</a>，由於單一虛擬機器最多只能附加257TB的持久性磁碟容量（persistent disk），因此他們設計的環境是1個運算節點搭配32個儲存節點。運算節點使用128個vCPU及864GB RAM，執行Debian Linux 11，儲存方面則是32vCPU搭配2個iSCSI區塊儲存Target，共達到64個iSCSI區塊儲存Target，一共提供663 TB來儲存y-cruncher的計算結果。建立並管理叢集則是使用Terraform。最後，這項任務產生總資料量達515TB、總I/O資料讀寫量達82PB。</p> <p>這項任務使用的運算執行個體及儲存執行個體，分別為n2-highmem-128 及n2-highCPU-16。<a href="https://www.theregister.com/2022/06/09/google_100_trillion_digits_of_pi/?td=rt-3a" target="_blank">The Register</a>計算，Google Cloud這次任務的成本，運算方面大約為29,000美元，儲存則約為70,000美元。不過這個數字尚不包括資料搬移成本或其他軟體成本。</p> <p>研究人員最後說，π是沒有止境的，所以她會再接再厲。</p> </div></div></div>
2022/6/13 10:59作者林妍溱https://www.ithome.com.tw/news/151400
諸事皆備！Arm躋身公有雲運算
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1-arm-based_cloud_platform_tu_pian_lai_yuan_arm-420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【Arm伺服器平臺的兩大陣營】目前市面上的Arm架構伺服器CPU分為兩大類型，一種是雲端服務廠商自行開發、用於自家資料中心，另一種則是由CPU廠商開發的Arm處理器，可供應雲端服務與伺服器廠商使用。圖片來源／Arm</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於公有雲資料中心底層環境的伺服器處理器平臺，長期以來，都以x86架構為主，仰賴英特爾與AMD的CPU，僅有少數業者額外提供基於Power架構伺服器而成的服務。</p> <p>這段期間，雖然有些硬體晶片廠商與伺服器廠商試圖發展Arm架構的伺服器，市面上也出現幾種類型產品，例如：支援小型、輕量運算需求的單節點嵌入型設備，用於高效能運算（HPC）領域的多節點伺服器，可惜因為相關公司的產品發展路線改變，合作廠商生態系統的規模拓展速度緩慢，種種因素使得這類解決方案陷入幾年的停滯。</p> <p>直到2018年底，這個困局終於出現解開的曙光，那就是公有雲龍頭業者AWS在年度用戶大會期間突然宣布消息，表示他們設計Arm架構處理器Graviton，並且以此建置EC2執行個體服務A1系列。</p> <p>相隔一年後，AWS預告將推出第二代Graviton處理器，並以此提供3種用途的執行個體服務：M6g系列、C6g系列、R6g系列，分別對應一般用途、運算最佳化、記憶體最佳化等產品定位。</p> <p>到了2020年中，AWS陸續發表這些產品，下半年又拓展更多用途的Arm執行個體服務，例如因應暴量效能需求的T4G，同時，他們也宣布關聯資料庫服務RDS的底層運算平臺可改用C6g系列、R6g系列，踏出AWS其他雲端服務也能選用Arm執行個體服務的第一步，強調用戶可獲得更佳的單位成本效能。</p> <p>2021年AWS發表更多基於Graviton2的執行個體服務，並陸續宣布旗下多款雲端服務可支援或搭配Graviton2處理器，並於年底的用戶大會預告將推出第三代Graviton處理器，以及以此建立的執行個體服務C7g系列。到了今年5月，基於Graviton3而成的C7g系列正式推出。</p> <p>至此，各界見識到AWS持續發展Arm架構處理器的企圖心，而非玩票或標新立異，而是提供自家服務內容的多樣選擇，幫用戶與AWS本身省錢之餘，面對左右IT基礎架構的兩大處理器廠商，想必也增加了更多談判籌碼。</p> <p>除AWS開發Arm架構伺服器級處理器，推出多款執行個體服務，與其競爭公有雲市占的微軟Azure，今年4月宣布推出6款Arm架構執行個體服務預覽版，搭配的處理器是安培運算（Ampere Computing）發展的Altra，再掀公有雲採用Arm架構及Arm伺服器的話題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2-AWS%20EC2-2021-12-3%20%E3%80%80%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>AWS自行設計的兩代Arm處理器</strong></span></p> <p><span style="color:#696969;"><strong>公有雲龍頭AWS打破Arm伺服器應用困局！他們在2018年底宣布自行發展Arm處理器Graviton，並推出執行個體服務，兩年後，他們基於二代Graviton，推出多項支援不同用途的執行個體服務，幫業者與用戶提供省錢新選擇。</strong></span><span style="color: rgb(105, 105, 105);">圖片來源／AWS</span></p> <p><span style="font-size:28px;"><strong>軟體就緒：兩大企業級Linux系統廠商與VMware均支援Arm</strong></span></p> <p>公有雲業者若要導入Arm運算架構，進而提供各種內外部的IT服務，首先要關注的系統軟體平臺能否充分支援。</p> <p>事實上，從32位元Arm架構盛行的時期開始，Linux核心就已陸續支援，而企業級Linux作業系統對Arm的支援，是這十年內就緒。至於伺服器虛擬化平臺，開放原始碼的Xen、KVM，在2012、2013年支援Armv7，而商用領域的VMware ESXi/vSphere對Arm的支援，目前以發布社群早期試用版本的形式，持續推動支援Arm的工程。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>Red Hat</strong></span></span></p> <p>2014年Red Hat針對Arm合作夥伴推出早期存取計畫，希望強化廠商合作，以及64位元Armv8-A架構的系統設計。隔年，他們推出Red Hat Enterprise Linux（RHEL）Server for ARM 開發預覽版，供硬體晶片廠商Cavium、Qualcomm，以及伺服器廠商HPE搭配。</p> <p>2017年Red Hat與Cavium、HPE在6月的國際超級電腦大會，公開展示RHEL支援64位元Armv8-A架構，同年11月，Red Hat預告將推出RHEL 7.4 for ARM，搭配HPE的多節點伺服器Apollo 70。</p> <p>到了2018年上半，7.4版與7.5版的RHEL for ARM陸續登場；同年10月底發布的RHEL 7.6，也將64位元Arm架構併入主要支援的運算平臺，不再發行獨立版本。或許是基於這樣的支援，AWS年底順勢推出Arm執行個體服務EC2 A1，Red Hat也在AWS提供的RHEL 7.6系統映像的名稱當中，特別標示支援Arm。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>SUSE</strong></span></span></p> <p>另一家Linux作業系統大廠SUSE，最初在OpenSUSE社群提供Arm支援，2015年正式擴充合作夥伴計畫，目的是開發64位元Arm伺服器的應用。隔年6月，他們推出SUSE Linux Enterprise Server（SLES） for ARM，是第一款強調64位元Arm架構最佳化的商用Linux，也是SUSE Linux Enterprise 12共通程式碼基礎的一部分，預計支援AMD、Applied Micro、Cavium、NXP、Xilinx等廠商的系統單晶片（SOC）。</p> <p>到了2018年上半，SUSE先後發表SLES for ARM的12 SP3版與15版，而能陸續支援多種Arm架構系統單晶片，例如：單板電腦Raspberry Pi 3 Model B，以及安培運算（Ampere Computing）買下Applied Micro業務而得到的64位元Arm伺服器CPU：X-Gene 1與X-Gene 2。同時，HPE Apollo 70也成為首款通過HPE認證的Arm系統，可執行SLES 12 for HPC與SUSE Enterprise Storage軟體。</p> <p>2019年1月，SLES for ARM 15正式推出，SUSE列出支援的9個品牌、共14款的Arm架構系統單晶片；同年6月發布的SLES for ARM 15 SP1，支援品牌達到11個（新增華為、Mellanox、Socionext，海思半導體未列入）。此外，這一年的4月，SLES for ARM也登上公有雲AWS環境，支援他們在2018年底推出的Arm執行個體服務EC2 A1。</p> <p>下一個版本SLES for ARM 15 SP2於2020年7月推出，宣布支援幾款近期相當知名的Arm架構系統單晶片，例如：AWS第二代自製處理器（Graviton2）、Fujitsu用於多次蟬聯500大超級電腦榜首「富岳」的A64FX，以及安培運算這年發表、現有多家伺服器廠商搭配的80核處理器Altra；而在伺服器的部分，則有Fujitsu的F700、Nvidia的Tegra X1與Tegra X2，以及Raspberry Pi的3A+、Compute Module 3B+、4等產品，通過SUSE認證。</p> <p>2021年6月，SUSE發布SLES 15 SP3，在Arm架構系統單晶片支援清單中，增加了Nvidia的Xavier，以及BlueField-2。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>VMware</strong></span></span></p> <p>關於系統軟體對Arm伺服器的支援，有了兩大企業級Linux作業系統持續投入，使得Arm能夠拓展更多軟體與雲端服務應用，然而，在企業資料中心環境普遍採用的伺服器虛擬化軟體平臺，也因為幾家廠商合作的促成，使得Arm在幾年前也完成與其搭配使用的驗證。</p> <p>例如，在伺服器虛擬化軟體領域具有高市占率的大廠VMware，在2018年8月的年度用戶大會，公開展示ESXi on Arm邊緣運算應用──他們在風力渦輪發電機機組的應用情境中，以Arm單板電腦SolidRun MacchiatoBin，執行VMware的Hypervisor（ESXi），上面執行多臺監控設備狀態的虛擬機器，示範可做到線上不停機遷移vMotion，以及容錯移轉Fault Tolerance（FT）。</p> <p>隔年9月，VMware展示ESXi on Arm的SmartNIC應用，將Hypervisor執行在多種Arm架構系統單晶片，如Mellanox BlueField、Marvell Armada、Raspberry Pi4，印證這類晶片的卸載／加速效果。</p> <p>關於ESXi on Arm的雲端服務應用，VMware在10月公開將Hypervisor執行在AWS EC2 A1，以及由vCenter Server集中管控的操作畫面，希望拓展VMware Cloud on AWS的應用選擇（但目前仍只能搭配裸機執行個體服務i3.metal）。</p> <p>關於VMware支援Arm的發展，在2020年10月舉行的Arm開發者高峰會期間，宣布成立專屬的社群早期軟體試用計畫ESXi-Arm Fling，推動ESXi Arm Edition（ESXi-Arm）發展，他們表示，將ESXi從x86移植至64位元Arm架構的工程，是幾年前就開始進行，所面臨的挑戰不只是ESXi的程式碼基礎相當龐大，也涉及許多細節的處理，包括Arm處理器底層的語意處理與x86架構差異很大，因此需要謹慎測試與修改，確保ESXi能執行在兩種運算架構之上。</p> <p>同時，VMware也與Arm緊密合作，期盼透過他們推動的Project Cassini，促使ESXi-Arm可廣泛執行在各種設備，支援資料中心、邊緣運算，以及其他領域的應用。由於這項工作涵蓋了既有Arm伺服器生態系統延伸的硬體標準、韌體標準、認證，因此，也使得VMware需支援SmartNIC、Raspberry Pi等運算裝置，以及驅動程式的發展。</p> <p>截至目前為止，ESXi-Arm最新版是今年3月發布的1.9版，雖然目前無法得知商用版本正式推出的時程，但值得注意的是，在2021年10月VMware年度用戶大會，他們針對OCI公有雲的Arm架構裸機執行個體服務Ampere A1，展示安裝與啟動ESXi-Arm之後的狀態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5-Amperea%20Roadmap-2022-05-2022-06-04_012849.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Ampere揭露Arm處理器發布時程</strong></span></p> <p><span style="color:#696969;"><strong>公有雲或企業資料中心若要導入Arm架構，可直接採用現成的Arm處理器與伺服器產品，目前多數廠商搭配的CPU是Ampere Computing在2020年推出的80顆核心Altra，而在2021年，該公司接續發表128顆核心的Altra Max，未來將持續提升記憶體頻寬與I/O頻寬。</strong>圖片來源／Ampere Computing</span></p> <p><span style="font-size:28px;"><strong>硬體就緒：Arm與多家廠商積極合作，壯大雲服務與伺服器生態系統</strong></span></p> <p>有了日趨廣泛、成熟的系統軟體支援，Arm架構要能支撐公有雲業者龐大的服務規模需求，需要有效能強大、持續改良的硬體晶片，以及與時俱進的高性能、高延展性系統架構作為基礎。</p> <p>關於上述要求的達成，由於Arm更積極拓展雲端服務與伺服器的應用生態，再加上多家晶片廠商投入，大幅推動相關產品開發與市場需求，於是，從2018年起，Arm伺服器發展步上正軌。</p> <p>關於Arm伺服器的發展，雖然有廠商投入，但成長步調相當緩慢，直到2018年10月有了大轉變，因Arm對5G網路與一代雲端服務至邊緣運算應用，特別揭示專屬發展藍圖，以及全新品牌的基礎架構智慧財產，並將這類解決方案命名為Neoverse，他們的目的是帶動晶片、軟體、系統的創新，協助各家廠商設計具有高效能、安全性、延展性的產品。</p> <p>在這段時間，針對採用Arm架構的伺服器，他們宣布推出ServerReady相容認證計畫，這也是Neoverse發表的重頭戲之一。</p> <p>他們與基礎架構供應鏈業者合作，對象包含晶片供應商、獨立韌體廠商、作業系統與Hypervisor軟體廠商、OEM廠商、ODM廠商、獨立硬體廠商，以及雲端基礎設施供應商，共同定義伺服器基礎系統架構（SBSA）規格的最低硬體需求，以及伺服器基礎啟動需求的最低韌體規範，同時，也運用所有可行的產業標準，並且建立新的Arm規格，促成不同廠商產品得以享有互通性。</p> <p>而在標準驗證上，Arm與眾多廠商建立架構遵循套件（ACS），可查核伺服器產品是否符合SBSA與SBBR的要求。若要進行驗證，可由廠商或Arm支援團隊協助進行，而受測的伺服器需啟動標準作業系統與執行ACS，若通過檢測，可獲得Arm ServerReady的標章。</p> <p>隔年2月，Arm發表兩種平臺，分別是：Neoverse N1（代號Ares），以及Neoverse E1（代號Helios），分別對應雲端至邊緣基礎架構，以及5G邊緣運算設備的應用需求。同年10月，Arm宣布Project Cassini計畫，希望能著重在人工智慧邊緣運算（AI Edge）這類應用的發展變革，協助整個產業在橫跨多樣、安全的邊緣運算生態系統之下，能夠持續確保雲端原生體驗的提供。</p> <p>2020年9月，Arm公布Neoverse新一代解決方案發展藍圖，將硬體智慧財產分為E系列、N系列、V系列等三大平臺，而當時進入量產階段的產品，是7奈米製程的Neoverse N1與Neoverse E1，支援PCIe 4.0介面、DDR4記憶體、HBM2高頻寬記憶體、CCIX 1.0晶片互連介面。</p> <p>接下來Arm推出的平臺，是Neoverse V1（代號Zeus），橫跨7奈米與5奈米製程，支援PCIe 5.0介面、DDR5記憶體、HBM2e高頻寬記憶體、CCIX 1.1晶片互連介面，以及2021年登場的Neoverse N2（代號Perseus），採5奈米製程，同樣支援PCIe 5.0介面、DDR5記憶體，但新支援HBM3高頻寬記憶體、CCIX 2.0與CXL 2.0晶片互連介面。</p> <p>2022年以後，則是代號為Poseidon世代的平臺，橫跨5奈米與3奈米製程，支援PCIe 5.0與6.0介面、DDR5記憶體、HBM3高頻寬記憶體，以及CCIX與CXL下一代規格的晶片互連介面。</p> <p>2021年4月，Neoverse V1、Neoverse N2正式推出，Arm同時發表網狀互連平臺Neoverse CMN-700，可針對處理器核心、快取容量、記憶體類型，以及連接的I/O裝置，提升存取效能，協助基於V1與N2而成的系統單晶片發揮成效。</p> <p>而關於ServerReady計畫的推動，後續有更大規模擴充。例如，2020年10月Arm宣布SystemReady計畫，以4大方案囊括更多伺服器類型──SystemReady SR對應的是伺服器，SystemReady ES對應的是嵌入式伺服器、SystemReady IR對應的是物聯網設備、SystemReady LS對應的是LinuxBoot Server（使用LinuxBoot韌體的伺服器），此計畫將依據上述4大產品認證，明確定義出Arm伺服器與應用設備的不同樣貌，同時，這項系統就緒認證計畫，也成為建構Project Cassini計畫的重要支柱。</p> <p>1年後，涵蓋物聯網與基礎架構邊緣運算的Project Cassini，參與廠商從30家增加到超過70家，參與ServerReady計畫的廠商名單，Arm也予以公布，總共有將近60家廠商，其中通過認證的廠商有13家、26款產品。以SystemReady SR為例，有Ampere、Avantek、技嘉這3個廠牌，共5款產品或參考平臺符合標準。</p> <p>根據Arm今年5月最新發布的消息來看，參與ServerReady計畫的廠商達到67家公司，超過50款產品通過認證。以公有雲而言，有微軟Azure與Google；軟體平台廠商囊括三大Linux系統業者：Red Hat、SUSE、Canonical，以及微軟、VMware；處理器廠商的部分，有Ampere Computing、Fujitsu、Nvidia；至於伺服器廠商，有技嘉、HPE、浪潮、聯想、緯穎。基本上，這些廠商都是推動資料中心領域發展的重要推手。</p> <p>整體而言，基於Arm架構的伺服器與雲端服務，在軟體支援與硬體供應方面已累積許多成果，展望未來，對於建置這類運算環境的企業與服務商而言，使用門檻應該越來越低，更有機會去運用Arm架構特有的開放性與高效能特色。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4-2022-05-Arm%20Updated_20SR_20graphic.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>提升軟硬體支援，Arm推動認證計畫</strong></span></p> <p><span style="color:#696969;"><strong>為了持續推動軟體與硬體支援，Arm成立SystemReady計畫來統籌產品認證的事宜，目前已有67家廠商參與。</strong>圖片來源／Arm</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-Arm%20Neoverse%20Roadmap%202020.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Arm公布Neoverse的2020至2022發展藍圖</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">早年Arm伺服器平臺發展生態系統相對受限，2018年Arm推出解決方案新品牌Neoverse之後，伺服器與邊緣運算產品規畫逐漸有了更清楚的系統化布局，2020年下半Arm公布Neoverse三大平臺發展藍圖，讓所有人掌握運用這些平臺的系統單晶片上市時程及預計支援規格。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／Arm</span></p> <p><a href="https://www.ithome.com.tw/article/151380" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/151380" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1081-feng_mian_p1-open-zong_han_-960x420_kao_bei_.jpg?itok=HuMct2Bz" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/arm">ARM</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99-0">雲端服務</a></div><div class="field-item even"><a href="/tags/aws">AWS</a></div><div class="field-item odd"><a href="/tags/oci">OCI</a></div><div class="field-item even"><a href="/tags/%E5%9F%B7%E8%A1%8C%E5%80%8B%E9%AB%94">執行個體</a></div><div class="field-item odd"><a href="/tags/%E5%BE%AE%E8%BB%9Fazure">微軟Azure</a></div><div class="field-item even"><a href="/tags/equinix">Equinix</a></div><div class="field-item odd"><a href="/tags/cloudflare">CloudFlare</a></div></div></div>
2022/6/13 07:00作者李宗翰https://www.ithome.com.tw/tech/151374
Container周報第150期：全球雲原生開發者超過710萬人！Docker桌面版小更新讓操作介面更直覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2022/5/26~2022/6/8 精選容器新聞</strong></p> <p>#CNCF開發者大調查、#雲端原生<br /> 全球雲端原生開發者超過710萬人，但東亞和大中華採用腳步趨緩</p> <p>CNCF組織最近公布了2021年雲端原生大調查結果，這是和SlashData聯手在去年第三季進行，搜集了超過19,000份有效樣本的大調查。根據調查，全球採用容器技術的開發者持續增加，去年Q3時累計超過了1,040萬人，而雲端原生技術開發者也達到了710萬人之多。K8s採用者約510萬人，與去年相當，只增加了2%。全球雲端原生技術的採用情況大多持續成長，只有東亞地區，在過去一年對多項雲端原生技術的採用率反而下滑。2020年Q3，東亞地區有40%後端開發者採用雲端原生技術，但到了2021年Q3，這個比例減少到只有32%，而容器調度平臺（如K8s）採用率，也從23%些微下滑到19%，容器技術採用率則從45%下滑到43%。CNCF在報告中分析，大中華地區雲端原生技術採用率下滑，可能受到容器技術帶來的複雜性、資安和可靠性挑戰等議題而影響，但沒有解釋東亞採用率下滑的原因。</p> <p><strong>#容器管理、#Docker<br /> Docker桌面版介面大翻新，表格式管理介面讓管理容器就像管Email</strong></p> <p>日前才剛宣布支援Linux作業系統後，Docker桌面版緊接著在6月初推出了4.9新版，大副簡化了容器管理介面，採取表格式的檢視畫面，就像是電子郵件常見的列表清單，也可以直接使用滑鼠點擊查核方塊，快速勾選出要刪除或啟動的一批容器，就像在網頁Email服務中常見的大宗郵件勾選操作一般容易。甚至，Docker桌面版還提供了整頁容器全選功能，可以一次勾選這一頁畫面中的所有容器，來進行操作。也可以透過滑鼠拖拉來調整容器清單內的排列順序，更方便分類檢視不同用途的容器。也能快速複製貼上容器映像檔的ID到任何地方，例如複製貼上終端機內方便下達指令。4.9版也新增了2個新的外掛，一個是Mirantis提供的Lens Kubernetes，可以直接在Docker桌面版中存取和控制K8s叢集，另一個是Slim.ai外掛，可以快速查看容器映像檔中的結構，來檢查是否出現了奇怪的元件或有問題的程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%96%B0%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Docker.jpeg" /></p> <p><strong>#K8s管理、#Docker外掛<br /> Mirantis的K8s管理工具登陸Docker桌面版，管理和檢視叢集即時資訊都簡單</strong></p> <p>Mirantis旗下熱門的K8s管理工具Lens最近在Docker桌面版推出了外掛，開發者可以在Docker桌面中存取K8s叢集即時運作資訊，例如叢集的CPU、記憶體或Pod數量，也能存取串流Log記錄，或是快速建立一個簡單除錯用的K8s環境，這是利用Mirantis開源的K8s發行版K0s所建立的輕量級K8s環境。Lens目前有超過65萬人使用。</p> <p><strong>#服務網格、#微服務<br /> Istio回歸社群主導後釋出了第一個更新，繼續強化安全機制</strong></p> <p>在Google把微服務管理平臺Istio捐給CNCF基金會，放手由開源社群主導後，最近釋出了第一個更新版本Istio 1.14。這是今年釋出的第二個更新版本，也正式支援K8s 1.21和1.24版。1.14版支援SPRIE runtime可以透過外掛方式來提供SPRIE多重身份驗證機制，來提供節點或工作負載的身份驗證，可支援不同公雲、K8s環境或Docker環境的身份驗證之用。另外，這個版本也提供了Istio工作負載的TLS版最小配置檔。遙測API也有小幅更新，例如Log可以記錄OpenTelemetry的存取行為，可用工作量模式來過濾等。</p> <p><strong>#SBOM、#K8s安全 <br /> K8s專案年度報告出爐，今年多1萬名貢獻者，軟體供應鏈安全是新焦點</strong></p> <p>CNCF組織最近發布了2021年的Kubernetes年度報告，盤點K8s專案過去一年成果和未來的發展重點。目前K8s專案有超過65,000名開源貢獻者，其中過去一年增加了1萬人。去年也新增加了一個K8s infra小組，來負責K8s基礎架構自動化工具的開發，包括要導入更多資源管理的測試工具。CNCF在報告中也揭露K8s開源專案目前的開發重心是軟體供應鏈安全，正在發展多項強化K8s安全的機制，例如日後K8s可以自動產生軟體物料表SBOM，也計畫將遵循半軟體供應鏈安全框架SLSA 3標準（軟體半成品資安查驗框架），還將推出半成品簽章機制來避免遭竄改，版本發布流程也將用更安全的Go來取代bash腳本語言來重新設計，並且計劃增加更多強化K8s發布機制的功能，例如二進位黨驗證、CVE揭露等做法。</p> <p><strong>#開源贊助、#OpenStack<br /> 企業贊助OpenStack特定開源專案有新管道，還能獲得專案管理支援</strong></p> <p>前身是OpenStack基金會的OpenInfra基金會，最近宣布一項新的資助模式，讓企業可直接贊助偏好的特定開源碼專案。傳統上企業若想贊助開源專案或社群，主流方式是加入會員付會員費，而由主持機構分配到最適合的專案。OpenInfra解釋，直接資助模型則允許企業針對他們最關心的專案提供資金，並獲得非營利機構的專案管理支援。OpenInfra要求每個資助專案的會員公司必須建立基金治理委員會，根據OpenInfra指引來決定預算。此外，OpenInfra將提供建立專案及社群的框架及指引，包括防止委員會為了衝營收而濫接專案的管理方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E6%88%90%E6%9C%AC%E4%BC%B0%E7%AE%97--%E5%B0%8F-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.jpg" style="float: right;" /><strong>#雲端成本控管、#GCP<br /> #GCP推出GKE成本預估工具，能估算每個月花多少K8s叢集租金</strong></p> <p>大量運用K8s自動化擴充機制帶來的挑戰是，難以事前估算K8s叢集的用量，這對租用雲端K8s服務來說，是成本控管的一大麻煩。最近GCP終於推出了GKE成本預估工具預覽版。可以在Google Cloud Console中，檢視每個月所用GKE工作負載的預估成本，還會依據所用不同規格的GKE工作負載，列出每一類工作負載的單價和單月總價，也會依據用戶所採用的叢集折扣方案來精算節省後的租金，來估算出每個月可能的GKE費用。在GKE建立新叢集的操作流程中，也會自動帶出這個成本預估工具，使用者在選擇要建立的叢集規格時，就能知道不同規格的每月租金成本。</p> <p><strong>#XCode、#WWDC<br /> 蘋果雲端CI/CD開發平臺Xcode Cloud終於上線，開發iOS和MacOS應用可以全面在雲上</strong></p> <p>蘋果在今年WWDC上正式推出Xcode Cloud服務，今夏也將推出Xcode Cloud訂閱方案。這項服務可以供Apple開發者在雲端建置和測試、部署應用程式，透過持續整合和持續交付，來縮短App開發周期，加快產品上市。透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構iOS或MacOS等應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理等，來協助開發者縮短應用開發與交付。而通過App Store Connect的Web儀表板，能顯示Xcode Cloud上的測試的資訊，也可直接從Web頁面編輯工作流程並展開App建立，Xcode Cloud也能與TestFlight工具一起使用，可供開發團隊進行測試版測試。</p> <p> <strong>更多新聞</strong></p> <p>大量運用公雲打造航太軟體後，波音決定成為CNCF白金會員來參與更多開源專案</p> <p><strong>@資料來源：iThome整理，2022年6月</strong></p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/12 12:49作者王宏仁https://www.ithome.com.tw/news/151394
【資安週報】2022年6月6日至10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，有兩個零時差漏洞的相關事故引起許多資安人員關注。一個是微軟於5月底，編號為CVE-2022-30190列管的Windows支援診斷工具（MSDT）漏洞「Follina」，另一個則是Atlassian Confluence伺服器漏洞CVE-2022-26134。</p> <p>前者在4月上旬就有研究人員向微軟通報，但直到5月底再度有人察覺相關攻擊行動，並引起許多資安人員提出警告時，微軟終於發布資安通告，並提出緩解措施，然而迄今仍尚未提供修補程式。而在上述公告發布後，也不意外這項漏洞開始被用於攻擊行動。</p> <p>至於本週有哪些重大的資安事故？從上週末開始烏克蘭電腦緊急應變小組（CERT-UA）提出警告，有人將Follina用於攻擊烏克蘭民眾，來投放Cobalt Strike的Beacon；接著有資安業者發現，駭客針對歐洲政府與美國地方政府下手。巧合的是，兩起事件駭客都是透過與薪資有關的名義發動網釣攻擊，來散布可觸發Follina的Word檔案。</p> <p>在針對特定國家與政府機關下手的事故之外，也有駭客組織TA570，運用這項MSDT漏洞來散布惡意軟體QBot。由於QBot是許多駭客用於投放第二階段惡意軟體（尤其是勒索軟體）之前，用來入侵受害組織的初步管道，使用QBot的駭客運用MSDT漏洞，後續會帶來哪些仍影響有待觀察。</p> <p>而論及Follina漏洞可被利用的原因，其中一項是與微軟Office處理URI的流程有關。上週有研究人員揭露藉由呼叫Windows搜尋觸發URI的漏洞後，本週也有人公布另一個MSDT漏洞DogWalk，但有所不同的是，該漏洞是透過網頁瀏覽器與收信軟體觸發。</p> <p>本週另一個揭露的重大資安漏洞與協作平臺Atlassian Confluence有關，同樣是因研究人員調查攻擊行動而察覺。Atlassian獲報後很快就予以修補並發布資安通告，但不久之後相關漏洞探測攻擊就大幅增加。</p> <p>在上述的零時差漏洞資安事故之餘，駭客透過已知漏洞發動攻擊的情況也相當值得留意。例如，美國對於中國駭客的攻擊行動提出警告，這些駭客長期鎖定電信業者與網路服務供應商（ISP）下手，而他們入侵受害組織的主要管道，就是利用連網設備的已知漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-zero-day-exploited-in-us-local-govt-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞已被用於攻擊美歐政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg" style="width: 300px; float: right;" /></a>在5月底被資安人員揭露，且<a href="https://www.ithome.com.tw/news/151257#ta413">已出現攻擊行動</a>的MSDT零時差漏洞CVE-2022-30190（亦稱Follina），現在也有駭客鎖定歐美政府機關下手的事故。資安業者Proofpoint發現，有人透過承諾給員工加薪的釣魚郵件，鎖定歐洲政府機關與美國地方政府機關（少於10個組織），一旦收信人打開附件的檔案，駭客就會透過上述的漏洞，在電腦上部署PowerShell指令碼來進行攻擊，並從多種上網應用程式，包含瀏覽器、收信軟體、即時通訊軟體等，竊取帳密資料傳送到駭客的伺服器。而對於攻擊者的身分，研究人員表示很可能是國家級駭客，但還不確定是那個組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/40559"><span style="color: rgb(0, 0, 0);">有人利用微軟Office的MSHTML、MSDT重大漏洞，在烏克蘭散布Cobalt Strike</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png" style="width: 300px; float: right;" /></a>微軟的MSDT零時差漏洞CVE-2022-30190，也被駭客用於攻擊烏克蘭政府機關。烏克蘭電腦緊急應變小組（CERT-UA）於6月2日發出資安通告，指出他們發現有人以調整薪資的名義，發送挾帶Word檔案的釣魚郵件，一旦收信人開啟附件，電腦就會執行JavaScript指令碼，進而利用MSHTML漏洞CVE-2021-40444，以及近期被揭露的MSDT零時差漏洞CVE-2022-30190，下載滲透測試工具Cobalt Strike的Beacon到受害電腦。烏克蘭電腦緊急應變小組公布了入侵指標（IoC），供相關單位加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-now-uses-windows-msdt-zero-day-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞再度遭到利用，TA570用於散布惡意軟體QBot</span></a></strong></h3> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，自5月底揭露以來已有數起攻擊事故，如今這個漏洞也被用於傳送惡名昭彰的QBot。資安業者Proofpoint於6月8日指出，他們看到駭客組織TA570正在利用上述漏洞，投放惡意軟體QBot。</p> <p>這些駭客挾持含有HTML附件的郵件訊息，收信人一旦開啟附件，電腦就會下載ZIP壓縮檔，其內容是IMG光碟映像檔，當中包含了Word檔案、LNK捷徑檔案，以及DLL程式庫。LNK檔案的作用是執行DLL程式庫，來啟動QBot，而Word檔案一旦被開啟，將會載入HTML檔案，進而執行PowerShell並利用CVE-2022-30190，下載QBot到受害電腦。資安新聞網站Bleeping Computer認為，駭客同時運用兩種執行QBot的方法，很有可能是正在挑選效果較佳的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/j00sean/status/1533889445027536899"><span style="color: rgb(0, 0, 0);">研究人員揭露另一個MSDT零時差漏洞DogWalk</span></a></strong></h3> <p>自5月底Windows支援診斷工具（MSDT）爆發零時差漏洞CVE-2022-30190（Follina）後，有其他研究人員揭露另一個MSDT漏洞，呼籲微軟重視相關弱點。研究人員j00sean於6月7日公布名為DogWalk的零時差漏洞，這項漏洞涉及路徑穿越（Path Traversal），攻擊者一旦利用，就有可能將檔案存放於受害電腦的任何位置且不易被察覺。在利用這項漏洞的攻擊手法裡，駭客透過電子郵件或是網路連結傳送DIAGCAB格式的惡意檔案，並引誘受害者在電腦上開啟就有機會觸發。雖然該惡意檔案來自網路而包含相關標記（MOTW），但Windows或是上網應用程式很可能允許用戶直接開啟檔案而不會發出警告訊息，使得攻擊者得以濫用。</p> <p>研究人員指出，這項漏洞將導致攻擊者能繞過MOTW、Chromium核心的瀏覽器（Chrome、Edge、Opera），以及作業系統內建的Microsoft Defender。與Follina相同的是，DogWalk同樣先前就有人曾經向微軟通報，該公司認為並非安全漏洞，沒有提供修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-zero-day-actively-used-in-attacks/" id="CVE-2022-26134" name="CVE-2022-26134" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">Atlassian Confluence零時差漏洞被攻擊者用於植入Web Shell</span></a></strong></h3> <p>資安業者Volexity於6月2日指出，他們在5月底，發現兩臺連結網際網路的協作平臺Atlassian Confluence伺服器裡，發現駭客利用未知的漏洞，在這些主機上植入JSP檔案的Web Shell，成功後進一步植入名為中國菜刀（China Chopper）的Web Shell。</p> <p>經調查及分析後，確認是未曾通報的零時差漏洞，他們通知Atlassian，對方獲報後將其登記為CVE-2022-26134進行列管，並確認該漏洞存在於所有版本的Confluence伺服器與資料中心。隔日，Atlassian再度更新資安通告，並提供修補程式與緩解措施。</p> <p>資安業者GreyNoise提出警告，他們看到網路上已有大量鎖定上述漏洞的攻擊行動，掃描該漏洞的IP位址從原本約20個，在一天當中已增加至211個。 </p> <h3><strong style="font-size: 22px;"><a href="https://www.lacework.com/blog/kinsing-dark-iot-botnet-among-threats-targeting-cve-2022-26134/"><span style="color: rgb(0, 0, 0);">多個殭屍網路加入利用Atlassian Confluence漏洞的行列</span></a></strong></h3> <p>研究人員於上週末公布開發協作平臺Atlassian Confluence的漏洞CVE-2022-26134，很快就有許多駭客嘗試利用發動攻擊，其中也有殭屍網路駭客投入。資安業者Lacework指出，殭屍網路Kinsing、Hezb、Dark.IoT皆透過上述漏洞，對尚未修補的Confluence伺服器下手。研究人員提到，這3個殭屍網路主要利用這些伺服器挖礦牟利，他們呼籲組織應儘速安裝修補程式，或是採取緩解措施來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/xloader-botnet-find-me-if-you-can/"><span style="color: rgb(0, 0, 0);">殭屍網路病毒XLoader隱匿C2伺服器難以追蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png" style="width: 300px; float: right;" /></a>駭客為了防範研究人員追查來源，很可能會試圖隱匿C2伺服器的位址，而近期有人竟採用了更為複雜的方式來混淆視聽。資安業者Check Point揭露殭屍網路病毒XLoader的近期動態，當中駭客使用64個網域名稱，並在連線後隨機從其他16個網域裡，挑選連線的對象。研究人員根據找到的XLoader檔案，至少看到10萬個網域，其中僅有120個網域才是C2伺服器。研究人員指出，新版XLoader會在嘗試與C2中繼站連線的過程中，持續抽換伺服器名單部分內容，而使得他們更難找到真的C2中繼站網域。這樣的情況將使得攻擊來源更加不易追蹤。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/tales-from-the-honeypot-watchdog-evolves-with-a-new-multi-stage-cryptojacking-attack/"><span style="color: rgb(0, 0, 0);">駭客組織WatchDog濫用Docker進行挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png" style="width: 300px; float: right;" /></a>駭客濫用雲端Docker設施暗中挖礦的情況，近期又出現新的攻擊行動。資安業者Cado發現名為WatchDog的駭客組織，近期鎖定開放2375埠，且組態配置不當的Docker引擎API端點下手，進而在Docker環境裡更動容器，或是執行任意Shell指令。</p> <p>研究人員看到這些駭客先是執行cronb.sh來檢查主機狀態，並列出正在執行的處理程序，然後呼叫第二階段的酬載ar.sh，透過一個處理程序執行被隱藏的Shell指令碼，並操弄事件記錄的時戳來誤導鑑識人員，此外，該惡意酬載也會清除阿里雲的代理程式。在進行上述的環境確認作業後，駭客才在受害主機上投放XMRig挖礦程式，並利用systemd服務來維持運作。</p> <p>在前述攻擊行動成功後，駭客運用zgrab、masscan、pnscan來搜尋其他節點，並進一步擴散。研究人員指出，這些駭客大量使用TeamTNT的工具，很有可能是從該組織竊取並用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/06/symbiote-a-new-nearly-impossible-to-detect-linux-threat"><span style="color: rgb(0, 0, 0);">惡意軟體Symbiote濫用BPF元件隱匿攻擊意圖</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png" style="width: 300px; float: right;" /></a>先前<a href="https://www.ithome.com.tw/news/151159#bpfdoor">有多名研究人員發現名為BPFDoor的後門程式</a>，駭客組織濫用名為Berkeley Packet Filter（BPF）的監聽器元件，從網路層監看受害組織傳輸的資料，而不易被發現，最近又有新的惡意軟體也利用類似手法引起研究人員關注。</p> <p>IT業者BlackBerry與資安業者Intezer聯手，揭露名為Symbiote的Linux惡意軟體，他們最早約於2021年11月發現，該惡意軟體很可能以拉丁美洲的金融機構為攻擊目標，特別的是，此惡意軟體為共用物件（Shared Object，SO）程式庫，並透過使用LD_PRELOAD的所有處理程序來載入執行。該惡意軟體亦與libc和libpcap功能掛鉤，以便在Linux主機上隱匿蹤跡。</p> <p>研究人員指出，為了讓防守方難以從網路流量察覺異狀，該惡意軟體濫用Linux核心的BPF封包過濾器來管制進出流量，此外，若是有其他應用程式想要執行BPF元件，Symbiote也會劫持相關處理程序。研究人員指出，此惡意軟體以使用者層級的Rootkit執行，導致想要偵測是否遭到感染變得更加困難。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/three-actively-exploited-sap-vulnerabilities-identified-onapsis-research-labs"><span style="color: rgb(0, 0, 0);">已修補的SAP商用軟體漏洞遭到濫用</span></a></strong></h3> <p>過往軟體業者已發布修補程式的漏洞，很有可能成為駭客再度利用的目標，而使得研究人員提出警告。資安業者Onapsis於6月9日指出，他們看到針對SAP Netweaver的3個已知漏洞的攻擊行動，這些漏洞是CVE-2021-38163、CVE-2016-2386，以及CVE-2016-2388。研究人員表示，上述漏洞有2個是重大漏洞，且幾乎都有公開的概念性驗證程式（PoC），以及能夠遠端發動攻擊等特性，他們呼籲企業應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-black-basta-ransomware-targets-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">駭客組織Black Basta發展Linux版勒索軟體，鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織鎖定企業的VMware虛擬化平臺發動攻擊，紛紛開發Linux版的勒索軟體，最近又有駭客組織投入這塊領域。根據資安新聞網站Bleeping Computer的報導，甫於今年4月開始行動的勒索軟體駭客組織Black Basta，最近針對VMWare ESXi伺服器製作新的勒索軟體，該勒索軟體執行後會搜尋受害伺服器的/vmfs/volumes檔案資料夾，使用ChaCha20演算法加密虛擬機器（VM）的相關檔案，並使用多個處理器加速作案的過程，最後在加密完成後留下勒索訊息。研究人員指出，這應該是該駭客組織首度針對虛擬化平臺而來的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/06/shining-the-light-on-black-basta/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta與QBot狼狽為奸，在受害組織橫向擴散</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png" style="width: 300px; float: right;" /></a>勒索軟體駭客與其他組織合作，由對方負責潛入受害組織的情況時有所聞，但現在有人更進一步協助勒索軟體進行橫向感染。資安業者NCC Group在調查資安事故的過程中，發現QBot與勒索軟體Black Basta之間的合作關係，勒索軟體駭客不只委由QBot進行初步入侵受害組織的網路，Black Basta更進一步藉由該惡意軟體橫向傳播勒索軟體，駭客也在受害主機上建立臨時服務，使用Regsvr32側載QBot，然後啟用遠端桌面連線（RDP），以便攻擊者控制受害電腦。</p> <p>研究人員指出，駭客可能運用QBot感染網路共享資料夾、暴力破解AD、並透過SMB檔案共用機制來傳播勒索軟體，他們也在部分受害電腦上看到駭客部署了Cobalt Strike的Beacon。而勒索軟體Black Basta在加密檔案之前，也會刪除磁碟陰影複製服務（VSS）的備份檔案，以及Veeam備份檔案，並透過PowerShell指令刪除作業系統內建的防毒軟體Microsoft Defender。研究人員認為，企業應加以管控RDP與SMB的流量，並確保相關備份資料可用性，來防堵上述的攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/"><span style="color: rgb(0, 0, 0);">勒索駭客組織Conti開始鎖定Intel韌體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti自烏克蘭戰爭表態力挺俄羅斯後，成員之間的對話內容遭到外流，有研究人員進一步解析後指出，這些駭客已經鎖定搭載Intel處理器的電腦韌體下手。資安業者Eclypsium指出，駭客組織Conti最近幾年開始針對電腦韌體發展相關攻擊手法，並在9個月前就製作了概念性驗證攻擊程式。</p> <p>根據駭客的對話內容，該組織疑似主要鎖定下列3種領域發展攻擊手法，分別是從Intel處理器晶片的管理引擎（ME）找出未被發現的漏洞、嘗試從ME存取UEFI的SPI快閃記憶體來繞過相關防護措施，以及透過系統管理模式（SMM）執行的過程投放惡意軟體等。</p> <p>研究人員指出，這些層面的攻擊，涉及Intel處理器從2019年至2020年被發現的43項漏洞，有鑑於企業修補處理器與UEFI韌體漏洞的頻率較一般應用程式來得低，再加上成功植入惡意程式後不易被察覺，使得相關攻擊的危害較為嚴重。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-now-steals-credit-cards-from-google-chrome-users/"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FUrsT65WIAUX5b-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FUrsT65WIAUX5b-.png" style="width: 300px; float: right;" /></a>殭屍網路Emotet自去年11月捲土重來後，該組織的攻擊行動於今年大幅增加<a href="https://www.ithome.com.tw/tech/150815">且出現新的手法</a>，而引起研究人員關注，最近這些駭客更進一步加入新的模組來竊取機密資料。資安業者Proofpoint指出，他們在6月6日發現新的Emotet殭屍網路病毒模組，駭客透過E4殭屍網路來進行散布。經研究人員分析後，該模組是用來竊取Chrome瀏覽器用戶的信用卡資料，一旦得手，就會上傳到C2伺服器，不過，比較特別的是，該伺服器與載入上述竊密模組的來源伺服器不同，至於駭客為何要這麼做？研究人員沒有進一步說明。除此之外，資安業者ESET近期也針對Emotet的態勢提出警告，表示今年第一季攻擊行動次數，較2021年第3季增加超過100倍，其中較為大型的攻擊行動出現於3月16日，鎖定日本、義大利、墨西哥等國家。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-158a"><span style="color: rgb(0, 0, 0);">美國公布中國駭客攻擊電信業者與ISP所使用的連網設備漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/network-device-cve.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/network-device-cve.png" style="width: 300px; float: right;" /></a>中國駭客組織攻擊電信業者、網路服務供應商（ISP）的情況，最近幾年研究人員陸續揭露有關攻擊行動，這樣的情況也引起美國高度關注並提出警告。美國國安局（NSA）、網路安全及基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，於6月8日發布資安通報，指出中國駭客組織在攻擊電信業者與網路服務供應商的過程裡，偏好運用路由器滲透測試框架RouterSploit和RouterScan，掃描連網設備的漏洞並發動攻擊，特別是較為缺乏修補的路由器與NAS裝置，駭客可能會將其當作節點來引導C2流量，並做為攻擊其他設備的中繼站。</p> <p>這些單位指出，駭客約自2020年開始，大規模針對已知漏洞下手，因為坊間往往已有攻擊程式，不需自行耗費大量心力重新打造，而能將更多資源投入混淆視聽及埋藏蹤跡。根據這次公告列出的已知漏洞，駭客多半利用從2018年至2020年揭露的漏洞，這些單位呼籲相關企業，應落實網路設備的漏洞修補，並採用雙因素驗證（MFA）等措施，來強化相關資安因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/aoqin-dragon-newly-discovered-chinese-linked-apt-has-been-quietly-spying-on-organizations-for-10-years/"><span style="color: rgb(0, 0, 0);">中國駭客組織Aoqin Dragon鎖定東南亞與澳洲而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg" style="width: 300px; float: right;" /></a>又有鮮為人知的中國駭客組織，暗中監視受害組織近10年。資安業者SentinelOne揭露名為Aoqin Dragon的中國駭客組織，這些駭客自2013年開始，針對東南亞與澳洲的政府、教育、電信業者下手。</p> <p>該組織散播惡意軟體大致上有3種管道，分別是透過惡意Word檔案並引誘受害者開啟，進而在受害電腦安裝後門，這些文件檔案誘餌不是與亞太政治時事有關，就是打著色情資訊的名義而來；再者，有些攻擊行動則以冒牌防毒軟體誘騙受害者執行惡意軟體；此外，這些駭客自2018年開始，也透過假的外接裝置讓對方上當，然後在受害電腦上植入惡意軟體。</p> <p>其中，又以假冒外接裝置的做法引起研究人員關注，這些駭客傳送帶有啟動惡意軟體路徑的捷徑檔案（LNK），但讓它看起來像是外接式裝置的圖示，一旦受害者點選，該LNK檔案將會執行名為「Evernote工具列程式（Evernote Tray Application）」的惡意程式，並在受害電腦重開機後自動載入，一旦偵測到外接式儲存裝置，該惡意軟體將會自我複製來感染其他電腦。研究人員指出，根據他們對該駭客組織的分析，研判很有可能與UNC94、Naikon APT等組織有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/"><span style="color: rgb(0, 0, 0);">檔案共享服務OneDrive遭到濫用！黎巴嫩駭客Polonium用於架設C2，攻擊以色列組織</span></a></strong></h3> <p>檔案共享服務遭到濫用的情況，最近有國家級的駭客藉此發動攻擊。微軟最近指出，他們觀察到黎巴嫩駭客組織Polonium，約自今年2月開始鎖定以色列組織下手，3個月以來超過20個組織受害，這些組織是該國重要的製造業、IT服務業者、國防工業。</p> <p>研究人員提到，其中一起攻擊行動裡，駭客組織發動供應鏈攻擊，先是滲透IT服務業者，進而攻擊下游航太業者與律師事務所。</p> <p>而這些受害者共通的特徵，就是大部分採用可能存在弱點的VPN設備，研究人員提及，約有8成受害組織部署Fortinet的SSL VPN設備，使得他們推測駭客的主要入侵管道有可能是重大漏洞CVE-2018-13379。</p> <p>除此之外，這些駭客很可能還與他國駭客結盟，互通有無。微軟認為該組織很可能也與伊朗情報暨安全部（MOIS）聯手，MOIS疑似將已經成功入侵的網路移交給Polonium，讓這個組織發動第二輪攻擊，再者，兩個組織都是利用OneDrive架設C2伺服器，並使用AirVPN埋藏攻擊來源。OneDrive團隊已封鎖該組織濫用的帳號，並移除相關的應用程式及通知受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.globenewswire.com/news-release/2022/06/02/2455397/0/en/Kaspersky-WinDealer-malware-shows-extremely-sophisticated-network-abilities.html"><span style="color: rgb(0, 0, 0);">中國駭客LuoYu以提供應用程式更新的名義，散布後門程式WinDealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png" style="width: 300px; float: right;" /></a>鮮為人知的中國駭客組織採用罕見手法投放惡意軟體，引起研究人員關注。卡巴斯基指出，他們發現名為LuoYu的中國駭客組織（編按：此組織<a href="https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf">臺灣資安業者TeamT5稱為「蠃魚」</a>），近期使用<a href="https://en.wikipedia.org/wiki/Man-on-the-side_attack">旁觀者攻擊（Man-on-the-side attack）</a>的方式，假借在受害者電腦上更新軟體的名義，部署惡意程式WinDealer，進而透過C2中繼站下達命令、進行螢幕截圖，或是收集電腦軟硬體詳細資料等工作。</p> <p>駭客利用含有簽章的qgametool.exe軟體更新程式，來下載假冒成視訊串流播放軟體PPTV的WinDealer並安裝在受害電腦上，研究人員指出，在這起攻擊行動的手法裡，比較特別之處，在於C2中繼站連接方式，駭客透過獨特的演算法，從中國西藏自治區或貴州省的4.8萬個IP位址裡挑選連線的對象，研究人員推測，這些駭客很可能使用ISP層級的工具來連結C2中繼站。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/svcready-a-new-loader-reveals-itself/"><span style="color: rgb(0, 0, 0);">攻擊者透過Office檔案屬性投放惡意軟體SVCReady，進一步在受害電腦部署竊密程式RedLine</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/svcready_002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/svcready_002-1.png" style="width: 300px; float: right;" /></a>攻擊者透過Office檔案挾帶惡意軟體時有所聞，但最近出現了新的手法引起研究人員關注。HP的威脅情報團隊揭露近期的惡意軟體SVCReady攻擊行動，駭客組織TA551（亦稱Hive0106、Shathak）疑似從4月22日開始，發動釣魚郵件攻擊，挾帶含有惡意巨集的Word檔案，在受害電腦投放惡意程式SVCReady。</p> <p>但這起攻擊行動相當不同的是，駭客將載入惡意程式的管道，埋藏在Word檔案的屬性裡面，VBA巨集被觸發後，會重組上述檔案屬性的字串執行Shell Code，接著於受害電腦投放並執行SVCReady，不久後攻擊者又將該惡意軟體刪除。在上述的過程中，駭客不需要透過PowerShell或是MSHTA等內建工具，從遠端伺服器下載作案工具。研究人員在其中1臺受害電腦裡，看到駭客植入了竊密程式RedLine進行第二階段的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/" id="palermo" name="palermo" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市遭到網路攻擊</span></a></strong></h3> <p>自歐美多個國家於4月聯合提出警告，俄羅斯駭客將會攻擊全球關鍵基礎設施後，義大利於5月接連遭到該國駭客組織Killnet的DDoS攻擊，而最近又有一座城市傳出遭到癱瘓的消息。根據資安新聞網站Bleeping Computer的報導，義大利南部的巴勒莫市於6月3日遭到網路攻擊，當地的IT專家持續嘗試復原系統運作，但目前為止該城市的所有服務仍幾乎無法運作，受影響的系統包含了警察調度中心、視訊監控系統，以及所有市民服務等。但這起事故是否也是Killnet所發起？該新聞網站指出，巴勒莫市很可能遭到勒索軟體攻擊，而非DDoS攻擊，應該不是該駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-italian-city-of-palermo/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市營運中斷疑勒索軟體Vice Society所為</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png" style="width: 250px; float: right;" /></a>義大利南部的巴勒莫市於6月3日遭到網路攻擊，導致該城市的所有服務仍幾乎無法運作，當時外界推測很有可能是勒索軟體攻擊事故，最近有駭客組織承認是他們所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Vice Society將巴勒莫市列為他們的受害者，並揚言若是不付贖金，該組織會於6月12日公布所有竊得的檔案。該新聞網站指出，由於駭客尚未透露竊得的資料有那些，他們很難判斷攻擊巴勒莫市的駭客是否就是Vice Society，也不確定駭客究竟掌握多少資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions" id="evilcorp-lockbit" name="evilcorp-lockbit" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">為逃避司法單位制裁，勒索軟體駭客組織Evil Corp改用LockBit發動攻擊</span></a></strong></h3> <p>為了躲避執法單位的追查，駭客組織改名或是更換作案工具的情況，已有數起，例如，勒索軟體駭客組織Conti疑似在今年2月底內部資料外流後，將主要成員分散到KaraKurt、BlackByte、Black Basta等組織。資安業者Mandiant發現，勒索軟體駭客組織Evil Corp近期改用LockBit做為作案的工具，理由是為了逃避美國財政部國外資產控制辦公室（OFAC）的制裁。</p> <p>而這不是該組織第一次因為受到美國制裁而更換作案的勒索軟體，2020年中旬，<a href="https://www.ithome.com.tw/news/138706">該組織使用名為WastedLocker的勒索軟體對美國大型企業下手</a>；2020年底至2021年上旬，他們打造<a href="https://www.ithome.com.tw/news/143536">勒索軟體Hades攻擊年營收超過10億美元的跨國大型企業</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit宣稱從資安業者Mandiant竊得資料，但駭客似乎別有目的</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客聲稱入侵資安業者並打算公布資料，起因很有可能是與研究人員揭露駭客的行蹤有關。勒索軟體駭客LockBit於6月6日晚間，宣稱他們成功從資安業者Mandiant竊得356,841個檔案，並打算將這些資料公諸於世。不過，這些駭客並未透露竊得資料的內容為何。</p> <p>Mandiant也得知此事並著手調查，並表示目前尚未找到與該組織入侵公司相關的證據。但研究人員根據駭客公布檔案大小僅有0位元、檔名為mandiantyellowpress.com.7z檔案進行調查，這起事件並非駭客真的入侵了Mandiant，而很有可能是因為該公司研究人員於6月初，<a href="https://www.ithome.com.tw/news/151308#evilcorp-lockbit">揭露駭客組織Evil Corp使用LockBit勒索軟體</a>，LockBit駭客組織想要和該組織畫清界線，避免也被美國政府追查所採取的行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/"><span style="color: rgb(0, 0, 0);">大型製藥廠諾華機密資料疑出現於地下市集，該公司宣稱無機密資料外流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg" style="width: 300px; float: right;" /></a>以生產療黴舒、愛克喘、服他寧等藥物的大型藥廠諾華（Novartis），傳出有駭客組織竊得其內部資料並於地下市場兜售的情況。根據資安新聞網站Bleeping Computer的報導，駭客組織Industrial Spy在其經營的地下市集裡，以50萬美元的價格出售檔案大小共7.7 MB的PDF檔案，該組織宣稱這些資料來自諾華實驗室，與RNA及DNA的藥物技術有關，亦包含實驗數據，很可能是該公司研發下一代武漢肺炎藥物的機密資料。對此，諾華向該新聞網站表示，他們確認無相關機密資料遭到損害，並著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/f/cuba-ransomware-group-s-new-variant-found-using-optimized-infect.html"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba採取雙重勒索策略，要求受害者3天內進行談判</span></a></strong></h3> <p>曾在2021年底大肆對美國關鍵基礎設施下手，引起當地聯邦調查局（FBI）重視的勒索軟體Cuba，近期再度出現攻擊升溫的現象。趨勢科技指出，他們自今年3月至4月，發現Cuba重振旗鼓，駭客先是開始運用惡意程式下載器，來減少攻擊行動遭到干擾的情況，而到了4月底，在該組織鎖定位於亞洲的2個組織攻擊裡，發現新的勒索軟體變種會終止受害電腦更多的處理程序，包括收信軟體Outlook、郵件伺服器Exchange Server、資料庫軟體MySQL等，同時該組織也進行雙重勒索──他們在勒索訊息表明，受害者3天內若是不願聯繫他們討論支付贖金的事宜，將會直接公布已經竊得的電腦資料，此外，這些駭客也導入了技術支援系統quTox引導對方付錢。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bizarre-ransomware-sells-decryptor-on-roblox-game-pass-store/"><span style="color: rgb(0, 0, 0);">勒索軟體WannaFriendMe要求受害者從線上遊戲Roblox市集購買解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg" style="width: 300px; float: right;" /></a>一般的勒索軟體會在加密電腦檔案後，駭客會要求受害者向他們聯繫，支付加密貨幣到特定錢包，但現在出現了新的做法。根據資安新聞網站Bleeping Computer的報導，資安研究團隊MalwareHunterTeam發現了名為WannaFriendMe的勒索軟體，一旦受害者的電腦檔案遭到加密，駭客會要求他們必須先取得線上遊戲Roblox的通行證，然後再購買市集裡的解密金錀Ryuk Decrypter，然後向駭客提供Roblox玩家ID與通行證資料。</p> <p>研究人員分析該勒索軟體後發現，WannaFriendMe其實是Chaos的變種，但加密檔案後會將副檔名改為Ryuk，讓受害者誤以為是遭到勒索軟體Ryuk攻擊。而這不是Chaos變種首度針對遊戲玩家下手──去年10月，有人針對日本Minecraft玩家發動勒索軟體攻擊，且有部分檔案加密後會無法復原。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補可能導致帳號遭到接管的重大漏洞</span></a></strong></h3> <p>GitLab於6月1日發布資安通告，該公司為旗下的企業版與社群版軟體修補8個漏洞，其中最嚴重的漏洞是CVE-2022-1680，CVSS風險評分為9.9分，影響的版本涵蓋11.10版至14.9.4版、14.10版至14.10.3版，以及15.0版等企業版軟體。這項漏洞與跨網域身分管理系統（SCIM）有關，一旦遭到攻擊者利用，就有可能透過所有者任意邀請新的使用者，並竄改這些使用者的電子郵件信箱資料，進而接管對方的使用者帳號。該公司呼籲用戶應儘速安裝新版GitLab軟體來修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/03/technical-advisory-multiple-vulnerabilities-in-u-boot-cve-2022-30790-cve-2022-30552/"><span style="color: rgb(0, 0, 0);">嵌入式Linux系統開機程式U-Boot出現重大漏洞，恐被攻擊者用於任意寫入檔案到裝置</span></a></strong></h3> <p>Amazon Kindle、Chromebook等行動裝置所採用的開機系統U-Boot（亦稱為Das U-Boot），<a href="https://www.ithome.com.tw/news/134091">曾在3年前被發現多個漏洞，而有可能讓駭客能執行任意程式</a>，最近又有資安業者發現重大漏洞並提出警告。資安業者NCC Group於6月3日發布資安通告指出，他們在U-Boot實做的IP重組（IP Defragmentation）演算法裡，發現兩個漏洞CVE-2022-30790、CVE-2022-30552，CVSS風險評分為9.6分與7.1分，一旦攻擊者加以利用，有可能透過錯誤格式的資料封包來挾持裝置，或是發動阻斷服務（DoS）攻擊。目前開發者尚未提供修補程式，研究人員呼籲用戶在新版U-Boot推出後應儘速升級。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/vulnerability-within-the-unisoc-baseband/"><span style="color: rgb(0, 0, 0);">中國紫光展銳晶片存在重大漏洞，全球一成手機用戶曝險</span></a></strong></h3> <p>受到許多廉價手機採用的中國紫光展銳（Unisoc），其手機晶片存在漏洞而引起資安人員注意。資安業者Check Point指出，他們透過搭載紫光展銳晶片的Motorola手機進行研究，結果發現重大漏洞CVE-2022-20210，CVSS風險評分達到9.4分，一旦攻擊者利用這項漏洞，很可能可以造成手機的LTE網路無法使用，甚至可以發動遠端執行程式碼攻擊。這項漏洞通報後紫光展銳已予以修補，Google亦打算將相關修補程式碼納入6月份的例行更新。</p> <p>雖然目前上述漏洞尚未出現遭到利用的跡象，但該廠牌的系統單晶片多半運用於廉價手機（該廠牌全球市占約11%，僅次於蘋果、高通、聯發科），而這些手機的廠商很可能較少推送更新程式，有可能使得相關修補進度緩慢。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.avast.com/smsfactory-android-trojan"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SMSFactory暗中為受害者訂閱高價服務</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sidewinder-hackers-plant-fake-android-vpn-app-in-google-play-store/"><span style="color: rgb(0, 0, 0);">印度駭客SideWinder假借VPN客戶端App散布安卓惡意軟體</span></a></span></strong></p> </div></div></div>
2022/6/11 09:29作者周峻佑https://www.ithome.com.tw/news/151393
【資安日報】2022年6月10日，惡意軟體Symbiote濫用BPF流量隱匿攻擊意圖、已修補的SAP漏洞遭到濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期針對Linux而來的攻擊行動的日益氾濫，而其中，濫用Berkeley Packet Filter（BPF）監聽器元件，來隱匿攻擊流量的手法，相當值得留意，在上個月有多名研究人員發現後門程式BPFDoor後，最近又有兩組研究人員聯手找出名為Symbiote的惡意軟體，且運用的攻擊手法似乎更為複雜。</p> <p>受到許多企業使用的SAP商用軟體，有資安業者提出警告，他們最近看到針對已知漏洞的攻擊行動，當中部分還是2016年被公布的漏洞，呼籲用戶應特別留意。</p> <p>昨天美國政府提出警告，中國駭客針對電信業者下手，今天也有資安業者揭露相關攻擊行動──中國駭客組織Aoqin Dragon也鎖定電信業者發動攻擊，除此之外該組織也對政府機關與教育單位下手。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/06/symbiote-a-new-nearly-impossible-to-detect-linux-threat"><span style="color: rgb(0, 0, 0);">惡意軟體Symbiote濫用BPF元件隱匿攻擊意圖</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png" style="width: 300px; float: right;" /></a>先前<a href="https://www.ithome.com.tw/news/151159#bpfdoor">有多名研究人員發現名為BPFDoor的後門程式</a>，駭客組織濫用名為Berkeley Packet Filter（BPF）的監聽器元件，從網路層監看受害組織傳輸的資料，而不易被發現，最近又有新的惡意軟體也利用類似手法引起研究人員關注。</p> <p>IT業者BlackBerry與資安業者Intezer聯手，揭露名為Symbiote的Linux惡意軟體，他們最早約於2021年11月發現，該惡意軟體很可能以拉丁美洲的金融機構為攻擊目標，特別的是，此惡意軟體為共用物件（Shared Object，SO）程式庫，並透過使用LD_PRELOAD的所有處理程序來載入執行。該惡意軟體亦與libc和libpcap功能掛鉤，以便在Linux主機上隱匿蹤跡。</p> <p>研究人員指出，為了讓防守方難以從網路流量察覺異狀，該惡意軟體濫用Linux核心的BPF封包過濾器來管制進出流量，此外，若是有其他應用程式想要執行BPF元件，Symbiote也會劫持相關處理程序。研究人員指出，此惡意軟體以使用者層級的Rootkit執行，導致想要偵測是否遭到感染變得更加困難。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/three-actively-exploited-sap-vulnerabilities-identified-onapsis-research-labs"><span style="color: rgb(0, 0, 0);">已修補的SAP商用軟體漏洞遭到濫用</span></a></strong></h3> <p>過往軟體業者已發布修補程式的漏洞，很有可能成為駭客再度利用的目標，而使得研究人員提出警告。資安業者Onapsis於6月9日指出，他們看到針對SAP Netweaver的3個已知漏洞的攻擊行動，這些漏洞是CVE-2021-38163、CVE-2016-2386，以及CVE-2016-2388。研究人員表示，上述漏洞有2個是重大漏洞，且幾乎都有公開的概念性驗證程式（PoC），以及能夠遠端發動攻擊等特性，他們呼籲企業應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/aoqin-dragon-newly-discovered-chinese-linked-apt-has-been-quietly-spying-on-organizations-for-10-years/"><span style="color: rgb(0, 0, 0);">中國駭客組織Aoqin Dragon鎖定東南亞與澳洲而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg" style="width: 300px; float: right;" /></a>又有鮮為人知的中國駭客組織，暗中監視受害組織近10年。資安業者SentinelOne揭露名為Aoqin Dragon的中國駭客組織，這些駭客自2013年開始，針對東南亞與澳洲的政府、教育、電信業者下手。</p> <p>該組織散播惡意軟體大致上有3種管道，分別是透過惡意Word檔案並引誘受害者開啟，進而在受害電腦安裝後門，這些文件檔案誘餌不是與亞太政治時事有關，就是打著色情資訊的名義而來；再者，有些攻擊行動則以冒牌防毒軟體誘騙受害者執行惡意軟體；此外，這些駭客自2018年開始，也透過假的外接裝置讓對方上當，然後在受害電腦上植入惡意軟體。</p> <p>其中，又以假冒外接裝置的做法引起研究人員關注，這些駭客傳送帶有啟動惡意軟體路徑的捷徑檔案（LNK），但讓它看起來像是外接式裝置的圖示，一旦受害者點選，該LNK檔案將會執行名為「Evernote工具列程式（Evernote Tray Application）」的惡意程式，並在受害電腦重開機後自動載入，一旦偵測到外接式儲存裝置，該惡意軟體將會自我複製來感染其他電腦。研究人員指出，根據他們對該駭客組織的分析，研判很有可能與UNC94、Naikon APT等組織有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/xloader-botnet-find-me-if-you-can/"><span style="color: rgb(0, 0, 0);">殭屍網路病毒XLoader隱匿C2伺服器難以追蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png" style="width: 300px; float: right;" /></a>駭客為了防範研究人員追查來源，很可能會試圖隱匿C2伺服器的位址，而近期有人竟採用了更為複雜的方式來混淆視聽。資安業者Check Point揭露殭屍網路病毒XLoader的近期動態，當中駭客使用64個網域名稱，並在連線後隨機從其他16個網域裡，挑選連線的對象。研究人員根據找到的XLoader檔案，至少看到10萬個網域，其中僅有120個網域才是C2伺服器。研究人員指出，新版XLoader會在嘗試與C2中繼站連線的過程中，持續抽換伺服器名單部分內容，而使得他們更難找到真的C2中繼站網域。這樣的情況將使得攻擊來源更加不易追蹤。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bizarre-ransomware-sells-decryptor-on-roblox-game-pass-store/"><span style="color: rgb(0, 0, 0);">勒索軟體WannaFriendMe要求受害者從線上遊戲Roblox市集購買解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg" style="width: 300px; float: right;" /></a>一般的勒索軟體會在加密電腦檔案後，駭客會要求受害者向他們聯繫，支付加密貨幣到特定錢包，但現在出現了新的做法。根據資安新聞網站Bleeping Computer的報導，資安研究團隊MalwareHunterTeam發現了名為WannaFriendMe的勒索軟體，一旦受害者的電腦檔案遭到加密，駭客會要求他們必須先取得線上遊戲Roblox的通行證，然後再購買市集裡的解密金錀Ryuk Decrypter，然後向駭客提供Roblox玩家ID與通行證資料。</p> <p>研究人員分析該勒索軟體後發現，WannaFriendMe其實是Chaos的變種，但加密檔案後會將副檔名改為Ryuk，讓受害者誤以為是遭到勒索軟體Ryuk攻擊。而這不是Chaos變種首度針對遊戲玩家下手──去年10月，有人針對日本Minecraft玩家發動勒索軟體攻擊，且有部分檔案加密後會無法復原。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-italian-city-of-palermo/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市營運中斷疑勒索軟體Vice Society所為</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png" style="width: 250px; float: right;" /></a>義大利南部的巴勒莫市於6月3日遭到網路攻擊，導致該城市的所有服務仍幾乎無法運作，當時外界推測很有可能是勒索軟體攻擊事故，最近有駭客組織承認是他們所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Vice Society將巴勒莫市列為他們的受害者，並揚言若是不付贖金，該組織會於6月12日公布所有竊得的檔案。該新聞網站指出，由於駭客尚未透露竊得的資料有那些，他們很難判斷攻擊巴勒莫市的駭客是否就是Vice Society，也不確定駭客究竟掌握多少資料。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size:20px;"><a href="https://blog.avast.com/smsfactory-android-trojan"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SMSFactory暗中為受害者訂閱高價服務</span></a></span></strong></p> <p><strong><span style="font-size:20px;"><a href="https://www.bleepingcomputer.com/news/security/sidewinder-hackers-plant-fake-android-vpn-app-in-google-play-store/"><span style="color: rgb(0, 0, 0);">印度駭客SideWinder假借VPN客戶端App散布安卓惡意軟體</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151372">【2022年6月9日】殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料、美國針對中國駭客攻擊網路設備的漏洞提出警告</a></p> <p><a href="https://www.ithome.com.tw/news/151349">【2022年6月8日】駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重大漏洞對烏克蘭下手</a></p> <p><a href="https://www.ithome.com.tw/news/151321">【2022年6月7日】 MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集</a></p> </div></div></div>
2022/6/10 14:14作者周峻佑https://www.ithome.com.tw/news/151388
Vivaldi推出內建電子郵件客戶端的瀏覽器版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://vivaldi.com/press/releases/vivaldi-mail-1-0-calendar-feed-reader-launches/" target="_blank">瀏覽器業者Vivaldi周四（6/9）發表</a>了整合Vivaldi Mail電子郵件客戶端的新一代桌面瀏覽器，支援Windows、macOS與Linux等作業系統，並順道整合了Vivaldi Calendar行事曆與Vivaldi Feed Reader訂閱摘要。</p> <p>Vivaldi為一基於Chromium專案的跨平臺瀏覽器，於2016年才正式推出，屬於瀏覽器市場的晚進業者，迄今除了支援上述三大桌面作業系統之外，也支援Android，但尚未支援iOS，迄今全球用戶數還不到250萬。</p> <p>整合於瀏覽器中的Vivaldi Mail允許使用者建立及管理多個電子郵件帳號，還會自動偵測郵件列表與線程，並具備強大的搜尋功能。此外，它還會索引使用者帳號中的所有電子郵件，提供離線搜索能力。</p> <p class="rtecenter"><img alt="" src="https://vivaldi.com/wp-content/uploads/mail_signature-1-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Vivaldi</span></p> <p>Vivaldi執行長Jon von Tetzchner表示，Vivaldi Mail是對一個原始、簡單及可靠通訊型態的歌頌，電子郵件有時候會很混亂，Vivaldi Mail卻能讓使用者的郵件井井有條，也易於瀏覽。</p> <p>其實就算現在絕大多數的使用者都利用新興的聊天平臺進行溝通，但全球的電子郵件用戶仍在增加中，估計將從現在的40億成長到2024年的45億。</p> <p>新用戶若要取得最新的Vivaldi Mail功能，在安裝Vivaldi時，必須選擇完整呈現（Fully Loaded），既有Vivaldi用戶則僅需於設定中啟用郵件、行事曆與訂閱摘要即可。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Vivaldi%20Mail-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Vivaldi</span></span></p> </div></div></div>
2022/6/10 12:46作者陳曉莉https://www.ithome.com.tw/news/151384
AI周報第191期：如何加速技術落地？Meta重整組織把AI研發納入產品部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0527～0602)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 組織重整 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 去中心化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI大風吹，重整組織要讓新技術更快落地</strong></span></p> <p>Meta旗下AI研究院大風吹，Meta CTO Andrew Bosworth指出，採用集中化的作業方式，只會讓下游任務團隊更難實現目標。因此，為進一步將組織結構去中心化、快速擴展新AI技術，Meta把AI研究院內部的團隊，如AI平臺、AI產品、AI4AR等團隊，重新分配到Meta的產品部門，來把AI技術落實到產品上。而這些原本負責技術研發的團隊，會改名為AI創新中心。</p> <p>更細緻的組織調整，包括將AI技術研究團隊FAIR整合至元宇宙部門的現實實驗室，重新定調為基礎AI研究，而AI產品團隊，則會整合至產品工程團隊，至於AI4AR團隊，則納入現實實驗室的XR團隊。最後，Meta還會成立一個跨職能的AI團隊，來評估整個公司的AI進展。<a href="https://ai.facebook.com/blog/building-with-ai-across-all-of-meta/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Codeball </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Pull Request </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新AI</strong></span><strong style="font-size: 22px;">審查工具自動核准GitHub PR，誤報率不到1%</strong></p> <p>最近GitHub上出現一款新工具Codeball，可自動核准GitHub上的開源專案修改請求（Pull Request），而且誤報率不到1%。PR是指，當有人想貢獻一己之力、修改開源專案時，發送給原作者的請求通知，作者得人工看過、同意才行。</p> <p>為自動化這個過程，幾位開發者開發了Codeball核准工具。該工具採用了一套深度學習模型，經百萬個公開和私人貢獻訓練而成。在模型的輸入層中，模型採納數百個輸入值，並有2層隱藏層，最後有個輸出層來評估RP核准的機率。每個PR雖有數百個特徵，但可歸類為基本值、衍生值和類別變數等3大類。其中，基本值是指PR的詮釋資料，像是可能新增或移除的行數，而衍生值是指PR相關的數據，如檔案最近更新的天數。類別變數則是指，PR衍生而來的分類，像是檔案型別的分類。</p> <p>後來，開發者用非訓練資料來測試Codeball，發現準確率高達99%以上。也有開發者在<a href="https://news.ycombinator.com/item?id=31533180">Ycombinator論壇上表示</a>，Codeball準確率為99%、召回率25%，有些開發者認為這是個好工具，但也有人擔心它會影響程式碼審查的文化，把不好的程式碼帶入程式碼庫中。<a href="https://codeball.ai/">（詳全文）</a></p> <p><img alt="" src="https://www.marktechpost.com/wp-content/uploads/2022/06/Screen-Shot-2022-06-03-at-9.25.04-AM-1024x696.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>比DALL-E 2更逼真！Google揭露最新文生圖AI系統</strong></span></p> <p>Google Brain發表最新文生圖AI系統Imagen，可根據使用者的文字輸入，產出寫實的圖像，比如在撒哈拉沙漠、戴著草帽和霓虹太陽眼鏡的小仙人掌。與其他主流圖像生成演算法相比，如VQ-GAN、LDM和DALL-E 2等，受試者皆認為Imagen產生的圖像更真實，也更符合輸入的文字描述。</p> <p>Imagen以大型Transformer語言模型為基礎，因為，研究員發現，用純文字語料庫預訓練過的通用大型語言模型，在圖像合成的文字編碼上表現非常好。也就是說，增加Imagen中語言模型的大小，就可提高樣本真實度和圖像文字描述的一致性，比單純增加文生圖的擴散模型大小還有效。就效能來說，Imagen雖沒利用COCO資料集來訓練，但獲得了目前最低的7.27 FID分數（越低越好）。不過，Google暫不對外開放Imagen。<a href="https://imagen.research.google/">（詳全文）</a></p> <p><img alt="" src="https://imagen.research.google/main_gallery_images/cactus.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> oneDNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Keras </span></strong></span></p> <p><span style="font-size:22px;"><strong>TensorFlow 2.9版釋出，主打oneDNN函式庫強化</strong></span></p> <p>機器學習開源平臺TensorFlow 2.8版釋出才短短三個月，5月下旬就又釋出2.9版，主打函式庫oneDNN的強化、新DTensor API，以及Keras優化器API的新實驗版本。進一步來說，oneDNN是用來改善英特爾CPU效能的函式庫，在TensorFlow 2.5版時首次出現，並陸續優化。在最新的2.9版中，oneDNN優化會在Linux x86上預設為開啟，遇到具神經網路硬體功能的CPU，也會預設開啟。</p> <p>至於DTensor，則是一款用於分散式模型處理的新TensorFlow API，可讓模型無縫從資料平行化遷移到單程式多資料（SPMD）的模型平行化。該API的特點是與裝置無關，使用者可在CPI、GPU或TPU上使用相同的模型程式碼。此外，DTensor也允許多使用者執行。最後，2.9版還釋出一個新的Keras優化器API，可讓開發者更容易客製化和擴充優化器。<a href="https://blog.tensorflow.org/2022/05/whats-new-in-tensorflow-29.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料工程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 徵才 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line臺灣Data Dev團隊徵2類資料工程好手</strong></span></p> <p>Line臺灣日前在<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">徵才日</a>中，揭露多項服務發展藍圖和AI職缺，以主力開發內部AI應用和服務維運的Data Dev團隊來說，他們將團隊成員分為4類，包括資料科學家、ML工程師、資料工程師，以及CLOVA產品工程師。其中，資料科學家負責資料驅動決策，比如，廣告團隊發現分眾模型標籤不準，資料科學家就要找出問題，像是團隊過去可能使用其他區域的標籤，套用到臺灣區域。</p> <p>此時，就需要ML工程師來找尋新的訓練資料，或是開發新演算法來訓練新模型。如果資料量大，就需要資料工程師，來進行資料處理的流程優化。訓練完分眾模型後，資料科學家還得制定模型成功通過的標準，並設定AB測試。如果需要模型定期更新，就需要資料工程師來制定定期的優化策略，也就是MLOps相關工作。最後，如果要做客製化應用系統，就需要CLOVA產品工程師，來協助進行系統開發。這次，Line臺灣要尋找的是，有經驗的ML工程師和CLOVA產品工程師，來挖掘更多資料價值。<a href="https://engineering.linecorp.com/zh-hant/blog/line-dev-recruitment-day-2022/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_41_49%20PM(1).png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GRIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI2釋出專門評估電腦視覺模型的基準測試GRIT</strong></span></p> <p>基準測試（Benchmark）是用來衡量AI模型的重要工具，可提供量化結果，來比較不同模型的表現。最近，知名AI研究機構AI2發表一款更強健的電腦視覺基準測試GRIT，能以7項任務，來完整評估電腦視覺模型的能力。</p> <p>這7項任務包括物件分類、物件定位、參考表達基礎、視覺問答、分割、人體關鍵點偵測和表面法向量估算。GRIT可用來評估3個面向，包括通用視覺模型、強健專業模型和高效學習。另外，GRIT也提供受限與不受限制的類別，在受限制的測試中，GRIT將訓練資料限制在一組特定但豐富的資料源中，使模型研究聚焦在更科學的比較上，來鼓勵研究人員開發有效的學習方法，而非追求大量訓練資料的大模型範式。<a href="https://allenai.org/project/grit/home">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-09%20at%201_49_11%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deepfake </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Colab </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepFaceLab </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google AI服務禁止了Deepfake的影片訓練</strong></span></p> <p>據外媒報導指出，Google提供AI模型訓練的服務Colab禁止使用者用來製作Deepfake影片。進一步來說，Deepfake影片製作網站DeepFaceLab用戶發現，在Colab上執行DeepFaceLab程式時，會觸發警告，告知用戶執行不被允許的程式碼，並可能限縮用戶未來使用Colab的權限。不過，其他較小的Deepfake網站用戶，則尚未接獲類似警告。<a href="https://www.bleepingcomputer.com/news/google/google-quietly-bans-deepfake-training-projects-on-colab/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta聯手微軟，要繼續擴大Azure AI專案</strong></span></p> <p>微軟在自家Build 2022大會上，與Meta聯合宣布，將繼續擴大Azure雲端部署AI應用。這是雙方繼去年聯手後，又一次擴大應用，Meta今年將繼續讓AI部門使用專屬Azure叢集，來執行大規模AI研究任務。這個叢集採用了NDm A100 v4 系列虛擬機器，執行5400顆Nvidia A100 Tensor Core 80GB GPU，每個VM之間GPU對GPU頻寬，號稱是其他公有雲業者的4倍，可用於分散式AI訓練。</p> <p>不只給自家AI團隊使用，Meta也將擴大PyTorch on Azure服務，為PyTorch用戶提供NDv4及InfiniBand硬體及完整軟體堆疊。未來幾個月內，微軟也將打造新的PyTorch開發加速器，讓用戶更容易在Azure上部署PyTorch框架。<a href="https://azure.microsoft.com/en-us/blog/meta-selects-azure-as-strategic-cloud-provider-to-advance-ai-innovation-and-deepen-pytorch-collaboration/">（詳全文）</a></p> <p>圖片來源／Codeball、Google Brain、AI2、Line臺灣</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 專家呼籲國際社會應該創立AI專利制度</strong></p> <p><strong>2. AI開源公司Hugging Face也新添Endpoints on Azure服務</strong></p> <p><strong>3. 特斯拉AI日延期至9月，馬斯克推文暗示人形機器人將出場</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/9 15:01作者王若樸https://www.ithome.com.tw/news/151357
【資安日報】2022年6月8日，駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在有許多企業導入虛擬化平臺的情況下，有越來越多勒索軟體駭客最近幾年也相繼開發針對VMware ESXi的勒索軟體。而傳聞可能是俄羅斯駭客組織Conti改名的Black Basta，在4月開始活動之後，現在也開始攻擊上述的虛擬化平臺。</p> <p>微軟Office的MSDT零時差漏洞CVE-2022-30190自揭露至今，已傳出數起攻擊行動。而這樣的漏洞也出現在針對烏克蘭政府的攻擊行動，使得烏克蘭電腦緊急應變小組（CERT-UA）提出警告，並公布入侵指標（IoC）。</p> <p>駭客運用Office檔案發動攻擊不時有事故傳出，其中有許多是利用惡意巨集下載作案工具，而使得資安系統難以從Office檔案發現攻擊徵兆。但最近有駭客使用過往相當罕見的手法，將惡意程式藏匿在檔案屬性資料當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-black-basta-ransomware-targets-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">駭客組織Black Basta發展Linux版勒索軟體，鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織鎖定企業的VMware虛擬化平臺發動攻擊，紛紛開發Linux版的勒索軟體，最近又有駭客組織投入這塊領域。根據資安新聞網站Bleeping Computer的報導，甫於今年4月開始行動的勒索軟體駭客組織Black Basta，最近針對VMWare ESXi伺服器製作新的勒索軟體，該勒索軟體執行後會搜尋受害伺服器的/vmfs/volumes檔案資料夾，使用ChaCha20演算法加密虛擬機器（VM）的相關檔案，並使用多個處理器加速作案的過程，最後在加密完成後留下勒索訊息。研究人員指出，這應該是該駭客組織首度針對虛擬化平臺而來的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/40559"><span style="color: rgb(0, 0, 0);">有人利用微軟Office的MSHTML、MSDT重大漏洞，在烏克蘭散布Cobalt Strike</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png" style="width: 300px; float: right;" /></a>微軟的MSDT零時差漏洞CVE-2022-30190，也被駭客用於攻擊烏克蘭政府機關。烏克蘭電腦緊急應變小組（CERT-UA）於6月2日發出資安通告，指出他們發現有人以調整薪資的名義，發送挾帶Word檔案的釣魚郵件，一旦收信人開啟附件，電腦就會執行JavaScript指令碼，進而利用MSHTML漏洞CVE-2021-40444，以及近期被揭露的MSDT零時差漏洞CVE-2022-30190，下載滲透測試工具Cobalt Strike的Beacon到受害電腦。烏克蘭電腦緊急應變小組公布了入侵指標（IoC），供相關單位加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-now-uses-windows-msdt-zero-day-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞再度遭到利用，TA570用於散布惡意軟體QBot</span></a></strong></h3> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，自5月底揭露以來已有數起攻擊事故，如今這個漏洞也被用於傳送惡名昭彰的QBot。資安業者Proofpoint於6月8日指出，他們看到駭客組織TA570正在利用上述漏洞，投放惡意軟體QBot。</p> <p>這些駭客挾持含有HTML附件的郵件訊息，收信人一旦開啟附件，電腦就會下載ZIP壓縮檔，其內容是IMG光碟映像檔，當中包含了Word檔案、LNK捷徑檔案，以及DLL程式庫。LNK檔案的作用是執行DLL程式庫，來啟動QBot，而Word檔案一旦被開啟，將會載入HTML檔案，進而執行PowerShell並利用CVE-2022-30190，下載QBot到受害電腦。資安新聞網站Bleeping Computer認為，駭客同時運用兩種執行QBot的方法，很有可能是正在挑選效果較佳的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/svcready-a-new-loader-reveals-itself/"><span style="color: rgb(0, 0, 0);">攻擊者透過Office檔案屬性投放惡意軟體SVCReady，進一步在受害電腦部署竊密程式RedLine</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/svcready_002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/svcready_002-1.png" style="width: 300px; float: right;" /></a>攻擊者透過Office檔案挾帶惡意軟體時有所聞，但最近出現了新的手法引起研究人員關注。HP的威脅情報團隊揭露近期的惡意軟體SVCReady攻擊行動，駭客組織TA551（亦稱Hive0106、Shathak）疑似從4月22日開始，發動釣魚郵件攻擊，挾帶含有惡意巨集的Word檔案，在受害電腦投放惡意程式SVCReady。</p> <p>但這起攻擊行動相當不同的是，駭客將載入惡意程式的管道，埋藏在Word檔案的屬性裡面，VBA巨集被觸發後，會重組上述檔案屬性的字串執行Shell Code，接著於受害電腦投放並執行SVCReady，不久後攻擊者又將該惡意軟體刪除。在上述的過程中，駭客不需要透過PowerShell或是MSHTA等內建工具，從遠端伺服器下載作案工具。研究人員在其中1臺受害電腦裡，看到駭客植入了竊密程式RedLine進行第二階段的攻擊行動。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/vulnerability-within-the-unisoc-baseband/"><span style="color: rgb(0, 0, 0);">中國紫光展銳晶片存在重大漏洞，全球一成手機用戶曝險</span></a></strong></h3> <p>受到許多廉價手機採用的中國紫光展銳（Unisoc），其手機晶片存在漏洞而引起資安人員注意。資安業者Check Point指出，他們透過搭載紫光展銳晶片的Motorola手機進行研究，結果發現重大漏洞CVE-2022-20210，CVSS風險評分達到9.4分，一旦攻擊者利用這項漏洞，很可能可以造成手機的LTE網路無法使用，甚至可以發動遠端執行程式碼攻擊。這項漏洞通報後紫光展銳已予以修補，Google亦打算將相關修補程式碼納入6月份的例行更新。</p> <p>雖然目前上述漏洞尚未出現遭到利用的跡象，但該廠牌的系統單晶片多半運用於廉價手機（該廠牌全球市占約11%，僅次於蘋果、高通、聯發科），而這些手機的廠商很可能較少推送更新程式，有可能使得相關修補進度緩慢。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151346"><span style="color: rgb(0, 0, 0);">歐盟網路安全演練本月登場，聚焦醫療領域</span></a></strong></h3> <p>為提升國家關鍵基礎設施防護水準，全球各國均設法透過真實網路安全事件，舉行網路攻防實戰演練，例如，美國的CyberStorm，<a href="https://www.ithome.com.tw/news/134003">而臺灣也在2019年，與美國國土安全部聯手舉辦大規模網路攻防演練CODE，測試金融產業安全防護能力</a>。今年6月初，歐盟將舉辦第6次的Cyber Europe，這項演練的主要目的，是測試歐洲關鍵基礎設施遭遇大規模網路事件時，現有的機制、程序，以及資訊流，是否足以因應危機，參與者能藉此機會，強化技術與行動上的專業知識，以及處理危機溝通的能力。為了因應COVID-19疫情導致的網路威脅加劇，Cyber Europe 2022將聚焦在醫療領域的資安應變，在6月進行為期兩天的演練。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151321">【2022年6月7日】 MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集</a></p> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> </div></div></div>
2022/6/8 18:58作者周峻佑https://www.ithome.com.tw/news/151349
【資安日報】2022年6月7日，MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，繼上星期有中國駭客利用此漏洞對西藏發動攻擊後，研究人員再度發現相關的攻擊行動。而這次駭客的目標，是歐洲與美國地方政府的人員。</p> <p>今天有兩起駭客聲稱竊得企業內部資料的事故相當引起關注。其中又以大型藥廠諾華（Novartis）的資料外洩事故較為受到矚目，因為，駭客宣稱拿到與研發新藥品有關的實驗數據，而很有可能影響相關藥品的研發。</p> <p>廣泛運用於嵌入式Linux裝置的開機程式U-Boot，其漏洞引起研究人員注意，因為，這些漏洞有可能被攻擊者用於挾持設備。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-zero-day-exploited-in-us-local-govt-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞已被用於攻擊美歐政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg" style="width: 300px; float: right;" /></a>在5月底被資安人員揭露，且<a href="https://www.ithome.com.tw/news/151257#ta413">已出現攻擊行動</a>的MSDT零時差漏洞CVE-2022-30190（亦稱Follina），現在也有駭客鎖定歐美政府機關下手的事故。資安業者Proofpoint發現，有人透過承諾給員工加薪的釣魚郵件，鎖定歐洲政府機關與美國地方政府機關（少於10個組織），一旦收信人打開附件的檔案，駭客就會透過上述的漏洞，在電腦上部署PowerShell指令碼來進行攻擊，從多種上網應用程式，包含瀏覽器、收信軟體、即時通訊軟體等，竊取帳密資料並傳送到駭客的伺服器。而對於攻擊者的身分，研究人員表示很可能是國家級駭客，但還不確定是那個組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/"><span style="color: rgb(0, 0, 0);">大型製藥廠諾華機密資料疑出現於地下市集，該公司宣稱無機密資料外流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg" style="width: 300px; float: right;" /></a>以生產療黴舒、愛克喘、服他寧等藥物的大型藥廠諾華（Novartis），傳出有駭客組織竊得其內部資料並於地下市場兜售的情況。根據資安新聞網站Bleeping Computer的報導，駭客組織Industrial Spy在其經營的地下市集裡，以50萬美元的價格出售檔案大小共7.7 MB的PDF檔案，該組織宣稱這些資料來自諾華實驗室，與RNA及DNA的藥物技術有關，亦包含實驗數據，很可能是該公司研發下一代武漢肺炎藥物的機密資料。對此，諾華向該新聞網站表示，他們確認無相關機密資料遭到損害，並著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit宣稱從資安業者Mandiant竊得資料，但駭客似乎別有目的</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客聲稱入侵資安業者並打算公布資料，起因很有可能是與研究人員揭露駭客的行蹤有關。勒索軟體駭客LockBit於6月6日晚間，宣稱他們成功從資安業者Mandiant竊得356,841個檔案，並打算將這些資料公諸於世。不過，這些駭客並未透露竊得資料的內容為何。</p> <p>Mandiant也得知此事並著手調查，並表示目前尚未找到與該組織入侵公司相關的證據。但研究人員根據駭客公布檔案大小僅有0位元、檔名為mandiantyellowpress.com.7z檔案進行調查，這起事件並非駭客真的入侵了Mandiant，而很有可能是因為該公司研究人員於6月初，<a href="https://www.ithome.com.tw/news/151308#evilcorp-lockbit">揭露駭客組織Evil Corp使用LockBit勒索軟體</a>，LockBit駭客組織想要和該組織畫清界線，避免也被美國政府追查所採取的行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/06/shining-the-light-on-black-basta/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta與QBot狼狽為奸，在受害組織橫向擴散</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png" style="width: 300px; float: right;" /></a>勒索軟體駭客與其他組織合作，由對方負責潛入受害組織的情況時有所聞，但現在有人更進一步協助勒索軟體進行橫向感染。資安業者NCC Group在調查資安事故的過程中，發現QBot與勒索軟體Black Basta之間的合作關係，勒索軟體駭客不只委由QBot進行初步入侵受害組織的網路，Black Basta更進一步藉由該惡意軟體橫向傳播勒索軟體，駭客也在受害主機上建立臨時服務，使用Regsvr32側載QBot，然後啟用遠端桌面連線（RDP），以便攻擊者控制受害電腦。</p> <p>研究人員指出，駭客可能運用QBot感染網路共享資料夾、暴力破解AD、並透過SMB檔案共用機制來傳播勒索軟體，他們也在部分受害電腦上看到駭客部署了Cobalt Strike的Beacon。而勒索軟體Black Basta在加密檔案之前，也會刪除磁碟陰影複製服務（VSS）的備份檔案，以及Veeam備份檔案，並透過PowerShell指令刪除作業系統內建的防毒軟體Microsoft Defender。研究人員認為，企業應加以管控RDP與SMB的流量，並確保相關備份資料可用性，來防堵上述的攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市遭到網路攻擊</span></a></strong></h3> <p>自歐美多個國家於4月聯合提出警告，俄羅斯駭客將會攻擊全球關鍵基礎設施後，義大利於5月接連遭到該國駭客組織Killnet的DDoS攻擊，而最近又有一座城市傳出遭到癱瘓的消息。根據資安新聞網站Bleeping Computer的報導，義大利南部的巴勒莫市於6月3日遭到網路攻擊，當地的IT專家持續嘗試復原系統運作，但目前為止該城市的所有服務仍幾乎無法運作，受影響的系統包含了警察調度中心、視訊監控系統，以及所有市民服務等。但這起事故是否也是Killnet所發起？該新聞網站指出，巴勒莫市很可能遭到勒索軟體攻擊，而非DDoS攻擊，應該不是該駭客組織所為。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補可能導致帳號遭到接管的重大漏洞</span></a></strong></h3> <p>GitLab於6月1日發布資安通告，該公司為旗下的企業版與社群版軟體修補8個漏洞，其中最嚴重的漏洞是CVE-2022-1680，CVSS風險評分為9.9分，影響的版本涵蓋11.10版至14.9.4版、14.10版至14.10.3版，以及15.0版等企業版軟體。這項漏洞與跨網域身分管理系統（SCIM）有關，一旦遭到攻擊者利用，就有可能透過所有者任意邀請新的使用者，並竄改這些使用者的電子郵件信箱資料，進而接管對方的使用者帳號。該公司呼籲用戶應儘速安裝新版GitLab軟體來修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/03/technical-advisory-multiple-vulnerabilities-in-u-boot-cve-2022-30790-cve-2022-30552/"><span style="color: rgb(0, 0, 0);">嵌入式Linux系統開機程式U-Boot出現重大漏洞，恐被攻擊者用於任意寫入檔案到裝置</span></a></strong></h3> <p>Amazon Kindle、Chromebook等行動裝置所採用的開機系統U-Boot（亦稱為Das U-Boot），<a href="https://www.ithome.com.tw/news/134091">曾在3年前被發現多個漏洞，而有可能讓駭客能執行任意程式</a>，最近又有資安業者發現重大漏洞並提出警告。資安業者NCC Group於6月3日發布資安通告指出，他們在U-Boot實做的IP重組（IP Defragmentation）演算法裡，發現兩個漏洞CVE-2022-30790、CVE-2022-30552，CVSS風險評分為9.6分與7.1分，一旦攻擊者加以利用，有可能透過錯誤格式的資料封包來挾持裝置，或是發動阻斷服務（DoS）攻擊。目前開發者尚未提供修補程式，研究人員呼籲用戶在新版U-Boot推出後應儘速升級。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> </div></div></div>
2022/6/7 18:42作者周峻佑https://www.ithome.com.tw/news/151321
Container周報第149期：Docker桌面版正式支援Linux，未來連樹莓派OS都能裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>2022/5/8~2022/5/25 精選容器新聞</strong></span></p> <p><strong>#容器開發、#Docker桌面<br /> 終於！Docker桌面版正式支援Linux，未來連樹莓派OS都能裝</strong></p> <p>這項在Docker公開藍圖需求排名第二熱門的功能，終於實現了。日前Docker在年度大會上宣布，Docker桌面版也正式支援Linux了。這代表了開發者可以跨Windows、macOS和Linux來使用相同的Docker容器開發環境。</p> <p>過去Linux開發者只能使用命令列工具來使用Docker開發環境，但現在可以透過視覺化UI來管理容器配置、儲存空間、映像檔等。也可以一鍵快速安裝常見容器開發套件，包括了K8s、Docker Engine、Docker CLI、Docker Compose、BuildKit等。Docker桌面版的Linux版本，可以整合Linux VM，也能用來整合Mac、Windows電腦上的檔案系統或網路層。</p> <p>開發者可以使用Docker儀表板來管理Linux上所有的容器資源。Linux開發者現在也能使用Docker外掛機制，來取得第三方提供的Docker工具。目前，Docker桌面版可以支援的Linux版本包括了Ubuntu、Debian和Fedora，Docker公司表示，下一步將與Linux社群合作，盡可能支援更多Linux發行版本，預計將推出ArchLinux版本以及許多人期待的64位元Raspberry Pi作業系統。</p> <p><strong>#容器開發、#Docker擴充機制<br /> Docker桌面版擴充機制正式推出，VMware、紅帽等16家第三方先支援</strong></p> <p>Docker Extension擴充機制和擴充機制SDK在5月初正式推出，也代表了Docker桌面成了可以支援任何第三容器工具的桌面版整合開發環境，而第三方應用也可以透過Docker Extension SDK來整合到Docker開發流程中。Docker公司也宣布了第一批擴充機制的供應商有16家，包括紅帽、VMware、JFrog等，提供了多款K8s擴充機制，如可支援VMware Tanzu社群版K8s或紅帽OpenShift的快速部署。另外也有多款強化軟體供應鏈安全的擴充機制，例如JFrog Xray、</p> <p>Snyk、Anchore這3款擴充機制都可用孻掃描容器映像檔弱點。也有一些Docker公司自建的擴充機制，例如磁碟用量工具、容器Log檔瀏覽工具。</p> <p><strong>#GitOps、#Azure<br /> AKS正式支援Weaveworks的GitOps平臺，VS Code也同時內建</strong></p> <p>Weaveworks旗下GitOps平臺Flux v2在微軟開發者大會上宣布，正式支援AKS和Arc K8s。開發團隊能透過Azure叢集擴充機制來啟用Flux後，就可以讓Azure支援GitOps配置，連結到Git儲存庫，來快速部署和管理跨雲的K8s叢集。Azure可以追蹤在Git儲存庫中定義的狀態，來檢查透過GitOps流程部署的法遵狀態，也能用來觀察叢集的健康情況。</p> <p>搭配AKS支援GitOps配置，VS Code也釋出了GitOps擴充功能，可以用來管理在AKS上Flux平臺所建立的GitOps流程。</p> <p><strong>#Serverless、#容器化App<br /> Azure容器化App服務正式上線，主打CNCF開源專案技術來提高互通性</strong></p> <p>微軟在年度開發大會上宣布Azure上的容器化App服務正式上線，這是用K8s提供的無伺服器執行服務，可以用來部署容器化的微服務。這項服務並非以微軟自家工具，而是標榜以CNCF的開源專案技術為主，來確保高度互通性，在微軟AKS服務上，採用K8s事件驅動自動擴充轉KEDA、分散式應用Runtime（Dapr）和Envoy來打造出這項服務。開發者可以透過Visual Studio和Visual Studio Code來開發和管理Azure容器化App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Azure%E5%AE%B9%E5%99%A8%E5%8C%96app.png" /></p> <p><strong>#容器資安、#DevOps<br /> GitLab大改版，容器掃描成為基本功能，免費版也能用</strong></p> <p>DevOps平臺商GitLab最近發布了15.0新版，加入更多的DevOps功能，重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>在15.0版中，也將過去付費版才有的容器掃描功能，下放到免費版，可以用來檢查所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p><strong>#Linux、#容器部署<br /> 新版RHEL 9來了，新增容器回撤功能，能自動回復到更新前組態</strong></p> <p>紅帽在年度大會中宣布推出了RHEL 9，主打邊緣運算（edge computing）的支援、及預防Spectre等硬體層漏洞的安全功能。</p> <p>這是第一個以CentOS Stream為基礎的產品，後者是提供RHEL預覽版功能的社群版。新版本特別主打對邊緣運算的功能強化，包括在單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解。新增Podman的自動化容器回撤（rollback），可在偵測容器更新失敗時，回復到之前最後的良好組態。</p> <p><strong>#雲端原生、#軟體開發<br /> 微軟推出雲端開發工具箱Dev box，開發電腦環境能上雲統一預先配置和管理</strong></p> <p>微軟利用去年發表的雲端電腦Windows 364，推出了雲端開發電腦，稱為雲端開發工具箱Dev Box服務。這是一個在雲端提供的開發用電腦環境，可以結合Azure AD群組管理，預先為開發專案中不同成員角色，預先配置所需硬體規格、開發工具和支援套件的雲端開發用電腦環境，可以快速啟動來使用。</p> <p>也因透過Windows 365雲端電腦提供，因此，也可以統一使用微軟端點管理機制和Intune來控管這些雲端開發電腦的安全性。開發者可以透過Windows、MacOS、Android或iOS作業系統，以及瀏覽器來登入這個雲端開發電腦，進行不同類型的App開發，也能用內建的Linux次系統來開發Linux應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%9B%B2%E7%AB%AF%E9%96%8B%E7%99%BC%E9%9B%BB%E8%85%A6.png" /></p> <p><strong>#開源軟體管理、#軟體供應鏈<br /> 瞄準軟體供應鏈管理需求，GCP第三季推出開源套件安全驗證保證服務</strong></p> <p>Log4j漏洞問題引發應用程式開發的供應鏈安全問題，GCP近日宣布名為保證開源軟體（Assured Open Source Software）的服務，可協助企業或開發商取得經過Google漏洞檢查及簽章的開源套件，這項服務預計今年第3季開放測試。這些開源套件定期經Google掃瞄、分析漏洞及模糊測試、以Google 無伺服器CI/CD平臺Cloud Build開發、經過Google簽章、並由Google Cloud（容器映像檔及語言套件代管平臺）Artifact Registry代管及管理，藉此省去開發人員使用開源套件的安全管理作業。</p> <p><strong>更多新聞</strong></p> <p>SUSE正式推出容器安全產品NeuVector，能管理容器各生命周期階段的資安</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/7 18:52作者王宏仁https://www.ithome.com.tw/news/151322
【資安日報】2022年6月6日，Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自6月3日到今天的資安新聞裡，有不少是駭客攻擊行動的揭露。其中，我們要特別提及的是針對協作平臺Atlassian Confluence的零時差漏洞攻擊，因為這項漏洞在公布之後，相關攻擊行動已出現大幅增加的情況。</p> <p>駭客針對電腦UEFI韌體下手的攻擊行動，最近3至4年已有數起，但鮮少與勒索軟體有關。最近有資安業者解析勒索軟體駭客組織Conti外流的成員對話內容，發現該組織也大力發展對於Intel電腦韌體的攻擊手法，且已製作概念性驗證攻擊程式。</p> <p>另一個我們認為值得留意的資安事故，是針對企業部署於雲端的Docker而來的挖礦攻擊，駭客鎖定配置不當的Docker下手，成功後還會進一步將挖礦軟體擴散到其他Docker環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-zero-day-actively-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence零時差漏洞被攻擊者用於植入Web Shell</span></a></strong></h3> <p>資安業者Volexity於6月2日指出，他們在5月底，發現兩臺連結網際網路的協作平臺Atlassian Confluence伺服器裡，發現駭客利用未知的漏洞，在這些主機上植入JSP檔案的Web Shell，成功後進一步植入名為中國菜刀（China Chopper）的Web Shell。</p> <p>經調查及分析後，確認是未曾通報的零時差漏洞，他們通知Atlassian，對方獲報後將其登記為CVE-2022-26134進行列管，並確認該漏洞存在於所有版本的Confluence伺服器與資料中心。隔日，Atlassian再度更新資安通告，並提供修補程式與緩解措施。</p> <p>資安業者GreyNoise提出警告，他們看到網路上已有大量鎖定上述漏洞的攻擊行動，掃描該漏洞的IP位址從原本約20個，在一天當中已增加至211個。 </p> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/"><span style="color: rgb(0, 0, 0);">勒索駭客組織Conti開始鎖定Intel韌體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti自烏克蘭戰爭表態力挺俄羅斯後，成員之間的對話內容遭到外流，有研究人員進一步解析後指出，這些駭客已經鎖定搭載Intel處理器的電腦韌體下手。資安業者Eclypsium指出，駭客組織Conti最近幾年開始針對電腦韌體發展相關攻擊手法，並在9個月前就製作了概念性驗證攻擊程式。</p> <p>根據駭客的對話內容，該組織疑似主要鎖定下列3種領域發展攻擊手法，分別是從Intel處理器晶片的管理引擎（ME）找出未被發現的漏洞、嘗試從ME存取UEFI的SPI快閃記憶體來繞過相關防護措施，以及透過系統管理模式（SMM）執行的過程投放惡意軟體等。</p> <p>研究人員指出，這些層面的攻擊，涉及Intel處理器從2019年至2020年被發現的43項漏洞，有鑑於企業修補處理器與UEFI韌體漏洞的頻率較一般應用程式來得低，再加上成功植入惡意程式後不易被察覺，使得相關攻擊的危害較為嚴重。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/tales-from-the-honeypot-watchdog-evolves-with-a-new-multi-stage-cryptojacking-attack/"><span style="color: rgb(0, 0, 0);">駭客組織WatchDog濫用Docker進行挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png" style="width: 300px; float: right;" /></a>駭客濫用雲端Docker設施暗中挖礦的情況，近期又出現新的攻擊行動。資安業者Cado發現名為WatchDog的駭客組織，近期鎖定開放2375埠，且組態配置不當的Docker引擎API端點下手，進而在Docker環境裡更動容器，或是執行任意Shell指令。</p> <p>研究人員看到這些駭客先是執行cronb.sh來檢查主機狀態，並列出正在執行的處理程序，然後呼叫第二階段的酬載ar.sh，透過一個處理程序執行被隱藏的Shell指令碼，並操弄事件記錄的時戳來誤導鑑識人員，此外，該惡意酬載也會清除阿里雲的代理程式。在進行上述的環境確認作業後，駭客才在受害主機上投放XMRig挖礦程式，並利用systemd服務來維持運作。</p> <p>在前述攻擊行動成功後，駭客運用zgrab、masscan、pnscan來搜尋其他節點，並進一步擴散。研究人員指出，這些駭客大量使用TeamTNT的工具，很有可能是從該組織竊取並用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.globenewswire.com/news-release/2022/06/02/2455397/0/en/Kaspersky-WinDealer-malware-shows-extremely-sophisticated-network-abilities.html"><span style="color: rgb(0, 0, 0);">中國駭客LuoYu以提供應用程式更新的名義，散布後門程式WinDealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png" style="width: 300px; float: right;" /></a>鮮為人知的中國駭客組織採用罕見手法投放惡意軟體，引起研究人員關注。卡巴斯基指出，他們發現名為LuoYu的中國駭客組織（編按：此組織<a href="https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf">臺灣資安業者TeamT5稱為「蠃魚」</a>），近期使用<a href="https://en.wikipedia.org/wiki/Man-on-the-side_attack">旁觀者攻擊（Man-on-the-side attack）</a>的方式，假借在受害者電腦上更新軟體的名義，部署惡意程式WinDealer，進而透過C2中繼站下達命令、進行螢幕截圖，或是收集電腦軟硬體詳細資料等工作。</p> <p>駭客利用含有簽章的qgametool.exe軟體更新程式，來下載假冒成視訊串流播放軟體PPTV的WinDealer並安裝在受害電腦上，研究人員指出，在這起攻擊行動的手法裡，比較特別之處，在於C2中繼站連接方式，駭客透過獨特的演算法，從中國西藏自治區或貴州省的4.8萬個IP位址裡挑選連線的對象，研究人員推測，這些駭客很可能使用ISP層級的工具來連結C2中繼站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/"><span style="color: rgb(0, 0, 0);">檔案共享服務OneDrive遭到濫用！黎巴嫩駭客Polonium用於架設C2，攻擊以色列組織</span></a></strong></h3> <p>檔案共享服務遭到濫用的情況，最近有國家級的駭客藉此發動攻擊。微軟最近指出，他們觀察到黎巴嫩駭客組織Polonium，約自今年2月開始鎖定以色列組織下手，3個月以來超過20個組織受害，這些組織是該國重要的製造業、IT服務業者、國防工業。</p> <p>研究人員提到，其中一起攻擊行動裡，駭客組織發動供應鏈攻擊，先是滲透IT服務業者，進而攻擊下游航太業者與律師事務所。</p> <p>而這些受害者共通的特徵，就是大部分採用可能存在弱點的VPN設備，研究人員提及，約有8成受害組織部署Fortinet的SSL VPN設備，使得他們推測駭客的主要入侵管道有可能是重大漏洞CVE-2018-13379。</p> <p>除此之外，這些駭客很可能還與他國駭客結盟，互通有無。微軟認為該組織很可能也與伊朗情報暨安全部（MOIS）聯手，MOIS疑似將已經成功入侵的網路移交給Polonium，讓這個組織發動第二輪攻擊，再者，兩個組織都是利用OneDrive架設C2伺服器，並使用AirVPN埋藏攻擊來源。OneDrive團隊已封鎖該組織濫用的帳號，並移除相關的應用程式及通知受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions"><span style="color: rgb(0, 0, 0);">為逃避司法單位制裁，勒索軟體駭客組織Evil Corp改用LockBit發動攻擊</span></a></strong></h3> <p>為了躲避執法單位的追查，駭客組織改名或是更換作案工具的情況，已有數起，例如，勒索軟體駭客組織Conti疑似在今年2月底內部資料外流後，將主要成員分散到KaraKurt、BlackByte、Black Basta等組織。資安業者Mandiant發現，勒索軟體駭客組織Evil Corp近期改用LockBit做為作案的工具，理由是為了逃避美國財政部國外資產控制辦公室（OFAC）的制裁。</p> <p>而這不是該組織第一次因為受到美國制裁而更換作案的勒索軟體，2020年中旬，<a href="https://www.ithome.com.tw/news/138706">該組織使用名為WastedLocker的勒索軟體對美國大型企業下手</a>；2020年底至2021年上旬，他們打造<a href="https://www.ithome.com.tw/news/143536">勒索軟體Hades攻擊年營收超過10億美元的跨國大型企業</a>。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/6 18:26作者周峻佑https://www.ithome.com.tw/news/151308
提升軟體供應鏈安全，提升開發者帳號保護將是不可或缺的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統密碼安全性不足引發諸多問題，帳號遭盜用的事件亦層出不窮，啟用雙因素認證、兩步驟驗證的機制，已是近年最常呼籲的資安觀念之一，這股風潮，陸續開始吹向軟體開發界。</p> <p>最近就有一項消息引發關注，那就是全球知名程式碼共享與版本協作平臺GitHub宣布，2023年底前在GitHub.com貢獻程式碼的所有使用者，都必須啟用一種或多種形式的雙因素驗證（2 factor authentication，2FA）。</p> <p>很多人可能會認為這不是新議題，畢竟啟用雙因素認證、兩步驟驗證（2-Step Verification，2SV），這樣的保護帳號安全觀念早已呼籲多年，然而，對於一般使用者、企業與組織而言，最近才開始重視這項議題，而攸關程式碼安全的開發者，按理來說，應該會有更清楚的認知，事實卻不然。</p> <p>根據GitHub公布的最新統計數據顯示，以活躍用戶而言，僅有16.5%啟用2FA，而NPM用戶啟用2FA的比例更低，只有6.44%，這樣的結果令人憂心。</p> <p>畢竟，程式開發者常用的雲端平臺與工具並不少，包括程式碼管理的GitHub、Bitbucket、GitLab，程式碼建構的Jenkins、Bamboo，以及專案追蹤與協同管理的 Jira、Confluence，這些僅是一小部分，如今GitHub在此議題抱持的態度最積極，率先採取更多行動。</p> <p><span style="font-size:28px;"><strong>保護軟體供應鏈最源頭的帳號安全，GitHub將強制啟用MFA</strong></span></p> <p>無庸置疑，軟體供應鏈是現今最受關注的資安議題之一，除了資安界早已提倡安全軟體開發生命週期（SSDLC），近年也強調需改善漏洞發現與修補，以及推動軟體物料清單（SBOM）等，當中有更多關注是放在開放原始碼軟體，畢竟絕大多數開發人員不會從頭開始建構軟體，而是站在巨人的肩膀上，活用這些成果。</p> <p>然而，從軟體供應鏈源頭來看，所有人都很清楚程式碼的安全性會是關鍵，但撰寫、保管、發布程式碼的「開發人員」，更是不能忽略的重要環節。儘管大多數開發者知道要保護自己的電腦，注意上網安全，但對於程式撰寫、協作使用的工具與平臺，以及開發人員本身帳號的安全性，可能並未清楚認知對於軟體安全帶來的衝擊，這些部分若出現資安問題將會帶來嚴重影響，事實上，我們甚至可以說，這是軟體供應鏈最前面的一道防護。</p> <p>面對軟體供應鏈的帳號安全議題，不只是軟體業者、企業、政府擔憂，因而決心採取更積極的防範措施，與程式開發者密切相關的公用平臺也展開行動。如前所述，GitHub在這方面的動作頻頻，他們是全球最大開源程式碼平臺，自然也背負著眾人期望。GitHub安全長Mike Hanley指出，軟體供應鏈安全需從開發者做起，為防範開發者帳號遭社交工程與帳號劫持，避免此類攻擊將是確保供應鏈安全的第一步，也是最關鍵的一步。</p> <p>事實上，為了提升用戶帳號安全，GitHub在近年已經祭出不少新政策。例如，2019年7月，GitHub已提供裝置驗證機制，要求未啟用雙因素驗證的GitHub用戶，一旦透過陌生裝置進行存取，需要額外的驗證，也就是以電子郵件提供驗證碼的方式來確認使用者身分；到了2020年11月，GitHub又強制要求所有Git操作及API呼叫，都需經由基於Token的身分驗證方式連線。</p> <p>然後，僅憑這些措施來保護還不夠，雙因素驗證將是下一道重要的防線，而且將逐漸轉變成強制所有使用者配合。</p> <p><span style="font-size:28px;"><strong>開發者帳戶被劫持導致套件被植入惡意程式，已有多起事件</strong></span></p> <p>為何各大開發平臺現在更關注此一問題？這要從近年的實際威脅事件看起。</p> <p>2018年7月，有位代號為pronebird開發者指出，駭客入侵JavaScript程式碼檢查工具ESLint，並在NPM平臺，發布包含惡意程式的ESLint 3.7.2版，一旦用戶安裝此版本套件，惡意程式碼將執行竊取開發者的NPM帳戶或其他資訊。</p> <p>這樣的事件，到了最近半年仍持續傳出，並且是接二連三發生。例如，在2021年10月22日，熱門NPM套件UAParser.js的作者表示，疑似有駭客劫持他的NPM帳號，並發布3個可能被植入惡意程式的UAParser.js版本，分別是0.7.29、0.8.0與1.0.0版，而且，他無法取消發布這些版本，只能緊急通報NPM support，並透過警告訊息提醒其他開發人員，後續，GitHub也對這起植入惡意程式的事件發布資安公告，並標示為重大級別。</p> <p>接著，2021年11月，又有兩起類似的事件。首先，名為COA（Command-Option-Argument）的熱門NPM套件，傳出遭植入惡意程式；接著相隔數小時，又傳出另一個名為RC的NPM套件也發生類似情形。GitHub在11月4日，也緊急公告這些套件遭植入惡意程式。</p> <p>上述這些事件，引發整個軟體開發界的關注。最主要原因，開源軟體安全所帶來的牽連與影響極大，以上述COA的NPM套件為例，該套件是提供開發者以命令列下達指令的解析器，概估GitHub上面有5百萬個開源專案採用，且每週下載量超過9百萬次，而RC的NPM套件，是1款組態下載器，它本身的每週下載量更是超過1400萬次。</p> <p>這顯示出，一旦開源專案的開發者帳號被駭客劫持，不僅取而代之，還冒名替其發布已植入惡意程式的開源套件，這樣的供應鏈攻擊方式，很可能使其他開發者，在不知情的情況去下載安裝或使用。而且，越熱門的開源套件，相關的牽連越廣，就算該套件很冷門，還是有可能造成壞影響，而且，很有可能導致眾人越晚發現異狀。</p> <p>一般而言，開源軟體安全的防護環節很多，像是去年底被揭露的Log4J漏洞，突顯出改善漏洞的發現與修補及因應，就是一大挑戰，因此不論是掃描能力的強化、程式碼稽核、漏洞修補應變，以及透過SBOM掌握採用的關鍵開源元件，確保開源軟體的安全生產也同樣重要，不只從軟體設計的層面著手，並要解決惡意假冒的問題，以及確保上游軟體元件確實是真正的開發者所打造。</p> <p>基本上，光是改善漏洞發現與縮短修補應變，就已經令各界應接不暇，若再因為開發者帳號自身的防護不周，使得上游套件發生被植入惡意程式的情況，將使確保軟體供應鏈安全這事更添動盪與麻煩。因此，如何降低這類問題的發生，雙因素驗證的啟用至關重要，現在正逐漸從「有它可以更好」，轉變成「必備」的要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9D%A2%E5%B0%8D%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%EF%BC%8C%E5%BE%9E%E4%BF%9D%E8%AD%B7%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC%E5%B8%B3%E8%99%9F%E9%96%8B%E5%A7%8B(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>多起駭客接管開發者帳號事件，新版套件被嵌入惡意程式</strong></span><br /><strong style="color: rgb(105, 105, 105);">近期開發者帳號被劫持的資安事件接二連三傳出，根據GitHub資安公告顯示，在2021年10月與11月有3起事件，包括UAParser.js、COA、RC的NPM套件，因為開發者的帳號遭到劫持而遭植入惡意程式，這也促使平臺業者祭出新政策，例如，GitHub今年2月開始針對前100大NPM套件的所有維護者，強制要求啟用雙因素認證（2FA）。</strong></p> <p><span style="font-size:28px;"><strong>宣導啟用雙因素驗證不是新鮮事，現在陸續已成強制要求</strong></span></p> <p>啟用MFA保護自身帳號安全，並非新議題，我們關注的是，過去各界已不斷呼籲，為了使用者自身帳戶安全，避免遭密碼暴力破解或網釣攻擊，應啟用雙因素驗證，然而，各種應用系統背後的程式開發人員，對於所用的開發環境帳號卻沒這麼做，不免讓人覺得很失望。</p> <p>回顧這幾年，為了強化線上服務帳號安全，雙因素驗證是關鍵，許多線上服務已提供兩步驟驗證或雙因素驗證，並且持續提升驗證機制的強度，例如從手機接收簡訊OTP，轉向使用App驗證，或是支援FIDO無密碼的驗證機制。</p> <p>只是，這些年來，上述這些保護手段都只是讓使用者自行選擇啟用，並非強制，於是，我們還是經常看到許多資安專家向大眾呼籲：為了使用者個人自身的帳戶安全，應啟用雙因素驗證。</p> <p>但在相關威脅日益嚴重之下，不論是設定弱密碼或相同密碼的情形，以及帳密被竊取的狀況，相當氾濫，而這些問題與導致的各種資安事件一再發生，促使許多平臺業者在強化帳號安全的面相上，開始轉為更嚴格要求的態度，設法解決僅依賴單一密碼造成的各式問題。</p> <p>例如，微軟在2018年，開始宣告密碼時代即將終結，強調Password less以及更安全的多因素驗證，儘管那時還沒邁向強制啟用，但已打響無密碼登入的聲勢。近年該公司也陸續開放更多系統的身分，支援這種作法，例如，所有的Microsoft Account、Azure用戶帳號，現在都可以利用無密碼方式登入，而且，到2021年為止，已有1.5億用戶及所有微軟員工，都選擇這樣的登入方式。</p> <p>另一家科技大廠Google在2021年5月宣布，將強制用戶啟動帳號兩步驟驗證（2SV），關於推動的情形，2022年2月Google指出已讓1.5億用戶預設啟用，未來將陸續擴及所有Google帳號用戶。畢竟，以雲端郵件雲端硬碟等服務而言，帳密被盜用的風險帶來的衝擊非常大，不僅是用戶資料被竊取、被看光，甚至不小心重要敏感個資也包含在內，並且也是許多雲端服務忘記密碼時，接收認證碼的管道之一。</p> <p>換言之，隨著現今的威脅態勢，近年最大的改變就是，更多的平臺業者開始陸續改變政策，積極推動無密碼登入，以及宣布將強制啟用雙因素驗證。</p> <p>當然，或許這樣的措施也與實際的資安威脅態勢有關，畢竟，一般線上服務身分冒用與資料竊取資安事件，在前幾年就已日益嚴峻，而軟體供應鏈的資安事件面向廣泛，相較之下，與帳號安全有關的事件雖然持續發生，但可能不易一開始就聚焦於此，但也不應被漠視。</p> <p>換言之，除了一般使用者持續面臨帳號遭盜用接管的威脅，引發各界注目，開發人員對於帳號被劫持的威脅，卻似乎一直都太輕忽。</p> <p>輕忽的是什麼？輕忽的是開發人員帳號若欠缺保護，對軟體供應鏈安全的影響極大。</p> <p><span style="font-size:28px;"><strong>規範上架應用程式開發者保護帳戶，蘋果與Google已展開行動</strong></span></p> <p>對於開發人員帳號安全的強化，其實近年，IT業界已趨向積極推動的態度。</p> <p>以應用程式的發布平臺的層面而言，近年兩大智慧型手機體系已有動作，像是蘋果在2019年，針對開發人員的Apple ID帳號做出硬性規範，要求他們必須啟用雙因素認證，一般的Apple ID用戶則依然可選擇是否採用；針對Android開發人員，Google在2020年第三季末也祭出新政策，針對登入Google Play控制臺的開發者，強制要求須啟用雙因素驗證。</p> <p>這些政策的目的，無疑是要讓開發者或開發商進行嚴謹的身分驗證，避免帳號遭盜用造成的資安風險，甚至防止匿名或假帳戶上架App。因為之前就發生多起事件，是駭客劫持開發者帳號後，將成功上架的App改變原有用途，或是透過更新加入惡意功能，以此規避應用程式市集在App上架時的審查機制。</p> <p>更進一步來看，應用程式及系統的發布與維運，已屬於軟體供應鏈的末端，而其本身都是由程式碼建構而成，因此像是程式碼開發協作與分享平臺的開發者帳號安全，同樣至關重要。</p> <p><span style="font-size:28px;"><strong>針對上游程式碼開發者，GitHub祭出一連串強化措施</strong></span></p> <p>時至今日，隨著GitHub的表態，更是具體點出一件事，那就是：軟體供應鏈的安全需從開發者做起，以此帶動整個軟體開發生態系的安全提升。</p> <p>以GitHub最近一連串的行動而言，為強化平臺帳號安全，正逐步將2FA成為必要防護措施。</p> <p>首先，針對已收購旗下的NPM，GitHub在2021年底時宣布，將因應前述去年11月開發者帳號未啟用2FA遭冒用，而造成NPM套件被置換的狀況，並在今年2月1日提新要求，強制前100大NPM套件的所有維護者啟用2FA，接著又在3月1日將所有NPM帳戶納入強化登入驗證，也就是針對未啟用2FA的用戶，當由npmjs.com網站或npm CLI驗證身分時，需以電子郵件傳送驗證碼的方式來核對身分的真實性。</p> <p>同時，為了讓NPM平臺用戶可以更廣泛採用2FA，他們增加多項安全機制，包括：因啟用2FA的用戶也可能常在CI/CD持續整合工具使用自動化Token，所以簡化套件自動發布等流程與任務；新增Token命名機制，幫助用戶更容易管理Token；在NPM組織層面，現在也可強制所有成員啟用2FA；提供專屬介面，稽核組織成員是否啟用2FA。他們還預告NPM接下來將支援WebAuthn，也就是支援FIDO實體安全金鑰與生物識別方式，提供更強身分驗證。</p> <p>不只是針對NPM平臺，近年GitHub平臺的帳號安全強化上，除了提供雙因素驗證、登入警示、驗證裝置等機制，在2021年還有幾項重要措施，包括透過SSH協定使用Git操作的身分驗證，將不再支援帳號密碼的驗證方式，必須以Token來驗證，並且新增可利用FIDO實體安全金鑰來產生SSH金鑰。</p> <p>到了2022年5月，GitHub再次祭出新政策──將在2023年底之前，針對所有提交程式碼的平臺用戶，強制啟用雙因素驗證。在此項宣布中，說明了大多數的安全漏洞並非是零時差攻擊造成，而是透過攻擊成本低的方式進行，像是社交工程、帳密竊取或外洩及其他管道，使攻擊者能夠廣泛地存取受害帳戶及其資源，並特別點出一大關鍵：開發人員應該要了解帳號被挾持及盜用的風險與影響：不只是私有程式碼面臨被竊取的狀況，也有可能是程式碼遭惡意竄改，隨後將影響與此程式碼有關的任何人，而且這樣的供應鏈安全威脅並非空想，已是實際存在的狀況。</p> <p>換個角度設想，身為開發人員，自然也希望下載或使用的程式碼或套件，應該依循標準程序發布，不是被駭客劫持的開發者帳號所發布。</p> <p>面對這樣無人能置身事外的局面，每個開發人員都必須該有所行動，將啟用MFA視為必要防護手段。</p> <p>畢竟，基礎資訊安全認知人人該有，若連啟用MFA都沒有徹底實施，更何況現今還要提倡種種安全軟體開發教育，推動廣大開發人員接受安全程式設計實務訓練，避免因為開發時程緊迫，人力有限，以及未考慮到使用情境，而撰寫出有漏洞的程式。尤其是開源程式碼及套件的貢獻者，自己在帳號安全上的輕忽，可能衝擊的是軟體生態系統與供應鏈下游。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9D%A2%E5%B0%8D%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%EF%BC%8C%E5%BE%9E%E4%BF%9D%E8%AD%B7%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC%E5%B8%B3%E8%99%9F%E9%96%8B%E5%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90GitHub(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>軟體供應鏈安全始於開發人員帳號保護</strong></span><br /><strong style="color: rgb(105, 105, 105);">對於軟體供應鏈安全，GitHub安全長Mike Hanley指出，程式開發者帳號的保護是最源頭的一步。一旦有人遭受社交工程的攻擊，或面臨其他身分憑證竊取及外洩的事故，有可能導致所用的各種開發平臺帳戶蒙受遭到入侵的後果，而這將會牽連與此程式碼有關的任何人，影響整個軟體開發與交付流程的生態系。</strong><span style="color: rgb(105, 105, 105);">圖片來源／GitHub</span></p> <p><span style="font-size:28px;"><strong>提高開發者本身帳號安全要求，其實也是保護整個軟體生態系的安全</strong></span></p> <p>廣泛來看，不只在GitHub上該重視身分安全，同性質的GitLab、Bitbucket，甚至開發者常使用的其他平臺與工具亦然。</p> <p>除了一般使用者要有自覺，服務平臺及工具業者也應設備提高安全性要求。對於使用這些平臺的企業帳號管理者而言，在安全政策上，也應思考是否該強制成員啟用2FA，當然自身也要檢視對於現行環境的影響，像是相關自動化工具是否與2FA相容等種種情況。無論如何，已有不少重視資安的企業，早已規範需強制啟用MFA或2FA，或是導入企業集中式的身分存取管理，但還有更高比例的企業與開發者尚未採取行動。</p> <p>當然，開源程式碼及套件的貢獻者更是要注意，不要以為自己只是軟體供應鏈中的一個小小的螺絲，但這個螺絲的鬆動，可能衝擊軟體生態系統與供應鏈下游。無論如何，強制啟用2FA的趨勢已成，而在GitHub的帶動之下，未來也可能在整個軟體開發界開始發酵。</p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">強化平臺帳號安全，還要注意不同層面風險</strong></p> <p><strong>對於密碼安全性不足導致開發者帳號冒用的資安事故頻傳的問題之外，不只是企業程式與開源開發人員需要重視，提供服務的平臺業者同樣至關重要。</strong></p> <p><strong>對於平臺業者而言，不只是妥善提供強式雙因素驗證機制，或是將相關政策轉為強制啟用，關於帳號安全，其實還有不同層面的問題需防範，如身分驗證被繞過及串接風險等，而從近期出現的資安公告與事件，也可看出有不同挑戰需要因應。</strong></p> <p><strong>舉例來說，3月底GitLab修補CVE-2022-1162漏洞，這是其內部團隊發現的漏洞，將導致基於OmniAuth的GitLab社群版與企業版（CE/EE）在註冊過程中，無意間設定為靜態固定密碼，若被駭客發現將導致用戶帳號被駭客接管。</strong></p> <p><strong>另外，3月GitHub發現駭客利用該公司授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證的部分憑證，進而存取GitHub私有儲存庫的情況。</strong></p> <p><strong>１個月之後，Heroku公布調查結果，說明問題出在Heroku機器帳號遭駭客盜用，這不僅導致Heroku資料庫被存取，對方還下載整合GitHub與OAuth的客戶Token，使得Heroku與其客戶置放於GitHub的儲存庫都被存取，這其實也反應出機器身分的保護與管理，同樣需要重視。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>美國白宮下令推動軟體供應鏈安全，並強調MFA的重要性</strong></span></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX2%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6MFA%E4%BF%9D%E9%9A%9C%E9%96%8B%E7%99%BC%E8%80%85%E5%B8%B3%E8%99%9F%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>美國白宮於2022年1月26日舉行開源軟體高峰會議，邀請相關業者共同商討這個特殊的安全挑戰，今年5月初，由Linun基金會與開源安全基金會二度舉辦峰會，達成多項共識，並發布了開源軟體安全動員計畫白皮書。</strong></span></p> <p><strong>關於啟用多因素驗證（MFA）的重要性，近期美國推動加快改善網路安全之際，也特別提及。今年3月，該國總統拜登曾呼籲民間企業與關鍵基礎設施業者，需趕緊提升資安水準，並列出8個重點資安防護重點，其中導入多因素驗證（MFA）居於第一項，當中指出，在組織系統上使用多因素驗證，現在必須是強制執行，才能讓攻擊者入侵系統更加困難。</strong></p> <p><strong>更大的挑戰在於，軟體供應鏈安全不只基本的開發者帳號安全。目前開源軟體安全基金會（OpenSSF）持續推動此議題，產業界中，Google最為積極，在過去兩三年來，他們不只釋出OSS-Fuzz及連續模糊測試解決方案ClusterFuzzLite專案，希望模糊測試能真正與開發流程結合，而不是額外採取的行動，還有推動軟體供應鏈安全框架SLSA，並與OpenSFF社群合作，發布開源專案軟體安全掃描工具Scorecards，將能評估專案的安全性，檢驗開源專案是否採用程式碼審查工具，以及CI/CD系統的配置等，目前已更新到第四版，幫助整個軟體生態系變得更安全。</strong></p> <p><strong>但面對整個軟體供應鏈的資安議題，尤其是最上游的開源軟體安全，單靠一方之力無法解決，在今年1月底，美國白宮舉辦高峰會議邀集科技大廠商討對策，到了5月初，由LinuＸ基金會與開源安全基金會二度舉辦峰會，並發布了<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">開源軟體安全動員計畫白皮書</a>。</strong></p> <p><strong>當中決議將解決10大問題，包括推動安全軟體開發水準教育，建立開源軟體風險評估儀表板，推動數位簽章增強信任，替換不具記憶體安全的程式語言，成立OpenSSF開源安全事件應變小組，加快新漏洞的挖掘與修復，實施第三方稽核及程式碼審核與修復，資料共享以確定關鍵項目，推動軟體物料清單並提供安全範例與工具，以及改善供應鏈需強化開源軟體開發系統、套件管理器與部署系統。</strong></p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">帳號劫持攻擊普遍，資訊及開發人員都輕忽此類威脅</strong></p> <p><strong>關於啟用多因素驗證（MFA）或雙因素驗證（2FA）的現況，近期有兩項統計數據受關注，透露出開發人員對此重視程度的不足。</strong></p> <p><strong>●數據1：在2022年5月初，GitHub安全長Mike Hanley宣布平臺將在2023年強制啟用雙因素驗證（2FA），同時指出目前GitHub活躍用戶中，僅有16.5%啟用2FA，而NPM用戶的比例更低，只有6.44%啟用2FA。</strong></p> <p><strong>●數據2：在2022年2月初，微軟新發布《網路訊號》（Cyber Signals）報告，首先以身分識別為主題，當中指出微軟Azure服務用戶中，採用高強度的身分驗證機制僅有22%，顯示多數用戶在身分認證上仍有待強化。</strong></p> <p><strong>關於身分安全威脅的態勢，以這類劫持用戶帳號的攻擊而言，微軟亦提供2021年的現況說明。例如，微軟在Azure AD上，偵測並封鎖了256億次透過暴力破解的攻擊，以及透過Microsoft Defender for Office 365攔截了357億封的網釣郵件與惡意郵件，這當中其實也意味著駭客無所不用其極地企圖劫持用戶帳號。</strong></p> <p><strong>因此微軟建議，各大企業組織應提高安全水準來降低風險，至少做到幾項基本的網路安全，將能防範絕大多數的資安攻擊，微軟認為這至少防範98%的資安攻擊。具體而言，包括啟用多因素身分認證（及持續稽核帳號權限，檢查與監控所有管理者帳號）、保持系統最新版本與落實安全性更新、執行最小存取權限原則，以及進行資料保護等。</strong></p> <p><strong>對於上述威脅態勢，其他資安業者也有類似觀察。例如，資安業者CyberArk根據MITRE ATT&CK for Enterprise所列的攻擊手法，對企業IT人員進行調查，結果顯示：排名第一的風險領域是身分存取（40%），其次是躲避防禦（31%）、執行（31%）、初期存取（29%）、提高權限（27%）。而且，CyberArk強調，在加速數位化的局勢之下，使身分數量爆發性成長，根據他們統計，在每個組織中，人類與機器身分數量已高達10萬個以上。</strong></p> <p><strong>從上述種種調查結果來看，駭客入侵企業取得身分識別及橫向攻擊，已是當今駭客攻擊手段的一大主要手段，甚至從軟體供應鏈源頭的開發者用戶帳號下手，這已在在突顯身份識別安全的重要性。</strong></p> <p><a href="https://www.ithome.com.tw/news/151265" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span></a><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/151265" target="_blank">提升開發者帳戶安全，企業應強制全面啟用2FA或建置集中管控</a></strong></span></p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/news/151263
【資安週報】2022年5月30日至6月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月底到6月初這週的資安新聞裡，與Office有關的零時差漏洞CVE-2022-30190，引起許多資安人員關注，因為這項漏洞很可能讓攻擊者有機會繞過Office本身的防護機制，使用Windows檔案總管的預覽功能就能觸發。且公布不久已經開始有人用於攻擊行動。</p> <p>而這項漏洞在微軟的資安通告裡，指出與Windows支援診斷工具（MSDT）有關，他們也提出緩解措施，建議IT人員停用電腦的ms-msdt的URI協定來予以防範。</p> <p>但這種與URI有關的漏洞，接下來也有研究人員發現類似的弱點。攻擊者可透過惡意Office檔案，搭配Windows搜尋的URI協定search-ms，列出共享資料夾的內容。</p> <p>另一個與漏洞有關的攻擊行動則是殭屍網路EnemyBot。駭客運用了VMware Workspace ONE漏洞CVE-2022-22954、F5 BIG-IP漏洞CVE-2022-1388、Java框架Spring漏洞SpringShell等應用系統的重大漏洞，在受害組織植入殭屍網路病毒。</p> <p>與資料庫有關的資安事故也相當值得一提。其中又以駭客針對1,200個Elasticsearch資料庫進行勒索的情況最值得注意。雖然駭客勒索的金錢並不高，但很有可能付了贖金也無法復原。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/" id="CVE-2022-30190" name="CVE-2022-30190" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Office零時差漏洞，駭客可藉由RTF檔案觸發</span></a></strong></h3> <p>去年9月微軟的Office軟體出現MSHTML重大漏洞CVE-2021-40444，而可能讓攻擊者透過內含ActiveX元件的Office檔案觸發漏洞，最近有研究人員找到類似的RCE漏洞，即使用戶關閉巨集也難以防範駭客的攻擊。</p> <p>資安研究團隊Nao_sec在調查上述的MSHTML漏洞時，意外在惡意軟體分析平臺VirusTotal看到惡意Word檔案，一旦使用者開啟，該檔案就會經由外部連結載入HTML檔案，並使用MSProtocol URI Scheme（ms-msdt）架構載入程式碼，進而執行PowerShell。資安專家Kevin Beaumont指出，Nao_sec的發現揭露了未知的Office漏洞，雖然使用者可透過受保護的檢視（Protected View）機制，來防止惡意檔案在開啟時就執行巨集，但若是駭客改用RTF格式的文件檔案發動攻擊，則因為Windows的檔案總管就能預覽內容，有可能在不需受害者開啟檔案就能利用漏洞發動攻擊。</p> <p>Kevin Beaumont將這項漏洞稱為Follina，並指出Office 2013至2021版都可能受到影響。微軟於5月30日將其登錄為CVE-2022-30190列管，並指出該漏洞與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分。目前尚未有修補程式，但微軟提出了停用相關通訊協定的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客假冒藏人政府機構，利用Office零時差漏洞Follina發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg" style="width: 300px; float: right;" /></a>微軟Office的零時差漏洞Follina（CVE-2022-30190）引起資安人員高度關注，也很快有駭客運用於攻擊行動。資安業者Proofpoint、資安研究團隊MalwareHunterTeam發現已有駭客將上述漏洞用於攻擊行動。Proofpoint的研究人員於5月30日發現，中國駭客組織TA413假冒西藏流亡政府的婦女權益服務處（WED），利用ZIP壓縮檔挾帶利用上述漏洞的Word檔案，一旦對方開啟，駭客就能在受害電腦上執行惡意程式碼。MalwareHunterTeam則是看到有人使用含有簡體中文檔名的Word檔案，發動Follina漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-search-zero-day-added-to-microsoft-protocol-nightmare/"><span style="color: rgb(0, 0, 0);">Windows搜尋通訊協定存在零時差漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg" style="width: 300px; float: right;" /></a>最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。</p> <p>研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.usenix.org/conference/usenixsecurity22/presentation/kasturi"><span style="color: rgb(0, 0, 0);">逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg" style="width: 300px; float: right;" /></a>WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。</p> <p>結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。</p> <p>研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/unsecured-elasticsearch-data-replaced-with-ransom-note"><span style="color: rgb(0, 0, 0);">1,200個Elasticsearch資料庫遭到勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png" style="width: 300px; float: right;" /></a>駭客鎖定配置較不安全的Elasticseach資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticseatch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。</p> <p>研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticseatch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/"><span style="color: rgb(0, 0, 0);">逾360萬臺MySQL伺服器曝露於網際網路，恐成為攻擊目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 300px; float: right;" /></a>資料庫曝露於網際網路上，很有可能成為駭客攻擊的目標，但採取這種配置的資料庫有多氾濫？根據網路安全研究機構Shadow Server基金會的檢測，他們找到360萬臺MySQL伺服器，不只能在網際網路上公開存取，同時管理者保留預設連接埠TCP的3306埠配置，而很有可能成為駭客鎖定的目標。這些公開在網際網路上的MySQL伺服器，還會向來源請求發出伺服器問候（Server Greeting）回應。</p> <p>上述的伺服器裡，有230萬臺透過IPv4連接網際網路，130萬臺則是透過IPv6。從MySQL伺服器所在的國家分布來看，美國超過120萬臺最多，中國、德國、新加坡、荷欄、波蘭次之。研究人員表示，雖然他們沒有針對個別MySQL伺服器調查資料庫曝露的程度，但這種以預設連接埠曝露於網際網路的組態，將可能成為組織潛在的攻擊面，他們呼籲組織應避免將資料庫曝露於網際網路，並應該調整存取的連接埠，以及進行相關的狀態監控，來保護資料庫的安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safetydetectives.com/news/pegasus-leak-report/"><span style="color: rgb(0, 0, 0);">土耳其航空公司因AWS儲存桶配置不當，曝露6.5 TB內部資料</span></a></strong></h3> <p>研究人員發現航空公司因AWS儲存桶配置不當，而使得機組人員的個人資料與航班文件曝光，有可能影響飛行安全。防毒軟體評測網站SafetyDetectives研究人員發現，土耳其廉價航空公司Pegasus Airlines的AWS儲存桶，約自2月28日公開，內有近2,300萬個檔案，大小約6.5 TB。</p> <p>這些資料包超逾300萬個與飛行資料有關的檔案、160萬個機組人員的個資檔案。其中，引起研究人員高度關注的是，內有該公司開發的電子飛行文件包（Electronic Flight Bag，EFB）系統的原始碼，並包含明文密碼等機密資料。研究人員指出，一旦攻擊者從儲存桶取得相關密碼，就有可能用來航班資料而影響飛行安全。在3月1日通報後，該公司約在3星期後修復儲存桶相關配置。</p> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/rapidly-evolving-iot-malware-enemybot-now-targeting-content-management-system-servers"><span style="color: rgb(0, 0, 0);">惡意軟體EnemyBot針對VMware、F5 BIG-IP重大漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg" style="width: 300px; float: right;" /></a>殭屍網路EnemyBot在3月被發現，<a href="https://www.ithome.com.tw/news/150450#EnemyBot">當時該殭屍網路機器人（Bot）主要鎖定路由器設備而來</a>，如今駭客更進一步針對應用系統的重大漏洞下手。</p> <p>電信業者AT&T的資安團隊近期找到EnemyBot變種，該殭屍網路病毒共針對24種漏洞下手，但與過往EnmeyBot不同的之處，在於駭客利用的漏洞裡，多半為應用系統的重大漏洞，包含了VMware Workspace ONE漏洞CVE-2022-22954（CVSS風險評分9.8分）、F5 BIG-IP漏洞CVE-2022-1388（CVSS風險評分9.8分）、Java框架Spring漏洞SpringShell，除此之外還有部分是沒有CVE編號的漏洞，這使得IT人員更難防範EnemyBot的威脅。</p> <p>而對於部署該殭屍網路的攻擊者身分，研究人員指出是Keksec，該組織過往曾散布Tsunami、Gafgyt、DarkHTTP、DarkIRC、Necro等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/"><span style="color: rgb(0, 0, 0);">駭客鎖定視窗作業系統的WSL元件，散布Linux惡意軟體</span></a></strong></h3> <p>最近針對Linux主機而來的攻擊行動不時傳出，但也有人鎖定Windows作業系統提供的Linux子系統（Windows Subsystem for Linux，WSL）而來。資安業者Lumen於去年秋季開始，發現駭客針對WSL下手，迄今已散布逾100種惡意程式。</p> <p>在這些惡意程式當中，有些特別引起研究人員注意。例如，他們發現以程式語言Python開發的鍵盤側錄工具Keyjeek，攻擊者透過Windows的機碼使其常駐受害電腦，並將收集到的帳密資料回傳到特定的Gmail信箱，研究人員將其上傳到惡意軟體分析平臺VirusTotal，結果60個防毒引擎僅有1個識別有害。</p> <p>另一個該公司特別提到的惡意程式，則是會從遠端下載Shell Code，並在受害電腦注入與執行，研究人員指出，這種能夠下載惡意程式並完全在記憶體內（In-Memory）執行的工具，很有可能日後駭客會用於投放更為複雜的軟體，如Cobalt Strike或是其他滲透測試框架。再者，研究人員也看到能同時於Windows與Linux作業系統執行的代理程式Lee，攻擊者不只能透過該代理程式上傳或下載檔案，還能執行任意命令。</p> <p>除此之外，研究人員也發現多個會利用即時通訊軟體Discord的惡意軟體，像是木馬程式DiscordRAT、竊密程式Discord Token Grabber、Discord-Keylogger等，再者，也有濫用加密通訊軟體Telegram木馬程式Telegram-RAT。該公司建議採用WSL的使用者，應透過Sysmon等系統監控工具進行監控，來找出WSL環境是否出現異常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-ermac-20-android-malware-steals-accounts-wallets-from-467-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Ermac 2.0假冒餐點外送平臺App，竊取467個軟體帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg" style="width: 200px; float: right;" /></a>隨著武漢肺炎疫情延燒，許多人必須居家隔離，透過餐點外送平臺取得三餐所需，有駭客假借這樣的名義來散布惡意軟體。<a href="https://blog.cyble.com/2022/05/25/ermac-back-in-action/">資安業者Cyble</a>、<a href="https://twitter.com/ESETresearch/status/1526897310231322630">ESET</a>指出，他們看到有人佯稱是Blot Food的餐點外送業者，製作冒牌網站來散布安卓竊密軟體Ermac 2.0，一旦使用者從該網站下載檔案並進行安裝，該冒牌App將會要用戶開放43項權限，進而竊取467種應用程式的帳密，當中包含全球各地的銀行機構、加密貨幣錢包，以及資產管理應用程式。研究人員呼籲用戶，應從從Google Play市集下載App。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/double-whammy-attack-follows-fake-covid-alert-with-a-bogus-bank-call/"><span style="color: rgb(0, 0, 0);">英國食物銀行遭網釣攻擊</span></a></strong></h3> <p>隨著疫情升溫與烏克蘭戰爭的進行，弱勢民眾很可能更加倚賴食物銀行才能溫飽，但這類組織如今也遭到網路攻擊波及。根據英國廣播公司（BBC）的報導，一家位於英國基德明斯特鎮的食物銀行近日被騙走5萬歐元（相當於新臺幣156.6萬元），所幸銀行及時將款項追回。</p> <p>針對這起事故，資安業者Malwarebytes進一步公布細節。他們看到駭客先是佯稱英國衛生局（NHS）的名義，向食物銀行的經營者透過網釣簡訊與釣魚郵件發動攻擊，宣稱受害者曾與確認者接觸，必須付錢進行PCR檢測。對方線上付款後驚覺有異，正打算打電話給銀行，但這些駭客竟假冒銀行行員，向受害者打電話，藉此取得對方的銀行帳戶詳細資料，進而將存款轉走。</p> <p>研究人員警告，英國取消免費的PCR後，民眾可能收到需要進行相關檢測並進行付費的通知時，難以辨別是來自政府還是駭客，而有可能落入駭客的圈套。他們呼籲在接到銀行打來的電話時，不要透露任何個人資料，並透過網站上的電話號碼回撥。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/revil-resurgence-or-copycat"><span style="color: rgb(0, 0, 0);">勒索軟體駭客REvil疑發動DDoS攻擊</span></a></strong></h3> <p>勒索軟體駭客REvil似乎再度發動攻擊，但並非透過加密檔案的方式進行，而是以DDoS攻擊來癱瘓受害組織網路。雲端服務業者Akamai於5月12日接獲客戶通報，他們發現聲稱是REvil的駭客進行DDoS攻擊，駭客要脅受害組織必須移轉指定數量的比特幣（BTC），並暫停特定國家的業務，來換取駭客停止發動DDoS攻擊，駭客揚言若是不從，他們將會讓該組織的全球業務受到衝擊。</p> <p>研究人員指出，這起DDoS攻擊背後似乎存在政治動機，與REvil的行事風格完全不同，他們認為很有可能是他人假借REvil的名號對受害組織進行勒索。</p> <h3><strong style="font-size: 22px;"><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500"><span style="color: rgb(0, 0, 0);">勒索軟體Clop疑捲土重來，1個月出現21個受害組織</span></a></strong></h3> <p>過往惡名昭彰的勒索軟體駭客組織，在沉寂一段時間幾乎沒有活動後，再度大舉發動攻擊的情況，近期時有所聞。例如，資安業者NCC Group揭露他們針對2022年4月勒索軟體攻擊的態勢，當中特別提及勒索軟體Clop（亦稱Cl0p）的攻擊行動，在整個月出現了21個受害組織，主要目標是工業，占45%，其次是IT產業，占27%。</p> <p>但為何突然出現這麼多攻擊行動？資安新聞網站Bleeping Computer認為，這些駭客很有可能像Conti，目的是避免關閉Clop基礎設施的時候，成員後續受到執行單位追捕，因此，刻意發動這些攻擊來掩人耳目。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">哥斯大黎加衛生機關遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg" style="width: 300px; float: right;" /></a>自勒索軟體駭客組織Conti於4月中旬對哥斯大黎加發動攻擊後，該國政府機關再度成為勒索軟體的目標。哥斯大黎加衛生服務部（亦稱哥斯大黎加社會安全基金，CCCS）於5月31日晚間證實，他們在當天凌晨遭到駭客攻擊，目前正在恢復關鍵服務與受影響的系統，但無法確定何時能恢復運作。而針對受影響的範圍，該單位表示，數位健康統合系統（EDUS）、稅務集中統合系統（SICERE），以及該單位員工的薪資與退休金資料庫等，沒有遭到入侵，除此之外沒有透露更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，CCCS員工在攻擊發生的時候，發現內部網路的印表機開始印出許多ASCII亂碼，他們接收到關閉電腦並拔除網路線的命令。至於攻擊者的身分，有人向Bleeping Computer提供勒索訊息的螢幕截圖，該新聞網站從而得知攻擊者使用的工具是勒索軟體Hive。Bleeping Computer認為，攻擊者很有可能是從Conti跳槽Hive的駭客。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png" style="width: 300px; float: right;" /></a>臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。</p> <p><a href="https://www.ithome.com.tw/news/151270">鴻海亦於今日傍晚證實此事</a>，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202205310265.aspx"><span style="color: rgb(0, 0, 0);">三立離職員工駭入網路影音平臺遭到起訴</span></a></strong></h3> <p>企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。</p> <p>根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291066"><span style="color: rgb(0, 0, 0);">Windows 11、Server 2022功能更新恐導致部分趨勢端點防護軟體功能失常</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png" style="width: 300px; float: right;" /></a>微軟於5月24日發布Windows 11、Windows Server 2022的預覽版更新程式，但很可能導致防毒軟體無法正常運作。趨勢科技於5月26日發布資安通告指出，使用者若是在執行Windows 11與Windows Server 2022的電腦上，安裝微軟近日發布的KB5014019更新套件，將會導致該公司旗下多項企業端點防護產品的User Mode Hooking（UMH）元件失效，而使得勒索軟體防護等進階功能無法發揮作用。</p> <p>受到影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0，以及Deep Security 20.0。由於上述Windows更新套件改善多項使用者操作流程，趨勢科技正著手調查，並在微軟向所有用戶推送相關更新前解決上述問題。若是用戶已安裝上述預覽版更新套件，趨勢科技建議用戶應先移除，以免防護層級降低。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/"><span style="color: rgb(0, 0, 0);">行動應用程式框架存在嚴重漏洞，兩大平臺手機恐曝險</span></a></strong></h3> <p id="Zyxel">電信業者為了在手機上提供專屬服務，很可能會運用廠商提供的軟體框架，對旗下品牌手機進行客製化，一旦這種框架系統出現漏洞，很可能影響相當廣泛。微軟於5月27日公布在去年9月發現的數個漏洞──CVE-2021-42598、CVE-2021-42599、CVE-2021-42600，以及CVE-2021-42601，這些漏洞存在於mce Systems推出的行動裝置應用程式框架，CVSS風險評分從7.0分至8.9分，一旦攻擊者加以利用，就有可能從這些透過上述行動裝置應用程式框架製作的App，藉由其提供可瀏覽功能（Browsable）的服務，進而在受害裝置植入後門程式並取得控制權，安卓與iOS版應用程式都有可能受到影響。研究人員通報後，mce Systems與相關電信業者已著手修補漏洞，目前尚未出現利用相關漏洞的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://palant.info/2022/05/23/hijacking-webcams-with-screencastify/"><span style="color: rgb(0, 0, 0);">逾千萬用戶的Chrome視訊共享外掛程式Screencastify恐曝露用戶隱私</span></a></strong></h3> <p id="Zyxel">隨著遠距工作、線上學習的情況越來越常見，能存取電腦視訊鏡頭的軟體也變得熱門，但在此同時這類軟體一旦出現漏洞，很有可能會被攻擊者用來擷取視訊鏡頭的影像。研究人員Wladimir Palant在2月中旬，通報名為Screencastify的Chrome外掛程式存在漏洞，但該名研究人員指出，當時開發者僅修補了部分跨網站指令碼（XSS）漏洞，其他漏洞仍未獲得修補，使得使用者面臨與Screencastify合作的其他平臺曝露相關風險。</p> <p>研究人員指出，該外掛程式會向用戶要求Google Drive的永久OAuth憑證，以便該外掛程式能自動上傳、下載影片檔案，一旦攻擊者搭配上述修補不完全的XSS漏洞，就有機會透過上述的OAuth憑證來存取受害者Google Drive其他檔案。研究人員透過概念性驗證攻擊來啟動受害電腦的視訊鏡頭，過程無須使用者互動。對此，該開發者表示，他們將透過更為嚴謹的內容安全政策，來防堵用戶可能曝險的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151209"><span style="color: rgb(0, 0, 0);">臺灣聯隊DEF CON CTF搶旗賽線上初賽獲第二名，八月進軍賭城實體較勁</span></a></strong></h3> <p id="Zyxel">隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日至14日於美國拉斯維加斯舉辦的DEF CON CTF（駭客搶旗攻防賽）即將重新以實體比賽的方式進行。而在5月28日至5月30日舉辦的CTF線上資格賽，臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>戰隊最終順利取得預賽第二名的資格，而這個結果也等於確認該隊可以參加8月的DEF CON CTF，和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。</p> <p>值得一提的是，從2018年起，本項搶旗攻防賽都是由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年適逢DEF CON屆滿30週年，命題的工作將交由新團隊Nautilus Institute負責。</p> <h3><strong style="font-size: 22px;"><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock"><span style="color: rgb(0, 0, 0);">博通宣布將以610億美元買下VMware</span></a></strong></h3> <p id="Zyxel">美國晶片製造商博通（Broadcom）於5月26日宣布，將斥資610億美元買下VMware，該公司將以現金及股票支付上述金額，並預計在2023年10月31日前完成。在併購完成後，博通的軟體部門Broadcom Software Group將更名為VMware，並納入該公司現有的基礎設施與安全軟體解決方案。</p> <p>根據VMware於5月20日收盤價95.71美元來推估，博通約溢價44%買下VMware。自併購的消息傳出後，VMware股價一路上漲，至26日收盤價來到120.54美元。博通指出，本交易案將讓該公司日後能提供企業更為兼具效通與安全的解決方案。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/flubot-android-malware-operation-shutdown-by-law-enforcement/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體FluBot遭到歐美執法單位圍剿</span></a></strong></h3> <p>安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。</p> </div></div></div>
2022/6/3 10:07作者周峻佑https://www.ithome.com.tw/news/151282
強化邊緣運算系統支援，紅帽推出第9版企業級Linux
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhel_9main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3年之前，由紅帽公司所維護的企業級Linux作業系統（RHEL）宣布推出8.0版，後續經歷多次改版，先前我們已陸續介紹<a href="https://www.ithome.com.tw/review/134119">8.1</a>、<a href="https://www.ithome.com.tw/review/141493">8.3</a>、<a href="https://www.ithome.com.tw/review/144683">8.4</a>、<a href="https://www.ithome.com.tw/review/148833">8.5</a>等版本，一路看著這套作業系統從積極支援雲端環境的應用，逐漸延伸到邊緣運算領域。</p> <p>而依據當時訂定的版本更新週期來看，今年也到了跨入第9版世代的時間，而在5月舉行的年度用戶大會Red Hat Summit期間，該公司也按照這樣的規畫，於此刻發布RHEL的9.0版與8.6版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Planning Guide.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Planning%20Guide.jpg" style="width: 600px;" /></a></p> <p>除了象徵產品邁入新世代，RHEL 9.0是第一個基於上游開發版本CentOS Streams所建構的正式版本，事實上，RHEL 9的Beta測試版最初就是透過CentOS Stream 9的形式來提供，紅帽表示，未來RHEL 9所有版本的推出，都將在CentOS Stream的基礎來建構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CentOS%20el9-2021-11.jpg" style="width: 600px;" /></p> <p>一般而言，在CentOS Streams這個持續交付的版本當中，會先提供未來可能出現在RHEL新版的功能，以此拓展整個生態系的發展，能以此讓合作廠商、客戶、獨立使用者試用，再收集相關的建議，以利下一次小改版時，能夠針對程式碼與特色進行調整。</p> <p><a href="https://www.centos.org/centos-stream/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20CentOS%20Stream.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000CD;"><strong>提供更多專為邊緣運算環境系統執行所需的功能</strong></span></h3> <p>關於RHEL 9的推出，紅帽另一個主打的重點是關於邊緣運算環境的應用支援，這當中包含了全面的管理功能，以服務的形式提供給用戶，能憑藉更強大的控管與安全性功能，來掌握與擴展遠端部署，同時，也涵蓋了自動化建立機制、系統運作狀態的呈現，以及更有應變能力的資安漏洞緩解處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Redd%20Hat%20Edge%202022-05-11_094507-2.jpg" style="width: 600px;" /></p> <p>其實，這項服務是透過雲端網頁主控臺Red Hat Hybrid Cloud Console（console.redhat.com）來提供，紅帽在此整合了「邊緣管理（Edge Management）」應用程式，裡面提供多種功能，例如建立與管理邊緣系統映像、自動建立系統、檢視系統運作狀態是否正常，以及安全性的矯正等機制。而上述邊緣管理的應用功能目前已經上線，只要你是此項服務的有效訂閱用戶，均可存取。</p> <p>基本上，此項特色能讓RHEL用戶不需要任何搭配額外的內部建置IT基礎架構，也能進行邊緣管理的各種操作，相對地，若企業或組織想在邊緣端進行管理與規模擴展，且須在不犧牲他們本身資安態勢的條件之下，紅帽認為這（雲端服務）會是最快、最容易達到上述成效的方法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Edge Image-1-2022-06-02_191049.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Edge%20Image-1-2022-06-02_191049.jpg" style="width: 600px;" /></a></p> <p>RHEL 9另一個支援邊緣運算的特色，是透過Podman這套管理軟體的搭配與協助，偵測已更新的容器是否順利啟動、執行，若非如此，就會自動將容器的組態倒回（rollback）至前一個能正常執行、運作的版本。</p> <p>Podman去年提供自動更新容器的功能，但若遇上有些故障的容器因故發布至映像登錄服務的狀況，可能會導致容器無法執行，而現在的Podman具備了倒回至先前版本的功能，即可避免這類問題的發生，進而擴展自動更新容器映像的容量。當這樣的處理方式搭配作業系統層級的倒回機制之後，也能夠針對應用程式的可靠性，增添多一層保障。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9 Automatic rollbacks for containers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20Automatic%20rollbacks%20for%20containers.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000CD;"><strong>可運用紅帽代管的網頁主控臺服務，隨時隨地進行各種RHEL系統映像的組裝</strong></span></h3> <p>拓展更多類型的應用方式，也是RHEL本次改版的重大突破。紅帽表示，他們正在發展「作業系統重大功能即服務（key operating system functions as services）」的概念，而第一個登場是新推出的Image Builder服務，它本身支援核心平臺的既定功能，可針對自定的檔案系統、三大雲端服務供應商，以及VMware伺服器虛擬化平臺，提供系統映像的建立功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-1-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-1-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Image Builder-1-2022-06-02_190004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Image%20Builder-1-2022-06-02_190004.jpg" style="width: 600px;" /></a></p> <p>這項由紅帽代管、提供的新服務，與上述的邊緣管理一樣，都整合在Red Hat Hybrid Cloud Console，能以簡化、快速的方式，協助用戶自行組裝標準、最佳化、特製等類型的RHEL作業系統映像，隨後再將這些映像部署至選定的雲端服務廠商環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-2-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-2-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p>而且，這裡組裝的套件也包含最新的軟體內容，以及安全性更新，可支援所有的混合雲環境應用。它能協助企業與組織節省建立不同系統映像的時間，並在大量使用的狀況當中，可由此促成系統的一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-3-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-3-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p>在此之前，用戶若要組建邊緣運算設備所需執行的RHEL系統映像，須透過在內部環境建置的Image Builder版本來進行，接著再搭配其他支援後續管理作業的系統。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Ut6Hg0lgthM" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>現在有了所謂的Image Builder as-a-Service，企業對於RHEL系統映像的組建，就不需要區分成初期建置與後續管理的作法，而且同樣不用依賴企業內部環境設置與維護的相關基礎架構，也能產生各種系統映像。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0chezWnuMhs" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20image%20builder%20service.jpg" style="width: 600px;" /></p> <h3><strong style="color: rgb(0, 0, 205);">強化系統安全性，避免基礎架構遭到惡意修改</strong></h3> <p>對於系統完整性的確保，RHEL 9增設了新的驗證機制，這種作法稱為一致性測量架構（Integrity Measurement Architecture，IMA），能夠動態驗證作業系統的完整性，判斷是否遭到竄改或滲透。同時，RHEL 9也強化數位雜湊與數位簽章，能協助企業與組織偵測IT基礎架構是否出現未經許可的修改活動。</p> <p>透過一致性測量架構的導入，用戶能夠運用數位雜湊與數位簽章來驗證作業系統的完整性，藉此偵測非法的基礎架構竄改行為，以更輕鬆的方式減少系統遭到滲透的可能性。</p> <p>值得注意的是，在邊緣運算裝置的註冊方式（onboarding），RHEL 9提供了FIDO裝置註冊（FIDO Device Onboard，FDO）功能的技術預覽版本，此項特色也將整合「簡化安裝器（Simplified Installer）」。紅帽表示，邊緣運算應用當中，最消耗時間與成本的部分，在於如何自動化執行系統建立之後的步驟，促使這些設備在現場接上電源之後，就能開始發揮作用，而有了FDO，可節省許多作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9 FDO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20FDO.jpg" style="width: 400px;" /></a></p> <p>基本上，FDO可協助處理RHEL for Edge映像檔的自動建立，以及註冊程序。用戶可組建RHEL for Edge Simplified Installer的系統映像，以此設置RHEL for Edge系統映像，再以FDO來處理邊緣運算裝置的自動建立與註冊事宜，之後即可與其他裝置，以及透過網路彼此相連的系統，進行資料交換。因此，FDO協定將會在裝置製造階段當中，執行初始化設定，之後再綁定實際應用的裝置。</p> <p>紅帽表示，FDO使用安全信任鏈來驗證身分，以及擁有系統的人員，並搭配一個安全性更強的環境設置來建立溝通管道，而能登錄至一個管理平臺當中。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/_nq5IAVbl2Y" title="YouTube video player" width="560px"></iframe></div> <p> </p> <h3><span style="color:#0000CD;"><strong>提升自動化處理，對於不停機系統核心的修補作業，也提供網頁操作介面</strong></span></h3> <p>在系統角色（System Roles）的部分，RHEL 9也予以擴充，增加了高可用性叢集、防火牆、微軟SQL Server，以及伺服器系統管理工具Cockpit。</p> <p>基本上，RHEL System Role的實際技術組成，包含了自動化處理軟體平臺Ansible的角色及模組，以此提供穩定、一致的組態介面，能用於自動執行與管理多個版本的RHEL系統。</p> <p>在網頁管理主控臺的部分，RHEL Web Console現在可支援不停機的系統核心修補（Kernel Live Patching）──紅帽增加了簡化操作的介面，企業或組織不需透過命令列的工具，即可進行這些工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Update-1-2022-06-02_190522.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Update-1-2022-06-02_190522.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Update-2-2022-06-02_190527.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Update-2-2022-06-02_190527.jpg" style="width: 400px;" /></a></p> <p>透過這種方式，IT單位面對大規模、分散式部署的系統，無論是核心資料中心、多雲環境，或是邊緣運算設備，均可促使它們在不需重新開機的狀態下，就能自動套用系統核心的重大更新，減少這些重要維護作業執行的複雜度，能夠更容易解決那些嚴重影響生產環境安全性的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9-rhel_kpatch_overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209-rhel_kpatch_overview.jpg" style="width: 600px;" /></a></p> <p>除此之外，RHEL Web Console也強化了效能狀態呈現，可協助用戶找出導致CPU、記憶體、硬碟、網路等資源使用率暴漲的潛在原因。同時，用戶還能將這些效能量測數據匯出，交由圖解能力更強大的Grafana伺服器來呈現狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9-meter.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209-meter.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 console meter-2022-06-02_193252.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20console%20meter-2022-06-02_193252.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Doc-webconsole-performance-metrics.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Doc-webconsole-performance-metrics.jpg" style="width: 500px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Red Hat Enterprise Linux 9.0<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●支援運算平臺：64位元x86架構（x86-64-v2）、64位元Arm架構（Armv8.0-A）、IBM Power Systems Little Endian（Power9）、64位元IBM Z<br /> ●記憶體需求：1.5 GiB<br /> ●硬碟空間與分割區需求：10 GiB，x86與Arm架構需建立/分割區、swap分割區，IBM Power Systems需/分割區、swap分割區、PReP boot分割區<br /> ●系統基礎核心版本：5.14.0版</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2022/6/2 23:26作者李宗翰https://www.ithome.com.tw/review/151180
【資安日報】2022年6月2日，研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elastics…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，我們想要特別提及惡意外掛程式對於WordPress網站的威脅。有資安研究團隊近期發布報告指出，他們在長達8年的研究中，發現了超過4.7萬個惡意外掛程式，這些元件被部署於2.4萬個網站上，且大部分仍相當活躍。</p> <p>駭客針對不設防的資料庫發動攻擊的情況，最近再添一起事故。研究人員發現有人鎖定1,200個Elasticsearch資料庫下手，刪除內容並留下勒索訊息。</p> <p>這兩天有資安人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，類似可被濫用的Windows元件通訊協定漏洞再被揭露，這次是和Windows搜尋協定search-ms有關。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.usenix.org/conference/usenixsecurity22/presentation/kasturi"><span style="color: rgb(0, 0, 0);">逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg" style="width: 300px; float: right;" /></a>WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。</p> <p>結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。</p> <p>研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/unsecured-elasticsearch-data-replaced-with-ransom-note"><span style="color: rgb(0, 0, 0);">1,200個Elasticsearch資料庫遭到勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png" style="width: 300px; float: right;" /></a>駭客鎖定配置較不安全的Elasticseatch資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticseatch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。</p> <p>研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticseatch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-search-zero-day-added-to-microsoft-protocol-nightmare/"><span style="color: rgb(0, 0, 0);">Windows搜尋通訊協定存在零時差漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg" style="width: 300px; float: right;" /></a>最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。</p> <p>研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/fresh-phish-phishers-take-advantage-of-telegraphs-loose-governance"><span style="color: rgb(0, 0, 0);">駭客濫用Telegram匿名部落格服務進行網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Telegraph-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Telegraph-2.png" style="width: 300px; float: right;" /></a>駭客濫用Telegram服務進行攻擊行動的情況，不時有事故傳出，但近期有人也運用該公司旗下的匿名部落格服務Telegraph出手。郵件安全業者Inky指出，他們看到駭客今年大肆利用Telegraph來進行網路釣魚攻擊，根據該公司的資料，他們在2019年至2022年5月偵測到的攻擊行動，有9成出現在2022年。這些駭客可能來自多個組織，使用已被挾持的電子郵件帳號發送郵件，企圖進行加密貨幣詐騙，或是竊取對方的網路服務帳密。</p> <p>其中，在針對收信人的加密貨幣詐騙中，駭客聲稱已經竊得對方電子郵件帳號的密碼，並下載了所有信件，要求支付價值1,700美元的比特幣，換取資料不被外流，而這樣的狀況有多嚴重？根據研究人員的觀察與統計，駭客至少收到2,578.71美元贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png" style="width: 300px; float: right;" /></a>臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。</p> <p><a href="https://www.ithome.com.tw/news/151270">鴻海亦於今日傍晚證實此事</a>，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202205310265.aspx"><span style="color: rgb(0, 0, 0);">三立離職員工駭入網路影音平臺遭到起訴</span></a></strong></h3> <p>企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。</p> <p>根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/flubot-android-malware-operation-shutdown-by-law-enforcement/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體FluBot遭到歐美執法單位圍剿</span></a></strong></h3> <p>安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/2 16:29作者周峻佑https://www.ithome.com.tw/news/151273
Cloud周報第145期：北醫大因應遠距教學改採混合新架構，不只打造更便利的數位教育環境，更要發展教育雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（05/26～06/01）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位教育 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 教育雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">北醫大 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>北醫大擬定上雲三階段目標，混合新架構、教育雲以及打造數位教育環境</strong></span></p> <p>近兩年，國內上雲的趨勢越來越明顯，不只企業、政府部門，更有不少學校或教育機構開始積極上雲，如臺北醫學大學就是其中之一。尤其，受疫情影響使得遠距教學成為常態，為了要打造更便利的數位教育環境，北醫大已經導入不少公雲服務，甚至還進一步發展到混合雲新架構。</p> <p>經過一段時間導入後，北醫大近來則是把這些公有雲服務搬遷到了Google Cloud公雲上，支援教務行政系統，以因應師生授課與學習及行政工作需求，還擬定北醫大上雲的三階段計畫，分別為重新設計混合雲架構、推出教育雲服務，以及打造數位教育環境。</p> <p>透過採用混合雲新架構，也為北醫大教學或行政相關系統運作獲得不少改善，以人資系統為例，過去系統需30微秒才能反應，現在縮短為原本的三分之一，又如招生報名系統與加退選系統等，從而提高系統運作效率，也提高流量尖峰時期的服務品質及減少後臺管理人員負荷。</p> <p>在遠距教學的情境下，北醫大也使用不少雲端服務來提高教學品質，如採用Google的升級教育版Workspace ，提供視訊教學、線上發放發批改功課等功能，另外，北醫大未來還將進一步結合Chromebook筆電打造智慧教室，實現多校區線上、線下混合學習模式，以及滿足單日多達600場線上會議（含小組討論、課程等）的需求。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端應用開發服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>微軟推出雲端開發箱新服務，讓開發團隊能使用遠端桌面連接到虛擬機來共同開發</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4).png" style="width: 600px; height: 338px;" /></p> <p>微軟今年在Build 2022大會上還推出一個雲端開發環境新服務Microsoft Dev Box，透過該服務，開發者可以預先配置必要的開發環境、程式碼等作為虛擬機，讓開發團隊成員可以使用遠端桌面，或Web瀏覽器連接到虛擬機，來進行開發。</p> <p>取名為開發箱的Dev Box，就像一臺雲端上的PC，透過桌面虛擬化的虛擬機，來提供開發者所需的獨立開發環境，包括提供Windows上常見的IDE工具、SDK及各種內部開發工具等，並可用於開發桌面、行動、物聯網和遊戲等相關應用，也能適用於Linux的Windows子系統，構建跨平臺應用。</p> <p>由於Dev Box本身託管於公雲上，使用者可以在任何裝置上遠端操作它，包含Windows、MacOS、Android及iOS裝置，或是從Web瀏覽器來操作。</p> <p>在管理上，Dev Box也與雲端PC管理相近，利用Windows 365來與Intune和Endpoint Manager端點管理工具整合，確保統一管理、安全性和合規性。此外，IT管理者也能在Azure Active Directory中設定管理、登錄權限，建立自己用戶存取策略。</p> <p>Dev Box服務現階段已推出私人預覽版，幾個月後作為公開預覽版發布。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國航空 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">轉型上雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>美國航空全面擁抱公雲，要將內部航空關鍵應用搬上Azure加速轉型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(3).png" style="width: 600px; height: 397px;" /></p> <p>美國主要航公司這兩年都積極上雲來實現轉型，除了達美航空、聯合航空，美國航空（American Airlines）也成為最新一家全面擁抱公雲的航空公司，該公司近日也宣布將擴大其公有雲的採用，希望透過上雲改善營運、提高效率及邁向永續發展目標。</p> <p>每天經手超過6千架次航班的美國航空，是美國規模最大航空公司，每天要載送旅客前往全球56個國家及地區一共350個目的地，疫情期間，美國航空也展開數位轉型之旅，將雲端作為轉型的主要關鍵技術。</p> <p>經過一段時間採用後，美國航空更決定將把內部應用程式和航空關鍵應用搬上雲，並以Azure作為主要公雲平臺。美國航空與微軟兩家公司原本就有長期合作，過去雙方曾合作開發名為ConnectMe的應用，通過Teams中支援Power Apps的應用，讓上千名第一線執勤人員可以使用行動裝置來進行協作。或是在德州DFW機場登機口門控決策上，也有結合其AI相關應用。</p> <p>在這個合作基礎上，雙方現在更進一步合作，美國航空計畫在未來幾年內將大量工作負載遷移到Azure，例如機場滑行決策等，改為在公雲環境中來提供，未來也要透過數據分析、數位化技術來優化客戶體驗和改善公司營運，如行李定位追蹤，或是能根據天氣自動調整航班路線，以及透過數位分身來模擬機場的營運，來提高效率等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據統一管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟公布全新雲端智慧數據平臺，將資料庫、分析、治理服務整合至單一平臺來管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964_Cloud%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 352px;" /></p> <p>在年度Build 2022開發者大會上，微軟宣布推出全新雲端智慧數據平臺Microsoft Intelligent Data Platform，它是一個完全整合資料庫、分析、治理的雲端數據平臺，可協助企業用於整合和管理所有的數據資產，用以解決資料整合和管理的麻煩。</p> <p>這個雲端數據平臺，主要整合了Azure現有雲端資料庫、分析工具及治理產品，其中數據方面就涵蓋了多產品，包含Azure雲端ETL服務、Azure資料總管、SQL Server 2022資料庫、Azure SQL、NoSQL資料庫Cosmos DB等，分析方面也整合如資料倉儲Synapse Analytics及分析工具Power BI產品，以及還整合了資料治理工具Purview，來提供統一資料控管、合規性功能。</p> <p>目前採用該平臺的企業，如KPMG，利用它來統一管理客戶稅務、法律及財務部門資料。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>調查：8成企業已採用混合雲，近半數有2到3個IaaS公雲</strong></span></p> <p>網通大廠思科近日<a href="https://www.cisco.com/c/en/us/solutions/hybrid-cloud/2022-trends.html">發布了2022年全球混合雲趨勢報告</a>，該報告委託451Research機構進行的調查，訪查13個國家及地區一共2,500名企業IT決策者部署混合雲的經驗。</p> <p>根據調查指出，82%受訪者已採用混合雲，而且47%的企業組織平均使用2∼3個IaaS公雲。該報告表示，混合雲和多雲已經成為企業採用雲端新常態，為了實現更安全、業務敏捷性和雲端服務存取需求，越來越多企業開始朝向多雲部署來發展。</p> <p>但多雲發展也帶來新挑戰，根據調查顯示，近4成（37%）認為安全問題是多雲部署一大挑戰，另有 35%的受訪者視增加營運複雜性為主要挑戰。多雲環境下的成本控管，也是企業另一個重要考量。該調查還發現，過去一年來，企業雲原生採用也加速，91%受訪者表示其組織計畫或已經使用雲原生重構應用程式技術。</p> <p>另外在雲端新興熱門技術採用上，前4項分別為AIOps (45%)、基礎設施自動化 (41%)、可組合基礎設施 (37%) 和邊緣運算 (41%)。</p> <p><strong>圖片來源／微軟Build 2022、Azure</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.IDC最新調查預測臺灣公雲市場規模，從2020年約263億元，到2025年將成長翻3倍，突破800億元</strong></strong></p> <p><strong><strong>2.回應歐洲雲端業者控訴，微軟變更歐洲產品授權政策以避開反托拉斯指控</strong></strong></p> <p><strong><strong>3.AWS展示採用Arm架構的新型Graviton3處理器實例，提供更強大且更省電的雲端實例</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年6月</strong></strong></p> </div></div></div>
2022/6/2 10:20作者余至浩https://www.ithome.com.tw/news/151235
【資安日報】2022年6月1日，逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Foll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們才在昨天的資安新聞裡，報導<a href="https://www.ithome.com.tw/news/151224#CVE-2022-30190">引起許多資安人員關注的Office漏洞CVE-2022-30190</a>。今天就傳出攻擊行動，其中一起很可能是中國駭客鎖定西藏使用者而來。</p> <p>駭客組織攻擊社會福利組織的情況，也值得留意。英國近期傳出有食物銀行因為遭到網路釣魚攻擊，銀行帳戶的金錢險些遭到洗劫。使得資安業者特別提出警告，呼籲要留意這種假借疫情的網路釣魚手法。</p> <p>大量MySQL伺服器曝露於網際網路的現象相當值得關注。有研究人員發現全球至少有360萬臺伺服器直接連接網際網路，並能透過預設連接埠存取。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客假冒藏人政府機構，利用Office零時差漏洞Follina發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg" style="width: 300px; float: right;" /></a>微軟Office的零時差漏洞Follina（CVE-2022-30190）引起資安人員高度關注，也很快有駭客運用於攻擊行動。資安業者Proofpoint、資安研究團隊MalwareHunterTeam發現已有駭客將上述漏洞用於攻擊行動。Proofpoint的研究人員於5月30日發現，中國駭客組織TA413假冒西藏流亡政府的婦女權益服務處（WED），利用ZIP壓縮檔挾帶利用上述漏洞的Word檔案，一旦對方開啟，駭客就能在受害電腦上執行惡意程式碼。MalwareHunterTeam則是看到有人使用含有簡體中文檔名的Word檔案，發動Follina漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/double-whammy-attack-follows-fake-covid-alert-with-a-bogus-bank-call/"><span style="color: rgb(0, 0, 0);">英國食物銀行遭網釣攻擊</span></a></strong></h3> <p>隨著疫情升溫與烏克蘭戰爭的進行，弱勢民眾很可能更加倚賴食物銀行才能溫飽，但這類組織如今也遭到網路攻擊波及。根據英國廣播公司（BBC）的報導，一家位於英國基德明斯特鎮的食物銀行近日被騙走5萬歐元（相當於新臺幣156.6萬元），所幸銀行及時將款項追回。</p> <p>針對這起事故，資安業者Malwarebytes進一步公布細節。他們看到駭客先是佯稱英國衛生局（NHS）的名義，向食物銀行的經營者透過網釣簡訊與釣魚郵件發動攻擊，宣稱受害者曾與確認者接觸，必須付錢進行PCR檢測。對方線上付款後驚覺有異，正打算打電話給銀行，但這些駭客竟假冒銀行行員，向受害者打電話，藉此取得對方的銀行帳戶詳細資料，進而將存款轉走。</p> <p>研究人員警告，英國取消免費的PCR後，民眾可能收到需要進行相關檢測並進行付費的通知時，難以辨別是來自政府還是駭客，而有可能落入駭客的圈套。他們呼籲在接到銀行打來的電話時，不要透露任何個人資料，並透過網站上的電話號碼回撥。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">哥斯大黎加衛生機關遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg" style="width: 300px; float: right;" /></a>自勒索軟體駭客組織Conti於4月中旬對哥斯大黎加發動攻擊後，該國政府機關再度成為勒索軟體的目標。哥斯大黎加衛生服務部（亦稱哥斯大黎加社會安全基金，CCCS）於5月31日晚間證實，他們在當天凌晨遭到駭客攻擊，目前正在恢復關鍵服務與受影響的系統，但無法確定何時能恢復運作。而針對受影響的範圍，該單位表示，數位健康統合系統（EDUS）、稅務集中統合系統（SICERE），以及該單位員工的薪資與退休金資料庫等，沒有遭到入侵，除此之外沒有透露更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，CCCS員工在攻擊發生的時候，發現內部網路的印表機開始印出許多ASCII亂碼，他們接收到關閉電腦並拔除網路線的命令。至於攻擊者的身分，有人向Bleeping Computer提供勒索訊息的螢幕截圖，該新聞網站從而得知攻擊者使用的工具是勒索軟體Hive。Bleeping Computer認為，攻擊者很有可能是從Conti跳槽Hive的駭客。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safetydetectives.com/news/pegasus-leak-report/"><span style="color: rgb(0, 0, 0);">土耳其航空公司因AWS儲存桶配置不當，曝露6.5 TB內部資料</span></a></strong></h3> <p>研究人員發現航空公司因AWS儲存桶配置不當，而使得機組人員的個人資料與航班文件曝光，有可能影響飛行安全。防毒軟體評測網站SafetyDetectives研究人員發現，土耳其廉價航空公司Pegasus Airlines的AWS儲存桶，約自2月28日公開，內有近2,300萬個檔案，大小約6.5 TB。</p> <p>這些資料包超逾300萬個與飛行資料有關的檔案、160萬個機組人員的個資檔案。其中，引起研究人員高度關注的是，內有該公司開發的電子飛行文件包（Electronic Flight Bag，EFB）系統的原始碼，並包含明文密碼等機密資料。研究人員指出，一旦攻擊者從儲存桶取得相關密碼，就有可能用來航班資料而影響飛行安全。在3月1日通報後，該公司約在3星期後修復儲存桶相關配置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/"><span style="color: rgb(0, 0, 0);">逾360臺MySQL伺服器曝露於網際網路，恐成為攻擊目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 300px; float: right;" /></a>資料庫曝露於網際網路上，很有可能成為駭客攻擊的目標，但採取這種配置的資料庫有多氾濫？根據網路安全研究機構Shadow Server基金會的檢測，他們找到360萬臺MySQL伺服器，不只能在網際網路上公開存取，同時管理者保留預設連接埠TCP的3306埠配置，而很有可能成為駭客鎖定的目標。這些公開在網際網路上的MySQL伺服器，還會向來源請求發出伺服器問候（Server Greeting）回應。</p> <p>上述的伺服器裡，有230萬臺透過IPv4連接網際網路，130萬臺則是透過IPv6。從MySQL伺服器所在的國家分布來看，美國超過120萬臺最多，中國、德國、新加坡、荷欄、波蘭次之。研究人員表示，雖然他們沒有針對個別MySQL伺服器調查資料庫曝露的程度，但這種以預設連接埠曝露於網際網路的組態，將可能成為組織潛在的攻擊面，他們呼籲組織應避免將資料庫曝露於網際網路，並應該調整存取的連接埠，以及進行相關的狀態監控，來保護資料庫的安全。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/1 18:36作者周峻佑https://www.ithome.com.tw/news/151257
【資安日報】2022年5月31日，駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞中，我們認為研究人員發現的Office零時差漏洞最值得注意，但這項漏洞與過往大部分的漏洞不同，使用者無法透過關閉巨集的功能來防範相關攻擊行動，因為，駭客可透過Windows檔案總管支援內容預覽的檔案格式，就能利用這項漏洞。</p> <p>微軟發布的功能更新預覽版程式，有可能造成防毒軟體部分功能無法作用！趨勢科技最近發布資安通告，指出KB5014019更新套件會影響旗下的端點防護軟體運作，呼籲用戶暫時先移除該更新軟體。</p> <p>而國際資安競賽的部分，近期臺灣團隊也有所成果。臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>在DEF CON CTF（駭客搶旗攻防賽）的預賽取得好成績，並將於8月前往賭城與15個隊伍較勁。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/"><span style="color: rgb(0, 0, 0);">研究人員揭露Office零時差漏洞，駭客可藉由RTF檔案觸發</span></a></strong></h3> <p>去年9月微軟的Office軟體出現MSHTML重大漏洞CVE-2021-40444，而可能讓攻擊者透過內含ActiveX元件的Office檔案觸發漏洞，最近有研究人員找到類似的RCE漏洞，即使用戶關閉巨集也難以防範駭客的攻擊。</p> <p>資安研究團隊Nao_sec在調查上述的MSHTML漏洞時，意外在惡意軟體分析平臺VirusTotal看到惡意Word檔案，一旦使用者開啟，該檔案就會經由外部連結載入HTML檔案，並使用MSProtocol URI Scheme（ms-msdt）架構載入程式碼，進而執行PowerShell。資安專家Kevin Beaumont指出，Nao_sec的發現揭露了未知的Office漏洞，雖然使用者可透過受保護的檢視（Protected View）機制，來防止惡意檔案在開啟時就執行巨集，但若是駭客改用RTF格式的文件檔案發動攻擊，則因為Windows的檔案總管就能預覽內容，有可能在不需受害者開啟檔案就能利用漏洞發動攻擊。</p> <p>Kevin Beaumont將這項漏洞稱為Follina，並指出Office 2013至2021版都可能受到影響。微軟於5月30日將其登錄為CVE-2022-30190列管，並指出該漏洞與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分。目前尚未有修補程式，但微軟提出了停用相關通訊協定的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291066"><span style="color: rgb(0, 0, 0);">Windows 11、Server 2022功能更新恐導致部分趨勢端點防護軟體功能失常</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png" style="width: 300px; float: right;" /></a>微軟於5月24日發布Windows 11、Windows Server 2022的預覽版更新程式，但很可能導致防毒軟體無法正常運作。趨勢科技於5月26日發布資安通告指出，使用者若是在執行Windows 11與Windows Server 2022的電腦上，安裝微軟近日發布的KB5014019更新套件，將會導致該公司旗下多項企業端點防護產品的User Mode Hooking（UMH）元件失效，而使得勒索軟體防護等進階功能無法發揮作用。</p> <p>受到影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0，以及Deep Security 20.0。由於上述Windows更新套件改善多項使用者操作流程，趨勢科技正著手調查，並在微軟向所有用戶推送相關更新前解決上述問題。若是用戶已安裝上述預覽版更新套件，趨勢科技建議用戶應先移除，以免防護層級降低。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://palant.info/2022/05/23/hijacking-webcams-with-screencastify/"><span style="color: rgb(0, 0, 0);">逾千萬用戶的Chrome視訊共享外掛程式Screencastify恐曝露用戶隱私</span></a></strong></h3> <p id="Zyxel">隨著遠距工作、線上學習的情況越來越常見，能存取電腦視訊鏡頭的軟體也變得熱門，但在此同時這類軟體一旦出現漏洞，很有可能會被攻擊者用來擷取視訊鏡頭的影像。研究人員Wladimir Palant在2月中旬，通報名為Screencastify的Chrome外掛程式存在漏洞，但該名研究人員指出，當時開發者僅修補了部分跨網站指令碼（XSS）漏洞，其他漏洞仍未獲得修補，使得使用者面臨與Screencastify合作的其他平臺曝露相關風險。</p> <p>研究人員指出，該外掛程式會向用戶要求Google Drive的永久OAuth憑證，以便該外掛程式能自動上傳、下載影片檔案，一旦攻擊者搭配上述修補不完全的XSS漏洞，就有機會透過上述的OAuth憑證來存取受害者Google Drive其他檔案。研究人員透過概念性驗證攻擊來啟動受害電腦的視訊鏡頭，過程無須使用者互動。對此，該開發者表示，他們將透過更為嚴謹的內容安全政策，來防堵用戶可能曝險的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151209"><span style="color: rgb(0, 0, 0);">臺灣聯隊DEF CON CTF搶旗賽線上初賽獲第二名，八月進軍賭城實體較勁</span></a></strong></h3> <p id="Zyxel">隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日至14日於美國拉斯維加斯舉辦的DEF CON CTF（駭客搶旗攻防賽）即將重新以實體比賽的方式進行。而在5月28日至5月30日舉辦的CTF線上資格賽，臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>戰隊最終順利取得預賽第二名的資格，而這個結果也等於確認該隊可以參加8月的DEF CON CTF，和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。</p> <p>值得一提的是，從2018年起，本項搶旗攻防賽都是由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年適逢DEF CON屆滿30週年，命題的工作將交由新團隊Nautilus Institute負責。</p> <h3><strong style="font-size: 22px;"><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock"><span style="color: rgb(0, 0, 0);">博通宣布將以610億美元買下VMware</span></a></strong></h3> <p id="Zyxel">美國晶片製造商博通（Broadcom）於5月26日宣布，將斥資610億美元買下VMware，該公司將以現金及股票支付上述金額，並預計在2023年10月31日前完成。在併購完成後，博通的軟體部門Broadcom Software Group將更名為VMware，並納入該公司現有的基礎設施與安全軟體解決方案。</p> <p>根據VMware於5月20日收盤價95.71美元來推估，博通約溢價44%買下VMware。自併購的消息傳出後，VMware股價一路上漲，至26日收盤價來到120.54美元。博通指出，本交易案將讓該公司日後能提供企業更為兼具效通與安全的解決方案。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/31 19:12作者周峻佑https://www.ithome.com.tw/news/151224
【資安日報】2022年5月30日，惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對上週末到今天的資安新聞，我們認為殭屍網路EnemyBot的攻擊行動相當值得留意，因為，該殭屍網路的攻擊者的目標大幅轉變，從一個月前主要針對多個廠牌的路由器下手，如今轉向企業的應用系統而來，並利用重大漏洞入侵伺服器。</p> <p>鎖定Linux伺服器的惡意軟體攻擊近期傳出多起事故，但包含Linux子系統WSL的Windows作業系統也可能成為駭客的目標。有資安業者對於有越來越多駭客開發針對WSL的Linux惡意軟體提出警告，並表示多數防毒軟體可能無法察覺這些軟體有害。</p> <p>行動應用程式框架的漏洞很可能因受到電信業者採用，使得他們用戶的手機用戶曝險。研究人員揭露mce Systems提供的應用程式框架漏洞，並指出採用該框架製作的App若是沒有修補，攻擊者有機會用來控制受害手機。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/rapidly-evolving-iot-malware-enemybot-now-targeting-content-management-system-servers"><span style="color: rgb(0, 0, 0);">惡意軟體EnemyBot針對VMware、F5 BIG-IP重大漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg" style="width: 300px; float: right;" /></a>殭屍網路EnemyBot在3月被發現，<a href="https://www.ithome.com.tw/news/150450#EnemyBot">當時該殭屍網路機器人（Bot）主要鎖定路由器設備而來</a>，如今駭客更進一步針對應用系統的重大漏洞下手。</p> <p>電信業者AT&T的資安團隊近期找到EnemyBot變種，該殭屍網路病毒共針對24種漏洞下手，但與過往EnmeyBot不同的之處，在於駭客利用的漏洞裡，多半為應用系統的重大漏洞，包含了VMware Workspace ONE漏洞CVE-2022-22954（CVSS風險評分9.8分）、F5 BIG-IP漏洞CVE-2022-1388（CVSS風險評分9.8分）、Java框架Spring漏洞SpringShell，除此之外還有部分是沒有CVE編號的漏洞，這使得IT人員更難防範EnemyBot的威脅。</p> <p>而對於部署該殭屍網路的攻擊者身分，研究人員指出是Keksec，該組織過往曾散布Tsunami、Gafgyt、DarkHTTP、DarkIRC、Necro等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/"><span style="color: rgb(0, 0, 0);">駭客鎖定視窗作業系統的WSL元件，散布Linux惡意軟體</span></a></strong></h3> <p>最近針對Linux主機而來的攻擊行動不時傳出，但也有人鎖定Windows作業系統提供的Linux子系統（Windows Subsystem for Linux，WSL）而來。資安業者Lumen於去年秋季開始，發現駭客針對WSL下手，迄今已散布逾100種惡意程式。</p> <p>在這些惡意程式當中，有些特別引起研究人員注意。例如，他們發現以程式語言Python開發的鍵盤側錄工具Keyjeek，攻擊者透過Windows的機碼使其常駐受害電腦，並將收集到的帳密資料回傳到特定的Gmail信箱，研究人員將其上傳到惡意軟體分析平臺VirusTotal，結果60個防毒引擎僅有1個識別有害。</p> <p>另一個該公司特別提到的惡意程式，則是會從遠端下載Shell Code，並在受害電腦注入與執行，研究人員指出，這種能夠下載惡意程式並完全在記憶體內（In-Memory）執行的工具，很有可能日後駭客會用於投放更為複雜的軟體，如Cobalt Strike或是其他滲透測試框架。再者，研究人員也看到能同時於Windows與Linux作業系統執行的代理程式Lee，攻擊者不只能透過該代理程式上傳或下載檔案，還能執行任意命令。</p> <p>除此之外，研究人員也發現多個會利用即時通訊軟體Discord的惡意軟體，像是木馬程式DiscordRAT、竊密程式Discord Token Grabber、Discord-Keylogger等，再者，也有濫用加密通訊軟體Telegram木馬程式Telegram-RAT。該公司建議採用WSL的使用者，應透過Sysmon等系統監控工具進行監控，來找出WSL環境是否出現異常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-ermac-20-android-malware-steals-accounts-wallets-from-467-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Ermac 2.0假冒餐點外送平臺App，竊取467個軟體帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg" style="width: 200px; float: right;" /></a>隨著武漢肺炎疫情延燒，許多人必須居家隔離，必須透過餐點外送平臺取得三餐所需，有駭客假借這樣的名義來散布惡意軟體。<a href="https://blog.cyble.com/2022/05/25/ermac-back-in-action/">資安業者Cyble</a>、<a href="https://twitter.com/ESETresearch/status/1526897310231322630">ESET</a>指出，他們看到有人佯稱是Blot Food的餐點外送業者，製作冒牌網站來散布安卓竊密軟體Ermac 2.0，一旦使用者從該網站下載檔案並進行安裝，該冒牌App將會要用戶開放43項權限，進而竊取467種應用程式的帳密，當中包含全球各地的銀行機構、加密貨幣錢包，以及資產管理應用程式。研究人員呼籲用戶，應從從Google Play市集下載App。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/revil-resurgence-or-copycat"><span style="color: rgb(0, 0, 0);">勒索軟體駭客REvil疑發動DDoS攻擊</span></a></strong></h3> <p>勒索軟體駭客REvil似乎再度發動攻擊，但並非透過加密檔案的方式進行，而是以DDoS攻擊來癱瘓受害組織網路。雲端服務業者Akamai於5月12日接獲客戶通報，他們發現聲稱是REvil的駭客進行DDoS攻擊，駭客要脅受害組織必須移轉指定數量的比特幣（BTC），並暫停特定國家的業務，來換取駭客停止發動DDoS攻擊，駭客揚言若是不從，他們將會讓該組織的全球業務受到衝擊。</p> <p>研究人員指出，這起DDoS攻擊背後似乎存在政治動機，與REvil的行事風格完全不同，他們認為很有可能是他人假借REvil的名號對受害組織進行勒索。</p> <h3><strong style="font-size: 22px;"><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500"><span style="color: rgb(0, 0, 0);">勒索軟體Clop疑捲土重來，1個月出現21個受害組織</span></a></strong></h3> <p>過往惡名昭彰的勒索軟體駭客組織，在沉寂一段時間幾乎沒有活動後，再度大舉發動攻擊的情況，近期時有所聞。例如，資安業者NCC Group揭露他們針對2022年4月勒索軟體攻擊的態勢，當中特別提及勒索軟體Clop（亦稱Cl0p）的攻擊行動，在整個月出現了21個受害組織，主要目標是工業，占45%，其次是IT產業，占27%。</p> <p>但為何突然出現這麼多攻擊行動？資安新聞網站Bleeping Computer認為，這些駭客很有可能像Conti，目的是避免關閉Clop基礎設施的時候，成員後續受到執行單位追捕，因此，刻意發動這些攻擊來掩人耳目。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/"><span style="color: rgb(0, 0, 0);">行動應用程式框架存在嚴重漏洞，兩大平臺手機恐曝險</span></a></strong></h3> <p id="Zyxel">電信業者為了在手機上提供專屬服務，很可能會運用廠商提供的軟體框架，對旗下品牌手機進行客製化，一旦這種框架系統出現漏洞，很可能影響相當廣泛。微軟於5月27日公布在去年9月發現的數個漏洞──CVE-2021-42598、CVE-2021-42599、CVE-2021-42600，以及CVE-2021-42601，這些漏洞存在於mce Systems推出的行動裝置應用程式框架，CVSS風險評分從7.0分至8.9分，一旦攻擊者加以利用，就有可能從這些透過上述行動裝置應用程式框架製作的App，藉由其提供可瀏覽功能（Browsable）的服務，進而在受害裝置植入後門程式並取得控制權，安卓與iOS版應用程式都有可能受到影響。研究人員通報後，mce Systems與相關電信業者已著手修補漏洞，目前尚未出現利用相關漏洞的攻擊行動。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/30 16:30作者周峻佑https://www.ithome.com.tw/news/151208
研究人員發現最新WSL惡意程式能竊取密碼、瀏覽器cookies
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著Windows Subsystem for Linux的使用增加，WSL也成為惡意程式作者的新目標。<a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/" target="_blank">安全廠商偵測到最新的WSL惡意程式</a>，可從鍵盤側錄或螢幕擷圖竊取密碼、或是Chrome、Opera等瀏覽器cookies的敏感資訊。</p> <p>安全廠商Lumen旗下的<a href="https://blog.lumen.com/no-longer-just-theory-black-lotus-labs-uncovers-linux-executables-deployed-as-stealth-windows-loaders/" target="_blank">Black Lotus實驗室去年9月首度發現針對WSL的威脅</a>，證明Linux binary被用於在WSL載入惡意程式。而在今年3月又發現2隻以WSL為目標的新惡意程式。</p> <p>研究人員指出，2隻新發現的WSL惡意程式樣本為遠端存取木馬（Remote Access Trojan, RAT），都結合從GitHub取得的開源專案以增進其攻擊，而且也都使用第三方合法服務對木馬下達攻擊指令，目的在躲避偵測。</p> <p>其中一隻惡意程式內結合GitHub上的Discord Token Grabber專案，這類專案可用於竊取Discord、Chrome、Opera等瀏覽器驗證令牌或密碼，並傳到駭客的Discord帳號。以功能而言，這隻惡意程式還會鍵盤側錄、存取攝影機、取得螢幕擷圖、複製剪貼簿功能及執行任意指令等。</p> <p>第二隻RAT則似乎利用GitHub上的Telegram-RAT專案。Telegram-RAT專案賦予它執行指令、上傳/下載檔案及取得儲存於磁碟的憑證資料的能力，並將RAT竊得的用戶電腦資訊傳回給攻擊者。<a href="https://www.bleepingcomputer.com/news/security/new-windows-subsystem-for-linux-malware-steals-browser-auth-cookies/" target="_blank">研究人員指出</a>，從它還有活動中的Telegram bot token和chat ID判斷，攻擊者的C&C伺服器控制機制也仍在使用中。</p> <p>最新樣本的分析顯示，駭客藉由開源工具客製化，已為此類威脅增進多種能力，值得注意的是，兩者在VirusTotal的偵測率極低，前者在61項防毒引擎中只有3個偵測到，後者的偵測率則為9/62。</p> <p>研究人員指出，由於執行WSL的用戶通常具有更高的網路權限，因此企業必須在日常運作中更加強防範。</p> </div></div></div>
2022/5/30 12:11作者林妍溱https://www.ithome.com.tw/news/151203