iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

微軟釋出已可用於產品的.NET 7候選版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歷經7個預覽版本，微軟釋出了<a href="http://devblogs.microsoft.com/dotnet/announcing-dotnet-7-rc-1/">第一個支援產品環境的.NET 7候選版本</a>，用戶現在已經可以下載並且選擇適用於Windows、macOS和Linux的.NET 7，由於該候選版已經通過Visual Studio 17.4第二預覽版的測試，因此開發者可以搭配使用。值得注意的是，.NET 7並非一個長期支援版本，因此在預計發布時間11月正式發布後，微軟僅會提供18個月的免費支援和修復程式。</p> <p>.NET 7的執行效能是微軟一再強調的特色之一，在.NET 7開發中的5,000個拉取請求，其中有1,000個與效能相關，開發者可以從程式的迴圈執行到應用程式啟動時間，感受到.NET 7經過強化的效能表現。</p> <p>.NET多平臺應用程式UI（MAUI）也是.NET 7的一大亮點，MAUI能夠用一個API統一Android、iOS、macOS和Windows API，因此開發者可以簡單編寫在多平臺原生執行的應用程式，微軟提到，.NET MAUI開箱即用，每個平臺UI外觀和行為都符合應有的預期，不需要任何額外的小工具或是樣式編排。</p> <p>.NET 7也對雲端應用程式提供更完整的支援，使開發者能夠更簡單地在雲中建置應用程式，並且獲得雲端可擴展性、高效能等優點加持。微軟在.NET SDK內建容器支援，開發者在建置應用程式的時候，可以直接選擇以容器化的形式輸出。</p> </div></div></div>
2022/9/19 21:15作者李建興https://www.ithome.com.tw/news/153131
【資安週報】2022年9月12日到9月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周最受關注的資安新聞，包括勒索軟體DeadBolt攻擊活動，最近危害加劇，近期受害設備最多是美國、德國與義大利，而臺灣數量為第4多；鎖定PyPI套件開發者的網釣攻擊，最近又傳出這樣的消息；近一年來許多勒索軟體在技術手法上，採部分加密、間歇式加密的情形增加，有資安業者分析此現象並認為可能會有更多勒索軟體仿效。此外，月前思科公布5月遭遇駭侵事件，當時勒索軟體駭客組織閰羅王（Yanluowang）聲稱是他們所為，如今思科確認是該勒索軟體最近洩漏的資料，是當時從公司網路所竊取。</p> <p>在漏洞修補上，微軟本月修補63個漏洞，並特別提醒有三個漏洞最值得留意，首先是CVE-2022-37969漏洞，已有攻擊行動鎖定這個零時差漏洞，此前亦有多家資安業者通報微軟，另兩個一是涉及TCP/IP的CVE-2022-34718漏洞，一是涉及IKE的CVE-2022-34721漏洞，特別的是，我們注意到，微軟本月修補的這68個漏洞，其平均CVSS風險評分，高達7.76分，是至少近3年來所未見的高平均分，而近13個月的平均分為7.19。</p> <p>另外，有兩個WordPress外掛程式，存在零時差漏洞並且都已有攻擊行動，其中WPGateway的零時差漏洞CVE-2022-3180，先前開發者尚未修補，用戶需注意開發者的修補動向及暫時停用，而BackupBuddy的漏洞CVE-2022-31474已獲得修補，用戶須盡速更新。</p> <p>在產業動態上，國際中最近受注目的是，歐盟網路韌性法案草案Cyber Resilience Act提出，針對聯網的硬體產品與軟體，納入管理範圍，要求引入網路安全，否則將對製造商、代理商、經銷商開罰，或禁止產品出口到歐盟；在國內方面，有兩大議題受關注，分別是半導體產線資安標準，以及營業秘密保護。</p> <p>由臺灣主導的半導體產線設備資安標準規範SEMI E187，如今邁向廠商實作導入階段，參考實務指引近期也將釋出，待建立合規示範案例，將會更容易促進擴大設備廠商合規；臺灣的營業秘密侵害案件時有所聞，只是，諸多企業對營業秘密認知與保護現況，還是令人擔憂，為幫助更多企業做好營密秘密保護，最近我們看到，經濟部智慧財產局發布《營業秘密保護實務教戰手冊3.0》，甚至台積電也對於供應鏈策略夥伴，不僅是分享營業秘密管理，甚至是要擴大推廣更多供應夥伴，也建立營業秘密註冊制度與系統，甚至鼓勵不同產業也要及早行動。</p> <h2 class="rtecenter"><strong>本週重大資安新聞<br /> <a href="https://www.ithome.com.tw/news/153110#DeadBolt"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#ShadowPad"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#Nato"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#juicestealer"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#Bumblebee"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#microsoft"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#WPGateway"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#Teams"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8N.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#KKday"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9(1).jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153110#Intermittent"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-16-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong><br /> </h2> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://censys.io/the-neverending-story-of-deadbolt/" id="DeadBolt" name="DeadBolt"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt攻擊行動兩個月爆增近7倍，臺灣受害設備數量全球排行第4</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/daedbolt-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/daedbolt-image3.png" style="width: 300px; float: right;" /></a>主要鎖定威聯通NAS的勒索軟體Deadbolt，大規模的攻擊行動今年已出現數起，但相關威脅到了9月初有急劇惡化的現象。</p> <p>根據資安業者Censys的觀察，在6月27日有2,459臺設備遭到感染，到了7月10日一舉增加至3,214臺，於7月13日更突破7千大關。但值得留意的是自9月2日開始，針對CVE-2022-27593的零時差漏洞攻擊出現，遭到感染的設備數量首度破萬，達到13,802臺，3日、4日更增加到了18,725臺、19,029臺的高峰。換言之，經過兩個多月，DeadBolt感染設備數量增加了約674%。</p> <p>而從受害設備的地區分布來看，美國最多，其次是德國與義大利，臺灣設備的數量為第4多。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/espionage-asia-governments" id="ShadowPad" name="ShadowPad"><span style="color: rgb(0, 0, 0);">中國駭客鎖定亞洲政府，以舊版合法軟體元件從事網路間諜行動</span></a></strong></h3> <p>資安業者賽門鐵克指出，與惡意程式ShadowPad有關的中國駭客組織，自2021年初開始對許多亞洲國家的政府組織下手，範圍涵蓋總統辦公室、與金融有關的政府機關、政府持有的航空業者與國防業者，以及國有電信業者、IT業者、媒體等。</p> <p>在攻擊過程中，駭客不僅擅長寄生攻擊（LoL），透過DLL側載（DLL Side-loading）的手法執行惡意程式，他們往往還會選擇使用舊版的防毒軟體、圖像處理軟體、網頁瀏覽器來發動攻擊，研究人員在部分攻擊事故裡，看到駭客甚至濫用Windows XP的系統檔案。</p> <p>但為何這些駭客偏好濫用舊版軟體來側載惡意程式？原因是現行大部分應用程式具備防堵這類攻擊的緩解措施，使用舊版軟體可增加成功載入惡意程式的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/classified-nato-documents-stolen-from-portugal-now-sold-on-darkweb/" id="Nato" name="Nato"><span style="color: rgb(0, 0, 0);">北約文件流入暗網，起因是葡萄牙軍方遭網路攻擊</span></a></strong></h3> <p>根據葡萄牙新聞網站Diario de Noticias的報導，該國的武裝部隊參謀總部（EMGFA）遭到網路攻擊，導致與北大西洋公約組織（NATO）有關的文件外洩，葡萄牙國家安全辦公室（GNS）、國家網路安全中心派出專案小組進行調查。</p> <p>不願具名的知情人士透露，外洩資料的內容極為嚴重（extreme gravity），將導致葡萄牙在北約組織的信譽出現危機。針對這起網路攻擊，知情人士表示，此為長期且無法偵測的攻擊行動，駭客透過程式化的機器人（Bot）來偵測特定類型的文件，並在作案的多個階段後清除跡證。由於EMGFA將相關資料存放於隔離網路的電腦，初步調查的結果出爐，這些機密疑似透過不安全的管道流出，很有可能是EMGFA違反了相關管理規範所致。</p> <p>這起事故被發現的原因，是美國威脅情報員發現有人在暗網兜售EMGFA的資料，透過駐里斯本大使館通報葡萄牙政府才曝光。在上述新聞網站報導此事後，在野黨要求政府做出說明，但在截稿之前，葡萄牙當局尚未發表聲明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/pypi-phishing-campaign-juiceledger-threat-actor-pivots-from-fake-apps-to-supply-chain-attacks/" id="JuiceStealer" name="JuiceStealer"><span style="color: rgb(0, 0, 0);">駭客鎖定PyPI套件開發者發動網釣攻擊，意圖在套件用戶電腦植入竊密軟體JuiceStealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SentinelLabs_Juice_Ledger_Graphic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SentinelLabs_Juice_Ledger_Graphic.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne與Checkmarx聯手，調查駭客組織JuiceLedger的攻擊行動，該組織自今年初，開始以冒牌的Python安裝程式散布竊密軟體JuiceStealer，但從8月開始，這些駭客改變了手法，他們鎖定PyPI套件的開發者發動網釣攻擊，研究人員確認至少有兩個熱門套件（下載次數皆超過70萬次）被植入惡意軟體JuiceStealer，並研判可能有數百個套件受到誤植域名（Typosquatting）攻擊。</p> <p>PyPI獲報後積極清查可能遭到惡意軟體入侵的套件，並呼籲套件維護者使用雙因素驗證。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/07/bumblebee-returns-with-new-infection-technique/" id="Bumblebee" name="Bumblebee"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過後期滲透工具PowerSploit，埋藏在受害電腦記憶體內運作 </span></a></strong></h3> <p>駭客利用惡意軟體Bumblebee在受害電腦下載其他的作案工具，頻頻傳出相關事故，但這個惡意軟體的行蹤如今變得更加隱蔽，而使得資安系統可能更難以察覺其蹤跡。</p> <p>資安業者Cyble針對近期出現的Bumblebee進行分析，發現駭客先是發送帶有VHD虛擬磁碟檔案的垃圾郵件，對受害者進行網路釣魚攻擊，此VHD檔案的內容包含了Quote.lnk與imagedata.ps1，一旦受害者執行了LNK檔案，就會觸發後者的PowerShell指令碼，並於背景執行，然後解密另一個指令碼，最終透過後期滲透工具PowerSploit，將DLL程式庫載入PowerShell處理程序的方法來執行Bumblebee。</p> <p>研究人員指出，駭客利用PowerSploit的做法，使得Bumblebee完全在記憶體內執行，不會在硬碟留下任何痕跡，而能大幅減少被防毒軟體發現的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/09/psa-zero-day-vulnerability-in-wpgateway-actively-exploited-in-the-wild/" id="WPGateway" name="WPGateway"><span style="color: rgb(0, 0, 0);">WordPress外掛程式WPGateway零時差漏洞已被用於攻擊</span></a></strong></h3> <p>資安業者Wordfence指出，自9月8日有人利用WordPress外掛程式WPGateway的零時差漏洞CVE-2022-3180發動攻擊，此漏洞的CVSS風險層級高達9.8分，且駭客已經藉此接管部分網站。由於此外掛程式尚未獲得修補，研究人員並未進一步透露細節，該公司呼籲網站管理者應儘速依照指示，檢查網站是否遭到入侵，並在開發者尚未提供修補程式之前停止使用WPGateway。</p> <h3><strong style="font-size: 22px;"><a href="https://sansec.io/research/rekoobe-fishpig-magento"><span style="color: rgb(0, 0, 0);">電商網站整合業者Fishpig遭駭，用戶網站恐被植入惡意軟體</span></a></strong></h3> <p>駭客鎖定軟體服務業者下手，對該業者的客戶發動供應鏈攻擊，這樣的情況最近幾個月似乎越來越頻繁。例如，資安業者Sansec發現，專門為WordPress網站整合電子商務元件Magento的Fishpig遭到入侵，駭客控制了該公司的伺服器，並在FishPig Magento Security Suite、FishPig WordPress Multisite兩項軟體裡，植入惡意程式Rekoobe，而使得導入上述軟體的網站可能會感染惡意軟體。</p> <p>Fishpig也證實此事，並提供緩解措施，呼籲用戶重新下載、安裝相關軟體套件，來清除可能遭到竄改的元件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vectra.ai/blogpost/undermining-microsoft-teams-security-by-mining-tokens" id="Teams" name="Teams"><span style="color: rgb(0, 0, 0);">電腦版Teams應用程式以明文儲存用戶身分驗證資料，恐讓攻擊者盜用帳戶</span></a></strong></h3> <p>資安業者Vectra發現，微軟協作平臺Teams的電腦版應用程式存在嚴重漏洞，一旦遭到利用，攻擊者可存取使用者通過身分驗證的Token，而能在無須通過雙因素驗證的情況下掌控受害者的微軟帳號，Windows、macOS、Linux版的應用程式都存在相關風險。</p> <p>研究人員指出，這項漏洞與Teams透過應用程式框架Electron開發有關，此框架的預設組態並未啟用加密機制，也沒有對應用程式運用的資料夾提供保護措施，研究人員在觀察Teams刪除用戶帳號的過程，找到帶有明文資料的LDB檔案，從而發現上述漏洞。</p> <p>微軟獲報後進一步了解情況，認為此漏洞的嚴重程度尚未達到需要立即處理的情況，而暫時沒有打算修補。對此，研究人員呼籲，用戶最好改用瀏覽器執行網頁版Teams來避免相關風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mjib.gov.tw/news/Details/1/799" id="KKday" name="KKday" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">知名旅遊業者KKday前經理涉嫌竊密供新東家運用，遭檢調約談</span></a></strong></h3> <p>法務部調查局於9月8日指出，有知名旅遊業者利用競爭對手的離職員工，收集此競爭業者的內部資訊與系統漏洞，並進行商業滲透及竊取營業秘密，來奪取競爭優勢。<a href="https://www.cna.com.tw/news/asoc/202209080313.aspx">根據中央社的報導</a>，這起事故是旅遊業者KKday進行內部資安稽核時發現，有不明人士非法登入，竊取合作廠商名單、商品明細、客戶流量分析等商業機密資料，進而向調查局資安工作站提出檢舉。經調查局與KKday清查內部系統連線記錄後發現，一名陳姓前經理在離職後，竊取相關帳密資料提供給新東家Klook使用，目的是存取相關營業秘密資料，檢方複訊後，諭令陳姓嫌犯以30萬元交保，全案朝向刑法妨害電腦使用罪及洩漏工商秘密罪偵辦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/crimeware-trends-ransomware-developers-turn-to-intermittent-encryption-to-evade-detection/" id="Intermittent" name="Intermittent"><span style="color: rgb(0, 0, 0);">為規避偵測，駭客近一年來改以間歇式手法加密受害電腦檔案</span></a></strong></h3> <p>勒索軟體駭客為了避免遭到資安系統的攔截，他們不約而同地調整了加密檔案的策略。資安業者SentinelOne表示，<a href="https://news.sophos.com/en-us/2021/08/27/lockfile-ransomwares-box-of-tricks-intermittent-encryption-and-evasion/">勒索軟體LockFile自2021年中</a>開始導入間歇式加密手法（Intermittent Encryption），每隔16個位元組執行一次檔案加密，而能更快完成加密流程，且得以躲過資安系統根據I/O讀寫的偵測機制。如今類似的手法也被BlackCat（Alphv）、Black Basta、Agenda、Play、Qyick等勒索軟體採用，並在地下論壇標榜相關功能來吸引買家。研究人員認為，這種新型態的加密檔案手法將會被更多駭客採用。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/14/phishing-campaign-targets-greek-banking-users/"><span style="color: rgb(0, 0, 0);">希臘納稅人遭到鎖定，駭客以退稅為由騙取網路銀行帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Tax-Refund-Phishing-Page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Tax-Refund-Phishing-Page.png" style="width: 300px; float: right;" /></a>有駭客組織會鎖定美國每年的報稅季來發動攻擊，但類似的攻擊行動也出現在其他國家。資安業者Cyble揭露假借退稅名義的網路攻擊行動，駭客打造了假的希臘國稅局網站，來竊取民眾的銀行帳戶資料。駭客宣稱國稅局要退稅，但因為無法確認退款的銀行帳號資料，要求民眾提供，一旦民眾照做，將會被帶到假的網路銀行登入網頁，而這些網頁將會側錄使用者輸入的內容。研究人員表示，使用者只要輸入相關內容，無論是否送出資料，就有可能導致銀行帳戶遭到洗劫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-confirms-yanluowang-ransomware-leaked-stolen-company-data/"><span style="color: rgb(0, 0, 0);">思科證實勒索軟體駭客閰羅王竊得內部資料並外洩</span></a></strong></h3> <p>思科遭到勒索軟體駭客組織閰羅王（Yanluowang）入侵事故有新發展，9月11日，該公司表示駭客已將竊得的資料發布到暗網，但強調這些外洩的檔案不會對業務造成影響。</p> <p>而對於思科的說法，駭客似乎不以為然──他們向資安新聞網站Bleeping Computer表示，該組織總共竊得了55 GB資料，內有數千個檔案，包含了機密文件、產品設計圖，以及原始碼。但針對駭客宣稱取得的資料內容，思科予以否認。</p> <h3><strong style="font-size: 22px;"><a href="https://pentera.io/blog/135-is-the-new-145/"><span style="color: rgb(0, 0, 0);">駭客透過RPC呼叫的方式執行PsExec，可由135埠攻入，企業需調整網路埠防護政策加以控管</span></a></strong></h3> <p>企業的IT人員所使用的遠端管理工具PsExec，也可能成為駭客利用的對象，用來執行、散播惡意程式，但現在有研究人員揭露新的攻擊手法，而讓組織更加難以防範相關威脅。</p> <p>資安業者Pentera藉由以Python打造的網路通訊套件Impacket，讓原本主要使用445網路連接埠執行的PsExec，完全改以135埠執行，從而突破許多IT人員封鎖445埠來防堵駭客將其用於寄生攻擊（LOLBins）的情況。研究人員打造的PsExec變種改以RPC呼叫的方式連線，無須使用SMB協定與445埠就能執行傳輸資料，而能突破許多網路防護系統的監控、封鎖。</p> <p>該公司認為，RPC呼叫經常被企業忽視而沒有採取適當的監控，他們呼籲管理者應密切監控這種駭客偏好的網路通訊協定。</p> <h3><strong style="font-size: 22px;"><a href="https://arcticwolf.com/resources/blog/lorenz-ransomware-chiseling-in/"><span style="color: rgb(0, 0, 0);">勒索軟體Lorenz透過IP電話系統入侵受害組織</span></a></strong></h3> <p>6月有研究人員發現Mitel MiVoice網路電話系統的重大漏洞CVE-2022-29499，被用於勒索軟體攻擊行動，近期又有駭客組織利用相同的漏洞發動攻擊。</p> <p>資安業者Arctic Wolf指出，勒索軟體駭客Lorenz利用CVE-2022-29499來入侵受害組織，然後等待接近一個月的時間，才進行後續的攻擊行動。駭客使用勒索軟體Lorenz加密VMware ESXi虛擬化平臺，也濫用BitLocker加密Windows電腦，並透過檔案傳輸軟體FileZilla將竊得的資料送到外部。研究人員指出，過程中這些駭客運用了寄生攻擊（LOLBins）手法，並利用零時差漏洞來逃避偵測，他們呼籲企業要重視VoIP等連網系統的安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-cyberattack-on-bell-canada-subsidiary/"><span style="color: rgb(0, 0, 0);">加拿大電信業者BTS傳出遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bell_Technical_Solutions_leak_page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bell_Technical_Solutions_leak_page.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Hive聲稱在8月20日，入侵加拿大電信業者Bell Technical Solutions（BTS）的系統並加密檔案。</p> <p>而對於BTS實際的情況如何，也成為外界關心的焦點。但目前該公司的網站無法存取，而BTS的<a href="https://www.bell.ca/Mobility/Bell-Technical-Solutions-cybersecurity-alert">母公司Bell Canada於9月7日發出公告，證實BTS遭到網路攻擊</a>，未獲授權的人士存取了部分經銷商、員工的資料，以及預約技術人員服務的企業、個人客戶的聯絡資料，但不包含客戶的信用卡或銀行帳戶等財務資料。Bell Canada要BTS客戶留意可能會衍生的網路釣魚攻擊，並通知受到影響的客戶。該集團表示，其他客戶不受影響。</p> <p>但對於這起事故是否就是勒索軟體攻擊？Bell Canada、BTS並未進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-lausd-ransomware-attack-theft-of-500gb-of-data/"><span style="color: rgb(0, 0, 0);">美國洛山磯學區LAUSD遭勒索軟體攻擊，Vice Society宣稱竊得500 GB資料</span></a></strong></h3> <p>上週美國洛山磯學區（Los Angeles Unified School District，LAUSD）公布他們遭到勒索軟體攻擊，但攻擊者的身分為何？勒索軟體駭客組織Vice Society向資安新聞網站Bleeping Computer透露，此起資安事故是該組織所為，並宣稱竊得500 GB檔案。對此，LAUSD要求所有師生、員工在上述勒索軟體攻擊後，重設密碼，並打算導入雙因素驗證來強化安全。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/13/phishing-campaign-targets-japanese-tax-payers/"><span style="color: rgb(0, 0, 0);">駭客假冒日本國稅局發動網釣攻擊，恐嚇民眾欠稅將查封財產</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg" style="width: 300px; float: right;" /></a>駭客針對稅務的名義進行網釣攻擊，多半是以退稅引誘受害人上勾，但在日本出現了恐嚇手法的攻擊行動。資安業者揭露假冒日本國稅局的釣魚網站，駭客以彈出式訊息顯示警告訊息，佯稱瀏覽網站的使用者尚未繳納所得稅，必須在指定期限補繳，否則名下的不動產、汽車將會遭到扣押，而薪資也會被凍結。一旦受害者依照指示操作，對方就會要求以虛擬信用卡V-Preca付款，進而在送出資料的同時側錄信用卡資料。</p> <p>但駭客不光針對電腦使用者發動攻擊，也透過網釣簡訊對行動裝置用戶下手──他們看到假借國稅局名義寄送的簡訊，假如iPhone用戶照做，駭客會引導到國稅局釣魚網站，要求受害者支付4萬日元所得稅；若是Android用戶點選簡訊連結，手機則會被引導到電信業者AU冒牌網站下載惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@bobbyrsec/gifshell-covert-attack-chain-and-c2-utilizing-microsoft-teams-gifs-1618c4e64ed7"><span style="color: rgb(0, 0, 0);">研究人員揭露以GIF檔案攻擊微軟Teams的手法GIFShell</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_rrsX0TkEpTSaPnZRVvwJUw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_rrsX0TkEpTSaPnZRVvwJUw.png" style="width: 300px; float: right;" /></a>資安研究員Bobby Rauch揭露了鎖定微軟協作平臺Teams的攻擊手法「GIFShell」，當中串連此平臺的7項缺陷來達到目的，攻擊者與受害者之間並未直接傳送訊息，而是完全藉由發送惡意GIF檔案的訊息，以及微軟所屬的伺服器界外（Out of Bounds）尋找GIF檔案機制所形成的管道。研究人員藉由設置反向Shell，並將其用來在Teams傳送內有惡意指令的GIF檔案，最終濫用微軟的基礎設施來外洩資料。</p> <p>不過，由於攻擊者必須先說服受害者在電腦安裝惡意軟體，才能發動上述攻擊，微軟針對這項研究成果表示，因為沒有繞過該公司的安全邊界，他們不會進行修補作業，但有可能在未來調整產品的設計來改善相關缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">Edge瀏覽器預設首頁的入口網站遭到鎖定，駭客</span></a><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">投放惡意廣告</span></a><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file28463_236422_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file28463_236422_e.png" style="width: 300px; float: right;" /></a>駭客透過網頁廣告來發動釣魚攻擊的手法，最常見的應該是在Google搜尋引擎上的排名最佳化（SEO）廣告，但現在有人將目標轉移到Windows內建瀏覽器的預設首頁上。資安業者Malwarebytes揭露針對微軟Edge瀏覽器釣魚廣告攻擊，駭客買下「我的訂閱內容（My Feed）」頁面的廣告區塊來投放惡意廣告，引導用戶到冒牌網站，或是技術支援詐騙網站。</p> <p>比較特別的是，在使用者點選連結的過程中，攻擊者的指令碼會先過濾目標，才引導到釣魚網站；而這些網站多半建置於雲端服務業者DigitalOcean，使得企業網路防護系統難以防堵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/blog/apt42-charms-cons-compromises"><span style="color: rgb(0, 0, 0);">伊朗駭客組織APT42鎖定安卓手機部署間諜軟體從事網路間諜行動</span></a></strong></h3> <p>資安業者Mandiant揭露由伊朗資助的駭客組織APT42，該組織主要鎖定政府官員、記者、學者下手，自2015年開始，在14個國家發動逾30次攻擊行動。這些駭客針對攻擊目標竊取相關帳號資料，來從事網路間諜活動，但與許多國家級駭客不同之處，在於APT42往往鎖受害者的安卓手機，部署惡意軟體來進行跟蹤，此惡意軟體主要透過簡訊的方式，每天將受害者的手機通話內容、收到的訊息回傳給駭客。但除了手機，該組織有時候也會對Windows電腦發動攻擊。</p> <p>研究人員指出，APT42很可能與APT35相同，都是隸屬於伊朗革命護衛警察（IRGC）旗下的駭客組織。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file28463_236422_e.png"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客組織GhostSec聲稱攻陷以色列境內55臺PLC設備</span></a></strong></h3> <p>資安業者Otorio在9月4日發現，名為GhostSec的巴基斯坦駭客組織透過Telegram頻道宣稱，他們總共入侵了Berghof所製造的可程式化邏輯控制器（PLC），共有55臺設備遭駭，且皆位於以色列。</p> <p>研究人員進一步調查發現，攻擊者很可能是透過弱密碼成功入侵這些控制器的管理介面，該公司認為，駭客可藉此掌控部分PLC功能，並影響部分的工業生產流程。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/14/you-never-walk-alone-sidewalk-backdoor-linux-variant/"><span style="color: rgb(0, 0, 0);">針對香港大學遭到Linux後門程式攻擊的事故，研究人員發現駭客使用的工具由Windows版SideWalk改造而成</span></a></strong></h3> <p>中國駭客組織SparklingGoblin自2021年2月針對香港一所大學下手，並植入Linux後門程式，資安業者ESET進一步調查後發現，此後門程式是名為SideWalk的Windows惡意軟體改造而成，且與騰訊旗下的360網路安全實驗室於2020年9月發現的Spectre RAT有關。</p> <p>研究人員表示，Linux版SideWalk與Windows版有許多共通的特性，例如，都使用ChaCha20演算法，具備5個同步執行的處理程序等。</p> <h3><strong style="font-size: 22px;"><a href="https://act-on.ioactive.com/acton/attachment/34793/f-6460b49e-1afe-41c3-8f73-17dc14916847/1/-/-/-/-/NFC-relay-TESlA_JRoriguez.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法</span></a></strong></h3> <p>特斯拉標榜他們車輛的網路安全防護措施，而能難以遭到破解，但現在又有研究人員找到能夠突破相關防護的手法。資安研究機構IOActive揭露針對特斯拉Model Y的NFC中繼攻擊手法，兩名偷車賊分工合作，一名靠近汽車，另一名則試圖接近車主（距離2呎內），進而透過車主持有的NFC鑰匙卡片，或是能夠解鎖車輛的手機，將Model Y解鎖。</p> <p>靠近汽車的駭客使用名為Proxmark 3 RDV4的通訊設備，啟動駕駛座門柱上的NFC接收器的連線，並將相關訊號以Wi-Fi或藍牙傳送到另一名駭客所持有的手機，目的是與車主的NFC卡片或手機通訊，然後將訊號回傳到汽車進行解鎖。</p> <p>研究人員指出，這樣的手法，有可能讓駭客在車主與Model Y相隔兩地的情況下，藉由網際網路來發動攻擊。不過，若是車主啟用PIN碼保護功能，就有機會防堵駭客以上述手法開走車輛，但小偷仍能打開車門竊取貴重物品。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/albania-suffers-renewed-cyberattack-blames-iran"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞傳出再度遭到伊朗駭客攻擊</span></a></strong></h3> <p>上週阿爾巴尼亞宣布與伊朗斷交，起因是伊朗駭客在7月大肆發動網路攻擊，癱瘓阿爾巴尼亞的政府機關與公共設施，但伊朗駭客並未就此停手。阿爾巴尼亞內政部指出，該國國家警察的電腦系統於9月9日遭到攻擊，根據初步調查的結果，攻擊者的身分就是在7月發動攻擊的駭客。阿爾巴尼亞當局為了避免此起事故的受害範圍擴大，已經關閉港口、機場，以及邊境管制站的電腦系統。對此，伊朗否認上述指控，認為阿爾巴尼亞的說法毫無根據。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/death-of-queen-elizabeth-ii-exploited-to-steal-microsoft-credentials/"><span style="color: rgb(0, 0, 0);">駭客假冒微軟的名義，以打造弔念英國女王的留言板為由，意圖騙取微軟帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FcoWqb_XkAAMDdV.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FcoWqb_XkAAMDdV.png" style="width: 300px; float: right;" /></a>英國女王伊麗莎白二世辭世，引起全球許多民眾哀悼，但現在有人竟利用此事發動網路攻擊。資安業者Proofpoint看到駭客假冒微軟的名義寄送釣魚信，聲稱計畫打造互動式的AI回憶留言板來紀念伊麗莎白二世，需要用戶參與，該記憶板將會透過神經網路，分析、組織來自全球的數百萬悼念文字與相機資料，一旦收信人照做，他們的微軟帳號將會遭到挾持。研究人員指出，駭客利用網釣攻擊工具租賃服務EvilProxy所提供的工具來發動此次攻擊。</p> <p><a href="https://www.ncsc.gov.uk/news/potential-phishing-activity-update">英國國家網路安全中心（NCSC）也提出警告</a>，要民眾小心以弔念伊麗莎白二世名義的網路釣魚攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/self-spreading-stealer-attacks-gamers-via-youtube/107407/"><span style="color: rgb(0, 0, 0);">駭客鎖定遊戲玩家，透過YouTube頻道散布竊密軟體，並將受害電腦用於挖礦，還挾持其YouTube帳號向更多玩家發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Self-propagating_stealer_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Self-propagating_stealer_01.png" style="width: 300px; float: right;" /></a>電玩遊戲的玩家遭到駭客鎖定，近半年已出現數起攻擊行動，如今有駭客濫用YouTube來引誘玩家上當。卡巴斯基發現有人鎖定逾20款熱門遊戲的玩家，在YouTube頻道以提供作弊工具或破解檔案的名義，來散布惡意軟體。這些熱門的遊戲包含了CrossFire、FIFA 22、Final Fantasy XIV等。</p> <p>玩家一旦依照影片指示操作，將會下載RAR自解壓縮檔，內容包含了竊密軟體RedLine，以及挖礦軟體等，不只竊取玩家的瀏覽器資料，也看上這些電腦往往會安裝獨立顯示卡，而將其用於挖礦，此外，為了埋藏惡意軟體行蹤，駭客也濫用<a href="https://www.nirsoft.net/utils/nircmd.html">NirCmd</a>來隱藏上述軟體的視窗。</p> <p>值得留意的是，上述壓縮檔內含的軟體，還會挾持受害者的YouTube帳號，並濫用網頁瀏覽器的API上傳前述的影片，向其他玩家行騙，因此YouTube站方恐難以清除這種用來散布惡意軟體的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/steam"><span style="color: rgb(0, 0, 0);">小心彈出式登入視窗也有假的！駭客透過假瀏覽器彈出式視窗的攻擊手法竊取Steam帳號</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Steam-BitB-image25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Steam-BitB-image25.png" style="width: 300px; float: right;" /></a>資安人員mr.d0x在今年3月揭露一種新的網釣手法，駭客在網釣網站裡，偽造Steam、微軟、Google等服務的假彈出式登入網頁，而這樣的手法已經出現實際的攻擊行動。</p> <p>資安業者Group-IB近期觀察到針對Steam玩家的攻擊行動，駭客以邀請玩家加入英雄聯盟、絕對武力（CS）、Dota 2、PUBG等遊戲隊伍的名義，引誘他們瀏覽以電玩競賽為幌子的釣魚網站，並要求玩家輸入帳密，進而挾持他們的Steam帳號，一旦玩家照著這些指示去做，帳號就會遭到駭客控制。</p> <p>研究人員指出，這些駭客的冒牌Steam登入畫面看似以彈出式視窗顯示，且具有合法的SSL憑證，但實際上，這個「視窗」是網釣網頁裡的物件。此外，駭客的登入網頁支援27種語言，還會要求玩家輸入雙因素驗證資料。研究人員將這樣的手法命名為Browser-in-the-Browser（BitB），並呼籲Steam玩家要提高警覺，切勿直接從他人提供的URL上提供相關帳密資料，而這類手法也可以透過嘗試調整彈出式視窗的位置、大小來識破。</p> <p> </p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2022-patch-tuesday-fixes-zero-day-used-in-attacks-63-flaws/" id="microsoft" name="microsoft"><span style="color: rgb(0, 0, 0);">微軟公布9月例行修補，揭露63個漏洞的資訊與緩解措施</span></a></strong></h3> <p>9月13日微軟發布了每月例行修補（Patch Tuesday），總共修補了63個漏洞，其中有5個為重大等級，值得留意的是，有3個為已被公開細節的零時差漏洞，且當中的CVE-2022-37969被用於攻擊行動。</p> <p>此遭到利用的漏洞與通用記錄檔檔案系統（CLFS）有關，可被攻擊者用於擴張權限，駭客往往會透過社交工程攻擊，誘導使用者開啟連結來觸發漏洞，甚至有可能接管受害電腦。雖然微軟沒有透露該漏洞被用於攻擊的廣泛程度，但有4名資安人員向微軟通報，代表可能有多組駭客已經開始用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291528?language=en_US"><span style="color: rgb(0, 0, 0);">趨勢科技企業防毒軟體已知漏洞遭到駭客利用</span></a></strong></h3> <p>趨勢科技於9月13日，針對企業防毒軟體Apex One的用戶發布資安通告，該公司於4月進行修補的CVE-2022-40139已出現攻擊行動，呼籲用戶應儘速安裝更新軟體。此漏洞與用戶端程式的版本復原機制有關，起因是部分元件會出現不適當驗證，攻擊者可透過伺服器管理員身分，要求存在漏洞的用戶端電腦下載未經驗證的版本復原套件，進而執行任意程式碼，CVSS風險評分為7.2分，無論是企業內部建置或是採用SaaS雲端服務的版本都受到影響。</p> <p>除了上述已遭利用的漏洞，這次趨勢也修補了5個漏洞，其中最嚴重的是登入驗證旁路漏洞CVE-2022-40144，CVSS風險評分為8.2分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-fixes-eighth-zero-day-used-to-hack-iphones-and-macs-this-year/"><span style="color: rgb(0, 0, 0);">蘋果修補iOS與macOS零時差漏洞CVE-2022-32917</span></a></strong></h3> <p>9月12日，蘋果發布了iOS 15.7、iPadOS 15.7、macOS Monterey 12.6、macOS Big Sur 11.7，當中修補了零時差漏洞CVE-2022-32917，此漏洞可允許駭客以作業系統核心的權限執行任意程式碼，且可能已被積極用於攻擊行動。此漏洞已是今年蘋果修補的第8個零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/09/psa-nearly-5-million-attacks-blocked-targeting-0-day-in-backupbuddy-plugin/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式BackupBuddy存在零時差漏洞，駭客已發動近5百萬次攻擊</span></a></strong></h3> <p>資安業者Wordfence指出，他們發現有人自8月26日開始，鎖定部署BackupBuddy外掛程式的WordPress網站發動攻擊，目標是上述外掛程式的漏洞CVE-2022-31474，駭客成功入侵網站後會試圖存取網站組態檔案、密碼檔案等敏感資料，該資安業者已攔截4,948,926次漏洞利用攻擊。</p> <p>前述漏洞存在於8.5.8.0至8.7.4.1的BackupBuddy，原因與本地端備份的功能有關，該漏洞允許未經身分驗證的使用者下載網站所有檔案，開發者於9月2日發布8.7.5版予以修補。研究人員指出該漏洞極為容易利用，呼籲網站管理者要儘速安裝新版外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/adobe-patches-63-security-flaws-patch-tuesday-bundle"><span style="color: rgb(0, 0, 0);">Adobe發布9月例行修補，公告63個漏洞的細節</span></a></strong></h3> <p>Adobe於9月13日，針對Adobe Experience Manager、Bridge、InDesign、Photoshop、InCopy、Animate，以及Illustrator發布資安通告，總共修補63個漏洞。其中，與InDesign相關的漏洞最多，有8個重大、10個重要層級的漏洞；再者，存在於PhotoShop的漏洞共有10個，但有9個是重大漏洞。Adobe表示，上述漏洞目前尚未出現被用於攻擊行動的跡象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.reuters.com/technology/draft-eu-rules-target-smart-devices-with-cybersecurity-risks-2022-09-08/"><span style="color: rgb(0, 0, 0);">歐盟網路韌性法案草案Cyber Resilience Act提出，擬將智慧裝置納入列管範圍</span></a></strong></h3> <p>隨著許多家電都開始具備連網功能，這些設備的安全性也開始受到重視。根據路透社的報導，歐盟即將於9月13日提出的網路韌性法案（Cyber Resilience Act），將許多連接到網際網路的設備，如智慧冰箱、智慧電視，都納入管理範圍，並要求這些連網設備必須嚴格遵守此法案的規範，否則將會對製造商、代理商，甚至是經銷商罰款，或是產品禁止出口到歐盟國家。</p> <p>此法案指出，出售連網裝置的廠商必須評估產品的資安風險，並採取適當的措施來處理，一旦發現問題，要在24小時內通報歐盟網路安全機關ENISA。若是違反此法案的相關規定，製造商、經銷商、代理商都有可能面臨最高1,500萬歐元或年營業額2.5%的罰款。</p> <h3><a href="https://www.ithome.com.tw/news/153008"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新版「營業秘密保護實務教戰手冊」出爐，提供最新司法實務見解與10大策略步驟</span></strong></a></h3> <p>經濟部智慧財產局法務室在8月29日發布，營業秘密保護實務教戰手冊3.0版文件，希望幫助更多國內企業懂得如何對抗竊密風險，並要能夠建立合理保密措施，當中不僅將所建議策略步驟有新的綜整，涵蓋企業實施保護營業秘密的策略步驟，並更新相關司法實務見解，例如，像是針對合理保密措施的闡釋，特別是新增CEO企業經驗分享的環節，描繪出企業在草創、成長、壯大階段可以有營業秘密保護思維。</p> <h3><a href="https://www.ithome.com.tw/news/153098"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">營業秘密保護不只是高科技業需要，台積電建議金融、旅遊、餐飲服務業也應及早建立保護制度</span></strong></a></h3> <p>儘管政府強調營業秘密保護很多年，但企業是否真的足夠重視？今年，臺灣也有民間業者要推廣，那就是被譽為護國神山的台積電。過去他們時常出席相關研討會，分享實務經驗，今年他們更是發起相關專案，並成立「營業秘密註冊制度同學會」，希望做到更大的推廣，他們還建議在公司壯大之前就實施營業秘密保護。</p> <h3><a href="https://www.ithome.com.tw/news/153093"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI E187資安標準規範獲得更多廠商支持，均豪、帆宣、京鼎、盟立等8家半導體設備商先行</span></strong></a></h3> <p>在9月14日國際半導體展SEMICON Taiwan 2022期間，由臺灣主導的SEMI E187資安標準規範有了新的消息，自今年1月標準規範公告以來，現在進入廠商實作階段，我國數位產業署也將攜手產業共同推動，期望今年底提出參考實務指引，並建立設備業者資安合規示範案例，進而推動更多設備商合規導入。</p> <h3><a href="https://www.ithome.com.tw/news/153096"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺工控資安業者提供SEMI E187導入參考指南，從資產生命週期保護出發</span></strong></a></h3> <p>隨著半導體產線設備資安標準規範SEMI E187的推出，如何將SEMI E187付諸實踐成為許多半導體業者與設備商關切的議題，在國際半導體展SEMICON Taiwan 2022上，國內工控資安業者睿控網安（TXOne Networks）也釋出他們撰寫的SEMI E187標準導入參考指南，幫助更多業者認識這項今年甫推出的標準規範。</p> <h3><strong style="font-size: 22px;"><a href="https://teamt5.org/tw/posts/team-t5-expands-its-cyber-threat-intelligence-solutions-securing-series-a-funding/"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5引進日本創投6百萬美元A輪策略性募資</span></a></strong></h3> <p>9月14日，臺灣資安業者杜浦數位安全（TeamT5）舉辦線上記者會宣布，他們獲得日本大型創投業者Jafco、伊藤商事，以及當地大型資安業者Macnica的A輪創投資金，預計募資金額超過600萬美元。TeamT5創辦人兼執行長蔡松廷（TT）表示，獲得這筆資金後，他們將在2年內站穩日本市場，並建立相關團隊，待日本子公司營收超越總公司時，再進行B輪募資。</p> <h3><strong style="font-size: 22px;"><a href="https://foundation.rust-lang.org/news/2022-09-13-rust-foundation-establishes-security-team/"><span style="color: rgb(0, 0, 0);">Rust基金會獲OpenSSF和JFrog投資，將建立專門的資安團隊強化程式語言安全</span></a></strong></h3> <p>9月13日，Rust宣布因獲得開源軟體安全基金會（OpenSSF）專案Alpha-Omega的資金，以及DevOps解決方案業者JFrog的加入，他們將成立專門的資安團隊，來強化程式語言Rust的安全。具體的配置則是由OpenSSF撥款，讓Rust能聘請專職的資安工程師；而JFrog則是讓他們的資安研究團隊成員參與Rust資安團隊的工作。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security/record-breaking-ddos-attack-in-europe"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Akamai揭露大規模DDoS攻擊行動，駭客每秒發出7億次請求</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-windows-ios-bugs-used-in-attacks/"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補蘋果裝置零時差漏洞CVE-2022-32917</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://newsroom.trendmicro.com/2022-08-31-Trend-Micro-Warns-of-75-Surge-in-Ransomware-Attacks-on-Linux-as-Systems-Adoptions-Soared"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機修補高風險漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/critical-kepserverex-flaws-can-put-attackers-powerful-position-ot-networks"><span style="color: rgb(0, 0, 0);">工業通訊平臺KEPServerEX存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2022/09/08/baxter-sigma-spectrum-infusion-pumps-multiple-vulnerabilities-fixed/"><span style="color: rgb(0, 0, 0);">Baxter輸液幫浦的電池存在漏洞</span></a></span></strong></p> <h3><strong><span style="font-size: 20px;"><a href="https://binarly.io/posts/Binarly_Finds_Six_High_Severity_Firmware_Vulnerabilities_in_HP_Enterprise_Devices/index.html"><span style="color: rgb(0, 0, 0);">研究人員揭露HP筆電韌體高風險漏洞，部分尚未獲得修補</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-patches-critical-vulnerabilities-pixel-phones"><span style="color: rgb(0, 0, 0);">Google修補Pixel手機的重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://newsroom.trendmicro.com/2022-08-31-Trend-Micro-Warns-of-75-Surge-in-Ransomware-Attacks-on-Linux-as-Systems-Adoptions-Soared"><span style="color: rgb(0, 0, 0);">RaaS攻擊數量爆增，根據趨勢科技調查，今年上半增加近一倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-cobalt-strike-servers-ddosed-with-anti-russia-messages/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客的Cobalt Strike伺服器遭DDoS攻擊，攻擊者留下反對俄羅斯的訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/09/05/spyware-campaign-targeting-the-uyghur-community/"><span style="color: rgb(0, 0, 0);">駭客假借提供領導人傳記的名義，鎖定維吾爾社群散布安卓惡意軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/09/gamaredon-apt-targets-ukrainian-agencies.html"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Gamaredon鎖定烏克蘭政府散布竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cloud.google.com/blog/products/identity-security/google-completes-acquisition-of-mandiant"><span style="color: rgb(0, 0, 0);">Google宣布完成併購Mandiant</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/u-haul-discloses-data-breach-exposing-customer-driver-licenses/"><span style="color: rgb(0, 0, 0);">貨車租賃業者U-Haul遭駭，客戶駕照資料外洩</span></a></span></strong></p> <h3><strong style="font-size: 13px;"><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-recovers-30-million-stolen-from-axie-infinity-by-lazarus-hackers/"><span style="color: rgb(0, 0, 0);">美國追回區塊鏈電玩Axie Infinity遭竊的3千萬美元</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/07/profiling-dev-0270-phosphorus-ransomware-operations/"><span style="color: rgb(0, 0, 0);">伊朗駭客濫用磁碟加密系統BitLocker來破壞受害電腦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cofense.com/blog/lampion-trojan-utilizes-new-delivery-through-cloud-based-sharing"><span style="color: rgb(0, 0, 0);">惡意軟體Lampion透過雲端檔案共享服務WeTransfer散布</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/albania-suffers-renewed-cyberattack-blames-iran"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞因伊朗駭客攻擊與伊朗斷交，疑再度遭到攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.google/threat-analysis-group/initial-access-broker-repurposing-techniques-in-targeted-attacks-against-ukraine/"><span style="color: rgb(0, 0, 0);">烏克蘭組織、歐洲NGO遭到前Conti成員發動網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/ta453-uses-multi-persona-impersonation-capitalize-fomo"><span style="color: rgb(0, 0, 0);">伊朗駭客TA453扮演多個身分進行網釣攻擊</span></a></span></strong></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/153110"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-17-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/9/18 21:37作者羅正漢https://www.ithome.com.tw/news/153110
【資安日報】2022年9月16日，加拿大電信業者BTS傳出遭勒索軟體Hive攻擊、電腦版Teams應用程式以明文儲存用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對電信業者而來的網路攻擊，大多是DDoS攻擊或網路間諜行動，但最近發生在加拿大電信業者的資安事故，有資安新聞網站指出，很可能是勒索軟體攻擊。</p> <p>研究人員針對協作平臺Teams的用戶提出警告，他們找到電腦版應用程式的漏洞，攻擊者可用來盜用微軟帳號。由於微軟很可能不會立即修補，研究人員呼籲用戶最好先改用網頁版Teams來降低風險。</p> <p>駭客針對電玩遊戲玩家的攻擊行動有越來越複雜的現象！有研究人員發現透過YouTube頻道的攻擊行動，駭客不只進行竊密及挖礦攻擊，還濫用受害者的YouTube帳號來上傳影片來誘騙其他玩家。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-cyberattack-on-bell-canada-subsidiary/"><span style="color: rgb(0, 0, 0);">加拿大電信業者BTS傳出遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bell_Technical_Solutions_leak_page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bell_Technical_Solutions_leak_page.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Hive聲稱在8月20日，入侵加拿大電信業者Bell Technical Solutions（BTS）的系統並加密檔案。</p> <p>而對於BTS實際的情況如何，也成為外界關心的焦點。但目前該公司的網站無法存取，而BTS的<a href="https://www.bell.ca/Mobility/Bell-Technical-Solutions-cybersecurity-alert">母公司Bell Canada於9月7日發出公告，證實BTS遭到網路攻擊</a>，未獲授權的人士存取了部分經銷商、員工的資料，以及預約技術人員服務的企業、個人客戶的聯絡資料，但不包含客戶的信用卡或銀行帳戶等財務資料。Bell Canada要BTS客戶留意可能會衍生的網路釣魚攻擊，並通知受到影響的客戶。該集團表示，其他客戶不受影響。</p> <p>但對於這起事故是否就是勒索軟體攻擊？Bell Canada、BTS並未進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vectra.ai/blogpost/undermining-microsoft-teams-security-by-mining-tokens"><span style="color: rgb(0, 0, 0);">電腦版Teams應用程式以明文儲存用戶身分驗證資料，恐讓攻擊者盜用帳戶</span></a></strong></h3> <p>資安業者Vectra發現，微軟協作平臺Teams的電腦版應用程式存在嚴重漏洞，一旦遭到利用，攻擊者可存取使用者通過身分驗證的Token，而能在無須通過雙因素驗證的情況下掌控受害者的微軟帳號，Windows、macOS、Linux版的應用程式都存在相關風險。</p> <p>研究人員指出，這項漏洞與Teams透過應用程式框架Electron開發有關，此框架的預設組態並未啟用加密機制，也沒有對應用程式運用的資料夾提供保護措施，研究人員在觀察Teams刪除用戶帳號的過程，找到帶有明文資料的LDB檔案，從而發現上述漏洞。</p> <p>微軟獲報後進一步了解情況，認為此漏洞的嚴重程度尚未達到需要立即處理的情況，而暫時沒有打算修補。對此，研究人員呼籲，用戶最好改用瀏覽器執行網頁版Teams來避免相關風險。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/self-spreading-stealer-attacks-gamers-via-youtube/107407/"><span style="color: rgb(0, 0, 0);">駭客鎖定遊戲玩家，透過YouTube頻道散布竊密軟體，並將受害電腦用於挖礦，還挾持其YouTube帳號向更多玩家發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Self-propagating_stealer_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Self-propagating_stealer_01.png" style="width: 300px; float: right;" /></a>電玩遊戲的玩家遭到駭客鎖定，近半年已出現數起攻擊行動，如今有駭客濫用YouTube來引誘玩家上當。卡巴斯基發現有人鎖定逾20款熱門遊戲的玩家，在YouTube頻道以提供作弊工具或破解檔案的名義，來散布惡意軟體。這些熱門的遊戲包含了CrossFire、FIFA 22、Final Fantasy XIV等。</p> <p>玩家一旦依照影片指示操作，將會下載RAR自解壓縮檔，內容包含了竊密軟體RedLine，以及挖礦軟體等，不只竊取玩家的瀏覽器資料，也看上這些電腦往往會安裝獨立顯示卡，而將其用於挖礦，此外，為了埋藏惡意軟體行蹤，駭客也濫用<a href="https://www.nirsoft.net/utils/nircmd.html">NirCmd</a>來隱藏上述軟體的視窗。</p> <p>值得留意的是，上述壓縮檔內含的軟體，還會挾持受害者的YouTube帳號，並濫用網頁瀏覽器的API上傳前述的影片，向其他玩家行騙，因此YouTube站方恐難以清除這種用來散布惡意軟體的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/13/phishing-campaign-targets-japanese-tax-payers/"><span style="color: rgb(0, 0, 0);">駭客假冒日本國稅局發動網釣攻擊，恐嚇民眾欠稅將查封財產</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg" style="width: 300px; float: right;" /></a>駭客針對稅務的名義進行網釣攻擊，多半是以退稅引誘受害人上勾，但在日本出現了恐嚇手法的攻擊行動。資安業者揭露假冒日本國稅局的釣魚網站，駭客以彈出式訊息顯示警告訊息，佯稱瀏覽網站的使用者尚未繳納所得稅，必須在指定期限補繳，否則名下的不動產、汽車將會遭到扣押，而薪資也會被凍結。一旦受害者依照指示操作，對方就會要求以虛擬信用卡V-Preca付款，進而在送出資料的同時側錄信用卡資料。</p> <p>但駭客不光針對電腦使用者發動攻擊，也透過網釣簡訊對行動裝置用戶下手──他們看到假借國稅局名義寄送的簡訊，假如iPhone用戶照做，駭客會引導到國稅局釣魚網站，要求受害者支付4萬日元所得稅；若是Android用戶點選簡訊連結，手機則會被引導到電信業者AU冒牌網站下載惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">Edge瀏覽器預設首頁的入口網站遭到鎖定，駭客</span></a><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">投放惡意廣告</span></a><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file28463_236422_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file28463_236422_e.png" style="width: 300px; float: right;" /></a>駭客透過網頁廣告來發動釣魚攻擊的手法，最常見的應該是在Google搜尋引擎上的排名最佳化（SEO）廣告，但現在有人將目標轉移到Windows內建瀏覽器的預設首頁上。資安業者Malwarebytes揭露針對微軟Edge瀏覽器釣魚廣告攻擊，駭客買下「我的訂閱內容（My Feed）」頁面的廣告區塊來投放惡意廣告，引導用戶到冒牌網站，或是技術支援詐騙網站。</p> <p>比較特別的是，在使用者點選連結的過程中，攻擊者的指令碼會先過濾目標，才引導到釣魚網站；而這些網站多半建置於雲端服務業者DigitalOcean，使得企業網路防護系統難以防堵。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file28463_236422_e.png"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客組織GhostSec聲稱攻陷以色列境內55臺PLC設備</span></a></strong></h3> <p>資安業者Otorio在9月4日發現，名為GhostSec的巴基斯坦駭客組織透過Telegram頻道宣稱，他們總共入侵了Berghof所製造的可程式化邏輯控制器（PLC），共有55臺設備遭駭，且皆位於以色列。</p> <p>研究人員進一步調查發現，攻擊者很可能是透過弱密碼成功入侵這些控制器的管理介面，該公司認為，駭客可藉此掌控部分PLC功能，並影響部分的工業生產流程。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/adobe-patches-63-security-flaws-patch-tuesday-bundle"><span style="color: rgb(0, 0, 0);">Adobe發布9月例行修補，公告63個漏洞的細節</span></a></strong></h3> <p>Adobe於9月13日，針對Adobe Experience Manager、Bridge、InDesign、Photoshop、InCopy、Animate，以及Illustrator發布資安通告，總共修補63個漏洞。其中，與InDesign相關的漏洞最多，有8個重大、10個重要層級的漏洞；再者，存在於PhotoShop的漏洞共有10個，但有9個是重大漏洞。Adobe表示，上述漏洞目前尚未出現被用於攻擊行動的跡象。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security/record-breaking-ddos-attack-in-europe"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Akamai揭露大規模DDoS攻擊行動，駭客每秒發出7億次請求</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/09/gamaredon-apt-targets-ukrainian-agencies.html"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Gamaredon鎖定烏克蘭政府散布竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/ta453-uses-multi-persona-impersonation-capitalize-fomo"><span style="color: rgb(0, 0, 0);">伊朗駭客TA453扮演多個身分進行網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-patches-critical-vulnerabilities-pixel-phones"><span style="color: rgb(0, 0, 0);">Google修補Pixel手機的重大漏洞</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153073">【2022年9月15日】中國駭客以舊版合法軟體從事網路間諜行動、WordPress外掛零時差漏洞已被用於攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153039">【2022年9月14日】趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153016">【2022年9月13日】思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917</a></strong></strong></strong></p> </div></div></div>
2022/9/16 17:09作者周峻佑https://www.ithome.com.tw/news/153097
【資安日報】2022年9月15日，中國駭客以舊版合法軟體從事網路間諜行動、WordPress外掛零時差漏洞已被用於攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客透過合法軟體載入惡意程式的做法，在現在的資安事故可說是相當常見，但最近出現了新手法──有中國駭客刻意使用舊版合法軟體來發動攻擊。</p> <p>有資安業者提出警告，他們偵測到有人鎖定WordPress外掛程式WPGateway的零時差漏洞CVE-2022-3180發動攻擊，且有部分網站遭到接管。由於目前沒有修補程式，研究人員呼籲網站管理者應移除此套件因應。</p> <p>在上週末英國女王伊麗莎白二世辭世，各界紛紛表達哀悼與不捨，但竟有人看上許多人想要致意來發動網路釣魚攻擊，這樣的情況也使得英國政府特別提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/espionage-asia-governments"><span style="color: rgb(0, 0, 0);">中國駭客鎖定亞洲政府，以舊版合法軟體元件從事網路間諜行動</span></a></strong></h3> <p>資安業者賽門鐵克指出，與惡意程式ShadowPad有關的中國駭客組織，自2021年初開始對許多亞洲國家的政府組織下手，範圍涵蓋總統辦公室、與金融有關的政府機關、政府持有的航空業者與國防業者，以及國有電信業者、IT業者、媒體等。</p> <p>在攻擊過程中，駭客不僅擅長寄生攻擊（LoL），透過DLL側載（DLL Side-loading）的手法執行惡意程式，他們往往還會選擇使用舊版的防毒軟體、圖像處理軟體、網頁瀏覽器來發動攻擊，研究人員在部分攻擊事故裡，看到駭客甚至濫用Windows XP的系統檔案。</p> <p>但為何這些駭客偏好濫用舊版軟體來側載惡意程式？原因是現行大部分應用程式具備防堵這類攻擊的緩解措施，使用舊版軟體可增加成功載入惡意程式的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/09/psa-zero-day-vulnerability-in-wpgateway-actively-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式WPGateway零時差漏洞已被用於攻擊</span></a></strong></h3> <p>資安業者Wordfence指出，自9月8日有人利用WordPress外掛程式WPGateway的零時差漏洞CVE-2022-3180發動攻擊，此漏洞的CVSS風險層級高達9.8分，且駭客已經藉此接管部分網站。由於此外掛程式尚未獲得修補，研究人員並未進一步透露細節，該公司呼籲網站管理者應儘速依照指示，檢查網站是否遭到入侵，並在開發者尚未提供修補程式之前停止使用WPGateway。</p> <h3><strong style="font-size: 22px;"><a href="https://sansec.io/research/rekoobe-fishpig-magento"><span style="color: rgb(0, 0, 0);">電商網站整合業者Fishpig遭駭，用戶網站恐被植入惡意軟體</span></a></strong></h3> <p>駭客鎖定軟體服務業者下手，對該業者的客戶發動供應鏈攻擊，這樣的情況最近幾個月似乎越來越頻繁。例如，資安業者Sansec發現，專門為WordPress網站整合電子商務元件Magento的Fishpig遭到入侵，駭客控制了該公司的伺服器，並在FishPig Magento Security Suite、FishPig WordPress Multisite兩項軟體裡，植入惡意程式Rekoobe，而使得導入上述軟體的網站可能會感染惡意軟體。</p> <p>Fishpig也證實此事，並提供緩解措施，呼籲用戶重新下載、安裝相關軟體套件，來清除可能遭到竄改的元件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/death-of-queen-elizabeth-ii-exploited-to-steal-microsoft-credentials/"><span style="color: rgb(0, 0, 0);">駭客假冒微軟的名義，以打造弔念英國女王的留言板為由，意圖騙取微軟帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FcoWqb_XkAAMDdV.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FcoWqb_XkAAMDdV.png" style="width: 300px; float: right;" /></a>英國女王伊麗莎白二世辭世，引起全球許多民眾哀悼，但現在有人竟利用此事發動網路攻擊。資安業者Proofpoint看到駭客假冒微軟的名義寄送釣魚信，聲稱計畫打造互動式的AI回憶留言板來紀念伊麗莎白二世，需要用戶參與，該記憶板將會透過神經網路，分析、組織來自全球的數百萬悼念文字與相機資料，一旦收信人照做，他們的微軟帳號將會遭到挾持。研究人員指出，駭客利用網釣攻擊工具租賃服務EvilProxy所提供的工具來發動此次攻擊。</p> <p><a href="https://www.ncsc.gov.uk/news/potential-phishing-activity-update">英國國家網路安全中心（NCSC）也提出警告</a>，要民眾小心以弔念伊麗莎白二世名義的網路釣魚攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/14/phishing-campaign-targets-greek-banking-users/"><span style="color: rgb(0, 0, 0);">希臘納稅人遭到鎖定，駭客以退稅為由騙取網路銀行帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Tax-Refund-Phishing-Page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Tax-Refund-Phishing-Page.png" style="width: 300px; float: right;" /></a>經歷嚴重經濟危機的希臘，因烏克蘭戰爭導致物價飆漲，該國政府也祭出補助措施因應，而這種時空背景也被駭客拿來作為網路釣魚的幌子。資安業者Cyble揭露假借退稅名義的網路攻擊行動，駭客打造了假的希臘國稅局網站，來竊取民眾的銀行帳戶資料。駭客宣稱國稅局要退稅，但因為無法確認退款的銀行帳號資料，要求民眾提供，一旦民眾照做，將會被帶到假的網路銀行登入網頁，而這些網頁將會側錄使用者輸入的內容。研究人員表示，使用者只要輸入相關內容，無論是否送出資料，就有可能導致銀行帳戶遭到洗劫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/14/you-never-walk-alone-sidewalk-backdoor-linux-variant/"><span style="color: rgb(0, 0, 0);">針對香港大學遭到Linux後門程式攻擊的事故，研究人員發現駭客使用的工具由Windows版SideWalk改造而成</span></a></strong></h3> <p>中國駭客組織SparklingGoblin自2021年2月針對香港一所大學下手，並植入Linux後門程式，資安業者ESET進一步調查後發現，此後門程式是名為SideWalk的Windows惡意軟體改造而成，且與騰訊旗下的360網路安全實驗室於2020年9月發現的Spectre RAT有關。</p> <p>研究人員表示，Linux版SideWalk與Windows版有許多共通的特性，例如，都使用ChaCha20演算法，具備5個同步執行的處理程序等。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://foundation.rust-lang.org/news/2022-09-13-rust-foundation-establishes-security-team/"><span style="color: rgb(0, 0, 0);">Rust基金會獲OpenSSF和JFrog投資，將建立專門的資安團隊強化程式語言安全</span></a></strong></h3> <p>9月13日，Rust宣布因獲得開源軟體安全基金會（OpenSSF）專案Alpha-Omega的資金，以及DevOps解決方案業者JFrog的加入，他們將成立專門的資安團隊，來強化程式語言Rust的安全。具體的配置則是由OpenSSF撥款，讓Rust能聘請專職的資安工程師；而JFrog則是讓他們的資安研究團隊成員參與Rust資安團隊的工作。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-windows-ios-bugs-used-in-attacks/"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補蘋果裝置零時差漏洞CVE-2022-32917</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://newsroom.trendmicro.com/2022-08-31-Trend-Micro-Warns-of-75-Surge-in-Ransomware-Attacks-on-Linux-as-Systems-Adoptions-Soared"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機修補高風險漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/critical-kepserverex-flaws-can-put-attackers-powerful-position-ot-networks"><span style="color: rgb(0, 0, 0);">工業通訊平臺KEPServerEX存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2022/09/08/baxter-sigma-spectrum-infusion-pumps-multiple-vulnerabilities-fixed/"><span style="color: rgb(0, 0, 0);">Baxter輸液幫浦的電池存在漏洞</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153039">【2022年9月14日】趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153016">【2022年9月13日】思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152998">【2022年9月12日】研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏在受害電腦記憶體內運作</a></strong></strong></strong></p> </div></div></div>
2022/9/15 15:30作者周峻佑https://www.ithome.com.tw/news/153073
【資安日報】2022年9月14日，趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技針對企業防毒軟體Apex One用戶發布資安通告，指出已在4月修補的漏洞被用於攻擊行動，呼籲用戶應儘速安裝新版的伺服器元件，以及用戶端的代理程式。</p> <p>針對特斯拉電動汽車進行中繼攻擊，然後將車門打開的情況，這幾年已有多組研究人員找到相關手法，而最近有研究機構發現新的攻擊途徑，當中最大的不同之處，就是偷車賊必須兵分兩路，同時接近車輛與車主，而有可能在人車分隔兩地的情況下將車偷走。</p> <p>網管人員用於遠端管理的工具PsExec，已出現被駭客濫用的情況，現在有研究人員指出，光是封鎖該工具主要使用的445埠，有可能無法防堵相關攻擊！對此，他們呼籲IT人員也要監控RPC連線行為來察覺疑似遭到攻擊的跡象。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://act-on.ioactive.com/acton/attachment/34793/f-6460b49e-1afe-41c3-8f73-17dc14916847/1/-/-/-/-/NFC-relay-TESlA_JRoriguez.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法</span></a></strong></h3> <p>特斯拉標榜他們車輛的網路安全防護措施，而能難以遭到破解，但現在又有研究人員找到能夠突破相關防護的手法。資安研究機構IOActive揭露針對特斯拉Model Y的NFC中繼攻擊手法，兩名偷車賊分工合作，一名靠近汽車，另一名則試圖接近車主（距離2呎內），進而透過車主持有的NFC鑰匙卡片，或是能夠解鎖車輛的手機，將Model Y解鎖。</p> <p>靠近汽車的駭客使用名為Proxmark 3 RDV4的通訊設備，啟動駕駛座門柱上的NFC接收器的連線，並將相關訊號以Wi-Fi或藍牙傳送到另一名駭客所持有的手機，目的是與車主的NFC卡片或手機通訊，然後將訊號回傳到汽車進行解鎖。</p> <p>研究人員指出，這樣的手法，有可能讓駭客在車主與Model Y相隔兩地的情況下，藉由網際網路來發動攻擊。不過，若是車主啟用PIN碼保護功能，就有機會防堵駭客以上述手法開走車輛，但小偷仍能打開車門竊取貴重物品。</p> <h3><strong style="font-size: 22px;"><a href="https://censys.io/the-neverending-story-of-deadbolt/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt攻擊行動兩個月爆增近7倍，臺灣受害設備數量全球排行第4</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/daedbolt-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/daedbolt-image3.png" style="width: 300px; float: right;" /></a>主要鎖定威聯通NAS的勒索軟體Deadbolt，大規模的攻擊行動今年已出現數起，但相關威脅到了9月初有急劇惡化的現象。</p> <p>根據資安業者Censys的觀察，在6月27日有2,459臺設備遭到感染，到了7月10日一舉增加至3,214臺，於7月13日更突破7千大關。但值得留意的是自9月2日開始，針對CVE-2022-27593的零時差漏洞攻擊出現，遭到感染的設備數量首度破萬，達到13,802臺，3日、4日更增加到了18,725臺、19,029臺的高峰。換言之，經過兩個多月，DeadBolt感染設備數量增加了約674%。</p> <p>而從受害設備的地區分布來看，美國最多，其次是德國與義大利，臺灣設備的數量為第4多。</p> <h3><strong style="font-size: 22px;"><a href="https://pentera.io/blog/135-is-the-new-145/"><span style="color: rgb(0, 0, 0);">駭客透過RPC呼叫的方式執行PsExec，將突破許多企業封鎖的445埠</span></a></strong></h3> <p>企業的IT人員所使用的遠端管理工具PsExec，也可能成為駭客利用的對象，用來執行、散播惡意程式，但現在有研究人員揭露新的攻擊手法，而讓組織更加難以防範相關威脅。</p> <p>資安業者Pentera藉由以Python打造的網路通訊套件Impacket，讓原本主要使用445網路連接埠執行的PsExec，完全改以135埠執行，從而突破許多IT人員封鎖445埠來防堵駭客將其用於寄生攻擊（LOLBins）的情況。研究人員打造的PsExec變種改以RPC呼叫的方式連線，無須使用SMB協定與445埠就能執行傳輸資料，而能突破許多網路防護系統的監控、封鎖。</p> <p>該公司認為，RPC呼叫經常被企業忽視而沒有採取適當的監控，他們呼籲管理者應密切監控這種駭客偏好的網路通訊協定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291528?language=en_US"><span style="color: rgb(0, 0, 0);">趨勢科技企業防毒軟體已知漏洞遭到駭客利用</span></a></strong></h3> <p>趨勢科技於9月13日，針對企業防毒軟體Apex One的用戶發布資安通告，該公司於4月進行修補的CVE-2022-40139已出現攻擊行動，呼籲用戶應儘速安裝更新軟體。此漏洞與用戶端程式的版本復原機制有關，起因是部分元件會出現不適當驗證，攻擊者可透過伺服器管理員身分，要求存在漏洞的用戶端電腦下載未經驗證的版本復原套件，進而執行任意程式碼，CVSS風險評分為7.2分，無論是企業內部建置或是採用SaaS雲端服務的版本都受到影響。</p> <p>除了上述已遭利用的漏洞，這次趨勢也修補了5個漏洞，其中最嚴重的是登入驗證旁路漏洞CVE-2022-40144，CVSS風險評分為8.2分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2022-patch-tuesday-fixes-zero-day-used-in-attacks-63-flaws/"><span style="color: rgb(0, 0, 0);">微軟公布9月例行修補，揭露64個漏洞的資訊與緩解措施</span></a></strong></h3> <p>9月13日微軟發布了每月例行修補（Patch Tuesday），總共修補了64個漏洞，其中有5個為重大等級，值得留意的是，有3個為已被公開細節的零時差漏洞，且當中的CVE-2022-37969被用於攻擊行動。</p> <p>此遭到利用的漏洞與通用記錄檔檔案系統（CLFS）有關，可被攻擊者用於擴張權限，駭客往往會透過社交工程攻擊，誘導使用者開啟連結來觸發漏洞，甚至有可能接管受害電腦。雖然微軟沒有透露該漏洞被用於攻擊的廣泛程度，但有4名資安人員向微軟通報，代表可能有多組駭客已經開始用於攻擊行動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://teamt5.org/tw/posts/team-t5-expands-its-cyber-threat-intelligence-solutions-securing-series-a-funding/"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5引進日本創投6百萬美元A輪策略性募資</span></a></strong></h3> <p>9月14日，臺灣資安業者杜浦數位安全（TeamT5）舉辦線上記者會宣布，他們獲得日本大型創投業者Jafco、伊藤商事，以及當地大型資安業者Macnica的A輪創投資金，預計募資金額超過600萬美元。TeamT5創辦人兼執行長蔡松廷（TT）表示，獲得這筆資金後，他們將在2年內站穩日本市場，並建立相關團隊，待日本子公司營收超越總公司時，再進行B輪募資。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://cloud.google.com/blog/products/identity-security/google-completes-acquisition-of-mandiant"><span style="color: rgb(0, 0, 0);">Google宣布完成併購Mandiant</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://newsroom.trendmicro.com/2022-08-31-Trend-Micro-Warns-of-75-Surge-in-Ransomware-Attacks-on-Linux-as-Systems-Adoptions-Soared"><span style="color: rgb(0, 0, 0);">RaaS攻擊數量爆增，根據趨勢科技調查，今年上半增加近一倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://binarly.io/posts/Binarly_Finds_Six_High_Severity_Firmware_Vulnerabilities_in_HP_Enterprise_Devices/index.html"><span style="color: rgb(0, 0, 0);">研究人員揭露HP筆電韌體高風險漏洞，部分尚未獲得修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/u-haul-discloses-data-breach-exposing-customer-driver-licenses/"><span style="color: rgb(0, 0, 0);">貨車租賃業者U-Haul遭駭，客戶駕照資料外洩</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153016">【2022年9月13日】思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152998">【2022年9月12日】研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏在受害電腦記憶體內運作</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152950">【2022年9月8日】 Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊</a></strong></strong></strong></p> </div></div></div>
2022/9/14 16:52作者周峻佑https://www.ithome.com.tw/news/153039
Linux基金會宣布將建立OpenWallet基金會促進開源錢包互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會宣布將新成立一個名為<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-an-intent-to-form-the-openwallet-foundation">OpenWallet的基金會</a>，該基金會的目標是要支援互通性開源數位錢包的開發。</p> <p>OpenWallet基金會要開發一個安全且多用途的開源引擎，讓任何人都可以利用該引擎建構具互通性的錢包，透過在開源程式碼上的協作，替數位錢包技術配置最佳實踐，打造可互通、安全和隱私保護錢包的基礎。</p> <p>OpenWallet基金會的發起人是yes.com的執行長Daniel Goldscheider，他提到，透過OpenWallet基金會，他們推動讓各種數位錢包都能使用共同核心。OpenWallet基金會本身並不打算發布錢包，也不提供憑證或是創建任何新標準，該社群將專注於建構開源軟體引擎，其他組織和企業則可以運用該引擎，開發自家的數位錢包，這些錢包將支援身分、支付到數位金鑰等各種使用案例。</p> <p>數位錢包是一種線上支付工具，通常是在行動裝置上運作的應用程式，諸如Apple Pay和Google Pay等都是一種數位錢包，除了支付外，通常也能收藏入場券、會員卡、優惠券，甚至是身分證件和車鑰匙等憑證。</p> <p>Linux基金會執行董事Jim Zemllin則表示，他們相信數位錢包將會在未來的數位社會中發揮重要的作用，而開放軟體是互通性和安全性的關鍵，他們對OpenWallet基金會可發揮的潛力感到期待。</p> <p>該計畫已經獲得技術組織、公部門、產業垂直領域的公司以及標準化組織廣泛支持，包括Accenture、Avast、JCB和OpenID基金會等。這些組織將在OpenWallet基金會中，以安全性、隱私性和互通性的前提下，發展數位錢包促進商業變革，共同使OpenWallet成為數位錢包基礎設施開源基礎發展的濫觴。</p> </div></div></div>
2022/9/14 16:50作者李建興https://www.ithome.com.tw/news/153037
IBM公布最新Linux大型主機強調更省電、更不占空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-09-13-New-IBM-LinuxONE-Servers-Help-Reduce-Energy-Consumption-as-Clients-Increasingly-Make-Sustainability-a-Business-Priority" target="_blank">IBM本周公布</a>最新搭載Linux的大型主機系統LinuxONE Emperor 4，強調節能、減碳等環保效益。</p> <p>IBM推出執行Linux作業系統的LinuxONE大型主機，在原有執行z/OS的z主機系列，訴求偏好開源平臺的企業及開發人員。IBM於2015年首度推出LinuxONE Emperor是此類系統最頂級者。最新的Emperor 4主打高擴充性的Linux與Kubernetes平臺，可在一臺System 1的系統中支援數千項應用負載，強調可大幅減少能源耗用。</p> <p>和<a href="https://www.ithome.com.tw/news/150272" target="_blank">z16</a>一樣，最新LinuxONE Emperor 4也搭載Telum抗量子破解處理器，最高可配置200 Telum處理器核心，比第3代增加10核，某些配置下更可高出9%。最大型的LinuxONE Emperor 4總系統容量在某些情況下，比第3代高17%，而在頂級配置的機種中，甚至可比前一代高40%。LinuxONE Emperor 4的快取子系統經過翻新，每核心提供的虛擬L3及L4快取，比第3代LinuxONE大1.5倍。此外每drawer的記憶體頻寬也高出50%。Telum處理器還可為專門的應用負載，像是on-chip AI processing提供額外運算資源，以及專屬的加密處理器，可為大量資料提供加密。</p> <p><a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/2/877/ENUSZG22-0002/index.html" target="_blank">IBM強調</a>，LinuxONE Emperor 4可同時提供向上擴充（scale up）及橫向擴充（scale out）效益，它可在單一System 1系統大小提供相當於x86伺服器2000核心的運算能力及擴充性，支援數百項應用負載，客戶可依需求開啟核心。和x86機器環境相較，IBM強調最新LinuxONE Emperor 4能源耗用減少75%、空間占用減少50%，而每年碳排量也減少850多公噸。</p> <p>IBM LinuxONE Emperor 4將在本周（9/14）全球上市，IBM預定明年第1季再推出LinuxONE入門及中階系統。</p> <p>IBM今天同時宣布IBM Cloud推出以LinuxONE為基礎的Linux虛擬伺服器IBM Cloud Hyper Protect Virtual Servers，讓IBM Cloud租戶可全權控制加密資料、應用負載及加密金鑰，強調連IBM也無法存取。</p> </div></div></div>
2022/9/14 12:46作者林妍溱https://www.ithome.com.tw/news/153030
【資安日報】2022年9月13日，思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-3…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前，思科公布他們遭到勒索軟體駭客閰羅王入侵的事故，而現在該公司進一步指出，對方竊得的資料已經在暗網公開，但強調不會對營運造成影響。然而駭客聲稱取得了大量機密資料，雙方各執一詞。</p> <p>今年針對蘋果裝置的零時差漏洞攻擊不時傳出，且部分可能還同時影響行動裝置與電腦。蘋果在9月12日修補了CVE-2022-32917，而這已是他們今年修補的第8個零時差漏洞。</p> <p>阿爾巴尼亞因伊朗駭客癱瘓其公共設施而宣布與伊朗斷交，但事隔數日，阿爾巴尼亞傳出再度遭到相同駭客組織襲擊，使得此起事故的後續發展引起外界關注。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-confirms-yanluowang-ransomware-leaked-stolen-company-data/"><span style="color: rgb(0, 0, 0);">思科證實勒索軟體駭客閰羅王竊得內部資料並外洩</span></a></strong></h3> <p>思科遭到勒索軟體駭客組織閰羅王（Yanluowang）入侵事故有新發展，9月11日，該公司表示駭客已將竊得的資料發布到暗網，但強調這些外洩的檔案不會對業務造成影響。</p> <p>而對於思科的說法，駭客似乎不以為然──他們向資安新聞網站Bleeping Computer表示，該組織總共竊得了55 GB資料，內有數千個檔案，包含了機密文件、產品設計圖，以及原始碼。但針對駭客宣稱取得的資料內容，思科予以否認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/albania-suffers-renewed-cyberattack-blames-iran"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞傳出再度遭到伊朗駭客攻擊</span></a></strong></h3> <p>上週阿爾巴尼亞宣布與伊朗斷交，起因是伊朗駭客在7月大肆發動網路攻擊，癱瘓阿爾巴尼亞的政府機關與公共設施，但伊朗駭客並未就此停手。阿爾巴尼亞內政部指出，該國國家警察的電腦系統於9月9日遭到攻擊，根據初步調查的結果，攻擊者的身分就是在7月發動攻擊的駭客。阿爾巴尼亞當局為了避免此起事故的受害範圍擴大，已經關閉港口、機場，以及邊境管制站的電腦系統。對此，伊朗否認上述指控，認為阿爾巴尼亞的說法毫無根據。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/pypi-phishing-campaign-juiceledger-threat-actor-pivots-from-fake-apps-to-supply-chain-attacks/"><span style="color: rgb(0, 0, 0);">駭客鎖定PyPI套件開發者發動網釣攻擊，意圖在套件用戶電腦植入竊密軟體JuiceStealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SentinelLabs_Juice_Ledger_Graphic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SentinelLabs_Juice_Ledger_Graphic.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne與Checkmarx聯手，調查駭客組織JuiceLedger的攻擊行動，該組織自今年初，開始以冒牌的Python安裝程式散布竊密軟體JuiceStealer，但從8月開始，這些駭客改變了手法，他們鎖定PyPI套件的開發者發動網釣攻擊，研究人員確認至少有兩個熱門套件（下載次數皆超過70萬次）被植入惡意軟體JuiceStealer，並研判可能有數百個套件受到誤植域名（Typosquatting）攻擊。</p> <p>PyPI獲報後積極清查可能遭到惡意軟體入侵的套件，並呼籲套件維護者使用雙因素驗證。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/steam"><span style="color: rgb(0, 0, 0);">小心彈出式登入視窗也有假的！駭客透過假瀏覽器彈出式視窗的攻擊手法竊取Steam帳號</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Steam-BitB-image25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Steam-BitB-image25.png" style="width: 300px; float: right;" /></a>資安人員mr.d0x在今年3月揭露一種新的網釣手法，駭客在網釣網站裡，偽造Steam、微軟、Google等服務的假彈出式登入網頁，而這樣的手法已經出現實際的攻擊行動。</p> <p>資安業者Group-IB近期觀察到針對Steam玩家的攻擊行動，駭客以邀請玩家加入英雄聯盟、絕對武力（CS）、Dota 2、PUBG等遊戲隊伍的名義，引誘他們瀏覽以電玩競賽為幌子的釣魚網站，並要求玩家輸入帳密，進而挾持他們的Steam帳號，一旦玩家照著這些指示去做，帳號就會遭到駭客控制。</p> <p>研究人員指出，這些駭客的冒牌Steam登入畫面看似以彈出式視窗顯示，且具有合法的SSL憑證，但實際上，這個「視窗」是網釣網頁裡的物件。此外，駭客的登入網頁支援27種語言，還會要求玩家輸入雙因素驗證資料。研究人員將這樣的手法命名為Browser-in-the-Browser（BitB），並呼籲Steam玩家要提高警覺，切勿直接從他人提供的URL上提供相關帳密資料，而這類手法也可以透過嘗試調整彈出式視窗的位置、大小來識破。</p> <h3><strong style="font-size: 22px;"><a href="https://arcticwolf.com/resources/blog/lorenz-ransomware-chiseling-in/"><span style="color: rgb(0, 0, 0);">勒索軟體Lorenz透過IP電話系統入侵受害組織</span></a></strong></h3> <p>6月有研究人員發現Mitel MiVoice網路電話系統的重大漏洞CVE-2022-29499，被用於勒索軟體攻擊行動，近期又有駭客組織利用相同的漏洞發動攻擊。</p> <p>資安業者Arctic Wolf指出，勒索軟體駭客Lorenz利用CVE-2022-29499來入侵受害組織，然後等待接近一個月的時間，才進行後續的攻擊行動。駭客使用勒索軟體Lorenz加密VMware ESXi虛擬化平臺，也濫用BitLocker加密Windows電腦，並透過檔案傳輸軟體FileZilla將竊得的資料送到外部。研究人員指出，過程中這些駭客運用了寄生攻擊（LOLBins）手法，並利用零時差漏洞來逃避偵測，他們呼籲企業要重視VoIP等連網系統的安全。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-fixes-eighth-zero-day-used-to-hack-iphones-and-macs-this-year/"><span style="color: rgb(0, 0, 0);">蘋果修補iOS與macOS零時差漏洞CVE-2022-32917</span></a></strong></h3> <p>9月12日，蘋果發布了iOS 15.7、iPadOS 15.7、macOS Monterey 12.6、macOS Big Sur 11.7，當中修補了零時差漏洞CVE-2022-32917，此漏洞可允許駭客以作業系統核心的權限執行任意程式碼，且可能已被積極用於攻擊行動。此漏洞已是今年蘋果修補的第8個零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/09/psa-nearly-5-million-attacks-blocked-targeting-0-day-in-backupbuddy-plugin/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式BackupBuddy存在零時差漏洞，駭客已發動近5百萬次攻擊</span></a></strong></h3> <p>資安業者Wordfence指出，他們發現有人自8月26日開始，鎖定部署BackupBuddy外掛程式的WordPress網站發動攻擊，目標是上述外掛程式的漏洞CVE-2022-31474，駭客成功入侵網站後會試圖存取網站組態檔案、密碼檔案等敏感資料，該資安業者已攔截4,948,926次漏洞利用攻擊。</p> <p>前述漏洞存在於8.5.8.0至8.7.4.1的BackupBuddy，原因與本地端備份的功能有關，該漏洞允許未經身分驗證的使用者下載網站所有檔案，開發者於9月2日發布8.7.5版予以修補。研究人員指出該漏洞極為容易利用，呼籲網站管理者要儘速安裝新版外掛程式。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.reuters.com/technology/draft-eu-rules-target-smart-devices-with-cybersecurity-risks-2022-09-08/"><span style="color: rgb(0, 0, 0);">歐盟網路安全規範擬將智慧裝置納入列管範圍</span></a></strong></h3> <p>隨著許多家電都開始具備連網功能，這些設備的安全性也開始受到重視。根據路透社的報導，歐盟即將於9月13日提出的網路韌性法案（Cyber Resilience Act），將許多連接到網際網路的設備，如智慧冰箱、智慧電視，都納入管理範圍，並要求這些連網設備必須嚴格遵守此法案的規範，否則將會對製造商、代理商，甚至是經銷商罰款，或是產品禁止出口到歐盟國家。</p> <p>此法案指出，出售連網裝置的廠商必須評估產品的資安風險，並採取適當的措施來處理，一旦發現問題，要在24小時內通報歐盟網路安全機關ENISA。若是違反此法案的相關規定，製造商、經銷商、代理商都有可能面臨最高1,500萬歐元或年營業額2.5%的罰款。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-recovers-30-million-stolen-from-axie-infinity-by-lazarus-hackers/"><span style="color: rgb(0, 0, 0);">美國追回區塊鏈電玩Axie Infinity遭竊的3千萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/07/profiling-dev-0270-phosphorus-ransomware-operations/"><span style="color: rgb(0, 0, 0);">伊朗駭客濫用磁碟加密系統BitLocker來破壞受害電腦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cofense.com/blog/lampion-trojan-utilizes-new-delivery-through-cloud-based-sharing"><span style="color: rgb(0, 0, 0);">惡意軟體Lampion透過雲端檔案共享服務WeTransfer散布</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152998">【2022年9月12日】研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏在受害電腦記憶體內運作</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152950">【2022年9月8日】 Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152923">【2022年9月7日】殭屍網路MooBot鎖定D-Link路由器而來、中國指控美國國家安全局對當地大學發動大規模網路攻擊</a></strong></strong></strong></p> </div></div></div>
2022/9/13 17:45作者周峻佑https://www.ithome.com.tw/news/153016
深度學習框架PyTorch將交由獨立基金會治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Meta以及人工智慧社群合作創建的深度學習PyTorch框架，經過了6年的發展，現在要步入下一個階段，PyTorch專案將會交給由AMD、AWS、Google、Meta、微軟和Nvidia代表所共同組成的<a href="https://ai.facebook.com/blog/pytorch-foundation/">PyTorch基金會</a>治理，而該基金會隸屬於Linux基金會，目標是要繼續推動PyTorch發展，並且以中立且開源的生態系使PyTorch更加普及。</p> <p>PyTorch是在2016年，由一群Meta AI研究人員起始的專案，替他們自己的端到端流程，創建一個簡單且標準化的介面，並簡化人工智慧領域從研究到生產就緒，中間繁瑣且複雜的過程。研究團隊在嘗試了Theano和Torch等機器學習框架，以及Lua Torch、Chainer和HIPS Autograd等進階概念，最後決定以可用性為核心，創建這個名為PyTorch的框架。</p> <p>PyTorch的發展非常快速，僅兩年的時間，Meta就發布了PyTorch 1.0，整個專案擁有約2,400位貢獻者，已經有超過150,000的專案建構在PyTorch之上，Meta提到，PyTorch現在已經成為人工智慧研究的通用語言，像是NeurIPS和ICML等主要會議，都有超過80％的研究人員使用該框架。</p> <p>另外，Meta也利用PyTorch建構部分人工智慧領域重要的函式庫，像是Torchvision，就被用於大多數現代電腦視覺的研究。該框架不只在Meta被大量的使用，PyTorch同時也是AWS、微軟和OpenAI等眾多公司和研究機構建構人工智慧專案和產品的基礎。</p> <p>過去6年Meta持續耕耘推動PyTorch，而現在Meta認為是替PyTorch建立新家的時候，PyTorch專案會逐漸過渡到新成立的PyTorch基金會，該基金會將會成為非營利組織Linux基金會的一部分。PyTorch的組成包括AMD、AWS、Google、Meta、微軟和Nvidia，並且將會隨著時間發展，進一步擴大。</p> <p>董事會最初將會以PyTorch社群發展為重點，發布、功能和技術發展方向，仍交由維護者、提交者和貢獻者驅動，PyTorch基金會成立的目的，是要確保PyTorch在未來能持續由多元群體成員，以公開透明的方式做出決策。</p> <p>PyTorch基金會的四項原則，將保持開放、保持中立、保持公平，並且建立強大的技術身分。PyTorch的治理在轉移給基金會之後，Meta承諾轉移過程，不會對PyTorch程式碼和核心專案進行任何更改，開發人員運作模式也將保持不變，Meta在之後也會繼續對PyTorch進行投資，並繼續使用該框架為人工智慧研究和生產的主要框架。</p> </div></div></div>
2022/9/13 16:03作者李建興https://www.ithome.com.tw/news/153009
微軟策略性投資開源資安軟體業者Isovalent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/isovalent-raises-40m-series-b-as-cilium-and-ebpf-transform-cloud-native-service-connectivity-and-security-301619134.html" target="_blank">打造開源雲端安全解決方案Cilium的Isovalent上周宣布</a>，已完成由Thomvest Ventures主導的4,000萬美元B輪增資，迎來了新的股東，包括微軟旗下創投M12與開源實驗室Grafana Labs，而該公司的既有股東還包括Google及思科。</p> <p>Isovalent為一創立於2017年的瑞士資安業者，著重於研發網路、安全、Kubernetes與eBPF，認為市場需要一個新的網路暨安全層來提供原生的雲端可視性、安全性及控制能力，而且得以在不影響應用效能的情況下無縫部署，於是打造了Cilium開源專案。</p> <p>現有的Cilium Enterprise產品是個基於eBPF的解釋方案，Berkeley Packet Filter（BPF）為一類Unix系統的資料連結層介面，可用來分析網路流量，而eBPF則是Linux核心的BPF延伸版。Cilium Enterprise結合網路及運行時行為，再加上Kubernetes身分認證機制，可整合至企業所選擇的SIEM與紀錄聚合平臺，提供單一來源的雲端驗證、稽核、合規性監控與威脅偵測。</p> <p>Isovalent表示，Cilium已經成為許多公有雲供應商受管Kubernetes服務的預設工具，以提供安全及可觀察的雲端連結能力，包括Google Kubernetes Engine、Google Anthos與Amazon EKS Anywhere，而諸如Adobe、Palantir及IKEA也在評估Cilium Enterprise服務。</p> <p>Isovalent執行長Dan Wendlandt表示，Kubernetes本身並未提供具備安全、可觀察、可靠及效能偵測的網路層，使得Cilium快速受到金融、電子商務、電信與政府機構的採用。</p> <p>不過，對Isovalent而言，不管是Google、思科或微軟都屬於策略性投資者，這類的投資者看中的是對自家業務有幫助的新興技術，所投入的金額通常遠不及單純以獲利為目標的創投。</p> </div></div></div>
2022/9/12 22:25作者陳曉莉https://www.ithome.com.tw/news/153001
微軟無伺服器服務Azure Functions開始支援.NET 7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要嚐鮮.NET 7的開發者，現在已經可以<a href="https://devblogs.microsoft.com/dotnet/dotnet-7-comes-to-azure-functions/">在Azure Functions和Visual Studio 2022預覽版中試用</a>。Azure Functions v4開始提供.NET 7 Runtime，這對於那些想要用到最新.NET Runtime功能，在Azure建置無伺服器服務的開發者，都可以方便地以.NET 7開發程式，且不需要花費心力處理大規模部署，以及底層基礎設施配置。</p> <p>開發者需要使用Azure Functions所提供的.NET隔離工作程式模型（.NET Isolated Worker Model），才能夠使用.NET 7建構應用程式，該模型分離函式程序和Azure Functions Runtime，供用戶靈活使用不同版本.NET，還能方便地管理相依關係和服務註冊。</p> <p>當用戶想要從.NET 5 Azure Functions v3升級Azure Functions v4使用.NET 7 Runtime，就需要選擇隔離模型，除了Premium計畫，該預覽功能也在所有Windows和Linux計畫中提供。跟過去方法一樣，官方已經提供了核心工具，可在.NET 7 中創建新的Azure函式，但是開發者還需要使用Visual Studio 2022 17.4第一預覽版以上版本，才有支援.NET 7。</p> <p>Visual Studio工具簡化函式創建工作流程，並且提供本地開發和除錯功能，讓開發者可以快速地將.NET應用程式發布到Azure上，使無伺服器應用程式建置更容易，開發者只需要在Visual Studio中的應用程式點擊右鍵，就可以選擇將無伺服器應用程式發布到Azure上。</p> <p>預計年底要正式發布的.NET 7，現在仍在候選版本階段。.NET 7是微軟建基於.NET 6最新版本的跨平臺Runtime、函式庫和SDK工具，新功能包括更好地支援雲端原生場景，並且以容器簡化開發工作，還有包括程式碼生成、原生AOT編譯以及可觀察性等新功能，同時，.NET 7的一大亮點便是效能提升，在.NET 7更新的7,000個拉取請求中，有1,000個與效能相關，無論是在Windows 11還是Linux和macOS平臺，都可獲得類似的效能表現提升。</p> </div></div></div>
2022/9/12 22:34作者李建興https://www.ithome.com.tw/news/152996
勒索軟體新趨勢：以間歇加密來躲避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/crimeware-trends-ransomware-developers-turn-to-intermittent-encryption-to-evade-detection/" target="_blank">資安業者SentinelLabs近日披露</a>，採用間歇性加密手法已成為勒索軟體的最新趨勢，自LockFile於去年中成為首批採用間歇性加密的勒索軟體之後，包括BlackCat、Black Basta、PLAY、Agenda與Qyick都已加入此一陣營，並相信它將愈來愈受歡迎。</p> <p>所謂的間歇性加密（Intermittent Encryption）或部分加密，指的是只加密檔案中的一部分而非所有的內容，這一來可加速加密或是毀損資料的程序，二來還可欺騙仰賴統計分析來檢測勒索軟體的安全系統，而成為最近勒索軟體的熱門手法。</p> <p>此一手法的始祖之一為去年中出現的LockFile，它在檔案中依照每16位元組的間隔執行加密；接著是去年12月的BlackCat，BlackCat不僅是首個以Rust撰寫的勒索軟體，還支援眾多的加密模式，包括全部加密、僅加密檔案的前幾個位元組、間隔加密、先加密前幾個位元組再間隔加密，或是依照檔案大小自動判斷加密模式。</p> <p>此外，BlackCat還有一個最大化加密速度的設計，倘若被害系統導入AES硬碟加速功能，那麼它就會採用AES加密演算法。</p> <p>Black Basta則是在今年2月問世，此一以C++撰寫的勒索軟體同時支援Windows與Linux作業系統，在現身的前兩周就傳出至少有20個大型組織受駭，而且它也提供了自動化的間歇加密能力，可根據檔案大小來決定加密模式。今年6月才誕生的PLAY也是依照受害者的檔案大小自動判斷加密模式。</p> <p>而今年8月才出現的Agenda與Qyick都是以Golang語言撰寫，前者鎖定非洲及亞洲的醫療及教育機構展開攻擊，提供客製化的加密選項（下圖）；後者則僅供一次性購買，售價則根據買家的需求而從0.2到1.5個比特幣不等，賣家不僅宣稱Qyick的間歇性加密能力使其速度無與倫比，更保證若在購買的半年內被安全軟體偵測到，那麼將以2折至4折價提供更新的樣本。</p> <p class="rtecenter"><img alt="" src="https://899029.smushcdn.com/2131410/wp-content/uploads/2022/09/intermittent_encryption_2.jpg?lossy=0&strip=1&webp=0" style="width: 550px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／SentinelLabs</span></span></p> </div></div></div>
2022/9/12 22:50作者陳曉莉https://www.ithome.com.tw/news/153002
【資安日報】2022年9月12日，研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定協作平臺發動攻擊的情況不時傳出，多半是針對當中的1到2種弱點下手，但近期有研究人員揭露攻擊微軟Teams協作平臺的手法GIFShell，當中就一口氣運用7種弱點，可說相當罕見。</p> <p>研究人員在半年前發現惡意軟體Bumblebee，當時駭客運用其看似無害的特性，用於傳送其他惡意程式、勒索軟體等工具到受害電腦，但最近有資安業者發現，現在Bumblebee的行蹤更難被資安系統察覺，而可能難以防堵相關攻擊行動。</p> <p>北約組織在烏克蘭戰爭扮演了反對俄羅斯的主要軍事力量，但卻因為有成員國沒有妥善保管所持有的資料，而使得該軍事組織的機密面臨外洩的情況。葡萄牙武裝部隊參謀總部傳出遭到網路攻擊，而導致與北約有關的文件外洩，且因相關檔案流入暗網才發現遭駭。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@bobbyrsec/gifshell-covert-attack-chain-and-c2-utilizing-microsoft-teams-gifs-1618c4e64ed7"><span style="color: rgb(0, 0, 0);">研究人員揭露以GIF檔案攻擊微軟Teams的手法GIFShell</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_rrsX0TkEpTSaPnZRVvwJUw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_rrsX0TkEpTSaPnZRVvwJUw.png" style="width: 300px; float: right;" /></a>資安研究員Bobby Rauch揭露了鎖定微軟協作平臺Teams的攻擊手法「GIFShell」，當中串連此平臺的7項缺陷來達到目的，攻擊者與受害者之間並未直接傳送訊息，而是完全藉由發送惡意GIF檔案的訊息，以及微軟所屬的伺服器界外（Out of Bounds）尋找GIF檔案機制所形成的管道。研究人員藉由設置反向Shell，並將其用來在Teams傳送內有惡意指令的GIF檔案，最終濫用微軟的基礎設施來外洩資料。</p> <p>不過，由於攻擊者必須先說服受害者在電腦安裝惡意軟體，才能發動上述攻擊，微軟針對這項研究成果表示，因為沒有繞過該公司的安全邊界，他們不會進行修補作業，但有可能在未來調整產品的設計來改善相關缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/07/bumblebee-returns-with-new-infection-technique/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過後期滲透工具PowerSploit，埋藏在受害電腦記憶體內運作 </span></a></strong></h3> <p>駭客利用惡意軟體Bumblebee在受害電腦下載其他的作案工具，頻頻傳出相關事故，但這個惡意軟體的行蹤如今變得更加隱蔽，而使得資安系統可能更難以察覺其蹤跡。</p> <p>資安業者Cyble針對近期出現的Bumblebee進行分析，發現駭客先是發送帶有VHD虛擬磁碟檔案的垃圾郵件，對受害者進行網路釣魚攻擊，此VHD檔案的內容包含了Quote.lnk與imagedata.ps1，一旦受害者執行了LNK檔案，就會觸發後者的PowerShell指令碼，並於背景執行，然後解密另一個指令碼，最終透過後期滲透工具PowerSploit，將DLL程式庫載入PowerShell處理程序的方法來執行Bumblebee。</p> <p>研究人員指出，駭客利用PowerSploit的做法，使得Bumblebee完全在記憶體內執行，不會在硬碟留下任何痕跡，而能大幅減少被防毒軟體發現的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/classified-nato-documents-stolen-from-portugal-now-sold-on-darkweb/"><span style="color: rgb(0, 0, 0);">北約文件流入暗網，起因是葡萄牙軍方遭網路攻擊</span></a></strong></h3> <p>根據葡萄牙新聞網站Diario de Noticias的報導，該國的武裝部隊參謀總部（EMGFA）遭到網路攻擊，導致與北大西洋公約組織（NATO）有關的文件外洩，葡萄牙國家安全辦公室（GNS）、國家網路安全中心派出專案小組進行調查。</p> <p>不願具名的知情人士透露，外洩資料的內容極為嚴重（extreme gravity），將導致葡萄牙在北約組織的信譽出現危機。針對這起網路攻擊，知情人士表示，此為長期且無法偵測的攻擊行動，駭客透過程式化的機器人（Bot）來偵測特定類型的文件，並在作案的多個階段後清除跡證。由於EMGFA將相關資料存放於隔離網路的電腦，初步調查的結果出爐，這些機密疑似透過不安全的管道流出，很有可能是EMGFA違反了相關管理規範所致。</p> <p>這起事故被發現的原因，是美國威脅情報員發現有人在暗網兜售EMGFA的資料，透過駐里斯本大使館通報葡萄牙政府才曝光。在上述新聞網站報導此事後，在野黨要求政府做出說明，但在截稿之前，葡萄牙當局尚未發表聲明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/blog/apt42-charms-cons-compromises"><span style="color: rgb(0, 0, 0);">伊朗駭客組織APT42鎖定安卓手機部署間諜軟體從事網路間諜行動</span></a></strong></h3> <p>資安業者Mandiant揭露由伊朗資助的駭客組織APT42，該組織主要鎖定政府官員、記者、學者下手，自2015年開始，在14個國家發動逾30次攻擊行動。這些駭客針對攻擊目標竊取相關帳號資料，來從事網路間諜活動，但與許多國家級駭客不同之處，在於APT42往往鎖受害者的安卓手機，部署惡意軟體來進行跟蹤，此惡意軟體主要透過簡訊的方式，每天將受害者的手機通話內容、收到的訊息回傳給駭客。但除了手機，該組織有時候也會對Windows電腦發動攻擊。</p> <p>研究人員指出，APT42很可能與APT35相同，都是隸屬於伊朗革命護衛警察（IRGC）旗下的駭客組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-lausd-ransomware-attack-theft-of-500gb-of-data/"><span style="color: rgb(0, 0, 0);">美國洛山磯學區LAUSD遭勒索軟體攻擊，Vice Society宣稱竊得500 GB資料</span></a></strong></h3> <p>上週美國洛山磯學區（Los Angeles Unified School District，LAUSD）公布他們遭到勒索軟體攻擊，但攻擊者的身分為何？勒索軟體駭客組織Vice Society向資安新聞網站Bleeping Computer透露，此起資安事故是該組織所為，並宣稱竊得500 GB檔案。對此，LAUSD要求所有師生、員工在上述勒索軟體攻擊後，重設密碼，並打算導入雙因素驗證來強化安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mjib.gov.tw/news/Details/1/799"><span style="color: rgb(0, 0, 0);">知名旅遊業者KKday前經理涉嫌竊密供新東家運用，遭檢調約談</span></a></strong></h3> <p>法務部調查局於9月8日指出，有知名旅遊業者利用競爭對手的離職員工，收集此競爭業者的內部資訊與系統漏洞，並進行商業滲透及竊取營業秘密，來奪取競爭優勢。<a href="https://www.cna.com.tw/news/asoc/202209080313.aspx">根據中央社的報導</a>，這起事故是旅遊業者KKday進行內部資安稽核時發現，有不明人士非法登入，竊取合作廠商名單、商品明細、客戶流量分析等商業機密資料，進而向調查局資安工作站提出檢舉。經調查局與KKday清查內部系統連線記錄後發現，一名陳姓前經理在離職後，竊取相關帳密資料提供給新東家Klook使用，目的是存取相關營業秘密資料，檢方複訊後，諭令陳姓嫌犯以30萬元交保，全案朝向刑法妨害電腦使用罪及洩漏工商秘密罪偵辦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/crimeware-trends-ransomware-developers-turn-to-intermittent-encryption-to-evade-detection/"><span style="color: rgb(0, 0, 0);">為規避偵測，駭客改以間歇式手法加密受害電腦檔案</span></a></strong></h3> <p>勒索軟體駭客為了避免遭到資安系統的攔截，他們不約而同地調整了加密檔案的策略。資安業者SentinelOne表示，<a href="https://news.sophos.com/en-us/2021/08/27/lockfile-ransomwares-box-of-tricks-intermittent-encryption-and-evasion/">勒索軟體LockFile自2021年中</a>開始導入間歇式加密手法（Intermittent Encryption），每隔16個位元組執行一次檔案加密，而能更快完成加密流程，且得以躲過資安系統根據I/O讀寫的偵測機制。如今類似的手法也被BlackCat（Alphv）、Black Basta、Agenda、Play、Qyick等勒索軟體採用，並在地下論壇標榜相關功能來吸引買家。研究人員認為，這種新型態的加密檔案手法將會被更多駭客採用。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/albania-suffers-renewed-cyberattack-blames-iran"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞因伊朗駭客攻擊與伊朗斷交，疑再度遭到攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.google/threat-analysis-group/initial-access-broker-repurposing-techniques-in-targeted-attacks-against-ukraine/"><span style="color: rgb(0, 0, 0);">烏克蘭組織、歐洲NGO遭到前Conti成員發動網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-cobalt-strike-servers-ddosed-with-anti-russia-messages/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客的Cobalt Strike伺服器遭DDoS攻擊，攻擊者留下反對俄羅斯的訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/09/05/spyware-campaign-targeting-the-uyghur-community/"><span style="color: rgb(0, 0, 0);">駭客假借提供領導人傳記的名義，鎖定維吾爾社群散布安卓惡意軟體</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152950">【2022年9月8日】 Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152923">【2022年9月7日】殭屍網路MooBot鎖定D-Link路由器而來、中國指控美國國家安全局對當地大學發動大規模網路攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152907">【2022年9月6日】威聯通NAS的相片管理軟體漏洞遭勒索軟體DeadBolt鎖定、抖音與微信資料庫流入駭客論壇</a></strong></strong></strong></p> </div></div></div>
2022/9/12 16:40作者周峻佑https://www.ithome.com.tw/news/152998
北韓駭客集團利用Log4Shell漏洞攻擊美國、加拿大與日本的能源供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/2022/09/lazarus-three-rats.html" target="_blank">資安業者Cisco Talos近日揭露</a>，存在於Java紀錄框架Apache Log4j中的Log4Shell漏洞（CVE-2021-44228），持續成為駭客入侵組織的起始點，北韓駭客集團 Lazarus 從今年2月到7月間，鎖定了未於VMware Horizon中修補該漏洞的美國、加拿大與日本的能源供應商展開攻擊，以於這些組織的系統內植入其它惡意程式。</p> <p>2021年11月被公布的Log4Shell為一任意程式執行漏洞，其CVSS風險等級高達10，<a href="https://blogs.apache.org/security/entry/cve-2021-44228" target="_blank">大約有20個Apache專案</a>受到Log4Shell漏洞的影響，而因為採用Log4j或相關專案而受到波及的商業服務則不計其數，<a href="https://www.wiz.io/blog/10-days-later-enterprises-halfway-through-patching-log4shell" target="_blank">安永會計師事務所（Ernest & Young）曾估計</a>93%的雲端環境都存在風險，而VMware的虛擬桌面及程式管理平臺<a href="https://www.ithome.com.tw/news/151624" target="_blank">VMware Horizon也是眾多受害者之一</a>。</p> <p>Cisco Talos指出，Lazarus把VMware產品中的Log4Shell漏洞當作進入企業網路的初步通道，繼之再部署該集團所開發的惡意程式，以常駐於受害網路上，目的是為了竊取這些組織的機密資訊與智慧財產，以進行間諜活動或是支持北韓政府的目標。由於VMware Horizon是以管理權限執行，使得駭客完全不必擔心權限問題，並在進入受害網路之後，關閉系統的防毒元件。</p> <p>在這波鎖定加拿大、美國與日本能源供應商的攻擊活動中，Lazarus集團使用了3種客製化惡意程式，其中的兩款是已知的VSingle與YamaBot，以及新的MagicRAT。</p> <p><a href="https://blogs.jpcert.or.jp/en/2021/03/Lazarus_malware3.html" target="_blank">VSingle</a>早在去年3月就被公開，它是個HTTP機器人，能與遠端的C&C伺服器通訊，以自遠端執行任意程式，或是下載與執行外掛程式；<a href="https://blogs.jpcert.or.jp/en/2022/07/yamabot.html" target="_blank">YamaBot</a>則是個以Golang撰寫的惡意程式，原本鎖定Linux平臺，但亦有支援Windows的版本，兩個版本皆允許駭客自遠端執行命令，至於新發現的MagicRAT使用與VSingle及YamaBot不同的C&C伺服器，功能亦是用來維繫駭客對系統的存取能力。</p> <p>另有資安專家建議，在部署涉及Log4Shell的軟體漏洞時，最好先確定現有的漏洞尚未被駭客開採，再進行軟體更新，否則也許早就遭駭客滲透而不自知。</p> </div></div></div>
2022/9/12 12:03作者陳曉莉https://www.ithome.com.tw/news/152982
【資安週報】2022年9月5日到9月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週資安新聞中，勒索軟體DeadBolt再度鎖定攻擊威聯通NAS攻擊，該勒索軟體在今年1月就曾鎖定威聯通、華芸NAS設備攻擊，這次則利用相片管理套件Photo Station的漏洞入侵；去年出現的Mirai變種殭屍網路MooBot，資安業者Palo Alto Network表示，最近該殭屍網路病毒鎖定D-Link路由器攻擊，除了利用兩個早年修補的已知漏洞，還包括今年的CVE-2022-26258、CVE-2022-28958這兩個RCE漏洞入侵，對於相關漏洞修補，用戶需密切注意。此外，CVE-2022-3075零時差漏洞漏洞影響所有基於Chromium的瀏覽器，Google近期釋出修補並說明已有攻擊行動，用戶需儘速檢查是否更新。另外，資安業者趨勢科技指出，關於臺灣防疫補助有關的詐騙攻擊在8月呈現大幅增加的情形，比上半年問題嚴重受關注。</p> <p>在威脅態勢上，網釣攻擊套件服務的變化受關注。在<a href="https://www.ithome.com.tw/news/131608">2019</a>年，我們即看到有資安業者指出網釣即服務（Phishing-as-a-Service，PaaS）及網釣套件的盛行，讓業餘駭客也能以低成本取得可閃避安全偵測能力的網釣套件，並有8成7套件包含至少一項規避偵測的技術，近日又有資安業者揭露此類消息，揭露一個駭客組織打造、名為EvilProxy的網釣套件租用服務，當中不僅可針對攻擊蘋果、微軟、Google、臉書、推特等服務的帳號發動攻擊，還可對開發者常用的GitHub、PyPI、NPM帳號攻擊，此外，上月<a href="https://www.ithome.com.tw/news/151924">微軟曾揭露</a>可繞過多因素認證的大規模網釣活動，在這個EvilProxy服務也提供類似的能力，可將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，竊取使用者的憑證與期間Cookie，得以規避雙因素驗證並劫持受害者帳號。</p> <p>抖音、微信資料庫在9月5日傳出遭駭的消息，後續業者是否認，也有不少專家給出意見，情況究竟如何，後續消息亦受國際關注。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/152976#QNAP"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_QNAP.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#MooBot"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_FX.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#EvilProxy"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_EvilProxt.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#Shikitega"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_Shiktiega.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F5"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#FY"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F7"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F8"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F9"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F10"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></p> <h3> </h3> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/evilproxy-phishing-as-a-service-with-mfa-bypass-emerged-in-dark-web" id="EvilProxy" name="EvilProxy"><span style="color: rgb(0, 0, 0);">資安業者接露網釣攻擊套件租用服務EvilProxy，當中工具包能繞過知名服務的雙因素驗證</span></a></strong></h3> <p>過往駭客發動網釣攻擊很可能會利用網釣工具包，但前幾年就有相關的軟體工具訂閱服務，讓低階駭客無須具備相關技能就能發動攻擊，現在甚至還提供可繞過已經相當普及的雙因素驗證機制來發動攻擊。</p> <p>資安業者Resecurity揭露名為EvilProxy的網釣攻擊套件租賃服務（PhaaS），賣家宣稱他們的工具包不僅可用於攻擊蘋果、微軟、Google、臉書、推特的帳號，也能對開發者所使用的GitHub、PyPI、NPM帳號下手，來進行敵對式中間人攻擊（AiTM）──此服務提供了反向代理伺服器及釣魚網站，在受害者與伺服器進行身分驗證的過程中，竊得所需的Cookie，而使得駭客能在不需經過雙因素驗證的情況下，挾持受害者的帳號。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E8%AB%8B%E7%AB%8B%E5%8D%B3%E6%9B%B4%E6%96%B0-photo-station-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC" id="QNAP" name="QNAP"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt再度攻擊威聯通NAS，原因是相片管理套件漏洞的遭到利用</span></a></strong></h3> <p>9月3日威聯通（QNAP）發布資安通告，勒索軟體DeadBolt鎖定曝露於網際網路的NAS設備、透過相片管理套件Photo Station的漏洞入侵，該公司亦於同日緊急推出新版軟體修補。但與過往的攻擊事故不同的是，他們這次呼籲使用者最好停止使用Photo Station，並建議轉換至另一款軟體QuMagie。</p> <p>由於這起攻擊行動發生在週末，<a href="https://www.facebook.com/groups/771468783554131/">傳出不少用戶的NAS中招</a>，他們在網路上公開遭到勒索的畫面，但大家遇到的情況有所不同。例如，有些人已將NAS作業系統QTS升級到最新版本，但Photo Station可能還是採用存在漏洞的版本，NAS還是遭到入侵而受害。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/moobot-d-link-devices/" id="MooBot" name="MooBot"><span style="color: rgb(0, 0, 0);">殭屍網路MooBot鎖定D-Link路由器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/moobot-image-19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/moobot-image-19.png" style="width: 300px; float: right;" /></a>Mirai變種殭屍網路MooBot在去年出現，<a href="https://www.ithome.com.tw/news/148252#moobot">鎖定海康威視（Hikvision）網路視訊監控系統的漏洞發動攻擊</a>，但現在駭客已經轉移了目標。資安業者Palo Alto Networks揭露近期的MooBot攻擊行動，駭客針對D-Link路由器下手，並利用CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等漏洞來入侵設備。這些漏洞多半可被用於RCE攻擊，CVSS風險評分達到了9.8分至10分。</p> <p>研究人員指出，D-Link已經提供新版韌體予以修補（但該公司的網站上找不到相關公告資訊），用戶應儘速修補，以免成為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.trendmicro.com.tw/?p=73912" id="F3" name="F3"><span style="color: rgb(0, 0, 0);">臺灣防疫補助詐騙網址數量8月爆增，已超越上半年總和</span></a></strong></h3> <p>資安業者趨勢科技提出警告，他們發現臺灣與防疫補助有關的詐騙攻擊，在8月份出現大幅增加的現象，與之相關的網址數量較7月多出20倍，且超過今年上半總和。該公司指出，今年8月出現665種與防疫補助相關的變種假網域，如：gov[.]com、wsflsgov[.]tw等，他們呼籲民眾收到相關簡訊應優先檢查網址，並透過政府網站直接申請相關業務，才能減少受騙上當的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://english.kyodonews.net/news/2022/09/b0209467f263-japan-govt-website-hit-by-cyberattack-pro-russia-group-claims-role.html" id="F5" name="F5"><span style="color: rgb(0, 0, 0);">日本政府網站傳出遭俄羅斯駭客組織Killnet攻擊而癱瘓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnet-japan-gov.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnet-japan-gov.jpg" style="width: 200px; float: right;" /></a>俄羅斯駭客組織Killnet近半年來持續對聲援烏克蘭的歐洲國家發動DDoS攻擊，現在他們也將目標轉向了亞洲國家。根據共同社、NHK、日經新聞等日本媒體報導，日本政府的電子服務入口網站e-Gov約在9月6日下午4時30分，遭到DDoS攻擊而導致無法存取，直到深夜才恢復運作，當地的稅務入口網站eLTAX也同樣遭到癱瘓。Killnet隨後在Telegram頻道聲稱是他們所為，原因很可能是日本公開表態支持烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/shikitega-new-stealthy-malware-targeting-linux" id="Shikitega" name="Shikitega"><span style="color: rgb(0, 0, 0);">Linux惡意軟體Shikitega以多階段部署的方式來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shikitega.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shikitega.jpg" style="width: 300px; float: right;" /></a>鎖定Linux電腦的惡意軟體越來越常見，攻擊手法也變得日益複雜。例如，AT&T的資安研究團隊指出，他們發現名為Shikitega的Linux惡意軟體套件，駭客部署此惡意軟體的過程極為隱密、複雜，先是透過僅有370個位元組的ELF執行檔解出Shell Code並執行，然後存取C2下載名為Mettle的滲透測試工具Metasploit模組，最後Mettle下載另一個ELF檔案，並利用CVE-2021-4034（亦稱PwnKit）和CVE-2021-3493取得root權限，部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客還部署了5個Shell指令碼，讓挖礦軟體能持續在受害主機上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi" id="F8" name="F8"><span style="color: rgb(0, 0, 0);">俄羅斯大型計程車叫車系統Yandex Taxi遭駭，莫斯科交通大亂</span></a></strong></h3> <p>獨立新聞記者Russian Market在9月1日發現，俄羅斯大型計程車叫車系統Yandex Taxi疑似遭駭，攻擊者叫了大量計程車到莫斯科市的同一條街道上，使得當地交通大亂。Yandex也在3日向新聞網站The Verge證實確有此事，並表示當時街道壅塞現象約在1小時後得到疏通。</p> <p>而對於此起事故的攻擊者身分，駭客組織匿名者（Anonymous）聲稱是他們所為，並表示此次攻擊是與烏克蘭政府號召的IT軍隊聯手，為Operation Russia攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.documentcloud.org/documents/22275912-consumer-notification-template-vans_northface_combined-2022?responsive=1&title=1" id="F7" name="F7"><span style="color: rgb(0, 0, 0);">登山用品業者The North Face遭帳號填充攻擊，波及20萬用戶</span></a></strong></h3> <p>登山用品業者The North Face向用戶發出通知，表示他們的網站自7月26日至8月19日，遭到駭客大規模帳號填充（Credential Stuffing）攻擊，經調查後有194,905個帳號受到影響，駭客很可能存取客戶的姓名、購買記錄、收貨地址、電話號碼、XPLR Pass忠誠用戶回饋點數等，但不包含信用卡資料。他們呼籲客戶儘速變更密碼，並留意信用卡是否出現盜刷的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-denies-security-breach-after-hackers-leak-user-data-source-code/" id="F9" name="F9"><span style="color: rgb(0, 0, 0);">抖音、微信資料庫流入駭客論壇，曝露逾20億筆記錄</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為AgainstTheWest的駭客組織，他們成功入侵抖音（TikTok）和微信（WeChat）的資料庫，竊得790 GB的資料，內含20.5億筆記錄，類型涉及使用者資料、系統平臺分析數據、軟體程式碼，以及身分驗證的Token等。駭客表示，資料來自於阿里雲的執行個體（Instance）。對此，抖音的母公司字節跳動向Bleeping Computer表示並未遭駭，駭客取得的原始碼與該平臺無關；而微信沒有針對上述事故提出說明。</p> <p>駭客流出的資料是否來自上述兩家公司？研究人員Bob Diachenko認為是真實資料，但來源有待進一步調查；經營外洩密碼查詢網站Have I Been Pwned的資安人員Troy Hunt則指出，他看到了有效資料，但也有部分可能是測試用的假資料，並研判駭客應該是透過系統漏洞取得。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safebreach.com/resources/blog/remote-access-trojan-coderat/"><span style="color: rgb(0, 0, 0);">木馬程式CodeRAT鎖定使用特定語系的開發者，軟體與攻擊者之間透過即時通訊軟體的API傳遞命令</span></a></strong></h3> <p>資安業者SafeBreach揭露名為CodeRAT的木馬程式，駭客的目標主要是針對使用波斯語的軟體開發者而來。研究人員指出，伊朗駭客透過含有動態資料交換（DDE）漏洞的Word檔案來散布木馬程式，而文件內容主要與硬體設計程式語言、超高速積體電路硬體描述語言（VHDL）有關。</p> <p>此木馬程式具備約50種命令，不只能針對電子郵件、Office檔案、資料庫下手，也能監控受害者所使用的整合式開發環境（IDE）。此木馬程式與駭客之間的通訊方式較為特別，主要是採用Telegram機器人（Bot）的API，而非C2中繼站，有可能因此難以被研究人員發現。</p> <p>值得留意的是，當研究人員聯繫上開發CodeRAT的駭客後，對方竟將此木馬程式的原始碼上傳到GitHub，這樣一來很可能會有其他駭客用來打造新的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/irs-data-leak-exposes-personal-info-of-120-000-taxpayers/"><span style="color: rgb(0, 0, 0);">美國國稅局不慎披露12萬報稅民眾個資</span></a></strong></h3> <p>9月2日，美國國稅局表示，有部分應視為機密的990-T表單，不慎在免稅組織搜尋服務（TEOS）曝光。華爾街日報（WSJ）指出，這些敏感資料約影響12萬人，疑似在去年美國國稅局開始提供990-T的電子表單就出現，與程式撰寫有關，直到現在才被國稅局員工察覺，該單位開始進行補救，移除不應公開的文件，並重新提供TEOS服務。</p> <h3><strong style="font-size: 22px;"><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/"><span style="color: rgb(0, 0, 0);">三星美國分公司遭駭，客戶個資外洩</span></a></strong></h3> <p>三星於9月2日發布資安通告，他們的美國分公司內部網路環境在7月遭不明人士存取，導致客戶姓名、生日、聯絡方式等個資外洩，並強調社會安全碼（SSN）、金融卡資料則不受影響，不過，對於外洩資料筆數、受害人數，或是攻擊者入侵的管道，該公司並未揭露。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/intercontinental-hotels-group-cyberattack-disrupts-booking-systems/"><span style="color: rgb(0, 0, 0);">跨國飯店集團IHG傳出遭勒索軟體LockBit攻擊</span></a></strong></h3> <p>洲際飯店集團（InterContinental Hotels Group，IHG）於9月6日，向倫敦證交所通報資安事故，他們的IT系統出現「重大」受損，而影響線上訂房的情況，不過，該集團表示旗下飯店皆正常營運。而究竟這起事故為何？根據資安新聞網站Bleeping Computer的報導，很有可能是勒索軟體LockBit的攻擊行動，因為，這些駭客在上個月，宣稱攻擊了該集團位於土耳其的Holiday Inn飯店。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/damart-clothing-store-hit-by-hive-ransomware-2-million-demanded/"><span style="color: rgb(0, 0, 0);">法國服裝業者Damart遭勒索軟體Hive攻擊</span></a></strong></h3> <p>8月15日，法國服飾連鎖品牌Damart的網路商城暫停服務，迄今仍未恢復營運，亦出現影響實體門市運作──130家門市有92家於24日被迫暫停營業。根據當地新聞網站LeMagIT的報導，該公司遭到勒索軟體Hive攻擊，並被索討200萬美元贖金，且傳出駭客不打算讓母公司Damartex討價還價的情況。</p> <p>Damart對此表示，駭客成功入侵AD並加密部分系統，他們為了避免災情擴大，關閉部分系統而導致相關服務受到影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kryeministria.al/en/newsroom/videomesazh-i-kryeministrit-edi-rama/" id="F10" name="F10"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到伊朗網路攻擊，宣布與伊朗斷交</span></a></strong></h3> <p>網路攻擊很可能導致國家之間的關係產生變化，最近就出現有國家因基礎設施遭攻擊決定斷交的情況。9月7日，位於南歐的阿發巴尼亞宣布和伊朗斷交，並要求伊朗大使館相關人員24小時內離境，原因正是伊朗政府自7月15日起，主導大規模網路攻擊，摧毀阿爾巴尼亞的基礎設施，癱瘓公共服務，並竊取資料及通訊記錄，阿爾巴尼亞耗費近一個月才復原。對此，美國也譴責伊朗的網路攻擊行為，並號召其他國家共同追究此種駭客的責任。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/30/china-database-face-recognition/"><span style="color: rgb(0, 0, 0);">8億中國車牌、人臉資料曝露在公開網路上，為期數個月之久</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg" style="width: 300px; float: right;" /></a>繼6月有10億中國民眾個資出現於地下論壇，且內含犯罪記錄與就醫情形，引發全球關注，又有大量中國民眾的資料曝露在網際網路。根據新聞網站TechCrunch的報導，資安研究員Anurag Sen在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，曝露時間長達數個月，直到8月相關存取才被封鎖。內容包含了民眾臉部照片，以及在車道路口拍下的車牌號碼，都是高解析度的照片。其中，這些個資會被留存的原因，主要是民眾進入工地或辦公室洽公進行登記。</p> <p>此資料庫隸屬位於杭州的Xinai Electronics，資料量總共超過8億筆。研究人員表示，他還發現有人在資料庫留下勒索訊息，但不清楚資料是否有外流或是遭到破壞的情形。TechCrunch通報後，該公司已悄悄關閉存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/china-accuses-us-tens-thousands-cyberattacks"><span style="color: rgb(0, 0, 0);">中國指控美國國家安全局對當地大學發動大規模網路攻擊</span></a></strong></h3> <p>中國政府在背後資助的駭客組織對全球發動攻擊不時傳出，但如今該國組織傳出遭到美國政府入侵的情況。<a href="http://english.scio.gov.cn/pressroom/2022-09/06/content_78406151.htm">中國外交部於9月5日指出</a>，根據中國國家計算機病毒應急響應中心（CVERC）與當地IT業者奇虎360的調查，美國國家安全局（NSA）旗下的「特定入侵行動辦公室（TAO）」，透過釣魚郵件對中國西北工業大學的師生發動攻擊，並指出有13名美方人員涉及此次事故。TAO使用41種武器進行上千次攻擊，意圖竊取該校的核心技術與相關資料。對此，美國駐北京大使館以及NSA皆尚未公開提出說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/06/worok-big-picture/"><span style="color: rgb(0, 0, 0);">駭客組織Worok鎖定亞洲、非洲知名企業發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Worok-compromise-chains.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Worok-compromise-chains.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露名為Worok的駭客組織，他們攻擊範圍橫跨亞洲與非洲，但約自今年2月開始，該組織將中亞的能源公司，以及東南亞的公部門實體視為主要目標。</p> <p>這些駭客利用ProxyShell漏洞攻擊受害企業的Exchange伺服器，並植入Web Shell來持續在網路環境進行後續行動，接著，駭客利用Mimikatz、EarthWorm、ReGeorg、NBTscan進行偵察，然後部署PowerShell後門程式PowHeartBeat，以及惡意程式載入器PNGLoad。根據Worok發動攻擊的時間，以及所使用的工具，研究人員認為這些駭客很可能與中國的TA428有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://achieve.lausd.net/site/default.aspx?PageType=3&DomainID=4&ModuleInstanceID=4466&ViewID=6446EE88-D30C-497E-9316-3F8874B3E108&RenderLoc=0&FlexDataID=122768&PageID=1"><span style="color: rgb(0, 0, 0);">美國洛杉磯學區LAUSD遭勒索軟體攻擊</span></a></strong></h3> <p>9月5日，美國第二大學區洛杉磯聯合學區（LAUSD）表示，他們在上週末偵測到IT系統出現不尋常的活動，經確認後是一場勒索軟體攻擊。LAUSD表示，他們旗下的學校師生，有可能會無法使用電子郵件及部分應用系統，但該學區的學校緊急安全系統，或是員工醫療保健系統則不受影響。至於攻擊者的身分，以及是否有資料遭竊？LAUSD沒有說明。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/gaming-related-cyberthreats-2021-2022/107346/"><span style="color: rgb(0, 0, 0);">駭客偏好以電玩遊戲Minecraft、Roblox埋藏惡意軟體</span></a></strong></h3> <p>資安業者卡巴斯基指出，近年來駭客常假借熱門遊戲的名義，以提供遊戲主程式、破解軟體、作弊工具來發動攻擊，進而散布惡意程式，進而在受害電腦上竊密，或是進行挖礦。其中駭客主要針對的遊戲族群，大多是Minecraft與Roblox的玩家，且無論是透過電腦或手機進行遊戲用戶都有可能成為目標，一旦下載來路不明的軟體，玩家的電腦或手機就會被植入惡意軟體。</p> <p>根據研究人員的統計，從2021年7月1月到今年6月底，總計有超過9萬個以遊戲為名稱的檔案含有惡意軟體或垃圾程式，且全球至少有超過38萬名玩家曾遭遇相關威脅。他們呼籲遊戲玩家要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/09/lazarus-magicrat.html"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用MagicRAT木馬發動攻擊</span></a></strong></h3> <p>思科揭露北韓駭客組織Lazarus近期使用的新木馬程式MagicRAT，駭客鎖定曝露於網際網路的遠距工作平臺VMware Horizon伺服器，入侵受害組織後，再植入此木馬程式，目的是為了能持續在網路環境當中活動。</p> <p>研究人員指出，MagicRAT透過Qt應用程式框架打造而成，使得研究人員分析更加困難，資安系統的機器學習或是啟發式檢測機制也難以察覺其攻擊意圖。此外，該木馬程式也可能從C2伺服器下載副檔名為GIF的檔案，但實際上是網路連接埠掃描工具。</p> <h3> </h3> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/google-chrome-emergency-update-fixes-new-zero-day-used-in-attacks/" id="FY" name="FY"><span style="color: rgb(0, 0, 0);">Chrome、Edge瀏覽器已遭用於攻擊行動的漏洞獲得修補</span></a></strong></h3> <p>Google於9月2日針對Chrome電腦版發布105.0.5195.102版更新，當中主要修補了CVE-2022-3075，此漏洞在8月30日獲報，與Mojo程式庫的資料驗證不充分有關，且已經出現攻擊行動。</p> <p>由於這項漏洞很可能影響所有採用Chromium打造的網頁瀏覽器，Edge、Brave、Vivaldi等瀏覽器已發布對應的更新檔案來緩解漏洞。CVE-2022-3075是今年Chrome的第六個零時差漏洞。</p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/tw/zh/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補NAS設備的重大RCE漏洞</span></a></strong></h3> <p>9月6日，Zxyel針對旗下的NAS設備NAS326、NAS540、NAS542發布資安通告，該公司修補了重大RCE漏洞CVE-2022-34747，CVSS風險評分達9.8分。這項漏洞存在於NAS裡的特定二進位檔案，與格式化字串（Format String）有關，一旦攻擊者加以利用，就有可能藉由偽造的UDP封包，在未經身分驗證的情況下，發動遠端執行任意程式碼攻擊。該公司呼籲用戶應儘速安裝新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-falsely-detects-win32-hivezy-in-google-chrome-electron-apps/"><span style="color: rgb(0, 0, 0);">微軟防毒軟體誤將Chrome、Edge瀏覽器當作病毒</span></a></strong></h3> <p>根據科技部落格BornCity的報導，微軟於9月4日發布的防毒軟體Microsoft Defender威脅情報更新檔1.373.1508.0版，竟將同廠牌的瀏覽器Edge識別為惡意軟體，並標示為Behavior:Win32/Hive.ZY威脅。</p> <p>經過使用者互相討論後，發現Chrome與以Chromium為基礎的瀏覽器，以及採用Electron應用程式框架開發的軟體，如WhatsApp、Spotify、Discord，都被微軟的威脅情報視為惡意程式。微軟已發布新的威脅情報定義檔修補上述誤判現象。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/10930/6588209"><span style="color: rgb(0, 0, 0);">數位發展部編列1.3億推動國防資安國產化</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3146465/nsa-cisa-odni-release-software-supply-chain-guidance-for-developers/"><span style="color: rgb(0, 0, 0);">美國針對軟體開發者提供軟體供應鏈安全指南</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://koreajoongangdaily.joins.com/2022/09/04/entertainment/television/Korea-Hacking-The-Ministry-of-Sports-Culture-and-Tourism/20220904124247692.html"><span style="color: rgb(0, 0, 0);">南韓政府官方的YouTube頻道Imagine Your Korea遭駭，變成加密貨幣詐騙內容直播</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-claims-attack-on-italian-energy-agency/"><span style="color: rgb(0, 0, 0);">義大利再生能源業者GSE遭到BlackCat攻擊，外洩700 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/"><span style="color: rgb(0, 0, 0);">美式足球隊2月遭勒索軟體BlackByte攻擊調查結果出爐，逾2萬人個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/defending-the-expanding-attack-surface-trend-micro-2022-midyear-cybersecurity-report"><span style="color: rgb(0, 0, 0);">鎖定Linux作業系統的惡意軟體攻擊呈現顯著增加的情況</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/zyxel-releases-new-nas-firmware-to-fix-critical-rce-vulnerability/"><span style="color: rgb(0, 0, 0);">Zyxel修補NAS設備的重大RCE漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/intercontinental-hotels-group-cyberattack-disrupts-booking-systems/"><span style="color: rgb(0, 0, 0);">跨國飯店集團IHG傳出遭勒索軟體LockBit攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://fortbridge.co.uk/research/a-csrf-vulnerability-in-the-popular-csurf-package/"><span style="color: rgb(0, 0, 0);">NPM套件csurf存在跨站偽造請求漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-won-t-fix-authentication-bypass-zero-day-in-eol-routers/"><span style="color: rgb(0, 0, 0);">思科路由器存在身分驗證旁路漏洞，但該廠商表示已超出支援期限而不予修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hp-fixes-severe-bug-in-pre-installed-support-assistant-tool/"><span style="color: rgb(0, 0, 0);">HP修補個人電腦技術支援軟體的DLL挾持漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://ssu.gov.ua/en/novyny/sbu-zablokuvala-shche-dvi-botofermy-yaki-rozghanialy-destruktyvnyi-kontent-v-ukraini"><span style="color: rgb(0, 0, 0);">烏克蘭再度破獲俄羅斯設置的機器人農場</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/22/i/play-ransomware-s-attack-playbook-unmasks-it-as-another-hive-aff.html"><span style="color: rgb(0, 0, 0);">出現新的勒索軟體Play針對拉丁美洲而來，濫用AdFind刺探受害組織AD環境</span></a></span></strong></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/152976"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 600px;" /></a></p> </div></div></div>
2022/9/11 13:42作者羅正漢https://www.ithome.com.tw/news/152976
【資安日報】2022年9月8日，Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用M…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Linux電腦的攻擊行動可說是越來越頻繁，同時駭客也開始運用了一些過往較為少見的方法，而有可能讓資安系統難以察覺有異。像是名為Shikitega的惡意軟體，駭客就利用了至少4到5個步驟來執行，但目的卻是利用受害電腦進行挖礦。研究人員認為，這類手法很有可能未來會被用於散布更危險的惡意軟體。</p> <p>北韓駭客Lazarus所使用的木馬程式MagicRAT也引起關注。研究人員指出，此木馬程式採用了合法的應用程式開發框架，而使得資安人員難以發現其攻擊特徵。</p> <p>網路攻擊很可能影響國家之間的關係！阿爾巴尼亞因為伊朗政府指使的駭客對其關鍵基礎設施發動攻擊，憤而宣布斷交。而這很可能是因為網路攻擊行動導致斷交的首例。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/shikitega-new-stealthy-malware-targeting-linux"><span style="color: rgb(0, 0, 0);">Linux惡意軟體Shikitega以多階段部署的方式來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shikitega.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shikitega.jpg" style="width: 300px; float: right;" /></a>鎖定Linux電腦的惡意軟體越來越常見，攻擊手法也變得日益複雜。例如，AT&T的資安研究團隊指出，他們發現名為Shikitega的Linux惡意軟體套件，駭客部署此惡意軟體的過程極為隱密、複雜，先是透過僅有370個位元組的ELF執行檔解出Shell Code並執行，然後存取C2下載名為Mettle的滲透測試工具Metasploit模組，最後Mettle下載另一個ELF檔案，並利用CVE-2021-4034（亦稱PwnKit）和CVE-2021-3493取得root權限，部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客還部署了5個Shell指令碼，讓挖礦軟體能持續在受害主機上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/09/lazarus-magicrat.html"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用MagicRAT木馬發動攻擊</span></a></strong></h3> <p>思科揭露北韓駭客組織Lazarus近期使用的新木馬程式MagicRAT，駭客鎖定曝露於網際網路的遠距工作平臺VMware Horizon伺服器，入侵受害組織後，再植入此木馬程式，目的是為了能持續在網路環境當中活動。</p> <p>研究人員指出，MagicRAT透過Qt應用程式框架打造而成，使得研究人員分析更加困難，資安系統的機器學習或是啟發式檢測機制也難以察覺其攻擊意圖。此外，該木馬程式也可能從C2伺服器下載副檔名為GIF的檔案，但實際上是網路連接埠掃描工具。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kryeministria.al/en/newsroom/videomesazh-i-kryeministrit-edi-rama/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到伊朗網路攻擊，宣布與伊朗斷交</span></a></strong></h3> <p>網路攻擊很可能導致國家之間的關係產生變化，最近就出現有國家因基礎設施遭攻擊決定斷交的情況。9月7日，位於南歐的阿發巴尼亞宣布和伊朗斷交，並要求伊朗大使館相關人員24小時內離境，原因正是伊朗政府自7月15日起，主導大規模網路攻擊，摧毀阿爾巴尼亞的基礎設施，癱瘓公共服務，並竊取資料及通訊記錄，阿爾巴尼亞耗費近一個月才復原。對此，美國也譴責伊朗的網路攻擊行為，並號召其他國家共同追究此種駭客的責任。</p> <h3><strong style="font-size: 22px;"><a href="https://www.documentcloud.org/documents/22275912-consumer-notification-template-vans_northface_combined-2022?responsive=1&title=1"><span style="color: rgb(0, 0, 0);">登山用品業者The North Face遭帳號填充攻擊，波及20萬用戶</span></a></strong></h3> <p>登山用品業者The North Face向用戶發出通知，表示他們的網站自7月26日至8月19日，遭到駭客大規模帳號填充（Credential Stuffing）攻擊，經調查後有194,905個帳號受到影響，駭客很可能存取客戶的姓名、購買記錄、收貨地址、電話號碼、XPLR Pass忠誠用戶回饋點數等，但不包含信用卡資料。他們呼籲客戶儘速變更密碼，並留意信用卡是否出現盜刷的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/intercontinental-hotels-group-cyberattack-disrupts-booking-systems/"><span style="color: rgb(0, 0, 0);">跨國飯店集團IHG傳出遭勒索軟體LockBit攻擊</span></a></strong></h3> <p>洲際飯店集團（InterContinental Hotels Group，IHG）於9月6日，向倫敦證交所通報資安事故，他們的IT系統出現「重大」受損，而影響線上訂房的情況，不過，該集團表示旗下飯店皆正常營運。而究竟這起事故為何？根據資安新聞網站Bleeping Computer的報導，很有可能是勒索軟體LockBit的攻擊行動，因為，這些駭客在上個月，宣稱攻擊了該集團位於土耳其的Holiday Inn飯店。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/tw/zh/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補NAS設備的重大RCE漏洞</span></a></strong></h3> <p>9月6日，Zxyel針對旗下的NAS設備NAS326、NAS540、NAS542發布資安通告，該公司修補了重大RCE漏洞CVE-2022-34747，CVSS風險評分達9.8分。這項漏洞存在於NAS裡的特定二進位檔案，與格式化字串（Format String）有關，一旦攻擊者加以利用，就有可能藉由偽造的UDP封包，在未經身分驗證的情況下，發動遠端執行任意程式碼攻擊。該公司呼籲用戶應儘速安裝新版韌體。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-won-t-fix-authentication-bypass-zero-day-in-eol-routers/"><span style="color: rgb(0, 0, 0);">思科路由器存在身分驗證旁路漏洞，但該廠商表示已超出支援期限而不予修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hp-fixes-severe-bug-in-pre-installed-support-assistant-tool/"><span style="color: rgb(0, 0, 0);">HP修補個人電腦技術支援軟體的DLL挾持漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://ssu.gov.ua/en/novyny/sbu-zablokuvala-shche-dvi-botofermy-yaki-rozghanialy-destruktyvnyi-kontent-v-ukraini"><span style="color: rgb(0, 0, 0);">烏克蘭再度破獲俄羅斯設置的機器人農場</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/22/i/play-ransomware-s-attack-playbook-unmasks-it-as-another-hive-aff.html"><span style="color: rgb(0, 0, 0);">出現新的勒索軟體Play針對拉丁美洲而來，濫用AdFind刺探受害組織AD環境</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152923">【2022年9月7日】殭屍網路MooBot鎖定D-Link路由器而來、中國指控美國國家安全局對當地大學發動大規模網路攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152907">【2022年9月6日】威聯通NAS的相片管理軟體漏洞遭勒索軟體DeadBolt鎖定、抖音與微信資料庫流入駭客論壇</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月5日】 8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞</a></strong></strong></strong></p> </div></div></div>
2022/9/8 16:34作者周峻佑https://www.ithome.com.tw/news/152950
VS Code 1.71改進合併編輯器並加入實驗性Fish Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新版本<a href="https://code.visualstudio.com/updates/v1_71#_markdown-language-server">VS Code 1.71</a>整體來說並沒有重大功能更新，但是微軟進行許多UI和控制的調整，目的是要讓用戶的開發工作更順暢，同時也實驗性整合好用的Fish Shell，Linux和macOS用戶將能夠用到這個設計更現代的命令列殼層。</p> <p>微軟改進開發者解決衝突的操作方法，現在於存在衝突的檔案，VS Code將會自動顯示合併編輯器按鈕，點擊之後，開發者的操作介面，就會從原本的文字編輯器切換到合併編輯器。除此之外，微軟還微調了一些解決衝突時的功能與限制，官方提到，在這個版本他們把焦點放在合併編輯器最重要的UX問題，並且修復了諸多已知問題。</p> <p>過去VS Code僅支援FLAC編解碼器，但現在還加入了FFmpeg共享函式庫，該函式庫可以支援包括Flac、H.264、MP3和Ogg等編碼，這將讓開發者可以在筆記本或是擴充套件，播放嵌入的音訊和影片。</p> <p>VS Code 1.71還整合Fish Shell，這是一個更為現代，支援Linux和macOS的命令列殼層，整體來說對使用者更為友善，介面不只有黑白，Fish Shell還會透過顏色來提示用戶輸入指令錯誤，並且提供命令建議。Windows的開發者也有新玩具，Windows殼層現在提供Git bash，由於這與Fish Shell一樣同樣為實驗性功能，因此需要使用者手動安裝。</p> <p>另外，在VS Code 1.71中Sticky Scroll已經成為正式功能，這種頁面捲動方式常被應用在網站中，在使用者捲動頁面的時候，把Logo或是選單列等內容留置在同一畫面中，來增加頁面捲動的層次感，而VS Code中的Sticky Scroll功能，則是會將當前的範疇（Scope）留在視埠（Viewport）的上方，在開發者瀏覽程式碼的時候，能夠更清楚的分辨函式中的程式碼。雖然這個功能已經脫離實驗性功能，但仍需要開發者手動啟用，並且可以設定Sticky Scroll的行數。</p> <p class="rtecenter"><img alt="" src="https://code.visualstudio.com/assets/updates/1_71/sticky-scroll-ctrlclick.gif" style="width: 580px; height: 321px;" /></p> <p>微軟改進VS Code的Code Action控制UI，現在Code Action將會提供客製化控制，讓用戶可以更快速地找到需要的Code Action選項，同時VS Code也能夠顯示更多額外資訊，像是當用戶將滑鼠懸停在停用的Code Action選項上時，便會看到無法使用的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/code-action-widget.png" style="width: 580px; height: 425px;" /></p> <p>VS Code中的Markdown支援也獲得升級，微軟已經重新實作功能更加齊全的Markdown語言伺服器，能夠提供包括尋找所有參照、重新命名編碼符號和偵測損壞連結等程式語言功能。</p> </div></div></div>
2022/9/8 09:30作者李建興https://www.ithome.com.tw/news/152927
【資安日報】2022年9月6日，威聯通NAS的相片管理軟體漏洞遭勒索軟體DeadBolt鎖定、抖音與微信資料庫流入駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定威聯通NAS的勒索軟體攻擊再度出現！該公司的資安團隊在上週末偵測到勒索軟體DeadBolt的攻擊行動，並指出駭客是針對相片管理軟體Photo Station的漏洞下手而得逞，緊急推出修補程式因應。針對該廠牌NAS的DeadBolt攻擊行動，今年已出現數起，但值得留意的是，這次威聯通罕見地呼籲用戶停止使用Photo Station軟體。</p> <p>抖音、微信驚傳存放於公有雲的資料出現大規模外洩事故，有人將聲稱竊得逾20億筆記錄的資料，但究竟駭客如何取得仍不得而知。</p> <p>鎖定開發者的木馬程式攻擊也值得留意。研究人員發現名為CodeRAT的惡意軟體，該木馬程式不只能針對電子郵件、Office檔案下手，還可對於多種整合式開發環境發動攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E8%AB%8B%E7%AB%8B%E5%8D%B3%E6%9B%B4%E6%96%B0-photo-station-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt再度攻擊威聯通NAS，原因是相片管理套件漏洞的遭到利用</span></a></strong></h3> <p>9月3日威聯通（QNAP）發布資安通告，勒索軟體DeadBolt鎖定曝露於網際網路的NAS設備、透過相片管理套件Photo Station的漏洞入侵，該公司亦於同日緊急推出新版軟體修補。但與過往的攻擊事故不同的是，他們這次呼籲使用者最好停止使用Photo Station，並建議轉換至另一款軟體QuMagie。</p> <p>由於這起攻擊行動發生在週末，<a href="https://www.facebook.com/groups/771468783554131/">傳出不少用戶的NAS中招</a>，他們在網路上公開遭到勒索的畫面，但大家遇到的情況有所不同。例如，有些人已將NAS作業系統QTS升級到最新版本，但Photo Station可能還是採用存在漏洞的版本，NAS還是遭到入侵而受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-denies-security-breach-after-hackers-leak-user-data-source-code/"><span style="color: rgb(0, 0, 0);">抖音、微信資料庫流入駭客論壇，曝露逾20億筆記錄</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為AgainstTheWest的駭客組織，他們成功入侵抖音（TikTok）和微信（WeChat）的資料庫，竊得790 GB的資料，內含20.5億筆記錄，類型涉及使用者資料、系統平臺分析數據、軟體程式碼，以及身分驗證的Token等。駭客表示，資料來自於阿里雲的執行個體（Instance）。對此，抖音的母公司字節跳動向Bleeping Computer表示並未遭駭，駭客取得的原始碼與該平臺無關；而微信沒有針對上述事故提出說明。</p> <p>駭客流出的資料是否來自上述兩家公司？研究人員Bob Diachenko認為是真實資料，但來源有待進一步調查；經營外洩密碼查詢網站Have I Been Pwned的資安人員Troy Hunt則指出，他看到了有效資料，但也有部分可能是測試用的假資料，並研判駭客應該是透過系統漏洞取得。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safebreach.com/resources/blog/remote-access-trojan-coderat/"><span style="color: rgb(0, 0, 0);">木馬程式CodeRAT鎖定使用特定語系的開發者，軟體與攻擊者之間透過即時通訊軟體的API傳遞命令</span></a></strong></h3> <p>資安業者SafeBreach揭露名為CodeRAT的木馬程式，駭客的目標主要是針對使用波斯語的軟體開發者而來。研究人員指出，伊朗駭客透過含有動態資料交換（DDE）漏洞的Word檔案來散布木馬程式，而文件內容主要與硬體設計程式語言、超高速積體電路硬體描述語言（VHDL）有關。</p> <p>此木馬程式具備約50種命令，不只能針對電子郵件、Office檔案、資料庫下手，也能監控受害者所使用的整合式開發環境（IDE）。此木馬程式與駭客之間的通訊方式較為特別，主要是採用Telegram機器人（Bot）的API，而非C2中繼站，有可能因此難以被研究人員發現。</p> <p>值得留意的是，當研究人員聯繫上開發CodeRAT的駭客後，對方竟將此木馬程式的原始碼上傳到GitHub，這樣一來很可能會有其他駭客用來打造新的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/evilproxy-phishing-as-a-service-with-mfa-bypass-emerged-in-dark-web"><span style="color: rgb(0, 0, 0);">網釣攻擊相關工具也能租用！有人提供網釣攻擊套件租用服務EvilProxy，當中的工具包能繞過知名服務的雙因素驗證</span></a></strong></h3> <p>過往駭客發動網釣攻擊很可能會利用網釣工具包，但現在有相關的軟體工具訂閱服務，駭客無須具備相關技能，就可繞過已經相當普及的雙因素驗證機制來發動攻擊。</p> <p>資安業者Resecurity揭露名為EvilProxy的網釣攻擊套件租賃服務（PhaaS），賣家宣稱他們的工具包不僅可用於攻擊蘋果、微軟、Google、臉書、推特的帳號，也能對開發者所使用的GitHub、PyPI、NPM帳號下手，來進行敵對式中間人攻擊（AiTM）──此服務提供了反向代理伺服器及釣魚網站，在受害者與伺服器進行身分驗證的過程中，竊得所需的Cookie，而使得駭客能在不需經過雙因素驗證的情況下，挾持受害者的帳號。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/damart-clothing-store-hit-by-hive-ransomware-2-million-demanded/"><span style="color: rgb(0, 0, 0);">法國服裝業者Damart遭勒索軟體Hive攻擊</span></a></strong></h3> <p>8月15日，法國服飾連鎖品牌Damart的網路商城暫停服務，迄今仍未恢復營運，亦出現影響實體門市運作──130家門市有92家於24日被迫暫停營業。根據當地新聞網站LeMagIT的報導，該公司遭到勒索軟體Hive攻擊，並被索討200萬美元贖金，且傳出駭客不打算讓母公司Damartex討價還價的情況。</p> <p>Damart對此表示，駭客成功入侵AD並加密部分系統，他們為了避免災情擴大，關閉部分系統而導致相關服務受到影響。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-claims-attack-on-italian-energy-agency/"><span style="color: rgb(0, 0, 0);">義大利再生能源業者GSE遭到BlackCat攻擊，外洩700 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/"><span style="color: rgb(0, 0, 0);">美式足球隊2月遭勒索軟體BlackByte攻擊調查結果出爐，逾2萬人個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/defending-the-expanding-attack-surface-trend-micro-2022-midyear-cybersecurity-report"><span style="color: rgb(0, 0, 0);">鎖定Linux作業系統的惡意軟體攻擊呈現顯著增加的情況</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月5日】 8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月2日】上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram用戶發動網釣攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> </div></div></div>
2022/9/6 16:45作者周峻佑https://www.ithome.com.tw/news/152907
【資安日報】2022年9月5日，8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個週末有許多資料外洩事故發生，其中針對中國的大量資料曝光情況，相當引人注目，這些資料包含了人臉與車牌的高解析度照片，數量達到了8億筆，僅次於6月10億中國民眾資料庫外流的規模。</p> <p>疫情嚴重影響到民眾生計，不少國家政府也針對這樣情況提供補助，而在臺灣，以防疫補助為幌子的詐騙行動在8月變得極為猖獗，值得留意的是，資安業者指出，駭客用於詐騙的網域多半都有gov、gov.tw的字串，而可能讓民眾以為就是隸屬政府的網域，降低戒心填寫相關資料上當。這使得該公司提出識別真假網域的方法。</p> <p>Google於上週末修補了電腦版瀏覽器的零時差漏洞CVE-2022-3075，其他基於Chromium平臺開發的瀏覽器也可能會受到影響，使用者應留意相關公布並儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/30/china-database-face-recognition/"><span style="color: rgb(0, 0, 0);">8億中國車牌、人臉資料曝露在公開網路上，為期數個月之久</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg" style="width: 300px; float: right;" /></a>繼6月有10億中國民眾個資出現於地下論壇，且內含犯罪記錄與就醫情形，引發全球關注，又有大量中國民眾的資料曝露在網際網路。根據新聞網站TechCrunch的報導，資安研究員Anurag Sen在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，曝露時間長達數個月，直到8月相關存取才被封鎖。內容包含了民眾臉部照片，以及在車道路口拍下的車牌號碼，都是高解析度的照片。其中，這些個資會被留存的原因，主要是民眾進入工地或辦公室洽公進行登記。</p> <p>此資料庫隸屬位於杭州的Xinai Electronics，資料量總共超過8億筆。研究人員表示，他還發現有人在資料庫留下勒索訊息，但不清楚資料是否有外流或是遭到破壞的情形。TechCrunch通報後，該公司已悄悄關閉存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.trendmicro.com.tw/?p=73912"><span style="color: rgb(0, 0, 0);">臺灣防疫補助詐騙網址數量8月爆增，已超越上半年總和</span></a></strong></h3> <p>資安業者趨勢科技提出警告，他們發現臺灣與防疫補助有關的詐騙攻擊，在8月份出現大幅增加的現象，與之相關的網址數量較7月多出20倍，且超過今年上半總和。該公司指出，今年8月出現665種與防疫補助相關的變種假網域，如：gov[.]com、wsflsgov[.]tw等，他們呼籲民眾收到相關簡訊應優先檢查網址，並透過政府網站直接申請相關業務，才能減少受騙上當的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi"><span style="color: rgb(0, 0, 0);">俄羅斯大型計程車叫車系統Yandex Taxi遭駭，莫斯科交通大亂</span></a></strong></h3> <p>獨立新聞記者Russian Market在9月1日發現，俄羅斯大型計程車叫車系統Yandex Taxi疑似遭駭，攻擊者叫了大量計程車到莫斯科市的同一條街道上，使得當地交通大亂。Yandex也在3日向新聞網站The Verge證實確有此事，並表示當時街道壅塞現象約在1小時後得到疏通。</p> <p>而對於此起事故的攻擊者身分，駭客組織匿名者（Anonymous）聲稱是他們所為，並表示此次攻擊是與烏克蘭政府號召的IT軍隊聯手，為Operation Russia攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/irs-data-leak-exposes-personal-info-of-120-000-taxpayers/"><span style="color: rgb(0, 0, 0);">美國國稅局不慎披露12萬報稅民眾個資</span></a></strong></h3> <p>9月2日，美國國稅局表示，有部分應視為機密的990-T表單，不慎在免稅組織搜尋服務（TEOS）曝光。華爾街日報（WSJ）指出，這些敏感資料約影響12萬人，疑似在去年美國國稅局開始提供990-T的電子表單就出現，與程式撰寫有關，直到現在才被國稅局員工察覺，該單位開始進行補救，移除不應公開的文件，並重新提供TEOS服務。</p> <h3><strong style="font-size: 22px;"><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/"><span style="color: rgb(0, 0, 0);">三星美國分公司遭駭，客戶個資外洩</span></a></strong></h3> <p>三星於9月2日發布資安通告，他們的美國分公司內部網路環境在7月遭不明人士存取，導致客戶姓名、生日、聯絡方式等個資外洩，並強調社會安全碼（SSN）、金融卡資料則不受影響，不過，對於外洩資料筆數、受害人數，或是攻擊者入侵的管道，該公司並未揭露。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/google-chrome-emergency-update-fixes-new-zero-day-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Chrome、Edge瀏覽器已遭用於攻擊行動的漏洞獲得修補</span></a></strong></h3> <p>Google於9月2日針對Chrome電腦版發布105.0.5195.102版更新，當中主要修補了CVE-2022-3075，此漏洞在8月30日獲報，與Mojo程式庫的資料驗證不充分有關，且已經出現攻擊行動。</p> <p>由於這項漏洞很可能影響所有採用Chromium打造的網頁瀏覽器，Edge、Brave、Vivaldi等瀏覽器已發布對應的更新檔案來緩解漏洞。CVE-2022-3075是今年Chrome的第六個零時差漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-falsely-detects-win32-hivezy-in-google-chrome-electron-apps/"><span style="color: rgb(0, 0, 0);">微軟防毒軟體誤將Chrome、Edge瀏覽器當作病毒</span></a></strong></h3> <p>根據科技部落格BornCity的報導，微軟於9月4日發布的防毒軟體Microsoft Defender威脅情報更新檔1.373.1508.0版，竟將同廠牌的瀏覽器Edge識別為惡意軟體，並標示為Behavior:Win32/Hive.ZY威脅。</p> <p>經過使用者互相討論後，發現Chrome與以Chromium為基礎的瀏覽器，以及採用Electron應用程式框架開發的軟體，如WhatsApp、Spotify、Discord，都被微軟的威脅情報視為惡意程式。微軟已發布新的威脅情報定義檔修補上述誤判現象。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/10930/6588209"><span style="color: rgb(0, 0, 0);">數位發展部編列1.3億推動國防資安國產化</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3146465/nsa-cisa-odni-release-software-supply-chain-guidance-for-developers/"><span style="color: rgb(0, 0, 0);">美國針對軟體開發者提供軟體供應鏈安全指南</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://koreajoongangdaily.joins.com/2022/09/04/entertainment/television/Korea-Hacking-The-Ministry-of-Sports-Culture-and-Tourism/20220904124247692.html"><span style="color: rgb(0, 0, 0);">南韓政府經營的YouTube頻道遭駭，變成加密貨幣詐騙網站</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月2日】上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram用戶發動網釣攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> </div></div></div>
2022/9/5 17:15作者周峻佑https://www.ithome.com.tw/news/152892
Google、微軟分別修補已遭開採的瀏覽器零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google和微軟上周分別發布最新版Chrome及Edge，以修補瀏覽器中一個已經有開採活動的高風險漏洞。</p> <p><a href="https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop.html" target="_blank">Google表示</a>，Windows、macOS及Linux三個主要平臺的Chrome穩定通道已經更新到版本105.0.5195.102，將在未來幾天或幾周內部署到用戶端，呼籲用戶儘速安裝。</p> <p>Google說明，新版本修補編號CVE-2022-3075的高風險漏洞，出於Mojo的資料驗證不足。Mojo是Chromium中用於進程間或進程內模組間通信（IPC）的runtime函式庫。新漏洞8月底由外部研究人員通報，Google沒有多做解釋細節，只說得知網路上已出現針對CVE-2022-3075的開採程式。</p> <p>這項漏洞也會影響Chromium為核心的Edge瀏覽器。為此，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-3075" target="_blank">微軟也釋出 Edge 最新版105.0.1343.27版</a>。事實上，<a href="https://www.ithome.com.tw/news/152569" target="_blank">新加坡網路安全主管機關警告</a>，基於Chromium的瀏覽器包括Brave、Opera和 Vivaldi都已更新到最新版本。</p> <p>Google 也曾在2020年4月修補了Mojo元件的沙箱逃逸漏洞，能讓攻擊者在Chrome用戶電腦上執行惡意程式碼。而這也是Chrome今年修補的第6個零時差漏洞，其他漏洞分別在<a href="https://www.ithome.com.tw/news/150121" target="_blank">2、3</a>、<a href="https://www.ithome.com.tw/news/150434" target="_blank">4</a>、<a href="https://www.ithome.com.tw/news/152097" target="_blank">7</a>、<a href="https://www.ithome.com.tw/news/152569" target="_blank">8</a>月安全更新中修補。</p> <p><a href="https://lapcatsoftware.com/articles/clipboard.html" target="_blank">Google上周才被安全廠商Lapcat Software揭露</a>，在Chrome 104版存在一個可讓惡意網站在不需用戶同意下覆寫系統剪貼簿內容的漏洞。不過本漏洞還未獲得Google的證實。</p> </div></div></div>
2022/9/5 13:18作者林妍溱https://www.ithome.com.tw/news/152882
【資安週報】2022年8月29日到9月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期國內有不少DDoS攻擊的消息，先前<a href="https://ctee.com.tw/news/finance/696276.html">有幾家銀行業也遭遇</a>，幸因清洗流量加大並未導致網頁癱瘓，但國內第三方支付<a href="https://www.ithome.com.tw/news/152801">藍新金流因DDoS攻擊發生資安事故</a>，在8月中下旬發生數次金流平臺服務不穩定或服務中斷情形，由於針對金融服務的DDoS攻擊，比起針對一般網站的攻擊影響更嚴重，值得政府單位與金融相關業者密切關注。</p> <p>在漏洞修補方面，近期Atlassian修補了Bitbucket伺服器與資料中心的一項RCE重大漏洞，其CVE風險評分達9.9分，WordPress在8月30日亦修補一項高風險的SQL注入漏洞。此外，研究人員揭露Linux核心漏洞DirtyCred細節，其中CVE-2021-4154的漏洞，Debian、Ubuntu與Red Hat在今年3月修補，CVE-2022-2588漏洞在8月上半已經釋出修補新版。</p> <p>另外要注意的是，本周美國CISA在8月25日將10個已知漏洞，列入已遭成功利用的高風險漏洞（Known Exploited Vulnerabilities）名單，提醒組織應優先處理，當中有一個關於台達電子DOPSoft 2軟體的漏洞CVE-2021-38406，由於該產品生命週期結束，由於已有攻擊行動，因此呼籲工控系統用戶盡速移除。</p> <p>在國際資安態勢上，近來位於南歐的蒙特內哥羅，其關鍵CI與政府系統疑遭俄羅斯駭客團體攻擊，以及南美智利政府機關疑遭遇RedAlert或Conti勒索軟體攻擊，都發生政府機關服務中斷的情況。</p> <p>Twilio資安事件有後續消息，該公司確定有163個客戶受到影響，而針對駭客竊取MFA之簡訊OTP驗證碼的活動，資安業者Group-IB與雲端身分驗證Okta也公布其掌握到的相關消息。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152867#藍新"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#BianLian"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#F3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Delta"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Montenegro"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#MODA"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#ArmyCyber"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#ScanBox"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Deepfake"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/152801" id="藍新" name="藍新"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">藍新金流在兩週內遭遇數波DDoS攻擊，國內至少十多家線上平臺揭露期間暫時無法交易或付款</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-26_214105(1).png" style="width: 220px; float: right;" /></p> <p>在8月26日藍新科技公司發布公告，說明藍新金流因IDC機房遭受數波來自海外惡意攻擊，導致金流服務暫時中斷，事實上，這已經是藍新金流最近兩周內第六次因DDoS攻擊導致服務中斷或不穩的情形，以至於業者的因應有效性，格外受到外界關注，同時有多家線上中小型平臺表示交易付款受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/" id="BianLian" name="BianLian"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian透過Exchange伺服器、SonicWall的VPN入侵受害組織</span></a></strong></h3> <p>自7月出現的勒索軟體BianLian（音近似「變臉」），<a href="https://www.ithome.com.tw/news/152704#bianlian">在8月底有資安業者揭露其罕見的加密檔案手法後</a>，資安業者Redacted提出新的發現──使用此勒索軟體的駭客，主要入侵受害組織的管道，包含針對含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN系統，一旦成功進入受害組織的內部環境，駭客廣泛使用寄生攻擊（LoL）手法進行偵察和橫向移動。研究人員指出，從成功入侵到加密檔案，駭客很可能會埋伏長達6個星期。</p> <p>而在9月1日，這些駭客聲稱已有20個組織受害，該組織網站使用標籤（Tag）將受害組織分門別類，這樣的做法在駭客的網站上並不常見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/25/mercury-leveraging-log4j-2-vulnerabilities-in-unpatched-systems-to-target-israeli-organizations/"><span style="color: rgb(0, 0, 0);">伊朗駭客利用IT服務管理系統的Log4Shell漏洞，攻擊以色列組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-mercury-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-mercury-attack-chain.png" style="width: 300px; float: right;" /></a>駭客利用Log4Shell漏洞發動攻擊的情況，有許多事故都針對VMware Horizon遠距工作平臺而來，但有攻擊者將目標轉向存在相同漏洞的其他應用系統。微軟的研究人員指出，伊朗駭客組織MuddyWater（亦稱Mercury）在針對以色列企業的攻擊行動中，透過IT服務管理系統系統SysAid的Log4Shell漏洞進行滲透，然後使用惡意PowerShell程式碼來投放Web Shell。</p> <p>接著，駭客試圖取得受害電腦的管理員權限，使用Mimikatz來竊取帳密，並以WMI和遠端管理工具RemCom進行橫向移動，最終使用隧道工具Ligolo將竊得的資料傳送到C2。研究人員公布入侵指標（IoC）供企業識別相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/mobile-supply-chain-aws" id="F3" name="F3"><span style="color: rgb(0, 0, 0);">上千個iOS、Android應用程式曝露系統服務者的AWS帳密</span></a></strong></h3> <p>開發人員將特定雲端服務帳密資料寫死在應用程式的程式碼中，一旦有人將其反組譯，就有可能任意存取、破壞系統服務業者的雲端服務帳號。根據資安業者賽門鐵克的調查，有1,859個App內含開發者的AWS帳密資料、Token，而可能導致系統業者或是用戶曝險，但值得注意的是，上述軟體大部分都是適用於iOS裝置的App，僅有37個是安卓App。</p> <p>研究人員發現，有77%（約1,430個）內含的Token，可讓攻擊者直接存取AWS虛擬私有雲服務，亦有47%（約874個）的Token可被用於存取已上線服務的AWS S3相關檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/26/twilio-breach-authy/" id="Twilio" name="Twilio"><span style="color: rgb(0, 0, 0);">Twilio證實163個組織受到8月初攻擊事件影響</span></a></strong></h3> <p>雲端服務業者Twilio於8月初遭駭，經過2星期的調查後，該公司確定有163個組織受到影響，其中有93個使用者的雙因素驗證應用程式Authy帳號遭到挾持，駭客將其用於註冊額外的裝置，Twilio已移除駭客登錄的裝置，並呼籲Authy用戶儘速檢查帳號是否出現可疑存取行為，以及確認註冊的裝置名單。</p> <h3><strong style="font-size: 22px;"><a href="https://sec.okta.com/scatterswine"><span style="color: rgb(0, 0, 0);">駭客利用雲端服務Twilio的漏洞竊取Okta帳密資料</span></a></strong></h3> <p>針對Twilio遭駭的事故，資安業者Group-IB指出與名為0ktapus的大規模攻擊行動有關，駭客專門鎖定採用Okta身分驗證解決方案的組織下手，竊取雙因素驗證的簡訊OTP驗證碼犯案，Okta也透露他們所了解的情況。</p> <p>8月25日，Okta發出公告指出，發起上述攻擊行動的駭客能透過Twilio主控臺，存取少量使用者的電話號碼，以及內含OTP密碼的簡訊內容。駭客至少存取了38個與Okta有關的電話號碼。Okta也發現，駭客會打電話給目標組織的員工，甚至是這些員工的家人。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/25/doordash-customer-data-breach-twilio/"><span style="color: rgb(0, 0, 0);">美國餐點外送業者DoorDash傳出資料外洩，疑與Twilio攻擊事件有關</span></a></strong></h3> <p>又有企業聲稱資料外洩與Twilio的攻擊事故有關！8月25日，美國餐點外送業者DoorDash發出公告，他們發現有人能透過外部供應商竊得的帳密，取得DoorDash內部工具的存取權限，曝光的資料包含訂餐者的姓名、送餐地址、電話號碼、電子郵件信箱，以及員工的姓名、電話號碼、電子郵件信箱。</p> <p>雖然上述公告沒有提及外部供應商的身分，但DoorDash向新聞網站TechChunch透露，Twilio員工遭到網釣簡訊而導致公司資料外洩的事故，與DoorDash的資料外洩有關，引發外界聯想。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cisa-vulnerability-delta-ics-software-exploited-attacks" id="Delta" name="Delta"><span style="color: rgb(0, 0, 0);">美國CISA提出警告，台達電子ICS軟體漏洞已被用於攻擊行動</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月25日，將10個漏洞列入已被用於攻擊行動的名單，其中，罕見地出現與工控系統（ICS）有關的漏洞CVE-2021-38406，此漏洞存在於台達電子DOPSoft 2軟體，為越界寫入漏洞，CVSS評分為7.8分。由於DOPSoft 2產品生命週期已經結束，台達電子不會進行修補，並建議客戶轉換其他的解決方案，CISA呼籲用戶應儘速移除DOPSoft 2。</p> <h3><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA在8月25日公布10項已知漏洞開始被攻擊者成功利用，呼籲組織盡速因應</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/20220902周報已知成功利用漏洞.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20220902%E5%91%A8%E5%A0%B1%E5%B7%B2%E7%9F%A5%E6%88%90%E5%8A%9F%E5%88%A9%E7%94%A8%E6%BC%8F%E6%B4%9E.jpg" style="width: 600px;" /></a></p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/chasing-currents-espionage-south-china-sea" id="ScanBox" name="ScanBox"><span style="color: rgb(0, 0, 0);">中國駭客組織鎖定澳洲政府官員，以ScanBox惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ScanBox-attack-chain.jpg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScanBox-attack-chain.jpg.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint與資誠聯合會計師事務所（PwC）的威脅情報中心聯手，揭露中國駭客組織TA423（亦稱APT40、Leviathan、Red Ladon）在今年4月至6月的攻擊行動，駭客假冒澳洲媒體，鎖定當地政府機關、新聞媒體，以及在南海維護風力渦輪發電機的重工業廠商，以病假、使用者研究，以及合作請求等名義寄送釣魚郵件，目的是投放惡意程式框架ScanBox，進而對目標組織進行偵察。</p> <p>ScanBox框架可載入多種攻擊模組，包含鍵盤側錄器、瀏覽器指紋收集器等。研究人員認為，這起攻擊行動是TA423自2021年3月以來的第3階段情蒐任務。</p> <h3><strong style="font-size: 22px;"><a href="https://www.binance.com/en/blog/community/scammers-created-an-ai-hologram-of-me-to-scam-unsuspecting-projects-6406050849026267209" id="Deepfake" name="Deepfake"><span style="color: rgb(0, 0, 0);">駭客透過Deepfake假冒大型加密貨幣交易所幣安的高階主管</span></a></strong></h3> <p>加密貨幣交易所幣安（Binance）公關長Patrick Hillmann表示，有人以Deepfake手法，利用他受訪的影片來製作全像圖（Hologram），對加密貨幣專案團隊發送Zoom會議通知來進行詐騙。Patrick Hillmann強調他的工作不涉及交易平臺專案的上架，也不認識這些專案的團隊。</p> <p>但不只Patrick Hillmann，駭客假冒幣安員工在推特、LinkedIn、Telegram行騙的情況大幅增加，對此，<a href="https://www.binance.com/zh-TW/official-verification">該公司提供了Binance Verify網站</a>，讓用戶可透過對方的電子郵件信箱、電話號碼、推特帳號等資料進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cybercriminals-apparently-involved-russia-linked-attack-montenegro-government" id="Montenegro" name="Montenegro"><span style="color: rgb(0, 0, 0);">南歐蒙特內哥羅當地政府疑遭勒索軟體Cuba攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png" style="width: 300px; float: right;" /></a>8月26日，蒙特內哥羅的政府系統與關鍵基礎設施遭到網路攻擊，美國大使館指出這起事故可能會擾亂當地交通、公營事業，以及電信服務的運作，蒙特內哥羅指控攻擊是多個俄羅斯駭客組織所為。</p> <p>事隔數日，勒索軟體Cuba聲稱他們在8月19日入侵該國議會，竊得了財務資料，以及銀行員工個資、資產負債表等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152864"><span style="color: rgb(0, 0, 0);">蒙特內哥羅遭勒索軟體攻擊攻擊，美國出手協助</span></a></strong></h3> <p>根據<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/">新聞網站Balkan Insight的報導</a>，位於南歐的蒙特內哥羅遭遭到一系列的網路攻擊，該國政府的資安負責人Dusan Polovic指出，有10個單位、150臺電腦遭到危害，駭客向他們勒索一千萬美元。</p> <p>對此，也傳出<a href="https://www.intellinews.com/fbi-to-help-montenegro-deal-with-cyber-attacks-255143/">美國聯邦調查局派出團隊前往當地協助調查</a>。雖然勒索軟體Cuba宣稱是他們發起的攻擊行動，並公布竊得的資料，但<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament">蒙特內哥羅政府於8月31日表示</a>，Cuba公布的都是公開資料，且這些機關的系統於21日就已恢復正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.csirt.gob.cl/noticias/alerta-de-seguridad-cibernetica-incidente-en-servicio-publico/"><span style="color: rgb(0, 0, 0);">智利證實政府機關遭勒索軟體攻擊，部分服務被迫中斷</span></a></strong></h3> <p>智利電腦緊急應變小組（CSIRT）發布資安通告，指出當地政府機關於8月25日遭到勒索軟體攻擊，駭客針對Windows伺服器與VMware ESXi伺服器下手，將事件記錄檔案LOG、可執行檔EXE、程式庫DLL，以及多種ESXi檔案（vmdk、vmsn、vmem等）進行加密，導致該國政府機構的營運受到影響。</p> <p>而對於攻擊來源，智利電腦緊急應變小組認為有可能與勒索軟體RedAlert或是Conti有所關連，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-hits-windows-linux-servers-of-chile-govt-agency/">威脅情報分析師Germán Fernández表示</a>，這很可能是過往未曾出現的勒索軟體駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-claims-attack-on-portugals-flag-airline/"><span style="color: rgb(0, 0, 0);">葡萄牙航空公司疑遭勒索軟體Ragnar Locker攻擊</span></a></strong></h3> <p>8月26日，大型葡萄牙航空公司TAP Air Portugal證實遭到網路攻擊，但表示不影響飛航安全，旅客資料也沒有出現異常存取的情況。該公司於30日再度公告，上述網路攻擊導致網站與應用系統無法使用。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Ragnar Locker於31日宣稱，這起攻擊事故是他們所為，並竊得數百GB的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/leading-library-services-firm-baker-and-taylor-hit-by-ransomware/"><span style="color: rgb(0, 0, 0);">大型圖書館書商Baker & Taylor遭勒索軟體攻擊</span></a></strong></h3> <p>大型圖書館供應商Baker & Taylor於8月23日，傳出因伺服器故障，導致所有系統及應用程式受到影響，該公司於29日證實是勒索軟體攻擊事故。Baker & Taylor表示，他們在23日就發現書籍搜尋系統Title Source 360、電子資料交換服務EDI、辦公室電話系統、服務中心無法使用，24日聘請外部專家協助。不過，該公司並未透露勒索軟體名稱，也沒有駭客宣稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securonix.com/blog/golang-attack-campaign-gowebbfuscator-leverages-office-macros-and-james-webb-images-to-infect-systems/"><span style="color: rgb(0, 0, 0);">檔案挾帶的方式出現新手法！連資安人員都可能以為是憑證，而沒有發現惡意軟體的蹤跡</span></a></strong></h3> <p>資安業者Securonix揭露惡意軟體攻擊行動Go#Webbfuscator，駭客透過釣魚郵件夾帶惡意Word檔案，目的是要在受害電腦植入以Go語言打造的惡意程式，但駭客藏匿惡意程式的方式相當特別，他們運用韋伯太空望遠鏡（James Webb Space Telescope）所拍攝的SMACS 0723星系團照片，並將此惡意軟體偽裝成憑證檔案，而未曾被防毒軟體發現異狀。此惡意程式的主要功能為長駐受害電腦，讓駭客可藉由C2伺服器控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/malicious-cookie-stuffing-chrome-extensions-with-1-4-million-users/"><span style="color: rgb(0, 0, 0);">5個惡意Chrome擴充套件濫用網站Cookie，一旦使用者購物，駭客就能向電商網站收取傭金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0011.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0011.png" style="width: 300px; float: right;" /></a>資安業者McAfee揭露5個會濫用受害者上網行蹤記錄的Chrome擴充套件：Netflix Party、Netflix Party 2、Full Page Screenshot Capture – Screenshotting、FlipShope – Price Tracker Extension，以及AutoBuy Flash Sales，這些套件總共已被下載140萬次，其中最多人下載的是Netflix Party，達到80萬次。</p> <p>研究人員指出，駭客的目的是經由監控受害者瀏覽電子商務網站，竄改Cookie，讓網站認為使用者是透過推薦連結存取，而使得駭客能在受害者購物中抽成。由於這些擴充套件也確實具備Chrome Web Store市集上宣稱的功能，而使得用戶難以察覺有異，但因為這些擴充套件會衍生用戶隱私曝露的疑慮，使得研究人員呼籲用戶在安裝擴充套件時要更加小心。</p> <h3><strong style="font-size: 22px;"><a href="https://www.esentire.com/security-advisories/hacker-infrastructure-used-in-cisco-breach-discovered-attacking-a-top-workforce-management-corporation-russias-evil-corp-gang-suspected-reports-esentire"><span style="color: rgb(0, 0, 0);">思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊</span></a></strong></h3> <p>針對思科5月下旬遭駭的資安事故，該公司認為發動攻擊的駭客組織包含了UNC2447、Lapsus$，以及勒索軟體駭客閰羅王，但似乎還有其他駭客組織參與。</p> <p>資安業者eSentire指出，隸屬於Evil Corp的駭客組織UNC2165，在1個月前對他們客戶發動攻擊，其基礎設施與思科事故裡所使用的相同，因而引起他們注意並進一步調查。而在思科的攻擊事故裡，研究人員發現了名為HiveStrike的Cobalt Strike基礎設施，而這是勒索軟體駭客組織Conti前成員架設，用於散布FiveHands與Conti勒索軟體。</p> <p>究竟這兩個組織執行了那些攻擊行動？研究人員認為，有可能Evil Corp與Conti旗下的組織進行合作，或是Evil Corp取得初始存取思科內部網路環境的管道，再由Conti旗下、使用勒索軟體Hive的駭客發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/Y2022/PSA220829"><span style="color: rgb(0, 0, 0);">美國警告DeFi平臺漏洞成駭客竊取加密貨幣的主要目標</span></a></strong></h3> <p>美國聯邦調查局（FBI）於8月29日提出警告，攻擊者偏好鎖定去中心化金融（DeFI）平臺，挖掘智慧合約的安全漏洞來竊取加密貨幣。該單位看到數起攻擊行動，例如，有人發現DeFi平臺代幣橋（Token Bridge）的簽名驗證漏洞，進而將該平臺的資產提領一空，導致3.2億美元損失。FBI呼籲投資人與DeFi平臺業者應嚴加防範，並提供相關預防措施。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/"><span style="color: rgb(0, 0, 0);">下載免費工具也可能成為駭客的攻擊目標！駭客以提供實用軟體為由，逐步控制受害電腦並進行挖礦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Nitrokod-attack-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nitrokod-attack-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Check Point指出，有個開發人員Nitrokod製作了不少Windows電腦版的應用程式，如：Google Translate Desktop、Mp3 Download Manager等，乍看之下這些軟體擁有網站上描述的功能，且在Google搜尋排行相當前面，亦有軟體下載網站Softpedia、Uptodown予以推薦。</p> <p>但研究人員發現，這些「應用程式」在部署到受害電腦後，埋伏一個月後才會下載XMrig挖礦軟體，而這段埋伏的過程裡，駭客會經由6個階段，慢慢下載相關工具、停用防毒軟體、對Windows防火牆加入例外規則等。研究人員呼籲使用者應儘量從服務提供者取得應用程式，來防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-cthulhu-world-p2e-project-used-to-push-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以測試遊戲為幌子，散布多種竊密軟體，已出現用戶加密錢包遭盜款的災情</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/twitter-direct-messages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/twitter-direct-messages.jpg" style="width: 300px; float: right;" /></a>研究人員Iamdeadlyz發現，駭客假借名為Cthulhu World遊戲測試的名義，在推特上尋求願意測試的玩家，並宣稱玩家能獲得以太坊作為報酬，但實際上是為了散布竊密軟體。</p> <p>一旦玩家依照指示操作，駭客的遊戲網站便會將他們引導到下載測試版的網頁，並要求玩家輸入特定序號。然而這些序號實際上代表了不同的竊密軟體：AsyncRAT、RedLine Stealer，以及Raccoon Stealer。已有受害者因電腦被植入上述竊密軟體，加密貨幣錢包遭到清空。駭客疑似複製Alchemic World遊戲網站的大部分內容，且有Discord群組，而讓玩家難以分辨真假，使得Alchemic World再度呼籲玩家要提高警覺。</p> <div> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/kimsukys-golddragon-cluster-and-its-c2-operations/107258/"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定南韓政治人物下手，並進行一連串檢查機制迴避資安人員調查</span></a></strong></h3> <p>卡巴斯基揭露北韓駭客組織Kimsuky的攻擊手法，該組織專門鎖定南韓組織下手，以地緣政治相關的主題進行釣魚郵件攻擊，但與許多攻擊行動不同的是，這些駭客會先利用C2伺服器確認目標後，才對受害者傳送惡意文件，收信人開啟檔案後，指令碼會把受害者的IP位址傳送至另一個C2伺服器驗證，駭客再度確認完才會進一步行動。這一波攻擊行動Kimsuky的主要目標，是與政治及外交有關的南韓實體，以及政治人物、外交官、記者、脫北者等。</p> </div> <h3><strong style="font-size: 22px;"><a href="https://www.vadesecure.com/en/blog/instagram-phishing-campaign-hackers-exploit-social-verification"><span style="color: rgb(0, 0, 0);">算準許多人想當網紅，駭客以藍勾勾驗證為誘餌，鎖定Instagram用戶發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Insta phishing 9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insta%20phishing%209.png" style="width: 300px; float: right;" /></a>臉書、Instagram都有驗證徽章機制，也就是所謂的「藍勾勾」，擁有此標章，代表此帳號服務業者確認為真實的名人或是企業所有，但這樣的機制也變成駭客向用戶發動攻擊的誘餌。資安業者Vade發現有人針對Instagram用戶發動釣魚郵件攻擊，信件內容宣稱用戶符合擁有驗證徽章的資格，要求進行驗證，一旦收信人照做，Instagram帳號就有可能遭到挾持。</p> <p>這起攻擊行動很可能在7月22日開始，當天達到超過1千封釣魚信的規模。研究人員認為，這樣的規模代表駭客可能是採取針對性攻擊。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-advisory-2022-08-24-1155489835.html"><span style="color: rgb(0, 0, 0);">Atlassian修補CI/CD解決方案的重大漏洞</span></a></strong></h3> <p>Atlassian針對旗下的持續整合及持續部署（CI/CD）解決方案Bitbucket發布資安通告，該系統存在指令注入漏洞CVE-2022-36804，一旦攻擊者利用這項漏洞，就有可能在具備程式碼儲存庫或是私有Bitbucket存取權限的情況下，發送惡意HTTP的呼叫來執行任意程式碼，CVSS風險評分為9.9分。</p> <p>受影響的範圍涵蓋了Bitbucket的Server及Data Center元件，6.10.17以上的版本都可能存在相關風險。該公司已發布新版軟體，並呼籲用戶儘速安裝，或暫時關閉公開的儲存庫來降低風險。此外，由Atlassian代管的服務不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/blog/dirty-cred-what-you-need-to-know/"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心漏洞DirtyCred細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg" style="width: 300px; float: right;" /></a>美國西北大學的研究人員揭露名為DirtyCred的Linux核心漏洞，該漏洞已存在長達8年，為記憶體釋放後濫用（UAF）的漏洞，攻擊者可用來提升權限。此漏洞涵蓋CVE-2021-4154與CVE-2022-2588兩個弱點，擁有類似另一個漏洞Dirty Pipe（CVE-2022-0847）的特性，能針對Linux與Android作業系統發動攻擊，但最大的不同之處在於，DirtyCred可被用於逃逸容器的攻擊，再者，駭客利用該漏洞的難度也較Dirty Pipe低。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上進行概念性驗證（PoC）攻擊，並於執行CentOS 8與Ubuntu 20.04作業系統的主機裡，透過此漏洞成功提升權限。他們呼籲使用者要留意Linux開發團隊的公告，並儘速安裝修補軟體。</p> <h3><a href="https://www.wordfence.com/blog/2022/08/wordpress-core-6-0-2-security-maintenance-release-what-you-need-to-know/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress修補高風險SQL注入漏洞</span></strong></a></h3> <p>8月30日，WordPress開發團隊發布6.0.2版，總共修補3個漏洞，其中包含CVSS風險評分達8.0分的高風險漏洞（尚未有CVE編號），此漏洞與WordPress提供的書籤（Bookmarks）有關，有可能被用於SQL注入攻擊。資安業者Wordfence表示，駭客要利用該漏洞的難度相當高，不只需要管理者權限，在WordPress預設組態的配置下也難以利用，但網站很有可能會因為部署了外掛程式或佈景主題而曝險。研究人員呼籲網站管理者應儘速檢查WordPress是否已經升級。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152831"><span style="color: rgb(0, 0, 0);">Chrome剪貼薄功能存在漏洞，恐被用於竊密</span></a></strong></h3> <p>資安研究Jeff Johnson指出，網頁瀏覽器Chrome存在剪貼簿的漏洞，起因是Chrome在104版要求使用者輸入的API出現異常，一旦惡意網站開發者利用這種臭蟲，就有可能在使用者瀏覽網頁的過程，暗中將特定內容寫入受害電腦的剪貼簿，像是惡意網址，或是加密貨幣錢包等。研究人員亦製作網站來提供概念性驗證。</p> <p>Chromium開發社群約於6月就察覺此漏洞，但似乎尚未得到修補──剛推出的105版也存在同樣的弱點。研究人員強調，雖然他針對Chrome進行調查，但相關弱點也可能存在於Firefox、Safari上。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/ArmyChiefCyber/status/1563295564380250113" id="ArmyCyber" name="ArmyCyber"><span style="color: rgb(0, 0, 0);">美國陸軍公開招募有志人士加入陸軍網路作戰單位</span></a></strong></h3> <p>在今年初爆發的俄羅斯進軍烏克蘭的戰事，使得各國不只在意陸海空戰力，網路戰力也越顯重要，美國陸軍為了因應總統拜登的強化資安政策，在8月底也宣布公開招募網路作戰軍種，以抵禦外國政府透過網路發動的各式攻擊，此一編制從2009年起，特別是這次公開擴大招募，當中軍缺包含「網路及電子作戰官」、「網路作戰官」、「密碼情報分析師」、「網路防衛員」，還有「網路作戰專員」，同時美國陸軍也將提供相關訓練課程，包括網路作戰技能、IT安全認證、電腦鑑識、惡意程式分析，以及駭客訓練等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=_JdCv9uJ-T0" id="MODA" name="MODA"><span style="color: rgb(0, 0, 0);">我國數位發展部8月27日正式成立</span></a></strong></h3> <p>經過兩年多籌備的數位發展部（MODA）於8月27日舉行揭牌儀式，總統蔡英文、行政院院長蘇貞昌皆到場見證。而預計要在掛牌這天公布的人事任命，也在網站揭露，<a href="http://moda.gov.tw/ACS/aboutus/director-general/975">其中的資通安全署長將由國發會資訊管理處長謝翠娟擔任</a>，資通安全署旗下將設立綜合規劃組、通報應變組、輔導培訓組、稽核檢查組、法規及國合組，以及秘書室、人事室、政風室、主計室等部門。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152815"><span style="color: rgb(0, 0, 0);">數位發展部公布資通安全署副署長人選</span></a></strong></h3> <p>數位發展部資通安全署署長確認由原國發會資訊處處長謝翠娟擔任，兩位副署長名單在今天（9月1日）公布，其中一位為原行政院資通安全處副處長林春吟，另外一位副署長則是臺灣科技大學資訊工程學系教授鄭欣明。</p> <h3><a href="https://www.ithome.com.tw/news/152824"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部提前瞻計畫，要驗證以非同步軌道衛星強化我國通訊網路韌性的可行性</span></strong></a></h3> <p>為因應天災、戰爭導致國內通訊網路中斷，這方面數位韌性的提升，一直是國內關注的焦點，最近數位發展部提出一項新計畫，主因是我國尚未開放非同步軌道衛星提供商用服務，如今則將開始規畫相關PoC概念驗證，將於全球700處與3個國外站點，設置非同步軌道衛星設備，目的是希望在海纜或行固網通訊系統受破壞或失能時，能確保必要應變訊息能緊急通訊傳遞。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://security.googleblog.com/2023/08/Announcing-Googles-Open-Source-Software-Vulnerability-Rewards-Program%20.html"><span style="color: rgb(0, 0, 0);">Google針對旗下開源軟體祭出抓漏獎勵</span></a></strong></h3> <p>為了強化旗下的開源軟體安全，Google於8月30日宣布推出抓漏獎勵計畫Open Source Software Vulnerability Rewards Program（OSS VRP），初期範圍涵蓋Bazel、 Angular、Golang、Protocol buffers，以及Fuchsia等軟體，獎金從100美元至31,337美元。</p> <p>OSS VRP不只適用於Google經營的開源軟體，也包含這些專案涉及的相依項目。該公司偏好徵求的漏洞類型，主要為能夠造成供應鏈攻擊的弱點，或是軟體設計不良的瑕疵等。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年臺灣資安相關支出將達到近9億美元</span></strong></h3> <p>市場調查機構IDC發布對於全球資安支出有關的調查，預計2022年亞太區（不含日本）的資安解決方案及服務支出，將超過310億美元，較2021年增加15.5%，並預計到2026年，相關投資會達到576億美元。企業投資成長的主要原因與網路攻擊增加、混合工作模式盛行，以及法規遵循等。其中，臺灣資安相關支出在2022年將達到8.94億美元，並在2026年出現18%複合成長率。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/announcing-open-sourcing-of-paranoids.html"><span style="color: rgb(0, 0, 0);">Google開源加密物件漏洞測試工具Paranoid</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ambionics.io/blog/hacking-watchguard-firewalls"><span style="color: rgb(0, 0, 0);">研究人員揭露WatchGuard防火牆數個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/22/dissecting-iban-clipper/"><span style="color: rgb(0, 0, 0);">惡意軟體IBAN Clipper挾持電腦的剪貼簿，盜取銀行帳號資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://permiso.io/blog/s/down-with-idp-impersonate-me/"><span style="color: rgb(0, 0, 0);">研究人員發現在雲端環境冒充Okta使用者的攻擊手法</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/08/modernloader-delivers-multiple-stealers.html"><span style="color: rgb(0, 0, 0);">惡意軟體ModernLoader被用於投放竊密軟體、挖礦軟體、RAT</span></a></span></strong></p> <h3><strong style="font-size: 13px;"><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/08/31/vulnerability-in-tiktok-android-app-could-lead-to-one-click-account-hijacking/"><span style="color: rgb(0, 0, 0);">安卓版抖音App弱點恐讓攻擊者挾持用戶帳號</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/apple/apple-backports-fix-for-actively-exploited-ios-zero-day-to-older-iphones/"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 12.5.6，修補iPhone 5s的零時差漏洞CVE-2022-3289</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/29/mini-stealer-possible-predecessor-of-parrot-stealer/"><span style="color: rgb(0, 0, 0);">駭客免費提供竊密軟體Mini Stealer給其他網路罪犯</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/"><span style="color: rgb(0, 0, 0);">為了埋藏攻擊意圖，駭客入侵受害電腦一個月後才部署挖礦軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-cthulhu-world-p2e-project-used-to-push-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以測試遊戲為幌子，散布竊密軟體AsyncRAT、RedLine Stealer、Raccoon Stealer</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nelnet-servicing-breach-exposes-data-of-25m-student-loan-accounts/"><span style="color: rgb(0, 0, 0);">IT服務業者Nelnet Servicing遭駭，250萬學生貸款資料恐曝光</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/"><span style="color: rgb(0, 0, 0);">俄羅斯串流影音平臺證實資料外洩，750萬用戶受到波及</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.neopets.com/account/breachnotice20220829.phtml"><span style="color: rgb(0, 0, 0);">網路遊戲Neopets遭駭調查結果出爐，攻擊者入侵IT系統時間長達一年半</span></a></span></strong></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.png" style="width: 600px;" /></span></span></strong></p> </div></div></div>
2022/9/2 18:17作者羅正漢https://www.ithome.com.tw/news/152867
【資安日報】2022年9月2日，上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>帳密寫死（Hard-coded）在軟體的程式碼內，一旦有人將其反組譯，就能用來存取系統服務業者的內部系統。有研究人員發現近2千個內含AWS帳密資料App，然而出乎許多人意料的是，絕大多數都是iOS應用程式。</p> <p>過往駭客針對臉書的藍勾勾機制來騙取臉書用戶帳號的情況，現在也在Instagram的用戶上演！有資安業者揭露針對Instagram的釣魚郵件攻擊行動，一天最多有上千封這類攻擊郵件。</p> <p>勒索軟體BianLian的危害有擴大的趨勢！繼資安業者Cyble揭露此勒索軟體後，另一家資安業者也公布他們的發現，並提供較為完整的攻擊鏈。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/mobile-supply-chain-aws"><span style="color: rgb(0, 0, 0);">上千個iOS、Android應用程式曝露系統服務者的AWS帳密</span></a></strong></h3> <p>開發人員將特定雲端服務帳密資料寫死在應用程式的程式碼中，一旦有人將其反組譯，就有可能任意存取、破壞系統服務業者的雲端服務帳號。根據資安業者賽門鐵克的調查，有1,859個App內含開發者的AWS帳密資料、Token，而可能導致系統業者或是用戶曝險，但值得注意的是，上述軟體大部分都是適用於iOS裝置的App，僅有37個是安卓App。</p> <p>研究人員發現，有77%（約1,430個）內含的Token，可讓攻擊者直接存取AWS虛擬私有雲服務，亦有47%（約874個）的Token可被用於存取已上線服務的AWS S3相關檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vadesecure.com/en/blog/instagram-phishing-campaign-hackers-exploit-social-verification"><span style="color: rgb(0, 0, 0);">算準許多人想當網紅，駭客以藍勾勾驗證為誘餌，鎖定Instagram用戶發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Insta phishing 9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insta%20phishing%209.png" style="width: 300px; float: right;" /></a>臉書、Instagram都有驗證徽章機制，也就是所謂的「藍勾勾」，擁有此標章，代表此帳號服務業者確認為真實的名人或是企業所有，但這樣的機制也變成駭客向用戶發動攻擊的誘餌。資安業者Vade發現有人針對Instagram用戶發動釣魚郵件攻擊，信件內容宣稱用戶符合擁有驗證徽章的資格，要求進行驗證，一旦收信人照做，Instagram帳號就有可能遭到挾持。</p> <p>這起攻擊行動很可能在7月22日開始，當天達到超過1千封釣魚信的規模。研究人員認為，這樣的規模代表駭客可能是採取針對性攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian透過Exchange伺服器、SonicWall的VPN入侵受害組織</span></a></strong></h3> <p>自7月出現的勒索軟體BianLian（音近似「變臉」），<a href="https://www.ithome.com.tw/news/152704#bianlian">在8月底有資安業者揭露其罕見的加密檔案手法後</a>，資安業者Redacted提出新的發現──使用此勒索軟體的駭客，主要入侵受害組織的管道，包含針對含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN系統，一旦成功進入受害組織的內部環境，駭客廣泛使用寄生攻擊（LoL）手法進行偵察和橫向移動。研究人員指出，從成功入侵到加密檔案，駭客很可能會埋伏長達6個星期。</p> <p>而在9月1日，這些駭客聲稱已有20個組織受害，該組織網站使用標籤（Tag）將受害組織分門別類，這樣的做法在駭客的網站上並不常見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.csirt.gob.cl/noticias/alerta-de-seguridad-cibernetica-incidente-en-servicio-publico/"><span style="color: rgb(0, 0, 0);">智利證實政府機關遭勒索軟體攻擊，部分服務被迫中斷</span></a></strong></h3> <p>智利電腦緊急應變小組（CSIRT）發布資安通告，指出當地政府機關於8月25日遭到勒索軟體攻擊，駭客針對Windows伺服器與VMware ESXi伺服器下手，將事件記錄檔案LOG、可執行檔EXE、程式庫DLL，以及多種ESXi檔案（vmdk、vmsn、vmem等）進行加密，導致該國政府機構的營運受到影響。</p> <p>而對於攻擊來源，智利電腦緊急應變小組認為有可能與勒索軟體RedAlert或是Conti有所關連，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-hits-windows-linux-servers-of-chile-govt-agency/">威脅情報分析師Germán Fernández表示</a>，這很可能是過往未曾出現的勒索軟體駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152864"><span style="color: rgb(0, 0, 0);">蒙特內哥羅遭勒索軟體攻擊攻擊，美國出手協助</span></a></strong></h3> <p>根據<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/">新聞網站Balkan Insight的報導</a>，位於南歐的蒙特內哥羅遭遭到一系列的網路攻擊，該國政府的資安負責人Dusan Polovic指出，有10個單位、150臺電腦遭到危害，駭客向他們勒索一千萬美元。</p> <p>對此，也傳出<a href="https://www.intellinews.com/fbi-to-help-montenegro-deal-with-cyber-attacks-255143/">美國聯邦調查局派出團隊前往當地協助調查</a>。雖然勒索軟體Cuba宣稱是他們發起的攻擊行動，並公布竊得的資料，但<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament">蒙特內哥羅政府於8月31日表示</a>，Cuba公布的都是公開資料，且這些機關的系統於21日就已恢復正常。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152831"><span style="color: rgb(0, 0, 0);">Chrome剪貼薄功能存在漏洞，恐被用於竊密</span></a></strong></h3> <p>資安研究Jeff Johnson指出，網頁瀏覽器Chrome存在剪貼簿的漏洞，起因是Chrome在104版要求使用者輸入的API出現異常，一旦惡意網站開發者利用這種臭蟲，就有可能在使用者瀏覽網頁的過程，暗中將特定內容寫入受害電腦的剪貼簿，像是惡意網址，或是加密貨幣錢包等。研究人員亦製作網站來提供概念性驗證。</p> <p>Chromium開發社群約於6月就察覺此漏洞，但似乎尚未得到修補──剛推出的105版也存在同樣的弱點。研究人員強調，雖然他針對Chrome進行調查，但相關弱點也可能存在於Firefox、Safari上。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ambionics.io/blog/hacking-watchguard-firewalls"><span style="color: rgb(0, 0, 0);">研究人員揭露WatchGuard防火牆數個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/"><span style="color: rgb(0, 0, 0);">俄羅斯串流影音平臺證實資料外洩，750萬用戶受到波及</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.neopets.com/account/breachnotice20220829.phtml"><span style="color: rgb(0, 0, 0);">網路遊戲Neopets遭駭調查結果出爐，攻擊者入侵IT系統時間長達一年半</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152781">【2022年8月30日】駭客以測試遊戲為幌子散布竊密軟體、美國警告台達電子ICS軟體漏洞已被用於攻擊行動</a></strong></strong></strong></p> </div></div></div>
2022/9/2 16:07作者周峻佑https://www.ithome.com.tw/news/152863
微軟打包票.NET 7超級快！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 7候選版本發布在即，微軟.NET團隊開發者Stephen Toub按過去慣例<a href="https://devblogs.microsoft.com/dotnet/performance_improvements_in_net_7/">大篇幅介紹.NET 7的效能改進</a>。.NET 7的7,000多個拉取請求中，有1,000個與效能相關，Stephen Toub詳細介紹了其中500個大幅影響效能的拉取請求。</p> <p>微軟在每個.NET版本都強調效能改進，因此也有開發者對此產生質疑，甚至是認為.NET 6的效能已經提升到一個程度，.NET 7是否還有效能提升的空間，Stephen Toub給的答案是肯定的，.NET 7的開發目標跟過去版本一樣，效能仍然是貫穿整個堆疊的焦點，無論是針對效能而明確創建的功能，還是非效能相關的功能，效能仍然是設計和實作的重點。</p> <p>Stephen Toub強調.NET 7的速度非常快，Runtime和核心函式庫加入了1,000個效能相關的拉取請求，而且在ASP.NET Core、Windows Forms和Entity Framework也有各種改進，他打包票.NET 7是有史以來最快的.NET，他甚至提到，當開發者被經理問到為什麼要升級到.NET 7，可以直接回答「.NET 7 is super fast.」</p> <p>Stephen Toub所做的基準測試在Windows 11 64位元系統上進行，對於.NET支援的Linux和macOS，他表示在不同的平臺上，也都能獲得類似的結果。</p> <p>但Stephen Toub也表示，一定有人不同意他的說法，所以花了大篇幅講解這1,000個效能相關拉取請求中的500個，讓有興趣的人可以理解.NET 7的實作方法、各種決策的原因以及評估下的權衡，而該篇部落格獲得許多開發者的正面回應。</p> <p>有開發者回應到，.NET 7運作快速固然是好事，但是當開發者寫的程式碼本身執行效能不佳，那便失去.NET 7帶來的效益，Stephen Toub則回應，微軟正嘗試將最佳實踐以及避免故障的設計封裝到分析器中，降低開發者程式碼遭遇這些問題的可能性。</p> </div></div></div>
2022/9/2 16:54作者李建興https://www.ithome.com.tw/news/152865
【資安日報】2022年9月1日，思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://www.ithome.com.tw/news/152446#cisco">在8月10日公布遭到勒索軟體閰羅王（Yanluowang）入侵的攻擊事故</a>，並指出還有UNC2447與Lapsus$兩組駭客參與其中。最近有資安業者提出新的發現，指出勒索軟體駭客組織Evil Corp、Conti的旗下成員也可能涉及此次事故，而使得整個態勢變得更加複雜。</p> <p>勒索軟體攻擊開發中國家，並癱瘓關鍵基礎設施的情況再添一例！位於南歐的蒙特內哥羅（Montenegro）日前遭到網路攻擊，現在有勒索軟體駭客宣稱是他們所為，而在此之前，Conti攻擊哥斯大黎加也出現類似的情形。</p> <p>研究人員揭露了名為DirtyCred的Linux核心漏洞相當值得留意，此漏洞具備Dirty Pipe的部分特質，但駭客利用的難度較低，且能用於逃逸容器攻擊，他們呼籲使用者應儘速安裝修補程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.esentire.com/security-advisories/hacker-infrastructure-used-in-cisco-breach-discovered-attacking-a-top-workforce-management-corporation-russias-evil-corp-gang-suspected-reports-esentire"><span style="color: rgb(0, 0, 0);">思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊</span></a></strong></h3> <p>針對思科5月下旬遭駭的資安事故，該公司認為發動攻擊的駭客組織包含了UNC2447、Lapsus$，以及勒索軟體駭客閰羅王，但似乎還有其他駭客組織參與。</p> <p>資安業者eSentire指出，隸屬於Evil Corp的駭客組織UNC2165，在1個月前對他們客戶發動攻擊，其基礎設施與思科事故裡所使用的相同，因而引起他們注意並進一步調查。而在思科的攻擊事故裡，研究人員發現了名為HiveStrike的Cobalt Strike基礎設施，而這是勒索軟體駭客組織Conti前成員架設，用於散布FiveHands與Conti勒索軟體。</p> <p>究竟這兩個組織執行了那些攻擊行動？研究人員認為，有可能Evil Corp與Conti旗下的組織進行合作，或是Evil Corp取得初始存取思科內部網路環境的管道，再由Conti旗下、使用勒索軟體Hive的駭客發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cybercriminals-apparently-involved-russia-linked-attack-montenegro-government"><span style="color: rgb(0, 0, 0);">蒙特內哥羅疑遭勒索軟體Cuba攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png" style="width: 300px; float: right;" /></a>8月26日，蒙特內哥羅的政府系統與關鍵基礎設施遭到網路攻擊，美國大使館指出這起事故可能會擾亂當地交通、公營事業，以及電信服務的運作，蒙特內哥羅指控攻擊是多個俄羅斯駭客組織所為。</p> <p>事隔數日，勒索軟體Cuba聲稱他們在8月19日入侵該國議會，竊得了財務資料，以及銀行員工個資、資產負債表等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-claims-attack-on-portugals-flag-airline/"><span style="color: rgb(0, 0, 0);">葡萄牙航空公司疑遭勒索軟體Ragnar Locker攻擊</span></a></strong></h3> <p>8月26日，大型葡萄牙航空公司TAP Air Portugal證實遭到網路攻擊，但表示不影響飛航安全，旅客資料也沒有出現異常存取的情況。該公司於30日再度公告，上述網路攻擊導致網站與應用系統無法使用。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Ragnar Locker於31日宣稱，這起攻擊事故是他們所為，並竊得數百GB的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/blog/dirty-cred-what-you-need-to-know/"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心漏洞DirtyCred細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg" style="width: 300px; float: right;" /></a>美國西北大學的研究人員揭露名為DirtyCred的Linux核心漏洞，該漏洞已存在長達8年，為記憶體釋放後濫用（UAF）的漏洞，攻擊者可用來提升權限。此漏洞涵蓋CVE-2021-4154與CVE-2022-2588兩個弱點，擁有類似另一個漏洞Dirty Pipe（CVE-2022-0847）的特性，能針對Linux與Android作業系統發動攻擊，但最大的不同之處在於，DirtyCred可被用於逃逸容器的攻擊，再者，駭客利用該漏洞的難度也較Dirty Pipe低。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上進行概念性驗證（PoC）攻擊，並於執行CentOS 8與Ubuntu 20.04作業系統的主機裡，透過此漏洞成功提升權限。他們呼籲使用者要留意Linux開發團隊的公告，並儘速安裝修補軟體。</p> <h3><a href="https://www.wordfence.com/blog/2022/08/wordpress-core-6-0-2-security-maintenance-release-what-you-need-to-know/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress修補高風險SQL注入漏洞</span></strong></a></h3> <p>8月30日，WordPress開發團隊發布6.0.2版，總共修補3個漏洞，其中包含CVSS風險評分達8.0分的高風險漏洞（尚未有CVE編號），此漏洞與WordPress提供的書籤（Bookmarks）有關，有可能被用於SQL注入攻擊。資安業者Wordfence表示，駭客要利用該漏洞的難度相當高，不只需要管理者權限，在WordPress預設組態的配置下也難以利用，但網站很有可能會因為部署了外掛程式或佈景主題而曝險。研究人員呼籲網站管理者應儘速檢查WordPress是否已經升級。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152815"><span style="color: rgb(0, 0, 0);">數位發展部公布資通安全署副署長人選</span></a></strong></h3> <p>數位發展部資通安全署署長確認由原國發會資訊處處長謝翠娟擔任，兩位副署長名單在今天（9月1日）公布，其中一位為原行政院資通安全處副處長林春吟，另外一位副署長則是臺灣科技大學資訊工程學系教授鄭欣明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/08/31/vulnerability-in-tiktok-android-app-could-lead-to-one-click-account-hijacking/"><span style="color: rgb(0, 0, 0);">安卓版抖音App弱點恐讓攻擊者挾持用戶帳號</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/apple/apple-backports-fix-for-actively-exploited-ios-zero-day-to-older-iphones/"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 12.5.6，修補iPhone 5s的零時差漏洞CVE-2022-3289</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/29/mini-stealer-possible-predecessor-of-parrot-stealer/"><span style="color: rgb(0, 0, 0);">駭客免費提供竊密軟體Mini Stealer給其他網路罪犯</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152781">【2022年8月30日】駭客以測試遊戲為幌子散布竊密軟體、美國警告台達電子ICS軟體漏洞已被用於攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152727">【2022年8月29日】伊朗駭客利用IT服務管理系統Log4Shell漏洞攻擊以色列組織、Twilio公布遭駭事故的受影響規模</a></strong></strong></strong></p> </div></div></div>
2022/9/1 14:11作者周峻佑https://www.ithome.com.tw/news/152817
.NET SDK將內建支援輸出容器映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/announcing-builtin-container-support-for-the-dotnet-sdk/">微軟宣布容器將是.NET SDK支援的輸出類型之一</a>，也就是說，開發者只要使用dotnet publish指令，就可以創建應用程式的容器化版本。官方提到，這項功能對於本地端開發、CI工作管線和執行特定指令用例將會很方便。</p> <p>容器是綑綁應用程式的好方法，也是目前在雲端發布和執行應用程式的熱門形式，容器映像檔主要由兩部分組成，一部分是包含如何執行應用程式的JSON後設資料，另一部分則是表示檔案系統的tarball檔案列表，在.NET 7中，微軟透過在.NET Runtime添加數個API，以處理tarball檔案和串流，如此便可簡單地以程式開發方法操作容器映像檔。</p> <p>官方提到，這種方法已經在Java生態系中的Jib和Ko for Go等專案成功運作，而.NET中的konet也獲得很好的回饋。以簡單工具生成容器映像檔的方法越來越流行，微軟基於這概念，在現有建置邏輯無縫整合容器映像檔創建功能，以C#實作，整合到.NET SDK中，使得.NET團隊可以直接在現有的工作流程中使用到新功能。</p> <p>由於微軟提供了一些設定的預設值，因此開發者不需要碰觸到編寫Dockerfile的複雜工作，但是可以在MSBuild屬性和項目中，自定義生成映像檔的各部分。</p> <p>微軟所使用的基礎映像檔為Debian Linux發行版，開發者也可以使用像是Alpine或Ubuntu等發行版，不過會需要手動更改基礎映像檔屬性配置，微軟提到，他們認為使用基於Debian的Runtime映像檔版本，能夠廣泛相容大多數應用程式。</p> <p>由於現在這個以SDK建置容器映像檔的功能，還在預覽階段，因此仍然有一些限制，像是目前僅支援Linux-x64映像檔部署場景，Windows映像檔和其他架構的支援，雖然都在官方開發計畫中，但還需要再等等。</p> <p>微軟也還未實現身份驗證支援，無法推送到遠端的註冊表，官方提到，該功能在他們優先開發列表中，與此同時，微軟建議開發者可以先將映像檔推送到本地Docker守護行程，再使用docker tag和docker push推送映像檔到目的地。另外，目前微軟也尚未實作部分映像檔後設資料的自定義，因此更完整的自定義功能之後才會提供。</p> <p>微軟預計在.NET 7的候選版本發布階段，就會完成添加新的圖像後設資料，並且支援推送映像檔到遠端註冊表，同時也會支援Windows映像檔。</p> </div></div></div>
2022/9/1 09:54作者李建興https://www.ithome.com.tw/news/152800
使用Ampere Altra Arm處理器的Azure服務正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/azure-virtual-machines-with-ampere-altra-arm-based-processors-generally-available/" target="_blank">微軟宣布</a>使用Ampere Altra Arm處理器的Azure虛擬機器（Azure Virtual Machine）服務正式上線。</p> <p>Ampere Altra處理器為基礎的通用型Azure VM服務，包括Dpsv5、Dplsv5和針對記憶體最佳化的Epsv5，<a href="https://azure.microsoft.com/en-us/blog/now-in-preview-azure-virtual-machines-with-ampere-altra-armbased-processors/" target="_blank">今年4月以預覽版推出</a>。新VM服務強調可執行橫向擴充（scale-out）的雲端原生應用。微軟表示，在今年測試版上線後，用戶部署的專案包括Web、應用伺服器、開源資料庫、微服務、Java、.NET應用、遊戲、媒體伺服器等。客戶包括旅遊業IT服務大廠Amadeus等。</p> <p>Arm架構處理器最大優點在於省電。微軟指出，Ampere Altra Arm-based VM服務為想要數位轉型的企業提供具成本效益及省電，又兼顧效能的選擇。</p> <p>微軟指出，在正式版上線後，用戶可以Azure Portal、SDK、API、PowerShell及指令行介面（CLI）部署VM。</p> <p>Dpsv5和Epsv5 Azure VM使用的Ampere Altra Arm處理器時脈高達3.0GHz記憶體。可使用vCPU多達64個，每個vCPU可配置2 GiB、4 GiB和8 GiB記憶體，提供40 Gbps網路，並且擁有本地端SSD儲存可選。</p> <p>在底層作業系統方面，微軟表示支援新VM的OS包括Canonical Ubuntu Linux、CentOS、Windows 11專業版與企業版，以及RHEL、SUSE Enterprise Linux、Debian，未來也將支援Alma Linux和Rocky Linux。</p> <p>新Azure Arm-based VM服務預計9月1日在10個Azure區域及多個可用區域（availability zone）啟用。</p> <p>Arm-based VM將可透過AKS執行在Kubernetes叢集內。由於許多Arm應用程式為雲端原生的開源應用，因此這產品一開始就設計可為Azure Kubernetes Services（AKS）支援。微軟說正在加緊升級Azure AKS產品，以便能在Arm節點上使用，未來兩周內也會逐步推向各個Azure區域。</p> <p>此外，一些第三方獨立軟體開發商（ISV）如Avanade、Datadog、Elastic等也開發了Arm-based VM方案，如應用效能監控等。</p> </div></div></div>
2022/8/31 14:17作者林妍溱https://www.ithome.com.tw/news/152796
Google雲端正式推出虛擬機器威脅偵測服務，可發現挖礦和核心竄改等惡意行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其安全命令中心加入<a href="https://cloud.google.com/blog/products/identity-security/introducing-virtual-machine-threat-detection-to-block-critical-threats">虛擬機器威脅偵測（VMTD）功能</a>，現在正式推出供所有用戶使用，該功能融入虛擬化堆疊中，在背景持續掃瞄用戶工作負載中存在的安全威脅。官方提到，過去針對Compute Engine機隊的記憶體掃描存在挑戰，而VMTD可針對較小但更重要的快取進行掃描，因此可頻繁掃瞄大量執行個體。</p> <p>VMTD可發現執行個體中一些特別的攻擊，像是發現用戶的防毒代理實則為虛擬貨幣挖礦程序等案例，Google提到，他們的YARA規則是與Google的威脅情報社群合作，同時運用分析小組和威脅情報的專業知識開發。VMTD除了可以發現挖礦行為外，也可以辨識和回報挖礦活動的特定過程。</p> <p>另外，由於VMTD能夠深入理解Linux核心，即便執行個體裡面沒有設置代理，也能夠觀察到具體的威脅執行細節，更容易地對偵測結果分類、調查，並且採取行動。</p> <p>VMTD的特別之處，就在於VMTD是屬於虛擬機器管理程式的一部分，而非執行個體內部的代理，Google表示，傳統的端點偵測和回應技術（EDR）代理，會暴露在攻擊者面前，但是VMTD是一種攻擊者不可見的方法，因此攻擊者也無法得知VMTD掃描的時機。</p> <p>用戶要啟用VMTD，只需要在安全命令中心Premium設定中，勾選啟用VMTD選項即可，啟用後，VMTD就能保護大量的執行個體，而且不需要消耗執行個體本身的計算資源，VMTD還可偵測Rootkit和Bootkit，防止核心完整性遭到竄改。</p> </div></div></div>
2022/8/28 16:14作者李建興https://www.ithome.com.tw/news/152731
Cloud周報第154期：富邦金控展開集團上雲計畫，優先把辦公OA應用搬上公雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（08/18～08/24）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富邦金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">辦公OA </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>富邦金控展開集團上雲計畫，優先打造混合辦公OA雲端環境提升工作彈性與行動力</strong></span></strong></p> <p>臺灣近來有許多金融企業開始擁抱雲端，不只國泰金控要將集團上百套系統搬上公雲，來打造金融混合雲架構，富邦金控近日也宣布要展開集團上雲計畫，第一步先從辦公OA應用上公雲開始做起，他們計畫導入微軟Microsoft365雲端產品，包含使用Azure AD、多因素驗證機制以及Exchange郵件收發服務打造混合辦公OA雲端環境，以提升工作彈性與行動力，同時也要確保帳號建置、裝置、應用程式與內容都能合規和隱私保護。</p> <p>為了快速因應疫情變化，他們將採用雲端Teams提供集團內9千位員工進行團隊溝通、文件共編及視訊會議，以維持營運不中斷。不僅如此，富邦金控還希望透過上雲過程，加快集團作業流程電子化，加速推動2025年減量20%影印用紙的ESG目標。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端永續方案策略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>SAP揭未來在臺的雲端永續方案策略，要將永續融入企業管理架構，讓碳帳也能像管財務帳容易</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 405px;" /></p> <p>在近日一場活動上，SAP揭露未來在臺的雲端永續方案策略，將採取5A策略，從自動化全面數據蒐集、先進數據分析、API數據串接、分析指標及操作洞察，來協助企業整合流程打造淨零永續策略藍圖，包括供應鏈數據、差旅報銷、廠房數據、生產數據、原物料採購及人力資源。</p> <p>在執行策略上，SAP智慧企業解決方案總監吳孟穎表示，SAP要將永續融入企業管理架構，讓碳帳未來也能像管財務帳容易，一旦碳帳有問題，透過系統馬上就能知道哪一段流程的碳盤查有問題，甚至自哪間工廠、哪個機臺的碳盤查數據都能馬上知道，「這是我們目前正在做的事。」而SAP的9朵雲將變成企業碳盤查和碳帳的數據來源，從研發、採購、生產到後端物流及售後服務等，以此涵蓋企業全流程、全場域。</p> <p>目前SAP的組織及產品碳盤查系統已可支援LCA資料庫，加入諸多碳排放因子，使企業能直接從系統中將ERP，或Ariba採購生產及供應鏈相關數據轉換成碳帳，還可跨組織進行碳足跡分攤和計算。這些盤查及分析結果，也能以視覺化儀表板來呈現，包括碳資產視圖、碳盤查、碳足跡分析、碳成本及碳排放因子維護等。</p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端投資</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣企業2022年雲端投資增長17%達787萬元，尤以金融業破千萬最高</strong></span></strong></p> <p>相較去年，臺灣企業今年規畫投資在雲端的金額明顯增長，根據iThome 2022年CIO大調查顯示，企業今年雲端投資增長17％，從去年平均671萬元提高到787萬元。除了服務業去年雲端投資暴增，今年稍微下滑外，各產業在雲端投資都有增加，其中，又以金融業雲端投資1,335萬元為最高。其實，金融業願意增加雲端投資，部分原因也受到三大公雲今年全面落地臺灣的影響，讓金融企業更敢於投資雲端基礎建設，甚至加大雲端投資力道，來為金融上雲做準備。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IoT裝置代管</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google Cloud明年8月將關閉IoT裝置代管服務Cloud IoT Core</strong></span></strong></p> <p><strong> <img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(8).png" style="width: 600px; height: 281px;" /></strong></p> <p>正當其他雲端巨頭大力搶攻雲端物聯網市場，Google Cloud最近則是預告旗下Cloud IoT Core服務將於明年8月正式退場。</p> <p>Cloud IoT Core服務是Google Cloud於2017年推出的IoT裝置代管雲端服務，可協助企業在雲端上管理物聯網裝置及其所蒐集的數據，並將這些數據後送至Cloud Pub/Sub傳訊服務進行進一步分析，或利用Google BigQuery進行數據分析，也能結合機器學習引擎做運用，強化企業營運決策。</p> <p>Google Cloud建議，這段期間用戶可逐步將使用該服務構建的應用程式轉移至其他相似產品上</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲原生 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>北榮採用雲原生架構打造資訊分析基礎架構，加速發展智慧醫療</strong></span></strong></p> <p>很早就展開IT現代化的臺北榮總，不只全面翻新HIS系統，打破醫療資料孤島，加速AI研究和落地，還早早在應用開發上導入K8s為發展雲端原生架構做準備。這家醫院最近更採用雲原生架構打造跨雲資訊分析平臺，用於加速發展智慧醫療。</p> <p>北榮採用了IBM雲端數據套裝方案（Cloud Pak for Data），可以在公有雲與私有雲環境快速建置資料分析基礎架構。該套件是一個統一資料科學協作平臺，整合了資料蒐集、資料清洗乃至於後續資料分析到機器學習的一連串工作流。除了支援多雲分析環境，北榮也利用其提供的工具簡化AI開發，以此大幅縮短建置到數據分析的時間，從原本3～6個月，縮短至1～2周內完成。</p> <p>這套分析平臺目前已實際運用於糖尿病、腎臟病、心臟病及耳科疾病等醫學研究。北榮計畫把經過嚴謹的資料驗證、研究得出的臨床使用證據（RWE），提供給醫師做為門診病人治療方案設計的參考。</p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端應用開發服務 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟Dev Box雲端開發箱服務進到公開預覽</strong></span></strong></p> <p>微軟日前宣布雲端開發箱服務Dev Box已從私人預覽進到公開預覽的階段，並已開放給Azure用戶試用。</p> <p>Dev Box就像是一個雲端PC，能提供開發者所需的獨立開發環境，包括Windows上常見的IDE工具、SDK及各種內部開發工具等。由於Dev Box託管於公雲上，開發人員可從Windows、MacOS、Android、iOS裝置或透過網頁瀏覽器來遠端操作，用於開發桌上、行動、IoT及網頁應用，並能支援Windows、Linux、 Android跨平臺應用開發。</p> <p>微軟也公布該服務計價方式，將依運算和儲存用量按時數收費。在公開預覽期間，將提供用戶每月前15小時8個vCPU和32 GB 記憶體的免費使用方案，以及前365小時512 GB SSD 儲存空間。</p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬分身建置平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Nvidia </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>Nvidia發表雲端虛擬分身建置平臺ACE，可供企業在雲端快速創造逼真且互動的虛擬化身</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-omniverse-avatar-cloud-engine_mid.jpg" style="width: 600px; height: 337px;" /></p> <p>最近在SIGGRAPH 大會上，Nvidia發表名為Omniverse Avatar Cloud Engine（ACE）的雲端服務，顧名思義就是一個建立虛擬分身的雲端平臺，可供開發者在公有雲或私有雲環境中，快速創造外表逼真且互動的虛擬化身。</p> <p>ACE是以Nvidia的UCF統一運算框架為基礎打造，該框架整合虛擬分身建置所需的軟體工具與API，包括對話式語音AI應用Riva、Audio2Face和Audio2Emotion等動畫工具，還有3D設計協作與模擬平臺Omniverse。ACE平臺將於明年初上線，將支援各大雲端平臺及嵌入式系統。</p> <p><strong><strong>攝影／/蘇文彬　圖片來源／Google Cloud、Nvidia</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.國泰金控目標未來3∼5年全集團上百套系統全面上雲</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.Google Cloud揭露遭遇史上最大規模DDoS攻擊，比Cloudflare的記錄多出76%，每秒請求達4,600萬次</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.雲端業者EA、Epic Games及Reddit因未向印尼政府註冊遭封鎖連線 </strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年8月</strong></strong></strong></strong></p> </div></div></div>
2022/8/26 09:13作者余至浩https://www.ithome.com.tw/news/152709
【資安日報】2022年8月25日，駭客鎖定Microsoft 365用戶發動AiTM攻擊、GitLab修補CVSS評分…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>採用Microsoft 365的企業再度遭到鎖定！資安業者發現有人對這些企業發動AiTM中間人攻擊，目的是挾持Microsoft 365帳號來進行商業郵件詐騙。這樣的攻擊手法<a href="http://www.ithome.com.tw/news/152306">已有先例</a>，但不同的是，這次駭客專門針對高階主管而來。</p> <p>GitLab在8月22日的每月例行修補發布新版程式，當中修補了CVSS評分達9.9分的RCE漏洞，該漏洞與GitHub程式碼匯入功能有關。開發團隊建議用戶儘速升級軟體，對於無法安裝新版軟體的用戶也提供停用相關功能的緩解措施。</p> <p>在本日新聞裡，勒索軟體攻擊的事故占據相當高的比例，其中又以勒索軟體BianLian的攻擊手法相當值得注意，駭客為了規避偵測，先將檔案分割才執行加密，而這種分割檔案來躲避偵測的手法，<a href="https://www.ithome.com.tw/news/152592#apt41">中國駭客APT41也運用在傳送滲透測試工具Cobalt Strike</a>，分割後才傳送到受害電腦。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mitiga.io/blog/advanced-bec-scam-campaign-targeting-executives-on-o365"><span style="color: rgb(0, 0, 0);">駭客鎖定Microsoft 365用戶發動AiTM攻擊，以DocuSign郵件的名義規避檢資安防護系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6305018c62a1a1692fbeb398_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6305018c62a1a1692fbeb398_2.png" style="width: 300px; float: right;" /></a>資安業者Mitiga揭露針對公司執行長與財務長的釣魚郵件攻擊行動，駭客最初以DocuSign電子文件簽章的名義寄送釣魚郵件，收信人若是依照指示點選郵件內容的檢視文件按鈕，就會被引導到釣魚網頁，並要求登入AD網域，駭客的目的是為了進行AiTM（Adversary-in-the-Middle）中間人攻擊，來取得受害者成功登入網域的Cookie，進而存取受害用戶的Microsoft 365帳號，最終用來發動商業郵件詐騙（BEC）攻擊。</p> <p>研究人員表示，為了避免Cookie過期無法使用，駭客還會在受害組織新增列管的手機，來執行多因素驗證（MFA）。由於這次駭客目標集中在高階主管，釣魚信的誘餌也改以文件簽名請求為主，而使得相關攻擊可能更加難以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/08/18/bianlian-new-ransomware-variant-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian以Go語言開發而成，1個多月已有9個組織受害</span></a></strong></h3> <p>勒索軟體BianLian（與中文「變臉」發音相近）自7月中旬出現，駭客已用來攻擊多種產業的組織，包含媒體與娛樂、金融業（BFSI）、製造業、醫療保健等領域，總共有9個組織受害。資安業者Cyble指出，為了規避防毒軟體偵測，BianLian在加密前會將檔案以10個位元組（Byte）的大小進行分割，再對這些截取出來的內容加密。</p> <p>由於此勒索軟體是採用Go語言開發而成，雖然研究人員看到的BianLian是針對Windows電腦而來，但日後駭客很可能藉由此程式語言的跨平臺特性，製作其他版本的勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-disrupts-govt-agency-in-dominican-republic/"><span style="color: rgb(0, 0, 0);">多明尼加共和國遭勒索軟體Quantum攻擊，索討65萬美元贖金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/quantum-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/quantum-ransom-note.jpg" style="width: 300px; float: right;" /></a>開發中國家的政府機關很可能因為缺乏資安防護，而成為駭客的攻擊目標。例如，多明尼加農業研究所（IAD）傳出於8月18日遭到勒索軟體攻擊，該單位的4臺實體伺服器與8臺虛擬伺服器受害，幾乎所有的資料都外洩，無論是資料庫、應用系統、電子郵件系統的運作皆遭到波及，僅有一臺Linux主機沒有受到影響，駭客向IAD索討超過60萬美元。多明尼加網路安全中心（CNCS）指出，攻擊IP位址源自美國與俄羅斯。</p> <p>資安新聞網站Bleeping Computer指出，攻擊該組織的勒索軟體是Quantum，駭客從IAD竊得1 TB資料，並勒索65萬美元。為何駭客能輕易將該單位內部網路環境加密？IAD透露，他們僅有部署防毒軟體，並未配置獨立的資安團隊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomexx-claims-ransomware-attack-on-sea-doo-ski-doo-maker/"><span style="color: rgb(0, 0, 0);">水上及冰上摩托車Sea-Doo、Ski-Doo製造商遭駭，勒索軟體RansomEXX聲稱是他們所為</span></a></strong></h3> <p>加拿大水上摩托車Sea-Doo及冰上摩托車Ski-Doo製造商<a href="https://news.brp.com/news-releases/news-release-details/brp-reports-cyberattack">BRP於8月8日遭到網路攻擊</a>，<a href="https://news.brp.com/news-releases/news-release-details/brp-resumes-operations-after-cyberattack">初步調查是駭客透過外部廠商入侵的供應鏈攻擊</a>，影響範圍為該公司的內部系統。現在駭客已經打算出售竊得的資料，而使得攻擊者身分曝光。</p> <p>勒索軟體駭客組織RansomEXX於8月23日，在網站上宣稱他們從BRP竊得29.9 GB資料，根據駭客提供的部分檔案，這些資料的內容包含了保密協議、材料供應合約、員工的護照與身分證等，但沒有客戶的個資。<a href="https://news.brp.com/news-releases/news-release-details/brp-provides-information-data-leak">關於上述駭客公布的內容，BRP承認是他們的內部資料</a>，並表示僅有少數員工受到影響，但事隔一天，<a href="https://news.brp.com/news-releases/news-release-details/brp-provides-update-data-leak">BRP發現資料外洩範圍有擴大的跡象</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://arstechnica.com/information-technology/2022/08/plex-imposes-password-reset-after-hackers-steal-data-for-15-million-users/"><span style="color: rgb(0, 0, 0);">串流影音平臺Plex資料外洩，曝露用戶的密碼資料</span></a></strong></h3> <p>擁有3千萬用戶的串流影音平臺Plex通知用戶，他們內部網路遭到駭客入侵，逾半數用戶密碼資料外洩，這些資料包含了使用者名稱、電子郵件信箱，以及受到加密保護的密碼（encrypted password），但不含信用卡或支付卡等交易資料。該公司表示，他們儲存的用戶密碼已透過bcrypt加密演算法處理，想要破解並不容易，但為防萬一，Plex要求所有用戶重設密碼，所有裝置也要重新登錄。</p> <p>這起事故會曝光的原因，是架設密碼外洩查詢網站Have I Been Pwned的資安專家Troy Hunt於8月24日，<a href="https://twitter.com/troyhunt/status/1562318321479204865">公布他收到的通知信</a>。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/08/22/critical-security-release-gitlab-15-3-1-released/#Remote%20Command%20Execution%20via%20Github%20import"><span style="color: rgb(0, 0, 0);">GitLab修補重大漏洞CVE-2022-2884</span></a></strong></h3> <p>8月22日，GitLab發布資安通告，並發布15.1.5、15.2.3，以及15.3.1版本的軟體，當中修補CVSS風險評分達9.9分的重大漏洞CVE-2022-2884，此漏洞與提供從GitHub儲存庫匯入程式碼功能的API有關，一旦攻擊者通過身分驗證，就有可能透過該API進行RCE攻擊，社群版（CE）與企業版（EE）都受到影響。</p> <p>開發團隊表示，若是管理員無法安裝新版軟體，可停用相關匯入功能緩解。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.scmagazine.com/brief/ransomware/karakurt-threatens-leak-of-data-stolen-from-texas-hospital"><span style="color: rgb(0, 0, 0);">駭客組織KaraKurt聲稱握有美國德州McKinney醫院360 GB資料，並打算在暗網出售</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.scmagazine.com/analysis/ransomware/ransomware-attack-on-billing-vendor-leads-to-data-theft-for-942k-patients"><span style="color: rgb(0, 0, 0);">醫療計費管理系統業者Practice Resources遭勒索軟體攻擊，94萬病人資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.jdsupra.com/legalnews/lamoille-health-partners-experiences-3009135/"><span style="color: rgb(0, 0, 0);">醫療保健服務業者Lamoille Health Partners證實遭勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/08/22/cyber-signals-defend-against-the-new-ransomware-landscape/"><span style="color: rgb(0, 0, 0);">微軟指出，8成勒索軟體攻擊事故與軟體、裝置的配置不當有關</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152683">【2022年8月24日】 8萬臺海康威視IP攝影機曝露於重大漏洞風險、伊朗駭客APT35竊取特定人士Webmail信件</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152664">【2022年8月23日】駭客針對俄羅斯控制的克里米亞發動認知戰、惡意軟體Escanor攔截OTP動態密碼資訊攻擊網銀用戶</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152637">【2022年8月22日】總統親臨台灣駭客年會HITCON PEACE 2022、俄羅斯駭客APT29濫用Azure服務發動攻擊</a></strong></strong></strong></p> </div></div></div>
2022/8/25 16:04作者周峻佑https://www.ithome.com.tw/news/152704
VMware Carbon Black的規則更新讓Windows變藍屏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware旗下的Carbon Black端點安全解決方案團隊在周二（8/23）更新了Cloud Sensor規則集，卻造成部分客戶的Windows電腦當機並出現藍色死亡螢幕（BSOD），<a href="https://community.carbonblack.com/t5/Knowledge-Base/Endpoint-Standard-Sudden-Blue-Screens-on-Windows-Devices-23rd/ta-p/114369" target="_blank">使得該團隊當天便回滾了該規則集</a>。</p> <p>VMware是在2019年買下Carbon Black，Carbon Black主要開發基於雲端的端點安全軟體，利用大數據及雲端分析平臺，分析客戶數據以偵測與防範惡意行為，可於Windows、macOS及Linux等端點裝置上安裝Carbon Black Cloud sensor。</p> <p><a href="https://www.reddit.com/r/cybersecurity/comments/wvwffj/carbon_black_edr_version_3701253_causing_bsod/" target="_blank">有一名英國使用者在Reddit上透露</a>，在英國時間23日下午3點時（約莫為臺北時間晚上10點），該組織有500臺端點裝置出現藍色死亡螢幕。</p> <p>根據Carbon Black團隊的說法，造成此事的原因是他們在當天更新了威脅研究規則集至多個雲端區域，而讓Windows裝置開機後就進入藍色死亡螢幕，或是出現停止代號"PFN_LIST_CORRUPT"。</p> <p>此一意外影響所有版本的Carbon Black Cloud Console，3.6.x.x至 3.7.x.x的Carbon Black Cloud Sensor，以及所支援的所有Windows版本。</p> <p>Carbon Black團隊表示，由於他們已回滾了規則集，當裝置發現並更新時便會自動解決此一問題，暫時性的補救措施則是透過Carbon Black Cloud Console把受影響的感應器置入旁路模式（Bypass Mode），以讓裝置能夠成功啟動並移除規則集，但有少部分裝置可能需要在啟動時進入安全模式（Safe Mode）才能解決。</p> </div></div></div>
2022/8/24 11:14作者陳曉莉https://www.ithome.com.tw/news/152665
【資安日報】2022年8月23日，駭客針對俄羅斯控制的克里米亞發動認知戰、惡意軟體Escanor攔截OTP動態密碼資訊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭開打迄今已達半年，在美國及歐洲多個國家聲援烏克蘭下，近期局勢似乎開始翻轉。其中，烏克蘭開始針對俄羅斯占領的克里米亞半島進行軍事行動，而最近他們更進一步駭入當地電視臺，播放烏克蘭總統澤倫斯基的演講，向當地民眾信心喊話。</p> <p>研究人員揭露惡意軟體Escanor的攻擊行動，但值得留意的是，雖然駭客同時提供電腦版與行動裝置版本的惡意軟體，但攻擊者有傾向使用手機版本來發動攻擊的趨勢。</p> <p>鎖定開發者的惡意套件攻擊日益頻繁，上週有240個惡意套件在短短2天上架到PyPI與NPM！研究人員呼籲開發者要提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/i_army_org/status/1560932630597599232"><span style="color: rgb(0, 0, 0);">烏克蘭駭客針對俄羅斯控制的克里米亞發動認知戰，入侵電視臺播放澤倫斯基演講</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/20220823-1807-57620.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20220823-1807-57620.jpg" style="width: 300px; float: right;" /></a>俄羅斯占領的克里米亞半島，近期出現數起疑為烏克蘭軍隊發起的攻擊行動後，烏克蘭駭客也開始對當地民眾進行認知戰。根據烏克蘭國家通訊社（Ukrinform）報導，烏克蘭戰略傳播室AFU StratCom宣稱他們入侵克里米亞電視臺頻道，播放澤倫斯基的演講，以及烏克蘭國旗和克里米亞國旗飄揚的畫面，意圖向當地民眾喊話──克里米亞是烏克蘭的領土。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/escanor-malware-delivered-in-weaponized-microsoft-office-documents"><span style="color: rgb(0, 0, 0);">惡意軟體Escanor同時鎖定PC和手機下手，攔截OTP動態密碼資訊攻擊網銀用戶</span></a></strong></h3> <p>資安業者Resecurity揭露名為Escanor的RAT木馬程式，駭客提供了電腦版與手機版本，並在暗網與Telegram頻道上兜售。此木馬程式具備隱藏式虛擬網路連線（HVNC）模組，攻擊者透過惡意Office文件與PDF檔案來散布Escanor。</p> <p>研究人員指出，攻擊者尤其積極使用行動版本Escanor，攔截OTP動態密碼資訊來攻擊網路銀行的使用者，並可能會收集受害者的GPS坐標、鍵盤輸入的資料，以及瀏覽裝置內的檔案並進行竊取。根據駭客所使用的網域名稱，研究人員認為Escanor很可能出自中東地區的駭客組織APT-C-23。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/more-than-200-cryptominers-flood-npm-and-pypi-registry"><span style="color: rgb(0, 0, 0);">逾200個NPM及PyPI套件被用於挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Aug-19-2022-10-44-14-41-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Aug-19-2022-10-44-14-41-AM.png" style="width: 300px; float: right;" /></a>資安業者Sonatype於8月19日指出，有人自17日開始上傳55個惡意PyPI套件，一旦受害者安裝這些套件，Linux電腦就會被植入挖礦軟體XMRig。</p> <p>隨後，研究人員又發現了186個惡意NPM套件，這些套件的主要共通處，就在於駭客使用了相同的URL下載惡意Bash指令碼，PyPI、NPM網站獲報後很快就下架了這些惡意套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-blames-entrust-for-ddos-attacks-on-leak-sites/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱反遭資安業者Entrust癱瘓網站</span></a></strong></h3> <p>勒索軟體駭客LockBit聲稱在6月攻擊資安業者Entrust，但最近網站遭到DDoS攻擊，而認為可能是Entrust的報復行動。這些駭客在8月21日向資安團隊VX-Underground透露網站遭到DDoS攻擊，且被要求刪除從Entrust竊得的資料，不過此事並未得到Entrust的證實。</p> <p>思科研究人員指出，此次攻擊流量來自上千臺伺服器、每秒發出400次請求。資安新聞網站Bleeping Computer指出，駭客為了進行報復，打算將偷來的資料透過BitTorrent散布。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/18/hardware-based-threat-defense-against-increasingly-complex-cryptojackers/"><span style="color: rgb(0, 0, 0);">駭客偏好挾持記事本程式來進行挖礦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig4b-crypojacker-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig4b-crypojacker-attack-chain.png" style="width: 300px; float: right;" /></a>微軟近期針對挖礦攻擊公布調查的結果，指出駭客使用多種手法來迫使目標裝置挖掘加密貨幣，當中最常見的做法，是利用處於灰色地帶的潛藏危害應用程式（PUA）；而為了規避偵測，這些人越來越偏好濫用可執行檔案進行寄生攻擊（LOLBins），其中有高達85%是運用記事本（notepad.exe），其次是檔案總管（explorer.exe）。</p> <p>研究人員揭露其中一起散布挖礦軟體Mehcrypt的攻擊行動，指出駭客過程中濫用記事本處理程序來向C2連線，並透過處理程序中空化的攻擊手法（Process Hollowing），將挖礦程式碼載入此處理程序執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220818.pdf"><span style="color: rgb(0, 0, 0);">代理伺服器恐被濫用於帳號填充攻擊</span></a></strong></h3> <p>美國聯邦調查局（FBI）於8月18日發出安全公告，警告攻擊者可能會在帳密填充攻擊（Credential Stuffing Attack）的過程中，濫用代理伺服器（Proxy）或配置檔，進而自動化及隱匿攻擊的蹤跡。FBI指出，駭客也可能會鎖定手機App，由於這種軟體的安全性不若網頁應用程式嚴謹，駭客會利用專屬的配置檔，並透過代理伺服器發動帳密填充攻擊。對此FBI呼籲企業與網站管理者應採用多因素驗證，並監控相關攻擊工具的使用者代理（User Agent）字串。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/19/uncovering-a-chromeos-remote-memory-corruption-vulnerability/"><span style="color: rgb(0, 0, 0);">ChromeOS的記憶體中斷漏洞恐導致阻斷服務攻擊</span></a></strong></h3> <p>微軟公布他們通報的ChromeOS重大漏洞CVE-2022-2587，一旦遭到利用，攻擊者可竄改聲音檔案的中繼資料（Metadata），並引誘使用者播放，就有可能觸發漏洞，而導致阻斷服務（DoS）或是RCE攻擊，且無論是透過網頁瀏覽器播放，還是使用已配對的藍牙裝置都會受到影響。此漏洞的CVSS風險評分為9.8分，存在於該作業系統的音訊伺服器元件（CRAS）。Google獲報後於6月發布ChromeOS 102.0.5005.125予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152612"><span style="color: rgb(0, 0, 0);">HITCON PEACE 2022提供多項資安技術入門、交流與求職活動</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securityaffairs.co/wordpress/134719/security/linux-dirtycred-flaw.html"><span style="color: rgb(0, 0, 0);">中國軍校網站遭駭，部分圖片被換成民主才能戰勝獨裁的訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theguardian.com/world/2022/aug/22/nso-group-ceo-shalev-hulio-step-down-israel-pegasus-spyware"><span style="color: rgb(0, 0, 0);">網路間諜公司NSO Group執行長下臺，並將裁員百人</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.honeywellforge.ai/content/dam/forge/en/documents/cybersecurity/Industrial-Cybersecurity-USB-Threat-Report-2022.pdf"><span style="color: rgb(0, 0, 0);">用於工控設備USB隨身碟上出現的惡意軟體，逾8成會破壞ICS系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securityaffairs.co/wordpress/134719/security/linux-dirtycred-flaw.html"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心漏洞DirtyCred</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152637">【2022年8月22日】總統親臨台灣駭客年會HITCON PEACE 2022、俄羅斯駭客APT29濫用Azure服務發動攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152592">【2022年8月19日】中國駭客Winnti將Cobalt Strike拆解以規避偵測、使用惡意軟體Bumblebee的駭客企圖挾持組織AD</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152569">【2022年8月18日】駭客即將突破Android 13安全防護機制、勒索軟體BlackByte 2.0網站提供新的付費項目</a></strong></strong></strong></p> </div></div></div>
2022/8/23 18:26作者周峻佑https://www.ithome.com.tw/news/152664
微軟揭露ChromeOS風險值9.8的重大DoS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/08/19/uncovering-a-chromeos-remote-memory-corruption-vulnerability/" target="_blank">微軟研究人員本周揭露</a>存在ChromeOS的重大漏洞，可被攻擊者用以發動阻斷服務（Denial of Service，DoS）攻擊，最嚴重還可能被遠端執行程式碼。Google已經於6月的安全更新予以修補。</p> <p>編號CVE-2022-2587的漏洞為一記憶體毁損漏洞，攻擊者可修改metadata的音訊，並誘使用戶點擊播放音訊檔觸發，像是以瀏覽器播放、利用配對好的藍牙裝置播放，或是運用中間人攻擊（adversary-in-the-middle，AiTM）遠端開採這項漏洞。本漏洞風險值被列為9.8。</p> <p>這項漏洞位於CRAS（ChromiumOS Audio Server）元件。CRAS是位在OS和ALSA（Advanced Linux Sound Architecture）之間的伺服器元件，作用在將聲音導向新插上的元件，像是USB喇叭或藍牙裝置上。</p> <p>微軟Defender安全研究人員指出，CRAS辨識新裝置的服務SetPlayerIdentity執行過程中使用的函式strcpy，這項函式向以未能邊界檢查（bound check）聞名，也經常引發堆積記憶體溢位漏洞。在本例中，strcpy未能檢查使用者送給SetPlayerIdentity的音訊D-Bus訊息中、代表音樂曲名的「identity」引數（argument）。攻擊者可以藉由修改D-Bus訊息引數為大於128bytes來觸發SetPlayerIdentity的堆積記憶體緩衝溢位。</p> <p>至於如何變更這個metadata，研究人員發現二個情境，包括以瀏覽器播放新歌曲，或是在配對的藍牙裝置播放新歌曲，可遠端造成metadata變更，藉此觸發越界寫入（out of bounds write）。因此攻擊者可以透過誘使用戶在瀏覽器或藍牙裝置上播放音樂，藉此發動DoS或RCE等攻擊。</p> <p>微軟研究人員於4月發現這項漏洞已通知Google Chrome小組。Google已在6月安全更新中釋出ChromeOS 102.0.5005.125版本解決該漏洞。</p> </div></div></div>
2022/8/23 11:04作者林妍溱https://www.ithome.com.tw/news/152646
【資安週報】2022年8月15日到8月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月中旬這一週最受關注的消息，就是先前舉行的美國黑帽（Black Hat）大會，以及8月11日到14日進行的Def Con 30大會之後，許多資安研究人員除了在大會上公布其研究成果，同時也在自家官網揭露相關研究報告，因此相關消息不斷，</p> <p>例如，資安廠商Faraday研究人員接露一個瑞昱半導體（Realtek）系統單晶片eCOS SDK的漏洞，受到不小的關注，雖然瑞昱接獲通報已在今年3月修補，如今研究人員接露漏洞細節，不過採用這款SDK的20多家網通業者，影響不小，而這些廠商是否針對產品釋出更新修補，亦成焦點。其他漏洞修補方面的消息，在臺灣年度資安社群盛會HITCON上，國內資安研究人員解析了上月微軟修補IIS網頁伺服器漏洞的研究經過，微軟7月已經修補，另外也有國內資安研究人員揭露健保卡元件RCE漏洞的研究，業者在今年5月已完成修補。</p> <p>在國內資安威脅方面，臺灣銀行與兆豐銀行分別在9日與11日傳出遭DDoS攻擊，所幸在增加頻寬因應下，網頁未因這樣的攻擊癱瘓；資安業者Group-IB公布中國駭客組織Winnti（亦稱APT41、Wicked Spider）去年整體動向，攻擊目標包括臺灣政府、製造、媒體、醫療機構、法律事務所，並特別揭露其入侵過程，會將Cobalt Strike Beacon拆解傳送，以規避偵測。</p> <p>此外，Google揭露近期Google雲端攔截到每秒6400萬次HTTPS請求的DDoS攻擊，其規模比之前Cloudflare更高，再創DDoS攻擊記錄，而VNC伺服器未設密碼的現況，以及惡意PyPl套件的兩起威脅也有值得特別注意。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/152629#F1"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F2"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F4"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F5"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F6"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F7"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F8"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F9"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152629#F10"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></p> <h3> </h3> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-backdoor-chat-app-with-new-linux-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT27竄改即時通訊軟體MiMi，攻擊Mac電腦，遭鎖定目標集中在臺灣</span></strong></a></h3> <p>資安業者Sekoia、趨勢科技於8月12日，不約而同對遭駭的中國即時通訊軟體MiMi提出警告，駭客主要針對Mac電腦的用戶而來，約從今年5月26日開始，竄改MiMi的2.3.0版軟體，植入後門程式RShell，攻擊者的身分是中國駭客組織APT27（亦稱Iron Tiger、LuckyMouse）。</p> <p>趨勢科技總共找到13個遭鎖定的目標，有10個在臺灣、3個在菲律賓，且疑似有臺灣IT開發公司受害。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/apt41-world-tour-2021" id="F1" name="F1"><span style="color: rgb(0, 0, 0);">中國駭客Winnti將Cobalt Strike拆成154個檔案傳送到受害電腦，進而規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt41-country.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt41-country.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41、Wicked Spider）的攻擊，在去年可說是相當頻繁，資安業者Group-IB近期公布的調查結果印證了此事──這些駭客2021年至少攻擊80個組織，並成功入侵13個組織的內部網路。駭客攻擊的目標包含了臺灣政府、製造、媒體、醫療機構、法律事務所，美國、中國、印度等國家也有受害組織。駭客入侵受害組織的管道，主要是針對網頁應用程式下手，並透過SQL注入攻擊（SQL Injection）進行滲透。</p> <p>比較特別的是，這些駭客在受害電腦植入滲透測試工具Cobalt Strike Beacon的過程中，他們先將檔案以Base64演算法編碼，並以755個字元的大小進行拆解，分成154個部分傳送，再透過作業系統內建的Certutil組裝、還原，而能躲過資安系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mnews.tw/story/20220812sot12014"><span style="color: rgb(0, 0, 0);">台灣銀行9日和兆豐銀行11日遭到DDoS分散式阻斷式攻擊</span></a></strong></h3> <p>因裴洛西8月初訪臺，中國駭客頻頻對臺灣發動網路攻擊的情況，財政部啟動資安警戒應變小組，動員八大行庫與事業機構，進行為期一週的高度警戒，傳出有銀行遭到攻擊的情況。根據工商時報、鏡新聞等媒體的報導，台灣銀行、兆豐銀行先後傳出於9日和11日遭到DDoS攻擊，兩家銀行都在第一時間向財政部通報，且增加頻寬因應，皆並未因這些攻擊而導致網頁癱瘓。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/" id="F3" name="F3"><span style="color: rgb(0, 0, 0);">全球逾8千臺VNC伺服器未受密碼保護</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-–-Top-5-countries-with-exposed-VNCs.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-%E2%80%93-Top-5-countries-with-exposed-VNCs.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble於8月12日提出警告，全球發現至少有8千個未受密碼保護的VNC伺服器，當中又以中國、瑞典最多，皆超過1,500個，美國835個次之。由於不少伺服器隸屬關鍵基礎設施（CI），如，水處理廠、研究設施等，一旦這些系統遭到入侵、竄改組態，很有可能造成嚴重的危害。</p> <p>研究人員指出，近期出現大規模掃描VNC實例（Instance）的現象，駭客試圖存取這類系統的預設連接埠5900，相關流量主要來自荷蘭、俄羅斯，以及烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/two-more-malicious-python-packages-in-the-pypi/107218/" id="F4" name="F4"><span style="color: rgb(0, 0, 0);">研究人員揭露會散布竊密軟體的PyPI套件，偽裝成音效驅動程式常駐受害電腦</span></a></strong></h3> <p>資安業者卡巴斯基揭露ultrarequests、pyquest等惡意PyPI套件，這些套件假冒知名套件requests，且大部分程式碼與requests雷同，僅exception.py元件的程式碼埋藏了攻擊意圖，目的是下載以Python開發的木馬程式W4SP Stealer，竊取受害電腦上的Discord帳號資料。</p> <p>研究人員指出，駭客只針對Windows電腦發動攻擊，且為了常駐於受害電腦，他們會在啟動機碼加入名為Realtek HD Audio Universal Service的服務，來讓木馬程式隨著開機就執行。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-secretslib-drops-fileless-linux-malware-to-mine-monero"><span style="color: rgb(0, 0, 0);">惡意PyPI套件被用於散布無檔案Linux惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png" style="width: 300px; float: right;" /></a>資安業者Sonatype發現名為secretslib的惡意PyPI套件，一旦使用者安裝，將會在Linux主機執行名為tox的可執行檔案（ELF），進而在記憶體內（In Memory）部署挖礦軟體挖取門羅幣（XMR）。</p> <p>研究人員指出，駭客假冒美國伊利諾伊州阿貢國家實驗室（ANL）的工程師名義，並留下此人的聯絡資訊，且tox目前沒有防毒引擎將其識別為有害，使用者難以發現自己下載了惡意套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-bumblebee-loader-the-high-road-to-enterprise-domain-control" id="F6" name="F6"><span style="color: rgb(0, 0, 0);">使用惡意軟體Bumblebee的駭客企圖挾持受害組織的AD</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image17-Aug-15-2022-07-14-40-81-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image17-Aug-15-2022-07-14-40-81-PM.png" style="width: 300px; float: right;" /></a>惡意程式下載器Bumblebee於今年3月被揭露，駭客組織將其用來散布勒索軟體Conti、Diavol，但近期的攻擊手法出現變化。</p> <p>資安業者Cybereason指出，隨著微軟限制Office巨集執行的範圍，使用Bumblebee的駭客改以ISO光碟映像檔和Windows捷徑檔案LNK，來發動釣魚攻擊，一旦受害者開啟存放在ISO檔案裡的LNK檔案，攻擊者就有可能執行Bumblebee，然後使用Cobalt Strike於組織的網路橫向移動，為了能持續在受害電腦運作，駭客濫用遠端桌面連線軟體AnyDesk來達到目的。</p> <p>研究人員指出，這些駭客在發動攻擊的兩天後入侵AD，並利用高權限帳號來進行控制，並使用受害電腦的本機帳號進行資料外洩。但駭客最終的目的，研究人員認為很有可能是散布勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://cloud.google.com/blog/products/identity-security/how-google-cloud-blocked-largest-layer-7-ddos-attack-at-46-million-rps" id="F7" name="F7"><span style="color: rgb(0, 0, 0);">Google攔阻每秒4,600萬次請求的大規模DDoS攻擊</span></a></strong></h3> <p>有<a href="https://s4.itho.me/sites/default/files/images/DDoS_Attack_Graphic_-_pretty_max-2800x2800.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DDoS_Attack_Graphic_-_pretty_max-2800x2800.jpg" style="width: 300px; float: right;" /></a>Google的應用程式防火牆服務Google Cloud Armor用戶，於6月1日遭到HTTPS流量的DDoS攻擊，最高峰達到每秒4,600萬次請求（RPS），較6月中旬Cloudflare揭露的每秒2,600萬次請求多出7成，Google指出這樣的流量規模，相當於10秒內接收到維基百科（全球前十大網站）一整天的請求。所幸這些流量都被應用程式防火牆阻擋，該用戶的網站運作不受影響。</p> <p>根據Google的分析，這些流量來自132個國家、5,256個IP位址，其中巴西、印度、俄羅斯、印尼的流量占3成，很可能是Meris殭屍網路的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.digitalocean.com/blog/digitalocean-response-to-mailchimp-security-incident"><span style="color: rgb(0, 0, 0);">虛擬主機業者DigitalOcean所使用的電子郵件行銷服務MailChimp遭駭，客戶收到重置密碼的釣魚信</span></a></strong></h3> <p>電子郵件行銷系統遭駭，很可能使得用戶也跟著受害。虛擬主機業者DigitalOcean於8月15日發出公告，他們在8日因電子郵件行銷系統MailChimp的帳號遭到停用，有使用者向他們通報，DigitalOcean帳號的密碼遭到竄改。</p> <p>DigitalOcean著手調查發現，他們的MailChimp帳號配置遭到竄改，有人從網域名稱為@arxxwalls.com的電子郵件信箱向DigitalOcean的客戶寄信。該公司研判是他們的MailChimp帳號遭到挾持，並已轉用其他電子郵件行銷系統。</p> <p>8月10日，MailChimp才向DigitalOcean證實內部工具遭到入侵，他們向資安新聞網站Bleeping Computer透露，約有214個MailChimp帳號遭駭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.hhs.gov/sites/default/files/secure-message-evernote-themed-phishing-campaign-tlpwhite.pdf"><span style="color: rgb(0, 0, 0);">駭客架設冒牌的Evernote應用程式網站，對醫療保健組織發動網釣攻擊</span></a></strong></h3> <p>美國衛生及公共服務部（HHS）於8月10日提出警告，駭客寄送釣魚郵件，並架設冒牌的記事本軟體Evernote網站進行攻擊，鎖定當地的醫療保健機構員工而來。一旦收信人開啟郵件裡的URL，將會被引導到上述的惡意網站，並於受害電腦下載、植入JavaScript木馬程式，駭客將其用於竊取機密。該單位表示，駭客的目的很可能要進行商業郵件詐騙（BEC）。他們呼籲醫療機構要提高警覺，並加強員工的資安意識。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-attack-uk-water-supplier-but-extort-wrong-company/"><span style="color: rgb(0, 0, 0);">英國自來水業者遭到勒索軟體Clop攻擊，但駭客疑似一度弄錯受害的對象</span></a></strong></h3> <p>根據資安新聞網站Bleeping Computer的報導，英國自來水公司South Staffordshire Water於8月15日公告遭到網路攻擊，導致IT網路中斷，但強調供水一切正常。</p> <p>隔日另一家水資源公司Thames Water也傳出遭到攻擊，勒索軟體Clop宣稱是他們所為，並能操控該公司的SCADA系統，並竊得5 TB資料，但遭到否認。而這兩起事件似乎有所關連，因為根據駭客公布的部分資料，這些資料很可能來自英國自來水公司South Staff Water。Clop於17日聲稱他們攻擊的目標其實是South Staff Water。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/killnet-releases-proof-its-attack-against-lockheed-martin" id="F10" name="F10"><span style="color: rgb(0, 0, 0);">美國航太製造商洛克希德·馬丁遭DDoS攻擊，俄羅斯駭客Killnet聲稱竊得員工個資</span></a></strong></h3> <p>8月1日，美國航太製造商洛克希德·馬丁（Lockheed Martin）傳出遭到DDoS攻擊，俄羅斯駭客組織Killnet聲稱是他們所為，但最近傳出這些駭客疑似握有該公司部分內部資料。根據新聞網站Newsweek的報導，Killnet於8月11日在Telegram群組上傳一段影片，並聲稱是洛克希德·馬丁員工的個資。</p> <p>經資安業者Searchlight Security威脅情報分析師Louise Ferrett解析，這些資料確實是該公司員工的資料，但研究人員認為，駭客未必真正成功入侵，他們公布的很有可能之前流出的舊資料。針對這些資料的洩露，洛克希德·馬丁並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.accenture.com/us-en/blogs/security/cybercriminals-weaponizing-leaked-ransomware-data"><span style="color: rgb(0, 0, 0);">勒索軟體駭客竊得的資料逾9成會外流，多半用於BEC、VEC詐騙</span></a></strong></h3> <p>資安業者Accenture自2021年7月至2022年7月，針對20個最活躍的勒索軟體駭客網站進行調查，結果發現，這段期間受害的4,026個組織，約有91%資料遭到外洩。這些被洩露的資料最常見的是財務資料，其次才是員工與客戶的個資，以及往來資料。研究人員指出，這些資料正是駭客用於發動商業郵件詐騙（BEC）最有用的材料，也有可能會被用於供應商郵件詐騙攻擊（VEC）。</p> <p>為了讓受害組織的資料更為容易利用，該公司發現有部分駭客組織將網站架設在網際網路，再者，駭客組織BlackCat（Alphv）、Industrial Spy則是提供資料搜尋功能，這兩個組織的網站在今年7月，就有上萬次找尋受害組織發票資料的情況，突顯這些資料被用於BEC與VEC攻擊可說是相當猖獗。</p> <h3><strong style="font-size: 22px;"><a href="https://www.phishlabs.com/blog/new-report-documents-highest-volume-of-response-based-email-threats-since-2020/"><span style="color: rgb(0, 0, 0);">電話客服網釣自2021年以來增加超過6倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vishing.png" style="width: 300px; float: right;" /></a>資安業者Agari與PhishLabs聯手，發布2022年第2季的網路釣魚威脅分析報告，當中特別提及使用語音的網釣攻擊（Vishing）現今相當氾濫，相較於2021年第1季，2022年第2季的攻擊數量增加了625%。</p> <p>研究人員指出，現在的網釣攻擊已朝向多階段的混合攻擊發展，Vishing就占了所有網釣攻擊的四分之一。在這種手法中，駭客先是寄送電子郵件，並引誘受害者撥打信件上的「客服」電話，再透過電話騙得敏感資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/m7gb43/microsoft-employees-exposed-login-credentials-azure-github"><span style="color: rgb(0, 0, 0);">多名微軟員工疑似在GitHub曝露公司基礎設施的帳密</span></a></strong></h3> <p>新聞網站Motherboard取得資安業者spiderSilk的說法指出，有7個疑似微軟員工的人士在GitHub上，曝露微軟在Azure基礎設施的帳密，其中一個GitHub用戶在個人資料表明自己隸屬微軟。研究人員指出，7組帳密有3個仍在使用，另外4組已失效。</p> <p>Motherboard向微軟進行確認此事，並得到證實，不過，微軟表示目前尚未有帳密遭到濫用的跡象。由於今年3月才有駭客組織Lapsus$取得微軟Azure DevOps管理帳號的存取權限，進而洩露Bing、Cortana等服務的原始碼，這起微軟內部使用的Azure管理帳號資料外洩也引起外界關注。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152492"><span style="color: rgb(0, 0, 0);">健保資料庫侵犯隱私權，憲法法庭判健保法應3年內修法</span></a></strong></h3> <p>個資保護也與資安息息相關，而在國內主要的法規依據是個人資料保護法，但對於公部門如何運用民眾個資，仍有所不足。例如，憲法法庭8月12日判決健保資料庫違憲，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。</p> <p>健保署回應尊重憲法法庭判決，承諾將修法或制定法制，包括健保資料利用法制與當事人健保資料停止利用權（即退出權）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/acn/202208120290.aspx"><span style="color: rgb(0, 0, 0);">中國上海疫調App「隨申碼」遭駭，4,850萬用戶個資流入地下論壇</span></a></strong></h3> <p>在6月有人在地下論壇Breach Forums兜售10億中國民眾個資後，又有駭客在該論壇求售竊得的資料。根據中國媒體南方都市報的報導，上海市疫情防控的應用程式「隨申碼」疑似遭到入侵，駭客竊得4,850萬用戶個資，並於Breach Forums以4千美元的價格出售。</p> <p>為取信買家，該名駭客提供47組資料，經該媒體打電話確認後，有部分民眾證實資料正確。對此，上海市大數據中心表示，他們只負責研發隨申碼，資料並非由該單位流出；上海市民服務熱線12345工作人員表示無法處理相關事件，並建議個資外洩民眾向公安報案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly"><span style="color: rgb(0, 0, 0);">安卓惡意程式Sova納入了勒索軟體功能</span></a></strong></h3> <p>資安業者Cleafy發現，駭客近期在安卓木馬Sova第5版裡，新增了檔案加密功能，研究人員表示，雖然第5版仍在開發階段，但7月出現的第4版Sova已可偽裝成200種以上的App，並具備攔截雙因素驗證所需資料，以及竊取Cookie的功能，還能鎖定多種Google服務下手，如Gmail、行動支付GPay，以及密碼管理器等，此外，該惡意程式能阻止使用者將其移除。研究人員提出警告，使用者應防範此木馬程式的相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/smokeloader-using-old-vulnerabilities"><span style="color: rgb(0, 0, 0);">惡意程式SmokeLoader利用5年前Office漏洞入侵受害電腦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/1659741278693.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/1659741278693.png" style="width: 300px; float: right;" /></a>許多人會關注零時差漏洞的修補與相關攻擊行動，但公布多年的漏洞，若是沒有得到處理，還是有可能成為駭客攻擊的對象。資安業者Fortinet揭露惡意軟體SmokeLoader近期的攻擊行動，駭客以採購訂單為幌子發送釣魚郵件，研究人員看到郵件被送到臺灣大型電信業者代管的電子郵件信箱，內容使用了正體中文或英文書寫，且簽名檔具備電話、傳真、等聯絡方式，此信件帶有名為Purchase Order FG-20220629.xlsx的附件。</p> <p>一旦收信人開啟附件，攻擊者就會利用CVE-2017-0199、CVE-2017-11882等Office漏洞，在受害電腦部署SmokeLoader並用來下載木馬程式zgRAT。研究人員認為，這些漏洞公布長達5年，但至今仍被駭客積極利用，顯然很多電腦可能沒有修補相關弱點，而讓攻擊者有機可趁。</p> <h3><a href="https://holdsecurity.com/news/2022/08/att-customer-data-found-on-the-dark-web/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2,300萬AT&T用戶資料流入暗網，但該公司聲稱可能是信貸業者遭駭而外洩相關資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png" style="width: 300px; float: right;" /></a>資安業者Hold Security於8月4日，從暗網論壇取得1.6 GB的壓縮檔案，內有3.6 GB的大型檔案，經過分析，此檔案內含28,511,318筆資料，當中包含使用者的全名、手機號碼、室內電話號碼、住址、出生日期、社會安全碼（SSN）等，共約有2,300萬個SSN、2,280萬個電子郵件信箱，駭客以20萬美元的價格起標。根據這些資料的特徵，研究人員認為資料很可能來自AT&T。</p> <p>AT&T聲稱，該公司的系統尚無遭到入侵及資料外洩的跡象，並向資安新聞網站Recorded Future表示，這些資料疑似來自於先前信貸機構資料外洩的事件。即便如此，難道AT&T對於合作廠商的資安沒有監督的責任嗎？</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/chinese-cyberespionage-operations"><span style="color: rgb(0, 0, 0);">中國駭客鎖定圖博社群發起RedAlpha攻擊行動，使用ext4後門程式攻擊CentOS網頁伺服器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese_cyberespionage_operations_1_alt_d1515b6b1c.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese_cyberespionage_operations_1_alt_d1515b6b1c.png" style="width: 300px; float: right;" /></a>資安新聞網站Recorded future揭露中國駭客組織RedAlpha鎖定圖博民族的攻擊行動，駭客利用名為ext4的Linux後門程式，部署於受害組織環境。研究人員分析此後門程式發現，其攻擊來源竟為中國清華大學的基礎設施，並不斷嘗試存取同一個感染後門程式的網頁伺服器。</p> <p>除了針對圖博社群發動攻擊，這些駭客近期針對有地緣政治的組織進行網路偵察，如：阿拉斯加州政府、阿拉斯加自然資源部、聯合國內羅畢辦事處，以及肯尼亞港務局。此外，駭客也在德國汽車集團Mercedes-Benz Group AG（原Daimler AG）下修獲利的預測時，進行網路掃描。</p> <p>基於上述偵察都與中國經濟利益有關，且攻擊來源是中國清華大學的基礎設施，研究人員認為RedAlpha的攻擊很可能與中國政府有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/15/disrupting-seaborgiums-ongoing-phishing-operations/"><span style="color: rgb(0, 0, 0);">微軟封鎖俄羅斯駭客Seaborgium網釣攻擊帳號</span></a></strong></h3> <p>微軟於8月15日宣布破壞俄羅斯駭客組織Seaborgium的網路釣魚行動，該組織持續鎖定特定的組織及個人發動網釣攻擊，特別是北約國家，以竊取這些個人或組織員工的憑證，進而長期竊取與蒐集資料，並利用這些資料來發動資訊戰。微軟關閉遭到駭客濫用的微軟服務帳號，包括LinkedIn、OneDrive，以及電子郵件等。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/russia-ukraine-shuckworm"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Shuckworm鎖定烏克蘭散播竊密軟體</span></a></strong></h3> <p>資安業者賽門鐵克發現自7月15日開始，俄羅斯駭客組織Shuckworm（亦稱Gamaredon、Armageddon）散布竊密軟體（Info Stealer）的攻擊行動，他們看到受害電腦先是下載7-Zip自解壓縮檔，隨後MSHTA程式下載了XML檔案，並植入多個PowerShell竊密程式。研究人員指出，駭客疑似濫用VCD、H264、ASC等副檔名來偽裝惡意程式，並透過遠端桌面連線應用程式Ammyy Admin或AnyDesk來存取受害電腦。由於攻擊行動仍持續當中，研究人員也提供入侵指標（IoC）供組織防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.storm.mg/article/4469272"><span style="color: rgb(0, 0, 0);">中國威脅加劇恐影響臺灣金融，在野黨提出金融漢光演習，並認為金融業應3個月內全面設置資安長</span></a></strong></h3> <p>經濟日報、新新聞的報導，國民黨團於8月12日提出呼籲，針對中國的文攻武嚇加劇，政府應該針對金融業進行「金融漢光演習」，由財經部會及國安部門通力合作，進行相關的兵棋推演，內容應包含網路攻擊，以及股匯市的因應。該黨團彙整18套劇本，並認為金融業應3個月內全面完成資安長設置，行政院也必須落實相關的資安防護業務。</p> <p>對此，<a href="https://money.udn.com/money/story/5613/6532877">金管會表示</a>，他們對金融機構的日常監理工作已涵蓋各項演練及壓力測試，評估不需另外辦理金融漢光演習。而對於上述限期全面設置資安長的看法，金管會沒有表示意見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/8/15/23306650/def-con-hacker-john-deere-tractors-run-doom-right-to-repair"><span style="color: rgb(0, 0, 0);">研究人員竄改拖拉機配置來執行其他功能</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png" style="width: 300px; float: right;" /></a>研究人員Sick Codes近日於DEF CON大會上，駭入強鹿（John Deere）曳引機，並在拖拉機上的螢幕執行電玩遊戲毀滅戰士（Doom）。這名研究人員表示，他成功進入經銷商模式來繞過系統保護，進而取得了曳引機的root權限，而能夠在覆蓋原本的操作介面下執行遊戲。</p> <p>但為何要針對拖拉機進行研究？Sick Codes向Wired透露，他認為此種設備的資安漏洞很可能導致拖拉機停擺，進而會影響食物供應，另一方面，他也希望農夫能有完整權限掌控買到的設備，而能擁有自行維修的權利。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/apt-c-35-new-windows-framework-revealed"><span style="color: rgb(0, 0, 0);">駭客組織APT-C-35鎖定巴基斯坦政府部門，透過RTF檔案發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/APT-C-35_pasted image 1.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/APT-C-35_pasted%20image%201.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露近期駭客組織APT-C-35（亦稱Donot Team）的攻擊行動，該組織鎖定巴基斯坦國防部等政府部門，發送內含RTF檔案的釣魚郵件進行攻擊。一旦收信人開啟附件並啟用巨集，電腦就有可能被植入惡意程式。</p> <p>當受害者開啟附件後，此RTF檔案就會下載帶有惡意巨集的Office檔案並執行，接著濫用Windows的API植入Shell Code，檢查受害電腦安裝的防毒軟體並下載對應工具來規避偵測，進而部署惡意軟體竊取機密，並回傳到C2。此惡意軟體能側錄鍵盤輸入的內容、執行螢幕截圖，以及竊取外接式裝置的檔案、瀏覽器資料等。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/checkmarx-security/typosquatting-campaign-targeting-12-of-pythons-top-packages-downloading-malware-hosted-on-github-9501f35b8efb"><span style="color: rgb(0, 0, 0);">惡意Python套件鎖定電玩絕對武力的伺服器，發動DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/1_Yq0ZG2IaCAwzT1HAA5DNGQ.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/1_Yq0ZG2IaCAwzT1HAA5DNGQ.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx在8月13日發現，有人上傳了十幾個惡意PyPI套件，起初主要是散布惡意軟體，但事隔一天，研究人員看到攻擊者有了新的動作，針對電玩遊戲絕對武力（Counter-Strike）1.6版的俄羅斯伺服器，發動DDoS攻擊。</p> <p>值得一提的是，駭客利用誤植套件名稱（Typosquatting）的方式，假冒熱門套件，讓受害者不易察覺，如：他們製作inda惡意套件，就是模仿每月有2.2億次下載的「idna」（將d和n順序對調）。</p> <p>再者，駭客在惡意程式產生與C2連線的DGA網域過程中，也濫用GitHub存放檔案的網域──先是從特定TXT檔案取得相關資料，若是嘗試存取3次仍無法建立連線，則接續由另一組GitHub帳號進行測試。但研究人員指出，駭客濫用的GitHub使用者ID目前都沒有人使用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.threatfabric.com/blogs/bugdrop-new-dropper-bypassing-google-security-measures.html"><span style="color: rgb(0, 0, 0);">Android 13防堵惡意程式提升權限的安全防護機制即將遭到破解，駭客製作能模仿合法應用程式安裝流程的工具BugDrop</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bugdrop-poc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bugdrop-poc.png" style="width: 300px; float: right;" /></a>Google在8月15日正式推出Android 13作業系統，並開始提供Pixel手機用戶升級。新版作業系統在安全性上，特別針對以側載（Side Loading）執行的軟體，限縮能夠取得的權限，來減少攻擊者用來提升惡意程式權限的現象。但最近已有駭客破解這種防護機制，且很有可能快要成功。</p> <p>資安業者ThreatFabric發現，駭客組織Hadoken Group正在開發名為BugDrop惡意程式下載器（Dropper），試圖以多階段安裝惡意軟體元件的做法，模仿從Google Play市集下載的App安裝流程，突破這種防護措施，進而讓惡意軟體能取得輔助服務（Accessibility Service）的權限來控制手機。研究人員表示，BugDrop雖然尚在開發階段，但是這種新的部署惡意軟體手法，將可能會讓Android 13的防護機制失去作用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/blackbyte-ransomware-gang-is-back-with-new-extortion-tactics/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte 2.0變得更加死要錢，就連暫緩資料外洩也成為收費項目</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blackbyte-new-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackbyte-new-data-leak-site.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackByte於去年夏天出現，攻擊舊金山49人美式足球隊而聞名，該駭客組織在沉寂一段時間後，最近有了新的動作。根據資安新聞網站Bleeping Computer的報導，這些駭客宣稱推出BlackByte 2.0新版，並架設新的受害組織公布網站。</p> <p>此網站與過往最大的不同點，在於提供了額外收費的選項，例如，支付5千美元能要求駭客延後1天公布受害組織的資料，支付20萬美元可下載資料，若是要銷毀駭客竊得的資料，則要價30萬美元。研究人員表示，這些金額駭客有可能會根據受害組織規模進行調整。</p> <p>這些新的收費項目將使得駭客的勒索行為變得更加複雜。受害組織可能因為無法接受贖金金額，選擇付錢增加對外處理的緩衝時間，或是得知遭竊資料內容，再者，這些資料也有機會被他人買走。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks" id="F2" name="F2"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek eCos SDK存在RCE漏洞，恐波及採用RTL819x晶片的連網設備</span></strong></a></h3> <p>資安業者Faraday Security在8月12日於DEF CON大會上，公布他們找到並向臺廠瑞昱半導體（Realtek）通報的高風險漏洞CVE-2022-27255，此漏洞存在於eCos SDK軟體裡，影響採用RTL819x晶片的連網設備，一旦攻擊者加以利用，可導致SIP ALG模組出現記憶體緩衝區溢位，進而發動RCE攻擊。瑞昱半導體於3月25日發布資安通告，並提供修補程式。</p> <p>研究人員指出，他們至少確認有4個廠牌、13款連網設備受到影響，而且光是在拉丁美洲，就賣出了13萬臺存在漏洞的設備，他們認為此漏洞很可能會被駭客用於大規模攻擊，呼籲相關設備製造商應儘速修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-blocks-uefi-bootloaders-enabling-windows-secure-boot-bypass/" id="F8" name="F8"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現UEFI韌體簽章漏洞，23家廠商可能受到影響</span></strong></a></h3> <p>資安業者Eclypsium公布他們發現的UEFI漏洞CVE-2022-34301、CVE-2022-34302、CVE-2022-34303，並指出很可能波及近10年推出的x86電腦與Arm電腦，一旦上述漏洞遭到利用，攻擊者很有可能藉此破壞開機過程的完整性，進而竄改作業系統配置，或是部署後門程式等行為。</p> <p>CERT/CC指出，可能有23家廠商的電腦或軟體會受到影響，但目前只有3家廠商發布相關公告，其中，微軟發布KB5012170安全更新，Phoenix Technologies、紅帽則表示旗下產品不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">HITCON 2022揭露臺灣資安研究最新趨勢，剖析微軟IIS、健保卡弱點與新型偵測技術</span></a></strong></h3> <p>台灣駭客年會HITCON PEACE 2022於20日閉幕，今年受關注的議程不少，國內資安專家有多項最新漏洞揭露，以及資安技術研究的發表。例如，在第二日的議程中，在全球資安圈早已聲名大噪的臺灣戴夫寇爾首席資安研究員Orange Tsai（蔡政達），繼之前通報微軟ProxyLogon重大漏洞，今年他又針對普遍企業採用的微軟IIS網站伺服器，挖掘出3個潛在弱點並通報，讓微軟能及早修補，避免被攻擊者發現而利用。這項漏洞研究成果，在兩周前，他才於美國Black Hat與Def CON大會分享給全球資安研究人員，微軟也已經在7月發布的例行安全性更新中修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-security-updates-fix-2-zero-days-used-to-hack-iphones-macs/" id="F5" name="F5"><span style="color: rgb(0, 0, 0);">蘋果修補iOS裝置與Mac電腦的零時差漏洞CVE-2022-32894、CVE-2022-3289393</span></a></strong></h3> <p>蘋果於8月17日緊急修補CVE-2022-32894與CVE-2022-32893，這些漏洞存在於作業系統核心與Safari瀏覽器排版引擎WebKit，執行iOS、iPadOS，以及macOS作業系統的裝置都有可能受到影響，一旦遭到利用，攻擊者將能執行任意程式碼。蘋果發布iOS 15.6.1、iPadOS 15.6.1，以及macOS Monterey 12.5.1修補上述漏洞，並指出兩個漏洞都已經被用於攻擊行動，呼籲使用者要儘速更新作業系統。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/08/stable-channel-update-for-desktop_16.html"><span style="color: rgb(0, 0, 0);">Google修補瀏覽器已被用於攻擊行動的零時差漏洞CVE-2022-2856</span></a></strong></h3> <p>Google於8月16日發布電腦版Chrome瀏覽器更新104.0.5112.102（Windows版）、104.0.5112.101（macOS、Linux版），當中總共修補11個安全漏洞，其中最值得留意的是高風險漏洞CVE-2022-2856，此漏洞與Intents未受信任的輸入驗證不充分有關，且已出現攻擊行動。而這已是今年出現的第5個Chrome零時差漏洞。</p> <h3><a href="https://research.checkpoint.com/2022/researching-xiaomis-tee/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搭載聯發科晶片的小米手機存在支付系統漏洞，攻擊者有可能用來洗劫手機用戶的銀行帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png" style="width: 300px; float: right;" /></a>資安業者Check Point指出，搭載聯發科晶片的小米手機可能存在CVE-2020-14125漏洞，此漏洞與該廠牌手機使用的Kinibi受信任執行環境（TEE）有關，一旦攻擊者加以利用，就有可能讓手機的行動支付功能無法使用，或是將受害者的存款轉給自己。</p> <p>小米於今年6月完成修復，研究人員呼籲使用者要儘速安裝新版韌體。</p> <h3><a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoom修補macOS版用戶端軟體更新元件弱點，攻擊者有機會取得root權限</span></strong></a></h3> <p>研究人員Patrick Wardle於8月12日，於DEF CON大會公布Zoom兩個macOS版用戶端軟體漏洞CVE-2022-28756、CVE-2022-28751，CVSS風險評分皆達到8.8分。上述漏洞都與握有Super User權限的自動更新元件有關，一旦加以串連利用，就有可能取得root的執行權限，部署、更動、刪除Mac電腦的任何檔案。Zoom於8月13日發布5.11.5版予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/nozomi-networks-researchers-reveal-zero-day-rtls-vulnerabilities-at-black-hat-22/"><span style="color: rgb(0, 0, 0);">研究人員在美國黑帽大會揭露即時定位系統的零時差漏洞，恐被用於竄改地理位置資訊</span></a></strong></h3> <p>資安業者Nozomi Networks在黑帽大會（Black Hat USA 2022）上，展示了超寬頻（Ultra-wideband，UWB）即時定位系統（Real Time Locating Systems，RTLS）的安全漏洞，指出RTLS的處理程序缺乏安全標準，可能會遭到中間人（MitM）攻擊，研究人員於Sewio Indoor Tracking與Avalue Renity Artemis Enterprise裝置上找到了零時差漏洞，一旦駭客利用這些漏洞，將能取得藉由無線網路傳遞的位置資訊。研究人員呼籲部署RTLS系統時應採用加密流量，也考慮設置防火牆與入侵偵測系統（IDS）。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152538" id="F9" name="F9"><span style="color: rgb(0, 0, 0);">臺灣政府零信任網路戰略成形，首波推動A級公務機關導入</span></a></strong></h3> <p>零信任架構（Zero Trust Architecture，ZTA）備受資安圈與全球政府重視，不只是美國政府在近一年來提出具體規畫，我國政府今年亦將開始行動，根據行政院國家資通安全會報技術服務中心，他們在7月中旬揭露相關資訊，並指出為了強化政府資安防護，導入零信任網路已經成為既定政策，目前確定將優先推動國內A級機關逐步導入。現階段正遴選機關試行，將以逐年導入方式，在2022年到2024年，建立起零信任網路中的「身分鑑別」、「設備鑑別與「信任推斷」3大核心機制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mohw.gov.tw/cp-5271-71073-1.html"><span style="color: rgb(0, 0, 0);">衛生福利部首度舉辦醫院資安攻防演練</span></a></strong></h3> <p>8月17日，衛生福利部在於林口長庚紀念醫院舉行醫院資安攻防演練，由林口長庚醫院與長庚醫學科技公司的資訊、醫工與工務人員為防禦主體，搭配多家資安服務協辦廠商組成防禦團隊，並由3家資安服務業者模擬駭客手法，透過編製腳本攻擊方式進行攻防演練。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣資安盛會HITCON PEACE登場，總統蔡英文指出網攻混合戰升溫，產官學界攜手駭客社群文化與能量，強化國家整體韌性</span></a></strong></h3> <p>邁入第18年的臺灣駭客年會HITCON年度盛會，在今明兩日（19日、20日）舉辦，對於國內資安社群的蓬勃發展，總統蔡英文再度蒞臨首日活動現場並上臺致詞，強調產官學與駭客社群協力的重要性，首日上午議程更是有國際級資安專家分享2022年的威脅態勢與供應鏈安全最新對策。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-223a"><span style="color: rgb(0, 0, 0);">美國CISA對勒索軟體Zeppelin攻擊行動提出警告</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/argentinas-judiciary-of-c-rdoba-hit-by-play-ransomware-attack/"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿根廷司法機構遭Play勒索軟體攻擊，關閉IT系統</span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.recordedfuture.com/redalpha-credential-theft-campaign-targeting-humanitarian-thinktank"><span style="color: rgb(0, 0, 0);">中國駭客RedAlpha假冒美國在臺協會的名義，攻擊臺灣組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html"><span style="color: rgb(0, 0, 0);">Google加碼Linux核心懸賞計畫kCTF的獎勵</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152612"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">HITCON PEACE 2022不只多項資安專業議程，同時提供更多資安技術入門、交流與求職活動</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/twilio-125-customers-affected-by-data-breach-no-passwords-stolen/"><span style="color: rgb(0, 0, 0);">雲端通訊平臺業者Twilio表示125名用戶受到攻擊事件影響，尚未發現密碼外洩情事</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://support.signal.org/hc/en-us/articles/4850133017242"><span style="color: rgb(0, 0, 0);">雲端通訊服務業者Twilio洩露近1,900名Signal用戶的電話號碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/lockbit-claims-ransomware-attack-on-security-giant-entrust/"><span style="color: rgb(0, 0, 0);">資安業者Entrust於6月傳出遭到勒索軟體攻擊，LockBit聲稱是他們所為</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://therecord.media/pro-kremlin-hackers-target-latvias-parliament-after-declaring-russia-a-sponsor-of-terrorism/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet聲稱對拉脫維亞議會發動DDoS攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cybernews.com/cyber-war/russian-hackers-target-finland-parliaments-website/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客NoName057(16)對芬蘭議會發動DDoS攻擊，起因是芬蘭打算加入北約組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.scmagazine.com/analysis/breach/behavioral-health-group-informs-198k-patients-of-data-theft-from-december?web_view=true"><span style="color: rgb(0, 0, 0);">醫療保健業者Behavioral Health Group去年底遭到網路攻擊，近20萬人資料外洩</span></a></span></strong></p> <h3><strong style="font-size: 13px;"><span style="font-size: 20px;"><a href="https://flashpoint.io/resources/report/state-of-data-breach-intelligence-2022-midyear/"><span style="color: rgb(0, 0, 0);">2022上半資料外洩事故出現近2千起</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.accenture.com/us-en/blogs/security/cybercriminals-weaponizing-leaked-ransomware-data"><strong><span style="color: rgb(0, 0, 0);">勒索軟體駭客傾向將竊得資料用於BEC詐騙</span></strong></a></span></strong></p> <h3><strong><span style="font-size: 20px;"><a href="https://hub.elliptic.co/analysis/cross-chain-crime-more-than-half-a-billion-dollars-has-been-laundered-through-a-cross-chain-bridge/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過RenBridge平臺洗錢，3年隱匿5.4億美元加密貨幣流向</span></a></span></strong></h3> <div><strong><strong><span style="font-size: 20px;"><a href="https://www.tpp.org.tw/vdodetail/2204"><strong>繼立院國民黨團向政府喊話應進行「金融漢光演習」，民眾黨團也呼籲政府應進行金融戰爭的兵棋推演</strong></a></span></strong></strong></div> <h3><a href="https://tw.stock.yahoo.com/news/%E9%99%B8%E9%AB%98%E9%90%B5%E5%8F%B2%E4%B8%8A%E6%9C%80%E5%A4%A7%E7%AF%84%E5%9C%8D%E8%AA%A4%E9%BB%9E-%E7%B6%B2%E6%B0%91%E8%B3%AA%E7%96%91%E9%A7%AD%E5%AE%A2%E5%85%A5%E4%BE%B5-121123608.html"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國高鐵大範圍誤點，疑資料外洩讓駭客有機可趁，而能夠入侵相關系統</span></strong></a></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-use-signed-macos-malware-to-target-it-job-seekers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定Mac電腦用戶，以Coinbase職缺為幌子發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/blog/pypi-malware-discord-roblox-credential-payment-info/"><span style="color: rgb(0, 0, 0);">惡意PyPI套件竊取Discord、Roblox帳密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/threat-in-your-browser-extensions/107181/"><strong><span style="color: rgb(0, 0, 0);">廣告程式為瀏覽器擴充程式的最大威脅，今年上半有百萬用戶遭到相關攻擊</span></strong></a></span></strong></p> <h3><strong style="font-size: 13px;"><span style="font-size: 20px;"><a href="https://www.idsalliance.org/press-release/new-study-reveals-84-of-organizations-experienced-an-identity-related-breach-in-the-last-year/"><span style="color: rgb(0, 0, 0);">2021年有84%企業遭到身分竊盜有關的網路攻擊</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.mandiant.com/resources/suspected-iranian-actor-targeting-israeli-shipping"><span style="color: rgb(0, 0, 0);">伊朗駭客UNC3890鎖定以色列航運、醫療、政府機關發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152629"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-19-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/8/22 15:32作者羅正漢https://www.ithome.com.tw/news/152629
【資安日報】2022年8月19日，中國駭客Winnti將Cobalt Strike拆解以規避偵測、使用惡意軟體Bumb…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Winnti的動態相當引人關注，去年亦有許多攻擊事故傳出，但為何該組織的攻擊行動如此容易得逞？有研究人員指出，駭客在傳送滲透測試工具Cobalt Strike Beacon的過程中，不只先把檔案重新編碼，還拆解成超過150個檔案進行傳送，而讓資安系統無法解析攻擊的意圖。</p> <p>惡意程式下載器Bumblebee近期的攻擊行動也值得留意，駭客將其在受害組織執行，再搭配Cobalt Strike、AnyDesk等工具進行寄生攻擊（LOL），最終掌控了整個組織的AD。</p> <p>一年一度的臺灣駭客年會（HITCON）於今明兩日舉行，並首度移師南港展覽館，將會有超過30個資安研究發表，且增設專供學生主講的議程，吸引莘莘學子投入資安研究。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/apt41-world-tour-2021"><span style="color: rgb(0, 0, 0);">中國駭客Winnti將Cobalt Strike拆成154個檔案傳送到受害電腦，進而規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt41-country.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt41-country.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41、Wicked Spider）的攻擊，在去年可說是相當頻繁，資安業者Group-IB近期公布的調查結果印證了此事──這些駭客2021年至少攻擊80個組織，並成功入侵13個組織的內部網路。駭客攻擊的目標包含了臺灣政府、製造、媒體、醫療機構、法律事務所，美國、中國、印度等國家也有受害組織。駭客入侵受害組織的管道，主要是針對網頁應用程式下手，並透過SQL注入攻擊（SQL Injection）進行滲透。</p> <p>比較特別的是，這些駭客在受害電腦植入滲透測試工具Cobalt Strike Beacon的過程中，他們先將檔案以Base64演算法編碼，並以755個字元的大小進行拆解，分成154個部分傳送，再透過作業系統內建的Certutil組裝、還原，而能躲過資安系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/chinese-cyberespionage-operations"><span style="color: rgb(0, 0, 0);">中國駭客鎖定圖博社群發起RedAlpha攻擊行動，使用ext4後門程式攻擊CentOS網頁伺服器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese_cyberespionage_operations_1_alt_d1515b6b1c.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese_cyberespionage_operations_1_alt_d1515b6b1c.png" style="width: 300px; float: right;" /></a>資安新聞網站Recorded future揭露中國駭客組織RedAlpha鎖定圖博民族的攻擊行動，駭客利用名為ext4的Linux後門程式，部署於受害組織環境。研究人員分析此後門程式發現，其攻擊來源竟為中國清華大學的基礎設施，並不斷嘗試存取同一個感染後門程式的網頁伺服器。</p> <p>除了針對圖博社群發動攻擊，這些駭客近期針對有地緣政治的組織進行網路偵察，如：阿拉斯加州政府、阿拉斯加自然資源部、聯合國內羅畢辦事處，以及肯尼亞港務局。此外，駭客也在德國汽車集團Mercedes-Benz Group AG（原Daimler AG）下修獲利的預測時，進行網路掃描。</p> <p>基於上述偵察都與中國經濟利益有關，且攻擊來源是中國清華大學的基礎設施，研究人員認為RedAlpha的攻擊很可能與中國政府有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-bumblebee-loader-the-high-road-to-enterprise-domain-control"><span style="color: rgb(0, 0, 0);">使用惡意軟體Bumblebee的駭客企圖挾持受害組織的AD</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image17-Aug-15-2022-07-14-40-81-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image17-Aug-15-2022-07-14-40-81-PM.png" style="width: 300px; float: right;" /></a>惡意程式下載器Bumblebee於今年3月被揭露，駭客組織將其用來散布勒索軟體Conti、Diavol，但近期的攻擊手法出現變化。</p> <p>資安業者Cybereason指出，隨著微軟限制Office巨集執行的範圍，使用Bumblebee的駭客改以ISO光碟映像檔和Windows捷徑檔案LNK，來發動釣魚攻擊，一旦受害者開啟存放在ISO檔案裡的LNK檔案，攻擊者就有可能執行Bumblebee，然後使用Cobalt Strike於組織的網路橫向移動，為了能持續在受害電腦運作，駭客濫用遠端桌面連線軟體AnyDesk來達到目的。</p> <p>研究人員指出，這些駭客在發動攻擊的兩天後入侵AD，並利用高權限帳號來進行控制，並使用受害電腦的本機帳號進行資料外洩。但駭客最終的目的，研究人員認為很有可能是散布勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/m7gb43/microsoft-employees-exposed-login-credentials-azure-github"><span style="color: rgb(0, 0, 0);">多名微軟員工疑似在GitHub曝露公司基礎設施的帳密</span></a></strong></h3> <p>新聞網站Motherboard取得資安業者spiderSilk的說法指出，有7個疑似微軟員工的人士在GitHub上，曝露微軟在Azure基礎設施的帳密，其中一個GitHub用戶在個人資料表明自己隸屬微軟。研究人員指出，7組帳密有3個仍在使用，另外4組已失效。</p> <p>Motherboard向微軟進行確認此事，並得到證實，不過，微軟表示目前尚未有帳密遭到濫用的跡象。由於今年3月才有駭客組織Lapsus$取得微軟Azure DevOps管理帳號的存取權限，進而洩露Bing、Cortana等服務的原始碼，這起微軟內部使用的Azure管理帳號資料外洩也引起外界關注。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/two-more-malicious-python-packages-in-the-pypi/107218/"><span style="color: rgb(0, 0, 0);">研究人員揭露會散布竊密軟體的PyPI套件，偽裝成音效驅動程式常駐受害電腦</span></a></strong></h3> <p>資安業者卡巴斯基揭露ultrarequests、pyquest等惡意PyPI套件，這些套件假冒知名套件requests，且大部分程式碼與requests雷同，僅exception.py元件的程式碼埋藏了攻擊意圖，目的是下載以Python開發的木馬程式W4SP Stealer，竊取受害電腦上的Discord帳號資料。</p> <p>研究人員指出，駭客只針對Windows電腦發動攻擊，且為了常駐於受害電腦，他們會在啟動機碼加入名為Realtek HD Audio Universal Service的服務，來讓木馬程式隨著開機就執行。</p> <h3><strong style="font-size: 22px;"><a href="https://cloud.google.com/blog/products/identity-security/how-google-cloud-blocked-largest-layer-7-ddos-attack-at-46-million-rps"><span style="color: rgb(0, 0, 0);">Google攔阻每秒4,600萬次請求的大規模DDoS攻擊</span></a></strong></h3> <p>有<a href="https://s4.itho.me/sites/default/files/images/DDoS_Attack_Graphic_-_pretty_max-2800x2800.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DDoS_Attack_Graphic_-_pretty_max-2800x2800.jpg" style="width: 300px; float: right;" /></a>Google的應用程式防火牆服務Google Cloud Armor用戶，於6月1日遭到HTTPS流量的DDoS攻擊，最高峰達到每秒4,600萬次請求（RPS），較6月中旬Cloudflare揭露的每秒2,600萬次請求多出7成，Google指出這樣的流量規模，相當於10秒內接收到維基百科（全球前十大網站）一整天的請求。所幸這些流量都被應用程式防火牆阻擋，該用戶的網站運作不受影響。</p> <p>根據Google的分析，這些流量來自132個國家、5,256個IP位址，其中巴西、印度、俄羅斯、印尼的流量占3成，很可能是Meris殭屍網路的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.accenture.com/us-en/blogs/security/cybercriminals-weaponizing-leaked-ransomware-data"><span style="color: rgb(0, 0, 0);">勒索軟體駭客竊得的資料逾9成會外流，多半用於BEC、VEC詐騙</span></a></strong></h3> <p>資安業者Accenture自2021年7月至2022年7月，針對20個最活躍的勒索軟體駭客網站進行調查，結果發現，這段期間受害的4,026個組織，約有91%資料遭到外洩。這些被洩露的資料最常見的是財務資料，其次才是員工與客戶的個資，以及往來資料。研究人員指出，這些資料正是駭客用於發動商業郵件詐騙（BEC）最有用的材料，也有可能會被用於供應商郵件詐騙攻擊（VEC）。</p> <p>為了讓受害組織的資料更為容易利用，該公司發現有部分駭客組織將網站架設在網際網路，再者，駭客組織BlackCat（Alphv）、Industrial Spy則是提供資料搜尋功能，這兩個組織的網站在今年7月，就有上萬次找尋受害組織發票資料的情況，突顯這些資料被用於BEC與VEC攻擊可說是相當猖獗。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON PEACE 2022將於8月19日舉行</span></a></strong></h3> <p>臺灣駭客年會HITCON PEACE 2022將於8月19日至20日在南港展覽館舉行，本次大會以「網路戰生存指南（Survival Guide for the Cyber War）」為題，探討網路戰爭脈絡之下的最新趨勢與技術，估計會有上千名駭客與資安研究人員參與。為了培育新生代資安人才，今年將首度增設「明日之星」議程，針對投入資安研究的學生，提供專屬的發表舞臺。</p> <p>在本次議程裡，將會發表超過30個資安研究成果，包含烏克蘭戰爭與臺灣威脅現況的分析、IIS漏洞挖掘，以及供應鏈安全等。此外，本次將承襲去年舉辦的圓桌會議（Round Table）並將規格擴大，廣邀近40位全臺產官學資安決策者，分別以「資安長」、「智慧製造」及「金融」為題分桌討論，期望產官學能加速產生共識並合作推進臺灣的資安。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.idsalliance.org/press-release/new-study-reveals-84-of-organizations-experienced-an-identity-related-breach-in-the-last-year/"><span style="color: rgb(0, 0, 0);">2021年有84%企業遭到身分竊盜有關的網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/lockbit-claims-ransomware-attack-on-security-giant-entrust/"><span style="color: rgb(0, 0, 0);">資安業者Entrust於6月傳出遭到勒索軟體攻擊，LockBit聲稱是他們所為</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mandiant.com/resources/suspected-iranian-actor-targeting-israeli-shipping"><span style="color: rgb(0, 0, 0);">伊朗駭客UNC3890鎖定以色列航運、醫療、政府機關發動攻擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152569">【2022年8月18日】駭客即將突破Android 13安全防護機制、勒索軟體BlackByte 2.0網站提供新的付費項目</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152544">【2022年8月17日】 DigitalOcean的行銷電子郵件服務MailChimp帳號遭駭、駭客架設冒牌Evernote網站攻擊醫療機構</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152534">【2022年8月16日】 2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁員工個資</a></strong></strong></strong></p> </div></div></div>
2022/8/19 14:27作者周峻佑https://www.ithome.com.tw/news/152592
微軟按需雲端開發箱Dev Box開始預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Build 2022開發者大會上發布的雲端開發箱<a href="https://azure.microsoft.com/zh-tw/blog/announcing-microsoft-dev-box-preview/">Dev Box</a>，現在已經開放預覽。Dev Box是一個託管服務，使開發人員可以在雲端創建按需、安全、特定於專案，立即可開始編寫程式碼的環境。用戶只需要登入Azure入口網站，並且搜尋Dev Box就可以馬上開始使用。</p> <p>Dev Box的出現，便是要滿足企業對於敏捷開發的需求。由於供應鏈關係，企業開發人員常需要數周甚至數月才能採購並部署硬體，開始新專案開發，又或是當前的混合工作模式，迫使企業IT向散布世界各地的開發人員，開放公司內部資源存取，而這可能使開發人員成為網路攻擊的目標。</p> <p>這些狀況曝露出企業在開發工作上，維持敏捷性與安全性的困難，Dev Box則可以解決這樣的問題，開發者可以在Dev Box迅速擁有一個專屬的工作環境，由於Dev Box已經預先配置，包含開發專案和任務所需要的工具和設定，因此開發者能夠簡單地開始撰寫程式，並且在專案間切換，也能迅速進行概念性驗證，或是在專案執行完整建置的等待時間，先執行下一項任務。</p> <p class="rtecenter"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/2c968165-2127-4c26-911b-f1c8fb54a8b0.gif" style="width: 580px;" /></p> <p>Dev Box支援所有在Windows上運作的IDE、SDK和工具，開發人員可以執行任何Windows開發工作負載，包括開發桌面、行動裝置、物聯網和網頁應用程式，而且受惠於Windows Subsystem for Linux以及Windows Subsystem for Android，Dev Box甚至支援跨平臺應用程式。遠端存取功能可以讓開發者從Windows、MacOS、Android、iOS，甚至是網頁瀏覽器存取Dev Box。</p> <p>Dev Box擁有多種規格，開發團隊可以根據需求，選擇4 vCPU/16 GB記憶體到32 vCPU/128GB記憶體SKU，而且Azure AD供IT管理者控制每個專案敏感原始碼，和用戶資料的存取權限，基於角色存取的控制（RBAC），可以限制供應商存取必須的專案資源，消除向短期供應商運送硬體的需要，但同時又能提升開發的安全性。</p> <p>Dev Box建立在Windows 365之上，因此IT管理員可以透過Microsoft Intune和Microsoft Endpoint Manager管理Dev Box，並且設置存取條件，確保用戶只能用符合法遵的設備存取Dev Box。Dev Box讓開發者用多少付多少，只要對運算和儲存量付費，自動計畫能在需要的時候自動預熱Dev Box，並在閒置時停止，休眠功能也可以暫停開發工作，並在之後從中斷的地方繼續。</p> </div></div></div>
2022/8/19 08:50作者李建興https://www.ithome.com.tw/news/152572
【資安日報】2022年8月18日，駭客即將突破Android 13安全防護機制、勒索軟體BlackByte 2.0網站…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客為了規避Android系統的防護機制，近期使用側載（Side Loading）手段來執行惡意程式的情況越來越頻繁，對此Google在新版Android 13加入了防堵機制，但在這套作業系統推出不到一天，就有資安業者提出警告，有駭客已經找到突圍的方法，很有可能讓上述防護措施無法發揮作用。</p> <p>勒索軟體駭客近期針對從受害組織竊得的資料，想要找出新的獲利方式，或是對受害組織施加更大的壓力。而最近BlackByte架設新的受害者公布網站，當中就納入新的付費按鈕──任何人都可以付費下載受害組織的資料，或是要求銷毀。但這種做法效果仍有待觀察。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上，針對即時定位系統（RTLS）的零時差漏洞提出警告，由於此種系統會運用於智慧城市、交通運輸、零售業等領域，一旦駭客利用漏洞，有可能因竄改地理位置資料而影響人身安全。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.threatfabric.com/blogs/bugdrop-new-dropper-bypassing-google-security-measures.html"><span style="color: rgb(0, 0, 0);">Android 13防堵惡意程式提升權限的安全防護機制即將遭到破解，駭客製作能模仿合法應用程式安裝流程的工具BugDrop</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bugdrop-poc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bugdrop-poc.png" style="width: 300px; float: right;" /></a>Google在8月15日正式推出Android 13作業系統，並開始提供Pixel手機用戶升級。新版作業系統在安全性上，特別針對以側載（Side Loading）執行的軟體，限縮能夠取得的權限，來減少攻擊者用來提升惡意程式權限的現象。但最近已有駭客破解這種防護機制，且很有可能快要成功。</p> <p>資安業者ThreatFabric發現，駭客組織Hadoken Group正在開發名為BugDrop惡意程式下載器（Dropper），試圖以多階段安裝惡意軟體元件的做法，模仿從Google Play市集下載的App安裝流程，突破這種防護措施，進而讓惡意軟體能取得輔助服務（Accessibility Service）的權限來控制手機。研究人員表示，BugDrop雖然尚在開發階段，但是這種新的部署惡意軟體手法，將可能會讓Android 13的防護機制失去作用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/blackbyte-ransomware-gang-is-back-with-new-extortion-tactics/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte 2.0變得更加死要錢，就連暫緩資料外洩也成為收費項目</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blackbyte-new-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackbyte-new-data-leak-site.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackByte於去年夏天出現，攻擊舊金山49人美式足球隊而聞名，該駭客組織在沉寂一段時間後，最近有了新的動作。根據資安新聞網站Bleeping Computer的報導，這些駭客宣稱推出BlackByte 2.0新版，並架設新的受害組織公布網站。</p> <p>此網站與過往最大的不同點，在於提供了額外收費的選項，例如，支付5千美元能要求駭客延後1天公布受害組織的資料，支付20萬美元可下載資料，若是要銷毀駭客竊得的資料，則要價30萬美元。研究人員表示，這些金額駭客有可能會根據受害組織規模進行調整。</p> <p>這些新的收費項目將使得駭客的勒索行為變得更加複雜。受害組織可能因為無法接受贖金金額，選擇付錢增加對外處理的緩衝時間，或是得知遭竊資料內容，再者，這些資料也有機會被他人買走。</p> <h3><strong style="font-size: 22px;"><a href="https://www.phishlabs.com/blog/new-report-documents-highest-volume-of-response-based-email-threats-since-2020/"><span style="color: rgb(0, 0, 0);">電話客服網釣自2021年以來增加超過6倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vishing.png" style="width: 300px; float: right;" /></a>資安業者Agari與PhishLabs聯手，發布2022年第2季的網路釣魚威脅分析報告，當中特別提及使用語音的網釣攻擊（Vishing）現今相當氾濫，相較於2021年第1季，2022年第2季的攻擊數量增加了625%。</p> <p>研究人員指出，現在的網釣攻擊已朝向多階段的混合攻擊發展，Vishing就占了所有網釣攻擊的四分之一。在這種手法中，駭客先是寄送電子郵件，並引誘受害者撥打信件上的「客服」電話，再透過電話騙得敏感資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-security-updates-fix-2-zero-days-used-to-hack-iphones-macs/"><span style="color: rgb(0, 0, 0);">蘋果修補iOS裝置與Mac電腦的零時差漏洞CVE-2022-32894、CVE-2022-3289393</span></a></strong></h3> <p>蘋果於8月17日緊急修補CVE-2022-32894與CVE-2022-32893，這些漏洞存在於作業系統核心與Safari瀏覽器排版引擎WebKit，執行iOS、iPadOS，以及macOS作業系統的裝置都有可能受到影響，一旦遭到利用，攻擊者將能執行任意程式碼。蘋果發布iOS 15.6.1、iPadOS 15.6.1，以及macOS Monterey 12.5.1修補上述漏洞，並指出兩個漏洞都已經被用於攻擊行動，呼籲使用者要儘速更新作業系統。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/08/stable-channel-update-for-desktop_16.html"><span style="color: rgb(0, 0, 0);">Google修補瀏覽器已被用於攻擊行動的零時差漏洞CVE-2022-2856</span></a></strong></h3> <p>Google於8月16日發布電腦版Chrome瀏覽器更新104.0.5112.102（Windows版）、104.0.5112.101（macOS、Linux版），當中總共修補11個安全漏洞，其中最值得留意的是高風險漏洞CVE-2022-2856，此漏洞與Intents未受信任的輸入驗證不充分有關，且已出現攻擊行動。而這已是今年出現的第5個Chrome零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/nozomi-networks-researchers-reveal-zero-day-rtls-vulnerabilities-at-black-hat-22/"><span style="color: rgb(0, 0, 0);">研究人員在美國黑帽大會揭露即時定位系統的零時差漏洞，恐被用於竄改地理位置資訊</span></a></strong></h3> <p>資安業者Nozomi Networks在黑帽大會（Black Hat USA 2022）上，展示了超寬頻（Ultra-wideband，UWB）即時定位系統（Real Time Locating Systems，RTLS）的安全漏洞，指出RTLS的處理程序缺乏安全標準，可能會遭到中間人（MitM）攻擊，研究人員於Sewio Indoor Tracking與Avalue Renity Artemis Enterprise裝置上找到了零時差漏洞，一旦駭客利用這些漏洞，將能取得藉由無線網路傳遞的位置資訊。研究人員呼籲部署RTLS系統時應採用加密流量，也考慮設置防火牆與入侵偵測系統（IDS）。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mohw.gov.tw/cp-5271-71073-1.html"><span style="color: rgb(0, 0, 0);">衛生福利部首度舉辦醫院資安攻防演練</span></a></strong></h3> <p>8月17日，衛生福利部在於林口長庚紀念醫院舉行醫院資安攻防演練，由林口長庚醫院與長庚醫學科技公司的資訊、醫工與工務人員為防禦主體，搭配多家資安服務協辦廠商組成防禦團隊，並由3家資安服務業者模擬駭客手法，透過編製腳本攻擊方式進行攻防演練。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152538"><span style="color: rgb(0, 0, 0);">臺灣政府零信任網路戰略成形，首波推動A級公務機關導入</span></a></strong></h3> <p>零信任架構（Zero Trust Architecture，ZTA）備受資安圈與全球政府重視，不只是美國政府在近一年來提出具體規畫，我國政府今年亦將開始行動，根據行政院國家資通安全會報技術服務中心，他們在7月中旬揭露相關資訊，並指出為了強化政府資安防護，導入零信任網路已經成為既定政策，目前確定將優先推動國內A級機關逐步導入。現階段正遴選機關試行，將以逐年導入方式，在2022年到2024年，建立起零信任網路中的「身分鑑別」、「設備鑑別與「信任推斷」3大核心機制。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.recordedfuture.com/redalpha-credential-theft-campaign-targeting-humanitarian-thinktank"><span style="color: rgb(0, 0, 0);">中國駭客RedAlpha假冒美國在臺協會的名義，攻擊臺灣組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-use-signed-macos-malware-to-target-it-job-seekers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定Mac電腦用戶，以Coinbase職缺為幌子發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/blog/pypi-malware-discord-roblox-credential-payment-info/"><span style="color: rgb(0, 0, 0);">惡意PyPI套件竊取Discord、Roblox帳密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/threat-in-your-browser-extensions/107181/"><strong><span style="color: rgb(0, 0, 0);">廣告程式為瀏覽器擴充程式的最大威脅，今年上半有百萬用戶遭到相關攻擊</span></strong></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152544">【2022年8月17日】 DigitalOcean的行銷電子郵件服務MailChimp帳號遭駭、駭客架設冒牌Evernote網站攻擊醫療機構</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152534">【2022年8月16日】 2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁員工個資</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152514">【2022年8月15日】中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK漏洞波及多個廠牌連網設備</a></strong></strong></strong></p> </div></div></div>
2022/8/18 15:45作者周峻佑https://www.ithome.com.tw/news/152569
解決誤簽發漏洞啟動程式BootLoader問題的Windows更新，因錯誤無法安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月初Patch Tuesday釋出一個安全更新，欲解決誤簽發有漏洞開機啟動程式的問題，不過傳出發生無法安裝的錯誤。</p> <p>微軟本月初Patch Tuesday針對多個版本Windows釋出KB5012170安全更新，<a href="https://support.microsoft.com/en-us/topic/kb5012170-security-update-for-secure-boot-dbx-august-9-2022-72ff5eed-25b4-47c7-be28-c42bd211bb15" target="_blank">不過微軟說明</a>，安裝本更新可能會發生安裝失敗，並接獲0x800f0922的錯誤訊息代碼。</p> <p>KB5012170主要是更新Windows中Secure Boot DBX，這是儲存被註銷的UEFI開機啟動程式簽章的儲存庫。在Windows電腦硬體啟動、Windows載入前，UEFI開機啟動程式會先執行，並啟動具備安全開機（Secure Boot）的UEFI環境，以便只有受信任的程式碼可在這個階段於PC執行。</p> <p><a href="https://www.ithome.com.tw/news/152524" target="_blank">安全廠商Eclypsium發現</a> 3 個有漏洞的UEFI開機啟動程式獲得Windows憑證機構（CA）的簽章。由於這個CA為所有Windows和Linux筆電、伺服器等硬體信任，攻擊者即可安裝有問題的開機程式，輕易在目標裝置上執行。這3個啟動程式為Eurosoft、New Horizon Datasys及CryptoPro Secure Disk for BitLocker。KB5012170原本即是透過更新這個儲存庫的簽章，防堵3個舊版的啟動程式。</p> <p>受影響的Windows平臺涵括用戶端和伺服器端，包括Windows 11、Windows 10 20H2到21H2、Windows 10 Enterprise LTSC 2016、2019、Windows 10 Enterprise 2015 LTSB及 Windows 8.1。Windows Server版則從Server 2012到Server 2022。</p> <p>微軟表示正在調查問題原因，但在此之前，只要更新3個UEFI啟動程式到最新版即可暫時解決問題。</p> </div></div></div>
2022/8/17 10:06作者林妍溱https://www.ithome.com.tw/news/152537
【資安日報】2022年8月16日，2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T有超過2千萬筆用戶個資流入暗網，但讓人意外的是，該公司獲報後表示，他們近期沒有遭到攻擊的跡象，這些資料應該是來自一家信貸機構。</p> <p>俄羅斯駭客Killnet近期不斷對試圖協助烏克蘭的國家，發動DDoS攻擊，義大利、立陶宛、拉脫維亞等國都傳出事故。而最近這些駭客宣稱，他們在攻擊美國航太製造商洛克希德·馬丁（Lockheed Martin）的過程裡，也一併竊得該公司的員工資料，但研究人員對這樣的說法持保留態度。</p> <p>駭客上傳惡意PyPI套件的情況再度出現，而這次攻擊事故與過往有所不同，攻擊者植入的Linux挖礦程式，是在記憶體內（In Memory）執行，這樣的做法在Linux惡意程式算是相當少見。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://holdsecurity.com/news/2022/08/att-customer-data-found-on-the-dark-web/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2,300萬AT&T用戶資料流入暗網，但該公司聲稱可能是信貸業者遭駭而外洩相關資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png" style="width: 300px; float: right;" /></a>資安業者Hold Security於8月4日，從暗網論壇取得1.6 GB的壓縮檔案，內有3.6 GB的大型檔案，經過分析，此檔案內含28,511,318筆資料，當中包含使用者的全名、手機號碼、室內電話號碼、住址、出生日期、社會安全碼（SSN）等，共約有2,300萬個SSN、2,280萬個電子郵件信箱，駭客以20萬美元的價格起標。根據這些資料的特徵，研究人員認為資料很可能來自AT&T。</p> <p>AT&T聲稱，該公司的系統尚無遭到入侵及資料外洩的跡象，並向資安新聞網站Recorded Future表示，這些資料疑似來自於先前信貸機構資料外洩的事件。即便如此，難道AT&T對於合作廠商的資安沒有監督的責任嗎？</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/killnet-releases-proof-its-attack-against-lockheed-martin"><span style="color: rgb(0, 0, 0);">美國航太製造商洛克希德·馬丁遭DDoS攻擊，俄羅斯駭客Killnet聲稱竊得員工個資</span></a></strong></h3> <p>8月1日，美國航太製造商洛克希德·馬丁（Lockheed Martin）傳出遭到DDoS攻擊，俄羅斯駭客組織Killnet聲稱是他們所為，但最近傳出這些駭客疑似握有該公司部分內部資料。根據新聞網站Newsweek的報導，Killnet於8月11日在Telegram群組上傳一段影片，並聲稱是洛克希德·馬丁員工的個資。</p> <p>經資安業者Searchlight Security威脅情報分析師Louise Ferrett解析，這些資料確實是該公司員工的資料，但研究人員認為，駭客未必真正成功入侵，他們公布的很有可能之前流出的舊資料。針對這些資料的洩露，洛克希德·馬丁並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/15/disrupting-seaborgiums-ongoing-phishing-operations/"><span style="color: rgb(0, 0, 0);">微軟封鎖俄羅斯駭客Seaborgium網釣攻擊帳號</span></a></strong></h3> <p>微軟於8月15日宣布破壞俄羅斯駭客組織Seaborgium的網路釣魚行動，該組織持續鎖定特定的組織及個人發動網釣攻擊，特別是北約國家，以竊取這些個人或組織員工的憑證，進而長期竊取與蒐集資料，並利用這些資料來發動資訊戰。微軟關閉遭到駭客濫用的微軟服務帳號，包括LinkedIn、OneDrive，以及電子郵件等。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/russia-ukraine-shuckworm"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Shuckworm鎖定烏克蘭散播竊密軟體</span></a></strong></h3> <p>資安業者賽門鐵克發現自7月15日開始，俄羅斯駭客組織Shuckworm（亦稱Gamaredon、Armageddon）散布竊密軟體（Info Stealer）的攻擊行動，他們看到受害電腦先是下載7-Zip自解壓縮檔，隨後MSHTA程式下載了XML檔案，並植入多個PowerShell竊密程式。研究人員指出，駭客疑似濫用VCD、H264、ASC等副檔名來偽裝惡意程式，並透過遠端桌面連線應用程式Ammyy Admin或AnyDesk來存取受害電腦。由於攻擊行動仍持續當中，研究人員也提供入侵指標（IoC）供組織防範。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-secretslib-drops-fileless-linux-malware-to-mine-monero"><span style="color: rgb(0, 0, 0);">惡意PyPI套件被用於散布無檔案Linux惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png" style="width: 300px; float: right;" /></a>資安業者Sonatype發現名為secretslib的惡意PyPI套件，一旦使用者安裝，將會在Linux主機執行名為tox的可執行檔案（ELF），進而在記憶體內（In Memory）部署挖礦軟體挖取門羅幣（XMR）。</p> <p>研究人員指出，駭客假冒美國伊利諾伊州阿貢國家實驗室（ANL）的工程師名義，並留下此人的聯絡資訊，且tox目前沒有防毒引擎將其識別為有害，使用者難以發現自己下載了惡意套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/8/15/23306650/def-con-hacker-john-deere-tractors-run-doom-right-to-repair"><span style="color: rgb(0, 0, 0);">研究人員竄改拖拉機配置來執行其他功能</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png" style="width: 300px; float: right;" /></a>研究人員Sick Codes近日於DEF CON大會上，駭入強鹿（John Deere）曳引機，並在拖拉機上的螢幕執行電玩遊戲毀滅戰士（Doom）。這名研究人員表示，他成功進入經銷商模式來繞過系統保護，進而取得了曳引機的root權限，而能夠在覆蓋原本的操作介面下執行遊戲。</p> <p>但為何要針對拖拉機進行研究？Sick Codes向Wired透露，他認為此種設備的資安漏洞很可能導致拖拉機停擺，進而會影響食物供應，另一方面，他也希望農夫能有完整權限掌控買到的設備，而能擁有自行維修的權利。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://support.signal.org/hc/en-us/articles/4850133017242"><span style="color: rgb(0, 0, 0);">雲端通訊服務業者Twilio洩露近1,900名Signal用戶的電話號碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://therecord.media/pro-kremlin-hackers-target-latvias-parliament-after-declaring-russia-a-sponsor-of-terrorism/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet聲稱對拉脫維亞議會發動DDoS攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cybernews.com/cyber-war/russian-hackers-target-finland-parliaments-website/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客NoName057(16)對芬蘭議會發動DDoS攻擊，起因是芬蘭打算加入北約組織</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/argentinas-judiciary-of-c-rdoba-hit-by-play-ransomware-attack/"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿根廷司法機構遭Play勒索軟體攻擊，關閉IT系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152514">【2022年8月15日】中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK漏洞波及多個廠牌連網設備</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> </div></div></div>
2022/8/16 17:56作者周峻佑https://www.ithome.com.tw/news/152534
3項經微軟簽發的UEFI Boot Loader可讓惡意程式繞過安全開機保護執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/2022/08/11/vulnerable-bootloaders-2022/" target="_blank">安全廠商Eclypsium發現</a>有三個獲得微軟簽發的UEFI bootloader存在漏洞，使惡意程式能躲過安全開機（Secure Boot）技術的防護，而得以在Windows裝置上執行。</p> <p>Windows的安全開機機制是UEFI標準，可透過微軟憑證驗證韌體，及保護系統無法在開機早期，作業系統載入之前，載入與執行惡意程式碼。Eclypsium發現的3項UEFI bootloader，都獲得微軟UEFI第三方憑證機構（CA）的簽章。由於這個CA為所有Windows和Linux筆電、桌機、平板、伺服器及AIO系統所信任，因此攻擊者即可安裝有問題的開機程式，輕易在目標裝置上執行。</p> <p>這三項BootLoader及其漏洞分別是Eurosoft（CVE-2022-34301）、New Horizon Datasys（CVE-2022-34302）及CryptoPro Secure Disk for BitLocker（CVE-2022-34303）。</p> <p>其中CVE-2022-34301和CVE-2022-34303較類似，它們都是利用已簽發的UEFI shell，使攻擊者可利用shell內建的功能，迴避安全開機，像是讀寫記憶體、list handles或映射記憶體等，而且可利用開機script自動化執行。</p> <p>這些行為都還有一些視覺上的指示元素，可在顯示器上看到，但沒有顯示器的伺服器或工業裝置則無從察覺。但New Horizon Datasys（CVE-2022-34302）的漏洞就更隱密了。它包含使Secure Boot開著，但關閉它的檢查。這能以更高明的手法躲避安全防護，像是關閉安全工具。這麼一來攻擊者也不需下指令，就能直接任意執行未簽章的程式碼。研究人員相信這項漏洞更能獲得駭客們的「青睞」。</p> <p><a href="https://kb.cert.org/vuls/id/309662" target="_blank">CERT/CC指出</a>，這些漏洞讓惡意程式繞過Secure Boot保護，而使系統載入任意程式碼。這些bootloader可協助攻擊者潛伏在系統內，例如載入任意的核心擴充程式躲過開機或OS重灌，或是躲過OS層安全軟體，或第三方端點防護工具。</p> <p>研究人員警告，雖然更新有問題的bootloader需要管理員權限，但本地權限擴張（local privilege escalation，LPE）攻擊在Windows和Linux上都不難做到。尤其微軟並不認為UAC-bypass是不合法行為，也不修補相關被通報為漏洞的地方，因此Windows上反而許多機制可被用於將一般用戶提升到管理員權限。</p> <p>此外，研究人員也指出，雖然在OS層執行惡意程式很常見，但Secure Boot是專門用於這些程式不致擴充權限到取得整臺機器，突破其他安全控制，因此這些漏洞還可以讓攻擊者很簡單就跨越UAC。</p> <p>CERT呼籲用戶及早安裝最新OS安全更新，防止不安全韌體繞過Secure Boot防護。<a href="https://support.microsoft.com/en-us/topic/kb5012170-security-update-for-secure-boot-dbx-august-9-2022-72ff5eed-25b4-47c7-be28-c42bd211bb15" target="_blank">微軟8月Patch Tuesday</a>就更新了Secure Boot Forbidden Signature Database（DBX）解決這項問題。</p> <p><a href="https://www.ithome.com.tw/news/139133" target="_blank">Eclypsium於2020年也揭露</a>啟動程式Grub2的安全漏洞，名為BootHole，可允許駭客繞過安全啟動（Secure Boot）保護機制，於作業系統之前植入任意程式，個人電腦、伺服器、工作站到IoT裝置都受駭。</p> </div></div></div>
2022/8/16 13:16作者林妍溱https://www.ithome.com.tw/news/152524
【資安日報】2022年8月15日，中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月初有人聲稱是中國駭客APT27，企圖對美國參議院議長裴洛西訪臺進行網路攻擊，最近有兩家資安業者也發現了APT27攻擊行動──這些駭客竄改一款中國廠商開發的即時通訊軟體MiMi，主要鎖定macOS的用戶。</p> <p>臺廠瑞昱半導體（Realtek）於3月下旬，針對軟體開發套件eCos SDK修補CVE-2022-27255漏洞，研究人員指出，雖然瑞昱提供了SDK的更新軟體，但受影響的連網設備仍有待製造商進行修補。</p> <p>使用小米手機的用戶要注意了，搭載聯發科晶片的小米手機存在漏洞CVE-2020-14125，攻擊者很可能將其用來洗劫用戶的存款，使得研究人員呼籲用戶要儘速更新韌體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-backdoor-chat-app-with-new-linux-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT27竄改即時通訊軟體MiMi，攻擊Mac電腦，遭鎖定目標集中在臺灣</span></strong></a></h3> <p>資安業者Sekoia、趨勢科技於8月12日，不約而同對遭駭的中國即時通訊軟體MiMi提出警告，駭客主要針對Mac電腦的用戶而來，約從今年5月26日開始，竄改MiMi的2.3.0版軟體，植入後門程式RShell，攻擊者的身分是中國駭客組織APT27（亦稱Iron Tiger、LuckyMouse）。</p> <p>趨勢科技總共找到13個遭鎖定的目標，有10個在臺灣、3個在菲律賓，且疑似有臺灣IT開發公司受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mnews.tw/story/20220812sot12014"><span style="color: rgb(0, 0, 0);">台灣銀行9日和兆豐銀行11日遭到DDoS分散式阻斷式攻擊</span></a></strong></h3> <p>因裴洛西8月初訪臺，中國駭客頻頻對臺灣發動網路攻擊的情況，財政部啟動資安警戒應變小組，動員八大行庫與事業機構，進行為期一週的高度警戒，傳出有銀行遭到攻擊的情況。根據工商時報、鏡新聞等媒體的報導，台灣銀行、兆豐銀行先後傳出於9日和11日遭到DDoS攻擊，兩家銀行都在第一時間向財政部通報，且增加頻寬因應，皆並未因這些攻擊而導致網頁癱瘓。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152492"><span style="color: rgb(0, 0, 0);">健保資料庫侵犯隱私權，憲法法庭判健保法應3年內修法</span></a></strong></h3> <p>個資保護也與資安息息相關，而在國內主要的法規依據是個人資料保護法，但對於公部門如何運用民眾個資，仍有所不足。例如，憲法法庭8月12日判決健保資料庫違憲，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。</p> <p>健保署回應尊重憲法法庭判決，承諾將修法或制定法制，包括健保資料利用法制與當事人健保資料停止利用權（即退出權）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.storm.mg/article/4469272"><span style="color: rgb(0, 0, 0);">中國威脅加劇恐影響臺灣金融，在野黨提出金融漢光演習，並認為金融業應3個月內全面設置資安長</span></a></strong></h3> <p>經濟日報、新新聞的報導，國民黨團於8月12日提出呼籲，針對中國的文攻武嚇加劇，政府應該針對金融業進行「金融漢光演習」，由財經部會及國安部門通力合作，進行相關的兵棋推演，內容應包含網路攻擊，以及股匯市的因應。該黨團彙整18套劇本，並認為金融業應3個月內全面完成資安長設置，行政院也必須落實相關的資安防護業務。</p> <p>對此，<a href="https://money.udn.com/money/story/5613/6532877">金管會表示</a>，他們對金融機構的日常監理工作已涵蓋各項演練及壓力測試，評估不需另外辦理金融漢光演習。而對於上述限期全面設置資安長的看法，金管會沒有表示意見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/acn/202208120290.aspx"><span style="color: rgb(0, 0, 0);">中國上海疫調App「隨申碼」遭駭，4,850萬用戶個資流入地下論壇</span></a></strong></h3> <p>在6月有人在地下論壇Breach Forums兜售10億中國民眾個資後，又有駭客在該論壇求售竊得的資料。根據中國媒體南方都市報的報導，上海市疫情防控的應用程式「隨申碼」疑似遭到入侵，駭客竊得4,850萬用戶個資，並於Breach Forums以4千美元的價格出售。</p> <p>為取信買家，該名駭客提供47組資料，經該媒體打電話確認後，有部分民眾證實資料正確。對此，上海市大數據中心表示，他們只負責研發隨申碼，資料並非由該單位流出；上海市民服務熱線12345工作人員表示無法處理相關事件，並建議個資外洩民眾向公安報案。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/"><span style="color: rgb(0, 0, 0);">全球逾8千臺VNC伺服器未受密碼保護</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-–-Top-5-countries-with-exposed-VNCs.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-%E2%80%93-Top-5-countries-with-exposed-VNCs.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble於8月12日提出警告，全球發現至少有8千個未受密碼保護的VNC伺服器，當中又以中國、瑞典最多，皆超過1,500個，美國835個次之。由於不少伺服器隸屬關鍵基礎設施（CI），如，水處理廠、研究設施等，一旦這些系統遭到入侵、竄改組態，很有可能造成嚴重的危害。</p> <p>研究人員指出，近期出現大規模掃描VNC實例（Instance）的現象，駭客試圖存取這類系統的預設連接埠5900，相關流量主要來自荷蘭、俄羅斯，以及烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly"><span style="color: rgb(0, 0, 0);">安卓惡意程式Sova納入了勒索軟體功能</span></a></strong></h3> <p>資安業者Cleafy發現，駭客近期在安卓木馬Sova第5版裡，新增了檔案加密功能，研究人員表示，雖然第5版仍在開發階段，但7月出現的第4版Sova已可偽裝成200種以上的App，並具備攔截雙因素驗證所需資料，以及竊取Cookie的功能，還能鎖定多種Google服務下手，如Gmail、行動支付GPay，以及密碼管理器等，此外，該惡意程式能阻止使用者將其移除。研究人員提出警告，使用者應防範此木馬程式的相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek eCos SDK存在RCE漏洞，恐波及採用RTL819x晶片的連網設備</span></strong></a></h3> <p>資安業者Faraday Security在8月12日於DEF CON大會上，公布他們找到並向臺廠瑞昱半導體（Realtek）通報的高風險漏洞CVE-2022-27255，此漏洞存在於eCos SDK軟體裡，影響採用RTL819x晶片的連網設備，一旦攻擊者加以利用，可導致SIP ALG模組出現記憶體緩衝區溢位，進而發動RCE攻擊。瑞昱半導體於3月25日發布資安通告，並提供修補程式。</p> <p>研究人員指出，他們至少確認有4個廠牌、13款連網設備受到影響，而且光是在拉丁美洲，就賣出了13萬臺存在漏洞的設備，他們認為此漏洞很可能會被駭客用於大規模攻擊，呼籲相關設備製造商應儘速修補。</p> <h3><a href="https://research.checkpoint.com/2022/researching-xiaomis-tee/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搭載聯發科晶片的小米手機存在支付系統漏洞，攻擊者有可能用來洗劫手機用戶的銀行帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png" style="width: 300px; float: right;" /></a>資安業者Check Point指出，搭載聯發科晶片的小米手機可能存在CVE-2020-14125漏洞，此漏洞與該廠牌手機使用的Kinibi受信任執行環境（TEE）有關，一旦攻擊者加以利用，就有可能讓手機的行動支付功能無法使用，或是將受害者的存款轉給自己。</p> <p>小米於今年6月完成修復，研究人員呼籲使用者要儘速安裝新版韌體。</p> <h3><a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoom修補macOS版用戶端軟體更新元件弱點，攻擊者有機會取得root權限</span></strong></a></h3> <p>研究人員Patrick Wardle於8月12日，於DEF CON大會公布Zoom兩個macOS版用戶端軟體漏洞CVE-2022-28756、CVE-2022-28751，CVSS風險評分皆達到8.8分。上述漏洞都與握有Super User權限的自動更新元件有關，一旦加以串連利用，就有可能取得root的執行權限，部署、更動、刪除Mac電腦的任何檔案。Zoom於8月13日發布5.11.5版予以修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-blocks-uefi-bootloaders-enabling-windows-secure-boot-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現UEFI韌體簽章漏洞，23家廠商可能受到影響</span></strong></a></h3> <p>資安業者Eclypsium公布他們發現的UEFI漏洞CVE-2022-34301、CVE-2022-34302、CVE-2022-34303，並指出很可能波及近10年推出的x86電腦與Arm電腦，一旦上述漏洞遭到利用，攻擊者很有可能藉此破壞開機過程的完整性，進而竄改作業系統配置，或是部署後門程式等行為。</p> <p>CERT/CC指出，可能有23家廠商的電腦或軟體會受到影響，但目前只有3家廠商發布相關公告，其中，微軟發布KB5012170安全更新，Phoenix Technologies、紅帽則表示旗下產品不受影響。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html"><span style="color: rgb(0, 0, 0);">Google加碼Linux核心懸賞計畫kCTF的獎勵</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/twilio-125-customers-affected-by-data-breach-no-passwords-stolen/"><span style="color: rgb(0, 0, 0);">雲端通訊平臺業者Twilio表示125名用戶受到攻擊事件影響，尚未發現密碼外洩情事</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-223a"><span style="color: rgb(0, 0, 0);">美國CISA對勒索軟體Zeppelin攻擊行動提出警告</span></a></span></strong></p> <p><a href="https://tw.stock.yahoo.com/news/%E9%99%B8%E9%AB%98%E9%90%B5%E5%8F%B2%E4%B8%8A%E6%9C%80%E5%A4%A7%E7%AF%84%E5%9C%8D%E8%AA%A4%E9%BB%9E-%E7%B6%B2%E6%B0%91%E8%B3%AA%E7%96%91%E9%A7%AD%E5%AE%A2%E5%85%A5%E4%BE%B5-121123608.html"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國高鐵大範圍誤點，疑資料外洩讓駭客有機可趁，而能夠入侵相關系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></strong></p> </div></div></div>
2022/8/15 17:41作者周峻佑https://www.ithome.com.tw/news/152514
Google新一波kCTF計畫，懸賞能擊敗漏洞緩解工具的白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html" target="_blank">Google上周宣布</a>最新kCTF計畫，提供Linux漏洞的緩解工具，另一方面也透過抓漏獎勵計畫，大幅提高突破這些緩解工具的研究人員獎金。</p> <p>2020年Google首次推出kCTF（Kubernetes-based Capture-the-Flag）專案。其下漏洞獎勵方案讓研究人員連到Google GKE上尋找漏洞。研究人員找到漏洞後標示出來，經認可後能獲得獎金。</p> <p>而在今年，Google推出最新kCTF計畫。首先，<a href="https://www.ithome.com.tw/news/147633" target="_blank">今年初Google加碼</a>kCTF獎勵Linux抓漏的承諾仍然會持續進行，找到Linux核心漏洞的研究人員可獲得20,000到91,337美元不等的獎金。而在此之外，Google上周又宣布Linux核心的新獎勵措施。</p> <p>Google根據去年kCTF發現到的安全漏洞及開採程式，發展出實驗性緩解工具，Google相信能讓Linux核心更難被駭。<a href="https://google.github.io/kctf/vrp.html#new-mitigations" target="_blank">Google將公開</a>這些正在測試中的工具，並提供懸賞獎金。凡是能找到最新Linux核心的漏洞，研究人員會額外支付2.1萬美元，而如果能在安裝最新緩解工具的特製Linux核心找到新的漏洞，研究人員還可再獲得2.1萬美元（前提是能突破Google的緩解工具）。這麼一來，最高獎金最高可以來到133,337美元。</p> <p>Google希望可以藉此評估其緩解工具究竟能耐如何。目前<a href="https://github.com/thejh/linux/blob/slub-virtual/MITIGATION_README" target="_blank">Google發展出的緩解工具</a>是為了解決slab界外寫入（out-of-bounds write）、跨快取（Cross Cache）攻擊、Freelist毁損、Elastic物件的攻擊。他們希望長期下來，可以製作出盡可能提高Linux核心漏洞攻擊難度的緩解工具。</p> </div></div></div>
2022/8/15 13:12作者林妍溱https://www.ithome.com.tw/news/152507
【資安週報】2022年8月8日到8月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週思科發布資安事件公告，揭露遭遇網路攻擊的事件，最受各界關注，而臺灣持續遭遇多起且零星的網路攻擊與騷擾事件，亦成國內與國際上的焦點。</p> <p>在漏洞修補方面，本周除了關注微軟、IBM、思科、SAP、Adobe，以及Palo Alto Networks、F5，還有西門子、施耐德等產品安全性公告，加上新處理器漏洞的消息，另外，最近駭客組織鎖定一些漏洞攻擊，需要特別重視，包括關於Windows的DogWalk漏洞、關於Linux、Unix的UnRAR漏洞，VMware本月初修補的兩個漏洞，以及Atlassian Confluence的重大漏洞。</p> <p>在攻擊趨勢上，Twilio與Cloudflare都揭露遭遇SMS簡訊網釣被入侵的經驗，關於網站Open Redirect的漏洞問題，本週亦有兩起揭露。</p> <p>在國際重大資安事故，有兩起事件最受廣泛關注，一是丹麥7-11便利商店遭勒索軟體攻擊，使得門市無法作業營運2天，另一是英國衛生福利部NHS的MSP業者遭勒索軟體攻擊，造成111急救系統無法運作，需要3週以上修復時間。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152490#cisco"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#pelosi"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#microsoft"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a></strong><br /> <strong><a href="https://www.ithome.com.tw/news/152490#7-Eleven-DK"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#Advanced"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7A.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#165"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#zimbra"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#logokit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#OCSF"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" id="cisco" name="cisco"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科坦承遭網路攻擊，公布完整攻擊鏈，駭客集團Yanluowangg聲稱是其所為並竊得2.75 GB資料</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></p> <p>同時身肩資安大廠的思科（Cisco）於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。<a href="https://www.ithome.com.tw/news/152437">Cisco揭露此事件攻擊者使用的MITRE ATT＆CK攻擊技法，而勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為</a>，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><a href="https://www.ithome.com.tw/news/152445" id="pelosi" name="pelosi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段</span></strong></a></h3> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" id="twilio" name="twilio" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></h3> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <h3><strong style="font-size: 22px;"><a href="https://www.deepwatch.com/labs/deepwatch-ati-detects-and-responds-to-never-before-discovered-backdoor-deployed-using-confluence-vulnerability-for-suspected-espionage/"><span style="color: rgb(0, 0, 0);">駭客組織TAC-040鎖定Atlassian Confluence重大漏洞，於受害組織部署後門</span></a></strong></h3> <p>5月底被揭露的Atlassian Confluence零時差漏洞CVE-2022-26134，近期有研究人員公布更多當時駭客利用的細節。資安業者Deepwatch指出，名為TAC-040的駭客組織，在5月底利用上述的漏洞，攻擊研究與技術服務機構7天，駭客在入侵後利用Confluence資料夾裡的處理程序Confluence來執行惡意命令，並枚舉網路環境與AD的資料。</p> <p>研究人員指出，這些駭客很可能也利用SpringShell漏洞，來取得Confluence伺服器的初始存取權限。攻擊者不只濫用受害主機挖取門羅幣，也部署名為Ljl Backdoor的後門程式來竊取機密資料。</p> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/" id="zimbra" name="zimbra"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/" id="zimbra" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/" id="Advanced" name="Advanced"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/" id="7-Eleven-DK" name="7-Eleven-DK"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><a href="https://www.ithome.com.tw/news/152456" id="165" name="165"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">165專線公布第二季高風險賣場，博客來通報件數破2千，誠品連續五季上榜</span></strong></a></h3> <p>網路平臺的個資外洩，以及民眾面對假冒及詐騙的識別能力，持續是社會關注議題。我國刑事警察局165專線在8月7日，公布今年第二季高風險賣場名單，最嚴重的是博客來網路書店（2,725起），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。其中最值得注意的是博客來，與第一季最多的業者529件相比，通報案件數量多達5倍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites" id="snapchat" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities" id="logokit" name="logokit"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/"><span style="color: rgb(0, 0, 0);">駭客攻擊加密貨幣平臺的目標轉向跨鏈橋系統</span></a></strong></h3> <p>為了解決不同區塊鏈互動的需求，近期有不少提供跨鏈協定或跨鏈橋（Cross-chain Bridge）的系統業者出現，但他們的系統也成為駭客攻擊的頭號目標之一。區塊鏈分析業者Chainalysis近日提出警告，今年已發生13起跨鏈攻擊事件，盜走20億美元加密貨幣，規模占所有被竊的加密貨幣69%。此外，這些針對跨鏈橋的攻擊行動中，有10億美元與北韓駭客有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></h3> <p>臺灣在8月初接連發生總統府、國防部、外交部網站遭到攻擊，以及統一超商和臺鐵電子看板被置入恐嚇訊息等資安事故。有自稱是APT27的駭客組織<a href="https://www.youtube.com/watch?v=nReXcIEqNqE">於8月3日在YouTube上傳影片</a>，表明他們為了抗議美國眾議院議長裴洛西訪臺，對臺灣的警政署、交通部公路總局、台電、總統府等單位發動攻擊，並宣稱他們還掌握6萬臺連網設備，若是臺灣政府再度挑釁，該組織會再出手。</p> <p>事隔數日，<a href="https://www.youtube.com/watch?v=mOyUd85LlaM">該組織於7日再度發布影片</a>，聲稱掌握連網設備的數量有20萬臺，並打算公布部分資訊系統的零時差漏洞，以及竊得的政府資料。隨後，該組織於今日凌晨，公布了<a href="https://twitter.com/APT27_Attack/status/1556313216493400064">財金資訊股份有限公司（FISC）</a>、<a href="https://twitter.com/APT27_Attack/status/1556312607186857987">台電核電平臺</a>的部分原始碼。</p> <p>但這個駭客組織，是否就是之前出現在資安新聞的中國駭客組織<a href="https://attack.mitre.org/groups/G0027/">APT27</a>（又名TG-3390、Emissary Panda、Bronze Union）？從該組織的推特帳號在這個月才成立，<a href="https://twitter.com/APT27_Attack/status/1554852989726519297">且自稱不擅長中文，亦不隸屬中國政府</a>，很有可能是不同的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg" style="width: 300px; float: right;" /></a>民視新聞臺在YouTube頻道的網路直播，在8月6日出現遭到竄改的情況，駭客放上了臺灣是中國一部分的恐嚇訊息，並聲稱兩岸統一是「民意」。對此，民視於7日發布聲明，指出駭客入侵了訊源主機，於是影響他們在YouTube播放的內容。該公司於6日晚間8時52分察覺有異，於8時54分移除遭到竄改的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6497474.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6497474.jpg" style="width: 300px; float: right;" /></a>臺灣大學的教務處、研發處網頁於8月7日晚間遭到入侵，學生發現網站的圖片，全部被換上「世界上只有一個中國」的恐嚇訊息，並引起廣泛的討論。對此臺灣大學坦言確有此事，並關閉網頁並予以修復，待完成後才會重新上線。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-target-crypto-experts-with-fake-coinbase-job-offers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus佯稱提供Coinbase職缺發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes研究員Hossein Jazi指出，近期北韓駭客組織Lazarus鎖定金融科技產業，假冒大型加密貨幣交易平臺Coinbase，以徵才的名義寄送釣魚郵件，一旦受害者開啟附件，電腦就會被植入惡意軟體，此惡意軟體會透過架設於GitHub的C2中繼站來接收指令。</p> <p>Lazarus假冒大型企業徵才來發動攻擊已非首例，他們之前曾冒用美國潛艦製造商General Dynamics Electric Boat、太空科技製造商Lockheed Martin的名義發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152301"><span style="color: rgb(0, 0, 0);">英國執政黨決定延後首相選舉，起因是駭客可能會發動攻擊影響結果</span></a></strong></h3> <p>英國在Boris Johnson辭去首相後，Liz Truss和Rishi Sunak正在角逐繼任者，保守黨將於近期投票選出。但根據BBC、衛報的報導，該黨收到了英國國家網路安全中心（NCSC）的警告，可能會有駭客從中竄改選票影響選舉，決定強化投票流程的資安，而延後選票寄送的時間。本次保守黨將採用第一階段投票結果，於9月5日選出下任首相。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/" id="microsoft" name="microsoft"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器重大漏洞</span></a></strong></h3> <p>思科於8月3日發布資安通告，他們近期修補中小企業RV產品線路由器的漏洞CVE-2022-20827、CVE-2022-20841，以及CVE-2022-20842，這些漏洞一旦遭到利用，攻擊者可能得以執行任意程式碼、發動阻斷服務攻擊，CVSS風險評分為8.0至9.8分。由於沒有其他緩解漏洞風險的方法，該公司呼籲用戶應儘速部署新版軟體。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，過半不需身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://slack.com/intl/zh-tw/blog/news/notice-about-slack-password-resets"><span style="color: rgb(0, 0, 0);">協作平臺Slack要求部分用戶重設密碼，起因是系統處理密碼的方式存在弱點</span></a></strong></h3> <p>協作平臺Slack於8月4日發布資安業者，指出他們的系統出現漏洞，有可能會將使用者的加鹽密碼傳送給工作空間的其他成員，估計有0.5%用戶受到影響。這些使用者曾在4月17日至7月17日之間，建立、撤銷共用邀請的連結，而可能曝險，雖然所有用戶端程式都無法直接檢視上述提及的加鹽密碼，但為保險起見，Slack還是重設了這些用戶的密碼。</p> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><strong style="font-size: 22px;"><a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/"><span style="color: rgb(0, 0, 0);">丹麥學生找到Cloudflare尚未正式推出的服務漏洞，獲得6千美元獎金</span></a></strong></h3> <p>雲端服務業者Cloudflare去年推出測試版的Email Routing服務，並邀請少數人員試用。有名丹麥的學生Albert Pedersen，他並未取得試用資格，但試圖通過Cloudflare伺服器的驗證加入試用行列，並發現相關漏洞，於去年12月7日從HackerOne進行通報，Cloudflare於2天後完成修補，並提供3千美元獎金，但近期該公司決定將獎金增加至6千美元。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" id="OCSF" name="OCSF"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS、Splunk等十多家業者發布OCSF開放網路安全概要框架，以標準化不同資安產品資料互通格式</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/article/152319"><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>【iThome 2022 CIO大調查(上)】CIO優先目標今年不一樣，敏捷IT和ESG是新焦點</strong></span></span></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-nhs-suffers-outage-after-cyberattack-on-managed-service-provider/"><span style="color: rgb(0, 0, 0);">英國NHS的緊急通報系統111專線服務中斷，起因是代管服務業者遭網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152295"><span style="color: rgb(0, 0, 0);">為了防堵駭客濫用ISO、LNK檔案，微軟打算在Windows 11加入相關封鎖功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts"><span style="color: rgb(0, 0, 0);">推特坦承日前駭客竊取540萬用戶資料的管道是零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cryptotimes.io/nomad-bridge-announces-10-bounty-for-hackers-to-recover-funds/"><span style="color: rgb(0, 0, 0);">跨鏈橋平臺Nomad祭出近200萬美元獎金緝兇，並表明駭客歸還9成贓款就不追究法律責任</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p> </p> </div></div></div>
2022/8/12 17:54作者羅正漢https://www.ithome.com.tw/news/152490
【資安日報】2022年8月10日，微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在昨天發布了本月份的每月例行修補（Patch Tuesday），當中總共列出121個漏洞，而這些漏洞裡最受到矚目的是名為DogWalk的漏洞CVE-2022-34713，微軟指出駭客已將其用於攻擊行動，美國亦要求公部門限期修補。</p> <p>中國駭客在烏克蘭戰爭中，多次對於俄羅斯或是烏克蘭發動網路攻擊，而最近有研究人員指出，中國駭客TA428在戰爭爆發之前，就在這些國家進行網路間諜行動，並在受害電腦部署PortDoor、CotSam等多個後門程式與惡意軟體。</p> <p>駭客針對員工寄送網釣簡訊的攻擊行動也值得留意。繼雲端通訊服務業者Twilio公告因上述攻擊而遭到駭客入侵後，雲端服務業者Cloudflare也表示有近80個員工收到這類簡訊，且有人上當填寫相關資料，所幸因防護措施得宜，駭客並未得逞。Cloudflare將相關發現公布，希望其他企業也能提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image3-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/152388#twilio">雲端通訊平臺業者Twilio於8月7日公告遭到網路攻擊</a>，並指出駭客是藉由向員工寄送網釣簡訊挾持帳密，要其他公司提高警覺，事隔兩天，有另一家公司揭露他們遭遇的攻擊情況。</p> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，逾半數不需通過身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> </div></div></div>
2022/8/10 18:13作者周峻佑https://www.ithome.com.tw/news/152414
GitHub提案以Sigstore強化NPM套件安全性，引來開發社群反彈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決NPM一直存在的供應鏈攻擊，<a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/">GitHub計畫採用Sigstore開源軟體認證專案</a>，來強化NPM套件的安全性與可信度，為此，GitHub開啟了一個新的RFC徵求社群意見，但是這項提案引來了諸多反對意見，包括隱私的疑慮，以及生態系鎖定的問題，整體來說反對聲浪居多。</p> <p>當前全世界的軟體產業建立在開放原始碼之上，因此開放原始碼的安全性，可說是至關重要，但是Sigstore專案共同創辦企業Google提到，當前安裝開源軟體的方式，就像是在路上隨意撿起來路不明的隨身碟，就將其插入到電腦中安裝裡面的軟體。</p> <p>這段話意味著，開發者在使用網路上下載而來的開源軟體，通常難以追蹤其來源，但如此也就無法掌握全面的風險，當無法持續檢驗身份金鑰或是秘密，也缺乏相關的安全協定，開源相依關係可能出現漏洞，大開軟體供應鏈攻擊大門。</p> <p>知名軟體套件管理系統NPM，更是時不時出現惡意套件，使得下游用戶安全遭受威脅的新聞出現，NPM背後的公司GitHub現在則嘗試導入Sigstore來解決這個問題。Sigstore是由Google、紅帽與Linux基金會共同啟動的開源軟體認證專案，目的是要讓開源社群能夠簽署軟體，以建立透明可供稽核的軟體供應鏈。</p> <p>GitHub提到，當套件維護者加入這個系統，套件的使用者就能夠確定，套件的內容與儲存庫的內容相符。也就是說，Sigstore可以確保套件用戶可真正安裝他們所預期的開源軟體。</p> <p>過去，將套件關聯回來源程式碼是一件困難的工作，因為需要各個專案註冊和管理自己的加密金鑰，Sigstore的工作就是要消除這項障礙，不需要開發人員管理長期加密金鑰，使過程比過去簡單且安全。</p> <p>GitHub新開啟的RFC，建議使用Sigstore來加入對NPM套件進行端到端簽署，如此將會產生套件的生成地點、時間和方式，以便之後對其進行驗證。</p> <p><a href="https://github.com/npm/rfcs/pull/626">社群對這個RFC有諸多疑慮</a>，第一，Sigstore尚未完成，目前仍處於實驗性，第二，RFC也將會導致供應商化，Sigstore提案只能用於來自公共儲存庫，以及商業託管CI/CD供應商的公共NPM套件，因此套件將會相依於GitHub、Google或微軟等第三方，且因為Sigstore證書預設包含電子郵件，也會損害作者的隱私。</p> <p>再來，Sigstore使用自己的證書頒發機構Fulcio，而Fulcio目前僅完整支援GitHub Actions，使得GitHub Actions成為驗證套件的唯一方式，也就是說無意間開發者會被綁定在特定生態系中，這項限制也使得不少套件開發者卻步。</p> </div></div></div>
2022/8/10 15:17作者李建興https://www.ithome.com.tw/news/152397
【資安日報】2022年8月9日，丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven連鎖便利商店於昨日證實他們因遭到網路攻擊，而被迫暫停營業，有資安專家指出，很可能是代管服務業者（MSP）遭到勒索軟體攻擊，而使得7-Eleven也成為受害者。</p> <p>駭客透過網釣簡訊來取得入侵企業管道的手法，也相當值得留意。有雲端服務業者表示他們近期因為員工點選網釣簡訊而被駭，並指出還有其他公司遭到類似的攻擊，呼籲大家要提高警覺。</p> <p>協作平臺Zimbra在5月上旬修補了密碼洩露漏洞CVE-2022-27924，但最近美國政府提出警告，此漏洞遭駭客積極利用，並要求聯邦機關要限期完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> </div></div></div>
2022/8/9 18:39作者周峻佑https://www.ithome.com.tw/news/152388
【資安週報】2022年8月1日到8月5日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周數十起全球資安新聞中，國人最關心的莫過於近日一連串國內發生的事件。面對中國常年持續不斷的軍事恐嚇行為及網路攻擊，在美國眾議院議長裴洛西（Nancy Pelosi）出訪新加坡、馬來西亞、臺灣、韓國與日本之際，隨著國際目光聚焦於臺灣，臺灣網路攻擊活動水準上升已是常態，因此我國政府也嚴正以待，而國內也確實遭遇了許多網路攻擊事件，成為本周資安焦點。</p> <p>例如，本周裴洛西抵臺前後，攻擊者使用網路攻擊常見的DDoS攻擊手法，造成我國多個政府組織官方網站服務無法正常運作，所幸有所因應之下，影響時間不長。更受普遍民眾關注的是，國內還發生數位電子看板內容遭置換的攻擊，包括統一超商7-11櫃臺後方數位電子看板、還有台鐵左營站與南投路邊的電視牆，這也讓大家關注到，場域合作的聯播廣告業者，可能普遍存在資安管理不足情形，但因這些設備多布署在公共場域，將為社會層面帶來不小影響，而場域業者對於合作夥伴的資安要求，以及這類產業不是政府關鍵CI所擴及的範圍，都將成為討論焦點。另外，網站置換的攻擊也仍發生。</p> <p>雖然這些置換內容的攻擊行動，多半不是使用高階的攻擊技術，但也要注意這些破口是否被更多利用，是否還有橫向移動攻擊擴散的行為，這方面的偵測、監控能力，也將是國內更須關注的面向，其他機關與民間產業同樣需引以為戒。</p> <p>國際間也發生不少資安事故，並是牽扯高科技製造、能源產業、軍事產業，而備受注目，包括德國半導體製造商Semikron遭LV勒索軟體攻擊、歐洲大型能源業者Encevo遭勒索軟體BlackCat攻擊、歐洲導彈製造商MBDA遭竊取機敏資料。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152346#1"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_AA.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#2"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_CC.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_EE.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#4"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#5"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#6"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#7"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#8"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#9"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#10"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong><br /> </p> <p id="3"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA警告Confluence漏洞已被駭客鎖定利用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg" style="width: 220px; float: right;" /></a></p> <p id="4">兩週前Atlassian旗下企業協同軟體Confluence修補三個漏洞，其中CVE-2022-26138的密碼寫死漏洞最受注目，美國CISA在7月29日警告，發現已有駭客鎖定該漏洞攻擊，因此納入「Known Exploited Vulnerabilities」清單，要求聯邦機構在3週內儘速完成修補。事實上，對於這項漏洞Atlassian之前已警告，已經有人將該服務的密碼公布在網路上，而另一家資安業者在7月27日也曾發布報告指出該漏洞正被廣泛利用，如今CISA證實該漏洞備索定利用的情形，尚未修補的用戶應儘速採取行動，避免成為易受攻擊的Confluence伺服器。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/living-off-windows-defender-lockbit-ransomware-sideloads-cobalt-strike-through-microsoft-security-tool/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客利用Log4j漏洞以微軟防毒軟體側載部署LockBit 3.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="cursor: default; width: 300px; float: right;" /></a>在勒索軟體攻擊行動裡，駭客濫用受害電腦內建工具的情況相當常見，就連防毒軟體也不例外。例如，資安業者SentinelOne發現，使用LockBit 3.0發動勒索軟體攻擊的駭客，近期鎖定受害電腦內建防毒軟體Microsoft Defender下手，以DLL側載（DLL Side-loading）的方式，載入滲透測試工具Cobalt Strike的Beacon，目的是為了規避各式資安防護系統。</p> <p id="1">研究人員指出，這些駭客使用遠距工作平臺VMware Horizon的Log4Shell漏洞入侵組織，然後透過PowerShell執行Microsoft Defender的命令列程式MpCmdRun.exe，此程式在運作過程會載入mpclient.dll，最終解密並於受害電腦投放Cobalt Strike的Beacon。研究人員認為，駭客這麼做的目的，是為了規避現行針對VMware Horizon的各式偵測手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府網站傳出遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></h3> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日晚間抵達臺灣，引起全球矚目。但在此之前，我國數個政府機關傳出網站遭到DDoS攻擊的情況。總統府表示在昨日傍晚約5時15分起，網站遭到境外DDoS攻擊，流量為平時的200倍，經處置後約於20分鐘恢復正常。但遭到DDoS攻擊的可能不只有總統府，根據<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">美國媒體NBC News報導，國防部、外交部，以及桃園國際機場的網站，疑似也遭到攻擊</a>，不過，僅外交部<a href="https://www.ettoday.net/news/20220802/2307742.htm">有國內媒體指出</a>，網站可能因遭到攻擊而一度無法運作。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">國防部證實8月3日網站遭到DDoS攻擊</span></a></strong></h3> <p>國防部於8月4日證實，他們的網站約於3日晚間11時4分起，陸續遭到DDoS攻擊，並於11時27分流量過大導致服務中斷，經流量清洗與封鎖惡意中繼站，該網站於4日零時30分恢復運作。</p> <p>而這起事故似乎已經不是國防部網站因裴洛西訪臺而遭到攻擊。<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144" style="color: rgb(7, 130, 193);">根據美國新聞網站NBC News的報導</a>，8月2日至少有4個政府網站遭到DDoS攻擊，而其中一個就是國防部的網站。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://money.udn.com/money/story/10511/6511538" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></h3> <p>美國聯邦眾議院議長裴洛西訪臺引起中國不滿，該國解放軍在今日中午12時於臺灣周邊軍演，傳出桃園國際機場取消部分航班因應。但在軍演之前，卻傳出機場網站遭到攻擊而無法運作的情況。根據<a href="https://money.udn.com/money/story/10511/6511538" style="color: rgb(7, 130, 193);">經濟日報</a>、<a href="https://www.ettoday.net/news/20220804/2308824.htm" style="color: rgb(7, 130, 193);">聯合新聞網</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4014051" style="color: rgb(7, 130, 193);">自由時報</a>的報導，今日上午8時起，桃園國際機場的網站出現無法運作或是執行緩慢的現象。</p> <p id="2">根據上述的報導，知情人士透露這起事故發生的原因。起因疑似駭客持續發動攻擊，並屢次企圖登入網站，消耗伺服器大量運算資源，導致網站無法瀏覽。對此，<a href="https://www.taoyuanairport.com.tw/pressrelease/653115D9-AA13-ED11-BBC8-005056BD475F" style="color: rgb(7, 130, 193);">桃園國際機場也發出聲明</a>，表示網站從上午8時許出現連線不穩定的情況，他們在11時排除。該公司亦指出內部網路、行動裝置App，以及機場營運皆正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg" style="width: 300px; float: right;" /></a>美國聯邦眾議院議長裴洛西（Nancy Pelosi）昨晚抵臺後，今日早上許多民眾臉書分享在不同7-11便利商店，看到結帳櫃臺後方的廣告螢幕，播放「戰爭販子裴洛西滾出台灣」的影像，有民眾質疑是廣告還是被駭？對此事件，7-11表示由他們統一回應：「廠商受不明來源干擾播放訊息。」中央社報導指出，刑事局初步調查為駭客入侵。</p> <h3><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg" style="width: 300px; float: right;" /></a></p> <p>前民進黨桃園市議員王浩宇在臉書張貼照片表示，臺鐵新左營站的大型電子看板竟成為中國駭客統戰工具。該看板出現了簡體中文的文字與五星旗，並指控裴洛西此次來到臺灣，是對中國主權的挑釁。</p> <p>此貼文發布後受到熱烈討論，當中有人指出，其實不光是臺鐵，南投48線道路旁的電子看板，也被竄改成相同的訊息。</p> <h3><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg" style="width: 300px; float: right;" /></a>高雄市環保局揭露飲用水檢測結果的網站，在昨天晚間8時56分，傳出遭到竄改的情況，網站上出現許多中國國旗。環保局於9時15分將網站下架維修。高雄市副市長羅達生表示，此網站主要用途是向市民宣導，市府並未發現資料遺失的情況，也不會影響市民權益。</p> <p>警方初步調查顯示，駭客利用境外IP位址做為跳板入侵，是蓄意攻擊案件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></h3> <p>自8月2日開始，全臺灣陸續發生政府機關遭到網路攻擊，以及電子看板出現恐嚇訊息的情況，但這樣的攻擊態勢有多嚴重？根據臺灣網路資訊中心（TWNIC）的統計，在8月2日至3日的期間，.tw國家頂級網域DNS最大查詢量約為每秒超過8.5萬筆，其中近75%是惡意攻擊封包，來源主要是美國與中國的雲端業者。</p> <p id="6">針對電子看板遭到竄改的情事，TWNIC認為相關攻擊行動發生的原因，在於廣告業者普遍資訊專業人力不足，亦有可能採用中國廠商的軟體，從而導致系統遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/08/dark-utilities.html"><span style="color: rgb(0, 0, 0);">駭客發動攻擊的C2中繼站也可以用租的！研究人員揭露Dark Utilities中繼站租賃服務</span></a></strong></h3> <p>為了隱匿攻擊來源，駭客通常會架設C2中繼站來控制惡意軟體或下達命令，但如今這種中繼站也出現了租賃服務。思科揭露名為Dark Utilities的C2中繼站服務平臺（C2aaS），駭客宣稱提供匿名的C2基礎設施，攻擊者只要支付9.99歐元就可使用，目前至少有3千個活躍用戶，粗估經營者獲利3萬歐元。</p> <p>此C2平臺目前支援駭客使用Windows、Linux的惡意軟體，並以星際檔案系統（IPFS）代管相關檔案。研究人員指出，這樣的租賃服務很可能日後受到攻擊者廣泛利用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/semiconductor-manufacturer-semikron-hit-by-lv-ransomware-attack/"><span style="color: rgb(0, 0, 0);">德國半導體製造商Semikron遭LV勒索軟體攻擊</span></a></strong></h3> <p>德國半導體元件製造商Semikron於8月1日發出公告，表示該公司遭到勒索軟體攻擊，部分IT系統與檔案遭到加密，並指出駭客宣稱竊得了該公司的資料，但究竟有那些資料外洩？仍有待釐清。</p> <p>根據資安新聞網站Bleeping Computer的報導，此製造商遭到LV勒索軟體攻擊，駭客竊得2 TB資料。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.darkreading.com/risk/european-energy-supplier-encevo-breached-in-attack" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">歐洲大型能源業者Encevo遭到勒索軟體BlackCat攻擊</span></a></strong></h3> <p>勒索軟體駭客組織BlackCat攻擊行動頻頻，這次是針對歐洲能源供應商而來。根據新聞網站Dark Reading的報導，總部位於盧森堡的能源集團Encevo於7月25日發布公告，旗下的供電網路Creos與能源供應商Enovos，先後於7月22日、23日遭到網路攻擊，駭客盜走部分資料。勒索軟體駭客組織BlackCat於29日宣稱是他們所為，總共竊得150 GB資料、共18萬個檔案。Encevo表示，電力與能源供應並未因網路攻擊而中斷，但他們尚在調查資料外洩的情形。</p> <h3><a href="https://securityaffairs.co/wordpress/133881/data-breach/mbda-alleged-data-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客聲稱入侵歐洲導彈製造商MBDA並竊取60 GB機敏資料</span></strong></a></h3> <p>根據Security Affairs報導，指出暗網上有一使用者名稱為Adrastea的攻擊者，宣稱自己入侵了歐洲導彈製造商MBDA，該公司是一間由英國、法國與意大利合組的導彈開發與製造商，駭客聲稱從該公司基礎架構中發現嚴重漏洞，並竊取了60 GB的機密資料，包含員工參與的軍事項目，例如PLANCTON、CRONOS、CASIRIUS、EMADS、MCDS、B1NT等，以及該公司為歐盟國防部進行的商業活動資訊，還有合約協議，以及與其他公司通訊的資訊，目前尚不清楚攻擊者入侵的詳細資訊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mbda-systems.com/2022/08/01/hacking-allegations-against-mbda-italy/"><span style="color: rgb(0, 0, 0);">歐洲導彈製造商MBDA證實資料外洩</span></a></strong></h3> <p>在7月下旬，有名自稱是Adrastea的「獨立研究人員」在多個地下論壇聲稱，他找到歐洲導彈製造商MBDA資訊系統的漏洞，並取得相關存取權限，竊得約60 GB機密資料並求售，內容包括飛彈系統、地對空飛彈及海岸防衛系統計畫的設計圖、相片、影片、簡報、合約，以及設計文件等資料。</p> <p id="5">到了8月1日，MBDA坦承確實有資料外洩的情況，但宣稱駭客是從外接式硬碟偷得資料，這些資料並非機密，該公司亦強調內部網路並未遭到入侵。但駭客究竟如何透過外接式硬碟取得該公司資料？MBDA不願說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/rapperbot-malware-discovery"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot鎖定Linux主機而來，透過暴力破解入侵受害電腦</span></a></strong></h3> <p>資安業者Fortinet揭露名為RapperBot的殭屍網路，該殭屍網路的惡意程式以Mirai為基礎開發，但具備獨有的C2通訊協定，且與多數殭屍網路病毒的特質有顯著的差異。RapperBot自2022年6月開始，鎖定Arm、MIPS、Sparc，以及x86架構的Linux電腦，利用暴力破解的方式及SSH連線來嘗試掌控受害電腦。此殭屍網路自發現的一個半月以來，針對全球3,500個IP位址發動攻擊。</p> <p>研究人員指出，此殭屍網路病毒的功能，主要偏重於初期存取伺服器的能力，很有可能日後被用於內部網路環境的橫向移動。</p> <h3><a href="https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲ENISA發布勒索軟體研究報告，分析過去一年623起事件外洩136TB資料，並指出這只是冰山一角</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg" style="width: 220px; float: right;" /></a></p> <p>歐洲網路資訊安全局（ENISA）在7月29日發布Threat Landscape for Ransomware Attacks報告，當中收集並分析了2021年5月至2022年6月的623起的勒索軟體攻擊事件，當中揭露幾項重點與值得注意的統計數據，例如，他們透過LEDS矩陣（鎖住、加密、刪除、偷竊）與各式資產形式（檔案、記憶體、資料夾等9種），來分類勒索軟體的能力，並對勒索軟體生命週期進行分析。而在他們統計中發現，每月平均有10TB資料被勒索軟體攻擊過程竊取；在95.3%的事件中，受害者是不知道駭客是如何獲取進入企業內部的初始權限，只有29起得出結論；推估有6成受害者支付贖金；至少發現47個不同的勒索軟體攻擊者。特別的是，當中公布受害產業占比統計，以重工業件數最多近130件，資訊服務業超過70件，政府機關超過50件，而ENISA也特別強調，這些已對外揭露的事件，僅冰山一角。</p> <h3><a href="https://www.coveware.com/blog/2022/7/27/fewer-ransomware-victims-pay-as-medium-ransom-falls-in-q2-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近期最常見的勒索軟體為BlackHat與Lockbit 2.0</span></strong></a></h3> <p id="7">CoveWare公布2022第二季勒索軟體報告，當中指出幾個重點趨勢，包括攻擊者的攻擊技術不斷進步，一年前只有少數勒索軟體能加密非Windows作業系統，然而現在卻是幾乎RaaS的勒索軟體服務，都有針對Windows、Linux與ESXI環境提出穩定的版本，他們同時公布第二季常見勒索軟體，前三名為BlackCat（16.9%）、Lockbit 2.0（13.1%）、Hive（6.3%），而第四名Quantum新入榜值得關注。再以產業別來看，受害比例最高的是專業服務機構（21.9%），其次為政府公部門（14.4%）、醫療機構（10%）、軟體服務業（9.4%）、材料業（8.1%）。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://cloudsek.com/whitepapers_reports/how-leaked-twitter-api-keys-can-be-used-to-build-a-bot-army/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">3,200款行動裝置App恐洩露推特的API金鑰</span></a></strong></h3> <p>行動裝置App的開發者若是採用了不當的配置，就有可能洩露使用者的社群網站帳號資料，而成為駭客攻擊的目標。資安業者CloudSEK近期找到3,207個App，會洩露推特API金鑰，攻擊者有可能用來存取受害者的帳號。</p> <p id="9">研究人員指出，其中有230個App會洩露全部4種推特身分驗證的憑證，而使得攻擊者能夠完全掌控受害的推特帳號，執行像是轉推、移除追隨者、取得帳號設定等。而駭客在取得這些推特帳號的控制權後，很有可能會組成機器人（Bot）軍隊，以這些帳號來散布假消息。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對中國駭客鎖定UEFI韌體的惡意攻擊行動，華碩提出進一步說明</span></strong></h3> <p>卡巴斯基研究人員日前公布<a href="https://www.ithome.com.tw/news/152121#CosmicStrand" style="color: rgb(7, 130, 193);">中國駭客鎖定電腦UEFI韌體的攻擊行動</a>，駭客在採用華碩與技嘉H81晶片組主機板上植入惡意軟體CosmicStrand，但表示他們並不清楚駭客部署惡意軟體的方法。對此，華碩向iThome表示，經過他們的調查，駭客並非透過主機板UEFI BIOS的漏洞攻擊，而是主機板的BIOS韌體燒錄器遭到不明外力竄改，或是在更換ROM元件時被植入此惡意軟體。</p> <p id="10">華碩表示，若是使用者購買二手的主機板，有可能會取得內有惡意軟體的產品，他們呼籲這些用戶儘速從華碩網站下載BIOS更新。該公司亦強調購買全新主機板的用戶不會遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://web3isgoinggreat.com/?id=nomad-bridge-exploit"><span style="color: rgb(0, 0, 0);">跨鏈協定Nomad遭入侵，1.9億美元加密貨幣慘遭清空</span></a></strong></h3> <p>駭客鎖定加密貨幣平臺漏洞發動攻擊，並將資金洗劫一空的情況，最近似乎越來越頻繁。跨鏈橋服務業者Nomad於8月2日清晨遭到攻擊，一群發現漏洞的駭客不斷把加密貨幣轉走，導致此系統上價值1.9億美元的加密貨幣，在數個小時後只剩下7.7萬美元。</p> <p>該公司已著手調查，並感謝白帽駭客協助保住部分加密貨幣。然而雪上加霜的是，在此起事故發生之後，竟有詐騙集團假冒Nomad的名義行騙。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/thousands-of-solana-wallets-drained-in-attack-using-unknown-exploit/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">區塊鏈平臺Solana遭到攻擊，近8千個錢包遇害</span></a></strong></h3> <p>在8月2日3日，區塊鏈平臺Solana出現了大量加密貨幣錢包資產被盜的情況，此事亦得到Solana的證實。根據區塊鏈分析業者Elliptic的統計，7,947個Solana熱錢包中的數位資產被盜轉，共有580萬美元數位資產被盜，當中有260萬美元為美元穩定幣（USDC）、180萬美元的SOL幣。研究人員指出，此起攻擊事件疑似與軟體錢包有關，而非Solana平臺程式碼的臭蟲。</p> <h3><a href="https://blog.talosintelligence.com/2022/08/manjusaka-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客開發新的攻擊框架Manjusaka</span></strong></a></h3> <p>駭客在攻擊行動中經常濫用滲透測試工具Cobalt Strike進行偵察，但現在開始有人打算開發新的工具來代替Cobalt Strike，而使得相關攻擊更難被察覺。思科旗下的威脅情報團隊Talos，近期在調查客戶網路環境遭到Cobalt Strike攻擊的過程中，意外發現名為Manjusaka的攻擊框架。此框架的惡意程式使用程式語言Rust開發，並能攻擊Windows與Linux電腦，C2中繼站的部分則是使用Go語言開發，且採用簡體中文介面。</p> <p>研究人員認為，雖然Manjusaka仍在開發階段，但已具備相當強大的功能，駭客日後很可能會用來全面取代Cobalt Strike。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/35-000-code-repos-not-hacked-but-clones-flood-github-to-serve-malware/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客複製逾3.5萬個GitHub儲存庫，意圖散布惡意軟體</span></a></strong></h3> <p>程式碼儲存庫提供的複製功能，讓開發人員能引用他人的程式碼並進一步改寫，但這樣的功能也有可能遭到濫用。軟體開發員Stephen Lacy近日在GitHub上發現，有35,613個儲存庫被用於惡意軟體攻擊，但這些儲存庫並非駭客自行建置，而是複製他人的儲存庫而來。</p> <p>另一名開發者James Tucker表示，這些被複製的儲存庫很有可能還會曝露原始儲存庫的API密鑰、Token、AWS的帳密。GitHub獲報後已刪除上述複製的儲存庫，並強調尚未有證據顯示開發者的帳號遭駭。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">大規模微軟電子郵件信箱服務攻擊再度鎖定企業而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Zscaler近期揭露針對微軟電子郵件用戶的網路釣魚行動，駭客在今年6月，使用了Adversary-in-the-Middle（AiTM）的攻擊手法，來規避多因素驗證（MFA）的身分驗證流程，並使用URL重新導向的方式來規避企業的防護系統偵測。</p> <p>這些駭客攻擊的目標主要位於美國、英國、紐西蘭、澳洲，並鎖定金融、能源、製造業下手。研究人員指出，為了延長攻擊的有效時間，駭客濫用了雲端程式碼編譯平臺，如：CodeSandbox、Glitch等。</p> <p>駭客利用AiTM手法攻擊微軟企業用戶的情況並非首例──<a href="http://www.ithome.com.tw/news/151924" style="color: rgb(7, 130, 193);">微軟在上個月揭露在2021年9月開始出現的攻擊行動</a>。相較之下，發生在今年6月的事故裡，駭客利用了更多隱匿攻擊意圖的手法。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">烏克蘭破獲俄羅斯在基輔架設的機器人農場</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="cursor: default; width: 300px; float: right;" /></a>為了誤導烏克蘭人對戰爭情勢的了解，俄羅斯駭客試圖透過機器人（Bot）農場來大量散播假消息，而且還是在烏克蘭境內部署相關設備。烏克蘭國家安全局（SSU）於8月2日指出，他們破獲俄羅斯人在基輔架設的機器人農場，這個農場擁有超過百萬個機器人，並使用了5千張SIM卡來建置社群網站帳號，該農場亦架設200個代理伺服器，以便隱匿來源IP位址。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/lofylife-malicious-npm-packages/107014/"><span style="color: rgb(0, 0, 0);">出現鎖定竊取Discord Token與金融資料的惡意NPM套件</span></a></strong></h3> <p>資安業者卡巴斯基在7月28日揭露一起惡意NPM套件活動，其目的是竊取社群平臺Discord的Token與金融資料，該公司說明，他們是透過內部自動化系統監控開源儲存庫時，在7月26日發現NPM中有四個可疑套件包，當中都具有高度混淆的Python與JavaScript程式碼，他們將此惡意活動稱之為「LofyLife」。具體而言，卡巴斯基所發現Python的惡意程式，是Volt Stealer開源Token記錄器的修改版本，其作用是在受感染的機器上竊取Discord Token與受害者IP位址，並透過HTTP上傳，另一名為Lofy Stealer的JavaScript惡意軟體，則是為了感染Discord用戶端檔案而建立，主要是監控受害者的行為，包括用戶何時登入、更改電子郵件或密碼、MFA的啟用與關閉，以及增加金融卡等付款方式，而這些收集到的資訊將會上傳到3個遠端的特定網域。</p> <h3><a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=880&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%90%E9%83%B5%E4%BB%B6%E3%80%91%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=07%2F27%2F2022%2000%3A00%3A00"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠通電收警告當心冒名釣魚簡訊後，再呼籲慎防假冒eTag通知的釣魚郵件</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg" style="width: 220px; float: right;" /></a></p> <p>假冒eTag名義的網路釣魚詐騙橫行，7月27日遠通電收發布公告，指出有人透過電子郵件發送網釣郵件，像是假冒遠通電收以eTag儲值失敗贈送儲值金的名義，或是eTag認證通知的名義，引誘使用eTag的車主點擊信中連結，可能騙取民眾個資。值得關注的是，這種以遠通電收名義的網釣攻擊持續發生，像是今年5月2日遠通電收也曾警告，發現有假冒該公司名義，發送到期繳費通知的SMS簡訊，內含不明網址，而刑事警察局在6月曾揭露一起事件，說明有民眾接獲通行費58元即將到期的簡訊，誤信點擊連結，依欄位輸入車號、身分證字號、信用卡卡號等資料，遭詐騙美金2千元。刑事局表示，網路詐騙會假冒各式名義，民眾務必自行找尋官方機構聯繫管道確認，或撥打110、165查詢。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/xss-vulnerabilities-in-google-cloud-google-play-could-lead-to-account-hijacks"><span style="color: rgb(0, 0, 0);">Google Cloud中的XSS漏洞，可能導致Google Play帳戶遭劫持</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg" style="width: 220px; float: right;" /></a></p> <p>根據The Daily Swig報導，有研究人員通報Google Cloud、DevSite與Google Play存在的兩個XSS漏洞，共獲得8千多美元的獎勵。根據該研究人員NDevTK的說明，一個漏洞屬於Google DevSite中的反射型XSS漏洞，一個被攻擊者控制的連結，可以在原<a href="http://cloud.google.com">http://cloud.google.com</a>與<a href="http://developers.google.com">http://developers.google.com</a>執行JavaScript，這意謂著攻擊者可以繞過同源政策（Same-origin policy），讀取與修改其內容。另一個是屬於Google Play上的DOM-based XSS，通常發生在JavaScript執行過程，從攻擊者控制的資源像是URL獲取資料時，被帶入了惡意指令，將其傳遞給執行程式碼的eval()或innerHTML，這通常讓攻擊者可以利用來執行惡意JavaScript，竊取其他用戶身分。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://www.volexity.com/blog/2022/07/28/sharptongue-deploys-clever-mail-stealing-browser-extension-sharpext/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意瀏覽器擴充套件，讀取受害者的Gmail、AOL電子郵件信箱</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="cursor: default; width: 300px; float: right;" /></a>網頁瀏覽器的擴充套件再度成為駭客竊密的管道！資安業者Volexity揭露名為Sharpext的攻擊行動，北韓駭客組織Kimsuky於去年9月開始，鎖定Chrome、Edge，以及Whale等網頁瀏覽器，利用VBS指令碼部署名為Sharpext的惡意擴充套件，並藉由此擴充套件竊取受害者Gmail與AOL帳號的電子郵件，駭客在美國、歐洲、南韓等地，針對外交政策、核能等具有戰略利益的人士發動攻擊。</p> <p>研究人員指出，這起攻擊的手法相當特別，駭客並非透過擴充套件竊取受害者儲存在瀏覽器的相關帳密，而是在受害者已經成功存取上述的電子郵件信箱帳號後，才竊取所需的信件。這樣的手法使得電子郵件服務業者難以察覺相關攻擊，也不會觸發受害者電子郵件帳號的可疑活動警報，而使得資安人員發現此類攻擊的難度相當高。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/investment-scams-europe" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客架設1.1萬個投資詐騙網站，針對歐洲用戶而來</span></a></strong></h3> <p>駭客假冒名人的名義行騙的情況越來越猖獗，不只規模極為龐大，還同時結合了網路與實體的手法。資安業者Group-IB揭露擁有11,197個網站的大型詐騙網路，這些駭客鎖定歐洲各地的民眾，以投資比特幣或黃金的名義進行詐騙，宣稱只要有750歐元（約新臺幣2.3萬元）就能入場，3天能獲利700歐元。</p> <p>研究人員指出，駭客不只在詐騙網站盜用名人身分行騙，還會在受害者填寫聯絡資訊後，致電要受害者存錢，然而匯入款項後，駭客便會提高兌現的門檻，要求匯入更多的資金，使得受害者無法取回獲利與本金。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.ironnet.com/blog/robin-banks-a-new-phishing-as-a-service-platform" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">Robin Banks向駭客出售網釣工具包，鎖定美、英、澳銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="cursor: default; width: 300px; float: right;" /></a>網路釣魚攻擊也出現分工的現象！資安業者IronNet指出，有駭客組織自今年3月開始，推出名為Robin Banks的網路釣魚工具包，此工具包可讓網路犯罪者取得美國、英國、加拿大、澳洲人士的財務資料，駭客透過軟體訂閱服務的方式（Phishing-as-a-Service）提供相關工具。此工具包在6月中旬被用於發動大規模攻擊，駭客將其用於竊取花旗銀行用戶的帳號資料與財務資料，並企圖盜取微軟帳號的帳密。研究人員指出，此網路釣魚工具包很可能被駭客加以利用，將其用於取得入侵受害組織的初期存取管道，以便進行後續的攻擊行動（如勒索軟體攻擊）。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.afp.gov.au/news-media/media-releases/afp-charges-man-creating-global-spyware-tool" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">澳洲男子開發間諜軟體Imminent Monitor提供給家暴者</span></a></strong></h3> <p>間諜軟體不只是被用於監控政治人物，還有可能成為家暴者監控受害人的幫兇。澳洲聯邦警察（Australian Federal Police，AFP）於7月30日宣布，他們逮捕涉嫌製作RAT木馬程式Imminent Monitor的24歲男子，這名男子自2013年至2019年，打造木馬程式並進行販賣，目前遭到6項指控。此人與另一男子合作，將木馬程式賣到128個國家，擁有超過14,500個用戶。</p> <p>值得留意的是，買家當中可能有不少是家暴者。澳洲聯邦警察指出，他們確定當地有201人購買此木馬程式，而當中使用PayPal付款的買家，有14.2%是受到家庭暴力保護令（Domestic Violence Order，DVO）列管的人士，比例可說是相當高。此外，另有一名是孩童性犯罪者。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/08/woody-rat-a-new-feature-rich-malware-spotted-in-the-wild/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯航空公司遭到Woody RAT惡意軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Malwarebytes發現為期超過一年的木馬程式Woody RAT攻擊行動，駭客疑似鎖定俄羅斯聯合航空製造公司下手，並透過壓縮檔或是惡意Office檔案來散布此惡意軟體。</p> <p>研究人員指出，在惡意Office檔案中，駭客利用了Follina漏洞在受害電腦植入木馬程式。此外，為防範資安人員追查源頭，該惡意軟體與C2通訊的流量，使用了RSA-4096和AES-CBC等演算法來進行加密。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://www.trendmicro.com/en_us/research/22/h/solidbit-ransomware-enters-the-raas-scene-and-takes-aim-at-gamer.html" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體SolidBit鎖定電玩玩家與社群網站用戶而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="cursor: default; width: 300px; float: right;" /></a>趨勢科技發現勒索軟體SolidBit變種，駭客將此惡意軟體上傳到GitHub，並偽裝成遊戲工具或是社群網站工具，如英雄聯盟（League of Legends）的帳號檢測工具、Instagram追隨者機器人，來引誘受害人上當。</p> <p>研究人員指出，此勒索軟體採用.NET開發，並以勒索軟體Yashma（亦稱Chaos）為基礎進行修改，並擁有類似LockBit的勒索訊息及通訊網站。開發SolidBit的駭客以訂閱服務型式（Ransomware-as-a-Service）提供相關工具，並以收到的贖金8成為誘因，吸引攻擊者上門。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://blog.cyble.com/2022/08/02/fake-atomic-wallet-website-distributing-mars-stealer/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以提供加密貨幣錢包軟體的名義散布惡意軟體Mars Stealer</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-impersonating-Atomic-Wallet-website.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-impersonating-Atomic-Wallet-website.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Cyble揭露近期竊密軟體Mars Stealer的散布手法，駭客打造冒牌的Atomic加密貨幣錢包網站，吸引投資加密貨幣的Windows使用者上勾。</p> <p>一旦投資者依照指示下載、安裝應用程式，此安裝程式的批次檔（AtomicWallet-Setup.bat）將會觸發PowerShell命令，來提升權限，並執行以AES或Base64演算法加密的程式碼，進而於受害電腦植入Mars Stealer。研究人員呼籲使用者要留意下載應用程式管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg" style="width: 300px; float: right;" /></a>美國眾議院議長裴洛西訪臺引發中國不滿，不只駭客針對政府機關發動網路攻擊，也有人伺機散布軍事演習的假消息來混淆視聽。</p> <p>國防部於8月4日指出，近期中國通訊軟體Wechat流傳一則消息，聲稱解放軍的戰機擊落了臺灣「伴飛」的戰機，並透過螢幕截圖的方式散布。但國防部強調，實際上，我國空軍根本沒有安排、執行上述提及的任務，亦無戰機遭擊落的情事，微信流傳的是不實資訊。</p> <p>事實上，這並非中國本週首度散布的謠言。在8月3日，有中國媒體報導桃園國際機場遭到導彈襲擊，並聲稱有飛官開F-16戰機投誠中國。然而，桃園國際機場根本沒有遭到軍事攻擊，中國媒體所指稱的軍官已在2020年11月因公殉職，並追贈少將。</p> <h3><strong style="font-size: 22px;"><a href="https://www.npa.gov.tw/ch/app/news/view?module=headnews&id=2136&serno=0f76d9d9-c017-427d-be86-defbff5058a9"><span style="color: rgb(0, 0, 0);">警察相關勤務系統於8月4日晚間無法使用，疑為網路連線設備故障造成</span></a></strong></h3> <p>本週臺灣政府機關接連傳出遭到網路攻擊，在這個敏感時刻相關系統故障，很可能讓人認為是駭客入侵造成。警用行動電腦系統M-Police與相關勤務系統於8月4日晚間，發生無法連線的情況，導致執勤員警因無法連線而勤務大亂，外界懷疑是遭到駭客攻擊所致。</p> <p>針對上述的情況，內政部警政署發出聲明，表示他們於昨日22時30分，發現警察相關勤務系統無法使用，經調查是機房網路連線設備故障所致，初步排除遭到駭客攻擊，亦無民眾個資外洩。經更換設備後，上述系統於今日0時50分陸續恢復服務。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-patch-critical-auth-bypass-bug-immediately/"><span style="color: rgb(0, 0, 0);">VMware多項產品存在身分驗證繞過漏洞，恐被攻擊者用來取得管理員權限</span></a></strong></p> <p>VMware於8月2日發布資安通告，針對旗下身分驗證解決方案提供修補程式。當中最值得留意的是身分驗證繞過漏洞CVE-2022-31656，CVSS風險評分為9.8分，影響Workspace ONE Access、Identity Manager、vRealize Automation。一旦遭利用，駭客很可能在不需通過身分驗證的情況下取得管理權限。該公司呼籲用戶要儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/vulnerability-in-dahua-s-onvif-implementation-threatens-ip-camera-security/"><span style="color: rgb(0, 0, 0);">大華IP視訊鏡頭存在漏洞，恐遭攻擊者挾持</span></a></strong></h3> <p>資安業者Nozomi Networks指出，大華吸頂式IP監視器IPC-HDBW2231E-S-S2存在漏洞CVE-2022-30563，一旦攻擊者加以利用，就有可能藉由該公司對網路影像互通標準ONVIF的驗證機制實作不當，來進行中間人（MitM）攻擊，進而建立管理員帳號並取得最高權限，進而接管監視器設備。大華獲報後於6月28日發布修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.wpsoffice.com/article/571"><span style="color: rgb(0, 0, 0);">WPS Office出現OLE物件處理漏洞，PPS、PPSX簡報檔案恐被用於攻擊</span></a></strong></h3> <p>WPS Office臺灣總代理無敵科技於8月3日發布資安通告，他們發現特定版本的Windows版辦公室軟體，在處理物件連結與嵌入（OLE）的過程中，存在邏輯漏洞，可被攻擊者用來製造惡意的PPS與PPSX簡報檔案，使用者若是不慎開啟這種惡意檔案，並在播放投影片的過程移動滑鼠或點選OLE物件，就有可能從遠端伺服器下載惡意程式碼並執行，使得攻擊者能在電腦重開機後進行控制。該公司表示將發布新版修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://content.govdelivery.com/accounts/USDHSFEMA/bulletins/3263326"><span style="color: rgb(0, 0, 0);">美國緊急警報系統存在重大漏洞，恐被攻擊者用於在電視與廣播傳送假警報</span></a></strong></h3> <p>美國國土安全部（DHS）於8月1日發布資安通告，指出攻擊者可透過該國的緊急警報系統（EAS），利用編碼器與解碼器當中的重大漏洞，進而在電視與廣播發送假的警報訊息。此漏洞由資安業者Cybir的研究人員發現，並將於DEFCON 2022大會上展示概念性驗證（PoC）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html"><span style="color: rgb(0, 0, 0);">29款居易路由器存在重大漏洞，攻擊者可用來接管設備</span></a></strong></h3> <p>資安業者Trellix發現居易（DrayTek）路由器漏洞CVE-2022-32548，一旦攻擊者利用該漏洞，可在不需身分驗證或使用者交互的情況下，透過網路發動攻擊，進而有可能接管設備，或是竄改DNS配置、發動DDoS攻擊、用於挖礦攻擊等，CVSS風險評分為10分。共有29款Vigor系列路由器存在相關漏洞，根據物聯網搜尋引擎Shodan的搜尋結果，有70萬臺設備可能曝險，這些設備多在英國、越南、荷蘭、澳洲。居易已發布新版韌體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/08/high-severity-vulnerability-patched-in-download-manager-plugin"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Download Manager存在任意檔案刪除漏洞，波及10萬個網站</span></a></strong></h3> <p id="8">資安業者Wordfence於7月上旬，發現WordPress檔案下載管理外掛程式Download Manager的重大漏洞CVE-2022-2431，此漏洞可被攻擊者用於刪除伺服器上wp-config.php，進而重新部署WordPress就能取得管理權限，CVSS風險評分為8.8分，有10萬個網站可能曝險。研究人員經由WordPress通報後，開發者於7月27日發布3.2.53版修補漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.appledaily.com.tw/property/20220801/FEF6E86970F847E3941970388B"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電推動「營業秘密註冊制度同學會」，鼓勵中小企業及早建立，金融、旅遊、餐飲也應採用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg" style="width: 280px; float: right;" /></a></p> <p>營業祕密保護一直是國內高科技製造業的重中之重，在上週舉行的科技產業誠信治理與營業秘密保護高峰論壇的一場議程中，台積電揭露今年將推動營業秘密註冊制度，希望能夠帶動供應鏈，更完善營業秘密管理的實力。該公司副法務長<a href="http://u.cyberlink.com/live/1081623511225165249">謝福源</a>表示，今年2月與供應鏈策略夥伴的光洋應用材料、新應材，建構營業秘密註冊系統並實施註冊制度，到了6月16日進一步舉行「營業祕密註冊制度同學會」第一次開會。特別的是，台積電不僅分享營業祕密註冊制定的五大策略，從釐清流程、設計註冊表格、註冊系統、激勵與獎勵到專人負責管理，同時建議中小企業在公司規模還沒很大之前，盡快建立這樣的制度，甚至鼓勵國內服務業也可以仿效，無論是金融業、旅遊業、餐飲業。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/152275"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業上雲安全應首重雲端的安全治理，多雲、混合環境成主流，簡化管理複雜性是關鍵</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://tw.xrex.io/xrex-%E8%B3%87%E5%AE%89%E9%95%B7%E9%96%8B%E6%BA%90%E5%85%A9%E5%A5%97-web3-%E8%B3%87%E5%AE%89%E5%B7%A5%E5%85%B7-%E5%BC%B7%E5%8C%96%E6%99%BA%E8%83%BD%E5%90%88%E7%B4%84%E5%AE%89%E5%85%A8%E9%96%8B%E7%99%BC-4177d0bc2b7e?fbclid=IwAR0TR1TndLjTi3-5EN1wqqxaWKiVr2AGjdfqaeTE90S4uFFMktaYKESib3g&gi=4ee0a2ad1d"><span style="color: rgb(0, 0, 0);">為強化智慧合約的開發安全，臺灣區塊鏈新創Xrex開源相關資安工具</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152334"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">偷偷加入抓漏洞的丹麥學生找到Cloudflare新測試服務的漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152351"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">唐鳳擔任首任數位發展部長，數發部預計8月27日正式掛牌</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-remote-code-execution-bug-in-vpn-routers/"><span style="color: rgb(0, 0, 0);">思科修補小型企業VPN路由器重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://source.android.com/security/bulletin/2022-08-01"><span style="color: rgb(0, 0, 0);">Google修補安卓重大漏洞CVE-2022-20345，若不修補有可能讓攻擊者透過藍牙發動RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-paid-out-90000-vulnerabilities-patched-chrome-104"><span style="color: rgb(0, 0, 0);">Google發布Chrome 104，共修補27個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/golang-parameter-smuggling-attack"><span style="color: rgb(0, 0, 0);">研究人員揭露Go語言的ParseThru漏洞，恐波及此程式語言開發的應用程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/tinder/exploiting-github-actions-on-open-source-projects-5d93936d189f"><span style="color: rgb(0, 0, 0);">GitHub持續交付與整合服務存在漏洞，恐被用於取得GitHub儲存庫存取權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/german-chambers-of-industry-and-commerce-hit-by-massive-cyberattack/"><span style="color: rgb(0, 0, 0);">德國工商協會DIHK疑遭大規模網路攻擊，被迫關閉所有IT系統、郵件伺服器、電話</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securereading.com/uae-spinneys-customer-data-leak/"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國零售業者Spinneys證實7月中旬遭勒索軟體攻擊，客戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://techcrunch.com/2022/08/01/wiseasy-android-payment-passwords/"><span style="color: rgb(0, 0, 0);">行動支付服務業者Wiseasy遭駭，14萬付款用戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nextgov.com/cybersecurity/2022/08/nist-cisa-finalizing-guidance-identity-and-access-management-post-solarwinds/375279/"><span style="color: rgb(0, 0, 0);">NIST、CISA改良身分與存取管理指南，已接近完成階段</span></a></span></strong></p> <p><a href="https://www.trendmicro.com/en_us/research/22/g/examining-new-dawdropper-banking-dropper-and-daas-on-the-dark-we.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技揭露惡意droppers攻擊活動DawDropper散布金融木馬</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">臺電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7321/6511147"><span style="color: rgb(0, 0, 0);">8月4日上午司法院法學資料檢索系統停擺，疑為程式漏洞所致，初步排除外部攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://taiwan.newsroom.ibm.com/2022-08-02-IBM-2022?social_post=7347344577&linkId=175634330"><span style="color: rgb(0, 0, 0);">IBM發表2022年企業資料外洩成本報告，6成企業在資料外洩後以提高產品價格來轉嫁損失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/05/09/ransomware-as-a-service-understanding-the-cybercrime-gig-economy-and-how-to-protect-yourself/#DEV-0206-DEV-0243"><span style="color: rgb(0, 0, 0);">駭客組織Evil Corp疑似利用惡意軟體Raspberry Robin發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-hiddenads-malware-that-runs-automatically-and-hides-on-google-play-1m-users-affected/"><span style="color: rgb(0, 0, 0);">駭客利用臉書廣告「推廣」於Google Play市集上架的惡意軟體</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152218"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法院系統的重大網路安全漏洞曝光</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152220"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因應手機送修安全，三星將推「維修模式」安全性功能</span></span></strong></a></p> <p><a href="https://securelist.com/apt-trends-report-q2-2022/106995/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露2022第二季APT攻擊趨勢報告</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.gov.uk/government/news/cma-provisionally-clears-nortonlifelock-avast-merger"><span style="color: rgb(0, 0, 0);">英國同意NortonLifeLock併購Avast</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152226"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者披露鎖定歐洲用戶的上萬個投資詐騙網站</span></span></strong></a></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152346"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/8/5 17:21作者羅正漢https://www.ithome.com.tw/news/152346
【資安日報】2022年8月5日，高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自8月2日美國眾議院議長裴洛西訪臺，反對者發動網路攻擊的情況接連傳出。但即使裴洛西已經前往南韓、日本，臺灣在8月4日晚間到今天早上，仍有許多滋擾的事故發生。這包含了高雄市環保局部分網站被置換五星旗，以及國防部、外交部網站再傳出遭到DDoS攻擊而癱瘓的情況。</p> <p>再者，行政院、臺電、臺灣網路資訊中心（TWNIC）公布這幾天遭到攻擊的情況。而對於日前電子看板出現恐嚇內容的情事，TWNIC指出，有可能是廣告業者使用了中國軟體，導致攻擊者有機可乘。</p> <p>而在國際的資安新聞裡，有研究人員揭露了C2中繼站租賃服務，這種服務的出現，不只讓駭客無須自行架設相關設施，也可能會使得網路攻擊更難追查源頭。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg" style="width: 300px; float: right;" /></a>高雄市環保局揭露飲用水檢測結果的網站，在昨天晚間8時56分，傳出遭到竄改的情況，網站上出現許多中國國旗。環保局於9時15分將網站下架維修。高雄市副市長羅達生表示，此網站主要用途是向市民宣導，市府並未發現資料遺失的情況，也不會影響市民權益。</p> <p>警方初步調查顯示，駭客利用境外IP位址做為跳板入侵，是蓄意攻擊案件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></h3> <p>自8月2日開始，全臺灣陸續發生政府機關遭到網路攻擊，以及電子看板出現恐嚇訊息的情況，但這樣的攻擊態勢有多嚴重？根據臺灣網路資訊中心（TWNIC）的統計，在8月2日至3日的期間，.tw國家頂級網域DNS最大查詢量約為每秒超過8.5萬筆，其中近75%是惡意攻擊封包，來源主要是美國與中國的雲端業者。</p> <p>針對電子看板遭到竄改的情事，TWNIC認為相關攻擊行動發生的原因，在於廣告業者普遍資訊專業人力不足，亦有可能採用中國廠商的軟體，從而導致系統遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg" style="width: 300px; float: right;" /></a>美國眾議院議長裴洛西訪臺引發中國不滿，不只駭客針對政府機關發動網路攻擊，也有人伺機散布軍事演習的假消息來混淆視聽。</p> <p>國防部於8月4日指出，近期中國通訊軟體Wechat流傳一則消息，聲稱解放軍的戰機擊落了臺灣「伴飛」的戰機，並透過螢幕截圖的方式散布。但國防部強調，實際上，我國空軍根本沒有安排、執行上述提及的任務，亦無戰機遭擊落的情事，微信流傳的是不實資訊。</p> <p>事實上，這並非中國本週首度散布的謠言。在8月3日，有中國媒體報導桃園國際機場遭到導彈襲擊，並聲稱有飛官開F-16戰機投誠中國。然而，桃園國際機場根本沒有遭到軍事攻擊，中國媒體所指稱的軍官已在2020年11月因公殉職，並追贈少將。</p> <h3><strong style="font-size: 22px;"><a href="https://www.npa.gov.tw/ch/app/news/view?module=headnews&id=2136&serno=0f76d9d9-c017-427d-be86-defbff5058a9"><span style="color: rgb(0, 0, 0);">警察相關勤務系統於8月4日晚間無法使用，疑為網路連線設備故障造成</span></a></strong></h3> <p>本週臺灣政府機關接連傳出遭到網路攻擊，在這個敏感時刻相關系統故障，很可能讓人認為是駭客入侵造成。警用行動電腦系統M-Police與相關勤務系統於8月4日晚間，發生無法連線的情況，導致執勤員警因無法連線而勤務大亂，外界懷疑是遭到駭客攻擊所致。</p> <p>針對上述的情況，內政部警政署發出聲明，表示他們於昨日22時30分，發現警察相關勤務系統無法使用，經調查是機房網路連線設備故障所致，初步排除遭到駭客攻擊，亦無民眾個資外洩。經更換設備後，上述系統於今日0時50分陸續恢復服務。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/08/dark-utilities.html"><span style="color: rgb(0, 0, 0);">駭客發動攻擊的C2中繼站也可以用租的！研究人員揭露Dark Utilities中繼站租賃服務</span></a></strong></h3> <p>為了隱匿攻擊來源，駭客通常會架設C2中繼站來控制惡意軟體或下達命令，但如今這種中繼站也出現了租賃服務。思科揭露名為Dark Utilities的C2中繼站服務平臺（C2aaS），駭客宣稱提供匿名的C2基礎設施，攻擊者只要支付9.99歐元就可使用，目前至少有3千個活躍用戶，粗估經營者獲利3萬歐元。</p> <p>此C2平臺目前支援駭客使用Windows、Linux的惡意軟體，並以星際檔案系統（IPFS）代管相關檔案。研究人員指出，這樣的租賃服務很可能日後受到攻擊者廣泛利用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/rapperbot-malware-discovery"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot鎖定Linux主機而來，透過暴力破解入侵受害電腦</span></a></strong></h3> <p>資安業者Fortinet揭露名為RapperBot的殭屍網路，該殭屍網路的惡意程式以Mirai為基礎開發，但具備獨有的C2通訊協定，且與多數殭屍網路病毒的特質有顯著的差異。RapperBot自2022年6月開始，鎖定Arm、MIPS、Sparc，以及x86架構的Linux電腦，利用暴力破解的方式及SSH連線來嘗試掌控受害電腦。此殭屍網路自發現的一個半月以來，針對全球3,500個IP位址發動攻擊。</p> <p>研究人員指出，此殭屍網路病毒的功能，主要偏重於初期存取伺服器的能力，很有可能日後被用於內部網路環境的橫向移動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://content.govdelivery.com/accounts/USDHSFEMA/bulletins/3263326"><span style="color: rgb(0, 0, 0);">美國緊急警報系統存在重大漏洞，恐被攻擊者用於在電視與廣播傳送假警報</span></a></strong></h3> <p>美國國土安全部（DHS）於8月1日發布資安通告，指出攻擊者可透過該國的緊急警報系統（EAS），利用編碼器與解碼器當中的重大漏洞，進而在電視與廣播發送假的警報訊息。此漏洞由資安業者Cybir的研究人員發現，並將於DEFCON 2022大會上展示概念性驗證（PoC）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html"><span style="color: rgb(0, 0, 0);">29款居易路由器存在重大漏洞，攻擊者可用來接管設備</span></a></strong></h3> <p>資安業者Trellix發現居易（DrayTek）路由器漏洞CVE-2022-32548，一旦攻擊者利用該漏洞，可在不需身分驗證或使用者交互的情況下，透過網路發動攻擊，進而有可能接管設備，或是竄改DNS配置、發動DDoS攻擊、用於挖礦攻擊等，CVSS風險評分為10分。共有29款Vigor系列路由器存在相關漏洞，根據物聯網搜尋引擎Shodan的搜尋結果，有70萬臺設備可能曝險，這些設備多在英國、越南、荷蘭、澳洲。居易已發布新版韌體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/08/high-severity-vulnerability-patched-in-download-manager-plugin"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Download Manager存在任意檔案刪除漏洞，波及10萬個網站</span></a></strong></h3> <p>資安業者Wordfence於7月上旬，發現WordPress檔案下載管理外掛程式Download Manager的重大漏洞CVE-2022-2431，此漏洞可被攻擊者用於刪除伺服器上wp-config.php，進而重新部署WordPress就能取得管理權限，CVSS風險評分為8.8分，有10萬個網站可能曝險。研究人員經由WordPress通報後，開發者於7月27日發布3.2.53版修補漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">臺電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7321/6511147"><span style="color: rgb(0, 0, 0);">8月4日上午司法院法學資料檢索系統停擺，疑為程式漏洞所致，初步排除外部攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/german-chambers-of-industry-and-commerce-hit-by-massive-cyberattack/"><span style="color: rgb(0, 0, 0);">德國工商協會DIHK疑遭大規模網路攻擊，被迫關閉所有IT系統、郵件伺服器、電話</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securereading.com/uae-spinneys-customer-data-leak/"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國零售業者Spinneys證實7月中旬遭勒索軟體攻擊，客戶資料外洩</span></a></span></strong></p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> </div></div></div>
2022/8/5 15:14作者周峻佑https://www.ithome.com.tw/news/152331
思科修補中小企業路由器2重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR" target="_blank">思科本周發布安全公告</a>，修補中小企業路由器軟體上可能導致駭客執行任意程式碼、或發動阻斷服務（DoS）攻擊的3項漏洞，包括2個風險值在9.0以上的重大風險漏洞。</p> <p>這3項漏洞為CVE-2022-20827、CVE-2022-20841及CVE-2022-20842。其中CVE-2022-20842最為嚴重，是CVSS 9.8的重大漏洞。本漏洞出在中小企業路由器RV系列的Web管理介面上，起於對用戶發送呼叫的驗證不足，可讓未獲授權的遠端攻擊者傳送改造過的HTTP呼叫開採漏洞。成功的攻擊可使攻擊者以root用戶權限在路由器底層作業系統執行任意程式碼，或使機器不斷重覆載入，導致服務阻斷。</p> <p>本漏洞為CLP-team研究人員Peanuts揭露，影響產品包括Cisco RV340、RV340W、RV345和RV345P Dual WAN Gigabit VPN Routers。</p> <p>另一個重大漏洞為CVSS 9.0的 CVE-2022-20827，為趨勢科技Zero Day Initiative和IoT Inspector Research Lab研究人員合作發現。它是出在路由器產品的網頁安全防護（Web filter）的資料庫更新功能對用戶輸入指令的驗證不足。本漏洞讓攻擊者對該功能傳送改造過的呼叫指令。成功開採漏洞也能讓攻擊者以root權限在機器底層作業系統執行指令。</p> <p>CVE-2022-20841則為路由器Open Plug and Play（PnP）模組對用戶呼叫的驗證不足，來自Chaitin Security Research Lab的通報。攻擊者可以傳送惡意呼叫來開採漏洞，而得以在底層的Linux作業系統執行任意指令。不過欲開採本項漏洞，攻擊者必須透過中間人攻擊（man-in-the-middle）取得發送指令的位置，或是先駭入連接目標路由器的某臺網路裝置上作為據點，因此風險值稍低，為CVSS 8.0。</p> <p>後2項漏洞皆影響RV160、RV260、RV340和RV345機種。</p> <p>思科已經針對3項漏洞釋出最新版軟體。由於沒有緩解風險的方法，思科呼籲用戶儘速更新。</p> </div></div></div>
2022/8/5 14:10作者林妍溱https://www.ithome.com.tw/news/152328
【資安日報】2022年8月3日，總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對美國聯邦眾議院議長裴洛西（Nancy Pelosi）訪臺，中國政府不斷放話，揚言要對臺灣不利，也一如預期開始對臺灣祭出禁令。而在資安方面，從昨天到今天發生了兩種類型的事故。先是昨日裴洛西即將抵達臺灣之前，總統府證實網站遭到DDoS攻擊。</p> <p>在今天早上，臺灣有多個地方的電子看板內容，被替換成對裴洛西抗議與恐嚇的訊息，這種攻擊電子看板的情況過往可說是相當罕見。其中最受矚目的部分，莫過於便利超商7-11的看板遭到駭客入侵的情況。但無論是統派人士還是中國駭客所為，這樣的情況大家都不能掉以輕心。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府網站傳出遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></h3> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日晚間抵達臺灣，引起全球矚目。但在此之前，我國數個政府機關傳出網站遭到DDoS攻擊的情況。總統府表示在昨日傍晚約5時15分起，網站遭到境外DDoS攻擊，流量為平時的200倍，經處置後約於20分鐘恢復正常。但遭到DDoS攻擊的可能不只有總統府，根據<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">美國媒體NBC News報導，國防部、外交部，以及桃園國際機場的網站，疑似也遭到攻擊</a>，不過，僅外交部<a href="https://www.ettoday.net/news/20220802/2307742.htm">有國內媒體指出</a>，網站可能因遭到攻擊而一度無法運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg" style="width: 300px; float: right;" /></a>美國聯邦眾議院議長裴洛西（Nancy Pelosi）昨晚抵臺後，今日早上許多民眾臉書分享在不同7-11便利商店，看到結帳櫃臺後方的廣告螢幕，播放「戰爭販子裴洛西滾出台灣」的影像，有民眾質疑是廣告還是被駭？對此事件，7-11表示由他們統一回應：「廠商受不明來源干擾播放訊息。」中央社報導指出，刑事局初步調查為駭客入侵。</p> <h3><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg" style="width: 300px; float: right;" /></a></p> <p>前民進黨桃園市議員王浩宇在臉書張貼照片表示，臺鐵新左營站的大型電子看板竟成為中國駭客統戰工具。該看板出現了簡體中文的文字與五星旗，並指控裴洛西此次來到臺灣，是對中國主權的挑釁。</p> <p>此貼文發布後受到熱烈討論，當中有人指出，其實不光是臺鐵，南投48線道路旁的電子看板，也被竄改成相同的訊息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mbda-systems.com/2022/08/01/hacking-allegations-against-mbda-italy/"><span style="color: rgb(0, 0, 0);">歐洲導彈製造商MBDA證實資料外洩</span></a></strong></h3> <p>在7月下旬，有名自稱是Adrastea的「獨立研究人員」在多個地下論壇聲稱，他找到歐洲導彈製造商MBDA資訊系統的漏洞，並取得相關存取權限，竊得約60 GB機密資料並求售，內容包括飛彈系統、地對空飛彈及海岸防衛系統計畫的設計圖、相片、影片、簡報、合約，以及設計文件等資料。</p> <p>到了8月1日，MBDA坦承確實有資料外洩的情況，但宣稱駭客是從外接式硬碟偷得資料，這些資料並非機密，該公司亦強調內部網路並未遭到入侵。但駭客究竟如何透過外接式硬碟取得該公司資料？MBDA不願說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/semiconductor-manufacturer-semikron-hit-by-lv-ransomware-attack/"><span style="color: rgb(0, 0, 0);">德國半導體製造商Semikron遭LV勒索軟體攻擊</span></a></strong></h3> <p>德國半導體元件製造商Semikron於8月1日發出公告，表示該公司遭到勒索軟體攻擊，部分IT系統與檔案遭到加密，並指出駭客宣稱竊得了該公司的資料，但究竟有那些資料外洩？仍有待釐清。</p> <p>根據資安新聞網站Bleeping Computer的報導，此製造商遭到LV勒索軟體攻擊，駭客竊得2 TB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://web3isgoinggreat.com/?id=nomad-bridge-exploit"><span style="color: rgb(0, 0, 0);">跨鏈協定Nomad遭入侵，1.9億美元加密貨幣慘遭清空</span></a></strong></h3> <p>駭客鎖定加密貨幣平臺漏洞發動攻擊，並將資金洗劫一空的情況，最近似乎越來越頻繁。跨鏈橋服務業者Nomad於8月2日清晨遭到攻擊，一群發現漏洞的駭客不斷把加密貨幣轉走，導致此系統上價值1.9億美元的加密貨幣，在數個小時後只剩下7.7萬美元。</p> <p>該公司已著手調查，並感謝白帽駭客協助保住部分加密貨幣。然而雪上加霜的是，在此起事故發生之後，竟有詐騙集團假冒Nomad的名義行騙。</p> <h3><a href="https://blog.talosintelligence.com/2022/08/manjusaka-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客開發新的攻擊框架Manjusaka</span></strong></a></h3> <p>駭客在攻擊行動中經常濫用滲透測試工具Cobalt Strike進行偵察，但現在開始有人打算開發新的工具來代替Cobalt Strike，而使得相關攻擊更難被察覺。思科旗下的威脅情報團隊Talos，近期在調查客戶網路環境遭到Cobalt Strike攻擊的過程中，意外發現名為Manjusaka的攻擊框架。此框架的惡意程式使用程式語言Rust開發，並能攻擊Windows與Linux電腦，C2中繼站的部分則是使用Go語言開發，且採用簡體中文介面。</p> <p>研究人員認為，雖然Manjusaka仍在開發階段，但已具備相當強大的功能，駭客日後很可能會用來全面取代Cobalt Strike。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-patch-critical-auth-bypass-bug-immediately/"><span style="color: rgb(0, 0, 0);">VMware多項產品存在身分驗證繞過漏洞，恐被攻擊者用來取得管理員權限</span></a></strong></h3> <p>VMware於8月2日發布資安通告，針對旗下身分驗證解決方案提供修補程式。當中最值得留意的是身分驗證繞過漏洞CVE-2022-31656，CVSS風險評分為9.8分，影響Workspace ONE Access、Identity Manager、vRealize Automation。一旦遭利用，駭客很可能在不需通過身分驗證的情況下取得管理權限。該公司呼籲用戶要儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/vulnerability-in-dahua-s-onvif-implementation-threatens-ip-camera-security/"><span style="color: rgb(0, 0, 0);">大華IP視訊鏡頭存在漏洞，恐遭攻擊者挾持</span></a></strong></h3> <p>資安業者Nozomi Networks指出，大華吸頂式IP監視器IPC-HDBW2231E-S-S2存在漏洞CVE-2022-30563，一旦攻擊者加以利用，就有可能藉由該公司對網路影像互通標準ONVIF的驗證機制實作不當，來進行中間人（MitM）攻擊，進而建立管理員帳號並取得最高權限，進而接管監視器設備。大華獲報後於6月28日發布修補程式。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://taiwan.newsroom.ibm.com/2022-08-02-IBM-2022?social_post=7347344577&linkId=175634330"><span style="color: rgb(0, 0, 0);">IBM發表2022年企業資料外洩成本報告，6成企業在資料外洩後以提高產品價格來轉嫁損失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tw.xrex.io/xrex-%E8%B3%87%E5%AE%89%E9%95%B7%E9%96%8B%E6%BA%90%E5%85%A9%E5%A5%97-web3-%E8%B3%87%E5%AE%89%E5%B7%A5%E5%85%B7-%E5%BC%B7%E5%8C%96%E6%99%BA%E8%83%BD%E5%90%88%E7%B4%84%E5%AE%89%E5%85%A8%E9%96%8B%E7%99%BC-4177d0bc2b7e?fbclid=IwAR0TR1TndLjTi3-5EN1wqqxaWKiVr2AGjdfqaeTE90S4uFFMktaYKESib3g&gi=4ee0a2ad1d"><span style="color: rgb(0, 0, 0);">為強化智慧合約的開發安全，臺灣區塊鏈新創Xrex開源Web3資安工具</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> <p><a href="https://www.ithome.com.tw/news/152230">【2022年8月1日】 Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推動營業祕密註冊制度</a></p> <p><a href="https://www.ithome.com.tw/news/152194">【2022年7月29日】駭客竊取SQL Server與MySQL伺服器網路頻寬牟利、臺廠Moxa修補工控裝置伺服器設備零時差漏洞</a></p> </div></div></div>
2022/8/3 18:01作者周峻佑https://www.ithome.com.tw/news/152287
AWS智慧威脅偵測服務GuardDuty現在可對EC2執行個體提供惡意軟體保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用戶現在可以運用智慧威脅偵測服務<a href="https://aws.amazon.com/tw/blogs/aws/new-for-amazon-guardduty-malware-detection-for-amazon-ebs-volumes/">Amazon GuardDuty</a>，掃描EBS區塊儲存中的惡意軟體，藉由監控AWS帳戶和EC2工作負載偵測惡意活動。</p> <p>當用戶啟用GuardDuty的惡意軟體保護新功能後，在GuardDuty偵測到EC2執行個體，或是EC2上的容器工作負載，正在執行已知惡意指令或是對其他EC2執行個體執行DoS攻擊等可疑行為時，GuardDuty便會執行惡意軟體掃描功能。</p> <p>GuardDuty支援多種檔案系統類型，能夠掃描用於傳播惡意軟體的檔案格式，像是Windows和Linux可執行檔、PDF檔案、二進位檔、腳本、安裝程式、電子郵件資料庫和普通電子郵件等。在GuardDuty辨識出惡意軟體後，便會生成安全調查報告，包括檔名、路徑、EC2執行個體ID和容器映像檔資訊。</p> <p>另外，GuardDuty也能支援EC2上的容器工作負載，包括由客戶管理的Kubernetes叢集或是單一Docker容器。與其他GuardDuty檢測結果處理方法相同，惡意軟體檢測結果，會送到GuardDuty控制臺，統一由Amazon EventBridge推送，路由到AWS Security Hub，並可用於Amazon Detective事件調查。</p> <p>AWS官方進一步解釋GuardDuty掃描惡意軟體的原理，用戶會需要設置一個IAM服務關聯角色，提供權限讓GuardDuty執行惡意軟體掃描，當GuardDuty需要針對特定EC2執行個體啟動惡意軟體掃描時，GuardDuty會對該EBS區塊儲存執行快照，並利用該快照在同一AWS地區創建一個儲存副本，進行惡意軟體掃描。</p> <p>如此用戶便不需要部署安全軟體或是代理監控惡意軟體，而且GuardDuty對區塊儲存的掃描工作，也不會影響到用戶正在執行的工作負載。當掃描結束後，快照和創建出來的儲存副本會被刪除，用戶也可以在發現惡意軟體後，選擇將快照留下。</p> <p>如果用戶過去尚未啟用GuardDuty，在帳戶啟用GuardDuty之後，預設情況會自動啟用惡意軟體防護，當用戶早已使用GuardDuty，則需要手動啟用惡意軟體防護功能。目前這項功能已經在所有提供GuardDuty的AWS地區推出，除了中國北京、中國寧夏，還有AWS GovCloud美東與美西地區。</p> </div></div></div>
2022/8/3 10:44作者李建興https://www.ithome.com.tw/news/152266
Linus Torvalds公布Linux 5.19，讚Arm-based Mac電腦好用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/asahilinux/status/1553968394734813184" target="_blank">Linux之父Linus Torvalds上周公布Linux 5.19版核心</a>，而且稱Arm-based Mac電腦終於變得對開發工作很有用了。</p> <p>Torvalds是利用執行Asahi Linux on Arm64 Mac筆電釋出最新版核心。<a href="https://lore.kernel.org/lkml/CAHk-=wgrz5BBk=rCz7W28Fj_o02s0Xi0OEQ3H1uQgOdFvHgx0w@mail.gmail.com/T/#u" target="_blank">他說</a>，很早以前就有Arm 64硬體執行Linux，但是作為開發平臺而言，從來都不是很好用，但這次拜Asahi團隊之賜，他等待許久的願望終於成真。</p> <p>這是Torvalds第3次使用蘋果硬體做Linux 開發。很多年前第1次是使用PPC970機器，10多年前當輕薄型筆電MacBook Air推出時是第2次。</p> <p>他說目前並不是用Arm-based Mac電腦做真正重要的工作，只是用它來開發test builds，也用於新版本標籤（release tagging）。但是他認為下次旅行時可以帶著這臺電腦，也可以測試Arm64平臺的能耐。</p> <p>Torvalds表示，5.19版沒有太有趣的東西，有很多「隨機」新增的功能。<a href="https://www.cnx-software.com/2022/08/01/linux-5-19-release-main-changes-arm-risc-v-and-mips-architectures/" target="_blank">5.19版核心主要更新功能包括</a>：支援Intel Trust Domain Extension（TDX）及AMD SEV-SNP，兩者都是防止VM攻擊的技術；BIG TCP網路技術支援高達4GB封包；強化對LoongArch RISC指令集、x86平臺的a.out執行檔格式、華碩主機板的支援；以及移除對Renesa H8/300 CPU架構的支援等。此外，對Arm晶片支援也更完整。</p> <p>Torvalds並預告，Linux核心下一版應該是6.0，因為「擔心版本數字太長可能會導致混淆。」</p> <p><a href="https://www.ithome.com.tw/news/150055" target="_blank">Asahi Linux今年3月釋出</a>可原生支援在M1系列平臺系統上執行的發行版，讓用戶在Mac M1機器上同時執行Linux及macOS。<a href="https://asahilinux.org/2022/07/july-2022-release/" target="_blank">上個月進一步釋出新版測試版</a>，支援最新的Apple Silicon M2晶片。</p> <p>不過最新Asahi是相當早期的測試版，僅在M2 MacBook Pro 13吋硬體上測試過，問題不少，例如雖然支援藍牙，但如果電腦連上2.4GHz Wi-Fi網路，會影響藍牙效能。另外，若電腦上安裝的是macOS 13.0 Ventura，可能會導致Asahi Linux 安裝失敗。</p> </div></div></div>
2022/8/2 12:03作者林妍溱https://www.ithome.com.tw/news/152238
【資安日報】2022年8月1日，Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前Atlassian修補旗下Confluence的CVE-2022-26138的密碼寫死漏洞，由於現在已發現網路上有攻擊者開始鎖定利用，CISA提出警告，並限期聯邦政府三周內修補，國內若有用戶尚未修補，需要趕緊行動。</p> <p>惡意NPM問題不斷，卡巴斯基在揭露相關事件，指出這類惡意NPM暗藏針對社群平臺Discord Token與金融資料竊取的惡意程式。</p> <p>關於營業秘密保護，多年來一直是國內高科技業關注的重要議題，今年台積電開始推動營業秘密註冊制度，引發外界關注的是，他們不只要希望帶動供應鏈，甚至鼓勵中小企業、金融業、旅遊業、餐飲業，都能及早建構開始進行，才能逐步完善營業秘密管理能力，全面提供國內產業的競爭力。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA警告Confluence漏洞已被駭客鎖定利用</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg" style="width: 220px; float: right;" /></p> <p>兩週前Atlassian旗下企業協同軟體Confluence修補三個漏洞，其中CVE-2022-26138的密碼寫死漏洞最受注目，美國CISA在7月29日警告，發現已有駭客鎖定該漏洞攻擊，因此納入「Known Exploited Vulnerabilities」清單，要求聯邦機構在3週內儘速完成修補。事實上，對於這項漏洞Atlassian之前已警告，已經有人將該服務的密碼公布在網路上，而另一家資安業者在7月27日也曾發布報告指出該漏洞正被廣泛利用，如今CISA證實該漏洞備索定利用的情形，尚未修補的用戶應儘速採取行動，避免成為易受攻擊的Confluence伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/lofylife-malicious-npm-packages/107014/"><span style="color: rgb(0, 0, 0);">出現鎖定竊取Discord Token與金融資料的惡意NPM套件</span></a></strong></h3> <p>資安業者卡巴斯基在7月28日揭露一起惡意NPM套件活動，其目的是竊取社群平臺Discord的Token與金融資料，該公司說明，他們是透過內部自動化系統監控開源儲存庫時，在7月26日發現NPM中有四個可疑套件包，當中都具有高度混淆的Python與JavaScript程式碼，他們將此惡意活動稱之為「LofyLife」。具體而言，卡巴斯基所發現Python的惡意程式，是Volt Stealer開源Token記錄器的修改版本，其作用是在受感染的機器上竊取Discord Token與受害者IP位址，並透過HTTP上傳，另一名為Lofy Stealer的JavaScript惡意軟體，則是為了感染Discord用戶端檔案而建立，主要是監控受害者的行為，包括用戶何時登入、更改電子郵件或密碼、MFA的啟用與關閉，以及增加金融卡等付款方式，而這些收集到的資訊將會上傳到3個遠端的特定網域。</p> <h3><a href="https://www.appledaily.com.tw/property/20220801/FEF6E86970F847E3941970388B"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電推動「營業秘密註冊制度同學會」，鼓勵中小企業及早建立，金融、旅遊、餐飲也應採用</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg" style="width: 220px; float: right;" /></p> <p>營業祕密保護一直是國內高科技製造業的重中之重，在上週舉行的科技產業誠信治理與營業秘密保護高峰論壇的一場議程中，台積電揭露今年將推動營業秘密註冊制度，希望能夠帶動供應鏈，更完善營業秘密管理的實力。該公司副法務長<a href="http://u.cyberlink.com/live/1081623511225165249">謝福源</a>表示，今年2月與供應鏈策略夥伴的光洋應用材料、新應材，建構營業秘密註冊系統並實施註冊制度，到了6月16日進一步舉行「營業祕密註冊制度同學會」第一次開會。特別的是，台積電不僅分享營業祕密註冊制定的五大策略，從釐清流程、設計註冊表格、註冊系統、激勵與獎勵到專人負責管理，同時建議中小企業在公司規模還沒很大之前，盡快建立這樣的制度，甚至鼓勵國內服務業也可以仿效，無論是金融業、旅遊業、餐飲業。</p> <h3><a href="https://securityaffairs.co/wordpress/133881/data-breach/mbda-alleged-data-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客聲稱入侵歐洲導彈製造商MBDA並竊取60 GB機敏資料</span></strong></a></h3> <p>根據Security Affairs報導，指出暗網上有一使用者名稱為Adrastea的攻擊者，宣稱自己入侵了歐洲導彈製造商 MBDA，該公司是一間由英國、法國與意大利合組的導彈開發與製造商，駭客聲稱從該公司基礎架構中發現嚴重漏洞，並竊取了60 GB的機密資料，包含員工參與的軍事項目，例如PLANCTON、CRONOS、CASIRIUS、EMADS、MCDS、B1NT等，以及該公司為歐盟國防部進行的商業活動資訊，還有合約協議，以及與其他公司通訊的資訊，目前尚不清楚攻擊者入侵的詳細資訊。</p> <h3><a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=880&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%90%E9%83%B5%E4%BB%B6%E3%80%91%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=07%2F27%2F2022%2000%3A00%3A00"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠通電收警告當心冒名釣魚簡訊後，再呼籲慎防假冒eTag通知的釣魚郵件</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg" style="width: 220px; float: right;" /></p> <p>假冒eTag名義的網路釣魚詐騙橫行，7月27日遠通電收發布公告，指出有人透過電子郵件發送網釣郵件，像是假冒遠通電收以eTag儲值失敗贈送儲值金的名義，或是eTag認證通知的名義，引誘使用eTag的車主點擊信中連結，可能騙取民眾個資。值得關注的是，這種以遠通電收名義的網釣攻擊持續發生，像是今年5月2日遠通電收也曾警告，發現有假冒該公司名義，發送到期繳費通知的SMS簡訊，內含不明網址，而刑事警察局在6月曾揭露一起事件，說明有民眾接獲通行費58元即將到期的簡訊，誤信點擊連結，依欄位輸入車號、身分證字號、信用卡卡號等資料，遭詐騙美金2千元。刑事局表示，網路詐騙會假冒各式名義，民眾務必自行找尋官方機構聯繫管道確認，或撥打110、165查詢。</p> <h3><a href="https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲ENISA發布勒索軟體研究報告，分析過去一年623起事件外洩136TB資料，並指出這只是冰山一角</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg" style="width: 220px; float: right;" /></p> <p>歐洲網路資訊安全局（ENISA）在7月29日發布Threat Landscape for Ransomware Attacks報告，當中收集並分析了2021年5月至2022年6月的623起的勒索軟體攻擊事件，當中揭露幾項重點與值得注意的統計數據，例如，他們透過LEDS矩陣（鎖住、加密、刪除、偷竊）與各式資產形式（檔案、記憶體、資料夾等9種），來分類勒索軟體的能力，並對勒索軟體生命週期進行分析。而在他們統計中發現，每月平均有10TB資料被勒索軟體攻擊過程竊取；在95.3%的事件中，受害者是不知道駭客是如何獲取進入企業內部的初始權限，只有29起得出結論；推估有6成受害者支付贖金；至少發現47個不同的勒索軟體攻擊者。特別的是，當中公布受害產業占比統計，以重工業件數最多近130件，資訊服務業超過70件，政府機關超過50件，而ENISA也特別強調，這些已對外揭露的事件，僅冰山一角。</p> <h3><a href="https://www.coveware.com/blog/2022/7/27/fewer-ransomware-victims-pay-as-medium-ransom-falls-in-q2-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近期最常見的勒索軟體為BlackHat與Lockbit 2.0</span></strong></a></h3> <p>CoveWare公布2022第二季勒索軟體報告，當中指出幾個重點趨勢，包括攻擊者的攻擊技術不斷進步，一年前只有少數勒索軟體能加密非Windows作業系統，然而現在卻是幾乎RaaS的勒索軟體服務，都有針對Windows、Linux與ESXI環境提出穩定的版本，他們同時公布第二季常見勒索軟體，前三名為BlackCat（16.9%）、Lockbit 2.0（13.1%）、Hive（6.3%），而第四名Quantum新入榜值得關注。再以產業別來看，受害比例最高的是專業服務機構（21.9%），其次為政府公部門（14.4%）、醫療機構（10%）、軟體服務業（9.4%）、材料業（8.1%）。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/xss-vulnerabilities-in-google-cloud-google-play-could-lead-to-account-hijacks"><span style="color: rgb(0, 0, 0);">Google Cloud中的XSS漏洞，可能導致Google Play帳戶遭劫持</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg" style="width: 220px; float: right;" /></p> <p>根據The Daily Swig報導，有研究人員通報Google Cloud、DevSite與Google Play存在的兩個XSS漏洞，共獲得8千多美元的獎勵。根據該研究人員NDevTK的說明，一個漏洞屬於Google DevSite中的反射型XSS漏洞，一個被攻擊者控制的連結，可以在原<a href="http://cloud.google.com">http://cloud.google.com</a>與<a href="http://developers.google.com">http://developers.google.com</a>執行JavaScript，這意謂著攻擊者可以繞過同源政策（Same-origin policy），讀取與修改其內容。另一個是屬於Google Play上的DOM-based XSS，通常發生在JavaScript執行過程，從攻擊者控制的資源像是URL獲取資料時，被帶入了惡意指令，將其傳遞給執行程式碼的eval()或innerHTML，這通常讓攻擊者可以利用來執行惡意JavaScript，竊取其他用戶身分。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/22/g/examining-new-dawdropper-banking-dropper-and-daas-on-the-dark-we.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技揭露惡意droppers攻擊活動DawDropper散布金融木馬</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152218"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法院系統的重大網路安全漏洞曝光</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152220"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因應手機送修安全，三星將推「維修模式」安全性功能</span></span></strong></a></p> <p><a href="https://securelist.com/apt-trends-report-q2-2022/106995/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露2022第二季APT攻擊趨勢報告</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152226"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者披露鎖定歐洲用戶的上萬個投資詐騙網站</span></span></strong></a></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月29日】駭客竊取SQL Server與MySQL伺服器網路頻寬牟利、臺廠Moxa修補工控裝置伺服器設備零時差漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/152168">【2022年7月28日】網路傭兵Knotweed利用CSRSS零時差漏洞發動攻擊、阿里雲OSS儲存桶被用於散布惡意軟體及挖礦</a></p> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月27日】駭客意圖透過IIS伺服器延伸套件在Exchange植入後門、研究人員揭露Node.js原型污染漏洞</a></p> </div></div></div>
2022/8/1 18:43作者羅正漢https://www.ithome.com.tw/news/152230
【資安日報】2022年7月27日，駭客意圖透過IIS伺服器延伸套件在Exchange植入後門、研究人員揭露Node.j…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客針對Exchange伺服器發動的攻擊行動裡，他們很可能會鎖定IIS伺服器元件下手，植入Web Shell後門程式，但如今駭客偏好的手法出現了變化，有越來越多駭客轉向對IIS伺服器的延伸套件（Extension）下手，在受害的Exchange伺服器上植入後門程式，而使得後門程式的攻擊特徵更加難以判別。</p> <p>我們在上週報導<a href="https://www.ithome.com.tw/news/152007#blitz-js">JavaScript網頁應用程式框架Blitz.js</a>存在的原型污染（Prototype Pollution）漏洞，但最近有研究人員指出，這樣的漏洞還有可能存在於其他的JavaScript網頁應用程式框架。他們在Node.js的相關元件中找到此種類型的漏洞，並指出此框架的API部分小工具存在可被利用於相關攻擊的風險。</p> <p>勒索軟體LockBit的攻擊事件頻傳，近期陸續傳出被用於政府機關的情況引起關注。最近有資安業者將其與另一款勒索軟體BlackMatter比對，發現駭客很可能採用了部分程式碼，而使得新版本的LockBit 3.0具備部分BlackMatter的特質。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/26/malicious-iis-extensions-quietly-open-persistent-backdoors-into-servers/"><span style="color: rgb(0, 0, 0);">駭客意圖透過IIS伺服器延伸套件，在Exchange伺服器植入後門</span></a></strong></h3> <p>在針對Exchange伺服器的攻擊手法裡，駭客過往很可能會部署Web Shell來當作後門程式，但隨著資安系統對於這種手法的偵測能力日益提升，駭客開始運用其他的管道入侵。</p> <p>微軟的資安研究團隊最近提出警告，他們注意到駭客運用IIS的延伸套件（Extension）來建立後門的情況，可說是越來越氾濫，由於這種手法所建置的後門程式，通常會存放在正常應用程式所使用的資料夾裡，並使用相同的程式碼結構，而使得與Web Shell相比，研究人員要確認是否為後門程式變得更加困難。</p> <p>研究人員以他們發現針對Exchange伺服器的攻擊為例，駭客利用了ProxyShell漏洞部署了Web Shell，但經過一段時間的偵察後，才建置了名為FinanceSvcModel.dll的後門程式並進行滲透。對此，該公司呼籲企業，要經常檢查高權限群組是否被加入不明帳號，應用程式的組態檔案web.config及ApplicationHost.config有沒有出現不明檔案等措施，來防範這種以IIS伺服器延伸套件植入後門的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/lockbit-ransomware-group-augments-its-latest-variant--lockbit-3-.html"><span style="color: rgb(0, 0, 0);">研究人員發現勒索軟體LockBit 3.0與BlackMatter之間的關連</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit_3_update_7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit_3_update_7.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體LockBit，駭客發布3.0新版本（亦稱LockBit Black）時，許多人聚焦在同時推出的漏洞懸賞計畫（Bug Bounty），最近<a href="https://www.sentinelone.com/labs/lockbit-3-0-update-unpicking-the-ransomwares-latest-anti-analysis-and-evasion-techniques/">資安業者SentinelOne</a>、趨勢科技的研究人員，先後公布對該勒索軟體進行解析的結果，並指出駭客運用了部分勒索軟體BlackMatter的程式碼，而使得LockBit 3.0具備許多BlackMatter的特性。</p> <p>例如，攻擊者需要下達特定的參數，LockBit 3.0才會執行，再者，這款勒索軟體也會列舉能夠使用的API，來濫用於攻擊行動。上述的特性皆與駭客採用了部分BlackMatter的程式碼有關。</p> <p>而對於新版LockBit的其他特性，兩家資安業者各有不同的發現。SentinelOne指出，駭客透過Cobalt Strike在受害電腦投放LockBit 3.0，並藉由系統服務來維持在電腦運作，而趨勢科技則發現，駭客在留下的勒索訊息裡，搬出了歐盟的GDPR來要脅受害組織付贖金，若是不從，他們未來將會不斷對受害組織發動攻擊。</p> <h3><a href="https://www.withsecure.com/en/whats-new/pressroom/withsecure-detects-new-infostealer-malware-ducktail"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">專門管理企業臉書帳號的人士遭到竊密軟體Ducktail鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/microsoftteams-image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/microsoftteams-image.png" style="width: 300px; float: right;" /></a>駭客從職場社群網站LinkedIn上，找尋特定職務的人士竊取臉書帳號的情況，有可能成為駭客對受害組織發動攻擊的管道。資安業者WithSecure揭露名為Ducktail的攻擊行動，駭客透過LinkedIn，針對市場行銷與人力資源部門的人士發動攻擊，藉由網路釣魚的手法，在受害者的電腦植入竊密軟體Ducktail，目標是挾持這類人士的臉書帳號。</p> <p>由於這些人士的帳號可能具有公司粉絲團的管理權限，駭客一旦得手就有機會冒用這些公司的名義散布訊息，或是向其他員工散布惡意軟體，甚至能為商務郵件詐騙（BEC）攻擊布局。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/abs/2207.11171"><span style="color: rgb(0, 0, 0);">Node.js存在原型污染漏洞，恐被攻擊者用於RCE攻擊</span></a></strong></h3> <p>隨著網頁應用程式框架受到廣泛應用，在JavaScript程式碼裡可能會存在的原型污染（Prototype Pollution）漏洞，也引起研究人員關注。瑞士皇家理工學院（KTH Royal Institute of Technology）的兩名研究人員指出，在今年3月公布Node.js後端程式Parse Server的重大漏洞後，他們又從NPM CLI裡找到2個能被用於原型污染攻擊的漏洞，並指出Node.js的API當中，有11個小工具（Gadget）潛藏被用於RCE攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.paloaltonetworks.com/content/dam/pan/en_US/assets/pdf/reports/2022-unit42-incident-response-report-final.pdf"><span style="color: rgb(0, 0, 0);">研究人員指出，漏洞在取得CVE編號的15分鐘後，就可能會有駭客開始嘗試利用</span></a></strong></h3> <p>IT人員在執行系統的修補工作上，通常至少需要一天以上的時間，很多人可能會覺得在零時差漏洞之外，大多數的漏洞仍能有幾天的時間緩衝，駭客不會這麼快就出手，但其實不然。資安業者Palo Alto Networks最近指出，駭客會不斷監控軟體開發者的資安公告，是否有新的漏洞資訊，並在漏洞取得CVE編號的15分鐘後，就開始在網際網路上掃描，找出存在漏洞的系統。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://securityaffairs.co/wordpress/133640/cyber-crime/lockbit-ransomware-italian-revenue-agency.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit攻擊義大利稅務局，竊得78 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theverge.com/2022/7/22/23274372/st-marys-canada-lockbit-ransomware-cyber-incident"><span style="color: rgb(0, 0, 0);">加拿大小鎮遭到勒索軟體LockBit攻擊，外洩 67 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://twitter.com/RFJ_USA/status/1551915545288663041"><span style="color: rgb(0, 0, 0);">針對緝捕北韓駭客的行動，美國將懸賞獎金增加至1千萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://asec.ahnlab.com/en/36634/"><span style="color: rgb(0, 0, 0);">惡意軟體Amadey Bot透過下載器散布，在受害電腦進行偵察及竊密</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月26日】駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStrand發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152103">【2022年7月25日】網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的基礎設施</a></p> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> </div></div></div>
2022/7/27 18:38作者周峻佑https://www.ithome.com.tw/news/152144
【資安日報】2022年7月26日，駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客運用程式語言Rust打造攻擊工具的現象，可說是有越來越多人採用，不過，先前大多採用此程式語言重新開發的惡意程式，幾乎都是勒索軟體。但最近有人使用此種程式語言開發竊密軟體（Info Stealer），並免費提供他人使用，值得留意的是，在不到一個月的時間裡，該竊密軟體已被用於25起攻擊行動。</p> <p>鎖定UEFI的惡意軟體攻擊行動相當隱密，而可能事隔多年才得找到相關跡證。有資安業者最近針對自2016年發起的UEFI惡意軟體攻擊行動，揭露相關細節。這起行動<a href="https://bbs.360.cn/thread-14959110-1-1.html">在2017年已有研究人員接獲用戶通報，並對惡意軟體進行分析</a>，但直到最近新的調查結果出爐，才確認當時駭客鎖定的對象與受害範圍。</p> <p>攻擊者濫用系統內建元件發動寄生攻擊（LoL）的手法，近期再度出現，但不同的是，這次駭客在工具包裡挾帶舊版的合法程式來進行此種攻擊行動，而使得惡意軟體能在更多電腦上執行。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/25/luca-stealer-source-code-leaked-on-a-cybercrime-forum/"><span style="color: rgb(0, 0, 0);">駭客以程式語言Rust打造竊密軟體，並免費提供他人使用</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Luca-Stealer-Features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Luca-Stealer-Features.png" style="width: 300px; float: right;" /></a>駭客以程式語言Rust打造攻擊工具的情況，已有數個駭客組織用來製作勒索軟體，但現在有也開發竊密軟體（Info Stealer）的人士採用此種程式語言。資安業者Cyble發現，有人在7月3日，於駭客論壇上發布以程式語言Rust開發的竊密軟體，並免費提供其原始碼，研究人員將此竊密軟體命名為Luca Stealer。</p> <p>此竊密程式主要是針對以Chrome為基礎開發的瀏覽器下手，並能針對其密碼管理與加密貨幣錢包的附加元件，竊取相關帳密資料。在瀏覽器之外，Luca Stealer還能挾持Skype、ICQ、Telegram、Discord等即時通訊軟體，以及Steam、UPlay遊戲平臺的帳號。研究人員指出，在3個星期之中，他們已經看到駭客用於25起攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/cosmicstrand-uefi-firmware-rootkit/106973/"><span style="color: rgb(0, 0, 0);">中國駭客使用UEFI惡意軟體CosmicStrand，在受害電腦上執行Shell Code</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CosmicStrand_UEFI_malware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CosmicStrand_UEFI_malware_01.png" style="width: 300px; float: right;" /></a>駭客鎖定UEFI韌體下手的情況，研究人員很有可能在多年之後，才找出整個攻擊鏈的樣貌。</p> <p>資安業者卡巴斯基揭露UEFI惡意軟體CosmicStrand（亦稱Spy Shadow Trojan）的攻擊行動，中國駭客約從2016年開始，鎖定採用H81晶片組的華碩、技嘉等廠牌的電腦下手，一旦CosmicStrand成功入侵電腦的UEFI韌體，就會在每次啟動時載入惡意酬載，並在每個開機流程進行掛勾，最終在記憶體內部署Shell Code來向C2連線，並下載惡意酬載，然後在Windows作業系統核心執行。</p> <p>研究人員指出，受害電腦遍及中國、越南、伊朗、俄羅斯，但這些電腦似乎都是個人所有，而無法找出所屬的組織或是產業。</p> <h3><a href="https://blog.cyble.com/2022/07/21/qakbot-resurfaces-with-new-playbook/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot利用舊版小算盤側載，確保能在受害電腦上正確執行</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-Execution-Flow.png" style="width: 300px; height: 141px; float: right;" /></a>攻擊者濫用系統內建的應用程式發動寄生攻擊（LoL），來側載惡意程式庫的（DLL Sideloading）現象，可說是非常頻繁，但現在有人選擇自行挾帶舊版作系統的應用程式，來確保惡意軟體能正常運作。</p> <p>研究人員ProxyLife與資安業者Cyble聯手，揭露駭客散布惡意軟體QBot（亦稱QakBot）的攻擊行動，駭客首先透過電子郵件來散布HTML檔案，一旦受害者將之開啟，就會下載受到密碼保護的ZIP壓縮檔案，內容是ISO映像檔。</p> <p>而此ISO檔的內容，包含了4個檔案，其中比較特別的是內有Windows 7版本的小算盤可執行檔（CALC.EXE），駭客將其用來載入惡意DLL檔案，最後將QBot的酬載注入檔案總管，並執行進一步的攻擊行動。這樣的手法，即使微軟在Windows 10、Windows 11移除了相關系統元件，駭客仍能載入QBot發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securonix.com/blog/stiffbizon-detection-new-attack-campaign-observed/"><span style="color: rgb(0, 0, 0);">北韓駭客使用木馬程式Konni攻擊歐洲國家，但俄羅斯駭客可能也參與其中</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bizon1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bizon1.png" style="width: 300px; height: 315px; float: right;" /></a>北韓駭客APT37近期動作頻頻，先前在今年初針對俄羅斯外交部發動網釣攻擊，現在目標已擴及歐洲多個國家。資安業者Securonix揭露名為Stiff#Bizon的攻擊行動，APT37使用Word檔案與捷徑檔案，鎖定捷克、波蘭等歐洲國家的高價值組織（High Value Target），以俄羅斯戰地記者的報導為幌子，散布RAT木馬程式Konni。</p> <p>研究人員指出，雖然從惡意軟體與攻擊手法來看，攻擊者的身分是APT37，但根據這起攻擊行動所使用的IP位址、主機代管業者等資訊，俄羅斯駭客APT28（亦稱FancyBear）也很有可能參與其中。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/digital-security-giant-entrust-breached-by-ransomware-gang/"><span style="color: rgb(0, 0, 0);">資安業者Entrust遭到勒索軟體攻擊</span></a></strong></h3> <p>提供身分驗證管理解決方案的Entrust在本月初通知客戶，他們的內部網路在6月18日遭到入侵，部分資料外洩，但除此之外並未透露更多細節，此起事故直到研究人員公布Entrust通知客戶的文件才曝光。</p> <p>而根據資安新聞網站Bleeping Computer掌握的資訊，該公司是遭到勒索軟體攻擊，威脅情報業者Advanced Intelligence（AdvIntel）也證實此起事故是勒索軟體，並指出駭客是從黑市買到該公司員工帳密來入侵得逞。不過，發動攻擊的駭客身分仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://build.prestashop.com/news/major-security-vulnerability-on-prestashop-websites/"><span style="color: rgb(0, 0, 0);">以PrestaShop系統架設的電商網站遭到鎖定，駭客疑似透過SQL注入手法側錄交易資料</span></a></strong></h3> <p>駭客鎖定採用Magento、WooCommerce等知名系統架設的電商網站發動攻擊，可說是相當頻繁，但其他電商平臺的用戶也不能掉以輕心。例如，電商平臺開發商PrestaShop於7月22日提出警告，他們發現駭客正在利用漏洞於電商網站注入惡意程式碼，而可能得以執行任意指令，進而竊取客戶付款的交易資料。</p> <p>該公司表示，駭客疑似利用PrestaShop的漏洞CVE-2022-36408。這項漏洞存在於PrestaShop 1.6.0.10以上的版本，並搭配特定版本的Wishlist外掛程式就有可能被觸發，而使得駭客能進行SQL注入攻擊。該公司呼籲用戶升級最新版本PrestaShop來防堵相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/dwizzzleMSFT/status/1549870156771340288"><span style="color: rgb(0, 0, 0);">為防堵嘗試RDP帳密的攻擊行為，微軟計畫將防範暴力破解攻擊的政策提供給所有Windows用戶</span></a></strong></h3> <p>駭客利用暴力破解的方式嘗試存取遠端桌面連線（RDP），來入侵受害電腦的做法相當氾濫，對此，微軟已開始將防堵暴力破解密碼的新政策Account Lockout Policy，設為預設啟用，只要10分鐘內輸入超過10次帳密，帳號就會被鎖住。而這項新政策已在即將推出的Windows 11 22H2測試版本中，自22528.1000版開始提供，該公司也承諾日後會延伸到其他版本的Windows上。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/ICS-Vulnerabilities-CVEs_SynSaber-2022-H1-Report.pdf"><span style="color: rgb(0, 0, 0);">美國2022上半揭露逾600個ICS設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://claroty.com/2022/07/25/blog-research-with-management-comes-risk-finding-flaws-in-filewave-mdm/"><span style="color: rgb(0, 0, 0);">行動裝置管理系統FileWave存在漏洞，恐成為駭客入侵組織的管道</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152103">【2022年7月25日】網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的基礎設施</a></p> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> </div></div></div>
2022/7/26 17:23作者周峻佑https://www.ithome.com.tw/news/152121
【資安日報】2022年7月25日，網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊網站內容管理系統（CMS）的事故頻傳，其中又以針對<a href="https://w3techs.com/technologies/history_overview/content_management">市占高達6成的WordPress最多</a>，但Wix、Joomla、Drupal等其他CMS平臺的安全也相當值得留意。以Drupal為例，最近修補了4項漏洞，其中最嚴重的漏洞是CVE-2022-25277，有機會讓駭客執行任意PHP程式碼。</p> <p>開源的圖像化資料分析系統Grafana有不少組織採用，相關的漏洞也值得留意。其中，Grafana開發團隊最近修補了一項OAuth漏洞，這項漏洞存在於多個版本的Grafana，開發團隊已著手修補，並提供緩解措施。</p> <p>針對俄羅斯駭客頻頻對其他國家發動攻擊的情況，有資安業者找到駭客在多個國家架設的C2伺服器，並指出這些伺服器具備不同的功能，且已經被用於兩起勒索軟體攻擊行動。值得留意的是，臺灣也存在著上述駭客部署的C2伺服器，有關單位應該採取行動，別讓臺灣成為這群駭客的幫兇。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://censys.io/russian-ransomware-c2-network-discovered-in-censys-data/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客在臺灣等多個國家架設C2伺服器，並用於發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LinkAnalysis-Diagram-2022-07-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LinkAnalysis-Diagram-2022-07-20.png" style="width: 300px; float: right;" /></a>駭客組織架設用於攻擊行動的基礎設施，很可能相當複雜且分散在全球各地。資安業者Censys公布俄羅斯駭客架設的15個C2伺服器，並指出這些伺服器不只部署於俄羅斯，還部署在臺灣，以及美國、中國等地。</p> <p>駭客將部分伺服器用於執行網站的弱點掃描工具Acunetix，或是利用滲透測試工具Metasploit來取得初步的存取權限，然後利用其他的C2伺服器散布惡意程式及勒索軟體。</p> <p>研究人員發現，這些C2伺服器被用於勒索軟體Karma、MedusaLocker的攻擊行動，前者出現於去年10月，後者則是在今年6月底引起美國發布警告。</p> <h3><a href="https://blog.talosintelligence.com/2022/07/attackers-target-ukraine-using-gomet.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軟體開發業者遭到GoMet變種後門程式入侵，駭客意圖對該國政府機關發動供應鏈攻擊</span></strong></a></h3> <p>俄羅斯駭客鎖定烏克蘭的攻擊行動，很有可能已經暗中進行一段時間才被發現。思科揭露使用GoMet變種後門程式的攻擊行動，駭客取得開源的GoMet程式碼並加以修改，約從2020年開始，用來攻擊烏克蘭大型軟體開發公司，由於此業者開發的軟體廣受該國各地地政府機關採用，研究人員推測這應該是供應鏈攻擊，且很有可能是俄羅斯政府撐腰的駭客所為。</p> <p>而對於此後門程式的來歷，研究人員表示，開發者使用Go語言打造而成，並包含攻擊者遠端控制的多數功能，且支援在x86與Arm架構的電腦上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152079"><span style="color: rgb(0, 0, 0);">烏克蘭電臺播放總統將政權移交的不實訊息，起因是遭到網路攻擊</span></a></strong></h3> <p>俄羅斯駭客不斷透過網路攻擊進行心理戰，先前有散布烏克蘭總統澤倫斯基（Vladimir Zelensky）宣布投降的假影片，現在則是宣稱此人的健康出現狀況。根據新聞網站CyberScoop的報導，烏克蘭媒體TAVR Media旗下的電臺散播不實消息，指出澤倫斯基因健康狀況非常糟糕，且已將該國政權交給他人。</p> <p>TAVR Media於7月21日發出聲明澄清，該電臺是因為遭到網路攻擊才會出現上述情況，發布與澤倫斯基健康問題相關的消息皆與事實不符。澤倫斯基也透過影片表示，自己持續在總統辦公室坐鎮，而上述宣稱他健康出狀況已經進醫院的消息，僅是俄羅斯散布不實資訊的其中之一。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberscoop.com/cyber-command-malware-ukraine/"><span style="color: rgb(0, 0, 0);">研究人員揭露白俄羅斯駭客UNC1511、俄羅斯駭客UNC2589使用惡意軟體攻擊烏克蘭</span></a></strong></h3> <p>美國網路司令部於7月20日指出，他們與烏克蘭國家安全局（SBU）合作，在最近幾個月發現數種惡意軟體，他們公布入侵指標（IoC）供各界防範。針對上述的攻擊行動內容，資安業者Mandiant指出，這些惡意軟體背後的攻擊者，很有可能是由白俄羅斯資助的駭客組織UNC1151，以及與俄羅斯政府有關的UNC2589。研究人員指出，這些駭客會假冒烏克蘭當局宣稱接下來可能會出現的攻擊行動，或是以薪資、防毒軟體為誘餌，來散布前述美國網路司令部公布的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/twitter-vulnerability-exposes-5-million-accounts/"><span style="color: rgb(0, 0, 0);">駭客外洩近550萬推特用戶資料，疑與行動裝置App漏洞有關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-twitter-54m.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-twitter-54m.jpg" style="width: 300px; float: right;" /></a>又有駭客從社群網站竊得大量用戶資料，並宣稱是利用平臺的漏洞而得逞。根據資安新聞網站Restore Privacy的報導，有人在地下論壇Breached Forums上，兜售5,485,636名推特用戶的資料，並宣稱他們是透過系統弱點取得，受害者不乏名人與公司行號。</p> <p>駭客向該新聞網站進一步透露，這些資料是在2021年12月收集，並已有買家正在接洽當中，他們打算求售3萬美元，駭客也聲稱他們利用的漏洞，在今年一月被通報到HackerOne，存在於安卓版的用戶端程式，現在已完成修補。該新聞網站也證實部分資料的內容正確。推特則表示正在著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://fortune.com/2022/07/24/t-mobile-to-pay-350m-to-customers-due-to-data-breach/"><span style="color: rgb(0, 0, 0);">針對去年遭網路攻擊的資料外洩事件，T-Mobile決定支付3.5億美元進行和解</span></a></strong></h3> <p>去年8月傳出有駭客於地下論壇，兜售來自電信業者T-Mobile的1億用戶資料，隨後該公司證實約有7,660萬名美國使用者資料外洩，並引起用戶集體訴訟。</p> <p>T-Mobile於7月22日提交給美國證交所的文件指出，他們決定支付3.5億美元，來與受害用戶和解，並承諾今年和明年總共會提撥1.5億美元來投資資料安全。該公司的決定將有待美國法院核准及執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152084"><span style="color: rgb(0, 0, 0);">臺灣虎航公告遭網路攻擊，客戶資料恐遭外洩</span></a></strong></h3> <p>廉價航空業者臺灣虎航於7月22日傍晚，於臺灣證券交易所發布公告，證實該公司遭到網路攻擊，他們已聯合外部資安公司協同處理，並通報相關執法單位。該公司評估營運無重大影響，但在網站上公布反詐騙聲明，要旅客留意可能會衍生的網路詐騙攻擊。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/code-execution-and-other-vulnerabilities-patched-drupal"><span style="color: rgb(0, 0, 0);">網站內容管理系統Drupal的RCE漏洞得到修補</span></a></strong></h3> <p>駭客攻擊網站內容管理系統（CMS）的事故不斷發生，雖大多是針對WordPress而來，但Wix、Joomla、Drupal等系統的漏洞也值得留意。Drupal的開發團隊於7月20日發布資安通告，公告4項漏洞的細節與緩解措施，影響9.3與9.4版，當中最為嚴重的是CVE-2022-25277，一旦攻擊者加以利用，就有可能透過Apache網頁伺服器上傳惡意文件的方式，執行任意PHP程式碼。不過，要觸發這項漏洞存在限制，其中一項就是網站伺服器必須是使用Apache網頁伺服器，Drupal呼籲網站管理員要儘速檢查伺服器是否遭到入侵，並發布9.3.19與9.4.3版修補上述漏洞。</p> <p>此外，資訊洩露漏洞CVE-2022-25275也影響Drupal 7，網站管理員應升級7.91版來緩解漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://github.com/grafana/grafana/security/advisories/GHSA-mx47-6497-3fv2"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補可能會導致管理員帳號遭到接管的漏洞</span></a></strong></h3> <p>資安研究團隊HTTPVoid於6月底，在圖像化資料分析系統Grafana發現OAuth功能的漏洞CVE-2022-31107，一旦攻擊者加以利用，就有機會存取其他使用者的帳號，CVSS風險評分為7.1分，Grafana 5.3版以上都會受到影響。Grafana於7月14日發布8.3.10、8.4.10、8.5.9、9.0.3版予以修補。開發團隊指出，若是使用者暫時無法更新Grafana，也可透過停用所有的OAuth身分驗證機制，來緩解上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/zyxel-firewall-vulnerabilities-left-business-networks-open-to-abuse"><span style="color: rgb(0, 0, 0);">Zyxel修補防火牆資料夾穿越漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-patch-critical-sql-injection-bug-immediately/"><span style="color: rgb(0, 0, 0);">SonicWall修補資安治理系統GMS的重大SQL注入漏洞</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> </div></div></div>
2022/7/25 17:17作者周峻佑https://www.ithome.com.tw/news/152103
【資安週報】2022年7月18日到7月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周發生與揭露的攻擊與威脅中，有幾個焦點事件，包括有駭客透過供應鏈手法，從WordPress外掛WPBakery Page Builder的Kaswara元件程式下手攻擊；有駭客宣傳PLC與HMI密碼破解工具，真能破解但其實還暗藏木馬程式Sality；有中國米可達斯（MiCODUS）車用GPS追蹤器存在六大重大漏洞，廠商遲遲未修補，促使業者通報未果後請美國CISA協助示警；以及有駭客打造CloudMensis惡意軟體，是專門鎖定蘋果Mac電腦用戶。</p> <p>在漏洞修補方面，微軟上月修補的一項Windows NFS漏洞CVE-2022-30136，趨勢科技最近特別警告，該漏洞將比Follina漏洞更為容易利用，呼籲還沒修補的企業盡速因應。</p> <p>此外，關於Log4j漏洞的嚴重性再受關注，美國網路安全審查委員會首份報告出爐，指出最大問題是──使用者或軟體開發商並不知道自己使用軟體內含有漏洞的Log4j元件，或是專案有很高的相依性，這將導致漏洞問題將影響企業長達十年，因此報告中也提出四大因應上的建議。</p> <p>勒索軟體的動向中，以程式語言Rust打造的勒索軟體增加，除了BlackCat、Hive，又有資安業者揭露全新的Luna。這裡我們認為要注意的是，用這類語言編寫的勒索軟體，可以很容易地從一個平臺移植到其他平臺，包括Windows、Linux版本，以及近來逐漸增加鎖定VMware ESXi，因此可同時針對不同的作業系統攻擊。此外，近年RaaS的興起，已降低勒索軟體攻擊門檻，最近又出現以免費下載在抽成的勒索軟體Redeemer 2.0。</p> <p>此外，在新興攻擊手法研究中，紐澤西理工學院（NJIT）的研究受關注，指出攻擊者能透過特製的網站，讓瀏覽器在載入網頁時，透過旁路攻擊方式，發出對於社群網站嵌入式資源的跨網站請求，藉此解析目標身分並拚湊用戶的數位生活圈。</p> <p>另外較特別的是，本周有多國政府與重要單位傳出引發關注的資安事件，其中阿爾巴尼亞上周六晚上遭到網路攻擊最嚴重，該國未因應攻擊，直接關閉了許多政府網站與線上申辦服務，還有以色列衛生局遭網路攻擊，當地媒體報導有自稱Altahrea Team親伊朗的駭客組織表示是他們所為，還有印度證交所也傳出資安事件。</p> <p>而以國內而言，本周有生技醫療上櫃公司遭遇資安事件，是近一年來的第二起。此外，國內科技製造業機密資料被內鬼竊取事件層出不窮，可成科技在2020年發生陸續有14名員工離職，背後卻是收取立訊提供數百萬元安家費，竊取可成機密投靠立訊，由於涉及營業秘密，檢方經過1年6個月的偵查及蒐證，今年7月中旬新北地方檢察署起訴14人。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152082#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_WP.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_ICS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Mac.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_DD.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_PL.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Luna.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_GPS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_NFS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_G.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_MA.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong></p> <p id="A"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客透過老舊外掛程式鎖定近160萬個WordPress網站，目標是外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p id="B">研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">駭客宣傳可提供15家業者PLC與HMI破密工具但暗藏惡意程式</span></a><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">Sality</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、台達自動化、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p id="C">研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在7月19日揭露，他們最早在4月時發現一款名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p id="D">研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p id="E">Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p id="F">研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p id="I">以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p id="J">新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p id="G"> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p id="H">由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">資安業者呼籲修補NFS漏洞CVE-2022-30136，比Folina漏洞更容易被利用</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152073"><span style="color: rgb(0, 0, 0);">微軟Windows 11 22H2將帳號鎖住原則列為預設，提高RDP暴力破解難度</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0722-微軟-defenses-against-human-operated-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="text-align: center; width: 220px; float: right;" /></a></p> <p>為降低RDP相關暴力破解密碼攻擊，微軟預計下半年新版Windows 11 22H2中，將把帳號鎖住原則（Account Lockout Policy）設為預設啟用，也就是10分鐘內10次登入錯誤即鎖住帳號，提高破解難度，而未來之前的Windows版本也可能實施。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/e9eb6bb1-2c8d-4e4f-8f95-17b9107bb07f"><span style="color: rgb(105, 105, 105);"><strong><span style="font-size: 20px;">我國資通安全處在7月15日發布６月資通安全月報</span></strong></span></a></span></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出</span></a></span></strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">引發火災</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></strong></p> <p> </p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></strong></p> <p class="rtecenter"><strong><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152082"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-7-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></strong></p> </div></div></div>
2022/7/23 11:08作者羅正漢https://www.ithome.com.tw/news/152082
【資安日報】2022年7月22日，勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Fra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動勒索軟體攻擊的方式，已出現軟體經營者和攻擊者分工的情況，其中最常被提及的就是軟體以服務的型式提供（Ransomware-as-a-Service，RaaS），讓攻擊者可透過購買或訂閱的方式取得，但現在有了新的做法，有開發者以免費的方式提供勒索軟體，直到收到贖金之後再和攻擊者拆帳獲利。這樣的情況，不只使得發動勒索軟體攻擊的門檻變得更低，攻擊者也無須付錢就能先行取得作案工具。</p> <p>惡意軟體Lightning Framework也引起研究人員注意，首先，它與近期出現的Linux惡意軟體（如：<a href="https://www.ithome.com.tw/news/150914#bpfdoor">BPFDoor</a>、<a href="https://www.ithome.com.tw/news/151388#Symbiote">Symbiote</a>等）都同樣難以偵測，但不同的是，此惡意軟體採用了模組化設計，而使得駭客可透過擴充元件增加攻擊能力，這樣的做法在Linux惡意軟體可說是相當罕見。</p> <p>思科針對旗下資料中心網路管理系統Nexus Dashboard著手修補，當中修補了3項弱點，其中一項為CVSS評分達9.8分的重大漏洞，由於沒有緩解措施，該公司呼籲用戶要儘速升級相關軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p>以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> </div></div></div>
2022/7/22 13:51作者周峻佑https://www.ithome.com.tw/news/152074
以Rust撰寫的全新勒索軟體Luna可加密Windows、Linux及ESXi系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/luna-black-basta-ransomware/106950/" target="_blank">資安業者卡巴斯基（Kaspersky）本周揭露了一個全新的勒索軟體Luna</a>，此一以Rust撰寫的勒索軟體可同時鎖定Windows、Linux及ESXi作業系統，印證了跨平臺勒索軟體的趨勢，而相準VMware替大型企業設計的裸機虛擬化管理程序ESXi，亦顯示駭客企圖儘可能造成更大的傷害。</p> <p>卡巴斯基是在駭客論壇的廣告中發現Luna，分析後顯示它使用非典型的加密手法，結合了勒索軟體中少見的x25519及AES，此外，它的Linux與ESXi版本都是以Windows版的程式碼為基礎，僅有一些小小的變更。</p> <p>駭客在廣告中強調Luna只與說俄羅斯文的對象合作，再加上Luna內建的英文勒索信中有些用字錯誤，使得卡巴斯基推測它應該是來自說俄羅斯文的駭客。</p> <p>此外，近來有愈來愈多勒索軟體以Rust及Golang等方便跨平臺的程式語言撰寫，例如BlackCat與Hive，代表它們很容易就從一個平臺移植至另一個，並同時針對不同的平臺展開攻擊，也印證了跨平臺勒索軟體的趨勢，而這些跨平臺的程式語言也有助於閃避靜態分析。</p> <p>另一個趨勢是鎖定VMware ESXi的勒索軟體也愈來愈多，從去年的HelloKitty、Python，到今年的Black Basta、RedAlert（N13V）及Luna，曾有資安專家分析，ESXi是個很合理的攻擊目標，因為駭客只要能存取ESXi 主機，就能影響在該主機上執行的所有虛擬機器，或是其它於同一叢集中運作的虛擬機器，這不只能擴大駭客的收益，也能更快造成傷害。</p> </div></div></div>
2022/7/22 09:27作者陳曉莉https://www.ithome.com.tw/news/152055
【資安日報】2022年7月21日，上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊臺灣生技公司的情況，最近再添一例。上櫃公司永昕生物醫藥證實遭到電腦病毒攻擊，並表示有部分資通訊系統受到波及。</p> <p>網釣攻擊裡，駭客假冒知名廠商的情況相當普遍，而根據資安業者Check Point的分析，他們偏好的品牌依序是LinkedIn、微軟，以及DHL。由於大部分使用者對這些廠商寄來的信件相當習以為常，很有可能降低戒心而上當。</p> <p>進行網站側錄攻擊（Web Skimming）的駭客，過往目標集中於線上商城，但最近有研究人員發現，駭客開始將目標轉向線上訂餐平臺，發動Magecart攻擊，因為，這麼做很有可能竊得所有餐廳交易的金融卡資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p>由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> </div></div></div>
2022/7/21 18:37作者周峻佑https://www.ithome.com.tw/news/152050
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_7yue_patch_tuesday_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>關於這方面的消息，企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，都會在每月例行修補資訊公布後發布影片，公布多項統計數據，並會特別突顯需留意的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此用戶必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，而成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分竟達8.8分，足見其風險程度之高。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/patch-tuesday">Patch Tuesday</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item even"><a href="/tags/known-exploited-vulnerabilities">Known Exploited Vulnerabilities</a></div></div></div>
2022/7/19 14:57作者羅正漢https://www.ithome.com.tw/tech/152000