<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Dragonbridge散布特定訊息來企圖左右政治局勢的情況，日前已有資安業者揭露相關攻擊行動，但過往大多針對美國而來。近期Google揭露該組織濫用旗下服務來張貼訊息的情況，並特別提及這些駭客在去年裴洛西訪臺期間，不斷發布對臺恫嚇的資訊。</p>
<p>一月底威聯通修補了NAS重大漏洞CVE-2022-27596，事隔數日有資安業者提出警告，全球至少有近3萬臺設備尚未更新韌體而曝險，但值得我們注意的是，臺灣曝險的設備數量全球第3，僅次於義大利和美國。</p>
<p>今年農曆新年期間傳出永豐銀行信用卡遭到盜刷的情況，此事近日得到金管會證實，有34名持卡人受害、被盜刷110萬元。永豐銀行認為，很有可能是他們在刷卡過程寄送的OTP驗證碼郵件遭到攔截所致。</p>
<h3><strong>【攻擊與威脅】</strong></h3>
<p><a href="https://blog.google/threat-analysis-group/over-50000-instances-of-dragonbridge-activity-disrupted-in-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Dragonbridge一年散布逾5萬則垃圾資訊，內容涉及裴洛西訪臺</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Dragonbridge"><span style="color: rgb(255, 140, 0);">#Dragonbridge</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/裴洛西訪臺"><span style="color: rgb(255, 140, 0);">#裴洛西訪臺</span></a></strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/NewsEvent_4_max-1200x1200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NewsEvent_4_max-1200x1200.jpg" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）揭露對於中國駭客組織Dragonbridge（亦稱Spamouflage Dragon）的分析，他們發現此組織濫用該公司的服務，包含YouTube、Blogger、AdSense，張貼大量垃圾訊息，在過去一年就超過5萬則。Google在2022年封鎖此組織53,177個YouTube頻道，其中有58%沒有人訂閱、42%影片沒有人觀看。</p>
<p>研究人員表示，這些駭客上傳的內容大部分毫無意義，但他們也發現有少部分與中國鄰近國家有關的政治訊息，包括稱讚中國防疫有成、批評美國的種族歧視、通貨膨脹等。</p>
<p>特別的是，這次TAG特別提及7月裴洛西訪臺前後，這些駭客不只詆毀這名美國眾議院議長，更在後來中國軍演期間要蔡英文及政治盟友投降。研究人員表示，有別於前述的垃圾內容粗製濫造，針對臺灣情勢的政治訊息製作精良，具備一致的標題與關鍵字標籤，且在不同的管道散布。</p>
<p><a href="https://censys.io/cve-2022-27596/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通NAS因近期漏洞而曝險的臺灣設備數量近2千臺</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/nas"><span style="color: rgb(255, 140, 0);">#NAS</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/qnap"><span style="color: rgb(255, 140, 0);">#QNAP</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SQL-Injection"><span style="color: rgb(255, 140, 0);">#SQL Injection</span></a></strong></p>
<p>臺灣NAS廠商威聯通（QNAP）於1月30日發布資安通告，他們修補了SQL注入漏洞CVE-2022-27596（CVSS風險層級為9.8分），呼籲用戶儘速更新韌體，但事隔數日，仍有不少該廠牌NAS可能曝露於相關風險。</p>
<p>根據資安業者Censys的觀察，至少有近3萬臺NAS尚未修補，研究人員總共找到67,415臺設備，當中有30,520臺能識別其執行的作業系統版本，結果只有約550臺已完成修補，換言之，至少有29,968臺NAS曝險。值得留意的是，臺灣存在此漏洞的NAS數量有1,942臺，高居全球第3，僅次於義大利（3,200臺）和美國（3,149臺）。</p>
<p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-27596-image1-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-27596-image1-5.png" style="width: 580px;" /></a></p>
<p><a href="https://www.sentinelone.com/labs/dragonspark-attacks-evade-detection-with-sparkrat-and-golang-source-code-interpretation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織DragonSpark透過Go語言打造的惡意軟體規避偵測</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SparkRAT"><span style="color: rgb(255, 140, 0);">#SparkRAT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/DragonSpark"><span style="color: rgb(255, 140, 0);">#DragonSpark</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Golang"><span style="color: rgb(255, 140, 0);">#Golang</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Yaegi"><span style="color: rgb(255, 140, 0);">#Yaegi</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p>
<p>資安業者SentinelOne揭露鎖定東亞組織的攻擊行動DragonSpark，很可能是使用中文的駭客所發動，攻擊者利用鮮為人知的開源木馬程式SparkRAT，並搭配另一個同為Go語言開發惡意軟體進行攻擊。</p>
<p>駭客鎖定網際網路上可公開存取的網頁伺服器或MySQL資料庫入侵受害組織，並植入名為中國菜刀的Web Shell，然後進行橫向移動、提升權限，以及部署惡意軟體的活動。比較特別的是，駭客為了回避偵測，他們濫用Go語言的原始碼轉譯器Yaegi來執行惡意程式，企圖阻礙靜態分析系統的偵測結果。值得留意的是，駭客使用了多個遭駭的臺灣、香港、新加坡、中國伺服器，來做為散布惡意軟體的基礎設施。</p>
<p><a href="https://www.mandiant.com/resources/blog/tracking-evolution-gootloader-operations"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Gootloader採用更隱密的混淆手法規避偵測</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Gootloader"><span style="color: rgb(255, 140, 0);">#Gootloader</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Golang"><span style="color: rgb(255, 140, 0);">#Golang</span></a></strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/fig2-gootloader-powershell-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-gootloader-powershell-attack-chain.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期惡意軟體Gootloader（亦稱Gootkit）的攻擊手法，他們在2022年11月發現駭客組織UNC2565開始採取更為刁鑽的手法，一旦使用者依照指示下載釣魚網站上的ZIP壓縮檔，並執行其中的JavaScript指令碼，電腦就會被植入另一個偽裝成事件記錄檔（LOG）的JavaScript指令碼，並透過工作排程執行並收集系統資訊，然後利用PowerShell命令下載惡意程式載入工具Fonelaunch，進而部署Gootloader。</p>
<p>而為了讓Gootloader難以被發現其攻擊意圖，駭客採用了更為複雜的混淆手法，研究人員在該惡意程式的程式碼發現額外的字串變數，做為第二階段解除混淆手法之用。此外，他們也發現駭客木馬化jQuery、Chroma.js、Underscore.js等JavaScript程式庫。研究人員在其中一個Gootloader檔案裡，發現駭客將實際的惡意程式埋藏在一萬行程式碼之後。</p>
<p><a href="https://www.trendmicro.com/en_us/research/23/a/new-mimic-ransomware-abuses-everything-apis-for-its-encryption-p.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mimic在加密檔案的過程濫用搜尋工具Everything元件</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/LOLBin"><span style="color: rgb(255, 140, 0);">#LOLBin</span></a> <a href="https://www.ithome.com.tw/tags/寄生攻擊"><span style="color: rgb(255, 140, 0);">#寄生攻擊</span></a></strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/mimic-ransomware-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mimic-ransomware-1.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技於2022年6月發現名為Mimic的勒索軟體，主要目標是使用俄文與英語的用戶。駭客疑似利用勒索軟體Conti的產生器為基礎進行開發，但Mimic與其他勒索軟體不同之處，在於駭客進行了寄生攻擊（LOLBin），濫用了搜尋應用程式Everything的API元件來盤點受害電腦的檔案，此外，該勒索軟體也具備停用防毒軟體Microsoft Defender與繞過使用者帳號控制（UAC）的能力。</p>
<p>研究人員指出，駭客利用Everything元件的目的，很可能就是看上此應用程式占用資源極低且執行檔案搜尋效率極佳的特性，藉此縮短加密受害電腦檔案的時間。</p>
<p><a href="https://securelist.com/prilex-modification-now-targeting-contactless-credit-card-transactions/108569/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">信用卡刷卡要小心！有惡意軟體在插卡與NFC刷卡之間動手腳，意圖竊取卡片資料</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/POS"><span style="color: rgb(255, 140, 0);">#POS</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Prilex"><span style="color: rgb(255, 140, 0);">#Prilex</span></a> <a href="https://www.ithome.com.tw/tags/NFC"><span style="color: rgb(255, 140, 0);">#NFC</span></a></strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/Prilex_blocks_NFC_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prilex_blocks_NFC_03.png" style="width: 200px; float: right;" /></a>資安業者卡巴斯基揭露近期POS設備惡意軟體Prilex的攻擊行動，他們發現了3個新版Prilex，其特點是阻止消費者透過NFC的方式進行非接觸式刷卡，一旦消費者在感染此惡意軟體的POS機臺使用這種方式付錢，刷卡機就會出現錯誤訊息，指示必須將卡片插入刷卡機才能進行相關作業。</p>
<p>研究人員指出，駭客這麼做的目的，在於NFC交易的過程中，刷卡機會產生專屬的ID資料，而無法被駭客後續用於盜刷。</p>
<p><a href="https://www.bleepingcomputer.com/news/security/porsche-halts-nft-launch-phishing-sites-fill-the-void/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">保時捷暫停發布NFT被盯上，駭客架設釣魚網站行騙</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/NFT"><span style="color: rgb(255, 140, 0);">#NFT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Porsche"><span style="color: rgb(255, 140, 0);">#Porsche</span></a></strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/porsche-nft-site-real-fake.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/porsche-nft-site-real-fake.png" style="width: 300px; float: right;" /></a>跑車製造商保時捷於1月23日發布他們的首款非同質化代幣（NFT），卻因鑄造速度緩慢等因素引發投資客的不滿，遂於隔日宣布停售並導致已售出的NFT價格大漲，而這也成為駭客用來對NFT投資客下手的誘餌。</p>
<p>根據資安新聞網站Bleeping Computer的報導，有人打造了冒牌保時捷NFT網站，並透過擁有1.1萬用戶追蹤的推特帳號進行宣傳，意圖對想要買到911跑車NFT的投資客進行網釣攻擊，一旦投資人將加密貨幣錢包與釣魚網站連接，錢包裡的資產就有可能被對方耗盡。</p>
<p><a href="https://www.londonstockexchange.com/news-article/JD./cyber-security-incident-regarding-historic-orders/15815662"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">運動服飾業者JD Sports被駭，千萬客戶個資外流</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p>
<p>英國知名運動服飾品牌JD Sports近日向倫敦證交所通報，資料庫系統被駭，旗下JD、Size?、Millets、Blacks、Scotts及MilletSport等眾多品牌、約千萬名顧客的個資遭到外流。該公司表示，他們遭到不法存取的資料內容，涵括2018年11月到2020年10月網路下單的顧客資料。</p>
<p><a href="https://www.welivesecurity.com/2023/01/31/eset-apt-activity-report-t3-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客竄改微軟的公用程式，製作資料破壞軟體NikoWiper攻擊烏克蘭能源基礎設施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Wiper"><span style="color: rgb(255, 140, 0);">#Wiper</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Sandworm"><span style="color: rgb(255, 140, 0);">#Sandworm</span></a> <a href="https://www.ithome.com.tw/tags/SDelete"><span style="color: rgb(255, 140, 0);">#SDelete</span></a></strong></p>
<p>資安業者ESET近日發布2022年第3季的APT攻擊情勢報告，當中提及俄羅斯駭客組織Sandworm於去年10月，在該國軍隊發射導彈攻擊的期間，使用名為NikoWiper資料破壞軟體（Wiper）來對烏克蘭能源基礎設施下手。</p>
<p>研究人員指出，此資料破壞軟體是以微軟免費工具包SystemInternals家族成員SDelete為基礎打造而成，而這些駭客也曾在攻擊烏克蘭媒體Ukrinform的過程中，運用此公用程式破壞資料，引起研究人員的注意。</p>
<p><a href="https://www.cna.com.tw/news/afe/202301310285.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">永豐銀行信用卡傳出過年期間遭到盜刷，34名持卡人被刷110萬元</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/3D驗證"><span style="color: rgb(255, 140, 0);">#3D驗證</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OTP"><span style="color: rgb(255, 140, 0);">#OTP</span></a></strong></p>
<p>農曆新年期間傳出永豐銀行的信用卡遭到盜刷，這樣的情況如今也得到金管會證實。根據<a href="https://www.cna.com.tw/news/afe/202301310285.aspx">中央社</a>、<a href="https://ec.ltn.com.tw/article/breakingnews/4197347">自由時報</a>、<a href="https://udn.com/news/story/7239/6939938?list_ch2_index">聯合報</a>等多家媒體的報導，金管會銀行局副局長童政彰於1月31日的例行記者會對此事發表看法，他們已向永豐銀行進行了解，有34名永豐銀行用戶的信用卡，在1月23日至29日被盜刷76筆，總金額約新臺幣110萬元，這些交易是在約30家網路商店消費，但不確定是否為同一集團所為。</p>
<p>對此，永豐銀行初步調查發現，該公司已導入3D驗證機制，在刷卡時會同時傳送OTP驗證碼至持卡人手機及電子郵件信箱，疑似寄送的驗證碼郵件遭到不法人士擷取而導致本次事件。</p>
<p>針對此次事件的後續處理，永豐銀行表示，將主動協調以爭議帳款處理，用戶無需繳納遭盜刷的款項，該公司亦在偵測到疑似盜刷的當下進行確認，並協助持卡人停卡或是換卡，同時在聯合信用卡中心系統將盜刷的IP位址列入黑名單。</p>
<p> </p>
<h3><strong>【其他資安新聞】</strong></h3>
<p><a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟封鎖被用於OAuth網釣攻擊的合作夥伴帳號</span></span></strong></a></p>
<p><a href="https://securelist.com/darknet-it-headhunting/108526/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客在暗網張貼徵才廣告，祭出2萬美元月薪尋求打手</span></span></strong></a></p>
<p><a href="https://www.esentire.com/web-native-pages/unmasking-venom-spider"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員找出惡意軟體Golden Chickens背後的駭客</span></span></strong></a></p>
<p><a href="https://www.securityweek.com/cyberattacks-target-websites-of-german-airports-admin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國機場網站傳出成為俄羅斯駭客Killnet的攻擊目標</span></span></strong></a></p>
<p><a href="https://www.bleepingcomputer.com/news/security/yandex-denies-hack-blames-source-code-leak-on-former-employee/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯科技業者Yandex原始碼流入駭客論壇，疑前員工所為</span></span></strong></a></p>
<p> </p>
<h3><strong>近期資安日報</strong></h3>
<p><strong><a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】 資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a></strong></p>
<p><strong><a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】 研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a></strong></p>
<p><strong><a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a></strong></p>
</div></div></div>
