iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】5月29日，微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客在釣魚攻擊行動裡，利用多種檔案格式的附件來迴避資安系統偵測的情況，包含了運用光碟映像檔（ISO、IMG、CDR），或是壓縮檔（ZIP、RAR）。但現在出現了另一種較為特別的檔案格式「RPMSG」，這是受到微軟權限管理服務（RMS）保護的檔案類型，只允許特定使用者存取，這樣的釣魚郵件攻擊顯得相當有針對性。 另一個很可能被用於網釣攻擊的手法，則是與Google開放ZIP頂級網域名稱（TLD）有關。最近有研究人員公布了在瀏覽器裡打造解壓縮軟體WinRAR視窗的概念性驗證攻擊手法，並指出這樣的網頁若是搭配特定的ZIP網域，很有可能讓使用者以為自己在開啟WinRAR程式而上當。 Google Cloud Platform（GCP）資料庫代管服務CloudSQL出現的漏洞也值得留意，這項漏洞與代管微軟SQL Server的部分配置不當有關，而使得攻擊者可取得SQL Server管理員權限並進行控制。 <h3>【攻擊與威脅】</h3> <a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/microsoft-encrypted-restricted-permission-messages-deliver-phishing/">駭客挾持Microsoft 365帳號並濫用RPMSG附件竊密</a> <a href="https://s4.itho.me/sites/default/files/images/rpmsg-picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rpmsg-picture2.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露濫用微軟加密附件RPMSG的釣魚郵件攻擊行動，駭客先是利用遭竊的Microsoft 365帳號，假冒支付處理業者Talus Pay的名義，向目標公司的收費部門寄送帶有RPMSG附件的電子郵件，收信人必須透過自己的微軟帳號或是動態密碼才能存取。 一旦收信人照做，就會看到駭客提供的電子郵件內容，要求收信人存取置放於Adobe Indesign雲端服務當中SharePoint假文件，要求點選連接檢視文件內容，然而要是收信人依照指示下載、開啟，電腦就會執行惡意指令碼收集系統資訊，完成後還會再開啟偽造的Microsoft 365登入視窗，並將竊得資訊傳送到攻擊者的伺服器。 研究人員指出，使用RPMSG附件的攻擊數量目前並不多見，可說是相當具有針對性，而且，企業想要察覺這類攻擊並不容易。 <a href="https://citizenlab.ca/2023/05/cr1-armenia-pegasus/">間諜軟體Pegasus鎖定納戈爾諾卡拉巴赫戰爭而來，攻擊亞美尼亞人士</a> 加拿大公民實驗室（Citizen Lab）與非營利組織Access Now、CyberHUB-AM、Amnesty International，以及行動裝置資安研究員Ruben Muradyan聯手，公布亞美尼亞人士手機曾遭到間諜軟體Pegasus攻擊的細節，並指出起因是蘋果在2021年向部分使用者發出通知，表示他們可能遭到國家級駭客攻擊。結果有不少亞美尼亞人向Access Now、CyberHUB-AM通報，懷疑自己的手機遭到攻擊。 在這些非營利組織聯手進行調查後，結果確認有12人的蘋果裝置，在2020年10月至2022年12月遭到Pegasus入侵，且和2020年發生的納戈爾諾卡拉巴赫戰爭有關，推測使用這類間諜軟體的背後主使，可能是亞美尼亞及亞塞拜然政府。 <a href="https://www.bleepingcomputer.com/news/security/us-govt-contractor-abb-confirms-ransomware-attack-data-theft/">跨國IT承包業者ABB證實遭到勒索軟體攻擊</a> 承包美國政府IT業務的跨國業者ABB公司傳出於5月7日遭到勒索軟體Black Basta攻擊，導致營運中斷、專案進度延期，現在該公司透露進一步的調查結果。 資安研究人員Kevin Beaumont取得該公司向客戶寄送的通知信，當中提及此起事故為勒索軟體攻擊，駭客部署了不會自我複製的勒索軟體，並外洩了特定的內部資料。 該公司尚在調查受影響範圍，並強調截至目前為止尚無客戶資料外洩的跡象，也並未對該公司的產品安全造成影響。 <a href="https://mrd0x.com/browser-in-the-browser-phishing-attack/">駭客可假裝在瀏覽器視窗「顯示」壓縮檔內容，引誘受害者下載惡意軟體</a> <a href="https://s4.itho.me/sites/default/files/images/archive-in-the-browser-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/archive-in-the-browser-2.png" style="width: 300px; float: right;" /></a>自Google開放註冊名為ZIP的頂級網域名稱（TLD）後，有資安專家警告可能會被用於攻擊行動，如今這樣的情況已出現相關工具。 資安研究員mr.d0x公布了濫用這種網域的網釣概念性驗證攻擊程式，駭客先註冊特定名稱的ZIP頂級網域（研究人員以mrd0x.zip為例），然後設置看起來像WinRAR畫面的網頁。 為了讓使用者誤以為真的在操作解壓縮程式降低戒心，網頁上的按鈕都確實有其作用，而能引誘受害者點選特定的檔案，「解壓縮」視窗裡面的文件檔案，進而讓受害者下載惡意檔案，或是將他們重新導向到另一個網頁，要求輸入帳密資料才能檢視檔案，進而側錄及竊密。 <a href="https://www.trendmicro.com/en_us/research/23/e/new-info-stealer-bandit-stealer-targets-browsers-wallets.html">竊資軟體Bandit鎖定瀏覽器及加密貨幣錢包而來</a> 資安業者趨勢科技揭露名為Bandit的竊資軟體，此惡意程式是由Go語言開發而成，主要是透過命令列工具Runas來執行，而能在駭客取得具備足夠權限的帳號之下，以非現在登入的使用者帳號執行惡意程式。 一旦執行，此竊資軟體就會針對9種虛擬化環境的特徵進行檢查，確認是否在沙箱環境運作。駭客藉由此竊資軟體盜取受害電腦上的網頁瀏覽器組態，以及加密貨幣錢包的帳密。 研究人員指出，雖然這款竊資軟體針對Windows電腦而來，但他們在當中發現了Linux的檔案路徑，研判駭客可能也打算開發對於這類作業系統的竊資軟體。 <a href="https://www.youbike.com.tw/region/main/news/service/647050e001f02c629b73bb65/">針對資料外洩事件，YouBike擬賠償受害者每人500元騎乘券</a> 共享單車業者YouBike自5月17日起，網站遭到2次攻擊導致資料外洩，4萬名用戶的騎乘資料曝光。該公司在上週末公布用戶的補償方案。針對所有騎乘資料外洩的使用者，該公司將提供500元的YouBike 2.0騎乘券，並計畫在9月底前發放、存入使用者的App；而對於已遭到詐騙的用戶，該公司打算受理提供賠償，補償內容為遭騙金額的50%，但上限為新臺幣2萬元。 <h3>【漏洞與修補】</h3> <a href="https://www.dig.security/post/gcp-cloudsql-vulnerability-leads-to-internal-container-access-and-data-exposure">GCP的資料庫代管服務CloudSQL出現嚴重漏洞，恐曝露機密資料</a> 資安業者Dig揭露Google Cloud Platform（GCP）資料庫代管服務CloudSQL的嚴重漏洞（未登記CVE編號），研究人員先是在其代管的微軟SQL Server上，找到能將初始權限提升到名為DbRootRole群組的GCP管理員角色，再找到另一個組態錯誤配置的漏洞，取得Sysadmin權限，進而完全控制代管的SQL Server伺服器。 攻擊者一旦利用相關漏洞，就有可能存取作業系統底層代管的所有檔案，並且挖掘相關帳密資料，而能用於接下來的跳板攻擊。研究人員於2月向Google通報，該公司於4月完成修補，並根據Vulnerability Reward Program（VRP）給予研究人員獎金。 <h3>【其他新聞】</h3> <a href="https://www.handelsblatt.com/unternehmen/industrie/tesla-files-was-sie-ueber-die-recherchen-zu-den-geheimen-tesla-files-wissen-muessen/29167070.html">前員工向德國媒體洩露特斯拉內部機密，包含過往自動駕駛Autopilot的投訴資料</a> <a href="https://www.bleepingcomputer.com/news/security/qbot-malware-abuses-windows-wordpad-exe-to-infect-devices/">惡意軟體QBot濫用Windows內建的記事本應用程式側載執行</a> <a href="https://arxiv.org/abs/2305.12784">研究人員揭露Hot Pixels攻擊手法，藉由偵測處理器溫度、功率變化竊取電腦瀏覽器資料</a> <a href="https://cofense.com/blog/summer-time-scams-the-return-of-vacation-request-phishing-emails/">假借旅遊休假名義的網路釣魚、BEC詐騙出現</a> <a href="https://www.bleepingcomputer.com/news/security/blackbyte-ransomware-claims-city-of-augusta-cyberattack/">美國喬治亞洲奧古斯塔市傳出遭勒索軟體BlackByte攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157069">【5月26日】模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備</a> <a href="https://www.ithome.com.tw/news/157039">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</a> <a href="https://www.ithome.com.tw/news/157021">【5月24日】研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險</a> </div></div></div>
2023/5/29 16:03作者周峻佑https://www.ithome.com.tw/news/157087
【資安日報】5月26日，模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 紅隊演練工具被駭客濫用的情況不斷發生，其中最常見的是Cobalt Strike，後來又有Brute Ratel C4（BRC4），以及<a href="https://www.ithome.com.tw/news/156930#geacon">採用Go語言開發的Geacon</a>，但這些工具主要都是針對IT網路環境而來。最近資安業者Mandiant揭露名為CosmicEnergy的惡意軟體，並指出該程式最初的用途，可能是針對工業控制環境進行紅隊演練的工具。 殭屍網路Mirai的攻擊行動也相當值得留意，其中的IZ1H9變種鎖定了光纖數據機、Wi-Fi無線路由器、上網行為事件記錄系統而來，值得留意的是，駭客特別針對了兆勤（Zyxel）光纖數據機2年前修補的漏洞下手。 D-Link上週修補了網路設備管理系統D-View 8的漏洞，其中有2個屬於重大層級，但引起眾人關注的是，該公司提供的新版程式並非正式版本，而是處於測試階段的版本，此舉將導致使用者面臨修補與否的選擇難題。 <h3>【攻擊與威脅】</h3> <a href="https://www.mandiant.com/resources/blog/cosmicenergy-ot-malware-russian-response">惡意軟體CosmicEnergy鎖定電力供應業者的工控系統而來</a> <a href="https://s4.itho.me/sites/default/files/images/cosmicenergy-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cosmicenergy-fig1.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露從2021年12月開始出沒的操作科技（OT）惡意軟體CosmicEnergy，此惡意程式專門針對歐洲、中東、亞洲的電力傳輸機構裡，符合IEC 60870-5-104（IEC-104）標準的遠端終端設備（RTU）下手，且與資料破壞軟體Industroyer有共通特徵。 攻擊者一旦成功入侵目標設備，就有可能藉由名為Piehop的工具，從MSSQL伺服器挖掘RTU設備的帳密，再利用惡意程式Lightwork下達開關命令。研究人員指出，CosmicEnergy起初很可能是用於紅隊演練，模擬來自俄羅斯IT業者Rostelecom-Solar的攻擊，現在可能變成俄羅斯駭客的作案工具，而對於電網系統造成威脅。 <a href="https://unit42.paloaltonetworks.com/mirai-variant-iz1h9/">殭屍網路Mirai變種IZ1H9鎖定上網設備、事件記錄分析系統漏洞而來</a> <a href="https://s4.itho.me/sites/default/files/images/word-image-128221-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-128221-2.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露殭屍網路Mirai變種IZ1H9，此惡意程式約自2021年11月出現，到了2023年4月，研究人員再度發現相關攻擊流量，駭客從特定的IP位址取得名為lb.sh的Shell指令碼下載程式，一旦執行，該程式會先刪除目標設備上的事件記錄檔案，並針對設備的硬體架構植入特定的殭屍網路機器人（Bot）。 值得留意的是，這次駭客針對的漏洞涵蓋不同網路設備與資安系統，例如，騰達（Tenda）G103數據機的命令注入漏洞CVE-2023-27076（CVSS風險評分9.8）、必聯（LB-Link）無線路由器的命令注入漏洞CVE-2023-26801（CVSS風險評分9.8）、神州數碼（DCN）DCBI-Netlog-LAB上網行為事件記錄系統的RCE漏洞CVE-2023-26802（CVSS風險評分9.8），還有<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-code-execution-and-denial-of-service-vulnerabilities-of-cpe">2020年12月兆勤（Zyxel）修補旗下多款光纖數據機的RCE漏洞（未有CVE編號、CVSS風險評分）</a>。 <a href="https://www.clearskysec.com/fata-morgana/">以色列物流、金融服務業者的網站遭到伊朗駭客TA456鎖定</a> 資安業者ClearSky揭露伊朗駭客組織TA456（亦稱Tortoiseshell、Crimson Sandstorm）的水坑式攻擊行動，駭客針對以色列航運、物流、金融服務等領域的業者網站下手，植入惡意JavaScript指令碼，收集使用者的作業系統語系、IP位址、螢幕解析度、存取網站的URL等系統資訊，至少有8個組織的網站遭受相關攻擊。 研究人員特別提及，這些網站逾半數（5個）使用主機代管業者uPress的服務，而該業者曾於2020年遭駭客組織Hackers of Savior盯上，數千個代管的以色列網站遭到破壞，採用該公司服務的網站很有可能成為駭客下手的目標。 <a href="https://research.checkpoint.com/2023/agrius-deploys-moneybird-in-targeted-attacks-against-israeli-organizations/">以色列組織遭到勒索軟體Moneybird攻擊</a> 資安業者Check Point揭露伊朗駭客組織Agrius的勒索軟體Moneybird攻擊行動，駭客先透過以色列組織面向網際網路的伺服器下手，透過其漏洞取得內部網路的存取權限，接著假借憑證檔案的名義挾帶名為ASPXSpy的Web Shell，並部署於受害組織，過程中駭客躲在ProtonVPN的節點後面執行。 然後，駭客利用多種開源工具，如：SoftPerfect Network Scanner、Plink、PuTTY、ProcDump、FileZilla，進行網路偵察、橫向移動、竊取帳密資料，以及洩露機密資料。最終攻擊者透過檔案共享服務下載勒索軟體，將電腦上特定的共用資料夾檔案加密，並留下勒索訊息。 研究人員指出，有別於這些駭客先前使用資料破壞軟體（Wiper），這次開始使用自行打造的新勒索軟體，突顯了該組織的開發實力。 <a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/buhti-ransomware">勒索軟體Buhti鎖定列印管理系統PaperCut的漏洞而來</a> 勒索軟體駭客組織Buhti（亦稱Blacktail）先是使用以Go語言打造的Linux勒索軟體發動攻擊，但如今他們將攻擊範圍擴及Windows電腦。 資安業者賽門鐵克揭露勒索軟體Buhti的最近動態，駭客利用洩露的LockBit 3.0（亦稱LockBit Black）開發工具，打造了Windows版勒索軟體，然後利用列印管理系統PaperCut的漏洞CVE-2023-27350入侵目標組織，於受害電腦部署Cobalt Strike、Meterpreter、Sliver、AnyDesk、ConnectWise等軟體，竊取帳密資料並進行橫向移動，搜括組織的機密檔案，最終執行勒索軟體並留下勒索訊息。 而對於Linux版勒索軟體Buhti，研究人員也有新的發現，該勒索軟體是使用勒索軟體Babuk原始碼打造而成。 <a href="https://blog.cyble.com/2023/05/25/obsidian-orb-ransomware-demands-gift-cards-as-payment/">勒索軟體Obsidian ORB要求受害者以禮物卡支付贖金</a> 在大部分的勒索軟體攻擊當中，駭客通常會要求受害者使用加密貨幣支付贖金，但現在也有駭客要求以其他方式付錢。資安業者Cyble揭露名為Obsidian ORB的勒索軟體，其特別之處就是駭客要求受害者使用禮物卡付款，這些禮物卡包含了Paysafe、Payday線上支付平臺的點數，也包含了Roblox、Steam等遊戲的點數。 而對於該勒索軟體的攻擊手段，研究人員指出，此勒索軟體僅會針對小於2 MB的檔案，同時利用RSA和AES演算法加密，但對於超過上述大小的檔案，駭客則是藉由寫入隨機資料來進行破壞。 <a href="https://cyber.ithome.com.tw/2023/session-page/2059">雲端服務業者Cloudflare在臺灣資安大會揭露2023第1季DDoS攻擊態勢，並針對DNS放大攻擊升溫的態勢提出警告</a> Cloudflare針對今年第1季的DDoS攻擊趨勢進行分析，並於本月舉行的2023臺灣資安大會公布進一步的觀察。Cloudflare解決方案工程師姜景懷指出，該季整體攻擊流量較前一季增加6%，但值得留意的是，10 Gbps至100 Gbps流量的攻擊增加比例最高，數量翻倍成長（增加126%），會出現這樣的情況，姜景懷認為很可能就是如此規模的流量，就足以影響大多數企業網站的營運。 其中最值得留意的現象，是意圖癱瘓DNS的DDoS攻擊出現大幅增加的狀況，而成為本季網路層DDoS攻擊比例最高的類型，占比接近三分之一（29.7%），姜景懷表示，臺灣也有政府機關傳出相關事故。排名第2、第3的是SYN洪水攻擊、UDP攻擊，它們均占有約21%的比例。 <h3>【漏洞與修補】</h3> <a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10332">D-Link修補網路管理系統的重大漏洞</a> 網路設備業者D-Link於5月17日針對旗下的網路設備管理系統D-View 8發布新版軟體，目的是修補ZDI去年底通報的漏洞。其中，最嚴重的是CVE-2023-32165、CVE-2023-32169，CVSS風險評分皆為9.8。 CVE-2023-32165為RCE漏洞，起因是在對於檔案進行作業之前，該系統對於使用者提供的路徑缺乏適當驗證，攻擊者藉此可取得最高權限來執行程式碼；CVE-2023-32169則是身分驗證繞過漏洞，起因是有特定類別的元件採用寫死的加密金鑰，而使得未經授權的攻擊者能竄改組態，或是植入惡意軟體。 值得留意的是，雖然該公司呼籲用戶應儘速更新軟體來緩解漏洞，但也提及他們提供的程式尚在測試階段，可能會有不穩定的情況。 <a href="https://salt.security/blog/a-new-oauth-vulnerability-that-may-impact-hundreds-of-online-services">應用程式框架Expo出現OAuth漏洞，恐導致帳號遭到接管</a> 資安業者Salt揭露跨平臺應用程式框架Expo的漏洞CVE-2023-28131，該漏洞出現於AuthSession重新導向代理伺服器服務，攻擊者一旦利用這項漏洞，就有機會劫持使用者存取的應用程式或網站帳號，攻擊者可透過電子郵件或簡訊等方式，傳送惡意連結，進而竊取受害者個資或信用卡資料，甚至進行詐騙。 由於此服務讓使用者可利用臉書、推特、Google等帳號進行OAuth身分驗證，攻擊者也可能假冒這類社群網站或是網站服務提供者，進行其他攻擊，CVSS風險評分為9.6。 對此，Expo發布了修補程式，並強調尚未發現漏洞被用於攻擊行動的跡象。Expo維護團隊亦呼籲應用程式開發人員，最好直接與服務供應商連結，不要透過上述的中介網站進行使用者身分驗證。 <h3>【其他新聞】</h3> <a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/microsoft-encrypted-restricted-permission-messages-deliver-phishing/">駭客挾持Microsoft 365帳號並濫用RPMSG附件竊密</a> <a href="http://blog.talosintelligence.com/mercenary-intellexa-predator/">安卓間諜軟體Predator鎖定媒體、政治人物、Meta高階主管而來</a> <a href="https://www.sentinelone.com/labs/operation-magalenha-long-running-campaign-pursues-portuguese-credentials-and-pii/">30個葡萄牙政府機關、金融機構遭巴西駭客鎖定</a> <a href="https://www.akamai.com/blog/security-research/dark-frost-botnet-unexpected-author-profile">殭屍網路Dark Fros鎖定電玩產業而來</a> <a href="https://www.sonarsource.com/blog/pimcore-one-click-two-security-vulnerabilities/">PHP軟體管理平臺Pimcore出現漏洞，若不修補恐被用於執行任意程式碼</a> <a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&is_history=0&pages=0&sn_f=48994">國家通訊傳播委員會網站傳出洩漏報關民眾個資</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157039">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</a> <a href="https://www.ithome.com.tw/news/157021">【5月24日】研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險</a> <a href="https://www.ithome.com.tw/news/157011">【5月23日】勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測</a> </div></div></div>
2023/5/26 16:19作者周峻佑https://www.ithome.com.tw/news/157069
支援多種MFA，Awingu提供安全存取程式與檔案的網站入口
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/awingu-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為期超過三年的COVID-19疫情，居家辦公與混合辦公崛起，不僅支援多人協同作業的雲端服務走紅，也替提供遠端存取服務的IT應用帶來龐大商機，為此，這幾年以來，臺灣有些代理商陸續引進新的遠端安全存取解決方案，例如，去年4月，我們報導由瀚錸科技代理的remote.it，現在要介紹的是另一款由台灣二版代理的Awingu。 其開發商Awingu是在2011年成立，總部在比利時的根特市，<a href="https://www.alludo.com/en/newsroom/press-releases/20220613-corel-acquires-awingu/?_gl=1*71xyrf*_ga*NzE4NjUwOTE2LjE2ODQ1MDg3MDk.*_ga_CEVYC7924W*MTY4NDUwODcwOS4xLjEuMTY4NDUwOTg4OS4yMC4wLjA.">2022年6月Core公司將他們買下</a>，預計將其併入2018年買下的Parallels品牌——該公司最知名的產品是個人電腦虛擬化軟體Parallels Desktop，也擁有支援多人遠端桌面存取服務的Remote Application Server（RAS），Core希望將Awingu結合RAS，提供可從任何裝置、隨時隨地皆可安全進行工作的單一登入存取平臺，並且能涵蓋傳統與雲端原生應用程式，以及檔案的存取。而在這一年的9月，Corel公司宣布改名為Alludo（可念為All You Do），Parallels名列此公司旗下的10大品牌，下轄Awingu、Parallels RAS、Parallels Desktop，到了12月，Awingu宣布推出最新版5.4。 今年3月，台灣二版透過線上研討會形式正式對臺灣市場介紹Awingu，我們也得以一窺這套解決方案的特色。基本上，Awingu有點像VMware Workspace ONE的前身Airwatch，但它不涉及行動裝置管理（MDM）、統一端點管理（UEM）等使用者端設備管理，而是偏重在應用程式與檔案的傳遞／交付（delivery）。 <a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App sessiion.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App%20sessiion.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg" style="width: 600px;" /></a> 就操作方式而言，Awingu更像僅聚焦在應用程式虛擬化（Application Virtualization）或遠端存取應用程式功能（Remote Application）的這類產品或雲端服務，像是：VMware Horizon Apps、微軟Azurer Remote App（2017年8月終止服務），或是前身為Citrix Virtual Apps and Desktops service的Citrix DaaS。 <img alt="" src="https://s4.itho.me/sites/default/files/images/awingu-chart.jpg" style="width: 600px;" /> 而在系統建置的部分，比起上述類型的軟體型態解決方案，Awingu僅需在公司內部網路或公有雲的私有雲內部，架設虛擬應用設備作為轉接連線的閘道，員工僅需透過個人電腦的瀏覽器存取單一網站入口，即可透過RDP、CIFS、LDAP等常見的標準通訊協定，安全地連至運作在這些環境的各種新舊型應用系統與檔案儲存服務進行存取，而不需仰賴傳統VPN這類設定較為複雜的加密網路通道服務，或在個人電腦額外安裝個人端加密連線軟體。 <a href="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg" style="width: 298px;" /></a> 在網路連線串流的負載能力上，一臺Awingu虛擬應用設備最多可同時承擔500個RDP連線階段（至少需配置8顆虛擬處理器與8GB記憶體的資源），若需要支撐更大量的連線存取需求，原廠建議可設置3臺虛擬應用設備來處理。 若需承擔超過100位的重度負載用戶同時上線存取——每人開啟3個RDP串流連線、10個連至反向代理的網站應用程式存取活動，以及每小時處理多個檔案，此時，可設置多臺Awingu虛擬應用設備節點組成叢集，以便分攤工作（原廠建議單一叢集的節點最好不要超過8臺），而在多臺節點並行的狀態下，會區分為3種角色：前端（負責RDP與檔案存取活動）、後端（負責稽核）、資料庫（存放Awingu組態、稽核記錄以外的資料）。 如果要承擔超過200位用戶同時上線或為了具備高可靠性（HA）預防此項服務停擺，企業至少需建置3臺節點與外部資料庫，此時也能設置外部負載平衡器。 在頻寬用量上，台灣二版表示，相較於市面上其他遠端應用程式串流存取產品，Awingu算是相當輕量，每個應用程式存取連線需要80 Kbps到100 Kbps（上傳與下載），存取延遲可低於350毫秒，甚至能低於60毫秒。 相較於現行的各種遠端存取應用程式與檔案服務，Awingu最大特色是同時提供單一登入整合（SSO），以及多因素身分驗證（MFA）。以前者而言，可整合AD、LDAP，支援的身分來源（IDP），包含ADFS、Azure AD、Google ID等，它們都是支援SAML v2或OpenID Connect。若使用SAML來驗證，此時還可通過上述基礎IDP驗證後，再進行中介IDP的驗證，例如能搭配另一家資安廠商Opswat的產品來查驗身分，以策安全。 <a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg" style="width: 600px;" /></a> 而在MFA的部分，Awingu可支援雜湊訊息認證碼、基於計數器而更動認證因子的動態密碼（HMAC-based One-time Password，HOTP），或基於時間而成的動態密碼（Time-based One-time Password，TOTP）。 目前可提供這類身分認證的軟體工具選擇不少，以手機App而言，最知名的有Microsoft Authenticator、Google Authenticator，資安廠商Sophos、雲端通訊服務業者Twilio也提供這類軟體，前者有Sophos Authenticator，後者推出可安裝在Windows、Linux、macOS的Authy，這些均可用於Awingu。 除此之外，Awingu也支援智慧卡，目前已測試通過4種：比利時電子身分證（eID）、荷蘭Dutch UZI pass、義大利InfoCert Business Key、歐洲Isabel SmartCard。 <a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg" style="width: 298px;" /></a> 而在能夠進行遠端存取的應用程式上，Awingu目前支援串流及網站等兩種類型，前者可囊括RDP應用程式、桌面應用程式（非指令型應用程式）、遠端應用程式（RDP協定的延伸），後者則有網站應用程式與套用反向代理的網站應用程式。管理者若要將這些應用程式納入Awingu，可手動透過網頁介面逐一設定，或匯入CSV檔而能一次設定多個應用程式。若要自動安裝、設定、管理，Awingu也提供REST API。 關於一般使用者的遠端存取操作與管理功能，Awing還提供多個實體螢幕對應多個瀏覽器視窗的配置、應用程式連線階段列印（虛擬印表機）、應用程式連線階段畫面共享，以及使用全程的稽核記錄（Application Recording，錄製檔案可存放在Awingu虛擬應用設備的本機硬碟，或是管理者定義的後端伺服器）。 在稽核記錄的收集上，Awingu可涵蓋的範圍相當廣泛，包括：使用者、應用程式、網站應用程式、共享應用程式、身分來源等連線階段，應用程式閘道、檔案存取動作（透過Awingu網站入口操作的檔案），以及各種異常活動。 <a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App sessions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App%20sessions.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared App session.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared%20App%20session.jpg" style="width: 298px;" /></a> 產品資訊 Awingu 5.4 ●代理商：台灣二版 ●建議售價：同時上線帳號1年訂閱授權，最低需購買20個授權，每個授權為4,262元 ●建置方式：需設置虛擬應用設備，系統需求為2顆vCPU、4 GB記憶體、80 GB硬碟空間 ●虛擬應用設備支援平臺：微軟Hyper-V 2016與2019、VMware ESXi 6.5至7.0、KVM、Citrix Hypervisor 8.2、AWS Amazon EC2、微軟Azure、Google Compute Engine ●支援資料庫系統：微軟SQL Server 2016、2017、2019，PostgreSQL 9.4以後版本 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/5/19 23:10作者李宗翰https://www.ithome.com.tw/review/155887
【資安日報】5月17日，駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為了迴避資安系統的偵測，過往駭客大肆利用滲透測試工具Cobalt Strike，後來出現改用Brute Ratel C4（BRC4）現象，而最近這樣的情況又出現了新的變化，研究人員發現利用另一款名為Geacon滲透測試工具的攻擊行動升溫，而這套軟體是有人透過Go語言改寫Cobalt Strike打造而成。 駭客利用外流的勒索軟體Babuk原始碼打造自己的攻擊工具，這樣的情況也越來越常見，繼先前有研究人員指出已有10個勒索軟體家族藉此發展針對VMware ESXi而來的程式，又有名為RA Group駭客組織也如法砲製，打造自己的勒索軟體，並在1個星期裡就入侵了4個組織。 針對家用路由器而來的攻擊行動，也相當值得我們留意。有研究人員揭露針對TP-Link路由器的攻擊行動，並指出駭客所採用的後門程式Horse Shell，也可能拿來感染其他廠牌的路由器。 <h3>【攻擊與威脅】</h3> <a href="https://www.sentinelone.com/blog/geacon-brings-cobalt-strike-capabilities-to-macos-threat-actors/">以Go語言打造的Cobalt Strike衍生版本遭到濫用，被用於攻擊Mac電腦</a> <a href="https://s4.itho.me/sites/default/files/images/Geacon_3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Geacon_3.jpg" style="width: 300px; float: right;" /></a>有開發人員透過Go語言重新打造滲透測試工具Cobalt Strike的Beacon元件，並將其命名為Geacon，但在開發者提供免費版本（Geacon Plus）後，傳出駭客開始將其用於攻擊Mac電腦。資安業者SentinelOne於惡意軟體分析平臺VirusTotal上，發現有人在4月5日及11日先後上傳了疑似被用於攻擊行動的惡意Geacon檔案。 其中一個是名為Xu Yiqing's Resume_20230320.app的檔案，此為AppleScript指令碼打造的執行檔，一旦使用者開啟，此惡意酬載就會開啟履歷表PDF文件來吸引受害者注意，接著從C2伺服器下載Geacon Plus，然後執行後續的竊密行動，或是下載其他的惡意酬載。另一起攻擊行動裡，駭客假借提供中國業者網宿科技的遠距辦公程式SecureLink（SecureLink.app、SecureLink_Client），一旦受害者依照指示執行，此惡意程式就會要求使用者提供視訊鏡頭、麥克風、通訊錄、照片、系統通知的存取權限，在部分情況甚至會要求開放系統管理員的權限。 研究人員指出，雖然許多組織在紅隊演練會採用Geacon，但他們看到最近幾個月此程式被用於攻擊行動的情況顯著增加，推測駭客很可能開始利用公開的Geacon分支版本，或是以此為基礎打造自有版本來發動攻擊。 <a href="https://blog.talosintelligence.com/ra-group-ransomware/">駭客組織RA Group利用Babuk原始碼打造勒索軟體，鎖定美國與南韓組織</a> 思科Talos威脅情報團隊揭露自今年4月下旬開始出沒的勒索軟體駭客組織RA Group，這些駭客已至少對於3個美國組織及1個南韓組織出手，這些受害組織涵蓋了保險、製造、製藥、財富管理業者。值得留意的是，這些駭客也利用了公開的勒索軟體Babuk程式碼，打造了自己的攻擊工具，若是成功加密受害組織的電腦檔案，該組織的勒索軟體會留下勒索訊息，要求受害組織3天內與駭客聯繫，否則就會洩露竊得的資料。 與其他勒索軟體相同的是，此惡意軟體在加密檔案的過程裡，會清除資源回收筒檔案，以及磁碟陰影備份（Volume Shadow Copy）的資料，但不同的是，駭客不光是加密電腦裡的檔案，也會列舉網路上所有的共用資料夾，加密這些網路資源裡的檔案。 <a href="https://research.checkpoint.com/2023/the-dragon-who-sold-his-camaro-analyzing-custom-router-implant/">歐盟外交機關遭到中國駭客鎖定，在TP-Link路由器植入惡意程式</a> <a href="https://s4.itho.me/sites/default/files/images/Camaro-Dragon-Fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Camaro-Dragon-Fig1.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客組織Camaro Dragon的攻擊行動，駭客自2023年1月，鎖定歐洲政府的外交官員而來，攻擊TP-Link家用路由器，部署帶有後門程式Horse Shell的惡意韌體，進而完全控制路由器，例如執行Shell命令、上傳或下載檔案，或是將其做為SOCKS代理伺服器，來中繼特定設備的網路連線。 而對於初始入侵的手段，駭客疑似透過漏洞或是暴力破解入侵目標路由器，進而取得管理介面的管理員權限，並竄改路由器的韌體。 值得留意的是，這起攻擊行動專門針對家用網路而來，而有可能讓攻擊流量因來自家用網路而被視為無害；再者，上述的後門程式不需依賴TP-Link的特定元件，研究人員認為駭客也有可能將其用於攻擊其他廠牌的路由器。 <a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lancefly-merdoor-zxshell-custom-backdoor">政府機關與航空業者遭駭客組織Lancefly鎖定，散布後門程式Merdoor</a> 資安業者賽門鐵克揭露駭客組織Lancefly的攻擊行動，該組織自2018年以來，利用名為MerDoor的後門程式攻擊東南亞、南亞國家的政府機關、航空業者、電信業者。這些駭客疑似透過網路釣魚郵件、暴力破解SSH連線帳密、找尋曝露於網際網路的伺服器漏洞等方式，來進行未經授權的存取。 一旦成功入侵受害組織，駭客就會透過DLL側載的方式，將後門程式注入perfhost.exe或svchost.exe的處理程序，進而規避資安系統的偵測。 值得留意的是，除了上述的Windows內建元件，駭客也可能濫用舊版的Avast、McAfee、NortonLifeLock、Sophos防毒軟體元件，或是Chrome瀏覽器元件來執行此後門程式。 <a href="https://www.fortinet.com/blog/threat-research/more-supply-chain-attacks-via-malicious-python-packages">逾30款惡意PyPI套件被用於發動供應鏈攻擊</a> 資安業者Fortinet於今年3月下旬至4月，找到31個帶有攻擊意圖的PyPI套件，這些套件約有三分之一會執行竊資軟體（Infostealer），從開發環境的電腦盜取敏感資料，其次另有約四分之一的套件，藉由Webhook機制來偷取受害電腦的Cookie、帳號登入資訊、以及加密貨幣錢包的帳密資料。 值得留意的是，當中套件也有執行Python指令碼後，會將受害者帶往含有惡意程式碼的URL。 <a href="https://blog.checkpoint.com/research/global-cyberattacks-continue-to-rise/">2023年第1季臺灣遭網路攻擊次數全球最多</a> 資安業者Check Point揭露2023年第1季的網路威脅態勢，全球組織平均1週遭到1,248次網路攻擊，較去年同期增加7%，其中成長幅度最高的是亞太地區，平均1週遭到1,835次攻擊，較去年增加16%。但值得留意的是，臺灣組織1週平均遭到3,250次攻擊，是全球攻擊最為頻繁的國家，為整體平均的2.6倍。 而從各產業遭受攻擊的情況來看，教育與研究機構最為嚴重，各組織平均1週遭到2,507次攻擊，原因與許多機構轉換為線上教學後，難以確保其網路架構的安全；政府、軍事機構位居第2，1週平均遭到1,725次攻擊，其次為醫療保健機構的1,684次。值得留意的是，增加幅度最大的是零售業，相較於去年同期增加了49%。 <h3>【漏洞與修補】</h3> <a href="https://cyberdanube.com/en/multiple-vulnerabilities-in-advantech-eki-15xx-series/">研華串行設備伺服器存在漏洞，可被用於命令注入攻擊、導致記憶體溢位</a> 資安業者CyberDanube在研華科技旗下的工業自動化設備EKI系列串行設備伺服器（Serial Device Server）上，發現CVE-2023-2573、CVE-2023-2574、CVE-2023-2575等漏洞，這些弱點涉及在通過身分驗證的命令注入，以及記憶體緩衝區溢位。 一旦攻擊者利用上述漏洞，就有可能在作業系統層級執行任意命令，影響EKI-1524-CE、EKI-1522、EKI-1521系列的機種，CVSS風險評分皆為8.8。研華科技獲報後，發布了1.24版韌體修補上述漏洞。 <a href="https://patchstack.com/articles/critical-privilege-escalation-in-essential-addons-for-elementor-plugin-affecting-1-million-sites/">WordPress外掛程式Elementor漏洞可讓攻擊者挾持管理員帳號，百萬網站恐曝險</a> 資安業者Patchstack揭露名為Essential Addons for Elementor的WordPress外掛程式漏洞CVE-2023-32243，攻擊者可用於提升權限，且無須通過身分驗證就能利用，從而使用網站管理員權限遠端發動攻擊。 研究人員指出，攻擊者只要知道使用者的帳號名稱，就能藉此重設其密碼，而有可能藉此重設管理員的密碼並存取這類帳號，這項漏洞發生的原因，在於此外掛程式的密碼重設功能會直接變更指定用戶的密碼，並未驗證特定的密碼重設金鑰所致，影響該外掛程式5.4.0至5.7.1版的免費用戶，CVSS風險評分達到9.8，超過100萬網站可能曝險。開發團隊WPDeveloper獲報後，發布5.7.2版予以修補。 <h3>【其他新聞】</h3> <a href="https://www.mandiant.com/resources/blog/sim-swapping-abuse-azure-serial">部署於Azure的VM遭到鎖定，駭客濫用主控臺植入遠端管理工具進行控制</a> <a href="https://www.crowdstrike.com/blog/hypervisor-jackpotting-lack-of-antivirus-support-opens-the-door-to-adversaries/">勒索軟體MichaelKors針對Linux及VMware虛擬化平臺而來</a> <a href="https://asec.ahnlab.com/en/52479/">惡意軟體CLR SqlShell針對微軟SQL Server下手</a> <a href="https://www.securityweek.com/organizations-informed-of-over-a-dozen-vulnerabilities-in-rockwell-automation-products/">工業自動化業者Rockwell Automation修補旗下產品重大漏洞</a> <a href="https://blog.cloudflare.com/introducing-constellation/">為防範使用AI過程可能曝露智慧財產或是機密，Cloudflare提供相關保護措施</a> <a href="https://www.ithome.com.tw/news/156754">證照仍是學習資安基本功的主要管道，有專家打造「資安證照地圖」</a> <a href="https://www.ithome.com.tw/news/156756">用證照證明自己實力之餘，更應將證照視為督促學習的最大動力</a> <a href="https://www.ithome.com.tw/news/156755">打破證照誤解與迷思，資安專家帶你釐清資安證照的意義</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a> <a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a> <a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a> </div></div></div>
2023/5/17 17:29作者周峻佑https://www.ithome.com.tw/news/156930
證照仍是學習資安基本功的主要管道，有專家打造「資安證照地圖」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 對於從事資安的工作者而言，取得相關證照對自己的生涯有幫助，而從企業已比往年更需要資安人手的態勢來看，除了設法突顯自己具備足夠的實務經驗，我們還能如何證明自己？通過相關考試、拿到證照是一種方法。 有些資安專家沒有證照，卻能透過先前的職場工作經歷展現自身能力，相反地，若是求職者無法輕易展現自己的能力、成績，或是徵才者本身無法鑑別其學經歷是否合適，是否取得相關的證照可能就是最容易判斷彼此需求的做法，同時也是公司對員工進行相關培訓的一種能力養成與驗證體系。 當然，有了資安證照，並不代表有足夠經驗而能處理複雜資安問題，但是，透過親身經歷與職內訓練學資安，雖然很務實，但有可能從這些經驗當中學習到片面、似是而非，甚至是錯誤的觀念，這也是為何需要結合系統化學習過程的資安證照，對於從事資安的人員獲取完整的基本知識及正確的管理觀念，會有很大的幫助。 對於資安從業人員而言，當前我們除了可以透過資安人才技能框架，盤點學習技能方向，也可善用發展已久的既有資安證照體系，從廣泛了解各個領域的證照著手，在過程中依序取得或驗證具備該方面的知識。 <h2>資安相關證照多元，國際間有資安專家做出詳細盤點</h2> 對於資安證照的發展與現況，大家可能好奇，是否有相關的盤點，我們看到國際間有資安專家做出這方面的整理，形成一套可供外界了解不同證照的定位的「資安證照地圖」（Security Certification Roadmap），能作為一種借鑑。 簡單來說，關於這個資安證照地圖，最早是由Drackar在2014年製作、發布，但由於後續沒有繼續發展，因此由資安專家Paul Jerimy在2018年接手。 在2019年，他先是發布了Security Certification Progression Chart V5.2版，將證照技能類別畫分為11大類，包括：資安管理、數位鑑識、惡意程式分析、事件應變、資安稽核、漏洞成功利用開發者、滲透測試、入侵偵測、ICS安全、系統管理，以及網路管理，並持續將相關證照納入其中；2019年底年又有新的調整，推出6.1版，將技能類別簡化為6大類，包含安全實施（網路安全、Cisco、Windows、Linux、Cloud/SysOps、ICS/OT）、安全架構、安全管理、安全分析、防禦操作，以及攻擊操作。 到了2022年，Paul Jerimy在收到多方回饋後，新建構出資安證照路線圖。將證照技能類別分出8大類，包括：通訊與網路安全、身分識別與存取管理、安全架構與工程（含Cloud/SysOps、ICS/IoT）、資產安全、安全與風險管理（含GRC）、安全評估與測試、軟體安全，以及安全維運（含數位鑑識、事件處理、滲透測試、漏洞成功利用）。截至2023年1月為止，這份資安證照地圖已經納入473項資安證照。 在這些變化之下，除了注意到資安證照的數量可能比大家想像的還多，而從資安證照分類方式的演進與變化，也讓我們進一步思考這些證照的定位。 為了讓大家對於資安證照的價值與潮流，有更好的認識，我們這次詢問兩位有業界經驗的資安專家，透過他們的看法與經驗，帶領我們更深入了解資安證照的重要性及趨勢。 <h2>Paul Jerimy設計Security Certification Roadmap V7.0（2020） </h2> <a href="https://s4.itho.me/sites/default/files/images/（網站主圖）資安人才能力證明主文_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%83%BD%E5%8A%9B%E8%AD%89%E6%98%8E%E4%B8%BB%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a> 圖片來源／Paul Jerimy（點擊圖片可放大） <h2>V6.1 (2019.11)</h2> <a href="https://s4.itho.me/sites/default/files/images/（圖2_5）Security Certification Progression Chart v6_1_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962_5%EF%BC%89Security%20Certification%20Progression%20Chart%20v6_1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a> 圖片來源／Paul Jerimy <h2>V5.2 (2019)</h2> <a href="https://s4.itho.me/sites/default/files/images/（圖2）Security Certification Progression Chart v5_2_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Security%20Certification%20Progression%20Chart%20v5_2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a> 本文出自《CYBER TALENT 臺灣資安人才專刊》<img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /> 圖片來源／Paul Jerimy </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156754
【資安日報】5月16日，財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 公部門提供給企業使用的系統當中，不僅使用共通的預設密碼，而且這還是組弱密碼！財政部傳出在電子發票平臺上提供給企業的帳號裡，帳號名稱是該公司的統一編號，預設密碼是極為容易猜中的弱密碼，一旦任何人嘗試以此密碼搭配公司的統編，就有可能檢視該公司的發票資料，由於公司統編相當容易找到，這樣的帳密形同公開資料。經本週2家媒體報導後，財政部於今日表示，他們已緩解上述情況。 繼國光客運傳出資料外洩事故後，又有客運業者遭到攻擊。根據三立新聞臺、自由時報、中央社等國內媒體報導，統聯客運上週疑似個資外洩，導致乘客接到詐騙電話，該公司暫停線上訂票系統、手機App訂票的服務。主管機關交通部公路總局也證實此事。 針對個資法修法的部分，最近也有了新的進展。今天立法院三讀通過部分的新條文，其中主要是針對專責機關、裁罰金額與方式有了明確的新規範。 <h3>【攻擊與威脅】</h3> <a href="http://www.peoplenews.tw/articles/27c82e35c1">財政部電子發票平臺企業帳號竟採用共通的預設密碼，恐曝露上市櫃公司營業資料</a> 根據民報的報導，有人在財政部的電子發票平臺（E-Invoice）上，發現提供給公司行號的初始帳密資料中，竟採用了相同的弱密碼，而有很多企業與組織的帳號能透過這組密碼存取，其中一個受到影響的是國家中山科學研究院（中科院）。 而對於此事的影響範圍，<a href="https://www.readr.tw/post/2943">另一家網路媒體READr指出</a>，約有7%上市櫃公司的營業資料可能曝險。對此，<a href="https://www.mof.gov.tw/singlehtml/384fb3077bb349ea973e7fc6f13b6974?cntId=1cd17c988238495eb769f9034518b5c5">財政部約於16日上午11時發出公告</a>，表示此電子發票平臺的密碼弱點已改善完成，並強調中科院的電子發票主要是行政支出及紀念品，無涉及國防採購。 <a href="https://www.setn.com/News.aspx?NewsID=1295437">統聯客運傳出資料外洩，關閉網站及App訂票功能</a> <a href="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg" style="width: 300px; float: right;" /></a><a href="https://www.facebook.com/ubus.tw/posts/pfbid02VDZ8d5itqWDAozSFcyC6PiEu6qi2UhxkPESeTNDBepYpuhzMUjGNFtm66A6DVKqxl">統聯客運於5月12日下午5時23分於臉書發出公告</a>，要乘客提防詐騙電話。隨後有不少旅客留言表示接到這類電話，對方對於他們訂票的時間、張數皆瞭若指掌，且有民眾已受騙上當，揚言要向統聯求償。<a href="https://www.facebook.com/ubus.tw/posts/pfbid0dGyZNCAfNF1yQgryQu7oHhRApsSEfT4Qhcv6TmpuYawj6FsecwvpRksq8SMAnWoil">後來該公司約於半小時後再度表示</a>，他們的網站與購票App進行系統維護，要求乘客依照指示臨櫃取票，或是於4大超商付款因應。 對此，統聯客運於15日表示，他們已協請資安人員進行初步鑑識，預計2天後會有初步結果；主管機關交通部公路總局也證實此事，並透露統聯客運接獲乘客通報自己收到詐騙訊息後，暫時關閉網站購票及App訂取票的功能，來防止災害擴大。 不過，究竟有多少乘客個資遭到外洩？統聯客運、公路總局皆未做出說明。 <a href="https://www.ithome.com.tw/news/156849">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</a> <a href="https://s4.itho.me/sites/default/files/images/838088.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/838088.jpg" style="width: 300px; float: right;" /></a>趨勢科技資深威脅研究人員CH Lei於臺灣資安大會解析駭客組織Taidoor（亦稱Earth Aughisky、臺門）的背景及常見攻擊手法。此組織成立時間早於2007年，高達9成攻擊活動針對臺灣，當中約有6成是攻打政府單位，其餘涵蓋通訊、製造、重工業、科技業、交通、醫療等產業，自2017年駭客將攻擊範圍擴及日本。 值得留意的是，該組織自行開發且未與其他駭客組織分享的惡意軟體，就有12個家族之多，可見其實力極為強大。這些駭客一旦攻擊成功，都會造成大範圍的汙染，植入的後門難以完全根除。 研究人員指出，這些駭客在各個攻擊階段會利用不同的後門程式，一旦入侵受害組織，駭客就會更換名為Taleret的工具進行長期控制。此後門程式的特色在於，駭客將C2中繼站的配置加密並埋藏於部落格文章，待需要連線才去解析，資安人員若只針對受害裝置進行調查，就有可能找不到中繼站的設定。 <a href="https://www.ithome.com.tw/news/156879">臺科大資工系教授呼籲使用開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊</a> 資安署副署長兼臺科大資工系教授鄭欣明指出，開源軟體降低實作5G網路的門檻，讓任何人都可以建置此種網路環境，因此，駭客也能藉由開源軟體打造惡意基地臺，假冒合法基地臺發動攻擊。 他帶領的研究團隊利用開源軟體打造5G NSA網路及專網，驗證其中存在幾項資安隱憂，例如，在5G NSA網路下，駭客能運用開源軟體打造惡意基地臺，追蹤特定對象，發送偽造的簡訊或國家級警報，或是在O-RAN環境，上傳惡意xApp至靠近前端的元件，耗用網路資源達到癱瘓網路目的。 由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以軟體定義無線電技術（SDR）打造的基地臺，穩定度無法與一般基地臺相比，但鄭欣明認為，SDR技術使得偽基地臺攻擊手法的實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。 <a href="https://www.mirrormedia.mg/story/20230509inv003/">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</a> 臺灣科技大廠台達電與電力設備業者飛宏科技布局電動車充電樁市場多年，但傳出曾於2家公司任職的高階主管竊取其充電系統關鍵機密文件，帶槍投靠中國公司。 根據鏡週刊的報導，飛宏察覺自行研發的充電系統關鍵機密文件遭竊並向臺北市調處報案，調查官根據IP位址找到該公司一位員工的住家，然後發現飛宏外流的機密資料，並發現此人曾以即時通訊軟體微信，將飛宏安規部門最新的充電樁法規資料傳給前上司，而揪出主謀，2021年11月桃園地檢署帶回這位主管偵辦。 經過他們的追查，不只飛宏的營業秘密外洩，這位主管先前任職於台達電時，亦將該公司「特斯拉壁掛式交流充電樁」專案線路設計資料機密檔案上傳至Google雲端硬碟。檢方清查發現，這些外流檔案中包含特斯拉充電樁的設計數據，恐流入中國TCL通力電子公司，大幅縮短中國與我國研發技術的差距，影響臺灣相關產業發展。 針對此事，<a href="https://www.chinatimes.com/newspapers/20230511000149-260202">台達電、飛宏也做出回應</a>。台達電表示外流資料為舊世代產品機密，對營運尚無重大影響；飛宏則表示他們是在資料外流前就主動報案，對於財務、業務沒有影響。 <a href="https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-sentenced-six-years-prison-stealing-confidential">監守自盜並向老闆勒索，Ubiquiti開發人員被判刑6年</a> 美國網路設備製造商Ubiquiti開發人員Nickolas Sharp，自2020年底竊取大量公司機密資料，並於2021年初假冒駭客的身分宣稱找到系統漏洞，向老闆勒索50個比特幣，被警方盯上後還匿名向媒體謊稱Ubiquiti遭到駭客入侵，導致該公司股價在2天大跌20%，市值蒸發了40億美元。 在Nickolas Sharp坦承犯案之後，美國法院於今年5月10日做出判決，這名Ubiquiti前員工因傳輸程式至受保護的電腦上，並故意造成損害、電信詐欺，且對美國聯邦調查局（FBI）說謊，將被處以6年徒刑，並必須賠償159萬美元。 <h3>【資安防禦措施】</h3> <a href="https://www.cna.com.tw/news/aipl/202305160037.aspx">立法院三讀通過個資法修正條文，明訂主管機關、非公務機關個資外洩最高可罰1,500萬元</a> 5月16日立法院三讀通過個人資料保護法的部分條文，當中明確指定「個人資料保護委員會」為個資法主管機關，且為獨立機關，籌備處預計於今年8月成立，在正式掛牌前，個人資料保護委員會須送交組織法草案交由立法院審查。 本次修法的另一個重點，在於針對非公務機關的罰則調整，若保有個人資料檔案且未採行適當之安全措施，導致個人資料被竊取、竄改、毀損、滅失或洩漏，將處理新臺幣2萬元以上、200萬元以下罰鍰，並限期改正；若限期未改善或情節重大，將處以15萬元以上、1500萬元以下罰鍰；屆期未改正者，採按次處罰。 <h3>【其他新聞】</h3> <a href="https://openssf.org/press-release/2023/05/10/openssf-welcomes-new-members-veteran-cybersecurity-expert-as-general-manager-and-new-funding/">OpenSSF獲微軟、Google挹注500萬美元強化開源軟體安全</a> <a href="https://www.bleepingcomputer.com/news/security/virustotal-ai-code-analysis-expands-windows-linux-script-support/">惡意軟體分析平臺VirusTotal為AI分析機制提供更多指令碼的支援</a> <a href="https://blog.google/technology/safety-security/online-safety-features-updates-google-io-2023/">Google宣布旗下服務的新安全及隱私保護功能</a> <a href="https://www.inquirer.com/news/philadelphia/philadelphia-inquirer-hack-cyber-disruption-20230514.html">費城詢問報遭到網路攻擊，報紙暫停出刊</a> <a href="https://www.securonix.com/blog/securonix-threat-labs-security-meme4chan-advisory/">Follina漏洞攻擊行動再度出現，這次被用於散布木馬程式Xworm</a> <a href="https://www.ithome.com.tw/news/156897">打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a> <a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a> <a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a> </div></div></div>
2023/5/16 17:18作者周峻佑https://www.ithome.com.tw/news/156905
【資安日報】5月15日，誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 臺灣網路商城個資外洩事件頻傳，伴隨而來的是各式各樣的詐騙事故，但如今這些流出的購物記錄不只被駭客用於騙錢，還出現了認知作戰攻擊。有名社會運動人士曾在誠品網站購書，結果上週末接到冒充該公司進行市調的電話。但罕見的是，對方並非宣稱扣款錯誤等理由進行金融詐騙，而是不斷宣傳與表達「中國會武力統一臺灣」的主張。 豐田汽車再傳資安事故！這次是雲端服務配置不當的情況，而且，這些資料竟曝露7至10年之久。而這並非該公司因組態配置不當惹禍──2022年10月，<a href="https://www.ithome.com.tw/news/153565">他們表示因GitHub的帳密資料曝光</a>，導致近30萬名行動應用程式T-Connect用戶被公開。 與列印管理系統PaperCut有關的漏洞攻擊行動也相當值得留意，繼勒索軟體駭客Clop、LockBit陸續濫用這個弱點，現在也傳出伊朗駭客APT35、Muddywater，以及勒索軟體駭客Bl00dy也都著手發起相關的攻擊。 <h3>【攻擊與威脅】</h3> <a href="https://news.ltn.com.tw/news/politics/paper/1582972">有人在誠品網路書店買書後，接到宣傳統戰資訊的市調電話，疑中國將其用於對臺民眾進行心理戰</a> <a href="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg" style="width: 300px; float: right;" /></a>誠品個資外洩事故不時傳出，該公司亦被內政部警政署刑事警察局長期被列為高風險賣場，但如今相關個資疑似被用於中國統戰宣傳。 <a href="https://www.facebook.com/Statebuilding.tw/posts/pfbid02JY7bvKE7HRWJmnnppewPqgDoFvy3DcHuhfnQ1a1BKy6vx5Kr8YAUSA1RaAU8aoLsl">台灣基進黨於5月14日召開記者會</a>，原因是台灣佇遮計畫副執行秘書楊欣慈於今年2月購入「阿共打來怎麼辦」一書，結果於5月13日接到自稱是誠品書店人員的回訪市調電話，但對方不斷逼問讀書心得，強調此書內容極為敏感、不恰當，並恫嚇「中國必然武統」、「中國軍事實力很強，臺灣絕對不可能戰勝」、「美國不會幫忙」等。雖然對方強調自己是臺灣人，但口音、用語明顯來自中國，楊欣慈認為，這類電話很可能是相當有組織性的行動，企圖左右臺灣人的想法，<a href="https://www.facebook.com/iunn.him.tsu/posts/pfbid0gnDQTeowYUZTnbJu2pwckYCVy8B4SmFTou5s1n5TjHDTeReSDfPYeV6Drfq8b8c6l">她也公布了電話內容</a>，提醒民眾提高警覺。 對此，誠品承諾持續強化資訊安全防護，並定期提醒顧客。數位發展部要求誠品於15日提出相關說明，釐清相關個資保護措施是否符合法規。 <a href="https://company.toyotaconnected.co.jp/news/press/2023/0512/　">日本215萬臺豐田汽車的位置資料曝光長達10年，起因是雲端服務的配置不當釀禍</a> 5月12日豐田汽車表示，該公司的雲端服務配置錯誤，導致215萬輛車輛的位置資訊公開在網路上，車上的攝影機拍攝的影片也曝露近7年。 使用T-Connect、G-Link、G-Link Lite、G-Book服務的用戶受到影響，自2012年1月2日至2023年4月17日的車輛定位資訊，包含車載設備ID、車身號碼（VIN）、車輛位置等，自2013年11月6日開始可被外部存取。再者，該公司企業服務所收集的行車記錄器影像，也出現曝露在網際網路上的情況，自2016年11月14日到2023年4月4日可被任意人士存取。 對此，該公司認為起因是對於員工資料處理政策的說明不夠徹底，並強調這些資料沒有遭到濫用的跡象。 <a href="https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-support-agent-got-hacked/">即時通訊軟體Discord證實資料外洩，使用第三方應用程式的用戶恐曝險</a> 根據資安新聞網站Bleeping Computer的報導，即時通訊軟體Discord察覺透過特定第三方客戶服務代理程式進行的未經授權存取，此事故曝露了客戶支援的工單內容，包含使用者的電子郵件信箱、使用者與Discord客服通訊的內容及附件檔案。 Disocord註銷遭到入侵的帳號，並針對受到影響的電腦完成惡意程式檢查。該公司亦與客戶服務的合作夥伴改善相關流程，來避免這類事故再度發生。他們初步評估，此起事故帶來的風險有限，但呼籲用戶仍要留意可疑訊息或是活動。 <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-131a">教育機構的列印管理系統PaperCut遭到勒索軟體駭客Bl00dy盯上</a> <a href="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png" style="width: 300px; float: right;" /></a>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手發出警告，勒索軟體駭客Bl00dy自2023年5月上旬，積極利用列印管理系統PaperCut的重大漏洞CVE-2023-27350，攻擊教育機構曝露在網際網路上的伺服器。 駭客不只利用上述漏洞繞過身分驗證機制，並利用管理員身分存取伺服器，然後啟動具備相同權限的命令提示字元與PowerShell處理程序，進行橫向感染，最終竊取內部資料並加密檔案，且留下勒索訊息。 <a href="https://twitter.com/MsftSecIntel/status/1654610012457648129">伊朗駭客也針對列印管理系統PaperCut漏洞發動攻擊</a> 微軟威脅情資團隊發現，在研究人員公布列印管理系統PaperCut的重大漏洞CVE-2023-27350的概念性驗證程式碼（POC）後，伊朗駭客組織APT35（亦稱Mint Sandstorm）、Muddywater（亦稱Mango Sandstorm）開始發起相關的漏洞攻擊行動。 研究人員指出，APT35的攻擊影響了全球各地的不同產業，而對於Muddywater的部分，他們則是看到駭客利用先前入侵的工具連接C2中繼站，但相關漏洞利用的頻率較低。而這是研究人員發現勒索軟體駭客組織Clop與LockBit的攻擊行動後，另一波利用相同漏洞的攻擊行動。 <a href="https://abnormalsecurity.com/resources/exploring-rise-of-israel-based-bec-attacks">以色列駭客假借公司併購名義，針對跨國企業發動商業郵件詐騙攻擊</a> 資安業者Abnormal Security揭露以色列駭客組織發起的商業郵件詐騙（BEC）攻擊行動，這些駭客針對至少100個營收超過100億美元的大型跨國企業而來，在2年內發起350次以上的攻擊，這些企業橫跨全球各行各業，又以製造業、金融業、科技產業的比例最高。 駭客先是佯稱目標企業的執行長，並在信件裡透露併購新公司的事宜，且強調在正式公告之前必須保密，否則有可能因為風聲走漏而失敗，此外，基於稅務考量，此併購計畫不會由總公司出面，必須由收到信件的高階主管經手，分期付款買下待併購的公司。待冒牌執行長與目標人士信件往來一段時日，駭客再偽裝成知名會計師事務所KPMG的律師，提供銀行帳號等匯款資訊，值得留意的是，這個階段駭客也可能透過WhatsApp與收信人交談。由於駭客假借公司併購的名義行騙，他們平均索討的金額為71.2萬美元，相較於一般BEC平均6.5萬美元高出10倍。 而在電子郵件層面所採用的攻擊手法，駭客也試圖騙過郵件安全系統──他們會確認目標企業是否採用DMARC政策，來決定如何騙過相關資安系統，並透過合法網域來寄送郵件，比較特別的是，為了取信收信者，駭客還會在寄件人的名稱部分加上電子郵件信箱，讓收信人降低警覺。 <h3>【資安防禦措施】</h3> <a href="https://www.char49.com/articles/we-dont-have-a-ferrari-but-we-had-their-database-credentials">超級跑車製造商法拉利WordPress網站出現漏洞，起因是使用舊版外掛程式</a> 資安業者Char49於今年3月發現義大利超級跑車製造商法拉利的網站media.ferrari.com出現漏洞，起因是該網站所使用的WordPress外掛程式W3 Total Cache沒有更新，存在漏洞CVE-2019-6715，攻擊者可在沒有通過身分驗證的情況下，讀取任意檔案。 研究人員以此漏洞存取wp-config.php檔案，存取當中明文儲存的WordPress資料庫帳密來進行驗證，但研究人員認為，此漏洞有可能帶來更嚴重的危害。法拉利獲報後，升級此外掛程式來緩解漏洞。 <a href="https://www.bleepingcomputer.com/news/security/new-linux-kernel-netfilter-flaw-gives-attackers-root-privileges/">Linux核心漏洞NetFilter恐被用於取得root權限</a> 根據資安新聞網站Bleeping Computer的報導，研究人員Patryk Sondej與Piotr Krysiuk發現了Linux核心的漏洞CVE-2023-32233（尚無CVSS風險評分），該漏洞出現於其內建的網路位址轉譯（NAT）框架Netfilter，起因是當中的nf_tables子系統能接收無效的組態更新，而使得本地使用者可提升至root權限，從而控制整個系統，影響包含6.3.1版在內的所有Linux核心。 對此，開發人員Pablo Neira Ayuso提交了修補程式碼，透過2項函式功能來管理nf_tables子系統，進而達到緩解漏洞的目的。 <h3>【其他新聞】</h3> <a href="https://www.ithome.com.tw/news/156849">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</a> <a href="https://ec.ltn.com.tw/article/breakingnews/4297181">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</a> <a href="https://claroty.com/team82/research/chaining-five-vulnerabilities-to-exploit-netgear-nighthawk-rax30-routers-at-pwn2own-toronto-2022">研究人員揭露Netgear路由器漏洞細節</a> <a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-downex-espionage-operation-in-central-asia/">中亞政府遭到惡意軟體DownEx攻擊</a> <a href="https://www.fortinet.com/blog/threat-research/rapperbot-ddos-botnet-expands-into-cryptojacking">殭屍網路RapperBot不只利用受害裝置發動DDoS攻擊，也將其用於挖礦</a> <a href="https://brave.com/privacy-updates/25-forgetful-browsing/">為強化使用者隱私保護，瀏覽器業者Brave推出Forgetful Browsing，目的是清除第一方的Cookie資料</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a> <a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a> <a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a> </div></div></div>
2023/5/15 16:29作者周峻佑https://www.ithome.com.tw/news/156877
【資安週報】2023年5月8日到5月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一周漏洞利用消息中，共有8漏洞需特別關注，其中2個要優先注意的是，微軟本月例行性安全性更新所修補的Win32k權限提升漏洞CVE-2023-29336，以及Ruckus Wireless修補旗下多款路由器產品的CSRF與RCE漏洞CVE-2023-25717，還有6個本周尚未提及，屬於早年修補的已知漏洞，分別是Red Hat Polkit<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-3560">（CVE-2021-3560）</a>、Linux kernel（<a href="https://nvd.nist.gov/vuln/detail/CVE-2014-0196">CVE-2014-0196</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2010-3904">CVE-2010-3904</a>）、Jenkins UI（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2015-5317</a>）、Oracle Java SE與JRockit（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2016-3427</a>）、Apache Tomcat（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-8735">CVE-2016-8735</a>）。 在威脅焦點新聞事件與趨勢方面，以微星3月遭駭事件波及Intel開機安全機制BootGuard最受矚目，以及工控資安業者Dragos揭露自身遭勒索軟體意圖攻擊但未被得逞的狀況，還有自從勒索軟體Babuk原始碼遭公布後，有研究人員發現，近期不少針對勒索組織因為自身不擅長在Linux平臺開發惡意程式，而選擇使用現有的原始碼加以修改。 在國內方面，iThome主辦的2023 CYBERSEC臺灣資安大會於本周舉行，今年持續有多位世界知名資安領袖與專家在臺發表主題演說，提供國內產業更多最新資安動態，包括美國前國土安全部長Janet Napolitano、Google威脅分析小組（TAG）負責人Shane Huntley、Cyber Defense Matrix發明人Sounil Yu，以及趨勢科技首席技術策略長David Chow、Fortinet資安策略長Derek Manky等，以及現場共有二百多場演講的專業資安會議，加上大會活動現場的資安展覽與Cyber Talent資安人才展區，整場共吸引超過1萬8千人參與，再創歷年之最。同時，iThome 2023資安大調查也在本周出爐，揭露來自國內兩千大企業最新調查的資安災情、資安投資動向。 <h3><a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a></h3> 大型語言模型ChatGPT吸引了網路罪犯的目光，駭客爭相取得付費帳號，試圖將其用於攻擊行動，但最近有資安業者揭露「無限試用」的手法，起因是OpenAI在提供試用服務的過程中，雖然要求使用者必須登記沒有註冊該服務的電話號碼與電子郵件信箱，但因為驗證電話號碼的流程瑕疵，而能讓攻擊者只需透過一組電話號碼，就能不斷申請試用ChatGPT付費服務。 Fortinet近期發布了5月份的例行更新，當中針對FortiADC、FortiOS、FortiProxy修補了高風險漏洞而相當值得留意，IT人員應儘速套用相關修補程式。 在今天的資安新聞裡，有2則遠端終端裝置（RTU）的漏洞修補資訊，這些RTU設備往往會用於關鍵基礎設施（CI），相關漏洞帶來的影響可能會相當廣泛。 <h3><a href="https://www.ithome.com.tw/news/156783">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</a></h3> 安卓惡意程式的攻擊行動變得相當頻繁，不時有時故傳出，但大部分都是以提供各式實用工具（如修圖、手電筒App），或是假冒多個銀行的App來發動攻擊。而最近名為FluHoruse的惡意軟體相當特別，目前研究人員發現駭客只針對了3款App的使用者下手（其中一款尚未找到被假冒的應用程式），值得留意的是，其中一個目標，就是與我國高速公路用路人有關的遠通電收App。 針對臺灣高科技廠商的攻擊行動後續發展也值得留意。勒索軟體Money Message聲稱從臺灣電腦大廠微星竊得1.5 TB資料，索討贖金不成後將資料公開，結果有研究人員發現，這些外流的資料很可能波及各家採用Intel處理器的電腦。 在攻擊行動之外，詐騙在臺灣極為猖獗的現象，也引起政府重視。近日臺灣高等檢察署查緝詐欺及資通犯罪督導中心正式揭牌，行政院長陳建仁致詞時提出政府將從4大面向來打擊詐騙。 <h3><a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a></h3> 9日多家廠商發布5月份例行修補，包含微軟、Adobe等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-29336、CVE-2023-24932已出現攻擊行動，不過，微軟並未透露更多細節，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2023-patch-tuesday-fixes-3-zero-days-38-flaws/">資安新聞網站Bleeping Computer指出</a>，駭客可能利用CVE-2023-24932部署名為BlackLotus的UEFI bootkit。 本周推特傳出先前可能發生資安事故，因為有用戶於4月發生私密圈訊息服務Twitter Circle功能失效的情況，直到最近推特終於證實確有此事，並指出是該服務發生資安事故導致。但該公司並未透露有多少用戶受到影響。 殭屍網路針對無線網路系統而來的攻擊行動，也值得留意。有研究人員揭露殭屍網路AndoryuBot的攻擊行動，駭客利用了2月修補的重大漏洞CVE-2023-25717，來攻擊無線網路管理系統Ruckus Wireless Admin，一旦得逞，很有可能整個無線網路環境都會遭到駭客擺布。 <h3><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></h3> 員工就職的流程竟成為駭客意圖入侵資安業者的管道！資安業者Dragos證實近日遭到使用勒索軟體的駭客組織攻擊，駭客假冒尚未就職的員工，通過相關流程並取得部分存取權限，所幸該公司察覺異狀採取行動而沒有成功。但離譜的是，駭客事後竟向其高階主管開口索討贖金，揚言不付錢就會對其家人不利。 WordPress網站的外掛程式漏洞也相當值得留意，有資安業者揭露外掛程式Advanced Custom Fields的漏洞CVE-2023-30777，並指出至少7成網站曝險，呼籲網站管理者要儘速處理。 <h3><a href="https://www.ithome.com.tw/news/156850">【5月12日】2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></h3> 臺灣常年處於周邊國家威嚇的情況，還有經濟導向駭客的威脅，企業遭遇資安事故不時傳出，但究竟有多嚴重？iThome於5月11日公布2023年資安大調查結果，有23.4%企業2022年遭遇超過50次資安事件，換言之，這些企業平均每週就要遇到一次。如此險峻的情勢，也使得各個產業都在今年增加相關預算，其中又以醫療業的成長幅度最大。 由於臺海情勢日益緊張，為期已超過1年以上的烏克蘭戰爭引發網路攻擊加劇，也非常值得我國借鏡。Google威脅分析小組（TAG）於臺灣資安大會上，公布俄羅斯對於烏克蘭、北約國家這1年來網路攻擊態勢，指出開始進行軍事行動之後，俄羅斯駭客的網路攻擊行動翻倍成長。 竊資軟體的攻擊行動最近也出現新手法，大家需提高警覺。有資安業者揭露竊資軟體Aurora的攻擊行動，但特別的是，駭客偽造了人們熟悉的Windows Update更新畫面，引誘使用者依照指示下載惡意程式。 </div></div></div>
2023/5/15 11:40作者羅正漢https://www.ithome.com.tw/news/156852
【資安日報】5月12日，2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 臺灣常年處於周邊國家威嚇的情況，企業遭遇資安事故不時傳出，但究竟有多嚴重？iThome於5月11日公布2023年資安大調查結果，有23.4%企業2022年遭遇超過50次資安事件，換言之，這些企業平均每週就要遇到一次。如此險峻的情勢，也使得各個產業都在今年增加相關預算，其中又以醫療業的成長幅度最大。 由於臺海情勢日益緊張，為期已超過1年以上的烏克蘭戰爭引發網路攻擊加劇，也非常值得我國借鏡。Google威脅分析小組（TAG）於臺灣資安大會上，公布俄羅斯對於烏克蘭、北約國家這1年來網路攻擊態勢，指出開始進行軍事行動之後，俄羅斯駭客的網路攻擊行動翻倍成長。 竊資軟體的攻擊行動最近也出現新手法，大家需提高警覺。有資安業者揭露竊資軟體Aurora的攻擊行動，但特別的是，駭客偽造了人們熟悉的Windows Update更新畫面，引誘使用者依照指示下載惡意程式。 <h3>【攻擊與威脅】</h3> <a href="https://www.ithome.com.tw/article/156844">臺灣近四分之一企業2022年遭遇50次重大資安事故</a> <a href="https://s4.itho.me/sites/default/files/images/1129-p3-over50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-p3-over50.png" style="width: 300px; float: right;" /></a>去年資安事故頻傳，令人感到臺灣資安態勢變得更險峻，但實際情況又是如何？根據iThome於5月11日公布的資安大調查結果，平均有23.4%企業於2022年遭遇超過50次資安事件，相較於2021年的20.4%增加了3個百分點。其中，又以醫療業、服務業的比例最高，分別為26.7%及26.2%。 而從各產業的資安事故數量來看，一年內平均發生17次重大資安事件，最嚴重的是服務業者，平均為18.8次，其次則是高科技製造業的17.3次。 <a href="https://www.ithome.com.tw/news/156827">Google在臺揭露烏克蘭戰爭背後的網路威脅態勢，有更多國家與個人也成目標，遠超傳統戰爭邊界</a> 資安威脅加劇已成全球重大風險，而在2022年2月俄羅斯軍隊入侵烏克蘭後，衝突下所引發的網路威脅局勢變化，更是引發全球關注，對於多年飽受中國威嚇的臺灣而言，也希望從中學習到應對的訣竅。 在2023臺灣資安大會上，追蹤全球200多個駭客組織的Google威脅分析小組（TAG）在臺分享1年來的發現。其中針對烏克蘭的網路攻擊行動裡，俄羅斯駭客早在軍事行動前夕加強網路攻擊，對於烏克蘭的攻擊數量較2020年增加2.5倍，而在軍事衝突發生後，研究人員更是觀察到過往未曾出現的破壞性惡意軟體攻擊。 此外，這場網路攻擊行動範圍遠超出戰爭的邊界，對於北約國家的針對性攻擊較戰爭爆發前增加3倍，這類攻擊由白俄羅斯政府支持的駭客組織Pushcha主導。 <a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/05/fake-system-update-drops-new-highly-evasive-loader">駭客透過瀏覽器畫面捏造Windows更新視窗，意圖散布竊資軟體Aurora</a> <a href="https://s4.itho.me/sites/default/files/images/easset_upload_file94573_265978_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file94573_265978_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露散布竊資軟體Aurora的攻擊行動，駭客藉由色情網站的彈出式視窗，引導使用者存取惡意網站，但這些網站特別的地方，在於駭客模仿了Windows安裝更新程式的畫面，並聲稱若要完成更新，使用者必須安裝重要的安全更新，一旦依照指示按下畫面上的OK按鈕，電腦就會下載名為「ChromeUpdate.exe」的檔案，若使用者執行，電腦有可能感染竊資軟體Aurora。 研究人員指出，上述看似瀏覽器更新程式的檔案，命名所用的語文是西里爾文字（Cyrillic alphabet，也稱為斯拉夫字母、東斯拉夫字母、歐亞字母），而且，他們透過沙箱執行的時候無法察覺其惡意行為。 而對於背後的駭客身分，研究人員指出他們擅長製作完全無法偵測（FUD）的惡意程式，並會刻意透過VirusTotal進行檢查，這些駭客之前曾製作了資安業者Morphisec發現的惡意程式載入器in2al5d p3in4er（亦稱invalid printer）。 <a href="https://www.sentinelone.com/labs/hypervisor-ransomware-multiple-threat-actor-groups-hop-on-leaked-babuk-code-to-build-esxi-lockers/">10個勒索軟體家族鎖定VMware虛擬化平臺而來，利用Babuk原始碼打造相關作案工具</a> 自勒索軟體Babuk的原始碼遭到公布後，有不少的駭客組織以此為基礎進行改寫，可加快開發勒索軟體的速度，而這樣的情況似乎越來越頻繁。資安業者SentinelOne發現，從2022年下半至今，已有10款勒索軟體家族採用Babuk的原始碼，打造專門攻擊VMware ESXi虛擬化平臺的Linux版勒索軟體。 研究人員認為，網路犯罪圈能針對Linux開發惡意程式的人力較為缺乏，而使得有越來越多駭客想對這類作業系統發動攻擊時，會選擇透過現有的原始碼加以修改，而非從頭打造新的惡意程式，導致採用Babuk原始碼開發的勒索軟體會越來越多。 此外，根據研究人員的推測，駭客對於同個開發團隊打造的另一支勒索軟體NAS Locker，也很有興趣，原因是該勒索軟體以Go語言開發而成，有機會快速移植，針對其他作業推出對應的勒索軟體。 <h3>【資安防禦措施】</h3> <a href="https://www.cyberark.com/resources/threat-research-blog/white-phoenix-beating-intermittent-encryption">資安業者CyberArk提供勒索軟體解密工具White Phoenix，針對部分加密手法進行破解</a> 為了增加加密檔案的速度，勒索軟體駭客透過部分加密（Intermittent Encryption）的手法越來越常見，但這樣加密方式也變得更難破解，直到最近有了突破。 資安業者CyberArk提供名為White Phoenix的勒索軟體解密工具，標榜他們針對利用部分加密機制的勒索軟體BlackCat進行開發，但也可能適用於還原受到其他同類型勒索軟體所加密的檔案。研究人員表示，他們能夠還原檔案的原因，在於他們發現此種加密機制的缺陷，而有機會復原PDF、Office檔案、ZIP壓縮檔等特定格式的資料。 研究人員先是針對遭到加密的PDF進行分析，從而找到可能復原的方法。該公司透過GitHub提供此勒索軟體解密工具，希望有更多資安人員能參與這類勒索軟體的解密研究。 <a href="https://blog.google/products/google-one/new-security-features-for-all-google-one-plans/">Google將提供用戶搜尋可能流入暗網的個人資訊</a> 有鑒於駭客將用戶電子郵件及其他個資在暗網論壇上公開或兜售情形氾濫，Google在Google I/O 2023宣布，即將開放美國地區用戶查詢自身Gmail郵件信箱是否流入暗網。 這項服務源自於3月推出的暗網通報（Dark Web Report），當時僅供付費的Google One用戶使用，一旦Google察覺用戶的個資出現於暗網，就會透過Gmail通報用戶並提供建議──例如察覺用戶的社會安全碼疑似流入暗網，Google就會建議用戶報警並掛失相關證件。該公司亦表明，此服務的適用範圍，未來將會擴及「國際上的特定市場」。 <h3>【資安產業動態】</h3> <a href="https://www.ithome.com.tw/article/156845">因政府開放電子病歷上雲，醫療產業連續2年加碼投資資安，2023增加4成</a> 想要了解企業對於資安重視的程度，從企業投入的預算可反映其意願，根據iThome本週公布2023年資安大調查結果，臺灣大型企業今年資安預算為1,408萬元，相較於2022年支出1,193萬元成長18%，然而，資安長則認為預算需要多3成才會夠用。而從各個產業投資的情況來看，去年投資力道最強的依次是高科技製造業（增加59%）、一般製造業（增加33.1%），但今年投資力道增加幅度最多的是醫療產業，成長率達到4成，遠高於2022年的20.6%。 該產業連續2年顯著增加資安預算的主要原因，來自政府開放電子病歷上雲，而為了因應將敏感醫療資料上雲，不少醫院也大幅改造HIS系統，並檢視自家的資安作為。 從金額的角度而言，金融業預算金額最多，2022年平均為5,429萬元，其次為政府和學校的2.536萬元。從企業投資的項目來看，網路安全、IT基礎架構防護仍是主要項目，但值得留意的是，員工資安意識與教育訓練的部分顯著增加，一舉從2022年的第6名躍升到第3。 <h3>【其他新聞】</h3> <a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-with-may-2023-security-updates/">SAP發布5月例行更新，修補BusinessObjects、3D Visual Enterprise License Manager重大漏洞</a> <a href="https://blog.talosintelligence.com/new-phishing-as-a-service-tool-greatness-already-seen-in-the-wild/">新興網釣套件服務Greatness鎖定Microsoft 365用戶而來</a> <a href="https://www.bleepingcomputer.com/news/security/new-linux-kernel-netfilter-flaw-gives-attackers-root-privileges/">Linux核心漏洞NetFilter恐被用於取得root權限</a> <a href="https://www.bleepingcomputer.com/news/security/food-distribution-giant-sysco-warns-of-data-breach-after-cyberattack/">美國食品經銷商Sysco經歷網路攻擊，已造成資料外洩</a> <a href="https://www.securityweek.com/capita-says-ransomware-attack-will-cost-it-up-to-25-million/">英國業務外包業者Capita遭到勒索軟體攻擊，估計損失2,500萬美元</a> <a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-snake-malware-network-controlled">美國宣布破壞惡意軟體Snake的基礎設施</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a> <a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a> <a href="https://www.ithome.com.tw/news/156783">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</a> </div></div></div>
2023/5/12 15:36作者周峻佑https://www.ithome.com.tw/news/156850
已有多達10個勒索軟體利用外洩的Babuk程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.sentinelone.com/labs/hypervisor-ransomware-multiple-threat-actor-groups-hop-on-leaked-babuk-code-to-build-esxi-lockers/" target="_blank">SentinelLabs本周揭露</a>，至少已有10個勒索軟體家族利用2021年外洩的Babuk勒索軟體程式碼，以打造可用來攻擊VMware ESXi伺服器的Linux加密工具。 VMware ESXi為VMware所開發的虛擬機管理程式，它並非是個安裝在作業系統上的應用程式，而是一個整合重要作業系統元件，並直接安裝於硬體上的Linux產品。近來它成為Windows平臺之外，最受勒索軟體駭客青睞的攻擊目標，<a href="https://blog.checkpoint.com/2023/02/06/massive-ransomware-attack-targets-vmware-esxi-servers/" target="_blank">資安業者Check Point指出</a>，這是因為駭客意識到這些奠基於Linux的伺服器對機構與組織的重要性。 根據Check Point的調查，過去一年來，全球有1/13的組織都曾遭受勒索軟體攻擊，此一比例在不同的地區有些差異，例如亞太地區為1/11，歐洲、中東與非洲為1/12，美洲則是1/19。 此外，現身於2021年初的Babuk則是最早鎖定VMware ESXi的勒索軟體之一，但Babuk團隊的其中一名成員在同年9月便於俄羅斯駭客論壇公布了Babuk的程式碼，也成為VMware ESXi受到大規模攻擊的主因之一。 SentinelLabs表示，他們在今年初觀察到針對VMware ESXi且基於Babuk的勒索軟體愈來愈多，除了原先就鎖定Linux平臺的駭客之外，那些原本缺乏Linux相關技術的駭客，也在獲得Babuk程式碼之後，得以鎖定VMware ESXi發動攻擊。 迄今所發現的、利用Babuk程式碼打造ESXi加密工具的勒索軟體，至少包括Babuk 2023、Play、Mario、Conti、REvil、Cylance、Dataf Locker、BabLock、Lock4與RTM Locker等，SentinelLabs認為，坊間一定有更多採用Babuk程式碼的勒索軟體尚未被發現。 有趣的是，SentinelLabs在分析這些不同的勒索軟體時，找到了Babuk、Conti與REvil程式碼的共通之處，猜測可能這些集團將ESXi加密工具專案外包給同樣的開發者，因為在勒索軟體的開發圈中，可打造Linux惡意程式的人才相對不足。 </div></div></div>
2023/5/12 17:14作者陳曉莉https://www.ithome.com.tw/news/156853
AWS開源高效快照模糊測試工具Snapchange
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> AWS發布新的開源專案<a href="https://aws.amazon.com/tw/blogs/opensource/announcing-snapchange-an-open-source-kvm-backed-snapshot-fuzzing-framework/">Snapchange</a>，供開發者可以將快照模糊測試簡單地整合到自己的專案。Snapchange讓開發者只要對目標二進位檔案進行少量的修改，就能夠開始進行模糊測試，找出系統臭蟲。Snapchange仰賴KVM快照，因此需要在有KVM存取權限的機器上執行，並且僅支援x64主機，可用於EC2英特爾處理器的裸機執行個體。 Snapchange是一個用來建構模糊測試工具的Rust框架，能夠重播實體記憶體快照，高效地對目標進行模糊測試。模糊測試是一種自動化軟體測試技術，透過對目標程式提供一系列隨機的輸入，試圖引發程式錯誤、漏洞或是故障，藉此發現程式中未知的漏洞。 所謂的快照模糊測試，是透過將系統和應用程式的記憶體狀態保存下來，在後續的測試中，重複使用這些裝態，使得開發者可以在相同的條件下多次執行測試，準確地找出程式發生錯誤的原因。Snapchange需要利用Linux核心內建的虛擬機器管理器KVM，因此Snapchange的快照是指正在運作的虛擬機器實體記憶體轉存，以及相對應的暫存器狀態。 Snapchange透過在虛擬機器中注入變異資料，對目標進行模糊測試，提供中斷點Hook機制，以及多種格式的即時覆蓋率報告，還有在除錯很實用的單步驟追蹤功能。開發者可以同時在多個CPU核心上進行模糊測試，大幅提高測試的效率和速度，Snapchange還能同時監控測試結果，當程式發生崩潰，出現像是記憶體區段錯誤或是呼叫Address Sanitizer報告時，Snapchange都能立刻偵測並且回報用戶。 Snapchange模糊測試的循環，從快照初始化KVM虛擬機器記憶體狀態開始，接著供用戶在載入的訪客記憶體中寫入變異資料，當程式出現崩潰、逾時或是重置事件發生時，虛擬機器將恢復到乾淨狀態，並為下一次輸入做準備。Snapchange僅會重置經過修改的記憶體分頁，如此便能明顯減少需要恢復的記憶體量，加速模糊測試周期。 Snapchange最初是由AWS Find and Fix開源安全研究團隊，所開始的一項實驗性專案，目的是探索KVM快照模糊測試的潛力，而現在Snapchange已經成為一個可供研究人員和開發人員，試驗快照模糊測試的專案。 </div></div></div>
2023/5/12 11:21作者李建興https://www.ithome.com.tw/news/156842
【資安日報】5月11日，資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 員工就職的流程竟成為駭客意圖入侵資安業者的管道！資安業者Dragos證實近日遭到使用勒索軟體的駭客組織攻擊，駭客假冒尚未就職的員工，通過相關流程並取得部分存取權限，所幸該公司察覺異狀採取行動而沒有成功。但離譜的是，駭客事後竟向其高階主管開口索討贖金，揚言不付錢就會對其家人不利。 WordPress網站的外掛程式漏洞也相當值得留意，有資安業者揭露外掛程式Advanced Custom Fields的漏洞CVE-2023-30777，並指出至少7成網站曝險，呼籲網站管理者要儘速處理。 <h3>【攻擊與威脅】</h3> <a href="https://www.dragos.com/blog/deconstructing-a-cybersecurity-event/">資安業者Dragos證實遭遇資安事故，駭客企圖入侵其網路環境並進行勒索</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-09_Event-Timeline-1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-09_Event-Timeline-1-1.png" style="width: 300px; float: right;" /></a>專精工控領域的資安業者Dragos證實，5月8日有已知的網路犯罪組織企圖對他們發動攻擊及勒索，所幸駭客沒有成功，該公司亦表示旗下系統皆未遭到入侵。 該公司指出，駭客針對即將任職的業務人員下手，在該名員工尚未到職之前藉由其電子郵件信箱取得存取權限，並完成入職流程，然後存取新進業務人員的SharePoint系統、合約管理系統，駭客讀取其中1份含有客戶IP位址的調查報告，該公司已對此客戶進行通報。 而對於攻擊者的身分，Dragos透露該組織會使用勒索軟體加密檔案，但這些駭客在尚未得手的情況下，竟向Dragos高階主管進行勒索，並聲稱要對他們的家人不利。對此，Dragos對於就職員工的流程加入額外的驗證程序，以防類似的攻擊事件再度發生。 <a href="https://patchstack.com/articles/reflected-xss-in-advanced-custom-fields-plugins-affecting-2-million-sites/">WordPress外掛程式Advanced Custom Fields出現漏洞，百萬網站曝險</a> 資安業者Patchstack揭露WordPress外掛程式Advanced Custom Fields的漏洞CVE-2023-30777（未提供CVSS風險評分），此為跨網站指令碼（XSS）漏洞，影響免費版與付費版用戶，攻擊者若是具備存取此外掛程式的權限，就有可能在採用預設配置部署的網站上觸發漏洞，且無需通過額外的身分驗證，開發者獲報後發布6.1.6版予以修補。 由於有超過2百萬個網站安裝了此外掛程式，但截至5月11日仍有逾7成使用6.0以下的版本，使得研究人員呼籲網站管理者應儘速升級。 <a href="https://www.sentinelone.com/labs/kimsuky-evolves-reconnaissance-capabilities-in-new-global-campaign/">北韓駭客Kimsuky利用惡意軟體ReconShark跟蹤使用者</a> 資安業者SentinelOne揭露北韓駭客組織Kimsuky的攻擊行動，駭客透過特製的網路釣魚郵件，假借政治議題來引誘收信人上當──例如，中國與北韓之間的核武協商，或是俄羅斯與烏克蘭之間仍在進行的戰爭等，意圖散布惡意軟體ReconShark。 在其中一起事故裡，駭客針對名為Korea Risk Group組織的員工而來，假冒與信件內容有關的人士（如科學家、政治家）寄送釣魚郵件，然後引誘收件人從雲端檔案共享系統OneDrive下載受到密碼保護的Word檔案，其中含有惡意巨集，一旦收信人啟動巨集，攻擊者就有可能在目標電腦部署ReconShark，進而收集受害電腦的系統資訊，或是下載其他作案工具。 <a href="https://www.kroll.com/en/insights/publications/cyber/cactus-ransomware-prickly-new-variant-evades-detection">規避防毒軟體出現新招式！勒索軟體Cactus將自己也「加密」</a> 資安業者Kroll揭露自今年3月開始頻繁出現活動的勒索軟體Cactus，駭客主要針對大型企業下手，先是利用Fortinet SSL VPN設備的已知漏洞入侵目標組織的網路環境，隨後利用網路掃描工具netscan進行初步偵察，並執行PowerShell命令枚舉端點設備，窺視特定的Windows安全事件記錄來找出使用者帳號。 為了能夠順利執行勒索軟體與進行橫向移動，駭客往往會試圖從網頁瀏覽器轉存帳密資料，或是從硬碟找出儲存密碼的檔案。最終駭客透過Rclone洩露竊得的資料，並執行勒索軟體來加密檔案。 值得留意的是，駭客為了繞過防毒軟體的偵測，他們透過含有密碼的ZIP檔案打包勒索軟體的可執行檔，然後在執行之前才透過PowerShell指令碼解壓縮，並藉由指定參數啟動勒索軟體。 <a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-winrar-to-wipe-ukraine-state-agencys-data/">俄羅斯駭客Sandworm利用WinRAR解壓縮軟體、dd應用程式，對Windows及Linux電腦進行資料破壞攻擊</a> 烏克蘭電腦緊急應變小組（CERT-UA）針對俄羅斯駭客Sandworm的攻擊行動提出警告，這些駭客透過已外洩的VPN帳號，針對沒有採取雙因素驗證措施的烏克蘭國家網路重要系統下手。 一旦成功滲透這些重要系統的內部網路環境，駭客就會攻擊網路裡的Windows電腦，濫用WinRAR解壓縮軟體及指令碼來執行資料破壞攻擊。值得留意的是，Linux主機也是駭客的目標，他們透過dd應用程式來覆寫受害電腦的檔案，並Bash指令碼來進行破壞。 <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/chipmaker-patch-tuesday-intel-amd-address-over-100-vulnerabilities/">Intel、AMD發布例行更新，公告超過100個漏洞的緩解措施</a> 處理器製造商Intel、AMD於5月9日，針對旗下產品的漏洞發布資安通告。 其中，Intel總共發出了38則資安通告，提及超過80個漏洞，其中有約20個為高風險層級，而有可能被攻擊者用於提升權限，這些漏洞存在於QuickAssist Technology、iOS版Retail Edge應用程式、基版管理控制器（BMC）韌體、WULT軟體、資料中心管理系統（DCM）等。 AMD則是針對用戶端電腦19個漏洞、伺服器14個漏洞發出資安公告，但特別的是，這次大部分的漏洞都是已在2021年列管，僅有2個伺服器的漏洞是在2023年發現。 <h3>【資安產業動態】</h3> <a href="https://github.blog/2023-05-09-push-protection-is-generally-available-and-free-for-all-public-repositories/">防範密碼與API金鑰洩漏，GitHub將推送保護功能免費提供給公開儲存庫</a> 5月9日GitHub宣布，原本提供給Advanced Security用戶的推送保護（Push Protection）功能，他們將對所有公開的儲存庫免費提供。 此功能主要是避免開發人員在程式碼中，意外洩漏密碼或是API金鑰等敏感資訊，一旦偵測到程式碼裡出現可被識別的機密資訊，推送保護的機制就會藉由IDE或是命令列工具提醒開發人員，並提供修改建議。 <h3>【其他新聞】</h3> <a href="https://www.ithome.com.tw/news/156820">副總統蒞臨臺灣資安大會，強調政府將全力支持資安產業發展</a> <a href="https://www.bankinfosecurity.com/lockbit-30-leaks-600-gbs-data-stolen-from-indian-lender-a-22010">印度銀行Fullerton India傳出遭勒索軟體LockBit攻擊，外流600 GB內部資料</a> <a href="https://www3.nhk.or.jp/news/html/20230509/k10014061071000.html">日本法務省所屬網站遭到癱瘓，起因是該國政府通過與難民有關法案的修正案惹議</a> <a href="https://orqafpv.com/blog-details/bricking-incident-public-announcement">Orqa無人機護目鏡傳出故障，起因是前合作廠商埋藏的「定時炸彈」</a> <a href="https://www.justice.gov/usao-cdca/pr/federal-authorities-seize-13-internet-domains-associated-booter-websites-offered-ddos">美國扣押13個被用於提供DDoS服務的網域</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a> <a href="https://www.ithome.com.tw/news/156783">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</a> <a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a> </div></div></div>
2023/5/11 12:05作者周峻佑https://www.ithome.com.tw/news/156830
【資安日報】5月9日，安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 安卓惡意程式的攻擊行動最近2至3個月變得相當頻繁，不時有時故傳出，但大部分都是以提供各式實用工具（如修圖、手電筒App），或是假冒多個銀行的App來發動攻擊。而最近名為FluHoruse的惡意軟體相當特別，目前研究人員發現駭客只針對了3款App的使用者下手（其中一款尚未找到被假冒的應用程式），值得留意的是，其中一個目標，就是與我國高速公路用路人有關的遠通電收App。 針對臺灣高科技廠商的攻擊行動後續發展也值得留意。勒索軟體Money Message聲稱從臺灣電腦大廠微星竊得1.5 TB資料，索討贖金不成後將資料公開，結果有研究人員發現，這些外流的資料很可能波及各家採用Intel處理器的電腦。 在攻擊行動之外，詐騙在臺灣極為猖獗的現象，也引起政府重視。近日臺灣高等檢察署查緝詐欺及資通犯罪督導中心正式揭牌，行政院長陳建仁致詞時提出政府將從4大面向來打擊詐騙。 <h3>【攻擊與威脅】</h3> <a href="https://research.checkpoint.com/2023/eastern-asian-android-assault-fluhorse/">安卓惡意程式FluHorse鎖定臺灣、越南用戶的雙因素驗證碼、密碼而來</a> <a href="https://s4.itho.me/sites/default/files/images/art4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/art4.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露名為FluHorse的安卓木馬程式，駭客將其偽裝成遠通電收ETC、越南大型銀行VPBank NEO的App，約自2022年5月開始發動相關攻擊。攻擊者先是寄送惡意郵件，謊稱收信人要儘速處理付款異常的問題，引誘他們下載帶有FluHorse的冒牌App。 在其中一封信件當中，駭客聲稱收信人的高速公路通行費即將到期，若逾期未繳將每筆產生300元罰款，要求用戶趕快透過遠通電收App付款。然而一旦收信人照做，這些冒牌App就會安裝完成後，要求使用者開放存取簡訊的權限，研究人員指出，這麼做的目的是為了在受害人「付款」的過程裡，能攔載雙因素驗證（2FA）的驗證碼。 值得留意的是，研究人員發現，駭客開發過程幾乎都依賴開源框架，而使得資安系統難以察覺異狀──其惡意功能是透過Google開源UI開發工具Flutter打造，由於該開發工具透過特製的虛擬機器（VM）讓開發者能打造適用於不同作業系統上的GUI元件，而使得研究人員分析以此開發的App變得相當複雜。巧合的是，<a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=949&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%8C%E5%B1%B1%E5%AF%A8APP%E3%80%8D%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=05%2F05%2F2023%2000%3A00%3A00">遠通電收也於近日提出警告</a>，指出不明人士透過簡訊聲稱國道通行費尚未付款，要求下載山寨App進行詐騙，呼籲民眾繳費前要先行查詢、確認。 <a href="https://www.bleepingcomputer.com/news/security/intel-investigating-leak-of-intel-boot-guard-private-keys-after-msi-breach/">Intel開機安全機制BootGuard受到微星3月遭駭事件波及，恐影響其他廠牌電腦</a> <a href="https://s4.itho.me/sites/default/files/images/leaked-source-code.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/leaked-source-code.jpg" style="width: 300px; float: right;" /></a>今年3月勒索軟體Money Message聲稱攻擊臺灣電腦製造商微星，並盜取1.5 TB內部資料，包含韌體、原始碼、資料庫，開口索討400萬美元贖金未果，這些駭客開始洩露竊得的檔案，但最近有資安業者提出警告，這些資料很可能讓其他搭配Intel處理器的電腦也曝險。 資安業者Binarly指出，駭客公布的原始碼當中，涵蓋了57款微星產品的映像檔簽章、116款產品的Intel BootGuard金鑰，範圍包含搭載Core i第11代至第13代處理器（Tiger Lake、Adler Lake、Raptor Lake）的微星裝置。 研究人員根據們掌握的證據顯示，整個Intel生態體系都受到這起資料外洩事故波及，而使得Intel BootGuard的開機防護機制失效。對此，Intel也表示正著手進行相關調查。 <a href="https://blog.cyble.com/2023/04/21/qakbot-malware-continues-to-morph/">惡意軟體QBot透過OneNote文件與Windows說明檔案散布</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-delivery-mechanism.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-delivery-mechanism.jpg" style="width: 300px; float: right;" /></a>不少研究人員發現，駭客約從2月開始，透過OneNote檔案散布惡意軟體QBot，但最近手法出現了變化。資安業者Cyble指出，駭客同時運用不同的文件檔案來發起攻擊。 研究人員看到駭客先是透過垃圾郵件挾帶OneNote檔案的附件，一旦收信人開啟附件，此OneNote便會要求使用者從Azure下載加密的檔案，若是照做，收信人就會將ISO檔案下載到電腦，而這個光碟映像檔內含Windows說明檔案（CHM），一旦開啟，就會觸發當中嵌入的HTML檔案並執行PowerShell指令，使用wget命令下載QBot，在受害電腦上進行竊密，或是下載Cobalt Strike、Brute Ratel，或是其他惡意軟體。 <a href="https://blog.cyble.com/2023/04/18/crosslock-ransomware-emerges-new-golang-based-malware-on-the-horizon/">勒索軟體CrossLock繞過作業系統的事件追蹤機制</a> 資安業者Cyble揭露名為CrossLock的勒索軟體，駭客透過Go語言打造，該勒索軟體可本機加密檔案，亦能針對整個網域執行。值得留意的是，為迴避研究人員的調查，此勒索軟體藉由特定API來檢查所在的電腦環境裡，部署Wine軟體的版本，由於此軟體能讓搭載Linux、BSD作業系統的電腦執行Windows應用程式，駭客很有可能以此判斷勒索軟體是否處於沙箱環境。 再者，為了避免在受害電腦留下證據，且讓加密檔案流程順利，此勒索軟體會竄改數個Windows事件記錄追蹤（ETW）的參數，並停用超過500種服務，才執行加密檔案的工作。 <a href="https://threatmon.io/apt-blind-eagles-malware-arsenal-technical-analysis/">駭客組織Blind Eagle透過Discord代管的PowerShell指令碼，散布木馬程式NjRAT</a> 資安業者ThreatMon揭露駭客組織ThreatMon（亦稱APT-C-36）的攻擊行動，駭客先是透過網路釣魚或社交工程的手法，引誘使用者執行JavaScript下載器，此下載器使用ActiveXObject物件執行PowerShell命令，自Discord的CDN何服器下載另一個PowerShell指令碼，並將其偽裝成PDF檔案再執行。 接著，此指令碼會在記憶體內啟動惡意的DLL檔案，繞過Windows作業系統的防惡意軟體掃描介面（AMSI）機制，最終於受害電腦執行木馬程式NjRAT，讓駭客能夠進行遠端控制。 <a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</a> 駭客組織為了掩人耳目，不只會隱匿行蹤，甚至會誤導是他人所為。例如，資安業者Mandiant於今年1月揭露俄羅斯駭客Turla攻擊行動裡，資安業者卡巴斯基有了新的發現，並指出背後真正發動攻擊的駭客組織其實是Tomiris。 這些攻擊者主要關注於中亞的情報收集，目標往往是鎖定獨立國協（CIS）國家與外交單位，他們發現位於中東或東南亞的受害組織，其實都是獨立國協的駐外代表。這些駭客發動攻擊的方式相當多元，包含釣魚郵件、DNS挾持、漏洞利用（以ProxyLogon為主）、偷渡式下載（DoD）等，並廣泛使用不同的程式語言開發惡意程式來發動攻擊，目的很可能是為了透過難以分析的程式語言來規避偵測。 研究人員指出，他們從2021年至2023年，至少確認3起原以為是Turla發起的攻擊行動，其實是Tomiris所為。 <h3>【資安產業動態】</h3> <a href="https://www.nstc.gov.tw/folksonomy/detail/3e435b56-1ec0-4d57-8d48-45c45717d6df">資安競賽「尋找資安女婕思」進入決賽，臺北科技大學、逢引大學、中央大學、大同高中拿下分組冠軍</a> <a href="https://s4.itho.me/sites/default/files/images/尋找資安女婕思頒獎典禮貴賓大合影.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%8B%E6%89%BE%E8%B3%87%E5%AE%89%E5%A5%B3%E5%A9%95%E6%80%9D%E9%A0%92%E7%8D%8E%E5%85%B8%E7%A6%AE%E8%B2%B4%E8%B3%93%E5%A4%A7%E5%90%88%E5%BD%B1.jpg" style="width: 300px; float: right;" /></a>國家科學及技術委員會（國科會）與教育部共同指導的第3屆「GiCS尋找資安女婕思」於5月6日，在臺南沙崙資安暨智慧科技研發大樓舉行決賽，結果出爐，「資安闖天關」項目由臺北科技大學「資安小公主」隊、逢甲大學「現場所有同學」隊獲得高中職組、大專校院組第一名；「創意發想賽」則由大同高中「VYN」隊、中央大學「無心插柳柳橙資」隊得到高中職組、大專校院組的分組冠軍。 經過3月初賽後，各組有15個隊伍晉級決賽。而對於本次競賽的出題方向，資安闖天關決賽除主場域的CTF關卡外，另結合大樓內展品設計相關資安任務；創意發想賽的參賽同學針對初賽問題發想具創意的解決方案──本年度晉級隊伍針對演唱會搶票黃牛與系統機器人問題、ChatGPT可能產生的資安問題等，透過穿越劇表現方式展現創意。 <h3>【資安防禦措施】</h3> <a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/10355997-9c41-4b4b-97f1-57110206a085">臺灣高等檢察署查緝詐欺及資通犯罪督導中心揭牌，行政院長指示4大打詐面向</a> <a href="https://s4.itho.me/sites/default/files/images/2023年5月3行政院長陳建仁出席台高檢「查緝詐欺及資通犯罪督導中心」揭牌典禮1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023%E5%B9%B45%E6%9C%883%E8%A1%8C%E6%94%BF%E9%99%A2%E9%95%B7%E9%99%B3%E5%BB%BA%E4%BB%81%E5%87%BA%E5%B8%AD%E5%8F%B0%E9%AB%98%E6%AA%A2%E3%80%8C%E6%9F%A5%E7%B7%9D%E8%A9%90%E6%AC%BA%E5%8F%8A%E8%B3%87%E9%80%9A%E7%8A%AF%E7%BD%AA%E7%9D%A3%E5%B0%8E%E4%B8%AD%E5%BF%83%E3%80%8D%E6%8F%AD%E7%89%8C%E5%85%B8%E7%A6%AE1.jpg" style="width: 300px; float: right;" /></a>臺灣高等檢察署查緝詐欺及資通犯罪督導中心於5月3日舉行揭牌典禮，行政院長陳建仁致詞時表示，打擊詐騙是政府維護社會治安的重中之重，查緝詐欺及資通犯罪督導中心是政府用來電信網路詐欺犯罪的專責機關，本次揭牌儀式代表政府打擊此種犯罪進入新的里程碑。陳院長表示，政府已積極規劃從4大面向，即從策略面、法制面、組織面、技術面，全力打擊詐欺犯罪。 策略面的部分，將會提出「新世代打詐行動綱領1.5」強化打詐力道；法制面行政院已將「打詐5法」送請立法院審議；組織面的規畫，他們將擴大納入各地方政府、數位部、國發會，警政署及調查局都將成立北中南打詐工作站或防制中心，並透過公私協助，集合金融機構、電信及電商業者共同參與；至於技術層面，政府將設法從來源端防堵，如防杜境外竄改來電撥入境內、建立惡意簡訊攔阻機制、建立公益簡訊專用代表門號、鼓勵民間投入研發數位防詐工具、推動物流隱碼技術等。 <h3>【其他新聞】</h3> <a href="https://patchstack.com/database/vulnerability/advanced-custom-fields-pro/wordpress-advanced-custom-fields-pro-plugin-6-1-5-reflected-cross-site-scripting-xss-vulnerability">WordPress外掛程式Advanced Custom Fields出現漏洞，百萬網站曝險</a> <a href="https://www.sentinelone.com/labs/kimsuky-evolves-reconnaissance-capabilities-in-new-global-campaign/">北韓駭客Kimsuky利用惡意軟體ReconShark跟蹤使用者</a> <a href="https://www.bleepingcomputer.com/news/security/new-cactus-ransomware-encrypts-itself-to-evade-antivirus/">規避防毒軟體出現新招式！勒索軟體Cactus將自己也加密</a> <a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-winrar-to-wipe-ukraine-state-agencys-data/">俄羅斯駭客Sandworm利用RAR壓縮檔進行資料破壞攻擊</a> <a href="https://twitter.com/MsftSecIntel/status/1654610012457648129">伊朗駭客傳出也針對列印管理系統PaperCut漏洞攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a> <a href="https://www.ithome.com.tw/news/156736">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</a> <a href="https://www.ithome.com.tw/news/156721">【5月4日】 NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</a> </div></div></div>
2023/5/9 11:21作者周峻佑https://www.ithome.com.tw/news/156783
搶攻金融科技低延遲交易需求，AMD推出FPGA網路加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_x3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在2019年8月，FPGA大廠賽靈思完成對網路卡廠商Solarflare的併購，隔年3月，結合該公司的FPGA晶片技術，以及Solarflare的 XtremeScale乙太網路控制器，推出SmartNIC網路卡Alveo U25，到了2022年，AMD於2月完成對賽靈思的併購，10月發表該公司第一款網路卡產品Alveo X3系列，是以更高速的FPGA晶片進行設計，可專攻低延遲存取的電子金融交易應用需求，不僅提供立即可用的網路連線能力，也能從硬體層級調整運算執行方式。 此系列平臺的基礎是16奈米製程的Virtex UltraScale+ FPGA晶片，使其兼具多種特色，例如，是目前唯一基於FPGA而成的金融科技加速卡、存取延遲可達到-3等級、能即插即用、可自行設定資料路徑，提供4個10GbE埠與25GbE埠（初期支援10GbE，2023年支援25GbE），網路介面數量是上一代產品X2系列的兩倍。 <a href="https://s4.itho.me/sites/default/files/images/Alveo X3522 Block Diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522%20Block%20Diagram.png" style="width: 600px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522%20blog.jpg" style="width: 546px;" /> <a href="https://s4.itho.me/sites/default/files/images/X3522 and the X2522 Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X3522%20and%20the%20X2522%20Comparison.jpg" style="width: 400px;" /></a> 在產品款式上，Alveo X3系列提供兩種選擇，其中一款主打低延遲特色的網路卡，稱為Alveo X3522，可搭配軟體應用程式Onload的支援，而實現TCP、UDP、群播網路介面的作業系統核心旁路（kernel bypass），進而消除Linux網路堆疊造成的存取延遲，同時，這款網路卡也能支援TCPDirect這類主機型的作業系統核心旁路軟體應用。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20Kernel%20Bypass-1.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20Kernel%20Bypass-2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/UDP%20Kernel%20Bypass.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Multicast%20Kernel%20Bypass.jpg" style="width: 298px;" /> 除此之外，Alveo X3522也能透過軟體升級的方式，而能以混合模式的狀態來運作，用戶可存取FPGA晶片本身的可程式化邏輯，此舉能就近提供運算卸載，可加速多種交易策略的執行，舉例來說，演算法開發人員可以運用賽靈思發展的統一軟體平臺Vitis，透過當中的數百種Vitis程式庫功能與組建模塊，以C或C++語言來設計外掛程式，也能使用整合式開發平臺Vitis HLS，從頭開始設計。 Alveo X3系列另一款機型，是主打可隨需調整的加速運算卡Alveo X3522 PV，可搭配FPGA設計軟體Vivado，提供更完整的硬體可程式化環境，提供100萬張查詢表（Look-up Table，LUTs），能針對解決方案供應商的需求，使其能開發出高度自定的金融科技應用程式（Alveo X3522內建40萬張查詢表）。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522PV%20Adaptable%20Accelerator%20Card%20photos.png" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522PV%20Adaptable%20Accelerator%20Card%20Block%20Diagram.png" style="width: 400px;" /> <a href="https://s4.itho.me/sites/default/files/images/Alveo X3522 models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522%20models.jpg" style="width: 600px;" /></a> 產品資訊 AMD Alveo X3系列 ●原廠：AMD ●建議售價：廠商未提供 ●機型：低延遲網路卡Alveo X3522、可調適加速卡Alveo X3522 PV ●外形：半高半長 ●內建運算晶片：UltraScale+ XCUX35 FPGA ●內建記憶體：8GB DDR4 ●提供網路埠：4個10/25GbE埠（SFP28） ●連接介面：PCIe 4.0 x8 ●支援網路時間精確應用：IEEE 1588-2088（PTP v2） ●熱設計功耗：70瓦（X3522為35瓦，X3522啟用混合模式、X3522PV為70瓦） 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/5/6 13:16作者李宗翰https://www.ithome.com.tw/review/156717
【資安日報】5月4日，NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 美國國家標準與技術研究所（NIST）提出了網路安全框架Cybersecurity Framework（CSF），已經成為組織建構整體安全防護網的重要參考，去年8月我們注意到NIST正舉辦CSF 2.0版討論，就開始注意改版動向，如今相隔9個月，NIST CSF 2.0版草案終於釋出，受到各界關切。 上個月Oracle發布季度安全更新，但近期有資安研究人員指出，Oracle修補Opera物業管理系統的其中一個漏洞，要特別重視，因為其風險層級只被評為中級，但研究人員認為應該是滿分10分的重大漏洞，因此呼籲使用該產品的廣泛飯店業者儘速修補。 自去年來，Passkey無密碼登入屢屢成為焦點，如今Google宣布，Google帳戶已經支援Passkey登入，可提升用戶帳號登入安全與便利，在科技大廠的帶動下，預期也將帶動更多網路服務業者能夠支援，以因應網釣攻擊威脅持續加劇的現況，給予用戶更好的保障。 <h3>【攻擊與威脅】</h3> <a href="https://www.darkreading.com/application-security/hotels-at-risk-from-bug-in-oracle-property-management-software">飯店業注意！有研究人員指出Oracle物業管理系統一項漏洞的風險被嚴重低估，應儘速修補</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-04_160520.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_160520.png" style="width: 280px; float: right;" /></a> 針對Oracle在今年4月，所修補的一項關於飯店業物業管理系統Opera property management system的CVE-2023-21932漏洞，最近有研究人員警告，指出該漏洞的問題被嚴重低估。 由於Oracle將漏洞CVSS風險層級列為7.2分，屬於中度風險，但近期有<a href="https://blog.assetnote.io/2023/04/30/rce-oracle-opera/">Assetnote的研究人員指出</a>，這應該屬於10分的重大漏洞，並示範利用此漏洞在執行上的所有步驟，其實都沒有需要進行任何身份驗證，讓遠端攻擊者可以很容易利用這個RCE漏洞來存取敏感資訊。研究人員認為，Opera物業管理系統備在全球有數千家飯店使用，因此呼籲使用該系統的飯店、酒店、度假村等業者，儘速修補這項漏洞。 <a href="https://news.sophos.com/en-us/2023/05/03/doubled-dll-sideloading-dragon-breath/">有駭客組織以雙重DLL測載方式試圖逃避資安檢測</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-04_145024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_145024.png" style="width: 280px; float: right;" /></a> 資安業者Sophos在5月3日揭露一起攻擊活動，是他們追蹤多起東南亞線上博奕玩家被攻擊而發現，特別的是，他們發現攻擊行動中使用了雙重DLL側載的技術手法，試圖逃避檢測。 根據Sophos說明，這起攻擊背後，是由名為Dragon Breath的駭客組織發動（或稱為APT-Q-27、Golden Eye Dog），其手法是先假冒Telegram、Let's VPN與WhatsApp散布惡意安裝程式，進而植入後門程式，竊取受害者加密錢包中的加密貨幣。而其過程中，駭客使用了雙重DLL側載手法，也就是安裝程式會先側載一個無害的應用程式，這個應用程式又會預載另一個無害的應用程式，之後，再由第二個乾淨的應用程式再側載惡意DLL。目前Sophos已經在臺灣、日本、新加坡、香港與中國都發現了這起攻擊活動的受害者。 <a href="https://blog.barracuda.com/2023/05/03/threat-spotlight-malicious-html-attachments-doubles/">資安業者揭露2023年第一季電子郵件夾帶惡意HTML附件的比例已接近5成</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-04_160210.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_160210.png" style="width: 280px; float: right;" /></a> 資安業者Barracuda Networks在5月3日公布一項威脅研究指出，過去網路犯罪者濫用HTML已經相當流行，但如今現況又比過去一年嚴重許多，顯然，攻擊者有更普遍濫用的趨向。 根據該公司分析，他們去年5月掃描所有帶有HTML附件的電子郵件，發現有21%的HTML檔是惡意的，到了2023年3月，他們掃描發現有45.7%的HTML檔（含XML）是惡意的，其中3月7日與23日有兩次高峰期。特別的是，在7日檢測到的惡意HTML檔，有超過7成的文件是重複的檔案，而23日的惡意HTML中，有8成5都是不重複的檔案，這意味著每一次攻擊都是不同的。 <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-unauth-upgrade-UqhyTWW?vs_f=Cisco%20Security%20Advisory&vs_cat=Security%20Intelligence&vs_type=RSS&vs_p=Cisco%20SPA112%202-Port%20Phone%20Adapters%20Remote%20Command%20Execution%20Vulnerability&vs_k=1">思科警告SPA112電話轉接器含RCE漏洞，呼籲用用戶汰換產品至ATA 190系列</a> 思科在5月3日披露SPA112 2-Port電話轉接器（Telephone Adapters）存在CVSS評分9.8分的CVE-2023-20126漏洞，該漏洞存在於其Web管理介面，可允許未經身份驗證的遠程攻擊者在受影響的設備上執行任意程式碼。 關於造成此漏洞的原因，思科解釋，是因為韌體升級功能缺乏身分驗證所導致，攻擊者可以透過精心製作的韌體版本來利用此一漏洞。目前，思科尚未說明是否發布韌體更新來解決此一漏洞，原因是該產品生命週期結束，但鼓勵客戶汰換產品至ATA 190系列。 <a href="https://ieeexplore.ieee.org/stamp/stamp.jsp?arnumber=10098782&tag=1">OSU研究駭客可利用智慧電錶破壞電力網路穩定</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-04_173250(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_173250(1).png" style="width: 280px; float: right;" /></a> 近期來自奧勒岡州立大學（Oregon State University, OSU）的Falah Alanazi與Jinsub Kim，以及來自Prince Sattam Bin Abdulaziz大學的Eduardo Cotilla-Sanchez，合力發表了一份研究報告，是探討電力傳輸網路在負載振盪攻擊（Load Oscillating Attacks）下的弱點。 他們在研究中證明了，攻擊者只需振盪少量負載、監測某些橋接線流，就可成功發動負載振盪攻擊、利用操控智慧電表的方式，來破壞電力網路的穩定性。研究人員表示，雖然這樣的發現令人不安，但也為電力營運業者找出對策上提供一個起點。 <a href="https://www.facebook.com/165bear/posts/610576861113375?__cft__[0]=AZVB7hc_gbq5Iex0nQnt-FVU3oHjMeBXjBgnlBkNA6P0zNfbkqnjZ_n0C5aB1KzuM1LNYweIKJduUFdd0bkpL_b1w4dZHX_liYb_aNSe2dEYAGubDFirucO8-tAFcpnVd2AHINnqwD2Zw2jrPqrJa4PpWpgH7DOFsvU5KLt-HPTKJSpxditt4ETMhfepsBHAuVtbWq49ofSs7EjHIu5Q1IqF&__tn__=%2CO%2CP-y-R">2023年第一季解除分期付款詐騙高風險賣場公布，蝦皮購物居第一</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-04_173427.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_173427.png" style="width: 280px; float: right;" /></a> 我國刑事局公布2023年第一季前五大高風險賣場，其中以知名電商平台「蝦皮購物」位居第一，警方受理案件數為781件，其次為鞋全家福（426件）、旋轉拍賣（359件）、車庫娛樂（247件），以及威秀影城（200件）。由於這些年來解除分期付款詐騙不斷，經警方分析大多以駭入電商資料庫，進而竊取用戶個資，警方持續不斷宣導，要瞭解攻擊手法，要認知不肖份子會先假冒電商平臺等業者的客服人員，再假冒銀行客服人員來電，因此不要片面以為對方有網路交易資料，也有銀行人員來電而誤信，需瞭解威脅態勢與懂得正確查證。 <a href="https://edition.cnn.com/2023/04/29/us/ai-scam-calls-kidnapping-cec/index.html">AI語音讓「綁架騙局」更可信，FBI指出可建立通關密語破解</a> 冒名聲稱綁架騙局存在多年，有時，來電者人會聯繫其祖父母，說他們的孫子出事需要錢，或是騙稱綁架企業高層，要公司支付贖金，甚至可將鎖定企業的商業電子郵件BEC詐騙那一套搭配利用，近期CNN再度報導此事，因為2023年至今，以AI假冒語音方式來取信的來電詐騙事件引起相當大關注，報導中提出FBI探員Siobhan Johnson指出，這類計畫越來越複雜，最近這些事件都有一個共通點，就是利用門檻降低的AI技術來複製聲音，創造出更像受脅迫者的對話聲音，因此，Johnson也提供一些避免被騙的技巧，例如，不要相信你在通話中聽到的聲音，請其他人幫忙嘗試聯繫遭綁之人，以及建立只有親近的人知道才知道的家庭通關密語，可以更好識破他人假冒。 <h3>【漏洞與修補】</h3> <a href="https://chromereleases.googleblog.com/2023/05/stable-channel-update-for-desktop.html?m=1">新版Chrome瀏覽器修補15個安全漏洞</a> 日前Google緊急修補了兩個零時差漏洞，在5月2日的最新安全性更新中，這次共修補了15個漏洞，預計接下來針對Windows、Mac 和 Linux釋出穩定版本，同時也提醒用戶注意更新。在這次修補中，儘管Google表示這些漏洞不算嚴重，但其中的CVE-2023-2459漏洞，值得注意，雖然它只是一個中風險漏洞，但Google給予漏洞通報研究人員的獎勵達7,500美元，而從NIST NVD資料庫的說明來看，該漏洞涉及Chrome的Prompt功能，攻擊者可以通過精心製作的HTML頁面繞過權限限制。 <h3>【資安防禦措施】</h3> <a href="https://www.nist.gov/system/files/documents/2023/04/24/NIST%20Cybersecurity%20Framework%202.0%20Core%20Discussion%20Draft%204-2023%20final.pdf">NIST CSF 2.0草案出爐，增加「治理」核心構面</a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-04_144901.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_144901.png" style="width: 280px; float: right;" /></a> 近年來，美國國家標準與技術研究所發布的NIST CSF網路安全框架，已成各界強化資安防禦的重要參考，儘管許多組織認為現階段的CSF 1.1仍然有效可應對網路安全風險，但NIST認為，為了應對技術與風險變化，一些改變仍有其必要，不只希望讓內容更明確，同時也移除關鍵基礎設施的用語，讓內容更適用所有企業。根據NIST在4月24日首次公布NIST CSF 2.0的草案內容，我們可以看到，2.0版框架將1.1版所定義的5大核心構面，演進為6個核心構面（治理、識別、保護、偵測、回應、復原），其中「治理」是新增的核心功能構面，此外，原本1.1版的23個類別與108個子類別，在新版中也演變為21個類別與112個子類別。目前，NIST CSF 2.0版草案將於2023年夏季公開徵詢意見。 <a href="https://security.googleblog.com/2023/05/so-long-passwords-thanks-for-all-phish.html">Google帳號開始支援Passkey登入，讓用戶不用煩惱密碼管理，也比原本2SV更安全方便</a> 在Chrome瀏覽器支援Passkey的5個月後，Google在5月3日宣布，Google帳號開始支援Passkey的無密碼解決方案。關於Passkey的好處，Google指出，Passkey是基於FIDO 2/WebAuthn標準，因此，這種驗證使用者登入帳號的方式，要比傳統密碼安全，也比2步驟驗證安全而方便。現在，Google帳戶使用者已經可以使用密碼金鑰（Passkey）來登入，強化帳號登入安全，也可以為不同裝置建一個passkey，以便於現在人們多裝置的使用習慣。 <h3> </h3> <h3>【其他新聞】</h3> <a href="https://www.securityweek.com/ransomware-attack-affects-dallas-police-court-websites/">勒索軟體攻擊美國達拉斯警方、法院網站</a> <a href="https://krebsonsecurity.com/2023/04/many-public-salesforce-sites-are-leaking-private-data/">駭客正利用TBK DVR設備5年前已知未修補漏洞取得設備管理權限</a> <a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/">Meta發現今年3月以來，有10款惡意程式家族偽裝ChatGPT或類似的AI工具</a> <a href="https://blog.cyble.com/2023/04/28/citrix-users-at-risk-aresloader-spreading-through-disguised-gitlab-repo/">惡意程式載入器AresLoader不僅散布多種惡意軟體，最近還鎖定Citrix用戶攻擊</a> <a href="https://thehackernews.com/2023/05/researchers-uncover-new-bgp-flaws-in.html">邊界閘道協定軟體FRRouting出現漏洞，恐被用於發動阻斷服務攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156694">【5月3日】中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制</a> <a href="https://www.ithome.com.tw/news/156667">【5月2日】俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊</a> <a href="https://www.ithome.com.tw/news/156623">【4月28日】越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer</a> </div></div></div>
2023/5/4 17:28作者羅正漢https://www.ithome.com.tw/news/156721
【資安月報】2023年4月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一個月的資安月報中，有3大資安議題是關注焦點，包括3CX VoIP供應鏈攻擊事件的後續，生成式AI強化資安解決方案應用增加，以及員工為了方便將企業機敏資料輸入上傳到ChatGPT的問題。 首先，關於3月底CrowdStrike、SentinelOne、Sophos等資安業者揭露的3CX VoIP系統軟體供應鏈事件，不僅是讓軟體供應鏈問題再次成為焦點，而在4月更多調查結果出爐之後，更是發現另一起X_Trader軟體供應鏈攻擊才導致3CX被入侵。 一開始，在3CX VoIP的事件中，原先調查指出，3CX官網上提供的Windows與macOS的桌面程式Electron，被加料植入暗藏木馬的ffmpeg.dll，將下載惡意Payload，且該更新檔案具有合法程式碼簽章，後續另一家資安公司Mandiant指出，確認3CX網路之所以被入侵，是因為攻擊者之前入侵了股票交易自動化業者Trading Technologies的網站，從而散布被駭客竄改的X_Trader應用程式，換言之，這次事件是先藉由一起軟體供應鏈攻擊，再發動另一起軟體供應鏈攻擊；此外，到了4月底，又有另一家資安業者賽門鐵克揭露X_Trader軟體供應鏈攻擊的危害情形，指出至少發現有4個關鍵基礎設施（CI）遭到攻擊。 前兩個月ChatGPT當紅，對於資安領域的影響到4月仍持續發酵，例如，繼微軟Security Copilot後，Google也用生成式AI強化自家資安解決方案，該公司在4月RSA大會期間宣布，開始應用專屬大型語言模型Sec-PaLMSu於多項安全解決方案，促進以生成式AI強化安全性，希望激發安全運作上的變革，並期望解決資安技能差距的問題；而已併入Google的惡意軟體分析網站VirusTotal，也宣布將運用生成式AI增強威脅分析能力，以Google Cloud的Security AI Workbench為基礎，提供程式碼分析服務Code Insight。 另外，在ChatGPT風潮下的威脅態勢，前一個月已有不少新興技術濫用風險示警的消息，以及假冒名義的惡意活動不斷被揭露，特別的是，關於員工不當使用、影子IT的問題，更是屢屢成為本月重點議題。 月初即傳出三星發生軟體開發員工為了自身方便，將整份程式碼上傳到ChatGPT對話以找出程式碼錯誤之處，沒顧及企業機敏資料可能外流的情形，可能被AI拿去學習，使得ChatGPT回答別人答案可能出現公司資料；到了月底又有資料安全服務商針對員工擅自將企業資料輸入到ChatGPT的情形提出報告，統計旗下不同產業企業用戶160萬名員工的資料上網情形，發現有3.1%比例員工，將不能外流的企業機敏資料輸入到ChatGPT。 由於相關消息接連不斷傳出，在如今這股ChatGPT應用潮流下，對於保護企業資料，如何在技術提供的價值與安全之間取得平衡，勢必會持續受到探討。 <h2><a href="https://www.ithome.com.tw/news/156420">【資安週報】2023年4月6日到4月14日</a></h2> 在清明連假後的一周半中，共有10個已知漏洞遭利用的情形，包含蘋果緊急修補的CVE-2023-28205、CVE-2023-28206漏洞，以及微軟4月安全性更新所修補的CVE-2023-28252漏洞，發現遭攻擊者利用部署Nokoyawa勒索軟體，以及Veritas備份軟體2021年的3個已知漏洞去年底BlackCat勒索軟體利用，近期被資安業者揭露。 另有4個漏洞本期尚未報導，但亦確認遭攻擊者成功利用情形，值得注意，包含兩個今年揭露的漏洞：Novi Survey的漏洞（CVE-2023-29492 ）、Android的漏洞（CVE-2023-20963），以及兩個早年的已知漏洞：微軟的漏洞（CVE-2019-1388）、Arm的漏洞（CVE-2019-1388）。在其他漏洞修補消息方面，包括威聯通、HP、SAP、西門子、施耐德、Adobe也發布安全更新，還有JavaScript沙箱程式庫VM2的漏洞值得留意。 關於威脅態勢的揭露方面，最受關注的是，勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入與執行的情形，以及駭客濫用Telegram的情況是越來越嚴重，其他可留意的是後門程式Balada Injector、竊資軟體Creal、Mirai變種RapperBot的動向，以及竊資軟體Typhon加入大量混淆反分析的揭露。 另外要特別一提的是，假ChatGPT、Google Bard名義的威脅也增加，同時，如同與員工擅自將公司資料上傳到個人雲端儲存空間存放情形類似，近期不少企業正關注員工是否可能將公司機密資訊，擅自輸入ChatGPT的問題。 至於國內焦點方面，包括假冒財經名人、主播名義的詐騙呈現持續橫行情形，甚至台積電創辦人的夫人張淑芬也遭冒名後，這類問題更受關注，因此，Meta與Google等平臺業者的自動審核廣告機制，顯然已被網路犯罪者找到容易突破的方式，業者再不設法解決，等於讓廣告成網路攻擊與詐騙發動溫床；Google Cloud近期揭露去年第四季報告中，提及中國駭客組織APT41當時鎖定目標是臺灣媒體。 <h2><a href="https://www.ithome.com.tw/news/156522">【資安週報】2023年4月17日到4月21日</a></h2> 這一周的漏洞消息中，有6個漏洞遭利用的情形最受關注，首要焦點就是Chrome的兩個零時差漏洞CVE-2023-2033、CVE-2023-2136，後者更是影響所有基於Chromium瀏覽器，而列印管理軟體系統PaperCut在3月修補的CVE-2023–27350的RCE漏洞，近日亦發現出現攻擊活動，還有俄羅斯駭客組織APT28利用存在於Cisco IOS與Cisco XE軟體的SNMP子系統漏洞CVE-2017-6742漏洞的揭露。另有兩個漏洞本期周報尚未提及，<a href="https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q">以物件儲存服務MinIO公告的CVE-2023-28432漏洞</a>須特別留意，另一是<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-8526">Apple macOS的漏洞CVE-2019-8526</a>。在漏洞修補方面，焦點包括Oracle季度更新修補433個漏洞，以及VMware、ChatGPT、Juniper的漏洞修補。 在重要資安事件方面，3CX VoIP系統軟體供應鏈的攻擊事故有後續消息，格外引發關注，因為3CX之所以被入侵，是因為攻擊者先入侵股票交易自動化業者Trading Technologies的網站散布被駭客竄改的X_Trader應用程式，等於是藉由供應鏈攻擊入侵，再發動影響更廣泛的供應鏈攻擊。 其他值得警惕的資安事件，除了Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料甚至包含Laravel的金鑰，企業淘汰的網路設備在二手市場上被發現有洩露企業內部網路環境敏感資訊的狀況，同樣必須留意，這如同企業淘汰的列印設備其硬碟資料未妥善清除狀況相同，重點是，可別以為這些汰換的網路設備沒有機敏資訊要清除，就能直接汰換，應該也要針對組態設定重置並確定無疑慮再丟棄。 在威脅態勢方面，以勒索軟體新動向受矚目，包括勒索軟體LockBit攻擊的平臺已從Windows、Linux及VMware ESXi環境擴及macOS，以及勒索軟體Vice Society近期威脅增加，並有資安業者揭露該攻擊者利用新的PowerShell指令碼w1.ps1來規避資安系統，還有勒索軟體駭客濫用名為Action1的遠端管理平臺（RMM）的揭露；竊資軟體消息也不少，包括竊資軟體Aurora利用Youtube影片宣傳假破解軟體來散布，以及Zaraza Bot竊資軟體、Chameleon的安卓惡意軟體的揭露。 <h2><a href="https://www.ithome.com.tw/news/156657">【資安週報】2023年4月24日到4月28日</a></h2> 在這一周的漏洞消息中，首要焦點是，ZDI警告TP-Link於3月中修補的CVE-2023-1389漏洞，已經被Mirai殭屍網路病毒的攻擊行動利用，在最新漏洞修補消息方面，包括思科、SolarWinds與VMware的修補動向值得關注。另外在51連假期間，還有兩個已知漏洞確認遭利用情形，本期週報尚未提及，值得優先注意，包括Apache的CVE-2021-45046，以及Oracle在1月修補的CVE-2023-21839漏洞。 在威脅態勢與攻擊焦點方面，中國駭客組織Evasive Panda散布後門程式MsgBot的攻擊活動揭露最受關注，因為是利用騰訊Tencent QQ即時通訊軟體的更新管道散布，而其鎖定對象是國際非政府組織（NGO）人士；另一焦點是中國駭客組織Alloy Taurus開發Linux後門程式PingPull的揭露。 其他惡意活動消息，包括：惡意軟體Lobshot、惡意軟體載入器Bumblebee均透過Google廣告散布的揭露，惡意軟體RustBucket、竊資軟體Atomic均針對Mac電腦攻擊的揭露，以及又有新針對Kubernetes而來的攻擊行動，勒索軟體RTM Locker的動向等。 在國內的資安相關消息中，除了調查局資通安全處失火的消息受外界關注，還有兩起警方偵辦事件中所存在的資安議題，也引起不少人注意，分別是線上影視平臺LiTV今年1月發生資料遭刪除，警方調查研判是前員工利用商家Wi-Fi無線網路並盜用其他員工帳號進而存取防火牆設備以入侵，另一事件本期週報尚未提及，是關於永豐金提告前財務長、永豐銀前總座張晋源涉嫌賤賣永豐金子行美國遠東銀行（FENB）的調查，根據<a href="https://www.cna.com.tw/news/afe/202304260376.aspx">國內報導指出</a>，鑑識時發現張晋源在離職後將公司派發電腦中的資料清除，且不排除使用腐蝕性液體破壞可能。 <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3> </h3> <h3> </h3> </div></div></div>
2023/5/3 17:27作者羅正漢https://www.ithome.com.tw/news/156683
英特爾揭2023至2025伺服器平臺藍圖，將推出144顆核心處理器，力抗其他超多核心CPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/xeon_roadmap_2023-2025-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> 英特爾 </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 經過3年來的技術發展與持續宣傳，採用Intel 7製程、代號為Sapphire Rapids的第四代Xeon Scalable處理器，英特爾終於在今年1月10日正式發表，而後續接棒的伺服器運算平臺，早在兩年前他們已向市場陸續揭露。 例如，英特爾2021年上半召開的<a href="https://www.ithome.com.tw/tech/146497">IDM 2.0策略發表會、Accelerated 2021發表會</a>，均預告下一代的伺服器處理器代號，會是「Granite Rapids」，採用Intel 4製程。 <a href="https://s4.itho.me/sites/default/files/images/2021-03-Granite Rapids Intel web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-03-Granite%20Rapids%20Intel%20web.jpg" style="width: 300px;" /></a> 到了2022年2月的<a href="https://www.ithome.com.tw/news/149504">投資者大會，英特爾正式公開Xeon處理器最新發展藍圖</a>，提出更具體、更大規模的產品規畫布局。在Sapphire Rapids與Granite Rapids之間，他們增設代號為「Emerald Rapids」的下一代伺服器處理器，與Sapphire Rapids同樣採用Intel 7製程、處理器插槽也與Sapphire Rapids相容，預計2023年推出；至於再下一代的伺服器處理器，除了原本預告的Granite Rapids，還增加代號為「Sierra Forest」的產品，分別標榜高效能核心（P-Core）、高效率核心（E-Core）的搭配。 <a href="https://s4.itho.me/sites/default/files/images/Intel 2024 Roadmap 1-Xeon 圖片來源／英特爾.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%202024%20Roadmap%201-Xeon%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></a> 基本上，Granite Rapids著重每顆核心的運算效能，鎖定主流與高階的雲端與資料中心應用需求，而身為第一款基於E-Core而成Xeon處理器Sierra Forest，強調高能源效益，是專為支援雲端原生應用而設計，可因應低延遲或高吞吐量的應用，而且是他們與超大規模的資料中心業者共同設計，其效能與耗電量配置適用於需建置高密度與超高能源效率運算環境的雲端業者。而且，這兩款處理器產品的製程均為技術更新進的Intel 3，預計在2024年登場。 由於P-Core系列產品是繼承、延續現行Xeon Scalable處理器的高效能路線，因此，大家都很熟悉其產品定位，關於特別增設E-Core系列的具體效益，看起來很抽象。 根據英特爾企業副總裁暨Xeon與記憶體事業群總經理Lisa Spelman當時所發表文章指出，原本由單一P-Core所占用的實體空間，可改用多個E-Core，如此能在單顆處理器與單座機櫃的部署層級，提供更高的運算密度。此種說法一出，似乎暗示英特爾將基於這樣的設計架構，而能發展出內建更多顆運算核心的Xeon處理器，但真是如此嗎？ 這個謎底在今年3月底揭曉，因為英特爾在線上召開資料中心與人工智慧投資者研討會，公布第四代Xeon Scalable的客戶採用狀況之餘，更明確介紹後續產品的發展現況、供應市場的時程，以及主要特色，當中特別提到Sierra Forest將內建144顆運算核心，正式投入超多核心的伺服器運算平臺。 <a href="https://s4.itho.me/sites/default/files/images/2023-03-29-Xeon Roadmap 2025 圖片來源／英特爾-Web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-29-Xeon%20Roadmap%202025%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE-Web.png" style="width: 600px;" /></a> <h3>Emerald Rapids定名為第五代Xeon Scalable</h3> 根據英特爾去年2月公布的Xeon處理器產品發展藍圖，在第一款採用P-Core設計的Sapphire Rapids問世之後，下一款同樣搭配P-Core的伺服器處理器，會是Emerald Rapids，具有效能改善，以及基於既有平臺而延伸的記憶體、安全性效益，主打易於採用與升級物超所值的特色。 而在今年3月英特爾揭露的伺服器產品線最新發展進度中，他們正式將Emerald Rapids稱為第五代Xeon Scalable處理器，並表示從工廠端生產出來的矽晶片品質相當高，目前正在進行產品的大量驗證，而從3月29日起，他們對客戶供應樣品，預計今年第四季開始供貨。 <a href="https://s4.itho.me/sites/default/files/images/第五代Xeon Scalable.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%BA%94%E4%BB%A3Xeon%20Scalable.jpg" style="width: 600px;" /></a> 英特爾執行副總裁暨資料中心與人工智慧事業群總經理Sandra Rivera表示，第五代Xeon Scalable提供更多顆處理器核心，而且相容於第四代Xeon Scalable，未來若要升級硬體，能在最少的相容性驗證負擔之下，將既有系統輕易地遷移至第五代Xeon Scalable，並在相同的耗電量範圍內，提供更高的每瓦效能，以及透過新一代CPU內建的多種硬體加速器、強化的安全性特色，以及增長的運算效能，加快整體系統的部署速度。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-DCAI-Webinar-Rivera-1-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-Emerald-Rapids-Chip-1-web.jpg" style="width: 298px;" /> <h3>2024年上半將推出144顆核心的伺服器CPU</h3> 在Emerald Rapids發表之後，英特爾下一個推出的伺服器平臺，是採用E-Core設計的處理器Sierra Forest，目前已有客戶拿到這款晶片，即日起他們開始對外提供樣品，預計在2024年上半出貨；在這不久之後登場的，則是第三款採用P-Core設計的處理器Granite Rapids。 Sierra Forest的推出，象徵英特爾Xeon產品線幾個大創舉。首先，它不僅是第一顆導入E-Core設計的處理器，也是第一顆導入Intel 3製程的處理器，而且令外界震驚的是，當中將一口氣提供多達144顆E-Core核心，Sandra Rivera強調，這款處理器相較於超大量核心的資料中心處理器，以及基於Arm架構、企業自行開發的處理器，具有很強的競爭力，他們開發的E-Core核心Xeon處理器，將會提供最佳的每瓦效能，同時能繼續善用x86指令集架構的生態系統優勢。 而在產品發展現況上，Sandra Rivera表示，這款處理器已在本季度稍早進入能用於系統開機啟動的階段，能在矽晶片當中啟動、執行多種作業系統。 <a href="https://s4.itho.me/sites/default/files/images/Intel Sierra Forest-2023-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Sierra%20Forest-2023-03.jpg" style="width: 600px;" /></a> 英特爾副總裁暨Xeon產品事業群總經理Lisa Spelman也公開展示相關配置，她透過一臺裝有Sierra Forest處理器的Linux系統，執行一支能將所有處理器核心用量衝到100％工作負載的應用程式，以此呈現144顆核心的能耐。 <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-144 Cores-20223-03-30.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-144%20Cores-20223-03-30.jpg" style="width: 600px;" /></a> 她表示，Sierra Forest目前已從晶圓廠進入伺服器開機、完整啟動作業系統的階段，過程所需時間低於18小時，此舉不僅展示了英特爾的高品質執行力，同時，在產品開發的進度上，帶給他們更大的信心，而在用戶方面的反應也很熱烈，因為目前有幾個頂尖的雲端服務業者的客戶都很有興趣，亟於了解這款高密度產品提供的每瓦效能，希望能以此用於步入成熟發展階段的x86生態系。 <h3>2024年稍晚推出的Granite Rapids將支援更高頻寬的記憶體</h3> 接續在Sierra Forest之後登場的Xeon處理器是Granite Rapids，同樣在2024年推出，發表日期目前尚無法透露，目前已開始提供樣品，也得到客戶的正面評價。Sandra Rivera表示，首批從晶圓廠出爐的Granite Rapids晶片相當健全，整體計畫的推動處於極佳狀態，他們在此項產品工程設計與製造的過程當中，已觸及所有主要的里程碑，而在伺服器廠商方面，英特爾也引述Dell、HPE、聯想這三大客戶高層主管的評語，呈現他們對於Granite Rapids晶片健全發展，以及初步測試結果的印象。 由於Granite Rapids上市時間稍晚，英特爾表示，此款Xeon處理器所用的平臺與早一步推出的Sierra Forest相同，因此，可共享Sierra Forest帶來的智慧財產與技術創新，縮短開發與設計時間，而在產品特色上，Sandra Rivera預告，相較於前一代產品（英特爾未明確指出是與第四代或第五代Xeon Scalable相比）Granite Rapids將提供更多運算核心、改善每瓦效能、更快的記憶體存取，以及I/O層面的創新。 <a href="https://s4.itho.me/sites/default/files/images/Intel Granite Rapids-2023-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Granite%20Rapids-2023-03.jpg" style="width: 600px;" /></a> 在這次線上說明會當中，英特爾也搶先展出Granite Rapids記憶體應用新特色。Lisa Spelman表示，他們特別針對Granite Rapids平臺，設置了全世界速度最快的記憶體存取介面——英特爾帶領相關的生態系統開發出新的DIMM記憶體模組，稱為「結合多工器的排列（Multiplexer Combined Rank，MCR）」，能基於DDR5規格的DRAM記憶體，將存取速度提升至8,800 MT/s。透過一臺已安裝Granite Rapids處理器與MCR DIMM規格DDR5記憶體的Linux系統，她秀出相關硬體資訊，而從畫面呈現來看，此系統搭配的4支DRAM記憶體，其傳輸速度均為8,800 MT/s，之後執行Intel Memory Latency Checker這項軟體工具來測量讀寫速度，呈現純讀取的效能為188949.7 MT/s，讀寫比例為3比1的效能為259492.3 MT/s。 <a href="https://s4.itho.me/sites/default/files/images/Intel Granite Rapids-DDR8800.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Granite%20Rapids-DDR8800.jpg" style="width: 600px;" /></a> 當記憶體存取速度大幅提升到8,800 MT/s，對於整個IT產業而言，其實還有另一層意義。Lisa Spelman解釋，在人工智慧、高效能運算等多種領域的工作負載執行過程當中，記憶體頻寬是排行第一的效能限制因素，所以，當我們面對現行中央處理器核心數量處於快速增長的發展趨勢，此項記憶體規格的突破至關重要，因為這能確保所有的處理器核心都能夠受到有效運用。 根據英特爾的測試，相較於目前伺服器平臺採用的記憶體技術，若系統搭配MCR DIMM規格的記憶體，尖峰頻寬提升的幅度為83％，而在2路伺服器系統當中，記憶體尖峰頻寬達到1.5 TB/s（DDR5-4800的記憶體尖峰頻寬為38.4 GB/s，DDR4-3200的記憶體尖峰頻寬為25.6 GB/s） 關於支援更快傳輸速度的DDR5記憶體，其實，在2022年11月舉行的Intel Innovation Taipei大會期間，英特爾企業副總裁暨資料中心平臺工程與架構總經理Zane Ball就已揭露這個發展面向，而且，透過該公司位於臺北的工程團隊所設置的環境，首度公開展示Xeon Scalable處理器平臺支援的記憶體組態，並且透過壓力測試工具來突顯採用這樣組態的系統的穩定執行情況。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Innovation%20Taiipei-Xeon1.jpg" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Innovation%20Taiipei-Xeon2.jpg" style="width: 400px;" /> 英特爾當時先呈現的組態，是以Xeon Scalable處理器搭配以5600 MT/s速度執行的DDR5記憶體（此處所指的Xeon處理器可能是Emerald Rapids，因為去年9月就有市場傳言指出）； <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-5600-2022-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-5600-2022-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-5600-2022-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-5600-2022-11-2%20new.jpg" style="width: 298px;" /></a> 接下來是搭配新一代Granite Rapids處理器平臺的系統，能支援以6400 MT/s速度執行的DDR5記憶體。 <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-6400-2022-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-6400-2022-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-6400-2022-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-6400-2022-11-2.jpg" style="width: 298px;" /></a> <h3>2025將推出第二款E-Core處理器</h3> 在Granite Rapids問世之後，再下一個登場的英特爾伺服器處理器平臺，是代號為Clearwater Forest的產品，是接續Sierra Forest的第二款E-Core處理器，預計在2025年上市，這款產品將採用Intel 18A製程，而且也是該公司兌現4年內發展5個製程節點的最終目標。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Intel%20Financial%20Report.jpg" style="width: 600px;" /> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/intel-xeon-roadmap">Intel Xeon Roadmap</a></div><div class="field-item odd"><a href="/tags/intel-xeon">Intel Xeon</a></div></div></div>
2023/4/29 17:58作者李宗翰https://www.ithome.com.tw/tech/156630
【資安日報】4月28日，越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 挾持企業臉書帳號，以發布廣告的方式來散布惡意軟體的手法，陸續傳出相關事故，本週有研究人員揭露一支名為SYS01 Stealer的竊資軟體，也以這種型式散布，以此發動攻擊的人可能來自越南。 針對Mac電腦的惡意軟體今年也有越來越多的現象，例如，研究人員發現駭客兜售竊資軟體Atomic，就是鎖定這個平臺的系統，並主打能透過50種瀏覽器套件來盜取使用者的加密貨幣錢包。 導致公司損失慘重，甚至被迫關門的資安事故，並非僅限於勒索軟體，臺灣傳出有高權限的離職員工對於先前任職公司進行網路攻擊事件，受害公司表示，若遭破壞的資料無法復原，可能無法繼續營運。 <h3>【攻擊與威脅】</h3> <a href="https://labs.guard.io/malverposting-with-over-500k-estimated-infections-facebook-ads-fuel-this-evolving-stealer-54b03d24b349">越南駭客散布竊資軟體SYS01 Stealer，管道是挾持企業臉書帳號來發送廣告</a> 資安業者Guardio揭露濫用臉書貼文散布惡意軟體的攻擊行動，保守估計全球超過50萬人受害。他們發現有越南駭客組織鎖定美國、加拿大、英國、澳洲的使用者，挾持臉書的企業帳號來發布惡意廣告貼文（Malverposting），藉由付費廣告宣稱提供折扣、免費軟體、線上購物的名義，引誘使用者上當，一旦受害者點選連結，就會下載含有惡意軟體的ZIP壓縮檔，但駭客為了騙過受害人，將壓縮檔裡面的惡意軟體偽裝成圖片，一旦執行就會在受害電腦植入惡意酬載SYS01 Stealer。 此惡意程式會在電腦系統的背景默默運作，並定期洩露瀏覽器的Cookie、帳號資料等。研究人員指出，駭客濫用Western Digital和Seagate等硬碟製造商提供的系統工具，以DLL側載的方式執行惡意程式，而能逃過防毒軟體的偵測。 <a href="https://www.bleepingcomputer.com/news/security/new-atomic-macos-info-stealing-malware-targets-50-crypto-wallets/">針對Mac電腦而來的竊資軟體Atomic，目標是洗劫50種加密貨幣錢包</a> <a href="https://s4.itho.me/sites/default/files/images/FumIda7WAAkfZQq.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FumIda7WAAkfZQq.png" style="width: 300px; float: right;" /></a>資安業者Cyble、Trellix發現名為Atomic的竊資軟體（亦稱AMOS），針對Mac電腦而來，駭客在Telegram頻道以1千美元的訂閱費用兜售，引起研究人員的注意。 分析他們所販售的惡意程式之後，研究人員發現，在電腦開機啟動時會透過假的權限對話框，要求使用者輸入密碼，藉此取得受害電腦的系統權限，成功後該惡意軟體便會試圖竊取Keychain的密碼、macOS內建密碼管理器的資料，裡面有網站帳密資料、信用卡資料，還有Wi-Fi密碼等其他資訊。 值得留意的是，在搜括完上述資料後，此竊資軟體會進一步在受害電腦上找尋其他資料，例如加密貨幣錢包的應用程式、瀏覽器擴充套件、瀏覽器個人設定檔等，其中，Atomic針對的加密貨幣錢包瀏覽器擴充套件就多達50款。 <a href="https://www.elastic.co/security-labs/elastic-security-labs-discovers-lobshot-malware">惡意軟體Lobshot透過Google廣告散布</a> Elastic旗下的安全實驗室揭露惡意軟體Lobshot的攻擊行動，駭客假借提供遠端桌面軟體AnyDesk的名義，透過Google廣告來散布此惡意程式，一旦使用者點選廣告，就會被引導到幾可亂真的冒牌AnyDesk網站，下載、執行安裝程式，若是使用者照做，電腦就會被植入Lobshot。 研究人員指出，該惡意程式採用Hidden Virtual Network Computing（HVNC）元件，而使得攻擊者能在不被發現的情況下存取受害電腦。此外，該惡意程式在啟動的時候，也會針對Microsoft Defender進行反模擬檢查，像是確認電腦名稱是否含有HAL9TH、使用者名稱是否為JohnDoe，一旦察覺是此防毒軟體的模擬層環境，Lobshot就會停止運作。 <a href="https://blog.aquasec.com/leveraging-kubernetes-rbac-to-backdoor-clusters">Kubernetes的API存取控制機制RBAC遭到濫用，駭客接管並用於挖礦</a> 資安業者Aqua Security揭露針對Kubernetes而來的攻擊行動，駭客濫用此系統的API存取控制機制Role-Based Access Control（RBAC），進而在Kubernetes環境建立後門，接著，他們還部署名為DaemonSets的工具，進一步接管Kubernetes叢集的資源。研究人員發現，迄今駭客至少針對60個Kubernetes叢集發動攻擊。 駭客先是針對API錯誤配置的伺服器下手，以具有權限的匿名使用者身分，發出未經身分驗證的請求而入侵目標伺服器，進而在Kubernetes建立具有管理員層級權限的服務帳號kube-controller，最終建立DaemonSet工作，從Docker Hub拉取容器映像檔，利用受害伺服器挖取門羅幣。目前駭客已挖到至少5個門羅幣。 <a href="https://www.uptycs.com/blog/rtm-locker-ransomware-as-a-service-raas-linux">Linux、NAS與VMware虛擬化平臺遭到勒索軟體RTM Locker鎖定</a> 資安業者Uptycs於暗網發現Linux版的勒索軟體RTM Locker，主要攻擊目標是VMware的ESXi伺服器，但研究人員指出，該勒索軟體也可以在其他Linux主機、NAS設備上執行。 根據其程式碼的分析，駭客很可能是利用勒索軟體Babuk外洩的程式碼為基礎打造。一旦執行，RTM Locker會先利用esxcli命令搜尋正在運作的虛擬機器（VM），然後下達強制停止的指令，再加密ESXi的事件記錄檔案（LOG）、虛擬磁碟（VMDK）、虛擬記憶體（VMEM）、快照檔案（VMSN）等。 <a href="https://www.cna.com.tw/news/asoc/202304270204.aspx">線上影視平臺LiTV雲端基礎設施1月遭破壞，初步調查結果出爐，疑為離職工程師報復，已拘提、交保候傳</a> 根據中央社、聯合新聞網、TVBS等媒體的報導，線上影視平臺LiTV於今年1月24日，發現公司網路遭到入侵，刪除資料庫及提供影音服務的雲端虛擬伺服器。該公司農曆春節期間緊急召回員工搶修，數日後恢復正常，初估損失近3千萬元。 刑事警察局接獲報案進行調查，分析被害公司防火牆日誌紀錄，發現設籍基隆市的49歲陳姓資訊工程師涉嫌重大，此人於1月24日利用臺北市松山區商家的Wi-Fi無線網路，盜用該公司員工帳號連線防火牆設備，存取內部網路，然後再使用公司管理層的帳號登入AWS及GCP，刪除雲端伺服器及資料庫內容。由於陳姓嫌犯曾任職LiTV，不排除上述行為是挾怨報復。 刑事局專案小組2月20日拘提到案，陳嫌辯稱犯案動機與訂閱LiTV影視服務有關，警方訊問後依涉嫌妨害電腦使用罪嫌解送北檢偵辦，檢察官諭令陳嫌以10萬元交保候傳。 <h3>【資安產業動態】</h3> <a href="https://cloud.google.com/blog/products/chrome-enterprise/secure-enterprise-browsing-more-data-protections-visibility-and-insights">強化企業版本Chrome安全，Google提供擴充套件評估工具</a> Google宣布強化企業版Chrome瀏覽器的安全性，將針對3種領域進行改進。首先是對於資料外洩防護（DLP）的部分，該公司結合了3項新功能，第1個是能根據裝置的安全狀態派送DLP政策，再者，則是能禁止使用者存取特定網站（或特定類型的網站），其次，新的防護措施也能防範使用者不慎印出含有機敏資料的文件。 第2個Google強化的項目則是擴充套件的管理，他們與CRXcavator和Spin.AI合作，提供瀏覽器擴充套件的風險評估工具。第3個部分則是安全事件分析的功能，該機制會在使用者安裝擴充套件，或是瀏覽器當機的時候通知管理者，讓IT人員確認過程是否出現異常。 <h3> </h3> <h3>【其他新聞】</h3> <a href="https://securityaffairs.com/145307/cyber-warfare-2/canadian-gas-pipeline-disruptive-attack.html">加拿大天然氣管線遭到俄羅斯駭客Zarya攻擊</a> <a href="https://cybernews.com/security/peugeot-user-data-leak-south-america/">南非Peugeot分公司外流車主資訊</a> <a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/hiddenads-spread-via-android-gaming-apps-on-google-play/">山寨Minecraft手機App在系統背景載入廣告牟利</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156594">【4月27日】中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來</a> <a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a> <a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a> </div></div></div>
2023/4/28 16:58作者周峻佑https://www.ithome.com.tw/news/156623
【Container周報第153期】CNCF公布平臺工程白皮書，K8s程式碼儲存庫搬新家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2023/4/1～4/28 精選容器新聞： <h3> #K8s更新、#儲存庫搬家 K8s在四月初發布1.27版更新，一口氣推出60項強化功能，更要注意K8s儲存庫搬家了</h3> K8s社群在4月11日發布了1.27版新版，雖然取了一個歡樂的代號(代號Chill Vibes，意思是放鬆氛圍），但其實這次改版的幅度相當大，一次發布高達60項的更新，其中包括了18項Alpha版測試新功能，另外有29項進入穩定堪用的Beta版，以及13項結束測試階段成為正式功能。其中一項重點是，提供K8s程式碼的容器映像檔儲存庫轉移到registry.k8s.io，取代了過去由Google維護的 k8s.gcr.io，來提高可用性。從4月開始，K8s的1.24、1.25和1.26版更新，將不會發布到舊版儲存庫中，企業得留意K8s原始碼來源若沒有更新，可能會出現錯誤訊息。 進入正式版的13項功能中，值得留意的是時區功能和CronJob排程管理，還有seccomp在1.27版成為預設功能，也就是說，這個用來限制Linux核心系統呼叫上限的功能，將成為預設，來避免錯誤配置導致容器暴增耗光資源而讓系統當機的情況。 <h3>#Platform Engineering、#CNCF 雲原生浪潮帶動平臺工程崛起，CNCF公布平臺白皮書，整理成功平臺的關鍵做法</h3> 隨著雲原生成為主流開發技術，不只發展出SRE方法論，最近也催生出平臺工程（Platform Engineering）新作法，從原本SRE團隊中，更細分出新的專責團隊，來服務內部的開發團隊或工程團隊。國外越來越多企業設立平臺工程團隊，或將現有IT維運團隊，轉型成平臺工程團隊來負責非功能性需求。 CNCF日前更公布了一份<a href="https://tag-app-delivery.cncf.io/whitepapers/platforms/">平臺白皮書</a>，歸納了平臺工程的發展趨勢，整理出這份白皮書。內容涵蓋打造一個成功平臺的關鍵做法，包括平臺有哪些重要的關鍵元素、如何組成一個平臺團隊，還有企業或組織擁抱平臺工程時會面臨的挑戰，另外還有一套衡量平臺績效的作法推薦，以及現有平臺工程工具和相關雲端服務清單。 例如CNCF在白皮書中就指出，一個成功的平臺有7大元素，包括了平臺產品化(Platform as a product)、重視使用體驗和開發者體驗(User experience)、提供了豐富文件和新手指南(Documentation and onboarding)、採取自助服務設計(Self-service)，還要盡可能降低認知負載(Reduced cognitive load for users)，並且要能提供選擇和組合能力(Optional and composable)，最後一項是得具備Secure by default的思維。 不只提供了平臺設計的技術實務，在白皮書中提出一個成功的平臺工程團隊有四大任務，第一項就是必須要設立平臺產品經理，才能以產品思維來管理這個平臺的發展，其次要研究平臺使用者（開發者）的需求，來規畫相關功能的發展藍圖，雖然是內部用的平臺，但是也要定期揭露產品藍圖，第三項則是要負責平臺價值（效益）的行銷、推廣、倡導行為和教育，平臺工程團隊不只是開發團隊，更是推廣團隊。最後一項任務才是技術性任務，平臺團隊要負責管理和開發使用者介面、可觀測性能力和相關服務，包括平臺入口網站、API、文件和範本、CLI工具。 <h3>#平臺工程、#IDP Google和麥肯錫帶頭，開源社群發布內部開發平IDP開發指南</h3> 隨著平臺工程浪潮崛起，如何打造一套自助式的內部開發者平臺，成了雲原生開源社群的新話題，最近，Google和麥肯錫多位產品經理更帶頭，集結開源社群，整理了一份內部開發者平臺的指南網站，從為何要注重內部開發者平臺的建置開始談起，更整理了內部開發者平臺的核心五大元素，包括了要有應用程式配置管理、基礎架構調度、環境管理、部署管理以及角色權限管理，也提供了一個內部開發者平臺的績效指標參考，10項開發流程作業的參考指標。另外還列出的提供內部開發者平臺服務的工具和雲端供應商，讓企業不用從頭開始自行打造。 <h3> #軟體供應鏈安全、#相依性分析自動化 5000萬個軟體版本後設資料集免費開放，還能自動產生相依性關係圖來判斷軟體供應鏈風險</h3> Google推出兩款保護開源軟體供應鏈安全的工具，其一是發布deps.dev API，供開發者免費存取deps.dev資料集，該資料集含有超過5,000萬個開源軟體套件版本的安全後設資料，另外，Google雲端的Assured OSS服務也正式開放，用戶可以方便取用經Google安全驗證過的開源套件。 deps.dev資料集收集來自Go、Maven、PyPI、npm和Cargo等5大軟體打包生態系的套件後設資料，涵蓋5,000萬個套件版本，Google不只收集還匯總這些資料，產生遞移相依關係圖、安全諮詢報告、OpenSSF安全計分卡等資訊，用戶不僅可以直接從deps.dev網站人工查詢，或是以雲端資料倉儲服務BigQuery進行大規模批次分析，現在還可以使用新推出的API，以程式開發方法即時存取資料集，並在自家工具、工作流程和分析中使用這些安全性資料。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9B%B8%E4%BE%9D%E6%80%A7%E9%97%9C%E4%BF%82%E5%9C%96-Google.png" /> <h3>#平臺工程實例、#ESG新創 用Chatbot降低開發者認知負擔，ESG新創揭露自家平臺工程作法</h3> 平臺工程浪潮開始崛起，也開始有率先採用者出面分享自家平臺工程建置經驗，例如永續科技新創Clarity AI。這是一家提供ESG分析服務的新創，每周追蹤200萬個數據點，利用AI模型進行ESG評分，可以評估不同類型活動的碳排數據，作為提供企業ESG分析所需，臺灣也有金融業者使用其ESG分析來提供顧客消費碳排數據。Clarity AI一位平臺工程經理Eduardo Ferro Aldama日前揭露了自家發展平臺工程的經驗。 他表示，Clarity AI為了三大目標開始發展平臺工程，甚至設立的專責團隊，第一是希望用來降低開發團隊的認知負載，減少錯誤或是降低新技術或元件的導入阻力，第二是為了改善工程團隊的生產力，例如平臺團隊打造的自助式內部開發者平臺，可以用來減少相互等待、提高部署頻率、縮短上線準備時間（commit to production)，最後一項目的則是可以將發布系統的管理權，和產品擁有權整合，來統一產品專案從開發到上線的管理。 例如Clarity AI打造了一個開發團隊的內部Chatbot，開發團隊在聊天室送出執行一項K8s任務的執行命令後，就會啟動相關的部署作業，也會把每一步的執行過程，以檢查清單的方式條列出來，讓開發者更清楚所下的指令的執行進度，而不像過去列出長篇敘述文字或Log紀錄。Eduardo Ferro Aldama表示，這就是一個降低開發者認知負載的好點子。(圖片來源：Eduardo Ferro Aldama) <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B3%E5%8F%B0%E5%B7%A5%E7%A8%8BBot(1).png" /> <h3> #容器安全、#EKS AWS威脅偵測服務開始支援容器安全偵測，可以即時監測EKS Runtime的威脅</h3> AWS威脅偵測服務Amazon GuardDuty最近發布三項更新，將防護範圍擴大至容器、資料庫和無伺服器應用，包括了可以偵測容器化工作負載威脅的EKS Runtime Monitoring，以及偵測Aurora資料庫資料的潛在威脅的RDS Protection，還有可分析Lambda應用程式相關惡意行為的Lambda Protection。 GuardDuty使用機器學習和異常行為偵測等技術，整合AWS自家與其他安全威脅情報，持續分析AWS帳戶和資源活動，來偵測諸如惡意行為、未經授權的存取，或是不安全來源等潛在威脅。也能即時阻擋連接埠掃描、惡意軟體橫向移動，以及已知惡意IP位置活動等不尋常行為。EKS Runtime Monitoring功能引入了一個全託管的輕量級安全代理，可以分析和監控主機作業系統的行為，諸如檔案存取、程序執行和網路連接等。 <h3>#網路效能強化、#AKS 微軟AKS正式提供CNI Overlay，大幅提高網路效能和雙叢集擴展限制</h3> 微軟在其Kubernetes服務AKS正式推出Azure CNI Overlay，這是一項能夠突破現有AKS網路工作負載規模和效能的服務，其所提供的網路效能可與主機網路相當，並且使叢集能夠線性擴展。微軟開發了新的Azure CNI Overlay解決方案。微軟在CNI之上創建了一個抽象層，簡化和最佳化網路配置，Azure CNI Overlay會從用戶所定義的抽象層地址空間分配IP地址，而不使用虛擬網路中的IP地址。 <h3>#叢集管理、#GKE Autopilot成為GKE預設叢集運作模式，不用再手動開啟自動管理基礎設施並提升安全性</h3> GKE最近宣布預設啟用Autopilot叢集模式。Google希望，透過預設啟用Autopilot大幅降低Kubernetes的學習曲線，能夠管理節點池和節點，讓剛接觸Kubernetes的用戶，也能夠妥善管理Kubernetes。Autopilot適合用於各種用例的預設配置，針對工作負載進行最佳化，用戶不需要計算節點大小和機器規格。Autopilot功能會自動根據定義啟動需要的基礎設施，並且配置需要的污點（Taint）和容忍度（Tolerations）屬性。 Autopilot相容於Kubernetes，能夠支援大多數Kubernetes工作負載，像是區塊存儲裝置StatefulSets、DaemonSets以及用於機器學習的GPU任務，同時也支援營運工作負載所需，包括OPA/Gatekeeper、Webhooks和IP偽裝等技術。 <h3>#Copilot、#AI輔助開發 VS Code揭露Copilot Chat新功能預覽，在程式碼行內就能與AI對話協作</h3> 微軟推出VS Code 1.77新版，最大特色是與GitHub深度連結，並且提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也可以使用到最新的Copilot Chat整合功能，在編輯器向人工智慧提問，並且獲得程式碼建議。 Copilot現在會在開發者處理程式碼時，在行內顯示建議，開發者也可以隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲，解釋程式碼的意義，甚至是創建測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。不過，開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限之外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。 更多新聞 New Relic調查：Amazon超越甲骨文成為最受歡迎的JDK供應商 @資料來源：iThome整理，2023年4月 責任編輯：王宏仁 </div></div></div>
2023/4/28 11:28作者王宏仁https://www.ithome.com.tw/news/156608
【資安日報】4月27日，中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國駭客組織的攻擊行動不時傳出，最近有研究人員揭露駭客組織Evasive Panda針對非政府組織（NGO）人士而來的惡意程式攻擊行動，駭客藉由當地常見的即時通訊軟體QQ更新的名義來進行，但由於研究人員取得的證據不足，他們初步認為是供應鏈攻擊，但也不排除了對手中間人攻擊（AiTM）的可能。 駭客利用軟體廠商已推出更新程式的漏洞發動攻擊的事故，也相當值得留意，其中又以針對列印管理伺服器PaperCut而來的攻擊行動特別引起研究人員關注，自PaperCut提出警告後，現在有研究人員指出，相關漏洞已被用於勒索軟體攻擊。 因IT業者遭駭而波及其代管服務的用戶，這樣的情況很可能引起用戶恐慌。美國電信業者AT&T證實內部網路遭到入侵，導致駭客能冒用使用者的權限存取電子郵件信箱，不過，AT&T目前尚未公開說明受害範圍。 <h3>【攻擊與威脅】</h3> <a href="https://www.welivesecurity.com/2023/04/26/evasive-panda-apt-group-malware-updates-popular-chinese-software/">中國駭客組織Evasive Panda疑似透過騰訊即時通訊軟體更新的管道，鎖定國際NGO組織人員散布後門程式</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Sequence-diagram-of-the-hypothesized-supply-chain-compromise.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Sequence-diagram-of-the-hypothesized-supply-chain-compromise.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織Evasive Panda散布後門程式MsgBot的攻擊行動，研究人員自2022年1月發現，這些駭客針對國際非政府組織（NGO）人士下手，於中國甘肅、廣東、江蘇等省份發動攻擊，透過騰訊即時通訊軟體QQ的更新機制，藉由該軟體開發商的URL與IP位址，將後門程式MsgBot傳送至受害電腦。 研究人員認為，駭客攻擊手法有2種可能。其中一種是駭客發動供應鏈攻擊，入侵了QQ的更新伺服器，以軟體更新的名義來散布MsgBot；另一種則是藉由對手中間人攻擊（AiTM）手法來進行。 但由於研究人員尚未取得更新伺服器的XML檔案，也無法向騰訊進行確認，難以判斷駭客採用的手法。 <a href="https://unit42.paloaltonetworks.com/alloy-taurus/">Linux系統成為中國駭客組織Alloy Taurus目標之一，他們開發出專用的後門程式PingPull</a> 資安業者Palo Alto Networks揭露中國駭客組織Alloy Taurus近期的攻擊行動，駭客在Windows電腦之餘，也開始對Linux開發後門程式PingPull，以及另一個名為Sword2033的惡意程式（ELF執行檔）。 前者透過Base64編碼的資料與C2連線，並採用AES演算法加密傳輸的資料；後者可針對受害電腦執行命令，或是外洩資料。 <a href="https://twitter.com/MsftSecIntel/status/1651346653901725696">出現更多駭客濫用PaperCut漏洞，勒索軟體駭客Clop、LockBit以此進行竊密</a> 列印管理系統供應商PaperCut於4月19日提出警告，他們在3月修補的漏洞CVE-2023–27350、CVE-2023–27351已出現攻擊行動，如今有資安業者揭露更多細節。 微軟的威脅情報團隊指出，他們看到勒索軟體Clop旗下的Lace Tempest駭客組織，自4月13日將漏洞用於散布勒索軟體Clop，一旦得到列印管理伺服器的存取權限，駭客就會部署惡意程式TrueBot，並透過Cobalt Strike進行橫向感染，然後運用檔案共用服務MegaSync洩露竊得的資料。此外，研究人員也看到利用前述漏洞散布勒索軟體LockBit的攻擊行動。 <a href="https://labs.withsecure.com/publications/fin7-target-veeam-servers">Veeam備份伺服器漏洞被駭客組織FIN7用於攻擊行動</a> 資安業者WithSecure於今年3月，發現駭客組織FIN7的攻擊行動，攻擊者透過Veeam備份系統的處理程序執行Shell命令，下載、執行PowerShell指令碼，該指令碼便是FIN7慣用的記憶體內（In-memory）惡意程式載入程式，駭客用來執行名為Diceloader的後門程式，以便進行後續的攻擊。 究竟駭客如何執行Shell命令？研究人員認為很可能是利用Veeam於3月修補的漏洞CVE-2023-27532（CVSS風險評分為7.5）。 <a href="https://techcrunch.com/2023/04/26/hackers-are-breaking-into-att-email-accounts-to-steal-cryptocurrency/">電信業者AT&T傳出遭駭，他們代管的多個電子郵件服務受到挾持</a> 根據科技新聞網站TechCrunch的報導，美國電信業者AT&T傳出遭駭，導致代管的電子郵件服務曝險，駭客入侵甚至接管，範圍包括att.net、sbcglobal.net、bellsouth.net等。 知情人士透露，駭客先存取電信業者內部網路部分系統，之後能以任意使用者身分來建立郵件金鑰，因此可在不需知道用戶密碼的情況下，透過Outlook、Thunderbird等收信軟體存取郵件帳號。 根據聲稱已掌握受害者名單的知情人士表示，有2名用戶證實遇害，其中1名受害者向TechCrunch透露，駭客已從他的Coinbase帳戶竊得13.4萬美元加密貨幣。 對此，AT&T表示他們發現了未經授權建立的安全郵件金鑰，並要求部分用戶重設密碼，但並未透露受害人數。 <a href="https://www.trendmicro.com/en_us/research/23/d/attackers-use-containers-for-profit-via-trafficstealer.html">駭客於Docker環境部署TrafficStealer，將流量導向特定網站進行牟利</a> 資安業者趨勢科技設下的誘捕系統，最近發現有人利用雲端Docker環境來牟利的攻擊行動。他們發現駭客先入侵位於雲端服務的Docker環境，再從Docker Hub拉取特定的容器映像檔，而這個映像檔含有名為TrafficStealer的可疑軟體，其目的是將網路流量導向特定網站供他人運用，進而產生收入。 研究人員指出，駭客透過YAML配置文件，大量、自動化部署上述惡意程式。而這個攻擊誘捕系統的映像檔，已從Docker Hub被拉取了50萬次，每秒下載15 MB的資料。雖然這次駭客的目標是Docker，但研究人員認為，Kubernetes與Amazon Elastic Container Server（ECS）日後也有可能遭遇相關攻擊。 <a href="https://blog.checkpoint.com/security/retail-giant-walmart-ranks-first-in-list-of-brands-most-likely-to-be-imitated-in-phishing-attempts-in-q1-2023/">科技業者仍是駭客網路釣魚攻擊冒用品牌的首選</a> 資安業者Check Point針對今年第1季的網路釣魚攻擊態勢公布調查結果，他們表示，駭客偏好冒用的品牌出現了洗牌的現象。 大型零售業者Walmart從去年底的13名，本季一舉躍居榜首，冒用該品牌行騙的釣魚信占總數的16%，其次是DHL、微軟，分別有13%、12%。不過，整體而言，駭客最常冒用的還是科技業的品牌，其次是運輸及零售業。 但研究人員特別提及，名列前10大的瑞福森銀行（Raiffeisen Bank）是第一次上榜，相當值得留意，因為這代表駭客可能透過金融組織竊取使用者的帳號資料。 <h3>【資安產業動態】</h3> <a href="https://www.ithome.com.tw/news/156566">Gogolook推出Roo AI，以生成式AI技術打造AI智能問答服務，能根據提問提醒用戶小心詐騙</a> 3年前，Gogolook推出了名為貸鼠先生的金融諮詢服務，可協助消費者辨識網路上各種真假難辨的金融商品資訊，減少詐貸等問題。為了提供更多元金融商品諮詢服務，該公司於4月25日宣布推出全新AI智慧問答服務Roo AI，該系統以ChatGPT的生成式AI技術為基礎打造，目的是提供貼近臺灣消費者的金融知識與正確資訊，值得一提的是，該系統能從用戶提出的問題中，找出可能導致受騙的資訊，並提醒用戶提高警覺，減少上當受騙的情況。 <a href="https://cloud.google.com/blog/products/identity-security/rsa-google-cloud-security-ai-workbench-generative-ai">Google在多項安全解決方案整合AI大型語言模型Sec-PaLM</a> 由於技術的進展，大型語言模型（LLM）的應用範圍如今變得更加廣泛，資安業者也著手將其用於相關防護。例如，Google開發名為Sec-PaLM的大型語言模型，並將其應用於Security AI Workbench威脅情報平臺、惡意軟體程式碼分析系統VirusTotal Code Insight、漏洞檢測系統Mandiant Breach Analytics for Chronicle等。 此外，Google安全指揮中心（Security Command Center）亦運用此大型語言模型，將複雜的攻擊關聯圖，轉換成人類容易解譯的資訊。除上述應用，該公司亦於Assured OSS服務使用Sec-PaLM，協助驗證開源軟體套件的工作。 <a href="https://www.businesswire.com/news/home/20230424005364/en/AWS-Announces-Three-New-Amazon-GuardDuty-Capabilities-to-Help-Customers-Protect-Container-Database-and-Serverless-Workloads">AWS擴大GuardDuty安全防守範圍，可偵測容器、資料庫與無伺服器應用安全威脅</a> 4月24日AWS宣布，旗下的威脅偵測服務Amazon GuardDuty將提供3項新功能，將防護範圍延伸至容器、資料庫、無伺服器應用。本次的新功能包括容器化工作負載威脅偵測功能EKS Runtime Monitoring、Aurora資料庫資料潛在威脅偵測功能RDS Protection、Lambda應用程式相關惡意行為分析功能Lambda Protection。 上述能力是以Amazon GuardDuty現有的數百種偵測功能為基礎進行強化，而能夠將應用範圍擴及多種類型的雲端核心環境，使用者無須執行額外的部署、維護，或是更新作業，就能啟用前述新功能。 <h3> </h3> <h3>【其他新聞】</h3> <a href="https://www.bitdefender.com/blog/businessinsights/unpacking-bellaciao-a-closer-look-at-irans-latest-malware/">伊朗駭客組織Charming Kitten散布惡意軟體BellaCiao</a> <a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/">思科伺服器管理工具存在零時差漏洞，恐被用於跨網站指令碼攻擊</a> <a href="https://www.bleepingcomputer.com/news/security/prestashop-fixes-bug-that-lets-any-backend-user-delete-databases/">電子商務平臺PrestaShop出現能讓後臺使用者刪除資料庫的漏洞</a> <a href="https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset-leads-to-remote-code-execution/">開源資料視覺化工具Apache Superset存在RCE漏洞</a> <a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a> <a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a> <a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a> </div></div></div>
2023/4/27 17:30作者周峻佑https://www.ithome.com.tw/news/156594
Red Hat裁員4%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在Google、微軟、Amazon等大廠相繼裁員之後，IBM旗下Linux與混合雲管理基礎架構部門<a href="https://www.redhat.com/en/blog/message-red-hat-associates-today" target="_blank">Red Hat昨（24）日宣布未來幾個月內將裁減4%</a>。 以Red Hat公布的1.9萬人計算，裁員人數可能在750人左右。Red Hat CEO Matt Hicks指出，這批裁減的職位主要是一般行政及類似角色，但分布所有部門。裁員將從本周從某些國家展開，一直持續到第二季末。 Hicks也說，裁員才能確保Red Hat在新的艱困環境中保持競爭力。但他表示Red Hat不會裁撤直銷及產品開發相關的人力。 <a href="https://www.ibm.com/investor/att/pdf/IBM-1Q23-Earnings-Press-Release.pdf" target="_blank">Red Hat是在上周IBM公布第</a>一季財報後宣布這番行動。根據藍色巨人上周公布的數字，上季營收143億美元，和去年同期相較勉強成長0.4%，獲利75億，淨收入9億美元，分別成長2%及41%。 軟體部門而言，上季營收59億美元，成長2.6%。其中Red Hat成長8%，還是所有軟體業務中最好的，也帶動IBM混合平臺與解決方案成長2%。IBM顧問服務事業群成長2.8%來到50億元，但包含伺服器及儲存的基礎架構硬體業務則下滑3.7%來到31億美元。 <a href="https://www.nytimes.com/2023/01/25/business/ibm-layoffs.html" target="_blank">IBM今年1月才宣布</a>員額減少3,900名。但該公司表示，人員減少是因為賣掉舊業務，包括<a href="https://www.ithome.com.tw/news/147680" target="_blank">2021年賣掉</a>基礎架構維護部門（後改名Kyndryl），以及<a href="https://www.ithome.com.tw/news/149027" target="_blank">2022年出售</a>健康資料分析業務Watson Health。 </div></div></div>
2023/4/25 15:47作者林妍溱https://www.ithome.com.tw/news/156550
Linux基金會成立系統建模語言TLA+基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Linux基金會宣布成立專門支援和發展<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-tlafoundation">TLA+（Temporal Logic of Actions）語言的基金會</a>，主要創始會員為微軟、甲骨文和AWS。TLA+是一種形式化的規範語言，可用於描述和檢驗分散式系統的行為、演算法和協定。 TLA+語言最初是由Leslie Lamport在1990年代發明，其目的是要發展一個工具，協助工程師設計、理解和驗證大型軟體系統，特別是對那些具有高可性要求的系統。該語言的核心概念，是形式化數學公理，透過使用數學表示法描述系統的狀態行為，讓開發人員能夠捕捉系統的重要屬性，並且檢驗其是否滿足特定需求，簡單來說，TLA+語言讓開發人員用簡單的數學來描述系統。 支援時間邏輯（Temporal Logic）是TLA+的重要特性，允許開發人員能夠表示和分析，系統在一段時間內變化的邏輯，利用這項特性，開發人員便能夠更簡單地發現，分散式系統中的競爭條件和死鎖等常見問題。由於部分系統中的基本錯誤，很難從程式碼中發現，而且修正起來成本高昂，因此TLA+語言的價值，便是讓開發者更簡單地消除這些基本但是關鍵的錯誤。 TLA+語言發命者Leslie Lamport，目前是微軟研究院的傑出科學家，在Leslie Lamport發明TLA+語言之後，受微軟的支援和管理，現在微軟決定將該專案貢獻出來，在Linux基金會旗下成立TLA+語言基金會，以促進該語言推廣、研究資助和工具開發等工作。 </div></div></div>
2023/4/25 08:34作者李建興https://www.ithome.com.tw/news/156545
開源社群發公開信警告，網路韌性法案將對開源軟體開發造成寒蟬效應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 包括Eclipse基金會與歐洲Linux基金會等組織，針對<a href="https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act">網路韌性法案（Cyber Resilience Act）</a>向歐盟提交<a href="https://newsroom.eclipse.org/news/announcements/open-letter-european-commission-cyber-resilience-act">公開信</a>，指出目前歐盟所制定的網路韌性法案，並沒有開源社群參與，導致目前的法案提案內容對開源軟體專案不夠友善，可能使開源貢獻者出現寒蟬效應，限制開源專案的應用創新。 歐盟在2022年9月15日發布了網路韌性法案提案，目的是要規範數位產品的網路安全，希望製造商能夠強化網路安全規則，以確保硬體和軟體產品的安全性，最終希望減少不良網路安全產品所帶來的用戶和社會成本。 網路韌性法案規範帶有數位元素的產品，確保硬體和軟體產品上市時，能有更少的漏洞，使製造商能在產品生命周期確保網路安全，同時該法案也創造了條件，讓用戶在選擇帶有數位元素的產品時，將網路安全列入選擇條件。 該法案有四大具體目標，首先，法案要求製造商在設計和開發階段，將網路安全列入考量，並且在產品生命周期間確保其安全性，網路韌性法案第二個目標是提供一個網路安全框架，供硬體和軟體製造商遵循，第三則是提高數位元素產品的安全性透明度，最後一個目標是讓企業和消費者都能夠安全地使用數位元素產品。 雖然網路韌性法案的立意良好，但是其規範可能扼殺開源生態系，降低開源貢獻者參與開發意願。<a href="https://blog.opensource.org/what-is-the-cyber-resilience-act-and-why-its-important-for-open-source/">開放原始碼促進會（Open Source Initiative，OSI）提到</a>，這項法案試圖將CE（Conformité Européenne）歐洲法規符合性標誌擴展到軟體上，以提高軟體的安全性和完整性，但是這卻可能對開源軟體造成傷害。 網路韌性法案的提案要求軟體供應商自我認證，包括安全性、隱私性和無CVE等方面都須符合法案規範，不過這對開源團隊的運作可能窒礙難行，或是造成一定程度的負擔。而且當開源軟體存在安全問題，網路韌性法案若要求貢獻者負擔相對應的法律責任，則將會降低貢獻者的開發意願，導致專案發展受限。 雖然網路韌性法案的本意並非要打壓開源專案，但是法案中「商業」與「非商業」的措辭可能產生法律不確定性，OSI指出，「商業」這個詞不應該用在開源情境中，因為開源專案也需要商業行為，來支持維護者社群。因此商業行為存在與否，並無法作為區分開源專案與企業應用的方法。 Eclipse基金會等開源社群，向歐盟發出的公開信指出，開源社群的聲音並未在法案制訂過程獲得充分表達，即便開源軟體在歐洲數位產品軟體占70％以上，但是開源社群與立法者間並未有完善的溝通管道。 信中提到，任何影響軟體產業的立法，都要考慮開源軟體的獨特需求和觀點，他們希望立法者可以聽取開源社群的意見，並且有機會影響決策，否則依據現行提案條文實施，將衝擊全球開源軟體開發，並出現寒蟬效應，最終也會破壞歐盟本身的創新和數位主權等目標。 </div></div></div>
2023/4/24 15:51作者李建興https://www.ithome.com.tw/news/156535
【資安週報】2023年4月17日到4月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這一周的漏洞消息中，有6個漏洞遭利用的情形最受關注，首要焦點就是Chrome的兩個零時差漏洞CVE-2023-2033、CVE-2023-2136，後者更是影響所有基於Chromium瀏覽器，而列印管理軟體系統PaperCut在3月修補的CVE-2023–27350的RCE漏洞，近日發現出現攻擊活動，還有俄羅斯駭客組織APT28利用存在於Cisco IOS與Cisco XE軟體的SNMP子系統漏洞CVE-2017-6742漏洞的揭露。另有兩個漏洞本期周報尚未提及，以物件儲存服務MinIO公告的CVE-2023-28432漏洞須特別留意，另一是Apple macOS的漏洞CVE-2019-8526。在漏洞修補方面，焦點包括Oracle季度更新修補433個漏洞，以及VMware、ChatGPT、Juniper的漏洞修補。 在重要資安事件方面，3CX VoIP系統軟體供應鏈的攻擊事故有後續消息，格外引發關注，因為3CX之所以被入侵，是因為攻擊者先入侵股票交易自動化業者Trading Technologies的網站散布被駭客竄改的X_Trader應用程式，等於是藉由供應鏈攻擊入侵，再發動影響更廣泛的供應鏈攻擊。 其他值得警惕的資安事件，除了Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料甚至包含Laravel的金鑰，企業淘汰的網路設備在二手市場上被發現有洩露企業內部網路環境敏感資訊的狀況，同樣必須留意，這如同企業淘汰的列印設備其硬碟資料未妥善清除狀況相同，重點是，可別以為這些汰換的網路設備沒有機敏資訊要清除，就能直接汰換，應該也要針對組態設定重置並確定無疑慮再丟棄。 在威脅態勢方面，以勒索軟體新動向受矚目，包括勒索軟體LockBit攻擊的平臺已從Windows、Linux及VMware ESXi環境擴及macOS，以及勒索軟體Vice Society近期威脅增加，並有資安業者揭露該攻擊者利用新的PowerShell指令碼w1.ps1來規避資安系統，還有勒索軟體駭客濫用名為Action1的遠端管理平臺（RMM）的揭露；竊資軟體消息也不少，包括竊資軟體Aurora利用Youtube影片宣傳假破解軟體來散布，以及Zaraza Bot竊資軟體、Chameleon的安卓惡意軟體的揭露。 <h3><a href="https://www.ithome.com.tw/news/156443">【4月17日】ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a></h3> 時下熱門的大型語言機器學習模型ChatGPT，很多駭客正在研究如何用來發動攻擊，因此對於如何取得使用的管道也變得相當熱衷，甚至衍生出在網路犯罪圈的相關買賣。資安業者Check Point發現，從上個月開始駭客在地下論壇頻繁買賣ChatGPT的付費帳號，或是提供暴力破解帳號的工具，但駭客偏好取得付費帳號的主要原因，就是想要迴避免費帳號的諸多限制。 應用系統曝露開發環境組態（ENV）檔案的情況，有可能導致組織內部環境的狀態遭到掌控！例如，資安新聞網站Cybernews發現，西門子元宇宙系統Siemens Metaverse的ENV檔案可讓攻擊者存取辦公室管理系統，進而得知辦公室配置、員工行程的資料。 Google對4月上旬發布的Chrome 112發布更新版本的情況也值得留意，因為，這次新版本涉及的零時差漏洞，已被用於攻擊行動，甚至有研究人員呼籲用戶不要等待自動派送更新，應手動執行升級。 <h3><a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a></h3> 曾遭到圍剿而銷聲匿跡的駭客組織，待風頭一過東山再起的情況再度傳出，而且還是不同組織之間的合作。例如，最近IBM的研究人員發現，前駭客組織Conti及FIN7的成員聯手開發了惡意程式Domino，並用於收集受害電腦的系統資訊，以便進行後續的攻擊行動。 針對網頁瀏覽器而來的竊資軟體攻擊，也同樣值得我們留意──資安業者Uptycs揭露俄羅斯駭客流傳的竊資軟體Zaraza Bot，並指出該惡意程式能針對38款瀏覽器的使用者組態檔案進行解密，進而竊取存放的各式帳密資料。 除了竊資軟體的攻擊行動，駭客散布惡意程式的手法也變得更加複雜，例如，研究人員發現，有人同時運用惡意PDF檔案及Windows指令碼來散布惡意軟體QBot，若收件者為了要檢視PDF文件內容而未及早察覺有異，即有可能依照指示執行指令碼而中標。 <h3><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></h3> 駭客發布號稱可提供破解軟體下載的影片，藉機散播惡意網址，但為了要迴避偵測，他們在YouTube頻道列出的網址，可下載的是惡意程式載入工具，待受害者安裝之後，才開始進行後續的植入。 企業在淘汰網路設備的時候也要謹慎，務必清除設備存放的網路配置！有研究人員發現，他們從網路上購得、企業淘汰的二手設備竟儲存不少內部網路組態資料，而有可能成為駭客用於入侵組織的管道。 <h3><a href="https://www.ithome.com.tw/news/156490">【4月20日】Oracle發布2023年第2季例行更新，修補433個漏洞</a></h3> 上週二（11日）多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者。本週Oracle也發布了2023年4月的例行修補，當中總共修補超過400個漏洞，有相當大的比例是在Oracle Communications系列產品線，每6個漏洞就有1個與此有關。 公部門不慎將資料庫公開的情況也相當值得留意，例如，有研究人員發現菲律賓執法單位曝露的資料庫，不僅含有個資，甚至還有組織之間的行政命令。但該資料庫是否真為菲國政府機關所擁有？目前尚無法完全確定，因為研究人員通報了當地十餘個機關後，僅有收到菲律賓國家電腦緊急應變小組（NCERT）回復，表示他們將確認需要負責的單位。 勒索軟體駭客的攻擊也出現了新的手法，像是Trigona發動的攻擊裡，運用一種稱之為CLR Shell的惡意程式先進行探勘、提升權限，使得後續行動更加順利。 <h3><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></h3> 駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。 VMware針對Aria Operations for Logs修補的漏洞也相當值得留意，因為，這次他們特別呼籲用戶要儘速修補CVE-2023-20864，怪異的是卻沒有公布其CVSS風險評分。 近日微軟公布新的駭客組織命名規則，與過往不同的是，該公司以特定類型的氣候來命名駭客組織，並標榜這麼做使用者可更容易識別駭客的性質。 <h3> </h3> </div></div></div>
2023/4/23 17:07作者羅正漢https://www.ithome.com.tw/news/156522
【資安日報】4月21日，久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。 VMware針對Aria Operations for Logs修補的漏洞也相當值得留意，因為，這次他們特別呼籲用戶要儘速修補CVE-2023-20864，怪異的是卻沒有公布其CVSS風險評分。 近日微軟公布新的駭客組織命名規則，與過往不同的是，該公司以特定類型的氣候來命名駭客組織，並標榜這麼做使用者可更容易識別駭客的性質。 <h3>【攻擊與威脅】</h3> <a href="https://blog.sucuri.net/2023/04/massive-abuse-of-abandoned-evalphp-wordpress-plugin.html">已不再更新的外掛程式遭到濫用，駭客對WordPress網站植入後門程式</a> <a href="https://s4.itho.me/sites/default/files/images/eval_php_plugin.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/eval_php_plugin.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露針對WordPress網站而來的攻擊行動，駭客濫用超過10年未更新的外掛程式Eval PHP，於目標網站的資料庫裡，將惡意程式碼注入名為wp_posts的資料表，而這段程式碼用file_put_contents功能函式建立PHP指令碼，再以此部署後門程式。 研究人員指出，這類攻擊行動很難被察覺，因為駭客是用老舊、合法的外掛程式來注入PHP程式碼 而在攻擊的時機與規模上，今年4月，上述行動大幅增加，平均每天惡意下載Eval PHP的行為超過4千次。 <a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf">駭客濫用Google Drive及使用密碼保護的ZIP檔案，散布惡意程式Ursnif、Diceloader</a> Google旗下的資安行動小組（GCAT）與該公司併購的Mandiant展開合作，近期揭發一起金融木馬Ursnif資安攻擊。駭客先是透過釣魚郵件，引誘收信人從Google Drive下載ZIP檔案，此壓縮檔案受到密碼保護，一旦依照指示開啟、執行，電腦就有可能被植入Ursnif。 研究人員指出，類似手法也被用於散布其他惡意程式。他們發現有人提供已竄改的Zoom安裝程式，於受害電腦部署惡意軟體Diceloader，過程中，同樣會要求使用者從Google Drive下載受密碼保護的ZIP檔案。 <a href="https://www.macrumors.com/2023/04/19/apple-responds-to-iphone-theft-recovery-key-report/">駭客濫用iPhone回復金鑰，奪取手機用戶的iCloud帳號，並且斷除原機遺失尋回機制</a> 根據華爾街日報的報導，駭客濫用iPhone回復密碼的功能，使得手機失竊的人再也無法存取iCloud儲存的照片及檔案。 該媒體引述受害者的說法，這些人在手機被竊之後，駭客疑似輸入了Passcode，進而產生復原Apple ID的密鑰，而能成功入侵用戶的iCloud帳號。一旦成功入侵iCloud帳號，攻擊者就會馬上關閉Find My功能，並切斷能存取該帳號的蘋果裝置，甚至竊取Apple Pay行動支付的金鑰。對此，蘋果表示正在研擬防範此種威脅的新措施。 <a href="https://www.mandiant.com/resources/blog/3cx-software-supply-chain-compromise">針對3CX VoIP系統軟體供應鏈的攻擊事故有新發現！駭客先透過另一個軟體供應鏈入侵員工電腦</a> 協助網路電話系統解決方案3CX調查供應鏈攻擊事故的資安業者Mandiant指出，他們發現在這起攻擊行動裡，駭客組織UNC4736並非直接對3CX的員工下手，而是先針對股票交易自動化業者Trading Technologies的網站下手，進而散布遭到竄改的X_Trader應用程式，然後於3CX員工電腦上部署模組化後門程式VeiledSignal，執行Shell Code將通訊模組注入瀏覽器的處理程序。 而對於UNC4736的身分，研究人員根據所使用的基礎設施，認為與隸屬北韓駭客組織APT43的兩個駭客團體有關（UNC3782、UNC4469），以此推測UNC4736很有可能來自北韓。 <a href="https://www.welivesecurity.com/2023/04/20/linux-malware-strengthens-links-lazarus-3cx-supply-chain-attack/">北韓駭客Lazarus假借提供工作機會的名義，鎖定Linux用戶發動攻擊</a> 資安業者ESET揭露Operation DreamJob的新一波攻擊行動，北韓駭客組織Lazarus在職場社群網站LinkedIn與其他社群網站上，假借提供工作機會的名義，引誘受害者下載惡意軟體。 研究人員看到的其中一起事故裡，駭客透過網路釣魚與LinkedIn散布名為HSBC job offer.pdf.zip的壓縮檔，其內容含有以Go語言編寫而成的Linux惡意軟體，駭客濫用了Unicode的特殊字元，而導致使用者以為副檔名是PDF。 一旦使用者開啟上述檔案，惡意軟體OdicLoader會顯示誘餌PDF文件，並從雲端檔案共用服務OpenDrive下載第2階段的惡意軟體酬載SimplexTea。根據進一步分析、比對SimplexTea之後，研究人員發現，它與3CX供應鏈事故中的macOS版惡意程式SimpleSea有共通特徵，因此推測Lazarus參與上述供應鏈攻擊。 <h3>【漏洞與修補】</h3> <a href="https://kb.vmware.com/s/article/91831">VMware vRealize漏洞恐讓攻擊者使用root權限執行程式碼</a> 4月20日VMware發布資安通告，因為他們針對Aria Operations for Logs（原名vRealize Log Insight）發布了8.12版，目的是修補CVE-2023-20864、CVE-2023-20865兩個漏洞。 其中比較值得留意的是CVE-2023-20864，此為反序列化漏洞，攻擊者有機會於目標系統上，使用root權限來遠端執行任意程式碼，影響Aria Operations for Logs 8.10.2版。該公司呼籲用戶應儘速升級軟體，但沒有透露此漏洞的CVSS風險評分。 <a href="https://gbhackers.com/chatgpt-account-takeover-bug/">ChatGPT存在漏洞，恐讓駭客接管帳號</a> 研究人員Nagli揭露大型機器學習語言模型ChatGPT存在的漏洞，攻擊者可透過Web Cache欺騙手法，在自己已經登入ChatGPT的情況下，將惡意URL發送給目標用戶，並引誘登入ChatGPT，由於伺服器將使用者的敏感資料保存於暫存區，攻擊者就能從特定的CSS樣式表檔案裡，得知使用者的姓名、電子郵件信箱、Token等，而能存取目標用戶的ChatGPT帳號。對此，OpenAI在接獲通報的數個小時後修補上述漏洞。 <h3>【資安產業動態】</h3> <a href="https://www.ithome.com.tw/news/156487">駭客組織的命名缺乏統一識別原則，微軟倡議新作法，中國駭客組織將取名為某某颱風，俄羅斯駭客將取名為某某暴風雪</a> 4月19日微軟宣布他們採用新的規則命名、稱呼駭客組織，這套規則主要依據駭客類型來進行分類，包含國家級駭客（Nation-state）、因經濟動機從事攻擊行動（Financially motivated）的駭客、私人領域的駭客（Private sector offensive actors）、認知作戰駭客（Influence operations），以及尚在發展中的駭客組織（Groups in development）等。 其中，國家級駭客的部分，中國駭客以颱風（Typhoon）命名、伊朗駭客以沙塵暴（Sandstorm）命名、北韓駭客以雨雪（Sleet）命名，俄羅斯駭客以暴風雪（Blizzard）命名。 以中國駭客組織為例，APT41他們命名為Brass Typhoon，駭客組織ControlX則叫做Charcoal Typhoon。這種新的命名方式，將有助於使用者能更容易判斷駭客組織的屬性，<a href="https://learn.microsoft.com/en-us/microsoft-365/security/intelligence/microsoft-threat-actor-naming">該公司也提供了駭客組織的新舊名稱對照表</a>。 <h3> </h3> <h3>【其他新聞】</h3> <a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/apt-attacks-telecoms-africa-mgbot">非洲電信業者遭中國駭客鎖定，部署惡意程式MgBot</a> <a href="https://www.capita.com/news/update-cyber-incident">英國IT業者Capita證實網路攻擊出現資料外洩</a> <a href="https://blog.google/threat-analysis-group/ukraine-remains-russias-biggest-cyber-focus-in-2023/">烏克蘭遭俄羅斯駭客APT28鎖定，目的疑為掌控與戰爭有關的話語權</a> <a href="https://www.trendmicro.com/en_us/research/23/d/an-analysis-of-the-bablock-ransomware.html">勒索軟體Rorschach透過隨機字串的副檔名加密檔案</a> <a href="https://www.zscaler.com/blogs/security-research/introducing-devopt-multifunctional-backdoor-arsenal">後門程式Devopt竊取受害電腦檔案</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a> <a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a> <a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a> </div></div></div>
2023/4/21 16:54作者周峻佑https://www.ithome.com.tw/news/156513
【資安日報】4月20日，Oracle發布2023年第2季例行更新，修補433個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 上週二（11日）多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者。本週Oracle也發布了2023年4月的例行修補，當中總共修補超過400個漏洞，有相當大的比例是在Oracle Communications系列產品線，每6個漏洞就有1個與此有關。 公部門不慎將資料庫公開的情況也相當值得留意，例如，有研究人員發現菲律賓執法單位曝露的資料庫，不僅含有個資，甚至還有組織之間的行政命令。但該資料庫是否真為菲國政府機關所擁有？目前尚無法完全確定，因為研究人員通報了當地十餘個機關後，僅有收到菲律賓國家電腦緊急應變小組（NCERT）回復，表示他們將確認需要負責的單位。 勒索軟體駭客的攻擊也出現了新的手法，像是Trigona發動的攻擊裡，運用一種稱之為CLR Shell的惡意程式先進行探勘、提升權限，使得後續行動更加順利。 <h3>【攻擊與威脅】</h3> <a href="https://www.vpnmentor.com/news/report-philippine-police-breach/">菲律賓執法單位資料外洩，120萬人個資恐曝光</a> VPN服務介紹網站vpnMentor揭露一個含有逾120萬筆記錄的資料庫，暴露在網際網路上，而且沒有使用密碼保護，經分析其內容與菲律賓執法單位有關，很有可能是與職員或是申辦業務的民眾個資。 這個在網路裸奔的資料庫裡面，存有護照、出生證明、結婚證明、駕照、成績單、報稅資料等掃描文件，資料量高達817.54 GB。來源包含了菲律賓多個公家單位，像是：國家警察、國家調查局（NBI）、國稅局、特別行動部隊管理局等，外洩資料的內容不只包含個資，還有針對執法人員的內部指令，但該網站的研究人員無法判斷其機密程度。 對此，菲律賓國家電腦緊急應變小組（NCERT）獲報後做出回應，表示他們著手調查需對此起資料曝露事故負責的單位。 <a href="https://asec.ahnlab.com/en/51343/">微軟SQL Server用戶當心！出現專攻此種資料庫系統的勒索軟體Trigona</a> <a href="https://s4.itho.me/sites/default/files/images/Trigona-34.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trigona-34.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現勒索軟體Trigona近期的攻擊行動，主要鎖定微軟SQL Server而來，駭客先是透過暴力破解或是字典攻擊的方式，存取此種資料庫伺服器，然後部署名為CLR Shell的惡意程式，進而接收攻擊者發出的命令並提升權限，接著投放偽裝成svcservice.exe的惡意軟體，啟動偽裝為svchost.exe的勒索軟體Trigona。 研究人員指出，CLR Shell可用於提升權限、利用漏洞、收集系統資訊及使用者帳號配置，而能讓攻擊者進一步使用較高的權限執行各種惡意行為。 <a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/play-ransomware-volume-shadow-copy">微軟Windows磁碟陰影複製工具遭駭客改裝， 勒索軟體Play以此竊取備份檔的資料</a> 資安業者賽門鐵克揭露勒索軟體Play的新一波攻擊行動，駭客使用.NET開發兩個工具Grixba、磁碟陰影複製（VSS）工具，目的是在攻擊過程能更有效率。 Grixba可用於列出網路環境裡的所有使用者與電腦，並能掃描防毒軟體、EDR系統、備份工具、遠端管理工具，藉此讓攻擊者判斷如何進行後續攻擊。 而前述駭客自製的磁碟陰影複製（VSS）工具，則能於應用程式尚在使用檔案的情況下，從現有的備份資料竊取檔案。研究人員指出，這2個惡意程式都是Costura .NET開發工具編譯而成，而且只需單一執行檔就能運作 無需在受害電腦部署相依的DLL元件，就能正常執行。 <a href="https://www.theregister.com/2023/04/19/medusa_microsoft_data_dump/">勒索軟體Medusa聲稱竊得Bing、Cortana原始碼</a> 根據新聞網站The Register的報導，研究人員Brett Callow發現勒索軟體駭客Medusa聲稱竊得大量微軟的內部資料，當中包含了搜尋引擎Bing及旗下產品，如Bing Maps與Cortana的原始碼。 研究人員看到12 GB資料，分析後研判內容可能是去年Lapsus$偷到37 GB的一部分。駭客聲稱竊得的檔案裡，有很多微軟的數位簽章。研究人員表示，從犯案的手法來看，Medusa與Lapsus$有些相似，但不確定兩個組織是否有關。微軟目前尚未對此回應。 <a href="https://news.sophos.com/en-us/2023/04/19/aukill-edr-killer-malware-abuses-process-explorer-driver/">惡意軟體AuKill被用於停用端點防毒軟體及EDR程式，發動自帶驅動程式攻擊</a> 資安業者Sophos揭露利用名為AuKill的惡意程式攻擊行動，駭客將其用於在受害電腦上停用EDR用戶端程式，其手法是濫用微軟Sysinternals工具包裡、特定版本的Process Explorer元件procexp.sys，進而發動自帶驅動程式攻擊（BYOVD）。 研究人員指出，從今年初，他們至少看到3起利用AuKill的攻擊行動，1月、2月皆有駭客用來部署勒索軟體Medusa Locker的情況，另一起則是散布勒索軟體LockBit的事故，發生於2月。研究人員進一步調查，總共找到6個版本的AuKill，第1個版本在去年11月出現，最新版本則是在今年2月被用於勒索軟體Medusa Locker攻擊行動。 <a href="https://www.fortra.com/blog/summary-investigation-related-cve-2023-0669">MFT系統GoAnywhere開發商公布零時差漏洞事故的調查結果</a> 2月2日，資安新聞記者Brian Krebs針對MFT檔案傳輸管理系統GoAnywhere的用戶提出警告，指出該系統存在零時差漏洞CVE-2023-0669，可被用於RCE注入攻擊。開發商Fortra於3日證實確有此事，之後相關漏洞攻擊事故頻傳，事隔2個多月，該公司終於公布調查結果。 Fortra起初於1月30日，在部分雲端代管的GoAnywhere系統發現有異，著手調查得知駭客利用了未知漏洞建立使用者帳號，並下載檔案，且於受害系統部署了Netcat和Errors.jsp，疑似用來建立後門、掃描連結埠、傳輸檔案。 這起攻擊行動最早可追溯到1月18日，換言之，待Fortra察覺有異之前，駭客已進行約2個星期的攻擊行動。 <h3>【漏洞與修補】</h3> <a href="https://www.oracle.com/security-alerts/cpuapr2023.html">Oracle發布2023年第2季例行更新，修補433個漏洞</a> 4月18日Oracle發布本季例行更新，<a href="https://www.securityweek.com/oracle-releases-433-new-security-patches-with-april-2023-cpu/">當中總共修補了433個漏洞</a>，其中超過70個是重大等級。值得留意的是，上述漏洞當中有多達250個，若攻擊者要遠端利用，無需通過身分驗證就能執行。 其中出現最多漏洞的產品線是Oracle Communications系列，總共有77個（27個被評為重大等級），其次則是Financial Services Application、Fusion Middleware，分別有76個、49個。（補充說明：Oracle一年發布4次例行更新，分別在於1月、4月、7月、10月發布。） <a href="https://www.papercut.com/kb/Main/PO-1216-and-PO-1219">列印管理軟體系統PaperCut出現RCE漏洞，已被用於攻擊</a> 4月19日列印管理軟體業者PaperCut提出警告，表示3月修補的部分漏洞傳出已被用於攻擊行動的狀況，呼籲IT人員應儘速升級PaperCut伺服器軟體程式。 這個被利用的漏洞分別為CVE-2023–27350，可讓攻擊者在沒有通過身分驗證的情況下，於PaperCut應用程式伺服器遠端執行任意程式碼（RCE），CVSS風險評分為9.8。 <a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html">不到一週Google再度更新Chrome 112，原因是又傳出零時差漏洞攻擊</a> Google於4月14日修補今年Chrome第1個零時差漏洞CVE-2023-2033，但事隔不到一個星期，該公司再度發布新版程式，修補第2個被用於攻擊行動的漏洞。Google於18日發布Windows及macOS版112.0.5615.137、112.0.5615.138，以及Linux版112.0.5615.165，當中一共修補了8項漏洞（其中5個有CVE編號），最值得留意的部分，是被用於攻擊行動的高風險漏洞CVE-2023-2136，存在於名為Skia的2D圖形程式庫元件，屬於整數溢位類型的漏洞。 <h3> </h3> <h3>【其他新聞】</h3> <a href="https://threatmon.io/apt-blind-eagles-malware-arsenal-technical-analysis/">駭客組織APT-C-36散布木馬程式NjRAT</a> <a href="https://www.uptycs.com/blog/cyber_espionage_in_india_decoding_apt_36_new_linux_malware">惡意軟體Poseidon鎖定印度政府機關而來</a> <a href="https://cn.yna.co.kr/view/ACK20230418003300881">多個南韓組織遭到北韓駭客Lazarus入侵，控制超過200臺電腦</a> <a href="https://www.bleepingcomputer.com/news/security/new-sandbox-escape-poc-exploit-available-for-vm2-library-patch-now/">JavaScript程式庫VM2再度出現沙箱逃逸漏洞</a> <a href="https://www.ithome.com.tw/news/156487">微軟採用新規則命名駭客組織，以颱風命名中國駭客、暴風雪命名俄羅斯駭客</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a> <a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a> <a href="https://www.ithome.com.tw/news/156443">【4月17日】 ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a> </div></div></div>
2023/4/20 17:37作者周峻佑https://www.ithome.com.tw/news/156490
Google緊急修補Chrome今年第2個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.ithome.com.tw/news/156426" target="_blank">Google三天前才修補</a>Chrome瀏覽器今年第1個零時差漏洞，<a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html" target="_blank">昨（19）日又再發布更新</a>，修補第2個已遭到濫用的高風險安全漏洞。 Google昨日針對Windows、Mac和Linux平臺分別釋出Chrome 112.0.5615.137/138、112.0.5615.137，以及112.0.5615.165版本，預計會在未來幾天到幾周內向全球用戶部署完成，以修補數項安全漏洞。其中，CVE-2023-2136已經被發現有濫用活動，是Chrome上今年發現的第2個零時差漏洞。它影響Chrome的開源2D繪圖函式庫Skia，為一整數溢位（Integer overflow）漏洞，可讓之前已破壞渲染器（renderer）行程的遠端攻擊者傳送惡意HTML網頁，執行沙箱逃逸（sandbox escape），而在用戶機器上執行惡意活動。 CVE-2023-2136為Google威脅分析小組研究人員Clément Lecigne通報。本漏洞屬於高風險，影響所有Chromium-based瀏覽器，包括Edge、Brave、Opera和Vivaldi等，用戶應儘速更新到最新版本。微軟也已釋出最新版本Edge到Mac及Windows機器。 最新版Chrome更新另外修補的高風險漏洞，包括CVE-2023-2133和CVE-2023-2134，皆為Services Worker API的越界記憶體存取漏洞。CVE-2023-2135為DevTools中的使用已釋放記憶體漏洞。CVE-2023-2137則是SQLite元件的堆積緩衝溢位漏洞。 </div></div></div>
2023/4/20 13:33作者林妍溱https://www.ithome.com.tw/news/156486
【資安日報】4月17日，ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 時下熱門的大型語言機器學習模型ChatGPT，很多駭客正在研究如何用來發動攻擊，因此對於如何取得使用的管道也變得相當熱衷，甚至衍生出在網路犯罪圈的相關買賣。資安業者Check Point發現，從上個月開始駭客在地下論壇頻繁買賣ChatGPT的付費帳號，或是提供暴力破解帳號的工具，但駭客偏好取得付費帳號的主要原因，就是想要迴避免費帳號的諸多限制。 應用系統曝露開發環境組態（ENV）檔案的情況，有可能導致組織內部環境的狀態遭到掌控！例如，資安新聞網站Cybernews發現，西門子元宇宙系統Siemens Metaverse的ENV檔案可讓攻擊者存取辦公室管理系統，進而得知辦公室配置、員工行程的資料。 Google對4月上旬發布的Chrome 112發布更新版本的情況也值得留意，因為，這次新版本涉及的零時差漏洞，已被用於攻擊行動，甚至有研究人員呼籲用戶不要等待自動派送更新，應手動執行升級。 <h3>【攻擊與威脅】</h3> <a href="https://blog.checkpoint.com/security/new-chatgpt4-0-concerns-a-market-for-stolen-premium-accounts/">大量ChatGPT付費服務的帳密資料流入暗網</a> <a href="https://s4.itho.me/sites/default/files/images/chatgpt4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt4.png" style="width: 300px; float: right;" /></a>資安業者Check Point提出警告，自2023年3月開始，他們看到網路犯罪圈在交易竊得的ChatGPT帳號有所增加，其中又以付費帳號為主要標的。 駭客除了在地下論壇兜售此類帳號，還有可能提供帳號暴力破解工具，或是透過遭竊的金融卡開設付費帳號的服務（ChatGPT Accounts as a Service）。根據駭客為了吸引顧客上門而提供的免費帳號資料，研究人員推測駭客暴力破解的工具很可能是網頁測試軟體SilverBullet，駭客藉此對ChatGPT帳號每分鐘比對50至200組帳密。 為何這些帳號的地下貿易大幅增加？研究人員認為，與ChatGPT付費帳號能提供較穩定的頻寬、更多查詢次數、其API能繞過種種限制（如OpenAI封鎖免費用戶中國、俄羅斯、伊朗的連線）有關。 <a href="https://cybernews.com/security/siemens-metaverse-data-leak/">西門子元宇宙系統環境設置檔暴露在公開網路，虛實環境配置恐全部曝光，引發數位雙生資安危機</a> 根據資安新聞網站Cybernews的報導，西門子與Nvidia聯手建置的工業用元宇宙系統Siemens Metaverse，存在資訊洩露的漏洞，研究人員在3月1日在metaverse.siemens.com網域發現開發環境的檔案（ENV），其中他們認為影響程度最嚴重的部分，是辦公室管理系統ComfyApp的帳密與網站IP位址，一旦遭到洩露，很有可能讓攻擊者掌握該公司的樓層規畫、物聯網裝置（IoT）的資訊、員工行事曆等內部資料，但究竟衝擊的範圍有多大，仍待進一步釐清。 此外，上述的ENV檔案也曝露4組WordPress使用者帳號，以及3個後端的身分驗證網站的URL。對此，西門子表示獲報後已經處理完成，並認為上述弱點帶來的影響有限。 <a href="https://www.trellix.com/en-us/about/newsroom/stories/research/read-the-manual-locker-a-private-raas-provider.html">勒索軟體RTM Locker嚴格規範用戶不能攻擊特定目標，以免引發防禦者的注意</a> 資安業者Trellix揭露名為Read The Manual（RTM）Locker的勒索軟體攻擊行動，駭客以訂閱服務（RaaS）提供攻擊者相關工具，並嚴格要求對方必須遵守該組織設下的規範，以免引起各界關注而被曝光。這些規則包含禁止對特定類型的機構下手，如：與COVID-19疫苗相關的企業、醫院、太平間、關鍵基礎設施（CI）、法律機構等，此外，該組織也禁止旗下攻擊者對獨立國協（CIS）國家下手。 研究人員指出，該組織對旗下打手的要求極為嚴格，程度遠超過大部分提供RaaS的組織，甚至還要求這些攻擊者若是10天之內不打算活動，須事先報備。 <a href="https://unit42.paloaltonetworks.com/vice-society-ransomware-powershell/">勒索軟體Vice Society在攻擊行動裡利用新的PowerShell資料竊取工具</a> 資安業者Palo Alto Networks揭露勒索軟體Vice Society近期的攻擊行動，駭客開始利用新的PowerShell指令碼w1.ps1，目的是在儘可能不觸動資安系統的情況下，透過寄生攻擊（LOL）的方式，自動從受害組織偷偷竊取內部資料，而且，在勒索軟體執行檔案加密之前，能做到讓目標組織不易注意到異狀的程度。 此指令碼由4種功能函數組成，用來辨識可能存在機密的磁碟、辨識資料，並建立竊取工作，然後發出HTTP POST請求，將盜取的資料傳送到駭客的伺服器。研究人員指出，執行該指令碼無需下達任何參數，原因是此指令碼會自動排除特定的系統檔案、應用程式檔案和備份資料。 比較特別的是，為了避免竊密過程被發現，駭客為此指令碼設置了同時進行的工作數量上限，目的是防止占用過多系統資源讓使用者察覺有異。 <a href="https://www.engadget.com/security-researchers-find-lockbit-ransomware-can-target-macos-devices-164446912.html">勒索軟體LockBit攻擊範圍目前已涵蓋Mac電腦</a> 資安研究團隊MalwareHunterTeam指出，LockBit近日製作該組織的第1個macOS版勒索軟體程式，研究人員在惡意程式檢測網站VirusTotal上，發現含有支援多種架構的勒索軟體LockBit程式，其中包含了針對Apple Silicon、Intel、PowerPC處理器而來的macOS版本。研究人員認為，上述的惡意程式很有可能2022年11月出現。 資安新聞網站Bleeping Computer取得勒索軟體檔案進行分析，結果發現當中含有Windows版的白名單，很有可能還在測試階段，這樣的推測得到研究人員Patrick Wardle的證實。 <a href="https://www.bleepingcomputer.com/news/security/darktrace-investigation-found-no-evidence-of-lockbit-breach/">勒索軟體LockBit聲稱入侵資安業者Darktrace，遭到該公司否認</a> 根據資安新聞網站Bleeping Computer的報導，勒索軟體LockBit聲稱攻陷資安業者Darktrace並取得機密資料，開出展延公布資料期限、摧毀資料、下載資料的價碼。對此，<a href="https://darktrace.com/statement-darktrace">Darktrace先後於4月13日、14日發出聲明</a>，表示經過檢查後沒有遭到入侵的跡象，與該公司內部系統也並未受害。 恰巧與Darktrace有1字之差的另一家威脅情報業者DarkTracer表示，這些駭客疏於管理，導致他們用來公布受害者的網站竟被寫入假的受害組織資料。而這種誤稱攻陷資安業者的烏龍或刻意栽贓的情況並非首例──2022年6月，LockBit將Mandiant列為受害組織，但該資安業者表示沒有遭到入侵的跡象。 <a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/goldoson-privacy-invasive-and-clicker-android-adware-found-in-popular-apps-in-south-korea/">Google Play、One Store市集上逾60款合法程式遭Andorid惡意程式Goldoson滲透</a> 資安業者McAfee揭露名為Goldoson的安卓惡意程式，駭客主要的攻擊目標為南韓，他們以此惡意程式滲透了60款上架於Google Play市集，以及當地熱門應用程式市集One Store的App，總共被下載超過1億次。 一旦使用者安裝這些遭到入侵的App，Goldoson的程式庫就會向攻擊者的伺服器註冊，進而取得受害裝置上的各項資訊，如：已安裝的App名單、地理位置記錄、附近的Wi-Fi無線網路、藍牙元件的MAC位址等，研究人員認為，這些資料有機會讓攻擊者拼湊出使用者的身分。 <h3>【漏洞與修補】</h3> <a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html">Google針對Chrome 112修補零時差漏洞</a> 4月14日Google針對電腦版Chrome發布112.0.5615.121，當中修補已經出現攻擊行動的零時差漏洞CVE-2023-2033，此為JavaScript引擎V8的類型混淆（Type Confusion）漏洞，除此之外該公司並未透露更多細節。而該漏洞是2023年Google第1個修補的零時差漏洞。 <a href="https://www.securityweek.com/juniper-networks-patches-critical-third-party-component-vulnerabilities">Juniper修補Junos OS第三方元件的重大漏洞</a> 4月12日資安業者Juniper Networks發布逾20則資安通告，修補該公司旗下網路設備作業系統Junos OS的多項漏洞。其中最值得留意的針對該作業系統採用的第三方XML程式庫Expat（libexpat）修補，該公司一共修補了15個漏洞，但當中有7個是CVSS風險評分為9.8的重大漏洞，且影響採用19.1至22.2版Junos OS的網路設備。雖然這些漏洞部分已揭露長達2年，但所幸目前沒有出現攻擊行動的跡象。 <a href="https://www.theregister.com/2023/04/14/linux_kernel_spectre_flaw_fixed/">研究人員揭露Linux核心6.2版的Spectre v2漏洞</a> <a href="https://github.com/google/security-research/security/advisories/GHSA-mj4w-6495-6crx">4月13日Google產品安全回應團隊的研究人員指出</a>，他們去年12月31日通報的Spectre漏洞（目前尚無CVE編號），存在於Linux核心6.2，可被用於觸發推測執行（Speculative Execution），此為中等風險等級漏洞，Linux基金會獲報後於2月27日發布修補程式。 研究人員指出，這項漏洞當時之所以被發現，是因為用來防禦Spectre v2漏洞的某支Linux使用者空間（userspace）層級處理程序，無法正常在雲端服務業者的虛擬機器執行。 <h3> </h3> <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/ncr-suffers-aloha-pos-outage-after-blackcat-ransomware-attack/">POS設備供應商NCR傳出遭到勒索軟體BlackCat攻擊，用戶被迫改用紙本作業</a> <a href="https://yoroi.company/research/cve-advisory-full-disclosure-cisco-ise-broken-access-control/">研究人員思科網路管理系統ISE漏洞細節</a> <a href="https://blog.whatsapp.com/new-security-features-account-protect-device-verification-automatic-security-codes">為防範帳號挾持攻擊，WhatsApp將新增帳號驗證功能</a> <a href="https://www.cybersecuritydive.com/news/cisa-secure-by-design-software-security/647472/">CISA推動軟體開發安全，將公布從設計落實安全的原則</a> <a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-android-bug-exploited-by-chinese-app-to-spy-on-users/">中國購物App拼多多傳出用於監控用戶的安卓漏洞，美國要求聯邦機構限期修補</a> <a href="https://www.businesswire.com/news/home/20230406005089/en/Groundbreaking-Research-from-Marsh-McLennan-Reveals-Direct-Link-between-Key-Cybersecurity-Controls-and-Reduced-Cyber-Risk">全面採用雙因素驗證、快速套用修補程式是防範網路攻擊的有效手段</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156417">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</a> <a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a> <a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a> </div></div></div>
2023/4/17 18:41作者周峻佑https://www.ithome.com.tw/news/156443
LockBit勒索軟體開始攻擊macOS機器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> LockBit勒索軟體不斷進化，研究人員發現，現在LockBit也開始將macOS機器當成目標。 LockBit勒索軟體首見於2020年1月，一開始是鎖定Windows和Linux，<a href="https://www.ithome.com.tw/news/149112" target="_blank">去年開始</a>鎖定VMware ESXi環境感染。<a href="https://twitter.com/malwrhunterteam/status/1647384505550876675?s=20" target="_blank">上周資安研究社群MalwareHunter Team發現</a>據信是第一隻公開、針對Mac裝置打造的LockBit勒索軟體程式locker_Apple_M1_64。他們相信是第一個公開的macOS版本LockBit。 <a href="http://twitter.com/malwrhunterteam/status/1647384505550876675?s=20" target="_blank"><img alt="" src="https://pbs.twimg.com/media/Ftyt_KFXsAMoImk?format=jpg&name=large" style="width: 600px;" /></a> 圖片來源／<a href="https://twitter.com/malwrhunterteam/status/1647384505550876675?s=20" target="_blank">MalwareHunter Team</a> <a href="https://twitter.com/vxunderground/status/1647424861810065410" target="_blank">另一個資安社群VX-Underground</a>也發現了macOS版本的LockBit。LockBit也是主流勒索軟體駭客組織中，第一個為蘋果產品開發的版本。仔細分析，攻擊者第一個版號可能最早可以追溯到2022年11月就釋出。 MalwareHunter Team發現的勒索軟體樣本則是在3月20日打包，攻擊者甚至還有在搭載PowerPC晶片的早期Mac電腦上執行的版本。 LockBit提供勒索軟體即服務（ransomware-as-a-service），他們提供工具及聯盟網路，允許「客戶」對目標電腦執行電腦檔案加密及向受害者勒索，自己則收取分潤。LockBit也是近年最活躍的勒索軟體之一，<a href="https://www.justice.gov/opa/pr/man-charged-participation-lockbit-global-ransomware-campaign" target="_blank">去年美國司法部控告2名成員時指出</a>，LockBit自3年前出現以來，到去年底最少已加害了1,000家企業組織，LockBit受害者付出的贖金至少超過1億美元，其成員也分得數千萬，美國司法部稱其為全球最活躍及最具破壞力的勒索軟體變種。 </div></div></div>
2023/4/17 10:39作者林妍溱https://www.ithome.com.tw/news/156430
Google修補今年第一個Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html" target="_blank">Google上周五（4/14）釋出Chrome 112.0.5615.121</a>，以修補一個已遭駭客利用的安全漏洞CVE-2023-2033，此一更新支援Windows、macOS與Linux平臺，可望於未來幾天或幾周自動部署，而這也是Google在2023年所修補的第一個Chrome零時差漏洞。 Google僅簡單描述CVE-2023-2033是個出現在V8 JavaScript引擎的類型混淆（Type Confusion）漏洞，並說已有針對該漏洞的攻擊程式問世，而未公布更詳細的漏洞或攻擊細節。 不在修補的第一時間公布漏洞細節是為了讓使用者有更多的時間部署更新，Google表示，倘若漏洞出現在其它專案也仰賴的第三方函式庫中，而且尚未修補，同樣也會限制披露範圍。 </div></div></div>
2023/4/17 09:14作者陳曉莉https://www.ithome.com.tw/news/156426
AV1躋身網路視訊編碼主流標準
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.ithome.com.tw/article/156412" target="_blank">iThome周刊1125期的封面故事主角是線上影音服務串流業者Netflix</a>，1997年成立的他們，從DVD網路租借業務起家，2013年因播映自製影集《紙牌屋》而揚名全球，其運用的觀眾大數據分析，決定他們製播出這齣戲劇的主題，更成為當時IT應用創新的最佳典範，而我們現在要談談他們行銷全球熱門影集的AI技術。 多媒體線上視訊應用這塊市場到底有多熱呢？除了業務模式與軟體發展，在硬體方面，這半年多來，我們陸續見證三大運算平臺廠商，都想分食這塊大餅，因此陸續推出新一代資料中心GPU、多媒體工作負載加速卡，而它們配備的各種規格與支援的最新標準，也指向整個網路多媒體應用的最新趨勢，其中，是否支援AV1這套多媒體編碼的標準，是許多人都很關注的議題。 事實上，線上視訊、多媒體的應用，早已與現代人的工作與生活密不可分，在2003年爆發SARS疫情時，臺灣就已感受到網路視訊會議的必要性，而在20年後的此刻，歷經三年的COVID-19疫情，全世界人類幾乎都體驗到遠距的辦公、學習、娛樂等多種應用。 以視訊會議與多媒體串流服務而言，過去陸續出現多種標準來支援當時的應用需求，像是H.263、H.323、MPEG-4、H.264（MPEG-4 AVC）、H.265（HVC）、VP8、VP9，而最近這幾年我們注意到AV1這項編碼標準，越來越多業者開始採納與主推。 AV1全名是AOMedia Video 1，是由開放媒體聯盟（AOMedia）發展的視訊編碼格式，於2019年1月正式公布1.0版規格，陸續有多家業者支援這項規格。 以線上串流服務、社交網站來看，YouTube在2018年設立專用的播放清單AV1 Beta Launch Playlist，供大家測試與評估AV1解碼的效能，3月底傳言YouTube終於即將要推出AV1直播串流支援。Vimeo則是在2019年6月宣布支援AV1，當時先在站方精選頻道Vimeo Staff Picks，提供採用AV1編碼的影片。Netflix是在2020年2月，在他們的Android行動App開放支援AV1，到了2021年11月，針對特定智慧電視設備進行的網路串流播放服務，開始使用AV1編碼格式。 2021年改名為Meta的Facebook於2018年4月表示，他們的影片播放支援AV1編碼，到了今年2月，該公司宣布，連續短片Facebook Reels和Instagram Reels也都開始支援AV1。 近年來走紅的社交多媒體網路視訊平臺Discord，也在今年2月底宣布支援AV1編碼，若使用者是他們的Nitro服務訂戶，可上傳與播放採用AV1編碼的影片。 而在雲端視訊會議服務方面，思科在2020年底宣布，2021年初期Webex會將AV1視訊編碼用於正式場合，他們表示將一步步進行，採用系統化的方式擴展AV1的部署，例如，先在其他桌面分享模式支援AV1的使用，可針對文字與圖片進行最佳化，或自動執行最佳化調校，若參與視訊會議的使用者設備無法支援AV1編碼處理，會自動退回到H.264編碼；經過一段時間的適應之後，思科會移除限制，開放與會者能指定隨選AV1或H.264編碼的轉換，也允許系統直接錄製使用AV1編碼的會議內容，而無須回到H.264編碼才能錄製。 目前作業系統支援AV1的狀況如何？微軟在2018年11月推出AV1 Video Extension的App，Windows 10用戶可到Microsoft Store的應用程式市集自行下載；而在Linux環境當中，在VA-API、VDPAU、NVDEC、NVENC等驅動程式中，若是所用的個人電腦，搭配近期推出的部分CPU（Intel Tiger Lake）、GPU（AMD Radeon RX 6000、Nvidia GeForce RTX 30），均能得到一些支援。 而在應用軟體的AV1支援，以瀏覽器而言，Firefox在2022年3月增設AV1硬體解碼器支援，Chrome在2018年8月支援AV1解碼，2021年支援AV1編碼，Edge因2018年下半微軟提供AV1 Video Extension而跟著支援AV1。 影音播放、編輯、轉碼軟體的部分，受到廣泛使用的開放原始碼VLC media player，從2018年2月釋出的3.0.0版，開始實驗性支援AV1解碼器；K-Lite Codec Pack在2018年9月發布的14.4.5版，支援AV1解碼；FFmpeg在2018年4月推出的4.0版，開始支援AV1；OBS Studio在2022年11月發布的28.1版，支援NVENC AV1硬體編碼器。 </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%A6%96%E8%A8%8A%E6%9C%83%E8%AD%B0">視訊會議</a></div><div class="field-item odd"><a href="/tags/%E5%A4%9A%E5%AA%92%E9%AB%94%E4%B8%B2%E6%B5%81">多媒體串流</a></div><div class="field-item even"><a href="/tags/av1">AV1</a></div><div class="field-item odd"><a href="/tags/%E8%A6%96%E8%A8%8A%E7%B7%A8%E7%A2%BC%E6%A8%99%E6%BA%96">視訊編碼標準</a></div><div class="field-item even"><a href="/tags/netflix">Netflix</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div><div class="field-item odd"><a href="/tags/%E5%85%A7%E5%AE%B9%E6%8E%A8%E8%96%A6">內容推薦</a></div></div></div>
2023/4/14 12:00作者李宗翰https://www.ithome.com.tw/voice/156396
【資安日報】4月11日，惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 惡意NPM套件的攻擊行動不時傳出，但之前大部分的目的是向開發人員散布惡意程式，如今駭客採用新的手法，他們透過自動化的方式，上傳內含惡意連結的大量套件，將開發人員導向惡意網站，再進行第二階段攻擊。研究人員指出，駭客大量上傳套件的情況，使得短短一個月NPM代管的套件就爆增近8成，進而影響此套件庫的運作。 在NPM套件的攻擊行動之外，企業對於現行使用者的身分管理，也值得留意，很多企業對於離職員工的帳號清除並未落實。最近有調查發現，竟有接近半數的離職員工能夠存取公司內部環境，或是所訂閱的服務，甚至能猜到老闆所使用帳密資料。這樣的情況也突顯出，公司對於離職員工的帳號註銷、管理，亟需加強。 繼上週末蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補兩個零時差漏洞，10日蘋果公司對於執行舊版作業系統的行動裝置與電腦，也發布相關更新，用戶應儘速套用修補軟體。 <h3>【攻擊與威脅】</h3> <a href="https://medium.com/checkmarx-security/who-broke-npm-malicious-packages-flood-leading-to-denial-of-service-77ac707ddbf1">駭客上傳大量含有惡意連結的套件，癱瘓NPM套件庫的運作</a> <a href="https://s4.itho.me/sites/default/files/images/1_VvF8pg-iegEkJ5qsvgQHVg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_VvF8pg-iegEkJ5qsvgQHVg.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露濫用NPM套件庫的攻擊行動，駭客上傳了大量的假套件，目的是將開發人員導向惡意網站，研究人員指出，因為這種套件的大量出現，使得原本保管約80萬個套件的NPM套件庫，在3月份超過140萬個，這起攻擊甚至造成阻斷服務（DoS）的現象，導致NPM套件庫不穩定，甚至是無法存取的情況。 這些假套件內容多半只有1個說明檔案，其檔案的內容會顯示於套件網頁，含有專屬短網址，其連結導向提及此套件的惡意網站，攻擊者利用這種手法來散布惡意程式，或是進行加密貨幣詐騙、全球速賣通（AliExpress）回饋詐騙等。 <a href="https://www.passwordmanager.com/47-of-workers-admit-to-hacking-accounts-with-former-employers-passwords/">許多企業與組織未落實員工離職後的帳號清理作業，近半數民眾反映他們曾使用這些帳號來存取系統</a> 密碼管理器評測網站PasswordManager.com針對1千名美國民眾進行調查，結果發現，有47%離職後曾成功存取前公司的應用系統，但他們的密碼從何而來？有58%人士表示他們的密碼與離職前完全相同，而能繼續使用，有44%人士則是指出，他們用來存取公司系統的密碼，是在職的同事提供。此外，亦有6%的人宣稱，他們能根據對雇主的了解，或是知道IT人員設置密碼方式，而能猜出前雇主的密碼。 值得留意的是，在這些能夠存取前公司資源的民眾當中，有三分之一表示他們已存取超過2年，且有超過四分之一存取公司購買的付費工具，但僅有七分之一被公司抓包。 <a href="https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/">伊朗駭客MuddyWater發動資料破壞攻擊</a> 微軟公布近期伊朗駭客組織MuddyWater的攻擊行動，該組織與名為DEV-1084的駭客集團聯手，先由MuddyWater利用Log4Shell等應用系統漏洞入侵目標網路環境，並於受害電腦部署Web Shell、PowerShell指令碼打造的後門程式、遠端存取工具（如RPort、Ligolo、Ehorus），以及建置本機管理員帳號、竊取帳密資料，再交由DEV-1084進行後續的勒索及資料破壞攻擊。 值得留意的是，這些駭客不只針對組織內部網路環境進行破壞，還挾持了Azure AD Connector管理者帳號，並透過Azure Privileged Identity Management特權身分管理服務得到最高管理員權限，對受害組織的Azure雲端環境進行破壞。 <a href="https://tehtris.com/en/blog/linux-focus-on-a-cryptomining-attack-dubbed-color1337/">挖礦軟體攻擊行動color1337鎖定Linux主機，並根據運算資源多寡，用於挖掘門羅幣，或是被用於散播惡意程式</a> 資安業者Tehtris揭露鎖定Linux主機的挖礦攻擊行動color1337，一旦目標主機符合駭客的要求，駭客就會部署名為diicot的挖礦軟體，透過這些電腦挖取門羅幣。 研究人員推測，駭客疑似先透過暴力破解SSH帳密的方式入侵受害電腦，然後部署名為uhQCCSpB的Shell指令碼，剷除目標主機上的其他挖礦軟體，並檢測處理器的核心數量，若超過4個核心，就會植入diicot；而對於不符合系統需求的電腦，駭客則將其用於散布惡意程式，進行橫向感染。研究人員認為，攻擊者很可能是使用羅馬尼亞語的駭客。 <a href="https://www.bleepingcomputer.com/news/technology/flipper-zero-banned-by-amazon-for-being-a-card-skimming-device-/">Amazon禁售滲透測試設備Flipper Zero，原因是此產品可用於金融卡側錄攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Amazon-Flipper_Zero_ban_notification.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Amazon-Flipper_Zero_ban_notification.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，Amazon近日全面下架滲透測試裝置Flipper Zero，原因是該設備能被用於側錄他人的信用卡資料。Amazon要求賣家檢查自己的商城，於48小時內移除與Flipper Zero有關的商品，否則商城有可能會被停權。 對此，製造商Flipper Devices表示，此裝置並未具備側錄金融卡資料的功能，他們已請求Amazon解除封鎖。而這已非首度禁售Flipper Zero的情況──巴西政府為防止該設備被用於犯罪，於3月開始封鎖該產品進口。 <a href="https://www.ithome.com.tw/news/156344">特斯拉車主提出訴訟，指控該公司允許員工濫用車輛鏡頭錄下的影片</a> 我們之前報導，路透社取得特斯拉前員工的說法，指出該公司的員工約從2019年至2022年，私自將該廠牌車輛攝影機擷取的影響拿來取樂，有侵犯客戶隱私疑慮，如今有車主一狀告上法院。 根據<a href="https://www.reuters.com/business/autos-transportation/tesla-hit-with-class-action-lawsuit-over-alleged-privacy-intrusion-2023-04-08/">路透社</a>、<a href="https://www.rfi.fr/en/business-and-tech/20230410-tesla-sued-over-workers-alleged-access-to-car-video-imagery">法新社</a>等媒體報導，居住於美國舊金山的車主Henry Yeh在4月7日向加州北部法院提出集體訴訟，他的委任律師發出聲明，特斯拉攝影機可能被用來危害家人隱私已令他不滿，且該公司員工互相分享取自其車上攝影機的影像，用作「低級且殘忍的娛樂趣味」，以及「羞辱被暗中錄影的人們」，讓他覺得遭到侵犯。對此，Henry Yeh要求法院命令特斯拉停止這類不當行為，並進行損害賠償。特斯拉並未針對這起訴訟進行回應。 <a href="https://www.theregister.com/2023/04/07/msi_cyberattack_bios/">微星證實遭到網路攻擊，呼籲用戶要從該公司網站取得韌體檔案</a> 我們上週報導微星傳出遭到勒索軟體Money Message攻擊，駭客聲稱竊得原始碼、BIOS韌體檔案、金鑰等內部檔案，微星於4月7日證實部分資訊系統遭到網路攻擊，並<a href="https://tw.msi.com/news/detail/MSI-Statement141689">發出公告呼籲用戶要從他們的網站取得電腦韌體</a>，但並未透露此起事故的受害範圍，也沒有說明是否有客戶資料遭竊。對此，新聞網站The Register進一步向微星確認，但該公司的回覆讓大家錯愕，因為他們表示：「we'll let you know if we hear anything back.」。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-recently-disclosed-zero-days-on-older-iphones-and-ipads/">蘋果為舊版行動裝置、電腦作業系統修補零時差漏洞CVE-2023-28206、CVE-2023-28205</a> 繼4月7日蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1，修補零時差漏洞CVE-2023-28205及CVE-2023-28206，該公司也於10日擴大修補範圍，推出iOS 15.7.5、iPadOS 15.7.5、macOS Monterey 12.6.5、macOS Big Sur 11.7.6，提供iPhone 6s、7、第1代iPhone SE、iPad Air 2、iPad mini 4、第7代iPod Touch用戶，以及執行macOS Monterey、Big Sur的電腦更新。 <a href="https://wsa.sophos.com/docs/ws1000/ws1000/concepts/ReleaseNotes_4.3.10.4.html">Sophos修補網頁安全閘道的任意程式碼執行漏洞</a> 資安業者Sophos針對旗下的上網安全閘道系統 Web Appliance，發布4.3.10.4版更新，總共修補3個漏洞，其中的CVE-2023-1671為重大等級，此為預先驗證命令注入漏洞，攻擊者在無須通過身分驗證的情況下就能發動攻擊，CVSS風險評分為9.8。 除了發布修補程式，該公司也指出此網頁安全閘道系統將於7月20日終止支援，呼籲用戶應改用防火牆產品的相關功能因應。 <a href="https://blog.talosintelligence.com/vuln-spotlight-justsystems-ichitaro/">日本文書處理軟體Ichitaro出現重大漏洞，可被用於執行任意程式碼</a> 思科威脅情報團隊Talos揭露日本文書處理軟體一太郎（Ichitaro）有4個漏洞，分別是：CVE-2022-43664、CVE-2023-22660、CVE-2023-22291、CVE-2022-45115，這些漏洞都可能造成記憶體錯誤，進而讓攻擊者執行任意程式碼，CVSS風險評分為7.0至7.8分，這些漏洞影響的產品版本是一太郎2022版，開發商JustSystems獲報後，於4月5日發布修補程式。 <h3>【資安防禦措施】</h3> <a href="https://www.ithome.com.tw/news/156316">為防範BGP挾持，荷蘭政府計畫全面導入RPKI標準，目前公部門的網站與郵件伺服器已有7成導入</a> 4月4日荷蘭政府發布新的資安強化措施公告，計畫在2024年底之前，針對他們的IT系統全面導入資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI），其目的是為了防範邊界閘道協定（Border Gateway Protocol，BGP）遭到挾持。 在此之前，荷蘭政府在2019年已規定新採購案必須包含RPKI，2023年的最新政策則是涵蓋既有的IT系統與服務。目前荷蘭政府所有的網站中，採用RPKI的比例為77.9%，電子郵件伺服器採用RPKI的比例也達到75.1%。 <h3>【其他資安新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/kfc-pizza-hut-owner-discloses-data-breach-after-ransomware-attack/">英國肯德基、必勝客1月遭勒索軟體攻擊，約300家門市停業1天</a> <a href="https://www.bleepingcomputer.com/news/security/sd-worx-shuts-down-uk-payroll-hr-services-after-cyberattack/">比利時人資系統業者SD Worx遭遇網路攻擊，英國及愛爾蘭服務的IT系統被迫關閉</a> <a href="https://www.securityweek.com/cisco-patches-code-and-command-execution-vulnerabilities-in-several-products/">思科針對旗下網路安全、身分驗證安全產品修補漏洞</a> <a href="https://www.businesswire.com/news/home/20230406005089/en/Groundbreaking-Research-from-Marsh-McLennan-Reveals-Direct-Link-between-Key-Cybersecurity-Controls-and-Reduced-Cyber-Risk">全面採用雙因素驗證、快速套用修補程式是防範網路攻擊的有效手段</a> <a href="https://securityintelligence.com/articles/new-phishing-hides-behind-trusted-services/">駭客濫用合法服務進行網路釣魚攻擊的情況日益頻繁</a> <a href="https://blog.cyble.com/2023/03/27/ghostsec-targeting-satellite-receivers/">衛星接收器遭到駭客組織GhostSec下手</a> <a href="https://www.ic3.gov/Media/Y2023/PSA230407">美國警告鎖定企業的色情勒索攻擊行動</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156319">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</a> <a href="https://www.ithome.com.tw/news/156300">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</a> <a href="https://www.ithome.com.tw/news/156264">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a> </div></div></div>
2023/4/11 17:48作者周峻佑https://www.ithome.com.tw/news/156354
Chrome率先預設支援網頁繪圖API WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://developer.chrome.com/blog/webgpu-release/">Google宣布</a>Chrome 113將開始預設支援網頁繪圖與計算API WebGPU，使得Chrome能夠高效能地處理3D圖形，並且執行資料平行運算任務。目前主要瀏覽器Firefox和Safari對WebGPU的支援都還在開發階段，Chrome則是率先提供初始實作。 過去要在不使用外掛程式的情況下，於瀏覽器中呈現互動式2D和3D圖形，便需要用到網頁繪圖 API WebGL，這是一個以OpenGL ES標準為基礎的JavaScript API。不過，WebGL存在許多缺點，因為WebGL受限於較舊的OpenGL ES設計，因此無法良好地發揮當前GPU的能力，而且也與部分硬體和驅動程式有相容性問題，令人詬病的還有API設計過於複雜，使得開發和維護工作難度增加，同時，WebGL還有一些安全性問題，其允許網站存取敏感GPU資源。 而WebGPU的出現便是要取代不敷使用的WebGL，WebGPU由Apple、Google、Mozilla和微軟等W3C成員所共同組成的GPU for the Web工作組開發，其目的是要建構一個可跨不同作業系統、硬體平臺的統一標準，讓開發者能夠更輕鬆地編寫網頁高效能圖形和運算程式。 WebGPU的角色與Direct3D 12、Metal和Vulkan等繪圖API相同，透過公開硬體功能供開發者在GPU上執行渲染和運算操作。WebGPU相較於WebGL有許多優點，除了效能大幅提升，對現代硬體支援更好之外，WebGPU API簡潔易用，之前在WebGL渲染物件，開發者需要替每一個物件配置一系列的狀態變更呼叫，光是渲染一個物件可能要呼叫超過10個函式，而在WebGPU卻只要兩行程式碼。 另外，WebGPU也能夠更好地支援一般運算，並且從設計根本考量網頁平臺的特性，除了提供慣用的JavaScript API之外，也支援匯入影片，並且提供大量有用的除錯訊息。目前這個WebGPU版本是一個基礎，工作組還將在API提供更進階的繪圖功能。 WebGPU從2017年開始發展，歷經6年集結90位貢獻者、2,000次提交和3,000個問題，現在第一個實作在Chrome上提供。開發者可以使用Chromium的Dawn函式庫，以及Firefox的wgpu函式庫來開發WebGPU程式，兩者都抽象作業系統GPU API，並提供良好的可移植性。 已經有一些函式庫開始支援WebGPU，過去支援WebGL的函式庫，要增加WebGPU的支援只需要稍經修改即可，目前Babylon.js、PlayCanvas和TensorFlow.js等函式庫都已經支援WebGPU。使用者已經可在支援Vulkan的ChromeOS裝置、支援Direct3D 12的Windows裝置，以及macOS裝置上的Chrome 113上用到WebGPU，Google提到，他們之後還會推出對Linux和Android平臺的支援。 </div></div></div>
2023/4/8 14:46作者李建興https://www.ithome.com.tw/news/156299
【資安週報】2023年3月27日到3月31日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一周的漏洞消息中，最主要的焦點，就是2022年底兩起商業間諜公司攻擊活動的揭露，Google TAG公布了當時被使用的零時差漏洞與串連多個漏洞，這意味著當時這些修補的漏洞，都已出現鎖定利用情形，包括：iOS（CVE-2021-30900）、Arm Gpu（CVE-2022-38181、CVE-2022-22706）、Google Chrome（CVE-2022-3038）與Linux Kernel（CVE-2023-0266）的5個漏洞。同時，還有一些老舊漏洞如今也被列入已知漏洞成功利用清單，包括Cobalt Strike去年的漏洞（CVE-2022-39197、CVE-2022-42948），以及Samba的漏洞（CVE-2017-7494），還有微軟IE相關的漏洞（CVE-2014-1776、CVE-2013-3163漏洞）。另外，本周Pwn2Own Vancouver 2023新找出的27個零時差漏洞，後續業者將有修補釋出。 在威脅態勢方面，殭屍網路與DDoS的威脅態勢受關注，包括ShellBot與MooBot發現證利用監控系統Cacti或瑞昱Realtek近兩年的漏洞，以及MacStealer竊資軟體借助殭屍網路散布的情形，值得一提的是，有英國國家刑事局為抓捕網路罪犯，設置多個DDoS租賃服務誘餌並發現有數千人存取。此外，還有勒索軟體Dark Power新動向，以及又有供應鏈攻擊出現，這次鎖定的是VoIP IPBX業者，同樣值得留意。 在其他攻擊活動與威脅揭露方面，ChatGPT的濫用隱憂持續受重視，歐洲刑警組織警告，注意網路罪犯正濫用ChatGPT與其他的大型語言模型（LLM）的威脅，需注意模仿特定人士的書寫與說話，以及產生網路釣魚的社交工程與假訊息散布；在國際間有多個攻擊活動被資安業者揭露，包括中國駭客組織Mustang Panda近期攻擊行動，以及中國駭客鎖定中東電信業者攻擊行動Operation Soft Cell。 至於國內資安事件方面有兩起事件受關注，包括：威秀影城公告系統升級與鄭重提醒反詐騙數日後傳出50萬客戶資料外洩消息，以及國內大學教授紛紛遭到變臉不雅照勒索的情況。 <h3><a href="https://www.ithome.com.tw/news/156142">【3月27日】SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</a></h3> 為了規避網路流量的偵測，駭客濫用免費的雲端檔案共用服務OneDrive、Google Drive、Dropbox等，可說是相當常見。但有不少企業在內部網路或Office 365公有雲架設協同作業網站入口SharePoint，方便員工能共用檔案，使得有些駭客也看上這點，透過此種共用系統讓使用者降低戒心，再利用檔案裡的URL，將他們引導至釣魚網站而達成目的。 除了上述濫用SharePoint攻擊行動，駭客使用免費雲端檔案共用服務的手法也出現變化。例如，中國駭客組織Mustang Panda特意將上傳至Google Drive的檔案，以使用密碼保護的壓縮檔打包，藉此讓這些惡意軟體逃過Google的檢測機制。 但在駭客散布惡意軟體的事故之餘，國內發生了使用Deep Fake照片向多所大學教授進行勒索的情況，雖然駭客使用簡體中文和中國用語，但教授很可能為了息事寧人，選擇付錢了事。 <h3><a href="https://www.ithome.com.tw/news/156172">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</a></h3> 推特在馬斯克（Elon Musk）入主之後大幅裁員，使得這些離職員工可能心生不滿而進行報復。根據各大新聞網站的報導，推特尋求法律途徑要求GitHub下架儲存庫，其內容是該公司網站與內部工具的專有原始碼，但究竟這些資料如何流出？傳出是離職員工上傳，但推特並未證實這項說法。 殭屍網路病毒Emotet近期的攻擊行動頻頻，之前被發現開始透過挾帶OneNote檔案的釣魚郵件散布，但最近駭客也跟上了美國報稅季，假借當地稅務機關的名義發動攻擊。值得留意的是，駭客不光使用OneNote挾帶惡意程式，也有使用Word檔案的情況。 過往的竊資軟體（Infostealer）幾乎都是針對Windows電腦而來，但最近有竊資軟體鎖定的是Mac用戶，值得留意的是，該惡意程式不光會對瀏覽器和加密貨幣錢包下手，還會針對macOS的密碼管理系統解密、回傳相關資料。 <h3><a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a></h3> 駭客發動與ChatGPT相關的攻擊行動日益頻繁，包含利用該機器學習語言模型來製作釣魚信件，或是假借提供相關應用程式來散布惡意軟體等。這樣的情況也引起歐洲警方的關注，並指出他們看到駭客運用此種機器學習模型的數種型態攻擊手法。 除了ChatGPT相關攻擊橫行，商業郵件詐騙（BEC）也相當值得留意。近日美國聯邦警查局（FBI）提出警告，駭客假冒合作廠商的名義發動相關攻擊，但與過往不同的是，這些駭客現在會使用延遲付款方式，使得受害廠商不易及早察覺詐騙而難以追回貨款。 而在面臨BEC攻擊行動之外，執法人員也透過反向操作、設下誘餌來找出網路罪犯。例如，英國國家刑事局（NCA）就假借提供DDoS租賃服務（DDoS-for-Hire）的名義，讓想要租用此種服務發動攻擊的駭客上當。 <h3><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></h3> 今天的資安新聞，我們看到針對網路電話（VoIP）、MFT檔案共享系統、行動裝置作業系統而來的攻擊行動相當引人關注，其中，又以網路電話系統3CX遭到鎖定的供應鍵攻擊事故，因為有3家資安業者不約而同提出警告，並揭露不同層面的發現。 在針對應用系統的攻擊行動之餘，惡意軟體IcedID的發展趨勢也引起研究人員注意，原因是攻擊者為了迴避資安系統偵測，大幅精簡該惡意程式原本的金融木馬模組，而且在遭滲透或感染的電腦部署更多惡意軟體。 上週OpenAI修補ChatGPT多項漏洞，如今有研究人員發現部分漏洞修補不全，而能繞過修補程式利用漏洞的現象。對此，該名研究人員協助OpenAI製作更新軟體。 <h3><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></h3> 駭客掃描存在特定弱點的雲端設施，進而發動攻擊的情況算是相當常見，但現在竟然出現了能大量掃描的模組化工具AlienFox，攻擊者從找尋目標到發現特定的系統弱點，都能利用同一組工具完成。基於這樣的攻擊便利性，上雲的企業與組織在暴露於公開網路的網站與應用系統，勢必要加快修補漏洞與修正不當設定的腳步，否則將會在更短時間之內被攻陷。 關切雲端資安風險態勢變化之餘，殭屍網路的攻擊行動也相當值得留意。有資安業者對殭屍網路ShellBot、MooBot的態勢提出警告，並指出駭客所使用的兩個重大漏洞，也有其他殭屍網路病毒加以運用。 因結合ChatGPT與AI對話機器人而吸引大量使用者的Bing搜尋引擎，最近被研究人員找到漏洞，能用來竄改搜尋結果，但起因與Azure AD有關。 </div></div></div>
2023/4/4 09:07作者羅正漢https://www.ithome.com.tw/news/156241
技術自主提高身分識別研發力，臺網下一步要靠微服務重構IT
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 隨著網際網路發展，民眾已習慣在網路上使用各種服務，甚至在智慧型手機人手一機、行動上網的普及之下，手機已取代電腦的角色，成為很多人生活的重心，使用手機線上購物、社群網站關心友人動態，或是購買股票、轉帳、追劇等等，為了避免使用者的身分遭到冒用，線上進行身分認證，確保身分使用安全無虞相當重要。 但是，傳統身分認證時，可用實體卡片如身分證、自然人憑證、健保卡等，可是，實體卡得搭配讀卡機等設備，對手機族群來說相當不方便。 這樣的情形在COVID-19疫情期間出現新的身分認證方式，民眾只要憑手機，就能透過健保快易通App登記購買口罩、預約疫苗注射，為方便民眾依需要，服務支援多種身分認證方式，其中一項是用行動電話門號來驗證使用者的身分，民眾不需使用讀卡機與實體卡片，以本人申請的手機門號就能快速完成實名認證。這項認證機制，正是臺灣網路認證公司（簡稱臺網）旗下TWID身分識別中心和5家電信商在2018年合作的成果。 因為民眾申辦行動門號時需使用雙證件驗證，當民眾選擇以行動電話完成身分認證時，服務後檯向電信商確認該門號的用戶身分，如此一來，民眾使用手機預約口罩、疫苗，不需要身分證件或卡片，可以快速通過身分認證。 由於這項認證方式簡單方便，很快擴大應用到3倍券及5倍券，連財政部財資中心網路報稅、手機報稅也在2021年開始支援，根據統計，第一年就有約3成網路報稅是透過行動門號認證登入報稅，去年更成長到近4成，今年報稅季可望進一步挑戰5成。 確保行動身分識別服務可用性 不論是線上預約口罩、預約疫苗，或是3倍券、5倍券，網路報稅或是手機報稅，都是政府對民眾的重要服務，這個行動身分識別的課題是服務可用性，要確保民眾24小時都能使用。 為了確保服務穩定，臺網與5家電信商合作，隨時監測尖峰流量，達到一定程度，臺網、電信業者兩端即啟動擴容的因應措施。由於口罩、疫苗預約，在疫情期間是相當重要的國家政策，當時臺網也透過電信產業發展協會，和5家電信業者每月開會，來因應突發問題。 從採用套裝軟體，走向技術自主 成立已有23年以上的臺網，背後股東包括了證交所、集保中心、財金公司，在金融及證券憑證應用上，有8成以上的市占率，可說是國內最大的民間憑證發行機構。儘管臺網至今已在市場有一席之地，但公司營運一路走來，歷經幾個重大里程轉折。 1999年臺灣網路認證公司成立時就加入，現在負責帶領IT及研發團隊的副總經理陳俊秀表示，公司初成立時，希望以更好的營運設施提供服務，加上相信國外軟體更為進步，也更有保障，因此直接採購套裝軟體來打造自家的產品服務。但幾年下來，他指出採購套裝軟體的代價是，「好像沒有根一樣」，除了需花費可觀的授權費用，因應市場需求快速調整產品的能力也不夠好。 過度依賴國外軟體，臺網徒有維運經驗，卻缺少了研發的基礎，因此，他們在股東支持下，2005年決定走向技術自主，開始建立自己的研發團隊，經過3年，在2008年中終於上線了自行技術研發的CA憑證管理系統，結合原本的維運技術，可以更快因應市場進行調整，提供更豐富的功能。 陳俊秀回憶這段時間，投入資金成立研發團隊，連續好幾年，這一群人都沒有產出。等到成功研發出自家軟體後，才有了研發底氣作為營運的後盾，現在才能夠更快調整，以回應顧客的需求。 汰換舊機房，進駐國家級資料中心 為了將憑證服務推廣出去，臺網必須加入主流瀏覽器的信賴清單，因此需要通過服務維運的相關稽核。在這個過程中，他們深深感受到基礎設施要符合稽核是一道難題。 原本臺網機房設置在自家辦公室所在大樓的10樓頂樓，但是，辦公大樓的頂樓多為公共空間，除了機房的空間有限，也難以確保機房安全，加上使用了數十年的辦公大樓，頂樓冷氣水塔滋生雜草，可能有漏水風險，大樓耐震設計也不符合資料中心等級需求，這個使用10多年的老舊機房漸漸成了臺網在基礎設施維運的隱憂，因此，他們希望尋找外面適合地點建立新機房。這個難題直到2014年才見到解法。 當時證券交易所在板橋啟用一座TIA942 Tier 4等級的國家級資料中心，在供電、空調、防震上都針對資料中心的需求特別設計，例如採用隔震墊、阻尼器，使耐震程度可達到7級，證交所不只是自用，也開放有需求的相關金融單位租用，臺網正好趕上這個機會，並於2016年進駐，才大大改善IT基礎設施維運及穩定。 臺網在證交所資料中心2014年完工後開始規畫，花了2年時間，才開始從老舊機房搬遷到新的機房，為了在機房搬遷過程也能做到服務不停機，採取分階段搬遷的做法，分階段搬移前、後臺的系統，先購買一半的新設備設置在新機房，他們先將一半的負載轉移到新機房，等待一段時間來測試新、舊機房同時運作的雙A運作模式，確認這個營運方式穩定後，再擴大新機房的設備，以此逐漸汰換舊機房，將所有負載移到新機房。 從數十年辦公大樓內的老舊機房，搬遷到國家級資料中心，對臺網而言，IT基礎設施維運的穩定度大幅提升，為走向自主研發之後，該公司在營運發展上另一個重要里程碑。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E7%B6%B2-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /> 攝影／洪政偉 臺灣網路認證副總經理陳俊秀表示，透過人才培育、技術培養引導步入正軌，以及團結利他的公司文化產生，才能提升員工的工作士氣及生產力。 推動利他共好的工作氛圍 至今，臺網已有約120名員工，其中超過6成的員工為IT及研發人員，身為公司創始元老，陳俊秀直言在其過去的經歷裡，遭遇最大的挑戰不是技術問題，反而是人。 傳統組織分工，每個人都負責自己分內的工作，當遇到需要解決的難題時，往往會基於本位主義開始防禦，將問題的原因指向他人，並指出他人應該要如何做。陳俊秀希望扭轉為利他共好的文化，當發生問題時，大家一起解決，這件事雖然是他人的工作，但員工願意協助解決他人工作上的問題，他認為這種成功不必在我的精神就是利他共好，幫助他人解決問題，大家共享成果。 為了培養員工建立「利他共好」的思維，陳俊秀從幾方面著手，首先是工作意願，徵才時尋找對這項工作有興趣，有意願投入的人才；其次是建立一套大家能接受、具公平性的獎賞制度；第三是養成員工將事情做好的負責任態度，鼓勵員工為了做好工作，透過和其他人討論，學習如何做好工作。當新的員工加入時，如果工作上遇到問題，其他員工願意協助他解決問題，自然而然也會養成新員工樂於幫助其他人。 然而，要使員工在個人的績效之外，願意花費自己的時間協助其他人解決問題並非容易的事。除了每半年檢視一次的KPI個人績效表現之外，臺網還設計一個即時獎勵制度，當員工願意協助其他人解決問題，主管可以即時獎勵該名員工，或是在每一季度結束的全公司大型聚會派對裡，由主管對表現優秀的員工給予獎勵，包含實質獎勵或是褒揚。 陳俊秀表示，透過即時獎勵制度，做得好的員工可以受到大家的重視，可以漸漸建立員工的榮譽感，慢慢引導他們願意設法協助表現落隊的員工，也激發落隊的員工自己要努力。 為了培育人才，臺網也有一套做法，他們以各部門為單位，由各部門員工自己列出工作上需要哪些技術，員工自評對每項技術的熟悉程度，例如精熟、一般、需要加強、完全不知道等5個層級，部門主管根據每位員工的技術熟悉程度，提出需要達到熟悉標準。這麼一來，部門主管能夠掌握每個員工對不同技術的熟悉度，了解部門現在的技術準備狀態，哪些技術是需要優先培養，並訂定員工的學習計畫，對員工來說，也能知道自己需要加強哪些技術。 陳俊秀表示，只要做好公司技術發展的基礎設施，一旦建立起這個基礎設施，員工能夠清楚知道需要學習哪些技術，他們學習的資料或心得，也能成為其他員工往後學習所需的教材，漸漸引導良性循環發展。 「透過人才培育、技術培養引導步入正軌，以及團結利他的公司文化產生，才能提升員工的工作士氣及生產力」，陳俊秀坦言，這需要長時間推動發展。 以微服務提升系統架構彈性 隨著研發團隊擴大，為了加快產品開發和交付速度，臺網正規畫要導入DevOps，陳俊秀指出，DevOps不只可以提高正確性及效率，也能加快擴充速度，但是臺網要導入DevOps最大的挑戰是落地，如何真正將DevOps融入到實際的作業，尚需要時間一一導入到不同的服務。 他解釋，臺網目前導入DevOps所面臨的問題是，開發與維運的整合問題，尤其是平臺作業的問題需要解決，目前的系統使用不同的平臺，例如Linux與Windows，需要相同一套機制跨平臺部署，去年先在單一作業平臺之下測試進行，希望在今年找出解決方案，克服跨不同作業平臺部署的問題。 雖然現在仍能繼續以人工一臺臺部署方式，但陳俊秀認為，人工作業的方式難以避免作業上的疏忽，考慮到提升服務品質及可用性，既然已採用Docker、容器化，從長遠角度來看，應該導入DevOps。目前人工作業方式，可能和DevOps新的作業方式相比，現在成本上的差異可能不明顯，但未來隨著系統一直發展，他相信成本、作業品質差異會愈來愈明顯。依過去工作經驗來看，對於未來可能碰到的問題，應該預先規畫，否則未來一旦問題發生，可能根本來不及應對。 下一步臺網準備擁抱微服務架構，目前已完成POC概念驗證，進入導入規畫階段。但陳俊秀坦言，微服務的模組化切割對臺網而言是一項大工程，許多系統需要一邊維持運作，一邊進行重構，未來將會先挑選一套系統，來實測如何轉換到微服務架構。 儘管挑戰近在眼前，但他認為，導入微服務是必需要做的，隨著身分識別的服務規模愈來愈大，合作夥伴愈多，系統的彈性、組合配置能力，將會是重點，這正是微服務架構能夠帶來的最大優勢。 在技術研發作為基礎，過去臺網的身分識別以「人」為主，接下來準備從識人進一步擴大到識事、識物，更多類型的識別服務領域。 CIO小檔案 臺灣網路認證副總經理陳俊秀 學歷：臺大資訊工程研究所碩士 經歷：1990年進入臺灣證券交易所，在證交所電腦作業部擔任專員，隨後在1999年加入甫成立的臺灣網路認證公司，剛開始在業務部門擔任專案經理，後續升任、經理等職務，後來歷任技術部經理、研發部協理，2010年升任副總經理至今，帶領研發及IT、資安等團隊。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E7%B6%B2-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 200px;" /> 攝影／洪政偉 公司檔案 臺灣網路認證公司 地址：臺北市延平南路85號10F 成立時間：1999年 主要業務：憑證、身分識別、信物管理、電子簽署、資料共享等服務 員工數：120人 董事長：李榮琳 總經理：郭昭宏 資訊部門檔案 資訊部門主管職稱：副總經理 資訊部門主管姓名：陳俊秀 直屬主管：郭昭宏 資訊部門人數：23人 IT大事記 2008年：自主技術CA系統上線。 2016年：機房進駐TIA942 Tier4臺灣證券交易所資訊中心。成立TWID身分識別中心。 2018年：與5家電信業者合作推出Mobile ID行動身分識別服務。 2022年：建立資安管理框架。 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1123-cio-960.jpg" width="960" height="420" alt="" title="臺灣網路認證副總經理陳俊秀　（攝影／洪政偉）" /></div></div></div>
2023/4/3 00:00作者蘇文彬https://www.ithome.com.tw/people/156220
資料介於增減之間的第三態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 身處恆常變化的世間，西方希臘哲學家Heraclitus感嘆：「世上唯一不變的事，就是改變。」，而在東方，佛教四聖諦的「苦諦」闡釋眾生有三大痛苦，變苦正是其中之一，隨著各式技術應用持續演進，IT長年以來少有能夠穩定不變的事物，比起其他領域而言，積極擁抱改變，在快速更迭、推陳出新的環境生存，早已是常態。 以資料儲存而言，目前四五十歲這一代年紀的人們，應該都經歷過一張磁碟片只有1.2 MB或1.44 MB的時期，個人電腦若要執行一款遊戲，需要安裝一到兩張磁碟片；之後硬碟機、光碟機與光碟片普及，個人電腦與伺服器的資料儲存容量持續增長；此時所需要克服的挑戰不單是資料儲存空間夠不夠「大」、單位儲存成本是否低到能被市場接受，大家開始希望能夠提升資料存取速度，於是，促成固態硬碟、記憶卡這類快閃記憶體儲存媒體的興起。 到了近期，大型雲端服務業者進入市場，以隨需即用方式提供雲端儲存空間，如今的企業也積極推動上雲，許多資料已存放在雲端服務環境，以上種種均是資料的「增」。 至於資料的「減」，則是整個產業面對儲存容量有限、單位儲存成本高昂，所持續提出的因應之道，像是：壓縮、重複資料刪除、Thin Provisioning，都是屬於較知名的作法。 以壓縮而言，早在Unix主機、個人電腦80386/80486處理器與DOS作業系統盛行的年代，檔案壓縮已大行其道，目前仍經常在各種場合使用，Windows、Linux等作業系統也直接內建這類壓縮資料的功能。 至於硬碟即時壓縮，在90年代曾出現一些廠商推出這類型產品，DOS作業系統後期版本也內建硬碟即時壓縮功能，不過，在市售硬碟容量不斷擴展之下，此類型技術應用很快就已消失在歷史舞臺。目前已知的即時壓縮技術，還有應用程式內建此類功能（例如，Oracle Database、微軟SQL Server等資料庫系統均提供），以及資料備份（備份伺服器、磁帶機、虛擬磁帶櫃）。 為了抑制資料量不斷攀升對企業與組織帶來沈重的儲存成本負擔，在儲存應用技術的發展過程當中，我們從2006年開始報導重複資料刪除（De-Dupe），到了2009年，透過採購特輯形式介紹市面上的這類解決方案，經過多年的觀察與經驗累積，我們對這類資料縮減技術已做出細部類型區分，像是：檔案型或區塊型、線上處理或後處理、在來源端或目標端來處理。以近期而言，2022年7月的封面故事《<a href="https://www.ithome.com.tw/article/152189" target="_blank">備份應用的資料減量革命</a>》，就是呈現此議題的最新產品應用現況。 關於資料的「不變」，早期我們主要在磁帶、虛擬磁帶櫃、光碟櫃等歸檔儲存產品，提及它們具有一寫多讀（Write Once Read Many，WORM）的特色，但僅描述其技術性質，未感受到這類應用需求的迫切性。 後續隨著雲端儲存服務的普遍提供與企業運用，2017年我們開始介紹公有雲的長期歸檔儲存服務，2021年發表以此類服務為主的封面故事專題；而為了因應層出不窮的勒索軟體對企業檔案進行加密綁架、甚至摧毀檔案的攻擊，有些儲存設備廠商開始提供並主推WORM特色的相關產品，因此，我們從2019年開始報導這方面的技術應用，並於2022年3月，發表封面故事《<a href="https://www.ithome.com.tw/article/150129" target="_blank">儲存防寫應用重新崛起</a>》。 而在持續追蹤相關產品的過程中，我們同時發現到市面上出現越來越多儲存產品，主打不可變快照（Immutable Snapshot）技術，而它們同樣是基於將資料鎖定在唯讀的儲存方式，而在2023年的此刻，恰巧是《<a href="https://www.ithome.com.tw/article/150129" target="_blank">儲存防寫應用重新崛起</a>》刊出1年之後，我們正式向大家介紹這類型解決方案，探討它與一寫多讀技術之間的差異，以及彼此可相互補足的關係，並且勾勒出當代企業級資料防寫技術的最新發展。 回顧過去資料儲存應用的發展歷程，不論是熱儲存、暖儲存、冷儲存，如今都找到了用武之地，而過去一度被束之高閣、被認為未來可能沒有發展前景的技術，居然也能以嶄新面貌重回市場，這應該出乎我們與許多專家的意料，或許只能說危機不僅替新進者創造了商機，對於苦熬多年、久坐冷板凳的技術而言，仍然有可能因為時勢變化而再次出頭。不僅AI如此，歸檔、WORM這類防寫儲存的重新受重視，也是典型的例子。 <a href="https://www.ithome.com.tw/article/156230" target="_blank"> 相關報導 </a><a href="https://www.ithome.com.tw/article/156230" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1123-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=HJoJqUpJ" style="width: 550px;" /></a> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">資料儲存應用</a></div><div class="field-item odd"><a href="/tags/%E4%B8%8D%E5%8F%AF%E8%AE%8A%E5%BF%AB%E7%85%A7">不可變快照</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/immutable-snapshot">Immutable snapshot</a></div><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E5%AF%AB%E6%8A%80%E8%A1%93">資料防寫技術</a></div></div></div>
2023/4/3 00:00作者李宗翰https://www.ithome.com.tw/voice/156222
【資安日報】3月31日，攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客掃描存在特定弱點的雲端設施，進而發動攻擊的情況算是相當常見，但現在竟然出現了能大量掃描的模組化工具AlienFox，攻擊者從找尋目標到發現特定的系統弱點，都能利用同一組工具完成。基於這樣的攻擊便利性，上雲的企業與組織在暴露於公開網路的網站與應用系統，勢必要加快修補漏洞與修正不當設定的腳步，否則將會在更短時間之內被攻陷。 關切雲端資安風險態勢變化之餘，殭屍網路的攻擊行動也相當值得留意。有資安業者對殭屍網路ShellBot、MooBot的態勢提出警告，並指出駭客所使用的兩個重大漏洞，也有其他殭屍網路病毒加以運用。 因結合ChatGPT與AI對話機器人而吸引大量使用者的Bing搜尋引擎，最近被研究人員找到漏洞，能用來竄改搜尋結果，但起因與Azure AD有關。 <h3>【攻擊與威脅】</h3> <a href="https://www.sentinelone.com/labs/dissecting-alienfox-the-cloud-spammers-swiss-army-knife/">一網打盡18種雲端服務的不當設定或漏洞風險，攻擊工具AlienFox可大量搜刮這些系統當中的帳密資料</a> 資安業者SentinelOne揭露名為AlienFox的模組化工具，駭客先從LeakIX和SecurityTrails物聯網搜尋引擎找尋攻擊目標，鎖定Laravel、Drupal、Joomla、Magento、Opencart、Prestashop、WordPress網頁應用程式框架配置不當或漏洞，竊取AWS、Google Workspace、Office 365、Twilio、Zimbra、Zoho等近20種雲端服務的帳密資料、API金鑰。 研究人員指出，駭客透過開源的方式，讓其他網路罪犯也能加入各式攻擊模組，而使得此工具能鎖定的目標也會日益廣泛。 <a href="https://www.fortinet.com/blog/threat-research/moobot-strikes-again-targeting-cacti-and-realtek-vulnerabilities">殭屍網路病毒ShellBot、MooBot大量散播有新管道，它們鎖定Realtek物聯網平臺與網管系統Cacti重大漏洞</a> <a href="https://s4.itho.me/sites/default/files/images/2023-03-28-at-12_57_47-pm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-28-at-12_57_47-pm.png" style="width: 300px; float: right;" /></a>資安業者Fortinet針對近期的殭屍網路病毒ShellBot與MooBot攻擊行動提出警告，指出駭客自今年1月至3月，利用網路監控系統Cacti的命令注入漏洞CVE-2022-46169，或是瑞昱Realtek Jungle SDK的RCE漏洞CVE-2021-35394（CVSS風險評分皆為9.8），來散布上述的殭屍網路病毒。 研究人員指出，他們看到最新的MooBot會清除受害設備上其他機器人（Bot）的處理程序，以便占用較多的硬體資源；而ShellBot則是在3月出現新的變種，駭客納入了更多功能，且已有數百個組織受害。 <a href="https://www.proofpoint.com/us/blog/threat-insight/exploitation-dish-best-served-cold-winter-vivern-uses-known-zimbra-vulnerability">Winter Vivern利用Zimbra漏洞竊取北約組織電子郵件</a> <a href="https://s4.itho.me/sites/default/files/images/Winter Vivern-fig 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Winter%20Vivern-fig%202.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露駭客組織Winter Vivern（亦稱TA473）鎖定北約組織（NATO）的攻擊行動，該組織於今年2月，利用名為Acunetix的工具，掃描尚未修補CVE-2022-27926的Zimbra郵件伺服器系統，接著向目標組織的使用者寄送釣魚郵件。 一旦收信人點選郵件裡的連結，就會觸發Zimbra伺服器的漏洞，將JavaScript惡意酬載注入網頁，進而讓攻擊者從Cookie竊取使用者的帳號名稱、密碼、Token，甚至可存取收信人的電子郵件信箱。 <a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/2023-cybersecurity-skills-gap-report.pdf">全球資安人才缺口達340萬，2022年遭入侵5次以上的企業增加53％</a> 資安業者Fortinet近日針對全球1,800名IT或資安決策者進行調查，結果發現，全球資安人才缺口高達340萬人，亞太地區尤其嚴峻，占216萬人。 有68%受訪者表示，因企業缺乏足夠資安技能或資安意識，導致IT部門關鍵職位出現空缺，並衍生更多資安威脅；84%組織過去1年曾遭駭客入侵，近半數（48%）因資安漏洞蒙受超過100萬美元損失。研究人員指出，2022年遭入侵5次以上的企業數量，較2021年多出53％。 <a href="https://www.cisco.com/c/dam/m/en_us/products/security/cybersecurity-reports/cybersecurity-readiness-index/2023/cybersecurity-readiness-market-snapshot-taiwan.pdf">臺灣企業重視資安？廠商調查指出，僅16%為資安威脅做好準備</a> 思科針對全球組織的資安成熟度進行調查，結果發現臺灣約有六分之一（16%）組織進入成熟階段，略優於全球（15%），但值得留意的是，我國仍有近半數（47%）仍在初始發展階段，在現今資安威脅態勢下有待加強。 而研究人員根據身分辨識、裝置安全、網路安全、應用程式負載、資料安全等領域進行分析，結果發現臺灣企業於裝置安全領域表示最佳，有31%達到成熟階段，但網路安全與應用程式負載領域有待加強，皆有超過半數企業的資安準備工作表現較為不足。 <a href="https://tw.nextapple.com/local/20230330/797513A5ED5E2F1F401C209A13DCC250">威秀影城傳出50萬筆客戶資料外洩</a> 根據壹蘋新聞網的報導，有人向他們反映，在2月底到臺中的威秀影城看電影，但近日接到自稱是該公司會計的女子來電，表示出現重覆扣款的情況，要求留下銀行帳號，且握有他詳細的個資及信用卡資料。這名民眾向銀行、威秀影城查證，大魯閣新時代威秀影城主管表示，公司訂票系統遭到入侵，導致50萬名會員個資外洩，公司已在網站公告。 然而，民眾指控，該公司僅在公告表示遭到冒名，而未提及個資外洩。對此，威秀影城坦承有個資外洩事故，但強調筆數並非「50萬筆」。 <h3>【資安產業動態】</h3> <a href="https://www.ithome.com.tw/news/156183">微軟推出資安AI輔助工具Security Copilot</a> 繼Office、開發人員，以及商務工作者的Copilot，微軟再推出網路資安人員使用的AI輔助工具Security Copilot，此為整合OpenAI的GPT-4生成性AI、微軟的安全分析及情報資料庫，以對話式AI助理介面協助安全從業人員，快速理解數量龐大的網路威脅活動訊號，發現攻擊活動並回應。 奧義智慧推出XCockpit自動化資安威脅管理平臺 臺灣資安業者奧義智慧於3月31日，發表AI資安威脅管理平臺XCockpit，此系統整合分析EDR端點安全、AD帳號安全，以及組織曝露在外的風險──攻擊面管理（ASM）等3大面向，藉由AI技術將調查程序自動化，協助第一線SOC人員快速掌握資安事故，大幅提升資安團隊事件處理的精準性與速度。 <h3>【其他資安新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-bugs-exploited-to-drop-spyware/">美國證實5個iOS與安卓漏洞被用於攻擊行動，要求聯邦機構限期修補</a> <a href="https://www.bleepingcomputer.com/news/security/microsoft-onenote-will-block-120-dangerous-file-extensions/">微軟在OneNote封鎖120種可能被用於散布惡意程式的檔案格式</a> <a href="https://www.cybersecuritydive.com/news/lumen-ransomware-attack/646135/">美國電信網路服務業者Lumen證實遭到2次網路攻擊</a> <a href="https://blog.cloudflare.com/ddos-attacks-on-australian-universities/">澳洲大學網站接連遭到兩個駭客組織DDoS攻擊</a> <a href="https://blog.exatrack.com/melofee/">中國駭客散布Linux惡意軟體Mélofée</a> <a href="https://www.itsecurityguru.org/2023/03/29/new-api-report-shows-400-increase-in-attackers/">鎖定API的攻擊行動於2023年第一季爆增400%</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a> <a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a> <a href="https://www.ithome.com.tw/news/156172">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</a> </div></div></div>
2023/3/31 18:05作者周峻佑https://www.ithome.com.tw/news/156233
微軟Azure Service Fabric Explorer存在XSS漏洞，允許攻擊者遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 資安廠商Orca在微軟雲端服務Azure Service Fabric Explorer，發現一個名為<a href="https://orca.security/resources/blog/super-fabrixss-azure-vulnerability/">Super FabriXss</a>的跨站腳本漏洞CVE-2023-23383。該漏洞允許未經身分驗證的惡意攻擊者，在Service Fabric節點託管的容器執行任意程式碼。目前微軟已經修復該漏洞。 Azure Service Fabric Explorer可供其雲端用戶，大規模打包、部署和管理，無狀態與有狀態的微服務和容器，該服務支援Windows和Linux作業系統，可以跨地區在雲端、資料中心甚至是個人筆記型電腦上部署容器。 攻擊者可以透過向任何Azure Service Fabric用戶，發送精心設計的URL以發起Super FabriXss漏洞攻擊。該漏洞運用了服務中易受攻擊的節點名稱參數，使惡意攻擊者可以在用戶上下文中嵌入iframe。透過該iframe攻擊者能夠從其伺服器檢索遠端檔案，並在iframe上執行惡意腳本，並且建立反向Shell連接。 與正常的Shell連接不同，反向Shell由受害者的Service Fabric節點發起，並且連接到攻擊者的伺服器，因此能夠繞過防火牆與安全措施。 Super FabriXss漏洞存在於Azure Service Fabric Explorer的9.1.1436.9590與更早的版本。在之前，Orca也曾在Azure Service Fabric Explorer發現另一個跨站腳本攻擊漏洞FabriXss，但研究人員提到，Super FabriXss比FabriXss更危險，因為Super FabriXss允許未經身分驗證的遠端攻擊者，在託管Service Fabric節點上的容器執行程式碼，這意味攻擊者可能取得重要系統的控制權，並對其造成嚴重損害。 </div></div></div>
2023/3/31 17:10作者李建興https://www.ithome.com.tw/news/156231
3CX的客戶端VoIP程式遭駭客滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> VoIP IPBX軟體開發商3CX所打造的桌面程式Electron傳出遭到駭客滲透，被駭客植入藏有木馬的ffmpeg.dll，並藉由官網上的更新感染了Windows及macOS用戶，<a href="https://www.3cx.com/blog/news/desktopapp-security-alert-updates/" target="_blank">3CX已證實此事</a>，建議使用者移除含有木馬的版本，並暫時使用漸進式網路應用程式（Progressive Web Apps，PWA）。 3CX的主要產品為3CX Phone System，這是一個基於開放標準的軟體交換機，並開發VoIP IPBX軟體，以讓用戶透過網路進行各種通訊，全球有超過60萬家企業客戶，包括可口可樂、麥當勞、BMW、IKEA及英國保健署（National Health Service）等，每日使用者數量超過1,200萬名。 <a href="https://news.sophos.com/en-us/2023/03/29/3cx-dll-sideloading-attack/" target="_blank">資安業者Sophos指出</a>，3CX用戶自3月22日陸續發現他們的防毒軟體將3CX的桌面程式標註為惡意程式，結果是3CX官網上支援Windows與macOS的桌面程式Electron被植入了含有木馬的ffmpeg.dll，可用來連結GitHub並下載惡意酬載。 Sophos所觀察到的惡意酬載主要為資訊竊取工具，以竊取受害系統上的瀏覽器資訊。受到影響的版本分別是Electron Windows App 18.12.407與18.12.416，以及Electron Mac App 18.11.1213、18.12.402、18.12.407與18.12.416。並未波及Linux、Android與iOS版本。 FFmpeg是個開源的軟體專案，可用來處理聲音及影像等多媒體檔案及串流，在事故傳出後，<a href="https://twitter.com/FFmpeg/status/1641481591254921216" target="_blank">FFmpeg團隊透過Twitter澄清</a>，該專案的原始碼並未被危害，任何ffmpeg.dll遭到危害的事件都應該由軟體供應商負責。 事實上，Sophos在所偵測到的惡意ffmpeg.dll檔案上，發現的也是3CX的數位憑證。 3CX本周四（3/30）證實了官方桌面程式遭到滲透，並已聘請資安業者Mandiant展開鑑識，由3CX代管及StartUP用戶的伺服器已連夜更新，至於一般使用者則應先移除桌面上的Electron程式，並暫時透過網頁版的PWA程式來使用服務。 此外，雖然3CX已經更新了Electron程式，但仍舊強烈建議用戶暫時不要使用該程式，因為這是一個在24小時內緊急修補的版本，同時3CX也在重新打造一個採用新憑證的版本，而這才會是完全安全的版本，預計一、兩天後就會出爐。 </div></div></div>
2023/3/31 10:50作者陳曉莉https://www.ithome.com.tw/news/156223
Google揭露間諜軟體供應商濫用熱門平臺零時差和既有漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google追蹤商業間諜軟體供應商，揭露兩大結合運用多個零時差漏洞與既有漏洞（N-day）的間諜活動，這些極具針對性的活動鎖定Android、iOS和Chrome熱門平臺，<a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/">Google提到</a>，根據他們的調查，商業監控供應商現在技術力提升，也擁有過去只有政府層級才能開發和操作漏洞的能力。 第一個間諜活動被稱為「Your missed parcel」，Google發現透過使用Android和iOS的零時差漏洞利用鏈，惡意攻擊者可以發送短訊息給位於義大利、馬來西亞和哈薩克的用戶，訊息內的連結會將用戶導向惡意頁面，之後再重新導向到諸如貨運或是物流公司的合法頁面。 在iOS上，惡意頁面使用WebKit遠端程式碼執行漏洞CVE-2022-42856，以及CVE-2021-30900沙盒逃逸和特權提升漏洞CVE-2021-30900，在iOS上安裝惡意Stager打開後門，回傳裝置的GPS位置，並且讓攻擊者可以於裝置安裝惡意程式。 而Android則需要用到Arm GPU手機上Chrome 106之前版本的漏洞，用到的漏洞包括類型混淆漏洞CVE-2022-3723、Chrome GPU旁路漏洞CVE-2022-4135、Arm特權提升漏洞CVE-2022-38181，而對三星用戶，網站還會透過意圖重新導向功能（Intent Redirection）從三星網際網路瀏覽器打開Chrome。用戶更新到Chrome 108便能免於受到攻擊。 第二個間諜活動，則是針對三星網際網路瀏覽器的漏洞入侵鏈，惡意攻擊者同樣是透過短訊發送一次性連結，到位於阿聯酋的裝置，將用戶導向到一個頁面，該頁面使用商業間諜軟體供應商Variston所開發的Heliconia框架，而漏洞利用鏈使用了一個以C++開發，且功能齊全的Android間諜軟體套件，包括可以解密和擷取各種聊天和瀏覽器應用程式資料的函式庫，進而追蹤受害者的社交和網頁瀏覽行為。 這個活動主要影響使用Chromium 102版本的三星瀏覽器，惡意攻擊者總共使用了6個漏洞，包括Chrome的類型混淆漏洞CVE-2022-4262、沙盒逃逸漏洞CVE-2022-3038，以及Mali GPU核心驅動程式授予攻擊者存取系統權限的CVE-2022-22706漏洞，還有提供攻擊者核心讀寫存取權限的Linux核心聲音子系統漏洞CVE-2023-0266，惡意攻擊者也利用了多個核心資訊洩漏漏洞，包括CVE-2022-22706和CVE-2023-0266。 每一個漏洞軟體原廠皆已修復，但可能因為修復時間差，或是因為版本更新節奏的關係，供應商並沒有及時修補程式，使得攻擊者有機可乘。透過結合零時差漏洞和既有漏洞，商業間諜軟體供應商能夠開發追蹤用戶的工具，Google提到，這些供應商向政府出售漏洞技術和監控功能，使政府能夠追蹤異議份子、記者、人權工作者和反對黨政客。 </div></div></div>
2023/3/31 09:10作者李建興https://www.ithome.com.tw/news/156207
【資安日報】3月30日，駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 今天的資安新聞，我們看到針對網路電話（VoIP）、MFT檔案共享系統、行動裝置作業系統而來的攻擊行動相當引人關注，其中，又以網路電話系統3CX遭到鎖定的供應鍵攻擊事故，因為有3家資安業者不約而同提出警告，並揭露不同層面的發現。 在針對應用系統的攻擊行動之餘，惡意軟體IcedID的發展趨勢也引起研究人員注意，原因是攻擊者為了迴避資安系統偵測，大幅精簡該惡意程式原本的金融木馬模組，而且在遭滲透或感染的電腦部署更多惡意軟體。 上週OpenAI修補ChatGPT多項漏洞，如今有研究人員發現部分漏洞修補不全，而能繞過修補程式利用漏洞的現象。對此，該名研究人員協助OpenAI製作更新軟體。 <h3>【攻擊與威脅】</h3> <a href="https://www.bleepingcomputer.com/news/security/hackers-compromise-3cx-desktop-app-in-a-supply-chain-attack/">VoIP網路電話系統3CX的用戶端程式遭到滲透，原因是受到駭客的軟體供應鏈攻擊</a> 資安業者<a href="https://www.crowdstrike.com/blog/crowdstrike-detects-and-prevents-active-intrusion-campaign-targeting-3cxdesktopapp-customers/">CrowdStrike</a>、<a href="https://www.sentinelone.com/blog/smoothoperator-ongoing-campaign-trojanizes-3cx-software-in-software-supply-chain-attack/">SentinelOne</a>、<a href="https://news.sophos.com/en-us/2023/03/29/3cx-dll-sideloading-attack/">Sophos</a>揭露針對3CX網路電話（VoIP）用戶而來的供應鏈攻擊SmoothOperator，目標主要是Windows與macOS用戶端應用程式。 CrowdStrike認為，此攻擊行動的目標是接收駭客基礎設施指令，部署第2階段酬載，其中部分行動駭客會手動控制受害電腦鍵盤。而對於攻擊者的身分，該公司認為應該是北韓駭客組織Labyrinth Collima。 SentinelOne和Sophos表示，在攻擊的過程中，內含惡意元件的3CX電腦版應用程式被下載到受害電腦，一旦執行安裝，電腦就有可能被植入竊資軟體。根據Sophos的觀察，此次攻擊具有「後漏洞利用行動（Post-Exploitation Activity）」，因為駭客植入了互動式的命令Shell。 <a href="https://www.rapid7.com/blog/post/2023/03/28/etr-active-exploitation-of-ibm-aspera-faspex-cve-2022-47986/">IBM檔案共用系統Aspera Faspex漏洞出現攻擊行動</a> 針對IBM今年1月下旬修補的重大漏洞CVE-2022-47986（CVSS風險評分為9.8），上個月已有資安業者發現駭客用於散布勒索軟體，如今傳出有實際攻擊行動。資安業者Rapid7於3月28日提出警告，根據他們的觀察，已有組織遭到相關漏洞攻擊。 研究人員指出，由於存在上述漏洞的MFT檔案共享系統Aspera Faspex通常會被部署於網路邊界，而成為駭客鎖定的目標，他們呼籲用戶應儘速安裝更新程式，而不要等到例行修補才處理。 <a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/">安卓、iOS手機出現零時差漏洞，被駭客用於部署惡意程式</a> Google的威脅情報分析小組（TAG）揭露2022年底2波零時差漏洞攻擊行動。 他們先是在11月，看到攻擊者針對iOS與安卓的用戶而來，其中，針對iOS裝置的部分，駭客引導受害者到惡意網站，觸發WebKit零時差漏洞CVE-2022-42856、沙箱逃逸漏洞CVE-2021-30900，再將他們重新導向合法的物流業者網站；而針對安卓使用者的零時差漏洞攻擊，駭客則是鎖定了Arm的GPU晶片而來，利用Chrome GPU沙箱繞過漏洞CVE-2022-4135、Arm權限提升漏洞CVE-2022-38181、Chrome類型混淆漏洞CVE-2022-3723。 之後，研究人員又在12月發現針對三星手機而來的第2波漏洞攻擊──阿拉伯聯合大公國用戶遭到網路攻擊公司Variston鎖定，對方利用CVE-2022-4262、CVE-2022-3038、CVE-2022-22706、CVE-2023-0266等多項漏洞，於受害手機植入間諜程式。 <a href="https://www.proofpoint.com/us/blog/threat-insight/fork-ice-new-era-icedid">惡意軟體IcedID出現精簡版變種，被用於散布第二階段作案工具</a> <a href="https://s4.itho.me/sites/default/files/images/image-20230329165543-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230329165543-1.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露惡意程式IcedID近期的動態，研究人員先後於2022年11月及2023年2月，發現Lite版及Forked版變種IcedID。 他們先是看到駭客TA542使用Lite版變種程式，散布殭屍網路病毒Emotet，後來沉寂一段時間；接著，該惡意程式的Forked版本遭到利用，駭客組織TA581透過發票做為誘餌的釣魚郵件來散布，研究人員目前發現7起攻擊行動。 分析上述兩款IcedID變種之後，研究人員發現攻擊者大幅移除此惡意程式的金融木馬功能模組，原因很可能是轉換用途，將其用於在受害電腦上部署勒索軟體等惡意程式，而且，這些變種還能減少被資安系統察覺的機會。不過，研究人員也指出，原本的「標準版」木馬程式IcedID應該不會因為新變種而就此消聲匿跡。 <a href="https://www.mandiant.com/resources/blog/apt43-north-korea-cybercrime-espionage">北韓駭客APT43埋藏攻擊行蹤長達5年</a> 資安業者Mandiant揭露北韓駭客組織APT43的網路間諜攻擊行動，自2018年開始，該組織鎖定南韓、日本、歐洲、美國的政府機關、商業服務、製造業、教育機構、研究單位下手，目標是國際政治與核武的政策。 而這樣的行動到了2021年出現變化，因為該組織更換目標、對醫療保健的垂直產業下手。研究人員認為，這樣的轉變應與COVID-19疫情有關。 此外，這些駭客也從事竊取加密貨幣及洗錢的工作，並將偷到的加密貨幣投資挖礦事業。 <a href="https://securelist.com/copy-paste-heist-clipboard-injector-targeting-cryptowallets/109186/">俄羅斯及東歐遭到惡意Tor瀏覽器鎖定，散布剪貼簿挾持程式</a> <a href="https://s4.itho.me/sites/default/files/images/Copy-Paste_Heist_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copy-Paste_Heist_02.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露針對俄羅斯與東歐國家而來的剪貼簿挾持攻擊行動，駭客自2022年8月，藉由提供洋蔥網路瀏覽器Tor Browser的「加強版」安裝程式，內有受密碼保護的RAR壓縮檔案，一旦使用者執行安裝，電腦就會被植入能挾持剪貼簿的惡意軟體，從而在使用者複製加密貨幣網址時，將其置換為駭客持有的加密貨幣錢包。 雖然此惡意軟體主要針對俄羅斯等東歐國家，但研究人員也看到美、德、中、法等國家的受害者，以及1.6萬個遭竄改的Tor Browser安裝程式，而他們根據駭客的加密貨幣錢包位址進行追蹤，估算不法獲利至少超過40萬美元（不含無法追蹤的門羅幣）。 <a href="https://www.zscaler.com/blogs/security-research/dbatloader-actively-distributing-malwares-targeting-european-businesses">惡意程式載入器DBatLoader在歐洲散布木馬程式與竊資軟體</a> 資安業者Zscaler揭露名為DBatLoader的惡意程式載入器，攻擊者鎖定歐洲組織而來，目的是散布RAT木馬程式Remcos、竊資軟體Formbook。 駭客為了規避網路流量的偵測，他們透過具備SSL憑證的WordPress網站來散布DBatLoader；此外，在入侵受害電腦後，該惡意程式載入器為能持續運作，會自我複製，並將複本檔案加上URL的副檔名，然後透過登錄檔加入OS開機啟動項目清單，一旦電腦重新開機，此惡意程式就會自動執行。 <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/openai-patches-account-takeover-vulnerabilities-in-chatgpt/">OpenAI再度修補ChatGPT帳號挾持漏洞</a> 人工智慧研究實驗室OpenAI於3月24日針對ChatGPT修補數項漏洞，但其中一項與網路暫存欺騙（Web Cache Deception）有關的漏洞，傳出修補不全而可能被利用。 <a href="https://twitter.com/_ayoubfathi_/status/1639637351042359296">此弱點是由研究人員Ayoub Fathi發現</a>，當他針對OpenAI的更新程式進行研究時，發現另一種繞過ChatGPT的API手法。 問題出在該系統的API會對偽造的/backend-api/conversations路徑進行暫存，導致受害者的HTTP回應曝光，攻擊者可藉此繞過修補程式，接管使用者的帳號，而且，這樣的情況存在於該系統所有的API。 對此，該名研究人員已通報OpenAI並與其合作，修補上述的弱點。 <a href="https://www.qnap.com/en/security-advisory/qsa-23-11">威聯通針對旗下NAS修補Linux元件權限提升漏洞</a> 臺灣NAS廠商威聯通（QNAP）於3月30日發布資安通告，他們表示，NAS作業系統QTS、QuTS hero具有Sudo元件高風險漏洞CVE-2023-22809，影響範圍也涵蓋QuTScloud、QVR Pro appliances（QVP），目前該公司已釋出QTS、QuTS hero新版韌體，用戶可執行更新以修補此漏洞。 CVE-2023-22809為權限提升漏洞，攻擊者在執行編輯檔案的命令（sudoedit 或sudo -e）的時候，可利用該漏洞來提升權限，進而編輯任意檔案，CVSS風險評分7.8，Sudo維護團隊於今年1月修補。 <h3>【其他資安新聞】</h3> <a href="https://www.cna.com.tw/news/afe/202303290069.aspx">駭客聲稱掌握證交所資料，金管會表示無外洩情事</a> <a href="https://papers.mathyvanhoef.com/usenix2023-wifi.pdf">研究人員揭露新型態Wi-Fi攻擊手法，可攔截流量、繞過安全機制</a> <a href="https://www.cisco.com/c/dam/m/en_us/products/security/cybersecurity-reports/cybersecurity-readiness-index/2023/cybersecurity-readiness-market-snapshot-taiwan.pdf">僅有約六分之一臺灣企業為資安威脅做好準備</a> <a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/2023-cybersecurity-skills-gap-report.pdf">資安人才缺口導致企業更難因應威脅態勢，逾半數企業遭入侵5次以上</a> <a href="https://www.rapid7.com/blog/post/2023/03/21/cve-2023-0391-mgt-commerce-cloudpanel-shared-certificate-vulnerability-and-weak-installation-procedures/">網站管理系統CloudPanel曝露共用證書漏洞</a> <a href="https://www.rapid7.com/about/press-releases/rapid7-acquires-minerva-labs/">資安業者Rapid7買下Minerva，強化勒索軟體防護與回應</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a> <a href="https://www.ithome.com.tw/news/156172">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</a> <a href="https://www.ithome.com.tw/news/156142">【3月27日】 SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</a> </div></div></div>
2023/3/30 15:25作者周峻佑https://www.ithome.com.tw/news/156202
【資安週報】2023年3月20日到3月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一周的漏洞消息中，主要焦點包括：微軟針對去年11月可繞過BitLocker的WinRE元件漏洞，新提供簡化的緩解措施，以及思科網路設備與Netgear有新的漏洞修補釋出，值得注意的是，近兩年美國CISA每週均發布多個ICS漏洞通告（ICS Advisory），本週有13則，呼籲企業修補包括台達電、西門子、ABB、Rockwell等廠商ICS設備的漏洞。 在攻擊活動與威脅方面，國內主要焦點是：有中國駭客針對國內金融機構持續發動釣魚郵件攻擊的揭露，其意圖是散布並濫用Cobalt Strike以入侵，國際間，有北韓駭客利用釣魚郵件散布惡意擴充套件以竊取Gmail信件的事件，受到德國BfV與南韓NIS聯手警告；以及俄羅斯駭客組織攻擊歐洲政府機關的新活動被揭露，其手法是架設假冒波蘭、義大利、烏克蘭政府與電信特定機構並帶有惡意軟體的網站，並以釣魚郵件引誘上當。其他重要威脅消息包括，有駭客正濫用Adobe Acrobat Sign以散布竊資軟體RedLine，以及中國與俄羅斯駭客正使用Silkloader惡意軟體的揭露。 而威脅態勢的揭露方面，Android木馬FakeCalls偽冒20多種金融機構名義App並發動語音網釣，目前正針對韓國民眾攻擊，影響層面廣泛，需特別注意。特別的是，在CatB勒索軟體方面，近期發現會針對瀏覽器與郵件軟體去竊取機密，突顯近年惡意軟體朝多功能發展。另外，還有兩個針對伺服器的攻擊活動要留意，包括殭屍網路HinataBot會鎖定未知Hadoop YARN伺服器漏洞，以及出現大規模入侵網站植入惡意JavaScript的情形。 <h3><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></h3> 臺灣政府2022年稅收超徵4,500億元，行政院宣布2023年將提撥1,400億元，當中將對全國民眾普發6千元現金。消息一出，駭客也開始架設假網站來行騙。3月中財政部宣布將在22日開放登記，但也出現新的假網站，民眾要提高警覺。 使用者透過推特的文章，向企業客服反映問題的做法也相當常見，但有駭客也趁機亂入，假借客服名義要使用者撥打詐騙電話。資安新聞網站Bleeping Computer揭露這種類型的攻擊手法，這些駭客專門鎖定那些標記為印度大型銀行的推文下手。 除了上述針對國內外民眾的詐騙攻擊行動，鎖定企業與商業領域的事故氾濫也值得我們留意──有資安業者揭露商業郵件詐騙（BEC）大幅增加的現象，並指出相關攻擊的事件數量，2022年首度超越了勒索軟體攻擊。 <h3><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></h3> 因地緣政治，臺灣總是成為中國駭客的主要攻擊目標。近日資安業者TeamT5揭露中國駭客自去年底出現的連續網路攻擊，針對金融機構而來。值得留意的是，駭客所發送的信件，主旨與內容在該行業可說是相當常見，使得研究人員認為，就算是與業務相關的郵件也要提高警覺，小心可能有詐。 除了國內的網路釣魚郵件攻擊事故，新的勒索軟體攻擊情勢也值得我們關注。例如，勒索軟體CatB以特殊的啟動方式、埋藏勒索訊息的手法，引起資安業者<a href="https://www.ithome.com.tw/news/155054#catb">Minerva</a>、<a href="https://www.ithome.com.tw/news/155635#catb">Fortinet</a>關注，如今資安業者SentinelOne揭露新的調查結果──該勒索軟體也納入了部分竊密軟體的功能。 駭客散布惡意軟體的管道，網路釣魚可說是相當常見，但透過搜尋引擎惡意廣告、YouTube頻道的做法也不時有事故傳出。如今，有人結合了惡意廣告和YouTube頻道兩者，導致使用者看到廣告是來自YouTube，而可能大大降低戒心。 <h3><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></h3> 鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。 雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。 攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。 <h3><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></h3> 南北韓之間的情勢緊張，北韓駭客對南韓使用者發動攻擊時有所聞，最近有一起資安通告與駭客利用惡意瀏覽器擴充套件的攻擊行動有關，但特別的是，這次發出警告的並非僅有南韓主管機關，還有德國憲法保護聯邦辦公室（BfV），原因很可能是相關攻擊會漫延到全球。 電商網站的網站交易資料側錄攻擊也出現新的攻擊手法！研究人員看到駭客轉移陣地，將惡意程式碼植入外接的支付系統閘道元件，使得有關攻擊行動將更難察覺。 入侵網站的事故，也有可能是散布惡意軟體攻擊行動的一部分。有駭客在拉丁美洲多個國家散布惡意軟體，並攻擊WordPress網站並用於架設C2中繼站、存放惡意程式。 <h3><a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a></h3> 利用惡意程式碼攻擊網站使用者的現象，我們前幾天介紹了從1.7萬個網站竊取帳密資料的金融木馬程式Mispadu，現在出現了規模更大的網站攻擊行動──這次駭客針對5.1萬個網站下手，透過多階段的惡意JavaScript注入與惡意程式碼參入正常程式碼等手法，使得瀏覽受害網站的使用者會被重新導向至惡意網站。 除了網站資安事故相當值得留意，假冒廠商貸款名義的商業郵件詐騙（BEC）攻擊行動也同樣要小心，駭客看準了房地產業者會常常經手高額貸款的情況，發送有關的發票、電匯文件資料。研究人員指出，雖然他們成功發現駭客的意圖，但目標組織是否上當仍不得而知。 手機、電腦內建的螢幕畫面截取工具竟存在漏洞，讓編輯過後的圖片留下有關資料，而有可能復原！研究人員認為，這樣的漏洞很可能也存在於其他廠牌的手機、電腦作業系統上。 <h3><a href="https://www.ithome.com.tw/news/156119">【3月25日】GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰</a></h3> 繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。 社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。 在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。 </div></div></div>
2023/3/27 10:32作者羅正漢https://www.ithome.com.tw/news/156121
【資安日報】3月25日，GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。 社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。 在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。 <h3>【攻擊與威脅】</h3> <a href="https://github.blog/2023-03-23-we-updated-our-rsa-ssh-host-key/">GitHub私鑰遭到公開，該公司進行緊急撤換</a> 3月23日GitHub發布公告，表示近日他們網站的RSA SSH私鑰，短暫曝露於公開的儲存庫。對此，該公司進行部分的金鑰替換因應。而對於本次事故發生的原因，他們初步認為是無意間造成的錯誤，並非GitHub系統遭到攻擊，也沒有客戶個資被竊取。再者，目前尚未有證據顯示該公司曝露的金鑰遭利用。 <a href="https://cybernews.com/security/powder-room-data-leak/">韓國美容社交平臺PowderRoom曝露百萬用戶個資</a> <a href="https://s4.itho.me/sites/default/files/images/PowderRoom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowderRoom.png" style="width: 200px; float: right;" /></a>資安新聞網站Cybernews揭露韓國美容社交平臺PowderRoom資料外洩事故，此平臺採用的資料庫內含近140 GB資料，包含使用者姓名、電話號碼、Instagram用戶名稱、居住地址，公開超過一年，一旦遭到濫用，攻擊者有可能挾持這些使用者帳號及支付資料購物，或是在PowderRoom平臺發表評論，甚至透過地址與電話號碼騷擾使用者。根據該資料庫存放的帳密資料，約有100萬個使用者受到影響。 <a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/new-kritec-skimmer">電子商務平臺Magento遭到惡意程式碼Kritec側錄交易資料</a> 資安業者Malwarebytes發現，在<a href="https://www.akamai.com/blog/security/magecart-attack-disguised-as-google-tag-manager">上個月雲端服務業者Akamai揭露的Magecart網站側錄攻擊</a>當中，發現出手的駭客組織可能有第二組人馬。 當時Akamai指出，駭客為了隱匿行蹤，他們不只使用Base64演算法來處理惡意程式碼，並冒充Google Tab Manager等第三方網站服務。Malwarebytes的研究人員指出，在Akamai發現駭客所使用的側錄工具「WebSocket」之外，他們在受害的電商網站，還找到另一款名為Kritec的側錄工具，它會濫用Cloudflare的網域來隱匿基礎設施，且含有中介載入器等特徵。 <a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Infection-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露鎖定印度國防研究與發展機構（DRDO）的攻擊行動，巴基斯坦駭客組織SideCopy透過垃圾郵件挾帶ZIP附件檔案，其內容是偽裝成PPTX簡報的捷徑檔案（LNK），一旦收信人開啟，就會執行Windows元件mshta.exe存取指定的URL，下載HTA檔案，此檔案會在受害電腦投放PPTX的誘餌檔案、DLL程式庫載入工具。 接著，該載入工具執行第二階段的HTA檔案、DLL程式庫載入工具，最終執行惡意程式cridviz.exe、RAT木馬程式Duser.dll，收集系統資訊，以及電腦所用防毒軟體的名稱，並回傳C2中繼站。 <a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph">南亞、東南亞遭到流量監聽軟體Naplistener攻擊</a> Elasticsearch旗下的資安實驗室揭露駭客組織Ref2924的攻擊行動，利用C#編譯的HTTP流量監聽工具Naplistener，針對南亞、東南亞的組織而來。研究人員看到攻擊者使用可執行檔型式的Naplistener，並以Windows服務植入受害電腦。 值得留意的是，駭客為了迴避資安系統偵測，此監聽工具還會模仿網頁伺服器的行為，產生看似正常的流量，來隱匿其監聽行動。再者，此監聽工具的行動也不會在IIS伺服器留下事件記錄，導致無論是透過網路偵測或是事件記錄偵測都難以察覺。 <a href="https://www.fda.gov.tw/TC/newsContent.aspx?cid=4&id=t601584">食品藥物管理署網站遭到DDoS攻擊</a> 3月24日，食品藥物管理署網站傳出遭到駭客攻擊，而無法存取，對此，食藥署發出公告，證實他們遭到分散式阻斷服務攻擊（DDoS），察覺異常流量後隨即啟動緊急因應措施，並與電信業者合作，現已恢復正常。食藥署指出，這次遭到攻擊的對象是DNS，導致使用者無法經由網址解析服務存取該網站的IP位址。 <h3>【資安防禦措施】</h3> <a href="https://www.cisa.gov/news-events/alerts/2023/03/23/untitled-goose-tool-aids-hunt-and-incident-response-azure-azure-active-directory-and-microsoft-365">美國CISA發布可在微軟雲端服務偵測惡意行動的工具</a> 美國網路安全暨基礎設施安全局（CISA）於3月23日，發布名為Untitled Goose Tool的資安事件回應工具，目的是協助組織偵測微軟雲端環境的威脅，適用範圍涵蓋Azure、Azure Active Directory、Microsoft 365等。此外，該工具亦能從Microsoft Defender for Endpoint、Defender for Internet of Things收集額外的遙測資料。 <h3>【其他資安新聞】</h3> <a href="https://www.mitiga.io/blog/how-okta-passwords-can-be-compromised-uncovering-a-risk-to-user-data">身分驗證及管理系統Okta出現漏洞，恐曝露用戶明文帳號資料而被濫用</a> <a href="https://blog.blacklanternsecurity.com/p/introducing-badsecrets">資安業者Black Lantern提供開源工具Badsecrets，可偵測網頁應用程式框架曝露的帳密資料</a> <a href="https://www.sentinelone.com/labs/operation-tainted-love-chinese-apts-target-telcos-in-new-attacks/">中東電信業者遭到中國駭客長達十年的攻擊行動</a> <a href="https://www.cleafy.com/cleafy-labs/nexus-a-new-android-botnet">450款金融App遭到安卓木馬Nexus鎖定</a> <a href="https://blog.phylum.io/malicious-actors-use-unicode-support-in-python-to-evade-detection">惡意PyPI套件濫用萬國碼規避偵測</a> <a href="https://cybersecurity.att.com/blogs/labs-research/blackguard-stealer-extends-its-capabilities-in-new-variant">57種加密貨幣錢包遭竊資軟體BlackGuard鎖定</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a> <a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a> <a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a> </div></div></div>
2023/3/25 14:55作者周峻佑https://www.ithome.com.tw/news/156119
【資安日報】3月24日，逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 利用惡意程式碼攻擊網站使用者的現象，我們前幾天介紹了從1.7萬個網站竊取帳密資料的金融木馬程式Mispadu，現在出現了規模更大的網站攻擊行動──這次駭客針對5.1萬個網站下手，透過多階段的惡意JavaScript注入與惡意程式碼參入正常程式碼等手法，使得瀏覽受害網站的使用者會被重新導向至惡意網站。 除了網站資安事故相當值得留意，假冒廠商貸款名義的商業郵件詐騙（BEC）攻擊行動也同樣要小心，駭客看準了房地產業者會常常經手高額貸款的情況，發送有關的發票、電匯文件資料。研究人員指出，雖然他們成功發現駭客的意圖，但目標組織是否上當仍不得而知。 手機、電腦內建的螢幕畫面截取工具竟存在漏洞，讓編輯過後的圖片留下有關資料，而有可能復原！研究人員認為，這樣的漏洞很可能也存在於其他廠牌的手機、電腦作業系統上。 <h3>【攻擊與威脅】</h3> <a href="https://unit42.paloaltonetworks.com/malicious-javascript-injection/">逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a> <a href="https://s4.itho.me/sites/default/files/images/word-image-127351-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127351-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露大規模的JavaScript程式碼攻擊行動，駭客約自2022年1月23日開始，不斷入侵網站並植入惡意JavaScript程式碼，使得瀏覽這些網站的使用者被重新導向至惡意網站，迄今有超過5.1個網站、17萬個URL遇害，這起攻擊行動在2022年5月至8月達到高峰，這段期間每天平均有4千個URL遭到相關攻擊。 研究人員指出，駭客運用了多種混淆手法來迴避偵測，例如：利用String.fromCharCode函數埋藏惡意JavaScript的URL，或是使用十六進位表示法編碼，他們也看到將惡意指令碼注入到大型檔案，或是多階段注入指令碼的情況。 <a href="https://abnormalsecurity.com/blog/36-million-vendor-fraud">駭客假借貸款名義發動BEC攻擊，企圖詐騙3,600萬美元</a> 資安業者Abnormal Security揭露駭客假借廠商名義發動的商業郵件詐騙（BEC）攻擊行動，駭客聲稱自己是目標公司長期合作夥伴的高階副總裁暨法律顧問，發送帶有詐欺付款資訊的發票與電匯資料，申請3,600萬美元貸款。 駭客為了取信目標公司，不只使用極為相似的網域名稱，甚至寄送副本給另一家知名的房地產投資公司（不過，上述的兩個網域，駭客都將.com的部分換成.cam）。再加上遭到鎖定的公司從事房地產業務，常常會經手處理高額貸款的審核與收發，而有可能不會留意到異狀，該資安業者呼籲相關業者要提高警覺。 <a href="https://www.group-ib.com/blog/venomous-vacancies/">中東、非洲求職者遭到2,400個詐騙網頁盯上</a> 資安業者Group-IB揭露為期一年、使用超過2,400個詐騙網站的求職詐騙攻擊，駭客自2022年1月至2023年1月，針對13個中東與非洲地區的國家、使用阿拉伯語的求職者下手，並偽裝成超過40個知名廠商，目的是騙取受害者的網路服務帳密資料。 研究人員指出，從駭客假冒的公司所在地區來看，有近半數位於埃及（48%），其次是沙烏地阿拉伯和阿爾及利亞（23%、17%）；而根據產業類型而言，近三分之二是物流業（64%），其次則是食品與飲料業者（20%），以及石油工業（12%）。 <a href="https://jfrog.com/blog/attackers-are-starting-to-target-net-developers-with-malicious-code-nuget-packages/">惡意NuGet套件鎖定.NET開發人員而來</a> 資安業者JFrog揭露惡意NuGet套件的攻擊行動，駭客在今年1月至2月，上傳13個套件，其中有3個在一個月裡總共被下載超過15萬次。 研究人員針對這些NuGet套件進行分析，結果發現其主要功能都是於目標電腦執行PowerShell指令碼init.ps1，將PowerShell執行組態調整為不受任何限制，使得攻擊者能任意執行PowerShell指令碼，進而部署惡意酬載，最終竊取開發者的加密貨幣錢包。其中，有部分惡意套件並未包含惡意酬載，而是透過相依套件的方式進入目標電腦。 此外，對於大部分防毒軟體而言，這些惡意酬載並不會被判定為有害，再加上開發者在Visual Studio安裝含有init.ps1的NuGet套件時，居然沒有任何警示視窗出現，導致開發人員很有可能難以察覺異狀。 <a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/emotet-onenote">惡意軟體Emotet透過OneNote筆記檔案散布</a> <a href="https://s4.itho.me/sites/default/files/images/easset_upload_file72517_262451_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file72517_262451_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes針對殭屍網路Emotet的動態提出警告，指出相關攻擊在趨緩3個月後又再度捲土重來，這次駭客借助名為Epoch 4的殭屍網路基礎設施展開攻擊，並改用OneNote筆記檔案做為釣魚郵件的附件。 一旦收信人開啟上述的附件檔案，就會出現「文件受到保護」的警示視窗，要求收信人點選檢視按鈕來瀏覽完整的內容，然而一旦照做，此OneNote檔案就會觸發指令碼，然後下載Emotet酬載，並透過regsvr32.exe載入、執行。 <h3>【漏洞與修補】</h3> <a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-74842">思科網路設備作業系統IOS出現高風險漏洞</a> 3月22日思科針對旗下網路設備作業系統IOS、IOS XE，發布半年度的例行更新，總共修補了10個漏洞，CVSS風險評分為4.4至8.6分，其中有6個是高風險等級。 這些漏洞最嚴重的是CVE-2023-20080、CVE-2023-20072、CVE-2023-20027，都可能在攻擊者尚未通過身分驗證的情況下，用於阻斷服務（DoS）攻擊，CVSS風險評分皆為8.6分。這些漏洞分別與IPv6 DHCP（DHCPv6）Relay and Server、分段隧道協定（Fragmented Tunnel Protocol）的封包處理，以及IPv4的虛擬分段與重組（Virtual Fragmentation Reassembly，VFR）等功能有關。 <a href="https://www.da.vidbuchanan.co.uk/blog/exploiting-acropalypse.html">手機編輯過的照片有可能被復原！研究人員揭露Google手機圖片編輯工具漏洞Acropalypse</a> <a href="https://s4.itho.me/sites/default/files/images/FrdHHYdakAADqzZ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FrdHHYdakAADqzZ.png" style="width: 300px; float: right;" /></a>研究人員Simon Aarons和David Buchanan揭露名為Acropalypse的漏洞（CVE-2023-21036），這項漏洞存在於近5年的Google Pixel手機，對於透過手機的標記工具（MarkUp Tool）裁剪、編輯的部分內容，有可能因此而得以恢復，例如，使用者可能拍下信用卡外觀上的卡號與CVV驗證碼，再用上述工具進行處理以免卡號公開，而透過這個漏洞的濫用，攻擊者就有機會藉由上述漏洞還原成原始照片。 研究人員表示，約有8成圖片修改內容可藉此回復原狀。Google獲報後，已於3月13日發布更新程式予以修補。但值得留意的是，這樣問題會影響最近5年內由前述工具編輯的照片，甚至也有可能出現在其他安卓手機。 <a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-snipping-tool-privacy-bug-exposes-cropped-image-content/">Windows 11剪取工具也存在Acropalypse漏洞</a> 研究人員Chris Blume指出，Windows 11的剪取工具（Snipping Tool）存在Acropalypse漏洞，而導致編輯過的PNG、JPG圖片檔案保有原本的IEND資料，而有可能被復原。這項漏洞也得到研究人員Will Dormann、資安新聞網站Bleeping Computer的確認。在此之前，智慧型手機Google Pixel的標記工具（MarkUp Tool）也曾出現Acropalypse漏洞。 <a href="https://blog.talosintelligence.com/vulnerability-spotlight-wellintech-ics-platform-vulnerable-to-information-disclosure-buffer-overflow-vulnerabilities/">中國工業自動化軟體WellinTech KingHistorian存在高風險漏洞</a> 思科威脅情報團隊Talos於3月21日，揭露2個OT資安漏洞，問題出在中國工業控制自動化業者亞控科技（WellinTech）旗下的時間序列資料庫平臺KingHistorian，其中較為嚴重的是整數轉換漏洞CVE-2022-43663，存在於SORBAx64.dll程式庫，CVSS風險評分為8.1；另一個漏洞是CVE-2022-45124，攻擊者可截取身分驗證的封包而造成資訊洩露，CVSS風險評分為7.5。WellinTech於3月17日，發布上述漏洞的修補程式。 <h3>【其他資安新聞】</h3> <a href="https://www.ithome.com.tw/news/156040">臺灣面臨網攻次數是全球平均的兩倍！2022年臺灣每週每個組織面臨3千次攻擊</a> <a href="https://www.ithome.com.tw/news/156101">GoAnywhwere漏洞受害組織持續增加，多倫多市、維珍集團、P&G入列</a> <a href="https://www.horizon3.ai/veeam-backup-and-replication-cve-2023-27532-deep-dive/">研究人員發布Veeam備份系統重大漏洞的概念性驗證程式碼</a> <a href="https://www.ithome.com.tw/news/156068">ChatGPT修補曝露用戶對話紀錄標題的漏洞</a> <a href="https://www.ithome.com.tw/news/156072">AWS推出資料無塵室服務Clean Rooms，供企業與外部進行安全資料協作</a> <a href="https://blog.cyble.com/2023/03/23/cinoshi-project-and-the-dark-side-of-free-maas/">駭客以服務型式提供惡意程式Cinoshi多種攻擊模組</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a> <a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a> <a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a> </div></div></div>
2023/3/24 15:12作者周峻佑https://www.ithome.com.tw/news/156109
【資安日報】3月23日，北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 南北韓之間的情勢緊張，北韓駭客對南韓使用者發動攻擊時有所聞，最近有一起資安通告與駭客利用惡意瀏覽器擴充套件的攻擊行動有關，但特別的是，這次發出警告的並非僅有南韓主管機關，還有德國憲法保護聯邦辦公室（BfV），原因很可能是相關攻擊會漫延到全球。 電商網站的網站交易資料側錄攻擊也出現新的攻擊手法！研究人員看到駭客轉移陣地，將惡意程式碼植入外接的支付系統閘道元件，使得有關攻擊行動將更難察覺。 入侵網站的事故，也有可能是散布惡意軟體攻擊行動的一部分。有駭客在拉丁美洲多個國家散布惡意軟體，並攻擊WordPress網站並用於架設C2中繼站、存放惡意程式。 <h3>【攻擊與威脅】</h3> <a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/EN/prevention/2023-03-20-joint-cyber-security-advisory-korean.pdf?__blob=publicationFile">北韓駭客利用瀏覽器外掛竊取Gmail的信件</a> <a href="http://www.verfassungsschutz.de/SharedDocs/publikationen/EN/prevention/2023-03-20-joint-cyber-security-advisory-korean.html;jsessionid=5F54A73439C826897C132E375AB684F2.intranet252">德國憲法保護聯邦辦公室（BfV）</a>與<a href="https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=SecurityAdvice_main&nttId=25266&pageIndex=1#LINK">南韓國家情資服務中心（NIS）</a>聯手發布資安通告，指出北韓駭客組織Kimsuky利用惡意的Chrome擴充套件針對南韓發動攻擊，目標是竊取受害者的Gmail郵件資料，而且，BfV與NIS認為，這些駭客很有可能也將這種手法運用於攻擊其他國家。 駭客先透過釣魚郵件要求收信人，為Chrome、Edge、Brave等以Chromium為基礎的瀏覽器，安裝名為AF的擴充套件，一旦收信人在瀏覽器存取Gmail，此擴充套件便會自行啟動，竊取受害者的電子郵件內容。此外，這些駭客不光對電腦用戶下手，也試圖藉由惡意App攻擊安卓用戶。 <a href="https://www.zscaler.com/blogs/security-research/unintentional-leak-glimpse-attack-vectors-apt37">北韓駭客組織APT37透過微軟說明文件檔案散布惡意程式</a> 資安業者Zscaler的研究人員發現北韓駭客組織APT37經營的GitHub儲存庫，進而推測該組織自2020年10月至今所使用攻擊工具與手法。研究人員指出，駭客透過網路釣魚攻擊散布名為Chinotto的PowerShell後門程式，其誘餌文件檔案的類型相當多元，除了最常見的Office檔案、Excel附加元件（XLL），這些駭客也利用Windows說明文件檔案（CHM），以及南韓辦公室軟體Hancom office檔案（HWP）。 再者，這些駭客不只散布惡意軟體，也專注於透過網路釣魚竊取使用者的帳密。而在基礎設施的部分，此駭客組織經常入侵南韓的電子佈告欄系統（BBS），並用來架設C2中繼站。 <a href="http://blog.sucuri.net/2023/03/woocommerce-skimmer-reveals-tampered-gateway-plugin.html">WooCommcerce電商網站的付款流程模組遭到攻擊，駭客注入竊資程式碼</a> 資安業者Sucuri揭露鎖定WooCommerce電子商務網站的攻擊手法，駭客竄改了目標網站上的class-wc-authorize-net-cim.php、wc-authorize-net-cim.min.js，植入惡意指令碼，竊取信用卡卡號、有效期限、CVV號碼、住家地址、電話號碼、電子郵件信箱等資料。 值得留意的是，有別於過往駭客將惡意指令碼植入電子商城的結帳網頁，這些被竄改的PHP檔案是電商網站整合Authorize.net支付閘道系統的重要檔案，而使得這種竊取電商網站交易資料的MageCart攻擊行動更加難以察覺，若是網站管理者檢查網站的HTML檔案，也不會發現異狀。 <a href="https://www.metabaseq.com/mispadu-banking-trojan/">拉丁美洲遭金融木馬Mispadu鎖定，逾9萬個帳號密碼遭濫用</a> <a href="https://s4.itho.me/sites/default/files/images/Mispadu-Banking-Trojan-Fig-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mispadu-Banking-Trojan-Fig-02.png" style="width: 300px; float: right;" /></a>資安業者Metabase Q揭露金融木馬Mispadu的攻擊手法，駭客自2022年8月，針對智利、墨西哥、秘魯、葡萄牙而來，他們先是針對容易入侵的WordPress網站下手，將其變為他們的C2伺服器，並散布惡意軟體。 接著，駭客透過垃圾郵件散布HTML檔案，一旦使用者開啟附件檔案，就有可能從遠端伺服器下載第一階段的惡意程式Mispadu，進而在受害電腦部署以PowerShell、.NET打造的RAT木馬程式，並且從Chrome與Outlook竊取資料。值得留意的是，駭客在作案過程裡將惡意埋藏於證書檔案，然後透過Windows內建的certutil來解密，而能躲過近30個廠牌的防毒軟體。 究竟這起攻擊行動的規模有多大？研究人員指出，根據惡意程式濫用的遭竊帳號密碼，他們一共發現了90,518個，而這些資料源自超過1.7萬個網站。 <a href="https://securelist.com/bad-magic-apt/109087/">烏克蘭地方政府遭到駭客組織Bad Magic攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/CommonMagic_backdoor_09.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CommonMagic_backdoor_09.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露駭客組織Bad Magic的攻擊行動，這些駭客約自2021年9月，鎖定頓涅茨克、盧甘斯克、克里米亞半島等烏克蘭地區的政府機關、農業單位、交通運輸組織，透過網路釣魚的手法，引導目標從惡意伺服器下載ZIP壓縮檔。 此檔案內含PDF、XLSX，或DOCX文件檔案，以及惡意連結（LNK）檔案，一旦使用者執行LNK檔案，電腦就會被植入後門程式PowerMagic、惡意框架CommonMagic。其中，惡意框架具備解密來自C2中繼站的流量，並能執行外掛程式的功能，像是截取螢幕畫面，或是從USB竊取特定檔案等。 <a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/rethinking-tactics-annual-cybersecurity-roundup-2022">2022網路威脅攻擊達到1,460億次，較前年多出55%</a> 資安業者趨勢科技針對2022年網路安全態勢公布相關分析結果，發現全年資安威脅整體數量較2021年增加55%，惡意程式數量增加242%，之所以如此嚴重，很可能是因為這段期間駭客廣泛攻擊所有產業與一般的使用者。 該公司表示，根據他們的觀察，2022年臺灣有4項資安威脅高居全球前5名，分別是勒索軟體攻擊、惡意網址攻擊、手機的資安事故，以及智慧家庭連網系統的內外部攻擊。對此，研究人員認為，這代表從政府機關、企業，以及社會大眾都需強化有關的資安防護。 <h3>【漏洞與修補】</h3> <a href="https://www.cisa.gov/news-events/alerts/2023/03/21/cisa-releases-eight-industrial-control-systems-advisories">美國針對工控系統重大漏洞提出警告</a> 3月21日美國網路安全暨基礎設施安全局（CISA）針對台達電、Rockwell等廠牌的工業控制系統漏洞提出警告，呼籲企業應儘速修補。這些漏洞最嚴重的CVSS風險評分達到9.8分，分別是存在於台達電資料中心設施監控軟體InfraSuite Device Master系統的CVE-2023-1133，以及出現在Rockwell自動化系統元件Automation ThinManager的CVE-2023-27855。 CVE-2023-1133為不受信任資料的反序列化漏洞，起因是此監控軟體的裝置狀態服務會放行未經驗證的UDP封包，以及反序列化的內容，而讓未經身分驗證的攻擊者可遠端執行任意程式碼。 CVE-2023-27855則是與路徑名稱不適當的限制有關，而能允許未經授權的攻擊者上傳任意檔案，甚至能夠覆寫可執行檔，有可能被用於RCE攻擊。 <a href="https://blog.talosintelligence.com/vulnerability-spotlight-netgear-orbi-router-vulnerable-to-arbitrary-command-execution/">研究人員公布Netgear Orbi家用Wi-Fi路由器重大漏洞的概念性驗證程式</a> 思科旗下的Talos威脅情資團隊揭露向Netgear通報的Orbi RBR750家用Wi-Fi路由器4項漏洞細節。這些漏洞最嚴重的是CVE-2022-37337，該漏洞存在於Orbi的Satellite延伸設備，攻擊者可遠端發送特製的HTTP請求觸發漏洞，在路由器上執行任意命令，CVSS風險評分為9.1分。 CVE-2022-38452、CVE-2022-36429也是任意命令執行漏洞，存在於Orbi主路由器設備，CVSS風險評分皆為7.2分。CVE-2022-38458則是可被用於中間人攻擊（MitM），CVSS風險評分為6.5分。 研究人員亦針對前3個漏洞，發布了概念性驗證的攻擊程式碼（PoC），他們表示，雖然目前尚未出現相關漏洞攻擊，但使用者仍應儘快安裝更新程式。此外，Netgear尚未提供CVE-2022-38452的修補程式，使用者也要留意相關公告。 <h3>【其他資安新聞】</h3> <a href="https://www.postguam.com/news/local/docomo-restoring-its-services-after-cybersecurity-incident/article_2211d1e6-c497-11ed-b87c-a7ce522f93de.html">電信業者Docomo遭到網路攻擊，相關服務正在恢復</a> <a href="https://www.sec.gov/Archives/edgar/data/1857475/000185747523000013/dole-20221231.htm">農產品批發商Dole證實勒索軟體攻擊事故導致員工資料外洩</a> <a href="https://www.enisa.europa.eu/publications/enisa-transport-threat-landscape">勒索軟體成2022年歐洲交通運輸業者的重大威脅</a> <a href="https://www.scmagazine.com/news/ransomware/black-basta-killnet-lockbit-groups-targeting-healthcare">美國醫療機構成駭客組織Killnet、LockBit攻擊目標</a> <a href="https://www.crowdstrike.com/blog/global-threat-report-preview-2023/">駭客將更加專注於攻擊、竊取雲端系統的資料</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a> <a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a> <a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a> </div></div></div>
2023/3/23 15:25作者周峻佑https://www.ithome.com.tw/news/156071
【資安日報】3月22日，缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。 雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。 攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。 <h3>【攻擊與威脅】</h3> <a href="https://asec.ahnlab.com/en/49769/">缺乏管理的Linux伺服器遭到DDoS惡意軟體ShellBot攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露DDoS殭屍網路病毒ShellBot（亦稱PerlBot）的攻擊行動，此病毒程式以Perl開發而成，並透過IRC的通訊協定與C2伺服器連線。駭客專門鎖定缺乏管理的Linux伺服器下手，掃描目標是否開放SSH連接埠（22埠），然後透過常見的SSH帳密來進行字典攻擊，進而入侵並部署殭屍網路病毒。 研究人員總共發現3種版本的ShellBot，分別是LiGhT's Modded perlbot v2、DDoS PBot v2.0、PowerBots (C) GohacK。前兩種的主要用途是DDoS攻擊，最後一種則擁有較多後門的功能，像是提供反向Shell連線，或是能對受害主機上傳任意檔案。 但除了將受害伺服器用於DDoS攻擊，研究人員發現，攻擊者透過Shell指令碼編譯器植入了挖礦軟體。 <a href="https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/">惡意軟體DotRunpeX透過搜尋引擎廣告散布</a> 資安業者Check Point揭露名為DotRunpeX惡意軟體，使用俄文的駭客將其用於散布多種竊資軟體（Infostealer），例如：Agent Tesla、FormBook、LokiBot、Raccoon Stealer, RedLine Stealer、Vidar等。 此惡意程式採用.NET編譯而成的新型注入工具，並透過處理程序挖空（Process Hollowing）手法執行，通常在攻擊行動中將其用於第二階段行動。駭客通常透過釣魚郵件的附件，或是假借提供AnyDesk、LastPass應用程式的名義，投放惡意廣告引誘使用者上鉤。 特別的是，此惡意軟體新的變種於2022年10月出現，首度採用了虛擬化工具KoiVM進行混淆，並透過存在漏洞的Sysinternals工具包驅動程式元件procexp.sys，進行自帶驅動程式攻擊（BYOVD），停用Windows作業系統的防惡意軟體服務。 <a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022">2022年有55個零時差漏洞遭到廣泛利用</a> 駭客利用零時差漏洞發動攻擊的事件不時傳出，但他們最常用到的漏洞有哪些？資安業者Mandiant針對2022年的零時差漏洞攻擊進行調查，發現總共有55個零時差漏洞是駭客偏好利用的對象，這些漏洞幾乎都能被用於提升權限，或是遠端執行任意程式碼（RCE）。 研究人員指出，當中有13個是網路間諜利用的對象，且有逾半數是中國駭客組織所用。在全部55個漏洞裡，微軟、Google、蘋果的零時差漏洞就包辦了三分之二，當中最多是Windows（15個）、Chrome（9個）、iOS（5個）、macOS（4個）。 雖然駭客使用的零時差漏洞與Windows有關的最多，但研究人員認為，「邊界基礎設施（Edge Infrastructure）」類型產品的漏洞更受到網路間諜歡迎，原因是這類系統往往暴露在網際網路的連線，並且無法在此架設EDR或XDR類型的資安偵測解決方案，而使得組織不易察覺異狀。 <a href="https://unit42.paloaltonetworks.com/trigona-ransomware-update/">勒索軟體Trigona鎖定美國、歐洲、澳洲而來</a> <a href="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自2022年10月出現的勒索軟體Trigona，鎖定澳洲、義大利、法國、德國、紐西蘭、美國的農業設施、金融產業、高科技產業，以及市場行銷業者，研究人員從2022年12月發現有超過15個組織遭到相關攻擊。 一旦駭客成功入侵受害組織，就會執行偵察、利用遠端監控管理軟體（RMM）下載作案工具，然後建立新的使用者帳號來執行勒索軟體。研究人員分析此勒索軟體的戰略、戰術，以及步驟（TTP），認為背後的駭客組織曾使用另一款勒索軟體CryLock犯案。 <a href="https://www.sentinelone.com/labs/winter-vivern-uncovering-a-wave-of-global-espionage/">歐洲政府機關遭到駭客組織Winter Vivern鎖定，利用冒牌防毒植入惡意程式</a> 資安業者SentinelOne揭露俄羅斯駭客組織Winter Vivern的攻擊行動，駭客針對波蘭、義大利、烏克蘭政府，以及聲援烏克蘭的電信公司員工而來，架設假冒特定機構的網站，如波蘭打擊網路犯罪局、烏克蘭外交部、烏克蘭國家安全局（SSU），藉此散布惡意軟體。攻擊者很可能是利用釣魚郵件夾帶含有巨集的Excel檔案，引導目標存取上述網站。 研究人員指出，其中一種攻擊手法，就是透過批次檔來模擬防毒軟體的掃描程序，顯示執行的進度與所需時間，但實際上，該批次檔在背景利用PowerShell，從遭駭的WordPress網站下載惡意酬載Aperetif。此惡意程式具備自動挖掘並竊取受害電腦的資料、截取螢幕截圖，並將檔案透過Base64編碼處理再傳送到C2伺服器。 <a href="https://blog.cyble.com/2023/03/14/goatrat-android-banking-trojan-variant-targeting-brazilian-banks/">拉丁美洲行動支付平臺遭到安卓木馬GoatRAT濫用，攻擊巴西銀行用戶</a> 資安業者Cyble揭露針對巴西行動支付平臺的安卓木馬程式GoatRAT，此木馬程式的攻擊目標是3家當地銀行的用戶，並濫用巴西中央銀行營運的行動支付服務Pix進行自動收款，其主要的功能是執行自動傳輸系統（ATS）攻擊，一旦GoatRAT感染目標裝置，會先利用Android系統的輔助功能來確認受害者使用的銀行名稱，然後建立假的銀行App操作畫面覆蓋整個螢幕，進而讓攻擊者將銀行帳戶的存款透過Pix轉走。特別的是，許多金融木馬程式內建的竊取驗證碼及簡訊內容機制，GoatRAT並未納入。 <a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari">超級跑車製造商法拉利證實發生資料外洩事故，並強調不願妥協付錢</a> 3月21日超級跑車製造商法拉利發布資安通告，表示公司網路遭到攻擊，駭客向其索討贖金，對方表示，若支付這筆費用，就不會外流他們竊得的客戶資料。對此，法拉利強調不會支付贖金，以免助長網路犯罪，並表明他們已通知客戶此事。 根據研究人員Troy Hunt取得的通知信，客戶姓名、住家地址、電話號碼、電子郵件信箱遭竊，但不包含銀行帳戶資料、與支付相關的敏感資訊，以及客戶下單記錄、持有的車輛資料。法拉利亦表示，本次事故並未影響營運。 <a href="https://www.ithome.com.tw/news/156029">安卓版中國購物App拼多多遭下架，Google表示原因是網路上出現惡意版程式</a> 根據<a href="https://www.scmp.com/tech/big-tech/article/3214328/google-play-suspends-chinese-shopping-app-pinduoduo-over-suspected-malware">南華早報</a>、<a href="https://www.reuters.com/business/retail-consumer/pinduoduo-owners-revenue-falls-short-weak-consumer-spending-2023-03-20/">路透社</a>、<a href="https://edition.cnn.com/2023/03/21/tech/china-google-pinduoduo-malware-app-intl-hk/index.html">CNN</a>等新聞媒體的報導，中國購物App「拼多多（Pinduoduo）」遭到Google下架，但特別的是，這次與過往下架惡意App的原因有所不同，並非上架於Google Play市集的App被發現惡意程式，而是Google在該市集以外的地方看到有問題的拼多多App。 針對上述的媒體採訪，Google表示，Android裝置上的Google Play Protect防護機制，將會檢查已經安裝的拼多多App是否存在惡意行為，一旦發現異狀就會要求用戶移除，再者，該防護機制也會封鎖惡意版本拼多多App的安裝。 對此，拼多多表示確實收到下架相關通知，但Google沒有進一步說明是否含有惡意程式。不過，拼多多美國子公司的線上購物平臺Temu的App並未受到影響，iOS版拼多多App也沒有遭到蘋果App Store下架。由於Google沒有透露細節，後續有待進一步觀察。 <h3>【資安產業動態】</h3> <a href="https://cloud.google.com/blog/products/identity-security/google-cloud-fs-isac-advance-security-in-financial-services">Google Cloud參與FS-ISAC重大供應商計畫，成為第一個投入的主要雲端服務業者</a> 雲端服務業者Google Cloud於3月17日宣布，他們參與金融服務資訊共享暨分析中心（FS-ISAC）重要供應商計畫，而成為第一家投入該計畫的主要雲端服務供應商。該業者將提供他們的專家與相關資源。這項決定與Google在2021年8月，承諾要在5年內投入至少100億美元促進網路安全有關。 <h3>【其他資安新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-saks-fifth-avenue-retailer-says-mock-data-stolen/">美國奢侈品百貨薩克斯第五大道傳出遭勒索軟體Clop攻擊</a> <a href="https://zengo.com/zengo-uncovers-security-vulnerabilities-in-popular-web3-transaction-simulation-solutions-the-red-pill-attack/">Coinbase加密貨幣錢包存在漏洞Red Pill，恐被用於迴避偵測</a> <a href="https://www.securityweek.com/organizations-notified-of-remotely-exploitable-vulnerabilities-in-aveva-hmi-scada-products/">Aveva旗下的HMI、SCADA工控系統解決方案存在漏洞</a> <a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</a> <a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph">南亞、東南亞遭到竊資軟體Naplistener攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a> <a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a> <a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a> </div></div></div>
2023/3/22 15:49作者周峻佑https://www.ithome.com.tw/news/156035
NordVPN釋出免費Meshnet功能，一舉開源Linux版程式、Libtelio與Libdrop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 知名VPN業者NordVPN上周一舉宣布釋出<a href="https://nordvpn.com/zh-tw/blog/why-is-meshnet-free/" target="_blank">免費加密通道功能Meshnet</a>，同時<a href="https://nordvpn.com/zh-tw/blog/nordvpn-linux-open-source/" target="_blank">開源Linux版程式</a>，以及Libtelio與Libdrop函式庫，藉以展現該公司對產品的信心，同時鼓勵開源社群協助改善相關產品。 Meshnet過去是付費版NordVPN的一項功能，可於不同裝置之間建立加密通道，例如使用者於他國旅行時，可連至家中電腦再進行瀏覽；或是把自己的電腦當作VPN伺服器，允許海外的親友連線使用；也能在兩臺裝置間建立加密通道來傳送檔案；還是與友人一起玩遊戲時利用Meshnet來連結裝置。 NordVPN表示，他們相信所有人都應該利用VPN的安全與便利性，但並非所有人都已準備好要使用有價的NordVPN服務，Meshnet可用來滿足簡單的需求，作為使用者進入付費服務的試金石，有別於NordVPN服務仰賴全球的伺服器網路，Meshnet功能所需的架構與維護成本都低得多。 Meshnet最多可連結60臺裝置，可支援Windows、macOS、Linux、Android與iOS等不同的作業系統。 同一天NordVPN還開源了完整的<a href="https://github.com/NordSecurity/nordvpn-linux" target="_blank">Linux版NordVPN程式</a>，NordVPN所有平臺所使用的<a href="https://github.com/NordSecurity/libtelio" target="_blank">網路函式庫Libtelio</a>，以及Meshnet用來分享檔案的<a href="https://github.com/NordSecurity/libdrop" target="_blank">Libdrop函式庫</a>。其中，Libtelio是NordVPN所有版本的程式碼骨幹，不僅限於Linux版。 NordVPN表示，這3個元素的開源將允許任何人檢查、變更或重新遞送這些元素，倘若有人認為Linux版的NordVPN需要改善，或新增功能，那麼便能更改它，進而建立自己的版本。此外，他們想要來自程式碼社群的審查與意見，同時對外展現NordVPN對自家軟體的信心，也能透過社群的貢獻來改善產品。 </div></div></div>
2023/3/20 14:00作者陳曉莉https://www.ithome.com.tw/news/156004
AWS更新自家Linux發行版發布Amazon Linux 2023
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> AWS現在釋出<a href="https://aws.amazon.com/tw/blogs/aws/amazon-linux-2023-a-cloud-optimized-linux-distribution-with-long-term-support/">Amazon Linux 2023</a>，這是第三代Amazon Linux發行版，同時支援x86_64和Arm兩種機器架構，並且各分為標準與小型兩種版本，總共有四個Amazon Linux 2023 AMI。小型AMI僅包含可用於啟動作業系統的基本工具和公用程式，而標準版則包含了常用的應用程式和工具。 官方提到，Amazon Linux 2023針對雲端設計且提供長期支援，具有高安全性、生命周期可預測性和體驗一致性三項優點。Amazon Linux 2023包含預配置安全政策，使用戶可以簡單地實施通用產業準則，在啟動和執行時就可簡單配置這些政策。 另外，用戶還能夠簡單規畫Amazon Linux 2023作業系統生命周期，AWS每兩年會推出一個新的Amazon Linux主要版本，主要版本擁有新功能，並且改進整個堆疊安全性和效能，改進包含核心、工具鏈、GLib C、OpenSSL與其他函式庫等。 每個主要版本都有5年的長期支援，並分為前兩年與後三年兩階段。在前兩年每三個月官方會發布一次更新，包括安全性和錯誤修復，以及新功能和軟體套件，因此也會有最新的語言Runtime，還有Ansible、Docker等其他熱門的軟體套件，除了季度更新之外，安全更新則會在可用時立刻發布。經過前兩年更新後，後三年會進入維護期，AWS提供安全漏洞和錯誤修復。 而Amazon Linux的版本化儲存庫，提供了用戶確定性更新，這種更新機制鎖定特定版本的Amazon Linux套件儲存庫，使用戶可以控制更新的方式和時間，與Amazon Linux 2不同的是，Amazon Linux 2023使用套件管理器dnf，其預設行為不會像是Amazon Linux 2中的yum一樣，dnf更新命令並不會更新用戶安裝的套件。 官方提到，這種機制能夠確保用戶整個機隊使用相同的軟體套件版本，因此所有使用AMI啟動的EC2執行個體，都會使用相同版本的套件。確定性更新也能夠確保基礎設施不可變，當用戶需要更新時，便能夠更新基礎設施即程式碼腳本，重新部署新的基礎設施，或是將dnf指向新的套件儲存庫，也能夠直接更新Amazon Linux 2023發行版本。 AWS在2021年底的時候，發布消息表示Amazon Linux 2022將會使用Fedora作為上游發行版，這次在發布Amazon Linux 2023時，AWS便特別提到Fedora，表示新版本使用包括來自Fedora 34、35和36版本的套件，部分與Fedora中的相同另有部分經過修改，還有一些與CentOS Stream 9的元件類似，並也有獨立開發的套件。Amazon Linux核心則來自於kernel.org，獨立於Fedora的核心。 </div></div></div>
2023/3/17 08:11作者李建興https://www.ithome.com.tw/news/155970
【資安日報】3月16日，AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客假借提供破解軟體，並透過YouTube影片告訴觀眾如何下載相關檔案的名義，藉此散布惡意軟體的情況時有所聞，但最近這種類型的攻擊行動出現新的變化──駭客利用AI產生有人現身說法、透露如何操作的影片，一改過往錄下電腦桌面環境的操作影片的做法。這麼做的目的，就是透過「有人」現身說法，來拉近與觀眾之間的距離，進而讓他們卸下心防。 除了上述的散布手法，惡意軟體的威脅態勢也值得我們留意──有雲端服務業者根據DNS流量分析，發現殭屍網路病毒Emotet東山再起，還有NAS惡意軟體QSnatch也藉此大肆發動攻擊，流量竟在2022年超越其他的惡意程式。 不只是惡意軟體攻擊的態勢出現變化，挖礦攻擊也有新的招式，駭客疑似嘗試挖掘另一種名為Dero的數位貨幣，使得資金流量有可能變得更難追蹤。 <h3>【攻擊與威脅】</h3> <a href="https://cloudsek.com/blog/threat-actors-abuse-ai-generated-youtube-videos-to-spread-stealer-malware">AI產生的YouTube影片被用於散布竊密軟體</a> <a href="https://s4.itho.me/sites/default/files/images/640ea5cc12bf3283d48c4a39_jXh9O9oSD-JUG02Hi0UZo08vtrs_UbCodxkgoKc2S1iiQp8qo9knEdRiCQi5cXj9lXpH9jWbTheFTVg9bJiAnivPtyaY62Jb4OYmAH6oGk2-zDER2digXn7oNZ-gPnEEDCORIarKOiVsbwA79x1Kl1A.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/640ea5cc12bf3283d48c4a39_jXh9O9oSD-JUG02Hi0UZo08vtrs_UbCodxkgoKc2S1iiQp8qo9knEdRiCQi5cXj9lXpH9jWbTheFTVg9bJiAnivPtyaY62Jb4OYmAH6oGk2-zDER2digXn7oNZ-gPnEEDCORIarKOiVsbwA79x1Kl1A.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK揭露自2022年11月升溫的惡意軟體攻擊行動，駭客在YouTube上傳AI產生的影片，聲稱提供破解版Photoshop、Premiere Pro、Autodesk 3ds Max、AutoCAD等商業軟體，目的是要散布Raccoon、RedLine、Vidar等竊資軟體（Info Stealer），一旦使用者依照指示下載破解版應用程式，就有可能受害。 研究人員指出，這類影片的數量，以每個月200%至300%的幅度成長，其中有部分是挾持熱門YouTube帳號來進行，目的是要在短時間觸及大量觀眾。特別的是，為了取信觀眾，駭客利用Synthesia、D-ID等AI影片產生平臺製作的情況有所增加。 <a href="https://www.akamai.com/blog/security/a-deep-dive-on-malicious-dns-traffic">惡意軟體Emotet再度死灰復燃、QSnatch攻擊在2022躍居首位</a> 雲端服務業者Akamai針對每天7兆次DNS請求進行分析，對於殭屍網路病毒Emotet、NAS惡意程式QSnatch的攻擊態勢提出警告。他們指出在2022年7月至12月消聲匿跡的Emotet，近期有捲土重來的跡象──去年底出現大規模的攻擊行動。 另一個值得留意的部分，在於QSnatch橫行的現象──研究人員在企業網路與C2網域連線的受害裝置裡，發現有36%與此惡意程式有關，其次則是Emotet（22%）。 <a href="https://www.crowdstrike.com/blog/crowdstrike-discovers-first-ever-dero-cryptojacking-campaign-targeting-kubernetes/">Kubernetes叢集被用於挖礦，但駭客更換挖掘的數位貨幣為Dero</a> 資安業者CrowdStrike揭露鎖定Kubernetes的挖礦攻擊行動，研究人員從今年2月，發現有3臺位於美國的伺服器遭到攻擊，但與大部分挖礦攻擊最為不同之處，在於駭客將這些伺服器用來挖取名為Dero的加密貨幣。 研究人員指出，相較於相關攻擊常見的門羅幣（Monero），Dero的交易更為隱蔽，而且挖取此種加密貨幣的利潤較高，攻擊者將原本挖取門羅幣的工具加以改造，控制Kubernetes叢集的API，挖取這類數位貨幣。 <a href="https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/">研究人員揭露Outlook零時差漏洞的概念性驗證手法，說明極為容易用於攻擊</a> 針對微軟在3月份例行更新（Patch Tuesday）修補的零時差漏洞CVE-2023-23397，資安業者MDSec公布概念性驗證（PoC）攻擊手法，研究人員根據微軟提供的指令碼進行解析，結果發現一旦攻擊者濫用PidLidReminderFileParameter、PidLidReminderOverride等參數，就有可能藉由帶有行事曆資訊（.MSG）的特製電子郵件，觸發漏洞並將收信人的NTLM雜湊資料轉送到特定伺服器，攻擊者再將相關資料用於NTLM中繼攻擊。 研究人員指出，不只是行事曆，工作排程、便箋等功能都有可能被用於觸發上述漏洞。他們也透過影片，展示概念性驗證攻擊。 <a href="https://blog.eclecticiq.com/dark-pink-apt-group-strikes-government-entities-in-south-asian-countries">南亞政府機關遭到駭客組織Dark Pink鎖定</a> <a href="https://s4.itho.me/sites/default/files/images/KamiKakaBot-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KamiKakaBot-1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露駭客組織Dark Pink的攻擊行動，駭客自2023年2月，利用名為KamiKakaBot的惡意軟體，鎖定東南亞國協（ASEAN）的成員國政府機關。 駭客先是透過電子郵件夾帶ISO映像檔，此檔內含可執行檔Winword.exe、DLL程式庫MSVCR100.dll，以及嵌入KamiKakaBot的Word文件檔案。一旦收信人依照指示開啟Word檔案，攻擊者就會透過前述的DLL程式庫檔案側載KamiKakaBot，然後將其載入Winword.exe的處理程序，並在記憶體內執行。 此惡意程式的功能在於，從瀏覽器竊取相關資料，然後使用命令提示字元遠端執行程式碼。最終，此惡意程式將竊得的資料打包成ZIP檔案，傳送給Telegram即時通訊機器人程式。研究人員指出，相較於1月發現的攻擊行動，KamiKakaBot的混淆手法較為複雜，更能迴避防毒軟體的偵測。 <a href="http://www.ic3.gov/Media/PDF/AnnualReport/2022_IC3Report.pdf">860個關鍵基礎設施在2022年遭到勒索軟體攻擊</a> 美國聯邦調查局（FBI）在2022年，總共獲報2,385起勒索軟體攻擊事件，累計損失至少3,430萬美元。其中，有870件是針對關鍵基礎設施（CI）而來，數量最多的是醫療照護產業，有210起，其次是製造業的157起、政府機關的115起。 而發動攻擊的勒索軟體家族，令人不意外最多的是LockBit，有149起，其次是BlackCat（Alphv）的114起、Hive也有87起。FBI指出，駭客入侵的手段包含了發動釣魚郵件攻擊、利用遠端桌面連線（RDP）相關工具，但利用軟體漏洞是駭客最常使用的方法。 <a href="https://www.checkpoint.com/press-releases/check-point-software-releases-its-2023-security-report-highlighting-rise-in-cyberattacks-and-disruptive-malware/">2022年網路攻擊增加近4成，教育、研究單位是首要目標</a> 資安業者Check Point針對2022年的資安態勢提出看法，他們發現網路攻擊的數量較前一年增加38%，每個組織平均一週遭遇1,168次攻擊，當中受害最為嚴重的是教育與研究機構，但值得留意的是，鎖定醫療機構而來的攻擊行動成長了74%。 研究人員認為，2023年的資安威脅發展，有3個面向相當值得關注，分別是國家級駭客與一般駭客的界線更加模糊、勒索軟體攻擊更加著重於資料破壞或是外洩，以及鎖定雲端服務業者的供應鏈攻擊大幅成長。 <h3>【資安產業動態】</h3> <a href="https://www.kali.org/blog/kali-linux-2023-1-release/">Kali Linux發布10週年版本，著眼防禦安全領域</a> 滲透測試工具Kali Linux於3月15日發布2023.1版，首度提供了名為Kali Purple的版本，強調針對藍隊或紫隊提供相關工具，可供相關人員學習、進行SOC分析、尋找威脅、從設計及測試實行安全控制、紅藍紫隊演練等。此版本具備開箱即用的SOC工具、超過100種的防禦工具、自動化攻擊指令碼產生器Kali Autopilot等。其中，防禦工具包含了全封包截取及分析軟體Arkime、網路加解密瑞士刀CyberChef、SIEM系統Elastic Security、弱點掃描工具GVM等。 此外，開發團隊也針對行動裝置版Kali NetHunter，對於執行3種較新版作業系統的手機提供支援，包含了執行OneUI 5.0桌面環境的三星Galaxy S20 FE、搭載LineageOS 20作業系統的Motorola X4，以及執行LineageOS 18.1的LG V20。 <h3>【其他資安新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-adobe-coldfusion-bug-exploited-as-a-zero-day/">美國CISA警告Adobe ColdFusion零時差漏洞已出現攻擊行動</a> <a href="https://www.bleepingcomputer.com/news/security/hacker-selling-data-allegedly-stolen-in-us-marshals-service-hack/">美國法警局資料流入駭客論壇</a> <a href="https://www.bleepingcomputer.com/news/security/healthcare-provider-ils-warns-42-million-people-of-data-breach/">美國醫療照護業者ILS疑420萬人資料外洩</a> <a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-claims-essendant-attack-company-says-network-outage-/">文具用品批發商Essendant營運中斷傳出是遭到勒索軟體攻擊，但遭到否認</a> <a href="https://gizmodo.com/amazon-ring-ransomware-gang-claims-hack-1850223835">Amazon旗下的居家安全業者Ring傳出遭勒索軟體攻擊</a> <a href="https://www.ithome.com.tw/news/155951">臺灣個資外洩頻傳，消基會提個資修法三大建議</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a> <a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a> <a href="https://www.ithome.com.tw/news/155893">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</a> </div></div></div>
2023/3/16 16:46作者周峻佑https://www.ithome.com.tw/news/155969
【資安日報】3月15日，美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 大型銀行倒閉影響範圍甚廣，許多用戶擔心自己的存款會拿不出來，也會影響往來企業的資金周轉，因此受到各界高度關注。最近，美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，駭客隨即註冊大量網域，並隨著事態的變化發動多起網路釣魚攻擊。 除了SVB相關的攻擊行動，多家IT與OT業者近期發布了每月的軟體例行更新公告，也相當值得我們留意。微軟、Adobe、SAP、西門子、施耐德電機等廠商都在這幾天發布本月份的例行修補，值得留意的是，已有部分是出現攻擊行動的零時差漏洞，用戶應儘速安裝相關更新軟體。 論及零時差漏洞的利用攻擊，MFT檔案共享系統GoAnywhere的資安弱點再傳有組織受害！這次公告受害的組織身分，是資料安全保護業者，所幸他們沒有用戶資料外流的情況。 <h3>【攻擊與威脅】</h3> <a href="https://blog.cyble.com/2023/03/14/svb-collapse-triggers-heightened-cybersecurity-concerns/">駭客鎖定美國矽谷銀行倒閉相關議題，進行網釣攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-offering-USD-coin-reward-program.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-offering-USD-coin-reward-program.png" style="width: 300px; float: right;" /></a>3月10日美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，為全球金融體系帶來衝擊，影響不少新創公司。但雪上加霜的是，有人疑似開始針對該銀行的用戶出手。系統網路安全協會（SANS Institute）旗下的<a href="http://isc.sans.edu/diary/Incoming+Silicon+Valley+Bank+Related+Scams/29630/">Internet Storm Center提出警告</a>，他們發現駭客在該銀行宣布倒閉後，大肆註冊與SVB有關的網域名稱，很有可能將其用於攻擊行動。 資安業者Cyble也觀察到相關攻擊行動，其中一起假借SVB的名義，聲稱要回饋穩定幣USDC（USD Coin）給用戶，然而使用者若是依照指示透過加密貨幣錢包App掃描駭客提供的QR Code，他們的加密貨幣就有可能遭到洗劫一空。 另一方面，此數位貨幣發行廠商Circle於13日發出公告，他們在SVB持有價值33億美元的USDC加密貨幣，用戶能1比1將USDC兌換成美元，但Cyble研究人員發現，有人架設冒牌Circle匯兌網站來行騙。此外，研究人員也看到駭客聲稱是創投集團，打算向受到影響的企業提供現金為由，騙取公司資料轉賣。 <a href="https://www.rubrik.com/blog/company/23/3/fortra-goanywhere">資料安全保護廠商Rubrik證實資料外洩，起因是遭到GoAnywhere零時差漏洞攻擊</a> MFT系統GoAnywhere零時差漏洞的受害組織再添一例！資料安全保護廠商Rubrik於3月14日發布公告，表示他們在「非生產用途的IT測試環境」裡，偵測到異常活動——出現利用GoAnywhere漏洞的未經授權存取行為，目前已流出一定（Limited）數量的資訊。 該公司表示，攻擊者並未橫向移動至其他系統，他們也將此系統下線，經外部資安業者進行調查，確認沒有敏感個資外洩。Rubrik也強調，客戶的資料並未受到影響。而對於攻擊者的身分，勒索軟體Clop聲稱是他們所為。 <a href="https://www.microsoft.com/en-us/security/blog/2023/03/13/dev-1101-enables-high-volume-aitm-campaigns-with-open-source-phishing-kit/">駭客組織DEV-1101發動大規模AiTM網釣攻擊</a> 微軟的威脅情報團隊揭露駭客組織DEV-1101的網路釣魚攻擊，駭客自2022年5月，利用網釣工具包發出敵對型中間人攻擊（AiTM），該組織不只開發自己所需的工具包，也出售給其他網路罪犯使用。 這些工具包提供冒牌的微軟Office、Outlook網釣網頁，並讓攻擊者可透過Telegram機器人程式自動管理攻擊進度，此外，它們也具備圖靈驗證機制CAPTCHA，並能攔截使用者送出的Cookie，繞過微軟網站的雙因素驗證（MFA）機制。研究人員指出，這些網釣工具包日益受到網路犯罪圈歡迎，導致售價也跟著水漲船高，他們認為相關的攻擊行動只會有增無減。 <a href="https://ics-cert.kaspersky.com/publications/reports/2023/03/06/threat-landscape-for-industrial-automation-systems-statistics-for-h2-2022/">針對俄羅斯的工控系統攻擊2022下半大幅增加，駭客主要鎖定內容管理系統Bitrix的漏洞下手</a> 資安業者卡巴斯基發布了2022年下半工控系統威脅態勢的分析，並指出相關攻擊增加比例最高的是俄羅斯，其增加的來源主要是惡意指令碼和釣魚網頁。研究人員表示，他們在2022年8月至9月看到相關攻擊的行動突然飆升，原因與網站遭受大規模感染有關。 而這些網站的共通點，就是大部分透過名為Bitrix的內容管理系統（CMS）架設，攻擊者入侵的管道，則是2022年3月修補的重大漏洞CVE-2022-27228（CVSS風險評分為9.8分）。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2023-patch-tuesday-fixes-2-zero-days-83-flaws/">微軟發布3月例行更新，修補83個漏洞</a> 3月14日微軟發布3月份例行更新（Patch Tuesday），總共修補了83個漏洞，當中有21個與權限提升有關、27個可被用於遠端執行任意程式碼（RCE）、15個會造成資訊洩露、10個可被用於偽冒、4個可導致服務遭到中斷（DoS）、2個可用於繞過安全功能。 值得留意的是，這次有2個零時差漏洞CVE-2023-23397、CVE-2023-24880，前者出現於Windows版收信軟體Outlook，攻擊者可透過特製的電子郵件，強制目標裝置傳輸Windows使用者帳號的Net-NTLMv2雜湊值，進而提升權限，CVSS風險評分為9.8分。該漏洞為烏克蘭電腦緊急應變小組（CERT-UA）通報，俄羅斯駭客組織APT28（亦稱Fancy Bear）在2022年4月至12月將其用於攻擊行動。 CVE-2023-24880則是能用於繞過Windows安全功能SmartScreen（即MoTW），CVSS風險評分為5.4分。此漏洞為Google威脅情報小組（TAG）通報，並指出勒索軟體Magniber已將其用於攻擊行動，駭客打包的MSI檔案已被下載超過10萬次，逾8成針對歐洲使用者而來。 <a href="https://www.bleepingcomputer.com/news/security/sap-releases-security-updates-fixing-five-critical-vulnerabilities/">SAP發布3月例行更新，修補5個重大漏洞</a> 本月SAP於3月14日發布每月例行更新，一共修補19個漏洞，其中有5個為重大等級。這些漏洞出現於商業智慧軟體Business Objects，以及應用伺服器NetWeaver Application Server for Java、NetWeaver Application Server for ABAP兩個平臺。其中，出現在Business Objects的是CVE-2023-25616與CVE-2023-25617，前者為程式碼注入漏洞，允許攻擊者存取特權帳號可用資源；後者為命令注入漏洞，攻擊者可在BI Launchpad或中央管理主控臺執行任意命令，CVSS風險評分為9.9分及9.0分。 CVE-2023-23857為資訊洩露漏洞，影響NetWeaver Application Server for Java平臺，未經授權的攻擊者可透過API資料夾開啟相關介面，CVSS風險評分為9.8分。 CVE-2023-27269、CVE-2023-27500是資料夾路徑穿越漏洞，皆存在於NetWeaver Application Server for ABAP，CVSS風險評分皆為9.6分。 <a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-over-100-vulnerabilities/">西門子、施耐德電機發布3月份例行更新，修補超過100個漏洞</a> 3月14日，大型工控解決方案業者西門子、施耐德電機剛好都發布資安通告，提供本月份例行更新。其中，西門子發布7則公告，涵蓋92個漏洞的修補，大部分與旗下產品採用的第三方軟體有關，如：Linux核心、Busybox、OpenSSL、OpenVPN等，光是在Ruggedcom和Scalance系列的網路設備，就有65個這類漏洞，攻擊者有可能用於注入程式碼，或是發動阻斷服務（DoS）攻擊。 施耐德電機本次發布3則資安通告，修補10個漏洞，影響電力設備PowerLogic、電源管理系統EcoStruxure Power Monitoring Expert，以及IGSS SCADA系統。 <a href="https://www.securityweek.com/adobe-warns-of-very-limited-attacks-exploiting-coldfusion-zero-day/">Adobe修補ColdFusion零時差漏洞，並警告已出現攻擊行動</a> 3月14日Adobe針對旗下的電商網站平臺Adobe Commerce、網站應用程式開發平臺ColdFusion、網站內容管理平臺Experience Manager，以及Creative Cloud、Illustrator、Photoshop、Dimension等視覺設計軟體發布更新程式，共修補106個漏洞。 其中最值得留意的是CVE-2023-26360，原因是已有攻擊者將其用於攻擊行動。此漏洞影響2021版與2018版ColdFusion，有可能導致任意程式碼執行、任意檔案系統讀取、記憶體洩漏，CVSS風險評分為8.6分。 <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bfd-XmRescbT">思科修補企業級路由器的高風險漏洞</a> 3月8日思科發布資安通告，針對旗下的ASR 9000系列企業級路由器發布更新，修補高風險漏洞CVE-2023-20049，此漏洞出現於網路設備作業系統IOS XR，影響名為雙向轉發偵測（Bidirectional Forwarding Detection，BFD）網路協定的硬體卸載功能，攻擊者一旦利用漏洞，就有可能在未經身分驗證的情況下遠端發動攻擊，CVSS風險評分為8.6分。 該公司指出，此漏洞影響ASR 9902、ASR 9903兩款型號，以及安裝Lightspeed或Lightspeed-Plus線卡模組的ASR 9000系列機種，若是IT人員無法安裝相關更新程式，也可以停用BFD硬體卸載功能因應。 <h3>【其他資安新聞】</h3> <a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1886&serno=067c5129-551d-4a11-aef9-35725111479d">柬埔寨總理韓森傳出Telegram帳號被盜，指控攻擊IP位址來自臺灣，刑事警察局表示很可能是被當作VPN跳板</a> <a href="https://www.bleepingcomputer.com/news/security/fortinet-new-fortios-bug-used-as-zero-day-to-attack-govt-networks/">Fortinet防火牆漏洞被用於攻擊政府機關</a> <a href="https://www.bleepingcomputer.com/news/security/stalker-2-game-developer-hacked-by-russian-hacktivists-data-stolen/">電玩遊戲浩劫殺陣2的開發商遭到俄羅斯駭客攻擊</a> <a href="https://www.hacla.org/sites/default/files/Documents/HACLA%20-%20Website%20Notice%20-%20English%20Final.pdf">洛杉磯市房屋管理局1月發生勒索軟體攻擊事故，證實民眾資料外洩</a> <a href="https://www.ithome.com.tw/news/155930">小心！Chrome擴充套件借用ChatGPT名義來竊取臉書帳號</a> <a href="https://www.ithome.com.tw/news/155923">醫療設備大廠Zoll Medical資料外洩，影響100萬人</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a> <a href="https://www.ithome.com.tw/news/155893">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</a> <a href="https://www.ithome.com.tw/news/155867">【3月10日】 SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Server被用於挖礦</a> </div></div></div>
2023/3/15 17:53作者周峻佑https://www.ithome.com.tw/news/155947
AWS開源檔案客戶端Mountpoint，供用戶在本地檔案系統掛載S3物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> AWS開源適用於Amazon S3的檔案客戶端<a href="https://aws.amazon.com/tw/blogs/storage/the-inside-story-on-mountpoint-for-amazon-s3-a-high-performance-open-source-file-client/">Mountpoint</a> Alpha測試版，Mountpoint以程式語言Rust開發，能將本地檔案系統的API呼叫，轉換成為S3物件的API呼叫，適合用於處理PB級資料，或是跨數千個執行個體的讀取密集資料湖工作負載。 AWS開發Mountpoint的原因，官方解釋，因為部分資料湖用戶使用特定領域的工具，這些工具輸入和輸出皆為本地檔案系統的檔案，而不支援S3物件API。像是開源的Linux基因組學研究工具便需要對本地檔案系統讀取定序資料，又或是機器學習訓練工作管線，也需要在本地檔案系統儲存檢查點檔案。 用戶要將這些應用串接上S3可能是一件複雜的工作，又或是缺乏應用程式的原始碼，因此也無法達成這樣的目標。Mountpoint是開源檔案客戶端，能夠讓Linux應用程式簡單地連接到S3儲存桶，並且使用檔案API存取物件，Mountpoint擅長處理需要平行讀取、生成大量S3資料，且不需要更新既有S3物件的任務。 Mountpoint使用戶能夠將S3儲存桶或是前綴，映射到執行個體的檔案系統命名空間，把儲存桶的內容當作本地檔案一樣取用，對S3進行GET和PUT操作，並且在不需要更改程式碼和擔心效能配置下，就可達到每秒TB級的聚合吞吐量。 不過，Mountpoint畢竟不是通用網路檔案系統，因此存在一些檔案操作限制，目前Alpha測試版還不支援寫入物件，官方提到，未來Mountpoint也只會支援序列寫入新物件。因此需要執行跨執行個體或是用戶協作的共享檔案應用程式，AWS建議使用FSx或是EFS等全託管檔案服務。 當資料湖應用程式不需要使用其他檔案系統檔案讀取大型物件，或是只需要對單一節點寫入物件，則Mountpoint便是可高效能存取S3的好用工具。AWS目前已經釋出Mountpoint Alpha測試版，用戶可以在GitHub上取用程式碼。 </div></div></div>
2023/3/15 16:26作者李建興https://www.ithome.com.tw/news/155938
【資安週報】2023年3月6日到3月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這一周的漏洞消息中，最受關注的是有應用程式漏洞檢測業者警告，已出現針對程式庫XStream CVE-2021-39144漏洞的攻擊行動，而在漏洞修補消息上，以Jenkins，Fortinet與Veeam的漏洞修補與揭露值得留意。另外我們要提醒的是，關於最新的漏洞利用情形，除了上述XStream的漏洞，還有4個是前兩年的已知漏洞，雖然本周iThome資安新聞尚未提到，但近期都已確認出現鎖定利用情形，同樣需要優先重視，包括：Plex Media Server（CVE-2020-5741），Zoho ManageEngine（CVE-2022-28810），Apache Spark（CVE-2022-33891），以及Teclib GLPI（CVE-2022-35914）的漏洞。 資安防護態勢上，零信任（Zero Trust）網路安全防護策略持續受到全球重視，最近有調查機構指出開始制定相關策略的歐洲組織，從兩年前的比例是四分之一，到2022年，比例已提升至三分之二，顯現更積極且普遍的態勢。 在資安威脅焦點方面，首先是ChatGPT仍是主要話題，因此近來仍持續被發現有冒牌平臺的惡意活動，還有三個威脅態勢可以留意，包括：以規避而言，有資安業者持續對惡意軟體QBot透過微軟筆記軟體OneNote檔案散布的活動提出警告，木馬程式Remcos RAT的攻擊可規避系統內建UAC機制的揭露；以漏洞攻擊而言，有HiatusRAT的木馬程式鎖定居易Vigor 2960、3900路由器攻擊，上百企業受害的狀況曝光；以安全實作而言，Booking.com在登入OAuth實作上被資安業者發現有不安全的設計缺陷。 在資安事件中，有宏碁與Acronis遇駭的事件。我們在周二報導資安業者Gridinsoft揭露宏碁在2月中疑發生資料外洩事故，隔日傍晚，宏碁以說明媒體報導方式發布重大訊息，指出是該公司提供當地商業夥伴下載產品文件的伺服器，因某廠商密碼保存與管理不當造成資料外洩。另外，備份解決方案業者Acronis也有遭駭的消息，並傳出上述兩起事件外洩資料的可能是同一人。 <h3><a href="https://www.ithome.com.tw/news/155798">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</a></h3> AI機器人被用於攻擊的情況，已有駭客將其拿來產生變種的惡意程式碼或是多樣的釣魚郵件，但最近有研究人員發現新的手法，他們在機器人可能會引用的網頁上埋入提示訊息，一旦使用者詢問相關問題，聊天機器人就可能藉著這類資訊向使用者套出多種個資。研究人員指出，駭客有可能自行架設網頁，或是搭配電子郵件來發動攻擊。 又是Redis資料庫系統被用於挖礦攻擊的情況，與過往不同的是，駭客濫用了指令碼共享服務transfer.sh規避偵測，而且，還企圖榨取更多的記憶體資源來挖礦。 有研究人員揭露針對上萬個網站而來的攻擊行動，駭客企圖將使用者導向成人或賭博網站牟利。但究竟駭客入侵這些網站的手法為何？仍有待進一步釐清。 <h3><a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a></h3> 宏碁曾在2021年兩度遭到駭客入侵的事故，但最近傳出有人聲稱成功入侵並竊得內部資料兜售的情況。根據賣家在暗網網路犯罪論壇上的廣告內容，駭客主要取得的資料，大多與筆電、桌上型電腦產品有關，像是產品簡報、BIOS檔案，或是部署Windows作業系統的相關工具。 有駭客使用名為HiatusRAT的木馬程式針對兩款居易路由器設備下手，進而將路由器當作竊取內部環境資料的管道。研究人員發現駭客從2022年7月開始發動相關攻擊，但他們推測，這起攻擊行動很可能在2022年以前就出現。 針對工控系統（ICS）漏洞提出警告的資訊也值得留意。德國、美國先後針對數個漏洞提出警告，其中部分漏洞的CVSS風險評分接近滿分，而有可能被用於執行任意程式碼，或是導致系統無法運作。 <h3><a href="https://www.ithome.com.tw/news/155833">【3月8日】ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</a></h3> 又是假借ChatGPT來發起的攻擊行動了！繼之前有人用於產生惡意程式碼、製作釣魚郵件內容，也有宣稱提供相關軟體來散布惡意程式的情況，現在有人聲稱採用ChatGPT架設AI對話機器人，目的是要對使用者進行投資詐騙。 有駭客在木馬程式攻擊行動裡企圖繞過使用者帳號控制（UAC）機制，他們假造了Windows作業系統預設信任的資料夾，藉此在不受管制的情況下執行木馬程式。而這樣的手法是資安人員在2020年發現，如今已被用於實際攻擊行動。 面對廠商已不再支援的產品，仍有可能被公布漏洞，若企業與組織仍在使用，IT人員千萬別以為可以放著不管，因為這些漏洞很可能成為駭客鎖定的目標。有資安業者發現，VMware於2022年10月修補的重大漏洞CVE-2021-39144，在12月出現大規模攻擊行動。 <h3><a href="https://www.ithome.com.tw/news/155854">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</a></h3> 資安業者Trellix針對惡意軟體QBot的攻擊提出警告，值得留意的是，他們並非首度揭露相關攻擊行動的資安業者──上個月就有兩家資安業者<a href="https://www.ithome.com.tw/news/155404#qbot-onenote">Cyble</a>、<a href="https://www.ithome.com.tw/news/155435#qbot-onenote">Sophos</a>提出警告，其共通點就是駭客的作案過程運用了OneNote檔案來進行。但不同的是，這次研究人員提及了駭客在QBot與相關惡意程式上，採用相當隱密的迴避偵測手法，而使得資安系統難以察覺異狀。 昨天（3月8日）傳出有人在駭客論壇兜售宏碁2月遭駭而外洩資料一事，引起各界媒體報導。對此，宏碁晚間在股市公開觀測站發布重大訊息證實此事，並認為起因是有合作廠商密碼管理不當引起。 3月7日資安廠商Fortinet公布重大漏洞CVE-2023-25610，影響的產品包括防火牆作業系統FortiOS、網頁安全閘道FortiProxy，有可能導致服務中斷，或是讓駭客能執行任意程式碼的情況。 <h3><a href="https://www.ithome.com.tw/news/155867">【3月10日】SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Server被用於挖礦</a></h3> 隨著遠距辦公成為常態，針對Foritnet、Pulse Secure等廠牌的SSL VPN設備而來的攻擊行動不時出現。最近有資安業者發現鎖定SonicWall旗下SSL VPN設備而來的惡意軟體攻擊，其目的就是要竊取連線的使用者帳密資料。 鎖定Oracle Weblogic Server的攻擊行動也相當值得留意，有駭客組織專門將這種伺服器拿來挖礦，根據提供惡意程式的賣家指出，他們已納入數種迴避Windows系統內建惡意軟體偵測的機制，並提供進階功能讓買家選用。但特別的是，Oracle Weblogic Server可架設於Windows、Linux主機，但駭客專門鎖定前者，顯示這起攻擊行動可能有高度針對性。 中國遠端桌面軟體的漏洞又再度被用於攻擊行動！這次是用於部署惡意軟體PlugX，<a href="https://www.ithome.com.tw/news/155423#sunlogin">在此之前</a>，已有駭客用於散布滲透測試工具、木馬程式，以及挖礦軟體。 </div></div></div>
2023/3/13 13:52作者羅正漢https://www.ithome.com.tw/news/155886
【資安日報】3月10日，SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Ser…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 隨著遠距辦公成為常態，針對Foritnet、Pulse Secure等廠牌的SSL VPN設備而來的攻擊行動不時出現。最近有資安業者發現鎖定SonicWall旗下SSL VPN設備而來的惡意軟體攻擊，其目的就是要竊取連線的使用者帳密資料。 鎖定Oracle Weblogic Server的攻擊行動也相當值得留意，有駭客組織專門將這種伺服器拿來挖礦，根據提供惡意程式的賣家指出，他們已納入數種迴避偵測的機制，並提供進階功能讓買家選用。但特別的是，Oracle Weblogic Server可架設於Windows、Linux主機，但駭客專門鎖定前者，這起攻擊行動可能有高度針對性。 中國遠端桌面軟體的漏洞又再度被用於攻擊行動！這次是用於部署惡意軟體PlugX，<a href="https://www.ithome.com.tw/news/155423#sunlogin">在此之前</a>，已有駭客用於散布滲透測試工具、木馬程式，以及挖礦軟體。 <h3>【攻擊與威脅】</h3> <a href="https://www.mandiant.com/resources/blog/suspected-chinese-persist-sonicwall">SonicWall的SSL VPN設備遭到中國駭客鎖定</a> 資安業者Mandiant揭露針對SonicWall的SSL VPN系統Secure Mobile Access（SMA）而來的攻擊行動，中國駭客組織UNC4540在這些設備植入惡意軟體，目的很有可能是竊取已加鹽的使用者帳密資料。 研究人員指出，駭客運用的惡意軟體，由名為TinyShell的後門程式、偽裝成防火牆組態設定程式的ELF可執行檔，以及數個bash指令碼組成。 值得留意的是，駭客為了讓惡意程式能持續在受害的SMA設備上運作，不只採用了備援機制，甚至竄改韌體植入後門root使用者帳號，並且每10秒偵測韌體是否遭到覆寫的情況。研究人員推測，相關的攻擊行動很可能從2021年就開始。 <a href="https://www.fortinet.com/blog/threat-research/old-cyber-gang-uses-new-crypter-scrubcrypt">部分Oracle Weblogic Server遭到挖礦軟體ScrubCrypt鎖定</a> <a href="https://s4.itho.me/sites/default/files/images/screen-shot-2023-03-07-at-9_43_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screen-shot-2023-03-07-at-9_43_2.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露針對Windows版Oracle Weblogic Server而來的攻擊行動，駭客組織8220於今年1月至2月，透過名為ScrubCrypt的惡意軟體進行挖礦。 研究人員提及，提供相關工具的賣家標榜，ScrubCrypt能規避防毒軟體Microsoft Defender偵測，並可躲避Windows作業系統的使用者帳戶控制（UAC）、反惡意軟體掃描介面（AMSI）、Windows事件記錄追蹤（ETW）等防護措施。 <a href="https://asec.ahnlab.com/en/49097/">遠端桌面軟體漏洞被用於部署惡意軟體PlugX</a> 遠端桌面軟體的漏洞也成為駭客入侵受害電腦的管道，例如，資安業者AhnLab揭露近期散布惡意軟體PlugX的攻擊行動，駭客利用中國遠端桌面軟體Sunlogin、Awesun的遠端任意程式碼執行（RCE）漏洞，進而在受害電腦部署PlugX。 這些攻擊者透過PowerShell下載資安業者ESET開發的HTTP Server Service應用程式（esetservice.exe），以及程式庫http_dll.dll，然後透過DLL側載的方式，於記憶體內執行PlugX。 <a href="http://s1.ai/IceFire">勒索軟體IceFire鎖定IBM檔案共享系統下手，加密Linux主機</a> 資安業者SentinelOne揭露近期勒索軟體IceFire的攻擊行動，駭客從2月中旬開始，破壞全球數家多媒體與娛樂組織的內部網路環境，一旦成功入侵，這些駭客就加密Linux伺服器的檔案，並留下勒索訊息。 研究人員指出，有別於Windows版勒索軟體透過釣魚郵件散布，駭客入侵Linux主機的管道，是利用IBM檔案共享系統Aspera Faspex的<a href="https://www.ithome.com.tw/news/155549#ibm">反序列化漏洞CVE-2022-47986（CVSS風險評分為9.8分）</a>。值得留意的是，有別於許多Linux版勒索軟體專門針對VMware虛擬化平臺ESXi而來，IceFire的目標則是擴及各式Linux主機。 <a href="https://blog.morphisec.com/sys01stealer-facebook-info-stealer">竊密程式SYS01 stealer鎖定企業用戶的臉書帳密</a> <a href="https://s4.itho.me/sites/default/files/images/Screenshot 2023-03-07 193418.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202023-03-07%20193418.png" style="width: 300px; float: right;" /></a>資安業者Morphisec自2022年11月，追蹤名為SYS01 Stealer的竊密軟體攻擊行動。駭客主要的攻擊目標，是政府基礎設施與製造業，其他產業也有組織受害。他們利用Google廣告與虛構的臉書個資，假借宣傳遊戲、色情內容、破解軟體等名義，來針對企業的臉書帳號管理者下手，引誘目標下載惡意軟體，目的是竊取敏感的企業臉書帳號資料。 研究人員推測此攻擊行動從5月出現，駭客先是引誘受害者點選特定臉書帳號個資或廣告當中的URL，下載帶有惡意程式的ZIP檔案，一旦受害者執行其中以Inno-Setup封裝的安裝程式，此檔案就會投放惡意的PHP指令碼（竊密軟體）。 駭客在指令碼使用多種方式進行編碼，而使得相關分析與偵測變得更加困難，再者，駭客不只利用PHP指令碼，他們也看到利用DLL程式庫側載、Rust或Python執行檔的方式，在受害電腦植入SYS01 Stealer。 <a href="https://unit42.paloaltonetworks.com/lokibot-spike-analysis/">竊密軟體LokiBot攻擊行動在2022年底大幅增加</a> 資安業者Palo Alto Networks揭露發生於2022年底的惡意軟體LokiBot攻擊行動，駭客先是透過釣魚郵件挾帶附件ZIP壓縮檔，其內容是含有LokiBot的ISO映像檔，並於12月29日至31日達到高峰。 研究人員指出，LokiBot具備竊取各式軟體帳密的能力，涵蓋多種瀏覽器、FTP及SSH用戶端程式、備份軟體、收信軟體、密碼管理工具，以及Windows帳號等，一旦收信人打開ISO裡偽裝成Office文件的LokiBot，該惡意程式就會透過處理程序挖空（Process Hollowing）手法，注入aspnet_compiler.exe執行。 為了持續在受害電腦運作，此惡意程式會呼叫特定的API，將本身複製到應用程式組態資料夾（%APPDATA%），並寫入一組機碼。至於駭客散布此惡意軟體的目的，研究人員認為與商業郵件詐騙（BEC）有著密切關係。 <a href="https://www.bleepingcomputer.com/news/security/atandt-alerts-9-million-customers-of-data-breach-after-vendor-hack/">9百萬AT&T用戶資料外洩，起因是合作廠商遭駭</a> 根據資安新聞網站Bleeping Computer報導，美國電信業者AT&T通知行動網路用戶個資外洩，人數約9百萬名，原因是他們合作的市場行銷業者在1月份遭駭所致。 這些資料是用戶專屬的網路資訊（CNPI），包含了無線網路的線路數量，以及採用的網路速率，但不含信用卡資料、社會安全碼（SSN）、密碼，以及其他個資；此外，也有少部分使用者的資費方案流出的情況。該公司表示，他們自身的系統並未遭駭。 <a href="https://www.audio-technica.co.jp/news/detail/196">日本音響器材業者鐵三角傳出遭勒索軟體攻擊</a> 日本音響器材業者鐵三角（Audio-Technica）發出公告，表示他們的內部網路在2月25日凌晨發生故障，對此，該公司決定暫停電商網站、電話、傳真、電子郵件等服務。到了3月7日，該公司表示在排除故障的過程中，發現是勒索軟體入侵所致，研判有部分公司內部資料可能遭竊，並恢復電話相關服務。 而對於遭到洩露的資料範圍，鐵三角表示需要數個星期才能確認、處理，以及恢復，但因為他們將電商網站的付款系統外包，客戶的信用卡資料並未受到波及。 <h3>【漏洞與修補】</h3> <a href="https://blog.aquasec.com/jenkins-server-vulnerabilities">Jenkins伺服器漏洞CorePlague有可能被攻擊者遠端執行任意程式碼</a> 資安業者Aqua Security揭露CI/CD系統Jenkins存在嚴重漏洞CVE-2023-27898、CVE-2023-27905，他們將其命名為CorePlague，這些漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，於Jenkins伺服器執行任意程式碼，甚至有可能完全掌控整個伺服器。 這些漏洞存在於Jenkins伺服器與Update Center元件，研究人員指出，由於漏洞存在Jenkins伺服器與Update Center元件，因此，就算攻擊者無法直接存取Jenkins伺服器，上述漏洞還是有機會被利用。 上述漏洞與跨網站指令碼（XSS）有關，攻擊者可利用惡意Jenkins外掛程式觸發，將其上傳至Update Center，一旦IT人員執行Available Plugin Manager元件，上述的跨網站指令碼弱點就會觸發，攻擊者就能利用名為 Script Console的API執行任意程式碼。開發團隊於1月24日獲報後，已發布修補程式。 <h3>【其他資安新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-posts-video-of-data-stolen-from-minneapolis-schools/">明尼阿波利斯校區傳出遭到勒索軟體Medusa攻擊，駭客索討百萬美元換取刪除資料</a> <a href="https://twitter.com/MsftSecIntel/status/1633515412142034944">商業郵件詐騙攻擊過程可能僅有數個小時</a> <a href="https://www.ic3.gov/Media/Y2023/PSA230309">駭客假借賺錢遊戲盜取加密貨幣</a> <a href="https://www.welivesecurity.com/2023/03/07/love-scam-espionage-transparent-tribe-lures-indian-pakistani-officials/">巴基斯坦駭客鎖定安卓手機散布後門程式CapraRAT</a> <a href="https://www.bleepingcomputer.com/news/security/android-march-2023-update-fixes-two-critical-code-execution-flaws/">Android三月更新發布，修補2個重大程式碼執行漏洞</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155854">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</a> <a href="https://www.ithome.com.tw/news/155833">【3月8日】 ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</a> <a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a> </div></div></div>
2023/3/10 16:04作者周峻佑https://www.ithome.com.tw/news/155867
AI趨勢周報第210期：Google用Transformer模型即時導航機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0303～0309) 電腦視覺 Transformer 機器人導航 Google用Transformer模型來即時導航機器人 Google最近揭露一款控制系統Performer-MPC，以Transformer架構為基礎，可用於機器人上，讓機器人成功在密閉空間中即時導航、避開人類和障礙物，延遲僅8毫秒。進一步來說，Performer-MPC是一款端到端可學習的機器人系統，包含了基於Python函式庫JAX的可微分模型預測控制器（MPC），以及負責導航任務的Transformer編碼，可用來適應複雜的社交場景，不需人工介入、撰寫規則。Performer-MPC系統還有個重要元素，也就是構成Performer架構的可擴展Transformer模型，它具備線性空間和時間複雜度注意力模組，可讓機器人部署更有效率，實現8毫秒延遲。 Google指出，儘管經過數十年研究，機器人還是難以在狹窄空間中安全移動，而近年，Transformer在不少真實世界的機器學習問題中已有大幅進展，比如多模態架構可讓機器人用Transformer語言模型，來進行高階規畫，且近期以Transformer對機器人進行策略編碼的研究，也開啟機器人於現實世界導航的新契機。雖然，Transformer這種大型模型部署在機器人上，會遭遇延遲挑戰，且注意力機制耗費運算成本，研究者不得不在模型表現和運算成本間取捨、對模型剪枝。 但Google還是開發Performer-MPC，來測試Transformer能否讓機器人在狹小空間中，順利導航和避障。Google選定一款配有3D光達鏡頭和深度感測器的輪式機器人，並部署830萬參數、延遲8毫秒的Performer-ReLU變形模型，來執行導航任務。他們發現，在這個配置下，機器人可在狹窄場景，比如轉角死角處等，成功避開行走的人類，也能在不同障礙物間找出最佳路徑，成功穿越。Google表示，這項實驗證明，用Transformer架構設計具注意力機制的機器人控制器，是可行的。而且，百萬參數的Transformer架構與毫秒級推論延遲，能讓機器人有效率學習、作出適當的反應，更重要的是，該學習系統還能泛化，適應不同環境。<a href="https://ai.googleblog.com/2023/03/performer-mpc-navigation-via-real-time.html">（詳全文）</a> <img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjndDYhkAG9gOhncdI36s1SUqujwPsJQYuFH_BiIA9Z082C_GDydIK5cHrSwq4k60q2YlSOpetyc7JO916NmkDa8T-TbqtGwIasaQKH-QwyzLJ0qGkU6sFW13nVQrpwSm9UAEXFhgxrrxo5uMiFxzOpmauoB6nui81tvV5pbJ1OAxayZYMzVfP9u1Q5ow/s16000/image4.gif" /> 司法院 語音辨識 國民法官 司法院法庭中文語音辨識系統正式上線，準確率超過9成 為讓法庭程序更順暢，司法院開發一款法庭中文語音辨識系統，來加速法庭筆錄作業。司法院表示，該系統用過去1千多萬筆裁判書、180萬筆開庭筆錄來訓練AI辨識系統，平均準確率達92%，且能辨識大多數法律專有名詞。 這個語音辨識系統可用於逐字稿作業，也整合了法院審判筆錄和數位錄音系統、錄影回放系統和影音環控系統，來簡化過去書記官需聽、理解再騰打逐字稿的過程。簡單來說，該系統可在開庭過程中，即時產出逐字稿筆錄，就算有問題，也能調閱特定錄影段落來確認；該系統已於1月正式上線。 司法院也指出，由於國民法官制度採連日連續進行制，審理程序一結束就得評議，行程緊湊，而語辨系統可即時產出筆錄、呈現法庭內發言內容，評議時也能搭配回放特定錄影段落，來加速評議過程。該系統已部署於全國21間地方法院的國民法官法庭，除國民法官適用的重大刑事案件外，司法院也打算讓一般刑事案件使用語辨系統，來產出即時筆錄。<a href="https://www.judicial.gov.tw/tw/cp-1887-819990-872a1-1.html">（詳全文）</a> 資料集 Google搜尋 Dataset Search Google搜尋再優化，新添資料集搜索引擎 Google推出一款新搜尋引擎Dataset Search，使用者輸入關鍵字，就能搜尋相關資料集，可用來訓練或測試AI模型。這款資料集搜尋引擎，可查找1萬3千多個網站中的4,500萬筆資料集，這些資料集涵蓋多種學科和主題，也包含政府、科學、商用等領域。Dataset Search會顯示資料集的基本資料，也會預覽資料集概況、給出不同頁面的連結，如GitHub、Kaggle等。 Dataset Search主要檢索網路上含schema.org結構化數據的資料集頁面，因為schema.org的詮釋數據，可讓作者用來描述資料集特性和關鍵元素，如下載格式、授權方式等。若使用者希望自己建立的資料集能被Dataset Search納入，首先要確保自己發布的資料集能容易搜尋，且要說明其他人可以如何使用該資料集。特別是要確保描述資料集的網頁，具有機器可讀的詮釋數據。<a href="https://ai.googleblog.com/2023/02/datasets-at-your-fingertips-in-google.html">（詳全文）</a> <img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhPZQEaGyDdUNGfyeJkI3rAlEjuC3AcWO1rxg1CodKmfbnh6f_z_YzV_RR4osPfydR0I6xE5P1R5ndziK2zZE4ImKLCTGrh5owI0Mu4r8RYYVh0gvMMtS72bqc_HhhIEHKRpheaP4wPSaGikaUmBSCNgsLP_mUiijz_vFCmHSlgRInti8sm9oQYGDfJoA/s16000/image1.png" /> Brave 生成式AI 搜尋摘要 Brave搜尋引擎自建生成式AI，根據網頁結果摘要更即時 訴求高隱私安全的瀏覽器Brave也開發生成式AI系統Summarizer，來優化自家搜尋引擎，能總結搜尋結果，摘要旁也會列出資料來源，方便用戶查證。 Summarizer由Brave搜尋團隊開發，由三大語言模型組成，這些語言模型分別負責不同任務，首先是問答模型，會嘗試從文字片段中擷取具體答案，之後，Brave搜尋會利用一組零樣本分類器，過濾掉仇恨言論、粗鄙用詞和垃圾訊息等文字，最後交由摘要模型處理，來重寫並刪除重複的文字，保持語言一致性和可讀性。Summarizer給出的答案，完全基於網頁搜尋結果，因此能給出當日事件的結果，也不會產出未經證實的結論。<a href="https://brave.com/ai-summarizer/#fn:4">（詳全文）</a> <img alt="" src="https://brave.com/static-assets/images/optimized/ai-summarizer/images/example-a.webp" /> Meta 生成式AI WhatsApp Meta成立生成式AI開發團隊 Meta執行長Mark Zuckerberg日前宣布要成立生成式AI開發團隊，來發展文字、圖片、影像等強化技術，改善旗下WhatsApp、Instagram和Messenger等服務。Zuckerberg指出，這個新部門將聚焦生成式AI，短期目標是要開發創意性的表現工具，長期目標則是開發可多方協助使用者的「AI人物」。在微軟、Google和OpenAI等相繼發表AI對話機器人後，AI成為Meta最重要的任務，團隊最近也發布AI大型語言模型LLaMA，並預告要開源LLaMA模型，來供AI研究社群進行不同領域研究。<a href="[https://www.qualcomm.com/news/onq/2021/08/17/qualcomm-flight-rb5-5g-platform-worlds-first-5g-and-ai-enabled-drone-platform](https://www.qualcomm.com/news/onq/2021/08/17/qualcomm-flight-rb5-5g-platform-worlds-first-5g-and-ai-enabled-drone-platform)">（詳全文）</a> Nvidia 串流影片 解析度 Nvidia用AI強化串流影片解析度 Nvidia在GeForce RTX 40與30系列最新的GeForce Game Ready驅動程式中，加入影像超級解析度（VSR）功能支援，使用者只要用微軟Edge 110.0.1587.56或Google Chrome 110.0.5481.105以上版本的瀏覽器，就能將瀏覽器上低解析度的串流影片，提升到4K解析度。 Nvidia解釋，由於串流影片是以區塊為單位來壓縮，因此會發生塊狀壓縮失真，若用傳統畫質提升演算法，反而會讓塊狀壓縮失真更嚴重。因此，RTX VSR技術透過邊緣偵測和特徵銳化，來解決問題。這是一個深度學習方法，Nvidia先用不同壓縮程度的影片來訓練模型，模型了解低解析度影片的壓縮失真類型後，就能從輸入的低解析度影片影格，預測目標解析度的殘差圖像，再將殘差圖像疊加到經Bicubic解析度提升演算法處理的影格，來校正假影錯誤和銳化邊緣，來產出高解析度影像。<a href="[https://code.visualstudio.com/updates/v1_59#_terminal](https://code.visualstudio.com/updates/v1_59#_terminal)">（詳全文）</a> IBM 大型主機 z/OS IBM大型主機作業系統z/OS將擁抱AI IBM預計在2023年第三季推出大型主機作業系統更新z/OS 3.1，該版本的一大更新重點，是要在作業系統融合AI和資料分析解決方案，來讓z/OS應用也能有智慧自動化與大規模加速推理功能，在z/OS 3的混合雲架構中整合AI功能。 進一步來說，z/OS 3.1的工作量管理程式（WLM）將有AI加持，能預測即將發生的批次處理工作負載，還能採取相對應的系統最佳化措施。同時，新版本也會支援AI解決方案，讓企業用戶在z/OS上執行應用程式時，能獲得低延遲的AI功能。另一方面，IBM也希望z/OS能進一步支援企業混合雲策略，因此加入z/OS容器擴充（zCX），強化容器化Linux工作負載效能和安全性，還要強化程式語言COBOL和Java的互通性。<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/9/897/ENUSC23-009/index.html">（詳全文）</a> 微軟 Bing Chat 語氣 微軟Bing Chat加入3種語氣風格 微軟快馬加鞭更新Bing聊天機器人，近日已在Bing Chat中加入三種語氣風格，來供使用者選擇。微軟在2月底時，就多次預告要開發語氣調整功能，來解決Bing Chat時而情緒化、時而放肆乖張的發言問題。 微軟網頁服務主管Mikhail Parakhin說明，Bing Chat測試用戶可看到Bing Chat模式選擇器，也就是一個3階段的滑鈕設計，提供「精準」、「創意」及「平衡」三種風格。其中，「精準」風格可提供更事實導向的答案，「創意」則會給出較長、類似聊天的答案，比較有趣，但也可能包含較多錯誤。<a href="https://twitter.com/MParakhin/status/1630958579485392896">（詳全文）</a> 圖片來源／Google、Brave 近期AI趨勢新聞 1. OpenAI針對付費用戶推出ChatGPT API和Whisper API服務 2. 小米展示新AR眼鏡，具變色鏡片、支援手勢控制 資料來源：iThome整理，2023年3月 </div></div></div>
2023/3/9 15:05作者王若樸https://www.ithome.com.tw/news/155841
Cloud周報第168期：金融業上雲法規大鬆綁！銀行未來上雲非重大消金應用免申請，最快Q3上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3>重點新聞（03/02～03/08）</h3> 金融業上雲 金管會 金管會大幅放寬金融業上雲規範，未來境外公雲不是重大消金應用免申請 <img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4)(2).png" style="width: 600px; height: 340px;" /> 金管會於7日宣布金融業委外辦法將有重大鬆綁，尤其是金融業上雲規定將大幅放寬，未來只有重大消費金融應用要上到境外公有雲，以及主管機關指定類型，才要申請核准，其餘不用申請。相較於4年前，金管會這次對金融業上雲鬆綁又更進一步。修正辦法將在正式預告60天後，最快Q3正式上路。 過去銀行委外使用雲端服務時，只要涉及重大性委外作業（如客戶資料）或是將作業委託到境外公雲，都得事先向金管會申請核准，往返處理需耗費不少時間，考量到上雲對於金融業數位轉型及金融服務的敏捷彈性日益重要，因此金管會決定調整放寬上雲作業規定。 金管會預告修正「金融機構作業委託他人處理內部作業制度及程序辦法」，其中關於委外上雲規範修正，主要重點是大幅放寬了對於境內外雲端委外作業規定和程序，以後銀行業者使用境內雲端服務（如GCP或AWS），處理一般性事務或辦公應用，不需要事先申請核准，也就是說，銀行以後可以直接使用境內公雲服務來儲存資料，免申請。 不僅如此，對於境外雲端服務使用規定也放寬，允許業者免申請就能將各自業務資訊系統上到境外公雲，除非是屬於重大性消金業務系統，或主管機關指定類型，才須向金管會申請取得核准。新法修正還大幅簡化委外上雲申請核准的程序，有首案申請通過核定後，其他金融業者之後要用就不需要重新申請，如Microso 365等。這項鬆綁規定，將讓金融業很多上雲採用更容易。 但使用雲端服務仍需遵循風險管控、客戶資料儲存境內為原則等八大項規定。此次修法，金管會也加強規範客戶資料保護及確保雲端技術應用安全可靠性，同時要求金融機構落實委外作業控管，成為內部治理架構一環。 z/OS 混合雲 IBM新版大型主機作業系統z/OS亮相，將能跨雲管理Linux與z/OS工作負載 前陣子，IBM介紹下半年即將推出的新版大型主機作業系統z/OS 3.1，其中一大特色，就是能夠進一步支援企業混合雲策略，讓企業可以在混合雲環境中建構、部署和管理Linux和z/OS工作負載。 為了支援混合雲應用需求，新版本z/OS特別加強這方面的支援能力，包括推出z/OS容器擴展計畫，強化對於容器化應用的支援，來改進效能與安全，還支援NFS、HPPS，與支援混合型應用（虛擬機和容器）。 另外，在z/OS 3.1更新版本中，還將為z/OS UNIX工具提供一套資料集檔案系統，讓使用者可以透過它以安全且一致方式來存取混合雲應用中的資料。還加強支援舊版31位元COBOL程式碼和64位元Java交互作業能力，可以更容易執行64位元Java應用。此外，新版z/OS也把雲原生管理能力帶到大型主機z/OS中，以及提供更現代化操作介面。 雲端生產力應用 資料加密 企業版Gmail、行事曆服務終於能支援Google用戶端加密機制，強化用戶隱私控管 <img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4)(1).png" style="width: 600px; height: 347px;" /> 繼去年Google讓自家雲端生產力應用Workspace部分套件，如Drive雲端硬碟、 Meet會議、 Docs文件、試算表等開始能夠支援Google用戶端（client-side encryption，CSE）加密機制，最近， Google也把這項加密功能擴大延伸到Gmail、行事曆服務都能支援，但只有Workspace企業及教育用戶能使用。 透過這項加密技術，未來企業內部員工使用Gmail傳送信件或圖片、檔案時，在資料還沒傳到Google雲端伺服器前就會提前加密完成，透過這樣的方式，可確保資料就算送上Google公雲也無法從雲端伺服器中解讀原始信件或檔案內容，以此來強化對資料隱私的保護。加入CSE加密功能後，還帶給用戶更大主控權，可管理加密金鑰及控管存取這些金鑰的身分服務，來滿足各家企業對於法規遵循的要求。 無伺服器應用 AWS AWS推出能快速建置無伺服器應用的視覺化設計工具Application Composer <img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(1)(2).jpg" style="width: 600px; height: 314px;" /> 最近，AWS推出名為Application Composer的雲端新服務，這是一個可以快速建置無伺服器應用的視覺化設計工具，讓使用者只要用拖拉操作，就能迅速將多個AWS服務組合起來，並連接到應用程式架構中，以此建立和部署無伺服器應用，因為是透過視覺化介面操作和拖移設計，即使不懂無伺服器的開發人員也能很快上手。 AWS在去年底re:Invent大會上釋出預覽版，近日推出正式版，除了增加新功能之外，使用者以Application Composer來設計應用架構時，還能使用AWS基礎設施即程式碼服務CloudFormation或套用無伺服器應用程式範本，也能提供後續架構版本的維護。該服務目前已於美國東區、西區和亞洲部分地區推出。 雲端營收 CRM 不畏經濟放緩衝擊！雲端CRM巨頭Salesforce公布2022年第4季業績成長仍破1成，達83億美元 雲端CRM龍頭Salesforce近日公布2022年第4季以及全年財報，與前年同期相比，第4季營收成長14%，達到83.8億美元，加上前三季，合併全年總營收為314億美元，較前年增長18％。 進一步來看各別業務營收，以雲端訂閱和支援業務的營收最多，共達290.2億美元，增長18%，這類訂閱服務有包括行銷雲、銷售雲、數據雲等，由此反映出企業對於雲端CRM相關投資需求，並未受到當前經濟不景氣大環境所影響而趨於保守。至於專業服務和其他收入的營收雖有增長，但與雲端營收仍有不少差距，只有23.3億美元。 雲端開採 網路威脅 研究：2022年駭客所開採的雲端漏洞增長95% 美國資安業者CrowdStrike在新公布的2023年全球威脅報告中指出，跟前年相比，去年網路威脅有明顯改變，特別是以雲端為攻擊目標的網路攻擊有大幅增長的趨勢。該公司資安團隊從CrowdStrike Falcon網路平臺分析來自企業用戶每日上兆起例行事件的數據，進而統整出過去一年網路威脅攻擊最新變化與趨勢。 其中在雲端威脅方面，該報告指出，單是2022年由駭客或犯罪者所開採的雲端漏洞就增加了95%，增長幅度很快，不僅如此，該報告也發現，犯罪者基於這個目的而採取攻擊行動的案件量足足增長兩倍，顯示出除了以往常見攻擊途逕之外，雲端已逐漸成了駭客鎖定攻擊的新重點。 圖片來源／金管會、GCP、AWS 更多Cloud動態 1.Salesforce推出採用Hyperforce架構新的雲端維運區域，讓企業更容易管控內部數據符合歐盟法遵 2.為布局雲端運算市場，雲端CDN業者Akamai收購雲端儲存商Ondat 3.IBM與資安廠商Cohesity合作推出雲端資料保護解決方案 4.西班牙電信Telefónica大舉上雲，更要把旗下Vivo資料中心關鍵系統全面遷上OCI公雲 資料來源：iThome整理，2023年3月 <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/9 12:29作者余至浩https://www.ithome.com.tw/news/155839
【未來汽車應用軟體部署、管理將掀起新變革】容器掀起汽車第二次軟體化變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 每年1月舉行的美國CES電子消費大展，已成為各大車廠展示最新汽車技術和未來汽車的主舞臺，但是今年展覽很不一樣，除了各大車廠大秀軟體肌肉，第一次有車廠公開說，要把IT圈火紅的容器（Container）技術帶進汽車。 儘管在IT領域，容器技術發展已相當成熟，為因應汽車軟體化風潮，車界近幾年出現不少關於汽車軟體容器化的討論，大多只限於開發或測試階段導入，還沒有真正在汽車內部環境使用。所以，當福斯要讓汽車支援容器技術的消息一出，格外引人矚目。 其實早在多年前，賓士汽車就提出要用容器驅動汽車的概念，但當時還無法實現，現在福斯搶先一步完成，甚至福斯不是構想，而是已經開始實做。 福斯汽車與雲端平臺負責人Amen Hamdan在今年CES主題演講中透露，目前已經能提供一個嵌入式容器化應用的runtime，讓開發者可以使用容器將應用打包後送到車上的實例做更新，而且可以將應用拆分，對個別小型功能進行更新。儘管他沒有透露哪些汽車功能會先採用容器，但也預告：「今年把這項技術導入車上後，會推向更多車款。」他表示。 不只有車廠要讓汽車支援容器技術，去年5月，紅帽宣布要把企業級Linux帶進汽車上，也成了未來容器可以跑在汽車上的另一個關鍵證據。 容器技術很早就在Linux平臺上實現，對於Linux支援也更完整，例如最早推廣容器而聞名的Docker就是基於Linux containers發展而來，但在眾多支援Linux containers的IT廠商中，紅帽發展腳步最快，從2014年RHEL 7作業系統就內建Docker，後來歷經多個版本更新，對於容器應用功能支援更全面，發展到現在已經相當成熟。 從紅帽宣布與通用汽車的合作中透露出，未來紅帽車載OS將可以取得車上應用的底層控制權限，來支援安全和非安全車載相關應用，包括車載資訊娛樂系統、ADAS、車輛控制與車聯網等。甚至很快地，全球第一輛搭載車用RHEL的汽車今年上半年就會亮相。意味著，原先紅帽所擁有完整的容器開發平臺、應用工具等生態系都準備就緒，未來可以運用到汽車中。 過去容器技術的出現，顛覆IT產業，掀起傳統IT架構變革，如今，這項技術也開始進到傳統封閉汽車產業，不只有機會推翻傳統汽車應用部署和管理模式，更將引領汽車軟體化發展往下一階段邁進。 為何汽車軟體需要容器化？ 容器技術最大特色是為應用程式提供了一種標準封裝格式，可以把應用程式連同環境一起打包，再發布到任何可執行容器的平臺上，來方便管理、移動和部署應用程式。 使用這種封裝格式，因為具有更好的移動性，軟體開發人員可以很容易將容器化汽車軟體部署到車上，不像採用傳統封裝的汽車軟體，除了安裝軟體之外，通常需額外加裝其他附加元件，來補足原本軟體執行所缺少的相關元件，才能順利執行。容器化汽車軟體因為在封裝過程中，已經預先把汽車應用軟體程式、組態及其相依性等所有執行需要使用的檔案、程式庫都打包起來，因此就不需要擔心環境不一致的問題。這是容器化汽車軟體和傳統汽車軟體最大的差異。 尤其，以後車廠需要常常為所有出廠的汽車更新軟體，來提供各種汽車功能與體驗服務，使用容器技術，就可以更容易透過OTA更新替換汽車元件上軟體，來減少現場更新維護的人力，不需要採用跟過去一樣更新方式，得由車主親自開回原廠，再由車廠技師將更新檔案安裝到要更新的汽車裝置上（如車載電腦等），就能完成汽車軟體更新的動作，甚至遇到有一些共通性功能需要更新時，還能共用同一個更新檔，不需要根據入門、旗艦型等不同等級車款來調整，各別發布更新。 容器化技術也是最能體現「搭建一次，隨處可用」精神。因此，用容器技術開發出來的應用，就可以很容易放在任何地方來執行，特別是在需要經常變動的汽車環境中，因為不需要考慮相依性的追蹤和異動，所以它的流通性更高，可以快速擴展，將有助於汽車軟體化生態的發展。 不過，汽車越來越軟體化，也容易導致汽車內部軟體系統越來越複雜且龐大，但透過容器技術，搭配其他調度管理工具，也能加以改善。 從軟體開發流程來看，更能確保不論是在測試環境，或上線前準備環境進行測試，都能和正式環境那套軟體環境保持一致，不容易受到不同環境配置差異的影響。 因為有了容器技術，也讓軟硬體解耦變得更容易。過去汽車軟體開發流程上，必須考慮到車輛系統發布周期，導致軟體開發周期變長，因為軟硬體綁定，在軟體化汽車趨勢潮流下，首先就是要把硬體和軟體架構分離，讓軟體可以單獨開發，來縮短開發周期。由於容器技術是以應用程式為中心的虛擬化技術，可以讓這件事更容易被實現。 從硬體架構來看，過去汽車內部是一個大型分散式架構系統，配備許多ECU，各自提供不同車用功能，新一代汽車E/E（電子電氣）底層架構逐漸走向集中式架構，在這個新架構下，原本分布在汽車中的ECU開始向上集中到少數主要ECU或汽車中央電腦的HPC平臺上處理，也將帶動汽車正式環境部署容器應用的需求，更進一步將汽車傳統應用程式從ECU中移植到新架構，從而加速軟體化汽車的發展。 與傳統VM相比，容器化軟體也更輕量，可以用最小的方式將軟體所需執行的資源都封裝在一起，成為一個容器映像，再部署到汽車新舊裝置中。因為不需要借助作業系統來幫忙，因此就不需要先裝好一個作業系統，所以較不占用空間，啟動速度也更快。 容器本身擁有完整且成熟的生態系，是汽車擁抱容器技術帶來的另一個好處，有許多現成容器開發和管理工具，以及資安工具等，都可以直接套用，甚至，容器技術也是目前主流，所以當車廠開始使用這個技術以後，原本專精於容器的這群人能直接進來，成為車廠開發容器化汽車應用即戰力。 不過，初期，汽車容器化軟體還是會以非安全相關的汽車應用為主，畢竟汽車軟體仍與一般消費性或企業軟體有所差別，更加強調功能安全性，不像手機軟體當機，只要重開就好，汽車軟體一旦當機，嚴重可能攸關生命安全，所以設計上必須把這些安全要求納入考量。這也是為什麼紅帽開發汽車Linux花了2年多，就是要為了取得ISO　26262汽車功能安全的認證，才能夠放進車上使用，這也成了容器技術進到汽車上後能不能有更多應用的挑戰。 <a href="https://s4.itho.me/sites/default/files/files/1119-%E5%B0%81%E9%9D%A2P2P3-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-%E5%B0%81%E9%9D%A2P2P3-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" style="text-align: center; width: 600px;" /></a> 汽車產業第二次軟體化變革 這不是汽車產業第一次技術大變革，而是近十年來第二次革新。過去因為電動車、自駕車的出現，汽車設計開始從硬體轉向軟體為中心，掀起第一波汽車軟體化的變革，從單一介面的軟體化開始，到汽車基礎架構軟體全面性改變。也因為汽車軟體越來越重要，甚至成了影響汽車應用或服務能不能更進一步延伸的關鍵。 從軟體化更進一步發展到容器化應用，將是汽車軟體化後下一階段發展。不同第一次軟體化變革，更追求軟體敏捷和彈性，來滿足未來更多汽車功能增長與頻繁更新需求，更要改善因為這波軟體化汽車風潮而越來越複雜的軟體系統架構，方便在汽車中管理及部署。這是汽車產業迎來第二次的軟體化變革。 不只是容器，未來更多雲原生技術將走進汽車 傳統汽車體質也因為這波新變革而有不一樣的改變，讓車廠更容易在汽車內採用雲原生，來支援對於汽車應用程式進行快速更新迭代、移轉或部署，不只增強敏捷性，還能提高員工生產力和縮短應用交付的時間。這些雲原生技術，將成為加速推動汽車軟體化發展另一個重要關鍵。 其實近兩年，不少大型車廠早就導入雲原生技術，運用容器、Kubernetes容器調度管理工具與微服務對汽車軟體開發流程進行現代化工程改造，並結合DevOps與CI/CD測試部署自動化，藉此來縮短軟體開發周期，以便更快推出新功能，包括福斯、賓士、福特、通用等，都已經實際採用。 不過，現階段想要在汽車上使用Kubernetes來管理汽車容器化應用，還是有困難，但為了管理這些汽車容器化應用，就需要有一個能管理汽車中多支容器的管理工具，為此，也有IT廠商試圖尋找替代方案。例如，紅帽就打算以Podman來取代Kubernetes，用來管理汽車內部多容器應用程式。 Podman同樣也是容器管理工具，但與採用多節點叢集架構的Kubernetes相比，Podman更加輕量，不需要處理多臺Pod主機叢集的網路連接、複雜的節點關係，因此就很適合在資源有限的汽車嵌入式環境中使用。 原本Kubernetes使用YAML檔來描述工作負載，包括containers和pods，來減少管理的複雜度，因為Podman同樣支援Kubernetes YAML檔，當以Podman搭配systemd使用時可以支援Kubernetes應用描述，這意謂著，可以在車輛中使用與雲端相同的Kubernetes宣告或描述，使用YAML來管理在單個節點上的多個汽車容器應用，而沒有Kubernetes本身多節點叢集管理負擔和複雜性。 從容器調度工具開始有了汽車專用版本的發展來看，也透露出，以後汽車環境不會只有單一容器，而是一個多容器的應用環境。甚至更進一步，還能發展成微服務架構。 嵌入式處理器設計大廠Arm也看好雲原生將成為軟體化汽車更進一步發展所必備的關鍵技術。從Arm所揭露一張汽車軟體化發展架構圖也反應出這個趨勢。未來汽車內部軟體堆疊架構，將從傳統服務導向SOA架構，逐步轉向微服務架構的過程，在這個新架構下，以後汽車內部軟體應用程式將全部變成一支支微服務程式，來取代傳統單體式設計的應用程式。甚至更進一步，未來微服務架構還要能夠支援混合關鍵性任務（mixed critically）調度需求，以便符合車規即時處理和功能性安全的要求。 對於汽車軟體化發展而言，拆分微服務顆粒度的好處是，可以將單一應用程式分拆成多個小型功能的微服務，因此更能應對經常變動的汽車應用程式的環境所需。並透過API讓不同微服務能夠彼此溝通和相互串聯來提供汽車服務。福斯目前也正在嘗試把這項技術運用在汽車上，未來還要透過API，讓開發者可以很容易取得汽車功能相關數據進行應用開發。 當車廠開始把更多雲原生帶進汽車，以雲原生技術打造汽車基礎架構，就像現在許多大型企業資料中心都是雲原生資料中心，大力擁抱基礎架構程式碼化（Infrastructure as Code），使用軟體的方法管理資料中心的設計、硬體架構和維運。汽車也就像是一個裝輪子的雲原生資料中心，讓汽車基礎架構應用開發、部署與維運，都可以透過自動化方式來執行時，汽車將不只是容器化汽車，更是一輛雲原生汽車。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-%20Arm%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Arm.png" style="width: 600px;" /> 從嵌入式處理器設計大廠Arm所揭露一張汽車軟體化發展架構圖能看見，未來汽車內部軟體堆疊架構，將從傳統服務導向SOA架構，逐步轉向微服務架構的過程。在這個新架構下，以後汽車內部軟體應用程式將變成一支支微服務程式，來取代傳統單體式設計的應用程式。甚至更進一步，未來微服務架構還要能夠支援混合關鍵性任務（mixed critically）調度需求，以便符合車規即時處理和功能性安全的要求。圖片來源／Arm 大型開源社群力推SDV風潮，也加快汽車軟體容器化推動 過去2年來，軟體定義汽車（Software Defined Vehicle,SDV）或軟體化汽車風潮迅速竄起，不只是傳統大型車廠積極投入，如福斯、通用、福特、賓士等，更有不少IT廠商、大型公雲業者搶進，就連大型開源社群都大力支持。 去年3月，旗下有許多知名物聯網專案的Eclipse開源軟體基金會，成立了一個新的SDV工作小組，這也是第一個由大型開源軟體社群所成立的SDV專案計畫。該小組任務是要為軟體定義汽車打造一個程式優先的開源平臺，目的是要徹底改變汽車產業傳統軟體開發方式，因此初期工作項目，包括建立車載應用runtime堆疊、雲端汽車OS與整合開發工具鏈，讓汽車製造商和供應商可以安全可靠的方式部署、配置和監控車輛軟體，也提供跨不同車型、車廠車載軟體開發所用。初期成員有微軟、ZF、Arm、Bosch、紅帽、ETAS等，一年後成員數增加到30多家，日本汽車大廠豐田也加入。 其實，早在Eclipse SDV成立前，就已經有相關SDV開源專案推出，其中又以紅帽主導的CentOS Automotive SIG為代表，不只要建立與汽車相關開源軟體，更要改造CentOS發展汽車Linux，作為車廠打造新車載OS的參考設計與概念驗證。 CentOS Automotive SIG成立不到一個月，另一家嵌入式處理器設計大廠Arm也力推SOAFEE新架構，這是一個可擴充嵌入式邊緣軟體框架，Arm希望藉由SOAFEE架構，將雲原生技術導入車用領域，加速推動SDV發展，包括自動駕駛、先進駕駛輔助系統（ADAS）等，讓汽車業者更容易開發能在Arm裝置執行的混合關鍵型應用。目前已有第一個版本釋出。截至去年底參與該專案成員超過50家，涵蓋半導體晶片廠商、軟體供應商、系統整合商、雲端服務供應商、車廠與Tier1汽車供應商等。 就連知名代工大廠鴻海，也瞄準軟體化汽車的商機，在2年前成立MIH開放電動車聯盟，在鴻海號召下，成立一年就有超過2千家業者加入，希望藉由打造開放汽車硬體框架打破傳統封閉的汽車開發環境，讓不只傳統車廠，其他行業都能加入，進而推動汽車產業的變革。期間還釋出了電動車開發者工具平臺EV Kit，能提供純電動車整車設計軟體介面及硬體規格。至今更以此架構推出三輛不同等級的電動車。 透過引進這些開源軟體與社群的力量，未來將會有許多開源工具、軟體套件提供，搭配開放式硬體架構，將有助於未來汽車軟體容器化加速發展。 </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/news/155746
【資安日報】3月3日，中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國駭客的攻擊行動最近再度傳出，其中最值得注意的是駭客組織TA416的攻擊行動，而且臺灣首當其衝──該組織已對一個臺灣政府機關下手。 另一個惡名昭彰的駭客組織APT41，則是針對材料公司下手竊取專利技術的情況，引起研究人員關注。 SIM卡挾持（SIM Swapping）攻擊為何如此氾濫？很有可能是駭客極為容易取得所需的資料促成。有資安新聞網站指出，3個專門從事這類攻擊的駭客組織，在去年就入侵美國電信業者T-Mobile超過100次。 <h3>【攻擊與威脅】</h3> <a href="https://www.welivesecurity.com/2023/03/02/mqsttang-mustang-panda-latest-backdoor-treads-new-ground-qt-mqtt/">中國駭客TA416利用MQTT通訊協定遠端控制受害電腦，主要目標是臺灣的政府機關</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-graph-showing-the-subprocesses-and-executed-tasks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-graph-showing-the-subprocesses-and-executed-tasks.png" style="width: 300px; float: right;" /></a>資安業者ESET發現中國駭客組織TA416（亦稱Mustang Panda）新的攻擊手法，這些駭客自2023年1月，運用名為MQsTTang的後門程式，透過釣魚郵件發動攻擊，他們假借提供外交使團成員的護照，或是向大使館進行照會為名義，在RAR壓縮檔挾帶MQsTTang。此後門程式的獨特之處在於。與C2伺服器通訊過程採用了MQTT通訊協定，而有可能讓攻擊者的基礎設施更難被找到。 研究人員表示，這起攻擊行動主要是針對臺灣某個政府機關而來，但根據駭客使用的誘餌檔案名稱，他們研判亞洲及歐洲的政府機關也可能是目標。 <a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackfly-espionage-materials">中國駭客組織APT41鎖定亞洲材料業者下手</a> 資安業者賽門鐵克揭露中國駭客組織APT41的攻擊行動，駭客約於2022年底至2023年初，鎖定一家亞洲集團從事材料與復合材料的兩家子公司，利用後門程式Winnkit、帳密匯出工具Mimikatz等多種工具作案，進行撈取帳密資料、截取螢幕畫面、注入Shell Code、查詢SQL資料庫等行為，目的可能是竊取智慧財產。 這種針對材料產業而來的攻擊行動並非首例，日前有名為Clasiopa的駭客組織，利用木馬程式Atharvan RAT、Lilith RAT變種，以及駭客工具Thumbsender進行竊密。 <a href="https://krebsonsecurity.com/2023/02/hackers-claim-they-breached-t-mobile-more-than-100-times-in-2022/">駭客聲稱在2022年入侵電信業者T-Mobile超過100次</a> <a href="https://s4.itho.me/sites/default/files/images/tmodates.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tmodates.png" style="width: 300px; float: right;" /></a> 根據資安新聞網站Krebs on Security的報導，有研究人員針對3個駭客組織Telegram頻道的對話內容進行分析，結果發現這些駭客在2022年5月中旬到年底，對美國電信業者T-Mobile攻擊超過100次，他們藉由誘騙該公司的員工，進而取得內部工具，竊取用戶資料以便進行SIM卡挾持（SIM Swapping）攻擊。 該新聞網站指出，上述駭客組織雖然也會竊取AT&T、Verizon的用戶資料並兜售，但相較於從T-Mobile竊得的資料介於1,000至1,500美元，來自上述兩家電信業者的資料價格通常開價高出一倍。 此外，其中一組駭客於10月下旬發現，原本的手法很可能因T-Mobile採取新的管制措施而受到限制，導致他們竊得的員工存取權限很快就失效。對此，T-Mobile拒絕回應採取那些措施強化資安。 <a href="https://www.esentire.com/blog/hackers-attack-employees-from-six-law-firms-with-the-gootloader-and-socgholish-malware-using-fake-legal-agreements-and-malicious-watering-hole-s-reports-esentire">法律事務所員工遭到水坑式攻擊，駭客企圖散布惡意軟體GootLoader和SocGholish</a> <a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2023-02-27-at-12_10_51-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2023-02-27-at-12_10_51-PM.png" style="width: 300px; float: right;" /></a>資安業者eSentire發現針對6家法律事務所的惡意軟體攻擊行動，其中一種是利用搜尋引擎最佳化污染（SEO Poisoning）手法，鎖定尋找業務相關文件檔案的使用者下手，企圖透過偷渡式下載（Drive-by Download）於受害電腦投放JavaScript惡意軟體。在攻擊行動裡，駭客也入侵WordPress網站並植入新的文章，來誘騙這些法律事務所的員工，一旦使用者依照指示下載檔案，電腦就有可能被植入惡意程式GootLoader 。 其中，也有部分攻擊行動駭客使用名為SocGholish的惡意軟體──他們先是破壞美國佛羅里達州一家公證人事務所的網站，藉由水坑式攻擊吸引使用者上當，駭客在網頁上加入彈出式訊息，表示使用者的需要更新Chrome瀏覽器，然而若是依照指示下載、安裝，電腦就會被部署SocGholish。 <a href="https://www.uptycs.com/blog/cryptocurrency-entities-at-risk-threat-actor-uses-parallax-rat-for-infiltration">木馬程式Parallax RAT鎖定加密貨幣業者而來</a> <a href="https://s4.itho.me/sites/default/files/images/ParallaxRAT Workflow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ParallaxRAT%20Workflow.jpg" style="width: 300px; float: right;" /></a>資安業者Uptycs揭露鎖定加密貨幣業者的攻擊行動，駭客透過釣魚郵件散布木馬程式Parallax RAT，先是執行以Visual C++打造的惡意酬載，然後透過處理程序挖空（Process Hollowing）手法，將Parallax RAT注入微軟Tablet PC元件pipanel.exe來執行，進而於受害電腦收集系統資訊，或是側錄鍵盤輸入的內容，甚至能進行遠端控制受害電腦。 值得一提的是，一旦成功植入上述木馬程式，攻擊者將會收到通知，他們也利用記事本軟體（Notepad）和受害者互動，要求使用Telegram頻道來對話，但這麼做的目的是什麼？研究人員沒有說明。 <a href="https://www.trendmicro.com/en_us/research/23/c/iron-tiger-sysupdate-adds-linux-targeting.html">駭客組織Iron Tiger鎖定Windows、Linux電腦而來，接下來Mac電腦也可能是目標</a> <a href="https://s4.itho.me/sites/default/files/images/figure1-iron-tiger-sysupdate-reappears-adds-linux-targeting.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-iron-tiger-sysupdate-reappears-adds-linux-targeting.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技公布駭客組織Iron Tiger（亦稱APT27）近期的攻擊行動。在其中一起事故裡，駭客針對菲律賓賭博業者下手，並使用與受害公司雷同的網域名稱來架設C2伺服器，攻擊者透過即時通訊軟體作為誘餌，結果有員工依照指示下載初期的惡意酬載，該酬載一旦執行，就會透過Microsoft Resource Compiler（rc.exe），進而利用DLL側載的手法執行Shell Code，接著在電腦重新開機後執行惡意軟體SysUpdate。 在針對Windows電腦之餘，該組織也開始鎖定Linux主機發動攻擊，他們在2022年7月首度測試Linux版惡意程式，並在10月用於攻擊行動。研究人員分析後，發現此版本的加密金鑰與檔案處理方式與Windows版本雷同，但不同的是，Linux具備DNS隧道（DNS Tunneling）功能，而使得該惡意軟體的行蹤更加隱密。 根據駭客採用Asio程式庫開發Linux版惡意程式，而可能較為容易跨平臺移植的情況，研究人員推測駭客很快就會將Mac電腦納入攻擊範圍。 <a href="https://techcrunch.com/2023/03/02/hatch-bank-breach-fortra-goanywhere-exploit/">又有GoAnywhere系統遭駭的組織出現！Fintech業者Hatch Bank近14萬客戶資料外洩</a> 根據科技新聞網站TechCrunch的報導，金融科技（Fintech）業者Hatch Bank向主管機關通報資料外洩事故，起因是駭客鎖定他們部署的MFT系統GoAnywhere漏洞下手，在1月30日至31日未經授權存取存取他們的帳號資料，導致139,493名客戶資料外洩，而入侵管道很有可能就是零時差漏洞CVE-2023-0669，他們在2月3日接獲系統開發商的通知，確認資料遭到異常存取。 因上述MFT系統漏洞遭到攻擊Hatch Bank並非首例，美國醫療系統Community Health Systems於2月中旬通報資料外洩事故，導火線就是上述的GoAnywhere漏洞。 <h3>【漏洞與修補】</h3> <a href="https://kb.cert.org/vuls/id/782720">TPM 2.0被挖出資安漏洞，有可能因此外洩裝置機密資訊</a> Quarks Lab研究人員根據參考程式碼，發現信賴平臺模組（TPM）2.0的漏洞CVE-2023-1017、CVE-2023-1018，有可能造成裝置機密資料外洩，或是讓駭客提升權限執行惡意程式碼。這些漏洞出現在CryptParameterDecryption()函式，與記憶體越界寫入及讀取有關，具備基本權限的攻擊者，可藉由傳送含有加密參數的惡意指令，對存在漏洞的韌體下手。 美國電腦緊急應變小組（CERT/CC）指出，在某些情況下，攻擊者有機會覆寫TPM韌體裡受到保護的資料，而且，由於這樣的弱點出現在TPM層面，使得電腦的防毒軟體也無法偵測相關攻擊行動。Red Hat指出，這兩個漏洞CVSS風險評分為7.7分及5.5分。 <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ip-phone-cmd-inj-KMFynVcP">思科修補網路電話的命令注入漏洞</a> 3月1日思科發布資安通告，修補旗下網路電話系統的重大漏洞CVE-2023-20078，此漏洞存在於網頁管理介面，起因是對於使用者輸入的內容驗證不足，而衍生的命令注入弱點，攻擊者一旦利用，就有可能在未經身分驗證的情況下，遠端執行任意程式碼，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8分，影響IP Phone 6800、7800、8800系列網路電話系統。 另一個思科修補的漏洞是CVE-2023-20079，也與網頁管理介面對於使用者輸入的內容驗證不足有關，CVSS風險評分為7.5分，影響IP Phone 6800、7800、7900、8800、8831系列，但值得留意的是，7900與8831系列已達生命週期結束（EOL）狀態，思科不會提供新版韌體。 <h3>【資安產業動態】</h3> <a href="https://www.first.org/members/teams/tsmc-circ">台積電加入FIRST國際資安應變組織，成國內第二家高科技製造業會員</a> 根據FIRST國際資安應變組織的最新消息，國內半導體產業龍頭台積電的TSMC-CIRC在2月24日加入成為會員，而成為群創光電之後，國內第二家入會的高科技製造業會員。 同日，資安新創微智安聯的ShieldX PSIRT也加入FIRST。在此之前，我國已有幾家資安業者成為會員，包括早年就加入的趨勢科技，以及3年前加入的奧義智慧。截至2月底，臺灣會員增至14個，而國際間共有683個組織與企業參與。 <h3>【資安防禦措施】</h3> <a href="https://www.first.org/blog/20230228-DNS_Abuse_Techniques_Matrix">國際資安應變組織FIRST發布DNS濫用技術矩陣</a> FIRST國際資安應變組織的DNS濫用工作小組在2月28日發布了「DNS濫用技術矩陣（DNS Abuse Techniques Matrix）」的文件，目的希望幫助事件應變人員與安全團隊在應對DNS濫用事件時，快速找到相關建議資訊。該工作小組表示，這份文件主要關注DNS濫用技巧，總共歸納出21種濫用技術，並依據偵測、減緩與防禦這三大行動面向，分成三個矩陣表單來一一說明。 舉例來說，在涉及DNS快取污染（DNS Cache Poisoning）的事件中，團隊可以透過緩解矩陣的表單，查看DNS快取污染有關的內容，找出可能有所關連的利益關係者來共同緩解資安事件。 <a href="https://www.cisa.gov/cisa-director-easterly-remarks-carnegie-mellon-university">CISA局長提出警告，一旦中國對臺灣動武，也有可能同時對西方國家展開大規模網路攻擊</a> 美中臺之間持續處於政治緊繃狀態，臺灣的網路安全若出現重大危機，美國也無法置身事外。美國網路安全暨基礎設施安全局（CISA）局長Jen Easterly於卡內基美隆大學發表演說中提到，有鑑於烏克蘭戰爭當中，援助烏克蘭的歐美國家成為俄羅斯駭客鎖定的目標，她認為美國與盟友也要針對中國做好準備，以防該國攻擊臺灣的時候，中國駭客也會針對美國多個關鍵基礎設施（CI）下手的情形，這些包含了天然氣管線、供水系統、電信系統、交通系統等，駭客的用意是製造恐慌，並動搖美國民眾的意志，達到阻止美國調度軍事資源聲援臺灣的目的。 <h3>【其他資安新聞】</h3> <a href="https://therecord.media/indigo-book-seller-employee-data-ransomware-attack/">加拿大書店Indigo遭勒索軟體攻擊，員工資料外洩</a> <a href="https://www.bleepingcomputer.com/news/security/british-retail-chain-wh-smith-says-data-stolen-in-cyberattack/">英國連鎖超市WH Smith傳出資料外洩</a> <a href="https://www.hackread.com/video-marketing-software-animker-data-leak/">影片行銷軟體Animker洩露用戶個資</a> <a href="https://oag.ca.gov/system/files/2023-03-02%20-%20CFA%20-%20Individual%20Notification%20Template.pdf">美國速食店Chick-fil-A證實遭到帳號填充攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a> <a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a> <a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a> </div></div></div>
2023/3/3 16:31作者周峻佑https://www.ithome.com.tw/news/155764
IBM大型主機作業系統z/OS將擁抱AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> IBM預計在2023年第三季推出<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/9/897/ENUSC23-009/index.html">大型主機作業系統更新z/OS 3.1</a>，該版本的更新重點之一，便是要在作業系統融合人工智慧和資料分析解決方案，使得z/OS應用也能獲得智慧自動化與大規模加速推理功能。IBM打算於z/OS 3的混合雲架構中整合人工智慧，而3.1便是這個目標的第一個版本。 z/OS 3.1將會支援人工智慧框架，使企業能最佳化IT處理、提高系統效能甚至是降低使用技能，同時，新版本也預計會支援人工智慧解決方案，企業用戶將能夠共同部署z/OS 和人工智慧解決方案，使得在z/OS上執行的應用程式能夠獲得低延遲人工智慧功能。 z/OS 3.1的工作量管理程式（WLM）也會獲得人工智慧加持，使其有能力預測即將發生的批次處理工作負載，並且採取相對應措施最佳化系統資源。另外，新的IBM SMF Explorer結合新興資料科學常用工具Python和Jupyter Notebooks，供用戶以簡單並更加現代化的方法，存取分析系統管理設施（SMF）資料。 除了預計要在z/OS加入的人工智慧功能更新，IBM也希望z/OS能夠進一步支援企業的混合雲策略，因此加入z/OS容器擴充（zCX），強化在IBM zSystems的zCX環境中，所執行的容器化Linux工作負載效能和安全性，還強化程式語言COBOL和Java的互通性。IBM也透過使用ICSF和RACF資料庫加密技術，增強z/OS的安全性。 IBM近期著手推動大型主機工作負載現代化，在2022年2月宣布將z/OS開發環境搬遷上雲，在其公有雲服務IBM Cloud提供Wazi即服務（Wazi aaS），供企業在公有雲開發環境開發和測試軟體，以大幅縮短z/OS程式的開發測試時程。另外，IBM也在2022年3月，推出Z主機應用現代化工具，協助Z主機用戶建構雲端應用程式。 </div></div></div>
2023/3/3 16:05作者李建興https://www.ithome.com.tw/news/155762
最新Google Chrome可讓MacBook不插電用更久，未來將推向Android、Windows版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google Chrome向來以耗電聞名，不過Google在近日最新macOS版Chrome做了調整，<a href="https://blog.chromium.org/2023/02/do-more-with-chrome-on-single-charge-on.html" target="_blank">宣稱可讓較舊的MacBook也能上網和看YouTube更長時間</a>。Google也計畫未來推向Android、Windows及Linux版Chrome。 Google指出，<a href="https://chromereleases.googleblog.com/2023/02/stable-channel-desktop-update_14.html" target="_blank">2月間釋出穩定版的macOS版Chrome 110.0.5481.100</a>，可讓MacBook充飽一次電使用更長時間。根據其測試，搭載M2晶片的13吋MacBook Pro用戶可連續上網17小時，或看YouTube 18小時。若配合使用Chrome的節能（Energy Saver）模式，則還能再延長30分鐘。 Google也說明Chrome達成上述省電結果的祕訣。方法包括微調iframes、調整Javascript計時器、簡化資料結構，以及去除不必要的自動刷新。首先，由於許多iframes存在很短時間，頻繁建立及刪除iframe相當耗電，因此Chrome團隊對剛建立的iframe微調了garbage collection及記憶體壓縮演算法，有助於降低短期記憶體使用，進而減少耗能，又不影響長期記憶體使用。其次，Javascript倒數計時器沿用已久，雖然現在已經有效率更高的API，但網頁開發人員還是大量使用這類計時器，也成為耗電元兇。Google工程人員已調整了Javascript倒數計時器在Chrome中執行的作法，也發現可在不必要取消Javascript內在計時器的方法，可較少喚醒CPU，更有助於節能。 其次，Google也從資料結構下手，優化具同樣鍵值（key）的資料存取模式。最後，Google經過調查，發現名為文件物件模型（document object model，DOM）的變更模式不會影響螢幕像素，並修改Chrome使其得以偵測並繞過不必要的網頁格式（style）、排版、色彩、光柵（raster）及GPU動作，並把最佳化結果實作到ChromeUI中，達到減少刷新網頁、耗用電量的目的。 <a href="https://www.theverge.com/2023/2/28/23618229/google-chrome-macbook-battery-power-efficiency-boost-update" target="_blank">Google向媒體證實</a>，這項最新節能技術也會加入到未來Windows、Linux及Android版Chrome上。 </div></div></div>
2023/3/2 14:15作者林妍溱https://www.ithome.com.tw/news/155728
微軟釋出第一個.NET 8預覽版，改進AOT編譯效率、強化Linux支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-8-preview-1/">微軟釋出.NET 8第一個預覽版</a>，這個版本將是下一個.NET長期支援版本，預計會在11月的.NET大會上正式發表。.NET 8第一個預覽版使得NativeAOT編譯更高效率，提升雲端開發體驗，並且改進Linux支援。 微軟針對控制臺應用程式，在.NET 7中加入NativeAOT，微軟提到，AOT（Ahead-of-Time）編譯是.NET的一個重要功能，因為可以大幅提升.NET應用程式的效能。開發者可以使用NativeAOT創建完全自包含的應用程式版本，如此應用程式就不需要使用獨立的Runtime，所有需要的元件都包含在單一檔案中，這個檔案的大小在.NET 8縮減，Linux版本的大小甚至可以較之前減少達50％。 以Hello, World應用程式為例，.NET 7的NativeAOT自包含應用程式，Linux x64版本為3.76 MB，而Windows x64為2.85 MB，在.NET 8第一預覽版的大小分別為1.84 MB和1.77 MB。 微軟發展.NET的目標之一，是要成為更為友善的雲端開發平臺和工具，為此.NET 8也改進了容器映像檔體驗。.NET讓開發人員可以使用容器映像檔，以輕量級且可移植的格式打包應用程式，方便將應用程式部署到雲中。 在.NET 8第一預覽版中，容器預設Linux發行版更新為Debian 12，並且使用非根用戶執行容器映像檔，微軟提到，雖然容器基礎映像檔幾乎都是配置成以根用戶執行，不過該配置通常被沿用到生產中，並非是個好方法，但是要對每一個應用程式配置不同的使用者又很麻煩，而且容器映像檔並沒有提供適合容器工作負載的非根用戶。 因此微軟在.NET 8的新作法，預設對所有容器映像檔以非根使用者執行，以提高安全性，並將預設連接埠從80改變成為8080。 微軟也在.NET 8強化對Linux的支援，開發者現在可以在Linux上，直接從dotnet/dotnet儲存庫中建置.NET，這與紅帽（Red Hat）和Canonical用來建置.NET的方法一樣，使用dotnet/source-build來建置.NET Runtime、工具和SDK，微軟之後還會支援MacOS和Windows。 微軟提到，過去Linux雖然也可以從原始碼建置.NET，但是需要從dotnet/installer的提交中創建一個原始碼壓縮檔案，來對應每一個版本，但現在已經不需要如此，儲存庫中就有每一個版本相對應的標籤。 微軟也發布了帶有.NET 8的小型同捆映像檔Chiseled Ubuntu，這個版本Ubuntu檔案容量非常小，能夠大幅減少攻擊面，且沒有套件管理器和shell，且使用非根使用者權限，因此能夠減少多種類型的攻擊。 </div></div></div>
2023/2/24 11:09作者李建興https://www.ithome.com.tw/news/155655