iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月7日，韓國Linux主機遭到惡意程式Reptile鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 鎖定Linux主機而來的惡意程式攻擊，近期出現顯著增加的現象，例如，上週末資安業者AhnLab針對惡意軟體Reptile的攻擊行動，就特別提出警告，並指出這款惡意程式的可怕之處，在於結合Rootkit及反向Shell的特性，駭客可將其當作後門運用。 駭客偏好利用已知漏洞發動攻擊，早已成為資安威脅常態，最近五眼聯盟公布2022年最常遭利用的漏洞，當中最受到關注的，是Fortinet設備的SSL VPN漏洞CVE-2018-13379，該漏洞自揭露以來，已連續4年名列榜中。 勒索軟體對於醫療體系的發動攻擊，也相當值得留意。最近醫療保健系統Prospect Medical Holdings傳出遭遇這類攻擊，而導致旗下的醫療機構運作受到衝擊，許多醫護人員被迫使用紙本整理病歷。這起事故也引起美國政府重視。 <h3>【攻擊與威脅】</h3> <a href="https://asec.ahnlab.com/en/55785/">韓國Linux主機遭到鎖定，駭客企圖植入名為Reptile的Rootkit</a> <a href="https://s4.itho.me/sites/default/files/images/Reptile-47.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Reptile-47.png" style="width: 300px; float: right;" /></a>資安業者AhnLab提出警告，名為Reptile的Rootkit工具被用於攻擊韓國Linux主機，其特色是具備反向Shell的功能，使得攻擊者能輕鬆控制受害電腦。 研究人員在其中一起攻擊行動裡，根據惡意程式部署的路徑及資料夾名稱，發現駭客所使用的戰術與另一款惡意程式Mélofée有些雷同；再者，則是駭客在Reptile當中，同時運用了惡意程式ISH，這是透過ICMP協定連線的Shell程式，有別於一般的反向Shell採用TCP或HTTP通訊協定，駭客這麼做的目的，很有可能是為了迴避針對上述通訊協定的網路流量檢查。 <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a">五眼聯盟公布2022年最常被利用的漏洞，Fortinet SSL VPN、微軟Exchange漏洞上榜</a> 美國、澳洲、加拿大、紐西蘭、英國等5個國家聯手，公布2022年最常被利用的12個漏洞，其中最「資深」的漏洞是CVE-2018-13379，該漏洞存在於防火牆作業系統FortiOS、上網安全閘道FortiProxy，從2019年至2022年都是駭客愛用的漏洞之一，五眼聯盟認為，該漏洞能連續4年入榜，主要原因是許多組織尚未修補所致。 該名單列入的漏洞名單裡，還有Exchange漏洞ProxyShell（CVE-2021-34473、CVE-2021-31207、CVE-2021-34523）、Log4j程式庫漏洞Log4Shell（CVE-2021-44228）、微軟支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190）、DevOps協作平臺Atlassian Confluence的CVE-2021-26084及CVE-2022-26134、VMware Workspace ONE Access的CVE-2022-22954、 CVE-2022-22960，以及F5 BIG-IP的CVE-2022-1388。 勒索軟體破壞Prospect Medical Holdings醫療體系的資訊系統，部分醫院改以紙本作業、暫停急診業務 根據美聯社、NBC News、紐約時報等多家媒體報導，醫療保健系統Prospect Medical Holdings傳出遭到勒索軟體攻擊，波及旗下部分醫療機構的IT系統，傳出有些被迫暫停收治急診病人，亦有暫停抽血、醫療影像拍攝，或是採用紙本作業的情況。 該醫療集團旗下的Eastern Connecticut Health Network發言人Nina Kruse最早向媒體證實此事，該集團察覺勒索軟體攻擊後，於8月1日將美國境內的電腦系統離線，目前醫生與護理人員使用紙筆製作病歷。Prospect Medical Holdings並未透露事件的進一步資訊，也沒揭露受害規模。美國國家安全委員會發言人Adrienne Watson表示，白宮正在監控這起資安事件的後續處理情形。 資料來源 1. <a href="https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212">https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf</a> 3. <a href="https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html">https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html</a> <a href="https://blog.sonatype.com/malicious-pypi-package-vmconnect-imitates-vmware-vsphere-connector-module">惡意PyPI套件假冒VMware vSphere連接器元件散布</a> 資安業者Sonatype揭露新一波的惡意PyPI套件攻擊行動PaperPin，駭客假借提供VMware vSphere連接器模組vConnector的名義，在7月28日上傳名為VMConnect的套件，截至下架之前已被下載了237次。研究人員後來也發現另外2個與VMConnect程式碼相同的惡意套件，它們名為ether、quantiumbase，兩者也分別被下載了251、212次。 值得留意的是，這些冒牌套件的說明都很完整，駭客甚至建立對應的GitHub儲存庫，而難以分辨真假。研究解析惡意套件的程式碼，發現一旦開發人員依照指示安裝，開發環境的電腦就有可能每分鐘向外部IP位址發送訊號，下載、執行惡意程式。 <img alt="" src="https://s4.itho.me/sites/default/files/images/VMConnect.png" style="width: 580px;" /> <a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/">惡意軟體DecoyDog濫用DNS與C2進行通訊</a> <a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png" style="width: 300px; float: right;" /></a>資安業者Infoblox對於他們4月揭露的DNS惡意軟體Decoy Dog進一步調查，結果發現，約在2022年3月下旬至4月初，駭客的基礎設施就開始運作，迄今至少有4組駭客在利用此惡意軟體發動攻擊，範圍主要為俄羅斯與東歐。 研究人員比對另一款DNS惡意軟體Pupy，認為Decoy Dog就是Pupy的大改版，兩者的共通之處在於，通訊過程會產生隨機亂數，用來識別受害電腦建立的連線，並對於訊息進行工作排程。但相較於Pupy，新的DNS惡意軟體改善了記憶體內的運作方式，以及對於Windows作業系統的相容性，並納入了多項新的通訊模組，能對於DNS查詢的重放進行回應，此外，攻擊者可透過Decoy Dog注入任意的Java程式碼，進而在受害電腦持續進行攻擊行動。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/new-papercut-critical-bug-exposes-unpatched-servers-to-rce-attacks/">列印管理系統PaperCut修補重大漏洞</a> 資安業者Horizon3在列印管理系統PaperCut發現路徑穿越漏洞CVE-2023-39143，一旦遭到利用，攻擊者可讀取、刪除、上傳任意檔案至目標系統，其手法複雜程度極低，且無須使用者互動，CVSS風險評為7.4分，上述弱點存在於22.1.1版以前的版本，影響在Windows作業系統執行的PaperCut NG（或MF）伺服器。 研究人員指出，這項漏洞影響啟用外部裝置整合功能的伺服器，而該功能在PaperCut NG商業版、PaperCut MF為預設開啟。對此，PaperCut發布了7月更新予以修補。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.papercut.com/kb/Main/securitybulletinjuly2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.papercut.com/kb/Main/securitybulletinjuly2023/</a> 工業路由器Milesight UR32L存在重大漏洞，可被用於執行任意程式碼 思科旗下的Talos威脅情報團隊針對惡意軟體VPNFilter的攻擊行動，調查多個廠牌的路由器，結果發現，工業用路由器Milesight UR32L，以及該廠商提供的VPN服務MilesightVPN，存在69個CVE漏洞（路由器63個、VPN服務6個），研究人員指出，雖然上述VPN服務就是為了讓UR32L減少在網際網路上曝露的機會，但攻擊者可利用VPN軟體的身分驗證繞過漏洞CVE-2023-22319（CVSS風險評分為7.3），然後透過CVE-2023-23902（CVSS風險評為9.8分）在路由器上執行任意程式碼。 值得留意的是，研究人員在今年2月通報上述漏洞，但Milesight迄今尚未發布修補程式。對此，該公司向資安新聞網站SecurityWeek進行說明，表示他們正在製作新版韌體，並與Talos進行相關測試。 資料來源 1. <a href="https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/">https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/</a> <a href="https://www.vectra.ai/blogpost/microsoft-cross-tenant-synchronization">Entra ID跨租戶同步功能有可能被用於橫向移動</a> 微軟於今年6月針對Azure AD（現更名Microsoft Entra ID）推出跨租戶同步（Cross-Tenant Synchronization，CTS）功能，但現在有研究人員發現，駭客很可能將其用於攻擊行動。資安業者Vectra發現，若是在攻擊者能夠存取Azure AD特權帳號的情況下，可透過對外同步（Outbound Sync）找尋攻擊目標，並利用CTS的同步功能竄改其組態配置，進而存取受到同步的租戶，而能夠在不需收集其他使用者帳密的情況下，達到橫向移動的目的。 而在另一種濫用CTS的手法當中，研究人員藉由部署新政策，啟用對內同步（Inbound Sync）、自動使用者同意（Automatic User Consent）功能，進而能隨時透過外部帳號來存取目標租戶，值得留意的是，就算惡意帳號遭到刪除，攻擊者還是可以重新建立、推送新使用者帳號，對此，研究人員認為其危害如同後門程式。 <h3>【其他新聞】</h3> <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊細節</a> <a href="http://www.blackhat.com/us-23/briefings/schedule/#jailbreaking-an-electric-vehicle-in--or-what-it-means-to-hotwire-teslas-x-based-seat-heater-33049">研究人員發現特斯拉車載系統有可能被破解並解鎖付費功能</a> <a href="https://blog.phylum.io/targeted-npm-malware-attempts-to-steal-developers-source-code-and-secrets/">駭客透過惡意NPM套件，鎖定加密貨幣用戶散布竊資軟體，目的是竊取組織的原始碼及機密資料</a> <a href="https://www.bleepingcomputer.com/news/security/us-govt-contractor-serco-discloses-data-breach-after-moveit-attacks/">美國政府承包商Serco證實遭到MOVEit Transfer零時差攻擊</a> <a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-now-uses-torrents-to-leak-data-and-evade-takedowns/">勒索軟體駭客Clop透過Torrent洩露竊得資料</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a> <a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a> <a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a> </div></div></div>
2023/8/7 17:18作者周峻佑https://www.ithome.com.tw/news/158162
【資安日報】8月4日，駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。 雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。 已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。 <h3>【攻擊與威脅】</h3> <a href="https://labs.guard.io/phishforce-vulnerability-uncovered-in-salesforces-email-services-exploited-for-phishing-32024ad4b5fa">Salesforce零時差漏洞被用於臉書網釣攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露雲端CRM平臺Salesforce的漏洞PhishForce，駭客藉此漏洞繞過該CRM平臺的寄件人驗證措施，並濫用臉書內嵌應用程式平臺，來大規模發送釣魚郵件。 研究人員指出，駭客濫用了Email-to-Case的功能，該功能主要是讓組織能將客戶寄入的電子信件轉換為Salesfoce系統傳遞的處理工單，但駭客將其用來設置新的工作流程，進而控制Salesforce產生的電子郵件信箱，並產生salesforce.com網域的內部信箱，且將其設置為組織全域的電子郵件信箱，然後用於發送釣魚郵件，而能繞過Salesforce的驗證措施，以及組織設置的郵件安全系統。 在其中一起攻擊行動裡，駭客假借Meta的名義，聲稱收信人的臉書帳號出現異常，一旦依照指示點選信中連結，就會被帶往架設在臉書內嵌應用程式平臺（apps.facebook.com）的釣魚網頁。對此，Salesforce獲報後著手修補漏洞，Meta移除釣魚網頁，並著手調查駭客如何濫用該臉書內嵌應用程式平臺。 <a href="https://www.mitiga.io/blog/mitiga-security-advisory-abusing-the-ssm-agent-as-a-remote-access-trojan">雲端服務寄生攻擊出現新手法，AWS EC2系統管理工具System Manager有機可乘，能被當作木馬程式利用</a> 資安業者Mitiga發現針對AWS雲端服務的後漏洞利用攻擊手法，攻擊者一旦濫用該平臺的系統管理代理程式System Manager（SSM），就有可能將其當做RAT木馬程式，且難以被資安系統察覺。 研究人員指出，由於SSM不只能在Amazon EC2上執行，也支援能在其他伺服器或虛擬機器（VM）上運作，首先，他們設置SSM為混合模式來執行，以便進一步將其用於攻擊行動，然後下達bash指令，讓SSM與EC2無關的AWS帳號進行通訊、執行命令。若因無法取得攻擊目標的相關權限而不能挾持SSM，攻擊者可透過執行另一個SSM，來存取目標AWS帳號的EC2環境。 對此，AWS表示，IT人員可透過SSM的VPC端點功能，來限制EC2接收命令的來源；研究人員也建議IT人員在防毒軟體及EDR系統的白名單當中，移除SSM代理程式。 <a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/">俄羅斯駭客利用Teams鎖定政府機關進行網釣攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png" style="width: 300px; float: right;" /></a>微軟揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium）透過協作平臺Teams進行的網路釣魚攻擊，攻擊者先滲透小型企業的Microsoft 365管理員帳號，利用相關權限建立新的子網域，再透過Teams傳送訊息給目標對象，目的是騙取相關的帳密資料。 自今年5月至今，已有接近40個組織遭受攻擊，這些目標涵蓋政府機關、非政府組織（NGO）、IT服務業者、科技業者、製造業、媒體產業。其中一起事故是駭客佯稱提供微軟身分驗證保護服務，一旦使用者接受Teams對話請求，駭客便會以各種方式引誘開啟動態密碼產生器Microsoft Authenticator，並要求依照指示產生動態密碼並提供給駭客，若是使用者照做，對方就能藉由Microsoft Entra ID（原Azure AD）新增裝置，以便進一步長期在受害組織進行後續攻擊行動。 <a href="https://www.bleepingcomputer.com/news/security/over-640-citrix-servers-backdoored-with-web-shells-in-ongoing-attacks/">逾640臺存在重大漏洞的Citrix NetScaler伺服器被部署Web Shell「中國菜刀」</a> 7月下旬Citrix針對旗下的Netscaler ADC、NetScaler Gateway，修補零時差漏洞CVE-2023-3519（CVSS風險評分為9.8），並表示該漏洞已被用於攻擊行動，如今有研究人員公布受害規模。 根據非營利組織Shadowserver基金會的調查，截至7月30日，至少有640臺Netscaler伺服器遭到入侵，駭客得逞後便部署了名為中國菜刀（China Chopper）的Web Shell。研究人員認為，上述的發現遠低於他們認為的受害規模（截至8月2日尚未修補的伺服器數量仍接近1萬臺），並呼籲IT人員應認定尚未修補的伺服器已經遭到攻擊，來進行後續的處置。美國網路安全暨基礎設施安全局（CISA）證實，此漏洞已被用於攻擊該國的關鍵基礎設施（CI）。 <a href="https://www.cleafy.com/cleafy-labs/spynote-continues-to-attack-financial-institutions">惡意軟體SpyNote攻擊歐洲銀行客戶的安卓手機</a> <a href="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot 2023-07-28 at 16_25_50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot%202023-07-28%20at%2016_25_50.png" style="width: 300px; float: right;" /></a>資安業者Cleafy針對安卓間諜軟體SpyNote近期的攻擊行動提出警告，他們在今年6月至7月，看到駭客鎖定歐洲銀行的客戶，發送釣魚簡訊，聲稱使用者必須部署通過驗證的新版銀行應用程式，才能正常使用App。 接著，他們再向使用者發送第2封簡訊，這次是引導使用者從Google Play市集下載TeamViewer QuickSupport，目的是讓攻擊者後續假冒銀行的客服人員向受害者聯繫，並在手機上執行詐欺交易。 有別於其他金融木馬，SpyNote同時具備間諜軟體的功能，不只能收集簡訊、聯絡人名單、側錄聲音及鍵盤輸入的內容、拍下螢幕畫面、利用GPS定位跟蹤用戶的地理位置、繞過雙因素驗證（2FA），還能透過螢幕投影（MediaProjection）API來側錄、傳出螢幕的內容。 <a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/">NPM開源軟體供應鏈攻擊針對銀行產業而來，攻擊者利用NPM套件、在LinkedIn設立假履歷引誘開啟惡意連結</a> <a href="https://s4.itho.me/sites/default/files/images/oss-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/oss-image-5.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露針對銀行業的開源軟體供應鏈攻擊，其中一起約從4月開始，駭客在5日至7日，先上傳了數個NPM套件，並建立LinkedIn個人履歷，以此聯繫受害組織的員工，引誘他們下載前述的NPM套件。 一旦員工依照指示下載並執行安裝，該惡意套件會先偵測受害電腦執行的作業系統，並使用含有銀行名稱的Azure CDN子網域，從遠端下載第二階段惡意程式Havoc Framework，此框架功能類似滲透測試工具Cobalt Strike、Brute Ratel C4、Silver。 研究人員指出，駭客採用Havoc Framework的目的，就是迴避防毒軟體Microsoft Defender，以及Windows內建的安全機制。 <a href="https://thehackernews.com/2023/07/avrecon-botnet-leveraging-compromised.html">入侵家用路由器的殭屍網路AVRecon運作模式細節被揭露，證實駭客以此提供代理伺服器服務牟利</a> 資安業者Lumen揭露Linux惡意軟體AVrecon的攻擊行動，駭客的主要目的，就是占用家用網路的路由器頻寬，並轉賣給他人做為非法的代理伺服器，現在研究人員又有新的發現。 資安新聞網站Krebs On Security、資安業者Spur進行調查，根據AVrecon所使用的C2進行比對，結果發現，這些駭客專門挾持家用路由器，用於經營代理伺服器業務SocksEscort長達12年之久，此業者專門透過SOCKS通訊協定，讓使用者通過代理伺服器。資安業者Lumen表示，駭客在他們揭露AVrecon的隔日（7月13日），便將感染此惡意軟體的路由器連接至新的C2基礎設施。 而對於這些駭客的來歷，Krebs On Security指出，根據他們的調查，SocksEscort與一家位於摩爾多瓦的VPN服務業者有關，該公司在蘋果的App Store及其他市集提供應用程式。威脅情報業者Inte 471指出，這些駭客曾在2009年，以SSC的使用者請求地下論壇測試網站的安全性。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/</a> <a href="https://cofense.com/blog/google-amp-the-newest-of-evasive-phishing-tactic/">Google行動裝置網頁框架AMP遭濫用，駭客用於繞過資安防護發送釣魚信</a> <a href="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png" style="width: 300px; float: right;" /></a>資安業者Cofense發現新的網路釣魚攻擊手法，今年5月起，他們看到有些釣魚郵件，嵌入採用Google行動裝置網頁框架AMP服務的網址，其目的是繞過郵件安全系統的偵測機制，竊取企業員工的帳密資料。 研究人員指出，駭客約在逾四分之三（77%）的攻擊行動裡，濫用google.com的網域，其餘則是google.co.uk。此外，這些駭客也同時濫用其他迴避偵測的手法，這些包含了URL重新導向、Cloudflare的CAPTCHA圖靈驗證機制，以及以圖片來呈現電子郵件內文等手法。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/ivanti-discloses-new-critical-auth-bypass-bug-in-mobileiron-core/">Ivanti再度針對行動裝置管理平臺公布重大漏洞</a> 8月2日Ivanti針對旗下的行動裝置管理平臺MobileIron Core發布資安通告，指出該平臺存在重大漏洞CVE-2023-35082，此為身分驗證繞過漏洞，可讓未經身分驗證的使用者存取受到被限制的功能或是資源，CVSS風險評為10分，影響11.2版以前的MobileIron Core。 對此，該公司表示此系統已於去年3月終止支援，他們不會提供修補程式，使用者應升級最新版本的Endpoint Manager Mobile（EPMM）來避免曝露相關風險。通報上述漏洞的資安業者Rapid7，也公布入侵指標（IoC），讓組織能檢查是否遭到相關攻擊。 資料來源 1. <a href="https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older">https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older</a> 2. <a href="https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/">https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/</a> <h3>【其他新聞】</h3> <a href="https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop.html">Google發布Chrome 115更新，修補排版引擎V8漏洞</a> <a href="https://www.securityweek.com/firefox-116-patches-high-severity-vulnerabilities/">Mozilla發布Firefox 116，修補高風險記憶體安全漏洞</a> <a href="https://guardz.com/blog/the-massive-macos-threats-trending-in-the-dark-web/">針對Mac電腦的hVNC惡意軟體主要目標是中小企業</a> <a href="https://www.bleepingcomputer.com/news/security/fake-flipperzero-sites-promise-free-devices-after-completing-offer/">駭客假借免費提供滲透測試設備Filpper Zero發動攻擊</a> <a href="https://www.hackread.com/axis-a1001-flaw-facilities-unauthorized-access/">美國針對Axis智慧門鎖的漏洞提出警告</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a> <a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a> <a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a> </div></div></div>
2023/8/4 15:37作者周峻佑https://www.ithome.com.tw/news/158111
微軟支援跨平臺Unity遊戲開發，在VS Code上推Unity擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟在VS Code上，以6月推出的C#開發工具包和C#擴充套件當作基礎，提供一個能夠跨Windows、macOS和Linux平臺的<a href="https://devblogs.microsoft.com/visualstudio/announcing-the-unity-extension-for-visual-studio-code/">Unity開發工具包</a>，方便遊戲開發者用於編寫和除錯Unity遊戲。參考自Visual Studio與Visual Studio Tools for Unity，C#開發工具包和Unity擴充套件也提供許多開發者熟悉的功能，使開發者在各個平臺，都能夠以C#開發Unity遊戲。 微軟解釋，Unity擴充套件提供由Roslyn支援的C#程式碼編輯，因此開發者可以使用到完整的IntelliSense程式碼完成功能，和IntelliCode for C#開發工具包一起使用，便能獲得AI輔助功能，像是輸入時全行完成以及加註星標建議等，而且Unity擴充套件還包含了Unity Roslyn Analyzers專案，可以提供專屬Unity的自定義建議和程式碼修復功能。 開發者要使用Unity擴充套件，至少需要安裝Unity 2021，VS Code會自動安裝所有Unity擴充套件的相依項目，包含C#開發工具包和C#擴充套件。 值得注意的是，由於C#開發工具包和VS Code Unity擴充套件建立在與Visual Studio相同的基礎上，因此採用類似Visual Studio的授權條款，在個人、學術和開源開放上免費使用，但是企業使用，需要購買Visual Studio Professional、Enterprise訂閱，以及GitHub Codespaces。 </div></div></div>
2023/8/4 13:46作者李建興https://www.ithome.com.tw/news/158105
ChromeOS可能即將不再內建Chrome瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google即將把ChromeOS與Chrome瀏覽器切分開來；<a href="https://www.aboutchromebooks.com/news/chromeos-116-may-begin-the-lacros-browser-push-to-chromebooks/?expand_article=1" target="_blank">本周有媒體報導</a>，Google可能最快從ChromeOS 116起不再整合Chrome瀏覽器，以加快Chromebook瀏覽器的更新。 《Aboutchromebooks》報導，Google正在以Lacros專案取代整合式的Chrome瀏覽器。<a href="https://chromium.googlesource.com/chromium/src/+/main/docs/lacros.md" target="_blank">一個Chromium專案網頁說明</a>，Lacros為切分Chrome瀏覽器和Chrome OS視窗管理員及系統UI的架構專案，其名稱來自Linux And ChRome OS。切開ChromeOS及瀏覽器的目的是，瀏覽器更新可以更快推送到Chromebook電腦，而不需等一整包ChromeOS更新。 媒體發現到的最新Lacros文件變更，顯示Google可能將在Chrome OS 116中加入啟動Lacros的選項。報導指出，之前Lacros文件並未說明哪個版本。 根據Google說明，Lacros可以被視為「具備更強Wayland通訊協定支援的Linux版Chrome」，它使用Ozone為圖形及事件處理的抽象層。此外，ChromeOS內建名為exosphere的Wayland實作，Lacros則使用exo為圖形及事件處理的Wayland伺服器。專案小組也公布了具備ARC（執行Android app）及Crostini（執行Linux app）容器的Wayland協定擴充程式。 不過媒體也發現，一臺使用ChromeOS 116 Beta版的Chromebook並未看到Lacros-support的flag。因此推測Google可能還未決定何時將Lacros部署到Chromebook裝置。 </div></div></div>
2023/8/4 12:30作者林妍溱https://www.ithome.com.tw/news/158104
微軟Arm架構運算雲服務成軍，提供與擴增多款VM選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ms_azure_arm_vm-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在2022年6月我們製作<a href="https://www.ithome.com.tw/article/151380">封面故事《Arm走入公有雲世界》</a>，當時提到兩大公有雲業者都已經或即將開始提供Arm架構雲端服務。以AWS為例，從2018年底起，他們基於自行研發設計的Arm架構處理器Graviton，推出執行個體服務，後續已發展到第三代晶片，並推出十多款執行個體服務，而旗下主攻資料庫、資料分析、檔案儲存等特定用途的雲端服務，底層也能搭配這些基於Arm架構而成的執行個體服務，作為運算平臺。 另一家雲端業者微軟Azure，採取了不同策略。他們在2022年4月宣布將推出3大系列共6款Arm架構執行個體服務，開放用戶登記預覽測試，採用市售的Arm架構伺服器處理器：Ampere Computing公司的Altra系列，到了9月正式推出。 <a href="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability at the Core with Cloud Native Processors-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability%20at%20the%20Core%20with%20Cloud%20Native%20Processors-2.jpg" style="width: 600px;" /></a> 事實上，這幾年以來，還有多家雲端業者宣布推出Arm架構執行個體服務，也都是採用基於Arm Neoverse N1架構而成的Ampere Altra系列處理器。例如，在2021年5月，OCI發表Ampere A1 Compute，提供虛擬機器與裸機等兩種部署選擇；在2021年10月，騰訊雲推出Cloud Virtual Machine系列標準型SR1(Standard SR1)服務；在2022年4月，阿里雲推出ECS g8m系列；在2022年7月，Google Cloud推出Tau T2A。 截至目前為止，除了AWS，微軟Azure是目前提供最多Arm架構執行個體的公有雲。在最初發表之際，他們預告將推出支援一般用途的Dpsv5系列、Dplsv5系列，以及支援記憶體最佳化用途的Epsv5系列，相較於x86架構的虛擬機器服務，在性價比的表現上，領先幅度可達到50％。微軟表示，這批虛擬機器服務適合執行可橫向擴展規模的工作負載，舉凡網站伺服器、應用程式伺服器、開放原始碼資料庫系統、雲端原生系統，以及.NET應用系統、Java應用系統、遊戲伺服器、多媒體伺服器。 <a href="https://s4.itho.me/sites/default/files/images/Arm Cloud Provider-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cloud%20Provider-overview.jpg" style="width: 600px;" /></a> 在系統資源的配置上，這三大系列執行個體服務，均採用3.0 GHz的Ampere Altra處理器，每一臺虛擬機器搭配的虛擬處理器，最多可提供64顆（Epsv5系列提供32顆），記憶體最多可提供208 GiB（Dplsv5系列提供128 GiB），以每顆虛擬處理器搭配的記憶體容量而言，Dplsv5系列提供2 GiB，Dpsv5系列提供4 GiB，Epsv5系列提供8 GiB。 <a href="https://s4.itho.me/sites/default/files/images/2023-05-Azure Arm VMs-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Azure%20Arm%20VMs-1.jpg" style="width: 600px;" /></a> 而在網路裝置上，這三大系列執行個體服務最多可搭配8張網路介面，網路頻寬最大為40,000 Mbps（Epsv5系列為16,000 Mbps）； <a href="https://s4.itho.me/sites/default/files/images/Azure Dpsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epsv5-series%20spec.png" style="width: 298px;" /></a> 關於儲存裝置，均可搭配資料硬碟，最多可設置32臺，但細分為搭配遠端儲存與暫存固態硬碟。以Dpsv5系列為例，標示為同名的Dpsv5系列執行個體服務僅限搭配遠端儲存，標示多了「d」稱為Dpdsv5系列的執行個體服務，搭配暫存固態硬碟，最大容量為2,400 GiB（Epdsv5系列最大容量為1,200 GiB）。 <a href="https://s4.itho.me/sites/default/files/images/Azure Dpldsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpldsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epdsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epdsv5-series%20spec.png" style="width: 298px;" /></a> 在作業系統的支援上，微軟在這些服務發表之初的預覽版將提供多種平臺，像是Ubuntu、CentOS等兩大Linux系統，以及Windows 11專業版與企業版，後續將涵蓋Red Hat Enterprise Linux、SUSE Linux Enterprise Server、Debian、AlmaLinux，以及Flatcar Container Linux，而以目前來看Azure雲端市集提供的Arm64系統映像，SUSE平臺選擇最多，SUSE Linux Enterprise Server占了6項，再加上openSUSE Leap 15.5，但CentOS、Debian尚未出現。 <a href="https://s4.itho.me/sites/default/files/images/Azure Marketplace VM images Arm64.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Marketplace%20VM%20images%20Arm64.jpg" style="width: 600px;" /></a> 而在應用程式平臺的部分，從.NET 5就已原生支援Arm架構執行的Linux系統，近期推出的.NET 6也延續這個基礎而繼續支援。此外，2022年8月釋出預覽版本的.NET Framework 4.8.1，對於Arm架構也提供原生支援，已整合在Windows 11社群內部預覽版，以及Visual Studio 2022 17.3。 到了2022年8月釋出預覽版本、11月正式推出的17.4版，微軟也宣布Visual Studio 2022原生支援Arm架構應用程式的執行與組建。 而由於許多開發平臺與語言近年來都已陸續提供Arm架構的支援，微軟也在2022年宣布Arm執行個體服務的開放預覽與正式推出的消息當中，趁機宣傳他們<a href="https://www.ithome.com.tw/news/144651">2021年5月推出的OpenJDK版本（Microsoft Build of OpenJDK）</a>，但實質成效與衍生的整合應用狀況並未揭露。 在2023年5月，微軟宣布旗下Java工程團隊（JEG）打造的<a href="https://techcommunity.microsoft.com/t5/blogs/blogarticleprintpage/blog-id/AzureCompute/article-id/207#_ftn1">Microsoft Build of OpenJDK，已針對Azure的Arm執行個體服務完成最佳化調校</a>，可善用處理器架構Neoverse N1內建的多種特色，如密碼學演算法、大型系統延伸（LSE），而能改善大型伺服器系統的延展性，並且發揮每顆虛擬處理器就是實體核心的特性，確保JVM應用程式得以擴展執行規模與運用其他最佳化處理機制。同時，他們也說明使用Microsoft Build of OpenJDK 17.0.3+7 LTS、Parallel GC、G1 GC，對這些執行個體服務進行處理器功能測試——Java Microbenchmark Harness（JMH）、SPECJVM2008，以及處理器與系統記憶體的規模擴展測試——SPECjbb2015、HyperAlloc、YCSB/Cassandra。 關於這批雲端運算服務效能的展現上，我們在網路上能找到的資訊並不多，今年7月底處理器廠商Ampere Computing公司在部落格發布使用案例文章，終於揭露一些可參考的相關數據，當中提到<a href="https://amperecomputing.com/blogs/amadeus-cloud-migration-on-ampere-altra-Instances">旅遊科技公司Amadeus想要透過效能測試去驗證某些假設</a>，結果呈現採用Arm雲端運算服務的成效，後續開始移植一些元件，以便執行實際的應用系統，該公司已完成平臺的整合測試與驗證，預計將在多個Azure區域建置正式使用環境。 他們使用32個虛擬處理器的Standard_D32ps_v5執行個體服務，相較於同等級的英特爾處理器執行個體服務，原始吞吐量可具有20％的增長幅度，性價比則提升了50％，比起同等級的AMD處理器執行個體服務，原始吞吐量與性價比分別領先13％與27％。 而在另一個實際的購物應用程式效能測試當中，他們看到這些Arm虛擬機器對照英特爾處理器執行個體服務，性價比改善47％，平均反應時間縮短11％，對照AMD處理器執行個體服務，性價比改善37％，平均反應時間縮短9％。 除了鎖定一般用途的上述3大系列共6款D系列執行個體服務，在今年7月，微軟宣布即將推出新一代經濟蓄發型 (Economical burstable) 執行個體服務（亦即Bs系列VM產品線），開放用戶預覽測試，裡面也將涵蓋Arm架構的運算服務，他們將分別針對Intel Xeon Platinum 8370C、AMD EPYC 7763，以及Ampere Altra等三種處理器，分別推出Bsv2系列、Basv2系列、Bpsv2系列。相較於現行的B系列，新登場的Bs v2系列的性價比將提升15％，並且提供5倍網路頻寬與10倍遠端儲存吞吐量。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Azrue%20Bs%20v2-rishabv90_1-1688969921528.jpg" style="width: 600px;" /> 對此，Arm首席解決方案工程師Pranay Bakre也特別在他們公司的部落格發文，說明推出這項運算服務的意義。他提到，Bpsv2系列提供基礎的處理器效能，並在工作負載大幅增加時，可擴展（暴增）至更高的效能，適合平時不需要持續使用完整效能的應用，像是系統開發與測試、流量低的網站伺服器、小型資料庫、微服務、概念驗證、系統組建、儲存程式碼；而在文章後半段，他也展示將這系列服務用於以GitHub Actions進行程式碼CI/CD流程的方式，可在應用程式組建與測試過程中，因應資源需求規模的變化，而能管理效能需求的激增。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Bpsv2-series%20spec.jpg" style="width: 600px;" /> 產品資訊 微軟Azure Arm-based VMs ●原廠：微軟 ●建議售價：東亞區域，Dpsv5的D2ps v5（2顆虛擬處理器、8 GiB記憶體）隨用隨付方案每月77.38美元 ●執行個體服務選擇：Dpsv5系列與Dpdsv5系列、Dplsv5系列與Dpldsv5系列、Epsv5系列與Epdsv5系列、Bpsv2系列 ●搭配的處理器平臺：Ampere Altra系列3.0 GHz ●運算資源最大配置： Dpsv5系列與Dpdsv5系列提供64顆vCPU、128 GiB記憶體 Dplsv5系列與Dpldsv5系列提供64顆vCPU、208 GiB記憶體 Epsv5系列與Epdsv5系列提供32顆vCPU、208 GiB記憶體 Bpsv2系列提供16顆vCPU、64 GiB記憶體 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/8/4 11:33作者李宗翰https://www.ithome.com.tw/review/157971
皮克斯、蘋果、Adobe與Nvidia成立OpenUSD聯盟以推動3D內容的開放標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 皮克斯動畫工作室（Pixar Animation Studios）、Adobe、蘋果、Autodesk、Nvidia，以及Linux基金會旗下的聯合開發基金會（Joint Development Foundation，JDF）<a href="https://www.apple.com/newsroom/2023/08/pixar-adobe-apple-autodesk-and-nvidia-form-alliance-for-openusd/" target="_blank">周二（8/1）宣布成立OpenUSD聯盟（Alliance for OpenUSD，AOUSD）</a>，以推動通用場景描述（Universal Scene Description）的標準化與未來發展。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-Alliance-for-OpenUSD-AOUSD-logo.jpg" style="width: 600px;" /> 通用場景描述是皮克斯在2016年所發表的開源3D圖像資料交換框架，著重於協作、非破壞性編輯，支援工具、資料與流程之間的互通，已被應用在視覺效果、建築、設計、機器人及電腦輔助設計（CAD）等領域。 此一聯盟則打算進一步強化OpenUSD的能力，以建立3D生態體系的標準化，讓開發者與內容創作者得以描述、編寫及模擬大型的3D專案，以建置應用範圍愈來愈廣泛的3D產品及服務。 因此，OpenUSD聯盟的下一步將是發展OpenUSD詳細功能的規格書，促進業界對此一架構的採用，亦允許其它標準組織將它納入規範。此一專案將由JDF代管，以替成為ISO標準舖路。 該聯盟的創始成員指出，OpenUSD已經擴展到電影、視覺效果及動畫之外的應用，可望成為藝術家在不同裝置上呈現作品的解決方案，也可協助實現新一代的AR體驗，成為跨產業數位化與3D世界的標準。 OpenUSD除了將設立論壇以供產業討論功能與技術上的定義之外，亦歡迎其它業者及組織加入以共襄盛舉。 </div></div></div>
2023/8/3 15:32作者陳曉莉https://www.ithome.com.tw/news/158087
Apple Silicon的Mac也可執行Fedora！8月底第一個正式版即將到來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://asahilinux.org/2023/08/fedora-asahi-remix/">Asahi Linux專案在8月底時，將會正式發布Fedora Asahi Remix</a>，而這將會是一個支援Apple Silicon的Linux，讓用戶也可以在Mac上順暢運作Linux。 Asahi Linux在去年3月的時候釋出第一個公開Alpha版本，但由於是一個很早期的版本，因此功能也不齊全，僅有Wi-Fi、Ethernet、鍵盤和顯示器等基本硬體功能，諸如圖形加速、TouchBar、藍牙和神經網路引擎等皆不支援。 在Apple Silicon的Mac上執行Linux，連Linux之父Linus Torvalds都有興趣的事，實際執行卻相當困難，Asahi Linux官方提到，要在Apple Silicon這樣相對新的硬體上，提供完整的Linux支援並不容易，需要大量的逆向工程和開發工作，整體工作量非常大。 Asahi Linux專案一開始將開發能量集中在Bootloader和核心，這些可在各Linux發行版本共用的工作。不過，就算核心已經達到基本可用的程度，但是要跟Linux發行版結合，仍然有許多細緻的整合工作需要進行，而且也需要在使用者空間專案合作，添加需要的功能。官方希望Asahi Linux能夠與市面上所有Linux發行版整合，讓用戶可以在Mac上任意選擇使用不同的Linux，由於這個宏大的目標，因此Asahi Linux需要先自行開發一個整合原型，呈現Linux發行版整合Asahi Linux應該呈現的樣子。 最初Asahi Linux利用Arch Linux ARM，加入自己的套件打包成Asahi Linux Arch Linux ARM remix，雖然這個方法可行，但因為缺乏與上游的合作，Asahi Linux始終無法透過官方平臺提供更廣泛的支援。而Fedora專案這時候向Asahi Linux伸手，於是雙方一拍即合密切合作，Asahi Linux將Apple Silicon完全整合到Fedora，這包括了所有的自定義套件、核心等。 直接與上游合作，使得Asahi Linux能夠與核心發行版更緊密的整合，也能迅速修復各種軟體套件的問題。由雙方合作的Fedora Asahi是一個上游優先專案，因此所有Asahi Linux特殊工具，像是m1n1低階Bootloader以及Asahi腳本工具，都存在上游的Fedora儲存庫中，可以直接供所有Fedora用戶使用，而Fedora Asahi硬體支援套件，存放在由Fedora Asahi工作組維護的個人套件建置系統COPR中，直接由Fedora基礎設施建置和供應。 雖然Asahi Linux許多工作已經整合到Fedora上游，但是官方暫時決定以Remix版本發行，提供更好的硬體整合彈性，不過官方預告，最終Apple Silicon支援還是會整合到Fedora Workstation和Fedora Server中。Fedora Asahi Remix的第一個正式版，將會在8月底的時候釋出，目前開發者已經可以先下載開發版本試用。 </div></div></div>
2023/8/3 13:04作者李建興https://www.ithome.com.tw/news/158082
【資安日報】8月2日，美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。 專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。 連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。 <h3>【攻擊與威脅】</h3> <a href="https://www.nytimes.com/2023/07/29/us/politics/china-malware-us-military-bases-taiwan.html">美國傳出找尋埋藏於軍事系統中國惡意軟體</a> 根據紐約時報的報導，美國正在針對各種軍事防禦系統進行清查，認為當中可能存在來自中國的惡意軟體，而有可能導致軍事通訊與補給行動遭到干擾。有官員向泰晤士報透露，政府認為惡意程式碼埋藏於軍事基地使用的電網、通訊系統、供水系統。也有國會官員認為，此惡意軟體有如定時炸彈，讓中國有能力切斷美國軍事基地的電力、水利、通訊，延緩軍事部署與補給行動，甚至造成中斷的情況，可能在中國未來對臺灣採取軍事行動的時候，干預美國軍方的運作。 該國政府官員認為其影響極為廣泛，因為軍事基地通常與民間共用相同的基礎設施，企業與民眾也可能受到該惡意程式衝擊，而導致社會動盪。 這項惡意軟體攻擊行動最初被揭露的時間，是在今年5月，當時微軟在關島及其他地區的電信系統偵測出神秘的程式碼，並指出攻擊者的身分是中國資助的駭客組織Volt Typhoon，但現在有十多名美國官員與業界專家認為，中國駭客的攻擊範圍超出電信系統，且至少在2022年5月就開始從事相關攻擊，美國政府追查此惡意程式已進行一段時間，由於這些程式碼埋藏得極為隱密，目前仍無法得知完整的攻擊範圍。近幾個月以來，美國白宮也針對此惡意程式召開一系列會議，討論因應方式，並向各州州長及公營事業公司透露調查結果，有官員透露，上述惡意程式碼的調查，最初集中於該國的軍事基地。 <a href="https://www.ithome.com.tw/news/158068">主機代管業者Cloudzy被資安廠商指控包庇駭客組織，為其提供C2代管服務</a> 資安業者Halcyon揭露被用於代管C2的虛擬專用伺服器（VPS）供應商Cloudzy，此業者於美國、歐洲、亞洲建立15個資料中心（其中10個在美國），其VPS支援Windows及Linux作業系統，也提供遠端桌面連線（RDP）功能，但有別於一般的VPS業者，任何人只要提供企業的電子郵件信箱就能租用，而且該公司接受以加密貨幣支付相關費用，攻擊者因此偏好使用該公司的服務。 研究人員指出，他們起初是在調查勒索軟體附屬機構Ghost Clown與Space Kook的攻擊行動中，察覺兩組駭客都透過Cloudzy架設C2，進一步追查有不少駭客組織也使用Cloudzy，如勒索軟體駭客UNC2352與FIN12、犯罪集團TA505、以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯、越南的17個國家級APT駭客組織，進而確認Cloudzy是C2供應商（C2P）。 根據Halcyon的調查，由Cloudzy代管的伺服器當中，保守估計約有4成至6成被用於網路攻擊，而且，雖然該公司在美國登記，但實際上主要業務都是在伊朗首都德黑蘭進行。針對上述指控，Cloudzy執行長Hannan Nozari向路透社聲稱，他們公司不應對客戶的行為負責，並認為其中僅有2%客戶從事惡意活動。 資料來源 1. <a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers">https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers</a> 2. <a href="https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/">https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/</a> <a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments">中國駭客APT31鎖定東歐工控環境與關鍵基礎設施，企圖從被隔離的網路環境竊取機密</a> <a href="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露中國駭客組織APT31（亦稱Zircium）的攻擊行動，駭客從去年4月，鎖定東歐的工業控制系統（ICS）及關鍵基礎設施（CI）的受隔離網路環境而來，於其過程中總共至少使用了15種攻擊工具，最終在目標電腦部署惡意軟體FourteenHi。研究人員指出，駭客的攻擊行動可分3個階段，初期，先對目標系統植入惡意軟體，以便讓攻擊者能遠端存取，並進行偵察工作。到了第2階段，駭客散布能透過USB裝置入侵隔離網路的工具；在第3階段，則是將收集到的資料回傳至C2伺服器。 駭客使用的惡意軟體，包含四種工具：（一）偵測連接到電腦的外接式儲存裝置，並用來收集檔案、截取螢幕截圖、投放額外的惡意酬載；（二）使用含有弱點的McAfee可執行檔，藉由DLL挾持的手法來感染外接式儲存裝置；（三）執行批次檔收集裝置上的資料，並輸出到名為$RECYCLE.BIN的資料夾；（四）類似第一種工具，也具備偵測連接到電腦的外接式儲存裝置，並能用來收集檔案、截取螢幕截圖，但沒有感染外接式裝置的能力。 不過，事情後來有了變化。去年5月，研究人員發現駭客在攻擊行動使用額外的工具，目的是從遭到感染的電腦收集本機檔案，並使用WinRAR打包，然後傳送至Dropbox。 <a href="https://unit42.paloaltonetworks.com/nodestealer-2-targets-facebook-business/">有人以Python重新改寫竊資軟體NodeStealer，並假借提供Excel及Google Sheets範本的名義散布</a> <a href="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露新一波的竊資軟體NodeStealer 2.0攻擊行動，駭客先是透過臉書發送廣告訊息，表示免費提供可追蹤預算的Excel及Google Sheets的專業範本，引誘使用者從Google Drive下載特定的ZIP壓縮檔，一旦依照指示開啟裡面的可執行檔案，電腦就有可能被植入NodeStealer 2.0。此竊資軟體主要的功能為接管臉書的企業帳號，並能盜取加密貨幣、搜括瀏覽器的帳密資料，甚至能讓攻擊者下載BitRAT、XWorm等惡意程式到受害電腦上。與今年5月Meta揭露的NodeStealer相比，這個竊資軟體的2.0版改以程式語言Python重新打造，目標也不再只是針對臉書的企業帳號，而駭客這麼做，也使得新版竊資軟體難以反組講，威脅也更加嚴重。 研究人員指出，上述NodeStealer 2.0的惡意程式下載功能裡，攻擊者利用名為fodhelper.exe的處理程序執行PowerShell指令碼，從遠端伺服器接收ZIP壓縮檔，目的是繞過Windows作業系統的使用者帳號控制（UAC）功能。 <h3>【漏洞與修補】</h3> <a href="https://www.ithome.com.tw/news/158066">Canon呼籲用戶送修、汰換印表機前，應手動移除Wi-Fi組態</a> <a href="https://psirt.canon/advisory-information/cp2023-003/">7月31日Canon發布資安通告</a>，指出該公司旗下的噴墨印表機存在漏洞，第三方人士有可能藉此得知Wi-Fi無線網路的組態，進而發動攻擊，約有200款機型會受到影響，這些印表機涵蓋家用、企業級噴墨印表機，以及大圖輸出機。呼籲使用者如果要將印表機送修，或是要進行淘汰，必須清空印表機的Wi-Fi設定。 該公司並未透露漏洞的名稱或CVE編號，但指出上述存在弱點的印表機裡，儲存的Wi-Fi設定不會在回復初始組態的過程刪除，而使得他人有機會存取敏感資料，例如：SSID、密碼、Wi-Fi網路通訊協定（如WPA3、WEP）、IP位址、MAC位址等，進而入侵家用網路或是企業網路的環境。對此，他們呼籲用戶應在重設所有組態後，接著開啟WLAN，然後再次進行所有組態重設的命令，來避免Wi-Fi組態外洩的情況。 <h3>【資安產業動態】</h3> <a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=110737">為強化零售業對於個人資料的保護，經濟部發布綜合商品零售業個人資料檔案安全維護管理辦法</a> 經濟部根據個人資料保護法第27條第3項規定，制定的綜合商品零售業個人資料檔案安全維護管理辦法，於8月1日正式發布、施行，對於資本額達新臺幣1千萬元以上、且有招募會員，或是能取得交易對象個資的零售業者，必須在6個內訂定安全維護計畫。此計畫內容需包含個人資料蒐集、處理及利用之內部管理程序、界定個人資料之範圍及項目、資訊安全管理及人員管理、實施教育訓練，及事故之預防、通報及應變機制等，並應配置相當資源，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩露。經濟部也預告將舉辦有關的宣導說明會，輔導業者訂立上述的維護管理計畫。 <h3>【其他新聞】</h3> <a href="https://money.udn.com/money/story/5612/7340009">臺灣資安新創池安量子資安成立亞洲首座量子安全遷移中心</a> <a href="https://www.proofpoint.com/us/blog/threat-insight/out-sandbox-wikiloader-digs-sophisticated-evasion">義大利組織遭惡意軟體WikiLoader鎖定，於受害電腦部署金融木馬及竊資軟體</a> <a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-discloses-wave-of-credential-stuffing-attacks/">美國服飾零售業者Hot Topic遭遇網路攻擊，用戶資料可能外洩</a> <a href="https://blog.checkpoint.com/security/is-your-peloton-attracting-security-threats/">Peloton智慧健身器材存在漏洞，攻擊者有可能存取系統資訊、部署惡意軟體</a> <a href="https://www.securityweek.com/nearly-all-modern-cpus-leak-data-to-new-collidepower-side-channel-attack/">研究人員揭露名為Collide+Power的處理器漏洞</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a> <a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a> <a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a> </div></div></div>
2023/8/2 17:55作者周峻佑https://www.ithome.com.tw/news/158077
Halcyon指控Cloudzy替逾20個駭客組織提供命令暨控制服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers" target="_blank">資安業者Halcyon本周揭露</a>，駭客生態體系中出現了一個新產業，有眾多的駭客組織利用同一家虛擬私有伺服器（Virtual Private Server，VPS）供應商的服務來充當命令暨控制伺服器，其中，成立於美國，卻在伊朗經營的Cloudzy便至少服務來自全球的逾20個駭客組織。 Cloudzy在美國、歐洲及亞洲建立了15個資料中心以提供VPS服務，光是美國就占了10個，它支援Windows與Linux平臺，也支援遠端桌面協定（RDP），還支援外匯交易，官網首頁就直接列出了VPS價目表，而且得以加密貨幣支付。 Halcyon說，傳統的勒索軟體即服務（Ransomware as a Service，RaaS）領域由不同的產業組成，從負責滲透被駭網路的Initial Access Broker（IAB）、專門建置勒索軟體服務的RaaS供應商，以及真正執行攻擊的RaaS聯盟夥伴，而現在則新增了諸如Cloudzy的控制暨命令供應商（Command-and-Control Provider，C2P），這些供應商可能是無心，也可能是有意提供相關服務予全球的駭客組織。 Halcyon是在調查Ghost Clown與Space Kook兩個新興RaaS攻擊事件時，察覺它們都使用了Cloudzy服務來充當命令暨控制伺服器，進一步分析後發現，Cloudzy先前即是眾多駭客組織的C2P，包括勒索軟體集團UNC2352與FIN12，組織型犯罪集團TA505，以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯及越南的17個國家級APT駭客組織。 此外，根據Halcyon的估計，由Cloudzy代管的伺服器中，大約有4成到6成直接支援潛在的惡意行動，而Cloudzy的費用不僅便宜，容易使用，而且只需要一個電子郵件信箱，不需認證用戶身分，完全符合駭客的需求。 於是Halcyon公布了與Cloudzy有關的網路入侵指標（IOC），以便在環境中出現相關的RDP主機名稱時，察覺各種惡意行為。 </div></div></div>
2023/8/2 13:48作者陳曉莉https://www.ithome.com.tw/news/158068
採用Nvidia頂級資料中心GPU，AWS新執行個體上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_p5-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 當前最受全球矚目的資料中心GPU產品，莫過於Nvidia在2022年3月GTC春季大會發表的H100，當時除了眾多伺服器廠商表示將搭配這款GPU，也預告各大公有雲業者提供搭配H100的執行個體服務，打算這麼做的廠商有阿里雲、AWS、百度智能雲、Google Cloud、微軟Azure、Oracle Cloud Infrastructure（OCI）、騰訊雲。 同年9月GTC秋季大會期間，<a href="http://nvidianews.nvidia.com/news/nvidia-hopper-in-full-production">Nvidia宣布H100進入完全生產狀態</a>，他們表示，雲端業者2023年會開始部署搭配H100的執行個體服務，此時列出的廠商有4家，分別是：AWS、Google Cloud、微軟Azure、OCI。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Nvidia%20Platform%20and%20Partners.jpg" style="width: 600px;" /> 到了2023年3月GTC春季大會，Nvidia揭露雲端業者相關服務的提供狀態與進度，例如，Cirrascale、CoreWeave這兩家的H100執行個體服務已經正式上線，<a href="https://azure.microsoft.com/en-us/blog/azure-previews-powerful-and-scalable-virtual-machine-series-to-accelerate-generative-ai/">微軟Azure已開放ND H100 v5系列服務的私密預覽</a>，<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">OCI限量提供搭配H100的運算裸機GPU執行個體服務</a>， AWS表示接下來幾週將開放特定用戶預覽，主角是Amazon EC2執行個體服務當中P5將會使用H100，最大可提供20 Exaflops的運算效能，可用來組建與訓練最大的深度學習模型，此款雲端服務也將導入AWS第二代EFA（Elastic Fabric Adapter）網路卡，可能提供3,200 Gbps的網路頻寬與吞吐能力，若需要更大運算規模，可在EC2 UltraClusters這套雲端運算叢集服務當中，擴展使用2萬臺H100 GPU彼此連接，以因應超級電腦等級效能的AI隨需存取應用。此外，Google Cloud、Lambda、Paperspace、Vult這幾家雲端廠商，也計畫推出搭載H100的雲端服務。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20H100%20System%20partners.jpg" style="width: 600px;" /> 在這段期間，ChatGPT引領全球人工智慧熱潮，推動相關技術發展的OpenAI與微軟成為舉世矚目的焦點，微軟也趁機在Nvidia GTC春季大會與自家Build開發者大會，宣傳他們發展的Azure AI基礎架構，ND H100 v5系列當然也被提到，外界預期這個執行個體服務就快要正式推出。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20GTC-Azure%20H100%20instances%20preview.jpg" style="width: 600px;" /> 然而，到了6月底，AWS突然宣布推出Amazon EC2 P5，搶先微軟Azure推出搭配Nvidia H100的執行個體服務，全名為p5.48xlarge，單個執行個體服務，最多可搭配8張內建HBM3記憶體80 GB的Nvidia H100，此服務目前僅在兩座資料中心區域供應，分別是：美國西部（奧勒岡），以及美國東部（維吉尼亞北部）。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA1.jpg" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA2.jpg" style="width: 600px;" /> 關於使用效益的差異，AWS表示，相較於採用Nvidia上一代資料中心GPU（A100）的執行個體服務P4，若改用P5執行深度學習模型的訓練處理，時間縮減幅度可達到6倍之多，原本要好幾天才能完成，現在只需幾個小時，而這樣的效能突飛猛進，也帶來降低AI訓練成本的效益，可節省40％的費用。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-infographic2.jpg" style="width: 600px;" /> 除了GPU帶來顯著的運算效能提升，P5在伺服器運算效能與資源的配置上，也優於P4。舉例來說，處理器效能增加1倍（AMD第三代EPYC、192顆虛擬處理器，對上英特爾第二代Xeon Scalable、96顆虛擬處理器），系統記憶體容量提升7成（2,048 GiB對上1,152 GiB），本機硬碟存容量增加至4倍（30 TB對上8 TB）。 而在網路頻寬的部分，P5因為導入AWS本身發展的第二代EFA網路加速技術，傳輸效能可達3,200 Gbps（P4為400 Gbps），可提供強大的橫向擴展規模能力，有利於承擔分散式AI訓練，以及處於緊耦合狀態的高效能運算工作負載。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-AWS%20P4%20P5%20Comparison.png" style="width: 500px;" /> 若要支援更大規模的人工智慧與高效能運算處理，用戶可建置Amazon EC2 UltraCluster，並在這個叢集環境部署P5執行個體服務，提供 Pbps等級的網路互連能力，最多可連接2萬張Nvidia H100，匯集運算容量可達到20 Exaflops的規模。 <a href="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg" style="width: 600px;" /></a> 產品資訊 AWS Amazon EC2 P5 ●原廠：AWS ●建議售價：On-Demand Linux方案每小時98.32美元 ●基礎運算規格：AMD第三代EPYC處理器、2 TB記憶體、30 TB NVMe儲存空間 ●提供服務規模選擇與最大組態：p5.48xlarge，192顆虛擬處理器、2048 GiB記憶體、8臺3.84 TB本機儲存、8張Nvidia H100 GPU、網路頻寬為3,200 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為80 Gbps 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/8/2 01:56作者李宗翰https://www.ithome.com.tw/review/158051
【資安日報】8月1日，Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。 針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。 專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。 <h3>【攻擊與威脅】</h3> <a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html">2022年零時差漏洞超過4成來自已知漏洞修補不全，安卓生態圈長期面臨較高的攻擊風險情況加劇</a> <a href="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）針對去年出現的零時差漏洞攻擊進行分析，他們總共發現41個被駭客利用的漏洞，較2021年的69個顯著下降。但研究人員提出警告，去年有逾4成（17個）的零時差漏洞，與過往曾揭露的漏洞修補不全有關，對照2021年有2成漏洞存在這類情況來看，2022年增加至4成，嚴重程度顯然有增無減。 另外一個值得留意的是，TAG這次特別點名安卓系統上的N-day漏洞現象，由於Google對於安卓作業系統進行修補後，還要經過裝置製造商打造更新程式，相關的修補軟體才會套用到使用者的裝置上，而這樣的時程過於漫長，導致駭客無須挖掘零時差漏洞，而是利用Google或晶片製造商已經公布、修補，但裝置製造商尚未派送更新軟體的N-day漏洞，就能達到相同的目的。 研究人員舉出去年7月發現的Mali GPU顯示晶片漏洞CVE-2022-38181為例，Arm在同年10月予以修補，但直到今年4月的安卓安全更新公告，相關的修補程式才納入該作業系統，換言之，即使是Google自家的Pixel手機，竟然也曝險長達半年，更遑論其他廠牌的安卓裝置。而且，針對該漏洞的攻擊程式，去年11月就已經出現，可見這個風險缺口有多大。 <a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html">安卓惡意軟體CherryBlos藉由OCR盜取圖片裡的加密貨幣錢包帳密資料</a> <a href="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技在今年4月，發現鎖定安卓裝置的惡意軟體CherryBlos、FakeTrade，前者是透過釣魚網站散布的竊密程式，後者則是上架Google Play市集的詐騙軟體。研究人員指出，駭客散布CherryBlos的途徑，主要是透過社群網站推特、抖音、即時通訊軟體Telegram，假借提供挖礦軟體、即時通訊軟體、AI機器人App的名義，透過廣告連結將使用者導向釣魚網站，進而於目標裝置部署此竊密軟體，而能夠以此竊取加密貨幣帳密，並在使用者提款、轉帳時，趁機置換錢包的網址，再順勢掏空受害者的加密貨幣錢包。 特別的是，此竊密軟體盜取帳密資料的手段，除了模仿加密貨幣錢包的使用者介面，引誘使用者輸入相關資料並進行竊取，還能透過光學字元辨識（OCR）的方式，從存放在裝置上的圖片挖掘帳密資料，並定時回傳至C2。 另一方面，研究人員也在Google Play市集裡，看到31款詐騙應用程式FakeTrade，引誘使用者觀看廣告、訂閱付費服務、儲值應用程式的錢包，但直到使用者想要兌現這些有價物資時，才驚覺上當。FakeTrade與CherryBlos使用相同的C2基礎設施、金鑰，研究人員認為這些惡意軟體背後的攻擊者可能是相同駭客組織。 <a href="https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/">冒牌即時通訊軟體SafeChat鎖定安卓用戶而來，竊取Telegram、WhatsApp、Facebook Messenger資料</a> 資安業者Cyfirma揭露印度駭客組織Bahamut的攻擊行動，他們先是使用WhatsApp尋找攻擊目標，然後以更加安全、隱密為由，提供名為SafeChat的即時通訊軟體為幌子，目的是進行間諜軟體攻擊，進而竊取手機通話記錄、簡訊、GPS位置資訊，以及即時通訊軟體Telegram、WhatsApp、Facebook Messenger的用戶資料，主要目標是南亞使用者。 研究人員指出，此惡意程式前身是Coverlm，且具備類似即時通訊軟體的介面，用戶操作時會要求各式權限，以便能夠截取螢幕截圖和鍵盤輸入的內容，或是讓該惡意程式能在後臺持續運作，而在使用者將App關閉後，C2仍繼續與此惡意軟體保持通訊。 <a href="https://www.cadosecurity.com/redis-p2pinfect/">惡意軟體P2Pinfect濫用Redis複寫功能進行橫向感染</a> 上個月資安業者Palo Alto Networks發現鎖定Redis伺服器的蠕蟲程式P2PInfect，駭客針對存在Lua沙箱逃逸漏洞CVE-2022-0543的伺服器下手，現在也有其他研究人員公布進一步的調查結果。 資安業者Cado Security也在他們部署的蜜罐陷阱（Honeypot）看到P2PInfect，並指出駭客製作了Windows版、Linux版本的攻擊工具，在攻擊行動中，駭客透過以C及Rust組合語言編寫的ELF檔案，竄改伺服器的OpenSSH設定，調整成近乎預設的組態，隨後攻擊者就會重新啟動SSH服務，並部署新的金鑰，然後將wget及curl改名並用來進行後續的攻擊行動，並新增iptables規則來避免其他攻擊者對Redis伺服器下手。最終駭客透過P2PInfect將已感染的伺服器視為節點，形成點對點（P2P）的殭屍網路。 值得留意的是，駭客透過Redis的複寫（replication）功能，來達到蠕蟲程式自我散布的目的。此外，駭客也運用多個Redis已知漏洞，來做為初步入侵此種伺服器的管道。 <a href="https://www.bleepingcomputer.com/news/security/cisa-new-submarine-malware-found-on-hacked-barracuda-esg-appliances/">惡意軟體Submarine針對Barracuda郵件安全閘道而來</a> 7月28日美國網路安全暨基礎設施安全局（CISA）提出警告，聯邦機構的Barracuda郵件安全閘道（ESG）遭到攻擊，駭客利用漏洞CVE-2023-2868，於這些閘道設備部署名為Submarine的後門程式（亦稱為DepthCharge），用來迴避偵測、收集資料，並以便於持續在受害組織活動。CISA指出，駭客將此後門程式植入ESG設備的SQL資料庫，該惡意程式具備數個模組，並能使用root權限執行、與C2進行通訊、清理作案留下的痕跡。 <h3>【資安產業動態】</h3> <a href="https://www.nics.nat.gov.tw/NewInfoDetail.htm?seq=1706">資安院與工研院簽訂MOU，預計年底成立AI產品與系統的評測機構</a> 7月31日國家資通安全研究院（資安院）與工業技術研究院簽署合作備忘錄（MOU），他們將結合資安院的資安防護技術研發，以及工研院AI創新應用的專業能力，合作建立可信任的AI評測機制，並預定於今年底正式成立「AI產品與系統評測中心」，共同打造臺灣的資安韌性環境。 為確保評測機制的公正、客觀、獨立性，並且符合國際規範，資安院與工研院將優先研析國際AI安全框架與標準，在國家科學及技術委員會與數位發展部、數位產業署等機關指導下，執行「推動可信任生成式AI發展先期計畫」，進而提出符合臺灣AI政策推動、產業發展、應用方向的評測項目與執行方法。 <a href="https://blog.google/products/android/unknown-tracker-alert-google-android/">Google針對安卓裝置部署不明追蹤警告功能，防範用戶遭到未知藍牙裝置跟蹤</a> 7月27日Google宣布，將針對執行Android 6.0以上版本作業系統的裝置，部署不明追蹤警告（Unknown Tracker Alert）的功能，目的是讓使用者能察覺可能被用來跟蹤他們、來路不明的未知藍牙追蹤器，進而採取行動，例如要求追蹤器發出聲音、檢視追蹤器的部分資訊，或是嘗試關閉該追蹤裝置。此功能初期支援蘋果的AirTag，但Google將與其他追蹤器製造商合作，擴大該功能可支援的裝置品牌。 <a href="https://www.ithome.com.tw/news/158017">為保護使用者隱私，蘋果採取新的App Store管理政策，要求App開發商說明使用API追蹤用戶的理由</a> 蘋果在2021年祭出應用程式追蹤透明度（App Tracking Transparency，ATT）的要求，規範應用程式開發商必須在使用者安裝App的過程中，以明顯方式告知用戶會蒐集用戶資訊，並賦予用戶同意或拒絕的權力。然而，部分開發商為繞過上述的管理政策，改以API讀取裝置資訊來追蹤使用者的行動。 對此，近期蘋果祭出新的App Store管理政策，表示他們將限制應用程式利用API來追蹤用戶裝置的資訊，未來開發商想要使用能讀取檔案時戳、系統開機時間、磁碟空間、使用者預設組態等可能侵犯用戶隱私的API，必須填寫App隱私表單，若未說明將從2024年春季無法上架應用程式。 <h3>【其他新聞】</h3> <a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments">惡意軟體鎖定東歐工控環境與關鍵基礎設施，企圖從隔離網路竊取機密</a> <a href="https://medium.com/@knownsec404team/patchworks-new-assault-weapons-report-eyeshell-weapons-disclosure-181833f434be">中國學術機構遭駭客組織Patchwork鎖定，植入後門程式EyeShell</a> <a href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/">殭屍網路AVRecon入侵路由器進行控制，將其用來提供非法的代理伺服器服務</a> <a href="https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack/">以色列大型煉油廠Bazan網站遭到DDoS攻擊</a> <a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/">電玩遊戲Minecraft伺服器遭到鎖定，駭客利用漏洞BleedingPipe來掌控系統</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a> <a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a> <a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a> </div></div></div>
2023/8/1 17:57作者周峻佑https://www.ithome.com.tw/news/158058
【資安日報】7月31日，Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。 利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。 Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。 <h3>【攻擊與威脅】</h3> <a href="https://www.trellix.com/en-us/about/newsroom/stories/research/beyond-file-search-a-novel-method.html">Windows搜尋功能遭到濫用，駭客用來部署RAT木馬程式</a> <a href="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露濫用Windows搜尋功能的攻擊行動，駭客先是透過帶有URL或是惡意HTML附件的釣魚郵件，將使用者引導到釣魚網站，觸發該網站的JavaScript指令碼執行，然後利用URI協定，於攻擊者控制的伺服器進行資料或檔案搜尋的工作。 使用者若是依照指示開啟Windows檔案總管，很有可能會誤以為在自己電腦找到PDF檔案，若不慎開啟會觸發惡意程式碼，或是執行捷徑檔案執行惡意程式庫，最終導致攻擊者於電腦部署RAT木馬程式，如AsyncRAT、Remcos RAT。 <a href="https://www.team-cymru.com/post/inside-the-icedid-backconnect-protocol-part-2">惡意軟體IcedID翻新BackConnect模組，對受害電腦帶來更嚴重的威脅</a> <a href="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png" style="width: 300px; float: right;" /></a>資安業者Cymru指出，自今年初起，駭客針對惡意軟體IcedID的C2通訊模組BackConnect，以及對應的C2基礎設施進行強化，使得此惡意軟體的行蹤更加隱匿，駭客透過C2與其通訊的時間大幅縮短，可能更難察覺。 研究人員指出，資安業者Palo Alto Networks看到駭客將BackConnect使用的連接埠，今年4月開始將原本TCP的8080埠，更換成443埠（使用HTTPS加密流量），導致該惡意軟體與C2的通訊難以發現。但Cymru的研究人員發現，駭客早在今年1月就開始準備，首先，他們在1月23日看到對應BackConnect的C2伺服器數量，從原本的11臺增加至34臺，而這些伺服器運作的時間，從原本的28天縮短為8天。 此外，研究人員看到駭客透過2個靜態的VPN節點來管理C2。比較特別的是，部分感染IcedID的電腦啟用SOCKS功能，它們也扮演代理伺服器角色，被用於發動垃圾郵件攻擊。 <a href="https://www.bleepingcomputer.com/news/security/linux-version-of-abyss-locker-ransomware-targets-vmware-esxi-servers/">勒索軟體Abyss Locker鎖定VMware ESXi伺服器而來</a> 資安研究團隊MalwareHunterTeam發現，自今年3月出現的勒索軟體Abyss Locker，攻擊目標從Windows電腦延伸到VMware虛擬化平臺ESXi。研究人員看到駭客使用Linux版的勒索軟體，經分析後，確認此惡意軟體專門針對上述虛擬化平臺打造，啟用後，會先列出所有的虛擬機器（VM），並執行3種不同程度的命令，以終止VM的運作，然後將虛擬磁碟、快照、中繼資料，以及其他類型的檔案進行加密。 研究人員Michael Gillespie認為，這些駭客是利用另一款叫做HelloKitty的勒索軟體為基礎，打造Linux版Abyss Locker，並改用ChaCha編碼進行加密，但究竟Abyss Locker是有人模仿HelloKitty的手法犯案，還是HelloKitty東山再起？目前仍不得而知。 <a href="https://www.securityweek.com/exploitation-of-recent-citrix-sharefile-rce-vulnerability-begins/">Citrix檔案協作雲服務ShareFile在6月被揭露RCE漏洞，7月底已出現攻擊行動</a> <a href="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png" style="width: 300px; float: right;" /></a>資安業者Greynoise提出警告，Citrix於6月中旬修補的檔案共享系統ShareFile漏洞CVE-2023-24489（CVSS風險評為9.1至9.8分），近期已出現攻擊行動，研究人員約於7月25日看到有來自3個IP位址的攻擊行動，其中2個IP位址過往未曾出現。由於這項漏洞出現在ShareFile的儲存區域控制器，攻擊者可在未經授權的情況下，遠端入侵組織自行管理的儲存區域控制器，進而上傳任意檔案，從而發動RCE攻擊。 根據資安業者Assetnote於7月初的調查，他們找到可能有1千個至6千個ShareFile系統曝露在網際網路，再加上網路上已有該漏洞相關的概念性驗證攻擊（PoC）程式碼，Greynoise認為，相關的攻擊行動很可能還會再出現。 資料來源 1. <a href="https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability">https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability</a> 2. <a href="https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489">https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489</a> 3. <a href="https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/">https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/</a> <a href="https://www.ithome.com.tw/news/158015">美國、澳洲警告網頁應用系統的竊密漏洞IDOR恐遭大量利用</a> 7月27日澳洲網路安全中心（ACSC）、美國網路安全暨基礎設施安全局（CISA）聯手提出警告，影響網頁應用程式的不安全直接物件參照（Insecure Direct Object Reference，IDOR）弱點，有可能被攻擊者大肆利用，進而繞過應用程式的存取控制，導致外部用戶可傳送惡意檔案給內部員工。 而這項公告當中雖然沒有表明那些應用程式受到IDOR波及，但多家資安新聞網站指出，其中一個存在該漏洞的應用系統就是微軟協作平臺Teams。Teams的IDOR漏洞是在資安業者Jumpsec揭露細節後，引起資安圈的關切，美國海軍的資安人員也藉由該類型漏洞開發滲透測試工具TeamsPhisher。CISA指出，這類弱點難以防範，原因是Teams的使用情境眾多，無法透過單一程式庫或是安全功能緩解，再者，則是駭客可運用自動化工具發動攻擊，而有可能引發大規模資料外洩。值得留意的是，並非只有Teams存在IDOR，伊頓、AT&T、美國第一商業銀行的應用系統都曾出現類似弱點。 資料來源 1. <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a">https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a</a> 2. <a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities">https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities</a> 3. <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/</a> <h3>【漏洞與修補】</h3> <a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US">Ivanti再度修補行動裝置管理平臺的零時差漏洞，該漏洞也曾用於攻擊挪威政府</a> 上週挪威政府的資訊系統遭到攻擊，而駭客入侵的管道，就是針對此平臺採用的第三方軟體Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），利用零時差漏洞CVE-2023-35078下手，但現在發現駭客利用的漏洞可能不只一個。Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞CVE-2023-35081（CVSS風險評為7.2分），此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。 值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。成功同時利用上述2項漏洞，攻擊者就能對EPMM實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。對此，該公司呼籲用戶應儘速套用更新程式，並透露遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。 <h3>【其他新聞】</h3> <a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html">安卓惡意軟體CherryBlos、FakeTrade藉由OCR盜取圖片裡的帳密資料</a> <a href="https://www.recordedfuture.com/bluebravo-adapts-to-target-diplomatic-entities-with-graphicalproton-malware">俄羅斯駭客APT29鎖定東歐外交單位，散布後門程式GraphicalProton</a> <a href="https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/">攻擊行動Stark#Mule鎖定韓國而來，假借提供美軍募兵資料散布惡意軟體</a> <a href="https://udn.com/news/story/7241/7332429">大樹醫藥證實遭到網路攻擊，以簡訊提醒消費者慎防詐騙</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a> <a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a> <a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a> </div></div></div>
2023/7/31 18:57作者周峻佑https://www.ithome.com.tw/news/158049
研究人員警告，4成Ubuntu含有漏洞風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability" target="_blank">來自Wiz Research的兩名資安研究人員Sagi Tzadik與Shir Tamari在26日指出</a>，Ubuntu中含有兩個與OverlayFS有關的權限擴張漏洞，影響了40%的Ubuntu用戶，而且以前的攻擊程式就適用。不過，<a href="https://ubuntu.com/security/notices/USN-6250-1" target="_blank">Ubuntu在25日已藉由釋出Ubuntu 23.04</a>，修補了包括這兩個漏洞在內的8個安全漏洞。 OverlayFS為一Linux檔案系統，由於它可在預先建構好的映像檔上部署動態檔案系統，因而隨著容器的興起而變得更熱門，然而，由於非常權用戶經常得以利用使用者命名空間（User Namespace）存取OverlayFS，使得它成為吸引駭客的攻擊表面。 Tzadik與Tamari說，基於Linux的Ubuntu在2018年針對OverlayFS模組作了許多變更，雖然這些變更並未帶來任何安全風險，但Linux Kernel專案在2019年與2022年執行的OverlayFS變更卻與Ubuntu的作法衝突，而分別產生了<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>漏洞。 有鑑於它們是基於Ubuntu的變更才衍生的，因此這兩個漏洞並未波及其它Linux作業系統。根據Ubuntu的說明，這兩個漏洞源自於Ubuntu中的OverlayFS在特定情況下無法妥善檢查權限，而允許本地端駭客擴張權限。 值得注意的是，那些過去鎖定OverlayFS漏洞所開發的攻擊程式，完全不需要修改就能攻擊<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>，Ubuntu用戶最好儘速修補。 至於Ubuntu 23.04本周所修補的其它漏洞，則皆直接源自Linux Kernel。 </div></div></div>
2023/7/28 12:42作者陳曉莉https://www.ithome.com.tw/news/157983
【廠商永續支援度盤點：IBM】最新一代z16大型主機產開始揭露生產的碳足跡資訊，還能透過碳排放資料平臺進行碳核算並自動…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 近年來，不少伺服器廠商都開始強化自身IT產品碳足跡透明度，甚至將其生產過程的產品碳足跡資訊列為必備的項目，IBM也是其中一家，早在2年前就開始揭露產品碳足跡資訊，一方面，要讓企業用戶可以更容易評估該產品生命周期的碳排放量對於企業的影響，來擬定減碳策略；另一方面，也因應歐盟CBAM碳關稅政策，未來對於企業出口到歐盟的高碳排商品可能實施碳稅要求。 不只針對旗下新一代LinuxONE 4單機櫃伺服器、或FlashSystem儲存陣列等產品提供了碳足跡資訊，IBM在2022年推出的新一代大型主機z16也開始揭露其產品的碳足跡資訊，涵蓋了該產品生產製造、用戶使用、回收廢棄等過程中所預估的碳排放當量。 臺灣目前不少金融業者採用其大型主機作為其核心系統，未來更加需要掌握這些大型主機產品碳足跡資訊。尤其，對金融業而言，比起較難以掌握範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">3碳排放資訊（以投融資組合為主），不少金融業者選擇先從範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">2間接能源的碳盤查和減量著手，其中IT機房也是高碳排來源之一，特別是大型主機每天需要應付頻繁且大量的金融交易處理，因此具有較高的能耗與更高的利用率，也帶來相對高的碳排放量，成為了主要減碳的重點。 除了提供生產過程的產品碳足跡資訊，IBM去年推出了一個碳排放資料平臺Envizi，能用來蒐集和監控用戶使用大型主機產生的碳排放量。Envizi是IBM於2022年所收購的一家ESG數據和分析公司，並在併購後推出了同名產品。除了應用IBM大型主機外，Envizi也能用於計算和管理自家伺服器、儲存等產品使用的碳排放數據，且不僅限於IBM產品，其他第三方的IT或OT設備也可以使用。 內建碳排放計算引擎，能根據碳排係數進行碳核算，並能自動產出相關報表 為了準確計算其碳排放量，達到金融業的合規核算需求，Envizi平臺內建了一個碳排放計算引擎，可以根據使用者所在的電力公司或電力市場基準的碳排係數進行計算，將這些大型主機的電力消耗轉為二氧化碳當量，統一計算出其碳排放量。 使用者匯入相關排放源數據到平臺中計算時，不僅可以使用電子表格、看板、網頁等形式手動匯入數據，還支援了電子郵件或FTP等自動化數據匯入方式，或是直接透過介接電錶API方式取得用電數據。 在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，IT維運人員或管理者可以透過儀表板察看使用大型主機在內的IBM產品的碳排放情況，同時也能根據不同年、月的排放量趨勢變化或分布情況進行比較和分析，還可以按照地理位置畫分，或依據不同核心業務功能來呈現這些資訊，來協助管理者擬定減碳方案。 <img alt="" src="https://s4.itho.me/sites/default/files/images/3(52).png" style="width: 600px;" /> 在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，讓企業可以察看其使用大型主機在內的IBM產品的整體碳排放情況，還能根據不同年、月的排放量的變化進行比較和分析。圖片來源_IBM 可即時察看單臺大型主機每日的碳排變化情形，但需要搭配另一套應用資源管理平臺 Envizi平臺進一步能與IBM的機房應用資源管理平臺Turbonomic結合，來取得每臺大型主機更詳細的電力使用數據，並在Turbonomic平臺上呈現計算後的碳排放結果。 台灣IBM科技事業部永續軟體資深技術顧問林裕隆指出，Envizi平臺雖然可蒐集和監控整體IBM IT設備的碳排數據，不過，若用戶想要即時察看每臺大型主機在不同時段的碳排變化情形，則需要搭配Turbonomic監控平臺，才能夠取得個別IT設備更即時且詳細的碳排資訊，例如能呈現每日離峰或尖峰時段的碳排分布趨勢等。 此外，Envizi結合Turbonomic後，使用者還能進一步考慮到每個實體（如 VM 或容器）對於設備本身碳排的影響，進而優化能源使用，降低其碳排。 這套碳排放數據平臺還支援多種報告工具。舉例來說，企業可以透過其內建的PowerReport功能，自動產生圖形報表，並能將這些數據匯出，結合其他相關的碳盤資訊做分析和運用，另外也支援了視覺化儀表板和自訂Excel報告製作方式。 Envizi還提供了更自動化匯出方式，推出網頁API，讓企業可以將這些碳排資料數據彙整到自己的碳資訊整合平臺中，建立相關碳盤查報告，且支援第三方的平臺，如Power BI、Tableau數據分析平臺等。 除了提供範疇2的碳數據核算和報告，Envizi同樣能應用於範疇1和範疇3。林裕隆表示，該平臺目前可管理500多種數據類型和40,000個排放係數，來確保計算出碳排放結果的合規性和正確性。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1(64).png" style="width: 600px;" /> 從Envizi平臺架構來看，分為三大類9大模組，整合了排放管理、ESG報告和脫碳分析的功能，其中在排放管理方面，提供包含範疇1 、2 、3的溫室氣體核算與報告，並支援目標設定和追蹤功能。在ESG報告方面，Envizi則提供多個主要的ESG報告框架，並支援建築評級基準及價值鏈調查和評估。在脫碳分析方面，則提供水電費等公用事業帳單分析、區間儀表分析及永續發展計畫的追蹤功能。 圖片來源_IBM 在這套碳數據平臺中，還提供多個不同功能儀表板，其中包含了費率分析儀表板和性能分析儀表板。費率分析儀表板可以用來追蹤消耗的碳排放情況，並評估脫碳目標達成進度，而性能分析儀表板則可以將碳排放數據和營業績效、目標及預算進行比較，讓管理者可以更清楚地了解碳排放對營業績效的影響。 Envizi除了提供碳排管理之外，還有ESG報告和脫碳分析兩大功能，其中在ESG報告方面，可以支援如GRI、SASB、CDP等常見的ESG報告框架，方便企業根據所需框架來進行ESG報告製作，還推出永續發展報告管理器工具，可進一步協助使用者管理ESG資訊揭露的相關問題、工作流程等。另外，在脫碳分析上，則能透過分析間隔儀表、水電費等公用事業帳單，來優化或提升用電效率，進而降低碳排。 <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/7/28 11:12作者余至浩https://www.ithome.com.tw/news/157851
【資安日報】7月27日，有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。 隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。 勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。 , <h3>【攻擊與威脅】</h3> <a href="https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt">駭客製作AI網路犯罪工具FraudGPT，號稱不只能製作釣魚郵件，還能用於打造破解工具</a> <a href="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png" style="width: 300px; float: right;" /></a>資安業者Netenrich揭露名為FraudGPT生成式AI網路犯罪工具，賣家CanadianKingpin在暗網論壇上以每個月200美元的價碼兜售，並標榜能夠用來產生惡意程式碼、打造無法被防毒軟體偵測的惡意程式、創造釣魚網頁、製作駭客工具、製作詐騙信件（或網頁）、找尋漏洞、可用於盜刷的網站（Cardable site）等，號稱已有超過3千個買家採用或是留下評價。 比較特別的是，駭客不只設置Telegram頻道來經營FraudGPT的銷售業務，並表示已通過Empire、WHM、Torrez、Wolrd、Alphabay、Verssu等地下市集的驗證。研究人員指出，雖然賣家甫於22日開始兜售這個AI機器人工具，但其後續可能帶來的資安威脅值得觀察。 <a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-adds-data-leak-api-in-new-extortion-strategy/">為了向受害組織施加更多壓力，勒索軟體BlackCat為資料外洩網站加入API、Python爬蟲</a> <a href="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有數名研究人員在勒索軟體駭客組織BlackCat（Alphv）公布受害者的網站上，發現新增了說明網頁，內容是關於如何透過API即時接收受害者資料的最新動態。 資安研究團隊VX-Underground認為，此API似乎在數個月前就已上架，但並未對外開放。，研究人員還發現駭客提供以Python打造的爬蟲，可供他人找出該組織網站特定的外洩資料。 而對於駭客提供上述工具的原因，該新聞網站認為，很有可能是願意支付贖金的受害組織越來越少，導致這些駭客決定提供更多資料洩露工具，進而對受害組織增加更大的壓力，以脅迫他們付錢。 <a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim">加拿大山葉傳出遭勒索軟體Black Byte、Akira攻擊</a> 7月20日山葉音樂（Yamaha Music）加拿大分公司證實遭到網路攻擊，導致內部環境遭到未經授權存取，面臨資料外洩的情況，該公司也正在通知受影響的人士。 而對於攻擊者的身分，研究人員Dominic Alvieri指出，勒索軟體Black Byte、Akira先後在6月14日、7月21日，都將山葉列入受害組織名單。但這並非不同的勒索駭客組織表明攻擊相同企業的首例，知名化妝品業者雅詩蘭黛就是上週發生這類「群毆」事故，他們遭到Clop及BlackCat兩個勒索軟體駭客攻擊，Dominic Alvieri表示，他曾看到有3組駭客聲稱對同樣的組織發動攻擊。 <a href="https://www.hackread.com/siegedsec-hacktivist-hack-nato-data-leak/">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</a> <a href="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg" style="width: 300px; float: right;" /></a>資安業者Cyberint指出，駭客組織SiegedSec於Telegram頻道聲稱，他們針對北約組織（NATO）的入口網站COI發動網路攻擊，隨後洩露數百份與北約國家和合作夥伴有關的敏感文件，這些資料包含完整姓名、電子郵件信箱、電話號碼、辦公室地址，以及逾70個北約組織官員的職級。 而對於犯案的動機，駭客聲稱是因為北約組織做了侵害人權的行為，而決定報復北約國家。 <a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</a> IT服務業者JumpCloud於7月證實遭到網路攻擊，現在研究人員找到新的證據。資安業者Mandiant指出，這起事故幕後指使者是名為UNC4899的北韓駭客組織，原因是這些駭客一度在利用VPN服務隱匿攻擊行動的過程裡，不慎出現了違反操作安全（OpSec）的錯誤，而曝露了攻擊來源——出現來自平壤的IP位址。 研究人員最早在6月27日，看到JumpCloud用戶的代理程式執行惡意Ruby指令碼，此指令碼主要功能是下載並執行第二階段攻擊的惡意酬載，攻擊者取得初始存取權限的24小時之內，便部署後門程式，然後利用macOS內建的應用程式plist，維持在受害電腦運作。駭客運用名為Fullhouse.doored、Stratofear、Tiedye後門程式來進行後續的攻擊行動。 而對於這些駭客的來歷，研究人員指出，UNC4899隸屬於北韓人民軍總參謀偵察總部（RGB），專門攻擊加密貨幣相關產業，很可能與另一個北韓駭客組織TraderTraitor有所關連。 <h3>【漏洞與修補】</h3> <a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability">Ubuntu存在權限提升漏洞，約4成用戶受到波及</a> 資安業者Wiz針對Ubuntu用戶提出警告，他們發現該作業系統的OverlayFS檔案系統模組出現權限提升漏洞CVE-2023-2640，以及可被用於執行任意程式碼的漏洞CVE-2023-32629，CVSS風險評分介於5.4至7.8。 研究人員指出，這些漏洞發生的原因，在於Canonical曾在2018年修改該作業系統搭配的OverlayFS元件，到了2019年、2022年，Linux基金會對於OverlayFS官方版本做出更動，而Canonical後續在導入新程式碼的過程，發生與2018年對OverlayFS更動的程式碼造成衝突的狀況。因此，上述OverlayFS漏洞皆為Ubuntu獨有，估計4成使用者可能受影響。 由於目前已經出現利用這些漏洞的攻擊手法，用戶若不盡快完成修補，將淪為駭客下手目標。 <h3>【資安防禦措施】</h3> <a href="https://www.sec.gov/news/press-release/2023-139">美國證交所要求上市公司4天內揭露重大網路攻擊事件</a> 7月26日美國證券交易委員會（SEC）通過新的規定，要求上市公司若是遭遇重大資安事件，必須在4個工作天之內透過8-K文件揭露，當中應詳細說明事件發生的時間、性質、規模，以及對公司的影響。不過，若是揭露資安事故可能對美國國家安全或公共安全帶來重大風險，企業可申請延後揭露。這項規定將在聯邦公報發布後的30天正式生效。 目前該規定尚有爭議，例如：如何認定重大資安事件？而過早揭露資安事故，也有可能對公司或外界帶來更嚴重的危害。 <h3>【其他新聞】</h3> <a href="https://www.metabaseq.com/fenix-botnet/">殭屍網路Fenix鎖定拉丁美洲使用者而來</a> <a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</a> <a href="https://blog.sygnia.co/breaking-down-casbaneiro-infection-chain-part2">金融木馬Casbaneiro繞過使用者帳號控制機制發動攻擊</a> <a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/">開源軟體供應鏈攻擊針對銀行產業而來</a> <a href="https://flare.io/learn/resources/stealer-logs-and-corporate-access/">竊資軟體盜走逾40萬家公司的雲端服務帳密</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a> <a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a> <a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a> </div></div></div>
2023/7/27 17:16作者周峻佑https://www.ithome.com.tw/news/157972
【資安日報】7月25日，中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。 蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。 廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。 <h3>【攻擊與威脅】</h3> <a href="https://www.ftvnews.com.tw/news/detail/2023724F06M1">中華汽車遭遇網路攻擊，傳出部分產線停工</a> <a href="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png" style="width: 300px; float: right;" /></a>7月24日中華汽車於股市公開觀測站發布重大訊息，表示部分資訊系統遭到惡意攻擊，該公司資訊部門啟動防禦機制，並進行復原作業，協同外部資安專家後續處理，而對於營運帶來的影響，該公司表示尚在釐清。根據民視新聞的報導，有資安專家認為，此起事故很有可能是駭客勒索事件，並指出中華汽車已出現部分產線停工的情況，現正全面針對相關系統及設備進行檢修。 而對於本次事故發生的原因，有資安專家推測，可能是因為資訊部門在系統整修或更新期間，為便於遠端連線操作，短暫關閉防火牆而釀禍，駭客趁機入侵並取得控制權，並索討高額解鎖費用。截至目前為止，該公司尚未出現個資外洩的跡象。 <a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/">軟體開發問題追蹤系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</a> 美國系統網路安全協會（SANS Institute）旗下的Internet Storm Center（ISC）提出警告，他們看到來自中國的IP位址，針對軟體開發問題追蹤系統Jira的外掛程式Stagil navigation for Jira發動攻擊，駭客鎖定今年2月底被揭露的高風險漏洞CVE-2023-26255、CVE-2023-26256（CVSS風險評分皆為7.5）而來，這些漏洞為路徑穿越漏洞，攻擊者可藉此竄改snjCustomDesignConfig及snjFooterNavigationConfig的fileName參數，而能在檔案系統進行讀取或是穿越，外掛程式開發商於同月發布2.0.52版予以修補。 研究人員指出，針對上述漏洞的攻擊行動並非首度出現，今年3月底已有相關攻擊，且疑為相同的駭客所為。 <a href="https://therecord.media/dhl-moveit-breach-investigation">物流業者DHL證實遭到MOVEit Transfer零時差漏洞攻擊波及</a> 根據資安新聞網站The Record的報導，物流業者DHL的英國分公司正在調查資料外洩事件，原因是MOVEit Transfer系統遭遇零時差漏洞攻擊，而遭到波及。該公司確認他們的其中一家軟體供應商，受到MOVEit Transfer的漏洞影響，但並未透露受害規模及範圍。 <h3>【漏洞與修補】</h3> 蘋果修補瀏覽器排版引擎WebKit、系統核心的零時差漏洞 7月24日蘋果針對旗下的電腦、行動裝置、穿戴裝置，推出iOS 16.6與15.7.8、iPadOS 16.6與15.7.8、macOS Ventura 13.5、macOS Monterey 12.6.8、macOS Big Sur 11.7.9、tvOS 16.6、watchOS 9.6，以及電腦版Safari 16.6，當中修補了兩個已被用於攻擊行動的零時差漏洞CVE-2023-37450、CVE-2023-38606。 CVE-2023-37450為10日該公司在快速安全回應（RSR）公告的WebKit排版引擎漏洞，該漏洞起因是在處理網頁內容的過程出現異常，而有可能被用於執行任意程式碼。 另一個漏洞CVE-2023-38606則是存在於作業系統核心，已有攻擊者針對執行iOS 15.7.1以下版本的行動裝置利用該漏洞。卡巴斯基研究人員指出，CVE-2023-38606是Operation Triangulation間諜軟體的零點擊攻擊鏈的其中一部分，呼籲使用者應儘速更新所有的蘋果裝置。 資料來源 1. <a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/">https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/</a> 2. <a href="https://twitter.com/oct0xor/status/1683563098571931648">https://twitter.com/oct0xor/status/1683563098571931648</a> <a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html">研究人員揭露AMD處理器漏洞Zenbleed，攻擊者可攔截處理器的敏感資訊</a> <a href="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png" style="width: 300px; float: right;" /></a>7月24日AMD發布資安通告，修補名為Zenbleed的記憶體釋放後濫用（UAF）漏洞CVE-2023-20593，一旦攻擊者利用這項漏洞，就有機會從部分搭載Ryzen及EPYC處理器的電腦取得密碼、金鑰等機密資訊。 該漏洞出現於處理器執行推測執行（speculative execution）的過程中，處理vzeroupper指令不當所致，而有可能導致資料被儲存在YMM暫存器，未依照程序刪除，使得攻擊者有機會存取相關內容，影響Ryzen 3000、Threadripper 3000、4000、PRO 4000 、5000、7020、EPYC Rome等型號的Zen 2系列處理器，對此，該公司發布新版韌體予以修補。 <a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent">遠端登入工具OpenSSH存在漏洞，可能讓攻擊者對於Linux作業系統發動命令注入攻擊</a> 資安業者Qualys揭露OpenSSH的RCE漏洞CVE-2023-38408，此漏洞存在於金鑰暫存元件ssh-agent，影響9.3p1及之前版本的OpenSSH。攻擊者一旦利用該漏洞，就有可能藉由轉發SSH金鑰（SSH agent forwarding）的機制，遠端下達任意命令。 研究人員在執行Ubuntu Desktop 22.04、21.10的電腦上成功進行概念性驗證攻擊（PoC），研判其他Linux作業系統也可能會存在相關風險。對此，OpenSSH開發團隊獲報後，發布了9.3p2修補這項漏洞。 <a href="https://tetraburst.com/">廣受軍警單位採用的無線電通訊協定TETRA加密機制存在漏洞，恐被攻擊者用於干擾通訊</a> <a href="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png" style="width: 300px; float: right;" /></a>資安業者Midnight Blue揭露無線通訊標準協定Terrestrial Trunked Radio（TETRA）的安全漏洞，這些漏洞分別是CVE-2022-24401、CVE-2022-24402、CVE-2022-24404、CVE-2022-24403、CVE-2022-24400，統稱TETRA:Burst。 其中，CVE-2022-24401與CVE-2022-24402為重大等級，CVE-2022-24401發生的原因與產生無線通訊的加密金鑰Air Interface Encryption（AIE）有關，而有可能遭到解密並引發Decryption Oracle攻擊；CVE-2022-24402則存在於TETRA的其中一種加密演算法TEA1，可在數分鐘內暴力破解當中使用的80位元金鑰。 研究人員指出，CVE-2022-24401或CVE-2022-24404都能被用來攔截全程加密（E2EE）保護的流量，或是注入惡意內容，而有可能讓駭客干擾警察或是軍方的無線通訊。這些漏洞的發現源自於該資安業者在2021年啟動的研究，過程中，他們也通報各國執法機關、資安機構、設備製造商，但尚不清楚這些漏洞是否遭到利用。 資料來源 1. <a href="https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst">https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst</a> 2. <a href="https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/">https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/</a> <a href="https://eclypsium.com/research/bmcc-lights-out-forever/">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</a> 資安業者Eclypsium揭露American Megatrends International（AMI）的MegaRAC基版管理控制器（BMC）漏洞CVE-2023-34329、CVE-2023-34330（CVSS風險評分9.9、8.2），並指出攻擊者若是串連這些漏洞，其危險程度即達到CVSS風險評分10分。 CVE-2023-34329為透過HTTP標頭欺騙的身分驗證繞過漏洞，CVE-2023-34330則是能藉由Dynamic Redfish Extension介面進行程式碼注入的漏洞，一旦攻擊者將兩者搭配運用，就能在取得BMC管理介面存取權限、但不知道帳密的情況下，在伺服器上執行任意程式碼、阻斷伺服器運作。由於上述的漏洞利用，是欺騙BMC將HTTP請求視為來自內部的網路連接埠而達成，若是相關的連接埠曝露於網際網路，攻擊者可直接從遠端上傳或執行任意程式碼。 而對於上述漏洞的發現，研究人員表示，技嘉2021年遭勒索軟體RansomEXX攻擊時，駭客外流了一批機密資料，他們最近取得這些資訊之後，進行調查，因此才發現這些漏洞。 <h3>【其他新聞】</h3> <a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/">挪威政府傳出遭到零時差漏洞攻擊</a> <a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</a> <a href="https://asec.ahnlab.com/en/55369/">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，對其散布惡意程式</a> <a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/">Ivanti修補行動裝置管理平臺的零時差漏洞</a> <a href="https://www.mandiant.com/resources/blog/privileges-third-party-windows-installers">遠端管理工具Atera的安裝程式出現漏洞，恐被攻擊者用於提升權限</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a> <a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a> <a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a> </div></div></div>
2023/7/25 17:48作者周峻佑https://www.ithome.com.tw/news/157937
AMD修補可造成Zen 2 CPU資料外洩的Zenbleed漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html" target="_blank">AMD昨日發出安全公告</a>，以修補可讓攻擊者從數款Ryzon及EPYC處理器取得密碼、金鑰等機密資訊的Zenbleed漏洞。 這項漏洞正式編號為CVE-2023-20593，是影響AMD Zen 2 CPU的使用已釋放記憶體（use-after-free）類型瑕疵。它是知名Google安全研究人員<a href="https://twitter.com/taviso/status/1683484820817444866" target="_blank">Tavis Ormandy發現與通報</a>。 這項漏洞出在AMD CPU在現代處理器進行推測執行（speculative execution）過程中，處理vzeroupper指令不當，而給攻擊者引發資訊洩露的機會。正常的處理器執行vzeroupper時，若發現其推測錯誤，會將YMM暫存器置零，以便把暫存器用作其他運算之用。<a href="https://lock.cmpxchg8b.com/zenbleed.html" target="_blank">Ormandy解釋</a>，因為AMD的這個臭蟲，攻擊者在精準排程下，使用某些程式引發可造成指令無法正確將暫存器置零，也就是當中還留有資料，以致於被後來其他使用YMM暫存器的應用程式存取，可能造成敏感資訊外洩。Ormandy將之稱為Zenbleed。 Google研究人員發現，受到這漏洞影響的AMD產品包括Ryzen 3000、Threadripper 3000、4000、PRO 4000、5000、7020處理器及EPYC Rome處理器等8項產品。AMD將這項漏洞風險值列為中度，並已釋出更新版微碼加以解決。 研究人員在其概念驗證攻擊中，觸發XMM暫存器合併優化（XMM Register Merge Optimization）暫存器重新命名及vzeroupper錯誤推測等情境，造成AMD處理器以每秒每核心30kb的速度外洩資料。他說，這速度就足以在用戶登入時竊取加密金鑰和密碼。 研究人員也將完整安全公告及相關程式碼全數在<a href="https://github.com/google/security-research/tree/master/pocs/cpus" target="_blank">GitHub上的Google安全儲存庫上公開</a>，包括<a href="https://lock.cmpxchg8b.com/files/zenbleed-v5.tar.gz" target="_blank">攻擊程式</a>。雖然這程式碼是執行於Linux平臺，但研究人員警告漏洞影響所有作業系統。 </div></div></div>
2023/7/25 15:19作者林妍溱https://www.ithome.com.tw/news/157925
【資安週報】2023年7月17日到7月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一週漏洞消息中，有3個漏洞利用情形最受關注，主要是Citrix在18日修補影響NetScaler ADC、NetScaler Gateway的CVE-2023-3519漏洞，當時已獲報遭鎖定利用，而Adobe在11日修補ColdFusion產品CVE-2023-29298後，資安業者發現開始出現駭客針對該漏洞與另一零時差漏洞的攻擊情形，後續Adobe又在17日修補CVE-2023-38205漏洞。此外，郵件伺服器系統Zimbra被發現遭用於攻擊的零時差漏洞，要注意後續更新修補釋出，還有物聯網裝置的即時通訊服務框架QuickBlox存在漏洞，AMI的基板管理控制器MegaRAC的重大漏洞揭露，以及CI/CD代管服務Google Cloud Build的設計缺陷揭露，需要留意。 在最新威脅與攻擊活動上，有三大焦點受關注，首先是駭客組織TeamTNT發起殭屍網路Silentbob攻擊行動，受到多家資安業者揭露，其目標是眾多類型伺服器，甚至Azure與GCP也再其攻擊範圍；其次是惡意軟體AVrecon針對SOHO族路由器設備的揭露，研究人員指出其規模更甚於Qakbot，並在近年兩年多時間內一直未被發現；第三是中國駭客組織Mustang Panda透過USB裝置散布惡意軟體Sogu，以及UNC4698針對亞洲石油與天然氣業者散布惡意軟體Snowydrive的揭露。 而在資安事件方面，以IT管理服務業者JumpCloud遭國家級駭客網路攻擊，雅詩蘭黛同時被BlackCat、Clop勒索軟體宣稱為其受害者，最受關注。此外，還有惡意程式分析平臺VirusTotal驚傳資料外洩的消息。 這段期間，有多個新興威脅活動也引發資安界的注目，例如，有網路犯罪論壇兜售專為惡意活動設計的WormGPT工具；勒索軟體故意用資安業者名義、取名SophosEncrypt，不知是為了挑釁或是混淆資安人員辨識；UEFI惡意程式BlackLotus傳出原始碼外洩；尚未登陸歐洲的Meta社交平臺Threads，其冒牌App竟登上蘋果App Store該地區第一名。另有一項資安研究也值得我們警惕，德國亞琛工業大學研究人員指出有2萬8千多個（佔整體調查8.5%）的Docker映像檔，包含不該洩露外界的私鑰、API密鑰與其他敏感資訊。 在防護焦點方面，近日FIRST公布CVSS風險評分4.0預覽版本，目前徵集意見中，新變化在於改進精細程度，並是首度針對OT、ICS、IoT提供額外評估指標。 <h3><a href="https://www.ithome.com.tw/news/157828">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</a></h3> 駭客利用生成式語言模型產生用於網路釣魚、商業郵件詐騙（BEC）攻擊的情況，不少是利用紅極一時的ChatGPT，產生相關信件的內容。但最近有人在網路犯罪論壇推出專為駭客量身打造的AI工具WormGPT，研究人員進行驗證後發現其威力極為強大，不僅產生出來的信件內容幾乎沒有什麼瑕疵，就連郵件安全系統也難以偵測出攻擊特徵。 Meta甫推出的社交平臺Threads並未在歐洲地區提供服務，也成為駭客用來發動攻擊的目標。有開發人員發現，駭客假借提供此社交網站App的名義，在歐洲數個國家的蘋果App Store市集上架，且離譜的是，這冒牌App竟登上社交網站類型的第一名，顯然有不少使用者上當。 有許多發動殭屍網路攻擊的駭客，會無所不用其極地壓榨受害電腦的各式資源，但也有人選擇低調行事，等到數年後被發現時，已形成大型殭屍網路，例如，有資安業者最近揭露的惡意軟體AVrecon攻擊行動就是如此，駭客感染逾7萬臺路由器，其規模迄今已超越惡名昭彰的QBot。 <h3><a href="https://www.ithome.com.tw/news/157850">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</a></h3> 駭客組織TeamTNT的攻擊行動Silentbob引起研究人員高度關注，先是有資安業者Aqua Security揭露攻擊行動的部分樣貌，駭客的殭屍網路攻擊範圍不只包含了Docker、Kubernetes環境，還有多種資料庫及網頁伺服器的伺服器，現在有另外2家資安業者也公布他們的調查結果，指出這些駭客原本的攻擊範圍是AWS，但現在也打算擴及Azure與Google Cloud Platform（GCP）。 針對應用程式開發系統而來的攻擊行動，也相當值得留意。資安業者Rapid7指出，他們發現有人針對Adobe ColdFusion伺服器發動攻擊，利用的就是上週才修補的漏洞CVE-2023-29298。 <h3><a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a></h3> 專門提供分析惡意軟體的知名網站VirusTotal竟出現了資安事故，而引發全球關注。而這份外洩的資料是逾5千筆使用者的姓名與電子郵件帳號，值得留意的是，此處列出的資安人員，來自歐美多個公私部門，亦有臺灣政府機構。後續效應需觀察。 攻擊者針對安卓手機發動惡意軟體攻擊的管道，多半是在Google Play市集上架App的方式進行，但最近又有新的手法能夠繞過該市集的審核機制。資安業者RIFFsec、電腦資安事件應變小組CSIRT KNF揭露利用WebAPK技術的攻擊行動，而能突破上述市集與作業系統的防護機制，於使用者手機部署惡意軟體。 有勒索軟體駭客將腦筋動到了資安業者身上，想要嫁禍給這類公司。研究人員發現了名為SophosEncrypt的勒索軟體，一度以為是資安業者Sophos用於紅隊演線的工具，但該公司對此表示否認。 <h3><a href="https://www.ithome.com.tw/news/157880">【7月20日】Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></h3> 開發環境的相關應用系統出現漏洞，所帶來的威脅很有可能連帶波及用戶。例如，資安業者Orca、Rhino Security Labs對於Google旗下的CI/CD代管服務Cloud Build提出警告，當中存在權限提升漏洞Bad.Build，駭客可趁機在該服務代管的映像檔植入惡意程式碼，危害取用這些映像檔進行組建程序的應用系統。 這幾天，知名的化妝保養品業者雅詩蘭黛證實遭到網路攻擊，但目前遇害情況仍相當混亂，因為該公司可能同時受到兩個勒索軟體團體的攻擊。因為，同時有2個勒索軟體駭客組織Clop、BlackCat（Alphv）聲稱對其下手，且突破該公司採用的微軟及Mandiant資安防護服務。後續情況有待進一步追蹤。 中國駭客APT41的攻擊行動相當值得留意，資安業者Lookout針對間諜軟體WyrmSpy及DragonEgg進行調查，找出攻擊者的身分就是APT41，並指出該組織的攻擊標的已從電腦逐漸轉向行動裝置。 <h3><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></h3> 兆勤科技（Zyxel）於4月下旬，針對旗下多款防火牆及VPN設備產品線，修補重大漏洞CVE-2023-28771，<a href="https://www.ithome.com.tw/news/157192#zyxel">並於6月初證實已出現攻擊行動</a>，而且駭客還有可能利用另外2個5月底修補的漏洞。但相關漏洞的攻擊行動，似乎沒有減緩的跡象。資安業者Fortinet揭露從6月出現的殭屍網路Dark.IoT攻擊行動，並表示他們已經看到多個殭屍網路也透過CVE-2023-28771發動攻擊。 鎖定加密貨幣廠商開發人員的攻擊行動DangerousPassword，也同樣相當值得留意，因為，這些開發者無論使用Windows、macOS、Linux作業系統，都可能成為駭客下手的目標。 元老級駭客Kevin Mitnick過世的消息相當令人震驚，此人曾是美國聯邦調查局（FBI）首位通緝的駭客，後來成為白帽駭客為資安界做出貢獻。 </div></div></div>
2023/7/24 09:34作者羅正漢https://www.ithome.com.tw/news/157905
【資安日報】7月21日，兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 兆勤科技（Zyxel）於4月下旬，針對旗下多款防火牆及VPN設備產品線，修補重大漏洞CVE-2023-28771，<a href="https://www.ithome.com.tw/news/157192#zyxel">並於6月初證實已出現攻擊行動</a>，而且駭客還有可能利用另外2個5月底修補的漏洞。但相關漏洞的攻擊行動，似乎沒有減緩的跡象。資安業者Fortinet揭露從6月出現的殭屍網路Dark.IoT攻擊行動，並表示他們已經看到多個殭屍網路也透過CVE-2023-28771發動攻擊。 鎖定加密貨幣廠商開發人員的攻擊行動DangerousPassword，也同樣相當值得留意，因為，這些開發者無論使用Windows、macOS、Linux作業系統，都可能成為駭客下手的目標。 元老級駭客Kevin Mitnick過世的消息相當令人震驚，此人曾是美國聯邦調查局（FBI）首位通緝的駭客，後來成為白帽駭客為資安界做出貢獻。 <h3>【攻擊與威脅】</h3> <a href="https://www.fortinet.com/blog/threat-research/ddos-botnets-target-zyxel-vulnerability-cve-2023-28771">殭屍網路Dark.IoT鎖定兆勤防火牆、VPN設備的重大漏洞而來</a> 資安業者Fortinet揭露Mirai殭屍網路變種Dark.IoT最新一波的攻擊行動，他們在今年6月看到鎖定兆勤科技（Zyxel）的防火牆及VPN設備而來的情況，攻擊者利用CVE-2023-28771（CVSS風險評分為9.8）來入侵目標系統，並使用curl或wget來下載指令碼並執行，以便下載專為MIPS架構打造的攻擊工具，最終目的是散播殭屍網路病毒Dark.IoT、綁架資安設備、將它們用於DDoS攻擊。 研究人員指出，在兆勤於4月底修補上述漏洞之後，他們便於5月發現相關的攻擊顯著增加的現象，且有多個殭屍網路在利用這項漏洞。 <a href="https://blogs.jpcert.or.jp/en/2023/07/dangerouspassword_dev.html">攻擊行動DangerousPassword鎖定開發人員而來，Windows、macOS、Linux用戶都是目標</a> <a href="https://s4.itho.me/sites/default/files/images/dangerouspassword_dev-fig8-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dangerouspassword_dev-fig8-800wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露今年5月下旬出現的DangerousPassword（亦稱CryptoMimic、SnatchCrypto）攻擊行動，鎖定加密貨幣交易所的開發人員而來，這些駭客自2019年6月就開始從事相關攻擊，但最近這波行動很特別，因為駭客利用Python、Node.js惡意程式，同時針對Windows、macOS、Linux作業系統的開發環境下手。 在使用Python惡意軟體的攻擊行動裡，駭客先是偵測目標電腦執行的作業系統， 若這些電腦採用Windows系統，就從外部下載MSI安裝程式檔案並執行，進而投放PowerShell指令碼，以便部署更多MSI檔案，最終透過遠端桌面剪貼簿程式rdpclip.exe側載DLL檔案，來啟動惡意程式。 假如目標電腦執行macOS或Linux作業系統，此Python惡意程式便會解析被插入builder.py的BASE64編碼字串，將其內容儲存為log.tmp的檔案並執行。 而在Node.js惡意程式的攻擊行動裡，駭客將惡意程式碼插入Express程式庫當中的route.js，然後藉此執行另一個檔案request.js，從C2下載的惡意程式儲存為server.js並執行。 <a href="https://www.bleepingcomputer.com/news/security/new-p2pinfect-worm-malware-targets-linux-and-windows-redis-servers/">蠕蟲程式P2PInfect鎖定Redis伺服器而來</a> 資安業者Palo Alto Networks於本月11日發現名為P2PInfect的蠕蟲程式，駭客的目標是部署在Windows或Linux主機的Redis記憶體資料庫伺服器，他們從網際網路上尋找存在CVE-2022-0543（CVSS風險評分為10.0）的伺服器，一旦成功入侵，就有可能將其加入駭客的P2P網路，部署更多惡意程式。研究人員指出，他們在網際網路上找到逾30萬臺曝露的Redis伺服器，約有934臺可能會受到相關攻擊。 對此，Redis開發團隊表示，CVE-2022-0543並非存在於Redis的全部版本，僅有部分Debian Linux內含的Redis套件存在這項漏洞，Redis企業版本不受影響，他們呼籲使用者採用Redis提供的版本。 <a href="https://research.checkpoint.com/2023/byos-bundle-your-own-stealer/">竊資軟體BundleBot假借提供Google的AI機器人的名義散布，目的是挾持臉書帳號</a> 資安業者Check Point發現惡意軟體BundleBot的攻擊行動，駭客透過惡意廣告，以及利用遭到入侵臉書的帳號來發布貼文，假借提供應用程式、遊戲、AI相關的工具，如：Google AI、PDF Reader、Canva、Chaturbate、Smart Miner、Super Mario 3D World，來引誘使用者上當。 一旦使用者依照指示下載這些軟體的安裝程式，就會從Dropbox、Google Drive等雲端檔共享服務，下載RAR壓縮檔案，其內容是.NET可執行檔，使用者執行後會再從雲端檔共享服務下載另一個ZIP壓縮檔，若是依照指示執行，電腦就有可能感染BundleBot，此惡意軟體的用途是竊取受害者的臉書帳號。 研究人員指出，駭客打包BundleBot時，因為同時加入所需的各種.NET相依程式庫，導致該惡意程式的檔案大小達到數十MB，有可能影響防毒軟體的分析。 <a href="https://thehackernews.com/2023/07/north-korean-state-sponsored-hackers.html">JumpCloud供應鏈攻擊疑為北韓駭客所為</a> 7月初IT管理服務業者JumpCloud證實遭到網路攻擊，強制輪換所有用戶的管理API私鑰，後來透露攻擊者的身分是國家級駭客。對此，有研究人員公布新的發現。資安業者SentinelOne根據該公司提供的入侵指標（IoC）循線追查，指出駭客來自北韓，他們採用多種手法滲透開發者環境。 根據路透社報導，JumpCloud尋求CrowdStrike協助調查，認為攻擊者是Lazarus旗下的團體Labyrinth Chollima，在攻擊的過程裡，駭客疑似將JumpCloud視為「跳板」，目標是加密貨幣業者。 GitHub的資安研究團隊指出，攻擊者是名為Jade Sleet（亦稱TraderTraitor）的北韓駭客組織，過程中駭客在GitHub、LinkedIn、Slack、Telegram利用假帳號或是遭竊的帳號，引誘目標人士拉取特定GitHub儲存庫的內容並進行協作。 資料來源 1. <a href="https://www.sentinelone.com/labs/jumpcloud-intrusion-attacker-infrastructure-links-compromise-to-north-korean-apt-activity/">https://www.sentinelone.com/labs/jumpcloud-intrusion-attacker-infrastructure-links-compromise-to-north-korean-apt-activity/</a> 2. <a href="https://www.reuters.com/technology/n-korea-hackers-breached-us-it-company-bid-steal-crypto-sources-2023-07-20/">https://www.reuters.com/technology/n-korea-hackers-breached-us-it-company-bid-steal-crypto-sources-2023-07-20/</a> 3. <a href="https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/">https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/</a> <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/adobe-fixes-patch-bypass-for-exploited-coldfusion-cve-2023-29298-flaw/">Adobe針對ColdFusion漏洞CVE-2023-29298再度修補</a> 7月19日Adobe再度對於應用程式開發平臺ColdFusion發布更新，修補CVE-2023-38204、CVE-2023-38205、CVE-2023-38206，CVSS風險評分為5.3至9.8，並指出CVE-2023-38205已在有限的攻擊行動裡遭到利用。資安新聞網站Bleeping Computer指出，CVE-2023-38205就是先前CVE-2023-29298修補不全的漏洞。 <h3>【駭客名人堂】</h3> <a href="https://www.ithome.com.tw/news/157889">元老級駭客Kevin Mitnick過世，享年59歲</a> 被視為網路社交工程始祖之一的Kevin Mitnick，1970年代起以尋求刺激為由，駭入多家知名企業，從Sun Microsystems、Nokia到Motorola，他竊取這些公司的程式碼與密碼、變更其電腦網路、存取電子郵件，而成為美國的頭號通緝犯，1995年被FBI逮捕，入獄服刑5年。 出獄後，Kevin Mitnick在2000年改以白帽駭客身分，經營電腦安全顧問公司Mitnick Security Consulting，針對社交工程與滲透測試領域，提供安全顧問服務，他也開始寫作與演講，主題多為社交工程及滲透測試，部分著作曾在臺灣出版。他在7月16日因胰腺癌過世，享年59歲。 資料來源 1. <a href="https://www.dignitymemorial.com/obituaries/las-vegas-nv/kevin-mitnick-11371668">https://www.dignitymemorial.com/obituaries/las-vegas-nv/kevin-mitnick-11371668</a> 2. <a href="https://twitter.com/kminx/status/1682027234796924928">https://twitter.com/kminx/status/1682027234796924928</a> 3. <a href="https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html">https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html</a> <h3>【其他新聞】</h3> <a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/">缺陷追蹤管理系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</a> <a href="https://eclypsium.com/research/bmcc-lights-out-forever/">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</a> <a href="https://www.sonarsource.com/blog/a-twist-in-the-code-openmeetings-vulnerabilities-through-unexpected-application-state/">Apache視訊會議解決方案OpenMeetings存在漏洞，恐被攻擊者執行惡意程式碼</a> <a href="https://unit42.paloaltonetworks.com/mallox-ransomware">勒索軟體Mallox鎖定微軟SQL Server而來</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a> <a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a> <a href="https://www.ithome.com.tw/news/157850">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</a> </div></div></div>
2023/7/21 16:53作者周峻佑https://www.ithome.com.tw/news/157901
損有餘而補不足
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這期iThome電腦報週刊的封面故事主角是QLC NAND快閃記憶體，為何挑中這個主題來報導？原因是今年我們陸續看到更多此類技術受到更普遍應用的現象，技術主筆張明德費了好大一番功夫，針對企業級儲存裝置與儲存產品供應商，整理出他們陸續推出、採納或支援QLC的時間表，橫跨5年之久，方便大家了解先後順序與相關的產品對應，同時，也聚焦在10家廠商，細部介紹他們採用狀況。 為了方便大家更深入了解當中的技術變革意義，封面故事的後半段也深入描述QLC的特性，不僅談到面臨的挑戰，以及廠商們如何突破、克服先天限制，找到應用的出路，從而形成可大量建置的儲存解決方案。 回顧過去，我們看待QLC的發展，態度其實很保留，因為幾乎所有人都認為它有許多技術層面的關卡需要克服，而且，多數廠商對於這類儲存媒介的發展與採用，也相當謹慎，因為他們雖然很看好它能在每個單元記錄更多資料而能帶來成本優勢，但遲遲不敢貿然將其放在支撐關鍵儲存應用的位置。 直到幾年前，我們看到一些企業級儲存系統廠商，如Pure Storage、NetApp，決定將QLC用於入門級全快閃儲存陣列，並且以取代純硬碟或混合傳統硬碟與固態硬碟的大容量儲存陣列產品，作為主要訴求；這段期間，也有一些新創儲存系統廠商，如VAST Data、StorOne，則是採用儲存級記憶體（SCM）與QLC固態儲存的混合架構，推出儲存陣列產品。在這之後，又有更多廠商加入採用QLC行列，像是IBM、Dell、Weka、DDN、Scality，紛紛推出搭配QLC固態儲存的選項、機型，甚至增設系列機型或提供新一代模組。由此可見，有越來越多儲存系統廠商，對QLC的使用抱持著認可、接受的態度，相對而言，我們也相信這麼多廠商絕不會自找麻煩，應該都經過審慎評估，而認為採用QLC有利可圖。 而在本期封面故事的後半部分，也提供從系統面檢視這項儲存技術發展的思維。因為我們不僅從中看到這項技術存在著先天的挑戰，也注意到業界的持續努力，因此，從製程、控制器、SSD裝置，一直到儲存系統層級，陸續出現了精彩的解法，也讓人得以用更寬廣的方式來看待技術的推陳出新。事實上，先天限制並非總是無藥可解，而從後天的角度，仍有辦法進行持續改良，另外，大家也能改變使用的模式，而能避開不足與弱點，進而發揮其應有的優勢。 其實這樣的歷程，也曾發生在其他IT技術變革上，現今我們行之有年的各種系統平臺，在進入市場的初期，也曾面臨種種不可靠、難以承擔重任的質疑，然而，如今卻成為承擔企業與組織關鍵應用的重要基石。 以近期而言，伺服器虛擬化技術就是一個非常經典的例子。一開始出現時，大家只敢將它用在非核心應用的系統，而隨著廠商的不斷改良，它成長為可同時承擔多種關鍵應用系統的平臺，躍升為開放系統架構推倒大型主機的最終關鍵，而後又陸續開啟雲端服務、容器化、微服務，以致雲端原生這一系列IT基礎架構轉型。 而在伺服器虛擬化普及之前，x86個人電腦、開放原始碼軟體、Linux、網站系統，過去也經歷難當重任的質疑，然而其開放的特性，吸引無數人投入，後續成為支撐IT發展的要角。試想如果所有人都緊抓著「可靠性至上」的考量，而不願給予新技術發展的空間的機會，現在的IT、數位化應用，恐怕不易發展成現在這樣百花齊放的局面。基於這樣的經驗，我們在謹守工作本分與專業之餘，也要意識到技術時時刻刻都在進步，不要輕忽新出現的議題與觀念，也不要忘記我們如何從過去走到現在，新與舊之間，並非只有彼此對立與取代，而是存在著累積與合作的可能性，我們要多多了解與溝通，才能發揮各自所擅長的部分，避開先天的局限。 </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc-nand%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC NAND快閃記憶體</a></div><div class="field-item odd"><a href="/tags/qlc">QLC</a></div></div></div>
2023/7/21 12:00作者李宗翰https://www.ithome.com.tw/voice/157864
AMD更新資料中心產品布局，最高128核心EPYC處理器搶攻高密度雲原生需求，新款GPU攻生成式AI市場（上）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 【舊金山現場直擊】今年6月ISC 2023國際超級電腦大會，全球最新的500大超級電腦排名剛剛熱騰騰出爐，採用AMD產品上榜的超級電腦共有121個。連續3屆位居全球超級電腦第1的美國橡樹嶺國家實驗室旗下超級電腦Frontier，採用AMD EPYC處理器、Instinct加速器，以超過Exaflops效能領先其他對手。 緊接在超級電腦大會之後不久，AMD揭露了資料中心及AI一系列的新產品，展現對資料中心市場的最新布局。首先，在第4代EPYC處理器方面擴大產品線，特別針對雲原生需求，發表代號為Bergamo的EPYC處理器，一舉將現有代號為Genoa的第4代EPYC處理器核心數從96核心、192執行緒，提高至128核心、256執行緒，處理器核心、執行緒數量增加，滿足需要更高密度的雲原生應用需求。 相較於Bergamo鎖定雲原生，另一個第4代EPYC處理器生力軍則是Genoa-X，定位為資料中心流體力學、產品設計、工程模擬等技術型運算需求，支援3D V-Cache技術，最多擁有1.1GB的L3快取記憶體，相容於SP5插槽。緊接在後，2023年下半年還會推出同為第4代EPYC處理器的Siena，專門鎖定電信及邊緣運算需要。 去年AMD推出第4代EPYC處理器，作為第3代處理器的接班人，首批搶先登場的第4代EPYC處理器為Genoa產品線，今年則一口氣增加了鎖定雲原生的Bergamo、技術運算的Genoa-X及電信邊緣運算的Siena，讓這批進攻資料中心的第4代EPYC大軍，產品陣容更為完整。不論是Genoa、Bergamo、Genoa-X或是Siena，這些第4代EPYC處理器皆相容於目前EPYC 9004系列插槽，可無縫升級。 <img alt="" src="https://s4.itho.me/sites/default/files/images/position-600.jpg" style="width: 600px; height: 332px;" /> 事實上，CPU僅是AMD整個資料中心拼圖中的一塊，AMD看到CPU以外更大的商機，以500億美元大手筆買下Xilinx，取得的FPGA處理器相關技術，為其增添在資料中心市場的競爭籌碼。2022年，AMD再以19億美元買下Pensando，取得DPU相關技術。 現在，除了CPU，AMD也針對資料中心內各種工作負載優化，提供對應的運算產品，例如在資料中心協助卸載CPU工作的DPU方面，AMD推出新的P4 DPU，減輕CPU虛擬化的工作負載，並推出Pensando SmartNIC。 <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD-workload.jpg" style="width: 600px; height: 331px;" /> 隨著生成式AI帶動更多AI應用需求，針對資料中心興起的AI加速運算，AMD先前已推出GPU加速器Instinct 200系列，今年Instinct加速器推出Instinct MI300系列，包含採用APU設計的MI300A，定位為HPC及AI加速運算，還有更進階的MI300X，強調為生成式AI設計，以更大容量的記憶體，支援最高400億個參數的大型語言模型。 最高128核心第4代EPYC處理器問世 去年AMD推出第4代EPYC處理器首批產品Genoa，採用Zen 4微架構、5奈米製程，包含900億顆電晶體，產品型號為9004系列，內建CPU核心數從16個核心到最高的96核心，L3快取記憶體從64MB到384MB，並有不同的熱功耗設計，在整個第4代EPYC處理器家族中定位在通用計算需求的Genoa，共推出18款產品，以滿足不同的處理器規格需求，例如追求大量工作負載處理的多核心，或是追求處理器及I/O間的平衡、成本最佳化等等。 Genoa能夠推出這麼多款規格，在於將CPU核心、I/O拆分為不同的模組，CPU核心模組稱為CCD（Core Complex Die），每個處理器有12個CCD，每個CCD內有8個核心，以此達到最多96個核心，至於I/O模組（I/O Die）則是整合外部晶片組的I/O控制功能，內建12個 DDR5 記憶體控制器、SATA控制器、PCIe Gen5控制器、Infinity Fabric控制器、CXL控制器等。 這樣的設計也在Bergamo身上，同樣採用5奈米製程，相較於Genoa的Zen 4架構，Bergamo為Zen 4c架構，處理器面積要比Genoa更小35%，共有820億電晶體，在CCD及CPU核心數量上，Bergamo雖然只有8個CCD，但每個CCD擁有的CPU核心數增至16核心，因此最多可達到128個核心。至於I/O模組則和Genoa一樣採用6奈米製程。 <img alt="" src="https://s4.itho.me/sites/default/files/images/bergamo.jpg" style="width: 600px; height: 333px;" /> Bergamo追求更高核心數密度，共推出3款型號，包括9734、9754S、9754，除了9734為112個核心、224執行緒，9754S與9754都是128個核心，不同的是，9754S關閉SMT功能，且只有128執行緒規格，而9754則擁有256個執行緒。TDP方面，9734的320瓦設計，而9754S與9754則是360瓦，3款型號L3快取都是256MB。 以Zen 4和Zen 4c架構對比，Zen 4每個CPU核心有4MB的L3快取記憶體，但是在Zen 4c部分，每核心的L3快取降至2MB。這是因為在雲端運算中，AMD認為對雲原生應用的優化，更重於L3快取記憶體大小。 在舊金山發表會上，AMD執行長蘇姿丰形容Bergamo使用的Zen 4c是Genoa的Zen 4加強版，當初設計Zen 4時，以每核心的最高效能進行優化，Zen 4c則是針對性能與功率平衡點作優化，達到更高的密度、能源效率。為此，AMD還重新設計Bergamo的L3快取記憶體，將每個CCD內的CPU核心提高為Genoa的2倍。 AMD以Bergamo中的128個核心第4代EPYC 9754，來和60核心的英特爾第4代Xeon 8490H相比，在網站前端、記憶體內分析，或是繁重的交易工作負載。AMD宣稱，Bergamo在各種雲原生應用中，比這款CPU高出2.6倍效能。以每臺伺服器的容器密度來看，也可以提高到2.1倍，而在執行Java工作負載的每瓦效率則有2倍。Bergamo現在已開始針對超大型資料中心業者開始供貨。 <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD-Stage.jpg" style="width: 600px; height: 307px;" /> 即使和同樣擁有128個核心，但採用Arm架構的Ampere Altra Max M128-30,128c處理器相比，AMD稱在每系統瓦特的效能方面，EPYC 9754也高出2.7倍，降低伺服器能源成本。 若以NGINX每秒傳送3.75億筆請求的相同的條件，AMD比較Ampere與EPYC 9754所需的1P伺服器數量，採用Ampere處理器需要65臺伺服器，而採用EPYC 9754僅需29臺伺服器，減少55%的伺服器數量，一年累計能耗可降低最多39%。相同的處理器換成2P伺服器，採用Ampere處理器需要43臺伺服器，採用EPYC 9754需要18臺伺服器，減少58%伺服器數量，一年累計能耗預期減少最多39%。 新推出的Bergamo和現有的Genoa，不論是軟體、插槽的相容性均為百分百。目前支援第4代EPYC處理器9004系列的作業環境，包括作業系統Ubuntu 22.04及SUSE Linux Enterprise 15 SP4，VMware也已在官網公告支援。 至於鎖定HPC高效能運算的新成員Genoa-X，採用Zen 4架構，搭配高效能核心，支援第二代3D V-Cache技術，L3快取記憶體最多到1,152MB；Genoa-X共有3款型號，包括9184X、9384X、9684X，16核心到最高96核心、192執行緒，TDP分為320瓦及400瓦。 超多核心處理器支援更多雲原生應用、改善穩定性 英特爾也不落人後，除了2024年將推出採用Intel 3製程節點，內含P-Core效能核心的Granite Rapids處理器，在同一年也會推出採用Intel 3製程節點，但採用E-Core效率核心的Sierra Forest，最多擁有144個核心，強調專為超大規模資料中心所設計，為雲端運算工作負載最佳化核心，有更高的密度及每瓦效能效率表現。 如下圖所示，英特爾預計在2024年推出Sierra Forest，根據先前的資料，最高擁有144個E-Core效率核心： <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-roadmap.jpg" style="width: 600px; height: 400px;" /> 兩大X86處理器業者推進資料中心CPU往更多核心發展，進入破百核心競爭，順應愈來愈多的雲原生應用發展。 特別是隨著DevOps越來越普及，開發者可以快速開發、部署新功能，針對不同的應用、功能進行優化。這種快速開發維運的概念，對運算資源的運用也帶來很大的影響。 傳統做法上，大型應用部署在實體伺服器上執行，隨著虛擬化技術的成熟，伺服器運算資源可以進行分割，另一方面，單一大型應用也習慣分拆為多個小應用，這些分割的運算資源被用來執行小應用，以提高資源使用效率及彈性，隨後進入容器化時代後，可以更細緻的切分運算資源，來以執行多個小型應用或拆分的微服務，甚至是將複雜功能拆分數百個或數千個各別執行的小功能。 因此，從傳統向現代化的雲原生應用發展，應用愈多，密度也愈來愈高。因此，AMD認為，鎖定雲原生應用計算優化的處理器特性，要具有相容於X86 ISA、高效能核心、最高的核心數量及密度、廣泛的軟體生態相容性。 從企業IT維運管理來看，處理器朝超多核心發展，有助於提高資料中心的使用效率，由於資料中心空間有限，運算需求增加，過去處理器核心數有限時，企業大多透過增加伺服器的數量，以多臺伺服器增加運算的核心資源，但也衍生出大量伺服器管理、能耗等問題。 處理器內建更多核心數，例如一臺採用128核心的1P伺服器，相當於4臺採用32核心的1P伺服器總核心數，或是8臺採用16核心的1P伺服器總核心數，節省伺服器數量，有效的利用資料中心的空間，相較於管理多臺伺服器，單一伺服器在管理上相對簡化不少。 更多的CPU核心數，對企業而言，能夠執行更多的應用，或是在原本的應用數量下，提升關鍵應用執行時的穩定度。例如採用微服務架構，可能執行數百、上千個微服務，較少的處理器核心數，每個核心可能以分時執行好幾個微服務，當一個核心發生問題，就可能影響多個微服務，或是當一個微服務當機，可能會影響到共用核心的其他多個微服務。 當CPU核心數增加，微服務有機會被分配單一核心執行，或減少共用的情形，當單一核心發生問題時，不致影響其他微服務，或某個微服務當機，減少影響共用核心的其他微服務。換言之，處理器有更多核心數，在現代化IT架構中，支援企業雲原生運算需求的擴充，為企業採用新的超多核心處理器帶來更大的誘因。 但是，除了破百核心滿足企業的需求，支援記憶體容量也需要大幅提升，例如每個容器分配的記憶體有限，影響每個容器可使用的資料量，當遇到需要大量記憶體才能執行的應用，可能出現分配到的記憶體不敷應用所需的問題。 <a href="https://www.ithome.com.tw/news/157891" target="_blank">AMD更新資料中心產品布局，最高128核心EPYC處理器搶攻高密度雲原生需求，新款GPU攻生成式AI市場（下）</a> </div></div></div>
2023/7/21 12:33作者蘇文彬https://www.ithome.com.tw/news/157829
向有意打造AI雲端服務的業者招手，輝達推出網路整合平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_spectrum-x_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 以GPU聞名全球的Nvidia，這幾年以來，積極拓展資料中心解決方案，2020年陸續併購Mellanox、Cumulus Networks這兩家公司之後，而涉足網路軟硬體產品的供應，其中又以帶動資料中心處理器（DPU）的崛起，最讓人津津樂道，除此之外，隨著他們開始推出整合式AI應用設備DGX系列，需要搭配更大而穩定傳輸的網路頻寬，也趁勢鼓吹企業多多採用源於Mellanox的網路解決方案，陸續將支援200Gb與400Gb InfiniBand的網路介面與網路交換器納入建置這類系統的參考架構，而使得網路環境的搭配成為提升整體系統效能的另一個重要關鍵。 過去我們曾陸續介紹可支援乙太網路或InfiniBand的網路介面卡<a href="https://www.ithome.com.tw/review/133978">ConnectX-6</a>與<a href="https://www.ithome.com.tw/review/149714">ConnectX-7</a>，資料處理器<a href="https://www.ithome.com.tw/review/144740">BlueField-2</a>與<a href="https://www.ithome.com.tw/review/156209">BlueField-3</a>，專攻InfiniBand的網路交換器<a href="https://www.ithome.com.tw/review/146313">Quantum-2 QM9700</a>，這些都是出自Mellanox的手筆，但其實他們還有乙太網路交換器Spectrum系列、網路纜線與收發器等互連器材LinkX系列，可惜相關的產品發表資訊相對較少，然而這並不代表他們不重視兩條產品線。 例如，在2020年5月舉行的GTC春季大會期間，Nvidia當時剛完成Mellanox的併購，創辦人暨執行長黃仁勳在線上主題演講影片開場10分鐘內，就特別向全球觀眾展示甫於同年3月問世的400GbE乙太網路交換器：Spectrum-3 SN4000系列，之後又秀出2月推出的資料處理器BlueField-2，以此歡迎Mellanox加入他們公司的行列。 <a href="https://s4.itho.me/sites/default/files/images/2020-05-Nvidia GTC SN4000-BF2 DPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-05-Nvidia%20GTC%20SN4000-BF2%20DPU.jpg" style="width: 600px;" /></a> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/bOf2S7OzFEg" title="YouTube video player" width="560px"></iframe></div> 到了2022年3月舉行的GTC春季大會，Nvidia終於推出下一代乙太網路平臺Spectrum-4，當中涵蓋網路卡ConnectX-7、資料處理器BlueField-3，以及採用ASIC晶片Spectrum-4的網路交換器SN5000系列，希望以此打造全面支援400GbE連線規格的網路平臺。 <a href="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-1.jpg" style="width: 600px;" /></a> 根據當時發布的新聞稿指出，ConnectX-7已上市，BlueField-3資料處理器與Spectrum-4交換器預計同年稍晚上市。 <a href="https://s4.itho.me/sites/default/files/images/2022-03-22_Nvidia Spectrum-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-22_Nvidia%20Spectrum-4.png" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-2.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-3.jpg" style="width: 600px;" /></a> 然而，到了今年3月舉行的GTC春季大會，Nvidia明確公開表示，BlueField-3已進入全面量產，而在5月24日發表的2024第一季財報時，他們透露多個產品正在生產當中，Spectrum-4網路平臺就是其中之一。 事隔幾天後舉行的台北國際電腦展期間，令人意外的是，Nvidia又有網路解決方案的新消息，那就是推出名為Spectrum-X的網路平臺，他們表示，這是針對使用乙太網路的AI雲端環境、專為改善其效能與效率而設計的加速網路平臺，是一種新的乙太網路應用類型，能夠用於多種AI系統，它可以掃除新世代生成式AI工作負載的障礙，具有改變整個產業的潛能，而且完整採用標準乙太網路的規格，能與其他同樣基於乙太網路的技術堆疊互通。 <a href="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia Spectrum-X-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia%20Spectrum-X-1.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia Spectrum-X-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia%20Spectrum-X-2.png" style="width: 600px;" /></a> 而在導入成效的部分，Nvidia強調Spectrum-X對於整體AI效能與電力使用效益，改善的幅度可達到1.7倍，同時，此平臺也能用於多租戶環境，提供持續、可預期的效能輸出。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Nvidia%20Networks-Relative%20AI%20Fabric%20Performance.png" style="width: 600px;" /> <h3>包含4大軟硬體技術，提供乙太網路產品線更多市場動能</h3> 這套平臺是由哪些元件所組成？它涵蓋Spectrum-4交換器（圖1位置）、BlueField-3資料處理器（圖2位置）、LinkX光纖網路線材與收發器（圖4位置），以及網路作業系統與軟體開發套件（圖3位置），目前已開始供貨，可透過Dell Technologies、聯想、Supermicro這三家系統廠商取得。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spevtrum-X-Arch.jpg" style="width: 600px;" /> <a href="https://s4.itho.me/sites/default/files/images/2023-05-29-nvidia-spectrum-4-typical-data-center-deployment-structure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-nvidia-spectrum-4-typical-data-center-deployment-structure.jpg" style="width: 600px;" /></a> 以交換器而言，它採用的Spectrum-4晶片導入台積電4N製程，而且是基於1千億顆電晶體而成，網路交換容量最大可提供51.2 Tb/s，密碼學引擎可處理的流量為12.8 Tb/s，以此支援AI網路環境的應用需求；若是從交換器設備的角度來看，搭配Spectrum-4晶片的SN5000系列，可支援800GbE（SN5600系列，內建64個800GbE埠、可分接出128個400GbE埠），以及400GbE、200GbE、100GbE、50GbE、40GbE、25GbE、10GbE、1GbE（SN5600系列與SN5400系列），而且也提供進階RoCE延伸應用選項，能橫跨多臺Spectrum-4交換器使用。 在資料處理器的部分，BlueField-3提供超高速網路介面與交換器承接之餘，更重要的是，它具有強大的運算力與能延伸多種用途的可程式化功能，可針對軟體定義網路、儲存、資安等應用，提供400 Gb/s線速處理效能，而在Spectrum-X平臺的架構下，可運用RoCE加速處理機制，支援多租戶、零信任資安，提供控制層（control plane）的重要功能。 至於LinkX纜線與收發器的部分，在建構全面支援400GbE的網路環境，也和BlueField-3一樣扮演重要角色。因為這系列產品可提供直連銅質纜線（DAC）、主動式銅質纜線（ACC），以及光纖纜線，連接基於OSFP、QSFP而成的交織網路，而結合這些產品之後，可建立具有高能源使用效益的AI網路環境。 除了實體層設備的配置，Spectrum-X可支援多種網路系統軟體與加速軟體應用。例如，Spectrum-4交換器可搭配開放式網路作業系統（NOS），像是源於Cumulus Networks公司的Cumulus Linux，或是Linux基金會管理的SONiC，無論是透過前者的採用或透過開放網路安裝環境（ONIE）部署至Spectrum-4交換器，都能運用Spectrum-X授權，企業可在購買交換器時一併納入，或事後以獨立的採購方式增添授權均可。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20ethernet-spectrum%20stack.png" style="width: 600px;" /> 而在加速軟體方面，Spectrum-X可支援同樣源於Cumulus Network公司的網路維運管理軟體NetQ，提供即時的流量透視、障礙排除與驗證功能；而在軟體開發套件的部分，Spectrum-X支援他們晚近發展但尚未完全公開的<a href="https://developer.nvidia.com/networking/ethernet-switch-sdk">Ethernet Switch SDK</a>，用戶能透過複雜的程式化機制實作各種網路交換與路由功能，善用交換器晶片內建的進階網路功能，而不會因此嚴重影響封包傳送率、頻寬、存取延遲的效能表現。 同時，由於Spectrum-X本身也涵蓋資料處理器的使用，因此，這裡當然也支援可發揮此產品功能的DOCA框架與SDK，方便用戶建置以資料處理器加速執行、配備零信任防護的軟體定義服務，因應當代資料中心持續增加的效能與資安需求。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DPU%20stack.png" style="width: 600px;" /> <h3>將InfiniBand獨有特色帶入，創造新型態的乙太網路環境</h3> 為何現在要開始更重視資料中心的乙太網路環境配置？在今年台北國際電腦展舉行的Nvidia主題演講，黃仁勳特別提到幾個關鍵因素。 在2020年GTC春季大會，他首次提出「資料中心就是新的運算單位（Data Center is the New Unit of Computing）」的論調，到了2022年GTC春季大會，他談到<a href="https://youtu.be/39ubNuxnrK8?t=5515">「資料中心正轉變為 AI工廠（data centers becoming AI Factories）」</a>，而在今年的台北國際電腦展演講，他基於上述兩種概念說出「資料中心的用途取決於網路（The network defines what that data center does）」，以此突顯網路對於資料中心的重要性。 接著，黃仁勳花了一些時間解釋Nvidia現在看待網路的方式。 他們將現行的資料中心分成兩種，一是用於超大執行規模（hyperscale）、需廣泛支援各種應用程式工作負載、租戶數量多的雲端服務環境，網路耗損大（lossy），著重快速恢復連線的韌性，一是用於超級電腦運算、工作負載之間緊密耦合、租戶數量少的AI工廠，網路耗損小（loss-less），著重高效能，而為了促成每個資料中心都能發展生成式AI，Nvidia決定發展新的乙太網路應用方式，不僅要相容既有的各種系統存取，也需要透過工程的角度找出路，達到所有資料中心都能有效承擔AI工作負載的目標，而這項策略的核心，就是推出全新的交換器，亦即Spectrum-4交換器，是專門為了實現新型乙太網路應用所設計的。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-1-THE%20NETWORK%20DEFINES%20THE%20DATA%20CENTER.jpg" style="width: 600px;" /> 相較於InfiniBand每個環節是由少數廠商主導其發展，而能在交織網路運算（fabric computing）當中，做到隨需調整路由（adaptive routing）、流量壅塞控制、效能隔離， <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-2-THE%20NETWORK%20DEFINES%20THE%20DATA%20CENTER.jpg" style="width: 600px;" /> <a href="https://s4.itho.me/sites/default/files/images/NVIDIA Spectrum X Ethernet AI Platform.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Spectrum%20X%20Ethernet%20AI%20Platform.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NVIDIA Quantum InfiniBand Platform.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Quantum%20InfiniBand%20Platform.png" style="width: 298px;" /></a> 黃仁勳表示，他們現在打算運用這樣的概念來打造新的資料中心乙太網路環境；而為了實踐這樣的理念，這套可用於支撐AI應用需求的乙太網路系統，不僅仰賴Spectrum-4交換器這個關鍵，還需要搭配資料處理器BlueField-3、LinkX系列纜線與收發器，使得這張加速運算卡與交換器彼此的400GbE埠能夠實體連接，再加上執行在兩種設備的網路作業系統與加速軟體開發套件，從而能更徹底地展現Spectrum-4的能耐。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Spectrum-X%20SW%20Stack.jpg" style="width: 600px;" /> 以上述架構建立高效能網路環境之餘，Nvidia也有意將此平臺推廣到全球雲端服務供應業者使用。黃仁勳說，大家對此都有很不錯的反應，理由也很清楚，因為他們都希望每一座資料中心都能轉型，升級為可充分支援生成式AI應用的資料中心。 對於部分有這方面需求的公司而言，他們早已全面部署乙太網路，而且所維運的資料中心有許多用戶，如果想擁有InfiniBand網路環境才能運用的各種功能，做到更有效的用戶連網效能隔離，其實是相當困難的，因此，Nvidia決定率先將高效能網路的功能帶到乙太網路的市場應用中。 若導入Spectrum-X平臺，乙太網路環境可獲得那些好處？首先是隨需調整路由（adaptive routing），能基於資料中心的整體流量來處理——若交換器的網路埠出現過度壅塞狀況，可通知BlueField-3從交換器的另一個網路埠進行傳輸，BlueField-3可對傳輸的資料進行重新組裝、將資料直接提供GPU，這些工作全部在遠端直接記憶體存取（RDMA）完成，而不需要中央處理器介入（先傳至中央處理器），再送至GPU。 <a href="https://s4.itho.me/sites/default/files/images/Step 3 The Spectrum-4 leaf switch on the left uses RoCE Adaptive Routing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Step%203%20The%20Spectrum-4%20leaf%20switch%20on%20the%20left%20uses%20RoCE%20Adaptive%20Routing.png" style="width: 600px;" /></a> 第二是流量壅塞控制，交換器可能有多個網路埠同時面臨流量嚴重堵塞的狀況 <a href="https://s4.itho.me/sites/default/files/images/Spectrum-X solves congestion with flow metering and congestion-Before.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X%20solves%20congestion%20with%20flow%20metering%20and%20congestion-Before.png" style="width: 600px;" /></a> ，而透過交換器的遙測（telemetry）機制，每臺交換器可得知網路目前的運作方式，並與流量發送者進行通訊溝通，請它們現在不要再傳送資料過來，因為此舉正在造成網路壅塞。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X%20solves%20congestion%20with%20flow%20metering%20and%20congestion-After.png" style="width: 600px;" /> 而這個控制方式的實現，基本上，是透過凌駕既有配置的系統（overriding system），從軟體到交換器之間均在它涵蓋的範圍之內，並與當中的所有端點一起合作，進而能以整體的方式來管理資料中心網路的壅塞，或是傳輸流量、吞吐量等狀態。 黃仁勳強調，在一個高效能運算的應用系統當中，每顆GPU都必須完成它所負責的工作，應用系統之後才能繼續執行下個工作，在很多情況當中，必須要等到每一個結果出爐，才能完成全部的轉換處理，然而，如果其中一個節點耗費太久時間，將會導致每個節點都會連帶受到拖延，而有了Spectrum-X帶來的這些功能，將可大幅提升乙太網路的整體效能。 <a href="https://s4.itho.me/sites/default/files/images/Nvidia Spevtrum-X-efficient1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spevtrum-X-efficient1.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia Spevtrum-X-efficient2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spevtrum-X-efficient2.jpg" style="width: 600px;" /></a> 關於雲端業者現行資料中心使用的網路環境配置，與能否支援生成式AI應用之間的關聯與必要性，在6月底由Piper Sandler 投資公司主持的「Networks For AI」線上研討會，Nvidia網路部門資深副總裁Gilad Shainer提出一套更詳細的說法。 他將目前普遍使用的傳統乙太網路，與Nvidia發展的Spectrum-X乙太網路進行對比，目的是突顯該公司所主打的Spectrum-X，是最適合打造Ethernet for AI fabric、Ethernet fabric built for AI的解決方案。 <a href="https://s4.itho.me/sites/default/files/images/2023-06-28-Nvidia Spectrum-X-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-28-Nvidia%20Spectrum-X-1.jpg" style="width: 600px;" /></a> Nvidia認為，傳統乙太網路的架構與使用者存取網路的設計，是以支援南北向（縱向階層式存取）的網路流量傳輸為主，適合用於鬆散耦合的應用系統、低頻寬與低使用率，以及異質、多路徑的網路傳輸需求，而且對於流量的劇烈起伏（抖動）具有高度容錯的能力；而他們所打造的AI fabric乙太網路，除了能支援使用者與雲端服務之間的南北向網路存取，還能支援東西向（橫向扁平式存取）的處理，適合緊密耦合的分散式應用系統，可運用RoCE來提供更大的網路頻寬與更高使用率，能因應暴增的網路用量、提供可預期的傳輸效能，但對於流量抖動容忍力較低。 而這樣的新型乙太網路平臺，之所以能實現，關鍵在於網路交換器與資料處理器之間的傳輸方式，能夠結合軟體進行最佳化調節，達到傳輸耗損更小、可控制流量壅塞，以及多租戶存取效能互不干擾（彼此隔離）的要求，Nvidia表示，若以傳統乙太網路為比較基準，Spectrum-X可提供1.6倍傳輸效能，而在有效頻寬的供應上，Spectrum-X可達到95％，乙太網路則是60％。 <a href="https://s4.itho.me/sites/default/files/images/2023-06-28-Two Type Ethernet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-28-Two%20Type%20Ethernet.png" style="width: 600px;" /></a> <h3>經歷兩次消息發布，Nvidia揭露更多Spectrum-4交換器規格</h3> 作為Spectrum-X平臺的核心，Spectrum-4交換器本身的規格自然受到很大的矚目，而在去年GTC春季大會期間已揭露一些部分，除了上述我們提到的晶片製程與網路頻寬、處理能力、介面，Nvidia也強調比起前一代產品，提供4倍的網路交換吞吐能力（1臺抵4臺，可減少交換器設備的部署數量）、節省40％耗電量，也能針對RoCE網路傳輸模式進行最佳化調校，大幅加速資料中心網路效能。 而在晶片層級的功能上，Spectrum-4也支援MACsec、VXLANsec等加密安全防護網路規格，並且搭配硬體信任根而能預設使用安全開機機制，確保資料流量與網路管理作業的完整性與機密性。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-5-MACsec_VXLANSEC.jpg" style="width: 600px;" /> 在網路介面的支援上，Nvidia在新聞稿與大會主題演講，均提到Spectrum-4可提供128個400GbE埠，不過，在分場演講的產品細部介紹內容，我們看到搭配這款ASIC晶片的兩款交換器，其實都能支援更高規格的800GbE——SN5600內建64個800GbE埠，可分接成128個400GbE埠；SN5700內建32個800GbE埠，可分接成64個400GbE埠，而且這裡也可以看到這些交換器搭配Spectrum-4這顆交換器ASIC晶片之餘，也都搭配英特爾6核心Xeon處理器、32GB記憶體、256 GB固態硬碟，儼然就是一臺臺專門支援軟體定義網路服務的伺服器； <a href="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-2-SN5600.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-2-SN5600.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-1-SN5700.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-1-SN5700.jpg" style="width: 600px;" /></a> 此外他們也趁機介紹何謂隨需調整路由，以及Spectrum晶片特有的全共享緩衝架構。 <a href="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-6-Adaptive Routing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-6-Adaptive%20Routing.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia Spectrum-X Adaptive Routing Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spectrum-X%20Adaptive%20Routing%20Performance.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-9-Buffer.jpg" style="width: 600px;" /> 到了今年台北國際電腦展的Nvidia主題演講，黃仁勳重申並揭露更多Spectrum-4晶片與交換器的規格。例如，他直接展示Spectrum-4晶片，長寬均為90公釐，底部有800個球柵陣列封裝（BGA），熱設計功耗為500瓦，而舞臺上展示搭配此晶片的整臺交換器，熱設計功耗為2800瓦，使用氣冷散熱，裡面總共有48張印刷電路板相互連接。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Computex-Nvidia%20Spectrum-4.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-4-ASIC-2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Computex-Nvidia%20Spectrum-4-2.jpg" style="width: 600px;" /> 產品資訊 Nvidia Spectrum-X ●原廠：Nvidia ●建議售價：廠商未提供 ●基本組成元件： SN5000系列乙太網路交換器（採用Spectrum-4晶片，可安裝Cumulus Linux或SONiC等兩種網路作業系統）、 BlueField-3資料處理器、 LinkX網路纜線與收發器（400GbE）、 Spectrum-X使用授權（可部署Cumulus Linux系統或ONIE環境，訂閱期間有90天、3年業務標準支援或業務關鍵支援、5年業務標準支援或業務關鍵支援） ●RoCE擴充套件功能：自我調適路由、流量壅塞控制、傳輸效能隔離 ●網路埠：最高為64個800GbE埠（SN5600），可分接為128個400GbE或40GbE埠、256個200GbE埠、100GbE埠、50GbE埠、25GbE埠、1個10GbE埠 ●支援軟體平臺：NetQ、NCCL、Nsight、Bright Cluster Manager 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/7/20 17:07作者李宗翰https://www.ithome.com.tw/review/157770
【資安日報】7月18日，駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客組織TeamTNT的攻擊行動Silentbob引起研究人員高度關注，先是有資安業者Aqua Security揭露攻擊行動的部分樣貌，駭客的殭屍網路擊範圍不只包含了Docker、Kubernetes環境，還有多種資料庫及網頁伺服器的伺服器，現在有另外2家資安業者也公布他們的調查結果，指出這些駭客原本的攻擊範圍是AWS，但現在也打算擴及Azure與Google Cloud Platform（GCP）。 針對應用程式開發系統而來的攻擊行動，也相當值得留意。資安業者Rapid7指出，他們發現有人針對Adobe ColdFusion伺服器發動攻擊，利用的就是上週才修補的漏洞CVE-2023-29298。 <h3>【攻擊與威脅】</h3> <a href="https://www.darkreading.com/cloud/aws-cloud-credential-stealing-campaign-spreads-azure-google">針對AWS的雲端帳密盜竊攻擊Silentbob蔓延，駭客也開發Azure、GCP攻擊工具</a> <a href="https://s4.itho.me/sites/default/files/images/silentbob_campaign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/silentbob_campaign.png" style="width: 300px; float: right;" /></a>資安業者SentinelOne與Permiso聯手，針對駭客組織TeamTNT攻擊行動Silentbob著手進行調查，原先這些駭客<a href="https://www.ithome.com.tw/news/157828#silentbob">鎖定暴露在網際網路的雲端JupyterLab伺服器和Docker API</a>，主要針對是AWS雲端環境而來，但研究人員發現，自6月下旬，駭客也將Azure與Google Cloud Platform（GCP）納入攻擊範圍，一旦找到曝露在網際網路的Docker服務，就會先執行新的Shell指令碼進行偵察，確認所處的雲端環境、分析系統資訊、搜括帳密資料。 他們在6月24日的攻擊工具裡，看到駭客首度加入了Azure帳密資料收集的模組。此外，研究人員也發現駭客使用了針對AWS雲端環境的蠕蟲，目標是竊取雲端帳密及資料，並於受害環境植入Tsunami後門程式。此蠕蟲以Go語言打造、透過UPX加殼的ELF執行檔，其功能是投放並執行Shell指令碼，針對攻擊者指定的範圍進行掃描，然後散布至其他攻擊標的。 資料來源 1. <a href="https://www.sentinelone.com/labs/cloudy-with-a-chance-of-credentials-aws-targeting-cred-stealer-expands-to-azure-gcp/">https://www.sentinelone.com/labs/cloudy-with-a-chance-of-credentials-aws-targeting-cred-stealer-expands-to-azure-gcp/</a> 2. <a href="https://permiso.io/blog/s/agile-approach-to-mass-cloud-cred-harvesting-and-cryptomining/">https://permiso.io/blog/s/agile-approach-to-mass-cloud-cred-harvesting-and-cryptomining/</a> <a href="https://www.bleepingcomputer.com/news/security/critical-coldfusion-flaws-exploited-in-attacks-to-drop-webshells/">Adobe ColdFusion漏洞出現攻擊行動，駭客用來投放Web Shell</a> 7月11日Adobe針對旗下老牌網站應用程式快速開發平臺ColdFusion發布更新軟體，其中修補漏洞CVE-2023-29300、CVE-2023-29298（CVSS風險評分9.8、7.5），不過，本次揭露與修補的漏洞，現在傳出部分被駭客用於攻擊行動。 資安業者Project Discovery比對修補程式的內容，於12日公布CVE-2023-29300漏洞細節及概念性驗證（PoC）程式碼，並指出駭客可將其與CVE-2023-29298結合，造成更大的威脅（現已移除）。但另一家資安業者Rapid7發現，Project Discovery提及的漏洞細節與PoC程式碼，很可能並非是針對CVE-2023-29300，而是新的零時差漏洞CVE-2023-38203（CVSS風險評分9.8），他們在Project Discovery發布漏洞細節的隔天，已看到攻擊者利用CVE-2023-29298發動攻擊，並於存在相關弱點的ColdFusion伺服器部署Web Shell，藉此取得遠端存取權限。 Rapid7的研究人員認為，Adobe對於CVE-2023-29298的修補並不完整，用戶即使安裝相關更新，還是有可能曝險。 資料來源 1. <a href="https://www.rapid7.com/blog/post/2023/07/17/etr-active-exploitation-of-multiple-adobe-coldfusion-vulnerabilities/">https://www.rapid7.com/blog/post/2023/07/17/etr-active-exploitation-of-multiple-adobe-coldfusion-vulnerabilities/</a> 2. <a href="https://webcache.googleusercontent.com/search?q=cache:ZY3xxeBiSEoJ:https://blog.projectdiscovery.io/adobe-coldfusion-rce/&cd=10&hl=en&ct=clnk&gl=us">https://webcache.googleusercontent.com/search?q=cache:ZY3xxeBiSEoJ:https://blog.projectdiscovery.io/adobe-coldfusion-rce/&cd=10&hl=en&ct=clnk&gl=us</a> <a href="https://www.bleepingcomputer.com/news/security/zimbra-urges-admins-to-manually-fix-zero-day-exploited-in-attacks/">郵件伺服器系統Zimbra出現零時差漏洞，此漏洞已被用於攻擊行動</a> 電子郵件及協作平臺Zimbra指出，他們發現8.8.15版軟體存在安全漏洞（尚未取得CVE編號），有可能影響資料的機密性與完整性，並將於7月份的更新程式進行修補。在更新程式推出之前，該公司也提供緩解措施，呼籲IT人員應儘速套用來因應此弱點。 雖然Zimbra沒有進一步說明漏洞細節，但通報此漏洞的Google威脅情報小組（TAG）透露，這是跨網站指令碼（XSS）漏洞，研究人員是在調查一起針對性攻擊事件得知，換言之，它已是被用於攻擊行動的零時差漏洞。 資料來源 1. <a href="https://info.zimbra.com/security-update-zimbra-collaboration-suite-version-8.8.15-important">https://info.zimbra.com/security-update-zimbra-collaboration-suite-version-8.8.15-important</a> 2. <a href="https://twitter.com/maddiestone/status/1679542322772721664">https://twitter.com/maddiestone/status/1679542322772721664</a> <a href="https://www.mandiant.com/resources/blog/infected-usb-steal-secrets">惡意軟體Sogu、Snowydrive透過USB裝置散布</a> 資安業者Mandiant揭露惡意軟體Sogu及Snowydrive的攻擊行動，其共通點是透過USB儲存裝置來進行散布。 散布Sogu的是中國駭客組織Mustang Panda（該公司稱為TEMP.Hex），他們鎖定歐洲、亞洲、美國的營造、商業服務、政府機關、公共衛生、交通、零售業而來，一旦使用者不慎將惡意USB裝置連接電腦，電腦就會執行惡意程式PlugX，解密後門程式Sogu，然後竊取受害電腦機密檔案、輸入的按鍵內容，並截取螢幕截圖。 而在另一起使用Snowydrive的攻擊行動裡，駭客組織UNC4698針對亞洲石油與天然氣業者而來，目的是在受害系統執行惡意酬載。研究人員指出，一旦目標電腦載入了Snowydrive，該惡意程式就會在電腦部署後門程式，讓攻擊者可遠端下達系統層級的命令。此外，該惡意程式還會透過其他USB儲存裝置散布。 <a href="https://arxiv.org/pdf/2307.03958.pdf">8.5%的Docker映像檔含有私鑰、API密鑰或其他敏感資訊</a> 德國亞琛工業大學（RWTH Aachen University）研究人員分析了來自Docker Hub及其他8,076個私有Docker倉庫的337,171個映像檔，發現當中有28,621個映像檔含有機密資訊，包括52,107個有效私鑰、3,158個API密鑰，以及其他的敏感資訊，這些曝險的映像檔占總數8.5%。 其中，Docker Hub映像檔外洩機密資訊的比例為9.0%，私有儲存庫則是6.3%。而在這些曝露的機密資訊當中，95%私鑰與90%的API密鑰僅出現於單一使用者的映像檔，研究人員推測很有可能是無意造成的洩露。 而對於這些資料曝露所影響的範圍，研究人員指出，他們發現有22,082個憑證與前述曝光的私鑰有關，其中有7,546個是CA簽署的私有憑證，1,060個為該單位簽署的公共憑證。 <a href="https://www.ft.com/content/ab62af67-ed2a-42d0-87eb-c762ac163cf0">一字之差！逾10萬原應寄至美國軍方的電子郵件，恐因網域名稱錯誤而傳至敵對的馬利共和國</a> 根據金融時報的報導，近10年寄給美國軍方的電子郵件當中，不斷出現有人誤植收信人的電子郵件信箱而可能外洩機密。因為有很多人將頂級網域名稱.mil誤用.ml，所以，不慎把相關機密寄給與俄羅斯關係密切的西非國家馬利共和國，而這些寄錯的電子郵件數量累計近11.7萬封。 荷蘭企業家Johannes Zuurbier指出，他與馬利共和國於2013年簽署合約，取得此網域名稱10年控制權，近日即將歸還，他這10年收到寄錯的信件裡，雖然沒有被列為機密等級的郵件，但部分信件內含敏感資料，例如：X光片或醫療資料、身分證明文件、船員名單、基地的員工名單、基地照片、設施地圖、海軍檢查報告，或是官員行程等。他今年還收到美國陸軍參謀長James McConville參訪印尼的行程資料，信中列出了隨行人員及住宿房間號碼。 對此，美國國防部發言人向金融時報坦承此事，他們將對內部人員進行相關教育訓練，並攔截所有寄送到.ml網域的信件，但此舉仍無法防範合作廠商出錯的情形。 <h3>【其他新聞】</h3> <a href="https://www.wordfence.com/blog/2023/07/massive-targeted-exploit-campaign-against-woocommerce-payments-underway/">WordPress電子商城付款外掛WooCommerce Payments漏洞出現攻擊行動</a> <a href="https://thehackernews.com/2023/07/hackers-exploit-webapk-to-deceive.html">駭客濫用WebAPK誘騙安卓用戶安裝惡意程式</a> <a href="https://www.bleepingcomputer.com/news/security/jumpcloud-discloses-breach-by-state-backed-apt-hacking-group/">企業軟體業者JumpCloud證實遭到國家級駭客入侵</a> <a href="https://www.bleepingcomputer.com/news/security/fake-linux-vulnerability-exploit-drops-data-stealing-malware/">勒索軟體NoEscape一個月有10個組織受害，疑為Avaddon東山再起</a> <a href="https://www.cna.com.tw/news/aipl/202307110164.aspx">為因應可能會出現的網路攻擊，國防部將動員民間資安人才參與漢光演習</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157828">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</a> <a href="https://www.ithome.com.tw/news/157789">【7月14日】 Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護</a> <a href="https://www.ithome.com.tw/news/157762">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</a> </div></div></div>
2023/7/18 18:07作者周峻佑https://www.ithome.com.tw/news/157850
【資安日報】7月17日，駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客利用生成式語言模型產生用於網路釣魚、商業郵件詐騙（BEC）攻擊的情況，不少是利用紅極一時的ChatGPT，產生相關信件的內容。但最近有人在網路犯罪論壇推出專為駭客量身打造的AI工具WormGPT，研究人員進行驗證後發現其威力極為強大，不僅產生出來的信件內容幾乎沒有什麼瑕疵，就連郵件安全系統也難以偵測出攻擊特徵。 Meta甫推出的社交平臺Threads並未在歐洲地區提供服務，也成為駭客用來發動攻擊的目標。有開發人員發現，駭客假借提供此社交網站App的名義，在歐洲數個國家的蘋果App Store市集上架，且離譜的是，這冒牌App竟登上社交網站類型的第一名，顯然有不少使用者上當。 有許多發動殭屍網路攻擊的駭客，會無所不用其極地壓榨受害電腦的各式資源，但也有人選擇低調行事，等到數年後被發現時，已形成大型殭屍網路，例如，有資安業者最近揭露的惡意軟體AVrecon攻擊行動就是如此，駭客感染逾7萬臺路由器，其規模迄今已超越惡名昭彰的QBot。 <h3>【攻擊與威脅】</h3> <a href="https://slashnext.com/blog/wormgpt-the-generative-ai-tool-cybercriminals-are-using-to-launch-business-email-compromise-attacks/">駭客打造AI犯罪工具WormGPT發動商業郵件詐騙攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/WormGPT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WormGPT.png" style="width: 300px; float: right;" /></a>資安業者SlashNext發現，有人在網路犯罪論壇兜售名為WormGPT的工具，並聲稱是黑帽駭客界的GPT生成式語言模型，專為惡意活動設計。WormGPT是以2021年推出的大型語言模型GPT-J打造而成，此語言模型具備無限長度字數的支援、聊天內容保留在記憶體，以及程式碼會套用統一格式（code formatting）等特色。 研究人員實際透過WormGPT產生用於商業郵件詐騙（BEC）的電子郵件，結果發現，該工具自動產生的信件極具說服力，且高度可信，再加上很收信人很容易信以為真，且郵件安全系統也不會將其視為有害。 <a href="https://www.hackread.com/fake-threads-app-apple-store-europe/">冒牌Threads社交App竟登上歐洲蘋果App Store第一</a> Meta旗下的Instagram於7月初推出類推特社交平臺Threads，並在不到1個星期的時間內用戶數量突破1億，但因為個人資料保護的法規GDPR遵循考量，該公司尚未在歐盟地區提供服務，甚至限制歐洲使用者透過VPN存取，而這樣的情況也讓駭客有機可乘，散布惡意程式。 iOS程式開發團隊Mysk發現，有個名為SocialKit LTD的開發者，將名為Threads for Insta的冒牌應用程式，上架到德國、法國、丹麥、西班牙的蘋果App Store市集，並登上社群網路類App第1名。蘋果獲報後，已將該開發者帳號停用，並移除其上架的多款App。 <a href="https://blog.lumen.com/routers-from-the-underground-exposing-avrecon/">惡意軟體AVrecon感染逾7萬臺路由器</a> <a href="https://s4.itho.me/sites/default/files/images/AVrecon-Figure1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AVrecon-Figure1.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen揭露名為AVrecon的Linux惡意軟體攻擊行動，駭客約自2021年5月開始，針對SOHO族所使用的路由器設備，植入上述的惡意程式，超過7萬臺遭到感染，其中約有4萬個IP位址（分散在超過20個國家）受到殭屍網路控制，攻擊者將這些設備用於建置家用網路代理伺服器服務，以便用於密碼噴灑攻擊、廣告詐欺、網路流量代理等行為。 研究人員指出，攻擊者行蹤極為隱密，遭到控制的路由器，幾乎不會出現服務中斷，或是頻寬遭顯著占用的跡象，以致此惡意軟體到了2年後才再度被察覺。 攻擊者能成功的主要原因，研究人員認為在於，使用這種路由器設備的人士往往沒有定期安裝修補程式，更不會採用EDR系統監控狀態，再加上駭客採取較為緩和的攻擊步調，而將其惡意軟體的勢力逐漸擴大，迄今規模已超越了QBot（亦稱QakBot）。 <a href="https://blog.aquasec.com/teamtnt-reemerged-with-new-aggressive-cloud-campaign">駭客組織TeamTNT發起殭屍網路Silentbob攻擊行動</a> 資安業者Aqua Security日前揭露了<a href="https://www.ithome.com.tw/news/157684#silentbob">針對雲端服務而來的攻擊行動Silentbob</a>，當時他們發現駭客鎖定暴露在網際網路的雲端JupyterLab伺服器和Docker API，但在研究人員深入調查後，得知駭客的攻擊範圍遠比先前更為廣泛。 研究人員指出，發起這起攻擊的駭客組織就是TeamTNT，而且他們的殭屍網路攻擊目標，不只是Docker及Kubernetes環境，還包含了Redis記憶體資料庫、PostgreSQL資料庫、Hadoop叢集、Tomcat及Nginx網頁伺服器、微服務監控系統Weave Scope等，總共有196臺伺服器遭到感染。 再者，攻擊者也不只有對其部署殭屍網路病毒Tsunami，研究人員還發現駭客利用Shell指令碼竊取帳密資料、部署SSH後門程式、下載額外的惡意酬載，以及濫用kubectl、Pacu、Peirates等工具於雲端環境進行偵察。此外，駭客也利用名為prochider的Rootkit隱匿挖礦的行為。 <a href="https://www.bleepingcomputer.com/news/security/source-code-for-blacklotus-windows-uefi-malware-leaked-on-github/">UEFI惡意程式BlackLotus傳出原始碼外洩</a> 根據資安新聞網站Bleping Computer的報導，針對執行Windows作業系統的電腦、名為BlackLotus的UEFI惡意啟動程式，有人將部分原始碼上傳到GitHub，使得研究人員有機會更進一步了解此惡意程式。 公開原始碼的GitHub用戶Yukari指出，原始碼的內容已被修改，移除BlackLotus初期利用的安全功能繞過漏洞CVE-2022-21894（亦稱Baton Drop）程式碼，並納入UEFI Rootkit元件bootlicker。 資安業者Binarly表示，雖然公開的原始碼並不完整，但已涵蓋了繞過安全開機（Secure Boot）機制的Bootkit程式碼，以及Rootkit元件的部分，這些外洩的程式碼很有可能被攻擊者重新改寫，與惡意程式載入工具結合，而帶來更嚴重的威脅。 <h3>【漏洞與修補】</h3> <a href="https://www.armis.com/blog/critix-9-vulnerabilities-discovered-in-honeywells-experionplatforms-for-distributed-control-systems-dcs/">Honeywell分散式控制系統DCS存在漏洞Crit.IX，若不修補恐被用於攻擊工控系統</a> 資安業者Armis揭露名為Crit.IX的9個漏洞，CVE-2023-23585、CVE-2023-22435、CVE-2023-24474、CVE-2023-25078、CVE-2023-25178、CVE-2023-24480、CVE-2023-25948、CVE-2023-25770、CVE-2023-26597，這些漏洞存在於Honeywell旗下的Experion分散式控制系統（DCS），以及C300 DCS控制器，其中有7個達到重大風險等級，並且影響DCS當中的Experion Process Knowledge System（EPKS）、LX、PlantCruise等元件。Honeywell獲報後，已製作相關修補程式。 研究人員主要是針對Honeywell Experion伺服器與C300控制器之間，所使用的專屬通訊協定CDA進行調查，並發現該通訊協定缺乏加密與適當的身分驗證機制，而使得任何能夠存取此種網路環境的人士，都有可能產生冒牌的控制器或是伺服器。此外，CDA協定的設計缺陷也導致資料邊界難以控制，從而導致記憶體緩衝區溢位。 <h3>【資安產業動態】</h3> <a href="https://www.first.org/newsroom/releases/20230713">FIRST揭露CVSS風險評分4.0，首度針對工業控制系統與物聯網裝置提供額外評估指標</a> 7月13日國際資安應變組織FIRST公布通用弱點評分系統（CVSS）4.0的預覽版本。相較於現行在2019年6月推出的3.1版，新版本CVSS主要是為了改善基本指標精細程度不足，且相關標準僅針對IT系統規畫，而沒有涵蓋操作科技（OT）、工業控制系統（ICS）、物聯網（IoT）裝置等面向。目前公布的4.0版FIRST將收集相關意見，並於8月31日前進行彙整，並計畫於10月1日正式啟用。 <a href="https://www.ithome.com.tw/news/157725">Let's Encrypt將於2024年終止跨簽章支援</a> 憑證頒發機構Let's Encrypt宣布，他們的跨簽章（Cross-Signing）即將於2024年9月30日到期，考量到該機構的根憑證已廣受信任，他們不再展延對於跨簽章的支援，提醒提醒行動裝置使用者、網站營運商與ACME用戶端作者，應該提早採取相關措施因應。該機構將於明年2月8日停止提供跨簽章，並於6月6日停止提供跨簽章鏈。 對於執行Android 7.0版或舊版作業系統的裝置，使用者可透過Firefox Mobile繼續瀏覽採用該機構憑證的網站，而網站管理者、ACME用戶端作者的部分也要留意。Let's Encrypt表示，在移除跨簽章支援後，TLS交握所發送的憑證資料將減少40%。 <h3>【其他新聞】</h3> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vmanage-unauthapi-sphCLYPA">思科SD-WAN vManage網路管理系統存在REST API漏洞</a> <a href="https://https://support.citrix.com/article/CTX564169/citrix-secure-access-client-for-ubuntu-security-bulletin-for-cve202324492">Citrix修補Ubuntu版VPN用戶端重大漏洞</a> <a href="https://www.cisa.gov/news-events/alerts/2023/07/11/cisa-adds-five-known-vulnerabilities-catalog">CISA將Windows、Netwrix Auditor漏洞列入已遭利用名單</a> <a href="https://www.bleepingcomputer.com/news/security/fake-linux-vulnerability-exploit-drops-data-stealing-malware/">竊資軟體假借Linux漏洞概念性驗證程式散布</a> <a href="https://udn.com/news/story/7240/7293336">為防範駭客假冒政府名義行騙，政府設置專屬簡訊平臺，預估9月底建置完成</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157789">【7月14日】 Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護</a> <a href="https://www.ithome.com.tw/news/157762">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</a> <a href="https://www.ithome.com.tw/news/157742">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</a> </div></div></div>
2023/7/17 17:23作者周峻佑https://www.ithome.com.tw/news/157828
【資安日報】7月14日，Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 打造帶有合法簽章、繞過Windows作業系統安全機制的驅動程式，我們昨天報導了中國駭客鎖定電玩產業、散布含有WHQL簽章的Rootkit惡意軟體，而針對微軟7月份例行更新（Patch Tuesday）的資安通告，思科威脅情報團隊Talos、資安業者Sophos揭露了另一種惡意驅動程式攻擊手法，使用簡體中文的駭客竄改驅動程式的簽章日期來繞過作業系統的安全機制。 中國駭客鎖定美國政府機關下手的情況，最近又有新的攻擊事故引起關注。微軟揭露駭客組織Storm-0558鎖定25個組織竊取電子郵件帳號的事故，而根據美國各家媒體的報導、美國網路安全暨基礎設施安全局（CISA）的資安通告，向微軟通報該組織攻擊行動的單位就是美國政府。 在前年、去年被用於許多攻擊行動的MSHTML重大漏洞CVE-2021-40444、Windows支援診斷工具（MSDT）漏洞CVE-2022-30190（亦稱Follina），最近又有駭客拿來利用。研究人員發現近期的惡意軟體攻擊行動裡，攻擊者串連上述漏洞於受害電腦植入木馬程式LokiBot。 <h3>【攻擊與威脅】</h3> <a href="https://thehackernews.com/2023/07/hackers-exploit-windows-policy-loophole.html">駭客利用Windows的相容性政策瑕疵，打造核心層級的驅動程式簽章</a> <a href="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos、資安業者Sophos指出，有中國駭客濫用開源工具竄改核心驅動程式的簽章日期，用來載入使用過期憑證簽署，或是沒有經過驗證的驅動程式，從而操縱受害電腦。 由於微軟在Windows 10 1607版調整的驅動程式簽署政策當中，對於舊版驅動程式相容性提供例外放行的情況，也就是在BIOS的安全開機功能關閉的情況下，對於使用2015年7月29日之前頒發的證書簽章的驅動程式，將不受上述政策規範，駭客便濫用上述的相容性政策，利用名為HookSignTool、FuckCertVerifyTimeValidity的工具，來竄改惡意驅動程式的簽章日期。 思科看到數千個帶有此種簽章的惡意驅動程式，並舉出其中一種能挾持受害電腦瀏覽器的RedDriver，駭客鎖定了中國網路咖啡廳而來，此惡意驅動程式利用Windows過濾平臺（WFP）攔截瀏覽器的流量。Sophos則指出，這類驅動程式被用於破壞目標電腦的資安防護系統，該公司的端點防護產品也是遭到鎖定的目標。研究人員總共找到約133個惡意驅動程式，駭客主要的用途可區分2種，除了讓端點資安防護失效，也有將其作為Rootkit的情況。 資料來源 1. <a href="https://blog.talosintelligence.com/old-certificate-new-signature/">https://blog.talosintelligence.com/old-certificate-new-signature/</a> 2. <a href="https://blog.talosintelligence.com/undocumented-reddriver/">https://blog.talosintelligence.com/undocumented-reddriver/</a> 3. <a href="https://news.sophos.com/en-us/2023/07/11/microsoft-revokes-malicious-drivers-in-patch-tuesday-culling/">https://news.sophos.com/en-us/2023/07/11/microsoft-revokes-malicious-drivers-in-patch-tuesday-culling/</a> <a href="http://www.wiz.io/blog/pyloose-first-python-based-fileless-attack-on-cloud-workloads">中國駭客入侵美國政府機關的電子郵件帳號</a> 微軟於6月中旬接獲通報，對於異常郵件活動進行調查，結果發現，中國駭客組織Storm-0558自今年5月15日開始，取得約25個組織的電子郵件帳號，以及少量疑似與受害組織有關的個人帳號，受害組織包含政府機關。駭客濫用微軟帳號（MSA）的簽章金鑰，偽造用於身分驗證的Token，進而存取使用者的電子郵件。 根據華盛頓郵報、有線電視新聞網（CNN）、ABC News等美國媒體報導，向微軟通報的就是美國政府。知情人士透露，最早察覺中國駭客行蹤的是美國國務院，另有人透露美國商務部長Gina Raimondo的電子郵件帳號遭到駭客挾持。美國網路安全暨基礎設施安全局（CISA）指出，駭客存取了政府機關非機密的電子郵件資料。 資料來源 1. <a href="https://blogs.microsoft.com/on-the-issues/2023/07/11/mitigation-china-based-threat-actor/">https://blogs.microsoft.com/on-the-issues/2023/07/11/mitigation-china-based-threat-actor/</a> 2. <a href="https://www.washingtonpost.com/national-security/2023/07/12/microsoft-hack-china/">https://www.washingtonpost.com/national-security/2023/07/12/microsoft-hack-china/</a> 3. <a href="https://edition.cnn.com/2023/07/12/politics/china-based-hackers-us-government-email-intl-hnk/index.html">https://edition.cnn.com/2023/07/12/politics/china-based-hackers-us-government-email-intl-hnk/index.html</a> 4. <a href="https://abcnews.go.com/Politics/commerce-secretary-gina-raimondos-emails-hacked-microsoft-cyber/story?id=101201179">https://abcnews.go.com/Politics/commerce-secretary-gina-raimondos-emails-hacked-microsoft-cyber/story?id=101201179</a> 5. <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-193a">https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-193a</a> <a href="https://www.fortinet.com/blog/threat-research/lokibot-targets-microsoft-office-document-using-vulnerabilities-and-macros">木馬程式LokiBot透過MSHTML漏洞和Follina散布</a> 資安業者揭露木馬程式LokiBot（亦稱Loki PWS）近期的攻擊行動，駭客藉由散布惡意Word檔案，利用巨集、MSHTML重大漏洞CVE-2021-40444、Windows支援診斷工具（MSDT）漏洞CVE-2022-30190（亦稱Follina），於受害電腦植入惡意程式。 研究人員主要看到兩種攻擊手法，其中一種是能夠利用CVE-2021-40444的Word檔案，一旦使用者開啟，該檔案就會透過內部的document.xml.rels元件，存取外部的MHTML檔案，進而透過短網址服務Cutty，從雲端檔案共享服務GoFile下載含有Follina的HTML檔案，最終在受害電腦植入LokiBot。 另一種攻擊手法則是使用內嵌VBA指令碼的Word檔案，使用者一旦開啟，此指令碼就會自動執行，然後從遭入侵的網站下載惡意程式。 <a href="https://s4.itho.me/sites/default/files/images/fig16-lokibot-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig16-lokibot-attack-chain.png" style="width: 580px;" /></a> <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/juniper-networks-patches-high-severity-vulnerabilities-in-junos-os/">Juniper修補網路設備作業系統高風險漏洞</a> 7月12日資安業者Juniper Networks發布本月份例行更新，總共公告17則資安通告，修補近60個漏洞，這些公告大部分都與網路設備作業系統Junos OS、Junos OS Evolved、Junos Space有關，但其中有一則是針對網路功能虛擬化架構Contrail Cloud而來。 針對Junos OS的部分，最為嚴重的是網頁管理介面J-Web所使用的PHP元件漏洞CVE-2021-21708、CVE-2022-31627、CVE-2022-31625，CVSS風險評分介於8.8至9.8分；對於Junos Space而言，CVSS風險評分最高的是CVE-2022-42898，此為第三方元件MIT Kerberos 5的整數溢位漏洞，CVSS風險評分為8.8。 而對於Contrail Cloud的部分，則是第三方元件Rack的漏洞CVE-2022-30123最為嚴重，CVSS風險評分達到10分，其次是Puppet的命令注入漏洞CVE-2022-3276，CVSS風險評分為8.8。該公司推出Junos OS 23.2R1、Junos Space 23.1R1、Contrail Cloud 16.3.0修補上述漏洞。 <a href="https://www.dragos.com/blog/mitigating-cves-impacting-rockwell-automation-controllogix-firmware/">Rockwell Automation控制系統ControlLogix漏洞恐導致工控系統曝露於遠端攻擊風險</a> 資安業者Dragos揭露Rockwell Automation控制系統ControlLogix的越界寫入（OBW）漏洞CVE-2023-3595、CVE-2023-3596，這些漏洞存在於1756-EN2、1756-EN3、1756-EN4等型號的EtherNet/IP（ENIP）通訊模組，攻擊者可藉此遠端執行任意程式碼（RCE），或是發動阻斷服務攻擊（DoS），CVSS風險評分為9.8、7.5。 研究人員指出，這些漏洞發生的原因，主要出現在該自動化控制系統實作的通用工業協定（CIP），從而導致駭客能用來發動攻擊。而對於這些漏洞的嚴重程度，研究人員提及CVE-2023-3595可提供駭客存取的管道類型，與2017年鎖定施耐德電機Triconex安全儀表系統（SIS）的惡意軟體攻擊Trisis雷同，能讓攻擊者操縱韌體的記憶體任意位址。值得留意的是，有尚未列管的APT駭客組織嘗試利用這些漏洞，但是否有組織受害仍不明朗。 <a href="https://www.kroll.com/en/insights/publications/cyber/ghostscript-cve-2023-36664-remote-code-execution-vulnerability">開源程式庫Ghostscript存在重大漏洞</a> 資安業者Kroll揭露PDF檔案開源解析元件Ghostscript的重大漏洞CVE-2023-3664，此漏洞涉及作業系統通道（OS pipe），起因是權限驗證的處理不當，而導致攻擊者可用於遠端執行任意程式碼（RCE），CVSS風險評分為9.8，影響10.01.1版之前的Ghostscript。 研究人員指出，該解析工具是許多Linux發行版的預設安裝元件，且也有LibreOffice、GIMP、Inkscape、Scribus、ImageMagick等跨平臺的開源軟體採用，這項漏洞也可能影響使用上述應用程式的Windows用戶。對此，開發團隊於6月27日推出10.01.2版修補前述漏洞。 <a href="https://www.sonicwall.com/support/notices/urgent-security-notice-sonicwall-gms-analytics-impacted-by-suite-of-vulnerabilities/230710150218060/">SoincWall修補防火牆管理系統的重大漏洞</a> 7月12日資安業者SonicWall針對旗下的防火牆管理系統Global Management System（GMS）、網路管理及通報系統SonicWall Analytics，發布新版軟體GMS 9.3.3及SonicWall Analytics 2.5.2，當中總共修補了15個漏洞，其中4個是重大等級。 這些漏洞包含了網路服務驗證繞過漏洞CVE-2023-34124、未經身分驗證的SQL注入弱點及安全過濾繞過漏洞CVE-2023-34133、透過網路服務讀取密碼雜湊值漏洞CVE-2023-34134、CAS身分驗證繞過漏洞CVE-2023-34137，CVSS風險評分介於9.4至9.8。稍微值得慶幸的是，該公司尚未發現上述漏洞遭到利用的跡象。 <h3>【資安產業動態】</h3> <a href="https://www.microsoft.com/en-us/security/blog/2023/07/11/microsoft-entra-expands-into-security-service-edge-and-azure-ad-becomes-microsoft-entra-id/">Azure AD更名為Microsoft Entra ID</a> <a href="https://s4.itho.me/sites/default/files/images/EntraT1_RenameHalfpg_NoLogo_Social_1920x1080.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EntraT1_RenameHalfpg_NoLogo_Social_1920x1080.png" style="width: 300px; float: right;" /></a> 微軟於7月11日宣布，為簡化產品命名，他們將隸屬於身分驗證解決方案Microsoft Entra旗下的Microsoft Azure Active Directory（Azure AD），更名為Microsoft Entra ID，並預計在2023年底完成產品更名作業。 該公司指出，除了名稱更改，所有的功能、授權方案、登入URL和API都維持不變，使用者將會從管理員入口網站、文件，以及其他Azure AD的操作介面，看到更名通知。 此外，其他的Azure AD相關服務也隨之調整名稱。例如，Azure AD External Identities改稱Microsoft Entra External ID、Azure AD Identity Protection則叫做Microsoft Entra ID Protection。 <h3>【其他新聞】</h3> <a href="https://blog.talosintelligence.com/malicious-campaigns-target-entities-in-ukraine-poland/">惡意軟體PicassoLoader鎖定烏克蘭及波蘭而來</a> <a href="https://info.zimbra.com/security-update-zimbra-collaboration-suite-version-8.8.15-important">郵件伺服器系統Zimbra修補已被用於攻擊行動的零時差漏洞</a> <a href="https://www.hackread.com/exploitable-flaws-quickblox-expose-user-records/">即時通訊框架QuickBlox存在漏洞，恐曝露數百萬使用者資料</a> <a href="https://www.securityweek.com/popular-wordpress-security-plugin-caught-logging-plaintext-passwords/">WordPress外掛程式All-In-One Security出現曝露明文密碼的漏洞</a> <a href="https://bccnews.com.tw/archives/458814">桃園市政府消防局緊急救護平臺傳出遭駭</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157762">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</a> <a href="https://www.ithome.com.tw/news/157742">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</a> <a href="https://www.ithome.com.tw/news/157736">【7月11日】勒索軟體Big Head結合後門程式、竊資軟體或病毒，企圖對受害者造成更多破壞</a> </div></div></div>
2023/7/14 17:06作者周峻佑https://www.ithome.com.tw/news/157789
【資安日報】7月13日，惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 鎖定雲端運算資源的挖礦攻擊，我們昨天報導了針對AWS的攻擊行動Scarleteel，今天又有另一起惡意軟體PyLoose的攻擊行動，駭客入侵雲端工作負載的管道，就是透過能在網路上公開存取的Jupyter Notebook服務。 駭客利用含有WHQL簽章的惡意驅動程式發動攻擊，也相當值得留意。因為這幾天有資安業者揭露中國駭客鎖定電玩產業散布Rootkit的攻擊行動，並指出攻擊者藉由帶有簽章的驅動程式來繞過Windows作業系統的多項安全功能。 7月初陸續有多家廠商發布安全更新與漏洞修補消息，今天我們會談到Fortinet與SAP，IT人員請仔細看看這方面的消息，及早確認是否要實施緩解作法，或是安裝對應的更新程式。 <h3>【攻擊與威脅】</h3> <a href="http://www.wiz.io/blog/pyloose-first-python-based-fileless-attack-on-cloud-workloads">惡意軟體PyLoose挾持雲端工作負載挖掘門羅幣</a> 資安業者Wiz揭露名為PyLoose的無檔案惡意軟體，此為Python指令碼，內含事先編譯完成的XMRig挖礦軟體，駭客主要的攻擊目標是雲端的工作負載，並將其用於挖礦模利。 研究人員先是發現，駭客找尋可公開存取的Jupyter Notebook服務，從文字代管服務paste.c-net.org下載惡意酬載PyLoose，並於記憶體內執行。 此指令碼啟動後就會對挖礦軟體進行解碼、解壓縮，然後利用Linux應用程式memfd將其載入電腦的記憶體執行。研究人員自6月22日首度發現該惡意軟體的攻擊行動，隨後找到逾200起類似的挖礦攻擊。 <a href="https://www.trendmicro.com/en_us/research/23/g/hunting-for-a-new-stealthy-universal-rootkit-loader.html">中國駭客鎖定電玩產業，散布含有微軟WHQL簽章的Rootkit</a> <a href="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，曾經使用惡意程式FiveSys的中國駭客，近期再度發起新的Rootkit攻擊行動，目標是中國電玩產業。研究人員總共發現8群惡意程式，每一群被發現的樣本數量落差很大，最少2個，最多26個，當中駭客於2022至2023年，濫用微軟的WHQL簽章製作了約75個惡意驅動程式。 一旦這些惡意程式執行，就會先透過第一階段的驅動程式，來停用電腦的使用者帳號控制（UAC），以及安全桌面模式（Security Desktop Mode）等防護功能，然後啟動WinSock核心物件（WSK）與遠端伺服器進行通訊，進而於受害電腦下載更多惡意酬載，並直接在記憶體內解碼、執行。 而在第二階段攻擊當中，駭客透過可執行檔來當作載入工具，目的是執行未經簽署驗證的核心模組，而這些模組是專門為目標電腦打造，有的能停用Microsoft Defender防護、部署代理伺服器，然後將上網流量重新導向到遠端的伺服器。 <h3>【漏洞與修補】</h3> <a href="https://www.fortiguard.com/psirt/FG-IR-23-183">Fortinet修補防火牆、網頁安全閘道RCE漏洞</a> 7月11日資安業者Frotinet發布資安通告，指出旗下的防火牆作業系統FortiOS、網頁安全閘道系統FortiProxy存在RCE漏洞CVE-2023-33308，此為記憶體堆疊溢位漏洞，攻擊者可藉由偽造的封包，觸及代理伺服器的政策，或是與SSL流量深層封包檢測功能有關的防火牆政策，進而遠端執行任意程式碼或是命令，CVSS風險評分為9.8，影響7.0.0版至7.2.3版的FortiOS，以及7.0.0版至7.2.2版的FortiProxy（舊版本不受影響）。 該公司發布新版程式予以修補，若是IT人員無法升級，可先從代理伺服器、防火牆的政策著手，將SSL流量檢查組態的HTTP/2支援功能暫時停用。 <a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-ecc-and-s-4hana-products/">SAP發布7月例行更新，修補ECC、S/4HANA漏洞</a> 7月11日SAP發布本月份例行修補，總共發布16則新公告。當中最為危險的漏洞是CVE-2023-36922，受影響的產品，主要是SAP的企業核心元件（ECC），以及ERP系統S/4HANA，攻擊者一旦利用這項漏洞，就有可能在通過身分驗證的情況下，將任意的作業系統命令注入目標系統，CVSS風險評分為9.1。 另一個SAP呼籲企業重視的部分，則是SAP Business Client用戶端程式的第三方元件更新，該公司導入114版Chromium元件，總共修補了2個重大漏洞、35個高風險漏洞，漏洞CVSS風險評分最高達到9.6。 蘋果重新發布緊急安全更新，原因是瀏覽部分網站可能會出錯 7月10日蘋果發布快速安全更新（RSR）iOS 16.5.1(a)、iPadOS 16.5.1(a)、macOS 13.4.1(a)，以及Safari 16.5.2，修補了已被利用的零時差漏洞CVE-2023-37450，但有些套用相關更新的用戶，發生網站無法正常顯示的問題。對此，蘋果於12日發布iOS 16.5.1(c)、iPadOS 16.5.1(c)、macOS 13.4.1(c)更新修正上述情形。 而對於前述問題發生的原因，資安新聞網站Bleeping Computer指出，很有可能是10日的RSR更新更動了Safari瀏覽器的使用者代理字串（User Agent），在其中加上(a)，而導致部分網站在解析瀏覽器版本的過程出錯，用戶會看到「不支援的瀏覽器」錯誤訊息。 資料來源 1. <a href="https://support.apple.com/en-us/HT213823">https://support.apple.com/en-us/HT213823</a> 2. <a href="https://support.apple.com/en-us/HT213825">https://support.apple.com/en-us/HT213825</a> 3. <a href="https://www.bleepingcomputer.com/news/apple/apple-re-releases-zero-day-patch-after-fixing-browsing-issue/">https://www.bleepingcomputer.com/news/apple/apple-re-releases-zero-day-patch-after-fixing-browsing-issue/</a> <h3>【資安產業動態】</h3> <a href="https://moda.gov.tw/ADI/news/latest-news/5701">臺灣半導體產業推動資安標準SEMI E187，獲SEMI國際標準貢獻獎</a> <a href="https://s4.itho.me/sites/default/files/images/2qwrjed5_dmc.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2qwrjed5_dmc.jpg" style="width: 200px; float: right;" /></a> 數位發展部數位產業署指出，由台積電與工研院號召臺灣多家半導體與資安業者，制定的半導體資安標準SEMI E187，獲頒2023年SEMI國際標準貢獻獎，工研院資通所團隊及台積電代表工作小組前往於美國舊金山舉行的SEMICON West 2023授獎典禮。 此獎項的意義，在於肯定臺灣制訂的資安標準，對於全球半導體與其供應鏈產業之重要影響及卓越貢獻。 <h3>【資安防禦措施】</h3> <a href="https://hitcon.org/2023/CMT/">2023台灣駭客年會HITCON社群場將於8月18日、19日舉行</a> <a href="https://s4.itho.me/sites/default/files/images/HITCON-CMT2023-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HITCON-CMT2023-1.jpg" style="width: 300px; float: right;" /></a> 台灣駭客協會於7月11日宣布，台灣駭客年會社群場HITCON Community 2023將於8月18日、19日，於中央研究院舉行，本次的主題是「AI在資安領域的進化」，針對全球各地持續引爆的AI風潮，對於資安的環境帶來的演變進行探討。 本次將有近20篇資安研究與技術將於年會發表，議題涵蓋多個呼應AI主題的漏洞揭露及分析、智慧音箱漏洞、VPN防火牆及資安產品自身的安全議題等。 而對於AI的探討，台灣駭客協會表示，他們將規畫2個方向，包含了利用AI進行攻擊，以及攻擊AI系統的層面，討論如何對攻擊者與防禦方創造那些機會與挑戰。 <h3>【其他新聞】</h3> <a href="https://blogs.microsoft.com/on-the-issues/2023/07/11/mitigation-china-based-threat-actor/">中國駭客入侵美、歐政府機關的電子郵件帳號</a> <a href="https://www.bankinfosecurity.com/clop-crime-group-adds-62-ernst-young-clients-to-leak-sites-a-22514">勒索軟體駭客Clop將62個安永會計師事務所客戶列入受害組織名單</a> <a href="https://thehackernews.com/2023/07/hackers-exploit-windows-policy-loophole.html">駭客利用Windows政策瑕疵，打造可用於驅動程式的簽章</a> <a href="https://unit42.paloaltonetworks.com/cloaked-ursa-phishing/">俄羅斯駭客APT29假借拋售BMW汽車的名義，對烏克蘭外交官發動釣魚攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157742">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</a> <a href="https://www.ithome.com.tw/news/157736">【7月11日】勒索軟體Big Head結合後門程式、竊資軟體或病毒，企圖對受害者造成更多破壞</a> <a href="https://www.ithome.com.tw/news/157707">【7月10日】勒索軟體BlackByte 2.0利用ProxyShell漏洞進行滲透，5天後向受害組織進行勒索</a> </div></div></div>
2023/7/13 17:02作者周峻佑https://www.ithome.com.tw/news/157762
紅帽RHEL9.2擴增更多自動處理能力，持續提升系統映像建置
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhel-web-console-new-features-img1-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 去年紅帽企業級Linux作業系統（RHEL）邁入第9版，5月推出9.0版，11月9.1版出爐，到了今年5月，依產品生命週期的預定規畫，發表9.2版。 在這一波版本更新當中，紅帽持續擴展<a href="https://access.redhat.com/articles/3050101">RHEL系統角色</a>（<a href="https://www.redhat.com/en/blog/introduction-rhel-system-roles">System Roles</a>）的功能，以及Ansible自動化處理平臺針對RHEL使用的專屬內容，目的是支援大量部署的環境時，透過將常見的系統管理工作自動化，提升組態的一致性與系統維運的效率。 紅帽表示，基於這樣的功能特色，IT人員只需要具備基本的Linux知識，就能完成組態設定、身分認證，以及部署建置等工作，使作業系統得以支援微軟SQL Server、VPN等多種角色的應用。若運用系統角色來進行這些作業，也能保障後續的部署，因為受益於自動化處理的特性，若要重新設定上述功能可以更簡便，使得未來的系統升級更順暢、減少過程面臨的各種中斷情況。 <a href="https://s4.itho.me/sites/default/files/images/RHEL92-System Role.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL92-System%20Role.png" style="width: 600px;" /></a> 舉例來說，RHEL增加用於容器管理工具Podman的系統角色，可提供自動部署容器的功能，以節省作業時間與改善一致性——協助IT人員自動設定其組態，以符合他們所處環境的專屬需求，而不會因為受限於自身對命令列操作方式的知識與經驗不足，而難以建立Podman執行個體。目前這套系統角色提供多種功能，像是可以橫跨多臺RHEL主機，部署多個已預先整合、充分因應正式環境執行要求的容器工作負載，以此協助Linux系統管理者延伸既有的工作技能，得以具有維護容器基礎架構的能力。 除此之外，RHEL9.2與8.8也增加rhc（Remote host configuration）、journald（Systemd-journald）、ad_integration（Microsoft Active Directory integration）等3種系統角色。 其中的ad_integration被添加到rhel-system-roles套件，全名為rhel-system-roles.ad_integration，能協助RHEL系統直接整合到Active Directory的網域，便於系統管理者集中掌控身分與存取控制。 rhc也被包入rhel-system-roles套件，可自動將用戶的RHEL系統註冊到Red Hat Subscription Management（RHSM）或是Satellite伺服器，若依據此系統角色的預設組態，會連接到紅帽的加值代管服務，像是Red Hat Insights，而能從開始使用之際，就可以獲得紅帽的專家知識與推薦作法。 至於journald這個系統角色，可自動設定RHEL系統的systemd日誌收集組態。基本上，Journald這項系統服務會在一個集中處理的資料庫，收集與存放事件記錄資料，而透過這種新增的系統角色，IT人員不僅能自動設定systemd的組態，也能透過Ansible自動化平臺而設置持續不斷的記錄機制。 <a href="https://s4.itho.me/sites/default/files/images/RHEL 9_2-Configuration related roles.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_2-Configuration%20related%20roles.png" style="width: 600px;" /></a> 紅帽也更新RHEL既有的多種系統角色，例如，關於資料庫系統SQL Server，以及身分與存取管理服務Active Directory，本次改版也擴展系統角色的功能，像是身分認證的自動化處理、Always-On可用性群組的支援，對於去年推出的SQL Server 2022，也提供支援。 具體而言，Microsoft SQL系統角色新增的這些功能，能帶來哪些便利？在自動設定SQL Server組態需認證使用者身分時，Microsoft SQL系統角色可直接搭配Active Directory使用；支援Always-On可用性群組之後，Microsoft SQL系統角色可運用非同步提交模式與<a href="https://learn.microsoft.com/en-us/sql/database-engine/availability-groups/windows/read-scale-availability-groups?view=sql-server-ver16">唯讀等級可用性副本（read-scale replica）</a>的組態；而在SQL Server 2022的使用上，Microsoft SQL系統角色可支援自動安裝與組態設定。 而在系統映像的標準化／統一處理方面，RHEL提供的組建工具Image Builder也增加多種功能，例如，可在系統映像設置單位專屬的資安政策，像是由特定OpenSCAP資安組態定義的規則，或是為了提升邊緣設備建置安全而定義的條件限制。 <a href="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL Image Builder2-BP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL%20Image%20Builder2-BP.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL Image Builder7-BP-OpenSCAP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL%20Image%20Builder7-BP-OpenSCAP.jpg" style="width: 500px;" /></a> 此項工具也支援RHEL藍圖（blueprints）的建立與共享，可適用於資料中心的內部與外部環境。所謂的藍圖，能夠針對特定、標準化的作業系統映像的組成與使用，提供用於Image Builder、作為系統映像規格的框架，而基於環繞著Linux組態的統一規範，能夠呈現各自面臨的特殊的系統設定挑戰，不僅有助於企業在內部、甚至在隔離環境當中，推動系統映像的標準化，也能進一步實現與其他廠商、終端使用者、開放原始碼社群之間的外部協作。 <a href="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL Image Builder1-BP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL%20Image%20Builder1-BP.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL Image Builder6-import.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-RHEL%20Image%20Builder6-import.jpg" style="width: 500px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/rhel-92-edge-features-img1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel-92-edge-features-img1-web.jpg" style="width: 600px;" /></a> 在網頁主控臺方面，RHEL新版可運用網路綁定硬碟加密（Network Bound Disk Encryption，NBDE），設定對根檔案系統解鎖的自動加密硬碟功能，而以更簡單、直覺的圖形介面來保護靜態資料的機密性。相較之下，過去若要操作這樣的功能，需仰賴具備設置命令列參數專業知識的IT人員。 <a href="https://s4.itho.me/sites/default/files/images/rhel92-web-console-new-features-img6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel92-web-console-new-features-img6.png" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/rhel92-web-console-new-features-img7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel92-web-console-new-features-img7.png" style="width: 500px;" /></a> 在先前版本的RHEL支援設定LUKS（Linux Unified Key Setup-on-disk-format）加密檔案系統綁定Tang伺服器，以便啟用加密檔案系統的自動解密，然而，若透過網頁主控臺將這樣的設定套用在根檔案系統的過程中，此時仍需IT人員以命令列操作，才能完成幾個步驟；到了RHEL 9.2與8.8，可支援直接從網頁主控臺設定根檔案系統的做法，而不需手動以命令列來完成。 <a href="https://s4.itho.me/sites/default/files/images/RHEL_Security-Guide_453350_0717_ECE_NBDE.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL_Security-Guide_453350_0717_ECE_NBDE.png" style="width: 600px;" /></a> 何謂NBDE？這是一種基於政策執行解密處理（Policy-Based Decryption，PBD）的技術，可將加密儲存區綁定某臺連網伺服器，目前實作NBDE這種概念的方式，是透過Tang伺服器與專門掛勾Tang伺服器的Clevis pin外掛來建置。 Tang是一種將資料綁定在網路、本身包含資料的伺服器，可建立一個綁定特定安全網路的系統，以無狀態的方式執行、不需要使用TLS或身分認證機制，不會與任何用戶端金鑰進行互動，因此不會獲取任何用戶端的身分資訊。 Clevis是一種可外加的自動解密框架，提供自動解鎖LUKE儲存區的功能，RHEL所搭配的Clevis套件主要是提供用戶端層面的功能。Clevis pin是一種可用於Clevis框架的外掛，可實作與NBDE伺服器的互動處理。 <a href="https://s4.itho.me/sites/default/files/images/tangclevissimplescenario00_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tangclevissimplescenario00_drawio.png" style="width: 600px;" /></a> 除此之外，系統管理者也可以在RHEL網頁主控臺選定常用的全系統通用密碼學政策（system-wide crypto policies），協助確保所有相關系統符合各種法規遵循與組織特定需求。 <a href="https://s4.itho.me/sites/default/files/images/RHEL92-web-console-crypto-policies-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL92-web-console-crypto-policies-overview.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHEL92-web-console-crypto-policies-select.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL92-web-console-crypto-policies-select.png" style="width: 298px;" /></a> 產品資訊 Red Hat Enterprise Linux 9.2 ●原廠：Red Hat ●建議售價：Red Hat Enterprise Linux Server標準支援1年為799美元 ●安裝方式：圖形介面安裝、系統或雲端映像安裝、進階安裝 ●支援運算平臺：64位元x86架構（x86-64-v2）、64位元Arm架構（Armv8.0-A）、IBM Power Systems Little Endian（Power9）、64位元IBM Z（z14） ●記憶體需求：1.5 GiB ●硬碟空間與分割區需求：10 GiB，x86與Arm架構需建立root、swap分割區，IBM Power Systems需root分割區、swap分割區、PReP boot分割區 ●系統基礎核心版本：5.14.0-284.11.1版 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/7/12 19:14作者李宗翰https://www.ithome.com.tw/review/157698
Meta開源可簡化建置跨平臺高效圖形應用的中介圖形函式庫IGL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Meta與標準制定非營利組織Khronos合作，開源<a href="https://www.khronos.org/blog/meta-uses-khronos-open-standards-in-new-intermediate-graphics-library">中介圖形函式庫（Intermediate Graphics Library，IGL）</a>，該函式庫可供開發人員創建高品質的視覺和圖形特效，用於開發遊戲、3D建模等圖形應用程式。 IGL以低階跨平臺介面封裝了常用的GPU功能，並且以現代化方法抽象化渲染硬體介面（RHI），支援包括OpenGL、WebGL、Metal和Vulkan等圖形API，官方提到，IGL是一個輕量且高效，可提供多種低階控制的API，並且將對外部函式庫的依賴降到最低。 由於每一種圖形API都有各自的運作方式和實作細節，因此開發者如果要使用OpenGL、WebGL和Vulkan等不同的API，開發跨平臺應用程式，勢必要深入了解每一種API，而這將會提升開發的複雜度和難度。IGL是一種中介函式庫，其提供了一個通用介面，讓開發者可以使用同一個方式，使用各種不同的圖形API，IGL對這些API提供封裝和抽象，可以降低開發跨平臺圖形應用程式的難度。 官方解釋，IGL透過創建新的介面，來抽象化RHI，而該介面抽象層在概念上更接近Vulkan或WebGPU，但是通用性更好。IGL還包含了殼層函式庫，讓用戶可以在Windows、Linux、Mac OS、iOS、Android和WebAssembly等熱門平臺編譯和運作。 由於IGL經過最佳化，因此即便是在處理複雜的圖形時，也能執行高效能的渲染，同時，IGL具有高擴充性，因此用戶可以根據需求添加新功能。IGL使用非常寬鬆的MIT開源授權，企業和開發者可以自由地將其用於商業等各種專案。 </div></div></div>
2023/7/11 10:22作者李建興https://www.ithome.com.tw/news/157702
中國自行開發的開源作業系統openKylin 1.0問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國國有的麒麟軟件（KylinSOFT）於上周三（7/5）<a href="https://mp.weixin.qq.com/s/74mT-JyfzDRLVAMP1tMwTA" target="_blank">發表了openKylin 1.0</a>，這是中國自行開發的開源桌面作業系統，目的是為了擺脫對西方國家的依賴。 麒麟軟件是在<a href="https://www.ithome.com.tw/news/151743" target="_blank">去年7月設立</a>openKylin開源社群，以打造基於Linux的開源作業系統，並在一年後推出了1.0版。迄今總計有超過4,000名的貢獻者參與了該專案，用戶數則已接近89萬。 openKylin 1.0內建Linux Kernel 5.15與6.1雙核心，在每次啟動系統時都可根據需要切換核心版本，<a href="https://www.openkylin.top/downloads/" target="_blank">並同時支援</a>x86、Arm與RISC-V等3種架構的個人電腦、平板電腦與諸如樹莓派（Raspberry Pi）開發板等裝置。 此外，openKylin 1.0具備數位語音助理功能，允許使用者以語音輸入命令；也藉由openKylin 1.0應用程式市集支援上百款的Windows及Android應用程式，涵蓋辦公室程式、社交程式、影音程式與遊戲等；另一項對中國開源用戶更有意義的是，它解決了中文字體的相容性問題；該作業系統亦開始整合大型語言模型，以讓用戶體驗基於大型語言模型的聊天機器人功能。 </div></div></div>
2023/7/10 12:08作者陳曉莉https://www.ithome.com.tw/news/157697
【資安日報】7月7日，盜刷集團聯手中國駭客，架設釣魚網站、入侵商場資料庫，竊取用戶信用卡資料進行盜刷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客架設釣魚網站竊取使用者信用卡資料再進行盜刷（或轉售）的事故，不僅在國外發生，最近這種型態的攻擊行動也在臺灣出現。刑事局最近宣布破獲跨國盜刷集團，其中一種竊取信用卡資料的手法，就是透過架設釣魚網站來進行，而且受害者包含日本、加拿大、美國等多個國家的民眾。 綠能是近年來各國爭相發展的能源，而能夠管控這類發電設備的系統，安全性也受到研究人員關注。我們昨天整理資安業者VulnCheck警告太陽能發電監控系統SolarView的漏洞，今天看到另一家資安業者Cyble也呼籲大家關注這類系統的資安，他們指出，其他廠牌的系統存在類似的弱點，而有可能同樣成為攻擊者下手的目標。 Google發布Android作業系統本月的例行更新，當中修補了3個已出現攻擊行動的零時差漏洞。 <h3>【攻擊與威脅】</h3> <a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=4e0ec27d-d153-41bd-a96f-53f32f094432">盜刷集團聯手中國駭客，架設釣魚網站竊取用戶信用卡資料進行盜刷</a> <a href="https://s4.itho.me/sites/default/files/images/image20230706.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image20230706.jpg" style="width: 300px; float: right;" /></a>7月6日刑事局國際科第一隊今宣布偵破跨國盜刷集團，陳姓男子涉嫌籌組網路盜刷集團，犯下多起盜刷案件。 陳嫌先是透過自學架設釣魚網站，收集日本、加拿大、美國、泰國等地逾百萬筆信用卡個資，與中國駭客聯手，於2022年8月至10月在國內知名購物網站下單盜刷，商品由車手出面領貨轉賣銷贓獲利；後來在同年11月至12月，該主嫌再度與中國駭客聯手，以滲透手法攻擊國內商場的資料庫，取得會員帳密登入電子支付App，再指揮車手到商場盜刷App綁定的信用卡，購入高單價商品，並以團購方式出貨牟利。 臺灣新北地方檢察署於今年初開始，總共執行6波行動，查獲陳姓主嫌與協助銷贓、招募及盜刷車手等15名犯嫌，依涉嫌詐欺、妨害電腦使用、偽造文書、洗錢防制法及組織犯罪防制條例等罪嫌，移送地檢署，其中陳嫌及主要共犯等4人遭法院裁定羈押禁見，目前已知國內被害人數超過100人，財損金額逾3百萬元，實際情形尚待商場進一步彙整。 <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-187a">美國、加拿大證實Netwrix Auditor的RCE漏洞被用於TrueBot惡意軟體攻擊行動</a> 美國網路安全暨基礎設施安全局（CISA）與聯邦調查局（FBI）、州際資訊共享及分析中心（MS-ISAC）、加拿大網路安全中心（CCCS）聯手，指出最近的惡意軟體TrueBot變種攻擊行動鎖定美國與加拿大而來，利用IT存取稽核平臺Netwrix Auditor的RCE漏洞CVE-2022-31199（CVSS風險評分為9.8）來入侵目標組織。 一旦駭客成功進入受害組織並部署TrueBot，他們會建置RAT木馬FlawedGrace，進而提升權限並能在受害系統持續運作，間隔數個小時後，這些駭客會下載Cobalt Strike Beacon，以便進行竊取資料或是投放惡意酬載等後續攻擊行動。 <a href="https://blog.aquasec.com/threat-alert-anatomy-of-silentbobs-cloud-attack">Silentbob盯上暴露在網際網路的雲端JupyterLab伺服器和Docker API，可發動蠕蟲大量感染、DDoS與綁架雲端服務帳號等攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Silentbob-graphic.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Silentbob-graphic.png" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露名為Silentbob的攻擊行動，他們發現駭客用於攻擊行動的基礎設施，主要鎖定曝露於網際網路的JupyterLab和Docker API，進而用來部署殭屍網路病毒Tsunami、挾持雲端服務的帳號與資源，甚至是發動蠕蟲攻擊。 研究人員發現4個用於攻擊行動的Docker映像檔並進行分析，駭客在容器啟動時執行Shell指令碼，部署Go語言打造的應用層掃描程式ZGrab，目的是找出可攻擊的Jupyter Lab、Docker API，最終目的是將其用於挖礦並植入後門程式。 而對於攻擊者的身分，研究人員認為是駭客組織TeamTNT，但不排除是其他駭客模仿此組織的攻擊手法犯案。 <a href="https://blog.cyble.com/2023/07/05/security-gaps-in-green-energy-sector/">13萬太陽能光電監控系統曝露於網際網路，恐成為駭客鎖定的目標</a> 資安業者Cyble提出警告，他們總共在網際網路上找到134,634個太陽能光電（Photovoltaics，PV）的監控或診斷系統，而有可能成為駭客攻擊的目標。 這些系統橫跨多個廠牌的解決方案，例如：Solar-Log、Danfoss Solar Web Server、SolarView Contec、SMA Sunny Webbox、 Kaco New Energy & Web、Fronis Datamanager、Saj Solar Inverter、ABB Solar Inverter Web GUI等。 研究人員指出，上述解決方案的已知漏洞，部分已有概念性驗證（PoC）攻擊程式碼，很有可能被駭客拿來利用。 <a href="https://blog.sekoia.io/following-noname05716-ddosia-projects-targets/">俄羅斯駭客發起的DDoS攻擊行動一年內增加24倍</a> <a href="https://s4.itho.me/sites/default/files/images/Capture-decran-de-2023-06-28-11-49-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture-decran-de-2023-06-28-11-49-13.png" style="width: 300px; float: right;" /></a>資安業者Sekoia指出，鎖定西方國家的俄羅斯駭客DDoS攻擊行動DDoSia，名為NoName057(16)的駭客組織從2022年8月發起之後，從初期有400名打手，在不到一年的時間成長至1萬人，增加超過24倍。 研究人員自今年5月8日至6月26日，收集DDoSia所使用的C2中繼站流量進行分析，駭客的主要目標是北約國家及烏克蘭，攻擊3大目標是立陶宛、烏克蘭、波蘭。 <a href="https://www.shell.com/energy-and-innovation/digitalisation/important-information-about-moveit-transfer-cyber-security-incident.html">殼牌石油證實遭到MOVEit Transfer零時差漏洞攻擊</a> 勒索軟體駭客組織Clop利用MOVEit Transfer零時差漏洞發動攻擊，聲稱受害組織至少有130個，其中有部分組織在駭客公布名單後，證實他們遭到相關攻擊。石油公司殼牌於7月5日發出聲明，坦承他們的MOVEit Transfer檔案傳輸系統遭到攻擊，並指出該系統有少數員工及客戶在使用，子集團BG Group部分員工資訊遭到異常存取。該公司強調這起事故並非勒索軟體事件，其他殼牌的IT系統尚未出現受到影響的跡象。 <h3>【漏洞與修補】</h3> <a href="https://source.android.com/docs/security/bulletin/2023-07-01">Google發布7月份Android例行更新，修補3個已遭利用的零時差漏洞</a> 7月5日Google發布本月份例行修補，值得留意的是當中的CVE-2023-2136、CVE-2021-29256、CVE-2023-26083已被用於攻擊行動。 根據CVSS風險評分層級，最嚴重的是整數溢位漏洞CVE-2023-2136，存在於跨平臺2D圖像程式庫Skia，CVSS風險評分為9.8，導入此元件的還有Chrome瀏覽器，該公司在4月的112.0.5615.137版予以修補。 另外兩個漏洞皆與Arm單晶片處理器的Mali圖形運算驅動程式有關，CVE-2021-29256可被用於資訊洩露，或是提升權限，CVSS風險評分為8.8；CVE-2023-26083為記憶體洩漏漏洞，為中等風險等級（NVD的CVSS風險評分為3.3），曾於2022年12月被駭客用在三星手機部署間諜軟體。 <a href="https://www.bleepingcomputer.com/news/security/new-stackrot-linux-kernel-flaw-allows-privilege-escalation/">Linux核心出現嚴重漏洞StackRot，可被用於提升權限</a> 研究人員Ruihan Li揭露Linux核心的漏洞StackRot，該漏洞發生的原因在於，Linux核心負責管理虛擬記憶體區域的Maple Tree，能在沒有正確取得記憶體管理（MM）寫入鎖定的情況下切換節點，從而導致記憶體釋放後濫用（UAF）的情況。沒有特權的本機用戶可用來攻擊Linux核心，並進行權限提升，影響6.1至6.4版的Linux核心，CVSS風險評分為7.8，並登記為CVE-2023-3269列管。 研究人員於6月15日通報漏洞，修補程式在Linux之父Linus Torvalds主導之下，耗時2週完成，Linux基金會亦發布了Linux核心6.1.37、6.3.11、6.4.1版，緩解上述漏洞。 <h3>【其他新聞】</h3> <a href="https://jumpcloud.com/support/mandatory-jumpcloud-api-key-rotation">美國企業軟體服務業者JumpCloud遭遇資安事件，重設用戶的管理員API金鑰</a> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-aci-cloudsec-enc-Vs5Wn2sX">思科針對資料中心交換器漏洞提出警告，有可能被攻擊者竄改加密流量</a> <a href="https://www.bleepingcomputer.com/news/security/nickelodeon-investigates-breach-after-leak-of-decades-old-data/">電視兒童頻道Nickelodeon傳出資料外洩</a> <a href="https://www.proofpoint.com/us/blog/threat-insight/welcome-new-york-exploring-ta453s-foray-lnks-and-mac-malware">伊朗駭客TA453同時針對Windows和macOS用戶發動攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157657">【7月6日】勒索軟體LockBit攻擊日本第一大港，傳出貨櫃調度系統癱瘓</a> <a href="https://www.ithome.com.tw/news/157632">【7月5日】竊資軟體Meduza鎖定瀏覽器、密碼管理工具、動態密碼產生器進行搜括</a> <a href="https://www.ithome.com.tw/news/157624">【7月4日】勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道</a> </div></div></div>
2023/7/7 16:58作者周峻佑https://www.ithome.com.tw/news/157684
【資安月報】2023年6月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在今年6月的資安新聞中，以勒索軟體攻擊與供應鏈攻擊為主要焦點。 在國內方面，首要焦點就是勒索軟體Lockbit駭客在6月30日聲稱，台積電成為他們的受害者，當日台積電否認遭駭，並表示已注意到一家合作IT硬體供應商發生資安事故，並已依照標準作業程序來處置。而關於這家IT硬體供應商的身分，媒體報導指向擎昊科技，後續，擎昊科技在同一日發布資安事件的公告，說明遭遇網路攻擊並被擷取相關資訊的環境為工程測試區，主要是出貨的基本設定等參數資訊流出，而因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，並指出這些資訊無關用戶的實際應用。這起事件的發生，有可能是攻擊者搞錯攻擊對象，但多少反映供應鏈安全的議題，也提醒我們勒索軟體組織近年時常針對供應鏈發動攻擊，從供應鏈脆弱的環節著手的態勢。 關於Lockbit的危害，其實這兩年新聞已經是不斷，值得留意的是，今年6月中旬，多國網路安全機構對其發出聯合安全公告，指出近三年來，Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），而當中也剖析了LockBit的攻擊步驟，並提供攻擊流程各階段的防護緩解措施。 此外，在我們盤點這一個月的臺灣重大資安消息時，新發現國內上櫃公司、主推GPS相關應用的<a href="https://s4.itho.me/sites/default/files/images/2023-06-29_182021.jpg">環天世通科技（環天科），在6月19日發布資安事件重大訊息</a>，說明公司發生部分資訊系統遭受駭客網路攻擊的狀況。 在國際方面，5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊爆出後，這起軟體供應鏈攻擊的事件，所造成的災情在整個6月變得更加顯著，隨著後續消息不斷揭露，曝光的受害企業是越來越多。 當中備受矚目的受害者包括：英國電信主管機關Ofcom、英國航空、BBC、愛爾蘭航空、藥妝連鎖Boots、薪資軟體服務商Zellis，石油巨擘Shell，以及美國能源部等多個聯邦與州政機關受害，而在後續勒索軟體組織Clop陸續公布的受害名單中，還包括資安業者Gen Digital、以及美國多個金融、醫療領域的公司與組織，最新還出現德國西門子能源公司、法國施耐德電機等。 由於美國受害單位眾多，這也引發美國國務院外交安全局在其正義獎勵計畫中，祭出了千萬懸賞，鼓勵外界舉報幕後攻擊者的資訊。而根據微軟的調查指出，這波攻擊與發動Clop勒索軟體的駭客組織有關，攻擊背後應是Lace Tempest（又名DEV-0950、FIN11與TA505等）的駭客組織所為。此外，我們也找到研究公司<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">Kon Briefing的網站</a>，他們設立了專頁整理、統計受害者的資訊，當中顯示有20多國、逾170家公司或組織受影響，美國數量最多，其次為德國、英國。 其他重要資安焦點新聞方面，包括：本月歐洲議會針對AI法《AI Art》草案的投票通過，即將成為全球第一個人工智慧法案，將針對某些可能嚴重影響人類安全的AI應用予以禁止，並設計AI風險等級，用以規範開發商與採用組織的義務；關於MITRE發布的CWE通用弱點列表，近日公布2023年版最常見且危險的軟體安全缺陷，占據前三名的是越界寫入的CWE-787，XSS的CWE-79，SQL Injection的CWE-89，特別的是，使用已釋放記憶體（Use After Free）的CWE-416比去年上升三名。還有像是Google發表了安全AI框架（Secure AI Framework，SAIF），美國CISA、NSA發布了伺服器基板管理控制器（BMC）的安全強化指南。 <h2><a href="https://www.ithome.com.tw/news/157277">【資安週報】2023年6月5日到6月9日</a></h2> 在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。 在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。 關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。 另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。 <h2><a href="https://www.ithome.com.tw/news/157409">【資安週報】2023年6月12日到6月17日</a></h2> 在這一週的漏洞消息中，在漏洞利用方面，有兩個需優先注意，首先是Fortinet修補其防火牆產品的SSL VPN漏洞CVE-2023-27997，已被美國CISA列入已知成功利用清單，另一是VMware ESXi一項CVSS評分為3.9分的零時差漏洞CVE-2023-20867被中國駭客UNC3886運用於最新攻擊的揭露，VMware亦於同日釋出修補。 在漏洞修補方面，微軟釋出6月例行性安全更新以修補近80個漏洞，還有多家科技大廠發布安全性更新修補公告，包括Progress、SAP、西門子、施耐德電機等。 國際間還有4項值得關注的重要資安事件，包括瑞士國家網路安全中心（NCSC）公布，該國聯邦機構與國營企業的網站遭俄羅斯駭客組織NoName攻擊；韓國國家情報院（NIS）警告，北韓駭客偽冒韓國最大入口網站Naver，透過即時鏡像複製Naver網站內容、並註冊以NAVER混淆的相近網域名稱；以及智利軍隊遭勒索軟體攻擊的揭露。 此外，前陣子的2起重大資安事件有新消息，包括遭遇MOVEit Transfer零時差漏洞攻擊的受害者名單陸續浮上檯面，以及針對Barracuda郵件安全閘道零時差漏洞的攻擊，疑為中國駭客組織UNC4841所為。在其他威脅態勢方面，有中國駭客組織ChamelGang針對Linux主機攻擊，並以DoH方式連線C2中繼站規避偵測的揭露，以及發現駭客假冒資安研究人員姓名照片上傳零時差漏洞PoC的情形。同時，有研究指出ChatGPT回答程式語言問題時，會給出不存在的NPM套件、PyPI套件的名稱，因而存在可被駭客加以濫用的風險。 在資安防護焦點上，最受關注的莫過於歐洲議會針對AI法《AI Art》草案的歷史性投票通過，不僅是針對某些可能嚴重影響人類安全的AI應用予以禁止，並以AI風險等級，規範開發商與採用組織的義務，而臺灣AI基本法的立法倡議仍不明朗亦因此受關注。另外，針對近兩年危害最大的勒索軟體LockBit，多國網路安全機構發布新的聯合安全公告，說明其攻擊手法與防護建議。 <h2><a href="https://www.ithome.com.tw/news/157490">【資安週報】2023年6月19日到6月21日</a></h2> 在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞（CVE-2023-32434、CVE-2034-32435及CVE-2023-32439），而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。 在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。 其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。 另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。 <h2><a href="https://www.ithome.com.tw/news/157587">【資安週報】2023年6月26日到6月30日</a></h2> 這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。<a href="https://www.ithome.com.tw/news/157600">以Lockbit而言，30日他們聲稱台積電為受害者</a>，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續也向該公司了解狀況，該公司表示已於<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">30日在網站發布遭遇資安事件的公告</a>，當中指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在周五密切關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有相當大量Akira勒索軟體受害者被公布的情況，值得關注。 在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。 此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），三星裝置的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。 在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。 <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3> </h3> </div></div></div>
2023/7/5 10:31作者羅正漢https://www.ithome.com.tw/news/157613
台積電供應商遭LockBit勒索7千萬美金，新版勒索即服務新增加價延長功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 台積電供應商擎昊科技遭駭，據了解，是勒索集團LockBit入侵擎昊科技內網中，發現受駭發現有台積電TSMC的資料，駭客便對外宣稱，已經成功入侵並竊取到台積電的資料。不過，這樣的說法也遭到台積電的否認，受駭者擎昊科技也承認遭駭事宜。 此次LockBit對外公開的資訊中，要求受駭企業支付7千萬美金等值的比特幣或門羅幣等虛擬貨幣，在8月6日前沒有支付贖金的話，則會公開相關資訊。根據匿名資安專家追蹤該錢包網址，目前並沒有任何金額入帳。 TeamT5（杜浦數位安全）創辦人兼執行長蔡松廷（TT）則表示，這次資安事件其實是LockBit最新版的RaaS（勒索即服務）：LockBit 3.0，最明顯的新增功能是加價延長的功能，如果受駭者支付5千美金，資料公布的日期就可以延長24小時。 根據美國網路安全暨基礎設施安全局（CISA）等單位於日前揭露的報告指出，LockBit是2022年與2023年最活躍的勒索軟體即服務（RaaS），從2020年至今年第一季的受駭組織高達1,653個，光是針對美國企業發動的各種勒索即服務的攻擊，該駭客集團的不法所得便超過9,100萬美元。 <h2>試圖從駭客外洩截圖看端倪</h2> 擎昊科技在聲明稿中表示，遭受攻擊的環境為工程測試區，那是幫客戶準備的系統安裝環境，遭擷取的內容為安裝設定檔等參數資訊。該公司指稱，因為使用到特定客戶公司的名稱（例如tsmc台積電）所以才引發駭客組織的關注，並試圖經此途徑取得客戶的機密資料。 擎昊科技提到，因為上述相關資訊並無關客戶的實際應用，僅為出貨時的基本設定，所以，目前沒有造成客戶損害，也沒有客戶因此遭駭。 此次網路有一些駭客集團在推特上公布的照片，但不久後便遭到刪除。透過某些匿名資安專家將照片即時備份，可以發現，在一個ESXi04.tsmc.com的虛擬機氣中，有49個虛擬機器、3個儲存設備和14個網路設備。 從照片截圖中所顯示的虛擬機器名稱，包含廠商所使用的伺服器名稱和廠商名字，其中，有還在使用Windows NT的俊昇科技，使用Windows 2016的智禾科技、鍵祥資訊、英寶科技、巨路國際、精誠資訊和安極思科技等公司的虛擬機器。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A8%E7%89%B93.jpg" style="width: 600px;" /> 從另外一張ilo記事本的截圖中可以發現，這是一個HPE Nimble Storage儲存伺服器管理軟體，可以當成本機連線，並且可以在多個ESXi主機上配置iLO 5.X版的管理軟體。 但從截圖上登入資訊可以發現，登入帳號是admin，登入密碼password，可以證明使用者所使用的是預設密碼、並沒有任何修改，駭客一旦入侵、進行內部橫向移動後，就可以使用預設密碼，理所當然的取得儲存伺服器上的資料。 不過，匿名資安專家認為，這個截圖證明駭客企圖利用tsmc的資訊，證明入侵tsmc。另外，匿名資安專家表示，也可以推測台積電正在測試某一些供應商的產品，才需要輸入一些台積電的域名設定，但其他像是駭客揭露的IP位址等等，都無法獲得進一步的證明。 <img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).jpg" style="width: 1600px;" /> <h2>加價延長是LockBit 3.0版的新功能之一</h2> 蔡松廷表示，LockBit應該是目前最有名的勒索軟體，美國政府上個月才起訴他們，其犯罪模式是一種提供勒索軟體給犯罪者使用的RaaS犯罪模式（Ransomware as a Service，勒索即服務），有點像是軍火商，專精在數位武器（勒索軟體）的精進上，更重要的是，LockBit並沒有特別的產業偏好，全都打，都很認真的打，還很認真的研究各種更新的攻擊手法。 此次台積電供應商遭駭的資安事件，就是LockBit新推出的3.0版勒索即服務，而駭客集團推出LockBit 3.0的時候，還向廣大的資安武林發起英雄帖，希望大家來幫忙找LockBit的漏洞。他指出，該駭客集團並不打俄語系的國家，非常專注地在攻擊歐洲和美國。 蔡松廷表示，這次台積電供應商遭駭事件出現的加價延長，就是 LockBit 3.0的新功能，其他發現到LockBit 3.0的特色包括：修補LockBit 2.0 Ransomware的漏洞；LockBit 3.0有更快的加密速度，但實際上跟2.0版沒有差多少；一樣會大量部署公開或是開源的駭客工具，例如CobaltStrike，其他還有Rclone、WinSCP和PowerTool等；會持續使用一些最新的零時差漏洞，例如CVE-2023-0669：Fortra GoAnyhwere Managed File Transfer（MFT）Remote Code Execution Vulnerability。 他也說，LockBit 2.0版推出的時候，有一個專門針對Linux虛擬機器的變種版本，大概在2021年第四季推出的LockBit Green，當時就是專門針對Linux跟VMware ESXi所設計的，只不過，目前還沒有看到LockBit 3.0有針對專門的虛擬機的變種版本。 LockBit勒索軟體的預防之道，蔡松廷認為，最重要的就是要修補（Patch）系統的漏洞，因為，勒索軟體絕對是預防要重於治療。 </div></div></div>
2023/7/3 21:36作者黃彥棻https://www.ithome.com.tw/news/157611
【資安週報】2023年6月26日到6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。以Lockbit而言，30日他們聲稱台積電為受害者，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續新發現，<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">該公司於30日發出聲明表示</a>遭遇資安事件，並指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，並指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有大量Akira勒索軟體受害者被公布的情況。 在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。 此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），Samsung智慧型手機的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。 在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。 <h3><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></h3> 殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。 另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。 卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。 <h3><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></h3> 駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。 圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。 <h3><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></h3> 5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。 駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。 鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。 <h3><a href="https://www.ithome.com.tw/news/157555">【6月29日】NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></h3> 鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。 又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。 Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。 <h3><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></h3> 歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。 2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。 針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。 </div></div></div>
2023/7/3 09:36作者羅正漢https://www.ithome.com.tw/news/157587
開源資料湖專案Delta Lake 3.0加入通用格式，實現開源資料湖格式互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Databricks更新開源資料湖專案Delta Lake發布3.0版本，主要更新重點在於消除資料孤島，Databricks在新版本添加通用格式UniForm，該格式讓Delta Lake與其他開源資料湖儲存層Apache Iceberg和Apache Hudi能夠互通。 Delta Lake是由Databricks所開發，為一個資料湖儲存層，能夠簡化企業資料工程架構的複雜性，使企業高效批次和串流處理資料，提供ACID交易維持資料一致性，也使得用戶能夠變更Schema，並且自動處理Schema的演變。Delta Lake強大的索引能力，加速了資料讀取速度，用戶也能夠方便地與Apache Spark等大資料工具整合。 企業透過採用開源資料湖倉（Lakehouse）架構，可以避免被專有的資料倉儲鎖定，但是現在企業卻必須要在三種不同的資料湖開源格式Delta Lake、Iceberg和Hudi間選擇，而Delta Lake 3.0更新所加入的通用格式UniForm則能夠提高互通性，使得用戶可以同時從Delta Lake、Iceberg和Hudi工具生態系獲益。 在2019年的時候，Databricks已經將Delta Lake專案開源，目前交由Linux基金會治理，而Apache Iceberg則是由Netflix開源的資料湖表格格式，同樣提供ACID交易，並且讓用戶能夠更精細的管理資料，其核心概念包括表格、快照和分區等，這些功能都能支援增量和讀取合併操作。 而Apache Hudi則是由Uber開源的儲存層，主要用來管理在Hadoop裡的龐大資料集，Hudi支援增量查詢和插入，也讓用戶能夠儲存資料的不同版本，方便查詢歷史資料。Delta Lake、Iceberg和Hudi實作與功能雖有所不同，但主要目標皆能滿足常見的資料湖需求，包括資料一致性和大資料操作等。 Delta Lake 3.0添加的UniForm，讓Iceberg和Hudi也能高效存取儲存在Delta Lake中的資料，並自動生成Iceberg和Hudi需要的後設資料，UniForm統一表格格式，使得用戶不需要手動在不同格式間轉換，最終，Databricks希望透過UniForm，使得用戶可以自由靈活地使用Delta Lake。 </div></div></div>
2023/6/30 09:41作者李建興https://www.ithome.com.tw/news/157564
【資安日報】6月29日，NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。 又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。 Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。 <h3>【攻擊與威脅】</h3> VMware虛擬化平臺遭勒索軟體Akira鎖定 <a href="https://s4.itho.me/sites/default/files/images/Figure-1-Geographical-distribution-of-Victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Geographical-distribution-of-Victims.png" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer針對勒索軟體Akira的最近一波攻擊提出警告，這款勒索軟體在今年3月被發現的時候，主要是針對Windows電腦下手，但現在駭客也打造Linux版本，目的是加密VMware ESXi虛擬機器的檔案。 該新聞網站取得勒索軟體檔案進行分析，發現駭客罕見地提供了加密檔案比例的選項，目的可能是讓攻擊者調整，以控制加快執行的速度。 而對於受害範圍，資安業者Cyble表示，自他們首度於4月揭露此駭客組織，迄今已有46個組織受害，大部分位於美國。 資料來源 1. <a href="https://www.bleepingcomputer.com/news/security/linux-version-of-akira-ransomware-targets-vmware-esxi-servers/">https://www.bleepingcomputer.com/news/security/linux-version-of-akira-ransomware-targets-vmware-esxi-servers/</a> 2. <a href="https://blog.cyble.com/2023/06/28/akira-ransomware-extends-reach-to-linux-platform/">https://blog.cyble.com/2023/06/28/akira-ransomware-extends-reach-to-linux-platform/</a> <a href="https://www.deepinstinct.com/blog/pindos-new-javascript-dropper-delivering-bumblebee-and-icedid">惡意軟體下載器PindOS被用於散布Bumblebee、IcedID</a> 資安業者DeepInstinct揭露名為PindOS的惡意程式下載工具，此為JavaScript打造而成的指令碼，功能極為單純，攻擊者可透過參數指定使用者代理字串（User Agent）、下載的URL、載入惡意軟體的DLL程式庫，攻擊者藉由此載入工具來散布惡意程式載入工具Bumblebee、IcedID。 研究人員指出，雖然PindOS會在受害電腦的磁碟上運作，但因為其指令採用了高度混淆手法，在最初現身時，大部分防毒引擎無法將其視為有害。 大樓保全利用職務之便蒐集40個社區的住戶個資，架設網站轉賣供房仲使用 根據ETtoday、聯合新聞網、三立新聞等媒體的報導，居住於臺中市的38歲陳姓男子，擔任物業管理職務的期間，得知房屋仲介使用俗稱「小白機」的住戶個資資料庫，他利用職務之便蒐集住戶資料，然後購買小白機並將兩者的資料整合，架設付費查詢網站，以日租、月租、永久會員的方式，向房仲兜售個資牟利，會員人數近百人，不法獲利約100萬元，臺中約有40個社區受害。 這起事件曝光的原因，是因為有民眾頻繁接到房仲業者的電話，詢問名下房屋是否要出售，懷疑個資遭外洩向警方報案，臺中市警察局刑事警察大隊科技犯罪偵查隊介入偵辦，發現個資來源是名為「房仲開發系統」的網站，警方查扣伺服器主機、隨身碟、現金等證物並下架網站，將陳姓男子以違反個人資料保護法第41條起訴，法院判刑10個月。 資料來源 1. <a href="https://www.ettoday.net/news/20230628/2529093.htm">https://www.ettoday.net/news/20230628/2529093.htm</a> 2. <a href="https://udn.com/news/story/7321/7263332">https://udn.com/news/story/7321/7263332</a> 3. <a href="https://www.setn.com/News.aspx?NewsID=1315460">https://www.setn.com/News.aspx?NewsID=1315460</a> <h3>【漏洞與修補】</h3> <a href="https://blog.vlt.sh/blog/the-massive-hole-in-the-npm-ecosystem">NPM套件庫曝露於Manifest Confusion攻擊的風險當中</a> <a href="https://s4.itho.me/sites/default/files/images/223906998-ea9f1dd6-9495-4da9-87e1-137c05ad4d7a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/223906998-ea9f1dd6-9495-4da9-87e1-137c05ad4d7a.png" style="width: 300px; float: right;" /></a>前GitHub工程師Darcy Clarke提出警告，NPM套件庫存在可被用於供應鏈攻擊的弱點Manifest Confusion，原因是套件在NPM網站上呈現的資訊，與tarball壓縮檔裡的安裝資訊package.json不盡相同，而且，此套件庫系統本身並不比對兩者的內容是否一致，而使得攻擊者可藉此誤導開發人員。 在套件的網站上，發布軟體的駭客作者故意顯示沒有相依的其他套件資訊，但開發者實際安裝套件的過程裡，這些套件卻依照package.json的指令，下載惡意相依套件，或是執行惡意指令碼，此時，開發人員無論使用NPM的命令列工具，或是其他第三方工具來部署套件，都無法避免這類狀況，而有可能受害。 Darcy Clarke指出，上述弱點GitHub早在2022年就知情，他也在今年3月透過HackerOne通報，但迄今GitHub仍未修補。 <a href="https://www.sonarsource.com/blog/why-orms-and-prepared-statements-cant-always-win/">Gentoo Linux作業系統元件存在重大SQL注入漏洞，攻擊者可將其用於RCE攻擊</a> 資安業者SonarSource揭露Gentoo Linux作業系統套件Soko的重大漏洞CVE-2023-28424，一旦有心人士想要利用，就有可能發動SQL注入攻擊，CVSS風險評分為9.1。研究人員從Soko的搜尋功能找到這些漏洞，開發團隊已於3月17日接獲通報，並在24小時之內完成修補。 這些漏洞發生的原因，與資料庫的組態配置不當有關，即使在套用了物件關係映射（Object-Relational Mapping，ORM）程式庫的情況下，攻擊者仍能利用上述的漏洞進行SQL注入，從而遠端於目標系統執行任意程式碼（RCE）。不過，由於Soko的元件與其他軟體服務隔離，研究人員認為，使用 Gentoo Linux的用戶不會因此遭遇供應鏈攻擊。 <h3>【資安防禦措施】</h3> <a href="https://www.europol.europa.eu/media-press/newsroom/news/dismantling-encrypted-criminal-encrochat-communications-leads-to-over-6-500-arrests-and-close-to-eur-900-million-seized">加密通訊網路EncroChat被破解3年，逾6千名嫌犯遭到逮捕</a> <a href="https://s4.itho.me/sites/default/files/images/Website -EncroChat_Conf_Social_Media_1600x900 - Numbers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Website%20-EncroChat_Conf_Social_Media_1600x900%20-%20Numbers.jpg" style="width: 300px; float: right;" /></a>法國與荷蘭警方在歐洲刑警組織（Europol）與歐洲司法組織（Eurojust）的協助下，於2020年破解、摧毀受到犯罪集團青睞的加密通訊網路EncroChat，他們分析該網路1.15億則訊息之後，3年來逮捕了6,658名嫌犯，扣押或凍結近9億歐元的不法所得。 這起執法行動起因是法國憲兵隊2017年發現犯罪集團經常利用EncroChat手機通訊，隨後法國尋求荷蘭、Eurojust、Europol合作，並在2020年4月於法國境內的EncroChat伺服器進行監控，該公司6月察覺遭到滲透而終止營運。 <h3>【資安產業動態】</h3> <a href="https://blogs.windows.com/windows-insider/2023/06/22/announcing-windows-11-insider-preview-build-23486/">Windows 11將納入Passkey產生與使用，可望帶動新一波無密碼身分驗證應用</a> 微軟在6月22日推出的Windows 11開發版本Build 23486當中，首度納入Passkey的身分驗證功能，讓用戶可以透過Windows Hello製作Passkey，未來用戶即可以設定的臉部、指紋或PIN碼的方式，登入網站及應用程式。此外，用戶也可以透過手機完成登入流程。 <h3>【其他新聞】</h3> <a href="https://www.mdsec.co.uk/2023/06/cve-2023-26258-remote-code-execution-in-arcserve-udp-backup/">備份軟體Arcserve UDP出現身分驗證繞過漏洞</a> <a href="https://securityaffairs.com/147828/hacking/bind-dns-dos-flaws.html">網路系統協會修補DNS軟體套件BIND9的DoS漏洞</a> <a href="https://censys.io/identifying-cisa-bod-23-02-internet-exposed-networked-management-interfaces-with-censys/">美國聯邦機構數百臺設備的管理介面曝露於網際網路</a> <a href="https://www.fortinet.com/blog/threat-research/new-fast-developing-thirdeye-infostealer-pries-open-system-information">竊資軟體ThirdEye鎖定俄語用戶而來</a> <a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/report-state-of-zero-trust.pdf">資安業者Fortinet揭露臺灣近7成企業導入零信任架構</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a> <a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a> <a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a> </div></div></div>
2023/6/29 17:29作者周峻佑https://www.ithome.com.tw/news/157555
台灣二版引進遠端控制軟體新品牌，支援多種OS與狀態監控
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supremo_main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為了維持資訊工作的正常運作，長達三年的COVID-19疫情，迫使企業不得不開放使用各種便於遠端存取電腦與伺服器的解決方案，市面上也充斥著許多相關的應用軟體與雲端服務，希望能夠搶下企業市場。以臺灣資安大會這幾年的活動而言，就有多款專攻遠端登入與控制電腦功能的產品廠商參展，如TeamViewer、Splashtop、Remote.It。此外，我們還可以找到AnyDesk、LogMeIn、GoToAssist、GoToMyPC等產品，當然也能使用Microsoft Remote Desktop、Chrome Remote Desktop，分別由微軟與Google這兩大IT廠商供應的免費軟體。 去年底以代理防毒軟體ESET著稱的台灣二版，引進新的遠端控制軟體SupRemo，為其遠端應用類型解決方案增添更多選擇。開發這款產品的廠商，是一家成立超過30年的義大利IT廠商Nanosystems，他們在2013年推出SupRemo，用戶可從網站下載軟體、將其安裝在個人電腦與伺服器，提供可從遠端操控作業系統的桌面共享功能。 相隔3年，該公司發表雲端管理與監控平臺USilio，用來統籌該公司2006年推出的備份軟體Uranium Backup用戶端程式，以及SupRemo聯絡人的同步、管理與控制，2017年開始支援iOS與Android兩大平臺，提供名為「Supremo Remote Desktop」的行動App，可連至個人電腦或伺服器桌面進行遠端控制，後續USilio也改名為SupRemo Console。 <a href="https://s4.itho.me/sites/default/files/images/SupRemo Console1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Console1.jpg" style="width: 600px;" /></a> 在今年1月，Nanosystems推出SupRemo Mobile Assist的應用，Android智慧型手機或平板電腦安裝這支行動App之後，其他人可透過安裝在Windows、macOS、Linux、iOS、Android的SupRemo應用程式，連接到這臺行動裝置進行遠端控制，以便即時解決使用者當下的操作問題。 <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-1x.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-1x.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-4.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-5.jpg" style="width: 148px;" /></a> 以設定、下載、安裝等方式而言，SupRemo使用起來算是頗為簡單，從桌面應用程式的角度來看，與TeamViewer頗為類似，同樣會秀出連接ID與密碼，連入受控端電腦之後，除了能進到作業系統桌面進行各項操作，在連接程式的上緣，提供檔案管理員、線上文字交談、各種控制細項、全螢幕顯示、調整顯示模式、中斷連線等6種主要功能，可協助主控端快速操作。 <a href="https://s4.itho.me/sites/default/files/images/SupRemo W7-mark.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20W7-mark.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo Password-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Password-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Password-2.jpg" style="width: 298px;" /> 在密碼設定上，SupRemo在用戶端程式提供相當豐富的設定選項，可設置第二層密碼，須輸入指定密碼才能調整密碼相關設定（如上圖右），而允許外部連入此電腦的主密碼，預設為動態變換，且長度為6個字元，我們也能改為8或10個字元，或是停用動態更換密碼。這裡也能限制可登入的SupRemo使用者帳號，提供類似白名單的管制方式，若以不同帳號登入用戶端程式，可看到能遠端存取的電腦群組清單。 而在網頁主控臺SupRemo Console當中，提供地址簿的功能，管理者可快速檢視目前已註冊的多臺受控端電腦，判斷目前是否屬於上線、可連接的狀態，若是專業版的服務訂閱用戶，可獲得更多功能，像是：遠端管理，可協助監控遠端的裝置系統是否正常運作，若有作業系統更新未安裝、防毒軟體停用，都會在此標示出來，提醒管理者注意。 <a href="https://s4.itho.me/sites/default/files/images/SupRemo Device Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Device%20Management.jpg" style="width: 600px;" /></a> 產品資訊 SupRemo 4 ●原廠：Nanosystems ●代理商：台灣二版 ●建議售價：3人同時上線、1年授權為16,600元 ●用戶端作業系統支援：Windows（XP SP3至11、Server 2003 R2至2022）、macOS（10.12至13.0）、iOS（11以上）、Android（6.0以上）、Linux（Ubuntu 18.04至20.04 LTS） 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/6/28 19:39作者李宗翰https://www.ithome.com.tw/review/157488
紅帽不再公開RHEL原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 繼紅帽（Red Hat）在2020年底決定停止CentOS Linux更新之後，現在Linux發行政策又有重大變更，紅帽上星期<a href="https://www.redhat.com/en/blog/furthering-evolution-centos-stream">宣布</a>不會再將RHEL的程式碼公開到git.centos.org，並且把開源社群的協作能量，轉移到上游的CentOS Stream。紅帽這項政策目的，在於打擊那些單純重新建置RHEL程式碼的Linux發行版。 過去整個紅帽Linux生態從上游到下游，依序為Fedora、CentOS Stream、RHEL和CentOS Linux。CentOS最一開始是獨立的開源專案，CentOS Linux的主要來源，來自於RHEL的程式碼，因此又被視為免費的RHEL，紅帽在2014年買下CentOS讓其獨立運作，並在之後才又推出CentOS Stream。 紅帽決定停止更新CentOS Linux，使得許多老用戶十分憤怒，認為紅帽摧毀了使用者的信任，而紅帽上周發布決定不再公開RHEL程式碼的消息，紅帽又再次受到網路輿論猛烈抨擊，不只被稱作邪惡，並且認為紅帽轉向閉源軟體。 這項政策變動代表紅帽將不再維護git.centos.org上的儲存庫，CentOS Stream將會成為RHEL相關唯一的公開原始碼儲存庫，但這並不影響CentOS專案或是CentOS Stream原始碼的可用性，而紅帽的客戶和合作夥伴，仍可以依據訂閱協議獲取RHEL原始碼，因此對於紅帽客戶沒有太大的影響。 由於CentOS Stream是RHEL的上游專案，因此紅帽對於RHEL的更新，也會率先更新到至CentOS Stream，使用者可以更早的看到新功能與更新，但這也意味著CentOS Stream中的程式碼較RHEL更不穩定，畢竟CentOS Stream還是RHEL開發過程的一個環節，需要穩定和成熟程式碼的使用者，便需要更小心地選擇程式碼版本。 紅帽在最新的<a href="https://www.redhat.com/en/blog/red-hats-commitment-open-source-response-gitcentosorg-changes">部落格文章</a>，回應用戶對於紅帽不再公開RHEL原始碼的意見，重申紅帽採用開源開發模型的立場，他們會將所有更新程式碼貢獻給上游專案，並且遵守專案所使用包括GPL等開源授權規範。 同時紅帽也指出對於此新政策的怒火，來自於想要免費取用RHEL資源，但是又不投入時間、努力與資源的使用者，他們認為用這種態度取用RHEL原始碼有失厚道，如果僅是打包原始碼轉售，沒有在其中增添價值，將無法使開源軟體永續發展。 對於直接重建RHEL專案的發行版，紅帽直指這些作為沒有價值，就如同CentOS Linux一樣。這些下游專案皆是從公開的RHEL原始碼建置一個發行版，其使用者便不需要購買RHEL訂閱，就可以獲得RHEL穩定與安全性功能。 當初紅帽便是在確認CentOS Linux這樣的RHEL重建版本沒有價值，才選擇關掉停止支援CentOS Linux之後，而諸如AlmaLinux和Rocky Linux這類號稱企業級的Linux發布版，其實也都是RHEL的重新建置版。紅帽停止公開RHEL原始碼也就相當於切斷這些專案的原始碼來源，重點打擊單純重建程式碼的專案。 </div></div></div>
2023/6/28 09:26作者李建興https://www.ithome.com.tw/news/157514
【資安日報】6月27日，駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。 圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。 <h3>【攻擊與威脅】</h3> <a href="https://blog.cyble.com/2023/06/23/trojanized-super-mario-game-installer-spreads-supremebot-malware/">駭客藉由提供超級瑪利歐遊戲的名義，利用受害電腦運算資源挖礦</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-6-Mario-game-installation-wizard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Mario-game-installation-wizard.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露以提供電玩遊戲超級瑪利歐（Super Mario）的挖礦攻擊行動，駭客重新打包名為Super Mario Forever的遊戲安裝程式，一旦使用者下載執行，在安裝遊戲的過程裡，電腦就會被植入挖礦程式XMR miner、挖礦用戶端程式SupremeBot，以及竊資軟體Umbral Stealer。 研究人員指出這起挖礦攻擊並非首例，過往駭客就鎖定電腦玩家，假借提供Enlisted、Afterburner、FiveM Spoofer等遊戲相關的應用程式，其共通點就是看上遊戲玩家電腦具有優於一般使用者電腦的運算資源，用來進行挖礦牟利。 <a href="https://www.theregister.com/2023/06/22/japan_my_number_security_review/">日本數位身分證傳出資料外洩，首相下令進行緊急調查</a> 根據日本時報（Japan Times）報導，日本數位身分證My Number 系統傳出實體卡片寄送錯誤，有2起因姓名相同而被弄錯的情況。總務省表示這些卡片並未遭到濫用，甚至收到新式身分證的民眾也可能不知情，數位大臣河野太郎要求徹底清查此事。 對此，日本首相岸田文雄於6月21日發表公開談話時，要求下令政府不只要緊急對My Number資料的正確性進行檢查，並於今年秋天調整相關法令，以及在現行醫療卡廢除過程的寬限期裡，消除民眾對數位身分證的疑慮。 資料來源 1. <a href="https://www.kantei.go.jp/jp/101_kishida/statement/2023/0621kaiken.html">https://www.kantei.go.jp/jp/101_kishida/statement/2023/0621kaiken.html</a> 2. <a href="https://www.japantimes.co.jp/news/2023/06/20/national/my-number-card-delivery-error/">https://www.japantimes.co.jp/news/2023/06/20/national/my-number-card-delivery-error/</a> 3. <a href="https://www.asahi.com/ajw/articles/14906469">https://www.asahi.com/ajw/articles/14906469</a> <a href="https://www.cisa.gov/news-events/alerts/2023/06/23/cisa-adds-five-known-exploited-vulnerabilities-catalog">兆勤NAS重大漏洞傳出攻擊行動</a> 6月20日兆勤（Zyxel）針對旗下3款NAS設備修補CVE-2023-27992（CVSS風險評分9.8），很快就傳出被用於攻擊行動的情況。美國網路安全及基礎架構安全署（CISA）於23日發布公告，將上述漏洞列入已遭利用漏洞名單（KEV），要求美國聯邦政府及國營企業組織，需在7月14日修補完成。 同日CISA也將另外4個漏洞也列入KEV，這些漏洞分別是存在於蘋果裝置的CVE-2023-32434、CVE-2034-32435、CVE-2023-32439，以及存在於VMware Tools的身分驗證繞過漏洞CVE-2023-20867。 <a href="https://www.bleepingcomputer.com/news/security/lastpass-users-furious-after-being-locked-out-due-to-mfa-resets/">密碼管理服務LastPass雙因素驗證流程出錯，用戶遭到登出</a> 根據資安新聞網站Bleeping Computer的報導，自5月上旬開始，密碼管理系統LastPass的部分用戶帳號遭到鎖定，使用者即使依照指示重置動態密碼產生器App（如Microsoft Authenticator、Google Authenticator），仍然無法存取他們的密碼保管庫。 由於聯繫客服需要登入LastPass帳號，使用者一直看到要求重設動態密碼產生器App組態的錯誤訊息，因而陸續上網抱怨無法使用。然而，上述情況發生的原因，其實與LastPass在5月9日表明進行的系統升級有關，該公司近日也提出重新登入系統的解決方法。 <a href="https://www.bankinfosecurity.com/sec-alleges-solarwinds-cfo-ciso-violated-us-securities-laws-a-22367">美國證券交易委員會傳出打算對SolarWinds財務長、資安長提告，追究2020年軟體供應鏈攻擊事故的責任</a> 根據新聞網站BankInfoSecurity的報導，美國證券交易委員會（SEC）打算對SolarWindws財務長Bart Kalsu、資安長Tim Brown提出告訴，指控在2020年供應鏈攻擊事件中，兩人的因應過程違反證交法。SolarWinds也在6月23日發布8-K表單，明確指出這兩位就是當局追究Orion網路監控系統事件被鎖定的「現任及前任的高階主管與員工」。 若是上述的消息屬實，SEC持續採取相關的執法行動，那麼Bart Kalsu、Tim Brown，或其他有關人士有可能面臨罰款，或是面臨禁止擔任上市公司的高階主管及董事的處罰。 <h3>【漏洞與修補】</h3> <a href="https://grafana.com/blog/2023/06/22/grafana-security-release-for-cve-2023-3128/">圖像化資料分析解決方案Grafana出現重大漏洞，若不修補可被用於挾持Azure AD帳號</a> 6月22日圖像化資料分析解決方案Grafana發布資安通告，主要是針對重大漏洞CVE-2023-3128推出更新版本8.5.27、9.2.20、9.3.16、9.4.13、9.5.5、10.0.1版，開發團隊也對於雲端版本Grafana Cloud完成相關修補。 這項漏洞起因是Grafana根據電子郵件信箱來驗證Azure AD帳號，一旦攻擊者加以利用，就能在採用Azure AD的OAuth身分驗證的Grafana環境當中，且在缺乏allowed_groups的組態設定下，進行身分驗證繞過並接管Azure AD的使用者帳號，CVSS風險評分為9.4，影響6.7.0版以上的Grafana，而對於暫時無法套用更新程式的用戶，他們也提出緩解措施。 <h3>【其他新聞】</h3> <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">微軟Teams出現漏洞，恐被攻擊者以外部帳號傳送惡意軟體</a> <a href="https://www.fortiguard.com/psirt/FG-IR-23-096">Fortinet修補NAC系統的重大漏洞</a> <a href="https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking">GitHub儲存庫有可能遭到相依性套件挾持攻擊</a> <a href="https://www.bleepingcomputer.com/news/security/american-airlines-southwest-airlines-disclose-data-breaches-affecting-pilots/">美國航空、西南航空資料外洩，起因是遭遇供應鏈攻擊</a> <a href="https://media.defense.gov/2023/Jun/22/2003245723/-1/-1/0/CSI_BlackLotus_Mitigation_Guide.PDF">美國國家安全局推出防禦UEFI惡意軟體BlackLotus的指南</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a> <a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a> <a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a> </div></div></div>
2023/6/27 18:03作者周峻佑https://www.ithome.com.tw/news/157513
【資安日報】6月26日，殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。 另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。 卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。 <h3>【攻擊與威脅】</h3> <a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">殭屍網路Mirai變種鎖定22個網路設備漏洞而來</a> <a href="https://s4.itho.me/sites/default/files/images/word-image-128774-2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-128774-2-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自今年3月中旬出現的殭屍網路Mirai變種攻擊行動，駭客鎖定D-Link、Arris、兆勤（Zyxel）、TP-Link、騰達（Tenda）、Netgear、聯發科（MediaTek）的22個網路設備漏洞而來，對這些設備進行控制並用於DDoS攻擊。這些設備的類型涵蓋了路由器、數位視訊監視器（DVR）、網路視訊監視器（NVR）、Wi-Fi無線網路接收器、存取控制系統、太陽能發電監控系統等。駭客先是利用漏洞入侵目標設備，並透過Shell指令碼偵測系統架構、下載對應的殭屍網路病毒。 值得留意的是，其中一個遭到利用的TP-Link Archer A21漏洞CVE-2023-1389（CVSS風險評分8.8），漏洞懸賞專案Zero Day Initiative曾揭露有人在4月用於散布Mirai，兩起攻擊行動是否為相同駭客所為？仍有待後續進一步的調查。 <a href="https://www.microsoft.com/en-us/security/blog/2023/06/22/iot-devices-and-linux-based-systems-targeted-by-openssh-trojan-campaign/">駭客透過惡意OpenSSH元件攻擊Linux設備</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-1-openssh-trojan-attack-c.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-openssh-trojan-attack-c.png" style="width: 300px; float: right;" /></a>微軟揭露濫用開源加密程式庫OpenSSH的挖礦攻擊，駭客鎖定配置錯誤、曝露於網際網路的Linux裝置，透過暴力破解的方式入侵，一旦成功後就會停用Shell的事件記錄，並從遠端伺服器下載遭到竄改的OpenSSH檔案，然後部署以Shell指令碼打造的後門程式，該後門程式啟動時會偵測是否在蜜罐誘捕系統（Honeypot）的環境，以免遭到研究人員分析。 一旦受害裝置通過檢測，上述的後門程式就會從GitHub下載Rootkit軟體Reptile、Diamorphine，並於受害裝置部署殭屍網路機器人ZiggyStarTux，接收攻擊者的命令，進行挖礦攻擊。 值得留意的是，駭客也透過「修補」的方式，在OpenSSH元件套用惡意程式碼，進而攔截SSH連線的帳密資料，並允許攻擊者透過root登入系統。 <a href="https://twitter.com/BrettCallow/status/1671532524705570818">物流業者UPS資料外洩，警告加拿大用戶釣魚簡訊攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/FzJ5hzEWwAAqTqH.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FzJ5hzEWwAAqTqH.jpg" style="width: 300px; float: right;" /></a>資安業者Emsisoft的研究人員Brett Callow透露，他最近收到物流業者UPS加拿大分公司的通知信，表示要用戶留意網釣簡訊及電子郵件。 但這封信件的內容，其實是告知用戶該公司出現資料外洩事故，導致用戶收到網釣簡訊。駭客從2022年2月1日至2023年4月24日，濫用UPS的包裏搜尋工具來存取包含寄件人聯絡資訊的詳細寄件資料。 研究人員認為，UPS在通知信裡沒有直接開門見山表達是資料外洩事故資訊，很可能讓用戶誤以為是資安宣導而未提高警覺。 <a href="https://www.ithome.com.tw/news/157491">暴雪娛樂遭到DDoS攻擊，旗下多款遊戲的玩家面臨連線異常</a> 暴雪娛樂（Blizzard）於臺北時間6月25日下午約10點透過推特發出公告，他們旗下的電玩平臺Battle.net遭到DDoS攻擊，導致暗黑破壞神IV、魔獸世界、星海爭霸、爐石戰記等多款遊戲的玩家無法正常連線，出現無法登入、連線緩慢等問題，有部分用戶反映，無法連線時間至少有10到12小時之久。 直到臺北時間26日凌晨約1時20分，暴雪才表示相關攻擊已經結束。根據服務運作狀態偵測網站Down Detector的資料，受這波連線影響的用戶分布美國、歐洲，以及部分亞洲地區。 <h3>【漏洞與修補】</h3> <a href="https://www.ithome.com.tw/news/157482">蘋果修補Operation Triangulation攻擊行動遭到利用的零時差漏洞</a> 蘋果於6月21日發布iOS 16.5.1、iPadOS 16.5.1、macOS Ventura 13.4.1，主要是修補卡巴斯基揭露的攻擊行動Operation Triangulation裡，駭客所使用的零時差漏洞CVE-2023-32434、CVE-2023-32439。 CVE-2023-32434為作業系統核心的整數溢位漏洞，攻擊者可藉此讓惡意程式以核心權限執行任意程式碼；CVE-2023-32439則是Safari瀏覽器排版引擎WebKit的型態混淆漏洞，攻擊者可傳送網頁連結並誘使用戶點擊，進而執行任意程式碼。蘋果也針對舊版iOS、iPadOS，推出15.7.7版修補上述漏洞，此外，該公司也發布watchOS 8.8.1修補CVE-2023-32434。 資料來源 1. <a href="https://support.apple.com/HT213814">https://support.apple.com/HT213814</a> 2. <a href="https://support.apple.com/HT213813">https://support.apple.com/HT213813</a> 3. <a href="https://support.apple.com/HT213811">https://support.apple.com/HT213811</a> 4. <a href="https://support.apple.com/HT213808">https://support.apple.com/HT213808</a> <h3>【資安防禦措施】</h3> <a href="https://moda.gov.tw/press/press-releases/5539">歐洲議會訪團拜會數位部，針對資安、數位韌性進行交流</a> 數位發展部政務次長闕河鳴於6月20日，會見歐洲議會外委會安全暨防衛小組（SEDE）副主席茱娜薇（Rasa Juknevičienė）帶領的訪問團，分享臺灣的數位韌性規劃。 闕河鳴表示，「資安即國安」為臺灣當前重要政策，數位部積極推動跨境備援，確保緊急事件發生時，公部門系統仍可維持運作；此外，各政府機關透過介接政府資料傳輸平臺進行點對點資料傳輸，運用零信任架構，以「永不信任，持續驗證」原則強化資安。 <a href="https://www.facebook.com/te.nics.tw/posts/pfbid0VxwB8E9vKrApLtCmASifJN9sbGS7mphFHXc7TdGWQum7gzSnpkqCPMFL1ox2H9Fzl">為增進高階資安人才技術，資安院首度推出菁英培訓課程</a> 國家資通安全研究院今年首度推出以資安事件工程師為主的培訓課程，第一梯次受訓期間自7月15日至8月27日，為期5週、共9天（54小時）的內容，主要對象是企業、政府單位、資安公司等在職資安技術及研發人員，目的是因應國內產業需求、增進高階資安人才防護技術，資安院表示課程的費用將由政府全額補助，他們預計將錄取正取60名、備取25名學員。 此外，資安院亦透露，他們計畫在臺北推出第二梯次培訓，也會在臺南舉辦相關課程。 <h3>【其他新聞】</h3> <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">微軟Teams出現漏洞，恐被攻擊者以外部帳號傳送惡意軟體</a> <a href="https://www.fortiguard.com/psirt/FG-IR-23-096">Fortinet修補NAC系統的重大漏洞</a> <a href="https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking">GitHub儲存庫有可能遭到相依性套件挾持攻擊</a> <a href="https://www.bleepingcomputer.com/news/security/american-airlines-southwest-airlines-disclose-data-breaches-affecting-pilots/">美國航空、西南航空資料外洩，起因是遭遇供應鏈攻擊</a> <a href="https://media.defense.gov/2023/Jun/22/2003245723/-1/-1/0/CSI_BlackLotus_Mitigation_Guide.PDF">美國國家安全局推出防禦UEFI惡意軟體BlackLotus的指南</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a> <a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a> <a href="https://www.ithome.com.tw/news/157420">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a> </div></div></div>
2023/6/26 18:01作者周峻佑https://www.ithome.com.tw/news/157498
【資安週報】2023年6月19日到6月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞，而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。 在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。 其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。 另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。 <h3><a href="https://www.ithome.com.tw/news/157420">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a></h3> 微軟旗下有幾個雲端服務自6月初出現中斷、無法存取的狀況，該公司雖然證實存在服務停擺的事故，但始終沒有正面說明發生的原因。直到上週末，該公司終於表明這些是因為遭到DDoS攻擊造成，並指出攻擊者的身分是Storm-1359。 有越來越多組織出面證實遭到MOVEit Transfer零時差漏洞攻擊，而在上週末，美國路易斯安那州、奧勒岡州的交通部門皆發布公告，表示民眾的駕照資料可能外洩，並指出影響範圍。 遭到棄置的AWS S3儲存桶有可能成為駭客散布惡意軟體的管道！有資安業者針對GitHub發布的資安通告進行追查，結果發現，有不少惡意軟體也利用這種方式代管。 <h3><a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a></h3> 新的竊資軟體攻擊行動引發研究人員關注而提出警告，資安業者Zscaler、Cyfirma不約而同公布竊資軟體Mystic的調查結果，並指出該惡意程式雖然從4月才首度現身，但相關功能非常完整，所造成的威脅程度不容小覷。 駭客濫用社群網站散布惡意程式的情況，過往大多是臉書、推特，但最近也有利用不同類型社群網站的情況。例如，在木馬程式DcRAT的攻擊行動裡，就是利用名為OnlyFans的網站對用戶下手。 <h3><a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></h3> OAuth身分驗證機制的應用越來越普遍，然而這類機制一旦實作上出現不足之處，有可能造成嚴重的後果。例如，近期資安業者Descope揭露雲端目錄服務Azure AD有個漏洞，取名為nOAuth，並認為攻擊者可輕易利用，將其用於挾持使用者的Azure AD帳號。 駭客鎖定Linux伺服器並透過暴力破解嘗試SSH帳密的攻擊，最近又有一起行動。殭屍網路Tsunami藉由這種手法劫持Linux伺服器，目的綁架這些伺服器用於DDoS攻擊與挖礦。 新的竊資軟體最近也不斷出現，而現在有一支名為RDStealer的這類惡意程式，引起研究人員關注，因為當中外洩資料的手法很特別：他們濫用遠端桌面連線（RDP）向C2傳送檔案。 </div></div></div>
2023/6/26 09:38作者羅正漢https://www.ithome.com.tw/news/157490
【資安日報】6月21日，微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> OAuth身分驗證機制的應用越來越普遍，然而這類機制一旦實作上出現不足之處，有可能造成嚴重的後果。例如，近期資安業者Descope揭露雲端目錄服務Azure AD有個漏洞，取名為nOAuth，並認為攻擊者可輕易利用，將其用於挾持使用者的Azure AD帳號。 駭客鎖定Linux伺服器並透過暴力破解嘗試SSH帳密的攻擊，最近又有一起行動。殭屍網路Tsunami藉由這種手法劫持Linux伺服器，目的綁架這些伺服器用於DDoS攻擊與挖礦。 新的竊資軟體最近也不斷出現，而現在有一支名為RDStealer的這類惡意程式，引起研究人員關注，因為當中外洩資料的手法很特別：他們濫用遠端桌面連線（RDP）向C2傳送檔案。 <h3>【攻擊與威脅】</h3> <a href="https://asec.ahnlab.com/en/54647/">殭屍網路Tsunami鎖定SSH伺服器而來</a> 資安業者AhnLab揭露鎖定Linux伺服器而來的殭屍網路Tsunami攻擊行動，駭客透過暴力破解的方式，鎖定能透過SSH協定存取的伺服器下手，使用特定的帳密資料來嘗試登入，目的是要將其用於發動DDoS攻擊，同時也利用其運算資源挖掘門羅幣。 研究人員指出，他們看到駭客不只使用Tsunami，還部署了ShellBot機器人、事件記錄清理程式、權限提升工具、挖礦軟體（XMRig）等。 <a href="https://www.fortinet.com/blog/threat-research/condi-ddos-botnet-spreads-via-tp-links-cve-2023-1389">TP-Link路由器重大漏洞遭殭屍網路Condi鎖定</a> 資安業者Fortinet揭露殭屍網路Condi的攻擊行動，駭客專門鎖定TP-Link Archer AX21路由器的漏洞CVE-2023-1389（CVSS風險評分為8.8）下手，散播殭屍網路病毒，然後透過Telegram頻道兜售其DDoS攻擊服務，這樣的情況在5月底明顯增加。 研究人員指出，為了讓此病毒能長期在受害路由器上運作，駭客刪除了用於關機與重開機的執行檔，同時清除其他競爭對手的殭屍網路病毒及工具。而Condi並非首度利用CVE-2023-1389發動攻擊的殭屍網路，今年4月，也傳出有人濫用此漏洞散布Mirai的惡意活動。 <a href="https://www.bitdefender.com/blog/businessinsights/unpacking-rdstealer-an-exfiltration-malware-targeting-rdp-workloads/">竊資軟體RDStealer透過遠端桌面流出受害電腦資料</a> <a href="https://s4.itho.me/sites/default/files/images/undefined-Jun-15-2023-02-14-44-1532-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Jun-15-2023-02-14-44-1532-PM.png" style="width: 300px; float: right;" /></a>防毒業者Bitdefender揭露自2022年出現的竊資軟體RDStealer攻擊行動，國家資助的駭客鎖定東南亞地區從事間諜活動，過程中，運用兩種以Go語言打造而成的工具，分別是後門程式Logutil、竊資軟體RDStealer，後者特別引發研究人員的注意。 他們發現，若是受害組織啟用了用戶端磁碟映射（Client Drive Mapping）功能，駭客就能監控流入的遠端桌面連線（RDP）流量，然後向C2傳送竊得的資料，並接收後門程式Logutil部署於受害電腦，以便持續行動。。 <a href="https://www.team-cymru.com/post/darth-vidar-the-aesir-strike-back">竊資軟體Vidar輪替後端的基礎設施，攻擊行動更為隱匿</a> 資安業者Team Cymru揭露竊資軟體Vidar攻擊行動的態勢，駭客在3月、4月、5月大幅調整其使用的基礎設施，利用俄羅斯、摩爾多瓦的主機代管服務架設，且規模有擴大的趨勢。 <a href="https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/">10萬臺電腦遭竊資軟體入侵，ChatGPT帳密資料流入暗網</a> <a href="https://s4.itho.me/sites/default/files/images/blog1-1-min-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog1-1-min-1.png" style="width: 300px; float: right;" /></a>資安業者Group-IB統計這一年以來的ChatGPT帳號遭竊情況，觀察的時間範圍是2022年6月至2023年5月，他們發現，總共有101,134臺電腦遭到竊資軟體入侵，導致ChatGPT帳密外洩並流入暗網兜售，且這樣的態勢在今年5月達到高峰（26,802臺遇害）。 研究人員指出，駭客用於盜取這種資料的工具，大部分是竊資軟體Raccoon（78,348臺），其次是Vidar（12,984臺）、RedLine（6,773臺）。而從受害電腦所在的地區而言，亞太地區最多，有40,999臺，其次則是東亞及非洲，有24,925臺，以及歐洲16,951臺、拉丁美洲12,314臺。 <a href="https://www.securityweek.com/norton-parent-says-employee-data-stolen-in-moveit-ransomware-attack/">旗下擁有小紅傘、諾頓等防毒品牌的廠商，傳出遭遇MOVEit Transfer零時差漏洞攻擊</a> 根據資安新聞網站SecurityWeek的報導，旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital，遭遇勒索駭客組織Clop發動的MOVEit Transfer零時差漏洞攻擊。 這起事故最早是在6月20日被察覺，研究人員Dominic Alvieri發現駭客將NortonLifeLock列入受害組織名單，該新聞網站進一步向Gen Digital確認而證實此事。Gen Digital表示他們已修補MOVEit Transfer的漏洞，並確認核心IT系統及服務並未受到影響，但部分員工的個資遭到駭客存取，包括姓名、電子郵件信箱、員工編號等資料。 <h3>【漏洞與修補】</h3> <a href="https://www.descope.com/blog/post/noauth">微軟Azure AD出現能被用於帳號挾持的漏洞nOAuth</a> <a href="https://s4.itho.me/sites/default/files/images/nOAuth_attack_flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/nOAuth_attack_flow.png" style="width: 300px; float: right;" /></a>資安業者Descope揭露名為nOAuth的漏洞，這項漏洞與微軟Azure AD的OAuth身分驗證機制實作缺陷有關，而有可能影響該系統多租戶OAuth應用程式運作。 這項弱點之所以存在，是因為Azure AD將電子郵件信箱視為帳號的主要辨識依據，攻擊者只要將Azure AD管理員帳號的電子郵件信箱資料，變更為與目標使用者的相同信箱，就能利用「以微軟帳號登入」的功能，登入網頁應用程式或是網站，進而挾持受害者的Azure AD帳號。 研究人員指出，在部分情況下，即使受害者沒有微軟帳號，攻擊者也能利用上述弱點發動攻擊。目前研究人員已將此問題通報微軟，也通知可能無法抵禦這類攻擊手法的大型網頁應用程式業者，以及2家身分驗證系統供應商。對此，微軟已著手修補。 <a href="https://www.forescout.com/blog/ot-icefall-ot-security-design-and-patching/">研究人員揭露施耐德電機、Wago設備的漏洞</a> 資安業者Forescout揭露多個OT設備漏洞CVE-2022-46680、CVE-2023-1619、CVE-2023-1620，影響施耐德電機PowerLogic ION電力監控設備，以及WAGO 750控制器。 上述3個漏洞當中，最嚴重的是CVE-2022-46680，原因是PowerLogic ION電力監控設備在ION與TCP通訊協定中，以明文的方式傳輸帳密資料，而讓攻擊者有機可乘，竊得上述帳密資料通過身分驗證，進而竄改設備的配置，甚至有可能更動韌體，CVSS風險評分為8.8。 <a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products">兆勤修補NAS重大漏洞</a> 6月20日兆勤（Zyxel）發布資安通告，旗下3款NAS網路儲存設備存在漏洞CVE-2023-27992，此為預先驗證身分的命令注入漏洞，攻擊者可在未經身分驗證的情況下，發送偽造的HTTP請求，藉此漏洞遠端執行作業系統層級的部分命令，CVSS風險評分為9.8，影響NAS326、NAS540、NAS542等機種。對此，該公司發布5.21版韌體修補上述漏洞。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-critical-vrealize-flaw-exploited-in-attacks/">VMware網路分析工具重大漏洞已出現攻擊行動</a> <a href="https://www.bleepingcomputer.com/news/security/russian-apt28-hackers-breach-ukrainian-govt-email-servers/">俄羅斯駭客APT28鎖定烏克蘭政府機關的郵件伺服器下手</a> <a href="https://www.paloaltonetworks.com/blog/security-operations/through-the-cortex-xdr-lens-uncovering-a-new-activity-group-targeting-governments-in-the-middle-east-and-africa/">中東及非洲政府機關遭到國家級駭客組織鎖定</a> <a href="https://blog.virustotal.com/2023/06/inside-of-wasps-nest-deep-dive-into.html">竊資軟體WASP透過PyPI套件散布</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a> <a href="https://www.ithome.com.tw/news/157420">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a> <a href="https://www.ithome.com.tw/news/157402">【6月17日】中國駭客鎖定Linux系統，散布惡意軟體ChamelDoH</a> </div></div></div>
2023/6/21 18:23作者周峻佑https://www.ithome.com.tw/news/157467
Opera最新版瀏覽器原生整合ChatGPT等AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://press.opera.com/2023/06/20/introducing-opera-one/" target="_blank">挪威瀏覽器業者Opera昨（20）日釋出</a>Windows、Linux及Mac版最新瀏覽器Opera One正式版，號稱是第一個整合原生AI技術的瀏覽器，整合ChatGPT及AI助理，並且採全新模組化設計、使瀏覽器介面更清爽。 Opera One是Opera進入100版的名稱。<a href="https://press.opera.com/2023/06/20/introducing-opera-one/" target="_blank">Opera 4月間公布測試版時</a>介紹，其新架構加入Multithreaded Compositor（多線排版）可加速網頁及動畫內容載入速度及順暢感。而全新的模組化設計的精神在於整合AI功能，可依使用者需求動態調整，只將最重要的功能置於介面上，以免去瀏覽器介面擠滿功能且限制使用空間的問題。在Opera One上，預設顯示的功能為生成性AI功能，包括ChatGPT、ChatSonic（ChatGPT競爭者）及AI提示。此外Opera One還會加入分頁島（Tab Island），它會將眾多開啟的分頁由AI自動依主題分群，並且以不同色彩及清楚界限區隔開來。用戶也可以搬移、最小化或將分頁群組儲存成書籤或釘在釘頁板（pingboard）上。 Opera One正式版則首度內建瀏覽器AI功能，名為Aria。基本上Aria為一個AI助理介面，方便用戶使用ChatGPT、AI提示及網頁查詢／搜尋、產生文字、或程式碼。但它比較特別的是，可以瀏覽器側邊欄，也可以從新的指令行介面叫出。使用者可以由ctrl + Windows按鍵，或是cmd+/快捷鍵叫出。不過正式版就不再提供ChatSonic了。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Opera%20One-Aria%20Browser%20AI-600.png" style="width: 500px;" /> 圖片來源_Opera Opera One現可供<a href="https://opr.as/opera-one">下載</a>。 根據市調機構<a href="https://gs.statcounter.com/browser-market-share" target="_blank">GlobalStats</a>，截至今年5月Opera全球市場佔為2.82%，僅次於Chrome（62.85%）、Safari（20.72%）和Edge（5.31%）。 </div></div></div>
2023/6/21 12:40作者林妍溱https://www.ithome.com.tw/news/157459
【資安日報】6月20日，竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 新的竊資軟體攻擊行動引發研究人員關注而提出警告，資安業者Zscaler、Cyfirma不約而同公布竊資軟體Mystic的調查結果，並指出該惡意程式雖然從4月才首度現身，但相關功能非常完整，所造成的威脅程度不容小覷。 駭客濫用社群網站散布惡意程式的情況，過往大多是臉書、推特，但最近也有利用不同類型社群網站的情況。例如，在木馬程式DcRAT的攻擊行動裡，就是利用名為OnlyFans的網站對用戶下手。 <h3>【攻擊與威脅】</h3> 竊資軟體Mystic攻擊升溫，針對40個瀏覽器、70個擴充套件而來 <a href="https://s4.itho.me/sites/default/files/images/mysticstealer-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mysticstealer-3.jpg" style="width: 300px; float: right;" /></a>資安業者Zscaler、Cyfirma揭露竊資軟體Mystic的攻擊行動，賣家宣稱此竊資軟體的攻擊標的，可針對40種瀏覽器、70種瀏覽器擴充套件、21個加密貨幣應用程式、55種加密貨幣瀏覽器擴充套件、9種密碼應用程式，以及Steam、Telegram的帳密而來。 研究人員指出，雖然此竊資軟體仍在開發階段，但功能已是相當完整、豐富，而且，駭客在5月下旬加入擴充功能，讓此竊資軟體可從C2下載額外的惡意酬載。 資料來源 1. <a href="https://www.zscaler.com/blogs/security-research/mystic-stealer">https://www.zscaler.com/blogs/security-research/mystic-stealer</a> 2. <a href="https://www.cyfirma.com/outofband/mystic-stealer-evolving-stealth-malware/">https://www.cyfirma.com/outofband/mystic-stealer-evolving-stealth-malware/</a> <a href="https://www.esentire.com/blog/onlydcratfans-malware-distributed-using-explicit-lures-of-onlyfans-pages-and-other-adult-content">木馬程式DcRAT透過OnlyFans網站散布</a> 資安業者eSentire揭露RAT木馬程式DcRAT的攻擊行動，駭客疑似透過討論版貼文、即時通訊軟體、惡意廣告、搜尋引擎最佳化（SEO）網站等方式（其中一起是使用成人影片女星的裸照當作誘餌），自今年1月開始，利用以情色相關內容聞名的社群網站OnlyFans，假借提供付費帳號的升級程式，向攻擊目標散布VBScript指令碼。 一旦使用者執行該指令碼，駭客就會透過WMI偵測作業系統版本，並產生攻擊過程需要的處理程序，然後執行惡意程式來存取名為DynamicWrapperX的工具，來呼叫Windows的API及其他DLL檔案，最終啟動惡意酬載BinaryData，注入木馬程式DcRAT。此木馬程式是AsyncRAT的改造版本，不只具備竊密的能力，還能透過外掛元件加密電腦檔案。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/asus-urges-customers-to-patch-critical-router-vulnerabilities/">華碩修補近20款路由器重大漏洞</a> 6月19日華碩發布路由器的韌體更新，當中修補9個漏洞，其中的CVE-2022-26376和CVE-2018-1160是重大漏洞。 CVE-2022-26376是Asuswrt韌體弱點．一旦攻擊者乘虛而入，可癱瘓路由器，或是執行任意程式碼；CVE-2018-1160則是與Netatalk元件有關，為記憶體越界寫入漏洞，同樣也能被用於執行任意程式碼，這兩個漏洞的CVSS風險評分皆為9.8，總共有18款機型受到影響。使用者若暫時無法更新韌體，應先停用WAN埠來緩解相關風險，但如果這麼做，也意味著使用者若要連接網際網路，必須另外想其他辦法。 <a href="https://www.securityweek.com/western-digital-blocks-unpatched-devices-from-cloud-services/">針對尚未修補重大漏洞的設備，硬碟製造商Western Digital封鎖存取雲端服務的功能</a> 6月13日Western Digital發布資安通告，執行舊版My Cloud Home、My Cloud Home Duo、SanDisk ibi、My Cloud OS 5韌體的裝置，若是在不修補重大漏洞CVE-2022-36327的情況下，將會在6月15日後無法存取上傳到雲端服務的檔案。 CVE-2022-36327為路徑穿越漏洞，攻擊者可藉由寫入特定類型的檔案來觸發，進而遠端執行任意程式碼（RCE），CVSS風險評分為9.8。 <h3>【資安防禦措施】</h3> <a href="https://tw.nextapple.com/life/20230619/3A04619BC5D2F4A97287DB36DDBC850B">新北市政府在報告資安改善計畫的內容中透露資安態勢，每個月遭遇逾8千萬次資安攻擊</a> 針對臺灣公部門的資安態勢，過往大多是來自中央透露的訊息，但鮮少有地方政府說明相關情形，而最近新北市府在審查相關預算時公布有關態勢。6月19日新北市議會審查資安主動防禦計畫墊付案，而在這個場合當中，研考會主委林豐裕指出，自2022年至2023年5月，新北市府遭遇超過14億次的網路威脅和駭客攻擊，平均每個月有超過8,200萬次攻擊；其中有15次駭客「輕微入侵」，受害機關包括環保局、教育局、區公所、文化局等。 或許為了因應這樣的嚴峻態勢，同時也呼應行政院推動全國資安的政策，新北市政府提出了他們的資安主動防禦計畫，而根據他們在議會提出的內容，此計畫將分為兩年執行，2022年首先建立雲端虛擬機，提升全市府重要系統的備份效能，同時導入資通安全弱點通報系統到48處機關；而2023年則要導入端點偵測回應系統（EDR）到11處B級機關，並推動測試、紅藍軍演練，培養機關自身的資安人才等。本次計畫期程為2023至2024年，中央補助6成（9,759萬3,000元），新北市則負擔4成經費（6,506萬3,000元）。 <h3>【其他新聞】</h3> <a href="https://www.bitdefender.com/blog/labs/fragments-of-cross-platform-backdoor-hint-at-larger-mac-os-attack/">惡意程式JokerSpy鎖定macOS而來</a> <a href="https://www.cyfirma.com/outofband/donot-apt-elevates-its-tactics-by-deploying-malicious-android-apps-on-google-play-store/">印度駭客DoNot透過惡意安卓App從事間諜行動</a> <a href="https://www.darkreading.com/risk/killnet-threatens-imminent-swift-world-banking-attacks">俄羅斯駭客Killnet企圖對西方金融體系發動攻擊</a> <a href="https://www.dmschools.org/news_release/dmps-notifies-individuals-of-data-security-incident/">美國得梅因學區證實遭到勒索軟體攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157420">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a> <a href="https://www.ithome.com.tw/news/157402">【6月17日】中國駭客鎖定Linux系統，散布惡意軟體ChamelDoH</a> <a href="https://www.ithome.com.tw/news/157391">【6月16日】研究人員揭露Barracuda郵件安全閘道零時差漏洞攻擊的後續發展，駭客更換惡意程式對付更新軟體</a> </div></div></div>
2023/6/20 15:25作者周峻佑https://www.ithome.com.tw/news/157445
Druva率先投入備份即服務（BaaS），為雲端資料保護服務設標竿
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1134-druvazhu_tu_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> Druva </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 雲端已成為企業普遍使用的IT環境，各式各樣的企業IT應用也陸續與雲端環境結合，轉型為基於雲端的服務，資料備份應用也不例外，Druva公司發展的Data Resiliency Cloud便是「備份即服務（Backup-as-a-Service ，BaaS）」的代表性產品，底層建構在AWS公有雲平臺基礎環境之上，可支援從個人端點、資料中心伺服器、公有雲SaaS服務，以及公有雲基礎設施服務的資料保護，提供雲端備份、災難復原、電子文件探索、法規遵循、勒索軟體復原，以及長期資料歸檔保留等應用。 源自印度的雲端服務平臺 Druva一詞在梵文是「北極星」的意思，這家公司2008年成立於印度浦納（Pune），2012年遷移到美國矽谷。 在發展歷史動輒20、30年的備份產品領域，Druva仍然算是新生代廠商，不過成長速度相當驚人，初期員工雖然只有7人，但現今已擴張到千人以上，成為備份與雲端資料保護服務領域的要角。例如，在Forrest於2021年底發布的SaaS App資料保護市調報告，Druva便名列領導者領域，排名還超過許多更資深的資料保護軟體廠商。在2022年中，Gartner也將Druva列入企業備份與還原軟體解決方案魔力象限排名。 Druva最初起家的產品，是針對端點（Endpoint）環境的備份軟體inSync，2008年推出首個版本，適用於個人端平臺與行動裝置的集中資料備份與共享，由於獲得美國NASA採用而聲名大噪，一開始inSync仍採用傳統的用戶端備份伺服器部署，當該公司搬到矽谷後，認識到雲端的潛力，從2012年開始將服務轉移到雲端，為inSync增加了基於AWS的雲端部署型態，也讓Druva轉型成為基於雲端的備份BaaS服務商。 在2014年，Druva又踏出了一大步，推出基於AWS環境的雲端原生的備份與歸檔解決方案Phoenix，又被稱為Druva for Hybrid Workload，適用於伺服器端平臺的資料保護，包括虛擬化平臺VM與資料庫等，可與inSync互補，更完整涵蓋用戶環境的資料保護。 後續Druva又將技術發展的觸角延伸到雲端原生平臺的資料保護應用需求，先推出為SaaS應用程式提供備份服務的inSync for CouldApp，起初支援Office 365，接著延伸至Salesforce等SaaS平臺。2018年他們併購了愛爾蘭新創廠商CloudRanger，取得AWS備份與災難還原產品。 於是inSync、inSync for CouldApp、Phoenix與CloudRanger，便成為Druva產品線的4大支柱，現都屬於Druva Data Resiliency Cloud雲端服務平臺。 原本Druva還保留inSync的本地端部署版本inSync On-Premises，不過，這個版本已於2021年3月31日終止服務，使得Druva成為100%的純雲端SaaS服務商，不再有本地端部署產品。 對於臺灣市場而言，早在Druva仍聚焦端點裝置備份，便有廠商引進Druva的inSync。而當Druva轉型到雲端服務，目前有銀興與敦新等兩家經銷商。 除了Druva原廠本身的經營與發展，企業級儲存廠商Dell幾年前也採用Druva的inSync與Phoenix，推出掛上自有品牌的Apex Backup Services雲端備份服務。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Druva%E4%B8%BB%E5%9C%961-600.png" style="width: 600px;" /> 單一介面全局管理資料保護 無論用戶端環境包含哪些類型的工作負載，Druva都可利用單一的控制臺介面，總覽監控與管理用戶端環境的備份，以及資料保護作業狀況。圖片來源_Druva 提供4種工作負載的資料保護 Druva Data Resiliency Cloud目前將支援的工作負載分為4大類型： ● 資料中心（Data Center）：屬於以前Druva Phoenix的涵蓋範圍，依照每月每TB容量計費，可以支援用戶本地端的伺服器、NAS、資料庫，VM虛擬化環境，以及AWS VMware Cloud環境的資料保護。 ● SaaS應用（SaaS Applications）：屬於早先 Druva inSync for CloudApp的涵蓋範圍，依用戶人數以每月每人計費，支援Microsoft 365、Google Workspace、Salesforce，針對3種SaaS平臺應用服務提供資料保護。 ● 端點（Endpoints）：屬於早先 Druva inSync的涵蓋範圍，亦是依照用戶人數以每月每人計費，提供個人電腦與行動裝置的資料保護，包括Windows、MacOS、Linux與Android、iOS等平臺，並能與MobileIron、AirWatch等行動裝置管理軟體整合。 ● AWS負載（AWS Workloads）：屬於原本 CloudRanger的涵蓋範圍，專門對應AWS公有雲環境的資料保護，依照受保護雲端資源的數量計費，可支援AWS主要的基礎設施服務（EC2、EBS等）、資料庫與容器服務（RDS、Redshift、DynamoDB、Kubernetes），又分為免費版（Freemium）、Enterprise與Elite等3種等級，以免費版而言，只能保護最多20個AWS雲端資源與2個AWS帳戶，Enterprise與Elite版則能保護更多AWS資源與帳戶。 無論用戶環境採用哪些工作負載類型的服務，Druva都是透過單一管理介面，讓用戶管理帳戶下的所有資料保護環境。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1134-Druva%E4%B8%BB%E5%9C%962-600.png" style="width: 600px;" /> 提供異常偵測及早發現問題 Druva平臺整合了基於機器學習的異常偵測功能，可偵測用戶端不尋常的存取行為，包括異常的刪除、加密、建立與修改動作，然後向用戶發出警示。圖片來源_Druva 基於AWS環境的備份還原服務 Druva Data Resiliency Cloud是建構在AWS公有雲平臺上的服務，用戶可從全球14個AWS服務區域中，選擇自身資料的儲存位置。 Druva以S3物件儲存服務，作為儲存用戶備份資料的空間，再結合自家全域重複資料刪除與自動化分層儲存技術，提供用戶儲存資料的空間效率，以及成本效益。 對於多種類型的用戶端工作負載，Druva分別採取不同的備份技術。例如，用於端點與資料中心備份的inSync與Phoenix，是透過用戶端代理程式（Agent）驅動；對於用於公有雲平臺備份的inSync SaaS與CloudRanger，則是透過API來運作。 關於用戶端環境的設定，Druva宣稱只需15分鐘就能完成，包括代理程式的安裝、與Druva網站的登錄與註冊等，隨後就能設定備份政策，將用戶端資料備份到Druva的雲端環境。 Druva目前所執行的備份處理作業，是基於「永遠增量備份」（Incremental-forever backup）的模式，除了首次備份是完整備份，後續全都採用節省資料量的增量備份。預設以每日為備份作業週期，用戶也能設定更短暫的備份間隔，例如inSync允許設定最短20分鐘的備份週期，以建立更密集的還原點。 在抑制資料儲存空間成長的部分，Druva的備份服務也結合來源端全域重複資料刪除功能（Global Source-side inline deduplication），在用戶資料實際送上雲端之前，會先在用戶端進行全域重複資料刪除（包括首次備份在內），藉此將傳送的資料量降到最低，同時，也能減少備份傳輸作業帶來的衝擊。 針對Phoenix服務，Druva還整合了自動分層儲存與傳輸加速功能，可自動將備份資料從標準的S3儲存區，轉存到成本更低的S3 Glacier，或是S3 Glacier Deep Archive儲存區，還可以在用戶端部署稱作CloudCache的Proxy伺服器，作為用戶本地與雲端間的快取，以便加快傳輸速度。 還原方面，Druva所有備份服務都能提供個別檔案或物件等級的精細還原，在Phoenix與CloudRanger服務當中，還有基於VM或執行個體的雲端災難復原功能Cloud DR，可利用雲端上的備援VM，迅速接手用戶端失效的工作負載。而針對inSync與inSync SaaS服務，Druva另外提供基於metadata的電子文件探索的選項，可因應稽核或法規遵循的需求。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1134-Druva%E4%B8%BB%E5%9C%963-600.png" style="width: 600px;" /> 透過Data Lock功能防止資料刪改 透過啟用Data Lock功能，我們可以在設定的保護期限內，確保用戶存放在Druva平臺的備份資料不會遭到刪除或修改，作為預防誤刪或勒索軟體威脅的最終手段。圖片來源_Druva 簡易的應用與訂閱模式 相較於市面上眾多資料備份還原的解決方案，Druva的主要訴求是使用簡易與較低的整體成本。 比起傳統的用戶本地端備份產品，Druva這類雲端BaaS備份服務，主要的優勢，是能夠省下建置與管理備份基礎設施的負擔，只要對外網路連線正常，用戶就能透過按需訂閱的形式，從Druva平臺取得備份與其他相關服務。 而比起公有雲服務商自身提供的備份BaaS服務，如AWS的AWS Backup、Azure的Azure Backup等，Druva這種第三方的BaaS備份服務，能涵蓋更廣泛的用戶端應用環境。事實上，目前的AWS Backup與Azure Backup，分別只支援AWS與Azure環境的備份，Druva則涵蓋多種環境，從端點、用戶端資料中心，到雲端SaaS服務的備份，均能包辦。 Druva另一大賣點是提供兩大公雲業者備份服務沒有的重複資料刪除功能，擁有更好的儲存空間運用效率，有助減少傳輸負擔與儲存成本。 也就是說，Druva兼具傳統備份與雲端BaaS的優點，既擁有傳統備份解決方案的廣泛應用環境支援能力，以及可顯著節省儲存空間的重複資料刪除功能，也具備雲端BaaS的按需訂購靈活性與輕量管理負擔。 Druva的計價模式也比一般BaaS服務更為簡易，例如AWS Backup依照用戶的備份來源端服務類型、備份資料量、還原資料量，以及跨區域傳輸備份資料量，以每月每GB為基準來計費。Druva雖然是建立在AWS環境，但用戶只需訂閱Druva的服務即可使用，且單純以備份空間使用量或用戶人數來計費，資料的備份上傳與還原下載，或是在不同S3儲存層之間的移動傳輸，都無須計費。 但Druva平臺目前較大局限，是對公有雲基礎設施的支援僅限AWS，只有搭配AWS部署的選項，對公有雲基礎設施的備份支援，也僅限AWS。 Druva雲端平臺的安全性功能 透過多層次安全機制，結合專門的勒索軟體防護功能，為Druva備份儲存環境提供足以抵禦資安威脅的韌性 備份是企業確保資料安全的基本手段，藉由保存資料複本的方式，來保護原始資料，當災原始資料受損時，利用資料複本來還原原始資料。但備份系統現在也已成為資安威脅攻擊的目標，一旦備份複遭到感染或受損，也就失去保護原始資料的能力。 因而提供能否足以抵禦資安威脅的韌性，也就成為當前備份產品不可或缺的重點能力之一，Druva自然也不例外，為其Druva Data Resiliency Cloud平臺提供了一系列安全性功能，以確保用戶保存的備份複本可用性。 <a href="https://s4.itho.me/sites/default/files/files/Druva%E4%B8%BB%E5%9C%964.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Druva%E4%B8%BB%E5%9C%964.png" style="width: 600px;" /></a> 利用精選快照合成最佳還原點 藉由Druva精選快照（Curated Snapshot）功能，我們可在指定時間範圍內，橫跨多個還原時間點的快照複本，掃描出個別檔案的最新完好複本，然後合成最佳的還原複本。圖片來源_Druva 我們可以將Druva平臺提供的安全性功能，區分為3個層次： 基礎設施的可用性與耐久性 憑藉底層AWS平臺本身使用的基礎設施，賦予Druva服務平臺99.5%的可用性，以及99.999999999%的資料耐久性（11個9），同時，還擁有橫跨全球十多個區域的服務能力。 資料傳輸的安全性 像Druva這類建構在雲端上的BaaS備份服務，完全依靠跨WAN的資料傳輸來進行備份與還原作業，因而資料傳輸的安全性，也就成為確保整體安全性的頭號課題。Druva目前提供限定的存取通道與傳輸加密等2種機制，來確保資料傳輸的安全性： 首先，備份與還原的資料傳輸作業，都必須透過部署在用戶端裝置的Druva專屬代理程式來啟動與執行（如inSync與Phoenix），或是在平臺存取控制下進行連接（如CloudRanger），不允許透過其他方式來連接Druva平臺。 其次，從用戶端到Druva雲端平臺的資料傳輸過程中，會先透過重複資料刪除，將資料分解成chunk區塊，然後透過TLS 1.2加密每個區塊，再傳送上網路。 資料儲存的安全性 Druva透過隔離、資料分解與加密，以及異常檢測與刪除預防等3種機制，來保護存放在Druva雲端平臺的用戶資料。 首先，用戶端環境與Druva雲端平臺之間是Air-gap隔離的，備份資料存放在Druva的S3儲存區，只有Druva的S3帳號才有存取這些儲存區的權限，用戶端必須經由Druva的中介來存取備份資料。 其次，Druva可利用重複資料刪除提供進一步的保護，從用戶端傳送到Druva的備份資料，是以分解成重複刪除後的chunk區塊形式，寫入Druva的S3儲存區，再以AES 256進行靜態加密。而這些chunk區塊本體，與組合、還原這些chunk區塊所需的metadata，彼此是相互隔離、獨立存放，即便chunk區塊外洩，也無法被組合、回復到原始狀態。 最後，Druva提供了一系列預防錯誤或惡意刪除的機制，包括：基於機器學習的異常行為檢測功能，以及延遲刪除功能。 至於最徹底的防止刪除手段，是在備份政策中啟用Data Lock鎖定功能，可藉此建立不可變的備份，在設定的保留期限內，徹底防止備份遭到刪除或修改。 專門的勒索軟體防護機制 若用戶受保護的工作負載類型，屬於檔案伺服器、NAS，或是個人電腦、手機等端點裝置（即inSync與Phoenix涵蓋的範圍），就能額外選購勒索軟體還原模組（Ransomware Recovery），提供5項因應勒索軟體的功能： （1）存取洞察（Access Insights） 監控與彙整顯示用戶端備份環境的所有存取行為。 （2）異常偵測 偵測與警示用戶端資料存取行為模式中的異常。 （3）隔離 隔離與刪除受感染的快照複本，降低感染擴散的風險。 （4）還原掃描 當用戶要從雲端還原資料時，Druva會先行掃描要還原的快照複本，然後將確認乾淨的複本傳送回用戶端。 （5）精選快照 資料遭到感染時，可跨不同還原點找出個別檔案最新完好複本，藉此減少資料的損失量。 前幾項功能在其他產品也可見到，不過，精選快照（Curated Snapshot）是Druva獨有的，我們會在下面提出進一步說明。 提供獨特的精選快照還原功能 一般在進行資料還原時，是將整個儲存區的資料還原到某一個指定時間點狀態。然而面對勒索軟體攻擊時，由於勒索軟體有一定的潛伏期，加密與感染不同檔案的時間也有異，若採用一般資料還原方式，往往仍會導致相當大量的資料損失。 <a href="https://s4.itho.me/sites/default/files/files/1134-Druva%E4%B8%BB%E5%9C%965-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1134-Druva%E4%B8%BB%E5%9C%965-600.jpg" style="width: 600px;" /></a> 以上圖為例，勒索軟體在第125天開始發作，依序感染4個檔案，然後到了第128天被資安系統察覺而進行應變處置。依照傳統還原作法，是把整個儲存區還原到第124天的快照複本，但如此一來，用戶也會損失4天份的資料。 當然用戶也可透過檔案層級的還原功能，逐一尋找不同還原時間點的複本，找出個別檔案最新的完好複本來還原，以減少資料的損失，但如果感染規模較大，這種作法便過於耗時，不再可行。對於Druva的用戶而言，則能透過精選快照（Curated Snapshot）功能，將這個程序予以自動化，可跨多個還原時間點的快照複本，自動掃描與尋找個別檔案的完好複本，然後將不同檔案最新的完好複本，合成一個最佳的還原點複本。 例如在上面的圖解中，Druva可選出檔案1、2、3、4最新的完好版本，也就是v5、v2、v3與v1，組成最佳的還原複本，將資料量損失降到只有1天。圖片來源_Druva </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%82%99%E4%BB%BD%E5%8D%B3%E6%9C%8D%E5%8B%99">備份即服務</a></div><div class="field-item odd"><a href="/tags/baas">BaaS</a></div><div class="field-item even"><a href="/tags/druva">Druva</a></div><div class="field-item odd"><a href="/tags/druva-data-resiliency-cloud">Druva Data Resiliency Cloud</a></div></div></div>
2023/6/20 08:40作者張明德https://www.ithome.com.tw/tech/157325
【資安日報】6月19日，微軟證實旗下多項服務遭到DDoS攻擊而癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟旗下有幾個雲端服務自6月初出現中斷、無法存取的狀況，該公司雖然證實存在服務停擺的事故，但始終沒有正面說明發生的原因。直到上週末，該公司終於表明這些是因為遭到DDoS攻擊造成，並指出攻擊者的身分是Storm-1359。 有越來越多組織出面證實遭到MOVEit Transfer零時差漏洞攻擊，而在上週末，美國路易斯安那州、奧勒岡州的交通部門皆發布公告，表示民眾的駕照資料可能外洩，並指出影響範圍。 遭到棄置的AWS S3儲存桶有可能成為駭客散布惡意軟體的管道！有資安業者針對GitHub發布的資安通告進行追查，結果發現，有不少惡意軟體也利用這種方式代管。 <h3>【攻擊與威脅】</h3> 針對Outlook、OneDrive、Azure入口網站服務中斷，微軟證實起因是遭到DDoS攻擊 6月初微軟雲端電子郵件服務Outlook.com、雲端檔案共享服務OneDrive、Azure入口網站陸續傳出服務中斷，駭客組織Anonymous Sudan最先聲稱是他們發動DDoS造成，目的是抗議美國政府干預蘇丹內政。 對此，微軟16日終於鬆口證實此事，他們表示，上述服務的中斷，就是名為Storm-1359的駭客組織造成，並認為這些駭客發動第7層DDoS攻擊，當中利用殭屍網路，以及透過雲端服務、公開的代理伺服器基礎設施來進行活動，他們的目的是讓服務中斷、宣傳訴求。資安新聞網站Bleeping Computer指出，微軟提到的Storm-1359，其實就是Anonymous Sudan。 資料來源 1. <a href="https://msrc.microsoft.com/blog/2023/06/microsoft-response-to-layer-7-distributed-denial-of-service-ddos-attacks/">https://msrc.microsoft.com/blog/2023/06/microsoft-response-to-layer-7-distributed-denial-of-service-ddos-attacks/</a> 2. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-azure-outlook-outages-caused-by-ddos-attacks/">https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-azure-outlook-outages-caused-by-ddos-attacks/</a> <a href="https://www.bleepingcomputer.com/news/security/millions-of-oregon-louisiana-state-ids-stolen-in-moveit-breach/">美國路易斯安那州、奧勒岡州證實遭到MOVEit Transfer零時差漏洞攻擊，超過350萬民眾個茲可能外洩</a> 美國路易斯安那州、奧勒岡州政府於上週末證實，他們遭到MOVEit Transfer零時差漏洞攻擊，導致民眾的駕照資料外洩。 路易斯安那州機動車輛管理局（OMV）指出，資料外洩範圍可能包含了姓名、地址、社會安全碼、生日、身高、駕照號碼、車輛資訊，受害範圍仍有待釐清，但目前相關資料尚未出現遭到利用的跡象；奧勒岡州交通部（ODOT）表示，約有350萬當地民眾的個資可能受到影響。 資料來源 1. <a href="http://www.expresslane.org/alerts/">http://www.expresslane.org/alerts/</a> 2. <a href="https://content.govdelivery.com/accounts/ORDOT/bulletins/36045f9">https://content.govdelivery.com/accounts/ORDOT/bulletins/36045f9</a> <a href="https://www.cadosecurity.com/tracking-diicot-an-emerging-romanian-threat-actor/">駭客組織Diicot鎖定使用SSH進行遠端管理的伺服器，目的是散布挖礦軟體</a> <a href="https://s4.itho.me/sites/default/files/images/Diicot6-23.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Diicot6-23.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露羅馬尼亞駭客組織Diicot最新一波的攻擊行動，該組織鎖定能透過網際網路存取且開放用SSH進行遠端操作的伺服器，散布殭屍網路病毒Cayosin。 攻擊者先是透過Go語言開發的SSH暴力破解工具aliases，嘗試入侵目標主機，若是遇到OpenWrt路由器設備，此破解工具就會執行具備Mirai特質的指令碼bins.sh，下載Cayosin的ELF檔案。 為了確定目標主機具有足夠的運算效能，駭客運用名為SHC的工具進行偵測，若電腦具備4個處理器核心、使用者帳號為root的情況下，才會對齊部署挖礦軟體XMRig，且將電腦登入密碼竄改為特定字串。值得一提的是，駭客重度依賴名為Shell Script Compiler的工具來載入指令碼，目的是讓研究人員難以分析程式碼內容。 <a href="https://checkmarx.com/blog/hijacking-s3-buckets-new-attack-technique-exploited-in-the-wild-by-supply-chain-attackers/">用戶刪除的AWS S3儲存桶成駭客溫床？資安業者發現有非法人士占用，恐被用於散布惡意軟體</a> <a href="https://s4.itho.me/sites/default/files/images/S3-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/S3-3.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx指出，GitHub於5月24日發布的資安通告裡，指出名為bignum的NPM套件含有惡意功能，該套件可能會透過另一個名為node-pre-gyp的套件，從特定的AWS S3儲存桶下載惡意軟體，此儲存桶已遭到原所有者棄置，而被攻擊者占用。 研究人員表示，一旦有套件指向特定的S3儲存桶做為存取的來源，即便使用者將儲存桶刪除，該套件還是能夠存取相關資源，駭客看上這種情況並加以利用。研究人員針對多個套件儲存庫進行清查，結果發現，有不少惡意軟體已利用這種方式託管，讓雲端服務用戶在不知情的狀況下，成為這些惡意人士的共犯。 <a href="https://www.bleepingcomputer.com/news/security/reddit-hackers-threaten-to-leak-data-stolen-in-february-breach/">社群網站Reddit於2月傳出資料外洩，背後疑勒索軟體BlackCat所為</a> <a href="https://s4.itho.me/sites/default/files/images/Fy27MtOXwAA9-md.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fy27MtOXwAA9-md.jpg" style="width: 300px; float: right;" /></a>2月9日社群網站Reddit表示他們在5日遭到駭客攻擊，起因是其中一位員工經歷網路釣魚攻擊，而導致該公司門戶大開，攻擊者能夠存取內部的機密資料，包含了部分內部文件、原始碼、員工資料，以及管理介面，最近研究人員又有了新的發現。 研究人員Dominic Alvieri發現，勒索軟體駭客組織BlackCat（亦稱Alphv）聲稱是他們所為，並表明竊得約80 GB的資料。駭客指出先後於4月13日、6月16日聯繫Reddit，索討450萬美元，但沒有得到回覆，駭客表示他們很清楚Reddit不會付錢，將等待該公司股票的首次公開發行（IPO），再向公眾曝露Reddit追蹤用戶喜好的證據。對此，Reddit沒有提出公開聲明。 <a href="https://www.proofpoint.com/uk/resources/threat-reports/human-factor">駭客利用可繞過雙因素驗證的工具，每月散布百萬則網釣訊息</a> 資安業者Proofpoint揭露駭客利用網路釣魚工具包繞過雙因素驗證（MFA Bypass）的態勢，研究人員指出，在2022年這類工具包普遍都納入上述的攻擊能力，而使得MFA繞過的情況變得更加嚴峻，其中又以EvilProxy、Evilginx2、NakedPages等3種工具包最為氾濫，駭客每個月利用這些工具包散布約100萬則網釣訊息。 值得留意的是，EvilProxy自今年開始的攻擊行動大幅增加，較另外2種工具包帶來的威脅更為嚴重。 <h3>【資安防禦措施】</h3> <a href="https://twitter.com/RFJ_USA/status/1669740545403437056">美國對於捉拿勒索軟體駭客Clop，祭出千萬美元尋求線民提供資料</a> <a href="https://s4.itho.me/sites/default/files/images/FywcLXRWwAAkHM5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FywcLXRWwAAkHM5.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客Clop自5月27日發動MOVEit Transfer零時差漏洞攻擊，引起全球關注，陸續有組織表明受害，現在美國決定要捉拿該組織成員。 美國國務院於6月17日宣布，他們打算透過正義懸賞專賞（Rewards for Justice Program），徵求線民提供有關駭客組織Clop的資訊，最高有可能得到1千萬美元的獎金；此外，此專案也涵蓋其他專門針對美國關鍵基礎設施（CI）的駭客，與外國政府之間有所關連的線索。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/new-mystic-stealer-malware-increasingly-used-in-attacks/">竊資軟體Mystic攻擊升溫，針對40個瀏覽器、70個擴充套件而來</a> <a href="https://www.infosecurity-magazine.com/news/cisa-nsa-controller-hardening-guide/">CISA、NSA提供伺服器基板管理控制器（BMC）的安全強化指南</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157402">【6月17日】中國駭客鎖定Linux系統，散布惡意軟體ChamelDoH</a> <a href="https://www.ithome.com.tw/news/157391">【6月16日】研究人員揭露Barracuda郵件安全閘道零時差漏洞攻擊的後續發展，駭客更換惡意程式對付更新軟體</a> <a href="https://www.ithome.com.tw/news/157372">【6月15日】駭客設置假冒流行服飾品牌的大量網站，並鑽搜尋引擎的網域信任漏洞，發動網釣攻擊</a> </div></div></div>
2023/6/19 18:54作者周峻佑https://www.ithome.com.tw/news/157420
【資安週報】2023年6月12日到6月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一週的漏洞消息中，在漏洞利用方面，有兩個需優先注意，首先是Fortinet修補其防火牆產品的SSL VPN漏洞CVE-2023-27997，已被美國CISA列入已知成功利用清單，另一是VMware ESXi一項CVSS評分為3.9分的零時差漏洞CVE-2023-20867被中國駭客UNC3886運用於最新攻擊的揭露，VMware亦於同日釋出修補。 在漏洞修補方面，微軟釋出6月例行性安全更新以修補近80個漏洞，還有多家科技大廠發布安全性更新修補公告，包括Progress、SAP、西門子、施耐德電機等。 國際間還有4項值得關注的重要資安事件，包括瑞士國家網路安全中心（NCSC）公布，該國聯邦機構與國營企業的網站遭俄羅斯駭客組織NoName攻擊；韓國國家情報院（NIS）警告，北韓駭客偽冒韓國最大入口網站Naver，透過即時鏡像複製Naver網站內容、並註冊以NAVER混淆的相近網域名稱；以及智利軍隊遭勒索軟體攻擊的揭露。 此外，前陣子的2起重大資安事件有新消息，包括遭遇MOVEit Transfer零時差漏洞攻擊的受害者名單陸續浮上檯面，以及針對Barracuda郵件安全閘道零時差漏洞的攻擊，疑為中國駭客組織UNC4841所為。在其他威脅態勢方面，有中國駭客組織ChamelGang針對Linux主機攻擊，並以DoH方式連線C2中繼站規避偵測的揭露，以及發現駭客假冒資安研究人員姓名照片上傳零時差漏洞PoC的情形。同時，有研究指出ChatGPT回答程式語言問題時，會給出不存在的NPM套件、PyPI套件的名稱，因而存在可被駭客加以濫用的風險。 在資安防護焦點上，最受關注的莫過於歐洲議會針對AI法《AI Art》草案的歷史性投票通過，不僅是針對某些可能嚴重影響人類安全的AI應用予以禁止，並以AI風險等級，規範開發商與採用組織的義務，而臺灣AI基本法的立法倡議仍不明朗亦因此受關注。另外，針對近兩年危害最大的勒索軟體LockBit，多國網路安全機構發布新的聯合安全公告，說明其攻擊手法與防護建議。 <h3><a href="https://www.ithome.com.tw/news/157304">【6月12日】大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙</a></h3> 針對日益普及的雙因素驗證機制，駭客先前的因應之道是運用對手中間人攻擊手法（AiTM）突破，以此挾持受害者帳號的情況不時發生，但這種手法最近出現變化。微軟最近揭露一起針對金融業的AiTM攻擊，裡面有2種過往未出現的手法，其一是駭客結合商業郵件詐騙（BEC），發展成多階段攻擊；另一則是AiTM手法施行變得更為隱密。 MFT檔案共享系統MOVEit Transfer又被找出新漏洞，也須多加留意。這是IT業者Progress在5月底察覺CVE-2023-34362零時差漏洞攻擊之後，委由資安業者協助檢視程式碼找出的新漏洞。對此，該公司也呼籲用戶要儘速套用更新程式。 <h3><a href="https://www.ithome.com.tw/news/157321">【6月13日】俄羅斯駭客NoName鎖定瑞士政府，發動DDoS攻擊</a></h3> 因為政治事件而引發的網路攻擊，最近有越來越頻繁的現象。而最近瑞士政府遭到俄羅斯駭客發動DDoS攻擊的事故，傳出原因很有可能是烏克蘭總統澤倫斯基即將於6月15日對瑞士議會發表視訊演說，而引發俄羅斯不滿所致。 同樣因政治訴求所引發的資安事故，還有近日微軟旗下多項服務傳出遭駭客組織Anonymous Sudan攻擊的情況，而針對最近一起Azure入口網站服務中斷的情況，微軟也提出說明，表明當時受影響的範圍。 <h3><a href="https://www.ithome.com.tw/news/157332">【6月14日】微軟發布6月份例行更新，修補近80個漏洞</a></h3> 微軟在昨天（13日）發布了6月份的例行更新（Patch Tuesday），稍微值得慶幸的是，這次沒有零時差漏洞，但有研究人員提出警告，部分風險評分較高的漏洞仍要留心，並儘速安裝修補程式。 駭客通常會利用嚴重程度較高的漏洞來發動攻擊，但近期也有利用低風險漏洞出手的情況。例如，VMware近期修補虛擬化系統的零時差漏洞CVE-2023-20867，此為CVSS風險評分僅有3.9的低風險漏洞，有駭客將其拿來控制ESXi列管的虛擬機器（VM）。 <h3><a href="https://www.ithome.com.tw/news/157372">【6月15日】駭客設置假冒流行服飾品牌的大量網站，並鑽搜尋引擎的網域信任漏洞，發動網釣攻擊</a></h3> 網路釣魚攻擊相當常見，其中假冒物流業者與知名IT業者的情況最多，但最近有研究人員發現，有駭客一口氣假冒上百個知名的流行服飾、運動服裝品牌，從1年前開始架設釣魚網站來發動攻擊，但值得留意的是，攻擊者透過使用期間長達兩年以上的網域名稱而被Google搜尋引擎視為合法，並將其列於搜尋結果最前面的位置。 近期散布剪貼簿挾持軟體Clipper的攻擊行動也值得留意，研究人員揭露一起感染此種惡意軟體的事故，經過調查發現，受害電腦使用被竄改的Windows 10盜版安裝光碟來部署，而在作業系統設置完成後就被植入Clipper。 在6月13日，SAP、西門子、施耐德電機也都發布本月份例行更新，值得留意的是西門子，其資安通告提及自家產品存在不少第三方軟體的漏洞，但他們未提到是否提供更新軟體，這麼做雖是告知用戶注意，但廠商不幫用戶解決這些問題，意思是要用戶自求多福嗎？ <h3><a href="https://www.ithome.com.tw/news/157391">【6月16日】研究人員揭露Barracuda郵件安全閘道零時差漏洞攻擊的後續發展，駭客更換惡意程式對付更新軟體</a></h3> 近期的大規模零時差漏洞攻擊，主要是集中在MFT檔案共享系統MOVEit Transfer的事故上，但另一起針對Barracuda郵件安全閘道的事故、且廠商採取要求用戶更換設備的情況，也相當值得留意。資安業者Mandiant揭露針對Barracuda郵件安全閘道的零時差漏洞CVE-2023-2868攻擊調查結果，說明該廠商派送修補程式後續發展過程。 安卓惡意程式GravityRAT的攻擊行動也引起研究人員關注，因為駭客不只將攻擊範圍擴及WhatsApp的資料，同時也搭上人工智慧聊天機器人的風潮，假借提供BingeChat（比微軟BingChat多了個e）來引誘使用者上當。 攻擊者偏好透過遠端桌面連線（RDP）入侵電腦的情況究竟有多嚴重？有研究人員進行實驗，結果發現，在3個月內，他們設下的蜜罐陷阱環境，總共遭到超過340萬次相關攻擊。 <h3><a href="https://www.ithome.com.tw/news/157402">【6月17日】中國駭客鎖定Linux系統，散布惡意軟體ChamelDoH</a></h3> 運用DNS-over-HTTPS（DoH）的攻擊手法最近再度出現。有研究人員揭露中國駭客ChamelGang的攻擊行動，並對其使用的惡意軟體進行分析，結果發現，駭客運用DoH建立受害電腦與C2之間的連線，但不同於過往同類型攻擊行動之處，在於駭客濫用Google、Cloudflare的DoH伺服器發送DNS請求，使其攻擊行動變得更為隱匿。 駭客發動網路釣魚又有了新的手段，有人假冒加密貨幣領域的新聞記者向收信人「採訪」，實際上的目的卻是要竊取他們的Discord帳號，結果有近2千人上當。 </div></div></div>
2023/6/19 09:42作者羅正漢https://www.ithome.com.tw/news/157409
【資安日報】6月17日，中國駭客鎖定Linux系統，散布惡意軟體ChamelDoH
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 運用DNS-over-HTTPS（DoH）的攻擊手法最近再度出現。有研究人員揭露中國駭客ChamelGang的攻擊行動，並對其使用的惡意軟體進行分析，結果發現，駭客運用DoH建立受害電腦與C2之間的連線，但不同於過往同類型攻擊行動之處，在於駭客濫用Google、Cloudflare的DoH伺服器發送DNS請求，使其攻擊行動變得更為隱匿。 駭客發動網路釣魚又有了新的手段，有人假冒加密貨幣領域的新聞記者向收信人「採訪」，實際上的目的卻是要竊取他們的Discord帳號，結果有近2千人上當。 <h3>【攻擊與威脅】</h3> <a href="https://stairwell.com/news/chamelgang-and-chameldoh-a-dns-over-https-implant/">中國駭客利用惡意軟體ChamelDoH攻擊Linux系統</a> <a href="https://s4.itho.me/sites/default/files/images/ChamelDoH-diagram.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChamelDoH-diagram.jpg" style="width: 300px; float: right;" /></a>資安業者Stairwell揭露中國駭客組織ChamelGang近期的攻擊行動，駭客利用名為ChamelDoH惡意程式，對Linux主機下手，此惡意程式透過DNS-over-HTTPS（DoH）的方式與C2中繼站進行加密連線，再加上駭客利用Google與Cloudflare的DoH伺服器發出DNS請求，而使得相關的行蹤更難被發現。 此惡意軟體一旦執行，就會收集受害主機的系統資訊，如電腦名稱、IP位址、處理器架構、作業系統版本等，並接收攻擊者的命令。 研究人員指出，有人將此惡意軟體在去年12月上傳至VirusTotal，但目前為止沒有防毒引擎將其視為有害。 <a href="https://drops.scamsniffer.io/post/pink-drainer-steals-3m-from-multiple-hack-events-including-openai-cto-orbiter-finance/">假借記者採訪名義與幣圈人士互動、實為網釣攻擊！近2千人遇害、損失300萬美元</a> 資安業者ScamSniffer揭露駭客組織Pink Drainer的攻擊行動，這些駭客假冒專門報導加密貨幣新聞的記者，聲稱要對目標採訪的名義發動社交工程攻擊，花費1至3天的時間建立關係後，要求目標人士進行KYC身分驗證，針對其Discord帳號進行網路釣魚，進而竊取其Token，讓攻擊者能存取受害人的Discord帳號。 一旦得逞，駭客就會移除Discord群組其他的頻道管理員，並將其提升為管理員的身分，來藉此竊取加密貨幣或是其他敏感資料，也有可能將其帳號拿來用於加密貨幣詐騙。根據研究人員的調查，一共有1,932人上當，駭客得手近300萬美元。 <a href="https://www.bleepingcomputer.com/news/security/new-shampoo-chromeloader-malware-pushed-via-fake-warez-sites/">惡意軟體ChromeLoader假借提供盜版影音、遊戲散布</a> HP旗下的威脅情報團隊Wolf Security揭露近期新一波的惡意程式ChromeLoader攻擊行動，駭客自2023年3月，散布名為Shampoo的ChromeLoader變種，假借提供盜版音樂、電影、電腦遊戲的名義，來散布此變種惡意程式。 一旦使用者依照指示下載檔案，執行駭客提供的VBScript，攻擊者就會透過PowerShell指令碼設置工作排程，並下載惡意酬載Shampoo，然後將其以延伸套件的型式植入Chrome瀏覽器，且與C2伺服器連線，竄改瀏覽器搜尋引擎組態，並封鎖延伸套件管理功能，目的是避免此惡意套件遭到移除。 <a href="https://blog.cyble.com/2023/06/13/threat-actor-targets-russian-gaming-community-with-wannacry-imitator/">俄羅斯電玩社群遭到勒索軟體駭客鎖定</a> 資安業者Cyble揭露專門針對俄羅斯電玩玩家的勒索軟體攻擊，駭客架設了射擊遊戲Enlisted的俄文釣魚網站，一旦玩家從該網站下載安裝程式並執行，就有可能導致電腦檔案被勒索軟體「WannaCry 3.0」加密。 研究人員指出，這個勒索軟體實際上是透過開源、用於教育目的的Crypter Ransomware Builder打造而成，與2017年肆虐的WannaCry沒有直接關係，駭客很可能是為了要脅受害者，而假冒此勒索軟體的名義。 勒索軟體Rhysida聲稱從智利軍隊竊得內部資料，疑有士兵涉案 <a href="https://s4.itho.me/sites/default/files/images/rhysida0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhysida0.png" style="width: 300px; float: right;" /></a>資安業者CronUp揭露智利軍隊遭到勒索軟體攻擊的事故，該單位於5月27日傳出遭到網路攻擊，內部網路有多個系統受到影響，要求所有使用者電腦不要開機，也不要連接VPN，並禁止連接外接式儲存設備，智利軍隊亦採取網路隔離措施。 對此，研究人員指出該單位是遭到勒索軟體Rhysida攻擊；當地媒體報導指出，智利軍隊逮捕了1名涉嫌發動網路攻擊的下士。 到了6月9日，Rhysida在網站聲稱是他們所為，公布約36萬份文件，並表示這些資料約占該組織竊得的3成。 參考資料 1. <a href="https://www.cronup.com/ejercito-de-chile-es-atacado-por-la-nueva-banda-de-ransomware-rhysida/">https://www.cronup.com/ejercito-de-chile-es-atacado-por-la-nueva-banda-de-ransomware-rhysida/</a> 2. <a href="https://www.latercera.com/la-tercera-pm/noticia/hacker-marcial-pdi-detiene-a-cabo-del-ejercito-por-ciberataque-a-las-redes-internas-de-la-institucion-castrense/P6ZP6WUFSNEZ5CIMR7K7DXCIMA/">https://www.latercera.com/la-tercera-pm/noticia/hacker-marcial-pdi-detiene-a-cabo-del-ejercito-por-ciberataque-a-las-redes-internas-de-la-institucion-castrense/P6ZP6WUFSNEZ5CIMR7K7DXCIMA/</a> 3. <a href="https://twitter.com/1ZRR4H/status/1669412984127406116">https://twitter.com/1ZRR4H/status/1669412984127406116</a> <h3>【漏洞與修補】</h3> <a href="https://orca.security/resources/blog/examining-two-xss-vulnerabilities-in-azure-services">Azure Bastion、Container Registry出現XSS漏洞</a> <a href="https://s4.itho.me/sites/default/files/images/azure-2023-06-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/azure-2023-06-13.png" style="width: 300px; float: right;" /></a>資安業者Orca揭露微軟虛擬機器遠端存取服務Azure Bastion、容器管理服務Azure Container Registry的高風險漏洞，這些漏洞可讓攻擊者透過iframe-postMessages元件發動跨網站指令碼（XSS）攻擊，而能在未經授權的情況下，存取使用者的連線階段（Session）。 研究人員展示概念性驗證（PoC）攻擊，他們透過特製的postMessage請求，進而操縱Azure Bastion的Topology View SVG 輸出工具、Azure Container Registry的快速啟動功能，來執行XSS惡意酬載。研究人員先後於4月13日、5月3日通報上述兩項漏洞，微軟已完成修補。 <h3>【其他新聞】</h3> <a href="https://www.imy.se/en/news/administrative-fee-against-spotify/">音樂串流服務Spotify違反GDPR判罰500萬歐元</a> <a href="https://www.onixgroup.com/wp-content/uploads/2023/05/Onix-Notice-of-Data-Security-Incident.pdf">房地產公司Onix遭到勒索軟體攻擊，逾30萬人個資外洩</a> <a href="https://www.cadosecurity.com/tracking-diicot-an-emerging-romanian-threat-actor/">駭客組織Diicot鎖定SSH伺服器散布惡意軟體</a> <a href="https://www.proofpoint.com/uk/resources/threat-reports/human-factor">駭客利用雙因素驗證繞過工具，每月散布百萬則垃圾訊息</a> <a href="https://cybernews.com/security/wordpress-malware-epidemic-balada-injector/">研究人員揭露鎖定WordPress網站的Balada Injector攻擊行動</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157391">【6月16日】研究人員揭露Barracuda郵件安全閘道零時差漏洞攻擊的後續發展，駭客更換惡意程式對付更新軟體</a> <a href="https://www.ithome.com.tw/news/157372">【6月15日】駭客設置假冒流行服飾品牌的大量網站，並鑽搜尋引擎的網域信任漏洞，發動網釣攻擊</a> <a href="https://www.ithome.com.tw/news/157332">【6月14日】微軟發布6月份例行更新，修補近80個漏洞</a> </div></div></div>
2023/6/17 13:40作者周峻佑https://www.ithome.com.tw/news/157402
【資安日報】6月15日，駭客設置假冒流行服飾品牌的大量網站，並鑽搜尋引擎的網域信任漏洞，發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 網路釣魚攻擊相當常見，其中假冒物流業者與知名IT業者的情況最多，但最近有研究人員發現，有駭客一口氣假冒上百個知名的流行服飾、運動服裝品牌，從1年前開始架設釣魚網站來發動攻擊，但值得留意的是，攻擊者透過使用期間長達兩年以上的網域名稱而被Google搜尋引擎視為合法，並將其列於搜尋結果最前面的位置。 近期散布剪貼簿挾持軟體Clipper的攻擊行動也值得留意，研究人員揭露一起感染此種惡意軟體的事故，經過調查發現，受害電腦使用被竄改的Windows 10盜版安裝光碟來部署，而在作業系統設置完成後就被植入Clipper。 在6月13日，SAP、西門子、施耐德電機也都發布本月份例行更新，值得留意的是西門子，其資安通告提及自家產品存在不少第三方軟體的漏洞，但他們未提到是否提供更新軟體，這麼做雖是告知用戶注意，但廠商不幫用戶解決這些問題，意思是要用戶自求多福嗎？ <h3>【攻擊與威脅】</h3> <a href="https://bolster.ai/blog/brand-impersonation-scam">上百個流行服飾品牌網站遭到仿冒！駭客架設6千個網站進行網釣攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-06-12-at-11_24_49-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-06-12-at-11_24_49-AM.png" style="width: 300px; float: right;" /></a>資安業者Bolster自2022年6月以來的大規模釣魚網站攻擊行動，駭客針對上百個流行服飾、運動服裝、穿戴裝置品牌用戶下手，打造冒牌網站，引誘民眾輸入帳密資料、信用卡資料，研究人員迄今總共發現約6千個網站，這些網站使用了逾3千個網域，此攻擊行動在今年1月至2月達到高峰。 研究人員指出，駭客普遍運用註冊超過2年以上的網域名稱，而使得Google搜尋將其視為無害，並將這些釣魚網站列於前幾名的搜尋結果。 <a href="https://news.drweb.com/show/?i=14712">有駭客透過盜版Windows 10光碟映像檔散布剪貼簿挾持軟體</a> 防毒業者Dr. Web揭露散布剪貼簿挾持軟體Clipper的攻擊行動，他們在5月底發現有客戶的Windows 10電腦出現Clipper及其他惡意程式，駭客藉著剪貼簿挾持軟體竄改電腦上的加密貨幣錢包網址，置換成攻擊者控制的伺服器網址，進行竊取受害者的加密貨幣資產，駭客竊得約1.9萬美元的以太幣及比特幣。 但這起攻擊事件相當特別的是，受害電腦是因為安裝了盜版的Windows 10 22H2專業版作業系統，而在安裝完成後就感染了上述的Clipper。此惡意程式的執行方式也很罕見，先建立EFI硬碟分割區並複製惡意元件，然後利用處理程序挖空（Process Hollowing）手法啟動，最後移除上述的分割區。 <a href="https://vulncheck.com/blog/fake-repos-deliver-malicious-implant">駭客佯稱是資安業者的研究人員，宣稱提供零時差漏洞的PoC程式，透過推特、GitHub散布惡意軟體</a> <a href="https://s4.itho.me/sites/default/files/images/kuzman.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kuzman.png" style="width: 300px; float: right;" /></a>資安業者VulCheck揭露假借提供零時差漏洞的概念性驗證（PoC）程式碼的惡意軟體攻擊行動，駭客自2023年5月，冒用Rapid7等資安業者的研究人員姓名與照片，聲稱是來自資安業者High Sierra Cyber Security的員工，在GitHub儲存庫上傳「零時差漏洞的概念性驗證程式碼」，並於推特進行宣傳。 但實際上，駭客在GitHub提供的檔案，其共通點是包含名為poc.py的Python指令碼，一旦受害者執行，Windows、Linux電腦就有可能被植入惡意軟體。 <a href="https://www.cisa.gov/news-events/news/us-and-international-partners-release-comprehensive-cyber-advisory-lockbit-ransomware">勒索軟體LockBit不法所得逾9千萬美元</a> 美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI），以及來自澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構聯手，針對勒索軟體LockBit的威脅態勢進行調查，結果發現，自2020年至今年第1季，受害組織達到1,653個，來自美國的不法所得已超過9,100萬美元，因此，這些機關均認為LockBit是這兩年帶來最大威脅的勒索軟體。 上述單位也公布LockBit的攻擊流程，並指出攻擊過程中，可能利用數十種開源軟體及商用軟體，以及已知漏洞，因此提出相關預防措施及建議。 <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-with-june-2023-security-updates/">SAP發布6月例行更新，修補高風險漏洞</a> 6月13日SAP發布本月份的例行更新，當中風險等級最高的是CVE-2023-33991，該漏洞存在於UI5 Varian Management應用系統，攻擊者可藉此取得使用者層級的存取權限，進而影響該系統的可用性、完整性，以及機密性，CVSS風險評分為8.2。 另一個也相當嚴重的高風險漏洞是CVE-2023-2827，存在於該廠牌的數位製造管理系統Plant Connectivity的元件，起因是缺乏身分驗證，而使得攻擊者在不需有效的JSON Web Token（JWT）的情況下，能夠連結含有漏洞的應用程式，CVSS風險評分為7.9。 <a href="https://www.securityweek.com/ics-patch-tuesday-siemens-addresses-over-180-third-party-component-vulnerabilities/">西門子、施耐德電機發布6月例行更新</a> 西門子與施耐德電機於6月13日發布本月份例行更新。西門子總共發布14則新公告，涵蓋約200個漏洞，其中有約108個是影響Simatic S7-1500的Linux核心漏洞；另有54個漏洞與該設備的BIOS有關，並波及第三方元件與Intel處理器，而這些影響此設備的漏洞，該公司提出了緩解措施，但相關修補程式仍在製作當中。 施耐德電機本次發布4則新公告，涵蓋5個漏洞的說明。其中一則公告提及2個Foxboro分散式控制系統（DCS）的高風險漏洞，攻擊者可用於阻斷服務（DoS）攻擊、提升權限、以核心層級執行任意程式碼。 <h3>【資安防禦措施】</h3> <a href="https://www.cy.gov.tw/News_Content.aspx?n=125&sms=8912&s=26604">針對去年裴洛西訪臺資安事件頻傳，監察院要求數位部強化資安管理</a> 美國眾議院裴洛西議長於2022年8月2日訪臺，隨後部分機關傳出網站癱瘓，公共場域電子看板內容亦遭竄改，引起社會大眾矚目，監察委員賴鼎銘、葉宜津、林郁容經過立案調查，監察院交通及採購委員會並於13日通過調查報告，指出在公私協力、橫向協調、改善公私部門資安從業人員困境及軟體供應鏈安全等面向確有不足。 他們歸納近期發生的指標性案件指出，發現無論是公部門或私部門，經常欠缺主動發現風險、適當控管及即時通報之誘因，而且面對資安事件多採迴避態度，相關單位宜從鼓勵通報及實質改善從業人員困境著手，但自2019年迄今未獲重大進展。對此，監察院要求數位部亦應積極辦理。 <h3>【其他新聞】</h3> <a href="https://stairwell.com/news/chamelgang-and-chameldoh-a-dns-over-https-implant/">中國駭客利用惡意軟體ChamelDoH攻擊Linux主機</a> <a href="https://www.microsoft.com/en-us/security/blog/2023/06/14/cadet-blizzard-emerges-as-a-novel-and-distinct-russian-threat-actor/">俄羅斯駭客Cadet Blizzard鎖定烏克蘭組織發動資料破壞攻擊</a> <a href="https://www.trellix.com/en-us/about/newsroom/stories/research/skuld-the-infostealer-that-speaks-golang.html">Go語言惡意軟體Skuld鎖定Windows電腦，意圖竊取Discord和瀏覽器資料</a> <a href="https://threatresearch.ext.hp.com/wp-content/uploads/2023/06/HP_Wolf_Security_Threat_Insights_Report_Q1_2023.pdf">惡意軟體ChromeLoader假借提供盜版影音、遊戲散布</a> <a href="https://orca.security/resources/blog/examining-two-xss-vulnerabilities-in-azure-services">Azure Bastion、Container Registry出現XSS漏洞</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157332">【6月14日】微軟發布6月份例行更新，修補近80個漏洞</a> <a href="https://www.ithome.com.tw/news/157321">【6月13日】俄羅斯駭客NoName鎖定瑞士政府，發動DDoS攻擊</a> <a href="https://www.ithome.com.tw/news/157304">【6月12日】大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙</a> </div></div></div>
2023/6/15 18:04作者周峻佑https://www.ithome.com.tw/news/157372
AI趨勢周報第218期：微軟發表130億參數模型Orca，表現比ChatGPT好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0602～0606) 微軟 Orca 生成式AI 微軟發表130億參數模型Orca，表現比ChatGPT還要好 微軟日前發表一款130億參數的語言模型Orca（虎鯨），還在一系列基準測試中贏過主流大型基礎模型，像是ChatGPT、Bard，以及其他同參數量的Vicuna-13B、Alpaca-13B和LLaMA-13B等模型。進一步來說，微軟想透過學習、模仿大型語言模型的推理過程，來提高小模型表現，於是，他們以GPT-4為標竿，讓Orca學習GPT-4的推理過程，包括解釋步驟、逐步（Step by step）思考模式和其他複雜指令，並由ChatGPT的老師模型來引導。 測試時，團隊以GPT-4作為評分工具，來衡量Orca在嚴格的基準測試Big Bench Hard（BBH）中與其他SOTA模型的表現，發現比ChatGPT、Bard等要好，也在包含SAT、LSAT、GRE和GMAT等學術考試的AGIEval基準測試中，拿下不錯成績。<a href="https://arxiv.org/pdf/2306.02707.pdf">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-06-11%20at%2011_54_40%20AM.png" /> 函式庫 Teams Copilot 微軟推出AI函式庫，開發者可用來打造Teams AI應用程式 微軟不只在M 365生產力工具中加入Copilot擴充套件、用大型語言模型協助用戶處理語言任務，現在還進一步擴展大型語言模型的支援，推出Teams AI函式庫。Teams AI函式庫是一個開發工具，以GPT-4為基礎，能讓開發者在Teams平臺上打造具AI功能的Teams應用程式，也支援多種語言。Teams AI函式庫包括進階AI元件，如對話式AI、提示語管理和安全審查等功能，開發者可開發高度互動的應用程式。微軟指出，該函式庫的設計考慮了開發的簡單性和靈活性，所以開發者不需花大量時間，理解複雜的協定或是編寫自定義對話邏輯。<a href="https://devblogs.microsoft.com/microsoft365dev/build-your-own-apps-copilot-on-microsoft-teams-with-the-new-teams-ai-library/">（詳全文）</a> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/HWTTm58jg9A?controls=0" title="YouTube video player" width="560px"></iframe></div> Google Transformer 擴散模型 一句話一張圖就能準確生成新圖片，Google發表新文字生成圖片模型StyleDrop Google最近發表一款圖片生成圖片的AI系統StyleDrop，以Google先前發表的同類模型Muse為基礎，可根據使用者給定的一張圖和文字提示，來生成同樣風格和紋理的圖片，表現比擴散模型（如Stable Diffusion、Imagen）還要好。 進一步來說，有別於擴散模型，StyleDrop是一款基於離散Token的視覺Transformer模型。團隊在訓練模型時，採用了人工回饋和自動回饋方法，來提高產出品質，也就是說，團隊對StyleDrop輸入一張圖片後，模型會產出一組同樣風格的圖片，團隊手動挑選或用CLIP模型自動分類出品質最好的圖片，再用這些圖片來訓練模型。與此同時，團隊也利用Dreambooth模型來強化StyleDrop對物件圖片的生成表現，由前者學習物件、後者學習風格，再整合為生成結果。Google表示，StyleDrop的強項在於能捕捉圖片風格中的細微差異，像是色彩、陰影、圖案設計等，並能按照該風格生成圖片。他們評比發現，StyleDrop的風格轉換表現比Textual Inversion、Dreambooth、LoRAs和Imagen等主流模型還要好。<a href="https://styledrop.github.io/">（詳全文）</a> <img alt="" src="https://styledrop.github.io/images/styledrop_merge/05_0102.jpg" /> Falcon LLM SageMaker 阿拉伯聯合大公國打造400億參數LLM，霸榜OpenLLM排行榜 近日，阿拉伯聯合大公國科技創新研究所（TII）用AWS機器學習服務SageMaker打造出400億參數的語言模型Falcon-40B，在Hugging Face的OpenLLM排行榜上位居第一，贏過LLaMA、StableLM和RedPajama等模型，最近也開源了。 Falcon-40B是因果解碼器，用將近5億個Token訓練而成。這些訓練資料來自網路公開文件，為提高訓練資料品質，團隊還自建資料處理工作流程，透過過濾和去重複化來挑出高品質資料。此外，團隊還採用了多重查詢注意力（Multiqery attention）機制和FlashAttention注意力機制，來提高模型效率。簡單來說，多重查詢注意力機制可讓模型對每個Token產生多個查詢，來更好表示同一序列中，不同token之間的關係；FlashAttention則能加速自我注意力的運算、降低複雜性，進而提高模型整體的運算效率。 接著，團隊使用SageMaker服務和384顆GPU來進行2個月的訓練。經多個基準測試，表現比LLaMA、Vicuna和Alpaca好，目前開源的版本有Falcon-7B-Instruct和Falcon-40B-Instruct等。<a href="https://www.tii.ae/news/abu-dhabi-based-technology-innovation-institute-introduces-falcon-llm-foundational-large">（詳全文）</a> <img alt="" src="https://files-prod.tii.ae/inline-images/Graph-2%20Falcon%20LLM%20banner.png" /> Google Cloud Chatbot 資料搜尋 Google雲推生成式AI新服務，企業可自建Chatbot搜尋內部資料 Google Cloud推出一項AI服務Enterprise Search on Gen App Builder，使用者可用來開發聊天機器人，來搜尋企業內部資料。進一步來說，這款服務特別之處，在與用生成式AI聊天機器人模式來搜尋資料，可克服傳統查詢方法的痛點，如出現大量模式匹配連結、相關答案需要人力檢查等。Enterprise Search on Gen App Builder可讓開發者打造特定資料源的搜尋引擎，提高搜尋準確性和相關性，且可處理多模態資料，像是圖片、影像，還能讓用戶控制答案輸出。 Google也透露，美國醫療龍頭梅約醫學中心將採用Enterprise Search on Gen App Builder，來在幾分鐘內自建搜尋用的聊天機器人和語義搜尋應用程式，且幾乎不需要寫什麼程式，加速醫師及研究人員搜尋醫院內各種格式的文件，如病歷、研究論文、臨床指引和資料庫作為研究、診斷及治療之用。Google Cloud稱，這項服務已符合HIPAA標準。<a href="https://cloud.google.com/blog/products/ai-machine-learning/enterprise-search-on-gen-app-builder">（詳全文）</a> 微軟 VS Code C# 微軟推出全新C#開發工具包，新添AI開發功能 微軟推出VS Code新C#開發工具包，可在Linux、macOS和Windows等作業系統上，提供更高效可靠的工具環境。C#開發工具包由一組VS Code擴充套件組成，這組擴充套件提供完整的C#編輯、AI開發、解決方案管理和整合測試功能。 在安裝C#開發工具包時，系統會自動安裝IntelliCode for C# Dev Kit，這個新IntelliCode比原本C#擴充套件中的IntelliCode還要好，而且，新添的AI功能還能依據開發者個人程式碼庫，提供整行程式碼完成以及星形標籤的建議，也會將最可能使用的內容，在C#專案的IntelliSense完成列表置頂。<a href="https://devblogs.microsoft.com/visualstudio/announcing-csharp-dev-kit-for-visual-studio-code/">（詳全文）</a> Nvidia 3D Neuralangelo Nvidia公布能將2D影片轉成3D的AI模型Neuralangelo Nvidia最近發表可將2D影片片段轉為3D的AI模型Neuralangelo，而且細節豐富、紋理清楚，如建築、雕刻和其他真實物體，創作者可用來產生3D物件、匯入到設計應用，或是進一步編輯，應用於藝術、電玩開發、機器人或數位分身中。 Neuralangelo使用即時神經繪圖原語來捕捉物體微妙的細節，能以不同角度拍攝的2D影片為素材，從中選擇多個不同角度的影格，一旦決定每個影格的相機位置後，就會產出初步的3D再現影像，並加入細節、使其成型，產出的3D物件可用於VR應用、機器人等領域。Nvidia研究院預定在6月18到22日舉行的電腦視覺盛會CVPR上發表這款模型，並在預定發布的影片中，展示模型如何重建米開朗基羅的著名雕刻《大衛》、平板拖車和建築物室內裝潢與室外設計。<a href="https://blogs.nvidia.com/blog/2023/06/01/neuralangelo-ai-research-3d-reconstruction/">（詳全文）</a> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/PQMNCXR-WF8?controls=0" title="YouTube video player" width="560px"></iframe></div> OpenAI AI幻覺 過程監督 OpenAI新訓練方法可避免AI出現幻覺 OpenAI採用了一種稱為過程監督（Process Supervision）的訓練方法，來獎勵每個正確步驟的推理，讓模型能遵循人類認可的關聯思考（Chain-of-Thought），產生更可靠的結果。 雖然近期大型語言模型的推理能力大幅度提高，但OpenAI指出，即便是最先進的模型，仍會產生邏輯錯誤，也就是幻覺（Hallucination），而解決幻覺是建置通用AI的關鍵。OpenAI先是評估2種監督方法，利用MATH測試集來衡量過程監督和結果監督，發現過程監督的效能比結果監督佳，而且當問題變得複雜，效能差距也會增加，整體來說，過程監督獎勵模型更加可靠。<a href="https://openai.com/research/improving-mathematical-reasoning-with-process-supervision">（詳全文）</a> 圖片來源／微軟、Google、TII、Nvidia AI近期新聞 1. Google發表AI系統的安全性概念框架 2. DeepMind AI模型不下圍棋了，新AlphaDev模型可加速資料中心運算效率 3. Wordpress Jetpack AI助理可幫忙寫部落格 資料來源：iThome整理，2023年6月 </div></div></div>
2023/6/11 12:19作者王若樸https://www.ithome.com.tw/news/157274
【資安日報】6月9日，逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 透過套件工具發布平臺來發動攻擊的情況，近期專門針對軟體開發人員而來，上架NPM、PyPI惡意套件的事件不時傳出，但現在也有鎖定遊戲玩家的攻擊行動。最近發生的竊資軟體Fractureiser攻擊行動，就是藉由電玩遊戲Miniecraft改裝套件平臺Bukkit、CurseForge的套件來散布，而引起相關社群的關注。 製造業遭遇勒索軟體攻擊的事故也相當值得關注。在今天的資安新聞裡，日本拉鍊大廠YKK、製藥廠Eisai皆傳出遭遇此種攻擊。以YKK而言，駭客組織LockBit宣稱是他們所為，揚言若該公司不付錢，將公開所竊得的資料，後續影響有待觀察。 MOVEit Transfer零時差漏洞攻擊的調查又出現了新的進展。有資安業者發現，駭客可能在2年前就找出漏洞，並經過多次測試、驗證，到了近期才發動正式攻擊。 <h3>【攻擊與威脅】</h3> <a href="https://prismlauncher.org/news/cf-compromised-alert/">惡意軟體Fractureiser透過Minecraft改裝套件散布，攻擊Windows、Linux電腦</a> 開源電玩Minecraft啟動工具Prism Launcher於6月7日提出警告，竊資軟體Fractureiser透過Minecraft改裝套件平臺Bukkit、CurseForge散布，鎖定使用Windows及Linux電腦的玩家而來。 駭客起初入侵幾個Minecraft套件開發者的帳號，將惡意程式碼注入這些套件，後續該惡意軟體得以自我複製、大量散布，他們呼籲用戶暫時不要從Bukkit及CurseForge下載改裝套件，Minecraft遊戲改裝工作室Luna Pixel Studios確認逾20款套件受到影響，過去3週下載相關改裝套件的用戶都可能曝險。 此資安通告亦提供自行手動檢查是否遭到竊資軟體感染的方法，以及自動檢查的指令碼，並列出清除竊資軟體的步驟。 YKK公司傳出遭到勒索軟體LockBit攻擊 <a href="https://s4.itho.me/sites/default/files/images/ykk-group-lockbit9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ykk-group-lockbit9.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站The Record、Cybernews、Cyber Express報導，日本拉鍊大廠YKK證實美國分公司的網路遭到鎖定，但聲稱在駭客造成一定程度的損害、敏感資訊外洩之前，該公司的資安團隊已經控制相關威脅。 YKK北美副總裁Jessica Kennett Cork表示，此次資安事故不影響營運，也並未影響該公司服務客戶的能力，目前也未出現個人、金融資訊、智慧財產資料遭駭的跡象。 而對於攻擊者的身分，6月2日勒索軟體駭客LockBit聲稱是他們所為，並要脅若不付錢，將在16日洩露竊得的資料。 資料來源 1. <a href="https://therecord.media/ykk-zipper-manufacturer-cyberattack-us-operations">https://therecord.media/ykk-zipper-manufacturer-cyberattack-us-operations</a> 2. <a href="https://cybernews.com/news/ykk-group-data-breach/">https://cybernews.com/news/ykk-group-data-breach/</a> 3. <a href="https://thecyberexpress.com/lockbit-claims-ykk-ransomware-attack-deadline/">https://thecyberexpress.com/lockbit-claims-ykk-ransomware-attack-deadline/</a> <a href="https://www.eisai.com/news/2023/news202341.html">日本製藥廠Eisai證實遭到勒索軟體攻擊</a> 6月6日這一天，日本製藥廠Eisai證實遭駭，3日深夜，他們察覺部分伺服器檔案遭到勒索軟體加密綁架，事發後即著手進行事件回應流程，包含物流系統在內的部分系統進入離線狀態，但公司網站、電子郵件系統仍正常運作。這起事故是否導致資料外洩，以及影響收益的情形，待進一步釐清。 <a href="https://www.kroll.com/en/insights/publications/cyber/clop-ransomware-moveit-transfer-vulnerability-cve-2023-34362">勒索軟體駭客Clop濫用MOVEit Transfer零時差漏洞，可追溯至2021年，疑似當時就開始測試</a> 今年5月底，勒索軟體駭客Clop發動MOVEit Transfer零時差漏洞攻擊，但有研究人員發現，駭客很有可能在2年前就找到漏洞，並進行長期測試後才根據排定的時程發動攻擊。 資安業者Kroll對蒙受此次攻擊的用戶進行調查，看到在部分受害伺服器所留存的IIS事件記錄檔案裡，2021年7月、2022年4月就出現了類似的漏洞利用攻擊跡象，且可能都是透過自動化工具執行。 研究人員推測，駭客先在上述時間點進行測試（2021年至2022年），並在發動另一起MFT系統GoAnywhere的攻擊時（2023年2月）已能成功利用漏洞，但當時駭客選擇依循時程辦事，他們先後針對GoAnywhere、MOVEit Transfer伺服器下手，而非同時對於兩種MFT伺服器發動攻擊。 <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-onedrive-down-worldwide-following-claims-of-ddos-attacks/">雲端檔案共享服務OneDrive網站發生營運中斷，疑遭到DDoS攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/OneDrive-outage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OneDrive-outage.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，微軟雲端檔案共享服務OneDrive的網站於6月8日早上，出現服務中斷的情況，使用者無法透過瀏覽器存取onedrive.live.com，但執行OneDrive用戶端同步程式、Office辦公室軟體的使用者不受影響。 而這起網站服務中斷的事故，很有可能與駭客組織Anonymous Sudan發起的DDoS攻擊行動有關，對此，微軟表示正著手調查。 <h3>【漏洞與修補】</h3> <a href="https://www.varonis.com/blog/visual-studio-bug">微軟修補的Visual Studio漏洞極為容易利用，恐被用於滲透開發環境</a> <a href="https://s4.itho.me/sites/default/files/images/image-png-Jun-02-2023-12-33-14-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Jun-02-2023-12-33-14-1.png" style="width: 300px; float: right;" /></a>微軟4月份例行更新修補漏洞CVE-2023-28299，它存在於Visual Studio的擴充套件安裝程式（VSIX），攻擊者一旦利用，有可能藉此對應用程式開發人員散布惡意套件。微軟當時評估此漏洞嚴重程度是中度，但現在研究人員警告，這項漏洞帶來的威脅不應輕忽。 向微軟通報上述漏洞的資安業者Varonis指出，攻擊者運用漏洞的複雜性極低，只要將VSIX檔案當作ZIP壓縮檔案開啟，手動修改extension.vsixmanifest內容，就能突破擴充套件元件名稱只有一行的限制，進而埋藏元件沒有簽章的警語，再將這種惡意套件向組織的開發人員散布，就有機會藉此掌控開發人員的電腦，而成為入侵整個組織的管道。 <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-priv-esc-Ls2B9t7b">思科修補企業協作系統的重大漏洞</a> 6月7日思科針對旗下的企業協作Expressway ，以及視訊通訊解決方案TelePresence Video Communication Server發布更新程式，目的是修補CVE-2023-20105、CVE-2023-20192。 當中最嚴重的是CVE-2023-20105，屬於權限提升漏洞，僅具備讀取權限的管理者也能因為這個漏洞而擁有寫入的權限，起因是密碼變更請求沒有得到正確處理，導致攻擊者能透過擁有讀取權限的管理者來進行身分驗證，並發送特製請求來竄改其他帳號的密碼，其中包含了能夠讀取或寫入的密碼管理員，CVSS風險評分為9.6。 <h3>【其他新聞】</h3> <a href="https://www.recordedfuture.com/north-korea-aligned-tag-71-spoofs-financial-institutions">北韓駭客組織APT38針對日本、越南、美國金融機構而來</a> <a href="https://www.sentinelone.com/labs/kimsuky-new-social-engineering-campaign-aims-to-steal-credentials-and-gather-strategic-intelligence/">北韓駭客Kimsuky鎖定新聞媒體發動攻擊</a> <a href="https://www.welivesecurity.com/2023/06/08/asylum-ambuscade-crimeware-or-cyberespionage/">駭客組織Asylum Ambuscade鎖定金融機構、政府機關發動攻擊</a> <a href="http://www.numencyber.com/cve-2023-29336-win32k-analysis/">針對已被用於攻擊行動的Win32k.sys漏洞，研究人員公布概念性驗證程式</a> <a href="https://www.bleepingcomputer.com/news/security/royal-ransomware-gang-adds-blacksuit-encryptor-to-their-arsenal/">勒索軟體駭客Royal測試新的惡意程式BlackSuit</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157244">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</a> <a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a> <a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a> </div></div></div>
2023/6/9 16:53作者周峻佑https://www.ithome.com.tw/news/157264
【資安日報】6月8日，企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 入侵企業的檔案共享系統並進行檔案加密的攻擊行動，最近出現新的手法！有資安業者揭露一波針對SharePoint Online而來的勒索軟體0mega攻擊，駭客先是挾持Microsoft 365的全域管理員帳號（Global Admin Account），然後建立高權限帳號來下載、刪除檔案，再留下勒索訊息。 MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊傳出駭客開始向受害組織進行勒索，並要求依照指示限期聯繫、談妥價碼及付款，否則就要公開竊得的資料。但受害規模仍不得而知。 開放重新導向漏洞（Open Redirect Vulnerability）的情況也值得我們留意。有研究人員發現美國太空總署（NASA）的網站出現此類漏洞，但在今年1月就有人通報，截至5月仍未修補。 <h3>【攻擊與威脅】</h3> <a href="https://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/">勒索軟體0mega鎖定企業的SharePoint Online發動攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/0mega-Untitled.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-Untitled.png" style="width: 300px; float: right;" /></a>資安業者Obsidian揭露鎖定微軟SharePoint Online的勒索軟體攻擊，相較於過往的攻擊，最新的這波0mega行動相當不同，因為對方並非先入侵目標組織的使用者電腦，或是侵入被映射的磁碟、再加密要同步到SharePoint Online的檔案，而是鎖定未啟用雙因素驗證（2FA）、公開的微軟全域系統管理員服務帳號（Global Admin Account）進行挾持。 攻擊者會在受害組織的AD加入名為0mega的使用者帳號，此帳號被上述遭到入侵的管理員帳號授予多項Microsoft 365特殊權限，包含全域管理員、SharePoint管理員、Exchange管理員、Teams管理員。 在其中一起攻擊行動裡，駭客利用這個名稱的帳號，刪除原本的管理員帳號，並且在2個小時之內，在SharePoint Online執行逾200次的檔案刪除作業，而刪除這些資料之前，駭客也藉由NPM套件SPPull下載到租用的VPS主機，然後上傳PREVENT-LEAKAGE.txt勒索訊息。 <a href="https://therecord.media/clop-extortion-hundreds-organizations-moveit-vulnerability">因MOVEit Transfer漏洞而遭勒索軟體Clop攻擊的組織，可能有數百家之多</a> 微軟於6月5日指出勒索軟體駭客Clop是MOVEit Transfer零時差漏洞攻擊的主謀，該組織也於隔日向資安新聞網站Bleeping Computer表明是他們所為，現在傳出駭客開始向受害組織進行勒索。 根據資安新聞網站The Record的報導，Clop於6月7日早上發出勒索信，要求受害組織依照指示，在6月12日（後來改成14日）前聯繫他們，該組織將會提供部分資料進行驗證，且要在3天講定價碼，否則資料將在7天後公開。值得留意的是，這些駭客聲稱有數百家企業受害，但究竟實際規模為何？仍不得而知。 <a href="https://cybernews.com/security/nasa-astrobiology-website-flaw/">美國太空總署網站出現開放重新導向漏洞，可被用於將用戶導引至惡意網站</a> 資安新聞網站Cybernews的研究人員發現，美國太空總署（NASA）的網站出現開放重新導向漏洞（Open Redirect Vulnerability），而有可能被駭客用於假借該機構的名義，將使用者重新導引至惡意網站。 研究人員指出，他們並非首度發現相關漏洞的人──在1月14日已有漏洞獎金獵人通報此事，但到了5月這項漏洞仍舊存在。不過，目前無法確認上述漏洞是否遭到利用。 <a href="https://adlumin.com/post/powerdrop-a-new-insidious-powershell-script-for-command-and-control-attacks-targets-u-s-aerospace-defense-industry/">PowerShell惡意軟體PowerDrop鎖定美國航空產業而來</a> 資安業者Adlumin揭露名為PowerDrop的PowerShell惡意程式，駭客鎖定美國的太空產業而來，透過PowerShell和WMI，在受害組織的網路裡部署RAT木馬程式。 研究人員指出，雖然他們懷疑發動攻擊的是國家級駭客，但根據駭客所使用的程式碼，他們不只使用APT駭客的手法，也有部分運用現成惡意軟體的情況。 <h3>【漏洞與修補】</h3> <a href="https://kb.vmware.com/s/article/92684">VMware網路分析工具出現重大漏洞</a> VMware於6月7日針對旗下網路分析系統Aria Operations for Networks（原名vRealize Network Insight）發布資安公告，總共修補3個漏洞，分別為命令注入漏洞CVE-2023-20887、RCE漏洞CVE-2023-20888、資訊洩露漏洞CVE-2023-20889，CVSS風險評分依序為9.8、9.1、8.8。 值得留意的是，這些漏洞沒有其他的緩解措施，該公司呼籲用戶要儘速套用修補程式。 <a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/">本田汽車集團API弱點曝露經銷商資料及內部文件</a> <a href="https://s4.itho.me/sites/default/files/images/honda-full.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/honda-full.png" style="width: 300px; float: right;" /></a>研究人員Eaton Zveare在本田汽車集團的電子商務網站裡，發現重設密碼的API存在漏洞，而能藉由該漏洞重設任意帳號的密碼，存取該集團旗下的動力設備、船隻、花園事業部門的經銷商資料。 研究人員依循上述的弱點，能夠隨意修改該公司旗下1,570個經銷商網站內容，變更3,588個經銷商帳號的密碼，並存取經銷商電子郵件1,090封，以及顧客電子郵件（內含完整姓名）11,034封，此外，研究人員還能存取該集團的財務報告，以及部分經銷商的Stripe、PayPal、Authorize.net的金鑰。 研究人員於3月16日進行通報，本田於4月3日修復完成，不過，由於該公司沒有經營漏洞懸賞專案，這名研究人員並未得到獎勵。 <h3>【資安產業動態】</h3> <a href="https://www.ithome.com.tw/news/157209">Google Cloud、Workspace開始支援Passkey無密碼登入</a> 6月6日Google宣布擴大Passkey支援範圍，用戶可以此種無密碼的方式登入Google Workspace和Google Cloud帳戶。該公司提到，他們是第一個支援通行密鑰登入的公有雲服務供應商。根據Google早期採用的資料顯示，使用Passkey的登入速度是密碼的兩倍，錯誤率更是降低4倍。 <a href="https://www.ithome.com.tw/news/157236">密碼管理解決方案業者1Password推出瀏覽器Passkey擴充套件公開測試版</a> 密碼管理解決方案業者1Password推出瀏覽器的Passkey支援套件測試版本，讓使用者上網的過程可透過這類身分驗證機制來存取各式網路服務。此擴充套件可支援Chrome、Firefox、Edge、Brave、Safari瀏覽器，並能在執行Windows、macOS、Linux作業系統的電腦上運作。 <h3>【其他新聞】</h3> <a href="https://start.paloaltonetworks.com/unit-42-network-threat-trends-report-malware-2023.html">ChatGPT爆紅引發相關資安疑慮！資安業者Palo Alto Networks半年內看到相關域名註冊增178%、每天有118個惡意URL</a> <a href="https://www.bleepingcomputer.com/news/security/barracuda-says-hacked-esg-appliances-must-be-replaced-immediately/">Barracuda表示遭到零時差漏洞攻擊的郵件安全閘道設備應立即更換</a> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ac-csc-privesc-wx4U4Kw">思科VPN用戶端程式出現漏洞，若不修補恐被用於取得SYSTEM權限</a> <a href="https://cert.gov.ua/article/4818341">惡意軟體LonePage鎖定烏克蘭政府機關及媒體而來</a> <a href="https://www.justice.gov/opa/pr/ceo-dozens-companies-pleads-guilty-massive-scheme-traffic-fraudulent-and-counterfeit-cisco">涉嫌販賣冒牌思科網路設備的人士遭起訴，不法所得逾1億美元</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a> <a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a> <a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a> </div></div></div>
2023/6/8 17:18作者周峻佑https://www.ithome.com.tw/news/157244
1Password公測Web版通行密鑰方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 繼年初的預告後，<a href="https://blog.1password.com/save-sign-in-passkeys-1password/" target="_blank">密碼管理服務業者1Password本周宣布</a>可適用於各大瀏覽器的通行密鑰（passkey）方案以公開測試版上線。 通行密鑰（passkey）是一組儲存在裝置中的獨特數位身分，在登入支援的網站或App時，通行密鑰結合裝置上的生物辨識特徵產生的安全程式碼，和網站、App交換進行驗證即可完成，用戶不必記憶密碼，不但使用容易、難以竊取或破解，使用起來也更快速。1Password去年加入FIDO聯盟，<a href="https://www.ithome.com.tw/news/155482" target="_blank">今年初宣布將轉型</a>，讓用戶以通行密鑰登入網站或應用服務。<a href="https://www.ithome.com.tw/news/156957" target="_blank">上個月1Password推出</a>可整合企業自有應用程式或網站的Passage方案，本周再推出Web版通行密鑰方案，這是該公司的瀏覽器外掛程式，讓用戶可儲存與分享通行密鑰，並用以登入線上服務。1Password說明，使用通行密鑰可加速登入，它引用Google研究說明，通行密鑰登入可比密碼登入少一半時間。 但該公司也強調其方案的特色，包括當用戶同時儲存多個密鑰及通行密鑰時，它可以正確以對的認證資訊將用戶登入。針對共用帳號服務1Password外掛服務提供的共享儲存庫，方便用戶和家人朋友共同使用一組通行密鑰。此外，相較於Google Password Manager或蘋果iCloud Keychain只支援Android或iOS平臺的登入，1Password則允許用戶跨平臺及跨瀏覽器同步通行密鑰。 1Password外掛包含一組目錄，列出支援通行密鑰的網站及服務。點入想去的網站及服務後，循說明指示建立帳號，並把新增的通行密鑰儲存在1Password（或其他）外掛中。在已有帳號的網站中，則應找到建立通行密鑰登入的入口重覆前一動作。1Password外掛包含名為Watchtower的功能，可在用戶想要的網站及服務開始支援通行密鑰時通知用戶。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0608-Save%20and%20sign%20in%20with%20passkeys%20using%201Password%20in%20the%20browser-600-V2.png" style="width: 600px;" /> 圖片來源_1Password <a href="https://support.1password.com/betas/" target="_blank">1Password Web版</a>支援主流桌機版瀏覽器，包括Chrome、Firefox、Edge、Brave及Safari，現在用戶就可以下載安裝。業者也更新了Mac、Windows、Linux及Android、iOS版App以支援通行密鑰，同時預告，7月起讓用戶以通行密鑰取代主密碼（master password）。 建好後，下次再造訪該網站時這外掛就會以通行密鑰將用戶登入。萬一用戶之後不想用了，需先從瀏覽器移除1Password外掛，再從瀏覽器安裝最新正式版1Password。 1Password競爭者Dashlane在3月及上周，也分別在<a href="https://www.dashlane.com/blog/dashlane-passkey-support-android" target="_blank">Android</a>及<a href="https://www.dashlane.com/blog/dashlane-passkey-support-ios" target="_blank">iOS版</a>App支援通行密鑰。 </div></div></div>
2023/6/8 11:22作者林妍溱https://www.ithome.com.tw/news/157236
【資安月報】2023年5月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在今年5月的資安新聞中，有兩大議題成為焦點，一是國內資安威脅現況的揭露，另一是資料外洩與電信詐騙。 在近年國內資安威脅現況的揭露方面，以iThome電腦報週刊第1129期公布的資安大調查結果而言，顯示了2022臺灣企業資安災情，當中有幾項數據值得關注，包括：去年資安事件超過50次以上的企業比例為23.4%，其中以醫療業、服務業的比例最高，分別為26.7%及26.2%，再從各產業平均遭遇的資安事故數量來看，則以服務業者的18.8次最高，高科技製造業的17.3次之。此外，整體企業平均要6天才能發先自己遭駭，更得花上近5天才能復原。 本月有三起有關臺灣的攻擊事件揭露，同樣受注目。包括：Check Point在5月4日揭露駭客打造冒牌國內的遠通電收ETC、越南大型銀行VPBank NEO的App，並帶有FluHorse安卓木馬程式的威脅；5月10日臺灣媒體揭露法務部調查局正在偵辦企業營業秘密事件，有一位曾任職台達電與飛宏科技的高階主管竊取公司充電系統關鍵機密文件，並帶槍投靠中國公司；資安業者Trellix在5月19日揭露近幾個月中國對於臺灣的網路攻擊明顯增加，並且是廣泛針對各種產業攻擊，不同於平時攻擊偏重IT、製造業與物流業，同時指出這些惡意軟體攻擊包括PlugX、Kryptik、Zmutzy，以及Formbook等。 此外，在我們重新盤點這一個月的臺灣重大資安事件時，新發現國內輪胎大廠<a href="https://s4.itho.me/sites/default/files/images/2023-06-04_135828.jpg">「正新輪胎」在5月30日發布資安事件重大訊息</a>，說明旗下子公司Cheng Shin Rubber USA部份資訊系統遭受駭客網路攻擊。 在資料外洩與電信詐騙方面，事實上，這類事件存在多年，近兩三個月更是頻繁爆發，到了5月又有統聯客運發生這類事故。如今政府再次祭出新的行動，包括：行政院陸續通過「打詐5法」（中華民國刑法、人口販運防制法、個人資料保護法、洗錢防制法、證券投資信託及顧問法）修正草案，並頒布打擊詐欺策略行動綱領1.5版，而在個資法最新修正中，重大或屆期未改善者，得按次開罰15萬至最高1,500萬元的罰鍰，而在5月30日，數位發展部數位發展署也公告，針對限期未改正的蝦皮與誠品開罰，而旋轉拍賣因已配合改正未開罰。 談完上述威脅態勢，本月還有一場重要資安活動－－那就是iThome舉辦的CYBERSEC 2023臺灣資安大會，期間亦有國內外專家在臺分享了網路威脅現況。例如，Google TAG小組揭露烏克蘭戰爭背後的網路威脅態勢，俄羅斯廣泛的網路攻擊行動使更多國家也成目標；趨勢科技資安研究員揭露專攻臺灣的Taidoor駭客組織擁有12種以上獨有後門，入侵手段層次多變難用自動化分析工具排除；以及警政署揭中國網軍攻臺演進轉變等。 另一方面，以資安防護而言，在諸多最新資安議程之外，現場資安展覽不僅提供了個視資安解決方案，同時也呈現出重要的資安趨勢，包括生成式AI的進展、零信任的實施、XDR的運用，都是今年重要亮點，而CMMC、雲端安全、安全意識培訓、資安治理、供應鏈安全、AI安全等也都是關注重點。 特別的是，隨著今年底前還有1,100家企業得依法設立資安主管，因此iThome針對臺灣資安大會製作特別報導，彙集多位專家們給未來這些資安長的上手指引，助其掌握企業資安防護和治理的關鍵。同時，近年國際間探討資安能力短缺可能為企業組織帶來額外風險，iThome在臺灣資安大會活動上亦發布了臺灣資安人才專刊，介紹臺灣與全球的資安人才需求現況，以及國內外資安人才框架的最新發展。 <h2><a href="https://www.ithome.com.tw/news/156758">【資安週報】2023年5月2日到5月5日</a></h2> 在這一周的漏洞消息中，有4個主要焦點，首先是飯店、酒店、度假村等普遍使用的Oracle物業管理系統，有研究人員指出今年4月修補的一項漏洞嚴重性被低估，以及SLP協定漏洞恐被用於DDoS流量放大攻擊，影響平臺廣泛受注目，還有TBK Vision視訊監控畫面側錄設備傳出5年前的漏洞遭駭客鎖定攻擊的情況，並有思科針對伺服器管理系統Prime Collaboration Deployment的漏洞示警，預計5月釋出更新修補。 在網路攻擊重要事件方面，有中國駭客組織Earth Longzhi利用新手法停用資安防護系統的揭露，由於臺灣、泰國、菲律賓是鎖定對象，因此備受關注；國際間還有塔吉克政府、電信、公共服務基礎設施遭網路攻擊的揭露，當地有499個系統遭設置後門，而其背後是俄羅斯駭客發動Paperbug網路間諜攻擊。 在最新威脅焦點方面，假冒ChatGPT等AI工具散布惡意的情況有新的消息，光是今年3月就發現至少10個惡意軟體家族用此手法；AI技術複製聲音的威脅有竄升的跡象，如今正影響社會大眾，企業也須防範與BEC攻擊手法的混合。其他值得注意的消息，包括竊資軟體NodeStealer動向，惡意程式載入器AresLoader鎖定Citrix用戶情況，以及駭客使用雙重DLL測載手法試圖逃避資安檢測的揭露。 另外值得警惕的資安消息是，本周傳出美國許多銀行、政府組織、醫療服務供應商使用Salesforce卻有錯誤配置情形，導致未經身分驗證的使用者也能存取資源。 <h2><a href="https://www.ithome.com.tw/news/156852">【資安週報】2023年5月8日到5月12日</a></h2> 在這一周漏洞利用消息中，共有8漏洞需特別關注，其中2個要優先注意的是，微軟本月例行性安全性更新所修補的Win32k權限提升漏洞CVE-2023-29336，以及Ruckus Wireless修補旗下多款路由器產品的CSRF與RCE漏洞CVE-2023-25717，還有6個本周尚未提及，屬於早年已知漏洞，分別是Red Hat Polkit<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-3560">（CVE-2021-3560）</a>、Linux kernel（<a href="https://nvd.nist.gov/vuln/detail/CVE-2014-0196">CVE-2014-0196</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2010-3904">CVE-2010-3904</a>）、Jenkins UI（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2015-5317</a>）、Oracle Java SE與JRockit（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2016-3427</a>）、Apache Tomcat（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-8735">CVE-2016-8735</a>）。 在威脅焦點新聞事件與趨勢方面，以微星3月遭駭事件波及Intel開機安全機制BootGuard最受矚目，以及工控資安業者Dragos揭露自身遭勒索軟體意圖攻擊但未被得逞的狀況，還有自從勒索軟體Babuk原始碼遭公布後，有研究人員發現，近期不少勒索組織因為自身不擅長在Linux平臺開發惡意程式，而選擇使用現有的原始碼加以修改。 在國內方面，iThome主辦的2023 CYBERSEC臺灣資安大會於本周舉行，今年持續有多位世界知名資安領袖與專家在臺發表主題演說，提供國內產業更多最新資安動態，包括美國前國土安全部長Janet Napolitano、Google威脅分析小組（TAG）負責人Shane Huntley、Cyber Defense Matrix發明人Sounil Yu，以及趨勢科技首席技術策略長David Chow、Fortinet資安策略長Derek Manky等，以及現場共有二百多場演講的專業資安會議，加上大會活動現場的資安展覽與Cyber Talent資安人才展區，整場共吸引超過1萬8千人參與，再創歷年之最。同時，iThome 2023資安大調查也在本周出爐，揭露來自國內兩千大企業最新調查的資安災情、資安投資動向。 <h2><a href="https://www.ithome.com.tw/news/156977">【資安週報】2023年5月15日到5月19日</a></h2> 在這一週的漏洞消息中，以蘋果揭露修補3個WebKit零時差漏洞成為最大焦點，除了影響廣泛，並且都已有遭鎖定利用情況。此外，我們在盤點漏洞消息時，新注意到Samsung裝置的漏洞（CVE-2023-21492），並且還有兩個Cisco早年的已知漏洞(CVE-2016-6415、CVE-2004-1464），也都確認遭成功利用情形需優先關注。 其他值得關注的新漏洞修補動向，包括：Cisco、KeePass，以及物聯網與工控相關有Teltonika Networks、Wemo Mini、研華、Rockwell Automation的更新修補釋出。 在威脅態勢與攻擊焦點方面，以勒索軟體新動向受矚目，包括BianLian近期攻擊態勢的揭露，以及MalasLocker鎖定郵件伺服器Zimbra，CheckMate鎖定SMB檔案共用協定的情形，而利用Babuk原始碼打造勒索軟體的狀況，也持續有資安業者揭露相關事件。其他可留意的威脅活動與事件，包括：駭客利用Go語言開發的Cobalt Strike，以及MerDoor的後門程式的揭露，以及中國駭客在TP-Link路由器植入惡意程式並鎖定歐盟外交機關攻擊的情形。 至於國內方面，本週有多起資安事件引發關注，包括計程車派遣服務Yoxi公告遭帳號填充攻擊，誠品外洩個資問題又成焦點，統聯客運客戶接到詐騙電話疑資料外洩而緊急關閉線上訂票，以及財政部電子發票平臺企業帳號竟採共通預設密碼的情形被揭露，另外，還有最新一起事件是微笑單車，他們<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">在19日(週五)公告</a>其官網遭駭客網路攻擊，<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&sms=72544237BBE4C5F6&s=2CA9B84D5AEDB95F">臺北市政府交通局也在同日傍晚七點公告</a>YouBike系統遭攻擊，並指出預估全國約有2.1萬會員交易資料被取得。 <h2><a href="https://www.ithome.com.tw/news/157074">【資安週報】2023年5月22日到5月26日</a></h2> 在這一週的漏洞消息中，以Barracuda揭露修補郵件安全閘道CVE-2023-2868漏洞最受關注，已遭零時差漏洞攻擊，上周提及蘋果修補已遭攻擊的三個零時差漏洞，本週CISA也將之列入已知漏洞利用清單。其他值得關注的漏洞修補消息，包括GitLab重大漏洞修補、應用程式框架Expo的OAuth漏洞修補、D-Link網路管理系統漏洞修補，以及Zyxel防火牆設備在23日遭遇大規模的記憶體緩衝區溢位攻擊，因而呼籲儘速升級韌體的消息。 在全球威脅活動方面，有三起資安業者揭露的攻擊活動受矚目，首要焦點是，中國駭客組織Volt Typhoon鎖定美國關島（Guam）重大基礎設施攻擊的揭露最受關注，微軟並提供防護建議，後續中國外交部則否認，以及伊朗駭客組織TA456針對以色列航運、物流、金融服務領域網站植入惡意JavaScript指令碼的揭露，還有惡意驅動程式Wintapix近兩年鎖定中東多國攻擊的揭露。 在威脅態勢方面，以PyPI暫停接受新用戶與專案最受關注，原因是近期發現大量惡意使用者與惡意專案，已超出管理者處理能量。還有一些威脅狀況可留意，包括：殭屍網路Mirai變種鎖定事件記錄分析系統漏洞、惡意軟體CosmicEnergy鎖定電力供應商工控系統，以及惡意軟體Legion鎖定SSH伺服器與AWS帳密的揭露。 <h2><a href="https://www.ithome.com.tw/news/157179">【資安週報】2023年5月29日到6月2日</a></h2> 在這一周的漏洞消息中，有兩個漏洞利用情形需優先關注，包括Progress旗下MFT檔案共享系統MOVEit Transfer產品的SQL Injection漏洞CVE-2023-34362，已遭零時差漏洞攻擊，以及Zyxel在4月底修補旗下多款防火牆產品的OS Command Injection漏洞CVE-2023-28771，確認已有攻擊者針對此已知漏洞發動攻擊。另一漏洞關注焦點在於，有韌體安全業者警告技嘉主機板軟體更新機制不安全、存有供應鏈攻擊風險，後續我們整理這項消息時，<a href="https://www.gigabyte.com/Press/News/2091">技嘉在6月1日已宣布釋出新版BIOS</a>，增加簽名驗證與權限存取限制的增強保護，並呼籲用戶盡速更新。 在攻擊活動與威脅態勢方面，首要關注兩大焦點，包括商業間諜軟體Predator的攻擊行動，當中串連了Google於2022年5月公開的5個安卓零時差漏洞及利用Alien惡意程式，以及新型間諜軟體鎖定iOS濫用iMessage發動攻擊。其他受關注的攻擊活動，包括：微軟加密附件RPMSG遭濫用於釣魚郵件攻擊，Google開放頂級網域名稱ZIP後有攻擊者將惡意網頁偽冒為WinRAR畫面，以及加殼程式AceCryptor打包惡意軟體威脅態勢的揭露。 其他重要資安消息，包括工控大廠ABB傳出5月上旬即遭勒索軟體Black Basta攻擊並導致營運中斷的事故，以及我國數位部首度針對民間個資保護不力業者做出裁罰，主要是多次限期要求改善個資保護措施卻均未改善的蝦皮與誠品。 <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3> </h3> <h3> </h3> <h3> </h3> </div></div></div>
2023/6/8 10:20作者羅正漢https://www.ithome.com.tw/news/157226
【資安日報】6月7日，Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟的雲端郵件服務Outlook.com傳出從週一（6月5日）發生服務中斷的現象，導致用戶無法收發信而怨聲載道，但為何會出現這樣的情況？微軟並未對服務中斷的原因提出說明，但有駭客組織聲稱，這起事故是他們發起的DDoS攻擊所致。 MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊出現了新的進展，關於攻擊的駭客組織身分，微軟於6月5日曾指出是勒索軟體駭客Clop，隔日資安新聞網站Bleeping Computer收到Clop的說法，該組織表示就是他們所為，並透露這起攻擊的部分細節。 Google針對上週才推出的Chrome 114發布新版程式，當中修補了零時差漏洞CVE-2023-3079，由於以Chromium為基礎打造的瀏覽器都可能受到影響，Edge、Brave、Vivaldi也都提供了修補。 <h3>【攻擊與威脅】</h3> <a href="https://www.ithome.com.tw/news/157216">微軟雲端郵件服務Outlook.com傳出遭DDoS攻擊，導致服務中斷</a> <a href="https://s4.itho.me/sites/default/files/images/outlook-web-down.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/outlook-web-down.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Cybernews、Bleeping Computer的報導，美東時間6月5日上午10時，微軟Outlook.com網站出現服務中斷的現象，估計有1.5萬名用戶受到影響。這樣的情況維持了半個小時後停止，但間隔1個小時後又再度發生，也同樣約莫停擺半個小時。這些服務中斷的情況也得到微軟證實，但該公司並未對發生的原因進行說明。 對於攻擊者的身分，駭客組織Anonymous Sudan聲稱是他們發動的DDoS攻擊所致，原因是為了抗議美國政府干涉蘇丹的內政，決定針對大型的美國企業、政府與基礎設施展開攻擊。 資料來源 1. <a href="https://cybernews.com/security/microsoft-outlook-outage-anonymous-sudan/">https://cybernews.com/security/microsoft-outlook-outage-anonymous-sudan/</a> 2. <a href="https://www.bleepingcomputer.com/news/microsoft/outlookcom-hit-by-outages-as-hacktivists-claim-ddos-attacks/">https://www.bleepingcomputer.com/news/microsoft/outlookcom-hit-by-outages-as-hacktivists-claim-ddos-attacks/</a> <a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-responsibility-for-moveit-extortion-attacks/">勒索軟體駭客Clop宣稱利用MOVEit Transfer零時差漏洞，且有組織表明受害</a> MFT檔案共享系統MOVEit Transfer出現零時差漏洞CVE-2023-34362的攻擊行動，對於攻擊者的身分，微軟點名是曾針對其他MFT系統發動大規模攻擊的勒索軟體駭客組織Clop，該組織本週承認是他們所為。 Clop向資安新聞網站Bleeping Computer透露，他們從5月27日開始，也就是美國陣亡將士紀念日長假的期間，開始發動攻擊（與資安業者Mandiant公開的時間相同），但不願透露入侵此種檔案共享系統伺服器的數量，僅表示他們即將向受害組織進行勒索。比較特別的是，這次駭客強調不向政府機關、軍事單位、兒童醫院索討贖金，他們已將從這些組織竊得的資料刪除。然而，這項說法是否正確，該新聞網站表示無從判斷。 針對這起零時差漏洞攻擊，有組織出面證實受害。英國薪資暨人力資源系統供應商Zellis向新聞網站透露他們的MOVEit Transfer伺服器遭駭，導致出現資料外洩的情況，少部分客戶受到波及，但該公司自行研發的軟體不受影響，其他的IT資產並未遭到入侵。 <a href="https://blogs.vmware.com/security/2023/06/carbon-blacks-truebot-detection.html">惡意軟體TureBot透過稽核軟體Netwrix重大漏洞感染受害電腦</a> 資安業者VMware Carbon Black針對殭屍網路TrueBot的攻擊態勢提出警告，他們在5月看到相關攻擊行動大幅增加的現象，但在這一波攻擊當中，駭客並非如過往透過電子郵件來散布惡意軟體，而是利用稽核軟體Netwrix的漏洞（資安新聞網站指出可能是CVE-2022-31199）來入侵受害電腦，並以提供Chrome瀏覽器更新程式散布惡意軟體。 此惡意軟體執行後會檢查電腦裡的防毒軟體及EDR系統，然後從特定的俄羅斯IP位址下載TrueBot，轉存LSASS資料、外洩資料，以及收集系統資訊與處理程序的清單。 <a href="https://blogs.blackberry.com/en/2023/05/cmdstealer-targets-portugal-peru-and-mexico">巴西駭客發動寄生攻擊，並搭配命令列指令碼竊取銀行帳戶</a> <a href="https://s4.itho.me/sites/default/files/images/cmdstealer-fig-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cmdstealer-fig-2.png" style="width: 300px; float: right;" /></a>資安業者BlackBerry揭露巴西駭客發起的攻擊行動Operation CMDStealer，駭客鎖定使用西班牙語與葡萄牙語的使用者下手，目標是攻擊墨西哥、秘魯、葡萄牙的網路銀行帳戶。 而對於入侵受害的過程，駭客先是假借稅務或交通罰單的名義寄送釣魚郵件，其信件帶有HTML附件，一旦收信人開啟，就會根據收信人所在的國家或地區，自攻擊者的伺服器下載RAR檔案，此壓縮檔內含的CMD批次檔很大，容量介於1.34至1.37 MB，其內容包含了AutoIt指令碼及轉譯器，主要用途就是下載VBScript Encoded（VBE）指令碼，以竊取收信軟體Outlook及瀏覽器的帳密。 在攻擊的過程中，駭客使用寄生攻擊（LOLBaS），並利用多種Windows內建的工具，而能繞過防毒軟體與EDR系統。 <a href="https://securelist.com/satacom-delivers-cryptocurrency-stealing-browser-extension/109807/">惡意軟體下載器Satacom被用於散布竊取加密貨幣的瀏覽器擴充套件</a> 資安業者卡巴斯基揭露惡意軟體下載器Satacom（亦稱Legion Loader）的攻擊行動，駭客鎖定巴西、阿爾及利亞、土耳其、越南、印尼、印度、埃及、墨西哥的加密貨幣投資人，攻擊Coinbase、Bybit、KuCoin、Huobi，以及幣安（Binance）用戶，目標是在受害者電腦的瀏覽器上部署惡意擴充套件，進而盜取比特幣。 而對於駭客散布Satacom的途徑，研究人員指出是假借提供破解軟體為由。但駭客提供破解軟體的「安裝程式」解壓縮後高達450 MB，目的是迴避防毒軟體偵測。 一旦使用者執行上述的可執行檔，電腦就會下載Satacom，而該下載器則會發出DNS請求，從C2下載能在Chromium瀏覽器運作的惡意擴充套件。此外，駭客也會竄改瀏覽器捷徑的命令參數，以便在受害者啟動瀏覽器時就執行惡意擴充套件。 <a href="https://www.uptycs.com/blog/cyclops-ransomware-stealer-combo">勒索軟體Cyclops結合以Go語言打造的竊資軟體功能</a> 資安業者Uptycs揭露名為Cyclops的勒索軟體，提供相關攻擊工具的賣家以服務型式銷售，並從買家發動攻擊得到的贖金抽成獲利。賣家聲稱，此勒索軟體能針對執行Windows、Linux、macOS作業系統的電腦發動攻擊，並提供竊資軟體，讓攻擊者能在加密檔案之前收集特定類型的資料，並回傳到駭客的伺服器，以便進行雙重勒索。研究人員指出，Cyclops的macOS版、Linux版勒索軟體元件，以及能在Windows、Linux電腦運作的竊資軟體，都是使用Go語言開發而成。 <h3>【漏洞與修補】</h3> <a href="https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html">Google針對Chrome 114修補零時差漏洞</a> Google於6月5日發布Chrome 114更新114.0.5735.106（macOS、Linux）、114.0.5735.110（Windows），修補2個漏洞CVE-2023-3079、CVE-2023-2136，其中最值得留意的是V8類型混淆漏洞CVE-2023-3079，原因是此高風險層級漏洞已出現攻擊行動，此為Google今年修補的第3個零時差漏洞。值得留意的是，該漏洞也影響其他以Chromium為基礎開發的瀏覽器，目前Edge、Brave、Vivaldi都提供了修補版本。 <h3>【其他新聞】</h3> <a href="https://www.bitdefender.com/blog/labs/tens-of-thousands-of-compromised-android-apps-found-by-bitdefender-anomaly-detection-technology/">逾6萬個廣告軟體假冒熱門應用程App破解版，鎖定安卓用戶而來</a> <a href="https://adlumin.com/post/powerdrop-a-new-insidious-powershell-script-for-command-and-control-attacks-targets-u-s-aerospace-defense-industry/">PowerShell惡意軟體PowerDrop鎖定美國航空產業而來</a> <a href="https://keepass.info/news/n230603_2.54.html">英國人力資源系統業者Zellis因MOVEit Transfer遭到攻擊，波及BBC、英國航空</a> <a href="https://www.bleepingcomputer.com/news/security/android-security-update-fixes-mali-gpu-flaw-exploited-by-spyware/">Google發布6月份Android例行更新，修補遭間諜軟體利用的Mali GPU漏洞</a> <a href="https://www.bleepingcomputer.com/news/security/atomic-wallet-hacks-lead-to-over-35-million-in-crypto-stolen/">加密貨幣錢包Atomic Wallet遭駭，駭客轉走3,500萬美元加密貨幣</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a> <a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a> <a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a> </div></div></div>
2023/6/7 16:38作者周峻佑https://www.ithome.com.tw/news/157227
微軟推出全新C#開發工具包，強化VS Code解決方案管理與AI開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟針對VS Code的開發者推出新的<a href="https://devblogs.microsoft.com/visualstudio/announcing-csharp-dev-kit-for-visual-studio-code/">C#開發工具包</a>，其更新使用開源語言伺服器協定（LSP），在Linux、macOS和Windows等作業系統上，提供更高效能且可靠的工具環境。C#開發工具包由一組VS Code擴充套件組成，這組擴充套件協同運作，提供完整的C#編輯、人工智慧開發、解決方案管理和整合測試功能。 C#開發工具包有三個主要元件組成，包含提供語言服務支援的C#擴充套件，而C# Dev Kit擴充套件則是以Visual Studio為基礎建置，提供解決方案管理、模板和測試探索與除錯功能，此外，該工具包還含有IntelliCode for C# Dev Kit擴充套件，在編輯器加入經強化的人工智慧開發功能。 微軟提到，C# Dev Kit擴充套件新加入的解決方案資源管理器，基於Visual Studio設計，能夠和VS Code現有工作區搭配使用，可結構化呈現應用程式組成，讓開發者更簡單地集中管理專案，透過模板就能夠快速將新專案或是檔案添加到解決方案中，建置全部或是部分解決方案。 在安裝C#開發工具包時，系統也會自動安裝IntelliCode for C# Dev Kit，微軟表示，新的IntelliCode超越原本C#擴充套件中的IntelliCode，現在人工智慧將依據開發者個人程式碼庫，提供整行程式碼完成以及星形標籤的建議，也會將最可能使用的內容，在C#專案的IntelliSense完成列表置頂。 C#開發工具包支援開發者在各平臺編寫C#程式碼，由於C#開發工具包為VS Code擴充套件，因此可以在Linux、macOS、Windows，或是開發容器中處理C#專案，開發者甚至還能夠在GitHub Codespaces等雲端開發工具用到相同的功能。 原本正在使用VS Code C#擴充套件的開發者，在安裝C#開發工具包後，C#擴充套件會被升級到與工具包相容的最新預發布版本。官方也提醒，因為C# Dev Kit部分功能建立在與Visual Studio的基礎之上，因此使用和Visual Studio相同的授權模型，個人、學術和開源開發用途免費，至於組織則需擁有Visual Studio Professional和Enterprise訂閱，或是在GitHub Codespaces中使用。 </div></div></div>
2023/6/7 13:43作者李建興https://www.ithome.com.tw/news/157220
Google Chrome修補今年第3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html" target="_blank">Google本周稍早釋出Chrome桌機版更新</a>以修補一個，也是今年第3個已遭濫用的重大漏洞。 最新釋出的更新是Linux、Mac版Chrome 114.0.5735.106以及Windows版114.0.5735.110，會在幾天到幾周內部署到用戶端。 這次更新包含2個安全漏洞，包括一個重大風險漏洞CVE-2023-3079的修補程式。Google說已有針對本漏洞的攻擊程式在網上流傳。 CVE-2023-3079是由Google威脅分析小組研究人員Clément Lecigne通報，它是存在V8 JavaScript引擎的型態混淆漏洞。根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-3079" target="_blank">美國國家標準暨技術研究院（NIST）漏洞資料庫</a>，本漏洞可能讓遠端攻擊者藉由引導用戶連向惡意HTML網頁引發記憶體堆積毁損。漏洞風險值不詳，Google僅說明為高風險漏洞。 記憶體堆積毁損小則造成應用程式無法執行，大則造成資訊外洩、阻斷服務（DoS）攻擊，或是執行任意程式碼。 CVE-2023-3079也是Google Chrome今年修補的第3個零時差漏洞。<a href="https://www.ithome.com.tw/news/156426" target="_blank">前二個</a>皆出現於<a href="https://www.ithome.com.tw/news/156486" target="_blank">今年四月</a>，其中的<a href="https://www.ithome.com.tw/news/156486" target="_blank">CVE-2023-2136</a>同為Clément Lecigne通報。 最新漏洞影響所有Chromium-based瀏覽器，包括Chrome、Edge、Brave、Opera和Vivaldi等，用戶應及早更新到最新瀏覽器。微軟也在昨日釋出<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security" target="_blank">Edge更新114.0.1823.37</a>。 </div></div></div>
2023/6/7 09:58作者林妍溱https://www.ithome.com.tw/news/157215
【資安日報】6月6日，MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 針對Accellion FTA、GoAnywhere等MFT檔案共享系統的零時差漏洞攻擊，勒索軟體駭客組織Clop皆有參與，最近另一套MFT系統MOVEit Transfer也傳出面臨網路攻擊，有不少人懷疑也是Clop所為。如今有研究人員印證這樣的推測，並指出漏洞攻擊、竊取資料、勒索手法相當雷同。 殭屍網路病毒的攻擊也相當值得留意。最近研究人員揭露殭屍網路Horabot的行動，目標鎖定電子郵件信箱帳號，不僅竊取信件內容，還會利用這些帳號發送釣魚郵件。 人力資源管理平臺Prosperix因雲端儲存桶配置不當，導致求職者的資料曝光，內容不只包含了駕照、履歷表、工作申請表、畢業證書、成績單等相關資料，甚至還有疫苗接種記錄。 <h3>【攻擊與威脅】</h3> <a href="https://www.bleepingcomputer.com/news/security/microsoft-links-clop-ransomware-gang-to-moveit-data-theft-attacks/">發動MOVEit零時差漏洞攻擊的幕後黑手疑為駭客組織Clop</a> IT系統業者Progress於5月底發布資安通告，MFT檔案共享系統MOVEit Transfer存在零時差漏洞CVE-2023-34362，<a href="https://www.ithome.com.tw/news/157174#moveit">隨後有多家資安業者發現攻擊行動</a>，但攻擊者是誰？ <a href="https://twitter.com/MsftSecIntel/status/1665537730946670595">微軟威脅情報團隊表示</a>，根據他們的調查，很有可能就是勒索軟體駭客組織Clop（亦稱Lace Tempest）所為，理由是該組織也曾利用類似的漏洞來竊取資料，並向受害組織勒索。 而這並非Clop第一次鎖定MFT系統的零時差漏洞發動攻擊，事實上，該組織分別於2020年、今年1月，利用Accellion FTA、GoAnywhere兩套MFT系統的零時差漏洞發動攻擊。 <a href="https://blog.talosintelligence.com/new-horabot-targets-americas/">惡意軟體Horabot挾持Gmail、Outlook電子郵件信箱</a> <a href="https://s4.itho.me/sites/default/files/images/data-src-image-44dcc511-34b5-46ba-96b2-586723fbcdfc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-44dcc511-34b5-46ba-96b2-586723fbcdfc.png" style="width: 300px; float: right;" /></a>思科旗下的Talos威脅情報團隊揭露殭屍網路病毒Horabot的攻擊行動，駭客至少從2020年11月開始，鎖定拉丁美洲使用西班牙語的用戶下手，散布銀行木馬，並以垃圾郵件進行感染。研究人員指出，大部分的受害者位於墨西哥，但烏拉圭、巴西、委內瑞拉、阿根廷、瓜地馬拉、巴拿馬也有人受害。 此殭屍網路病毒的主要功能，就是讓駭客能控制受害電腦的Gmail、Outlook、Hotmail、Yahoo!電子郵件信箱帳號，並竊取信箱裡的資料，並濫用這些帳號發送釣魚郵件。 而對於散布此殭屍網路的途徑，駭客假借發送付款收據的名義寄送釣魚郵件，一旦收信依照指示，就會下載RAR壓縮檔，內含CMD批次檔，若是執行就會下載PowerShell指令碼，進而從C2伺服器取得Horabot。 <a href="https://www.group-ib.com/blog/dark-pink-episode-2/">駭客組織Dark Pink鎖定亞太與歐洲的組織發動攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/modified-killchain-dark-pink-min.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/modified-killchain-dark-pink-min.png" style="width: 300px; float: right;" /></a>資安業者Group-IB於今年1月揭露駭客組織Dark Pink的攻擊行動，當時發現該組織自2021年開始，針對8個亞太地區組織、1個歐洲組織下手（其中一起未得逞）。 但最近研究人員指出，受害範圍可能還會更大，因為，他們後來又確認5起該組織的攻擊行動，其中，有2起是2023年的攻擊行動，最近一次發生在4月，若以檔案蹤跡來看，他們5月曾出沒，這代表駭客的攻擊行動仍然持續進行。其中，這些攻擊大部分針對政府機關、軍事單位而來，但也有教育機構、非營利組織、宗教機構受害；而從發生國家來看，越南組織最多，目前發現4起。 針對其攻擊的手法，駭客先是藉由網路釣魚攻擊散布ISO映像檔，進而在受害組織散布後門程式TelePowerBot、KamiKakaBot，並以DLL側載的方式啟動，於記憶體內執行，而不會在磁碟上留下蹤跡。 <a href="https://cybernews.com/security/prosperix-leaks-drivers-licenses-medical-records/">人力資源管理平臺Prosperix的AWS S3儲存桶配置錯誤，曝露4.2萬個求職者檔案</a> 資安新聞網站Cybernews的研究人員發現，美國人力資源管理系統Prosperix的AWS S3儲存桶配置錯誤，導致約有25萬個檔案曝露，任何人可透過網際網路存取。 上述檔案當中，有4.2萬個檔案含有求職者的個資，包含他們的姓名、生日、資歷、居住地址、電話號碼、電子郵件信箱等，研究人員進一步指出，這些資料大部分是就職所用，文件類型包含了駕照、履歷表、工作申請表、畢業證書、成績單，值得留意的是部分含有疫苗接種、尿液檢測等醫療記錄資料。 Prosperix接獲通報後，很快就修復其儲存桶的配置，但該公司不願進一步提出說明。 <a href="https://www.akamai.com/blog/security-research/new-magecart-hides-behind-legit-domains">Magecart側錄攻擊出現新手法！駭客利用合法網站攻擊目標</a> CDN網路服務與資安業者Akamai揭露一起Magecart信用卡側錄攻擊行動，駭客針對美國、英國、巴西、西班牙、澳大利亞、愛沙尼亞、秘魯等國家的電商網站發動攻擊。 但與過往的Magecart攻擊有所不同的是，駭客並非自行架設C2中繼站，而是將部分電商網站當作C2，用來代管惡意程式碼，並拿來對目標電商網站發動Magecart攻擊。其中亦有部分網站是不只被駭客當作C2，也受到Magecart攻擊。 而對於這些網站被入侵的管道，研究人員表示仍不清楚，但很有可能是利用Magento、WooCommerce、WordPress、Shopify電子商務平臺的漏洞，或是網站上的第三方服務弱點來下手。 <a href="https://www.bleepingcomputer.com/news/security/online-sellers-targeted-by-new-information-stealing-malware-campaign/">駭客針對電商網站賣家下手，散布竊資軟體Vidar</a> 資安新聞網站Bleeping Computer揭露鎖定網路賣家的惡意軟體攻擊，該新聞網站近期收到駭客的釣魚郵件，對方聲稱從收信人經營的購物網站購買價值逾550美元的商品，付款過程中出現錯誤，但他的銀行帳戶已經扣款，要求賣家儘速處理，並提供銀行對帳單的資料「佐證」確有其事。 一旦收信人依照指示點選信裡的URL，就會從冒牌的Google雲端硬碟下載「對帳單」檔案，若是執行，電腦就有可能被植入竊資軟體Vidar。 <a href="https://isc.sans.edu/diary/Your%20Business%20Data%20and%20Machine%20Learning%20at%20Risk%3A%20Attacks%20Against%20Apache%20NiFi/29900">資料流自動化處理系統Apache NiFi遭駭客鎖定，若被滲透恐被用於挖礦</a> 美國系統網路安全研究院SANS Institute旗下的Internet Storm Center（ISC）提出警告，他們在5月19日發現，有人在網際網路大量掃描特定類型的主機，目的是尋找未妥善保護的資料流自動化處理系統Apache NiFi。企圖暗中部署挖礦程式Kinsing。 研究人員發現駭客先是執行Shell指令碼，刪除系統事件記錄的檔案，並停用目標系統的防火牆、終止其他挖礦軟體，最終從遠端伺服器下載Kinsing並執行，並在伺服器上尋找SSH帳密進行橫向移動。值得留意的是，前述的指令碼只會出現在記憶體內，而不會在NiFi系統上留下蹤跡。 <h3>【資安防禦措施】</h3> <a href="https://securelist.com/find-the-triangulation-utility/109867/">針對iOS裝置的間諜軟體攻擊Operation Triangulation，卡巴斯基提供檢測工具</a> 資安業者卡巴斯基近期發現，該公司員工的iPhone手機遭到間諜軟體攻擊行動Operation Triangulation波及，並強調他們並非駭客的主要目標，且攻擊行動仍在持續。對此，該公司現在進一步提供檢測工具triangle_check，使用者可搭配執行Windows、macOS、Linux作業系統的電腦，藉由掃描備份檔案的方式，來確認iOS裝置是否遭到間諜軟體入侵。 <h3>【其他新聞】</h3> <a href="https://blogs.blackberry.com/en/2023/05/cmdstealer-targets-portugal-peru-and-mexico">巴西駭客發動寄生攻擊，並搭配命令列指令碼竊取銀行帳戶</a> <a href="https://blogs.vmware.com/security/2023/06/carbon-blacks-truebot-detection.html">惡意軟體TureBot透過稽核軟體Netwrix重大漏洞感染受害電腦</a> <a href="https://keepass.info/news/n230603_2.54.html">密碼管理器KeePass能從記憶體內竊取主控密碼的漏洞得到修補</a> <a href="https://securityaffairs.com/147073/cyber-crime/globalcaja-confirms-play-ransomware-attack.html">西班牙銀行Globalcaja證實遭到勒索軟體Play攻擊</a> <a href="https://www.ithome.com.tw/news/157183">為防範NTLM Relay攻擊，微軟首度在開發版本Windows要求使用SMB簽章</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a> <a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a> <a href="https://www.ithome.com.tw/news/157153">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</a> </div></div></div>
2023/6/6 18:15作者周峻佑https://www.ithome.com.tw/news/157208
卡巴斯基釋出Triangulation間諜軟體偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.kaspersky.com/about/press-releases/2023_operation-triangulation-kaspersky-releases-utility-for-malware-detection" target="_blank">安全廠商卡巴斯基公布一項偵測工具</a>，協助企業或個人用戶偵測本月稍早揭露的iPhone新間諜軟體。 <a href="https://www.ithome.com.tw/news/157164" target="_blank">本月初卡巴斯基揭露</a>公司員工遭到不知名組織透過iMessage傳送惡意檔案，旨在於手機植入之前未知的間諜軟體。卡巴斯基將這樁攻擊命名為Operation Triangulation。一旦間諜軟體被植入用戶iPhone，即會開始蒐集手機麥克風錄音、iMessage的相片、定位資訊及其他資料送到外部伺服器。 基於蘋果的安全設計，iOS只能以備份型式加以分析。卡巴斯基一開始是以國際特赦組織開發的Mobile Verification Toolkit（MVT）偵測到該間諜軟體，但以MVT檢查iOS備份的過程相當耗時，且需要大量人工搜尋多種入侵指標。為了將這個過程自動化，卡巴斯基進一步釋出工具，名為triangle_check，讓用戶可在電腦如macOS、Windows與Linux下掃瞄iOS備份。它可自動搜尋惡意程式蹤跡，檢查iOS裝置是否遭到感染。 在Windows和Linux上，<a href="https://securelist.com/find-the-triangulation-utility/109867/" target="_blank">triangle_check工具需要二進位程式下載</a>，而在macOS上則可以Python套件安裝。在安裝這些工具前，用戶必須先製作iOS裝置備份。<a href="https://securelist.com/find-the-triangulation-utility/109867/" target="_blank">卡巴斯基並提供了安裝使用指引</a>。 等安裝好開始執行，一旦工具偵測到間諜軟體，會顯示DETECTED訊息，無法判定是否為間諜軟體則顯示SUSPICION。完全沒有偵測到入侵指標時則會顯示「No traces of compromise were identified」。 這隻惡意程式相當狡猾，iPhone被感染時用戶也很難察覺，僅有幾個不太顯著的入侵指標，且還有諸多疑點未明。卡巴斯基鼓勵安全研究人員一起來研究這隻新的間諜軟體。該公司追查到最早感染時間為2019年，但到目前攻擊仍然在進行中，最新感染的iOS版本為15.7版。 </div></div></div>
2023/6/6 13:08作者林妍溱https://www.ithome.com.tw/news/157202
【資安日報】5月30日，木馬程式GobRAT鎖定日本路由器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 針對路由器設備而來的惡意程式攻擊行動，這兩年不斷傳出相關事故。最近日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露木馬程式GobRAT的攻擊行動，並指出該惡意程式具備多達22種通訊的功能，而能運用這些管道向C2通訊，或是進行橫向感染，且難以追溯其行蹤。 行動裝置作業系統漏洞被商業間諜軟體利用的情況，日益嚴重，昨天我們報導間諜軟體Pegasus介入2020年的納戈爾諾卡拉巴赫戰爭，現在對於另一款間諜軟體Predator的行蹤，研究人員也有新的發現──駭客主要針對記者、歐洲政治人物，以及Meta的高階主管下手，並根據目標手機的廠牌來挖掘受害者的資料。 加殼工具（Cryptor）被大肆用於混淆惡意軟體程式碼的情況，也相當值得留意。有資安業者揭露利用加殼程式AceCryptor的攻擊態勢，2年內有24萬個惡意程式以此工具打包，平均每個月就有1萬個惡意程式藉此增加研究人員反組譯的難度。 <h3>【攻擊與威脅】</h3> <a href="https://blogs.jpcert.or.jp/en/2023/05/gobrat.html">日本Linux路由器設備遭到木馬程式GobRAT鎖定</a> <a href="https://s4.itho.me/sites/default/files/images/gobrat-fig1-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gobrat-fig1-800wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露發生於2月的木馬程式GobRAT攻擊行動，駭客鎖定網頁管理介面（WEBUI）能透過網際網路存取、執行Linux作業系統的路由器，疑似利用其漏洞入侵，然後藉由惡意程式載入器Loader Script來執行GobRAT，過程中此載入器會停用目標設備的防火牆，然後產生另外2個指令碼Start Script、Daemon Script，而能讓駭客持續在受害設備執行攻擊行動。 針對GobRAT的功能，研究人員找到22種指令，且大部分與通訊有關，包括重新設定C2的配置與通訊協定，以及使用frpc、socks5等通訊協定等。研究人員公布GobRAT的檢測工具，讓IT人員能檢查企業是否遭到入侵。 <a href="http://blog.talosintelligence.com/mercenary-intellexa-predator/">安卓間諜軟體Predator鎖定媒體、政治人物、Meta高階主管而來</a> <a href="https://s4.itho.me/sites/default/files/images/data-src-image-9689921c-d6e9-4f27-9e8c-b3b9c94cb5f3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-9689921c-d6e9-4f27-9e8c-b3b9c94cb5f3.png" style="width: 300px; float: right;" /></a>思科的威脅情報團隊Talos與加拿大公民實驗室（Citizen Lab）聯手，揭露利用商業間諜軟體Predator的攻擊行動，駭客針對記者、歐洲政治人物，以及Meta的高階主管而來，該間諜軟體串連了Google於2022年5月公開的5個安卓零時差漏洞，並透過名為Alien的惡意程式載入工具執行，繞過SELinux安全防護機制，使得上述間諜軟體竊取資料的行為不會被作業系統察覺。 此外，Alien也會偵測目標手機的廠牌是否為三星、華為、Oppo、小米，並根據這些廠牌的配置來挖掘使用者的資料。值得留意的是，Predator也會利用憑證中毒的手法，藉由TLS加密的網路通訊來進行中間人攻擊。 <a href="https://www.welivesecurity.com/2023/05/25/shedding-light-acecryptor-operation/">加殼工具AceCryptor在2年內被用於逾24萬起惡意軟體攻擊行動</a> 資安業者ESET揭露利用加殼程式AceCryptor打包惡意軟體的攻擊態勢，自2021年至2022年，研究人員總共偵測到24萬個以此工具打包的惡意程式，這些惡意程式家族包含了SmokeLoader、RedLine Stealer、RanumBot、Raccoon Stealer、Stop ransomware等。 由於有許多惡意軟體家族採用AceCryptor進行混淆處理，研究人員推測，提供相關工具的賣家很可能以服務的型式銷售（Cryptor-as–a-Service），並企圖持續維護此加殼程式的程式碼，使其打包的惡意程式完全無法被資安系統察覺（Fully Undetectable，FUD）。 <a href="https://www.bleepingcomputer.com/news/security/qbot-malware-abuses-windows-wordpad-exe-to-infect-devices/">惡意軟體QBot濫用Windows內建的WordPad應用程式側載執行</a> 研究人員ProxyLife揭露惡意程式QBot近期的攻擊行動，駭客疑似透過網路釣魚的手法，引誘使用者從特定URL下載含有惡意程式的ZIP檔案。 一旦使用者執行壓縮檔裡的可執行檔document.exe，攻擊者就能藉由另一個DLL檔案edputil.dll，進行DLL挾持攻擊，然後執行curl.exe下載偽裝成PNG圖檔的DLL檔案，也就是QBot的惡意酬載，並利用rundll32.exe執行，QBot就會於背景運作，竊取受害電腦的電子郵件以便進行下個階段的攻擊，或是部署其他惡意程式。 研究人員指出，前述的document.exe實際上就是Windows內建的WordPad（Write.exe）更名而成，攻擊者的目的，就是想要籍此應用程式掩蓋行蹤。 <a href="https://www.trendmicro.com/en_us/research/23/e/new-info-stealer-bandit-stealer-targets-browsers-wallets.html">竊資軟體Bandit鎖定瀏覽器及加密貨幣錢包而來</a> 資安業者趨勢科技揭露名為Bandit的竊資軟體，此惡意程式是由Go語言開發而成，主要是透過命令列工具Runas來執行，而能在駭客取得具備足夠權限的帳號之下，以非現在登入的使用者帳號執行惡意程式。 一旦執行，此竊資軟體就會針對9種虛擬化環境的特徵進行檢查，確認是否在沙箱環境運作。駭客藉由此竊資軟體盜取受害電腦上的網頁瀏覽器組態，以及加密貨幣錢包的帳密。 研究人員指出，雖然這款竊資軟體針對Windows電腦而來，但他們在當中發現了Linux的檔案路徑，研判駭客可能也打算開發對於這類作業系統的竊資軟體。 <a href="https://www.handelsblatt.com/unternehmen/industrie/tesla-files-was-sie-ueber-die-recherchen-zu-den-geheimen-tesla-files-wissen-muessen/29167070.html">有人向德國媒體洩露特斯拉內部資料，自動駕駛Autopilot的投訴資料因此曝光</a> 有知情人士向德國媒體Handelsbatt公布一批特斯拉的內部資料，期間涵蓋2015年至2022年，總共有2.3萬個檔案，大小約為100 GB，其中最引人注意的部分，就是這家電動車廠最近幾年收到的自動駕駛功能Autopilot相關投訴資料。 就資料組成方式而言，當中的3,900份，是緊急剎車、碰撞警示誤報等車輛自動加速與剎車的問題，以及逾1,000份碰撞報告。此外，這裡還有與3,000起事件有關的表格，內容包含了司機對於特斯拉的駕駛輔助系統提出的安全疑慮。上述的事故大部分發生在美國，但也有歐洲與亞洲的事故。再者，上述資料亦涵括超過10萬名該公司現任及前任員工的個資。 這些資料的外流，傳出荷蘭資料保護監管機關已著手調查。但上述資料究竟從何流出？特斯拉並未發表公開聲明。 <h3>【其他新聞】</h3> <a href="https://securityaffairs.com/146804/data-breach/mcna-data-breach.html">美國醫療保險業者MCNA傳出遭勒索軟體LockBit攻擊，890萬人資料外洩</a> <a href="https://www.ithome.com.tw/news/157106">駭客攻陷Barracuda郵件安全閘道的零時差漏洞</a> <a href="https://www.ithome.com.tw/news/157104">Google Cloud用戶可使用免費ACME API，自動獲取和更新受信任的TLS憑證</a> <a href="https://www.ithome.com.tw/news/157088">PyPI強制所有的套件開發者採用雙因素驗證</a> <a href="https://www.ithome.com.tw/news/157063">應用程式框架Expo出現能劫持帳號的OAuth重大漏洞</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/157087">【5月29日】微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來</a> <a href="https://www.ithome.com.tw/news/157069">【5月26日】模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備</a> <a href="https://www.ithome.com.tw/news/157039">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</a> </div></div></div>
2023/5/30 18:13作者周峻佑https://www.ithome.com.tw/news/157121
Windows XP啟用驗證演算法遭破解，可離線使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟已經在2014年1月13日終止對Windows XP的支援，不過仍然受到用戶的懷念。在多名使用者前仆後繼下成功找出方法，讓XP可在離線環境下啟動。 微軟為了防止用戶使用盜版或不再支援的Windows而設計的啟用驗證方法，歷來不斷有人嘗試突破。<a href="https://tinyapps.org/blog/202304230700_xp_wpa.html" target="_blank">部落格tinyapps報導</a>，2005年首先有人破解了這個啟用驗證的演算法。而在2019年Windows XP正式終止支援走入歷史5年後，<a href="https://www.licenturion.com/xp/fully-licensed-wpa.txt" target="_blank">有人開發了WindowsXPKg的工具</a>在GitHub平臺上公布了可產生Windows產品驗證金鑰以啟動XP。 不過這個方法仍仰賴外部伺服器回傳驗證ID，還是有點麻煩。去年<a href="https://old.reddit.com/r/windowsxp/comments/wwjy5j/windows_xp_web_activation_is_finally_dead/" target="_blank">一名Reddit用戶retroreviewyt</a>發現，一名不知名的高手透過逆向工程，將產品啟動演算法打包成方便、名為xp_activate32.exe的程式，它能計算安裝ID並產生相應的認證ID可在離線的機器上啟動XP。更好的是，移除XP再重新安裝，也能以同樣的安裝ID和認證ID重覆啟動及安裝完成。<a href="https://github.com/TheMCHK/WindowsXPKg" target="_blank">用戶Neo-Desktop</a>則將WindowsXPKg改寫成能在Linux上執行，<a href="https://github.com/TheMCHK/WindowsXPKg/issues/3#issuecomment-1563551188" target="_blank">同時也試圖拆解</a>xp_activate32.exe。 這些新工具在微軟關閉XP啟動伺服器後，可造福仍想要執行XP的用戶。雖然微軟一直以安全為由，要用戶不要再使用XP，但這些用戶也有充份的理由：他們是在離線、受保護的環境下使用，只為了使用無法在更新Windows版本上執行的應用程式。 合法管道上，其實用戶還是可透過電話啟動服務來啟動Windows XP。不過，一如微軟和媒體呼籲，由於官方已經不再提供安全更新，在連網環境下最好還是不要再使用XP。 </div></div></div>
2023/5/30 12:19作者林妍溱https://www.ithome.com.tw/news/157105