<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">針對臺灣廠商的供應鏈攻擊事故，4年前<a href="https://www.ithome.com.tw/news/129597">華碩更新伺服器遭駭的事故引起高度關注</a>，而最近，又有其他軟體供應商遭遇類似攻擊，駭客利用其更新基礎設施，散布惡意程式。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊披露自10月底針對臺灣多媒體應用程式開發商訊連科技而來的攻擊行動，駭客竄改該公司的軟體安裝檔案，並上傳到訊連的更新伺服器，至於攻擊者的目的，仍有待進一步釐清。</span></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p>
<h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣多媒體軟體業者訊連科技遭北韓駭客Lazarus發動供應鏈攻擊</span></strong></a></p>
<!-- notionvc: 272c0962-2bd6-4e52-87e2-673060ecc0a6 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊揭露北韓駭客組織Lazarus旗下團體Zinc（亦稱Diamond Sleet）發起的供應鏈攻擊，這些駭客約從10月20日開始，竄改臺灣多媒體應用程式開發商訊連科技（CyberLink）應用程式安裝檔案，植入惡意功能，一旦執行將會於受害電腦下載、解密、載入攻擊第2階段的惡意程式碼。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，駭客的檔案不僅透過訊連的憑證簽章，且代管於該公司所有的軟體更新基礎設施上。再者，這個惡意程式也藉由檢查執行的時間間隔限制的機制，來迴避防毒軟體偵測。而對於受害情況，至少有100臺裝置受害，這些電腦遍布臺灣、日本、加拿大、美國等多個國家。但究竟這些駭客的目的是什麼？研究人員表示仍有待確認，但這些駭客曾入侵軟體開發環境、竊取機密資料，或是向供應鏈下游移動，攻擊更多組織，他們不排除有這些可能。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員將此惡意安裝檔稱為LambLoad，並指出駭客迴避部署FireEye、CrowdStrike、Tanium端點防護系統的電腦，並企圖於受害電腦下載偽裝成PNG圖檔的第2階段惡意酬載，從而在記憶體內解密並執行另一個可執行檔，嘗試從C2接收駭客的命令。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/malware-dev-says-they-can-revive-expired-google-auth-cookies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號</span></strong></a></p>
<!-- notionvc: 5c867523-bfad-4f81-84f4-0d8878f3c055 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/lumma-cookies.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lumma-cookies.png" style="width: 300px; float: right;" /></a>資安業者Hudson Rock指出，他們看到打造竊資軟體Lumma（亦稱LummaC2）的開發人員標榜，能從受害電腦竊取與Google服務有關的cookie之後，進一步濫用的方法，並強調使用者就算更換密碼，這類cookie仍然有效，不會過期或是遭到撤銷。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Bleeping Computer指出，該惡意軟體的經營者在11月14日提供新功能，讓買家能透過金鑰復原已經失效的cookie，但這項功能僅限於針對Google帳號，且由於該金鑰只能使用2次，買家僅有一次復原cookie的機會，假若賣家標榜的功能確實具備相關功能，這足以對企業組織造成嚴重的威脅。這項特殊的新功能，經營者只有提供給每個月付費1千美元的Corporate plan用戶使用。值得留意的是，上述的功能，並未得到研究人員或是Google的驗證。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但這種挾持受害者Google帳號的能力，似乎還有其他駭客掌握相關技術。事隔3天，另一名研究人員g0njxa發現，經營竊資軟體Rhadamanthys的駭客也宣稱提供類似的功能，Bleeping Computer取得Lumma開發者的說法，很可能是競爭對手從他們的竊資軟體複製而得。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/">https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/</a><br />
2. <a href="https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/">https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/</a><br />
3. <a href="https://twitter.com/g0njxa/status/1725486960750284847">https://twitter.com/g0njxa/status/1725486960750284847</a></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過筆電Windows Hello指紋驗證機制的手法，多個廠牌的電腦曝險</span></strong></a></p>
<!-- notionvc: 6a54d868-f418-48e6-821a-c3a01f9b13c5 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">採用生物辨識技術來強化身分安全，如今相當常見，然而一旦遭到破解，就有可能讓攻擊者繞過這類身分驗證機制。威脅情報業者Blackwing Intelligence揭露在Windows筆電上發現的指紋辨識器弱點，從而繞過Windows Hello的身分驗證機制。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員在今年10月下旬微軟舉辦的資安會議BlueHat上，首度展示成果，並利用微軟Surface Pro X、聯想ThinkPad T14、Dell Inspiron 15進行驗證。這些筆電搭配的指紋感應器，由ELAN、Synaptics、Goodix製造，都具備晶片上辨識（Match on Chip，MOC）感應器，以提供較為嚴謹的指紋比對流程，微軟也開發了安全設備連線協定（SDCP），防範指紋辨識器與筆電之間的中間人攻擊（MitM）。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但研究人員透過逆向工程，發現感測器實作的缺陷，從而突破上述的防護機制，他們利用自製的Raspberry Pi 4裝置進行中間人攻擊，從而成功達到目的。</p>
<p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/gjvu-l6vKFE?si=rweGEkWxw1M02ldn" title="YouTube video player" width="560"></iframe></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://cofense.com/blog/are-darkgate-and-pikabot-the-new-qakbot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate及PikaBot透過網釣攻擊散布，攻擊者很可能是曾經利用QBot的駭客</span></strong></a></p>
<!-- notionvc: 634402c4-75aa-494c-afd0-cc226f26a919 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/QBot-Figure-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QBot-Figure-3.png" style="width: 300px; float: right;" /></a>8月惡意軟體QBot遭到歐美多個執法單位圍勦，清除70萬臺電腦上的惡意程式，沒收860萬美元加密貨幣，但這些駭客近期有東山再起的跡象。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">電子郵件安全業者Cofense指出，他們分析了近期的惡意軟體DarkGate和PikaBot攻擊行動，發現攻擊者所發起的網路釣魚攻擊策略，與使用QBot的駭客相同，這些共通點包含了使用電子郵件回覆串來進行初期感染、具備獨有特徵的URL限制使用者存取，以及傳送惡意軟體到受害電腦的方式也幾乎雷同。研究人員推測，這一波惡意軟體的攻擊者身分，就是原本使用QBot的駭客。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">究竟駭客如何掌握特定的電子郵件，以便用於攻擊？研究人員推測，很有可能是透過ProxyLogon漏洞（CVE-2021-26855，CVSS風險評分9.8）入侵Exchange伺服器來達成目的。值得留意的是，駭客於受害電腦部署惡意軟體的手法，大部分是利用JavaScript Dropper，但也有透過Excel-DNA Loader，以及VBS或LNK下載工具的情況。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.gdatasoftware.com/blog/2023/11/37822-agent-tesla-zpaq"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Agent Tesla透過ZPAQ壓縮檔散布</span></strong></a></p>
<!-- notionvc: 70d69fac-58e8-4237-8cef-4149f6ad75a6 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">防毒業者G Data揭露最新一波的竊資軟體Agent Tesla攻擊行動，其特殊之處在於駭客利用ZPAQ格式的壓縮檔來散布惡意軟體。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在其中一起攻擊行動裡，駭客寄送帶有Purchase Order pdf.zpaq附件的釣魚郵件，研究人員使用命令列進行解壓縮，結果這個僅有6 KB的壓縮檔，竟解出1 GB的大型檔案，原因很可能是駭客想要突破防毒軟體掃描檔案的大小上限。一旦電腦感染該竊資軟體，此惡意程式就會與架設於Telegram的C2進行連線，然後進行竊取機密資料的工作。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，支援這種格式的壓縮軟體並不多，但為何駭客要採用？研究人員認為，很有可能是因為相較於常見的ZIP、RAR格式，ZPAQ檔案更小，且有可能被防毒軟體放行。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/11/atomic-stealer-distributed-to-mac-users-via-fake-browser-updates"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動ClearFake鎖定Mac電腦用戶，散布竊資軟體Atomic Stealer</span></strong></a></p>
<!-- notionvc: ecc52ba2-6d8d-49dd-8520-c2e83d3fc608 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/safari.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/safari.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露新一波的惡意軟體攻擊行動ClearFake，駭客先是入侵WordPress網站，假借瀏覽器更新的名義來散布惡意程式。這起攻擊行動大約從8月出現，當時針對Windows使用者而來，但11月17日研究人員Ankit Anubhav提出警告，駭客的攻擊範圍如今也擴及Mac電腦的用戶，散布竊資軟體Atomic Stealer。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該資安業者進一步調查指出，對方製作冒牌的蘋果、Google網站，聲稱提供Safari 17.1更新檔案，或是要求使用者更新Chrome才能存取網站的內容，一旦使用者依照指示操作，電腦就有可能被植入竊資軟體。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=201402&SPOKE_DATE=20231120&COMPANY_ID=1314"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中石化遭受網路攻擊事件</span></strong></a></p>
<!-- notionvc: 75a463d6-42b7-4c44-8ad9-de8151e7bf59 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月20日中國石油化學工業開發（中石化）於股市公開觀測站發布重大訊息，表示該公司遭遇網路攻擊，資安團隊察覺異狀即啟動相關防禦機制，並委請外部資安業者、技術專家共同處理，通報相關執法機關。而對於營運是否造成衝擊，該公司初步評估尚無重大影響。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p>
<h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安防禦措施】</strong></h3>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://docs.fcc.gov/public/attachments/DOC-398483A1.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範SIM卡挾持攻擊，美國FCC對電信業者祭出新規定</span></strong></a></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為了防範民眾遭遇SIM卡挾持（SIM Swapping）攻擊，11月15日美國聯邦通訊委員會（FCC）針對電信業者祭出新的規定，當中提及客戶專屬的網路資訊（Customer Proprietary Network Information，CPNI）、市話可攜（ Local Number Portability，LNP）的部分，要求電信業者將客戶的電話號碼移轉至新裝置或是新的電信業者，必須採用嚴謹的方式來驗證客戶身分，例如。立即通知用戶，並採取額外的防護措施，來防堵這類攻擊行動。</p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p>
<h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.fortinet.com/blog/threat-research/konni-campaign-distributed-via-malicious-document"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Konni RAT利用Word文件感染Windows電腦，竊取電腦資料</span></span></strong></a></p>
<!-- notionvc: 83ae929f-63a9-4783-96d8-21c5d73b3884 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種利用零時差漏洞感染路由器、視訊監控裝置</span></span></strong></a></p>
<!-- notionvc: 5029f5ff-3b9d-45dd-9a33-2af03445ee84 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/154598/hacktivism/siegedsec-hacked-idaho-national-laboratory.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國愛達荷實驗室傳出遭到駭客組織SiegedSec入侵</span></span></strong></a></p>
<!-- notionvc: f5c3645e-06f5-44a8-a548-993366030802 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.theregister.com/2023/11/20/moveit_victim_77m_medical/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MOVEit Transfer零時差漏洞受影響人數突破7700萬</span></span></strong></a></p>
<!-- notionvc: b0548b19-0d95-463a-892d-92f009381835 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cisa.gov/sites/default/files/2023-11/HPH-Sector-Mitigation-Guide-TLP-CLEAR_508c.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA發布醫療保健產業的網路安全指南</span></span></strong></a></p>
<!-- notionvc: aef11ef3-4a41-4c49-8cba-a33f704cb676 --><p></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p>
<h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159948"><strong>【11月22日】 勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</strong></a></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】 中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p>
<p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】 駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p>
</div></div></div>
