iThome

【資安日報】11月10日，甫揭露的OpenSSH漏洞SSHole出現嘗試利用活動

上週OpenSSH開發團隊修補身分驗證繞過漏洞SSHole（CVE-2026-123158）引起資安界關注，資安公司Previdian警告，他們在相關資安公告發布不到一天的時間內，便偵測到嘗試利用的活動

• #AI
• #資安
• #政府

CISA警告SSHole等4個資安漏洞已遭積極利用

美國網路安全與基礎設施安全局（CISA）更新已遭利用漏洞名單（KEV）內容，一口氣列入4個新的資安漏洞，影響GPUStack、FreeSWITCH、OpenSSH，以及IBM Aspera Faspex

• #AI
• #資安
• #Software
• #Dev
• #政策法遵

甫揭露的OpenSSH漏洞SSHole出現嘗試利用活動

上週OpenSSH開發團隊修補身分驗證繞過漏洞SSHole（CVE-2026-123158）引起資安界關注，資安公司Previdian警告，他們在相關資安公告發布不到一天的時間內，偵測到嘗試利用的活動

• #資安

【資安日報】11月6日，OpenSSH修補長密碼身分驗證繞過漏洞

OpenSSH緊急修補身分驗證繞過漏洞SSHole（CVE-2026-123158）而成為資安界焦點，特別的是，該弱點竟源自OpenSSH、musl、Alpine Linux等專案導入的防護機制

• #資安

OpenSSH發布緊急更新，修補可利用長密碼繞過身分驗證的資安漏洞SSHole

資安研究公司Wakefield揭露OpenSSH存在長達10年的密碼驗證繞過漏洞SSHole（CVE-2026-123158），影響採用musl C函式庫、未啟用PAM的Linux系統。攻擊者只要輸入257至1,024個字元的任意密碼，就可能登入原本未設定密碼的帳號，甚至能在部分Alpine Linux雲端環境取得root權限

• #AI
• #資安
• #Cloud
• #Software
• #Dev

OpenSSH 10.6調整壓縮機制防側通道攻擊，並啟用混合式後量子簽章

OpenSSH 10.6針對SSH壓縮共用狀態可能洩露資訊的問題，停用LZ77字典編碼，並把先前實驗性的混合式後量子簽章納入預設支援，同時加入後量子安全警示

• #資安
• #Dev

勒索軟體Gunra鎖定全球政府與關鍵基礎設施攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國聯邦調查局（FBI）、網路安全與基礎設施安全局（CISA）等多個聯邦機構，與韓國國家警察廳（KNPA）<strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-222a">發布聯合公告</a></strong>，勒索軟體Gunra以租用服務（RaaS）的型式營運，由附屬組織攻擊政府機關、關鍵基礎設施，以及其他的企業組織，對此他們呼籲，企業組織應優先修補VPN與遠端桌面連線（RDP）系統等網路設備的已知漏洞、實作網段分割，並導入及測試離線備份措施。</p> <p>針對這些駭客入侵受害組織的管道，FBI指出主要是利用Fortinet網路設備已知漏洞CVE-2024-55591、CVE-2025-24472來達到目的，但KNPA也看到駭客利用暴露的憑與SSH存取控制弱點，透過網際網路存取VPN閘道的情形。Gunra通常會濫用程式庫Impacket與SMB協定進行橫向移動，在其中一個受害組織裡，Gunra利用預設憑證存取SSL VPN設備的管理員帳號，並從外部伺服器下載OpenSSH，從被入侵的系統建立存取受害組織環境的管道。而上述攻擊能夠成功，在於駭客事先取得網路管理員使用的工作站電腦存取權限，從而存取SSL VPN設備的管理介面。</p> <p>另一方面，Gunra也會竊取連線資訊（Session），藉此得到虛擬桌面基礎設施（VDI）的初期存取權限，並透過RDP橫向移動，轉向VDI身分驗證伺服器、AD伺服器，以及IT人員使用的虛擬桌面環境。</p> </div></div></div>

【資安週報】0706~0709，漏洞從揭露到被利用的平均時間已驟降至兩小時

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>漏洞攻防態勢面臨結構性轉折，資安界頻頻引用「Zero Day Clock」網站最新數據，反映漏洞揭露到被利用的時間縮短至僅2小時，而近期Citrix、Adobe的漏洞，在揭露24小時、甚至2小時內，便被資安業者觀察到出現利用的攻擊活動，亦證實上述攻擊態勢。</p> <p>另有FatFs漏洞、中國騰達路由器後門的消息亦值得特別留意，皆存在研究人員或機構通報未得到回應，導致無修補程式可用的情形，突顯物聯網設備資安風險在快攻態勢下更形嚴峻。</p> <p>此外，數發部公布「人工智慧風險分類框架」，以及資安署聚焦臺灣「軟體業」啟動產品漏洞獵捕活動，亦呈現臺灣在AI風險管理與產品資安強化的重要進展。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>物聯網設備安全議題受關注，FatFs基礎元件弱點與中國騰達路由器隱藏後門的新聞成焦點，維護者與原廠沒有提供修補程式的狀況，反映出物聯網設備所面臨的挑戰日益嚴峻，用戶需警覺老舊產品生命週期中可能存在的資安缺口。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177089">小型嵌入式裝置檔案系統元件FatFs存在7個弱點，恐影響大量隨身碟與SD記憶卡，以及配備這些儲存裝置的各種物聯網設備</a></strong></p> <p><a href="/sites/default/files/images/2026-07-09_121510.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_121510.jpg" style="width: 400px; float: right;" /></a></p> <p>以網路曝險管理見長的資安廠商runZero，7月初揭露FatFs R0.16與更早的版本存在7個資安漏洞，廣泛影響許多設備，涵蓋消費型物聯網設備、工業控制器、無人機、加密錢包等產品。runZero警告，一旦能對存在漏洞的設備進行實體存取，都會導致系統遭到突破或越獄，尤其是缺乏記憶體位址空間隨機處理（ASLR）與記憶體保護的情況。</p> <p><strong><a href="https://www.ithome.com.tw/news/177098">Google與FBI打擊NetNut常駐代理網路，涉及至少200萬臺家用連網裝置</a></strong></p> <p>Google與FBI聯手打擊大型常駐代理網路NetNut，指出其涉及至少200萬臺智慧電視、串流盒等家用連網裝置，可能被用來轉送攻擊流量、隱藏來源IP位址，並與Popa、Badbox 2.0等殭屍網路活動有關。</p> <p><strong><a href="https://www.ithome.com.tw/news/177173">騰達路由器韌體存在隱藏後門，可繞過驗證取得管理員權限</a></strong></p> <p>美國CERT/CC揭露中國網通設備廠商騰達（Tenda）多款路由器韌體存在隱藏後門漏洞CVE-2026-11405，攻擊者可繞過正常身分驗證流程，直接取得網頁管理介面的管理員權限。其產品亦於臺灣電商上架，但目前受影響設備尚無修補程式，CERT/CC指出騰達未在任何文件或管理介面提及這項替代密碼機制，建議停用遠端網頁管理功能，以降低設備遭入侵的風險。<br />  </p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color:#696969;"><strong>漏洞從揭露到被利用的時間大幅縮短，成為2026年資安維運的重點議題。Zero Day Clock網站顯示，去年平均尚有21.5天應變時間，今年已縮短至不到1星期甚至不到1天，近期數據更是僅有2小時。此一趨勢顯示，維運團隊勢必得導入自動化機制，方能有效應對當前的威脅挑戰。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177079">Zero Day Clock網站示警：漏洞揭露到被利用的時間已縮短至2小時</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bzero_day_clock_2026_07_03.jpg?itok=_Ojb3Agk"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bzero_day_clock_2026_07_03.jpg?itok=_Ojb3Agk" style="width: 400px; float: right;" /></a></p> <p>漏洞從公開到被利用的時間（Time-to-Exploit），已從過去的數月、數日，縮短至如今以小時計算。近期不少專家紛紛引用名為「Zero Day Clock」的網站圖表，均是為了突顯2026年的嚴峻挑戰在於：防禦方的反應時間已被壓縮至新低點。</p> <p><strong><a href="https://www.ithome.com.tw/news/177066">逾400臺SimpleHelp伺服器曝露於滿分重大漏洞風險</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48558】</span></strong></p> <p>遠端管理工具平臺SimpleHelp在5月修補CVSS評為10分的漏洞CVE-2026-48558，迄今仍有不少SimpleHelp伺服器尚未更新而曝險。7月2日Shadowserver基金會警告，截至7月1日為止，網際網路上仍有439個SimpleHelp執行個體尚未修補而曝險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177029">為因應AI加速漏洞的發現，Adobe每月將發布兩次例行更新</a></strong></p> <p>由於頂尖AI模型與AI代理分析工具現在能以遠超傳統方法的速度，在大型程式碼庫找出安全缺陷，Adobe決定將例行更新的發布頻率從每月一次變為兩次，自7月14日起，將會在每月的第二及第四個星期二發布例行更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177054">AI加速軟體交付，僅有兩成雲原生組織每次發布變更都執行安全驗證</a></strong></p> <p>應用程式安全平臺業者Aikido Security發布《State of AI in Pentesting 2026》報告，指出AI輔助開發正在加快企業軟體變更與發布速度，但以固定週期執行的滲透測試，往往無法反映生產環境最新風險；等報告出爐時，結果多半已過時。</p> <p><strong><a href="https://www.ithome.com.tw/news/177131">Akira勒索軟體攻擊者以SEO Poisoning手法，誘導IT管理員下載惡意安裝程式</a></strong></p> <p>資安事件分析團隊The DFIR Report指出，一起涉及Akira勒索軟體的攻擊案例顯示，駭客透過針對Bing的搜尋引擎最佳化中毒（SEO Poisoning）手法，假冒企業IT維運工具下載頁，鎖定正在搜尋相關工具的IT管理人員，藉此接觸可能具備高權限的企業帳號。</p> <p><strong><a href="https://www.ithome.com.tw/news/177145">駭客鎖定歐亞飯店展開網釣攻擊，濫用Calendly與Google轉址植入TonRAT後門</a></strong></p> <p>飯店與旅宿業注意！有攻擊者發動網釣攻擊，假借客人投訴等名義，並濫用知名預約平臺Calendly的郵件通知系統及Google的網址轉址功能，引誘飯店從業人員下載偽裝成照片檔案的惡意壓縮檔。微軟指出，攻擊者的目標是在受害者電腦中植入TonRAT後門程式，建立長期的遠端控制權限。</p> <p><strong><a href="https://www.ithome.com.tw/news/177135">Java遠端存取木馬QuimaRAT現身，以MaaS模式販售並鎖定Windows、Linux與macOS</a></strong></p> <p>資安業者LevelBlue近日揭露新型Java遠端存取木馬（RAT）QuimaRAT，以惡意程式即服務（MaaS）模式在暗網論壇販售，顯示跨平臺RAT正朝模組化、商業化方向發展。QuimaRAT具備遠端命令執行、檔案傳輸、憑證資料竊取、剪貼簿操作、遠端酬載投遞、外掛模組載入，以及攝影機監控等能力；Windows版本另具備無檔案Shellcode執行能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/177165">ClickFix成2026年3月至5月主要惡意程式投遞手法，首度擴及macOS平臺</a></strong></p> <p>資安業者ReliaQuest於6月30日發布威脅情勢報告指出，ClickFix已成為2026年3月至5月期間主要的惡意程式投遞手法。值得注意的是，ReliaQuest首次觀察到ClickFix攻擊手法延伸至macOS環境。因應這類攻擊，研究人員建議資安團隊從端點遙測資料與系統事件記錄著手，偵測異常跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/177080">駭客冒充國際刑警組織寄送釣魚郵件，鎖定中小企業散布勒索軟體</a></strong></p> <p>資安業者Bitdefender揭露一起冒用國際刑警組織的釣魚攻擊行動，駭客鎖定中小企業寄送偽造郵件，誘騙收件者透過Proton Drive下載並執行惡意檔案，進而部署勒索軟體並加密系統資料。研究人員指出，攻擊主要針對多地區多產業企業，惡意程式結構雖不複雜，但透過社交工程提高成功率，並要求受害者使用匿名通訊平臺Tox聯繫以進一步勒索。</p> <p><strong><a href="https://www.ithome.com.tw/news/177038">駭客冒充Booking.com攻擊日本旅館業者，利用區塊鏈技術隱匿身分</a></strong></p> <p>趨勢科技本週說明今年5月發現駭客鎖定日本飯店與旅宿業者，假冒Booking.com發送客訴通知信，誘騙員工開啟惡意檔案，目的是在受害電腦植入TONResolver，由於攻擊者採用區塊鏈平臺The Open Network（TON）建立C2通訊，並當作Dead-drop解析器，能隨時更換後端伺服器位址，大幅提高防禦與查緝難度。</p> <p><strong><a href="https://www.ithome.com.tw/news/177101">駭客團體Armored Likho鎖定政府機關、能源產業，散布竊資軟體BusySnake Stealer</a></strong></p> <p>駭客組織Armored Likho攻擊俄羅斯、巴西與哈薩克的政府機構與電力部門組織，利用竊資軟體BusySnake Stealer竊取帳密與Cookie，並在電腦建立反向SSH隧道進行通訊。攻擊者假借心理測驗或人道援助等幌子寄送郵件，引誘點選附件執行檔或LNK檔，若上鉤就會在電腦注入惡意程式，從特定GitHub儲存庫拉取其他作案工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/177094">開源遠端桌面工具UltraVNC修補重大漏洞，未更新可能導致遠端執行程式碼攻擊</a></strong></p> <p>UltraVNC近日發布1.8.2.4版，修補Repeater元件兩項重大漏洞CVE-2026-7839與CVE-2026-7840，可能導致攻擊者可在未經身分驗證情況下取得管理權限或遠端執行程式碼。由於Repeater元件常部署於企業網路邊界，一旦遭利用可能成為入侵內部遠端管理環境的跳板，用戶應儘速更新至已修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/177037">Oracle E-Business Suite揭露最新重大漏洞，全球逾900臺執行個體曝險</a></strong></p> <p>甲骨文已於今年5月修補的Oracle商務套裝軟體EBS漏洞CVE-2026-46817，但根據網路安全監控組織Shadowserver基金會觀察，曝露於網際網路的Oracle EBS執行個體還有950臺，北美占超過半數，亞洲超過200臺，臺灣有2臺，但不確定這些機器是否已安裝更新。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177169">調查商業間諜軟體濫用，歐洲議會PEGA委員會成員反遭Pegasus入侵</a></strong></p> <p><strong>●</strong><strong><a href="https://www.ithome.com.tw/news/177031">Splunk Secure Gateway高風險漏洞可讓低權限使用者遠端執行程式碼</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177069">竊資軟體StealC的控制面板存在弱點，資安公司以此協助執法單位查扣伺服器</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177078">惡意程式SocGholish於3年內入侵逾144萬個WordPress網站</a></strong><br />  </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近幾個月來，持續有不同研究人員發現Linux核心的本機權限提升漏洞，最新是Bad Epoll（CVE-2026-46242）的技術細節揭露，此外，Linux KVM組件與開源防毒軟體ClamAV亦修補潛伏數十年的重大漏洞，顯示基礎架構的陳年隱患仍威脅著端點安全。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177088">Linux核心又被發現新的本機權限提升漏洞Bad Epoll，Android也受到影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/bad_epoll-main.png?itok=1O2hmKi_"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/bad_epoll-main.png?itok=1O2hmKi_" style="width: 400px; float: right;" /></a></p> <p>Linux核心epoll子系統存在本機權限漏洞Bad Epoll，編號為CVE-2026-46242，屬7.8分高風險漏洞，多個桌面系統、伺服器與Android均受影響。發現與通報Bad Epoll的人，是韓國首爾大學電腦安全實驗室資安研究員Jaeyoung Chung，修補漏洞的方式已於4月底併入Linux核心主線。</p> <p><strong><a href="https://www.ithome.com.tw/news/177139">研究人員揭露Linux KVM潛藏16年漏洞，恐導致虛擬機跳脫隔離存取底層主機系統</a></strong></p> <p>研究人員揭露Linux KVM潛藏約16年的重大漏洞CVE-2026-53359，源自x86 KVM的Shadow MMU程式缺陷，屬於記憶體安全問題。攻擊者可透過虛擬機內操作破壞KVM記憶體分頁資料結構，造成虛擬機逃逸風險。目前公開PoC已可導致實體主機核心當機，研究人員並指出存在進一步取得主機核心root層級控制能力的利用方式。Linux Kernel已發布修補版本，用戶應儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177096">思科修補開源防毒軟體ClamAV長達20年的資安漏洞</a></strong></p> <p>思科的開源防毒軟體ClamAV產品線，源自2007年Sourcefire併購ClamAV；思科則於2013年併購Sourcefire後取得該產品線，7月1日思科發布ClamAV更新版（1.5.3與1.4.5版），總共修補7項高風險資安漏洞，最受關注的是，多數漏洞早在約20年前即已引入，影響眾多舊版用戶。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177026">美國CISA更新已列入KEV的CVE-2026-33825（BlueHammer），指出被用於勒索軟體攻擊</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177024">研究揭露AirDrop與Quick Share安全漏洞，允許駭客癱瘓分享功能</a></strong><br />  </p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color:#696969;"><strong>網路邊界設備漏洞攻擊備受關注，近期傳出鎖定Citrix設備與Progress Kemp負載平衡器已知漏洞的攻擊活動。此外，FortiBleed憑證竊取活動的後續威脅不容忽視，近期已發現勒索軟體INC Ransom與Lynx濫用相關憑證攻擊企業組織。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177067">類CitrixBleed的新漏洞揭露不到24小時已出現濫用活動</a><span style="color: rgb(255, 0, 0);">【CVE-2026-8451】</span></strong></p> <p><a href="/sites/default/files/images/2026-07-09_120916.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_120916.jpg" style="width: 400px; float: right;" /></a></p> <p>Citrix於6月30日發布資安公告修補6項漏洞，其中的CVE-2026-8451，與2023年曾遭攻擊者大規模濫用的CitrixBleed漏洞（CVE-2023-4966）同屬敏感資料外洩問題，最受矚目。更引發重視的是，資安業者Lupovis在CVE-2026-8451漏洞揭露不到24小時內，即偵測完整的濫用程式，並於7月2日警告此事。</p> <p><strong><a href="https://www.ithome.com.tw/news/177042">資安業者警示負載平衡器Kemp LoadMaster重大漏洞遭實際利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-8037】</span></strong></p> <p>資安業者eSentire指出，Progress旗下Kemp LoadMaster負載平衡器重大漏洞CVE-2026-8037，已出現實際攻擊利用情況。該漏洞為CVSS 9.8分的未經身分驗證遠端程式碼執行問題，可能導致攻擊者執行任意系統指令。Progress已於6月初發布修補版本，用戶應儘速更新，以降低遭入侵與橫向移動風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177070">思科警告Unified CM的SSRF漏洞遭到利用，用戶應儘速修補</a></strong></p> <p>在上期週報中，威脅情報公司Defused Cyber發現有攻擊者嘗試利用思科Unified CM的漏洞CVE-2026-20230，美國CISA也將之列入KEV。後續，思科於7月1日更新6月初發布的資安公告，確認企業通訊管理平臺Unified CM及Unified CM SME重大漏洞CVE-2026-20230，已被積極利用，建議用戶將系統升級至已修補版本，或採取臨時性緩解措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/177035">FortiBleed憑證竊取活動被用於助長勒索軟體INC Ransom與Lynx攻擊</a></strong></p> <p>大規模憑證外洩事故FortiBleed引起全球高度關注，根據威脅情資公司SOCRadar調查，有12起事故演變成勒索軟體活動，受害組織裡數百臺端點電腦遭到加密。而且，其中一名涉及FortiBleed活動的人員，並積極登入INC Ransom與Lynx勒索軟體的談判介面，與受害組織討論贖金金額與付款方式。</p> <p><strong><a href="https://www.ithome.com.tw/news/177172">駭客團體UAT-7810打造新的惡意軟體架設ORB網路</a></strong></p> <p>ORB網路LapDogs因鎖定臺灣關鍵基礎設施而備受關注，本週思科揭露LapDogs由UAT-7810經營，並透過多個已知漏洞入侵Ruckus無線路由器建立據點，也持續開發惡意程式，在最新版LongLeash加入大量新功能。</p> <p><strong><a href="https://www.ithome.com.tw/news/177060">勒索軟體Anubis利用重大漏洞CitrixBleed 2取得初始存取權限</a></strong></p> <p>資安公司Arctic Wolf追蹤勒索軟體Anubis的活動，6月底公布最新發現，他們觀察到該勒索軟體租用服務（RaaS）旗下的附屬團體，大致透過兩種方法滲透受害組織，其中一種是CitrixBleed 2漏洞（CVE-2025-5777），另一種附屬團體使用的手法，是使用有效的憑證登入思科VPN系統AnyConnect。</p> <p><strong><a href="https://www.ithome.com.tw/news/177136">OpenSSH 10.4正式發布，修補多項漏洞並導入混合式PQC簽章</a></strong></p> <p>最新版OpenSSH正式發布，除修補8項涵蓋ssh、scp、sftp與sshd元件的安全漏洞外，也新增實驗性的混合式後量子數位簽章（Composite Post-Quantum Signature）支援，結合ML-DSA44與Ed25519演算法，兼顧現有SSH相容性及未來量子運算威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/177134">AWS Certificate Manager支援ACME，自動化公開TLS憑證管理</a></strong></p> <p>雲端服務供應商AWS於6月30日宣布，旗下憑證管理服務AWS Certificate Manager（ACM）支援自動化協定ACME（Automatic Certificate Management Environment），可將TLS憑證申請、網域驗證、續約與撤銷流程自動化與標準化，降低人工管理憑證生命週期的負擔。</p> <p><strong><a href="https://www.ithome.com.tw/news/177160">俄羅斯網路戰鎖定烏克蘭媒體，對電視臺發動DDoS攻擊</a></strong></p> <p>烏克蘭國家安全局（SBU）表示，自俄烏戰爭爆發以來，SBU已阻止超過1.6萬起與俄羅斯有關的網路攻擊與重大資安事件。除了政府、金融及國防單位，新聞媒體也成為俄羅斯駭客的優先攻擊目標。烏克蘭國家特殊通訊與資訊保護局（SSSCIP）報告也指出，俄羅斯駭客對烏克蘭媒體發動超過200起實際造成影響的網路攻擊，手法包括網路釣魚、DDoS攻擊、網站竄改、破壞型惡意程式，以及入侵媒體平臺進而未經授權發布不實資訊。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177032">Cisco修補Catalyst Center漏洞CVE-2026-20191，未更新可能導致攻擊者未授權讀取任意檔案</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177104">WatchGuard修補Firebox防火牆17項漏洞，包含可能導致遠端執行任意程式碼的重大漏洞</a></strong><br />  </p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近期兩項重要進展聚焦AI應用風險管控與產品資安推動，包括數發部公布AI風險分類框架，以及資安署針對臺灣軟體產業啟動軟體產品漏洞獵捕活動。針對PQC遷移議題，微軟亦預告將於2029年前完成相關部署，顯示科技大廠已將2029年視為必須提前布局的關鍵轉型時程。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177184">數發部正式公布人工智慧風險分類框架，畫分3大類20項子類別，並提供4大建議步驟</a></strong></p> <p><a href="/sites/default/files/images/2026-07-09_121325.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_121325.jpg" style="width: 400px; float: right;" /></a></p> <p>隨著《人工智慧基本法》於今年1月正式上路，各目的事業主管機關近期陸續發布AI應用指引，例如衛福部、NCC均已率先展開行動，數位發展部亦於7月7日發布「人工智慧風險分類框架」，預計將帶動更多部會加速推出AI應用指引。數位發展部強調，此框架將成為政府跨部會溝通的共同語言，當中將AI風險類型表歸納為3大類、20項子類別，供目的事業主管機關訂定AI風險管理規範之用。</p> <p><strong><a href="https://www.ithome.com.tw/news/177092">資安署啟動第二屆產品漏洞獵捕活動，臺灣軟體產品成核心目標</a></strong></p> <p>為鼓勵國內業者重視產品資安，資安署與資安院去年舉辦首屆「產品資安漏洞獵捕活動」聚焦ICT硬體產品後，第二屆活動則迎來重大轉型，將核心目標鎖定在臺灣軟體產品，並聚焦政府機關內具高風險的核心軟體及關鍵資安防護工具。活動報名分為兩階段：藍隊（廠商）自7月1日開放報名，紅隊（白帽駭客）則於9月1日開放報名，此次活動將是協助臺灣軟體產業產品資安升級的重要契機，有待國內軟體廠商能共同積極參與。</p> <p><strong><a href="https://www.ithome.com.tw/news/177033">微軟規畫2029年完成產品與服務PQC部署</a></strong></p> <p>在美國政府訂定後量子密碼學（PQC）轉型時程後，微軟也在6月30日宣布加速推動旗下量子安全（Quantum Safe）計畫，目標是在2029年前，完成產品與服務的PQC部署。微軟指出量子運算對現有密碼機制構成的風險，已不再只是長期技術議題，而是各國政府與企業未來數年內必須處理的資安與合規問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177159">英國推網路韌性承諾計畫，促企業強化董事會治理與供應鏈資安</a></strong></p> <p>英國政府7月7日正式啟動企業網路韌性承諾計畫（Cyber Resilience Pledge），盼藉由大型企業帶頭，推動整體產業供應鏈強化資安防護。首批已有超過60家企業與組織加入，包括微軟英國（Microsoft UK）、Cloudflare、馬莎百貨（M&amp;S）、金融機構Nationwide Building Society，以及商業電視業者ITV。</p> <p><strong><a href="https://www.ithome.com.tw/news/177133">NIST更新系統規畫指引，強化安全、隱私與供應鏈風險治理</a></strong></p> <p>美國國家標準暨技術研究院（NIST）針對組織建立與維護系統規畫文件的指引NIST SP 800-18，6月30日發布更新版本為Rev. 2，NIST指出，新版指引不再只聚焦傳統的系統安全計畫，而是把系統安全計畫、系統隱私計畫，以及網路安全供應鏈風險管理（C-SCRM）計畫，整合為同一套系統計畫架構。</p> <p><strong><a href="https://www.ithome.com.tw/news/177059">AI成歐洲央行年度論壇焦點，金融穩定與資安風險受關注</a></strong></p> <p>各國央行開始重新評估AI技術對金融穩定的影響，在6月底舉行的歐洲央行（ECB）年度論壇上，英格蘭銀行副總裁Sarah Breeden表示，AI技術快速演進，可能使金融市場交易、支付流程與資安攻防等環節加速自動化，讓相關作業以更大規模、更快速度進行；央行在監管金融業導入AI所帶來的風險同時，也需要調整自身的監理工具與工作方式。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177144">伊利諾州跟進紐約與加州，要求頂尖AI模型接受第三方安全稽核</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在應用程式安全方面，駭客鎖定近一個月已知漏洞發動攻擊的狀況引發重視，包括Joomla外掛程式、SharePoint及Gitea均成為目標。此外，Adobe修補程式釋出後僅兩小時便出現實際攻擊，更反映此一嚴峻態勢。另有libssh2、Control Web Panel漏洞因PoC程式碼已公開，導致攻擊門檻大幅降低，企業同樣必須優先關注。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177132">Adobe揭露的滿分ColdFusion漏洞傳出兩小時後就出現實際攻擊</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48282】</span></strong></p> <p><a href="/sites/default/files/images/2026-07-09_121908.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_121908.jpg" style="width: 400px; float: right;" /></a></p> <p>威脅情資平臺KEVIntel創辦人Ryan Dewhurst警告，6月底Adobe揭露與修補多達7個10分滿分漏洞，消息公布後不到兩個小時，其中一個存在ColdFusion的漏洞CVE-2026-48282就遭到實際利用，因為KEVIntel設置的蜜罐陷阱已偵測到相關活動，加拿大網路安全中心（CCCS）根據開源威脅情報也指出該漏洞遭利用。後續<a href="https://www.ithome.com.tw/news/177188">美國CISA</a>也將之列入KEV清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/177158">美國警告Joomla外掛滿分漏洞已遭積極利用</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2026-48908、CVE-2026-56290】</span></strong></p> <p>美國網路安全與基礎設施安全局更新已遭利用的漏洞名單（KEV），增列兩項與Joomla外掛程式有關的漏洞，分別是CVE-2026-48908、CVE-2026-56290，而且它們都是CVSS v4.0風險值達到10分滿分的危險弱點，聯邦機構被要求須於7月10日前完成修補，一般用戶也應儘速採取行動因應。</p> <p><strong><a href="https://www.ithome.com.tw/news/177025">SharePoint高風險遠端程式碼執行漏洞遭到利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-45659】</span></strong></p> <p>7月1日美國網路安全與基礎設施安全局（CISA）表示，他們將SharePoint資安漏洞CVE-2026-45659列入已遭利用漏洞名單（KEV），聯邦機構必須在7月4日前完成修補。CVE-2026-45659是微軟在5月份例行更新（Patch Tuesday）揭露與修補的漏洞，CVSS風險評為8.8分，屬於重大漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/177163">開源版本控制系統Gitea重大漏洞遭到利用，逾6千臺執行個體恐曝險</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20896】</span></strong></p> <p>前兩週揭露的開源版本控制系統Gitea重大漏洞CVE-2026-20896，資安廠商Sysdig警告，有人已透過VPN嘗試掃描上述弱點，成功利用並取得Gitea的存取權限。利用此漏洞不需先取得密碼或權杖（Token），只需用特定HTTP標頭就能嘗試存取網際網路上的Gitea執行個體，全球目前有近6,200臺Gitea伺服器暴露於公開網路。</p> <p><strong><a href="https://www.ithome.com.tw/news/177097">研究人員未通報開發團隊即公開PoC，涉及SSH函式庫libssh2重大漏洞</a></strong></p> <p>資安媒體Infosecurity Magazine報導，一名匿名資安研究人員近日以bikini帳號，在GitHub公開名為Exploitarium的儲存庫，釋出多項漏洞研究與概念驗證（Proof of Concept，PoC）程式，至少涉及30項軟體產品與開源專案。其中較受關注的漏洞包括SSH函式庫libssh2的CVE-2026-55200，自架Git服務平臺Gitea的Actions執行元件Gitea act_runner漏洞CVE-2026-58053等。</p> <p><strong><a href="https://www.ithome.com.tw/news/177113">研究人員公開Control Web Panel重大漏洞PoC程式，若未及時修補恐遭攻擊者遠端接管伺服器</a></strong></p> <p>資安業者Karma揭露網站主機管理平臺Control Web Panel重大漏洞CVE-2026-57517，並同步公開PoC利用程式，漏洞屬於CVSS 9.8分的未經身分驗證SQL注入，攻擊者可利用Control Web Panel以MySQL root權限執行資料庫操作，最終取得遠端程式碼執行能力。由於PoC已公開，預期後續掃描與攻擊將增加，用戶應儘速升級至已修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/177138">北韓駭客Lazarus發動NPM供應鏈攻擊，偽裝Rollup建置工具以竊取機密資料與加密貨幣資產</a></strong></p> <p>資安廠商JFrog發現北韓駭客團體Lazarus於NPM發動攻擊，他們上架偽裝成Rollup建置工具的惡意NPM套件，過程中採用多層次酬載的部署架構，最終將開發者導向遠端存取木馬（RAT），竊取瀏覽器與加密貨幣錢包資料，以及監控剪貼簿，對開發與CI/CD環境構成嚴重威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/177075">FBI警告駭客組織TeamPCP鎖定軟體開發者，針對開發工具與CI/CD發動供應鏈攻擊</a></strong></p> <p>FBI發布FLASH資安警示，提醒企業留意駭客組織TeamPCP針對軟體供應鏈發動攻擊。攻擊者透過竄改Trivy、KICS、LiteLLM等合法開發工具與套件，植入惡意程式碼，竊取雲端存取權杖、SSH金鑰及Kubernetes Secrets等敏感資訊，並可能進一步從事資料外洩勒索。FBI呼籲企業強化CI/CD流程安全、輪替憑證並啟用多因素驗證（MFA）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177137">北韓駭客發動PolinRider攻擊活動，於NPM、Packagist、Go、Chrome Web Store上架惡意套件</a></strong></p> <p>資安公司Socket揭露供應鏈攻擊活動PolinRider，範圍涵蓋NPM、Packagist、Go模組、Chrome Web Store，滲透108個套件、並發布162個惡意版本。其中受害的套件以Go模組最多，有80個，另有10個Packagist套件與1個Chrome延伸套件。值得留意的是，此攻擊活動仍持續進行，可能還會有新的惡意套件發布。</p> <p><strong><a href="https://www.ithome.com.tw/news/177155">記憶體安全需求推升Rust人氣，首進TIOBE指標前十</a></strong></p> <p>採用具記憶體安全的Rust語言開發，已成為越來越明顯的趨勢，根據TIOBE在2026年7月的程式語言人氣排行榜中，Rust首次進入前十名，排名第10，評分為1.34%，高於去年同期的第18名。TIOBE指出，隨著Rust進入前十，反映記憶體安全已成為程式語言選擇中更受重視的條件之一。</p> <p><strong><a href="https://www.ithome.com.tw/news/177045">假冒Perplexity的Chrome擴充功能可攔截所有搜尋流量</a></strong></p> <p>有假冒Perplexity AI的Chrome擴充功能「Search for perplexity ai」上架，微軟指出該擴充程式不僅取名相近，還註冊與正版相似的perplexity-ai.online網域，以混淆使用者，其惡意行為在於會先偷偷攔截使用者在網址列輸入的搜尋內容、IP位址與瀏覽器裝置環境資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/177143">curl發布8.21.0版，修補18項漏洞，包括潛藏25年的安全缺陷</a></strong></p> <p>開源網路傳輸工具curl發布8.21.0版，修補18項安全漏洞，其中最受關注的是潛藏約25年的CVE-2026-8932。該漏洞存在於libcurl的mTLS連線管理機制，特定情境下可能造成身分驗證繞過。此外，本次更新也修補Cookie解析、Proxy認證資訊管理及HTTP/2記憶體安全等問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177028">ColdFusion與Campaign Classic用戶注意！Adobe緊急修補7項滿分重大漏洞</a></strong></p> <p>6月30日Adobe為網頁應用開發平臺ColdFusion、行銷自動化平臺Campaign Classic發布更新，總共修補了12個漏洞，其中有7個是達到10分滿分的弱點而受到關注。Adobe將這次修補的優先程度列為第一級，認定相關的風險較高，建議用戶應在72小時內完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/177057">IBM修補Db2重大漏洞，未更新可能導致遠端執行任意程式碼</a></strong></p> <p>IBM於6月23日發布資安公告，修補Db2資料庫可能導致遠端執行程式碼的重大漏洞CVE-2026-10109，問題源自Db2的DRDA資料庫通訊協定初始握手程序（handshake）處理不當，用戶必須升級至包含修補程式、基於最新11.5.9與12.1.4 版的累積特殊版本（CSB）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177049">MariaDB已修補的滿分重大漏洞CVE-2026-49261細節曝光，可能導致資料庫遭到接管</a></strong></p> <p>研究人員揭露MariaDB重大漏洞CVE-2026-49261技術細節，該漏洞於6月初已修補但當時未完整公開影響範圍。最新分析指出，此問題與MariaDB叢集的wsrep_notify_cmd通知機制相關，攻擊者在特定條件下可能透過觸發叢集事件執行外部指令，進一步導致資料庫系統遭接管風險，CVSS評分達10分，用戶應儘速確認修補狀態。</p> <p><strong><a href="https://www.ithome.com.tw/news/177063">Apache修補Tomcat重大漏洞，涉及憑證驗證與安全設定資訊錯誤問題</a></strong></p> <p>Apache發布Tomcat安全更新，修補6項漏洞，其中CVE-2026-55276與CVE-2026-53434的CVSS嚴重性評分均達9.1分。前者可能導致effective web.xml輸出的安全設定資訊不完整，影響管理者判斷；後者則涉及FFM Connector處理憑證撤銷清單（CRL）的驗證機制，可能接受原本應遭撤銷的憑證，影響連線驗證安全，建議用戶儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177046">資安業者揭露Argo CD儲存庫伺服器重大漏洞，可能導致Kubernetes叢集遭到接管</a></strong></p> <p>資安業者Synacktiv揭露Argo CD儲存庫伺服器（Repo Server）存在重大漏洞，攻擊者可透過特製Git儲存庫，在未經身分驗證情況下觸發遠端程式碼執行，進一步取得伺服器控制權並可能接管Kubernetes叢集。該漏洞於2025年初通報，但目前仍未釋出正式修補版本，僅提供緩解措施，建議用戶透過網路隔離等方式降低風險。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177106">Apache修補HttpComponents Core兩項高風險漏洞，未更新可能導致服務阻斷攻擊</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177177">BeyondTrust修補遠端支援與特權存取產品重大漏洞，攻擊者可藉此繞過存取控制與權限提升</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177077">Microsoft揭露Exchange Online重大漏洞，可能導致權限提升與未授權資料存取</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177162">IBM修補WebSphere Application Server兩項重大漏洞</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177154">微軟發布Edge瀏覽器150版更新，修補43項漏洞</a></strong><br />  </p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color:#696969;"><strong>本週AI資安焦點在於AI開發工具的重大漏洞與提示注入風險，同時還有針對AI代理的沙箱突破與權限隔離缺陷的揭露、以及惡意AI代理竊取AI對話與資料的揭露，突顯AI風險各層面的議題持續受到研究人員的高度關注。AI技術也驅動防禦轉型，臺灣資安專家指出，紅隊演練會朝向攻擊預判、威脅情報與AI整合邁進。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177157">CISA要求聯邦機構3天內修補Langflow重大漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-55255】</span></strong></p> <p>7月7日美國網路安全與基礎設施安全局（CISA）發布公告，將存在於圖像化大型語言模型開發工具Langflow的弱點CVE-2026-55255加入已遭利用的漏洞名單（KEV），這項漏洞於6月23日揭露並已經修補。額外一提的是，<strong><a href="https://www.sysdig.com/blog/understanding-langflow-cve-2026-55255-and-why-higher-cvss-vulnerabilities-arent-always-the-most-exploited">Sysdig曾於6月25日</a></strong>首次觀察到該漏洞被利用的跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/177036">資安研究人員揭露AI開發工具Cursor重大漏洞，攻擊者可經由提示注入突破沙箱並執行任意程式碼</a></strong></p> <p>資安廠商Cato Networks旗下AI安全研究團隊揭露AI程式開發工具Cursor的兩項重大漏洞CVE-2026-50548與CVE-2026-50549，統稱為DuneSlide。攻擊者可透過提示注入誘使AI代理突破沙箱限制，進而在開發者系統執行任意指令。Cursor已於4月發布3.0版修補漏洞，但相關細節直至7月才由研究團隊公開，突顯AI代理的安全隔離風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177181">資安業者揭露Google Dialogflow CX重大缺陷，攻擊者可透過惡意AI代理竊取AI對話與共享資料</a></strong></p> <p>資安業者Varonis揭露Google Dialogflow CX存在代號「Rogue Agent」的重大漏洞，攻擊者可利用Google Cloud共用執行環境的設計問題，透過惡意AI代理影響同一專案內其他代理，進而存取AI對話、使用者輸入及共享資料。Google已完成修補，目前未發現漏洞遭實際利用，企業仍應檢視AI代理權限與工作流程設定，降低類似風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177116">Claude Cowork遭指可被濫用取得VM root權限</a></strong></p> <p>Claude Cowork是Anthropic提供給知識工作者的自動化工具，近日資安研究團隊Armadin揭露其沙箱可遭本機攻擊者濫用，問題主要發生於Windows本機服務CoworkVMService，研究人員發現利用DLL側載方式，讓Anthropic簽章的claude.exe載入攻擊者控制的DLL，使攻擊程式碼能在合法Claude程式的程序內執行，進而繞過CoworkVMService對連線程式身分的檢查。對此，Anthropic認為，攻擊者需先取得本機程式執行能力，揭露的研究人員則提出用戶自保之道。</p> <p><strong><a href="https://www.ithome.com.tw/news/177030">Cobalt滲透測試資料顯示，AI應用高風險漏洞占比為整體平均2.7倍</a></strong></p> <p>攻擊面安全與滲透測試服務業者Cobalt發布《2026年AI與滲透測試趨勢報告》（AI and Pentesting Pulse Report 2026），指出企業快速導入大型語言模型（LLM）與AI應用的同時，也導致模型整合、外部資料與工具連接、提示與輸出處理等環節成為新的攻擊入口，使AI應用在滲透測試中呈現較高的漏洞風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177153">Gartner將主權AI、AI代理風險與AI治理列入未來兩年資料與分析重點趨勢</a></strong></p> <p>市場調查機構Gartner近期建議將六大資料與分析趨勢納入考量，其中有三項與資安有關，分別是：主權AI發展速度加快、藉助決策治理平臺降低AI代理風險、利用AI治理平臺建立信任。Gartner預測，到了2029年，比起未受治理的決策，因為決策智慧平臺的採用，經由明確建模而產生的商業決策將獲得5倍的信任度，而且，完成任務的速度也將快上80%。</p> <p><strong><a href="https://www.ithome.com.tw/news/177115">AI重塑紅隊演練執行模式，DEVCORE指出未來轉變路線</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_devcorehong_dui_yan_lian_dian_fan_zhuan_yi_.jpg?itok=SwMmaQxD"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_devcorehong_dui_yan_lian_dian_fan_zhuan_yi_.jpg?itok=SwMmaQxD" style="width: 400px; float: right;" /></a></p> <p>隨著AI技術重塑資安攻防格局，紅隊演練也正邁向全新的發展階段，臺灣資安公司戴夫寇爾（DEVCORE）執行長翁浩正強調，紅隊演練的執行方式正迎來一場深刻的典範轉移，人機協作將打破過往紅隊演練難以規模化的限制，並預期未來將朝向「攻擊預判、威脅情報與AI」三位一體的執行模式發展，實現更具持續性與預防性的防禦評估。</p> <p><strong><a href="https://www.ithome.com.tw/news/177058">Langflow重大漏洞遭利用，攻擊者試圖將AI基礎設施用於挖取門羅幣</a></strong></p> <p>圖像化大型語言模型開發工具Langflow的遠端程式碼執行（RCE）漏洞CVE-2026-33017，今年3月<a href="https://www.ithome.com.tw/news/174752">美國CISA</a>已將此漏洞列入KEV清單，上週趨勢科技說明已出現利用此漏洞挖取門羅幣的活動，駭客在未經身分驗證的Langflow API端點下達單行Python程式碼，拉取Shell指令碼，目的是下載挖礦程式的二進位檔lambsys.elf。</p> <p><strong><a href="https://www.ithome.com.tw/news/177055">駭客團體JadePuffer濫用AI從事勒索軟體攻擊，利用去年Langflow弱點取得初始入侵管道</a></strong></p> <p>威脅情報公司Sysdig本週揭露駭客團體JadePuffer發動的勒索軟體攻擊，駭客利用已知的Langflow漏洞CVE-2025-3248取得初期入侵管道，展開全自動勒索軟體攻擊。當中採用的惡意酬載程式碼註解，說明每個步驟的執行動機與目標優先順序，而且，採用的AI代理能理解目標環境中的自然語言脈絡，並依此採取合理行動，甚至自行排除問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177093">Google Cloud擴大機密運算版圖，強化AI推論與提示詞加密防護</a></strong></p> <p>雲端服務供應商Google Cloud於6月下旬宣布擴大機密運算服務，包括推出搭載Nvidia Blackwell架構GPU的Confidential G4 VMs預覽版、用於加密AI提示詞與模型回應的開源Prompt Encryption SDKs，並強化Confidential Space與Confidential VMs等服務，擴大機密運算在多方資料協作、遠端證明驗證與雲端工作負載防護上的應用範圍。</p> <p><strong><a href="https://www.ithome.com.tw/news/177105">Godot更新貢獻規範，禁止AI代理提交程式碼</a></strong></p> <p>為了避免AI產生大量低品質投稿，增加維護者的審查成本、甚至導致安全審核疏漏，以及潛在的供應鏈風險，開源遊戲引擎Godot更新貢獻規範，明確禁止自主AI代理提交程式碼，也限制以Vibe Coding等方式產生大段程式碼後投稿。</p> <p><strong><a href="https://www.ithome.com.tw/news/177073">遭AI資安報告誤指涉入間諜軟體行動，視訊會議新創公司控告Palo Alto子公司</a></strong></p> <p>今年被美國資安巨頭Palo Alto Networks以4億美元收購的Koi Security，遭網路視訊暨會議平臺新創公司MeetingTV提告。MeetingTV指控，Koi Security的資安報告錯誤將其基礎架構與中國關聯網路間諜行動連結，並主張相關錯誤可能與AI幻覺有關。</p> <p><strong>●</strong><strong><a href="https://www.ithome.com.tw/news/177146">惡意軟體框架Avalon以AI打造而成，結合竊資軟體與勒索軟體能力</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177127">研究人員揭露透過提示注入繞過ChatGPT防護機制漏洞，OpenAI已完成修補</a></strong><br />  </p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週資安事故聚焦生技與醫療產業，國內醫材廠商優盛醫學發布重訊表示網站遭受駭客攻擊，以及前幾個月醫材大廠美敦力資料外洩事件的調查出爐。</strong></span></p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&amp;stp=1&amp;step=1&amp;SEQ_NO=1&amp;SPOKE_TIME=181457&amp;SPOKE_DATE=20260707&amp;COMPANY_ID=4121">優盛醫學科技網站遭駭客攻擊</a></strong></p> <p><a href="/sites/default/files/images/2026-07-13_095458.jpg"><img alt="" src="/sites/default/files/images/2026-07-13_095458.jpg" style="width: 400px; float: right;" /></a></p> <p>生技廠商優盛醫學科技（4121）於7月7日晚間透過股市資訊公開資訊觀測站發布重大訊息，證實公司網站於當日下午遭受網路駭客攻擊，目前已將受影響網站進行隔離處理，並委由外部資安技術團隊協助調查與復原。目前該網站已暫時停止對外服務，優盛尚未透露網站預計復原的時間。根據初步的調查結果，優盛評估此事件對整體營運、資訊系統安全，以及客戶個資等層面，均無重大影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/177091">醫材大廠美敦力資料外洩事件，影響逾380萬人</a></strong></p> <p>根據醫療器材大廠美敦力（Medtronic）對印地安納檢察長辦公室提交的文件，該公司在4月15日發現IT系統出現異常活動。經過調查，攻擊者在4月13日到4月19日存取該公司部分IT系統，影響超過380萬人，外洩資訊包括姓名、聯絡資訊、出生日期、社會安全號碼及健康紀錄。美敦力已向受影響的客戶提供24個月免費的信用監控、身分竊取或暗網監控服務。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177171">報告揭露美國有政府機關去年支付100萬美元平息資料勒索</a></strong><br />  </p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週身分安全聚焦微軟生態系，涵蓋釣魚平臺ARToken鎖定M365權杖，以及駭客利用Azure CLI發動爆量密碼噴灑攻擊。人機身分治理的發展亦受關注，不僅有微軟Teams加強控管外部機器人，還有思科展示新版Duo IAM的最新發展。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177056">ARToken釣魚即服務平臺鎖定Microsoft 365權杖，支援BEC攻擊操作</a></strong></p> <p>思科（Cisco）旗下威脅情報團隊Talos揭露名為ARToken的釣魚即服務（PhaaS）平臺，指出這套工具鎖定Microsoft 365帳號，並與另一個PhaaS平臺EvilTokens生態系，共用基礎架構、API介面設計與操作模式。研究人員建議企業重新檢視Microsoft 365環境是否有開放裝置碼驗證流程的必要，並透過條件式存取政策限制高風險登入情境。</p> <p><strong><a href="https://www.ithome.com.tw/news/177044">駭客鎖定Microsoft 365帳號發動8,100萬次登入嘗試，利用Azure CLI作為發動密碼噴灑攻擊管道</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/huntress_0.png?itok=1htOb3v2"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/huntress_0.png?itok=1htOb3v2" style="width: 400px; float: right;" /></a></p> <p>資安業者Huntress揭露一起大規模密碼噴灑攻擊，攻擊者利用Azure CLI與ROPC驗證流程，針對Microsoft 365帳號發動超過8,100萬次登入嘗試，成功入侵64個機構至少78個帳號。Huntress指出，部分企業MFA與條件式存取政策配置不足，使攻擊者得以成功登入，呼籲企業全面啟用並正確設定身分驗證防護機制。</p> <p><strong><a href="https://www.ithome.com.tw/news/177176">思科要把零信任存取延伸到AI代理，在臺展示新版AI代理身分管理產品Duo IAM</a></strong></p> <p>人機身分管理持續成焦點，思科併購Duo已經8年，如今深度整合於自家零信任存取產品線中，近期該公司在臺展示新版Duo IAM的預覽，強調支援AI代理身分管理，提供五項代理式IAM功能，涵蓋代理與工具探索、Agent目錄、Agent存取政策、人為權責歸屬，以及生命週期管理，並需搭配Secure Access MCP Gateway來把關。</p> <p><strong><a href="https://www.ithome.com.tw/news/177095">Microsoft Teams加強控管外部機器人，經會議組織者確認後才放行</a></strong></p> <p>微軟6月29日宣布，Microsoft Teams推出新的外部機器人管理政策，當外部機器人嘗試加入會議時，須由會議組織者批准加入。隨著這項功能推出，微軟將逐步淘汰Teams原本用於外部機器人驗證的CAPTCHA機制。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177147">Apple Hide My Email遭揭露存在隱私漏洞，可能暴露用戶真實信箱地址</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177100">JetBrains修補開發環境身分管理平臺重大漏洞，未更新恐導致帳號接管與權限提升</a></strong></p> <p> </p> <p> </p> </div></div></div>

【資安日報】7月7日，揭露兩小時後ColdFusion滿分漏洞就遭到利用

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177142#ColdFusion">ColdFusion滿分漏洞傳出公布不久就出現實際攻擊活動</a></p> <p>● <a href="https://www.ithome.com.tw/news/177142#Rollup">北韓駭客Lazarus於NPM發動新一波供應鏈攻擊</a></p> <p>● <a href="https://www.ithome.com.tw/news/177142#KVM">Linux KVM資安漏洞潛藏長達16年</a> <a id="ColdFusion" name="ColdFusion"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/177132"><span style="font-size: 22px;"><strong>Adobe揭露的滿分ColdFusion漏洞傳出兩小時後就出現實際攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/HMPhK0RWUAA8TdJ-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HMPhK0RWUAA8TdJ-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月底Adobe發布網頁應用開發平臺ColdFusion、行銷自動化平臺Campaign Classic更新，修補多達7個10分滿分漏洞成為焦點，威脅情資平臺KEVIntel創辦人Ryan Dewhurst於社群網站X提出警告，在漏洞細節公布後兩小時內，其中一個ColdFusion滿分漏洞CVE-2026-48282就遭到實際利用。該平臺在設置的蜜罐陷阱偵測到相關活動，其攻擊來源的IP位址來自印度。加拿大網路安全中心（CCCS）也指出該漏洞遭到利用，他們根據開源的威脅情報掌握此事，用戶應儘速套用必要的更新。<a href="https://www.ithome.com.tw/news/177132">詳全文</a> <a id="Rollup" name="Rollup"></a></p> <p><a href="https://www.ithome.com.tw/news/177138"><span style="font-size: 22px;"><strong>北韓駭客Lazarus發動NPM供應鏈攻擊，偽裝Rollup建置工具以竊取機密資料與加密貨幣資產</strong></span></a></p> <p><a href="/sites/default/files/images/polyfill-masquerading-flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/polyfill-masquerading-flow-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安廠商JFrog近日發現北韓駭客團體Lazarus於NPM發起攻擊活動，他們上架一組偽裝成Rollup Polyfill建置工具的惡意套件，而所謂的Rollup Polyfill建置工具，是指用於Rollup打包流程當中處理相容性修補（Polyfill）的外掛工具，此次攻擊採用多層次酬載的部署架構，最終將開發者導向遠端存取木馬（RAT），竊取瀏覽器與加密貨幣錢包資料，以及監控剪貼簿，對開發與CI/CD環境構成嚴重威脅。由於駭客模仿的合法套件rollup-plugin-polyfill-node相當熱門， 因此這波攻擊活動的影響恐怕非常廣泛。<a href="https://www.ithome.com.tw/news/177138">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177137"><span style="font-size: 22px;"><strong>北韓駭客發動PolinRider攻擊活動，於NPM、Packagist、Go、Chrome Web Store上架惡意套件</strong></span></a></p> <p>資安公司Socket揭露北韓駭客團體供應鏈攻擊活動PolinRider，這些駭客的活動範圍，涵蓋NPM、Packagist、Go模組、Chrome Web Store，滲透108個套件、並發布162個惡意版本。其中受害的套件以Go模組最多，有80個，另有10個Packagist套件與1個Chrome延伸套件。這波攻擊活動仍持續進行，因此可能還會有新的惡意套件發布。這些駭客入侵套件維護者的帳號、竄改合法的儲存庫，然後發布有問題的套件版本，並保留儲存庫的存取權限。<a href="https://www.ithome.com.tw/news/177137">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177135"><span style="font-size: 22px;"><strong>Java遠端存取木馬QuimaRAT現身，以MaaS模式販售並鎖定Windows、Linux與macOS</strong></span></a></p> <p>資安業者LevelBlue近日揭露新型Java遠端存取木馬（RAT）QuimaRAT，以惡意程式即服務（MaaS）模式在暗網論壇販售，顯示跨平臺RAT正朝模組化、商業化方向發展。QuimaRAT具備遠端命令執行、檔案傳輸、憑證資料竊取、剪貼簿操作、遠端酬載投遞、外掛模組載入，以及攝影機監控等能力；Windows版本另具備無檔案Shellcode執行能力，可直接在記憶體執行攻擊程式碼，減少惡意檔案落地留下跡證的機會，增加端點偵測難度。<a href="https://www.ithome.com.tw/news/177135">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177131"><span style="font-size: 22px;"><strong>Akira勒索軟體攻擊者以搜尋引擎最佳化中毒手法，誘導IT管理員下載惡意安裝程式</strong></span></a></p> <p>一起涉及Akira勒索軟體的攻擊案例顯示，駭客透過針對Bing搜尋結果的搜尋引擎最佳化中毒（SEO Poisoning）手法，假冒企業IT維運工具下載頁，鎖定正在搜尋相關工具的IT管理人員，藉此接觸可能具備高權限的企業帳號。資安事件分析團隊The DFIR Report指出，攻擊者透過仿冒網路監控工具ManageEngine OpManager的下載頁，誘使受害者下載並執行木馬化MSI安裝程式，但看似正常的安裝流程，實際上會植入惡意程式載入器Bumblebee，並部署惡意程式框架AdaptixC2。<a href="https://www.ithome.com.tw/news/177131">詳全文</a> <a id="KVM" name="KVM"></a></p> <p><a href="https://www.ithome.com.tw/news/177139"><span style="font-size: 22px;"><strong>Linux KVM潛藏16年漏洞，恐導致虛擬機逃逸存取底層實體主機</strong></span></a></p> <p><a href="/sites/default/files/images/linux_kvm_escape-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/linux_kvm_escape-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究人員Hyunwoo Kim（@v4bel）近日揭露代號Januscape的Linux KVM重大漏洞CVE-2026-53359。該漏洞自2010年Linux kernel 2.6.36版導入相關程式碼後便已存在，潛伏約16年才被發現，問題源自x86處理器版KVM的影子記憶體管理單元（Shadow MMU）程式碼，可能導致虛擬機（Guest）突破隔離，而得以存取底層實體主機（Host），目前尚無CVSS嚴重性評分。Linux kernel的5.x、6.x與7.x等穩定分支版本均已於7月4日完成修補，用戶應儘速更新，或暫時停用巢狀虛擬化功能以降低風險。<a href="https://www.ithome.com.tw/news/177139">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177113"><span style="font-size: 22px;"><strong>研究人員公開Control Web Panel重大漏洞PoC程式，若未及時修補恐遭攻擊者遠端接管伺服器</strong></span></a></p> <p>資安業者Karma近日揭露網站主機管理平臺Control Web Panel（CWP）重大漏洞CVE-2026-57517，並公開概念驗證（PoC）利用程式，0.9.8.1224以前版本均受影響。CVE-2026-57517的CVSS嚴重性評分達9.8分，源自用戶端點（user endpoint）的輸入驗證不足，可能導致未經身分驗證的攻擊者執行任意SQL查詢，進而利用Control Web Panel以MySQL root權限執行資料庫操作的特性，取得遠端程式碼執行能力。<a href="https://www.ithome.com.tw/news/177113">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177136"><span style="font-size: 22px;"><strong>OpenSSH 10.4正式發布，修補多項漏洞並導入混合式PQC簽章</strong></span></a></p> <p>Linux與Unix常用的開源遠端存取工具OpenSSH，於7月6日發布10.4版，提供一系列安全性功能更新，包括修補8項漏洞，同時引進混合式的後量子密碼學（PQC）演算法。本次修補的8項漏洞，涵蓋sshd伺服器，以及ssh、scp、sftp等通訊協定的用戶端元件。在sshd伺服器方面，修補sftp、GSSAPI身分驗證、轉送控制與登入防護等方面的5項漏洞，例如啟用GSSAPI驗證時可能遭預先驗證（Pre-authentication）服務阻斷攻擊，最小登入延遲設定未能生效等。<a href="https://www.ithome.com.tw/news/177136">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177106"><span style="font-size: 22px;"><strong>Apache修補HttpComponents Core兩項高風險漏洞，未更新可能導致服務阻斷攻擊</strong></span></a></p> <p>Apache軟體基金會於7月1日發布兩份資安公告，修補Java HTTP元件Apache HttpComponents Core的兩項高風險漏洞，分別為CVE-2026-54428與CVE-2026-54399，影響5.4.2以前與5.5-beta1等版本。HttpComponents Core為Apache提供的底層HTTP通訊函式庫，廣泛應用於Java應用程式與企業後端服務，用於處理HTTP請求與回應，一旦遭到濫用，可能影響依賴該函式庫的應用程式穩定性，用戶應儘速升級到已修補的5.4.3與5.5-beta2以上版本。<a href="https://www.ithome.com.tw/news/177106">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177104"><span style="font-size: 22px;"><strong>WatchGuard修補Firebox防火牆17項漏洞，包含可能導致遠端執行任意程式碼的重大漏洞</strong></span></a></p> <p>資安業者WatchGuard於7月2日發布資安公告，修補其防火牆設備Firebox共17項漏洞，影響Fireware OS作業系統11.x、12.x、12.5.x與2025.1.x等版本。其中包含CVSS v4嚴重性評分達9.2分的重大漏洞CVE-2026-13368，問題源自防火牆的Fireware OS作業系統使用外部LDAP驗證伺服器時，可能觸發競態條件漏洞（Race Condition），進一步導致記憶體已釋放卻仍被使用（Use After Free）問題，攻擊者可在未經身分驗證情況下藉此執行任意程式碼。<a href="https://www.ithome.com.tw/news/177104">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177127"><span style="font-size: 22px;"><strong>提示注入可繞過ChatGPT防護機制漏洞，OpenAI已完成修補</strong></span></a></p> <p>資安研究人員zer0dac近日揭露ChatGPT一項安全防護機制繞過漏洞，攻擊者可透過提示注入（Prompt Injection）手法，以誤刪上傳檔案為由，誘使AI模型暴露資料存取路徑，再結合透過路徑遍歷（Path Traversal）方式，繞過存取路徑限制，取得額外資料，目前OpenAI已修補此問題。zer0dac指出在沙箱限制下，前述手法無法直接獲得敏感資料，但可構成更大規模攻擊鏈的一部分。OpenAI也已透過更改URL下載流程修補此問題。<a href="https://www.ithome.com.tw/news/177127">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177116"><span style="font-size: 22px;"><strong>Claude Cowork遭指可被濫用取得VM root權限</strong></span></a></p> <p>資安研究團隊Armadin揭露，Anthropic的Claude Desktop for Windows中，Claude Cowork使用的沙箱隔離機制，可能在攻擊者已能於Windows主機執行程式的情況下遭濫用。研究人員指出，攻擊者可借用Claude Desktop元件與本機服務溝通，在Claude Cowork使用的Ubuntu虛擬機器內取得root權限，並放寬原本限制對外連線的管制。不過，Anthropic認為，該攻擊鏈需要攻擊者先在Windows主機上取得本機程式執行能力，因此不列為安全問題。<a href="https://www.ithome.com.tw/news/177116">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177115"><span style="font-size: 22px;"><strong>AI重塑紅隊演練執行模式，DEVCORE指出未來轉變路線</strong></span></a></p> <p>隨著AI技術重塑資安攻防格局，紅隊演練（Red Team Assessment）也正邁向全新的發展階段。臺灣該領域指標性廠商戴夫寇爾（DEVCORE）近日對此提出最新觀察，指出人機協作將打破過往紅隊演練難以規模化的限制，實現更具持續性與深度的防禦體系缺口評估。DEVCORE執行長翁浩正強調，紅隊演練的執行方式正迎來一場深刻的典範轉移，隨著AI技術的介入，紅隊演練的執行方式正在發生根本性的質變。<a href="https://www.ithome.com.tw/news/177115">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177040"><span style="font-size: 22px;"><strong>Meta首設資料長，強化AI時代資料分析治理</strong></span></a></p> <p>隨著AI時代的資料分析與治理日益重要，有科技公司任命專職的主管受到關注。根據科技媒體Axios報導，Meta已任命現任行銷長Alex Schultz為該公司首任資料長（Chief Data Officer，CDO）。Schultz隨後也在LinkedIn證實，未來將負責協助Meta建立適合AI時代的資料分析與決策架構，隨著AI快速發展，他愈來愈確信資料、研究與實驗已成為企業最重要的策略能力。這項人事調整，反映資料分析與資料基礎設施已成為Meta推動AI策略的關鍵能力。<a href="https://www.ithome.com.tw/news/177040">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177105"><span style="font-size: 22px;"><strong>為維護程式碼品質與開源治理，開源遊戲引擎Godot禁止AI代理提交程式碼</strong></span></a></p> <p>開源遊戲引擎Godot近日更新程式碼的貢獻規範，開始禁止使用自主AI代理（Autonomous AI Agent）提交程式碼，並禁止利用AI產生大段程式碼投稿，同時要求開發者若使用AI輔助撰寫程式碼必須主動揭露。這項要求源自生成式AI與AI代理工具的廣泛運用，造成了開源專案收到愈來愈多AI生成的程式碼拉取請求（Pull Request，PR），導致維護者審查負擔增加，也引發程式碼品質、責任歸屬及開源治理等問題。<a href="https://www.ithome.com.tw/news/177105">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177095"><span style="font-size: 22px;"><strong>Microsoft Teams加強控管外部機器人，經會議組織者確認後才放行</strong></span></a></p> <p>隨著AI會議助理、轉錄與筆記工具普及，企業線上會議也開始面臨「非人類與會者」的控管問題。微軟於6月29日宣布，Microsoft Teams推出新的外部機器人管理政策，當外部機器人嘗試加入會議時，須由會議組織者批准加入。微軟在Teams系統管理中心新增名為「Manage external bots and their access to meetings」的政策，這項功能預設為開啟；當Teams偵測到外部機器人嘗試加入會議時，會先將其留在會議大廳，經會議組織者核准後才能加入。<a href="https://www.ithome.com.tw/news/177095">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177099"><span style="font-size: 22px;"><strong>因應企業資安監控資料量持續成長，AWS為Amazon OpenSearch Service新增日誌分析引擎</strong></span></a></p> <p>7月1日AWS宣布，旗下託管式搜尋與分析服務Amazon OpenSearch Service新增專為日誌分析設計的最佳化引擎，協助企業降低大量日誌資料的分析與儲存成本。這項新功能的目標，是為了因應企業可觀測性需求，以及安全監控資料量持續成長所帶來的壓力，改善大量日誌資料的攝取、查詢與儲存效率，新引擎的價格效能比最高可提升4倍，資料攝取吞吐量與分析查詢速度最高可提升2倍；透過欄式儲存，企業最多可降低70%的儲存空間需求。<a href="https://www.ithome.com.tw/news/177099">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176989"><span style="font-size: 22px;"><strong>Nakivo發布Backup &amp; Replication 11，新增支援VMware vSphere 9與Proxmox VE 9平臺</strong></span></a></p> <p>資料保護軟體廠商Nakivo於上半年接連發布Backup &amp; Replication 11.2版與11.2.1版，擴展對於最新虛擬化平臺的備份保護支援，並提升管理與通知機制的安全性。其中11.2版最重要的改進，便是新增完整支援VMware vSphere 9.0、Proxmox VE 9.0等兩款虛擬化平臺，在6月初發布的11.2.1版中，又提供完整支援Proxmox VE 9.1的能力。本次改版亦大幅擴展其Oracle RMAN備份機制的支援環境，以及增加基礎設施部署環境的裝置支援。<a href="https://www.ithome.com.tw/news/176989">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176997"><span style="font-size: 22px;"><strong>新版MCP導入無狀態核心等重大更新，Akamai提醒留意實作層面的安全影響</strong></span></a></p> <p>用於連接AI代理、外部工具與資料來源的開放協定Model Context Protocol（MCP），預計於7月28日正式發布2026-07-28版規格。根據MCP官方於5月21日公布的Release Candidate，新版導入無狀態核心（Stateless Core）、Tasks擴充功能、MCP Apps及新版授權要求，以支援長時間工作、跨系統整合及雲端原生部署情境。改採無狀態核心後，協定層不再維護連線階段（Session），讓MCP更容易部署於負載平衡、代理伺服器與雲端原生環境。<a href="https://www.ithome.com.tw/news/176997">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176971"><span style="font-size: 22px;"><strong>美國FCC強化海底電纜管理，新規納入終端設備並加速安全審查</strong></span></a></p> <p>美國聯邦通訊委員會（FCC）於6月25日通過新版海底通訊電纜管理規則，新增海底線路終端設備（SLTE）掌管者與營運者許可要求，並調整海底電纜申請案審查機制。FCC表示，新措施目的在於為符合高安全標準的業者提供快速審理流程，同時強化國家安全，簡化並加速海底電纜基礎設施的部署，以因應AI運算與連網需求成長。FCC也更新海底電纜安全防護要求，將關鍵設備與第三方服務供應商等可能影響系統安全的環節納入管理。<a href="https://www.ithome.com.tw/news/176971">詳全文</a> </p> </div></div></div>

PQC準備度研究顯示近9成SSH伺服器尚未具備後量子安全能力

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路資產管理與資安廠商<a href="https://www.forescout.com/blog/pqc-adoption-gaps-90-percent-of-systems-are-still-not-quantum-safe/" target="_blank">Forescout旗下研究團隊Vedere Labs於6月24日發布後量子密碼學（Post-Quantum Cryptography，PQC）採用研究</a>，指出隨著量子運算可能在未來數年威脅現行公開金鑰密碼系統，企業需要及早盤點加密資產，規畫PQC遷移的工作。<a href="https://www.ithome.com.tw/news/174910" target="_blank">部分專家預期Q-Day最快可能在2029年到來</a>，留給企業準備的時間已越來越有限。</p> <p>Forescout分析超過1.6億臺網際網路SSH主機發現，2026年5月支援PQC金鑰交換（Key Exchange，KEX）演算法的SSH伺服器，已由一年前的1,150萬臺增加至逾1,900萬臺，占比由6.2%提高至約11.9%，但仍有近90%的SSH伺服器尚未具備PQC能力。這波成長主要來自OpenSSH版本升級，採用支援PQC的OpenSSH 9.x與10.x版本比例，由21%增加至37%；相較之下，嵌入式設備常用的輕量化SSH實作Dropbear，雖已於2025年加入PQC支援，但目前支援PQC版本的部署比例仍僅約3%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0629-pqc-sshserver.png" style="width: 425px;" /></p> <p>從企業網路設備來看，採用支援PQC的OpenSSH版本比例方面，IT設備已達50%，IoT設備為28%，OT設備為16%，醫療物聯網（IoMT）設備則僅6%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0629-pqc-2.png" style="width: 600px;" /></p> <p>Forescout同時以TLS 1.3支援情況，作為評估網際網路TLS伺服器是否具備PQC遷移基礎的觀察指標；在企業網路中，則分析TLS連線採用的金鑰封裝機制（Key Encapsulation Mechanism，KEM）演算法。研究顯示，網際網路伺服器的TLS 1.3部署率已由一年前的19%提升至30%；在企業網路中，IT設備具備PQC能力的比例約8%，IoT與IoMT設備為5.6%，OT設備則僅0.8%。</p> <p><a href="https://www.cisa.gov/resources-tools/resources/quantum-readiness-migration-post-quantum-cryptography" target="_blank">美國網路安全暨基礎設施安全局（CISA）則建議</a>，組織應及早建立量子就緒路線圖（Quantum-Readiness Roadmap），盤點目前使用的加密技術、評估風險與業務衝擊，並與技術供應商協調產品升級規劃，以降低未來量子運算技術成熟後對現行加密機制帶來的風險。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Forescout</span></span></p> </div></div></div>

中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客<strong><a href="https://www.ithome.com.tw/news/163512">曾利用F5 BIG-IP負載平衡設備建立持續存取管道</a></strong>，也有利用思科網路設備作業系統零時差漏洞<strong><a href="https://www.ithome.com.tw/news/163736">CVE-2024-20399</a></strong>滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。</p> <p>Sygina近日公布<strong><a href="https://www.sygnia.co/blog/operation-highland-velvet-ant/">Operation Highland攻擊行動</a></strong>，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygina認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。</p> <p>在整個攻擊活動裡，Velvet Ant採取三階段滲透策略，逐步突破層層防線。首先，他們在面向網際網路的伺服器上部署GS-Netcat，作為反向Shell及SOCKS5代理伺服器，並將其偽裝成Chrome服務或系統處理程序，以規避資安偵測，建立初始存取管道。接著，該組織利用Nginx與FastCGI建立執行命令的橋樑，透過HTTP請求穿越IT網路環境，在無需對目標建立直接連線的情況下，即可抵達隔離網路環境的關鍵基礎設施網段。最終，攻擊者篡改Linux PAM認證模組與OpenSSH程式，植入後門密碼並竊取憑證，同時在authorized_keys中植入公鑰，建立三重持久化機制，將整個環境置於自身掌控之下。</p> <p>此次行動最引起Sygina注意的地方，在於攻擊者選擇控制身分驗證的環節，而非僅在系統上留下惡意程式。Sygnia在多臺主機發現9種不同版本的後門化PAM模組，這些惡意模組透過完全不同的開發環境編譯而成，顯示此攻擊行動背後有龐大資源支撐、組織高度嚴密，且具備針對不同目標環境量身打造工具的能力。由於攻擊者控制管理員用來遠端管理主機的核心元件，光是執行更換密碼等傳統應變措施，在此幾乎完全失效。該公司提及，若是受害組織的IT人員處理不慎，有可能被鎖死在系統外，甚至造成關鍵基礎設施的系統服務中斷。</p> </div></div></div>

【資安日報】4月23日，近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175247"><strong style="font-size: 22px;">近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞，暴露於敏感資料外洩風險下，用戶需儘速更新</strong></a></p> <p>微軟上週發布的4月例行更新（Patch Tuesday）所修補160多個漏洞中，最關鍵的是兩個已被實際利用的零時差漏洞，其中之一是SharePoint伺服器的欺騙弱點CVE-2026-32201，在微軟揭露此漏洞的同一天，美國網路安全與基礎設施安全局（CISA）也以少見的急迫速度，將其納入已知遭利用漏洞清單（KEV），要求各機構需在4月28日以前完成修補。</p> <p>微軟原廠與CISA的通報都指出，CVE-2026-32201這個漏洞已被實際用於攻擊，修補工作十分緊迫，但更重要的是，SharePoint用戶是否已採取修補行動？依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有將近1,300臺未修補前述漏洞的SharePoint伺服器，暴露於網際網路上，其中以美國數量最多，占555臺，次之是德國107臺與加拿大60臺，臺灣也有1臺。</p> <p><a href="https://www.ithome.com.tw/news/175234"><strong style="font-size: 22px;">未修補漏洞的Apache ActiveMQ主機仍有6,400臺，暴露於遠端執行程式碼攻擊風險下，用戶需儘速更新</strong></a></p> <p>資安公司Horizon3.ai研究人員透過AI工具Claude輔助，發現潛藏13年的Apache ActiveMQ重大漏洞CVE-2026-34197，從而引發AI工具在發現資安漏洞方面的新聞熱潮後，這個漏洞也很快就被攻擊者利用，美國網路安全與基礎設施安全局（CISA）隨後將此漏洞納入已知遭利用漏洞清單（KEV），要求各機構在4月30日前完成修補。</p> <p>不過在新聞熱潮下，更重要的是ActiveMQ用戶是否已採取修補行動。依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有多達6,476臺未修補前述漏洞的Apache ActiveMQ主機，暴露於網際網路上，其中以中國數量最多，占1,400臺，次之是美國的1,100臺，然後是巴西的356臺，臺灣也有20臺。</p> <p><a href="https://www.ithome.com.tw/news/175227"><strong style="font-size: 22px;">CISA警告思科SD-WAN資安漏洞遭到積極利用，限期聯邦機構4天完成修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，2月底揭露的3個漏洞CVE-2026-20122、CVE-2026-20128與CVE-2026-20133已遭實際利用，未修補這些弱點的思科廣域網路存取平臺Catalyst SD-WAN風險大增，CISA將這些漏洞納入已知遭利用漏洞清單（KEV）。由於SD-WAN是用戶存取廣域網路環境的中樞平臺，其漏洞會影響到用戶整個網路環境的安全，風險特別高，因此CISA要求聯邦機構須在4天內完成修補，相較多數KEV漏洞常見約2週的修補期限，顯得更為急迫。</p> <p>這次列入KEV清單的3個漏洞中，風險較高的是CVE-2026-20128與CVE-2026-20133，CVSS嚴重性評分均為7.5分。</p> <p><a href="https://www.ithome.com.tw/news/175229"><strong style="font-size: 22px;">中國駭客Mustang Panda針對印度金融機構、韓國外交政策圈，散布後門程式LotusLite</strong></a></p> <p><a href="/sites/default/files/images/413ebea07807dc1a9e214eb63d5fa035-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/413ebea07807dc1a9e214eb63d5fa035-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Acronis發現後門程式LotusLite的攻擊行動，此惡意程式具備微軟合法簽章，並透過HTTPS與動態DNS對C2進行通訊，其主要功能包括遠端Shell存取、檔案操作，以及連線階段（Session）的內容管理，因此該公司推測，駭客的攻擊目標主要是從事網路間諜活動，與經濟利益無關，攻擊者的身分是中國APT駭客組織Mustang Panda（別名Earth Preta、RedDelta、TA416）。</p> <p>這些駭客使用LotusLite已有前例，3月初資安公司Zscaler揭露鎖定中東衝突的攻擊行動，當時Mustang Panda以伊朗衝突為誘餌，試圖散布這支惡意程式。Acronis指出，這次駭客傳遞的方法出現許多轉變，經由CHM檔接觸受害電腦，搭配JavaScript打造的惡意程式載入工具，最終透過DLL側載手法執行惡意軟體。而在攻擊目標的部分，也從以美國政府機關為主，轉向印度金融機構。</p> <p><a href="https://www.ithome.com.tw/news/175114"><strong style="font-size: 22px;">後門程式BPFDoor出現變種，駭客透過C2路由與ICMP中繼手法逃過偵測</strong></a></p> <p><a href="/sites/default/files/images/ICMP-relay-using-HIP-field-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ICMP-relay-using-HIP-field-63.jpg" style="width: 300px; float: right;" /></a></p> <p>在3月底，資安公司Rapid7揭露中國駭客Red Menshen（Earth Bluecrow）的攻擊行動，駭客鎖定電信網路部署後門程式BPFDoor，長時間潛伏在4G與5G核心網路環境，近期該公司再度公布最新調查結果，指出駭客已發展出多個新的變種，其中導入了C2路由與網際網路控制訊息協定中繼（ICMP Relay）手法，使得該後門程式的活動更加難以追蹤。</p> <p>Rapid7總共發現7個BPFDoor的變種，其中最重要的兩個是httpShell和icmpShell。該公司指出，駭客使用BPFDoor的時間長達數年，這幾年隨著資安工具的偵測機制出現變化，而調整手法，其中一種就是早期版本的無檔案執行策略，駭客在成功啟動BPFDoor後，就將檔案刪除，目的是讓資安人員難以採集證據；後來EDR具備對應的偵測機制，httpShell的開發團隊就調整手法，不再刪除惡意程式檔案，而是將其混入一般的系統處理程序裡。</p> <p><a href="https://www.ithome.com.tw/news/175243"><strong style="font-size: 22px;">勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測</strong></a></p> <p>自2025年底開始，資安公司Sophos發現兩群駭客濫用此虛擬化平臺的情況增加，其中，以經濟利益為動機的STAC4713特別值得留意，因為他們的活動與勒索軟體PayoutsKing及資料竊取有關，而其濫用QEMU是為了建立反向SSH後門，藉此傳遞攻擊工具，並挖掘受害組織的網域憑證。</p> <p>STAC4713透過QEMU建置Alpine Linux虛擬機器，內含攻擊所需工具，通常會有Adaptix C2（tinker2）、自製的WireGuard流量混淆器wg-obfuscator、BusyBox、Chisel，以及Rclone。而在建置此虛擬機器前，駭客會建立工作排程TPMProfiler，藉由SYSTEM帳號啟動虛擬機器，開機後就會利用Adaptix C2或OpenSSH建立反向SSH隧道，使得駭客能繞過端點防護系統的偵測。</p> <p><a href="https://www.ithome.com.tw/news/175119"><strong style="font-size: 22px;">Python後門ViperTunnel被用於勒索軟體DragonForce活動</strong></a></p> <p><a href="/sites/default/files/images/control_flow_decryption_BHEiknA0_Z1aLxUx-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/control_flow_decryption_BHEiknA0_Z1aLxUx-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司InfoGuard在最近一起DragonForce攻擊行動裡，發現不尋常的現象：其中一個工作排程任務竟在無命令列參數的條件下執行，由於在正常的Windows環境，未指定指令碼的路徑或參數的狀況相當少見，該公司起初推測攻擊者使用DLL側載手法，不過進一步調查後發現並非如此，攻擊者濫用Python的自動匯入功能，讓惡意程式碼在電腦啟動時自動執行。</p> <p>駭客使用的惡意程式，是以Python為基礎打造的後門程式ViperTunnel，駭客將其偽裝成系統檔案b5yogiiy3c.dll，不過本質上是以系統程式庫形成建立的Python指令碼，為了避免他人識破，駭客採用3種演算法與壓縮機制進行處理，此後門程式採用SOCKS5隧道建立通訊。根據調查結果，攻擊者的身分是EvilCorp旗下的UNC2165。</p> <p><a href="https://www.ithome.com.tw/news/175225"><strong style="font-size: 22px;">法國國家安全憑證機構遭駭，恐洩露1,900萬企業及個人帳密</strong></a></p> <p>法國負責發布身分證和護照的國家安全憑證機構（ANTS）本週公布安全事件，可能導致近2000萬筆個資及專業帳號資料外洩。</p> <p>ANTS隸屬於法國內政部，負責發放身分證、護照、駕駛執照等證明文件。ANTS在4月15日偵測到異常活動，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取。初步調查顯示，受影響的個人資料類別包括登入ID、姓名、出生日期、帳號識別碼。其他可能外洩的資料包含電子郵件信箱、出生地、電話號碼等。</p> <p><a href="https://www.ithome.com.tw/news/175233"><strong style="font-size: 22px;">資安談判專員勾結勒索軟體集團，洩露客戶機密抬高贖金</strong></a></p> <p>4月20日美國司法部表示，曾任勒索軟體談判專員的佛羅里達州男子Angelo Martino已認罪，承認於2023年共謀協助勒索軟體集團BlackCat發動攻擊，並勒索美國企業，最高恐面臨20年徒刑。</p> <p>41歲的Martino原任職於資安事件回應公司，負責代表受害企業與駭客談判。然而自2023年4月起，他濫用職務，在處理多起勒索事件期間，曾代表5家受害企業進行談判，未經授權向BlackCat攻擊者提供客戶的談判策略、內部立場與保險理賠上限等機密資訊，協助對方精準提高贖金金額，並從中收取報酬。此外，Martino亦與兩名美國同夥Ryan Goldberg及Kevin Martin共謀，在2023年4月至11月期間，針對全美多家企業部署BlackCat。</p> <p><a href="https://www.ithome.com.tw/news/175009"><strong style="font-size: 22px;">Juniper修補Junos OS網路作業系統多個漏洞，最嚴重漏洞可能導致遠端接管設備</strong></a></p> <p>網路設備供應商HPE Juniper Networking近日發布安全公告，修補旗下網路作業系統Junos OS與Junos OS Evolved中近30項漏洞，這些漏洞可能被利用於權限提升、阻斷服務（DoS）及遠端執行指令等攻擊。</p> <p>這次Juniper Network修補的漏洞中，最嚴重的是編號CVE-2026-33784的重大漏洞，CVSS v3.1嚴重性評分達9.8分，CVSS v4.0也達9.3分，源於Support Insights的vLWC元件軟體映像，出廠時預先置入高權限帳號的密碼，且設定過程中也未強制要求變更，使攻擊者可利用預設帳號密碼從遠端登入，並完全控制受影響設備。</p> <p><a href="https://www.ithome.com.tw/news/175122"><strong style="font-size: 22px;">FIDO結合DBSC等技術來應對Session劫持，並聚焦SSF框架拓展不同身分安全協作</strong></a></p> <p>近期FIDO臺灣分會舉辦活動，多項FIDO最新技術動態亦成為會中焦點，包括FIDO2標準的最新進展，以及與其他協定合作的動向。對此，全景軟體副總經理陳俊良在會中分享了更多深度觀察。</p> <p>陳俊良指出，回顧半年多來，FIDO2（CTAP2）標準有新的技術演進，新標準允許傳遞更多元參數，讓驗證器在進行身分鑑別的同時，能安全地傳遞可驗證數位憑證（Verifiable Digital Credentials，VDC）、檢查PIN碼複雜度、指定特定認證器，甚至具備儲存加解密金鑰的功能，大幅擴展了其應用場景。此外，支付應用今年也已獨立成立工作小組Payments Working Group（PWG）。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-mirai-campaign-exploits-rce-flaw-in-eol-d-link-routers/">殭屍網路Mirai綁架生命週期結束的D-Link路由器</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-npm-supply-chain-attack-self-spreads-to-steal-auth-tokens/">NPM供應鏈攻擊竊取憑證，惡意程式透過遭駭帳號擴散</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-gogra-malware-for-linux-uses-microsoft-graph-api-for-comms/">Linux惡意軟體GoGra濫用Microsoft Graph API通訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/malicious-kics-docker-images-and-vs.html">資安公司Checkmarx遭供應鏈攻擊，掃描工具KICS的Docker映像檔、VS Code延伸套件被入侵</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/tycoon-2fa-loses-phishing-kit-crown-amid-surge-in-attacks/">大型網釣平臺Tycoon 2FA遭執法單位圍勦後活動銳減</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175231"><strong>【4月22日】雲端開發平臺Vercel驚傳資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175221"><strong>【4月21日】2025年網路犯罪美國損失逾200億美元</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175180"><strong>【4月20日】第三個Microsoft Defender零時差漏洞被揭露</strong></a></p> </div></div></div>

勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客濫用虛擬化平臺迴避偵測的手法，已出現多起資安事故，其中最常見的是濫用VMware ESXi，也有利用VirtualBox和Hyper-V的情況，最近有人濫用另一款虛擬化工具QEMU，而引起資安公司的注意。</p> <p>自2025年底開始，<strong><a href="https://www.sophos.com/en-us/blog/qemu-abused-to-evade-detection-and-enable-ransomware-delivery">資安公司Sophos發現兩群駭客濫用此虛擬化平臺的情況增加</a></strong>，其中，以經濟利益為動機的STAC4713特別值得留意，因為他們的活動與勒索軟體PayoutsKing及資料竊取有關，而其濫用QEMU是為了建立反向SSH後門，藉此傳遞攻擊工具，並挖掘受害組織的網域憑證。</p> <p>STAC4713透過QEMU建置Alpine Linux虛擬機器，內含攻擊所需工具，通常會有Adaptix C2（tinker2）、自製的WireGuard流量混淆器wg-obfuscator、BusyBox、Chisel，以及Rclone。而在建置此虛擬機器前，駭客會建立工作排程TPMProfiler，藉由SYSTEM帳號啟動虛擬機器，開機後就會利用Adaptix C2或OpenSSH建立反向SSH隧道，使得駭客能繞過端點防護系統的偵測。</p> <p>值得留意的是，這些駭客偵察時，通常會利用Windows內建的小畫家、記事本、Edge，並搭配第三方工具WizTool，找出檔案共享資料夾及檔案存取的管道。而對於憑證資料的部分，STAC4713會下達print命令，將AD資料庫NTDS.dit、安全帳號管理員（Security Account Manager，SAM）資料庫，以及SYSTEM登錄區（Hive）的內容，透過SMB複製到暫存資料夾。另一方面，STAC4713濫用磁碟區陰影複製服務（VSS）建立快照。</p> <p>至於攻擊者如何入侵受害組織，Sophos觀察到有兩種，一種是從網際網路存取未啟用多因素驗證（MFA）的SonicWall VPN，不過在今年1月的事故裡，駭客利用SolarWinds網路IT服務臺漏洞CVE-2025-26399來達到目的。</p> </div></div></div>

【資安週報】0413~0417，美英加監管機構警戒LLM模型能力提升恐威脅金融舊系統

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="123" data-start="0">【資安新聞編輯室報告】這一星期最受產業矚目的消息之一，莫過於LLM模型在資安攻防兩端展現的深遠影響力，繼Anthropic Claude Mythos預覽版發布，OpenAI亦擴大GPT-5.4-Cyber的申請範圍，由於Mythos已展現強大的跨系統分析能力，此態勢已引起美、英、加三國監理機關的高度警戒，憂心這類先進模型若早一步被攻擊方利用，將用於金融業者。</p> <p data-end="123" data-start="0">此外，這星期我們也看到因應簡訊OTP難題的最新探討與推動，包括電話號碼認證（PNV）與基於eSIM去電話號碼識別的方案，這些進展均顯示：若要解決這類問題科技業，需與電信業者合作來應對。</p> <p data-end="123" data-start="0"> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 政策法規、技術趨勢、產業脈動 </span></strong></span></h1> <p> </p> <h2><strong>OpenAI擴大提供GPT-5.4-Cyber</strong></h2> <p>繼Anthropic於本月初公布Claude Mythos預覽版後，OpenAI則宣布<a href="https://www.ithome.com.tw/news/175058">擴大其GPT-5.4-Cyber專用模型的申請使用範圍</a>。這款專為網路安全分析優化的模型，現在將開放給更多資安人員申請使用，同時加入進階防護工作的新功能，支援惡意程式分析與逆向工程，協助理解軟體漏洞。</p> <h2><strong>Claude Mythos能力引發多國監理機關關注風險</strong></h2> <p>隨著Claude Mythos預覽版發布，<a href="https://www.ithome.com.tw/news/175081">美國、英國與加拿大主管機關近期已與銀行高層討論相關風險</a>，主因是Claude Mythos這類先進模型能跨系統分析複雜架構，對於企業內部長期累積的舊系統環境而言，過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業大量採用相似的KYC與交易軟體，一旦出現規模化AI攻擊，高度連結的金融體系受到的影響可能迅速擴散。</p> <h2><strong>數發部資安署發布中小企業基本資安指引</strong></h2> <p><a href="/sites/default/files/images/2026-04-17_174928.jpg"><img alt="" src="/sites/default/files/images/2026-04-17_174928.jpg" style="width: 280px; height: 295px; float: right;" /></a></p> <p> </p> <p>繼金管會於2021年底發布「<a href="https://www.ithome.com.tw/news/150803">上市上櫃公司資通安全管控指引</a>」後，為進一步帶動全臺企業重視資安，去年資通安全研究院（資安院）<a href="https://www.ithome.com.tw/news/171253">建立實地資安健檢服務</a>，引進美國加州柏克萊大學Cybersecurity Clinic課程課綱，就是聚焦輔導中小企業而來，近期數發部資安署再發布「<a href="https://moda.gov.tw/ACS/laws/guide/rules-guidelines/904">中小企業基本資安防護指引</a>」及自我檢核表，將專業資安要求轉化為易懂清單，涵蓋帳號管理、設備管理、落實資料備份等實務建議。</p> <p> </p> <h2><strong>解決簡訊OTP難題需與電信業者整合</strong></h2> <p>前陣子大量LINE帳號遭盜用的事件受到廣泛關注，更深層問題是OTP認證碼（一次性密碼）仍普遍應用，目前相關對策仍在持續發展中，但焦點就是要<a href="https://www.ithome.com.tw/news/174936">探討如何與電信業者深度結合，目前已有兩大技術趨勢備受矚目</a>，一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。</p> <h2 style="margin: 0px;"><strong>OpenSSL 4.0發布</strong></h2> <p>作為全球應用最廣泛的開源加密函式庫，<a href="https://www.ithome.com.tw/news/175096"><strong>OpenSSL發布4.0重大版本更新</strong></a>。本次改版聚焦於架構現代化與清理技術債，包括正式移除SSLv3協定與SSLv2 Client Hello支援，並全面廢除Engine機制；此外，部分資料結構與X509相關公開API也調整得更為嚴謹。在安全性強化方面，則新增支援ECH（Encrypted Client Hello）技術及後量子密碼學（PQC）相關功能。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 最新漏洞威脅 </span></strong></span></h1> <p> </p> <p>在漏洞利用消息方面，多家IT大廠發布每月例行安全更新的公告，揭露與修補近期掌握的弱點，其中微軟本月例行安全更新就修補自家產品165個漏洞（包含兩個零時差漏洞，其中一個已遭利用），並修補第三方元件漏洞82個。進一步從整體來看，本星期有5項漏洞發現遭駭客鎖定利用，須優先關注！</p> <h3><span style="color: rgb(178, 34, 34);"><strong>微軟 CVE-2026-32201</strong></span></h3> <p>●零時差漏洞攻擊事件發生，目標是微軟SharePoint Server的漏洞<a href="https://www.ithome.com.tw/news/175055">CVE-2026-32201</a>，微軟發現有鎖定利用情形後於每月例行更新修補，攻擊者身分尚未揭露。已被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Apache CVE-2026-34197</strong></span></h3> <p>●Apache基金會4月初修補ActiveMQ的漏洞<a href="https://www.ithome.com.tw/news/175006">CVE-2026-34197</a>，美國CISA在漏洞公開後一星期將之列入KEV，目前尚未有更多攻擊狀況揭露的消息。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Marimo CVE-2026-39987</strong></span></h3> <p style="margin: 0px;">Python資料分析工具Marimo揭露<a href="https://www.ithome.com.tw/news/175134">CVE-2026-39987</a>的漏洞，資安公司Sysdig指出在Marimo發布公告約10小時後，已經發現漏洞利用嘗試的跡象。截稿前尚未被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Nginx UI CVE-2026-33032</strong></span></h3> <p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI在3月底揭露的漏洞<a href="https://www.ithome.com.tw/news/175108">CVE-2026-33032</a>，資安公司Recorded Future於兩週後示警，指出Nginx UI團隊已於3月中釋出修補程式，但後續亦在3月發現漏洞利用情形。截稿前尚未被美國CISA列入KEV。</p> <h3 style="margin: 0px;"><span style="color: rgb(178, 34, 34);"><strong>ShowDoc CVE-2025-0520</strong></span></h3> <p>中國技術文件協作平臺ShowDoc在去年4月修補的漏洞<a href="https://www.ithome.com.tw/news/175093">CVE-2025-0520</a>，資安公司VulnCheck揭露有鎖定利用的攻擊活動，近期於蜜罐陷阱看到有攻擊者試圖部署Webshell的情形。中國將此漏洞登記為CNVD-2020-26585列管。截稿前尚未被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>RedSun</strong></span></h3> <p>有研究人員提前揭露Microsoft Defender存在名為<a href="https://www.ithome.com.tw/news/175130">RedSun的零時差漏洞</a>，已有攻擊概念驗證（PoC）公開，突顯該漏洞的可利用性。目前微軟尚未揭露相關CVE編號。</p> <p>其他重要修補動向：</p> <p>包括<a href="https://www.ithome.com.tw/news/175079">Apache Tomcat</a>、開源監控平臺<a href="https://www.ithome.com.tw/news/175021">Grafana</a>、DNS伺服器軟體<a href="https://www.ithome.com.tw/news/174754">BIND 9</a>、SSL通訊函式庫<a href="https://www.ithome.com.tw/news/175098">wolfSSL</a>、<a href="https://www.ithome.com.tw/news/174876">OpenSSH</a>、<a href="https://www.ithome.com.tw/news/175089">PHP套件管理器Composer</a>的漏洞修補消息。特別的是，工控軟體大廠<a href="https://www.ithome.com.tw/news/174710">PTC</a>揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施</p> <h3> </h3> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重要威脅態勢 </span></strong></span></h1> <p> </p> <div> <h3><span style="color: rgb(178, 34, 34);"><strong>CPUID網頁遭入侵</strong></span></h3> <p>提供硬體監控工具CPU-Z、HWMonitor的<a href="https://www.ithome.com.tw/news/175007">CPUID網頁遭入侵</a>，駭客用來散布惡意軟體STX RAT，經營CPUID的Doc TB表示，初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>瑞典供熱廠去年遭親俄駭客試圖攻擊</strong></span></h3> <p><a href="https://www.ithome.com.tw/news/175103">瑞典民防部長Carl-Oskar Bohlin在當地一場記者會上指出</a>，該國一座供熱廠於2025年春天遭親俄駭客組織攻擊，試圖破壞OT系統營運，由於廠內的資安防護啟動，阻止了該次入侵。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>中國駭客以ELF後門大肆搜刮雲端憑證</strong></span></h3> <p><a href="https://www.ithome.com.tw/news/175083">資安公司Breakglass發現</a>中國駭客APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，VirusTotal納入的防毒引擎均未偵測出惡意程式，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> </div> <h3><span style="color: rgb(178, 34, 34);"><strong>中國駭客網釣範圍擴大至南亞多國</strong></span></h3> <p>之前針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（亦稱Void Arachne），攻擊範圍已擴散至南亞多國。<a href="https://www.ithome.com.tw/news/174956">資安公司Sekoia指出</a>，該組織自2024年起從早期的經濟利益驅動，轉型為APT偵察活動。在工具使用上，Silver Fox去年放棄慣用的Winos 4.0，改採合法的遠端監控管理工具（RMM）以規避偵測，後續更進一步換裝自研的Python竊資軟體。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Axios供應鏈攻擊事故影響持續擴大</strong></span></h3> <p style="margin: 0px;"><a href="https://www.ithome.com.tw/news/175030">Open AI表示</a>經調查確認受Axios供應鏈攻擊影響，已輪換macOS App簽章憑證、並以新憑證更新App再上架到蘋果App Store，呼籲macOS用戶更新到最新版。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 數字情報 </span></strong></span></h1> <p> </p> <p><span style="font-size: 24px;"><strong><span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">60%</span></span>組織認技能落差更勝人力不足，AI重塑<span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">74%</span></span>資安團隊結構</strong></span></p> <p><a href="/sites/default/files/images/2026-04-17_170844.jpg"><img alt="" src="/sites/default/files/images/2026-04-17_170844.jpg" style="width: 260px; float: right;" /></a></p> <p>專門研究與教育的SANS Institute組織發布《<a href="https://www.sans.org/mlp/2026-evolving-cybersecurity-workforce-ai-compliance-talent#download">2026 Cybersecurity Workforce Research Report</a>》，指出資安人力危機已從人數不足（Headcount Gap）轉為技能落差（Skills Gap），今年有60%組織認為「技能落差」是更大挑戰，比例比去年52%更提升。此外，AI正重塑團隊結構：74%資安團隊因AI調整人員規模與角色。更值得關注的是，雖然39%的組織表示職位並未減少，但以SOC與資安分析師的裁減比例最高（32%），其次為威脅情資分析師（26%）、事件應變人員（22%）及開發人員或 DevSecOps（19%）。這些職位的共通點在於，其工作內容包含大量重複性分析與模式識別。但同時新增AI安全專家（34%）、AI安全工程師（32%）等新職位。</p> <p><span style="font-size: 24px;"><strong>Claude Mythos預覽版在CTF專家級任務的成功率達<span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">73%</span></span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/175037">英國AI安全研究所（AISI）公布Claude Mythos預覽版最新評測結果</a>，指出該模型在資安搶旗賽（CTF）測試中，專家級任務的成功率達73%；而在企業攻擊模擬部分，10次測試中有3次能完成從初始偵察到全面控制系統的32個攻擊流程步驟；至於在OT環境測試中，則未能成功完成攻擊流程。</p> <p><strong><span style="font-size: 24px;">AI暗中違規行為數量暴增，半年出現近<span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">700起</span></span>事件，暴增近<span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">5倍</span></span></span></strong></p> <p><a href="https://www.ithome.com.tw/news/174959">英國非營利研究機構長期韌性中心最新研究指出</a>，AI系統在真實環境中違反指示、規避限制的「scheming」行為正快速增加。研究統計，自2025年10月起的5個月內，共辨識出698起相關事件，單月案例數激增4.9倍，報告指出這是AI系統失控風險的早期徵兆。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 專家觀點 </span></strong></span></h1> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>研究人員揭露用Claude模型找出存在13年漏洞的實際經驗</strong></span></span></p> <p>Apache在4月初修補ActiveMQ的漏洞CVE-2026-34197，在一星期後被攻擊者鎖定利用。於3月下旬通報此漏洞的<a href="https://horizon3.ai/attack-research/disclosures/cve-2026-34197-activemq-rce-jolokia/">Horizon3.ai研究人員指</a>出，該弱點其實已存在長達13年，這次成功找出漏洞的關鍵在於Claude模型的進步。他表示，這陣子都會先用Claude來掃描原始碼找漏洞，但大多數時候僅能發現一些有趣的線索，但這一次他只用幾個基本提示就有出色的表現，整體大約有80%是Claude貢獻，僅有20%是人工來綜整。這還是在尚未使用Mythos模型的情況下。</p> <p style="margin: 0px;"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 140, 0);">Fortinet談AI與資安如何打造低碳、可信任的數位轉型</span></strong></span></p> <p>面對AI、資安、ESG交會的時代，Fortinet工控資安產業發展總監陳心怡<a href="https://www.ithome.com.tw/news/174995">在2026數位永續高峰會分享實踐經驗</a>，指出「沒有資安就沒有真正的轉型」。她強調推動平台化資安架構的重要性，將不同安全功能整合於單一平臺，此模式也是契合ESG潮流，能有效減少設備與人力成本、降低整體能耗與碳排，進而提升管理效率與營運韌性。</p> <p style="margin: 0px;"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 140, 0);">AI輔助攻擊最快只要25分鐘，這半年新模型推出將更顯嚴峻</span></strong></span></p> <p>在Mythos模型還沒公布之際，<a href="https://www.paloaltonetworks.com/perspectives/weaponized-intelligence/">Palo Alto Networks執行長Nikesh Arora執行長已示警</a>，指出傳統企業偵測入侵可能需要數天，但AI輔助攻擊從進入系統到竊取資料，最快僅需25分鐘。他強調Anthropic、OpenAI等公司即將推出的模型，具備大規模自動化尋找系統漏洞的能力，預期半年內，發動複雜攻擊的門檻將持續降低。他並認為感測器、AI驅動數據湖（AI-enabled data lakes）與消除零散化（Consolidation）將是防禦體系的重要關鍵。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重大資安事件 </span></strong></span></h1> <p>上市櫃資安重訊：</p> <p><strong><span style="font-size: 22px;">知名餐飲業<a href="https://mopsov.twse.com.tw/mops/web/t146sb05"><span style="color: rgb(0, 153, 255);">Q Burger</span></a>指出部分內部資訊系統發生異常，初步研判為網路攻擊事件。</span></strong></p> <p><strong><span style="font-size: 22px;">散熱模組廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&amp;stp=1&amp;step=1&amp;SEQ_NO=1&amp;SPOKE_TIME=193439&amp;SPOKE_DATE=20260413&amp;COMPANY_ID=3483"><span style="color: rgb(0, 153, 255);">力致</span></a>表示部分資訊系統遭受駭客網路攻擊</span></strong></p> <p><strong><span style="font-size: 22px;">旅遊業<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&amp;stp=1&amp;step=1&amp;SEQ_NO=1&amp;SPOKE_TIME=152113&amp;SPOKE_DATE=20260413&amp;COMPANY_ID=2745"><span style="color: rgb(0, 153, 255);">五福</span></a>因違反個資法被交通部裁罰100萬元，原因是今年1月遭駭事故導致客戶資料外洩</span></strong></p> <p>國際重要資安事件</p> <p><span style="font-size: 22px;"><strong>線上旅遊訂房平臺<a href="https://www.ithome.com.tw/news/175032"><span style="color: rgb(0, 153, 255);">Booking.com</span></a>部分訂房資料遭未授權存取，導致用戶個資外洩</strong></span></p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 資安活動快訊 </span></strong></span></h1> <p> </p> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月23日 </span></span>【<a href="https://o11yday.ithome.com.tw/2026/CFP">Observability Day可觀察性技術日】</a></strong><br />  </h2> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月21~23日 </span></span>【<a href="https://www.teeia.org.tw/tw/news/SEMIE187">SEMI E187半導體設備資安合規實踐研討會</a><a href="https://o11yday.ithome.com.tw/2026/CFP">】</a>4/21台中場、4/22高雄廠、4/23新竹場</strong><br />  </h2> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月25日 </span></span>【<a href="https://www.twcert.org.tw/newepaper/cp-68-10817-1f929-3.html">資安防護實戰-CTF 資安人才培育課程(台南場)</a>】</strong></h2> <p> </p> <p> </p> <p> </p> </div></div></div>

【資安日報】4月13日，CPUID網頁被入侵，駭客散布木馬程式STX RAT

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175007"><strong style="font-size: 22px;">硬體監控工具開發公司CPUID網頁遭入侵，駭客用來散布惡意軟體STX RAT</strong></a></p> <p>知名的硬體監控工具CPU-Z、HWMonitor的供應商CPUID，傳出網站遭到入侵，駭客藉此散布惡意軟體。最早揭露此事的是資安研究團隊VX-Underground，他們在社群網站X指出，東部時間（EST）4月10日晚間7時（臺灣時間4月11日上午7時）有使用者發現CPUID的網站cpuid.com存在惡意軟體，駭客入侵後，透過偽造的HWMonitor軟體散布惡意程式，目的似乎是竊取瀏覽器憑證等各式資料，因為研究人員在分析的過程發現，惡意軟體會試圖針對Chrome的IElevation COM介面，擷取並解密存放的密碼資料。後續該團隊發現，駭客也對CPU-Z上下其手。</p> <p>對此，CPUID的經營者Doc TB證實此事，他們初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。不過，經過該公司簽章的原始檔案，未遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/174998"><strong style="font-size: 22px;">Adobe揭露與修補Acrobat Reader零時差漏洞，建議用戶72小時內完成更新</strong></a></p> <p>上週二Acrobat Reader爆出零時差漏洞的消息，資安漏洞濫用偵測系統EXPMON的創辦人李海飛（Haifei Li）表示，他發現鎖定這套軟體平臺的PDF漏洞濫用攻擊，當中利用Adobe尚未揭露與修補的漏洞，而且在Acrobat Reader的最新版本26.00121367，仍然有效，隔天又有人向其回報新的變種攻擊樣本，並確認該樣本去年底就出現在線上資安檢測服務VirusTotal，顯示此項漏洞濫用威脅已持續4個月以上，引發資安界關注。</p> <p>4月11日Adobe發布預先排定計畫的Acrobat Reader安全性修補公告，揭露漏洞編號為CVE-2026-34621，CVSS嚴重度評分為9.6分，屬於重大漏洞，問題出在對物件原型屬性的修改管理不當，被歸類為原型汙染（Prototype Pollution）類型的弱點，影響的產品包括早於26.001.21367版的Acrobat DC與Acrobat Reader DC，以及早於24.001.30356版的Acrobat 2024。</p> <p><a href="https://www.ithome.com.tw/news/175003"><strong style="font-size: 22px;">網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取微軟帳號</strong></a></p> <p><a href="/sites/default/files/images/VENOM-PhaaS-Malicious-Email.jpg" target="_blank"><img alt="" src="/sites/default/files/images/VENOM-PhaaS-Malicious-Email.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Abnormal揭露網路釣魚服務平臺（PhaaS）Venom，並指出相關攻擊活動從2025年11月至2026年3月期間升溫，駭客系統性針對全球重要組織的執行長、財務長等高階主管，假借SharePoint檔案共用的通知，並以財務報告的誘餌引誘收信人掃描QR Code。值得留意的是，駭客根據姓名挑選下手目標，有六成是總裁或C級主管，攻擊的範圍橫跨超過20個產業。</p> <p>一旦收信人掃描QR Code，駭客就會先透過假的驗證工具過濾使用者身分，檢查使用者代理字串（User Agent），藉此排除資安公司、無頭瀏覽器、雲端服務供應商、滲透測試工具等。駭客也搭配IP位址即時聲譽檢測工具、蜜罐陷阱（Honeypot），目的是捕捉自動化工具與看不見的網頁元素互動的情形。</p> <p><a href="https://www.ithome.com.tw/news/175006"><strong style="font-size: 22px;">Apache ActiveMQ修補存在13年的高風險漏洞，未更新可能導致遠端程式碼執行</strong></a></p> <p>開源訊息中介軟體ActiveMQ存在高風險漏洞，可能導致遠端執行任意程式碼，根據資安公司Horizon3.ai在4月7日的揭露，此漏洞已存在13年之久，之所以發現，源自該公司研究人員使用Anthropic的AI工具Claude，負責維護ActiveMQ的Apache基金會隨即發布安全公告，並釋出修補程式。</p> <p>這個漏洞編號為CVE-2026-34197，CVSS嚴重性評分達8.8分，問題源自ActiveMQ內建的Jolokia管理API輸入驗證機制不足，攻擊者可透過特定操作，誘使系統載入外部惡意設定檔（Spring XML），進而在系統上執行任意指令。發現與通報這個漏洞的資安公司Horizon3.ai表示，攻擊者需要通過身分驗證才能利用此漏洞，但在ActiveMQ的6.0.0到6.1.1等版本中，由於另一漏洞CVE-2024-32114的存在，將導致攻擊者無須驗證身分即可存取Jolokia API，進而利用CVE-2026-34197發動遠端執行程式碼攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174876"><strong style="font-size: 22px;">OpenSSH發布10.3版修補指令注入漏洞，未更新可能導致執行任意指令攻擊</strong></a></p> <p>Linux常用的開源遠端存取工具OpenSSH，日前發布10.3與10.3p1版，修補包括指令注入、檔案權限處理與憑證驗證在內的多個漏洞，未修補可能導致任意指令執行、提升權限、繞過驗證等問題，建議用戶盡速修補。</p> <p>這次修補的漏洞中，最受矚目的是指令注入（Shell Injection）漏洞CVE-2026-35386，雖然CVSS嚴重性評分只有3.6分，需要特殊的設定與輸入條件才能觸發，但可能導致遠端執行任意程式碼。細部而言，問題出在OpenSSH用戶端對於使用者名稱與輸入字元的處理，存在缺陷，攻擊者可透過特定用戶名稱與設定檔中的特定標記字串，進行指令注入攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174967"><strong style="font-size: 22px;">Apple Intelligence護欄可被繞過，研究人員誘導模型輸出不當內容</strong></a></p> <p>為提升大型語言模型（LLM）的安全性，蘋果Apple Intelligence將模型存放在本地裝置，不過，近期RSA大會（RSA Conference，RSAC）研究人員運用新手法，使其得以繞過蘋果Apple Intelligence護欄進行對模型操弄，使其產出惡意文字。</p> <p>瑞士聯邦政府研究人員及洛桑聯邦理工學院（EPFL）學者結合兩種手法，成功繞過Apple Intelligence護欄。一是名為「神經執行（Neural Exec）」的方法，類似間接式指令注入（indirect prompt injection），輸入人類看來沒有意義的內容，卻能像咒語一樣能控制LLM，攻擊者可以藉此指定想執行的惡意程式碼；第二手法是利用Unicode由右向左覆寫文字的功能，進行字元逆轉攻擊（BiDi Attack）。</p> <p><a href="https://www.ithome.com.tw/news/174959"><strong style="font-size: 22px;">AI出現「暗中違規」行為，研究揭半年近700起事件、5個月暴增近5倍</strong></a></p> <p>英國非營利研究機構長期韌性中心（Centre for Long-Term Resilience）發布最新研究指出，AI系統在真實環境中已出現違反人類指示、甚至規避限制的行為，且相關案例數量正快速增加。研究統計，在2025年10月12日至2026年3月12日期間，共辨識出698起與「scheming」（隱蔽偏離目標的行為）相關的真實事件，單月事件數量在5個月內成長達4.9倍。</p> <p>所謂「scheming」，是指AI同時具備「目標偏離」（misalignment）與「隱蔽性」（covertness），在未被察覺的情況下，執行偏離使用者或開發者原意的行為。研究認為，這類行為可視為AI系統可能出現失控風險的早期徵兆。</p> <p><a href="https://www.ithome.com.tw/news/174996"><strong style="font-size: 22px;">Node.js宣布暫停提供抓漏獎金</strong></a></p> <p>知名漏洞懸賞平臺HackerOne近日宣布，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。</p> <p>Node.js發布公告指出，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將暫停為漏洞通報者提供獎勵。</p> <p><a href="https://www.ithome.com.tw/news/174995"><strong style="font-size: 22px;">以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型</strong></a></p> <p>在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。</p> <p>企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。\</p> <p><a href="https://www.ithome.com.tw/news/174956"><strong style="font-size: 22px;">中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國</strong></a></p> <p><a href="/sites/default/files/images/silverfox-1.png" target="_blank"><img alt="" src="/sites/default/files/images/silverfox-1.png" style="width: 300px; float: right;" /></a></p> <p>曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。</p> <p>資安公司Sekoia針對Silver Fox進行長期追蹤，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&amp;stp=1&amp;step=1&amp;SEQ_NO=1&amp;SPOKE_TIME=162739&amp;SPOKE_DATE=20260410&amp;COMPANY_ID=3131"><strong style="font-size: 22px;">弘塑資訊系統遭勒索軟體攻擊，著手搶救資料</strong></a></p> <p>4月10日半導體濕製程設備製造商弘塑科技（3131）發布資安重訊，指出資訊系統遭遇勒索軟體攻擊，該公司在第一時間偵測到異常情況並進行確認後，隨即啟動資安應變機制，進行係隔離、防護強化，以及資料復原作業。值得留意的是，該公司提及目前仍在持續搶救資料當中，對於事故造成的損失，則有待進一步評估。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nearly-4-000-us-industrial-devices-exposed-to-iranian-cyberattacks/">美國關鍵基礎設施近4千臺設備遭伊朗駭客攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/glassworm-campaign-uses-zig-dropper-to.html">蠕蟲程式GlassWorm透過載入工具Zig滲透IDE</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html">Python資料分析工具Marimo重大漏洞遭到利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/over-1000-exposed-comfyui-instances.html">逾1,000個AI影像生成管理平臺ComfyUI遭到攻擊，駭客用於挖礦、部署殭屍網路</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.welivesecurity.com/en/business-security/cunning-predator-how-silver-fox-preys-japanese-firms-tax-season/">中國駭客Silver Fox針對日本報稅季發動網釣</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> </div></div></div>

伊朗駭客CyberAv3ngers鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國的FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE） 以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構<strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a">發布聯合警告</a></strong>，指出伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊，他們尋找能透過網際網路存取的可程式化邏輯控制器（PLC），這些設備的廠牌包括Rockwell與Allen-Bradley。遭到攻擊的組織，涵蓋政府服務、水資源與廢水處理系統，以及能源產業，自今年3月開始，已有部分受害組織出現營運中斷或財務損失。</p> <p>針對CyberAv3ngers滲透受害組織OT環境的過程，他們通常會利用多個外國IP位址犯案，從網際網路尋找Rockwell與Allen-Bradley製造的PLC設備。這些駭客租用第三方代管基礎設施，部署組態管理軟體，而且，這些設備使用的其中一種組態管理軟體，是Rockwell的Studio 5000 Logix Designer。而被鎖定的PLC設備，包含CompactLogix與Micro850。</p> <p>若是得逞，CyberAv3ngers就會透過44818、2222、102、22、502埠等連接埠導入惡意流量。根據這些連接埠，攻擊者針對的PLC廠牌並非局限Rockwell與Allen-Bradley，也出現攻擊西門子S7系列PLC機種的情況再者，駭客會在受害組織的端點部署SSH連線工具Dropbear，此為OpenSSH的輕量級替代方案，經常用於嵌入式系統。最終駭客截取PLC設備的專案檔案，並竄改人機介面（HMI）與SCADA顯示的資料。</p> <p>對此，FBI呼籲企業組織應將PLC與對外網路斷開連線，並透過實體開關或是軟體金鑰切換等機制，防止未經授權的遠端修改。他們也呼籲要對PLC的邏輯與組態設置進行強而有力的備份，並測試與確認其有效性。</p> </div></div></div>

【資安日報】3月19日，iOS漏洞利用工具DarkSword鎖定加密貨幣資產

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174523"><strong style="font-size: 22px;">iOS漏洞攻擊鏈DarkSword鎖定加密錢包，攻擊iPhone從網路間諜活動走向牟取經濟利益</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/darksword-ios-exploit-chain-fig1a_max-2200x2200.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/darksword-ios-exploit-chain-fig1a_max-2200x2200.jpg" style="width: 300px; float: right;" /></a></p> <p>科技公司Google、Lookout，以及iVerify揭露名為DarkSword的iOS漏洞攻擊鏈，該攻擊鎖定iPhone用戶，能在短時間內竊取包含加密錢包在內的大量敏感資料。相較過去多數針對iPhone的攻擊以監控與情報蒐集為主，DarkSword不僅具備完整間諜能力，也明確鎖定加密資產，顯示行動裝置攻擊開始從單純監控延伸至以金錢為導向的變現動機。</p> <p>DarkSword攻擊鏈自2025年11月起即被Google觀測到，並持續出現在不同攻擊行動中；Lookout則在後續分析惡意基礎設施時還原出完整攻擊鏈，並與Google及iVerify共同確認，將此漏洞利用工具命名為DarkSword。</p> <p><a href="https://www.ithome.com.tw/news/174512"><strong style="font-size: 22px;">思科防火牆管理平臺零時差漏洞遭勒索軟體駭客Interlock濫用，最早可追溯至一月底</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PR-post-image.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PR-post-image.jpg" style="width: 300px; float: right;" /></a></p> <p>Amazon威脅情報團隊指出，勒索軟體駭客組織Interlock自1月26日開始，就將CVE-2026-20131用於實際攻擊行動，時間是早於思科公布漏洞的36天前。該公司循線調查，認為Interlock手裡握有許多零時差漏洞，使得攻擊者能在企業組織無法察覺之前進行滲透。Amazon發現Interlock不當配置的基礎設施，並在其中找到該組織犯案的完整工具包，從而得知駭客的多階段攻擊鏈、RAT木馬程式、偵察用的指令碼，以及迴避偵測的技術。</p> <p>究竟Interlock如何將漏洞用於實際攻擊？他們對Secure FMC特定路徑發出HTTP請求，請求內容包含Java程式碼的執行，以及兩個嵌入的網址，其中一個網址用於傳送利用漏洞的組態資料，另一個則是讓受害系統發出HTTP PUT請求，並上傳特定檔案，目的是回傳、確認漏洞成功利用。</p> <p><a href="https://www.ithome.com.tw/news/174513"><strong style="font-size: 22px;">GNU Inetutils的telnetd存在重大漏洞，未通過身分驗證的攻擊者可執行任意程式碼</strong></a></p> <p>資安公司Dream Security發布漏洞公告指出，由GNU專案開發的網路工具軟體套件GNU Inetutils，其中的telnetd（telnet daemon）元件存在重大漏洞CVE-2026-32746，攻擊者無需登入或通過身分驗證，即可透過特製封包觸發遠端程式碼執行（RCE），並取得系統最高權限，CVSS評分高達9.8，屬於重大層級。該公司表示，問題出在telnetd處理LINEMODE SLC（Set Local Characters）協商機制時，未正確檢查緩衝區大小，導致典型的記憶體緩衝區溢位。</p> <p>攻擊者只需透過Telnet連線，在連線初始交握的階段傳送特製SLC資料，即可觸發漏洞。此漏洞的根源在於程式在處理SLC參數時，會持續將資料寫入固定大小的緩衝區，但未檢查是否已達上限。攻擊者可透過大量惡意資料覆寫記憶體，進而實現任意寫入，最終達成遠端程式碼執行。</p> <p><a href="https://www.ithome.com.tw/news/174519"><strong style="font-size: 22px;">研究人員揭露攻擊鏈Claudy Day，攻擊者可透過Google搜尋埋藏惡意指令發動</strong></a></p> <p>資安公司Oasis Security揭露名為Claudy Day的攻擊手法，指出攻擊者可串連3種漏洞，在未使用惡意軟體或釣魚郵件的情況下，直接竊取使用者在Claude上的對話資料。該攻擊鏈結合3項弱點，包括隱藏式提示注入、Files API濫用，以及claude.com網站的開放式重新導向漏洞，形成完整的資料外洩攻擊流程。Oasis Security強調，攻擊者無須使用其他工具或MCP伺服器，也不用進行任何整合的工作，針對開箱即用的Claude.ai連線階段（Session）進行對話內容的竊取。對此，Anthropic在接獲通報後，修補了提示注入問題，其餘兩個弱點仍在進行改善。</p> <p>這項攻擊之所以得逞的其中一個原因，在於使用者看到的提示內容，與實際送入AI模型的內容不同，造成AI系統在使用者不知情的情況下執行惡意指令。</p> <p><a href="https://www.ithome.com.tw/news/174479"><strong style="font-size: 22px;">網頁伺服器軟體Nginx第三方管理介面存在重大漏洞，可能導致資料外洩與系統遭到接管</strong></a></p> <p>針對開源網頁伺服器與反向代理軟體Nginx的第三方圖形管理介面工具Nginx UI，近日揭露可能導致資料外洩的重大漏洞CVE-2026-27944，CVSS嚴重性評分達9.8，這個漏洞會影響Nginx UI 2.3.2以前版本，解決方法是升級到2.3.3以後版本。</p> <p>問題出在Nginx UI的/api/backup端點未設置身分驗證機制，以致未經授權的遠端使用者可下載備份檔案，且系統回應內容中同時包含解密金鑰，讓攻擊者可直接還原加密的備份檔案，藉此取得使用者帳號密碼、使用者憑證、會話Tokens、SSL 金鑰、Nginx 系統配置等敏感資訊，進而入侵並接管系統。</p> <p><a href="https://www.ithome.com.tw/news/174420"><strong style="font-size: 22px;">OpenSSH存在GSSAPI金鑰交換導致服務中斷漏洞</strong></a></p> <p>資安研究人員近日揭露，Linux常用的遠端存取工具OpenSSH，存在與GSSAPI（Generic Security Services Application Program Interface）金鑰交換機制相關的漏洞，漏洞編號為CVE-2026-3497，CVSS嚴重性評分6.9，但影響範圍相當大，可能衝擊大量依賴OpenSSH的服務，建議用戶儘速更新。</p> <p>問題出在部分Linux發行版在OpenSSH套件中，額外加入的 GSSAPI Key Exchange修補程式存在缺陷，可能在處理GSSAPI相關驗證與連線時造成錯誤，遠端攻擊者只要建立特製連線，就可能觸發錯誤並導致SSH程序終止，導致服務中斷。</p> <p><a href="https://www.ithome.com.tw/news/174515"><strong style="font-size: 22px;">北韓駭客Konni透過網釣散布惡意軟體EndRAT，企圖利用即時通訊軟體擴大感染範圍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/[Figure 1-1] Overall Attack Flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5BFigure%201-1%5D%20Overall%20Attack%20Flow.png" style="width: 300px; float: right;" /></a></p> <p>韓國資安公司Genians指出，Konni近期發動新一波魚叉式釣魚攻擊，誘騙目標下載惡意檔案，一旦入侵成功，便進一步濫用韓國即時通訊平臺KakaoTalk帳號對外擴散攻擊，使受害電腦成為傳播惡意程式的節點。攻擊者首先透過電子郵件寄送與北韓議題相關的誘餌，內含惡意LNK捷徑檔，當受害者開啟後，電腦會下載後續有效酬載，並植入RAT木馬，讓駭客得以長期潛伏並竊取資料。</p> <p>在取得裝置控制權後，駭客會存取受害者已登入的KakaoTalk應用程式，直接向聯絡人發送惡意檔案。由於訊息來自熟識對象，收件者較不易起疑，進而擴大感染範圍。</p> <p><a href="https://www.ithome.com.tw/news/174524"><strong style="font-size: 22px;">微軟公布解決三星電腦無法存取C槽的方法</strong></a></p> <p>上週部分三星桌上型電腦及筆電在安裝微軟二月份安全更新後無法存取C槽，後續微軟證實此事，並指出原因出在三星公用程式Galaxy Connect，對此，微軟3月16日公布解決方法。</p> <p>微軟指出，用戶可移除Galaxy Connect，然後重開機以管理員帳號登入系統，並依照指引修復C槽的存取權限，藉此排除異常。同日微軟發布Windows 11例外更新，修補24H2與25H2版無法顯示連結藍牙裝置的問題。</p> <p><a href="https://www.ithome.com.tw/news/174449"><strong style="font-size: 22px;">縱觀導致資料損毀的多種因素，臺灣企業對硬體故障與人為失誤的擔憂，超越勒索軟體</strong></a></p> <p>導致企業資料損毀的原因，通常包括勒索軟體等外部攻擊，以及儲存設備故障、人為失誤等內部因素。在勒索軟體的肆虐下，外部攻擊長期被視為主要資料損毀風險來源，不過群暉科技（Synology）發布的2026年《台灣企業資料保護大調查》結果顯示，過去一年內，臺灣企業對於人為失誤導致資料損毀的疑慮大幅增加，已略微超過對勒索軟體的顧慮。</p> <p>群暉的報告顯示，相較於2025年，2026年臺灣企業對資安挑戰的威脅來源認知順位，已有明顯變化。 2025年三大資安挑戰的順位，依序是：勒索軟體、硬體故障，以及人為疏失；2026年的排名，則變動為硬體故障、人為疏失、勒索軟體，其中人為疏失的比例更從40%大幅提高至65.6%，顯示企業對勒索軟體的關注相對下降，而對內部操作風險的重視提高，意味企業資料風險正從外部攻擊轉向內部操作失誤。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/cisa-warns-of-zimbra-sharepoint-flaw.html">美國警告Zimbra、SharePoint已知漏洞遭到利用，要求聯邦機構限期修補</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/ubuntu-cve-2026-3888-bug-lets-attackers.html">ConnectWise修補遠端管理工具ScreenConnect重大漏洞，攻擊者可未經授權存取及權限提升</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/9-critical-ip-kvm-flaws-enable.html">4款平價的KVM裝置存在9項資安漏洞，未經身分驗證的攻擊者有機會取得root權限</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fancybear-server-leak/">APT28成功入侵烏克蘭、羅馬尼亞、保加利亞等多個歐洲國家的政府機關與軍事單位，竊得逾2,800封電子郵件</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nordstroms-email-system-abused-to-send-crypto-scams-to-customers/">百貨公司Nordstrom電子郵件系統遭濫用，駭客用於加密貨幣詐騙</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174492"><strong>【3月18日】新型態字型渲染攻擊可騙過AI助理，向使用者顯示惡意內容</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174452"><strong>【3月17日】駭客透過遠端裝置管理平臺抹除Stryker近8萬臺裝置的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174425"><strong>【3月16日】歐美多國合作圍剿常駐型代理伺服器網路SocksEscort</strong></a></p> </div></div></div>

【資安日報】1月15日，Node.js存在資安漏洞，恐波及React、Next.js、應用程式效能監控工具

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173341"><strong style="font-size: 22px;">Node.js修補堆疊耗盡DoS風險，React、Next.js與應用效能監控工具受波及</strong></a></p> <p>Node.js專案釋出安全更新，修補多項弱點，開發工程團隊特別提醒，CVE-2025-59466可能在特定非同步追蹤機制啟用時，讓記憶體堆疊耗盡的錯誤處理失效，造成程序異常退出，進而產生DoS風險，影響範圍涵蓋React、Next.js，或導入的應用效能監控工具（APM）服務。</p> <p>Node.js安全公告指出，啟用async_hooks相關追蹤機制時發生呼叫堆疊耗盡，錯誤可能走不到一般例外處理流程，連uncaughtException這類未捕捉例外事件也不一定會觸發，就會導致程序直接退出。要是應用程式存在由外部輸入推高遞迴深度的邏輯，例如處理高度巢狀的JSON，就可能被單一請求觸發堆疊耗盡，導致整個服務中斷或反覆重啟。</p> <p>Node.js也點名常見的觸發情境，React伺服器元件與Next.js經常透過AsyncLocalStorage來保存同一個請求或轉譯流程的脈絡資訊，讓資料能跨多個非同步步驟一路傳下去。而在Node.js 20與22等版本，AsyncLocalStorage建立於async_hooks之上，因此更容易落入該漏洞觸發條件。另一方面，不少APM也會用AsyncLocalStorage或直接呼叫async_hooks.createHook串起跨非同步邊界的追蹤資訊，讓不少應用因導入監控而被動啟用相關機制。</p> <p><a href="https://www.ithome.com.tw/news/173374"><strong style="font-size: 22px;">Fortinet修補旗下FortiSIEM、FortiFone重大漏洞</strong></a></p> <p>Fortinet本周釋出安全更新，修補安全資訊與事件管理平臺FortiSIEM與網路電話（VoIP）解決方案FortiFone的多項產品漏洞，包含程式碼執行及洩露配置資訊的重大風險漏洞。</p> <p>這些重大漏洞分別是FortiSIEM中的CVE-2025-64155，及影響FortiFone的CVE-2025-47855。CVE-2025-64155是OS指令特別元素中和不當（improper neutralization）漏洞，可讓未經驗證的攻擊者傳送變造的TCP請求，以在受害裝置上執行非授權程式或指令，CVSS風險值為9.4。</p> <p>第二個重大漏洞是CVE-2025-47855，為存在FortiFone集中管理介面Web Portal的存取控管不當漏洞。這項漏洞可讓未經授權的攻擊者傳送變造的HTTP或HTTPS請求，取得裝置的配置資訊，風險值為9.3。</p> <p><a href="https://www.ithome.com.tw/news/173372"><strong style="font-size: 22px;">研華科技修補工業物聯網平臺與設備管理平臺10分重大漏洞</strong></a></p> <p>1月12日新加坡網路安全局（Cyber Security Agency of Singapore，CSA）提出警告，指出工業電腦龍頭與物聯網解決方案龍頭研華科技（Advantech）發布更新，修補IoTSuite 3D Visualization（SaaS Composer）重大層級漏洞CVE-2025-52694，此為SQL注入漏洞，只要存在弱點的系統曝露於網際網路，未經身分驗證的攻擊者可遠端觸發漏洞，使該系統執行任何SQL命令，CVSS風險評分達到10分（滿分10分），相當危險，呼籲用戶要儘速安裝更新。</p> <p>這項漏洞影響雲端圖像化組態配置工具IoTSuite SaaS Composer，以及多種型態的IoTSuite容器與套件，研華科技發布IoTSuite SaaS Composer V3.4.15、IoTSuite Growth Linux Docker V2.0.2、IoTSuite Starter Linux Docker V2.0.2、IoT Edge Linux Docker V2.0.2，以及IoT Edge Windows V2.0.2修補。</p> <p>研華也在同日發布資安公告說明，並透露這個漏洞可能會造成的影響。他們提到，此SQL注入漏洞將影響資料的機密性、完整性，以及可用性。在特定情況下，此漏洞有機會用於未經授權存取或竄改資料。</p> <p><a href="https://www.ithome.com.tw/news/173378"><strong style="font-size: 22px;">Moxa修補工業交換器的OpenSSH元件重大漏洞</strong></a></p> <p>工業網路設備廠商四零四科技（Moxa）於1月9日發布資安公告，他們針對交換器設備修補OpenSSH重大漏洞CVE-2023-38408，若是攻擊者成功利用，就能在特定代理程式將流量轉發到攻擊者控制的系統時，得以遠端執行任意的程式碼，CVSS風險評為9.8分（滿分10分），相當危險，影響EDS-G4000與RKS-G4000系列的機種，該公司已推出新版韌體修補。</p> <p>這項漏洞出現的原因，是存在OpenSSH 9.3p2之前的版本，ssh-agent元件的PKCS#11功能因不可靠的搜尋路徑，於特定情況會引發遠端程式碼執行（RCE），Moxa表示，該弱點是因為CVE-2016-10009修補不完全造成。</p> <p>若是用戶無法及時套用新版韌體，Moxa也建議採取緩解措施降低風險，包括限制網路存取、減少外部曝露、強化設備的身分驗證與存取控制，並針對異常行為執行監控，以及定期對事件記錄進行稽查。</p> <p><a href="https://www.ithome.com.tw/news/173384"><strong style="font-size: 22px;">專為雲端打造的Linux惡意程式VoidLink現身</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/persistence_censored.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/persistence_censored.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Check Point揭露名為VoidLink的高階Linux惡意程式框架，它專門針對現代雲端基礎設施所設計，具備高度模組化架構及隱蔽能力。</p> <p>VoidLink以現代系統程式語言Zig所開發，為完整的命令暨控制（C2）框架，包含客製化載入器、植入程式、Rootkit，以及37個外掛模組。研究人員是在2025年12月首度發現VoidLink樣本，初步判斷來自與中國有關的開發環境。</p> <p>該惡意程式最大的特色在於「雲端優先」（Cloud-First）的設計理念，可自動辨識多個主流雲端服務供應商，包括AWS、Google Cloud、Azure、阿里雲及騰訊雲等主流雲端平臺，同時可偵測是否運行於Docker容器或Kubernetes叢集中，以依據環境動態調整其行為。此外，它也會收集Git等版本控制系統的憑證資料，透露出軟體工程師或許是潛在目標，暗示未來可能發動供應鏈攻擊。</p> <p><a href="https://www.ithome.com.tw/news/173379"><strong style="font-size: 22px;">摩根大通受合作的法務業者連累，外洩數百人資料</strong></a></p> <p>知名跨國銀行摩根大通（JPMorgan Chase）向美國緬因州檢察長辦公室提交報告，去年10月因合作的法律顧問公司發生資安事件，致使摩根大通外洩近700人的個資。</p> <p>有別於許多資料外洩事故，駭客必須設法取得企業網路環境的初期存取管道，Zestix則是另闢蹊徑：透過廣泛利用竊資軟體，例如：RedLine、Lumma，或是Vidar來感染員工電腦或特定的裝置，然後從竊得的事件記錄資料進行過濾，找到ShareFile、Nextcloud，以及OwnCloud等企業雲端檔案共享服務平臺（EFSS）的入口網站網址與帳密資料，然後輕易從企業偷走大批內部資料。對此，OwnCloud也發布資安公告，指出這起事故並非他們的平臺出現零時差漏洞造成，呼籲用戶立即啟用多因素驗證。</p> <p>經由摩根大通和Fried Frank合作，確認事件影響摩根大通的某種基金投資客戶，以及相關個人如配偶或依授權書行事的代理人，總人數為659人。受影響資料包含全名、聯絡資訊（地址、電話或電子郵件）、金融帳戶號碼、社會安全號碼、護照號碼或其他政府核發的身分證號碼。摩根大通為受影響人士提供2年的信用監控服務。</p> <p><a href="https://www.ithome.com.tw/news/173332"><strong style="font-size: 22px;">Apex Legends爆出角色遭遠端操控與強制斷線事件，開發商Respawn已修復但未說明原因</strong></a></p> <p>知名遊戲Apex Legends近日出現疑似遭遠端干預輸入的安全事件，多名玩家回報在連線狀態正常時，角色仍會出現非本人操作的移動與行為，並伴隨強制斷線與暱稱遭更動等異常。Respawn已在對外承認事件後的數小時內表示問題已排除，但截至目前仍未公開成因、受影響範圍與更多技術細節。</p> <p>綜合玩家回報，異常情況至少自1月9日前後開始出現。社群陸續流傳多段錄影與貼文，內容顯示角色在非本人操作下自行移動，甚至被引導往地圖邊緣，另有案例指出隊友被依序踢出伺服器，但角色仍留在場上行動，疑似遭他人接手操控。</p> <p>Respawn在2026年1月10日透過社群平臺回應，表示已注意到一樁進行中的安全事件，外部人士能在遊戲內遠端控制其他玩家輸入。公司同時強調初步調查未發現跡象顯示攻擊者能在玩家電腦上安裝或執行程式碼，因此不像遠端程式碼執行或注入攻擊那類典型情境，並稱正著手處理並將持續更新資訊。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&amp;stp=1&amp;step=1&amp;SEQ_NO=1&amp;SPOKE_TIME=173219&amp;SPOKE_DATE=20260114&amp;COMPANY_ID=4707"><strong style="font-size: 22px;">化學廠商磐亞網站遭到DDoS攻擊，已恢復運作、無資料外洩</strong></a></p> <p>化學大廠磐亞（4707）於1月14日傍晚，於股市公開觀測站發布重大訊息，證實公司網站的代管服務遭受網路分散式阻斷服務（DDoS）攻擊。磐亞在發現異常後，立即通知委外代管廠商啟動相關資安防護及應變機制。在技術團隊的協作下，目前已成功阻斷攻擊，並確保網站服務恢復正常。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/reprompt-attack-let-hackers-hijack-microsoft-copilot-sessions/">攻擊手法Reprompt針對微軟Copilot用戶而來，可竊取連線階段資料及洩露敏感內容</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/pluggyape-malware-uses-signal-and.html">惡意程式Pluggyape透過即時通訊軟體Signal與WhatsApp，鎖定烏克蘭國防軍而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/long-running-web-skimming-campaign.html">駭客長期透過購物網站的結帳網頁從事側錄活動，竊取客戶的信用卡資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-ghost-tap-attack/">攻擊手法Ghost Tap鎖定安卓手機而來，意圖榨乾使用者的銀行帳戶</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173352"><strong>【1月14日】微軟修補3個零時差漏洞，其中1個已出現攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173329"><strong>【1月13日】VMware ESXi零時差漏洞恐在兩年前就遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173295"><strong>【1月12日】趨勢修補旗下集中管理平臺Apex Central重大層級漏洞</strong></a></p> </div></div></div>

Moxa修補工業交換器的OpenSSH元件重大漏洞

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>工業網路設備廠商四零四科技（Moxa）於1月9日發布資安公告，<strong><a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-256261-cve-2023-38408-openssh-vulnerability-in-ethernet-switches">他們針對交換器設備修補OpenSSH重大漏洞CVE-2023-38408</a></strong>，若是攻擊者成功利用，就能在特定代理程式將流量轉發到攻擊者控制的系統時，得以遠端執行任意的程式碼，CVSS風險評為9.8分（滿分10分），相當危險，影響EDS-G4000與RKS-G4000系列的機種，該公司已推出新版韌體修補。</p> <p>這項漏洞出現的原因，是存在OpenSSH 9.3p2之前的版本，ssh-agent元件的PKCS#11功能因不可靠的搜尋路徑，於特定情況會引發遠端程式碼執行（RCE），Moxa表示，該弱點是因為CVE-2016-10009修補不完全造成。</p> <p>此漏洞起初<strong><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent">由資安公司Qualys發現</a></strong>，存在於金鑰暫存元件ssh-agent，影響9.3p1及之前版本的OpenSSH。ssh-agent是在背景運作的處理程序，會在SSH公鑰身分驗證的流程中，暫存私鑰，目的是減少對一般密碼輸入的需求。它會在登入的連線階段（Session）開始時啟動，將金鑰存放於記憶體裡，在處理程序結束後移除金鑰，在自動化指令碼或是需頻繁存取伺服器的連線過程裡，扮演重要的角色。2023年7月OpenSSH開發工程團隊獲報後，發布9.3p2版修補。</p> <p>若是用戶無法及時套用新版韌體，Moxa也建議採取緩解措施降低風險，包括限制網路存取、減少外部曝露、強化設備的身分驗證與存取控制，並針對異常行為執行監控，以及定期對事件記錄進行稽查。</p> <p>針對這項漏洞帶來的影響，我們也向Moxa進一步了解，該公司認為實際影響相當有限。因為，Moxa表示，雖然根據CVSS評分，CVE-2023-38408被列為高嚴重漏洞，但他們目前沒有接獲漏洞被利用的通報，根據內部工程團隊驗證，此漏洞在路由器的軟體架構裡並無可被觸發的攻擊路徑，因此Moxa研判，實際造成的風險相對較低。</p> </div></div></div>

【資安日報】1月14日，微軟修補3個零時差漏洞，其中1個已出現攻擊行動

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173342"><strong style="font-size: 22px;">微軟1月修補3個零時差漏洞，其中1個已被用於實際攻擊、2個已公開</strong></a></p> <p>1月13日微軟發布本月例行更新（Patch Tuesday），針對旗下Windows作業系統、Office辦公室套裝軟體，以及Azure雲端服務與開發工具，修補112個安全漏洞，較上個月57個多出一倍。值得留意的是，已有遭到利用與細節被公開的零時差漏洞，用戶應儘速採取行動因應。</p> <p>其中，已被用於實際攻擊行動的是資訊洩露（ID）漏洞CVE-2026-20805，此漏洞出現於桌面視窗管理員（Desktop Window Manager，DWM），一旦遭到利用，取得授權的攻擊者，能在本機電腦上，透過桌面視窗管理員將資料外洩給未經授權的人，洩漏的資訊是進階程序呼叫的一段使用者模式記憶體位址，CVSS風險為5.5分。</p> <p>此漏洞由微軟威脅情報中心（MSTIC）及微軟安全回應中心（MSRC）通報，不過，微軟並未透露漏洞如何遭到利用。長期觀察微軟每月例行更新的Zero Day Initiative（ZDI）推測，攻擊者利用此漏洞洩露特定的記憶體區段位址後，可能會在下個階段啟動攻擊鏈，並能執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/173343"><strong style="font-size: 22px;">SAP發布1月例行更新，修補SQL注入、程式碼注入，以及遠端程式碼執行的重大漏洞</strong></a></p> <p>SAP於1月13日發布本月例行更新（Security Patch Day），總共修補17個資安漏洞，根據危險程度區分，有重大漏洞4個、高風險漏洞4個、中度風險7個，以及低風險兩個。</p> <p>本次修補的重大漏洞為CVE-2026-0501、CVE-2026-0500、CVE-2026-0498，以及CVE-2026-0491，影響ERP系統S/4HANA、應用程式效能監控（APM）平臺Wily Introscope Enterprise Manager，以及資料複製與轉換平臺Landscape Transformation。</p> <p>其中，有兩個漏洞CVE-2026-0501及CVE-2026-0498，同時影響本地建置與雲端版本的S/4HANA，最嚴重的是CVSS風險評分達到9.9的CVE-2026-0501，此為SQL注入漏洞，起因是輸入驗證不夠充分，通過身分驗證的攻擊者可藉由執行特定的SQL查詢，從而讀取、竄改，甚至刪除後端資料庫的內容。</p> <p><a href="https://www.ithome.com.tw/news/173351"><strong style="font-size: 22px;">Adobe為ColdFusion修補Apache Tika滿分漏洞，呼籲用戶優先處理</strong></a></p> <p>1月13日Adobe針對旗下13款應用程式發布更新，總共修補25個漏洞，其中有18個被列為重大層級，比起12月公布的139個漏洞，數量已大幅下降。值得留意的是，本次最為危險而受到高度關注的漏洞，是出現在網頁應用程式開發平臺ColdFusion的CVE-2025-66516，Adobe呼籲企業，應優先安排ColdFusion更新的部署。</p> <p>CVE-2025-66516出現在ColdFusion採用的文件內容分析元件Apache Tika，屬於XML外部實體（XXE）型態的漏洞，攻擊者只要發送嵌入XML Forms Architecture（XFA）表單的特製PDF檔案，就有機會在未經驗證的情況下，遠端讀取伺服器敏感資料，或是對內部系統發送請求，過程完全不需使用者互動，CVSS風險達到10分（滿分10分），Adobe發布ColdFusion 2025 Update 6與ColdFusion 2023 Update 18修補，並將其更新程式的部署優先順序列為第1級。</p> <p>從修補重大漏洞數量來看，DreamWeaver本次修補5個漏洞最多，也相當值得留意。這些漏洞涵蓋作業系統命令注入、輸入驗證不夠周延，以及授權不正確型態的弱點，可被用於執行任意程式碼或任意寫入系統檔案，風險值介於7.8至8.6分。</p> <p><a href="https://www.ithome.com.tw/news/173333"><strong style="font-size: 22px;">Google發布Chrome 144電腦版更新，修補3項高風險漏洞</strong></a></p> <p>Google於1月13日發布電腦版Chrome 144穩定更新，推送版本包含Linux版144.0.7559.59，以及Windows與Mac版144.0.7559.59與144.0.7559.60，更新將於未來幾天至數週內陸續提供給用戶。</p> <p>此次更新共修補10項資安漏洞，這些弱點的CVSS風險分數尚未公布，但Google表明其中包含3項高風險漏洞。最受關注的是CVE-2026-0899，該漏洞出現在V8 JavaScript引擎，屬於越界記憶體存取問題，由外部資安研究人員@p1nky4745通報，Google並提供8,000美元漏洞獎勵。</p> <p>另外兩項高風險漏洞為CVE-2026-0900與CVE-2026-0901，分別涉及V8與Blink元件的不當實作問題，前者由Google內部通報，後者則由資安研究人員Irvan Kurniawan（sourc7）發現。</p> <p><a href="https://www.ithome.com.tw/news/173325"><strong style="font-size: 22px;">工作流程自動化平臺n8n重大漏洞Ni8mare公開近一周，仍有近6萬臺實體尚未修補</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JJDDy6Rhaj.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JJDDy6Rhaj.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyera近日公開工作流程自動化平臺n8n重大資安漏洞CVE-2026-21858（Ni8mare），n8n也隨後發布公告提醒自架用戶儘速修補。根據Shadowserver掃描結果，截至2026年1月12日，仍有59,020個對外暴露的n8n實體尚未修補，其中有99個位於臺灣，且在週末期間，一度觀測到105,763個曝險的n8n實體。</p> <p>n8n在公告中說明，漏洞只會出現在特定的表單型工作流程。當工作流程同時具備可上傳檔案的表單提交觸發器，且在流程尾端以表單結束節點回傳二進位檔案時，因輸入驗證不當，未經身分驗證的攻擊者在特定條件下可遠端讀取底層檔案系統內容，造成機敏資訊曝光，並可能被用來進一步接管n8n實例，CVSS風險達到10分（滿分10分）。</p> <p>就受影響範圍而言，n8n說明此漏洞主要影響自架版本1.65到1.120.4，並指出雲端託管環境由官方自動升級處理，2.x系列也已內建修補。對仍在上述版本區間的自架用戶，官方建議直接升級到1.121.0或更新版本。要是短期內無法升級，可先限制或停用對外公開的網路回呼與表單端點，降低被掃描與嘗試利用的機會。</p> <p><a href="https://www.ithome.com.tw/news/173330"><strong style="font-size: 22px;">CISA警告Gogs零時差漏洞已被用於實際攻擊</strong></a></p> <p>美國網路安全暨基礎設施安全管理署（CISA）在1月12日，將自架Git平臺Gogs的漏洞CVE-2025-8110納入已遭利用的漏洞列表（KEV），並要求美國聯邦機關在2月2日前完成修補或採取替代措施，以降低既有威脅擴散的風險。</p> <p>Gogs是以Go語言撰寫，主打可自架的輕量Git服務，常見於中小型團隊或內網程式碼託管情境。資安業者Wiz揭露的CVE-2025-8110之所以受到關注，在於攻擊流程貼近實務情境，攻擊者在具備已驗證身分且可建立儲存庫等權限的前提下，可透過PutContents API搭配符號連結（Symbolic Link）繞過既有路徑檢查，將寫入動作導向儲存庫目錄之外，進而在伺服器端達到任意命令執行的效果。</p> <p>Gogs專案已在GitHub程式碼庫提交針對CVE-2025-8110的修補與說明，核心方向是強化符號連結與路徑邊界檢查，避免透過PutContents等寫入流程把檔案更新導向儲存庫之外。企業與開發團隊應先盤點環境內是否仍在使用Gogs，特別是對外服務節點，再依供應商指引評估更新作業或採取等效緩解措施，例如減少對外曝露面與關閉不必要的開放註冊。</p> <p><a href="https://www.ithome.com.tw/news/173328"><strong style="font-size: 22px;">駭客兜售50家大型企業的內部資料，疑透過員工電腦竊得帳密，入侵雲端檔案共用環境而得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sentap_profile.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/sentap_profile.png" style="width: 300px; float: right;" /></a></p> <p>根據威脅情報公司Hudson Rock的調查，代號為Zestix（又名Sentap）的駭客，正於暗網兜售從全球約50家知名企業竊取的機密資料。這場大規模外洩的源頭，並非複雜的系統漏洞，而是基礎的「憑證衛生（Credential Hygiene）」失敗，企業並未落實定期更換密碼，以及沒有採用多因素驗證（MFA）而釀禍。</p> <p>有別於許多資料外洩事故，駭客必須設法取得企業網路環境的初期存取管道，Zestix則是另闢蹊徑：透過廣泛利用竊資軟體，例如：RedLine、Lumma，或是Vidar來感染員工電腦或特定的裝置，然後從竊得的事件記錄資料進行過濾，找到ShareFile、Nextcloud，以及OwnCloud等企業雲端檔案共享服務平臺（EFSS）的入口網站網址與帳密資料，然後輕易從企業偷走大批內部資料。對此，OwnCloud也發布資安公告，指出這起事故並非他們的平臺出現零時差漏洞造成，呼籲用戶立即啟用多因素驗證。</p> <p>受害企業遍布全球多個產業，包括航空、機器人、房地產，以及政府的基礎設施。名單中不乏知名企業如西班牙國家航空（Iberia Airlines）、日本積水房屋（Sekisui House）、列車製造商中車麻薩諸塞（CRRC MA），以及哥倫比亞大型IT整合服務業者CiberC等。</p> <p><a href="https://www.ithome.com.tw/news/173338"><strong style="font-size: 22px;">Google開源Salesforce配置錯誤偵測工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aurainspector-fig12_max-800x800.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aurainspector-fig12_max-800x800.png" style="width: 300px; float: right;" /></a>因應去年多家企業Salesforce資料外洩，Google旗下資安服務部門Mandiant開源名為AuraInspector的工具，能偵測導致敏感資訊外洩的Salesforce配置錯誤。</p> <p>針對提供此工具的動機，起因是Mandiant經常發現企業Salesforce的對外平臺體驗雲（Salesforce Experience Cloud），存在配置不當問題而不自知，可讓駭客存取敏感資料，包括信用卡號、身分文件，以及健康資訊等。Mandiant的AuraInspector為命令列工具，可自動偵測Salesforce Aura框架內的存取控制配置錯誤，協助辨識和稽核Salesforce對外網站的配置問題，防範資料外洩。</p> <p>Mandiant指出，Aura的底層權限配置錯誤，很可能引發資料外洩。由於Salesforce物件共享規則可以在好幾層進行配置，想找出錯誤配置變得很困難，企業管理員仍舊面臨挑戰，使得Aura端點成為Salesforce體驗雲中最常被鎖定攻擊的端點。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-52694-cvss-10-critical-advantech-sql-injection-exposes-iot-devices/">研華科技修補工業物聯網平臺與設備管理平臺10分重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-alert-moxa-switches-exposed-to-openssh-remote-code-execution-cvss-9-8/">Moxa修補工業交換器的OpenSSH元件重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-apache-struts-2-flaw/">Apache Struts存在XXE漏洞，恐曝露敏感資料、引發DoS或SSRF攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-22184-cvss-9-3-critical-zlib-flaw-opens-door-to-global-buffer-overflow/">資料壓縮程式庫zlib存在重大漏洞，恐造成記憶體全域緩衝區溢位</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fortinet-critical-alert-cve-2025-64155-rce-config-leaks-exposed/">Fortinet修補SIEM平臺重大漏洞，若不處理恐導致組態配置外流</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173329"><strong>【1月13日】VMware ESXi零時差漏洞恐在兩年前就遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173295"><strong>【1月12日】趨勢修補旗下集中管理平臺Apex Central重大層級漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173257"><strong>【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</strong></a></p> </div></div></div>

5個中國國家級駭客加入利用React2Shell的行列，部署後門及隧道工具控制受害主機

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月3日React開發工程團隊修補風險值達到10分的資安漏洞CVE-2025-55182（React2Shell），此漏洞發生在React Server Components（RSC）元件，最早傳出<strong><a href="https://www.ithome.com.tw/news/172651">Earth Lamia（UNC5454）與Jackpot Panda等多組中國國家級駭客試圖利用</a></strong>，後續也有多家資安公司發現該國駭客的相關活動，現在有新的調查結果出爐，指出有5組中國駭客加入漏洞利用行列。</p> <p>12月13日Google威脅情報團隊（GTIG）揭露<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182/">中國駭客組織UNC6586、UNC6588、UNC6595、UNC6600，以及UNC6603的全球攻擊活動</a></strong>，共通點在於，過程裡駭客都使用了React2Shell而得逞。</p> <p>其中，較為特別的是UNC6600的活動，他們利用React2Shell漏洞來傳送隧道工具MinoCat。他們執行bash指令碼來建立隱藏的資料夾，清除特定名稱的處理程序，然後下載MinoCat的二進位檔案，駭客於特定的使用者Shell組態插入惡意命令，來啟動MinoCat，此為Go語言打造的64位元ELF執行檔，搭載自製的wrapper元件NSS，以及開源的Fast Reverse Proxy（FRP）用戶端元件，來處理隧道通訊。為了能讓隧道工具持續運作，UNC6600建立新的cron工作排程，並濫用systemd服務。</p> <p>另一個惡意程式下載工具Snowlight的活動，也相當值得留意，UNC6586利用漏洞執行命令，或是接收指令碼，然後下載Snowlight，此為Go語言後門程式Vshell的元件，駭客用於對C2發送HTTP GET請求，從C2基礎設施取得其他的有效酬載。值得留意的是，<strong><a href="https://www.ithome.com.tw/news/172683">已有外號為UNC5174或CL-STA-1015中國駭客組織</a></strong>，利用React2Shell散布Snowlight與Vshell，然後竊取AWS組態及憑證檔案，揭露此事的資安公司Palo Alto Networks指出，他們確認至少有30家企業受害。</p> <p>GTIG看到後門程式Hisonic與Compood的活動，其中，UNC6603藉由React2Shell散布Hisonic，鎖定亞太地區的AWS與阿里雲等雲端基礎設施的實體（instance）而來。此後門程式以Go語言開發，其特點是濫用Cloudflare Pages和GitLab等合法服務，存放加密相關的組態配置，這麼做的目的，就是將惡意流量埋入合法的網路活動。</p> <p>另一個後門Compood的活動，是名為UNC6588的駭客組織所為，他們執行特定的指令碼下載後門程式的有效酬載，並將其偽裝成文字編輯工具Vim。儘管後續駭客並未採取其他活動，無從判斷意圖，不過，中國駭客使用Compood可追溯至2022年，當時在臺灣、越南，以及中國都出現活動。</p> <p>最後一支惡意程式是AngryRebel.Linux，UNC6595利用安裝指令碼b.sh部署，並試圖將其偽裝成合法的OpenSSH處理程序，主要攻擊目標是虛擬專用伺服務（VPS）。</p> </div></div></div>

【資安週報】1103~1107，普發現金萬元開跑，財政部封假冒網站並提醒國人務必識別政府網域

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年11月第一星期的資安新聞，首要焦點是財政部的示警，指出普發現金政策自11月5日開放預先登記，但在此之前幾日，網路上出現假冒財政部的網站，為了防範國人受騙，財政部已要求IASP與ISP業者停止解析與啟動封鎖，並提醒民眾需務必識別政府正牌的網域。</p> <p>安永會計師事務所資料庫雲端備份曝險的消息，是本星期最多人關注的新聞，通報此事的資安業者Neo Security指出，研究人員發現一個容量達4 TB的<font dir="auto" style="box-sizing: border-box; border: 0px solid; margin: 0px; padding: 0px; vertical-align: inherit;">SQL Server BAK檔案暴露在網際網路，追查後確認該資料庫屬於</font>安永。研究人員提醒，即便是具備完整資源與專業能力的大型組織，也可能因設定疏漏而意外暴露SQL Server資料庫備份檔案，其他企業與機構應引以為戒，檢視自身配置安全問題。</p> <p>在資安威脅態勢方面，有3類攻擊活動值得重視，涵蓋涉及運輸物流、業務外包（BPO）產業的最新攻擊態勢，以及多項針對VS Code開發人員的攻擊行動。</p> <p>●運輸物流業者注意！資安業者Proofpoint揭露鎖定運輸物流的攻擊行動，指出這類網路犯罪活動在全球各地都會發生，在攻擊手法上，濫用合法遠端管理工具（RMM）是主要關鍵，攻擊目的不是單純竊取資料，而是竊取帳號與相關權限並偽造運送單、改變配送，最終使實體貨物被竊走並轉售牟利。<br /> ●美國業務外包知名業者Conduent通報資料外洩事件，說明今年1月發現遭入侵，調查後發現去年10月即遭非法存取。恰巧的是，資安業者Palo Alto Networks揭露一樁國家級駭客攻擊行動CL-STA-1009，是鎖定業務流程外包業者從事供應鏈攻擊，並使用Airstalk惡意程式竊取瀏覽器中Cookie等敏感資料。<br /> ●經常使用VS Code延伸套件市集的開發者注意，近來有3起活動受關注：（一）有攻擊者偽冒知名套件solidity，當下載量達1.4萬次後，於新版中暗藏遠端存取木馬SleepyDuck；（二）出現名為susvsex的惡意套件，作者聲稱具勒索軟體功能，但微軟竟然沒發現其中有問題而允許上架一段時間，因而引發關注。（三）發現OpenVSX與VS Code市集出現GlassWorm，攻擊者並以人眼無法辨識的Unicode特殊字元來規避傳統程式碼審查。</p> <p>至於其他重要威脅態勢，有3則新聞突顯攻擊者不斷發展新的攻擊手法，也持續沿用舊有攻擊模式。<br /> ●資安業者Bitdefender與喬治亞電腦緊急應變中心（CERT-GE）示警，俄駭客私建輕量Linux VM偽裝WSL子系統，混淆資安監控。<br /> ●發現新的惡意軟體家族PromptFlux與PromptSteal，會在執行階段調用LLM，Google威脅情報團隊指出，攻擊者透過與Gemini API互動按需生成並混淆惡意程式碼，以迴避特徵碼偵測，而非將惡意行為寫死於程式碼中。<br /> ●澳洲網路安全中心（ACSC）示警，有攻擊者持續鎖定兩年前思科IOS XE滿分漏洞攻擊，植入名為BadCandy的惡意程式。</p> <p>在資安事件方面，有一家臺灣上市公司發布資安重訊，11月4日我們注意Radar勒索軟體組織宣稱福貞控股是受害者，追查後，上市公司福貞-KY已在前一天傍晚7點公告，說明子公司福建福貞金屬包裝發生網路資安事件，有部分資訊系統遭受駭客網路攻擊；國際間，日本財經媒體《日經（Nikkei）》揭露資料外洩，說明發現一名員工電腦感染病毒，導致公司Slack遭未經授權的外部人士登入，可能有1.7萬人的電子郵件與對話記錄受影響。</p> <p>至於漏洞利用消息方面，Gladinet在10月中修補企業檔案同步共享平臺CentreStack與TrioFox的漏洞CVE-2025-11371，資安業者Huntress指出此前已有攻擊活動，是一起零時差漏洞攻擊事件，至少3家客戶成為目標；Linux開源面板Control Web Panel在6月修補漏洞CVE-2025-48703，如今發現已有攻擊者鎖定利用情形。</p> <p>還有DNS伺服器軟體BIND修補的3項高風險漏洞值得注意，Shadowserver基金會發現，修補釋出一星期後，仍有6千多臺伺服器尚未修補，臺灣也有71臺。</p> <p>在資安防禦方面，國內有兩則重要消息公布，一是我們報導LINE與刑事局今年6月聯手打詐，揭露LINE如何分析警方依法提供的高風險門號資料，如何克服挑戰找出涉詐帳號，並且減少誤封正常帳號；另一是資安院新推動的資安漏洞獵捕計畫，已有11家臺灣電子產品製造品牌廠商報名，並提供700萬元漏洞懸賞獎金，如今將邁入紅隊報名階段。</p> <p>產業間也有3個重要消息，包括：GitLab 18.5發布，最大特色是導入全新Duo Planner與Duo資安分析代理來強化DevSecOps運作；蘋果發布多項產品的安全更新，其中有5項漏洞的通報，是來自Google旗下AI資安代理Big Sleep，顯現AI協助發現漏洞的成果持續增加；甲骨文（Oracle）預計於明年4月終止MySQL 8.0的生命周期，專家提醒升級8.4版或尋求第三方取得延伸支援來因應。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172013"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月3日】澳洲尚有超過150臺思科IOS XE路由器遭BadCandy入侵</span></strong></a></h3> <p>兩年前的資安漏洞造成的災情，迄今仍尚未完全緩解！上週澳洲網路安全中心（ACSC）指出，利用思科網路設備作業系統IOS XE滿分漏洞CVE-2023-20198滲透路由器的惡意程式BadCandy，迄今當地仍有約150臺設備感染，雖然相較於兩年前漏洞攻擊爆發時超過400臺受害已降低不少，但有些設備在他們通報並清除惡意程式後，又再度遭到感染，呼籲企業要採取相關措施因應。</p> <p>半年前公布的Windows捷徑檔（LNK）零時差漏洞ZDI-CAN-25373（CVE-2025-9491）近日再度出現在新聞版面而受到關注，資安業者Arctic Wolf發現，中國駭客UNC6384加入漏洞利用的行列，由於微軟表明不會修補這項漏洞，再加上中國駭客攻擊全球外交單位的情況頻傳，這樣的態勢有可能會讓國際局勢變得更加緊張。</p> <h3><a href="https://www.ithome.com.tw/news/172032"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月4日】新型態惡意軟體濫用OpenAI的API隱匿行蹤</span></strong></a></h3> <p>隨著企業組織對於資安越來越重視，駭客也透過以合法掩護非法的策略，隱匿攻擊活動以免東窗事發，其中針對遠端透過C2控制受害電腦的手段，最近幾年最常見的是濫用合法雲端服務來達到目的，但這樣的情況本週出現變化，在今天有兩個相關資安事故消息，其中一個是惡意軟體SesameOp的攻擊行動，駭客運用了OpenAI的特定API來達到目的；另一起事故是惡意軟體Airstalk活動，國家級駭客攻擊行動CL-STA-1009濫用裝置管理平臺Workspace ONE Unified Endpoint Management的API而得逞。</p> <p>今天新聞當中，鎖定裝置管理平臺下手的現象也相當值得關注，除了前述的Workspace ONE Unified Endpoint Management，本週有資安業者揭露裝置管理平臺Lanscope Endpoint Manager重大資安漏洞CVE-2025-61932被用於實際攻擊的情況，中國駭客組織Bronze Butler用於入侵受害企業組織。</p> <h3><a href="https://www.ithome.com.tw/news/172061"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月5日】俄羅斯駭客濫用Hyper-V及Linux VM迴避EDR偵測</span></strong></a></h3> <p>為了讓攻擊流程順利進行，攻擊者試圖迴避EDR偵測，過往的策略大多都是干擾其運作來達到目的，不過現在有人直接利用Linux執行檔，在無須讓EDR系統停擺的情況下從事活動且不被察覺。在趨勢科技揭露Qilin透過Linux版勒索軟體加密Windows電腦不久，Bitdefender發現，他們追蹤的俄羅斯駭客組織Curly COMrades，也濫用Hyper-V與Linux虛擬機器來達到目的。</p> <p>另一起與俄羅斯駭客Sandworm（APT44、UAC-0125）的事故，也相當值得留意，因為他們鎖定的目標，是俄羅斯和白俄羅斯軍方，這樣的情況非常不尋常。特別的是，這些駭客透過OpenSSH後門及洋蔥網路（Tor Network）隱匿行蹤，使得攻擊來源更難確認。</p> <h3><a href="https://www.ithome.com.tw/news/172086"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月6日】Google發布安卓11月例行更新，修補零點擊漏洞受到高度關注</span></strong></a></h3> <p>今天有許多消息與資安漏洞有關，其中又以Google發布安卓11月例行更新最受到關注，原因是其中有一個是危險程度最高的資安漏洞CVE-2025-48593，一旦攻擊者成功利用，就能遠端執行任意程式碼（RCE），而且過程中完全不需使用者點擊，儘管Google並未公布其他資訊，不過有資安新聞網站推測，攻擊者很可能透過特製網路封包與側載第三方應用程式的手法來觸發漏洞。</p> <p>另一項值得注意的消息，是漏洞利用的攻擊行動，駭客鎖定的是微軟在10月例行更新（Patch Tuesday）之後發布額外修補程式的WSUS資安漏洞CVE-2025-59287，資安業者Darktrace已發現相關攻擊行動，其中一起受害組織被植入竊資軟體Skuid。</p> <h3><a href="https://www.ithome.com.tw/news/172120"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月7日】駭客試圖濫用AI打造能自我進化的惡意程式</span></strong></a></h3> <p>駭客濫用AI加速網路犯罪的節奏，已是常態，例如鎖定臺灣等亞太地緣政治議題的中國駭客組織UTA0388，就被<a href="https://cdn.openai.com/threat-intelligence-reports/7d662b68-952f-4dfd-a2f2-fe55b041cc4a/disrupting-malicious-uses-of-ai-october-2025.pdf">OpenAI</a>與<a href="https://www.ithome.com.tw/news/171861">資安業者Volexity</a>發現濫用AI從事網釣的情況，但根據最近Google的揭露，這樣的態勢又再往前推進，因為用AI生成作案工具及釣魚信已不足為奇，現在能進一步透過AI促成惡意程式不斷自我更新及進化，目的是躲避防毒軟體持續更新特徵碼的偵測方式。</p> <p>鎖定Visual Studio Code（VS Code）延伸套件用戶的攻擊行動，也有越來越頻繁的現象，由於這類延伸套件的使用族群，涵蓋採用VS Code與Cursor、Windsurf的開發人員，影響範圍相當廣泛，最近傳出有攻擊者透過VS Code延伸套件市集散布勒索軟體，揭露此事的資安業者Secure Annex提到，這個惡意程式應該也是透過AI生成。</p> </div></div></div>

【資安日報】11月5日，俄羅斯駭客濫用Hyper-V及Linux VM迴避EDR偵測

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊流程順利進行，攻擊者試圖迴避EDR偵測，過往的策略大多都是干擾其運作來達到目的，不過現在有人直接利用Linux執行檔，在無須讓EDR系統停擺的情況下從事活動且不被察覺。在趨勢科技揭露Qilin透過Linux版勒索軟體加密Windows電腦不久，Bitdefender發現，他們追蹤的俄羅斯駭客組織Curly COMrades，也濫用Hyper-V與Linux虛擬機器來達到目的。</p> <p>另一起與俄羅斯駭客Sandworm（APT44、UAC-0125）的事故，也相當值得留意，因為他們鎖定的目標，是俄羅斯和白俄羅斯軍方，這樣的情況非常不尋常。特別的是，這些駭客透過OpenSSH後門及洋蔥網路（Tor Network）隱匿行蹤，使得攻擊來源更難確認。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172049"><strong style="font-size: 22px;">俄駭客利用Windows內建Hyper-V躲避資安偵測，私建輕量Linux VM偽裝WSL混淆系統監控</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/alpine-hyper-v.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/alpine-hyper-v.png" style="width: 300px; float: right;" /></a></p> <p>為了躲過EDR與防毒軟體的偵測，駭客大多採取癱瘓這類端點防護機制運作的策略，其中最普遍的做法，是濫用存在已知弱點的驅動程式，藉由自帶驅動程式（BYOVD）來達到目的，但現在有人開始運用Linux惡意程式來對付Windows電腦。</p> <p>資安業者Bitdefender與喬治亞電腦緊急應變中心（CERT-GE）聯手，調查俄羅斯駭客組織Curly COMrades最新一波攻擊行動，這些駭客在執行Windows 10作業系統的電腦上，濫用虛擬化平臺Hyper-V，以此建立隱密的長期存取管道，具體作法是部署以輕量化著稱的Alpine Linux虛擬機器（VM），用於散布惡意程式，用於部署惡意程式，其中包含了名為CurlyShell的反向Shell，以及反向代理伺服器CurlCat。</p> <p>由於Alpine Linux所需資源甚少，以上述的虛擬機器而言，僅占用120 MB磁碟空間，且只需256 MB記憶體（RAM）就能運作，因此受害者難以察覺異狀。攻擊者採用虛擬機器隔離惡意程式，成功繞過許多EDR系統的偵測，對此，Bitdefender認為，EDR必須實作以主機為基礎的網路檢測機制，才有機會發現從虛擬機器逃逸的C2流量，並透過強化機制來因應原生系統元件被濫用的情況。</p> <p><a href="https://www.ithome.com.tw/news/172060"><strong style="font-size: 22px;">Sandworm鎖定俄羅斯軍事單位下手，透過OpenSSH後門程式與Tor網路活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandworm-Fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandworm-Fig1.png" style="width: 300px; float: right;" /></a></p> <p>被稱為Sandworm、APT44，以及UAC-0125的俄羅斯駭客組織，從烏克蘭戰爭開戰之今，主要鎖定的目標幾乎都是烏克蘭的企業組織與政府機關，還有聲援烏克蘭的盟友，但現在這些駭客也傳出疑似對俄羅斯及白俄羅斯的國防單位下手，不禁令人懷疑這是窩裡反或故佈疑陣。</p> <p>資安業者Seqrite與Cyble不約而同揭露這些駭客最新一波攻擊行動，鎖定的目標包括俄羅斯和白俄羅斯軍事單位，Sandworm透過釣魚郵件接觸受害者，利用與軍事有關的文件作為誘餌，引誘收信人打開ZIP壓縮檔，其內容包含Windows捷徑檔（LNK）與隱藏資料夾，一旦打開LNK檔，就會觸發感染鏈，最終透過obfs4橋接工具與OpenSSH元件，並使用洋蔥網路（Tor Network）從事隱密活動。</p> <p>Cyble也看到鎖定白俄羅斯的活動，並指出攻擊者的手法相當複雜，他們將OpenSSH與自製的Tor服務結合，並透過obfs4將流量進行混淆處理。特別的是，這些駭客使用的通訊協議相當多元，涵蓋SSH、RDP、SFTP，以及SMB。根據攻擊者的手法與基礎設施進行比對，發現與去年12月Sandworm運用Army+冒牌應用程式的攻擊行動有相似之處，研判很有可能是同一攻擊團體所為。</p> <p><a href="https://www.ithome.com.tw/news/172045"><strong style="font-size: 22px;">日經Slack平臺遭駭，1.7萬人資料外洩</strong></a></p> <p>日本財經媒體《日經（Nikkei）》4日公告公司使用的Slack協同平臺遭非法存取，可能讓1.7萬人電子郵件、對話記錄等資料外洩。</p> <p>這起事故的導火線，起因於一名員工電腦感染病毒，致Slack驗證憑證外洩。該公司判斷駭客藉此存取該員工Slack帳號，而導致公司Slack遭未經授權的外部人士登入。日經於9月發現此事，已經變更密碼。</p> <p>此事可能造成攻擊者存取Slack平臺上日經員工及合作廠商的資料，包括姓名、電子郵件信箱和對話記錄，受影響人數為Slack上的17,368名註冊用戶。</p> <p><a href="https://www.ithome.com.tw/news/172033"><strong style="font-size: 22px;">全球電信基礎設施供應商Ribbon遭國家級駭客入侵</strong></a></p> <p>全球電信基礎設施供應商Ribbon Communications在提交給美國證券交易委員會（SEC）的季報（10-Q）中揭露，他們在2025年9月發現，有未經授權的國家級駭客組織入侵了該公司的網路。</p> <p>Ribbon為全球電信營運商與公共基礎設施供應商，提供語音、資料、光傳輸、核心網路及安全解決方案，雖然該公司市值不到6億美元，規模不算大，但客戶包括不少政府機關，例如：美國國防部、各城市政府、Verizon、BT、德國電信（Deutsche Telekom），以及軟體銀行（SoftBank）。</p> <p>在發現資安意外之後，Ribbon即尋求聯邦執法部門在內的第三方網路安全專家進行調查，初步調查結果顯示，駭客最早可能在2024年12月就入侵了該公司的系統，儘管沒有任何證據顯示駭客存取了任何重要資訊，不過，駭客似乎存取了在主網路之外、存放於兩臺筆記型電腦上的多個客戶文件。Ribbon已通知受到影響的客戶。</p> <p><a href="https://www.ithome.com.tw/news/172044"><strong style="font-size: 22px;">Apache軟體基金會否認OpenOffice專案資料外洩</strong></a></p> <p>10月底勒索軟體駭客組織Akira在資料公布網站中聲稱，即將上傳其取得的Apache OpenOffice開發維護單位的23 GB資料，包含地址、電話號碼、出生日期、駕照、社會安全碼及信用卡資訊等員工個資，以及財務資料、機密文件、與應用程式漏洞和開發問題相關的多項報告。對此，本週Apache基金會（ASF）出面駁斥。</p> <p>Apache軟體基金會發言人對Bleeping Computer表示，他們對此不知情。該基金會相當重視專案的安全，目前已進行調查，不過，目前基金會或OpenOffice專案並未接到歹徒的勒索訊息。</p> <p><a href="https://www.ithome.com.tw/news/172053"><strong style="font-size: 22px;">普發現金即將上路，財政部揭露有人架設冒牌網站企圖行騙</strong></a></p> <p>臺灣全民普發現金一萬元自今日開放預先登記，民眾需根據自己的身分證字號或居留證號最後一碼，分批於指定時間線上登記，以便現金直接匯入帳戶，但在此之前，有人設置假冒財政部的網站，企圖騙取民眾的帳戶資料。</p> <p>11月4日財政部發布新聞稿指出，10月31日晚間與11月2日上午，相關監控機制發現有4個假冒網站，分別是：twmof[.]xyz、cgbs[.]shop、twmof[.]info，以及cgsss[.]info。財政部根據詐欺犯罪危害防制條例第42條規定，要求網際網路接取服務業者（IASP）停止解析或限制存取，並通知網際網路服務業者（ISP）啟動封鎖措施，來防止民眾不慎點選及受騙上當。</p> <p>民眾該如何識別政府正牌的網域？政府機關專用網址結尾是.gov.tw，其中的gov前面一定是「.」，不會穿插其他英文字母或數字。財政部強調，他們不會發送簡訊與電子郵件，通知民眾領錢或是登錄資料，也不會打電話要求操作ATM或網路銀行，民眾必須提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/critical-react-native-cli-flaw-exposed.html">NPM套件React Native CLI存在重大漏洞，數百萬開發人員電腦恐面臨風險</a></strong></p> <!-- notionvc: ea40e032-3f45-4aba-b825-b5c735f77aba --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-auth-bypass-flaw-in-jobmonster-wordpress-theme/">WordPress佈景主題JobMonster存在重大層級身分驗證繞過漏洞，已被用於攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-wordpress-plugin-post-smtp-to-hijack-admin-accounts/">WordPress外掛Post SMTP存在重大漏洞，攻擊者以此挾持管理員帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/cryptocurrency/hacker-steals-over-120-million-from-balancer-defi-crypto-protocol/">DeFi通訊協定Balancer遭駭，歹徒盜走1.2億美元</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172057"><strong style="font-size: 22px;">Google旗下AI資安代理Big Sleep再度立功，於Safari找到5項資安漏洞</strong></a></p> <p>11月3日蘋果針對旗下的行動裝置、電腦、穿戴裝置，以及電視盒，發布iOS 26.1與iPadOS 26.1、macOS Tahoe 26.1、watchOS 26.1、visionOS 26.1，以及tvOS 26.1更新，對於臺灣用戶而言，最有感的是AI功能Apple Intelligence終於正式支援正體中文。值得一提的是，本次的漏洞修補也有亮點，因為這次揭露的漏洞，有5項是Google透過AI資安代理Big Sleep發現，而受到資安圈關注。</p> <p>這些漏洞皆與Safari瀏覽器的排版引擎WebKit有關，登記為CVE-2025-43429、CVE-2025-43430、CVE-2025-43431、CVE-2025-43433，以及CVE-2025-43434。根據CVSS風險評分，最危險的是CVE-2025-43431與CVE-2025-43433，一旦遭到利用，攻擊者就能透過特製的惡意網頁內容，造成記憶體損毀，風險值為8.8分（滿分10分），蘋果藉由改善記憶體處理的方式來緩解漏洞。</p> <p>其餘3個漏洞為中度風險層級，攻擊者可透過特製的惡意網頁內容觸發，風險值皆為4.3。其中，蘋果提及CVE-2025-43429為記憶體緩衝區溢位漏洞，CVE-2025-43434涉及記憶體釋放後再存取利用（Use-After-Free）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/184149/security/chrome-142-released-two-high-severity-v8-flaws-fixed-100k-in-rewards-paid.html">Google發布Chrome 142大改版，修補多項V8引擎高風險漏洞，其中2項研究人員獲得5萬美元獎勵</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/172055"><strong style="font-size: 22px;">資安院公布資安漏洞獵捕活動設備廠商參與情形，11家廠商報名並提供700萬元漏洞懸賞獎金</strong></a></p> <p>為強化臺灣資通訊產品安全，數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）在9月25日，公布產品資安漏洞獵捕計畫，並提供電子產品製造品牌廠商報名參與藍隊，如今邁入紅隊的報名階段，資安院也公布藍隊的報名情形。</p> <p>本次共有11家廠商報名藍隊，設備類型涵蓋路由器、NAS、VPN設備，以及邊緣運算模組，這些廠商根據自己的產品特性設定漏洞懸賞獎勵，總獎金超過新臺幣700萬元。</p> <p>目前是紅隊報名階段，對象是具有中華民國國籍的白帽駭客與資安專業人員，截至日期是明年的1月25日，由資安研究員、專業團隊，以及學術單位組成紅隊，於今年12月1日至明年1月31日，在指定測試環境進行產品漏洞挖掘，若是成功通報有效漏洞，紅隊成員將能根據漏洞嚴重程度，獲得相應的獎金與榮譽證明。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172032"><strong>【11月4日】新型態惡意軟體濫用OpenAI的API隱匿行蹤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172013"><strong>【11月3日】澳洲尚有超過150臺思科IOS XE路由器遭BadCandy入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171989"><strong>【10月31日】駭客宣稱經營開源專案，實則明目張膽發展網路犯罪工具</strong></a></p> </div></div></div>

Sandworm鎖定俄羅斯軍事單位下手，透過OpenSSH後門程式與Tor網路活動

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被稱為<a href="https://www.ithome.com.tw/tags/sandworm">Sandworm</a>、APT44，以及UAC-0125的俄羅斯駭客組織，從烏克蘭戰爭開戰之今，主要鎖定的目標幾乎都是烏克蘭的企業組織與政府機關，還有聲援烏克蘭的盟友，但現在這些駭客也傳出疑似對俄羅斯及白俄羅斯的國防單位下手，不禁令人懷疑這是窩裡反或故佈疑陣。</p> <p>資安業者<a href="https://www.seqrite.com/blog/operation-skycloak-tor-campaign-targets-military-of-russia-belarus/">Seqrite</a>與<a href="https://cyble.com/blog/weaponized-military-documents-deliver-backdoor/">Cyble</a>不約而同揭露這些駭客最新一波攻擊行動，鎖定的目標包括俄羅斯和白俄羅斯軍事單位，Sandworm透過釣魚郵件接觸受害者，利用與軍事有關的文件作為誘餌，引誘收信人打開ZIP壓縮檔，其內容包含Windows捷徑檔（LNK）與隱藏資料夾，一旦打開LNK檔，就會觸發感染鏈，最終透過obfs4橋接工具與OpenSSH元件，並使用洋蔥網路（Tor Network）從事隱密活動。</p> <p>這波活動被Seqrite命名為Operation SkyCloak，這家資安廠商發現的釣魚信，涉及俄羅斯空降軍（VDV）的人事命令，以及白俄羅斯特種部隊的軍事人員訓練，兩份誘餌看似書面文件翻拍而成的PDF檔案，但實際上這些檔案真正的附檔名是LNK。</p> <p>一旦收信人開啟LNK檔案，電腦就會執行PowerShell命令，藉由檢查受害電腦的特定資料夾、檔案，以及處理程序，來確認是否在沙箱環境運作。接著，Sandworm透過建立排程工作來持續存取受害電腦，</p> <p>最終他們會部署Tor應用程式，並確認洋蔥網路環境能夠連線的狀態下，與C2進行連線。</p> <p>Cyble也看到鎖定白俄羅斯的活動，並指出攻擊者的手法相當複雜，他們將OpenSSH與自製的Tor服務結合，並透過obfs4將流量進行混淆處理。特別的是，這些駭客使用的通訊協議相當多元，涵蓋SSH、RDP、SFTP，以及SMB。</p> <p>該公司根據攻擊者的手法與基礎設施進行比對，發現與去年12月Sandworm<a href="https://www.ithome.com.tw/news/166625">運用Army+冒牌應用程式的攻擊行動</a>有相似之處，研判很有可能是同一攻擊團體所為。</p> </div></div></div>

俄羅斯駭客Sandworm透過寄生攻擊隱匿行蹤，對烏克蘭大型商業服務及地方政府機關下手

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著軍事行動持續進行，俄羅斯對烏克蘭企業組織的網路攻擊接連傳出，最近又有資安業者揭露相關事故，並指出駭客廣泛運用寄生攻擊（LoL）與常見合法工具，真正自己打造的惡意軟體並不多，這樣的情況使得企業組織更難察覺異狀。</p> <p>資安業者賽門鐵克指出，他們近期發現疑似與Sandworm有關的俄羅斯駭客組織，<a href="https://www.security.com/blog-post/ukraine-russia-attacks">攻擊一家大型商業服務公司，以及地方政府部門</a>，分別入侵長達兩個月及一週，目的是收集情報。對於接觸受害組織的管道，駭客很可能鎖定能從網際網路存取的伺服器，藉由尚未修補的已知漏洞而得逞，隨後就在伺服器部署LocalOlive等Web Shell，而這正是他們判斷與Sandworm有關的依據。</p> <p>鎖定商業服務公司最早可追溯到6月27日，當時駭客嘗試在伺服器部署Web Shell，得逞後進行偵察並收集受害主機的系統資訊，並執行PowerShell命令竄改防毒軟體Microsoft Defender設定，將下載資料夾加入白名單，這麼做應該是為了避免相關下載檔案遭到攔截。</p> <p>接著，駭客建立每半小時執行一次的工作排程，試圖從記憶體挖掘敏感資料，並將登錄檔的內容儲存在事件記錄檔案。</p> <p>兩天後這些駭客再度活動，於受害電腦植入第二個Web Shell，對網路環境進行偵察，然後移轉到第二臺電腦，並確認是否部署賽門鐵克的防毒軟體，接著，他們似乎想要從密碼管理工具KeePass挖掘帳密資料。</p> <p>7月2日，第二臺電腦再度出現活動，駭客試圖查詢所有使用者的連線階段（Session）活動記錄。7月8日，他們在電腦建立每半個小時執行一次的工作排程，目的疑為從KeePass處理程序收集帳密。</p> <p>再間隔約莫一個星期，16日駭客濫用電腦內建的記憶體診斷公用程式Windows資源洩漏診斷工具（rdrleakdiag.exe），截取記憶體內容並輸出到下載資料夾。</p> <p>後續駭客於7月18日和23日，繼續橫向移動到第三及第四臺電腦，接著在24日部署OpenSSH，並透過PowerShell命令竄改防火牆規則，開放OpenSSH連線所需的22埠，然後透過網域帳號建立工作排程，每半個小時執行未知的後門link.ps1，此後門同樣會濫用rdrleakdiag將記憶體內容輸出到下載資料夾。</p> <p>值得一提的是，攻擊者也在受害電腦的下載資料夾裡，部署MicroTik路由器管理公用程式winbox64.exe，但用途為何，賽門鐵克表示不清楚。</p> </div></div></div>

【資安週報】0602~0606，Chrome將從8月開始不信任中華電信新簽發的TLS/HTTPS憑證

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第一星期的資安新聞，有一項與瀏覽器TLS加密憑證合規的消息受到矚目，是關於Google宣布自Chrome 139（預計2025年8月發布）起，將不信任中華電信與匈牙利Netlock這兩家CA（憑證機構）於8月後核發的新TLS憑證，以中華電信問題而言，原因是合規性不足與缺乏有效管理。數發部表示，今年3月已掌握情資，啟動政府網站申請雙憑證方式來因應。</p> <p>具體影響在於，屆時服務端若向中華電信申請新憑證，使用Chrome瀏覽的用戶將出現連線錯誤或安全警告提示，雖然其他瀏覽器未跟進這項措施，Edge、Safari、Firefox的用戶不受影響，但Chrome的不信任仍可能讓一般用戶造成困擾，整個IT領域也關注是否還有其他影響，像是防護系統是否可能因瀏覽器信任清單，而將採用這些憑證的網站列入不信任名單。中華電信已經宣布，8月起暫停簽發新的TLS網站憑證，也承諾爭取讓自家憑證重獲預設信任，但根據Bugzilla紀錄的事件資訊來看，如何改善像是誤發憑證無法在規範5天內撤銷，以及年度自評報告延遲繳交等狀況，才是重點。</p> <p>在資安事故方面，有兩大類型議題備受我們關注，首先，是有兩起資安業者出狀況引發的資安危機：（一）資安業者SentinelOne於5月29日傳出多項服務中斷，事故原因是將正式系統過渡至新雲端架構過程中，誤刪路由導致組態比對功能異常；（二）自動化資安合規業者Vanta於5月26日發現系統內部程式碼錯誤，導致部分客戶敏感資料可被其他客戶存取，約有數百家企業受影響。</p> <p>另一是多家精品與服飾業者接連遭遇事故，相當不尋常：（一）內衣與時尚品牌業者維多利亞的秘密（Victoria's Secret）上星期網站服務停擺，該公司證實遭遇資安事故因此暫時關閉網站與網路商店服務；（二）精品業者Cartier通知客戶系統遭駭，有客戶個資外洩狀況；（三）戶外用品與運動服飾業者The North Face通報4月遭遇帳號填充攻擊，部分客戶個資外洩。</p> <p>其他重要資安事故方面，在臺灣，聯嘉光電於公開資訊觀測站發布資安重訊，揭露資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境；先前美國虛擬貨幣交易所Coinbase向美國SEC通報資料外洩，最新調查發現事件與兩名印度客服外包商TaskUs員工有關；還有法律與商業資訊業者LexisNexis發生客戶資料外洩，此事同樣因向主管機關通報而曝光，影響人數達36萬多人，初步調查顯示資料是從該公司使用的GitHub外洩，細節仍待釐清。</p> <p>在最新威脅態勢上，有4則新聞值得留意，涵蓋全螢幕BitM攻擊手法、濫用合法OpenSSH與Windows內建的API的攻擊活動，以及利用挖腳名義鎖定高層網釣攻擊的揭露。我們整理如下：</p> <p>●研究人員揭露新的瀏覽器中間人（BitM）攻擊手法，能以全螢幕方式展現，使惡意URL不被看到，降低遭察覺的機會，並指出fullscreen API的安全問題。<br /> ●有駭客濫用Windows內建的OpenSSH元件試圖建立後門連線，SANS網路風暴中心資安研究人員指出，攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務。<br /> ●發現勒索軟體Lyrix駭客濫用Windows內建的API來隱匿行蹤，像是使用GetCurrentProcess、TerminateProcess控制惡意程式的運作等多種方式。<br /> ●發現鎖定不同產業高層與財務長（CFO）的網路釣魚攻擊，是以其他公司挖角名義來誘騙，攻擊範圍涵蓋歐洲、非洲、加拿大、中東與南亞。</p> <p>在漏洞攻擊威脅方面，有4個零時差漏洞攻擊，涵蓋Google Chromium與高通GPU晶片，可惜目前還未有具體攻擊影響揭露。</p> <p>●Google修補Chromium V8中1個已遭露利用的零時差漏洞CVE-2025-5419<br /> ●高通修補3個涉及GPU已遭利用的零時差漏洞，分別是CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，僅透露已被用於目標式攻擊。<br /> ●ConnectWise於4月修補的漏洞CVE-2025-3935，近期發現可能遭國家級駭客利用，但也傳出可能早在去年8月就已遭利用。<br /> ●先前威脅情報業者GrayNoise揭露華碩路由器已知漏洞遭鎖定，尤其是CVE-2021-32030、CVE-2023-39780遭駭客利用，後續華碩提醒，後項漏洞與其他4個漏洞也有關。<br /> ●舊版網路論壇軟體vBulletin存在兩項已遭駭客利用的漏洞，分別是：CVE-2025-48827與CVE-2025-48828，但去年4月修補未公布CVE，近期駭客鎖定攻擊、經資安業者通報，才讓這兩個CVSS滿分的CVE漏洞浮上檯面。</p> <p>至於資安防禦動態方面，有3大重點值得大家關注，首先，澳洲政府頒布新規範，針對遭勒索的企業，要求從5月30日起，不僅要通報資安事件，也要在72小時內通報支付贖金的金額，這在國際相當少見；其次，針對駭客組織命名不同問題，微軟與CrowdStrike正合作發展一套對照指引，雖然這並非建立共通標準，但目的很明顯是要減少資安資訊交流阻礙。</p> <p>第三項重點是打擊網路犯罪。美國財政部指出菲律賓公司Funnull向AWS或Azure購買大量IP位址，再轉售給詐騙集團，協助架設投資詐騙網站，因此對Funnull祭出制裁。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</span></strong></a></h3> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <h3><a href="https://www.ithome.com.tw/news/169343"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</span></strong></a></h3> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p><a href="https://www.ithome.com.tw/news/169365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</span></strong></a></p> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <h3><a href="https://www.ithome.com.tw/news/169392"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</span></strong></a></h3> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <h3><a href="https://www.ithome.com.tw/news/169399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</span></strong></a></h3> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> </div></div></div>

【資安日報】6月6日，鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169385"><strong style="font-size: 22px;">求職信網釣鎖定財務長與金融高層而來，駭客企圖植入遠端存取工具Netbird控制受害電腦</strong></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/spear-phishing-campaign-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/spear-phishing-campaign-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客以徵才的名義從事網釣攻擊的情況不時傳出，其中最常見的是針對開發人員而來（例如：北韓駭客發動的的攻擊行動Contagious Interview，也被稱做Dev#Popper），如今有人專門針對全球高階財務主管下手，直到一年後才被研究人員發現。</p> <p>資安業者Trellix於5月中旬偵測到專門鎖定財務長（CFO）及金融高層的網路釣魚攻擊，駭客的攻擊範圍相當廣泛，涵蓋歐洲、非洲、加拿大、中東、南亞等全球5個地區。受影響的產業包括銀行、能源公司、保險業及投資機構。攻擊者利用合法的遠端存取工具NetBird，在受害者的電腦上建立隱藏的本機帳號，並啟用遠端桌面存取。</p> <p>研究人員發現，類似的惡意連結已經活躍近一年，顯示這場行動可能已經持續了一段時間。目前，攻擊者的基礎設施尚未被完全識別，暫且尚未歸因於特定的威脅組織。</p> <p><a href="https://www.ithome.com.tw/news/169391"><strong style="font-size: 22px;">駭客組織鎖定DevOps環境而來，濫用Nomad、Docker API等不當配置的情況從事挖礦攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1748631346-screenshot-2025-05-30-at-11-55-35-am.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1748631346-screenshot-2025-05-30-at-11-55-35-am.png" style="width: 300px; float: right;" /></a></p> <p>結合軟體開發及IT維運的DevOps環境，近年來也成為駭客偏好下手的目標，將其中特定系統的運算資源用來挖礦，但如今有人同時針對多套系統發動攻擊。</p> <p>雲端安全公司Wiz揭露駭客組織JINX-0132的攻擊行動，這些駭客針對Docker、Gitea、HashiCorp Consul，以及HashiCorp Nomad等DevOps應用程式伺服器而來，利用配置不當的情況或資安弱點來植入挖礦程式XMRig。研究人員指出，這是首度有人濫用HashiCorp Nomad來進行挖礦的活動。</p> <p>究竟這波攻擊行動的曝險範圍有多大？Wiz研究人員未公布明確的數字，但他們提及全球約有8成雲端環境採用Docker、逾20%採用Consul；四分之一採用上述提及的Consul、Gitea，或是Nomad。而採用這些DevOps工具的環境，約有5%直接曝露於網際網路，其中有三成存在組態配置不當而曝險。</p> <p><a href="https://www.ithome.com.tw/news/169361"><strong style="font-size: 22px;">Windows內建的OpenSSH元件被濫用，駭客試圖建立後門連線</strong></a></p> <p>微軟於2018年4月發布的1803版Windows 10當中，開始內建SSH支援，使得IT人員不再需要自備工具就能從事相關作業，但也有駭客藉由這種內建機制從事寄生攻擊（LOLBin），於受害電腦建立後門。</p> <p>近期SANS網路風暴中心資安研究人員發現一種新型態的SSH後門，該惡意程式利用Windows內建的OpenSSH，來建立能持續存取的管道。攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務，並在受害電腦設定隨機連接埠來建立連線。</p> <p>該惡意程式會檢查系統是否已啟動SSH服務，若未啟動，則會讀取登錄檔中的SSH設定，或在首次執行時隨機產生新的隨機連接埠並儲存。接著，它會建立SSH設定檔，其中包含攻擊者的C2伺服器資訊，並進入無限迴圈執行，以維持連線運作。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&amp;stp=1&amp;step=1&amp;SEQ_NO=6&amp;SPOKE_TIME=165352&amp;SPOKE_DATE=20250605&amp;COMPANY_ID=6288"><strong style="font-size: 22px;">聯嘉光電資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境</strong></a></p> <p>6月5日汽車車燈供應鏈業者聯嘉光電於股市公開觀測站發布資安重訊，指出集團總部與部分海外子公司的網路環境，皆出現駭客企圖登入的跡象，資訊系統遭到攻擊。對此，他們在察覺相關異狀後，立即啟動相關防禦機制因應。而對於這起事故可能會造成的影響，聯嘉光電表示根據他們的初步評估，對於營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-play-ransomware-breached-900-victims-including-critical-orgs/">勒索軟體Play威脅加劇，迄今已有逾900家企業組織受害</a></strong></p> <!-- notionvc: 292e545f-30bb-43a9-af7f-bab1d0925610 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lumma-infostealer-developers/">竊資軟體Lumma捲土重來，透過俄羅斯C2試圖恢復運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-hackers-target-salesforce-accounts-in-data-extortion-attacks/">駭客組織ShinyHunters挾持跨國企業的Salesforce帳號，意圖竊取機敏資訊</a></strong></p> <!-- notionvc: b4e0832e-910d-476a-b44f-42f2cae04dd5 --><p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169300"><strong style="font-size: 22px;">駭客利用vBulletin滿分漏洞來植入後門</strong></a></p> <p>資安業者Karma(In)Security於5月23日揭露兩個位於vBulletin的資安漏洞，同時釋出概念驗證攻擊（PoC）程式，另一資安研究人員Ryan Dewhurst在5月26日便發現駭客已開始嘗試攻擊誘捕系統（Honeypot），企圖植入後門。</p> <p>Karma(In)Security發現的兩個資安漏洞分別是CVE-2025-48827與CVE-2025-48828，其中，CVE-2025-48827是在系統於PHP 8.1或更新的環境執行時，允許未經授權的使用者可呼叫受保護的API控制器，換句話說，它讓駭客得以繞過身分驗證，直接存取各種API端點，CVSS風險評分達到滿分（10分）。至於CVE-2025-48828，允許駭客濫用模板條件（Template Conditionals），繞過系統安全檢查並執行任意PHP程式碼，風險值為9.0。</p> <p>值得留意的是，其實Internet Brands早在去年4月就修補了這兩個漏洞，只是直到今年才被揭露、分配CVE漏洞編號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apple-ios-activation-flaw-enables-injection/">蘋果iOS設備啟動後臺系統存在弱點，攻擊者有機會任意竄改相關配置</a></strong></p> <!-- notionvc: c4f5e248-00a1-4fa3-b8b5-18e74f94cd86 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-dell-powerscale-vulnerability/">網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統</a></strong></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169357"><strong style="font-size: 22px;">針對遭勒索的企業，澳洲政府要求通報支付贖金的金額</strong></a></p> <p>最近幾年，各國政府要求企業在發生資安事故的時候必須限時通報，其中對於勒索軟體攻擊，多半是呼籲受害企業不要向歹徒低頭，選擇付錢了事，不過，如今有國家對於支付贖金的企業，要求必須通報相關資訊，這樣的態勢引起外界關注。澳洲政府頒發命令，要求從5月30日起，遭勒索軟體或網路勒索的企業，若是向歹徒付錢，應在支付贖金72小時內通報政府，包括資安事件及支付金額。</p> <p>這項名為《網路安全（勒索軟體支付通報）規定2025（Cyber Security (Ransomware Payment Reporting) Rules 2025）》的法規，是澳洲網路安全法（Cyber Security Act, 2024）的一部分，於今年3月公布，並在5月30日正式生效。澳洲政府預計從2026年1月1日起啟動遵循和執法措施，並在今年12月底前的6個月宣導推廣期及匯整各方意見。根據規定，前一會計年度營業額在300萬澳幣以上的企業，為本法涵蓋的對象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169198"><strong style="font-size: 22px;">持續擴大身分安全防護產品陣容，Computex 2025臺廠展出多種硬體解決方案</strong></a></p> <p>今年臺北國際電腦展（Computex 2025）舉行，展現臺灣資通訊（ICT）產業在全球科技供應鏈的影響力之餘，現場亦有不少資安相關展示受到關注，當中有部分來自臺灣資安大會展覽上大家所熟悉的廠商，有部分則沒有那麼熟悉，但也展現廣泛資安技術。</p> <p>以上個月在臺灣資安大會展出，5月又現身Computex展覽的業者而言，資安大廠趨勢科技就是一例，他們特別展示用Digital Twin來搭建企業紅藍隊攻防演練的解決方案，目前已在開發階段。</p> <p>還有近年陸續在多場活動展出零信任相關資安解決方案的眾至資訊，在這次Computex也不缺席，主要展示其防火牆與交換器協同防禦的解決方案，以及OT安全防護設備；主打內網流量管理與DDoS安全防護的UGuard Networks崴遠科技，他們也在Computex也展示一項今年新推的Defense Trust威脅情資解決方案，其他還有像是TeamT5杜浦數位安全、中華資安國際等業者，也同樣現身於Computex活動現場。</p> <p><a href="https://www.ithome.com.tw/news/169208"><strong style="font-size: 22px;">臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境</strong></a></p> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> </div></div></div>

求職信網釣鎖定財務長與金融高層而來，駭客企圖遠端存取工具Netbird控制受害電腦

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客以徵才的名義從事網釣攻擊的情況不時傳出，其中最常見的是針對開發人員而來，如今有人專門針對全球高階財務主管下手，直到一年後才被研究人員發現。</p> <p>資安業者Trellix<a href="https://www.trellix.com/en-in/blogs/research/a-flyby-on-the-cfos-inbox-spear-phishing-campaign-targeting-financial-executives-with-netbird-deployment/">於5月中旬偵測到專門鎖定財務長（CFO）及金融高層的網路釣魚攻擊</a>，駭客的攻擊範圍相當廣泛，涵蓋歐洲、非洲、加拿大、中東、南亞等全球5個地區。受影響的產業包括銀行、能源公司、保險業及投資機構。攻擊者利用合法的遠端存取工具NetBird，在受害者的電腦上建立隱藏的本機帳號，並啟用遠端桌面存取。</p> <p>研究人員發現，類似的惡意連結已經活躍近一年，顯示這場行動可能已經持續了一段時間。目前，攻擊者的基礎設施尚未被完全識別，暫且尚未歸因於特定的威脅組織。</p> <p>在其中一起事故的攻擊流程裡，攻擊者偽裝成Rothschild &amp; Co.的應徵人員，向受害者發送電子郵件，聲稱提供「策略性職位」，誘使他們開啟附件PDF檔案。然而，該附件實際上是一個放置在應用程式開發平臺Firebase的網頁，最終導致惡意程式下載。</p> <p>攻擊過程涉及多個階段，首先，受害者需通過CAPTCHA圖靈驗證，駭客這麼做的目的，旨在繞過安全防護，避免攻擊流程被資安系統偵測而中斷。驗證完成後，系統會解密隱藏的URL，並引導受害者下載ZIP壓縮檔。該壓縮檔內含VBScript指令碼，從外部伺服器下載下一階段的惡意程式碼。</p> <p>第二階段的VBScript下載器會取得另一個ZIP檔，內含NetBird和OpenSSH的MSI安裝檔。這些工具本身是合法的遠端存取應用程式，但攻擊者利用它們來建立隱藏的本地帳戶，啟用遠端桌面存取，並設置工作排程，確保NetBird在系統重新啟動後仍能持續運行。值得注意的是，攻擊者還會移除NetBird的桌面捷徑，以降低受害者察覺異常的機會。</p> </div></div></div>

Windows內建的OpenSSH元件被濫用，駭客試圖建立後門連線

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於2018年4月發布的1803版Windows 10當中，開始內建SSH支援，使得IT人員不再需要自備工具就能從事相關作業，但也有駭客藉由這種內建機制從事寄生攻擊（LOLBin），於受害電腦建立後門。</p> <p>近期SANS網路風暴中心資安研究人員<a href="https://isc.sans.edu/diary/32000">發現一種新型態的SSH後門</a>，該惡意程式利用Windows內建的OpenSSH，來建立能持續存取的管道。攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務，並在受害電腦設定隨機連接埠來建立連線。</p> <p>該惡意程式會檢查系統是否已啟動SSH服務，若未啟動，則會讀取登錄檔中的SSH設定，或在首次執行時隨機產生新的隨機連接埠並儲存。接著，它會建立SSH設定檔，其中包含攻擊者的C2伺服器資訊，並進入無限迴圈執行，以維持連線運作。</p> <p>值得留意的是，為因應受害電腦可能透過浮動IP位址上網，此SSH組態包含遠端轉發（Remote Forward）的設定，以便攻擊者能夠遠端控制受害者系統。只是研究人員發現駭客的設定檔存在語法錯誤，無法正常運作。</p> <p>由於OpenSSH已成為Windows內建工具，研究人員呼籲系統管理員應監控SSH相關活動，並留意是否有異常的SSH連線或設定檔變更。此外，攻擊者還可能會利用scp.exe來竊取資料，因此也要對該公用程式活動進行監控。</p> <p>附帶一提的是，有多家資安新聞網站在報導SANS網路風暴中心的發現時，不約而同使用知名的第三方SSH工具PuTTY作為標題，但內文並未與提及這項工具，事實上這起事故也與PuTTY無直接關聯。這樣的情況，恐有誤導之嫌。</p> </div></div></div>

【資安日報】2月19日，新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用使用者偷懶、輸入錯誤，進行名稱混淆的攻擊手法，最近兩到三年非常汜濫，而最常見的攻擊對象，就是針對使用NPM、PyPI套件的開發人員，如今有人將這種攻擊手法運用到雲端環境，引起雲端服務監控業者的注意。</p> <p>雲端服務監控業者Datadog揭露針對AWS用戶而來的攻擊手法whoAMI，攻擊者使用名稱混淆手法提供虛擬機器映像檔，就有機會在使用者的EC2執行個體執行任意程式碼。值得留意的是，已有AWS帳號實際受害的情況發生。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167436"><strong style="font-size: 22px;">新型態名稱混淆攻擊手法染指AWS的映像檔！已有數千個AWS帳號淪陷</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/whoAMI3-attack-flow.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/whoAMI3-attack-flow.jpg" style="width: 300px; float: right;" /></a></p> <p>名稱混淆的攻擊手法，大多出現在NPM、PyPI等開源套件上，如今有駭客針對雲端環境的虛擬機器映像檔下手，讓搜尋特定名稱映像檔的使用者中招。</p> <p>雲端服務監控業者Datadog旗下的資安實驗室指出，他們去年發現名為whoAMI的攻擊手法，任何人只要能以特定的名稱發布Amazon Machine Image（AMI），就有機會利用存在弱點的AWS帳號執行任意程式碼。研究人員推測，約有1%的組織的AWS帳號存在弱點，且有數千個AWS帳號可能已遭遇相關攻擊。對此，Datadog於9月中旬通報，AWS確認後隨即進行修補。</p> <p>為何這家業者會發現這項能被用於攻擊的弱點？Datadog資安實驗室雲端安全研究員暨倡議者Seth Art指出，他們在去年8月發現有多個軟體專案出現不尋常的情況，例如，在這些專案當中，會惡意搜尋特定AMI並試圖建立EC2執行個體，因而Datadog決定著手調查攻擊者如何下手。</p> <p><a href="https://www.ithome.com.tw/news/167448"><strong style="font-size: 22px;">俄羅斯駭客鎖定歐洲、北美、非洲、中東而來，以要求裝置綁定為幌子進行網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Device-code-phishing-attack-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Device-code-phishing-attack-chain.png" style="width: 300px; float: right;" /></a></p> <p>俄羅斯駭客發動網路釣魚的攻擊手法翻陳出新，最近有兩組資安研究人員提出警告，這些駭客開始假借安全為由，使用者必須綁定裝置的才能通過身分驗證為幌子，發動裝置驗證碼（Device Code）網釣攻擊行動。</p> <p>2月13日微軟威脅情報團隊指出，他們發現與俄羅斯有關的駭客組織Storm-2372，自去年8月發起大規模的裝置驗證碼網釣攻擊，這些駭客意圖欺騙使用者登錄生產力應用程式，然後從登錄過程的Token攔截相關資訊，而能存取受害者的Microsoft 365帳號。值得留意的是，這波攻擊行動仍在持續進行。</p> <p>無獨有偶，資安業者Volexity同樣也發現有俄羅斯駭客組織利用裝置驗證碼的網釣攻擊事故，微軟在調查報告也有提到這家廠商的發現。Volexity從今年1月中旬看到不尋常的網路釣魚活動，並指出有多個俄羅斯駭客參與，最終目的就是假借設備驗證碼的身分驗證流程，破壞M365帳號。</p> <p><a href="https://www.ithome.com.tw/news/167454"><strong style="font-size: 22px;">日本企業傳出遭中國駭客APT41旗下團體攻擊，駭客利用ERP系統SQL注入漏洞部署Web Shell</strong></a></p> <p>近期不時有針對日本的攻擊事故傳出，繼日本電腦危機處理暨協調中心（JPCERT/CC）揭露有當地企業組織遭遇Ivanti Connect Secure零時差漏洞攻擊，隔天（2月13日）又有日本資安業者公布為期接近一年的中國駭客攻擊行動。</p> <p>資安業者Lac指出，中國駭客組織APT41旗下團體Winnti Group自去年3月開始發起攻擊行動RevivalStone，鎖定日本製造、材料、能源產業的公司而來，並對於執行ERP軟體的網頁伺服器下手，藉由SQL注入漏洞植入Web Shell，然後於受害組織的網路環境進行偵察、橫向移動，最終散布惡意程式Winnti。</p> <p>Lac資安研究員松本拓摩及石川宏指出，這些駭客為了擴大受害範圍，還會試圖竊取代管服務業者（MSP）的共通帳號，進行供應鏈攻擊，向MSP代管的其他客戶橫向移動，入侵這些公司的網路環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/earth-preta-apt-group-evades-detection-with-legitimate-and-malicious-components/">中國駭客Earth Preta鎖定泰國用戶而來，假借打擊犯罪為由散布惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/stealth-attack-earthkapre-leverages-cloud-and-dll-sideloading-for-data-exfiltration/">駭客組織Earth Kapre利用Adobe元件側載惡意程式，並透過罕見雲端服務外送竊得資料</a></strong></p> <!-- notionvc: 285832e1-dfa4-4d1b-b5b7-80f694ae29b6 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/triplestrength-threat-actor-group-ransomware-mining-and-server-hacks/">駭客組織TripleStrength同時對於本地及雲端發動攻擊，用勒索軟體加密本機電腦檔案，同時利用受害組織的雲端環境進行挖礦</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167452"><strong style="font-size: 22px;">OpenSSH修補可被用於中間人攻擊、造成阻斷服務的弱點</strong></a></p> <p>2月18日OpenSSH推出9.9p2版，修補中度風險層級弱點CVE-2025-26465、CVE-2025-26466，這兩項漏洞分別可被用於中間人攻擊（MitM）、阻斷服務攻擊（DoS）。</p> <p>通報這些漏洞的資安業者Qualys進一步公布漏洞細節，CVE-2025-26465存在於OpenSSH用戶端VerifyHostKeyDNS選項啟用的狀態，雖然在絕大多數作業系統使用的OpenSSH，這個選項預設都是停用，但Qualys指出，有作業系統的VerifyHostKeyDNS持續7個月處於啟用狀態，因而曝險。攻擊者利用過程完全無須使用者互動，也不需有特定的DNS記錄存在。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/libreoffice-vulnerabilities-cve-2024-12425-cve-2024-12426-pocs-released-patch-asap/">研究人員揭露LibreOffice近期修補的資安漏洞，並指出攻擊者利用的過程完全無需使用者互動</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167451"><strong style="font-size: 22px;">美三州政府公務手機禁用DeepSeek，南韓封鎖應用程式下載</strong></a></p> <p>中國DeepSeek模型的高效能及低成本引發業界關注，不過其他國家行政部門對它存有資安疑慮。美國已有德州、紐約州及維吉尼亞州禁止公務人員裝置使用DeepSeek。</p> <p>德州於1月底率先於美國啟動調查，了解是否威脅美國用戶資料安全。德州檢察長辦公室也向Google與蘋果發函要求其對DeepSeek的分析，以及DeepSeek App上架Google Play Store和App Store前被要求提交的文件。德州檢察長Ken Pax­ton指出，DeepSeek好比中國共產黨的大門，以遂其推翻美國在AI市場獨霸地位及竊取美國公民資料的目的，他因而啟動徹底調查，並呼籲Google和蘋果協助提供研究DeepSeek的相關資料。</p> <p>南韓個資保護委員會（PIPC）以隱私保護不足為由，從本月15日起暫時封鎖境內DeepSeek App下載，但DeepSeek網頁版不在禁止的範圍。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-reminds-admins-to-prepare-for-wsus-driver-sync-deprecation/">微軟針對WSUS服務棄用再度警告，並指出2個月後將停止驅動程式同步服務</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167446"><strong>【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167383"><strong>【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</strong></a></p> </div></div></div>

OpenSSH修補可被用於中間人攻擊、造成阻斷服務的弱點

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日OpenSSH<a href="https://www.openssh.com/txt/release-9.9p2">推出9.9p2版</a>，修補中度風險層級弱點CVE-2025-26465、CVE-2025-26466，這兩項漏洞分別可被用於中間人攻擊（MitM）、阻斷服務攻擊（DoS）。</p> <p>通報這些漏洞的資安業者Qualys<a href="https://blog.qualys.com/vulnerabilities-threat-research/2025/02/18/qualys-tru-discovers-two-vulnerabilities-in-openssh-cve-2025-26465-cve-2025-26466">進一步公布漏洞細節</a>，CVE-2025-26465存在於OpenSSH用戶端VerifyHostKeyDNS選項啟用的狀態，雖然在絕大多數作業系統使用的OpenSSH，這個選項預設都是停用，但Qualys指出，有作業系統的VerifyHostKeyDNS持續7個月處於啟用狀態，因而曝險。攻擊者利用過程完全無須使用者互動，也不需有特定的DNS記錄存在。</p> <p>一旦攻擊者利用這項漏洞發動中間人攻擊，用戶端將會接收攻擊者提供的金鑰，使得SSH連線的完整性遭到破壞，攻擊者可檢視及竄改敏感資料，在多臺重要伺服器之間進行橫向移動，甚至洩露資料庫憑證等具有價格的資訊。</p> <p>VerifyHostKeyDNS是允許用戶端透過DNS記錄（特別是其中的SSHFP記錄），尋找及驗證伺服器金鑰的機制。僅管這個選項OpenSSH推出的版本預設為停用，但Qualys威脅研究團隊產品經理Saeed Abbasi指出，在2013年9月至2023年3月發布的FreeBSD作業系統當中，該選項預設為啟用而可能曝險，因此，CVE-2025-26465的資安風險仍然需要留意。</p> <p>另一個漏洞CVE-2025-26466涉及預先身分驗證，同時影響OpenSSH的伺服器與用戶端，源自於2023年8月導入的非對稱記憶體與處理器資源使用機制。</p> <p>假若攻擊者能夠不斷觸發這項弱點，就有可能導致長時間服務中斷，或是將使用者鎖定。</p> </div></div></div>

駭客UAC-0125濫用Cloudflare Workers散布惡意程式，目的是攻佔烏克蘭軍隊個人電腦

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭持續至今接近3年，為提升部隊呈交報告的效率，<a href="https://mod.gov.ua/en/news/army-the-ministry-of-defence-introduced-a-novel-mobile-app">今年8月烏克蘭國防部發布名為Army+的行動應用程式</a>，標榜能讓軍人使用安卓及蘋果的行動裝置快速呈交11種類型的報告，減輕他們在文書作業上的負擔，然而敵對陣營的駭客也趁機散布惡意程式。</p> <p>12月18日烏克蘭電腦網路危機處理暨協調中心（CERT-UA）提出警告，<a href="https://cert.gov.ua/article/6281701">他們掌握駭客組織UAC-0125架設許多仿冒Army+應用程式的網站</a>，濫用無伺服器運算服務Cloudflare Workers，意圖對烏克蘭軍人散布惡意程式。</p> <p>若是軍人存取這些網站，他們將會下載名為ArmyPlusInstaller-v.0.10.23722.exe的檔案。經過CERT-UA的分析，他們研判此檔案是透過安裝系統NSIS（Nullsoft Scriptable Install System）打包而成，假若受害者執行，電腦就會顯示誘餌檔案，並執行PowerShell指令碼，攻擊者這麼做的目的是目的是部署OpenSSH元件並產生RSA金鑰，然後透過Tor網路與駭客控制的伺服器連線，最終讓攻擊者能遠端控制受害電腦。</p> <p>若是找到感興趣的目標，這些駭客將會利用受害電腦做為跳板，進一步向組織的資訊系統展開攻擊。</p> <p>究竟駭客如何引誘烏克蘭軍人上門？目前仍不清楚，但CERT-UA指出，發起這波攻擊的駭客組織UAC-0125，與他們稱為UAC-0002的俄羅斯駭客組織Sandworm（也稱為APT44、Voodoo Bear）之間，存在某種關聯。CERT-UA提及，這些駭客於今年上半，就曾假借提供微軟Office軟體安裝檔案發動攻擊。</p> </div></div></div>

【資安日報】8月13日，韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週韓國媒體報導指出，他們專門用於在北韓領空從事情資蒐集的軍事偵察機，相關內部機密文件因北韓駭客對其國防供應商發動網路攻擊遭到外流，而這起網路攻擊，傳出是北韓領導人金正恩下令發起。</p> <p>值得留意的是，近期韓國國防工業的資安事故頻傳，根據韓京市場的報導，根據當地媒體韓京市場的報導，傳出研究人員竊取K-2坦克機密投靠新東家。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164436"><strong style="font-size: 22px;">韓國軍事偵察機的機密驚傳遭竊，起因是國防承包商受到北韓駭客攻擊</strong></a></p> <p>韓國媒體東亞日報報導，該國國防工業外包商遭北韓駭客攻擊，致用於北韓空中情蒐任務的2款軍事偵察機技術資料外流。</p> <p>報導指出，這家國防工業外包商生產在北韓領空偵察的重要機種，包括白頭號（Baekdu）、金剛號（Geumgang）間諜偵察機的相關軍事裝備操作和維護手冊。消息人士指出，根據初步調查，在這次駭客攻擊中，2款軍機的技術資料和規格、操作文件可能已外洩。</p> <p>他們也引述情報官員的說法，北韓領導人金正恩今年稍早下令發動密集駭客攻擊，取得韓國偵察機技術資訊以強化自產軍機的能力，同時規避偵察。</p> <p><a href="https://www.ithome.com.tw/news/164451"><strong style="font-size: 22px;">美國田納西州男子經營筆電農場，協助北韓駭客在美、英企業「工作」</strong></a></p> <p>美國司法部指控，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工人提供遠距辦公的協助，而這些IT工人的真實身分就是北韓駭客。</p> <p>該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主這些駭客在美國遠距工作的假象。除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。</p> <p><a href="https://www.ithome.com.tw/news/164447"><strong style="font-size: 22px;">微軟1月遭駭事故傳出英國內政部也是受害單位，郵件帳號遭俄羅斯駭客Midnight Blizzard入侵</strong></a></p> <p>今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）入侵的資安事故，駭客存取高階主管的電子郵件帳號，後來陸續傳出有客戶的帳號被入侵的情況，繼4月美國網路安全暨基礎設施安全局（CISA）承認聯邦機構受到波及，現在傳出有其他政府機關受害的情況。</p> <p>根據資安新聞網站The Record的報導，英國政府也遭受波及，Midnight Blizzard今年初也存取他們的電子郵件及個人資料。這些駭客起初的目標是向英國內政部提供服務的微軟，隨後藉由相關存取權限洩露英國內政部的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cip.gov.ua/en/news/khakeri-rozpovsyudzhuyut-shkidlive-programne-zabezpechennya-nibito-vid-imeni-sbu"><strong style="font-size: 20px;">駭客冒充烏克蘭安全局散布惡意軟體AnonVNC，攻擊烏克蘭政府超過100臺電腦</strong></a></p> <!-- notionvc: 4b000658-80cc-462a-8f16-577c17d10d22 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.ru/how-the-cmoon-worm-collects-data/109988/">USB蠕蟲CMoon透過天然氣業者網站散布，企圖竊取俄羅斯企業組織資料</a></strong></p> <!-- notionvc: d6ca9cd7-77e5-42b2-b74c-b7f32717d22d --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://habr.com/ru/companies/f_a_c_c_t/news/831420/">網路間諜團體XDSpy鎖定俄羅斯及摩爾多瓦而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164426"><strong style="font-size: 22px;">M365 Copilot可被濫用進行釣魚攻擊</strong></a></p> <p>資安廠商Zenity在黑帽大會發表CopilotHunter與LOLCopilot，這兩個工具都是針對Microsoft 365 Copilot開發，CopilotHunter能夠掃描和列舉Copilot的資源與錯誤配置，而LOLCopilot則可執行模擬攻擊，濫用Copilot功能來收集資訊、洩漏資料甚至是進行釣魚攻擊。</p> <p>CopilotHunter和LOLCopilot安全工具在GitHub開源，協助企業發現和修補安全漏洞。CopilotHunter的核心功能是利用Microsoft 365 Copilot的錯誤配置進行安全掃描和分析，其具有兩個重要關鍵模組，分別針對掃描和列舉需求的Deep Scan和Enum。</p> <p>而LOLCopilot則是一款專為模擬攻擊設計的工具，透過Copilot收集敏感資料來進行針對性攻擊。與LOLCopilot相關的模組包括Whoami，可收集受感染使用者能夠存取的敏感資訊，包括電子郵件、檔案、行程安排等，全面了解使用者的存取權限，隨後使用Dump模組擷取和儲存這些資料，並利用Copilot繞過DLP技術，使敏感資料洩漏不被系統偵測的情況。</p> <p><a href="https://www.ithome.com.tw/news/164432"><strong style="font-size: 22px;">工控系統遠端存取解決方案Ewon Cosy+存在漏洞，攻擊者有機會取得root權限</strong></a></p> <p>資安業者SySS指出，HMS Networks旗下的工業級遠端存取解決方案Ewon Cosy+存在6項漏洞，這些漏洞涉及身分驗證不當、使用不必要的權限執行工作、寫死密碼、作業系統層級的命令注入、明文存放Cookie敏感資訊，以及網頁載入過程輸入出現不當處理的情況，攻擊者有機會藉由上述弱點破壞VPN設備，甚至解開韌體與密碼，並且接管外部設備的OpenVPN連線。</p> <p>對此，HMS Networks獲報後發布21.2s10版、22.1s3版韌體予以修補，研究人員也在上週末舉行的資安會議DEF CON 32公布相關細節。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.freebsd.org/security/advisories/FreeBSD-SA-24:08.openssh.asc">FreeBSD更新發布，修補OpenSSH高風險漏洞CVE-2024-7589</a></strong></p> <!-- notionvc: baf24b1f-1193-4600-b927-bfe35bc600fc --><p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164446"><strong style="font-size: 22px;">資安業者CrowdStrike獲頒Pwnie Awards史詩級失敗獎項</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">7月19日</span>CrowdStrike因執行Windows系統EDR的配置更新，觸發邏輯錯誤而造成藍色當機，微軟透露約有850萬臺裝置受到影響，但此事波及全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空，甚至表明決定透過法律途徑向CrowdStrike求償。對此，在資安會議DEF CON 32舉行的Pwnie Awards頒獎典禮，CrowdStrike獲得了「史詩級失敗」（Most Epic Fail）獎項，該公司總裁Michael Sentonas親自到場領獎，並表示會放在公司顯眼的地方，藉此提醒員工這起事故帶來的教訓。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.facebook.com/moda.gov.tw/posts/500967092749394"><strong style="font-size: 20px;">臺灣資安戰隊參與DEF CON資安搶旗賽，獲得第7名佳績</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164421"><strong>【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164400"><strong>【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164383"><strong>【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</strong></a></p> </div></div></div>

Apple釋出各平臺安全更新，還針對舊版macOS修補RTKit零日漏洞

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple最新針對macOS、iOS、iPadOS、watchOS、tvOS與visionOS釋出<a href="https://support.apple.com/en-us/HT201222">安全性更新</a>，除了 Apple作業系統本身的漏洞之外，也處理了多個開源專案針對漏洞的更新。而在5月的時候，Apple對macOS中的零日漏洞CVE-2024-23296修補，現在也下放到更舊的版本macOS Monterey中，並且提到該漏洞已被用於進行攻擊。</p> <p>CVE-2024-23296漏洞主要影響Apple的即時作業系統RTKit，擁有核心讀寫能力的攻擊者，便可繞過核心記憶體保護取得系統控制權，導致敏感資料洩漏，甚至是影響系統的穩定性。該漏洞可能已被積極利用，Apple指出，有報告顯示已有攻擊者利用該漏洞進行攻擊。</p> <p>Apple針對CVE-2024-23296漏洞，從7月開始提供iOS、iPadOS與macOS的修補程式。目前包括iOS 16.7.8、iPadOS 16.7.8與macOS Monterey 12.7.6等較舊的作業系統版本都已經獲得修補，透過改進驗證機制後，解決記憶體可能的毀損問題，避免攻擊者藉由該漏洞進行攻擊。</p> <p>除此之外，Apple在macOS上還修正了OpenSSH的CVE-2024-6387安全漏洞，該漏洞允許未經授權的攻擊者，從遠端執行任意程式碼。由於OpenSSH為熱門的開源專案，因此CVE-2024-6387漏洞影響範圍極廣，大多數Linux版本都受到影響，而Apple軟體同樣也受到波及，目前已知macOS Monterey、Ventura、Sonoma都存在該漏洞，用戶應儘速更新已解決該問題。</p> <p>macOS、iOS、iPadOS中負責進行圖片解編碼任務的ImageIO，也受到開源專案中的漏洞影響，Apple修補了來自libtiff函式庫中CVE-2023-6277、CVE-2023-52356兩個漏洞，以及ImageIO處理惡意製作的檔案，可能導致應用程式意外終止的多個漏洞。</p> <p>Apple不久之前也針對iPhone 15 Pro與iPhone 15 Pro Max釋出iOS 18.1 Beta測試版，首度推出Apple Intelligence功能，使用者將可試用包括書寫工具等由生成式人工智慧模型所支援的功能。不過並非所有使用者都能夠試用Apple Intelligence，目前僅限於國家地區設置為美國，且語言預設使用美式英文的使用者。</p> </div></div></div>

【資安月報】2024年7月

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年7月資安新聞中，雖然CrowdStrike引發全球電腦大當機事故的消息不斷，佔據不少新聞版面，但其實還有不少重要消息需要大家共同關注，因此我們特別選出下列7大焦點，幫助大家快速回顧本月發生的重要事件。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>震撼全世界的IT大當機，罪魁禍首竟是資安廠商的產品更新。臺灣時間7月19日下午1點多，包含臺灣與全球都傳出Windows電腦大當機的情形，預估有850萬臺電腦受波及。這起事故的後續消息不斷傳出，涵蓋災情影響、事故原因、企業應對的報導，甚至還有許多衍生問題的討論。</p> <p>因此我們預期，接下來8月還會有更多討論，持續關注該如何避免這樣的問題發生。畢竟，這次事件衝擊許多民生關鍵基礎的服務提供，造成的影響甚至比許多網路攻擊事件還要嚴重。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點2：</span></strong>臺灣上市櫃公司資安重訊的新聞在7月明顯增加，幾乎每隔幾天的資安日報中就有相關報導。值得注意的是，這些資安重訊揭露的事件創下單月數量新高，共有10起，包括驊訊、東元、宅配通、聖暉系統集成集團（聖暉代子公司公告），宏盛、助群營造（宏盛代子公司公告）、燦坤、燦星網、光寶科、華經。</p> <p>特別的是，以東元的事故而言，當時有網友表示報修冷氣時，自己無法連上報修網站，前來維修的人員也指出領料系統有狀況。以燦坤的事故而言，其線上購物網站至今仍未能復原。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點3：</span></strong>國際有多起重大資安事故。7月有AT&amp;T、日本夏普、Twilio、TeamViewer等多起資安事故，美國洛杉磯高等法院也傳出遭勒索軟體攻擊，而被迫關閉網路系統。</p> <p>先前揭露的polyfill易主後的供應鏈攻擊事件，後續消息也不斷傳出。較特別的是，這個月還有在特定區域之內發生的軟體供應鏈攻擊，7月初我們看到兩起事故的揭露，包括印度軟體開發業者Conceptworld遭遇軟體供應鏈攻擊，以及韓國ERP系統更新伺服器遭軟體供應鏈攻擊，顯示駭客鎖定這些國家，動機不單純。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點4：</span></strong>APT駭客組織的最新攻擊活動揭露，也讓許多資安事故曝光。例如，以中國駭客組織APT40而言，多國網路安全機構聯手對該組織的攻擊行動提出警告，同時公布2起澳洲遭遇攻擊的案例，讓外界了解其手法；以北韓駭客組織APT45而言，多家資安大廠與美國司法部相繼揭露該組織的威脅現況，尤其是美國司法部指出有多個重要組織遇害，不只是美國國防承包商、兩個美國空軍基地、NASA監察長辦公室，臺灣的國防承包商同樣是受害者，這也成為國內需要關切的事件。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點5：</span></strong>涵蓋範圍廣泛的高風險漏洞。OpenSSH在7月1日修補了一個RCE重大漏洞CVE-2024-6387，發現與通報這項漏洞的資安業者Qualys，將該漏洞稱為regreSSHion，Qualys特別指出，這是OpenSSH問世以來，首次出現可授予完全Root權限的未經授權RCE漏洞。</p> <p>還有一個漏洞消息值得留意，就是Blast RADIUS（CVE-2024-3596），因為揭露這項漏洞的微軟、Cloudflare及加州大學聖地牙哥分校的研究人員指出，這不僅會導致RADIUS通訊協定被攻擊者用來發動中間人（MitM）攻擊，甚至認為設備廠商應汰除RADIUS over UDP，使用更安全的傳輸技術，或是標準組織IETF應翻新此協定的設計。</p> <p>至於最新漏洞利用態勢，本月有14個被CISA列入已知漏洞利用清單，包括：Acronis、Adobe、Cisco、微軟、OSGeo、Rejetto、ServiceNow、SolarWinds、Twilio、VMware的漏洞，我們在每期資安週報已經不斷強調其嚴重性，需要儘速因應。特別的是，從數量上來看，這次7月有14個算是多的月份，之前6月是9個，5月是14個，4月是10個。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點6：</span></strong>電腦與伺服器韌體安全層出現重大危機。韌體安全公司Binarly在7月25日揭露名為「PKfail」的漏洞，指出這是韌體供應鏈在加密金鑰管理實務上的問題，從Binarly公布的受影響產品列表來看，這個問題有9家電腦、主機板與伺服器品牌業者、將近850款產品受影響，恐影響數百萬臺裝置。</p> <p>值得我們注意的是，當中以臺廠技嘉的651款最多，其次為 Supermicro的72款、Dell的48款。這些廠商受影響的數量落差相當懸殊，尤其是技嘉，他們應該要對此提出說明，並盡快解決相關問題。若細部檢視PKFail漏洞影響的產品型號，以技嘉而言，涉及的產品類型相當廣泛，例如，包括多種類型伺服器（協同運算伺服器、機架式伺服器、高密度伺服器、邊緣運算伺服器、儲存伺服器、資料中心伺服器）、主機板，以及迷你準系統電腦、嵌入式電腦、筆電等。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點7：</span></strong>有國家推動更進階的MFA機制，要求不要使用OTP碼（One-Time Passwords）。<a href="https://www.mas.gov.sg/news/media-releases/2024/banks-in-singapore-to-strengthen-resilience-against-phishing-scams">新加坡金融管理局在7月9日宣布</a>，要求當地銀行強化抵禦網釣攻擊的能力，需在3個月內逐步淘汰使用OTP碼，改用安全性更高的應用程式驗證。</p> <p>OTP碼易遭攔截的問題也存在很長一段時間，有國家以政府力量積極採取行動，此舉別具意義，可望帶動臺灣與更多國家跟進。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/163812"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月1日到7月5日</span></a></strong></h2> <p>在這一星期的漏洞利用消息中，最優先要關注的漏洞利用情形，是Cisco針對NX-OS零時差漏洞CVE-2024-20399提出警告，多款Nexus系列交換器與MDS 9000系列產品線受影響，雖然思科已釋出新版修補程式，但也提醒該漏洞在今年4月已有被駭客用於攻擊行動的跡象。通報這項漏洞的資安業者Sygnia同時揭露此攻擊活動的調查結果，並指出是中國駭客組織Velvet Ant所為。</p> <p>還有兩個重要漏洞修補，需要特別關注，一是開源加密程式庫OpenSSH的RCE漏洞，一是蘋果應用程式相依性管理套件CocoaPods存在重大缺陷，揭露的不同研究人員均提醒應須盡速修補。</p> <p>（一）7月1日OpenSSH修補RCE重大漏洞CVE-2024-6387（regreSSHion），<a href="https://www.qualys.com/regresshion-cve-2024-6387/">Qualys指出這是OpenSSH首次出現可授予完全Root權限的未經授權RCE漏洞</a>，研究人員發現至少70萬個曝露於公開網路的OpenSSH實體含有這項漏洞。</p> <p>（二）Swift和Objective-C專案的開源相依性管理套件CocoaPods被揭露存在3大漏洞，包括：CVE-2024-38366、CVE-2024-38367與CVE-2024-38368，都與驗證伺服器Trunk有關。特別的是，這些漏洞去年已修補，今年7月CVE編號才公開。</p> <p>至於其他漏洞修補動向，包括：GitLab、Splunk、Juniper Networks發布漏洞修補，還有新型態Intel處理器漏洞Indirector的揭露。</p> <p>在資安威脅態勢方面，<strong>軟體供應鏈攻擊</strong>的狀況再次出現，這一星期我們甚至看到國際間有兩起這方面的消息，一是印度軟體開發業者Conceptworld遭遇軟體供應鏈攻擊，攻擊者在其產品安裝檔（便箋應用程式Notezilla、剪貼簿管理程式RecentX、檔案複製工具Copywhiz）植入竊資軟體，一是韓國ERP系統更新伺服器遭軟體供應鏈攻擊，當地資安業者AhnLab調查出後門程式Xctdoor，並指出攻擊者是透過Regsvr32.exe的處理程序載入執行，推測為北韓駭客Andariel所為。</p> <p>另一項政府與關鍵CI需重視的議題是<strong>網路間諜攻擊</strong>，若遇到資安事故，不要以為這只是基於經濟動機而來的勒索軟體攻擊。最近資安業者SentinelOne、Recorded Future聯手調查的結果，指出現在針對全球政府機關及關鍵基礎設施下手的網路間諜攻擊行動，APT攻擊者為了模糊焦點，因此通常會在最後階段使用勒索軟體加密攻擊，來分散防守方的注意力，以誤導事故調查方向並清除跡證，他們並以中國駭客組織ChamelGang的攻擊行動為例來說明。特別的是，他們也<a href="https://www.sentinelone.com/labs/chamelgang-attacking-critical-infrastructure-with-ransomware/">感謝臺灣資安業者TeamT5研究人員Still Hsu</a>提供對於ChamelGang組織的見解，讓他們能將其與CatB勒索軟體、BeaconLoader聯繫起來。</p> <p>在其他資安事件與威脅揭露方面，臺灣再度傳出半導體業者遭網路攻擊的情況，國際間也有Twilio、TeamViewer等的資安事故引發關注，我們整理如下：</p> <p>●上櫃的半導體公司驊訊7月3日發布資安事件重大訊息，說明偵測到部份資訊系統遭受駭客網路攻擊。<br /> ●Authy用戶注意！雲端通訊平臺Twilio發布資安事故公告，說明他們發現有駭客可經由未經身分認證的節點，辨識出Authy用戶的帳戶資料，同時他們也要求所有用戶儘速更新Authy App。<br /> ●遠端桌面程式供應商TeamViewer發布資安公告，說明6月底偵測一名員工帳號遭未經授權人士存取，調查顯示與APT 29（或稱Midnight Blizzard）的俄羅斯駭客有關，7月4日他們再次更新消息，確認影響僅限於該公司內部企業IT環境。<br /> ●資安業者揭露有駭客為了散布竊資軟體Vidar Stealer，其方法很特別，竟是藉由蓄意打造IT技術支援網站，假借提供PowerShell指令碼「解決」Windows更新錯誤，欺騙使用者下載惡意程式載入工具並被植入竊資軟體。</p> <p>此外，先前發生的重大資安事件，現在有更多後續消息傳出，包括：前一星期傳出的Polyfill供應鏈攻擊事故，已有多個資安業者示警受害規模擴大；去年底俄羅斯駭客Midnight Blizzard入侵微軟郵件系統事件也延燒至今，近期傳出微軟正通知一些美國政府機構，說明可能部分資料遭竊，包括美國國際媒體署、美政府資助的和平部隊，以及維吉尼亞州，都受到該次事件的影響。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/163921"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月8日到7月12日</span></strong></a></h2> <p>在7月第2個星期，適逢多家廠商釋出每月例行安全更新，包含微軟、SAP、Adobe、西門子、施耐德電機，Citrix、VMware也在這段期間發布漏洞修補公告，需要大家關注與儘快修補，而漏洞已遭利用的消息更需密切關注。</p> <p>（一）微軟修補4個零時差漏洞，有2個已遭駭客利用，包括：MSHTML平臺漏洞CVE-2024-38112，以及Hyper-V漏洞CVE-2024-38080。另兩個漏洞則是已被公開。<br /> （二）Rejetto檔案伺服器系統HTTP File Server（HFS）在5月底修補的漏洞CVE-2024-23692，近期已有一些資安業者示警，發現有駭客鎖定並用於攻擊行動。<br /> （三）文件轉換程式庫Ghostscript在5月初修補的RCE漏洞CVE-2024-29510，該漏洞CVE編號於7月初公開，並有研究人員公布相關細節，同時警告該漏洞已被用於實際攻擊行動。</p> <p>還有一個名為Blast RADIUS（CVE-2024-3596）的漏洞揭露要留意，微軟、Cloudflare及加州大學聖地牙哥分校的研究人員認為，設備廠商與標準組織IETF都應汰除RADIUS over UDP，考慮使用更安全的傳輸技術，或翻新此協定的設計。</p> <p>在資安威脅焦點方面，有2則新聞我們認為值得優先關注，一是多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，同時揭露了鎖定澳洲發動攻擊的2起案例，供外界了解該組織的作案手法；一是資安業者揭露中國駭客組織SneakyChef的最新攻擊行動，指出該組織從2023年8月開始針對歐洲、中東、非洲、亞洲，散布名為SugarGh0st的惡意程式，並常利用政府機關掃描文件作誘餌。</p> <p>商業電子郵件（BEC）詐騙的威脅仍不容輕忽，本星期有兩則這方面的新聞，首先，臺灣近期有崴寶精密科技與其客戶遭BEC詐騙，其客戶依指示將3000萬元款項匯至另一個不屬於崴寶精密科技的帳戶，所幸及時發現，特別的是，這是國內上市櫃企業資安重訊發布，首次有企業主動揭露遭遇BEC詐騙；另一起事件是與惡意軟體沙箱服務業者有關，他們揭露自身遭遇網釣與BEC詐騙活動，並進一步指出郵件備份應用程式PerfectData有郵件外洩的問題。</p> <p>在資安事件方面，有3起與國內上市櫃公司有關，有2起是國際間資料外洩的消息，包括：</p> <p>●上市公司東元電機說明發生網路資安事件<br /> ●上市公司宅配通說明部份資訊系統遭受駭客網路攻擊<br /> ●上櫃公司聖暉系統工程代子公司公告，揭露聖暉系統集成集團發生資安事件。<br /> ●駭客論壇流傳一份近100億帳號密碼的「rockyou2024.txt」檔案，較2021曝光的版本多出15億組資料。<br /> ●網路犯罪論壇傳出有人公布Nokia的7千多名員工個資，以及微軟的2千多名員工個資，並宣稱這些資料來自兩家公司的第三方合作夥伴。</p> <p><a id="TECO" name="TECO"></a>值得注意的是，上述發布資安重訊的東元電機、宅配通，均屬於東元集團，他們在證交所發布資安公告之後，後續在網路論壇有人討論東元電機的空調及家電產品服務，似乎也受到資安事故的影響而停擺，例如，<a href="http://www.ptt.cc/bbs/E-appliance/M.1720594162.A.FC8.html">有網友在PTT上指出，東元冷氣報修的安欣科技服務網站在遭駭前就連不上，領料系統也有狀況</a>，在TECO東元家電的臉書粉絲專頁上，也有網友詢問服務連不上的狀況，小編則回應官網維修中。由於安欣科技也隸屬於東元集團，TECO東元家電也是其事業部之一，這樣的狀況也不禁令人產生更多聯想。</p> <p>此外，先前其他國家發生的重大資安事件，最近有更多後續消息。包括：今年3月富士通揭露IT系統遭入侵，如今調查結果出爐，說明發現一個進階偽裝技術的蠕蟲程式，從一臺公司電腦進而感染49臺電腦，並研判部分客戶姓名和公司資訊外洩，已通知受影響客戶；今年5月美國最大售票平臺Ticketmaster遭駭，近期傳出駭客為了提高勒索該公司的贖金，不僅公開17萬張Taylor Swift演唱會的行動門票條碼，還有Ticketfast服務的門票條碼檔案連結。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164038"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月15日到7月19日</span></strong></a></h2> <p>這一星期最重大的資安消息，當屬7月19日（週五）資安業者CrowdStrike旗下的EDR系統更新後，引起全球大量微軟Windows電腦出現藍色當機畫面（BSoD）的事故。由於本該幫助電腦能偵測與應變威脅的資安工具，卻因為一次更新問題導致大規模公司電腦當機、服務癱瘓的狀況，引發全球高度重視。</p> <p>事實上，當日發生了兩起事件，首先是微軟，在19日臺灣清晨6點，美國中部區域一座Azure資料中心出現故障問題，導致包含M365在內等雲端服務大中斷，影響線上版SharePoint、商用版OneDrive、Teams等眾多服務。</p> <p>到了下午1點，我們注意到國內社群網站的資安群組開始討論Windows電腦出現藍色當機畫面，並點出問題可能出在資安業者CrowdStrike，當下我們查詢更多資訊，發現<a href="https://www.reddit.com/r/crowdstrike/comments/1e6vmkf/bsod_error_in_latest_crowdstrike_update/">美國社群網站Reddit已經指出CrowdStrike更新造成當機</a>的情形，在此同時，筆者身邊友人也通報其公司電腦1點多發生當機，同樣確認原因出在CrowdStrike。</p> <p>兩點後，大規模電腦當機消息開始在全球新聞媒體傳開，國內傳出桃園機場、臺大醫院、臺北榮總營運受影響，全球各國也有大量藍色當機畫面情形的報導。後續，CrowdStrike發布相關公告，說明發生EDR更新檔案與Windows系統衝突造成電腦當機，並指出C-00000291.sys是有問題的版本，同時指出這次事件並非遭遇網路攻擊，微軟在Azure Status服務狀態頁面也指出，他們在臺灣時間中午12點09分同樣受到CrowdStrike的影響（事件編號為1VT1-LX0），並表示這次事件與已解決的美國中部Azure資料中心中斷事件無關（該事件編號為1K80-N_8）。</p> <p>至於何起事件是影響航班管理系統服務供應商Navitaire的主因，有待後續釐清。</p> <p>周末期間又有新的消息曝光，首先，<a href="https://blogs.microsoft.com/blog/2024/07/20/helping-our-customers-through-the-crowdstrike-outage/?WT.mc_id=DT-MVP-4015686&amp;">微軟表示這次CrowdStrike引發的事件估計影響全球850萬臺的Windows電腦</a>，另也發布因應這次事件的手動安裝更新<a href="https://support.microsoft.com/en-us/topic/kb5042421-crowdstrike-issue-impacting-windows-endpoints-causing-an-0x50-or-0x7e-error-message-on-a-blue-screen-b1c700e0-7317-4e95-aeee-5d67dd35b92f">KB5042421</a>，此外，有<a href="http://x.com/Perpetualmaniac/status/1814376668095754753">研究人員在社群平臺X上指出，分析CrowdStrike當機資料後找出是有段C++程式存在記憶體安全錯誤</a>，詳情有待後續CrowdStrike說明。</p> <p>在其他重要資安事件與威脅態勢方面，國內有建設公司與人力銀行的消息，國際間也有不少資料外洩、攻擊行動的揭露，我們整理如下：<br /> ●國內上市公司宏盛建設發布資安重訊，設說明該公司發生網路資安事件，另也代子公司助群營造公告發生網路資安事件。<br /> ●國內檢調單位接獲104人力銀行通報，有人企圖透過公司名義收集求職者個資，新北地檢署已在17日搜索涉案公司並查扣物證。<br /> ●專案管理工具Trello有逾1,500萬用戶個資遭人公開於Breach Forums地下論壇，對方並聲稱是透過公開的API取得。<br /> ●美國電信公司AT&amp;T通報美SEC，說明發生資料洩事故，有駭客在今年4月存取AT&amp;T在第三方雲端平臺的工作區，導致所有客戶的通話與簡訊歷程記錄被竊。<br /> ●義大利資安業者TG Soft揭露一起攻擊行動，他們在6月24日、7月2日偵測到中國駭客組織APT17針對當地企業及政府機關下手，意圖散布9002 RAT惡意程式。<br /> ●日本JPCERT/CC警告，當地企業組織遭到攻擊行動MirrorFace鎖定，攻擊者入侵企業後的目的是散布後門程式NoopDoor。</p> <p>在漏洞消息方面，我們注意到有4個已知漏洞首次被發現遭駭客利用的情形，近期已被美國CISA列入限時修補名單，包括：3月底VMware vCenter Server已修補的漏洞CVE-2022-22948，6月初SolarWinds Serv-U已修補的漏洞CVE-2022-22948，6月中Adobe Commerce及Magento Open Source已修補的CosmicSting漏洞（CVE-2024-34102），以及7月1日GeoServer已修補的RCE漏洞CVE-2024-36401。其中CosmicSting漏洞值得留意，有資安業者指出這是該電商平臺歷年來最嚴重的漏洞之一。</p> <p>在資安防禦與產業動向上，各有一則重要消息，首先，是關於OTP碼容易遭攔截與網釣的問題，談了很多年，最近國際間有政府積極行動，近日新加坡金融管理局宣布，要求當地金融業者在限期3個月內，汰除以簡訊提供OTP碼供客戶網銀登入，並要求改成安全性更高的應用程式驗證；另一項消息，是Google母公司Alphabet傳出將以230億美元收購雲端資安新創Wiz，藉此強化該公司的雲端安全業務，如收購成功將成Google最大併購案。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164163"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月22日到7月26日</span></strong></a></h2> <p>在這一星期的資安新聞中，資安業者CrowdStrike旗下的EDR系統更新引發Windows電腦大當機的事故，後續消息是持續不斷地傳出，佔據資安日報的大量新聞版面。</p> <p>首先，關於影響層面的後續新聞就有不少，例如，微軟說明全球850萬臺電腦受影響，雖然數量不到全球Windows電腦總數的百分之一，但微軟自己也指出這已造成對全球社會與經濟的廣泛影響。</p> <p>關於臺灣受影響狀況的新聞，有兩則重要報導，一是iThome特別詢問多家臺灣企業資安長、資服業者等，了解到企業實際面對的狀況，不只金融業、資服業、傳統製造業與高科技製造業者都傳出災情，有資服業者更是以手動方式在3天復原3,000多臺個人電腦；另一是金管會公布針對國內金融業清查的結果，有2家期貨商、4家投信業、5家壽險業和2家產險業者受影響，其中保險業就有1千多臺伺服器與1千多臺個人電腦，遭到波及。</p> <p>此外，在我們日前發布的<a href="https://www.ithome.com.tw/news/164094">最新Fintech週報</a>中，也有指出國外金融領域受影響情形，包括摩根大通、瑞士銀行、德意志銀行、日本野村銀行，甚至倫敦證券交易所用來發布監管公告的新聞服務，也都受到影響。</p> <p>關注災情之餘，對於事故原因的調查，更是大家亟欲了解的部分。CrowdStrike在7月24日的事故更新公布初步調查結果，指出說明問題發生在派送「Rapid Response Content」的環節，加上這個問題在驗證檢查期間未被檢測到，使得後續Falcon感應器更新、布署並載入這些內容，導致了越界記憶體讀取，進而引發Windows電腦當機。</p> <p>當然，這次事件還有諸多衍生議題，一些新聞內容也未能全部涵蓋，像是從一開始大家質疑資安廠商部署前是否有測試、為何沒發現問題？後來討論延伸到為何程式開發人員會犯錯？也有人表示這是因為開發人員使用不具記憶體安全（non-memory-safe）的程式語言；也有人質疑作業系統核心為何要開放第三方軟體深度整合，就連該家資安廠商提供Uber Eats禮品卡賠罪，也引發眾人不滿，以及傳出有政府與企業要求賠償的狀況等，這些都值得我們繼續追蹤。</p> <p>另一重要資安新聞是，資安業者KnowBe4揭露自身遭遇北韓駭客潛入公司內容成為軟體工程師，原因是對方使用AI深偽技術並通過線上面試。事實上，早在2022年美國政府就意識到這樣的問題，像是美國財政部就針對來自北韓的<a href="https://ofac.treasury.gov/media/923126/download?inline">IT Workers</a>示警，指出雖然他們主要從事合法的IT工作，但會濫用自身權限協助北韓進行惡意網路入侵，又或是賺錢來幫助北韓實施網路攻擊。而從這次對方使用AI深偽技術求職來看，並通過了4次KnowBe4的線上會議面試，幸好他們聘僱後及早發現異常。但這是否也意味著還有很多還沒發現的情形？</p> <p>其他重要資安事件上，有多起消息與國內上市櫃公司有關，我們整理如下：<br /> ●燦坤與燦星網同日發布資安重訊，說明資訊系統遭受網路攻擊。<br /> ●光寶科發布重大訊息，說明偵測一部外網伺服器遭受駭客攻擊的因應。<br /> ●針對半導體矽晶圓廠環球晶圓6月遭駭事故，最近駭客組織Storm-1811突然聲稱是他們所為，並要脅7月底將公布竊得資料。<br /> ●移民署內部通訊錄驚傳流入駭客論壇，該單位表示疑為離職員工所為。<br /> ●美國洛杉機高等法院傳出遭到勒索軟體攻擊，被迫關閉網路系統。</p> <p>在漏洞消息方面，有一個鎖定利用狀況需要留意，ServiceNow在7月10日修補的重大漏洞CVE-2024-4879，最近有資安業者察覺多個駭客組織蠢蠢欲動，因為出現嘗試掃描未修補上述漏洞的ServiceNow平臺的行為。</p> <p>至於資安防禦及產業動向上，有3個重要的消息，首先，Google多年來表示將在Chrome中封鎖第三方Cookie，如今竟放棄計畫，其次是非營利組織OASIS Open宣布安全AI聯盟CoSAI（Coalition for Secure AI）成立，多家科技大廠參與，目標是在AI安全設計方面建立協作生態體系；第三是雲端安全公司Wiz傳出拒絕Google高價收購，將尋求在股票市場掛牌上市（IPO）。</p> <p> </p> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3> </h3> </div></div></div>

【資安週報】2024年7月1日到7月5日

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞利用消息中，最優先要關注的漏洞利用情形，是Cisco針對NX-OS零時差漏洞CVE-2024-20399提出警告，多款Nexus系列交換器與MDS 9000系列產品線受影響，雖然思科已釋出新版修補程式，但也提醒該漏洞在今年4月已有被駭客用於攻擊行動的跡象。通報這項漏洞的資安業者Sygnia同時揭露此攻擊活動的調查結果，並指出是中國駭客組織Velvet Ant所為。</p> <p>還有兩個重要漏洞修補，需要特別關注，一是開源加密程式庫OpenSSH的RCE漏洞，一是蘋果應用程式相依性管理套件CocoaPods存在重大缺陷，揭露的不同研究人員均提醒應須盡速修補。</p> <p>（一）7月1日OpenSSH修補RCE重大漏洞CVE-2024-6387（regreSSHion），<a href="https://www.qualys.com/regresshion-cve-2024-6387/">Qualys指出這是OpenSSH首次出現可授予完全Root權限的未經授權RCE漏洞</a>，研究人員發現至少70萬個曝露於公開網路的OpenSSH實體含有這項漏洞。</p> <p>（二）Swift和Objective-C專案的開源相依性管理套件CocoaPods被揭露存在3大漏洞，包括：CVE-2024-38366、CVE-2024-38367與CVE-2024-38368，都與驗證伺服器Trunk有關。特別的是，這些漏洞去年已修補，今年7月CVE編號才公開。</p> <p>至於其他漏洞消息，包括：GitLab、Splunk、Juniper Networks發布漏洞修補，還有新型態Intel處理器漏洞Indirector的揭露。</p> <p>在資安威脅態勢方面，<strong>軟體供應鏈攻擊</strong>的狀況再次出現，這一星期我們甚至看到國際間有兩起這方面的消息，一是印度軟體開發業者Conceptworld遭遇軟體供應鏈攻擊，攻擊者在其產品安裝檔（便箋應用程式Notezilla、剪貼簿管理程式RecentX、檔案複製工具Copywhiz）植入竊資軟體，一是韓國ERP系統更新伺服器遭軟體供應鏈攻擊，當地資安業者AhnLab調查出後門程式Xctdoor，並指出攻擊者是透過Regsvr32.exe的處理程序載入執行，推測為北韓駭客Andariel所為。</p> <p>另一項政府與關鍵CI需重視的議題是<strong>網路間諜攻擊</strong>，若遇到資安事故，不要以為這只是基於經濟動機而來的勒索軟體攻擊。最近資安業者SentinelOne、Recorded Future聯手調查的結果，指出現在針對全球政府機關及關鍵基礎設施下手的網路間諜攻擊行動，APT攻擊者為了模糊焦點，因此通常會在最後階段使用勒索軟體加密攻擊，來分散防守方的注意力，以誤導事故調查方向並清除跡證，他們並以中國駭客組織ChamelGang的攻擊行動為例來說明。特別的是，他們也<a href="https://assets.sentinelone.com/sentinellabs/chamelgang-friends-en">感謝臺灣資安業者TeamT5的Still Hsu所提供的重要跡證，讓他們能將CatB勒索軟體、BeaconLoader與ChamelGang聯繫起來</a>。</p> <p>在其他資安事件與威脅揭露方面，臺灣再度傳出半導體業者遭網路攻擊的情況，國際間也有Twilio、TeamViewer等的資安事故引發關注，我們整理如下：</p> <p>●上櫃的半導體公司驊訊7月3日發布資安事件重大訊息，說明偵測到部份資訊系統遭受駭客網路攻擊。<br /> ●Authy用戶注意！雲端通訊平臺Twilio發布資安事故公告，說明他們發現有駭客可經由未經身分認證的節點，辨識出Authy用戶的帳戶資料，同時他們也要求所有用戶儘速更新Authy App。<br /> ●遠端桌面程式供應商TeamViewer發布資安公告，說明6月底偵測一名員工帳號遭未經授權人士存取，調查顯示與APT 29（或稱Midnight Blizzard）的俄羅斯駭客有關，7月4日他們再次更新消息，確認影響僅限於該公司內部企業IT環境。<br /> ●資安業者揭露有駭客為了散布竊資軟體Vidar Stealer，其方法很特別，竟是藉由蓄意打造IT技術支援網站，假借提供PowerShell指令碼「解決」Windows更新錯誤，欺騙使用者下載惡意程式載入工具並被植入竊資軟體。</p> <p>此外，先前發生的重大資安事件，現在有更多後續消息傳出，包括：前一星期傳出的Polyfill供應鏈攻擊事故，已有多個資安業者示警受害規模擴大；去年底俄羅斯駭客Midnight Blizzard入侵微軟郵件系統事件也延燒至今，近期傳出微軟正通知一些美國政府機構，說明可能部分資料遭竊，包括美國國際媒體署、美政府資助的和平部隊，以及維吉尼亞州，都受到該次事件的影響。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163731"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月1日】遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未受影響</span></strong></a></h3> <p>上週北美汽車經銷商軟體服務業者CDK Global因網路攻擊而導致相關服務停擺的情況，多家汽車經銷商隨之業務受到影響，客戶被迫向其他經銷商購車而造成營業損失，如今出現新的進展。</p> <p>根據多家媒體報導，攻擊者的身分疑為勒索軟體駭客組織BlackSuit，而且，這些駭客還假冒CDK Global客服打給汽車經銷商，使得情況更加嚴重。</p> <h3><a href="https://www.ithome.com.tw/news/163743"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月2日】研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬個網站受害</span></strong></a></h3> <p>中國駭客鎖定今年臺灣總統大選的網路攻擊，已有數家資安業者公布他們觀察到的攻擊行動，但最近研究人員揭露的最新發現，攻擊者從事相關活動的期間，從去年11月到今年4月，也就是自總統選舉的2個月前，到新任總統即將上任前夕，時間接近半年。</p> <p>值得留意的是，這些駭客不僅針對外交經濟和社會運動團體而來，也鎖定高科技產業，企圖偷取相關機密。</p> <p><a href="https://www.ithome.com.tw/news/163765"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月3日】巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使用者</span></strong></a></p> <p>身為資安業者卻遭到駭客入侵的情況，最近傳出新的資安事故。例如，有許多研究人員使用的雲端惡意軟體沙箱Any.Run，其服務供應商傳出遭到網路攻擊，公司所有的員工都收到來自內部人士寄送的釣魚郵件。</p> <p>這起事故可追溯到一個月前有員工上當，雖然他嘗試利用沙箱環境檢查惡意連結，但並未做好相關設定，且依照對方指示提供自己的帳號密碼，導致帳號遭到對方挾持。</p> <p><a href="https://www.ithome.com.tw/news/163785"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</span></strong></a></p> <p>鎖定網站而來的供應鏈攻擊頻傳，在昨天我們報導有人對<a href="https://www.ithome.com.tw/news/163662">上架到WordPress.org市集的外掛程式植入惡意程式碼</a>後，有另一款熱門的網站程式庫Polyfill.io，也傳出更換經營團隊後，被植入惡意內容。</p> <p>值得留意的是，這個程式庫在輾轉交給中國一家內容傳遞網路（CDN）業者經營後，該業者就開始隨意竄改回傳用戶端的檔案，使得研究人員呼籲網站管理者應儘速移除，並尋求替代方案。</p> <h3><a href="https://www.ithome.com.tw/news/163808"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</span></strong></a></h3> <p>知名的網站功能相容性程式庫polyfill.io本週傳出供應鏈攻擊，研究人員提出警告，他們發現程式碼在中國CDN業者今年初接手後，就開始植入惡意程式，由於採用這款程式庫的網站眾多，且不乏許多知名企業組織與政府單位，所以，這起供應鏈攻擊引發軟體開發與資安領域的密集關注，如今出現新的進展。</p> <p>有研究人員發現，在Namecheap註銷polyfill.io之後，經營者透過新的polyfill[.]com提供服務，並聲稱相關服務透過Cloudflare快取未含供應鏈風險。</p> </div></div></div>

【資安日報】7月2日，研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬…

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週最令人聞之色變的polyfill[.]io供應鏈攻擊事故，引起許多研究人員關注，並呼籲網站管理者要儘速更換相關程式碼因應。事隔數日，這起事故又有新的變化。</p> <p>根據資安研究團隊MalwareHunterTeam與多名研究人員的調查，這些駭客同時也使用其他4個網域從事相關攻擊，因此受害範圍將進一步擴大，首先公布這起事故的資安業者Sansec表示，這些駭客已持續攻擊長達1年，他們找到8個對方使用的網域名稱。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163742"><strong style="font-size: 22px;">Polyfill供應鏈攻擊事故受害規模擴大，對方同時運用至少8個網域，至少有30萬個網站受害</strong></a></p> <p>上週引起各界高度關注的polyfill[.]io供應鏈攻擊事故，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，經營者聲稱透過polyfill[.]com繼續提供服務，使得研究人員對於使用該程式庫的網站提出警告，呼籲網站管理者應儘速移除，或是尋求替代方案，如今有研究人員指出，對方同時其他網域來從事相關的供應鏈攻擊。</p> <p>資安研究團隊MalwareHunterTeam指出，Google近期針對廣告業者發出的警告當中，提及會造成網站資安問題的第三方程式庫來源，除了polyfill之外，也提及Bootcss[.]com、BootCDN[.]net、Staticfile[.]org，但有研究人員進一步調查後發現，這些網域的背後經營者，其實都是同一組人馬，估計遭到相關攻擊的網站，規模達到至少30萬至35萬個。</p> <p>最早針對此事提出警告的資安業者Sansec也公布新的發現，他們指出對方至少從2023年6月發動供應鏈攻擊，藉此散布惡意軟體，當時這些駭客使用的網域，包括bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org、unionadjs[.]com、xhsbpza[.]com、union.macoms[.]la、newcrbpc[.]com。</p> <p><a href="https://www.ithome.com.tw/news/163735"><strong style="font-size: 22px;">針對俄羅斯駭客APT29入侵微軟內部郵件系統的事故，該公司警告恐有更多用戶受到波及</strong></a></p> <p>與俄羅斯情報單位關係密切的駭客組織APT29（又稱Nobelium、Cozy Bear、Midnight Blizzard），去年11月經由密碼潑灑手法取得微軟Exchange Online測試帳號密碼，先是存取高層、法務及網路安全部門信件，今年再度攻擊微軟。微軟3月證實，這些駭客利用之前攻擊獲得的員工憑證，已經存取微軟內部系統和產品程式碼。6月底的用戶通知顯示這起攻擊災害真正範圍，正隨著微軟調查持續展開。</p> <p>微軟將已遭駭客存取的企業客戶信件獨立出來存在個別安全系統中，要求客戶指派經授權人士檢視這批信件，該公司將提供相關資訊，包括TenantID、存取密碼及連結等，供企業指派的人士存取信件。不過，該公司尚未證實此事，究竟有多少用戶收到通知信，也不得而知。</p> <p><a href="https://www.ithome.com.tw/news/163736"><strong style="font-size: 22px;">思科針對網路設備作業系統NX-OS零時差漏洞提出警告，中國駭客Velvet Ant將其用於散布惡意軟體</strong></a></p> <p>7月1日思科針對旗下網路設備作業系統NX-OS的漏洞CVE-2024-20399提出警告，此為命令列介面（CLI）的命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，CVSS風險評為6.0分。值得留意的是，他們提及今年4月這項漏洞已被用於攻擊行動。</p> <p>值得留意的是，雖然思科強調攻擊者利用漏洞的前提，是必須取得管理員權限，並存取特定的組態命令，才會觸發，但他們也提及，攻擊者無須啟用bash-shell的功能，也不會留下執行run bash命令的相關系統事件記錄，而能夠對使用者隱藏Shell命令執行的蹤跡。</p> <p>而針對這項零時差漏洞被用於攻擊行動的情形，通報漏洞的資安業者Sygnia指出，中國駭客組織Velvet Ant成功利用這項漏洞，在思科的Nexus裝置底層Linux作業系統執行命令，從而執行過往尚未被揭露的惡意程式，使得駭客能遠端存取Nexus設備，從中進行檔案上傳或是執行程式碼。</p> <p><a href="https://www.ithome.com.tw/news/163741"><strong style="font-size: 22px;">冒牌IT技術支援網站假借提供PowerShell指令碼「解決」Windows更新錯誤，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure2.jpg" style="width: 300px; float: right;" /></a>資安業者eSentire揭露一起散布竊資軟體Vidar Stealer的攻擊行動，但這起攻擊行動的特別之處在於，攻擊者架設名為PCHelper Wizards的知識庫網站，聲稱能協助使用者修正Windows安裝更新產生的錯誤，然而一旦照做，執行對方提供的PowerShell指令碼，電腦就會下載惡意程式載入工具Hijack Loader（IDAT Loader），並注入netsh.exe處理程序執行，最終植入竊資軟體。</p> <p>在其中一起攻擊行動裡，對方號稱提供Windows更新過程出現0x80070643錯誤碼的解決方法。這是今年1月微軟例行更新（Patch Tuesady）當中，針對Windows 10使用者發布KB5034441更新，修補BitLocker安全功能繞過漏洞CVE-2024-20666，有部分使用者在安裝的過程出現上述錯誤代碼。</p> <p>值得留意的是，這些駭客也上傳教學影片來試圖散布PowerShell指令碼。研究人員在調查的過程發現，有一支YouTube影片與之有關，其中內含來自機器人的評論，聲稱影片提供的方法確實有效。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/kimsuky-deploys-translatext-target-south-korean-academia"><strong style="font-size: 20px;">北韓駭客組織Kimsuky散布惡意Chrome延伸套件TransLatext，針對韓國學術機構竊取帳密資料</strong></a></p> <!-- notionvc: 75e8c627-e48c-4c69-949e-dde21bd8e433 --><p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/meet-brain-cipher-the-new-ransomware-behind-indonesia-data-center-attack/"><strong style="font-size: 20px;">印尼臨時國家資料中心遭到網路攻擊，傳出是勒索軟體駭客組織Brain Cipher所為</strong></a></p> <p>◆<a href="https://www.rapid7.com/blog/post/2024/06/27/supply-chain-compromise-leads-to-trojanized-installers-for-notezilla-recentx-copywhiz/"><strong style="font-size: 20px;">印度軟體開發業者遭遇供應鏈攻擊，旗下產品安裝檔被植入竊資軟體</strong></a></p> <!-- notionvc: f2ba7274-18b7-403a-ac17-69e241cc2d71 --><p></p> <p>◆<a href="https://outpost24.com/blog/unfurling-hemlock-cluster-bomb-campaign/"><strong style="font-size: 20px;">駭客組織Unfurling Hemlock在受害電腦投放多種惡意程式進行轟炸</strong></a></p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163737"><strong style="font-size: 22px;">開源加密程式庫OpenSSH存在RCE漏洞regreSSHion，攻擊者有機會藉此在Linux作業系統取得root權限</strong></a></p> <!-- notionvc: a8fe7a4a-39cc-4d2e-afb4-5c778f4be36e --><p></p> <p>資安業者Qualys提出警告，他們在基於glibc之Linux系統的OpenSSH伺服器上發現安全漏洞CVE-2024-6387，未經授權的攻擊者一旦觸發漏洞，就能自遠端執行任意程式，該漏洞波及了絕大多數的Linux版本。研究人員透過Censys與Shodan的物聯網裝置搜尋引擎掃描，發現網路上可能受影響的OpenSSH實例超過1,400萬個，他們根據Qualys CSAM 3.0外部攻擊面管理工具的資料，有70萬個曝露於公開網路上的OpenSSH實體含有這項漏洞。</p> <p>對此，開發團隊於7月1日發布9.8及9.8p1版修補這項漏洞，他們也針對這項漏洞提出說明，表示他們已在特定組態的32位元Linux作業系統環境重現漏洞，但也有可能用來攻擊64位元的Linux主機，甚至是未採用glibc程式庫的電腦。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.evasec.io/blog/eva-discovered-supply-chain-vulnerabities-in-cocoapods"><strong style="font-size: 20px;">蘋果應用程式相依性管理套件CocoaPods存在重大缺陷，恐導致iOS、macOS應用程式出現供應鏈攻擊</strong></a></p> <!-- notionvc: 8fea9508-26ec-4399-9b95-4705e51edd50 --><p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163711"><strong style="font-size: 22px;">2024臺灣AD防護現況大公開，兩家本土資安業者持續示警，呼籲企業重視多種管理設定不當引發的風險</strong></a></p> <p>對於Active Directory（AD）的防護，由於影響企業與組織應用系統的身分與存取安全，近年來持續受到許多國內外資安業者關注，原因在於，大家都疏於防護，存在管理不當、設定不安全的狀況。</p> <p>在2022年，臺灣兩家本土資安業者奧義智慧與戴夫寇爾曾聯手，共同揭露臺灣企業AD防護上的多項問題，包括：高達77%可從DMZ區直接存取AD，以及企業不夠重視最新AD提權漏洞修補。</p> <p>今年上半，我們看到這兩家資安業者持續針對這方面議題示警，他們各自依據處理的實際案例與演練經驗，在最近幾個月相繼公布臺灣最新AD安全分析結果，呼籲企業應重新檢視自家AD，是否存在類似的安全問題。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163731"><strong>【7月1日】遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未受影響</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163709"><strong>【6月28日】前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，再度對10萬網站下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163687"><strong>【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站</strong></a></p> </div></div></div>

OpenSSH含有可遠端攻陷伺服器的回歸漏洞

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Qualys 周一（7/1）<a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server" target="_blank">警告</a>，他們在基於glibc之Linux系統的Open Secure Shell（OpenSSH）伺服器上發現一個安全漏洞CVE-2024-6387，將允許未經授權的駭客自遠端執行任意程式，該漏洞波及了絕大多數的Linux版本。透過Censys與Shodan的掃描發現，網路上可能受影響的OpenSSH實例超過1,400萬個，但Qualys CSAM 3.0外部攻擊面管理工具的匿名資料則顯示，有70萬個曝露於公開網路上的OpenSSH實例確定含有該漏洞。</p> <p>OpenSSH是一個基於Secure Shell（SSH）協定的開源網路加密通訊工具，具備強大的加密能力以確保隱私與安全的檔案傳輸，為遠端伺服器管理及安全資料通訊的重要工具，最初是OpenBSD作業系統專案的一部分，約於2000年開始移植到其它平臺，它現為大多數主要Linux版本的基本配置，涵蓋Ubuntu、Debian、CentOS/RHEL、Fedora、openSUSE與macOS等。</p> <p>CVE-2024-6387為OpenSSH訊號處理程序的競爭條件漏洞，允許駭客在不需要身分驗證的情況下，自遠端執行任意程式，還能以最高權限執行，意味著能夠完全掌控被駭系統。</p> <p>不過，Qualys發現，這其實是個回歸漏洞，同樣的漏洞曾經出現在2006年的CVE-2006-5051，當時已被修復，卻又在2020年10月發布的OpenSSH 8.5p1版本中重現。</p> <p>受到該漏洞影響的版本為OpenSSH 4.4p1之前的版本，但只要曾修補CVE-2006-5051與CVE-2008-4109漏洞就不會受到影響；OpenSSH 4.4p1到OpenSSH 8.5p1則因部署了CVE-2006-5051而未遭波及；而OpenSSH 8.5p1至OpenSSH 9.8p1則是因意外刪除函數中的關鍵元件而讓漏洞重新出現。</p> <p>另一方面，由於OpenBSD作業系統團隊在2001年開發了一個安全機制來預防該漏洞，使得它並未受到該漏洞的牽連。</p> <p>Qualys建議使用者應該儘速部署可用的安全更新，強化存取控制，以及執行網路分段與入侵偵測來緩解可能的風險。</p> <p>OpenSSH團隊亦於本周一<a href="https://www.openssh.com/releasenotes.html" target="_blank">釋出了OpenSSH 9.8/9.8p1</a>， 以修補CVE-2024-6387及另一個邏輯漏洞。該團隊亦說明，在實驗室環境下，要攻陷CVE-2024-6387需要不斷建立連結並持續6~8小時，直至達到伺服器極限，目前已於具備ASLR的32位元Linux系統上成功展現。理論上該漏洞也可能用來攻擊64位元的Linux系統，或是非glibc的系統，但前者尚未有人印證，後者則需深入研究。</p> </div></div></div>

Windows遠端協助工具「快速助手」遭到濫用，駭客從事勒索軟體Black Basta攻擊行動

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月10日<a href="https://www.rapid7.com/blog/post/2024/05/10/ongoing-social-engineering-campaign-linked-to-black-basta-ransomware-operators/">資安業者Rapid7揭露一項社交工程攻擊行動</a>，駭客鎖定採用威脅偵測與應變代管服務（Managed Detection and Response，MDR）的企業組織而來，利用垃圾郵件轟炸目標用戶的電子郵件信箱，然後撥打電話表示能提供協助，引誘用戶下載遠端管理軟體，其中一種是Windows作業系統內建的「快速助手（Quick Assist）」，攻擊者的身分很可能與勒索軟體駭客組織Black Basta有關。而相關的攻擊行動，最近有了新的發現。</p> <p>微軟也針對這項社交工程攻擊著手調查，並指出攻擊者的身分是出於經濟動機的駭客組織Storm-1811，而這個組織經常會在攻擊行動部署勒索軟體Black Basta。<a href="https://www.microsoft.com/en-us/security/blog/2024/05/15/threat-actors-misusing-quick-assist-in-social-engineering-attacks-leading-to-ransomware/">他們從4月中旬看到對方從事攻擊行動</a>，先是透過語音網路釣魚（Vishing）來引誘目標用戶上當，然後啟動快速助手控制目標電腦，從而散布ScreenConnect、NetSupport Manager等遠端管理工具，以及惡意程式QBot、滲透測試工具Cobalt Strike，最終達到部署勒索軟體的目的。</p> <p>研究人員指出，對方通常會試圖冒充技術人員或是服務臺（Help Desk）人員，假借修復目標電腦的名義部署遠端管理工具，以便對其進行控制。但究竟駭客怎麼讓電腦「故障」？研究人員指出，對方利用名為連結列表（Link Listing）的電子郵件轟炸攻擊手法，為使用者大量訂閱電子報，間接透過這些訂閱內容將用戶電子郵件信箱淹沒，然後再撥打電話宣稱能協助解決問題。</p> <p>在通話的過程中，駭客引誘使用者按下快速鍵CTRL+Windows+Q，啟動快速助手並輸入安全性驗證碼，進而掌控受害者的電腦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/QuickAssist_Oftg6QtZCO.png" style="width: 580px;" /></p> <p>大多數人可能對於快速助手這個名稱感到冒生，這項工具微軟在Windows 10導入，主要用途是提供技術人員能透過網際網路遠端協助用戶排除問題。微軟最早提供類似的功能是在Windows XP作業系統上，當時叫做「Windows遠端協助（Windows Remote Assistance）」。</p> <p>一旦使用者依照指示允許攻擊者進行控制，對方就會透過cURL命令下載一系列的批次檔或是ZIP壓縮檔，用途是傳送惡意酬載。研究人員看到攻擊者會使用QBot，但也有下載遠端管理工具的情況。</p> <p>研究人員指出，攻擊者運用QBot傳遞Cobalt Strike及其他惡意酬載，而遠端管理工具ScreenConnect則是用於進行橫向移動，至於NetSupport Manager，對方拿來安裝其他惡意程式，或是對受害電腦執行命令。在部分攻擊行動裡，駭客也會濫用OpenSSH來建立SSH隧道，以便持續在受害環境行動。</p> <p>攻擊者在結束通話後，會進一步進行偵察並橫向移動，然後使用PsExec於受害組織的網路環境部署勒索軟體並加密檔案。</p> </div></div></div>

Brocade儲存區域網路管理軟體發現多個漏洞

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html#suspicious-network-traffic-www.gridgain.com">資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞</a>，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。</p> <p>SANnav包括SANnav Management Portal與SANnav Global View等2項元件，可透過圖形化介面，提供自動化的SAN管理服務，幫助用戶簡化SAN環境的管理作業，免除繁瑣指令，並以易於理解的可視化資訊，掌握SAN環境的運作。</p> <p>Pierre Barre通報的SANnav軟體漏洞一共有18個，會影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>Pierre Barre早在2022年9月時，便透過Dell向Brocade通報這些問題，但當時Barre測試的SANnav版本是2.1.1版，而Brocade已推出新的2.2.2版，因而未接受Barre的安全通報。後來Barre在2023年5月確認2.2.2版仍存在這些漏洞，並額外通報3個新漏洞，Borcade才正式承認這些漏洞，並於2024年4月發布修正檔，將SANnav更新到2.3.1版以修補這些漏洞。</p> <p>第1個漏洞CVE-2024-4159，是因為SANnav的虛擬機器缺乏預設防火牆保護，從而允許攻擊者存取SANnav內含的Apache Kafka事件串流平臺API。</p> <p>第2個漏洞未獲CVE識別碼，是SANnav的HTTPS連接如果遭到攻擊者阻擋時，將會轉用HTTP來連接，從而讓攻擊者可以從SANnav的資料傳輸中尋找密碼資訊。</p> <p>第3個漏洞CVE-2024-4161，SANnav是透過未加密的明文，來接收Brocade光纖交換器的系統日誌（Syslog）流量。</p> <p>第4個漏洞CVE-2024-29966，與未獲CVE識別碼的第5個漏洞，分別是不安全的系統帳戶root與sannav，前者的密碼是在產品文件中公開的，而後者也使用相同密碼。</p> <p>第6個漏洞CVE-2024-2859，是系統預設可以透過root權限，在OpenSSH 設定檔設定不安全的選項。</p> <p>第7個漏洞CVE-2024-29961，與第17個漏洞CVE-2024-29961，都是SANnav存在可疑網路流量的問題，分別會向ignite.apache.org與<a href="http://www.gridgain.com">www.gridgain.com</a>定期發送HTTPS請求，讓人不解且顯得可疑。</p> <p>第8個漏洞未獲CVE編號，以及第9個漏洞CVE-2024-29967，都是SANnav的Postgres資料庫存取不安全，Postgres資料庫存取沒有身分認證機制，可透過任何Docker執行個體存取，並藉此存取內含敏感資料的dcmdb資料庫，且能覆寫Postgres Docker執行個體的關鍵檔案。</p> <p>第10個漏洞CVE-2024-29967與第11個漏洞CVE-2024-29964，都是SANnav的Docker執行個體運作不安全，允許攻擊者透過取代特定目錄中的二進位檔案來接管SANnav，且任何Docker執行個體都能編輯系統與日誌的組態；此外，構成SANnav的40個Docker執行個體，彼此間是以HTTP互連，配置上也存在多個漏洞，其中4個執行個體擁有較大的權限，可允許攻擊者接管整個SANnav。</p> <p>第12個漏洞CVE-2024-29965是不安全的備份程序，擁有本機存取權限的攻擊者可以將SANnav的備份檔案還原到其他裝置上，進而從中找出敏感的配置與密碼資訊。</p> <p>第13個漏洞CVE-2024-4159是防火牆規則不一致，SANnav提供了對應IPv4與IPv6的防火牆規則，但彼此間存在一些不一致，增加了IPv6連接遭受攻擊的機會。</p> <p>第14個漏洞CVE-2024-29962，是內含密碼與日誌的檔案存取權限不安全，攻擊者可藉此獲得密碼與讀取日誌。</p> <p>第15個漏洞CVE-2024-4173，是可透過多個WAN埠，存取SANnav內含的Kafka事件串流平臺，且缺乏身分驗證。攻擊者可透過暴露在WAN連接環境上的Kafka平臺，來攻擊SANnav系統。</p> <p>第16個漏洞CVE-2024-2996，與第18個漏洞CVE-2024-29963，分別是SANnav的SSH密鑰，以及Docker的TLS存取密鑰，都是在原廠OVA映像檔中寫死（Hardcoded）的型式，攻擊者有藉此破解與攻擊SSH與TLS傳輸的可能，所有基於原廠OVA映像檔部署的SANnav，都受這2個漏洞影響。</p> </div></div></div>

【資安日報】4月24日，北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器存取未設密碼保護在網路「裸奔」的離譜情況不時傳出，但過往這類事故外界關注的焦點，通常是這些資料曝光造成的危害，如今有一起事故成為國際的政治焦點。</p> <p>近期有專門研究北韓相關事務的媒體指出，他們發現1臺配置錯誤的雲端儲存伺服器，其內容與動畫製作有關，而且當中存放的資料當中，竟然有多個美國串流服務平臺播放的動畫，以及製作這些數位內容的工作討論。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162505"><strong style="font-size: 22px;">北韓雲端伺服器傳出組態不當導致檔案曝光，疑似間接承攬美國多家影音平臺外包動畫製作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_Williams_NK-Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_Williams_NK-Server.jpg" style="width: 300px; float: right;" /></a>專門關注北韓事務的新聞網站38 North指出，有研究人員於2023年底發現，1臺位於北韓的雲端儲存伺服器的配置錯誤，且沒有密碼保護，任何人都能隨意瀏覽該伺服器儲存的檔案。</p> <p>而對於這臺伺服器存放的資料內容，該媒體指出，根據他們在今年1月的觀察，每天都會有新的一批檔案出現，內容包含製作動畫的工作說明，以及當日的工作成果，但他們無法確認上傳這些資料的人士身分。</p> <p>究竟伺服器存放了那些動畫？38 North指出，其中包含Amazon原創的無敵少俠（Invincible）、HBO Max播映的Iyanu：奇蹟之子（Iyanu: Child of Wonder）、BBC的海底小縱隊（Octonauts），也有日本的魔導具師妲莉亞永不妥協，以及中國的大連牧童。假若這些發現屬實，那麼北韓動畫公司很有可能運用某種方式繞過制裁的限制，承包美國公司的動畫製作。</p> <p><a href="https://www.ithome.com.tw/news/162508"><strong style="font-size: 22px;">韓國國防承包商傳出遭到北韓駭客組織攻擊，對方利用管理不善的系統進行滲透</strong></a></p> <p>韓國國家警察局發出警告，指出他們發現國防工業公司遭到北韓駭客入侵的跡象，對方利用目標組織網路環境的漏洞，或是他們的承包商網路環境來發動攻擊，從而植入惡意軟體並外洩竊得資料。</p> <p>這波攻擊行動的發現，源自於韓國國家警察局與防衛事業廳（Defense Acquisition Program Administration，DAPA）今年初的特別行動，他們從1月15日至2月16日進行調查，結果發現，有多家國防工業公司從2022年底遇害，但直到收到通知之前，這些公司並未察覺遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/162507"><strong style="font-size: 22px;">美國德州小鎮供水系統遭到攻擊而失控，疑俄羅斯駭客所為</strong></a></p> <p>自去年底賓州自來水公司傳出工業控制系統遭到挾持，駭客控制了其中1個增壓站，針對美國各地的水力設施攻擊行動不時傳出，最近又有新的事故出現：美國德州狹長地帶（Texas Panhandle）的小鎮傳出兩起攻擊事故。而對於攻擊者的身分，資安業者Mandiant推測，很有可能是惡名昭彰的俄羅斯駭客組織Sandworm（APT44）。</p> <p>其中一起發生在擁有2千名居民的黑爾中心市（Hale Center），市長Mike Cypert指出，根據防火牆的事件記錄，他們在4天裡遭遇3.7萬次的嘗試存取。市府人員決定停用相關系統因應，並改以手動操作，迫使對方無法得逞。</p> <p>另一起事故則是發生在貝利縣的繆爾舒市（Muleshoe），市長Ramon Sanchez透露，在該城市西邊約60英里、約有5千人的地方，導致供水系統出現溢流現象。隨後該系統被關閉，並由相關人員手動控制。他強調供水系統並未出現危險，淨水系統也沒有受到影響。</p> <p><a href="https://www.ithome.com.tw/news/162509"><strong style="font-size: 22px;">CDN快取遭到濫用！駭客組織CoralRaider將其用來派送竊資軟體，意圖躲避資安偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/coralraider-2-infection-summary.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/coralraider-2-infection-summary.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos揭露從今年2月出現的駭客組織CoralRaider攻擊行動，對方意圖散布竊資軟體Cryptbot、LummaC2、Rhadamanthys，至少有美國、奈及利亞、巴基斯坦等13個國家出現受害者。</p> <p>攻擊者起初向受害者傳送惡意的Windows捷徑檔（LNK），此檔案內含PowerShell命令，從特定的內容傳遞網路（CDN）服務下載HTML應用程式（HTA）並執行，最終於受害電腦植入竊資軟體。</p> <p>研究人員提及，由於對方使用CDN快取伺服器存放惡意程式，網路防禦系統可能無法對其進行偵測而放行。</p> <p><a href="https://www.ithome.com.tw/article/162257"><strong style="font-size: 22px;">勒索軟體仍是高科技製造業首要威脅，但雲端服務與漏洞威脅不可掉以輕心</strong></a></p> <!-- notionvc: a9141f60-6b17-4cf8-9284-40c249ae393e --><p></p> <p>上雲浪潮帶來了高科技製造業新的資安風險，根據最新發布的iThome 2024資安大調查結果指出，雲端服務（網路服務）的資安事件從去年的第四象限（低風險低衝擊），一舉進入了第一象限（高風險高衝擊），甚至超過1成高科技製造業者資安主管開始認為，未來一年，自家企業極可能發生雲端服務的資安事件。</p> <p>高科技製造業的首要資安風險和一般製造業相同，都是勒索軟體資安事件的威脅。高達57％高科技業者認為，一旦發生，就會產生重大衝擊。</p> <p>但值得留意的是，與資安漏洞有關的攻擊事件仍是高科技製造業未來一年必須高度警戒的次要風險，尤其，今年開始出現鎖定開源軟體社群的社交工程攻擊，這類威脅的危害將會加劇。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://perception-point.io/blog/phishing-attack-exploits-nespresso-open-redirect-vulnerability/"><strong style="font-size: 20px;">咖啡製造商Nespresso的網域被濫用，攻擊者藉由開發重新導向來從事網釣攻擊，意圖竊取使用者的微軟帳號</strong></a></p> <!-- notionvc: 1494030d-c33e-4f02-ba4a-789a5139ac75 --><p></p> <p>◆<a href="http://decoded.avast.io/janrubin/guptiminer-hijacking-antivirus-updates-for-distributing-backdoors-and-casual-mining/"><strong style="font-size: 20px;">北韓駭客鎖定防毒軟體發動供應鏈攻擊，透過惡意程式GuptiMiner部署挖礦軟體</strong></a></p> <!-- notionvc: a4aa58d0-e195-4193-9c24-6b92fca3b6bb --><p></p> <p>◆<a href="https://securelist.com/toddycat-traffic-tunneling-data-extraction-tools/112443/"><strong><span style="font-size: 20px;">駭客組織ToddyCat濫用OpenSSH、SoftEther VPN建立隧道隱匿攻擊行動</span></strong></a></p> <!-- notionvc: 6f29d56e-d4c2-4cc0-a6e4-0d25a7c67223 --><p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/russian-sandworm-hackers-targeted-20-critical-orgs-in-ukraine/"><strong><span style="font-size: 20px;">俄羅斯駭客組織Sandworm破壞20個烏克蘭關鍵基礎設施運作</span></strong></a></p> <!-- notionvc: a9683a9b-4fa2-42f9-b957-e9dfbdd47676 --><p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/gitlab-affected-by-github-style-cdn-flaw-allowing-malware-hosting/"><strong><span style="font-size: 20px;">程式碼儲存庫GitLab的CDN存在弱點，攻擊者可用來存放惡意軟體</span></strong></a></p> <!-- notionvc: 4130d627-a2ce-4ec7-a8ac-433d7cfe1cf7 --><p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162476"><strong>【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162448"><strong>【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162418"><strong>【4月19日】全球超過8萬臺Palo Alto Networks防火牆曝露GlobalProtect危急漏洞</strong></a></p> </div></div></div>

美國汽車製造商的IT團隊遭到駭客組織FIN7鎖定

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者BlackBerry揭露發生於去年底的攻擊行動，<a href="https://blogs.blackberry.com/en/2024/04/fin7-targets-the-united-states-automotive-industry">出於經濟動機的駭客組織FIN7鎖定一家美國大型汽車製造商</a>，對其IT部門具有高權限的員工發送釣魚郵件，進行魚叉式釣魚攻擊。</p> <p>收信人一旦依照對方指示點選連結，就會被帶往冒牌的公用程式Advanced IP Scanner網站，若是想要下載應用程式點選連結，就會存取Dropbox頁面。若是下載、執行安裝程式WsTaskLoad.exe，電腦就會進行一連串的流程，先載入程式庫jutil.dll解密特定的WAV聲音檔，得到Shell Code並載入mspdf.dll元件執行，並再次解析前述WAV檔案，最終得到後門程式Anunak。過程中攻擊者使用經混淆處理的PowerShell指令碼PowerTrash，以便偵察主機系統及網路資訊。</p> <p>附帶一提的是，駭客使用OpenSSH企圖持續於受害電腦從事行動，研究人員看到對方OpenSSH被排入工作任務，而且受害電腦的防火牆特定連接埠被開啟。雖然這些駭客曾利用OpenSSH進行橫向移動，不過這次他們似乎並未這麼做。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fin7-fig01b.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fin7-fig01b.png" style="width: 580px;" /></a></p> </div></div></div>

震撼整個IT界的XZ程式庫遭植入後門事件，之所以浮上檯面純屬意外！快速了解這項危機的三大關鍵

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末，發生一起重大駭客攻擊事件，差點讓全球Linux都遭受供應鏈攻擊，幸好有開發人員調查SSH登入失敗及變慢500毫秒的狀況，偶然發現異狀，進而讓後門程式碼被揪出，及早揭露此項攻擊活動，因此目前影響範圍還算侷限，只有部分Liunx版本受影響。否則，一旦該後門程式碼進入穩定、主流的Linux發行版本，後果可是不堪設想。</p> <p>許多資安專家紛紛指出，這起供應鏈攻擊事件相當不單純。</p> <p>例如，攻擊者是從XZ Utils資料壓縮程式庫植入後門，利用軟體間的信任與依賴來打入Liunx環境，而該後門將可讓攻擊者繞過SSHD（Secure Shell Daemon）的身分認證機制。</p> <p>而且，攻擊者將後門植入的整個過程，如同採取間諜潛伏、愛情詐騙的社交工程手法一般，攻擊者自2021年就註冊GitHub帳號，之後參與開放原始碼軟體專案xz的維護，以逐漸獲取其他開發人員的信任，直到2023、2024年才露出真面目，看似參與維護，實際行動卻是想要偷偷將惡意程式碼植入這個開放原始碼軟體。</p> <p>顯然，如此精心設計的攻擊行動，很有可能是國家級駭客組織發起。如今，我們正持續看到有研究人員，從不同角度切入，或是分析後門程式碼，希望釐清攻擊全貌，以及試圖找出攻擊者的背景。</p> <p>儘管整起事件的調查還沒結束，但已有許多重要議題正被探討，我們特別聯繫Linux軟體開發與資安方面的專家，請他們解讀目前這項資安威脅的概況，幫助大家掌握3大重要關鍵。</p> <h2><strong>１.這次能及早發現，其實非常偶然且幸運</strong></h2> <p>關於這起供應鏈攻擊的發現，最大功臣自然是微軟PostgreSQL開發人員Andres Freund。因為他在調查SSH登入變慢相關問題時，最初以為發現debian裡面的套件包被入侵，但調查發現是上游的問題，XZ程式庫與XZ的tarball檔案被植入後門。</p> <p>對於當中一些細節，我們找到Andres Freund在社群網路Mastodon平臺的發文，並與身為Debian官方開發者、現於Bureau Veritas擔任首席資安專家一職的林上智一同探討，以還原發現經過。</p> <p>具體而言，Andres Freund是在使用Debian開發版本sid（unstable）測試時，發現SSH登入有占用大量CPU資源的情形，進而對SSHD進行分析，發現XZ Utils資料壓縮程式庫的liblzma中有消耗大量CPU時間的情形  , 但是透過Linux上的效能分析工具perf檢視，卻找不到相對應耗費運算的函式或者相關原因。</p> <p>這樣的狀況，使Andres Freund產生了懷疑，他回想起幾週之前，在軟體包更新後，曾在進行PostgreSQL自動化測試的過程中，發現了一些由Valgrind回報的記憶體異常錯誤結果。林上智認為，看起來是他在執行CI/CD時，發現valgrind錯誤。</p> <p>後續，Andres Freund回報了這項問題後，才使得這起供應鏈攻擊的面紗被揭開。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89XZ_Andres%20Freund.jpg" style="width: 598px;" /></p> <p><strong>為何會去關注SSH登入時的CPU異常？我們找到Andres Freund在社群網路Mastodon平臺的貼文與留言，他表示當時是在做一些微基準測試，需要讓系統靜止以減少噪音，所以才會發現SSHD的處理程序（processes）占用大量CPU資源。</strong><strong>同時他也認為，自己並非資安研究人員，能發現這起攻擊事件，確實需要很多巧合。</strong></p> <p>對於這次事件的偶然發現，使得XZ存在漏洞、被植入後門的問題及早浮現於檯面，不只受到開發圈的關注，還有許多資安研究人員都在關注。</p> <p>例如，奧義智慧資安研究團隊表示：「這次事件算是非常幸運。」因為有了提早的發現，所以目前只影響一小部分的Linux發行版。</p> <p>因此大家都很感謝Andres Freund，能在測試時發現SSH異常狀況（登入失敗與登入速度變慢）後，進一步往上游追查，發現問題存在於liblzma之中，讓IT界與資安界可以及早發現此漏洞與潛藏的供應鏈攻擊。</p> <p>綜觀上述說法，我們可以發現，除了有開發人員產生警覺並願意去追查，從另一面向來看，也是因為該惡意活動可能有Bug，導致出現占用大量CPU資源的情形，才讓開發人員有發現的機會。甚至，國際間有資安人員臆測這是否並非個案，其他只是還沒發現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89XZ_Andres%20Freund.jpg" style="width: 600px;" /></p> <p><strong>之所以會進一步調查SSH登入異常，我們找到Andres Freund的說法，他在社群平臺X上的一篇回應中指出，他是在嘗試使用隨機帳密組合的自動化嘗試下，發現SSH登入失敗、佔用大量CPU資源的情形下，開始進一步調查，並也發現登入速度變慢500毫秒的情況。</strong></p> <h2><strong>２.若是後門進入所有Liunx發行版本，後果不堪設想</strong></h2> <p>這起事件之所以受到極大重視，是因為如果沒有及早發現，後果相當嚴重。幸好發現當下只有一些版本受到影響，尚未進入穩定、主流的Linux發行版本。</p> <p>究竟影響範圍與具體影響有哪些？畢竟這次事件是鎖定軟體程式庫的供應鏈攻擊，而非直接對OpenSSH伺服器本身進行攻擊，手法相當複雜。</p> <p>奧義智慧資安研究團隊表示，如果一直都沒有發現的話，將是幾乎所有的Linux發行版都會受到影響。</p> <p>而且，從這次後門的具體功能來看，主要是透過systemd干擾SSH（Secure Shell）的sshd常駐程式，最終使網路犯罪分子可以繞過SSHD身份驗證，並獲得未經授權的遠端存取系統。</p> <p>林上智也指出，後果會是在進行OpenSSH身分驗證前，攻擊者可以執行特定封包，進而挾持OpenSSH伺服器，因為OpenSSH使用已遭汙染的liblzma程式庫。</p> <p>整體而言，駭客攻擊的目標是，將惡意程式碼注入在受害者機器上運行的OpenSSH 伺服器（SSHD），並允許特定的遠端攻擊者（擁有特定私鑰）通過SSH發送任意酬載（Payload），這些酬載將在身份驗證步驟之前執行，從而有效地劫持整個受害者機器。因此，若是後門真的進入主流的Linux發行版本，屆時駭客可能發動相當大規模的劫持行動，進而造成前所未有的重大資安事件。</p> <h2><strong>３.攻擊者竟長期潛伏以取得信任，引入後門的手法也非常隱密</strong></h2> <p>這起事件的另一矚目焦點，是入侵過程相當複雜且難以察覺。</p> <p>在事件揭露後，已有許多研究人員正追查其入侵手法，以及本次事件提交（Commit）的GitHub帳號。</p> <p>例如，從涉及此事件提交的GitHub帳號來看，攻擊者似乎是在2021年就註冊一個GitHub帳號用戶，其代號為Jia Tan（JiaT75），該帳號先是在2022年2月6日，首度提交內容至XZ程式庫，後續竟然悄悄將惡意程式碼埋常其中，例如，其中bad-3-corrupt_lzma2.xz與good-large_compressed.lzma這兩個看起來無害的測試用binary，會在特定條件下解析出惡意程式。</p> <p>因此，在這次供應鏈攻擊中，我們整理出目前最值得注意的3個重點：</p> <h3><span style="color:#0000FF;"><strong>（一）駭客鋪陳這起供應鏈攻擊行動，看起來已潛伏長達3年之久</strong></span></h3> <p>關於攻擊者的入侵過程，宛如間諜行動的社交工程手法一般，從3年前就開始準備，之後積極參與xz項目的維護，逐漸獲取原始項目開發人員的信任，直到近期才開始將軟體加料，而且其手法相當難以察覺。</p> <p>這也顯現攻擊者有著超乎尋常的耐心，經歷這樣長時間的滲透，花了兩年多時間取得信任，讓自己可以成為合法的維護者。這也讓外界紛紛推測，如此精心設計的攻擊行動，非常有可能是由國家級駭客組織發起。</p> <p>因此，目前許多研究人員正在追查相關線索，而且攻擊者似乎也在使用的代號上做出混淆，取了一個很像中文拼音的代號，但有研究人員從時區角度切入去追查，猜測攻擊者可能是位於東歐。不過這些都還在調查中，還有像是關於後門程式的逆向分析等，也有待後續有研究人員一一揭露。</p> <h3><span style="color:#0000FF;"><strong>（二）加入後門的手法相當隱密，提交的測試資料在特定條件下才會解析出惡意程式</strong></span></h3> <p>關於攻擊者的入侵過程與方式，奧義智慧資安研究團隊說明了他們的觀察。</p> <p>首先，攻擊者的確是從2021年就註冊了GitHub帳號，並多次提交測試相關的程式碼，因此逐漸取得XZ Utils主要專案開發者的信任。</p> <p>但值得注意的是，Jia Tan在每個送出的提交（commit）中，都帶有片段的後門程式，但是，只有特別在XZ要進行打包編譯release出去時，才會加進編譯的過程中。</p> <p>為什麼會有這樣的情形？使得攻擊資料可以成功偽裝成測試資料，並且直接編譯原始碼時還不會加入編譯的過程。</p> <p>奧義智慧資安研究團隊解釋，這裡有一個特殊的關鍵：攻擊者在一個很隱密的地方，加上了一個看似不小心多打出的句點「.」。但是，就是因為一個普通的句點，造成了解析上的差異。</p> <p>基本上，例如在使用CMake進行編譯時，為了確認某個編譯器是否可以使用，通常會嘗試編譯一小段程式碼，而攻擊者特意寫出一段有錯誤的程式碼，這就是開頭那個小句點需要出現的原因，編譯器會因為編譯出錯，誤認為此沙盒（Lanlock）的測試是不存在的，所以就會停用。</p> <p>這個可以跳過沙盒的CMake並推上正式版本，後續即可推後面程式上去，並可以跳過檢查，攻擊者就可以在下一版往（Lanlock）的部分加入任何程式碼，而不會受到檢查。且攻擊者也會挑選快要release的時間提交（commit）他的程式碼上去，盡量減少被人發現的機會。</p> <h3><span style="color:#0000FF;"><strong>（三）提交時間點巧妙，避過原始維護者的審查</strong></span></h3> <p>對於攻擊者事件，凱特納科技創辦人兼CEO曾信田（Newbug）也提供一些重要觀察，他表示，這事件的影響範圍在debian/ubuntu/fedora/opensuse testing 版的x86-64 sshd，攻擊時間鎖定在原始XZ維護者Lasse Collin（Larhzu）處於休息離線（internet breaks）的時間發動攻擊。</p> <p>他特別指出，這個問題是審查commit時的疏忽，算是一種信任感攻擊，由於原始維護者在這段休息期間無法審查（review）程式碼，而導致惡意程式碼被整合於其中。</p> <p>因此他認為，在程式碼commit時，或許可以導入AI進行程式碼審查（code review），避免因為人員的疏忽，或是程式碼審查上的疲累，而導致惡意程式碼被接受。他也慶幸，還好惡意酬載（payload）有CPU資源佔用飆升的Bug，而被及早發現，才沒汙染到穩定版。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>Debian社群有實名制等衍生性討論</strong></span></h2> <p>在上述3大焦點之外，對於Debian官方開發者社群而言，林上智表示，在這次事件後，也引發了一些衍生性的討論。</p> <p>例如，最主要的焦點是，由於Debian開發者需使用unstable進行套件打包上傳至unstable archive，因此，Debian開發者所使用的開發機器需要盡速更新。</p> <p>還有一些衍生的安全議題，像是開源貢獻者的實名制問題探討。</p> <p>事實上，由於開源貢獻者來自世界各地，很難去辨別其背後身分，因此過去Debian開發者需要需要層層審核跟檢驗，累積貢獻後才能進行申請。</p> <p>例如，在成為Debian官方開發者之前，需要申請成為Debian維護者，而申請的第一步就是要做到身分識別（Identification），這方面的要求是需要面對面的情形，至少跟一位Debian官方開發者交換PGP key（keysigning），並在交換key時需核對對方的官方證件，通常是會核對護照，以確保該人員的身分。現在則是則對實名制有更進一步的討論。</p> <p>林上智解釋，這方面的相關討論還在進行中，因為有的Debian開發者認為，如果是國家級的攻擊，那該國家也可以幫忙製作假ID或者假的身分證明，所以實名制對抵擋國家級的攻擊較沒有意義；不過也有的人認為，攻擊者不太喜歡曝光於外界，或被看到真面目，如果要面對面交換key，這多少可以嚇阻有心人士。</p> <p>至於從其他開源生態的動向來看，已經有些專案這麼作，例如：GCC專案要求貢獻者一律實名制，以及Linux kernel禁止匿名貢獻的情形。</p> </div></div></div>

【資安日報】1月2日，竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，<a href="https://www.ithome.com.tw/news/160011">竊資軟體Lumma、Rhadamanthys的開發者聲稱加入罕見的新功能</a>，能讓攻擊者藉由收集電腦的特定檔案挾持受害者Google帳號，而且，使用者更換密碼也無法擺脫駭客糾纏。如此特殊、神奇的攻擊手法，引起研究人員高度關注，後續有其他資安業者參與相關調查，並揭露成果。</p> <p>值得留意的是，駭客竟是濫用Google未公開的服務元件達到目的，前不久也出現這種運用未公開元件攻擊的手法，那就是卡巴斯基之前揭露的<a href="https://www.ithome.com.tw/news/160590">間諜軟體攻擊Operation Triangulation</a>，駭客滲透的管道是晶片韌體未使用的暫存器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking"><strong style="font-size: 22px;">竊資軟體濫用Google跨服務同步機制，透過OAuth挾持Google帳號</strong></a></p> <!-- notionvc: 7778fc3a-b903-428b-92a8-3e74f672cdd4 --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/658e65e3ed55ff3bccad3d98_PpViPST7p6B4TuJSC5GpRgYD45Qcwpk0hDM3r5d2KTQCYV3VkEya0qvU8Ju20i7B1-t0O1iKuSQD5ANy7RU8ElHlspRKpDJGM5DmPa5EetmiMBpU_md6J4J_Svwq0ojO1AUVwJWyvqH8mICNRD8Z7Xg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/658e65e3ed55ff3bccad3d98_PpViPST7p6B4TuJSC5GpRgYD45Qcwpk0hDM3r5d2KTQCYV3VkEya0qvU8Ju20i7B1-t0O1iKuSQD5ANy7RU8ElHlspRKpDJGM5DmPa5EetmiMBpU_md6J4J_Svwq0ojO1AUVwJWyvqH8mICNRD8Z7Xg.png" style="width: 300px; float: right;" /></a>研究人員11月揭露名為Lumma的竊資軟體，駭客提供新的功能服務，標榜可從受害電腦竊取與Google服務有關的cookie，從而劫持使用者的Google帳號，但究竟駭客如何達成目的？當時研究人員表明仍不得而知，並希望其他資安業者也能投入相關調查，如今有新的發現。</p> <p>資安業者CloudSEK指出，他們在去年10月看到名為Prisma的駭客組織，在Telegram頻道宣稱掌握一項零時差漏洞，能長時間存取受害者的Google帳號，就算使用者變更密碼也無濟於事，他們還是能藉由cookie，重新建立連線階段（session），持續掌控受害者的帳號，他們尋求與其他惡意軟體開發者進行合作。隨後在11、12月，就有數款竊資軟體陸續導入相關功能，最早的是Lumma、Rhadamanthys，後續則是Stealc、Meduza、Risepro、WhiteSnake，它們也標榜具備這類挾持Google帳號的機制。其中開發Eternity Stealer的駭客組織，也著手打造具有這類功能的新版程式。</p> <p>研究人員透過逆向工程，發現這些竊資軟體會鎖定Chrome名為token_service的表單，取得特定的Token和GAIA ID資料，接著濫用Google未曾在技術文件提及的MultiLogin端點跨服務同步機制而能透過OAuth機制，挾持受害者的Google帳號。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/"><strong style="font-size: 22px;">多組駭客濫用微軟市集App的URI協定，散布惡意軟體</strong></a></p> <!-- notionvc: 0636800a-a297-4b31-b91a-f29107c1ea01 --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-Sample-malicious-App-Instal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-Sample-malicious-App-Instal.png" style="width: 300px; float: right;" /></a>12月28日微軟指出，自11月中旬，他們發現Storm-0569、Storm-1113、FIN7（亦稱Sangria Tempest）、Storm-1674等多個駭客組織，濫用ms-appinstaller的URI，藉由MSIX安裝程式來散布惡意程式，對此他們決定暫時停用相關通訊協定。這些駭客假借提供Zoom、Tableau、TeamViewer、AnyDesk等常見的應用程式，在Bing、Google刊登惡意廣告引誘使用者上當，研究人員也看到利用協作平臺Teams來進行網路釣魚攻擊的情況。</p> <p>針對這些駭客使用的惡意軟體，Storm-0569會使用PowerShell指令碼，下載並執行Batloader、IcedID、Cobalt Strike等作案工具，再交由Storm-0846、Storm-0506部署勒索軟體；Storm-1113則是對受害電腦植入木馬程式Gozi、IcedID、NetSupport RAT，竊資軟體Redline、Lumma Stealer，以及殭屍網路軟體Smoke Loader；FIN7利用Storm-1113製作的惡意程式載入工具，部署後門程式Carbanak、惡意程式Gracewire或NetSupport RAT。</p> <p>值得一提的是，Storm-1674與上述駭客組織的手法有所不同，他們利用Teams訊息傳送冒牌OneDrive、SharePoint登入網頁，最終散布SectopRAT或DarkGate。</p> <p><a href="https://cert.gov.ua/article/6276894"><strong style="font-size: 22px;">烏克蘭政府機關遭俄羅斯駭客APT28鎖定，散布惡意程式Masepie</strong></a></p> <!-- notionvc: e21a858d-c38f-489e-a54f-c2f7249edce1 --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/masepie.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/masepie.png" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變小組（CERT-UA）針對俄斯駭客組織APT28的攻擊行動提出警告，駭客約從12月15日至25日，鎖定烏克蘭政府機關的釣魚郵件攻擊，假借提供重要文件的名義，要求收信人點選信裡的URL，一旦依照對方的指示操作，電腦就有可能藉由JavaScript與Windows搜尋的URI（ms-search）通訊協定，下載LNK捷徑檔案，從而透過PowerShell命令觸發以Python打造的惡意軟體Masepie。</p> <p>CERT-UA指出，在攻擊行動裡駭客還利用了OpenSSH、PowerShell指令碼Steelhook、後門程式Oceanmap，於受害電腦建立隧道通訊、竊取Chrome及Edge瀏覽器資料，並透過IMAP協定對受害電腦下達攻擊命令。</p> <p><a href="https://asec.ahnlab.com/en/60054/"><strong style="font-size: 22px;">北韓駭客Kimsuky部署AppleSeed、Meterpreter、TinyNuke控制受害電腦</strong></a></p> <!-- notionvc: 0da41618-e356-48d1-bebf-2e79d8bbd554 --><p></p> <p>資安業者AhnLab揭露北韓駭客Kimsuky最新一波的網路釣魚攻擊行動，指出駭客最近偏好使用Windows捷徑（LNK）檔案，但也有利用JavaScript或其他類型的惡意檔案。</p> <p>研究人員指出，雖然駭客的攻擊模式沒有重大變化，仍舊使用2022年出現的竊資軟體，以及名為RDP Patch的惡意程式，但這次駭客使用後門程式AppleSeed的變種AlphaSeed，在執行的過程會檢查特定參數來阻礙研究人員分析，而過往駭客會使用遠端桌面連線（RDP）控制受害電腦，但在這波攻擊行動裡，對方則是濫用Chrome選端連線的功能。</p> <p>在部分攻擊行動裡，研究人員也看到對方利用惡意程式Meterpreter及VNC惡意程式TinyNuke（或TightVNC）搭配的情況。</p> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&amp;id=1885&amp;serno=97c224ad-c1f2-4bf9-beea-85ab9c0a0cd9"><strong style="font-size: 22px;">集運業者美買的前合夥人串通委外工程師攻擊網站、竊取客戶資料，提供競爭對手運用</strong></a></p> <!-- notionvc: 82dfdba6-55ab-4b09-a8dc-b659f358e275 --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/maybuy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/maybuy.jpg" style="width: 300px; float: right;" /></a>12月29日內政部警政署刑事警察局宣布查獲破壞公司網站多名嫌犯，涉案人員為游姓主嫌、陳姓工程師及林姓共犯，他們對美國集運物流公司美買國際進行資料盜竊、關閉網站，然後將到手的近19萬筆客戶資料，交由另一家集運業者運用。刑事警察局偵查第九大隊第二隊、科技犯罪防制中心科技偵查隊、臺中市政府警察局豐原分局於2023年7月13日、12月14日執行搜索及拘提，查獲游姓主嫌、陳姓工程師及林姓共犯，查扣作案手機、電腦、會員訂單資料庫近19萬筆個人資料等電磁紀錄，全案將依違反個人資料保護法、背信、妨害電腦使用等罪嫌，移請臺灣臺中地方檢察署偵辦。</p> <p>這起事故發生在2022年11月，美買網站無預警關閉，當時網站及系統無法運作，會員亦收到另一家新成立的集運業者的廣告電子郵件，直到12日後網站才恢復正常，美買估計損失1,200萬元。</p> <p>資料來源</p> <p>1. <a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&amp;id=1885&amp;serno=97c224ad-c1f2-4bf9-beea-85ab9c0a0cd9#">https://www.cib.npa.gov.tw/ch/app/news/view?module=news&amp;id=1885&amp;serno=97c224ad-c1f2-4bf9-beea-85ab9c0a0cd9</a><br /> 2. <a href="https://www.facebook.com/MaybuyInt/posts/pfbid032kxJJpVNJ1E2oRqsNMYoyHEXFn2sDyszw1r1YUjkunZPdgBT8C6CfC6wvZX5ZRVbl">https://www.facebook.com/MaybuyInt/posts/pfbid032kxJJpVNJ1E2oRqsNMYoyHEXFn2sDyszw1r1YUjkunZPdgBT8C6CfC6wvZX5ZRVbl</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/software/github-warns-users-to-enable-2fa-before-upcoming-deadline/"><strong><span style="font-size: 20px;">GitHub提醒用戶儘速啟用雙因素驗證，若不處理將限縮功能</span></strong></a></p> <!-- notionvc: 923a0a11-fb9f-4f41-a535-a739ce142b37 --><p></p> <p><a href="https://securityaffairs.com/156709/cyber-crime/cactus-ransomware-coop-sweden.html"><strong><span style="font-size: 20px;">瑞典食品零售供應商Coop傳出遭勒索軟體駭客組織Cactus攻擊</span></strong></a></p> <!-- notionvc: 998e8b3b-97a5-4086-93b3-7eff7453d9ac --><p></p> <p><a href="https://www.bleepingcomputer.com/news/security/eagers-automotive-halts-trading-in-response-to-cyberattack/"><strong><span style="font-size: 20px;">澳洲、紐西蘭大型汽車經銷商Eagers Automotive遭遇網路攻擊，股市暫停交易</span></strong></a></p> <!-- notionvc: 941f08b8-f4f3-4290-bcc1-53755759eab6 --><p></p> <p><a href="https://securityaffairs.com/156679/cyber-crime/inc-ransom-ransomware-xerox-corp.html"><strong><span style="font-size: 20px;">勒索軟體駭客組織Inc聲稱攻擊全錄</span></strong></a></p> <!-- notionvc: f8f62c76-02e4-436c-8c4c-14051eb07706 --><p></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-launched-leaksmas-event-in-the-dark-web-exposing-massive-volumes-of-leaked-pii-and-compromised-data"><strong><span style="font-size: 20px;">多組駭客在平安夜發起Free Leaksmas攻擊行動，洩露全球各地逾5千萬筆個資</span></strong></a></p> <!-- notionvc: 85c0f923-8765-476c-957e-c48eefbb6cc8 --><p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160616"><strong>【12月29日】 Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】 別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160564"><strong>【12月27日】 有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</strong></a></p> </div></div></div>

12月21日資安日報，Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與勒索軟體駭客Rhysida有關的攻擊行動不斷發生，這樣的情況先後引起美國衛生與公眾服務部（HHS）、<a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware">網路安全暨基礎設施安全局（CISA）</a>提出警告，這些駭客上週再度犯案而引起關注，原因是受害組織是日本科技大廠Sony旗下的遊戲開發商Insomniac Games。</p> <p>值得留意的是，這起事故並非該集團首度遭到攻擊。今年9月，<a href="https://www.ithome.com.tw/news/159013">有兩組駭客聲稱竊得Sony內部資料</a>；隔月Sony證實遭遇MOVEit Transfer零時差漏洞攻擊，旗下遊戲主機開發商Sony Interactive Entertainment曝露約6,800人個資。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.theverge.com/2023/12/19/24007570/insomniac-games-hack-wolverine-x-men-ryhsida"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊，即將推出的遊戲金鋼狼資料外流</span></strong></a></p> <!-- notionvc: e03e0f79-867d-4385-b379-423d16827d5e --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Insomniac_Rhysida_crisq6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insomniac_Rhysida_crisq6.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Cyber Daily的報導，12月12日勒索軟體Rhysida聲稱，入侵日本科技大廠Sony旗下的電玩公司Insomniac Games，並竊得正在製作、以漫威金鋼狼為主題的遊戲內部資料，此外，這些駭客似乎也取得該公司員工的護照掃描檔案，其中1名是在迪士尼工作的前員工，另1人則是配音員Yuri Lowenthal──他為遊戲裡的蜘蛛人配音。駭客對上述資料進行拍賣，底價為50個比特幣，約為218萬美元。當時Sony表示正著手調查，並認為旗下其他子公司並未受到影響。</p> <p>事隔一週，這些駭客又有新的動作，根據Cyber Daily的報導，駭客在要脅Insomniac Games付款的期限截止後，於暗網的網站上公布大量該公司內部資料，檔案大小總計1.67 TB，檔案數量超過130萬個，其中有許多資料與前述的金鋼狼電玩遊戲有關。駭客聲稱上傳了98%資料，部分資料則是售出。</p> <p>該新聞網站看到駭客將上傳的資料分成3個部分，第1組與關卡設計及角色素材相關，應該是金鋼狼電玩的資料；另一個部分則是與電玩遊戲蜘蛛人2有關，以及人力資源的資料、Slack頻道的螢幕截圖、數臺員工電腦的內容；此外，這批資料還包含了漫威與Sony簽署的合約，Insomniac Games將製作3款遊戲，第一款就是將於2025年9月上市的「金鋼狼」。</p> <p>資料來源</p> <p>1. <a href="https://www.cyberdaily.au/culture/9931-spider-man-2-developer-insomniac-games-hit-by-rhysida-ransomware-attack">https://www.cyberdaily.au/culture/9931-spider-man-2-developer-insomniac-games-hit-by-rhysida-ransomware-attack</a><br /> 2. <a href="https://www.cyberdaily.au/culture/9959-snikt-rhysida-dumps-more-than-a-terabyte-of-insomniac-games-internal-data">https://www.cyberdaily.au/culture/9959-snikt-rhysida-dumps-more-than-a-terabyte-of-insomniac-games-internal-data</a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/behind-the-scenes-jaskagos-coordinated-strike-on-macos-and-windows"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Go語言竊資軟體JaskaGO鎖定Mac、Windows電腦而來</span></strong></a></p> <!-- notionvc: 02865966-b833-4d46-90ad-5d81d75812a2 --><p></p> <p>電信業者AT&amp;T旗下的Alien資安實驗室揭露名為JaskaGO的竊資軟體，駭客透過Go語言開發而成，並假借提供CapCut、AnyConnect等應用程式的名義散布。</p> <p>研究人員指出，此竊資軟體約從今年7月出現，初期鎖定Mac電腦用戶而來，但後來駭客也發展出Windows版本。一旦使用者依照指示將其下載到電腦並執行，該惡意程式將會彈出警示訊息，佯稱缺少特定檔案元件而無法正常執行，但實際上該惡意軟體已經在背景開始運作，檢查電腦的處理器數量、系統執行時間、記憶體容量、MAC位址等資訊，確認是否處於虛擬機器（VM）的環境，檢查後若是在真實電腦環境，此竊資軟體就會收集受害電腦的瀏覽器及加密貨幣錢包資料，回傳至C2，並不斷確認、接收攻擊者下達的新命令。</p> <p>研究人員認為，這款惡意程式首先針對macOS作業系統而來，顛覆各界認為Mac電腦較無風險的印象，呼籲這類電腦的使用者也要提高警覺。</p> <p><a href="https://securityintelligence.com/posts/web-injections-back-on-rise-banks-affected-danabot-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網站注入攻擊鎖定40家銀行、逾5萬民眾帳號資料</span></strong></a></p> <p>IBM的資安團隊揭露從今年3月出現的惡意軟體攻擊，駭客利用JavaScript指令碼進行網頁注入攻擊，企圖竊取北美洲、南美洲、歐洲、日本的40家銀行、客戶總數總共超過5萬名的帳戶資料。</p> <p>研究人員指出，駭客先是鎖定使用者的電腦下手，疑似藉由惡意廣告、網路釣魚等管道，植入惡意程式，接著使用者若是依照指示存取攻擊者控制的惡意網站，上述惡意軟體就會注入新的指令碼標籤，存取外部主機上的指令碼，此為經過混淆處理的指令碼，而有可能載入受害電腦的瀏覽器，從而竄改網頁內容、截取使用者帳密資料，甚至是動態密碼（OTP）。</p> <p>而對於駭客呼叫外部的指令碼的手法，研究人員認為並不尋常。相較於許多攻擊行動的惡意程式，會直接在網頁執行注入攻擊，這次駭客的手法更加隱密，因為大部分的靜態分析檢查機制通常不會將指令碼載入器視為惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/160452"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露SSH連線攻擊手法Terrapin，有可能影響資料傳輸安全</span></strong></a></p> <!-- notionvc: 6a9ef0a8-f6be-4222-ae38-0dd677a9c24e --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/terrapin-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/terrapin-attack.png" style="width: 300px; float: right;" /></a>德國波鴻魯爾大學研究人員揭露<a href="https://terrapin-attack.com/">針對SSH通訊協定的新型態攻擊手法Terrapin</a>，過程中將觸發CVE-2023-48795、CVE-2023-46445、CVE-2023-46446等3項漏洞，此攻擊手法有機會破壞SSH安全通道的完整性，從而攔截或修改用戶端與伺服器間傳送的資料，達到洩漏資料與冒用身分等目的。</p> <p>過程中攻擊者可經由前綴截斷（prefix truncation）攻擊，在用戶端與伺服器皆不知情的情況下，刪除SSH通道開頭的加密封包，從而將用於身分驗證的金鑰演算法予以降級，甚至停用OpenSSH 9.5提供的鍵擊時間攻擊（Keystroke Timing Attacks）防禦機制。</p> <p>然而，實際發動Terrapin仍需搭配特定條件，首先是攻擊者必須在網路層能夠攔截、竄改流量，進行中間人（MitM）攻擊，再者，SSH的連線流量，也必須採用特定的演算法處理（如ChaCha20-Poly1305）。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/49e711c6-e27c-4340-867c-9a529ab3ca2c.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信服務供應商Xfinity資料外洩，近3,600萬名用戶個資曝光</span></strong></a></p> <!-- notionvc: de64509a-da59-4ccd-b5bb-1f8db27a69ab --><p></p> <p>週一（12月18日）美國電信業者Comcast旗下的服務供應商Xfinity證實，他們的Citrix NetScaler伺服器遭遇漏洞攻擊，駭客透過CitrixBleed漏洞（CVE-2023-4966）入侵內部環境，竊得部分用戶資料，最近該公司透露受害範圍。</p> <p>根據他們向緬因州總檢察長辦公室提報的資料，共有35,879,455名用戶受到本次資安事故影響，駭客存取使用者名稱及密碼的雜湊值，也有部分用戶的姓名、聯絡資訊、社會安全碼末4碼、生日等資料外流。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202312200193.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">1447家上市櫃公司今年底前應配置資安人力，目前仍有超過100家尚未完成</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客聲稱對F5 BIG-IP零時差漏洞提出警告，藉此散布資料破壞程式</span></span></strong></a></p> <!-- notionvc: 23327c58-a8e3-4a6b-b699-10126e5d709b --><p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 120更新，修補WebRTC元件零時差漏洞</span></span></strong></a></p> <!-- notionvc: e0f723e8-b98a-44ed-8692-d79d8cba9a02 --><p></p> <p><a href="https://www.securityweek.com/mozilla-patches-firefox-vulnerability-allowing-remote-code-execution-sandbox-escape/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 121，修補沙箱逃逸及RCE漏洞</span></span></strong></a></p> <!-- notionvc: 0ca1c4a8-4281-478d-9055-9258479e5a63 --><p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-releases-patches-for-13-critical-avalanche-rce-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">行動裝置管理系統Ivanti Avalanche存在13個重大漏洞</span></span></strong></a></p> <!-- notionvc: 99234361-8fa9-46d6-8a1c-c22de5513492 --><p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】 金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】 新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> </div></div></div>

SSH連線可能遭前綴截斷攻擊，安全性受考驗

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國波鴻魯爾大學研究人員發現了一個針對SSH協定的前綴截斷攻擊，稱作<a href="https://terrapin-attack.com/#paper">Terrapin</a>，其涉及的漏洞包括CVE-2023-48795、CVE-2023-46445與CVE-2023-46446。Terrapin攻擊能夠破壞SSH安全通道的完整性，攔截和修改客戶端與伺服器間傳送的資料，以達到洩漏資料與冒用身分等目的。不過研究人員也指出，在網際網路流量中應用Terrapin攻擊相對困難，本地網路是較為合理的攻擊模型。</p> <p>SSH（Secure Shell Protocol）是一種用於網路服務安全存取的協定，可在不安全的網路中提供安全資料通訊。這種協定在各種遠端操作中被廣泛應用，像是讓用戶可以安全地從遠端位置登入到另一臺電腦，或是在遠端伺服器安全地執行命令。而SSH也可用於檔案傳輸，或是將本地連接埠的流量轉送到遠端連接埠。</p> <p>SSH運用先進加密技術，進而確保資料在傳輸過程的安全性和隱私性，而且SSH也支援多種身分驗證機制，強化存取控制的安全性。使用SSH加密的資料在傳輸到目的地時能夠保持原始狀態，免受各種形式的竄改。同時，SSH還能有效抵抗中間人攻擊，這使其成為保護資料傳輸安全的理想選擇。</p> <p>不過現在研究人員發現SSH可受Terrapin攻擊，這代表SSH的安全性正受到挑戰。SSH協定的重要組成部分Binary Packet Protocol，已不再能作為安全通道的保證。在SSH框架下，所有通訊內容包括命令、檔案傳輸和資料，都是透過Binary Packet Protocol這個二進位封包協定傳輸。</p> <p>SSH通道的完整性在3種被廣泛使用的加密模式下可被破壞，攻擊者透過前綴截斷攻擊，即可刪除SSH通道開頭的加密封包，但客戶端和伺服器卻不會發現。研究團隊說明了這項攻擊的實際應用，透過完全破壞SSH擴充協商（RFC 8308），攻擊者可以降級用於身分驗證的公鑰演算法，甚至是關閉OpenSSH 9.5時加入，用於防禦擊鍵時間攻擊（Keystroke Timing Attacks）的機制。</p> <p>同時，研究人員還發現Terrapin攻擊結合其他實作缺陷，還可進行特定攻擊，像是結合AsyncSSH內部狀態機缺陷，可讓攻擊者將受害者的登入重新定向到由攻擊者控制的命令介面。</p> <p>Terrapin攻擊要能成立，首先需要存在主動的中間人攻擊者，能夠攔截並修改TCP/IP層的連線流量，此外，還需要溝通ChaCha20-Poly1305或是任意CBC密碼，並結合Encrypt-then-MAC作為連接加密模式。研究人員提到，因為Terrapin攻擊利用了SSH傳輸層協定的弱點，結合OpenSSH在10多年前所添加，並且已被廣泛採用的加密演算法和加密模式，因此幾乎所有使用者皆暴露在風險之中。</p> <p>由於Terrapin攻擊需要有主動的中間人發動攻擊，這代表攻擊者必須要透過某種方式，攔截和修改客戶端與伺服器端的傳輸資料，這在實際網際網路的運作上有其困難度，因此Terrapin攻擊在本地網路更容易被執行。</p> <p>不過，即便是用戶已經對SSH客戶端和伺服器端進行安全修補，也不代表SSH連接就完全安全，具體來說，OpenSSH和其他供應商實作的嚴格金鑰交換對策，需要客戶端和伺服器端雙方支援才會生效。所以當一個已修補的SSH客戶端連接到未修補的SSH伺服器，或是反之，連接都仍然處於易受攻擊的狀態。</p> <p>研究人員提供了一個以Go編寫的漏洞掃描工具，該工具是一個簡單控制臺應用程式，可用於檢查SSH伺服器或是客戶端是否易受Terrapin攻擊。漏洞掃描工具會連接到SSH伺服器或是監聽傳入的用戶端連線，以偵測是否使用易受攻擊的加密模式，以及是否支援嚴格金鑰交換對策，不過該工具並不會執行正式交握，也不實際執行攻擊。該工具程式碼已經在GitHub上公開。</p> </div></div></div>

【資安日報】11月15日，勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，…

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">上週<span style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">中國工商銀行（ICBC）美國分公司遭到勒索軟體攻擊，導致美國國債及部分股票無法交易，引起全球關注，當地媒體報導攻擊者就是LockBit，並傳出ICBC已支付贖金。有資安專家發現，可能是未修補的Citrix Bleed漏洞釀禍。</span></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><span style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">但ICBC並非唯一遭到上述漏洞攻擊的受害組織，據傳有十多起勒索軟體LockBit攻擊行動，駭客都利用這項漏洞入侵受害組織的網路環境。</span></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://doublepulsar.com/lockbit-ransomware-group-assemble-strike-team-to-breach-banks-law-firms-and-governments-4220580bfcee"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定Citrix Bleed漏洞發動攻擊</span></strong></a></p> <!-- notionvc: e8ce7fef-5cf0-406e-9302-004a2c7410f8 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://s4.itho.me/sites/default/files/images/0_ELOOpczXQzUBMC8M.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_ELOOpczXQzUBMC8M.jpg" style="width: 300px; float: right;" /></a>這一週以來，勒索軟體駭客LockBit再度因為攻擊中國工商銀行（ICBC）而登上媒體版面，他們之所以攻入這家公司的關鍵，是未修補漏洞Citrix Bleed（CVE-2023-4966，CVSS風險評分為9.4），但事情尚未結束！威脅研究員Kevin Beaumont針對勒索軟體駭客LockBit近期的攻擊行動提出警告，其實還有更多因為這個漏洞與LockBit攻擊而受害的企業。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">根據這位研究人員的調查，物流業者杜拜環球港務（DP World）、安理國際律師事務所（Allen &amp; Overy）、波音等至少10家大型企業，都是受害者，不過目前並未列於LockBit的網站。他推測很有可能是正在和駭客談判，或是已向駭客支付贖金。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">這些攻擊行動如何進行？研究人員指出駭客組織有分工，前期的人員利用Citrix Bleed入侵目標企業，並部署遠端管理工具，以便後續接手的攻擊者能持續存取網路環境，而這一組人員會再利用各種手法提升權限，擺脫EDR系統控制、竊取資料，最終部署勒索軟體將檔案加密。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/sektorcert-the-attack-against-danish-critical-infrastructure-tlp-clear.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">丹麥關鍵基礎設施遭遇俄羅斯駭客大規模攻擊，入侵管道是Zyxel防火牆重大漏洞</span></strong></a></p> <!-- notionvc: f05d2d5d-d2b7-415c-be57-eac53465f57b --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）揭露發生於今年5月的攻擊行動，當時駭客利用兆勤科技（Zyxel）防火牆重大漏洞CVE-2023-28771（CVSS風險評分為9.8），取得22家當地經營能源關鍵基礎設施業者的存取權限，其中有11家隨即遭到入侵，攻擊者控制防火牆設備，進而存取該設備所保護的關鍵基礎設施，執行惡意程式碼，回傳防火牆配置的詳細資料，目的很可能是進行偵察，以便決定下一步執行的攻擊手法。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">這起大規模攻擊從5月11日開始，間隔10天後於22日再度進行，SektorCERT得知其中成員透過不安全的連線，下載新版防火牆軟體。而對於攻擊者的身分，SektorCERT根據受害業者的網路流量，指出俄羅斯駭客組織Sandworm可能參與其中，但究竟有多少駭客組織參與攻擊行動？目前仍不明朗。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">為何這些業者沒有修補上述漏洞，而讓駭客有機可乘？<span style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">SektorCERT指出，有些因為要支付服務費用而停用更新，部分廠商認為安裝更新是供應商的工作，甚至有些公司以為，較新款式的防火牆已包含最新版軟體，而能免疫。</span></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Nov"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布11月例行更新，修補5個零時差漏洞</span></strong></a></p> <!-- notionvc: 1f5db03e-ec61-4dc5-8402-2ccd90956d25 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">11月14日微軟發布本月份例行更新（Patch Tuesday），總共修補63個漏洞，其中有18個是權限提升漏洞、6個安全功能繞過漏洞、15個遠端執行任意程式碼（RCE）漏洞、6個資訊洩漏漏洞、5個阻斷服務（DoS）漏洞，以及11個可被用於欺騙的漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">值得留意的是5個零時差漏洞，裡面有3個已遭到利用，並被美國網路安全暨基礎設施安全局（CISA）列入已遭利用漏洞名單（KEV），這些漏洞分別是Windows SmartScreen安全功能繞過漏洞CVE-2023-36025、桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2023-36033、檔案系統驅動程式Cloud Files Mini Filter Driver（CldFlt）權限提升漏洞CVE-2023-36036，CVSS風險評分為7.8至8.8。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">另外兩個零時差漏洞則是相關細節已被公開，它們是ASP.NET Core阻斷服務漏洞CVE-2023-36038、Office安全功能繞過漏洞CVE-2023-36413，CVSS風險評分為8.2、6.5，微軟表示目前尚未出現用於攻擊行動的跡象。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">1. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2023-patch-tuesday-fixes-5-zero-days-58-flaws/">https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2023-patch-tuesday-fixes-5-zero-days-58-flaws/</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/11/14/patch-tuesday-november-2023/">https://www.rapid7.com/blog/post/2023/11/14/patch-tuesday-november-2023/</a></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.bleepingcomputer.com/news/security/new-reptar-cpu-flaw-impacts-intel-desktop-and-server-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器漏洞Reptar影響Intel工作站與伺服器系統</span></strong></a></p> <!-- notionvc: d4d36b20-783e-4ac0-a5e1-0b78db9808e7 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">Google揭露Intel處理器的高風險漏洞Reptar，此漏洞涉及處理器如何解譯冗餘前綴（redundant prefix），一旦攻擊者成功利用漏洞，就有機會繞過處理器的安全邊界，並導致出處理器出現怪異的行為，CVSS風險評分為8.8，影響Alder Lake、Raptor Lake、Sapphire Rapids架構的處理器，該漏洞登記為CVE-2023-23583列管。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">對此，Intel也在11月14日發布資安通告，指出該漏洞可導致部分處理器出現意外行為，而使得通過身分驗證的攻擊者有機會進行權限升級、資訊洩露，或是造成阻斷服務（DoS），該公司也發布新版韌體予以修補。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">1. <a href="https://cloud.google.com/blog/products/identity-security/google-researchers-discover-reptar-a-new-cpu-vulnerability">https://cloud.google.com/blog/products/identity-security/google-researchers-discover-reptar-a-new-cpu-vulnerability</a><br /> 2. <a href="https://lock.cmpxchg8b.com/reptar.html">https://lock.cmpxchg8b.com/reptar.html</a><br /> 3. <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00950.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00950.html</a></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.bleepingcomputer.com/news/security/new-cachewarp-amd-cpu-attack-lets-hackers-gain-root-in-linux-vms/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器漏洞CacheWarp影響AMD電腦，攻擊者有可能在Linux虛擬機器取得root權限</span></strong></a></p> <!-- notionvc: 441e1ed6-0845-4536-a38e-1af6c6fe7192 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">德國亥姆霍茲國家研究中心聯合會資訊安全中心（CISPA）、格拉茨科技大學研究人員聯手，揭露名為CacheWarp的處理器漏洞CVE-2023-20592，攻擊者可濫用AMD處理器的安全加密虛擬化的加密狀態（SEV-ES），以及安全加密虛擬化的安全第二層位址轉譯（SEV-SNP）機制存在的弱點，而有可能將用戶端虛擬機器復原到先前的狀態，從而有機會讓虛擬機器回到已通過身分驗證的組態，並將其接管。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">研究人員在3種概念性驗證（PoC）攻擊當中，展示對Intel的IPP加密程式庫進行攻擊，從而復原、取得私鑰，而能夠在存取OpenSSH伺服器的過程無須通過身分驗證，同時透過sudo將權限提升為root。對此，AMD發布資安通告，指出此漏洞存在於INVD指令，影響第1代至第3代EPYC處理器，第4代不受影響。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">1. <a href="https://cachewarpattack.com/">https://cachewarpattack.com/</a><br /> 2. <a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3005.html">https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3005.html</a></p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/B3RH15gQ0dI?si=jr-a241fKVTnmrDn" title="YouTube video player" width="560"></iframe></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.ithome.com.tw/news/159804"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">健保署聯手美國醫療資訊管理協會HIMSS，強化健保數位轉型和資安韌性</span></strong></a></p> <!-- notionvc: 00cdd9ee-f922-4ad4-bfd7-fc9e3755f599 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://s4.itho.me/sites/default/files/images/13-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/13-2.jpg" style="width: 300px; float: right;" /></a>11月13日衛生福利部中央健康保險署與美國醫療資訊暨管理系統協會（HIMSS）<a href="https://www.mohw.gov.tw/cp-16-76576-1.html">簽署合作備忘錄</a>，透過雙方資訊交流和人員訓練，強化臺灣醫療體系資訊管理系統和資安韌性，並接軌國際醫療資訊標準，來加速醫療體系的數位轉型。健保署要用HIMSS的數位健康指標分析評鑑和資安優化策略，來建置數位資訊平臺系統，提高跨系統的資料處理效能、強化智慧應用。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">本次合作有4大重點，包含：</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">（一）透過數位轉型的合作，提升全人健康照護；<br /> （二）利用DHI框架建立健保數位醫療生態；<br /> （三）強化網路資安韌性，降低敏感資料運用風險；<br /> （四）提升員工數位醫療及創新能力。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為提升產業資安防禦力，SEMI推出半導體製造環境資訊網路安全參考架構</span></strong></p> <!-- notionvc: 16588e63-a637-4b0c-a412-82cf2e7a3de2 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">為了協助半導體產業提升資安防禦的能力，並推動半導體設備資安國際標準SEMI E187普及，國際半導體產業協會（SEMI）於11月15日推出半導體製造環境資訊網路安全參考架構（Cybersecurity Reference Architecture for Semiconductor Manufacturing Environment），目的是提供該產業供應鏈，對於製造環境的資安架構，能有更為明確的參考規範。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;">此為針對半導體的製造環境，定義最低限度的資安要求，包括電腦作業系統規範、網路安全、端點保護、資訊安全監控等四大層面，並採用業界熟悉的普渡模型（Purdue Model），涵蓋第零層到第五層的IT、OT、工控場域，逐一提出工具設計與組態、資產庫存管控、網路與應用整合工具、漏洞管理與修補管理、近端與遠端接取、安全資料交換、防禦偵測與回應等參考架構，企業資安管理者可藉此妥善評估基礎資產應用、相關風險，以及如何制訂網路存取策略或補救措施。</p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.digital.go.jp/news/6ca8eac4-c6e9-4daf-abec-76cef9fb638b"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本入境通關線上表單Visit Japan Web出現冒牌手機App</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.securityweek.com/adobe-patch-tuesday-critical-bugs-in-acrobat-reader-coldfusion/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Adobe發布11月例行更新，修補Acrobat、ClodFusion漏洞</span></span></strong></a></p> <!-- notionvc: 03aef261-56bf-497e-b39c-f3d71802a9f6 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.vmware.com/security/advisories/VMSA-2023-0026.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware揭露雲端服務交付平臺Cloud Director身分驗證繞過漏洞</span></span></strong></a></p> <!-- notionvc: 4c57c2bb-a0b0-4c60-ac43-ae0a3e3a869e --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://wpscan.com/blog/unauthenticated-sql-injection-vulnerability-addressed-in-wp-fastest-cache-1-2-2/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式WP Fastest Cache存在SQL注入漏洞，6萬網站曝險</span></span></strong></a></p> <!-- notionvc: c08872ab-606a-4459-bc02-05f0a0421ec9 --><p></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.proofpoint.com/uk/blog/threat-insight/ta402-uses-complex-ironwind-infection-chains-target-middle-east-based-government"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客組織MuddyWater利用惡意程式IronWind發動攻擊</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.ithome.com.tw/news/159822"><strong>【11月14日】 哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電腦檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.ithome.com.tw/news/159771"><strong>【11月13日】 疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊，波及美債交易</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, &quot;Trebuchet MS&quot;;"><a href="https://www.ithome.com.tw/news/159733"><strong>【11月10日】 ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</strong></a></p> </div></div></div>

俄羅斯駭客Romcom鎖定東亞、北美，利用武器化的TeamViewer發動攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信揭露於2022年底發生的Operation HideBear攻擊行動，駭客打造常用應用程式的下載網站，並購買Google搜尋引擎廣告，散布重新透過Inno Setup封裝、帶有惡意程式的安裝檔，引誘使用者上當，但當時沒有取得惡意酬載的相關檔案，而無法確認攻擊者身分。</p> <p>後來在2023年中旬，研究人員再度觀察到這些惡意安裝程式的攻擊行動，有東亞及北美的使用者受害，攻擊者最終透過SFTP通訊協定，於受害電腦投放名為Minebridge的RAT木馬程式，並透過遠端桌面連線程式TeamViewer以DLL側載（DLL Side-loading）的方式執行。攻擊者存取受害電腦的方式，可能是透過AnyDesk，然後利用PsExec進行橫向移動。值得留意的是，駭客為了隱匿攻擊流量，受害電腦與C2連線的管道，是透過OpenSSH建立的反向隧道，而能夠繞過EDR系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png" style="width: 580px;" /></a></p> <p>而對於攻擊者的身分，研究人員提到，Minebridge最早是資安業者FireEye於2020年揭露，當時該公司推測攻擊者的身分，有可能駭客組織TA505旗下的團體，也有可能是另一個新的駭客組織。不過，後來其他資安業者揭露的Minebridge攻擊行動裡，研究人員普遍認為攻擊者來自TA505。但根據掌握的證據，奇安信認為這起攻擊行動應該是由全新的駭客組織所為，而這個團體就是微軟揭露的俄羅斯駭客組織RomCom（亦稱Storm-0978）。</p> <p>究竟駭客的動機為何？研究人員認為，很可能是為了竊取IT及醫療的技術而來。此外，他們從安裝檔案存取的網域名稱來推測，駭客從2021年就開始進行相關攻擊行動，而根據Minebridge當中被埋入的幾個網域名稱（其中一個是中國網域），攻擊者曾於2021年至2022年，濫用Cloudflare的CDN節點來隱藏真實的IP位址。</p> </div></div></div>

【資安日報】10月20日，駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安防護通常較為薄弱的工廠操作科技（OT）環境，駭客可能將其視為入侵整個企業的管道！有研究人員揭露去年下旬出現的惡意軟體Meta的攻擊行動，駭客先是針對工業控制系統下手，得逞後進一步攻擊總公司及其他分公司。</p> <p>值得留意的是，有別於許多攻擊行動的網釣攻擊是針對Chrome而來，近日一波攻擊駭客仍利用2年前的IE已知漏洞，來鎖定仍未汰換IE的企業組織。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東歐能源產業、國防工具遭到後門程式框架Meta攻擊，從工控環境進一步入侵總公司內部網路</span></strong></a></p> <!-- notionvc: a63e2728-9308-4455-bd04-16bdd89b50ce --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/new-MATA-infection-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-MATA-infection-chain.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露後門程式框架Meta攻擊行動，駭客從2022年8月至今年5月，針對東歐石油產業、天然氣公司、國防工業而來，利用IE瀏覽器漏洞CVE-2021-26411（CVSS風險評分為8.8）觸發感染鏈，入侵財務系統的伺服器。</p> <p>駭客先是寄送釣魚郵件，這些信件都包含連結，連往可觸發上述IE漏洞的網頁，入侵企業的工業控制系統環境，找出企業終端伺服器的遠端桌面連線管道，從而對總公司的內部網路下手。過程中駭客利用合法驅動程式及Rootkit干擾防毒軟體偵測，收集使用者帳密，然後進行橫向移動，最終存取2種端點防護系統的主控臺，並利用1個漏洞得到控制權，從而收集受害組織的基礎設施資訊，並散布惡意程式，甚至擴散到多個子公司。</p> <p>而對於攻擊電腦種類，研究人員發現駭客同時針對Windows與類Unix作業系統而來，散布新的Meta惡意軟體，當中具備竊資軟體的功能，以及透過USB裝置入侵隔離網路的能力。在部分環境當中，駭客為了繞過防毒軟體的偵測，他們利用名為CallbackHell的Windows權限提升漏洞CVE-2021-40449（CVSS風險評分為7.8）。研究人員指出，新版Meta具有75種遠端控制功能，並支援TCP、SSL、PSSL、PDTLS多種通訊協定連線，亦具備充當代理伺服器的功能。</p> <p><a href="https://ti.qianxin.com/blog/articles/Operation-HideBear-Russian-Threat-Actors-Targeting-East-Asia-and-North-America-CN/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定東亞、北美，利用武器化的TeamViewer發動攻擊</span></strong></a></p> <!-- notionvc: c5367aa0-74cb-4527-a2f2-3bbe4b35de4a --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png" style="width: 300px; float: right;" /></a>中國資安業者奇安信揭露於2022年底發生的Operation HideBear攻擊行動，駭客打造常用應用程式的下載網站，並購買Google搜尋引擎廣告，散布重新透過Inno Setup封裝、帶有惡意程式的安裝檔，引誘使用者上當，但當時沒有取得惡意酬載的相關檔案，而無法確認攻擊者身分。</p> <p>後來在2023年中旬，研究人員再度觀察到這些惡意安裝程式的攻擊行動，有東亞及北美的使用者受害，攻擊者最終透過SFTP通訊協定，於受害電腦投放名為Minebridge的RAT木馬程式，並透過遠端桌面連線程式TeamViewer以DLL側載（DLL Side-loading）的方式執行。攻擊者存取受害電腦的方式，可能是透過AnyDesk，然後利用PsExec進行橫向移動。值得留意的是，駭客為了隱匿攻擊流量，受害電腦與C2連線的管道，是透過OpenSSH建立的反向隧道，而能夠繞過EDR系統的偵測。</p> <p>而對於攻擊者的身分與動機，他們認為，雖然過往Minebridge幾乎駭客組織TA505所使用，但根據掌握的證據，這起攻擊行動應該是由俄羅斯駭客組織RomCom（亦稱Storm-0978）發起，很可能是為了竊取IT及醫療的技術而來。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT34入侵中東政府的電腦，將微軟Exchange伺服器當作C2基礎設施</span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"></span></strong></a></p> <!-- notionvc: 608b12d7-6153-4f2b-a92e-6cccd4fc9aca --><p></p> <p>資安業者賽門鐵克揭露伊朗駭客組織APT34（亦稱OilRig、MuddyWater）的攻擊行動，該組織入侵了至少12臺中東政府機關的電腦，並從2023年2月至9月持續存取，另有數十臺電腦被植入後門與鍵盤側錄工具。</p> <p>研究人員指出，攻擊者從2月1日開始於目標電腦執行可疑的PowerShell指令碼，到了5日存取第2臺電腦並透過名為plink的工具，來設定連接埠，以便透過遠端桌面連線（RDP）存取。到了21日，攻擊者執行netstat命令並開始惡意行動，接著，他們於4月上旬入侵第3臺電腦及網域控制器（DC），並在4月下旬、6月下旬於第3臺電腦植入後門程式，其中一個後門程式Backdoor.PowerExchange，是以PowerShell為基礎打造，藉由存取Exchange伺服器遭駭的電子郵件信箱，監控主旨含有＠＠的信件接收、執行攻擊者下達的命令，將此種電子郵件系統當作C2基礎設施。</p> <p>攻擊者後來再度於7月於同一臺電腦上下載更多惡意軟體，並在網域控制器執行Mimikatz竊取帳密資料，然後在9月將注意力轉移至更多電腦。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過Google廣告聲稱提供密碼管理軟體KeePass，散布惡意程式</span></strong></a></p> <!-- notionvc: 3daa2c0c-da98-42fe-9eff-a496c6e7716b --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file60928_284125_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file60928_284125_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露濫用Google搜尋廣告的惡意軟體攻擊行動，駭客假借提供開源密碼管理工具KeePass，並搭配國際化網域名稱編碼（Punycode）的攻擊手法，讓使用者難以從網址識別是惡意網站。</p> <p>Punycode指的是將Unicode轉換成ASCII的特殊編碼，以研究人員揭露的惡意網站ķeepass.info為例（K下方有逗點），轉換成ASCII編碼是xn--eepass-vbb[.]info。一旦使用者依照指示下載，電腦就有可能感染惡意程式FakeBat。</p> <p><a href="https://world.casio.com/information/1018-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">卡西歐傳出資料外洩，恐波及149國客戶</span></strong></a></p> <!-- notionvc: bef3407a-a43e-472c-86f8-cf5e3998a4a0 --><p></p> <p>10月18日日本電子產品製造商卡西歐（Casio）發出公告，不明人士未經授權存取公司的教育網頁應用程式ClassPad.net的開發環境伺服器，該公司於11日晚間察覺資料庫異常並進行調查，隨後12日部分日本境外人士的個人資訊遭到存取，這些資料包含客戶名稱、電子郵件信箱、居住國家、購買資訊、使用的服務資訊，但不含信用卡資料，91,921個項目與日本客戶有關、35,049個外洩項目影響其他148個國家及地區的客戶。</p> <p>而對於這起事故發生的原因，他們認為來自於系統操作錯誤與作業管理不足，使得開發環境部分網路安全組態遭到停用而釀禍。對此，卡西歐在16日向日本個人資料個護委員會、日本資訊系統使用者協會（JUAS）通報此事，並與外部專家進行調查。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">基因檢驗業者23andMe傳出資料外洩，410萬筆英國民資資料流入駭客論壇</span></strong></p> <!-- notionvc: e8c88812-2bb0-4151-b422-02a6ddae3d27 --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/23andMe-leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/23andMe-leak.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer在10月6日的報導，有人在駭客論壇兜售基因檢驗業者23andMe的資料，當時該公司發言人證實駭客流出的是真實資料，疑似透過其他攻擊事件取得的帳密資料來進行帳號填充攻擊得逞，而非IT系統遭到入侵，最近又有駭客公布另一批資料。</p> <p>10月17日，有人聲稱是資料外洩事件的幕後黑手，於駭客論壇洩露410萬名英國人個資，並聲稱內含居住美國、西歐最富有人士的資料，包含洛克斐勒家族、羅斯柴爾德家族等豪門。這名人士同日又公布另批含有德國人資料的CSV檔案，內含139,172筆。</p> <p>根據科技新聞網站TechCrunch的報導，駭客公布的英國民眾個資，有部分已被證實與公開的基因資訊相符，而且，有些資料駭客曾在8月於另一個論壇兜售，當時他們宣稱竊得300 TB資料。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/">https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/">https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/</a><br /> 3. <a href="https://techcrunch.com/2023/10/18/hacker-leaks-millions-more-23andme-user-records-on-cybercrime-forum/">https://techcrunch.com/2023/10/18/hacker-leaks-millions-more-23andme-user-records-on-cybercrime-forum/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對研究人員揭露的NAS管理員密碼重組漏洞，群暉提出進一步說明</span></strong></p> <!-- notionvc: 5d6b0612-e78e-4efb-bf6e-b8ea976c235e --><p></p> <p>資安業者Claroty近日揭露，<a href="https://www.ithome.com.tw/news/159379#synology">關於群暉6月修補的NAS作業系統DSM漏洞CVE-2023-2729的細節</a>。對於這項漏洞，我們也向該公司進行確認，他們提出了新的說明。</p> <p>首先是針對漏洞緩解的方式，該公司將舊有的生成隨機密碼函數，替換為能提供加密和更安全隨機密碼的函式來因應。</p> <p>而對於他們對這項漏洞的風險評估，該公司表示此漏洞針對的管理員帳號，在建置完DSM環境後就會停用，即使攻擊者最終找出正確密碼，亦無法使用。再者，則是這個漏洞必須搭配其他資訊才能利用，無法直接暴力猜測密碼。該公司認為，此漏洞在實務上幾乎不會造成威脅。</p> <p>基於Synology SIRT將該漏洞評估為中度風險（Moderate），根據他們的修補政策，只會針對最新的DSM 7.2提供修補，並表示若為重大風險漏洞，該公司也會為舊版DSM作業系統進行修補，並在24小時內提供。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159409"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度警方聯手微軟、Amazon，打擊假冒技術支援詐騙行動</span></strong></a></p> <!-- notionvc: f87fc74d-aae1-41be-927b-4bc0c34b3365 --><p></p> <p>10月19日印度中央調查局（CBI）宣布，他們與微軟和Amazon聯手，破獲在當地進行的技術支援詐騙行動Chakra-II，他們總共掃盪了5起案件，搜索76個地點，扣押了許多的手機、電腦、伺服器、SIM卡、硬碟、電子郵件，並凍結多個銀行帳戶。</p> <p>這些詐騙份子於印度五個州經營多個客服中心，宣稱自己是這兩大品牌的技術支援人員，且時間長達5年。歹徒疑似透過網頁上跳出的訊息來謊稱受害者的系統有問題，並提供免付費電話，在受害者主動聯繫之後，對方就會遠端存取受害者電腦以協助檢查，再宣稱系統有問題，進而要求受害者支付高昂的服務費用，或是於電腦上植入惡意程式、勒索軟體，或是竊取受害者的金融資訊。</p> <p>CBI指出，受害者大部分是美國人，但也有加拿大、德國、澳洲、西班牙、英國的民眾受害，人數超過2千。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1">https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1</a><br /> 2. <a href="https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/">https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/</a><br /> 3. <a href="https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams">https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.reuters.com/world/five-eyes-intelligence-chiefs-warn-chinas-theft-intellectual-property-2023-10-18/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">五眼聯盟情報機構指控中國盜取智慧財產，濫用人工智慧發動網路攻擊</span></span></strong></a></p> <!-- notionvc: 187d500f-c8f9-474c-89d4-286bc361b991 --><p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-of-extortion-groups-targeting-plastic-surgery-offices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國整形外科診斷遭到勒索軟體駭客索討贖金</span></span></strong></a></p> <!-- notionvc: ed3af9a1-0ee3-4999-85dd-bdd5ff399747 --><p></p> <p><a href="https://www.trellix.com/en-au/about/newsroom/stories/research/discord-i-want-to-play-a-game/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord成惡意軟體溫床，APT駭客也加入濫用行列</span></span></strong></a></p> <!-- notionvc: 1ae88cd3-b144-40f7-9743-ee2c9533bf41 --><p></p> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3554537/nsa-releases-a-repository-of-signatures-and-analytics-to-secure-operational-tec/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國安局推出OT安全監控工具Elitewolf</span></span></strong></a></p> <!-- notionvc: bf073b27-2b54-4679-9645-b2c256f40d17 --><p></p> <p><a href="https://www.ithome.com.tw/news/159335"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Amazon、WhatsApp加入支援Passkey的行列</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】 互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】 使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】 駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> </div></div></div>

【資安週報】2023年7月31日到8月4日

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的漏洞利用消息，最重要的就是行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的漏洞又有新消息，繼前一周挪威12個政府遭入侵，發現是利用CVE-2023-35078零時差漏洞攻擊，後續查出同一起攻擊還利用了CVE-2023-35081的零時差漏洞。該公司與美國CISA均呼籲用戶應儘速套用修補更新程式。另外，Citrix在6月修補檔案共享系統ShareFile的CVE-2023-24489漏洞，近期發現已針對未修補該漏洞系統的濫用攻擊行動。</p> <p>另一值得企業警惕的消息是，Canon PSIRT發布產品安全公告，指出初始化過程不會清除印表機Wi-Fi連線設定的漏洞問題，建議用戶在淘汰或送修產品前，應清除這方面的資訊。而3個月前ESET也指出企業淘汰的不同品牌路由器設備，存在未徹底銷毀企業網路組態資訊、企業帳密與應用程式資料的情形。</p> <p>在最新國際威脅焦點方面，有三大消息值得關注，首先是IDOR這類漏洞導致「Web應用程序存取控制濫用」的風險；其次是微軟今年5月揭露中國駭客組織Volt Typhoon鎖定關島及其他地區的電信系統，近期傳出美國政府有相關後續因應行動的消息；第三是中國駭客APT31鎖定東歐的揭露。</p> <p>●澳洲ACSC、美國CISA、NSA聯手發布安全公告，呼籲注意不安全直接物件參照（IDOR）這類漏洞，導致「Web應用程序存取控制濫用」的風險，最值得關注，當中說明了相關技術細節與影響，並且提供具體的開發防護建議。</p> <p>●近期紐約時報指出美國政府官員透露，美國政府正在針對各種軍事防禦系統進行清查，主要就是針對微軟5月揭露的事件而來，同時美國白宮也針對此惡意程式召開一系列會議，討論更多因應方式。</p> <p>●卡巴斯基揭露中國駭客組織APT31從去年4月開始，針對東歐ICS及關鍵CI的受隔離網路環境發動攻擊，初期藉由植入惡意軟體以遠端存取與偵察，接著散布透過USB裝置入侵隔離網路的工具，最後將收集到的資料回傳至C2伺服器。</p> <p>其他值得注意的消息，包括蠕蟲程式P2PInfect有新的揭露，不僅會竄改伺服器的OpenSSH設定，還會透過Redis的複寫（replication）功能來達到自我散布；竊資軟體NodeStealer 2.0的攻擊揭露中，新版具有盜取企業的臉書帳號等更多能力，並使用FodHelper UAC繞過的技術。</p> <p>關於資安防護焦點方面，在國內以AI與後量子的消息受注目。資安院與工研院在7月31日簽訂MOU，預計今年底正式成立「AI產品與系統評測中心」；池安量子資安在8月1日成立量子安全遷移中心，看好相關商機並期望結合學術機構等能量。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158049"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</span></strong></a></h3> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/158058"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</span></strong></a></h3> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <h3><a href="https://www.ithome.com.tw/news/158077"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</span></strong></a></h3> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <h3><a href="https://www.ithome.com.tw/news/158111"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</span></strong></a></h3> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> </div></div></div>

【資安日報】8月1日，Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年零時差漏洞超過4成來自已知漏洞修補不全，安卓生態圈長期面臨較高的攻擊風險情況加劇</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）針對去年出現的零時差漏洞攻擊進行分析，他們總共發現41個被駭客利用的漏洞，較2021年的69個顯著下降。但研究人員提出警告，去年有逾4成（17個）的零時差漏洞，與過往曾揭露的漏洞修補不全有關，對照2021年有2成漏洞存在這類情況來看，2022年增加至4成，嚴重程度顯然有增無減。</p> <p>另外一個值得留意的是，TAG這次特別點名安卓系統上的N-day漏洞現象，由於Google對於安卓作業系統進行修補後，還要經過裝置製造商打造更新程式，相關的修補軟體才會套用到使用者的裝置上，而這樣的時程過於漫長，導致駭客無須挖掘零時差漏洞，而是利用Google或晶片製造商已經公布、修補，但裝置製造商尚未派送更新軟體的N-day漏洞，就能達到相同的目的。</p> <p>研究人員舉出去年7月發現的Mali GPU顯示晶片漏洞CVE-2022-38181為例，Arm在同年10月予以修補，但直到今年4月的安卓安全更新公告，相關的修補程式才納入該作業系統，換言之，即使是Google自家的Pixel手機，竟然也曝險長達半年，更遑論其他廠牌的安卓裝置。而且，針對該漏洞的攻擊程式，去年11月就已經出現，可見這個風險缺口有多大。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos藉由OCR盜取圖片裡的加密貨幣錢包帳密資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技在今年4月，發現鎖定安卓裝置的惡意軟體CherryBlos、FakeTrade，前者是透過釣魚網站散布的竊密程式，後者則是上架Google Play市集的詐騙軟體。研究人員指出，駭客散布CherryBlos的途徑，主要是透過社群網站推特、抖音、即時通訊軟體Telegram，假借提供挖礦軟體、即時通訊軟體、AI機器人App的名義，透過廣告連結將使用者導向釣魚網站，進而於目標裝置部署此竊密軟體，而能夠以此竊取加密貨幣帳密，並在使用者提款、轉帳時，趁機置換錢包的網址，再順勢掏空受害者的加密貨幣錢包。</p> <p>特別的是，此竊密軟體盜取帳密資料的手段，除了模仿加密貨幣錢包的使用者介面，引誘使用者輸入相關資料並進行竊取，還能透過光學字元辨識（OCR）的方式，從存放在裝置上的圖片挖掘帳密資料，並定時回傳至C2。</p> <p>另一方面，研究人員也在Google Play市集裡，看到31款詐騙應用程式FakeTrade，引誘使用者觀看廣告、訂閱付費服務、儲值應用程式的錢包，但直到使用者想要兌現這些有價物資時，才驚覺上當。FakeTrade與CherryBlos使用相同的C2基礎設施、金鑰，研究人員認為這些惡意軟體背後的攻擊者可能是相同駭客組織。</p> <p><a href="https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌即時通訊軟體SafeChat鎖定安卓用戶而來，竊取Telegram、WhatsApp、Facebook Messenger資料</span></strong></a></p> <p>資安業者Cyfirma揭露印度駭客組織Bahamut的攻擊行動，他們先是使用WhatsApp尋找攻擊目標，然後以更加安全、隱密為由，提供名為SafeChat的即時通訊軟體為幌子，目的是進行間諜軟體攻擊，進而竊取手機通話記錄、簡訊、GPS位置資訊，以及即時通訊軟體Telegram、WhatsApp、Facebook Messenger的用戶資料，主要目標是南亞使用者。</p> <p>研究人員指出，此惡意程式前身是Coverlm，且具備類似即時通訊軟體的介面，用戶操作時會要求各式權限，以便能夠截取螢幕截圖和鍵盤輸入的內容，或是讓該惡意程式能在後臺持續運作，而在使用者將App關閉後，C2仍繼續與此惡意軟體保持通訊。</p> <p><a href="https://www.cadosecurity.com/redis-p2pinfect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體P2Pinfect濫用Redis複寫功能進行橫向感染</span></strong></a></p> <p>上個月資安業者Palo Alto Networks發現鎖定Redis伺服器的蠕蟲程式P2PInfect，駭客針對存在Lua沙箱逃逸漏洞CVE-2022-0543的伺服器下手，現在也有其他研究人員公布進一步的調查結果。</p> <p>資安業者Cado Security也在他們部署的蜜罐陷阱（Honeypot）看到P2PInfect，並指出駭客製作了Windows版、Linux版本的攻擊工具，在攻擊行動中，駭客透過以C及Rust組合語言編寫的ELF檔案，竄改伺服器的OpenSSH設定，調整成近乎預設的組態，隨後攻擊者就會重新啟動SSH服務，並部署新的金鑰，然後將wget及curl改名並用來進行後續的攻擊行動，並新增iptables規則來避免其他攻擊者對Redis伺服器下手。最終駭客透過P2PInfect將已感染的伺服器視為節點，形成點對點（P2P）的殭屍網路。</p> <p>值得留意的是，駭客透過Redis的複寫（replication）功能，來達到蠕蟲程式自我散布的目的。此外，駭客也運用多個Redis已知漏洞，來做為初步入侵此種伺服器的管道。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-new-submarine-malware-found-on-hacked-barracuda-esg-appliances/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Submarine針對Barracuda郵件安全閘道而來</span></strong></a></p> <p>7月28日美國網路安全暨基礎設施安全局（CISA）提出警告，聯邦機構的Barracuda郵件安全閘道（ESG）遭到攻擊，駭客利用漏洞CVE-2023-2868，於這些閘道設備部署名為Submarine的後門程式（亦稱為DepthCharge），用來迴避偵測、收集資料，並以便於持續在受害組織活動。CISA指出，駭客將此後門程式植入ESG設備的SQL資料庫，該惡意程式具備數個模組，並能使用root權限執行、與C2進行通訊、清理作案留下的痕跡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nics.nat.gov.tw/NewInfoDetail.htm?seq=1706"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院與工研院簽訂MOU，預計年底成立AI產品與系統的評測機構</span></strong></a></p> <p>7月31日國家資通安全研究院（資安院）與工業技術研究院簽署合作備忘錄（MOU），他們將結合資安院的資安防護技術研發，以及工研院AI創新應用的專業能力，合作建立可信任的AI評測機制，並預定於今年底正式成立「AI產品與系統評測中心」，共同打造臺灣的資安韌性環境。</p> <p>為確保評測機制的公正、客觀、獨立性，並且符合國際規範，資安院與工研院將優先研析國際AI安全框架與標準，在國家科學及技術委員會與數位發展部、數位產業署等機關指導下，執行「推動可信任生成式AI發展先期計畫」，進而提出符合臺灣AI政策推動、產業發展、應用方向的評測項目與執行方法。</p> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對安卓裝置部署不明追蹤警告功能，防範用戶遭到未知藍牙裝置跟蹤</span></strong></a></p> <p>7月27日Google宣布，將針對執行Android 6.0以上版本作業系統的裝置，部署不明追蹤警告（Unknown Tracker Alert）的功能，目的是讓使用者能察覺可能被用來跟蹤他們、來路不明的未知藍牙追蹤器，進而採取行動，例如要求追蹤器發出聲音、檢視追蹤器的部分資訊，或是嘗試關閉該追蹤裝置。此功能初期支援蘋果的AirTag，但Google將與其他追蹤器製造商合作，擴大該功能可支援的裝置品牌。</p> <p><a href="https://www.ithome.com.tw/news/158017"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為保護使用者隱私，蘋果採取新的App Store管理政策，要求App開發商說明使用API追蹤用戶的理由</span></strong></a></p> <p>蘋果在2021年祭出應用程式追蹤透明度（App Tracking Transparency，ATT）的要求，規範應用程式開發商必須在使用者安裝App的過程中，以明顯方式告知用戶會蒐集用戶資訊，並賦予用戶同意或拒絕的權力。然而，部分開發商為繞過上述的管理政策，改以API讀取裝置資訊來追蹤使用者的行動。</p> <p>對此，近期蘋果祭出新的App Store管理政策，表示他們將限制應用程式利用API來追蹤用戶裝置的資訊，未來開發商想要使用能讀取檔案時戳、系統開機時間、磁碟空間、使用者預設組態等可能侵犯用戶隱私的API，必須填寫App隱私表單，若未說明將從2024年春季無法上架應用程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定東歐工控環境與關鍵基礎設施，企圖從隔離網路竊取機密</span></span></strong></a></p> <p><a href="https://medium.com/@knownsec404team/patchworks-new-assault-weapons-report-eyeshell-weapons-disclosure-181833f434be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國學術機構遭駭客組織Patchwork鎖定，植入後門程式EyeShell</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路AVRecon入侵路由器進行控制，將其用來提供非法的代理伺服器服務</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列大型煉油廠Bazan網站遭到DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩遊戲Minecraft伺服器遭到鎖定，駭客利用漏洞BleedingPipe來掌控系統</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】 惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】 有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> </div></div></div>

【資安週報】2023年7月24日到7月28日

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞消息中，有3個漏洞利用消息需要優先關注，包括：（一）行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的CVE-2023-35078零時差漏洞遭利用，已導致挪威12個政府遭入侵；（二）Apple緊急修補一個零時差漏洞CVE-2023-37450，該漏洞存在於作業系統的核心內，該公司指出已得知有攻擊者利用此漏洞；（三）Zimbra前一週被發現有零時差漏洞攻擊，如今公布Zimbra Collaboration（ZCS）的CVE-2023-37580漏洞已遭利用。其他可留意的漏洞消息，包括：首度出現無線通訊標準協定Terrestrial Trunked Radio（TETRA）的研究與漏洞揭露，還有AMD處理器漏洞Zenbleed，OpenSSH的RCE漏洞，以及WordPress外掛程式Ninja Forms漏洞的揭露。</p> <p>在威脅態勢方面，近日勒索軟體的動向引發關注，其中Mallox威脅擴大值得留意，另外我們注意到近日Clop、BlackCat勒索軟體駭客變得更為囂張的情形。</p> <p>　●勒索軟體Mallox的攻擊行動在今年上半出現大幅增加的情況，研究人員並指出其入侵管道是鎖定微軟SQL Server，並以暴力破解來獲取權限<br /> 　●Clop駭客將竊取自受害者的外洩資料，發布到可透過網際網路存取的網站，而非暗網<br /> 　●lackCat駭客為資料外洩網站加入API、Python爬蟲，這些舉動顯然是向受害組織施加更多壓力</p> <p>其他值得關注的消息與事件，以網路犯罪工具FraudGPT的出現最受關注，另一個則是惡意簡訊App攻擊，近期臺灣時常傳出這類惡意活動，日本近來也有這類事件發生：</p> <p>　●有駭客製作出FraudGPT，號稱能用AI製作釣魚郵件及打造破解工具<br /> 　●中華汽車遭遇網路攻擊事件，因產線配合系統檢修而發生局部停止生產情況<br /> 　●日本傳出惡意簡訊App攻擊，攻擊者發布簡訊假冒當地東京電力公司、東京都水道局名義，聲稱支付電費或水費出現異常並留下網址，使用者若誤信點擊，將安裝包含惡意軟體SpyNote的App<br /> 　●本月中有資安業者揭露中國駭客濫用的微軟帳號簽章的事件，後續又有研究人員警告，指出其影響可能更為範圍廣泛</p> <p>關於資安防護焦點方面，國際間對資安事件訊息的公開揭露是更為重視，美國證券交易委員會（SEC）在一年多前提案，規定上市公司要在4天內披露重大資安事件，如今這項新規定已正式通過。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157914"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</span></strong></a></h3> <p>為了方便民眾繳納規費，許多公營事業都在積極提供並推廣行動裝置App，有駭客假借這些資訊來散布手機惡意軟體，例如，<a href="https://www.ithome.com.tw/news/156783#fluhorse">5月資安業者Check Point發現名為FluHorse的安卓惡意軟體</a>，就是假借遠通電收ETC的App對臺灣民眾下手。而類似的攻擊行動，最近也在日本出現。資安業者McAfee揭露針對日本民眾的惡意軟體SpyNote，攻擊者聲稱手機用戶的電費或水費欠繳，要求依照指示下載App進行處理。</p> <p>勒索軟體Mallox的攻擊行動也相當值得留意，因為出現大幅增加的現象，駭客初期入侵受害組織的管道，就是針對微軟SQL Server而來。</p> <p>中國駭客組織Storm-0558濫用微軟帳號（MSA）金鑰挾持25個組織的電子郵件，微軟已做出緊急處置，但有資安業者發現，駭客濫用的金鑰不僅能存取雲端電子郵件服務Outlook.com，還能登入其他微軟的服務。</p> <h3><a href="https://www.ithome.com.tw/news/157937"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</span></strong></a></h3> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <h3><a href="https://www.ithome.com.tw/news/157947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</span></strong></a></h3> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/157972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</span></strong></a></h3> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <h3><a href="https://www.ithome.com.tw/news/157996"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</span></strong></a></h3> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> </div></div></div>

【資安日報】7月25日，中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ftvnews.com.tw/news/detail/2023724F06M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中華汽車遭遇網路攻擊，傳出部分產線停工</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png" style="width: 300px; float: right;" /></a>7月24日中華汽車於股市公開觀測站發布重大訊息，表示部分資訊系統遭到惡意攻擊，該公司資訊部門啟動防禦機制，並進行復原作業，協同外部資安專家後續處理，而對於營運帶來的影響，該公司表示尚在釐清。根據民視新聞的報導，有資安專家認為，此起事故很有可能是駭客勒索事件，並指出中華汽車已出現部分產線停工的情況，現正全面針對相關系統及設備進行檢修。</p> <p>而對於本次事故發生的原因，有資安專家推測，可能是因為資訊部門在系統整修或更新期間，為便於遠端連線操作，短暫關閉防火牆而釀禍，駭客趁機入侵並取得控制權，並索討高額解鎖費用。截至目前為止，該公司尚未出現個資外洩的跡象。</p> <p><a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">軟體開發問題追蹤系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</span></strong></a></p> <p>美國系統網路安全協會（SANS Institute）旗下的Internet Storm Center（ISC）提出警告，他們看到來自中國的IP位址，針對軟體開發問題追蹤系統Jira的外掛程式Stagil navigation for Jira發動攻擊，駭客鎖定今年2月底被揭露的高風險漏洞CVE-2023-26255、CVE-2023-26256（CVSS風險評分皆為7.5）而來，這些漏洞為路徑穿越漏洞，攻擊者可藉此竄改snjCustomDesignConfig及snjFooterNavigationConfig的fileName參數，而能在檔案系統進行讀取或是穿越，外掛程式開發商於同月發布2.0.52版予以修補。</p> <p>研究人員指出，針對上述漏洞的攻擊行動並非首度出現，今年3月底已有相關攻擊，且疑為相同的駭客所為。</p> <p><a href="https://therecord.media/dhl-moveit-breach-investigation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">物流業者DHL證實遭到MOVEit Transfer零時差漏洞攻擊波及</span></strong></a></p> <p>根據資安新聞網站The Record的報導，物流業者DHL的英國分公司正在調查資料外洩事件，原因是MOVEit Transfer系統遭遇零時差漏洞攻擊，而遭到波及。該公司確認他們的其中一家軟體供應商，受到MOVEit Transfer的漏洞影響，但並未透露受害規模及範圍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補瀏覽器排版引擎WebKit、系統核心的零時差漏洞</span></strong></p> <p>7月24日蘋果針對旗下的電腦、行動裝置、穿戴裝置，推出iOS 16.6與15.7.8、iPadOS 16.6與15.7.8、macOS Ventura 13.5、macOS Monterey 12.6.8、macOS Big Sur 11.7.9、tvOS 16.6、watchOS 9.6，以及電腦版Safari 16.6，當中修補了兩個已被用於攻擊行動的零時差漏洞CVE-2023-37450、CVE-2023-38606。</p> <p>CVE-2023-37450為10日該公司在快速安全回應（RSR）公告的WebKit排版引擎漏洞，該漏洞起因是在處理網頁內容的過程出現異常，而有可能被用於執行任意程式碼。</p> <p>另一個漏洞CVE-2023-38606則是存在於作業系統核心，已有攻擊者針對執行iOS 15.7.1以下版本的行動裝置利用該漏洞。卡巴斯基研究人員指出，CVE-2023-38606是Operation Triangulation間諜軟體的零點擊攻擊鏈的其中一部分，呼籲使用者應儘速更新所有的蘋果裝置。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/">https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/</a><br /> 2. <a href="https://twitter.com/oct0xor/status/1683563098571931648">https://twitter.com/oct0xor/status/1683563098571931648</a></p> <p><a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露AMD處理器漏洞Zenbleed，攻擊者可攔截處理器的敏感資訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png" style="width: 300px; float: right;" /></a>7月24日AMD發布資安通告，修補名為Zenbleed的記憶體釋放後濫用（UAF）漏洞CVE-2023-20593，一旦攻擊者利用這項漏洞，就有機會從部分搭載Ryzen及EPYC處理器的電腦取得密碼、金鑰等機密資訊。</p> <p>該漏洞出現於處理器執行推測執行（speculative execution）的過程中，處理vzeroupper指令不當所致，而有可能導致資料被儲存在YMM暫存器，未依照程序刪除，使得攻擊者有機會存取相關內容，影響Ryzen 3000、Threadripper 3000、4000、PRO 4000 、5000、7020、EPYC Rome等型號的Zen 2系列處理器，對此，該公司發布新版韌體予以修補。</p> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端登入工具OpenSSH存在漏洞，可能讓攻擊者對於Linux作業系統發動命令注入攻擊</span></strong></a></p> <p>資安業者Qualys揭露OpenSSH的RCE漏洞CVE-2023-38408，此漏洞存在於金鑰暫存元件ssh-agent，影響9.3p1及之前版本的OpenSSH。攻擊者一旦利用該漏洞，就有可能藉由轉發SSH金鑰（SSH agent forwarding）的機制，遠端下達任意命令。</p> <p>研究人員在執行Ubuntu Desktop 22.04、21.10的電腦上成功進行概念性驗證攻擊（PoC），研判其他Linux作業系統也可能會存在相關風險。對此，OpenSSH開發團隊獲報後，發布了9.3p2修補這項漏洞。</p> <p><a href="https://tetraburst.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">廣受軍警單位採用的無線電通訊協定TETRA加密機制存在漏洞，恐被攻擊者用於干擾通訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png" style="width: 300px; float: right;" /></a>資安業者Midnight Blue揭露無線通訊標準協定Terrestrial Trunked Radio（TETRA）的安全漏洞，這些漏洞分別是CVE-2022-24401、CVE-2022-24402、CVE-2022-24404、CVE-2022-24403、CVE-2022-24400，統稱TETRA:Burst。</p> <p>其中，CVE-2022-24401與CVE-2022-24402為重大等級，CVE-2022-24401發生的原因與產生無線通訊的加密金鑰Air Interface Encryption（AIE）有關，而有可能遭到解密並引發Decryption Oracle攻擊；CVE-2022-24402則存在於TETRA的其中一種加密演算法TEA1，可在數分鐘內暴力破解當中使用的80位元金鑰。</p> <p>研究人員指出，CVE-2022-24401或CVE-2022-24404都能被用來攔截全程加密（E2EE）保護的流量，或是注入惡意內容，而有可能讓駭客干擾警察或是軍方的無線通訊。這些漏洞的發現源自於該資安業者在2021年啟動的研究，過程中，他們也通報各國執法機關、資安機構、設備製造商，但尚不清楚這些漏洞是否遭到利用。</p> <p>資料來源</p> <p>1. <a href="https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst">https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst</a><br /> 2. <a href="https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/">https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/</a></p> <p><a href="https://eclypsium.com/research/bmcc-lights-out-forever/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</span></strong></a></p> <p>資安業者Eclypsium揭露American Megatrends International（AMI）的MegaRAC基版管理控制器（BMC）漏洞CVE-2023-34329、CVE-2023-34330（CVSS風險評分9.9、8.2），並指出攻擊者若是串連這些漏洞，其危險程度即達到CVSS風險評分10分。</p> <p>CVE-2023-34329為透過HTTP標頭欺騙的身分驗證繞過漏洞，CVE-2023-34330則是能藉由Dynamic Redfish Extension介面進行程式碼注入的漏洞，一旦攻擊者將兩者搭配運用，就能在取得BMC管理介面存取權限、但不知道帳密的情況下，在伺服器上執行任意程式碼、阻斷伺服器運作。由於上述的漏洞利用，是欺騙BMC將HTTP請求視為來自內部的網路連接埠而達成，若是相關的連接埠曝露於網際網路，攻擊者可直接從遠端上傳或執行任意程式碼。</p> <p>而對於上述漏洞的發現，研究人員表示，技嘉2021年遭勒索軟體RansomEXX攻擊時，駭客外流了一批機密資料，他們最近取得這些資訊之後，進行調查，因此才發現這些漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挪威政府傳出遭到零時差漏洞攻擊</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/55369/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，對其散布惡意程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ivanti修補行動裝置管理平臺的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/privileges-third-party-windows-installers"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">遠端管理工具Atera的安裝程式出現漏洞，恐被攻擊者用於提升權限</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】 駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】 兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> </div></div></div>

【資安月報】2023年6月

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月的資安新聞中，以勒索軟體攻擊與供應鏈攻擊為主要焦點。</p> <p>在國內方面，首要焦點就是勒索軟體Lockbit駭客在6月30日聲稱，台積電成為他們的受害者，當日台積電否認遭駭，並表示已注意到一家合作IT硬體供應商發生資安事故，並已依照標準作業程序來處置。而關於這家IT硬體供應商的身分，媒體報導指向擎昊科技，後續，擎昊科技在同一日發布資安事件的公告，說明遭遇網路攻擊並被擷取相關資訊的環境為工程測試區，主要是出貨的基本設定等參數資訊流出，而因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，並指出這些資訊無關用戶的實際應用。這起事件的發生，有可能是攻擊者搞錯攻擊對象，但多少反映供應鏈安全的議題，也提醒我們勒索軟體組織近年時常針對供應鏈發動攻擊，從供應鏈脆弱的環節著手的態勢。</p> <p>關於Lockbit的危害，其實這兩年新聞已經是不斷，值得留意的是，今年6月中旬，多國網路安全機構對其發出聯合安全公告，指出近三年來，Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），而當中也剖析了LockBit的攻擊步驟，並提供攻擊流程各階段的防護緩解措施。</p> <p>此外，在我們盤點這一個月的臺灣重大資安消息時，新發現國內上櫃公司、主推GPS相關應用的<a href="https://s4.itho.me/sites/default/files/images/2023-06-29_182021.jpg">環天世通科技（環天科），在6月19日發布資安事件重大訊息</a>，說明公司發生部分資訊系統遭受駭客網路攻擊的狀況。</p> <p>在國際方面，5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊爆出後，這起軟體供應鏈攻擊的事件，所造成的災情在整個6月變得更加顯著，隨著後續消息不斷揭露，曝光的受害企業是越來越多。</p> <p>當中備受矚目的受害者包括：英國電信主管機關Ofcom、英國航空、BBC、愛爾蘭航空、藥妝連鎖Boots、薪資軟體服務商Zellis，石油巨擘Shell，以及美國能源部等多個聯邦與州政機關受害，而在後續勒索軟體組織Clop陸續公布的受害名單中，還包括資安業者Gen Digital、以及美國多個金融、醫療領域的公司與組織，最新還出現德國西門子能源公司、法國施耐德電機等。</p> <p>由於美國受害單位眾多，這也引發美國國務院外交安全局在其正義獎勵計畫中，祭出了千萬懸賞，鼓勵外界舉報幕後攻擊者的資訊。而根據微軟的調查指出，這波攻擊與發動Clop勒索軟體的駭客組織有關，攻擊背後應是Lace Tempest（又名DEV-0950、FIN11與TA505等）的駭客組織所為。此外，我們也找到研究公司<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">Kon Briefing的網站</a>，他們設立了專頁整理、統計受害者的資訊，當中顯示有20多國、逾170家公司或組織受影響，美國數量最多，其次為德國、英國。</p> <p>其他重要資安焦點新聞方面，包括：本月歐洲議會針對AI法《AI Art》草案的投票通過，即將成為全球第一個人工智慧法案，將針對某些可能嚴重影響人類安全的AI應用予以禁止，並設計AI風險等級，用以規範開發商與採用組織的義務；關於MITRE發布的CWE通用弱點列表，近日公布2023年版最常見且危險的軟體安全缺陷，占據前三名的是越界寫入的CWE-787，XSS的CWE-79，SQL Injection的CWE-89，特別的是，使用已釋放記憶體（Use After Free）的CWE-416比去年上升三名。還有像是Google發表了安全AI框架（Secure AI Framework，SAIF），美國CISA、NSA發布了伺服器基板管理控制器（BMC）的安全強化指南。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/157277"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月5日到6月9日</span></a></strong></h2> <p>在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。</p> <p>在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。</p> <p>關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。</p> <p>另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157409"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月12日到6月17日</span></a></strong></h2> <p>在這一週的漏洞消息中，在漏洞利用方面，有兩個需優先注意，首先是Fortinet修補其防火牆產品的SSL VPN漏洞CVE-2023-27997，已被美國CISA列入已知成功利用清單，另一是VMware ESXi一項CVSS評分為3.9分的零時差漏洞CVE-2023-20867被中國駭客UNC3886運用於最新攻擊的揭露，VMware亦於同日釋出修補。</p> <p>在漏洞修補方面，微軟釋出6月例行性安全更新以修補近80個漏洞，還有多家科技大廠發布安全性更新修補公告，包括Progress、SAP、西門子、施耐德電機等。</p> <p>國際間還有4項值得關注的重要資安事件，包括瑞士國家網路安全中心（NCSC）公布，該國聯邦機構與國營企業的網站遭俄羅斯駭客組織NoName攻擊；韓國國家情報院（NIS）警告，北韓駭客偽冒韓國最大入口網站Naver，透過即時鏡像複製Naver網站內容、並註冊以NAVER混淆的相近網域名稱；以及智利軍隊遭勒索軟體攻擊的揭露。</p> <p>此外，前陣子的2起重大資安事件有新消息，包括遭遇MOVEit Transfer零時差漏洞攻擊的受害者名單陸續浮上檯面，以及針對Barracuda郵件安全閘道零時差漏洞的攻擊，疑為中國駭客組織UNC4841所為。在其他威脅態勢方面，有中國駭客組織ChamelGang針對Linux主機攻擊，並以DoH方式連線C2中繼站規避偵測的揭露，以及發現駭客假冒資安研究人員姓名照片上傳零時差漏洞PoC的情形。同時，有研究指出ChatGPT回答程式語言問題時，會給出不存在的NPM套件、PyPI套件的名稱，因而存在可被駭客加以濫用的風險。</p> <p>在資安防護焦點上，最受關注的莫過於歐洲議會針對AI法《AI Art》草案的歷史性投票通過，不僅是針對某些可能嚴重影響人類安全的AI應用予以禁止，並以AI風險等級，規範開發商與採用組織的義務，而臺灣AI基本法的立法倡議仍不明朗亦因此受關注。另外，針對近兩年危害最大的勒索軟體LockBit，多國網路安全機構發布新的聯合安全公告，說明其攻擊手法與防護建議。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157490"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月19日到6月21日</span></a></strong></h2> <p>在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞（CVE-2023-32434、CVE-2034-32435及CVE-2023-32439），而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。</p> <p>在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。</p> <p>其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。</p> <p>另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157587"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月26日到6月30日</span></a></strong></h2> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。<a href="https://www.ithome.com.tw/news/157600">以Lockbit而言，30日他們聲稱台積電為受害者</a>，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續也向該公司了解狀況，該公司表示已於<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">30日在網站發布遭遇資安事件的公告</a>，當中指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在周五密切關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有相當大量Akira勒索軟體受害者被公布的情況，值得關注。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），三星裝置的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> <p> </p> </div></div></div>

【資安週報】2023年6月26日到6月30日

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。以Lockbit而言，30日他們聲稱台積電為受害者，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續新發現，<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">該公司於30日發出聲明表示</a>遭遇資安事件，並指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，並指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有大量Akira勒索軟體受害者被公布的情況。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），Samsung智慧型手機的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</span></strong></a></h3> <p>殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。</p> <p>另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。</p> <p>卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。</p> <h3><a href="https://www.ithome.com.tw/news/157513"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</span></strong></a></h3> <p>駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。</p> <p>圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/157532"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></h3> <p>5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。</p> <p>駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。</p> <p>鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。</p> <h3><a href="https://www.ithome.com.tw/news/157555"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月29日】NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</span></strong></a></h3> <p>鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。</p> <p>又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。</p> <p>Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/157579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</span></strong></a></h3> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> </div></div></div>

【資安日報】6月26日，殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。</p> <p>另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。</p> <p>卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai變種鎖定22個網路設備漏洞而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-128774-2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-128774-2-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自今年3月中旬出現的殭屍網路Mirai變種攻擊行動，駭客鎖定D-Link、Arris、兆勤（Zyxel）、TP-Link、騰達（Tenda）、Netgear、聯發科（MediaTek）的22個網路設備漏洞而來，對這些設備進行控制並用於DDoS攻擊。這些設備的類型涵蓋了路由器、數位視訊監視器（DVR）、網路視訊監視器（NVR）、Wi-Fi無線網路接收器、存取控制系統、太陽能發電監控系統等。駭客先是利用漏洞入侵目標設備，並透過Shell指令碼偵測系統架構、下載對應的殭屍網路病毒。</p> <p>值得留意的是，其中一個遭到利用的TP-Link Archer A21漏洞CVE-2023-1389（CVSS風險評分8.8），漏洞懸賞專案Zero Day Initiative曾揭露有人在4月用於散布Mirai，兩起攻擊行動是否為相同駭客所為？仍有待後續進一步的調查。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/06/22/iot-devices-and-linux-based-systems-targeted-by-openssh-trojan-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意OpenSSH元件攻擊Linux設備</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-openssh-trojan-attack-c.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-openssh-trojan-attack-c.png" style="width: 300px; float: right;" /></a>微軟揭露濫用開源加密程式庫OpenSSH的挖礦攻擊，駭客鎖定配置錯誤、曝露於網際網路的Linux裝置，透過暴力破解的方式入侵，一旦成功後就會停用Shell的事件記錄，並從遠端伺服器下載遭到竄改的OpenSSH檔案，然後部署以Shell指令碼打造的後門程式，該後門程式啟動時會偵測是否在蜜罐誘捕系統（Honeypot）的環境，以免遭到研究人員分析。</p> <p>一旦受害裝置通過檢測，上述的後門程式就會從GitHub下載Rootkit軟體Reptile、Diamorphine，並於受害裝置部署殭屍網路機器人ZiggyStarTux，接收攻擊者的命令，進行挖礦攻擊。</p> <p>值得留意的是，駭客也透過「修補」的方式，在OpenSSH元件套用惡意程式碼，進而攔截SSH連線的帳密資料，並允許攻擊者透過root登入系統。</p> <p><a href="https://twitter.com/BrettCallow/status/1671532524705570818"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">物流業者UPS資料外洩，警告加拿大用戶釣魚簡訊攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FzJ5hzEWwAAqTqH.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FzJ5hzEWwAAqTqH.jpg" style="width: 300px; float: right;" /></a>資安業者Emsisoft的研究人員Brett Callow透露，他最近收到物流業者UPS加拿大分公司的通知信，表示要用戶留意網釣簡訊及電子郵件。</p> <p>但這封信件的內容，其實是告知用戶該公司出現資料外洩事故，導致用戶收到網釣簡訊。駭客從2022年2月1日至2023年4月24日，濫用UPS的包裏搜尋工具來存取包含寄件人聯絡資訊的詳細寄件資料。</p> <p>研究人員認為，UPS在通知信裡沒有直接開門見山表達是資料外洩事故資訊，很可能讓用戶誤以為是資安宣導而未提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/157491"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暴雪娛樂遭到DDoS攻擊，旗下多款遊戲的玩家面臨連線異常</span></strong></a></p> <p>暴雪娛樂（Blizzard）於臺北時間6月25日下午約10點透過推特發出公告，他們旗下的電玩平臺Battle.net遭到DDoS攻擊，導致暗黑破壞神IV、魔獸世界、星海爭霸、爐石戰記等多款遊戲的玩家無法正常連線，出現無法登入、連線緩慢等問題，有部分用戶反映，無法連線時間至少有10到12小時之久。</p> <p>直到臺北時間26日凌晨約1時20分，暴雪才表示相關攻擊已經結束。根據服務運作狀態偵測網站Down Detector的資料，受這波連線影響的用戶分布美國、歐洲，以及部分亞洲地區。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157482"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補Operation Triangulation攻擊行動遭到利用的零時差漏洞</span></strong></a></p> <p>蘋果於6月21日發布iOS 16.5.1、iPadOS 16.5.1、macOS Ventura 13.4.1，主要是修補卡巴斯基揭露的攻擊行動Operation Triangulation裡，駭客所使用的零時差漏洞CVE-2023-32434、CVE-2023-32439。</p> <p>CVE-2023-32434為作業系統核心的整數溢位漏洞，攻擊者可藉此讓惡意程式以核心權限執行任意程式碼；CVE-2023-32439則是Safari瀏覽器排版引擎WebKit的型態混淆漏洞，攻擊者可傳送網頁連結並誘使用戶點擊，進而執行任意程式碼。蘋果也針對舊版iOS、iPadOS，推出15.7.7版修補上述漏洞，此外，該公司也發布watchOS 8.8.1修補CVE-2023-32434。</p> <p>資料來源</p> <p>1. <a href="https://support.apple.com/HT213814">https://support.apple.com/HT213814</a><br /> 2. <a href="https://support.apple.com/HT213813">https://support.apple.com/HT213813</a><br /> 3. <a href="https://support.apple.com/HT213811">https://support.apple.com/HT213811</a><br /> 4. <a href="https://support.apple.com/HT213808">https://support.apple.com/HT213808</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://moda.gov.tw/press/press-releases/5539"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲議會訪團拜會數位部，針對資安、數位韌性進行交流</span></strong></a></p> <p>數位發展部政務次長闕河鳴於6月20日，會見歐洲議會外委會安全暨防衛小組（SEDE）副主席茱娜薇（Rasa Juknevičienė）帶領的訪問團，分享臺灣的數位韌性規劃。</p> <p>闕河鳴表示，「資安即國安」為臺灣當前重要政策，數位部積極推動跨境備援，確保緊急事件發生時，公部門系統仍可維持運作；此外，各政府機關透過介接政府資料傳輸平臺進行點對點資料傳輸，運用零信任架構，以「永不信任，持續驗證」原則強化資安。</p> <p><a href="https://www.facebook.com/te.nics.tw/posts/pfbid0VxwB8E9vKrApLtCmASifJN9sbGS7mphFHXc7TdGWQum7gzSnpkqCPMFL1ox2H9Fzl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為增進高階資安人才技術，資安院首度推出菁英培訓課程</span></strong></a></p> <p>國家資通安全研究院今年首度推出以資安事件工程師為主的培訓課程，第一梯次受訓期間自7月15日至8月27日，為期5週、共9天（54小時）的內容，主要對象是企業、政府單位、資安公司等在職資安技術及研發人員，目的是因應國內產業需求、增進高階資安人才防護技術，資安院表示課程的費用將由政府全額補助，他們預計將錄取正取60名、備取25名學員。</p> <p>此外，資安院亦透露，他們計畫在臺北推出第二梯次培訓，也會在臺南舉辦相關課程。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Teams出現漏洞，恐被攻擊者以外部帳號傳送惡意軟體</span></span></strong></a></p> <p><a href="https://www.fortiguard.com/psirt/FG-IR-23-096"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補NAC系統的重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub儲存庫有可能遭到相依性套件挾持攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/american-airlines-southwest-airlines-disclose-data-breaches-affecting-pilots/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國航空、西南航空資料外洩，起因是遭遇供應鏈攻擊</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/22/2003245723/-1/-1/0/CSI_BlackLotus_Mitigation_Guide.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局推出防禦UEFI惡意軟體BlackLotus的指南</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157467">【6月21日】 微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157445">【6月20日】 竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157420">【6月19日】 微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a></strong></p> </div></div></div>

【資安日報】5月22日，YouBike證實遭到網路攻擊，2.1萬用戶資料外洩

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末臺灣再度傳出與車輛共享服務有關的資安事故，共享單車服務業者YouBike於週六（19日）證實，因遭到攻擊而導致用戶資料外洩，呼籲使用者要防範相關的詐騙攻擊，以及悠遊卡、信用卡可能會遭到盜刷的情形。值得留意的是，21日該公司關閉會員登入功能，後續情形有待進一步觀察。</p> <p>各國政府對於可能會竊取用戶資料、並將其提供給敵對國家政府的應用程式下達禁令，然而，有些使用者無視這些管制，仍設法想要取得這類應用程式，使得這些亟欲使用的人可能成為駭客下手的對象！最近有研究人員揭露假冒影片剪輯軟體CapCut的惡意軟體攻擊行動，並認為攻擊者針對此應用程式的原因，是有許多國家封殺了這款由字節跳動（ByteDance）出品的應用程式，想要取得此軟體的使用者很可能會透過該公司網站以外的管道下載。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.ltn.com.tw/news/Taichung/breakingnews/4307663"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">共享單車服務YouBike遭境外攻擊，2.1萬筆用戶資料恐外洩</span></strong></a></p> <p>共享單車服務業者YouBike於<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">5月19日證實</a>，該公司網站於17日遭到網路攻擊，有人透過境外IP位址嘗試取得YouBike的會員帳號、密碼，該公司已向相關政府機關通報，並指出騎乘記錄與使用者帳號所登記的金融卡資料可能曝險，要用戶留意是否帳號出現異常的卡片、交易記錄。</p> <p>臺北市政府交通局<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&amp;sms=72544237BBE4C5F6&amp;s=2CA9B84D5AEDB95F">也證實確有此事</a>，並指出全國約有2.1萬用戶的資料可能遭到竊取。</p> <p>YouBike<a href="https://www.youbike.com.tw/region/main/news/service/646959a862da755d7f62abb3/">於21日再度發布公告</a>，表示因網路攻擊，他們暫時關閉網站與YouBike行動應用程式的會員登入功能，但使用者仍可透過已登記的卡片租借單車，而已經登入系統的App使用者，也可以藉由掃描條碼來租車。</p> <p><a href="https://blog.cyble.com/2023/05/19/capcut-users-under-fire/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">抖音影片剪輯軟體CapCut遭冒用，駭客假借提供工具的名義散布竊密軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-11-Process-Flow-of-BATLoader-Execution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-11-Process-Flow-of-BATLoader-Execution.png" style="width: 300px; height: 130px; float: right;" /></a>資安業者Cyble揭露假借提供影音編輯軟體CapCut的名義，散布惡意軟體攻擊行動。</p> <p>在其中一起攻擊行動裡，駭客意圖散布竊資軟體Offx Stealer，一旦使用者依照指示下載、執行駭客網站上的影音編輯軟體安裝程式，他們的電腦就會顯示錯誤訊息，聲稱應用程式啟動失敗，但實際上Offx Stealer已在背景執行，從電腦裡的瀏覽器、加密即時通訊軟體、加密貨幣錢包、遠端桌面軟體盜取各種帳密資料、Cookie，再竊取受害電腦桌面上的特定類型檔案。</p> <p>而在另一種散布BATLoader的攻擊行動裡，使用者一旦依照指示下載及執行駭客提供的BAT批次檔，電腦就有可能被植入竊資軟體RedLine。</p> <p><a href="https://www.ithome.com.tw/news/156975"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PyPI暫停新專案及使用者註冊，原因是難以招架駭客大肆濫用的情況</span></strong></a></p> <p>Python套件庫<a href="https://status.python.org/incidents/qy2t9mjjcc7g">PyPI的維護團隊於5月21日發出公告</a>，表示他們暫停新的使用者與專案申請，原因是該團隊在過去一個星期當中，收到大量惡意使用者與惡意專案的申請，更糟的是，這段期間他們有數名管理人員休假，導致難以因應如此規模的工作量。</p> <p>對此，該維護團隊於週末進行重新編組人力編制，目前已於21日恢復相關申請業務。</p> <p><a href="https://www.reversinglabs.com/blog/rats-found-hiding-in-the-npm-attic"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NPM套件被用於散布竊資軟體TurkoRAT</span></strong></a></p> <p>資安業者ReversingLabs發現有人在NPM套件庫上架了3個惡意套件，分別是：nodejs-encrypt-agent、nodejs-cookie-proxy-agent、axios-proxy，在2個月裡，這些套件的下載人數超過1,200個。</p> <p>研究人員指出，這些套件被用於散布名為TurkoRAT的竊資軟體，攻擊者利用木馬程式竊取受害電腦的機密資料，包括使用者登入的帳密資料，以及加密貨幣錢包等，此外，該竊資軟體亦會愚弄研究人員的沙箱環境。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1659347803989057541"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織FIN7利用Clop勒索軟體發動攻擊</span></strong></a></p> <p>微軟威脅情報中心發現，沉寂已久的金融駭客組織FIN7（亦稱Sangria Tempest）再度出現攻擊行動，研究人員在今年4月，看到這些駭客透過PowerShell指令碼Powertrash，載入後開發攻擊工具Lizar，目的是潛伏在受害組織的網路環境當中。接著，駭客透過OpenSSH、Impacket等開源軟體進行橫向移動，進而部署勒索軟體Clop。</p> <p>這並非該組織首度發動勒索軟體攻擊──2020年至2021年，這些駭客曾在攻擊行動裡利用勒索軟體Maze、Ryuk、BlackCat（Alphv）。</p> <p><a href="https://www.bleepingcomputer.com/news/security/luxottica-confirms-2021-data-breach-after-info-of-70m-leaks-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雷朋眼鏡母公司Luxottica證實2021年資料外洩，7千萬筆資料被公布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Luxottica-52.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Luxottica-52.png" style="width: 300px; float: right;" /></a>研究人員Andrea Draghetti發現，擁有雷朋（Ray-Ban）、歐克利（Oakley）、香奈兒（Chanel）等知名品牌的眼鏡供應商Luxottica，逾7千萬筆客戶的姓名、生日等資料，自4月30日至5月12日期間，有逾7千萬位客戶的資料被人公開於駭客網站，並免費供人下載，這批資料包含3億筆記錄、7,440萬個電子郵件信箱，最初流出時間可能是2021年3月。</p> <p>對此，Luxottica表示這些資料外流與第三方供應商遭駭有關，內容包含了客戶姓名、地址、電話、電子郵件信箱、出生日期，但不含財務資料、社會安全碼（SSN）、帳號與密碼等。該公司亦透露，他們是在2022年11月得知資料外洩的情況。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/hardware/asus-routers-knocked-offline-worldwide-by-bad-security-update/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">華碩路由器疑收到有問題的安全更新資訊而造成故障</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-samsung-aslr-bypass-flaw-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告三星ASLR繞過漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/reports/shifting-tactics-fuel-surge-in-business-email-compromise/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙也出現攻擊服務化的情況！研究人員揭露BEC攻擊工具服務BulletProftLink</span></span></strong></a></p> <p><a href="https://www.secureworks.com/resources/rp-irs-learning-from-incident-response-team-2022-year-in-review"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙攻擊數量2022年較前年翻倍成長</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2023/05/new-android-google-device-VRP.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對旗下產品的漏洞懸賞專案，Google提出新的漏洞風險評估機制</span></span></strong></a></p> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/05/17/new-strain-of-sotdas-malware-discovered"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Sotdas監控處理器的使用率來避免被發現行蹤</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/oilalpha-likely-pro-houthi-group-targeting-arabian-peninsula"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">支持反政府武裝組織胡塞的駭客盯上協助葉門的人士，監控其手機</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】 臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】 要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】 駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> </div></div></div>

【資安月報】2023年2月

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一個月的資安月報中，國內有多起資安事故，以及之前事件的後續調查結果公開，成為本月最受關切的焦點事件。</p> <p>以勒索軟體事件而言，飛宏科技<a href="https://www.ithome.com.tw/news/155461#%E9%A3%9B%E5%AE%8F">在10日傳出成為LockBit勒索軟體受害者</a>，當日我們檢視了RedPacket security、breachsense兩家資安業者自動爬取暗網資訊的頁面，確實有飛宏列為受害者組織的資訊，到了2月13日（周一）該公司在<a href="https://s4.itho.me/sites/default/files/images/202302%E9%A3%9B%E5%AE%8F.jpg">公開股市觀測站揭露網路資安事件公告</a>，說明資訊部門於第一時間即發現異常，並阻斷對外網路連結，當時評估對公司營運無重大影響。</p> <p>以百貨業資料外洩事件而言，我們在16日注意到微風向會員發送防詐簡訊並要用戶修改密碼，但未提及資安事件而察覺有異，且當日無法連上微風廣場的網站，<a href="http://www.ithome.com.tw/news/155613#微風">在21日進而發現</a>，有人在4日前於駭客論壇BreachForums聲稱竊取了微風百貨內部資料與90萬用戶個資。這次月底回顧本次事件，我們在此也整理後續消息，例如，隔天（22日）<a href="https://udn.com/news/story/7270/6988088">聯合報</a>、<a href="https://www.ettoday.net/news/20230222/2445851.htm">ETtoday新聞雲</a>等媒體跟進報導，指出微風說明近日收到匿名網路勒索信件，當下立即啟動損害機制，內部資安團隊已提高資安防護。在<a href="https://s4.itho.me/sites/default/files/images/202302%E5%BE%AE%E9%A2%A8.jpg">24日經濟部也對此事件發出公告</a>，表示調查小組在23日前往微風集團子公司微風數位時代公司進行行政調查，並要求業者個資防護自評、稽核檢查，釐清事故原因並改善，以及通知會員。</p> <p>以汽車租賃服務業者資安事件而言，有兩家業者先後傳出會員資料曝險的問題。受關注的是，經公路總局調查後，發現這些提供服務的業者，卻存在基本個資檔案安全維護與措施都不足的情形，且在要求限期改正後，複查仍未達到標準。</p> <p>首先，是1月底iRent資料庫曝險事件被揭露，<a href="https://www.ithome.com.tw/news/155446#iRent">公路總局</a>在<a href="https://s4.itho.me/sites/default/files/images/202302iRent.jpg">2月9日發布公告</a>，指出他們已確認該公司未依「個人資料保護法」與「汽車運輸業個人資料檔案安全維護計畫及處理辦法」採行基本的適當安全措施，且屆期未改正，罰款20萬，並要求2月28日前再提交複查資料。另一起事件，是<a href="https://www.ithome.com.tw/news/155404#格上">2月初有人向立委陳情表示發現格上租車也有用戶資料曝險問題</a>，因「GoSmart」App供用戶查詢自己租車單據的連結頁面，竟是公開且未加密保護，月底我們整理此事件時也注意到有新的後續消息，<a href="http://www.cna.com.tw/news/ahel/202302240305.aspx">根據中央社指出公路總局在24日的說明</a>，顯示格上汽車租賃公司同樣未盡基本適當安全措施，且屆期未改正，罰款10萬元，並要求3月10日前再提交複查。</p> <p>另外，還有兩起之前發生的資安事件，在本月揭露了後續的調查結果。包括：華航針對<a href="https://www.ithome.com.tw/news/155167">1月中的資料外洩事件</a>，<a href="https://www.ithome.com.tw/news/155498#華航">該公司在2月12日</a>於公開股市觀測站發布<a href="https://s4.itho.me/sites/default/files/images/202302%E8%8F%AF%E8%88%AA.jpg">重大訊息</a>，說明調查後發現電商平臺系統連線異常，有超過5千筆會員資料遭到存取。而在這次月底資安新聞回顧中，我們發現還有一件去年10月政府資安事故的調查結果出爐，<a href="https://s4.itho.me/sites/default/files/images/202302%E6%88%B6%E6%94%BF%E5%A4%96%E6%B4%A9.jpg">法務部調查局在24日公布</a>偵辦戶役政資料遭竊案的調查結果，證實外洩資料是107年4月以前的戶役政資料，但與戶役政系統原始資料有所出入，續查其他使用戶役政資料或介接機關則因為超過相關系統設備的稽核紀錄留存限制，無法繼續追蹤，但調查局從販售個資不法人士所使用的虛擬通貨錢包地址下手，掌握到該錢包地址為中國籍人士所有。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/155462"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月6日到2月10日</span></a></strong></h2> <p>這一周有三大漏洞值得優先關注，都發現已有攻擊並利用的情形，首先是檔案傳輸管理系統GoAnywhere被揭露存在RCE的零時差漏洞CVE-2023-0669，IT業者Fortra近日釋出修補，其次是Intel驅動程式CVE-2015-2291漏洞，這起利用老舊漏洞的威脅在1月已曝光，如今也被CISA列入限期修補行列，最後是存在於TerraMaster NAS的CVE-2022-24990漏洞，本周尚未提到可先留意盡速修補。其他漏洞修補方面，包括OpenSSH的CVE-2023-25136與OpenSSL的CVE-2023-0286。</p> <p>在國內，有兩起資安新聞受到關注，首先是近年轉型電動車充電樁業務的上市公司飛宏，在周四傳出疑似遭勒索病毒的消息，隔日媒體已經報導此事，駭客聲稱已掌握大量企業敏感資訊，當時我們也檢視了2家資安業者自動爬取暗網資訊的頁面，確實有飛宏成為LockBit受害者的資訊，截至11日（周六）上午，該公司尚未在公開股市觀測站發布資安事件重大訊息（補充更新：飛宏在2月13日上午近9時發布網路資安事件公告），此外本周還有英國郵務機關Royal Mail也遭LockBit攻擊的消息；另一事件是繼汽機車共享服務iRent後，格上租車的會員訂單資料被民眾發現可被人任意查詢，逾10萬筆PDF檔訂單文件存放於雲端空間，並無限制存取的權限管控設定。格上租車表示，尚未發現遭異常查詢或下載情形。</p> <p>在資安威脅態勢上，本土資安業者揭露在農曆新年期間，中國駭客組織APT41又再對臺灣組織發動攻擊，受害單位多數與政府有合作關係；近期安卓惡意軟體TgToxic攻擊增加，正針對臺灣等東南亞用戶；以及標榜避端點防毒及EDR偵測的惡意程式打包工具TrickGate被資安業者揭露。至於資安防護焦點中，有NIST公布針對物聯網與小型電子設備的Lightweight Crypto密碼學競賽結果，將採用Ascon演算法為標準。  </p> <h2><strong><a href="https://www.ithome.com.tw/news/155592"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月13日到2月18日</span></a></strong></h2> <p>這一周有5個漏洞遭鎖定利用的狀況需要優先因應，首先是微軟本周發布的產品安全公告中，有三個已遭鎖定利用的零時差漏洞，包括涉及Office的CVE-2023-21715、Windows的CVE-2023-23376、CVE-2023-21823漏洞，以及蘋果修補涉及WebKit的CVE-2023-23529漏洞，還有開源網路監控系統Cacti去年12月修補的CVE-2022-46169漏洞。其他留意的漏洞消息，還包括Adobe、思科、Citrix、Splunk與SAP等業者的產品修補公告，隨著這些業者持續積極修補漏洞，企業在留意這些消息之餘，也應該更積極規畫更新修補排程來主動減少弱點遭利用的可能性。</p> <p>在資安威脅重點方面，有國外資安業者揭露惡意軟體Frebniis攻擊行動，是鎖定臺灣組織而來，該惡意程式會針對IIS伺服器功能建立後門；以及又有資安業者揭露勒索軟體ESXiArgs攻擊的更多細節，還有殭屍網路Mirai出現新變種V3G4的消息。此外，還在持續發展的對話語言模型ChatGPT如今成為全球大眾焦點，引發許多研究人員示警被濫用的問題，還有智慧財產權等層面的關注。</p> <p>在資安事件焦點方面，包括Atlassian的第三方供應商遭駭而傳出資料外洩消息，A10 Networks傳出遭勒索軟體Play攻擊而資料外洩，在國內，也有華航在12日周日發布資安事件重大訊息，說明該公司電商平臺系統有5千多會員資料可能外洩。</p> <h2><strong><a href="https://www.ithome.com.tw/news/155684"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月20日到2月24日</span></a></strong></h2> <p>近期有三個漏洞遭駭客鎖定利用狀況受關注，首先是IBM於1月通知客戶修補Aspera Faspex的CVE-2022-47986漏洞，到了2月初與2月底，IBM與美國CISA均公布已有漏洞利用情形，而且IBM在17日將該漏洞CVSS評分從8.1提升至9.8分，另外兩個漏洞是Mitel網路電話系統MiVoice Connect的CVE-2022-41223、CVE-2022-40765漏洞。其他漏洞威脅消息，還有微軟一月修補的Windows備份服務漏洞CVE-2023-21752，傳出可能將被鎖定攻擊的情況。</p> <p>在資安威脅態勢的焦點上，包括有資安業者指出多款WAF可能存在CRLF漏洞，有資安研究人員揭露有攻擊者濫用GitHub Actions繞過自動化2FA達到NPM帳號接管；還有研究人員與資安業者陸續指出駭客正利用當紅的ChatGPT，冒名散布假冒的App與Windows版程式。此外，加密貨幣平臺Coinbase揭露員工帳密遭駭後攻擊者還企圖假冒該公司IT來電要騙取MFA，所幸及早察覺有異。同時也有不少資安業者陸續發布去年資安態勢的報告。</p> <p>而這一周的發生資安事件，有印度火車訂票系統RailYatri遭駭，大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，在國內，我們也發現百貨業者微風要會員更換密碼與內部資料出現於駭客論壇的消息，後續國內媒體跟進報導則顯示該業者收到勒索信並啟動損害機制。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3> </h3> </div></div></div>

【資安週報】2023年2月6日到2月10日

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周有三大漏洞值得優先關注，都發現已有攻擊並利用的情形，首先是檔案傳輸管理系統GoAnywhere存在RCE的零時差漏洞CVE-2023-0669，IT業者Fortra近日終於釋出修補，其次是<a href="https://www.ithome.com.tw/news/155132">Intel驅動程式CVE-2015-2291漏洞，這起利用老舊漏洞的威脅在1月已曝光</a>，如今也被CISA列入限期修補行列，最後是存在於TerraMaster的CVE-2022-24990漏洞，本周尚未提到可先留意盡速修補。其他漏洞修補方面，包括OpenSSH的CVE-2023-25136與OpenSSL的CVE-2023-0286。</p> <p>在國內，有兩起資安新聞受到關注，首先是近年轉型電動車充電樁業務的上市公司飛宏，在周四<a href="https://www.ithome.com.tw/news/155461#飛宏">傳出疑似遭勒索病毒Lockbit 3.0的消息，隔日媒體已經報導此事</a>，駭客聲稱已掌握大量企業敏感資訊，截至11日（周六）上午時，該公司尚未在公開股市觀測站有發布資安事件重大訊息，此外，本周也有英國郵務機關Royal Mail遭LockBit攻擊的消息；另一事件是繼汽機車共享服務iRent後，格上租車的會員訂單資料被民眾發現可被人任意查詢，逾10萬筆PDF檔案的訂單文件存放於雲端空間，並無設定權限管控限制存取。格上租車已表示，尚未發現遭異常查詢或下載情形。</p> <p>在資安威脅態勢上，本土資安業者揭露在農曆新年期間，中國駭客組織APT41又再對臺灣組織發動攻擊，受害單位多數與政府有合作關係；近期安卓惡意軟體TgToxic正針對臺灣等東南亞用戶；標榜避端點防毒及EDR偵測的惡意程式打包工具TrickGate被資安業者揭露。至於資安防護焦點中，有NIST公布針對物聯網與小型電子設備的<span class="x193iq5w xeuugli x13faqbe x1vvkbs x1xmvt09 x1lliihq x1s928wv xhkezso x1gmr53x x1cpjm7i x1fgarty x1943h6x xudqn12 x3x7a5m x6prxxf xvq8zen xo1l8bm xzsf02u x1yc453h" dir="auto">Lightweight Crypto密碼學競賽結果，</span>將採用Ascon演算法為標準。  </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155404"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</span></strong></a></h3> <p>汽機車共享服務iRent一月底傳出資料外洩事故引起國內各界關注，突顯臺灣企業因應資安事故的能力有待加強，也使得個資保護的議題再度浮上檯面。針對這次事故，上週末（2月4日）和泰終於做出較為詳細的說明，將原先認定僅影響14萬人調整為40萬人。</p> <p>無獨有偶，近日有人發現格上租車也有類似的資料庫配置不當的情形向立委陳情，初步估計1.6萬名用戶受到影響。</p> <p>研究人員揭露名為TgToxic的金融木馬，並指出駭客最初針對臺灣安卓用戶而來，架設冒牌的行政院紓困網站來發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/155423"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡意軟體PlugX</span></strong></a></h3> <p>日前傳出有勒索軟體鎖定VMware ESXi的漏洞CVE-2021-21974發動攻擊的情況，引起歐美國家高度重視，如今有國家證實遭到大規模攻擊，不只部署此虛擬化平臺的組織受害，還導致當地數百萬民眾無法上網。</p> <p>中國駭客組織Mustang Panda去年底發起新的攻擊行動，駭客假借歐盟的名義來發動釣魚郵件攻擊。研究人員認為，這起事故很可能是針對協助烏克蘭的歐洲國家而來。</p> <p>電玩遊戲原神的防做弊元件又被濫用於攻擊行動！有資安業者揭露專門透過遠端桌面軟體漏洞入侵受害電腦的資安事故，駭客為了規避防毒軟體對於惡意程式的偵測，利用前述元件來進行自帶驅動程式攻擊（BYOVD）。</p> <h3><a href="https://www.ithome.com.tw/news/155435"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月8日】勒索軟體Clop鎖定Linux版Oracle資料庫下手、殭屍網路病毒Medusa納入加密檔案的能力</span></strong></a></h3> <p>最近2年有不少勒索軟體發展Linux變種，其主要目標就是虛擬化平臺VMware ESXi，但其他以Linux為基礎開發的IT系統也有可能成為目標──現在有駭客鎖定在此系統執行的Oracle資料庫下手，攻擊者可下達命令、加密資料庫、應用程式本身，以及使用者檔案。</p> <p>遭殭屍網路病毒攻擊不光是受感染的設備遭到控制，檔案還有可能遭到破壞。有研究人員發現新版惡意軟體Medusa，不只具備控制感染設備發動DDoS攻擊的能力，還能加密裝置的檔案，並具備竊密程式（Info-stealer）的模組。</p> <p>開源加密程式庫OpenSSH於1月底修補了數個漏洞，其中最引起注意的是CVE-2023-25136，攻擊者有可能在不需取得權限的情況下任意程式碼。</p> <h3><a href="https://www.ithome.com.tw/news/155446"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月9日】CISA提供勒索軟體ESXiArgs的復原指令碼、安卓木馬程式Medusa利用網釣簡訊攻擊北美和歐洲用戶</span></strong></a></h3> <p>勒索軟體ESXiArgs鎖定全球各地的VMware ESXi伺服器而來，歐洲政府機關率先呼籲大家注意，美國當局也看重此事的發展，網路安全暨基礎設施安全局（CISA）提供自動化工具，讓受害組織的IT人員能修復遭到破壞的虛擬機器（VM）檔案。</p> <p>安卓木馬程式透過釣魚簡訊（SMiShing）散布的情況再度傳出！有研究人員揭露近期的Medusa木馬程式攻擊，就是以這種做法來引誘使用者下載該惡意軟體。</p> <p>高科技產業成為勒索軟體攻擊目標也值得留意，美國半導體設備製造商MKS Instruments證實在一週前遭到此種攻擊，中斷部分系統的運作來因應，損失尚無法評估。</p> <h3><a href="https://www.ithome.com.tw/news/155461"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月10日】駭客鎖定捐款給土耳其地震災民的人士行騙、FBI警告假借愛情名義的加密貨幣詐騙</span></strong></a></h3> <p>土耳其在2月6日發生大地震引起全球關注，許多人發揮愛心捐款，想要幫助當地災民，但駭客也趁機打劫，打算騙取這些人的愛心中飽私囊。</p> <p>針對時事進行詐騙的情況，還有即將到來的情人節。最近FBI特別針對新墨西哥州提出愛情詐騙相關警告，並指出受害者高達三分之一年齡在60歲以上。</p> <p>開源加密程式庫OpenSSL近日發布修補版本，其中的高風險漏洞CVE-2023-0286值得留意，有可能被用於發動阻斷服務攻擊（DoS）。</p> </div></div></div>

【資安日報】2023年2月8日，勒索軟體Clop鎖定Linux版Oracle資料庫下手、殭屍網路病毒Medusa納入加…

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年有不少勒索軟體發展Linux變種，其主要目標就是虛擬化平臺VMware ESXi，但其他以Linux為基礎開發的IT系統也有可能成為目標──現在有駭客鎖定在此系統執行的Oracle資料庫下手，攻擊者可下達命令、加密資料庫、應用程式本身，以及使用者檔案。</p> <p>遭殭屍網路病毒攻擊不光是受感染的設備遭到控制，檔案還有可能遭到破壞。有研究人員發現新版惡意軟體Medusa，不只具備控制感染設備發動DDoS攻擊的能力，還能加密裝置的檔案，並具備竊密程式（Info-stealer）的模組。</p> <p>開源加密程式庫OpenSSH於1月底修補了數個漏洞，其中最引起注意的是CVE-2023-25136，攻擊者有可能在不需取得權限的情況下任意程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/labs/cl0p-ransomware-targets-linux-systems-with-flawed-encryption-decryptor-available/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Clop首度出現Linux變種，針對在此作業系統執行的Oracle資料庫發動攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);">  </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/Linux"><span style="color: rgb(255, 140, 0);">#Linux</span></a>  <a href="https://www.ithome.com.tw/tags/Oracle"><span style="color: rgb(255, 140, 0);">#Oracle</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Clop-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Clop-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露勒索軟體Clop近期的攻擊行動，他們在2022年12月底哥倫比亞大學的資安事故裡，發現ELF檔案的Clop變種，該Linux版勒索軟體與Windows版本採用相同的加密方式，以及相似的執行邏輯。</p> <p>但特別的是，有別於許多Linux版勒索軟體針對VMware虛擬化平臺ESXi而來，Clop的目標是在這類作業系統執行的Oracle資料庫，攻擊者可針對使用者的home資料夾、root資料夾、選用軟體套件資料夾opt、以及Oracle程式與資料庫檔案的資料夾等，下達加密檔案的命令。研究人員指出，此Linux版勒索軟體很可能仍在開發階段，使用寫死的RC4金鑰進行加密，使得他們能夠破解，研究人員提供了Python指令碼，讓受害者能夠免費復原檔案。</p> <p><a href="https://blog.cyble.com/2023/02/03/new-medusa-botnet-emerging-via-mirai-botnet-targeting-linux-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Medusa出現加密檔案、偵察系統資訊的能力</span></strong></a> <span style="color: rgb(255, 140, 0);">  </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/殭屍網路"><span style="color: rgb(255, 140, 0);">#殭屍網路</span></a><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a>  <a href="https://www.ithome.com.tw/tags/Medusa"><span style="color: rgb(255, 140, 0);">#Medusa</span></a></strong></p> <p>資安業者Cyble指出，曾於2015年至2017年出現的殭屍網路病毒Medusa，近期捲土重來，駭客以Mirai為基礎開發新版Medusa，但當中特別的是，該殭屍網路病毒具備勒索軟體的相關功能，可加密受感染裝置的特定類型檔案。</p> <p>不過，Medusa完成檔案加密後會休眠24小時，然後刪除系統磁區的所有檔案，並留下勒索訊息，要求IT人員支付0.5個比特幣（相當於11,400美元）來復原檔案，研究人員認為這樣的現象起因是程式碼出現錯誤，研判該殭屍網路病毒的加密檔案功能尚在開發階段。</p> <p>此外，Medusa亦具備竊密軟體的功能，攻擊者主要是用於收集系統資訊，得知目標裝置能用於DDoS攻擊或是挖礦的資源，而非用在執行勒索軟體攻擊前外洩資料。</p> <p><a href="https://news.sophos.com/en-us/2023/02/06/qakbot-onenote-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員警告大規模濫用OneNote筆記檔案的攻擊行動，目的是散布惡意軟體QBot</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OneNote"><span style="color: rgb(255, 140, 0);">#OneNote</span></a>  <a href="https://www.ithome.com.tw/tags/QBot"><span style="color: rgb(255, 140, 0);">#QBot</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/QakNote-image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QakNote-image6.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露上週出現的大規模攻擊行動QakNote，駭客利用惡意的OneNote檔案附件，企圖讓受害電腦感染銀行木馬QBot。</p> <p>駭客在OneNote檔案裡嵌入了HTA檔案，該HTA檔案一旦執行，將會觸發其指令碼，利用curl.exe的處理程序，下載QBot的DLL檔案，然後經由Rundll32.exe執行。為逃過防毒軟體的偵測，該惡意軟體會將其酬載注入Windows輔助技術管理員（Windows Assistive Technology Manager，AtBroker.exe）。</p> <p>而對於駭客散布QBot的釣魚郵件，研究人員指出看到兩種型態的手法──其中一種是直接在釣魚郵件裡面嵌入惡意OneNote檔案的連結，另一種則較為複雜，攻擊者盜用其他信件的內容，進行回覆鏈攻擊。</p> <p><a href="https://sansec.io/research/sansec-analysis-12-of-online-stores-leak-private-backups"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網站備份資料要小心存放！超過一成網站儲存於公開資料夾而曝險</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/e-commerce"><span style="color: rgb(255, 140, 0);">#E-commerce</span></a>   </strong></p> <p>隨著資安事故頻傳，不少電子商務網站會採取相關的管制措施，但這些機制的保護範圍通常沒有涵蓋其備份資料，而可能成為駭客下手的目標。根據資安業者Sansec的調查，有部分網站的管理者因為人為的錯誤或是疏忽，不慎將備份資料存放於可被公開存取的地方，平均每8個電子商務網站就有一個出現這種現象。</p> <p>研究人員一共分析了2,037個網站，結果有250個（12.3%）的共用Web資料夾被公開，而使得存放於當中的ZIP、SQL、TAR檔案無須通過身分驗證就能存取，這些檔案的內容包含了資料庫密碼、內部API金鑰，甚至是顧客的個資。研究人員警告，他們已經觀察到積極掃描這類不受保護的備份資料，一旦取得，攻擊者就有可能控制電子商務網站，或是勒索商家、阻撓客戶付款。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-gang-claims-royal-mail-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國郵務機關Royal Mail遭到網路攻擊，勒索軟體LockBit公開喊話要求他們付款贖回</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/LockBit"><span style="color: rgb(255, 140, 0);">#LockBit</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Royal_Maill_leak_enttry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Royal_Maill_leak_enttry.png" style="width: 300px; float: right;" /></a>英國郵務業者Royal Mail於1月上旬傳出遭到網路攻擊，被迫暫停部分國際業務，如今駭客組織LockBit聲稱是他們所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體Lockebit近日將Royal Mail列於網站，並揚言該機構若不向他們聯繫，將於2月9日公布竊得的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/02/openssh-releases-patch-for-new-pre-auth.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源加密通訊程式庫OpenSSH出現預先身分驗證漏洞</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/OpenSSH"><span style="color: rgb(255, 140, 0);">#OpenSSH</span></a><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/Double-Free"><span style="color: rgb(255, 140, 0);">#Double Free</span></a></strong></p> <p>開源加密通訊程式庫OpenSSH於2月2日發布9.2版，當中修補了記憶體重複釋放（Double Free）導致的預先身分驗證漏洞CVE-2023-25136，該弱點存在於此程式庫的options.kex_algorithms記憶體儲存區當中，一旦遭到利用，攻擊者就有可能在未經身分驗證的情況下，執行任意程式碼。<a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/02/03/cve-2023-25136-pre-auth-double-free-vulnerability-in-openssh-server-9-1">資安業者Qualys指出</a>，這樣的漏洞可被用於導致sshd處理程序出現記憶體重複釋放的現象，且無須特珠權限。</p> <p><a href="https://eaton-works.com/2023/02/06/toyota-gspims-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">豐田汽車供應商管理平臺存在漏洞，攻擊者可隨意存取內部機密資料</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/汽車產業"><span style="color: rgb(255, 140, 0);">#汽車產業</span></a></strong></p> <p>研究人員Eaton Zveare揭露日本汽車大廠豐田（Toyota）的全球供應商備料資訊管理系統（GSPIMS）漏洞，攻擊者只要針對「Act As」的功能提供電子郵件信箱，就有可能觸發漏洞並回傳JSON Web Token（JWT），進而在不知道密碼的情況下存取該系統。</p> <p>另一方面，研究人員也透過網路搜尋而取得可能具有GSPIMS存取權限的員工帳號（電子郵件信箱），成功登入系統後利用聯絡人功能找出系統管理員帳號，最終成功控制整個系統，取得北美、歐洲、亞洲、日本逾1.4萬名使用者帳號，存取超過500個網頁，以及機密文件、專案資料、供應商等級等資訊。研究人員於去年11月通報，豐田汽車已修補相關漏洞。</p> <p><a href="https://www.securityweek.com/critical-baicells-device-vulnerability-can-expose-telecoms-networks-to-snooping"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Baicells無線通訊基地臺存在嚴重漏洞，有可能導致電信網路受到窺探</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/電信網路"><span style="color: rgb(255, 140, 0);">#電信網路</span></a></strong></p> <p>研究人員Rustam Amin揭露美國電信設備供應商Baicells旗下的基地臺系統Nova存在重大漏洞CVE-2023-24508，攻擊者一旦利用該漏洞，就有可能透過root權限執行Shell命令，並完全控制設備。攻擊者成功利用漏洞後，有可能關機造成服務中斷，甚至監控目標的網路流量與通訊，取得電話號碼、IMEI碼、地理位置資料等。研究人員表示，全球有超過1,150臺設備曝險，大部分位於美國。</p> <p>對此，Baicells於1月24日發布資安通造，Nova 227、233、243、246等型號的基地臺受到影響，該公司發布RTS/RTD 3.7.11.6版修補。美國網路安全暨基礎設施安全局（CISA）也提出警告，並指出該漏洞的CVSS風險層級達到9.8分。</p> <p><a href="https://www.securityweek.com/unpatched-econolite-traffic-controller-vulnerabilities-allow-remote-hacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Econolite交通控制系統存在漏洞，恐被用於遠端癱瘓交通</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/交通運輸"><span style="color: rgb(255, 140, 0);">#交通運輸</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>研究人員Rustam Amin在交通控制器軟體Econolite EOS發現重大漏洞CVE-2023-0452、高風險漏洞CVE-2023-0451，CVSS風險評分為9.8分及7.5分，並向美國網路安全暨基礎設施安全局（CISA）通報。</p> <p>其中的CVE-2023-0452，是該系統針對特權使用者帳密資料進行加密時，採用強度不足的雜湊演算法有關，攻擊者有可能因此在未經身分驗證的情況下，藉由MD5雜湊值取得系統的組態檔案。另一個漏洞則是對於特定的唯讀事件記錄檔案、配置檔案，該系統缺乏密碼保護。研究人員指出，駭客一旦利用上述漏洞，就有可能完全控制紅綠燈，例如設置綠燈的秒數變得非常短、紅燈時間非常久，讓用路人及車輛難以通行，進而癱瘓交通。</p> <p>CISA指出，開發商Econolite直到研究人員公布細節後，才表示正在準備修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/actively-exploited-goanywhere-mft-zero-day-gets-emergency-patch/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案共享系統GoAnywhere零時差漏洞出現攻擊行動，廠商終於推出「緊急」修補程式</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/MFT"><span style="color: rgb(255, 140, 0);">#MFT</span></a><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a><span style="color: rgb(255, 140, 0);">  </span><a href="https://www.ithome.com.tw/tags/0-day"><span style="color: rgb(255, 140, 0);">#0-day</span></a> </strong></p> <p>IT公司Fortra於上週指出，MFT檔案共享系統GoAnywhere存在零時差漏洞，但要閱讀該資安通告，必須是該公司用戶且已註冊帳號者才能存取，直到資安新聞記者Krebs Brian轉貼才公諸於世，如今已有概念性驗證攻擊程式碼出現。事隔一週，根據資安新聞網站Bleeping Computer的報導，Fortra近日發布了GoAnywhere 7.1.2版修補程式，並呼籲用戶儘速安裝，若是無法套用修補軟體，也應該採取緩解措施因應。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.sandiegouniontribune.com/news/health/story/2023-02-06/sharp-notified-x-patients-of-data-breach"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國加州醫療服務業者Sharp HealthCare遭到攻擊，近6.3萬人個資外洩</span></span></strong></a></p> <p><a href="https://dailycaller.com/2023/02/06/hackers-19000-students-day-off-west-virginia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國伯克利縣學區遭到網路攻擊，近2萬學生無法上學</span></span></strong></a></p> <p><a href="https://therecord.media/vesuvius-plc-cyber-incident-steel-industry-supplier/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國鋼鐵產業供應商Vesuvius證實遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.csoonline.com/article/3687098/mks-instruments-falls-victim-to-ransomware-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">半導體設備製造商MKS Instruments證實遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/guloader-the-nsis-vantage-point.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體GuLoader濫用軟體打包工具NSIS，鎖定電子商務產業下手</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155423">【2023年2月7日】 勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡意軟體PlugX</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155404">【2023年2月6日】 iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a></strong></p> </div></div></div>