資安一周（0530~0605）歐盟成立專案小組查緝線上黑市。遊戲平臺Steam客戶端存在一個十年老漏洞

5/16~5/22一定要看的資安新聞

歐盟警方成立暗網小組專門查緝線上黑市

在28國警方的支持下，歐洲刑警組織（Europol）近期宣佈成立暗網小組（Dark Web Team），藉由各方技術及資源的協同以提高打擊網路黑市的能力。

Europol指出，暗網上代管的數個重要交易市集支持了全球多個犯罪組織和個人的非法行動。暗網上交易的匿名性及跨國性，使其成為犯罪活動的溫床。近年歐美警方聯手打擊暗網交易市集，例如去年美國FBI、荷蘭警方及其他國家警方聯合破獲了 Alphabay及Hansa，兩個交易市集運用比特幣為主的交易方式，提供毒品、軍火、惡意軟體網路犯罪工具等35萬件物品的交易。更多內容

Steam客戶端存在一個10年的遠端程式碼執行漏洞，Valve緊急修補

資安公司Context Information Security資深研究員Tom Court發現，遊戲平臺Steam客戶端存在一個至少10年的遠端程式碼執行漏洞，而這個漏洞影響每月1,500萬的活躍用戶，遊戲公司Valve在收到資安通報後，緊急在12小時內就釋出安全性補丁。

Steam客戶端函式庫的堆積（Heap）崩潰漏洞能被遠端觸發，該區程式碼是用來處理並重組多個UDP資料封包，Steam客戶端仰賴自定義的協定進行通訊，這個協定建立於UDP之上。簡單來說，這個錯誤發生於，客戶端程式沒有對分段資料包的第一個資料封包進行基本的檢查，以確保指定的封包長度小於或是等於總資料包的長度，Tom Court認為這是一個疏忽，因為在後續傳輸的封包都有經過檢查。更多內容

全球最大網路交換中心DE-CIX指控德國情報機構監視全球網路流量，遭法官駁回

位於德國法蘭克福的全球最大網路交換中心DE-CIX在2016年指控德國聯邦情報局（BND）的監控權力過大，可同時監控該中心的國際與國內流量，然而，德國的聯邦行政法院卻在最近駁回了該案，法官認為DE-CIX只是電信流量的中介機構，沒有立場援用電信保密法來控訴BND。

網路交換（Internet Exchange，IE）為一技術架構，主要用來處理不同系統之間的網路流量交換，例如讓ISP業者、內容遞送網路或其它網路服務供應商相互連結或分享流量，而DE-CIX則是全球最大的網路交換中心，每秒平均吞吐量達到4,000Gb，處理來自歐洲、中東、北美與印度的網路流量，居次的是位於阿姆斯特丹的AMS-IX，每秒平均吞吐量為3,340Gb。更多內容

Android裝置安全再進化，Google鼓勵製造商加密全手機資料

手機功能越來越強大，也就存放更多用戶的敏感資訊，為了要抵禦手機內部攻擊（Insider attack），Google在自家手機Pixel 2實現全資料加密技術，並且使用安全硬體加以保護，Google表示，只要駭客沒有裝置的鎖定密碼，就不可能更動韌體破解裝置，除非抹除裝置資料。

Google為Pixel裝置中所有的資料加密，並且還用安全硬體來保護加密金鑰。當使用者輸入正確的密碼，裝置才會解鎖資料，安全硬體的高安全性韌體負責檢查使用者密碼，而且為了預防暴力破解法，該韌體還會限制密碼輸入的速度，提高攻擊難度。更多內容

研究：特殊的條件下音波和超音波都是硬碟殺手，能讓電腦當機

一項研究顯示，透過音波或超音波，只要利用一臺市售或電腦內建喇叭播放聲音，就可以破壞硬碟或造成作業系統當機。

一群密西根大學及浙江大學研究人員指出，磁性硬碟因為價格便宜而廣泛用於儲存大量資料，然而此類硬碟的問題在於突然的移動會導致硬碟毁損及資料遺失。他們的研究即在探討聽得見及聽不見的惡意聲波對此類資訊產品的影響。更多內容

Chrome與Firefox旁路漏洞可外洩用戶的臉書檔案

目前任職於Google的安全工程師Ruslan Habalov於5月31日在他的個人部落格中披露，Chrome與Firefox於實現CSS混合模式（mix-blind-mode）功能時出現了旁路（side-channel）漏洞，將會洩露跨來源框架的視覺內容，所幸今年出爐的Chrome 63與Firefox 60都已修補了相關漏洞。

發現該漏洞的還有德國的滲透測試工程師Dario Weißer與另一名資安研究人員。更多內容

Git爆任意程式碼執行漏洞，所有使用者皆受影響！

微軟Visual Studio團隊服務專案經理Edward ThomsonMay在DevOps部落格提到，近日Git社群發現了Git存在一個可讓駭客執行任意程式碼的漏洞，他呼籲，開發者應盡速更新客戶端應用程式，而微軟也已經採取進一步防護，避免惡意程式碼儲存庫被推送到微軟的程式碼託管服務VSTS（Visual Studio Team Services）中。

這個代碼為CVE 2018-11235的安全漏洞，當用戶在惡意程式碼儲存庫中操作時，便有可能遭受任意程式碼執行攻擊。遠端程式碼儲存庫包含有子模組（Submodule）的定義以及資料，這兩者被綑綁在一起做為資料夾，提交到父程式碼儲存庫中。當這個程式碼儲存庫被遞迴複製時，Git一開始會將父儲存庫放到工作目錄中，接著準備複製子模組。更多內容

中華資安國際聯手次世代防火牆業者Palo Alto，推企業雲端防火牆服務

資安威脅越來越複雜，但是臺灣有一群中小型企業用戶，缺乏足夠的預算和人力全新投入資安領域，由中華電信切割出來的資安子公司中華資安國際，則聯手母公司頻寬線路的優勢，並搭配次世代防火牆業者Palo Alto Networks，推出每個月大約3千元起跳，在電信機房端就可以訂閱的雲端防火牆服務。

中華資安國際總經理洪進福認為，包括勒索軟體、DDoS攻擊、IoT物聯網裝置受駭、組織行駭客APT攻擊，以及駭客入侵竊取個資等，這些都是目前臺灣最常見的網路威脅類型。以往，中華電信推出資安艦隊服務，則是提供企業可以選擇Fortinet或是Sophos等廠牌的UTM租賃服務。更多內容

微軟Windows JScript元件遭爆有零時差漏洞

趨勢科技旗下的零時差倡議（Zero-Day Initiative，ZDI）專案最近揭露微軟Windows作業系統中的JScript元件含有一零時差漏洞，將允許駭客自遠端執行任意程式。

JScript與JavaScript是同樣的程式語言，為了避免商標爭議，微軟於Windows中將它稱為JScript。更多內容

美政府警告北韓以木馬、蠕蟲程式發動網路攻擊，臺灣也受害

美國聯邦調查局（FBI）及國土安全部近期聯合對大眾發佈警告，表示北韓政府正以木馬與蠕蟲程式在網路上發動攻擊，用以駭入電腦、竊取密碼及重要資訊，臺灣也被發現在感染範圍內。

這波攻擊行動與名為Joanap的遠端存取工具（remote access tool, RAT），及名為Brambul的SMB (Server Message Block, SMB) 蠕蟲程式有關，美國政府稱之為Hidden Cobra，相信策動者是北韓政府。FBI和國土安全部認為，Hidden Cobra背後的駭客組織至少從2009年開始就利兩隻惡意程式，包括Joanap及Brambul攻擊美國及其他國家的媒體、航太、金融業及其他重要基礎設施。更多內容