資安一周第28期：美國政府警告各單位需加強防範DNS竄改攻擊。資安處打算訂立政府禁用中國資訊產品的明確原則與禁用清單

0124-0130一定要看的資安新聞

＃DNS竄改攻擊

聯邦網站成為DNS挾持目標，美國國土安全部發出緊急公告

美國國土安全部（Department of Homeland Security，DHS）在1月22日發出緊急指令（Emergency Directive），要求美國各單位加強防範 DNS 竄改攻擊。

近期已有多個美國聯邦網站的DNS遭到駭客挾持，由於駭客可設定DNS的記錄，因此也能獲得聯邦網站網域名稱的加密憑證，進而解密相關流量，曝露使用者所提交的任何資料，同時，難以被發現。因此DHS要求所有.gov的美國聯邦網站，要在10個工作天內稽核DNS伺服器，包括檢查這些DNS紀錄是否遭到竄改，同時更新所有可竄改DNS記錄之帳號的密碼，以及針對這些帳號全面採用多因素認證機制。詳全文

＃國家安全　＃網通基礎設施採購規範

政府禁用中國資訊產品，資安處打算訂立明確原則與禁用清單

隨著全球對中國資訊產品潛在資安問題的疑慮逐漸增高，我國政府機關禁用中國資訊產品的作法將有更明確的規範，例如，行政院資安處最晚將於1月底前公布政府機關使用陸資產品的處理原則，並於3月底前公布陸資產品管制清單。受規範者為資通安全管理法規範的政府機關與關鍵基礎設施及其服務提供者，目前此規範不涉及一般民營企業。

行政院資安處處長簡宏偉指出，目前所規範的陸資產品，包括軟體資產、資通訊設備、可攜式設備，以及資訊系統的開發、維運和維護與雲端服務等，只要負責設計、製造，甚至是提供的產品服務是陸資企業，都在該處理原則的規範之中。詳全文

＃網站劫持解救計畫

全球安全專家聯手解放近10萬個散布惡意程式的網站，國內HiNet網域範圍的惡意網站數排名第13

全球有不少網站被駭客劫持，用來散布惡意程式，在2018年3月底，瑞士非營利安全機構abuse.ch發起了名為URLhaus的合作專案，結合全球資安專家之力，辨識與蒐集這些散布惡意程式的網站，然後通知網路代管業者來協助找出這些網站與處理修復。這次的專案，歷經10個月，一共有265位安全人員協力，幫助近10萬個被利用來散布惡意的網站，擺脫被劫持，而在中華電信Hinet網域範圍內也有51個。詳全文

＃Hadoop/YARN

鎖定雲端基礎架構，Hadoop/YARN進階持續性攻擊日漸增加

圖片來源／Securonix

安全公司Securonix指出，Hadoop/YARN等雲端基礎架構面臨的威脅，已從單純的挖礦，衍生出多功能、多平臺、具持續性攻擊的進階威脅。

Securonix分析了針對雲端基礎架構軟體的惡意攻擊，發現雖然有些惡意軟體如Moanacroner，發動單一平臺、單一向量的攻擊，用意只是單純的挖礦，但有些攻擊則是多平臺、多向量的威脅，兼具挖礦程式、勒索軟體、殭屍網路、蠕蟲功能，而且攻擊多個平臺，包括Linux和Windows。詳全文

＃GDPR

歐盟公布GDPR上線8個月以來的成果，民眾投訴案件超過9.5萬

關於GDPR隱私法案的施行，歐盟執委會（European Commission，EC）公布了8個月以來的成果。他們指出，在媒體的推波助瀾下，民眾意識到個資保護的重要性，歐洲民眾已提出超過9.5萬筆的投訴案件，而主要投訴的三大類別為：電話行銷、電子郵件行銷，以及監視器業者。

此外，迄今因違反GDPR而被開罰的業者已有3家：一是德國聊天平臺Knuddels.de，因明文儲存用戶密碼而被判罰2萬歐元；二是奧地利的一家運動下注網咖，違法進行錄影監控而被判罰5,280歐元；法國也有一起案例，該國政府認為Google的廣告服務並未取得用戶同意，而祭出5,000萬歐元的罰款，而Google也已表示將提上訴。詳全文

＃羊毛黨　＃ForceShield

電子商務平臺當心！雙11銷售盛況背後暗藏灰色經濟

自動化攻擊盯上網購商品優惠或紅利累積點數。趁著電商舉辦大型活動，一群專門收集各種購物優惠、紅利點數的灰色勢力，被稱為羊毛黨的圖利者，打造、使用專屬自動化工具，伺機蒐集這些有價值的非典型商品，之後，再轉售他人獲取暴利。

在2018年的雙11期間，星盾科技（ForceShield）與另一家電子商務業者合作監控，總共發現了84萬個異常設備，都是經由智慧型手機來存取，其中有9成是Android系統，1成是iOS系統，而涉及的帳戶數量高達120萬個，占該公司參與此次網路購物交易帳號的10％。詳全文

＃惡意廣告攻擊　＃圖像隱碼術

惡意程式藏身圖片，劫持500萬蘋果用戶流量

Confiant的安全研究人員發現，VeryMal駭客組織將惡意程式寫入圖片檔，以發動惡意廣告（malvertising）攻擊，專門鎖定Mac及iOS用戶，目前已有500萬用戶網路連線遭到劫持，造成上百萬美元收益損失。

研究人員Eliya Stein解釋，由於惡意廣告偵測技術日益發達，駭客體認到太簡單的攻擊（如JavaScript混淆的手法）很容易被察覺，而圖像隱碼術（steganography）就成了好用選擇，可創造圖片曝光次數（impression）以賺取廣告費。詳全文

圖片來源／Confiant

＃華為　＃網通基礎設施採購議題　＃Vodafone

電信商Vodafone核心網路暫停採用華為設備

全球最大無線電信業者之一的Vodafone在1月25日宣布，正於歐洲部署的5G網路計畫，將暫停向華為購買核心設備，原因為歐洲各國政府擔心華為與中國政府的關係過於緊密而衍生的資安問題。

Vodafone執行長Nick Read指出，此一決定主要為政治因素，這次行動只針對歐洲市場，關於Vodafone的核心網路若必須換掉華為的設備，成本並不會太高或太麻煩，但未來若要求不准在無線接取網路（RAN）採用華為設備，包括4G及5G網路的基地臺與設備，那就問題大了。詳全文

＃防毒軟體漏洞

防毒軟體反成駭客入口，研究人員揭露ZoneAlarm的權限擴張漏洞

專門從事滲透測試與安全評估的資安業者Illumant指出，Check Point旗下的防毒暨防火牆解決方案ZoneAlarm含有一權限擴張漏洞，將允許低權限的使用者取得系統等級權限，進而接管受害者系統。

根據Illumant的說明，此一漏洞源自於ZoneAlarm程式不安全地導入了以Windows Communication Foundation（WCF）所開發的.NET服務。簡單地說，ZoneAlarm程式中的SBACipollaSrvHost功能，曝露了以系統權限執行的WCF服務，使得低權限的使用者，能以系統權限執行任意程式。詳全文

＃個資外洩　＃HIV

新加坡HIV帶原者資料庫外洩，14,200患者個資曝光

新加坡衛生部（Ministry Of Health）在1月28日對外公告，官方系統的「HIV帶原者資料庫」發生資料外洩，共1萬4,200名患者的姓名、身份證號碼、聯絡資訊（電話與住址），以及HIV檢查結果與相關病歷，被一名被驅逐出新加坡的美國籍HIV病患Mikhy K Farrera Brochez公開在網路上。這些記錄中，包含有2013年1月以前診斷為HIV病患的5,400名新加坡民眾，以及2011年12月被診斷出的8,800名外國民眾。

不論是前陣子南韓安置中心的脫北者個資外洩，以及這次HIV病患的個資外洩，都突顯了特殊個資名單外洩的問題與嚴重性。詳全文

更多資安動態
●思科研究：GDPR準備度愈高，資料外洩機率與規模就愈小
●不服GDPR的5千萬歐元處份，Google將上訴
●改善企業資安架構，思科建議採用NIST框架進行規畫
●詭異的FaceTime臭蟲，對方還沒接聽你就能聽到他說話
●研究人員呼籲WordPress用戶直接砍掉有眾多漏洞的Total Donations外掛
●報告：駭客去年偷走17億美金的加密貨幣
●確保歐洲議會選舉公正，Google提供監督機構DDoS攻擊保護