資安一周33期：蔡英文提因應國安威脅指導綱領、南部四縣市啟動資安區域聯防計畫

0307-0313 一定要看的資安新聞

＃資安即國安  ＃假新聞攻擊

反制一國兩制，蔡英文提指導綱領因應新型態國安威脅

在中國國家主席習近平於今年初發表《告臺灣同胞書》，宣告要透過一國兩制，統一臺灣之後，總統蔡英文於3月11日召開第61次國家安全會議時，裁示了《因應及反制「一國兩制臺灣方案」指導綱領》，做為政府強化國安的行動準則，隨後，她也在臉書專頁公開相關內容。

這個指導綱領共有三項要點，其中，首項便與資訊安全有關。蔡英文強調，我國必須因應新型態的國家安全威脅，政府必須建立民主防護網， 防範中國網軍濫用假消息與假新聞，操作臺灣的政治與經濟，而這也是資訊安全重要的防護項目。詳全文

（圖片來源）蔡英文臉書

＃勒索軟體攻擊  ＃特定組織攻擊

喬治亞州傑克森郡政府遭勒索軟體攻擊，選擇付錢了事

3月1日，美國喬治亞州的傑克森郡（Jackson County）政府遭到勒索軟體攻擊，駭客加密了該郡所有連網電腦的檔案，在經歷一周仍束手無策之後，該單位選擇支付駭客100個比特幣（約40萬美元），換取解密金鑰，讓所有系統回復正常運作。

遭受攻擊後，傑克森郡政府從電腦、網站到電子郵件系統，都受到波及而停止運作，雖然他們立即通知美國聯邦調查局，並聘請資安團隊緊急救援，卻依然無計可施。

諸如傑克森郡的小型政府單位，因缺乏完善的IT團隊，更容易受到網路攻擊，不論是華盛頓州、俄亥俄州、阿拉斯加州或北卡羅萊納州，都出現小郡或城市被勒索軟體攻陷的事件。詳全文

＃國家級攻擊  ＃資料外洩

Citrix內部網路遭國際犯罪集團駭入，傳伊朗駭客所為

作為知名桌面虛擬化、網路產品及雲端服務廠商，Citrix驚傳內部網路遭到攻擊，疑似6TB業務資料遭竊，該公司產品與雲端服務並未受到影響。美國聯邦調查局於3月6日時通知Citrix，該公司獲報後，已採取因應機制，並配合警方調查。

資安廠商Resecurity總裁Charles Yoo進一步指出，元兇應是來自伊朗駭客團體Iridium，他們自2018年12月，與2019年3月4日，二度發動攻擊，估計總共偷走6TB到10TB的資料。詳全文

（圖片來源）Citrix

＃挖礦攻擊  ＃Docker

大量Docker主機防護不足，淪為挖礦工具

Docker應用日愈廣泛，但Imperva安全研究人員近日發現，數千臺Docker主機欠缺安全防護，使遠端API曝露於公開網路上，導致已有數百臺Docker主機因此遭植入挖礦程式。

研究人員指出，遠端API曝露，導致Docker主機上的容器被駭後患無窮，挖礦劫持只是其中一種，駭客還能以遮罩的IP發動攻擊、建立僵屍網路、代管釣魚服務、竊取帳號密碼與重要資料，以及將攻擊導向企業內部網路等。詳全文

＃隱私疑慮  ＃臉書  ＃供應鏈攻擊

兩名開發人員搜括臉書用戶資訊並覆蓋廣告

臉書控告兩名烏克蘭開發人員Gleb Sluchevsky及Andrey Gorbachov，利用瀏覽器擴充程式，搜括用戶資訊並竄改臉書的廣告，不只違反美國的電腦詐欺與濫用法案，同時違背了臉書的服務條款。

這兩名開發人員濫用了Facebook Login，在應用程式中要求用戶安裝瀏覽器擴充程式，當使用者造訪臉書與其它社交網站時，再透過這些惡意的擴充程式，搜括使用者的個人檔案資料，並且注入廣告。詳全文

＃資料外洩  ＃雲端設置不當

Box連結共享功能讓近百家企業檔案險曝光

資安廠商Adversis發現，雲端儲存服務Box的檔案共享功能，使企業客戶機密檔案可能因此外洩，傳聞包括蘋果在內等90多家的企業客戶，受到影響。

這些Box企業帳號，不少已有數千份敏感文件面臨曝光的危機。研究人員發現後，本來還打算逐一通知所有受影響的企業，但發現受害單位數量實在太過龐大，於是，他們通知極機密資料已曝險的企業。

研究人員指出，嚴格來說這並不是Box的臭蟲，而Box公司則提醒用戶，企業用戶的管理員帳號，可以嚴格限制共用連結的存取權限，調整為同公司郵件網域的Box帳號持有人，或者僅有獲邀分享的人，才能存取資料。詳全文

＃資料外洩  ＃雲端設置不當

郵件驗證服務資料庫缺乏保護，8億記錄曝光

資安研究人員Bob Diachenko於2月時，發現一個缺乏密碼保護的MongoDB資料庫，當中存放150GB的資料，內有7.98億筆的電子郵件記錄（Email Record），除使用者的電子郵件位址之外，同時包含了用戶姓名、性別，以及電話等。後來，Bob Diachenko證實，前述資料庫來自郵件驗證服務供應商Verifications.io。

Verifications.io則宣稱，這個資料庫存放的是公開資料，而非客戶的資料。不過，該公司還是在接到Bob Diachenko通知的同一天，關閉上述資料庫。詳全文

＃物聯網裝置攻擊  ＃DoS

研究人員揭露飛機上影音系統的DoS漏洞

西蘇格蘭大學網路安全副教授Hector Marco於2月間，搭乘英國航空客機時，發現了機上影音娛樂系統的漏洞。Hector Marco以YouTube影片揭露這項問題：他使用USB無線滑鼠，以複製及貼上手法，輸入大量文字後，導致該系統App當掉，並能被用來發動阻斷服務（DoS）攻擊。這個漏洞，被命名為CVE-2019-9109。

英國航空獲報調查後，則認為上述漏洞不會讓任何有心人士有機可趁，不致影響飛航安全。詳全文

＃聯合防禦  ＃地方政府資安

南部四縣市啟動資安區域聯防計畫

跨縣市整合的聯合防禦措施，是政府資安即國安政策中，重要的一環。自去年新北市、臺北市、基隆市、宜蘭市啟動相關計畫後，今年3月11日，雲林、嘉義縣市，以及臺南市等4個行政區，也正式於嘉義市政府宣布，開始執行區域聯防的跨縣市資安防禦計畫。

嘉義市市長黃敏惠指出，這4個縣市的資安區域聯防，除了各縣市政府與產官學參與，嘉義市議會也會加入資安聯合防護團隊，並給予預算上的全力支持。詳全文

（圖片來源）嘉義市政府

更多資安動態

●NSA發表逆向工程工具包與防範供應鏈攻擊的軟體
●Chrome驚傳已遭濫用的遠端程式碼執行漏洞
●Firefox將加入Tor反數位指紋辨識技術
●汽車防盜系統可被遠端挾持，影響多家廠牌車輛安全