資安一周第58期：勒索軟體驚傳大規模攻擊臺灣醫療院所，受害機構達22家

0829-0904 一定要看的資安新聞

＃勒索軟體攻擊  ＃特定目標攻擊

臺灣22家醫療院所驚傳勒索軟體攻擊

8月31日國內傳出10多家醫療院所遭受勒索軟體攻擊，遇害時間自29日凌晨開始，衛生福利部資訊室發出公告，說明初步清查結果，至9月1日止，受到本次病毒影響的機構，共有22家醫院。

衛生福利部資訊室指出，初步查證結果顯示，部分醫院主機被駭客當成跳板，經由VPN網路進行攻擊。因此，他們也已通報國家資通安全會報通報應變網站，並交由調查局協助進行犯罪行為偵察。

同時，衛生福利部資訊室也指出，在這次受害院所當中，有7家已經加入醫療資安資訊分享與分析中心（H-ISAC），而他們也都依照H-ISAC相關規定，完成通報程序。詳全文

＃漏洞攻擊  ＃SSL VPN

臺灣資安業者揭露SSL VPN漏洞，傳出遭濫用而發起攻擊事件

今年7月中旬，來自臺灣的資安業者戴夫寇爾（DEVCORE）研究人員，公開揭露了SSL VPN漏洞，並在8月初舉行的黑帽大會上，該公司Orange Tsai與Meh Chang展示更多細節。值得注意的是，到了8月底，在網路上，開始傳出瞄準該漏洞的攻擊活動，因此，資安業者提醒這些SSL VPN用戶，儘速採取修補行動。

然而，還是有不少企業仍未重視此漏洞而持續曝險。資安業者Bad Packets在8月底警告，他們在網路上部署的蜜罐誘捕系統（Honeypots），偵測到大規模的掃描活動，來源是西班牙的一臺主機，對象為採用Pulse Secure企業SSL VPN服務端點，並鎖定CVE-2019-11510漏洞發動攻擊。

在Bad Packet的統計中，這些被發現會受漏洞影響的Pulse Secure VPN端點，遍及全球121個國家，其中以美國的5,010臺最多，日本1,511臺居次，英國830臺排第三，而臺灣也有217臺。詳全文

圖片來源：Bad Packets

＃資料外洩

Foxit資料外洩曝露用戶密碼

知名PDF工具軟體業者Foxit公告遭到入侵，他們表示，駭客已存取用戶的帳號資料，包括：電子郵件帳號、使用者名稱、密碼、電話號碼、公司名稱，以及IP位址等，因此，該公司也要求使用者重新設定密碼，不過，他們並未公布有多少用戶受到影響，亦未說明這些密碼本身的存放是否透過加密措施保護。

此次遭到入侵的部分為My Account會員系統，Foxit表示，前述系統並未存有用戶的其他支付資訊。而在察覺這次事故之後，該公司已緊急停用可能受影響的所有帳號，並展開全面的鑑識調查，通報執法機構與資料保護單位，亦聘請了第三方安全管理公司來強化安全。詳全文

圖片來源：Foxit

＃憑證濫用

臉書憑證被用來簽發第三方Android程式，疑似外流

Android Police網站經營者Artem Russakovskii指出，過去幾個星期，有多個上傳到APK Mirror的Android應用程式安裝檔案，其中採用的除錯憑證，竟然和臉書Free Basics相同。因此，他指出，若非臉書開放第三方廠商使用，就是不慎外洩。

Free Basics是提供新興國家及美國偏遠地區民眾的免費上網服務，在當地電信業者配合下，提供用戶基本網路內容，以及Facebook Lite和Messenger Lite兩款應用程式。

臉書接獲通報後，將原版的Free Basics下架，換上使用新憑證的版本。但該公司對憑證冒用一事隱而不談，也未通知用戶下載新版Free Basics。對此，Android Police批評，這將可能使舊版用戶陷入安全風險中。詳全文

＃資料外洩 

Imperva資料外洩影響Cloud WAF用戶

專門提供網路安全軟體及服務的Imperva坦承，該公司雲端防火牆產品Cloud WAF客戶的資料外洩，波及部分客戶的電子郵件帳號、加鹽（Salted）的雜湊密碼，以及API金鑰，甚至是客戶所提供的SSL憑證，該公司已採取必要措施以免災情擴大。

目前Imperva正在追查資料如何外洩，因此並未回應，是否因配置錯誤，或是遭到駭客入侵，尚不得而知。也有媒體提出質疑，他們認為，若只影響2017年9月15日以前註冊的客戶，這是否意味著外洩事件已於兩年前發生。詳全文

＃外掛程式亂象  ＃漏洞攻擊

10個WordPress外掛遭駭，被用來建立網站非法帳號

安全廠商Wordfence今年7月發現一波惡意廣告攻擊，駭客利用多個公開漏洞，在WordPress外掛注入JavaScript，植入重新導向及彈出視窗程式碼，讓網站訪客前往惡意或詐欺網站。但8月底廠商發現駭客更換手法，企圖透過駭入外掛後，於網站進行更直接的攻擊行為。

研究人員發現一個由Rackspace代管的網站，不斷對外發出攻擊，目標是網路上特定的公開漏洞，這波攻擊主要影響的WordPress外掛程式，有Bold Page Builder、Blog Designer、Live Chat with Facebook Messenger、WP Live Chat Support、Yuzo、Visual CSS Style Editor、Form Lightbox、Hybrid Composer，以及NickDark。Wordfence在8月初通知Rackspace，請他們處理該可疑網站，但對方並未回應。詳全文

＃挖礦軟體攻擊

挖礦軟體XMRig感染對象擴及x86系統

根據Akamai安全研究人員Larry Cashdollar的發現，有挖礦軟體開始感染更多處理器平臺。他在7月收集到的650個物聯網惡意程式樣本裡，其中有一個副檔名為.GZIP的檔案，是針對x86系統而改寫的XMRig挖礦軟體。而在此之前，這款挖礦軟體的攻擊目標，主要鎖定Arm架構的設備。

Larry Cashdollar警告，網路歹徒會從未設防的系統上挖礦斂財，因此他提醒系統管理員，儘早修補漏洞、關閉不安全的服務，並採用強密碼、雙因素驗證，以及適當的弱點補救方案，減少伺服器被用來挖礦的機會。詳全文

圖片來源：Akamai

＃惡意軟體攻擊  ＃隱私疑慮

間諜程式藏網站入侵iPhone，疑中國監控維吾爾人

Google Project Zero發現，間諜軟體經過多個被駭網站，入侵iPhone手機，時間長達兩年。TechCrunch報導，這波行動目的在監控新疆維吾爾族穆斯林，但一般人連上網站也會遭殃。

雖然Google Project Zero研究並未列出被駭的網站，不過TechCrunch引述相關消息來源提供者的說法指出，這些網站入侵行為是國家支持的攻擊行動，可能是中國，而目標則是新疆維吾爾族穆斯林。由於這些網站可被Google檢索，因此，就算是非維吾爾族iPhone用戶瀏覽這些網站，同樣會被攻擊。這些消息提供者還透露，FBI要求Google將這些網站從索引中移除。

然而，Google、蘋果，以及FBI，皆不願對此事發表評論。詳全文

更多資安動態

●美國數百家牙科診所仰賴的備份公司遭到勒索軟體攻擊
●Google Play將下載次數超過1億的熱門App列入抓漏範圍
●數位教材暗藏惡意程式！23萬篇論文與12萬本教科書遭感染
●4成使用者仍執行即將終止支援的Windows作業系統恐曝險