資安一周第74期：挖礦殭屍網路MyKings散布手法更令人頭痛，利用圖像藏惡意程式並上傳公共空間，為殭屍網路提供更新

1219-1225一定要看的資安新聞

＃殭屍網路　＃惡意程式藏身圖片

採礦殭屍網路MyKings將惡意程式藏泰勒絲照片，中國、臺灣與日本都是災區

圖片來源／Sophos

資安業者SophosLabs發現，以Windows伺服器為主要攻擊目標的加密貨幣採礦殭屍網路營運組織MyKings，近期使用了圖像隱碼術（steganography）將惡意的Windows可執行檔嵌入歌手Taylor Swift的照片中，試圖騙過安全偵測軟體的檢查，以部署各種加密貨幣採礦應用程式的更新。SophosLabs提到，MyKings攻擊者會在伺服器安裝一個稱為Forshare的木馬，他們研究發現受感染的端點約有43,900個不重複的公共IP位址，主要散布在中國（18%）、臺灣（11%）、俄羅斯（7%）、巴西（7%）、美國（6%）、印度（4%）與日本（3%）等七個國家。更多內容

＃物聯網安全　＃RSA

在成千上萬的物聯網裝置中，每182個RSA憑證就有1個可被攻陷

專門提供數位身分認證解決案的Keyfactor近日發布了研究報告，他們指出，物聯網（IoT）裝置不僅是韌體安全性受到質疑，還有其他潛在弱點。由於網路上大量的IoT裝置是透過RSA來加密傳輸資料，但它們使用的RSA金鑰也有容易被破解的情況，形成IoT裝置的另一個安全風險。

研究人員解釋，RSA的安全性奠基在第三方很難判斷形成公鑰的兩個隨機質數，但是，他們從許多來源蒐集大量的RSA公鑰，並挖掘出共有的質數，結果，他們發現，在7,500萬個憑證中，有43.5萬個都具備1個共享的質因數，這代表駭客也能重新找到相對應的私鑰，進而利用造成裝置故障或曝露機密資料。更多內容

＃網釣攻擊　＃APT攻擊

數百家製造業者遭網路間諜鎖定，超過一半位於南韓

圖片來源／CyberX

專門提供工業網路安全平臺的CyberX，近期揭露一起網路間諜活動Gangnam Industrial Style。它鎖定數百家工業展開攻擊，以網釣手法偽裝自己來自西門子的子公司、日本大集團的子公司或是買家，在郵件中夾帶惡意的PDF檔案，但該檔案實際上為Separ惡意程式，進而竊取瀏覽器與電子郵件帳密，並搜尋各種文件，以用來發動其他延伸攻擊或竊取專利技術，目前已知受害的企業，有57.4%位於南韓，也有接近13%位於泰國。更多內容

＃非法存取　＃離職員工

英國Jet2航空遭駭是其供應商前員工所為，該嫌被判刑10個月

圖片來源／擷取自NCA

一名27歲的英國男子Scott Burns因非法存取英國Jet2航空公司的電腦系統並刪除資料，而在2018年的2月初遭逮捕，最近被宣判10個月的刑期。根據英國國家犯罪局（NCA）的調查，Burns原本任職於Jet2的資訊服務供應商Blue Chip，握有Blue Chip登入Jet2網路的帳號，直到2017年12月離職。不過，Burns在隔年1月3日入侵了Jet2網路，接著在1月18日展開報復攻擊──他移除了Jet2系統上儲存所有使用者帳號的文件夾，使得超過2千名的Jet2員工無法登入網路及存取郵件，且時間長達12小時。更多內容

＃軟體更新安全

軟體更新安全規範The Update Framework從CNCF孵化器畢業，可獨立運作並以受多家大型企業採用

圖片來源／擷取自The Update Framework

在10年前，有一項可確保軟體更新安全的開源規範The Update Framework（TUF）專案啟動，當時，由美國國家科學基金會和美國國土安全部資助開發，在2017年被CNCF基金會接受為孵化器專案，此後便成為保護軟體更新系統的標準，受到AWS、Google、Cloudflare、微軟、Docker、IBM、紅帽與VMware等大型企業採用。

最近，TUF已經達到CNCF（Cloud Native Computing Foundation）基金會的專案畢業狀態，而它也是第一個從CNCF畢業的規範專案。CNCF技術長表示，現在開源軟體無所不在，並且在許多裝置上持續更新，而TUF在軟體供應鏈上將扮演重要的角色。更多內容

＃軟體漏洞

Dropbox含有可取得系統權限的安全漏洞

圖片來源／Decoder

近期，資安研究人員Decoder公布Windows版Dropbox用戶戶端程式的安全漏洞，將允許駭客取得Windows的SYSTEM權限以執行任意程式。

具體而言，該漏洞並非存在於Dropbox用戶端程式本身，而是發生在Dropbox用來檢查及執行更新的DropBoxUpdater元件。這個漏洞是由Decoder與Chris Danieli在今年9月發現並通報，當時Dropbox承諾要在10月底修補，經過90天緩衝期後，仍未完成修補，因此Decoder選擇公布漏洞細節。不過，專門打造微修補程式的0patch，已經釋出了暫時性的免費修補套件。更多內容

＃商業電子郵件詐騙

以BEC手法假冒廣達向Google及臉書收款，立陶宛男子被判5年徒刑

圖片來源／擷取自美國司法部

之前，臉書、Google曾遭商業電郵詐騙手法攻擊，對方是假冒為臺灣代工業者廣達的立陶宛男子Evaldas Rimasauskas，該嫌在2017年3月被立陶宛當局逮捕，並在同年被引渡到美國，到了2019年3月該嫌認罪，最近則被美國司法部判處5年刑期。紐約曼哈頓的聯邦檢查官Geoffrey Berman表示，Rimasauskas向美國業者詐騙超過1.2億美元，再將這些資金轉往全球各地的銀行帳號，但這起橫跨全球的高科技犯罪，最後還是須在美國服刑。更多內容

＃資料外洩

加拿大醫療實驗室LifeLabs遭駭客入侵，付錢買回客戶資料

圖片來源／擷取自LifeLabs

近日，位於加拿大的一所醫療實驗室LifeLabs，對外揭露遭到駭客入侵，對方在今年的11月1日擅自存取了該實驗室的電腦系統，內含約1,500萬名客戶資料與實驗室測試結果。根據LifeLabs的說明，察覺遭到入侵的當天，它們就向當地的隱私保護機構報告，同時透露駭客還向該實驗室要求贖金，以換回客戶資料。而該實驗室已透過安全專家與駭客協商，並支付了贖金。但就算如此，也難以確保駭客不會複製或濫用所盜走的資料，所以，LifeLabs亦宣布將針對受影響的客戶，提供身分竊盜及詐騙保護保險。更多內容

＃手機隱私安全　＃GPS位置分享

行動程式商出售的手機GPS匿名記錄，能拼湊出用戶真實身分

圖片來源／NewYork Times

美國允許行動程式業者可將經用戶同意而收集的手機GPS記錄，販售給坊間資料公司，這些資料可能來自於天氣、新聞或優惠券等App，以及任何要求使用者分享位置的程式。雖然這些GPS記錄標榜匿名且安全，然而，紐約時報近日取得了一份內含1,200萬支手機GPS歷史記錄的資料庫，他們發現，就算這些資料是匿名的，但當手機用戶每天上班，同時，他隨身的手機同樣跟著每天從甲地移動到乙地時，如此一來，幾乎就能辨識手機主人的身分，隨後即可追蹤該人的足跡，建立特定對象的移動路徑。為突顯其嚴重性，紐約時報又從這批合法資料中，利用美國總統隨扈手機分享給第三方程式的位置資訊，間接掌握川普的活動足跡。更多內容 更多內容

＃網路攻擊

民進黨DNS伺服器遭攻擊，官方網站、郵件系統停擺

總統、立委大選將至，近日民進黨黨部網域伺服器傳出遭到攻擊，該黨的官方網站、郵件系統、會計系統等都無法使用，國內多家媒體報導此事。根據風傳媒的報導，這起事件發生在12月17日的上午8點20分，直到下午3點，伺服器才恢復正常，民進黨祕書長羅文嘉表示，經調查，攻擊者的IP位址是登記在臺灣境內的僑外資公司，後續他們與其確認後，對方表示，其網路位址遭到冒用。
 

更多資安動態
●本田汽車的Elasticsearch資料庫又配置錯誤，這次是2.6萬名車主資訊曝光
●FBI警告企業留意LockerGoga與MegaCortex勒索軟體
●微軟緊急修補SharePoint漏洞
●今年美國有超過1,000所學校遭勒索軟體波及
●FBI警告：出外旅遊應謹慎使用免費Wi-Fi
●Citrix修補遠端程式攻擊漏洞