0326-0401一定要看的資安新聞

＃雲端視訊會議安全

雲端視訊Zoom的安全疑慮成議論焦點

圖片來源／擷取自Ling-Jyh Chen's Blog

多年前雲端視訊會議興起，Zoom在多家新創競爭業者中脫穎而出，隨著近期Work From Home的需求更受注目，然而，這家成立於美國矽谷，華裔創辦人背景的公司，近期在資安議題備受關注。

對於Zoom的資安疑慮，近日有中央研究院學者在部落格上整理出正反方的意見，雖然當中並無揭露具體事證，但從用戶角度出發，提出了使用上的安全注意事項，在網路上受到大量關注。這篇文章的作者，是中研院資訊服務處呂紹勳與資訊科學所研究員陳伶志，他們表示，從軟體漏洞與會議密碼設定來看，這是普遍存在多數應用中的問題，真正令人擔心之處，主要是因其開發團隊皆在中國境內，而長久以來，中國政府對於境內高科技公司的掌控與插手程度，不免讓人懷疑。另一方面，他們也提及Zoom在官網上公布其政府版的軟體，獲得美國政府部門採購與認證，理論上可足以證明其安全無虞，因此，建議可以從此政府版網頁下載。

本周Zoom也被爆出與臉書共享用戶資料，後續該公司緊急撤下臉書SDK，將隱私問題責任推卸給微軟，但也證實確有此事。附帶一提的是，近日還有Zoom漏洞與相關攻擊趨勢的問題要特別留意。更多內容 更多內容

＃作業系統漏洞　＃RCE

微軟警告Windows出現RCE重大漏洞，已偵測到攻擊活動

圖片來源／擷取自微軟資安公告

微軟在3月23日發出資安通報，警告Windows一項元件存在2個重大遠端程式碼執行（RCE）漏洞，並偵測到已經有駭客發動攻擊。

根據微軟說明，該重大漏洞發生於Windows內建的Adobe Type Manager Library（ATMFD.dll）元件中，當它處理經刻意改造的文字過程會發生錯誤。在攻擊方式上，對方若引誘使用者開啟惡意文件，即可觸發，在Windows窗格預覽也會中招。由於微軟要到下個月才會修補，因此，他們建議用戶，可先關閉檔案總管中的預覽窗格及詳細內容窗格，或是直接關閉WebClient服務，以封鎖最有可能的遠端攻擊途徑。更多內容

＃網路攻擊　＃APT41

中國駭客大肆攻擊全球Citrix、Cisco與Zoho漏洞

美國資安業者FireEye指出，專門替中國政府從事間諜行動的駭客集團APT41，並未因武漢肺炎疫情的爆發而偃旗息鼓，在1月20日到3月11日期間，針對幾個已知漏洞展開大規模攻擊，包括鎖定Citrix NetScaler/ADC的CVE-2019-19781漏洞，ManageEngine Desktop Central的CVE-2020-10189漏洞，以及思科路由器的CVE-2019-1653與CVE-2019-1652漏洞，並在相關的設備與服務植入後門，波及全球逾20個國家的設備或系統。FireEye指出，這些漏洞都是最近半年內才被揭露或修補，顯示APT41集團的資源豐富與動作迅速。更多內容

圖片來源／FireEye

＃個資外洩　＃供應鏈安全

美國奇異員工資料外洩，原因是外包商Canon被駭所累

圖片來源／擷取自GE公告

在3月20日，美國奇異（GE）發出資料外洩公告，指出提供文件管理服務的外包商Canon發生資安事件，導致部分員工的重要個資外流。

關於這起事件，發生在Canon提供的Canon Business Process Services服務。奇異在2月28日接獲Canon通知，指出2月3日到14日，出現未經授權存取的情況，被駭客取得的帳號中，存取奇異部份員工、前員工相關文件。更多內容

＃iOS漏洞　＃VPN安全

iOS平臺存在VPN繞過漏洞，無法加密所有連線

圖片來源／ProtonVPN

VPN服務供應商ProtonVPN近日指出，蘋果的iOS作業系統含有VPN繞過漏洞，而無法將所有流量加密，很可能會曝露使用者的IP位址，以及使用者所連結的伺服器IP位址，由於該漏洞影響iOS 的13.3.1版至最新的13.4版，且蘋果尚未修補，因此用戶可要特別注意。特別的是，原本ProtonVPN計畫遵循責任揭露政策，給予蘋果90天的修補時間再公布漏洞，但該公司後來改變主意，決定提前公布，因為他們認為，VPN社群與其他的VPN服務供應商，應該要儘速知道該漏洞的存在，因為這對於那些身處極權國家或經常受到監控的用戶，會是個重大的安全風險。更多內容

＃臺灣漏洞通報現況

HITCON ZeroDay漏洞通報趨勢公開，僅2成企業積極處理

資料來源／HITCON ZeroDay，iThome整理

對於臺灣漏洞通報情形，這四年來，HITCON ZeroDay每隔一段時間就會公布國內的通報趨勢，近日iThome獨家取得最新年度統計數據，以瞭解最新近況。以2019一整年來看，SQL Injection、XSS漏洞仍然是臺灣網站最常見的漏洞類型，而檔案下載漏洞與弱密碼的問題，增加幅度明顯，是最大的變化。特別的是，今年報告中新增加了更具體的產業別統計，其中教育業、製造業的通報數量最高。更多內容

＃木馬程式

Corona防毒軟體其實是惡意木馬

圖片來源／Malwarebytes

以武漢肺炎資訊的詐騙與網釣攻擊不斷，資安業者Malwarebytes警告，近期又有聲稱是哈佛科學家打造的防毒程式，名為Corona Antivirus，放在網站上供人下載，離譜的是，該網站描述用戶只要安裝這個防毒軟體，就能抵擋實際的武漢肺炎病毒。目前並不確定是否有人相信這個荒誕的說法受騙，而根據Malwarebytes研究人員的說明，當使用者安裝了這個防毒軟體後，就會受到BlackNET RAT的感染。更多內容

＃軟體漏洞

Adobe Creative Cloud桌面應用爆漏洞，可造成檔案被刪除

圖片來源／擷取自Adobe官方部落格

Adobe PSIRT團隊在3月24日發出警告，該公司Creative Cloud的Windows桌面應用程式存在重大漏洞，若是被成功利用，將可任意刪除現有帳號用戶的檔案。目前，Adobe已釋出5.1版修補，呼籲用戶更新。關於這次的漏洞CVE-2020-3808，是由華南理工大學與Netlab 360的研究人員所發現通報，是CVSS 3.1評為5.9分的漏洞，漏洞類型為競爭條件（TOCTOU）漏洞，當兩個程序共享同一資源發生競爭時，具有權限的程序優先使用檔案，攻擊者將可用其他指令影響該程序。更多內容

＃簡訊詐騙

口罩2.0網路預購之際，又出現一波假冒快遞的通知簡訊

圖片來源／內政部

以包裹為名義的詐騙簡訊時有所聞，近日口罩實名制2.0網路預購服務上路，不少民眾又收到這類簡訊，內容是「包裹已派發，請您及時查收」，並附上短網址連結。對此，內政部與165反詐騙在臉書粉絲專頁提醒，民眾收到這樣的詐騙簡訊勿點開，口罩2.0系統不會用簡訊通知民眾，這是詐騙集團假冒快遞公司發送簡訊的行為。

若民眾已經不小心點擊該連結，他們提出3項因應作法，首先聯繫電信業者，告知點擊不明簡訊連結並要求關閉手機小額付費功能；其次是聯繫信用卡公司，查詢是否遭盜刷；第三則是將手機備份後，重置或回復原廠預設。更多內容

＃DVR漏洞　＃DDoS

資安業者揭露利凌企業DVR漏洞，指出多個攻擊組織透過產品零時差漏洞傳播殭屍網路

圖片來源／擷取自利凌企業

不只是監控攝影機，近期視訊監控錄影主機（DVR）遭駭事件不斷，淪為DDoS攻擊來源，最近奇虎360旗下的網路安全研究實驗室（Netlab），揭露利凌企業（Lilin）的數款DVR存在多項漏洞，他們指出，近半年來已有多個網路組織，利用這些產品的零時差漏洞，散布殭屍網路，該研究中並提到殭屍網路的攻擊趨勢正改變，不再是過去多是使用已知漏洞入侵。利凌企業在收到通報後，已經提供修補，並說明該漏洞是CVSS v3.1評估最高風險10分的漏洞，影響旗下DHD5、DHD3與DHD2系列等DVR設備，估計影響數量達13,062臺，提醒用戶應儘速更新。更多內容
 

更多資安動態
●出現鎖定香港iPhone用戶的水坑式攻擊，透過iOS漏洞將間諜軟體LightSpy植入手機
●蘋果改善WebKit的智慧追蹤預防功能，Safari將預設封鎖所有第三方Cookie
●2019政府網路攻防演練結果大公開，無效存取控管及身分認證的弱點排名提升
●Zoom遭爆與臉書共享用戶資料，官方緊急拿掉臉書SDK辯不知情
●【iThome 2020 資安大調查】資安投資回穩，防護布局多元化
●駭客新招術，偽裝成網購Best Buy包裹送禮券與惡意USB隨身碟到你家