資安一周第100期：臺廠指紋掃描與監控設備出現重大漏洞。高科技產業再傳網路攻擊事件。

0625-0701 一定要看的資安新聞

＃漏洞揭露

奇偶科技遭爆裝置含有安全漏洞，用戶指紋可被盜走

隨著連網裝置的安全逐漸受到重視，廠商處理漏洞的能力也引起關注。例如，瑞士備份廠商Acronis揭露，他們去年執行例行性網路安全稽核的過程中，發現臺灣指紋掃描與視訊監控設備製造商奇偶科技（GeoVision）生產的裝置，含有4個重大漏洞，將允許駭客竊取用戶指紋，至少有6款設備受到波及，Acronis先於8月通報奇偶，12月也通知了臺灣電腦網路危機處理暨協調中心（TWCERT/CC）。

但直到今年6月26日為止，從TWCERT/CC的公告來看，奇偶已發布新版韌體修補3個漏洞，相關韌體資訊卻並未出現在該公司網站上，而且仍有1個漏洞修補狀態不明。Acronis表示，通報至今他們沒有收到奇偶的回應。詳全文

圖片來源：臺灣電腦網路危機處理暨協調中心

＃高科技產業

臺灣電子產業又傳資安事件，PCB大廠欣興公告部分系統遭病毒感染

最近兩個月內，臺灣電子產業頻頻傳出資安事件，在力成、盟立之後，PCB大廠欣興電子也於6月29日，在臺灣證券交易所發布即時重大訊息，證實有部分資通訊系統在當日凌晨遭病毒感染，至今仍未清楚影響範圍。詳全文

＃應用程式安全  ＃隱私侵犯  ＃iOS 14

53款iOS應用程式任意讀取剪貼簿內容，3個月後依然故我

隨著新版作業系統加入的安全機制，也將應用程式濫用存取權限的情況攤在陽光下，讓用戶更直接得知有關的異常情形。例如，今年3月，研究人員Talal Haj Bakry與Tommy Mysk，揭露有53款知名的iOS應用程式，會存取剪貼簿的文字內容。而到了蘋果在6月WWDC大會發表的iOS 14測試版，也加入相關行為的偵測功能，一名開發者Ryan Jones升級iOS後進行測試，發現事隔3個月，不少上述的應用程式開發者尚未處理相關問題。

這些應用程式包含了中國影音軟體抖音（TikTok）、即時通訊軟體微博（Weibo），也不乏美國媒體的新聞App，像是華爾街日報、紐約時報、經濟學人（Economist）、Fox News，以及美國公共電視（NPR）等。詳全文

影片來源：Ryan Jones

＃國家安全

以國家安全為由，印度宣布封鎖抖音與微信等59款中國程式

隨著最近印度與中國在邊界不斷爆發衝突，印度軟體開發商推出Remove China Apps，廣泛得到了當地民眾響應，紛紛移除中國軟體，最近印度當局也以國家安全為由出面封鎖，例如，印度資訊技術部在6月29日宣布封鎖59款應用程式，原因為這些程式危及印度主權與完整性，而且影響該國國防。儘管新聞稿通篇未提「中國」，但被封鎖的59款程式全都來自於中國開發者，包括抖音（TikTok）、微信（WeChat）、百度地圖、小米社區，以及多個QQ產品等。詳全文

圖片來源：印度資訊技術部

＃國家級攻擊

澳洲總理警告當地正遭受國家級駭客的攻擊

在6月26日，澳洲總理Scott Morrison出面警告，當地的官方與民營組織正被國家級駭客鎖定，由於駭客的目標相當廣泛，涵蓋政府部門、工業、政治組織、教育，以及醫療單位，他希望各大組織要加強戒備。當地媒體The Australian與ABC News也引述官員的說法，認為攻擊者應該是由中國政府資助的駭客。詳全文

＃資料外洩  ＃供應鏈攻擊

全美200所警局機密資料在網路上曝光

隨著佛洛依德事件在美國持續發酵，因執法過程及方式不當，警方也成為各界攻擊的目標。例如，最近Distributed Denial of Secrets（DDOS）組織公布近300GB資料，宣稱來自於全美逾200所警局，以及警方的情資整合中心，內容包含了各種執法報告、安全公告，以及執法指南等，DDOS將這批資料命名為BlueLeaks。資安部落客Brian Krebs向美國國家情資整合中心協會（NFCA）求證，取得內部分析結果，證實這些資料的確是來自當地警方。NFCA推測，資料外洩的來源可能是網頁維護業者Netsential，因為美國許多執法單位都是他們的客戶。詳全文

圖片來源：Distributed Denial of Secrets

＃漏洞揭露

嵌入式TCP/IP函式庫爆Ripple20漏洞，影響數十億連網裝置

以色列資安顧問公司JSOF揭露Ripple20漏洞，這些漏洞存在於Treck所開發的嵌入式TCP/IP函式庫，由於該公司產品受到廣泛採用，從HP、Schneider Electric、Intel、Rockwell Automation、Caterpillar，以及Baxter等都是Treck的客戶，再加上工業、醫療，以及能源產業等許多領域的裝置，普遍採用該公司的函式庫，因此估計全球至少有數十億的連網裝置受到波及。

Ripple20包含了19個漏洞，其中有4個是重大漏洞，允許駭客執行遠端程式攻擊。詳全文

＃武漢肺炎  ＃勒索軟體攻擊

勒索軟體冒充武漢肺炎接觸追蹤App誘騙用戶上鈎

惡意程式作者又來趁火打劫。在武漢肺炎疫情稍微趨緩，各國相繼解除封鎖並釋出患者接觸追蹤App之際，竟有勒索軟體冒充這類App誘騙用戶下載。加拿大當局最近宣布，武漢肺炎患者追蹤應用程式即將開發完成，預計最快於下個月在安大略省試行，但資安廠商ESET發現，有人搶先一步，冒用加拿大衛生主管機關Health Canada的名義，發布這種疫情追蹤的App，但這其實是鎖定Android裝置的勒索軟體CryCryptor。

研究人員推測，CryCryptor能夠成功發動攻擊，是經由Android系統上的一個元件匯出不當漏洞，不知情的用戶一旦安裝上述的軟體後，裝置上常見檔案就會被加密。對此，ESET也提供解密工具並通知加拿大當局。詳全文

＃物聯網裝置安全

8萬臺印表機連接埠曝露在公開網路，臺灣曝險數量全球第三

近期印表機被駭事件時有所聞，對此，非營利安全促進基金會Shadowserver進行研究發現，印表機的網際網路列印協定連接埠（IPP），全球至少有8萬臺曝露於公開網路上，而可能被遠端駭入，南韓、美國，以及臺灣是曝險印表機數量最多的國家，分別有3.6萬臺、7,900臺，以及6,700臺。

該基金會指出，這些印表機有很大的比例，在他們查詢呼叫的過程裡，回傳了額外的印表機資訊，包括印表機名稱、地點、型號、韌體版本，以及所屬組織單位，甚至還有的會提供印表機無線網路SSID名稱等。研究人員提醒用戶，最好加裝防火牆並且啟動存取驗證機制，以免印表機成為駭客下手的目標。詳全文

更多資安動態

●駭客鎖定Exchange伺服器已知漏洞發動攻擊
●Bitdefender防毒軟體遭爆含有遠端程式攻擊漏洞
●結合DDoS與挖礦能力的惡意程式鎖定多項軟體漏洞
●微軟新版Edge疑似偷取其他瀏覽器的用戶設定惹議