資安一周第127期：部分合勤網路與資安設備含有程式碼寫死的漏洞。Go語言蠕蟲鎖定網路伺服器散布挖礦程式

2020.12.31-2021.1.6 一定要看的資安新聞

＃漏洞揭露

部分合勤網路與資安設備含有程式碼寫死的漏洞

荷蘭資安業者Eye Control在2020年11月，發現臺灣網通設備製造商合勤（Zyxel）釋出的韌體含有後門帳號，同時影響多款防火牆及AP控制器產品，可能波及逾10萬臺合勤裝置，呼籲合勤用戶應儘速更新韌體。

含有此項漏洞的韌體為ZLD 4.60版，適用於該公司旗下多個系列防火牆，包含ATP、USG、USG FLEX，以及VPN系列，另有2款AP控制器NXC2500及NXC5500也受到影響。合勤在12月提供防火牆相關修補程式，AP控制器的部分預計在1月8日推出。詳全文

圖片來源：兆勤科技

＃惡意程式

以Go語言撰寫的新蠕蟲，鎖定Windows與Linux伺服器散布挖礦程式

雲端資安業者Intezer於12月29日，揭露以Go語言撰寫的新蠕蟲，它同時針對Windows與Linux伺服器展開攻擊，鎖定採用弱密碼且存在於公開網路上的應用系統，包括MySQL、Tomcat、Jenkins，以及WebLogic等，暴力破解管理者密碼，然後植入挖礦程式XMRig。

由於Go語言具有支援跨平臺開發的特性，Intezer也警告，2021年將會出現以這種程式語言開發，而且同時鎖定不同平臺的惡意程式。詳全文

＃協作平臺  ＃漏洞揭露

Google Docs漏洞可讓駭客劫持文件

因提供回報意見的功能存在漏洞，竟能讓他人對Google Doc用戶的文件拍下螢幕截圖來竊密。在12月27日，資安研究人員Sreeram KL揭露他向Google於7月通報的漏洞，攻擊者只要在外部網站使用iFrame嵌入Google Docs文件，劫持傳送回饋的iFrame，攻擊者就能藉此取得這個文件的螢幕截圖。Google也頒發了3133.7美元的抓漏獎金給這名研究人員。詳全文

圖片來源：Sreeram KL

＃圖像驗證機制

研究人員破解reCAPTCHA語音驗證

針對reCAPTCHA提供盲人使用的語音驗證機制，再度被研究人員找到方法繞過。電腦科學研究人員Nikolai Tschacher，使用了美國馬里蘭大學研究團隊開發的unCAPTCHA 2.0為基礎，藉由Google提供的Speech-to-Text API，破解reCAPTCHA第2版，成功機率高達97%。詳全文

＃資料外洩

T-Mobile資料庫被駭，20萬用戶電話號碼外流

美國第三大電信業者T-Mobile坦承客戶資料庫遭駭，包含電話號碼及通話記錄等資訊外洩。該公司網路安全部門發現，該公司系統遭到非經授權的惡意存取，致使部分用戶帳號中的客戶專屬網路資訊（CPNI）被不法存取。該公司表示，他們已在發現時切斷惡意活動，且已展開調查並通報執法機關。

究竟有多少人受害？T-Mobile告訴Bleeping Computer，受影響用戶比例小於0.2%。根據T-Mobile宣布於11月突破1億用戶來看，此起事件估計約有20萬名用戶受到影響。詳全文

＃資料外洩  ＃國家級攻擊

芬蘭國會傳駭客入侵，議員電郵遭不法存取

芬蘭政府於12月28日發出公布，指出他們在秋天遭到網路攻擊，導致部分國會議員及員工電子郵件帳號遭到存取。根據新聞網站Euronews報導，2020年芬蘭政府曾遭到多次網路攻擊，導致網站關閉數小時，但這次由於攻擊目標的特殊性，警方朝疑似大規模駭客及間諜行動方向偵辦，並研判駭客的動機，是出於外國政府利益或對芬蘭造成損害。而此起事件是繼8月挪威國會遭駭後，北歐第2起國會網路遭駭的事件。詳全文

＃資料外洩  ＃供應鏈攻擊

美國安泰人壽近50萬客戶個資曝險，起因是合作廠商員工郵件帳號被駭

眼科醫療服務及眼鏡設備銷售商EyeMed發出公告，指出他們於7月1日，發現該公司一名員工電子郵件帳號被駭，隨後攻擊者向此帳號的聯絡人發送釣魚信件，由於EyeMed是美國安泰人壽（Aetna）合作的醫療服務廠商，這起網路攻擊可能導致近50萬名安泰保戶個資外洩。

這家眼科服務商表示，攻擊者可能也存取了這些保戶的個資，以及部分帳號的社會安全號碼、財務資料，以及醫療診斷資料等。詳全文

＃勒索軟體攻擊

加拿大國營運輸業者遭勒索軟體攻擊，多項服務尚未復原

在加拿大溫哥華地區提供公共運輸服務的國營企業TransLink，2020年12月遭到勒索軟體攻擊，儘管並未實際影響運輸服務，但許多網路服務仍未恢復正常，包括即時GPS服務、巴士追蹤服務，以及檢舉系統等。

外界從曝光的勒索信件中推測，TransLink是受到Egregor勒索軟體的攻擊，CyberSC負責人Dominic Vogel向溫哥華太陽報表示，這家公司對於事件流程的揭露非常不透明，並呼籲該公司應儘速向納稅人交待。詳全文

＃謊報攻擊  ＃物聯網資安

美國駭客劫持物聯網裝置並用來發動謊報攻擊事件頻傳

隨著直播成為新興的資訊傳播模式，資安問題也跟著浮現。美國聯邦調查局（FBI）於12月29日提出警告，呼籲使用者確保連網攝影機及影音設備的安全，以免遭到惡意人士劫持發動謊報攻擊（Swatting Attack）。

FBI指出，最近有人利用受害者的智慧聯網裝置發動謊報攻擊。攻擊者先找到受害者外流於網路上或失竊的郵件密碼，來登入使用同組密碼的視訊攝影機裝置，然後打電話給911謊稱受害者家中有犯罪事件。等警方破門而入時，歹徒再透過攝影機觀看取樂，或是利用影音裝置和警方互動，不少人還在社群平臺串流直播相關過程。詳全文

＃漏洞修補  ＃行動裝置  ＃供應鏈攻擊

台灣大哥大引進中國白牌手機貼牌銷售，驚傳資安漏洞

台灣大哥大的自有品牌手機Amazing A32，在生產製程階段被植入惡意程式，使得詐騙集團可濫用使用者的門號，作為詐騙遊戲點數的人頭帳號。台灣大哥大近日也宣布召回計畫，並提供更新韌體或是更換手機折抵方案。

由於這款手機是中國代工製造，本次事件也引起國家通訊傳播委員會（NCC）的高度重視，表示日後針對此類以臺灣品牌銷售的中國白牌手機，將採行更嚴格的管理措施。詳全文

圖片來源：台灣大哥大

更多資安動態

●Linux之父認為中央處理器ECC功能應普及，以防範Rowhammer
●日本川崎重工揭露資料外洩事件，呼籲防範網釣郵件攻擊
●分散式金融保險業者Cover Protocol被駭，幣值大跌75%
●Ticketmaster駭入對手網路，遭罰款千萬美元