微軟
1.14-1.20 一定要看的資安新聞
＃供應鏈攻擊
SolarWinds公布供應鏈攻擊事故流程
針對12月爆發的供應鏈攻擊，SolarWinds找上資安業者CrowdStrike，聯手調查事件發生的來龍去脈，並在1月11日公布駭客攻擊的路徑。SolarWinds指出該攻擊的源頭，駭客利用了名為Sunspot的惡意程式。
對於此次攻擊事件的過程，SolarWinds整理出相當詳細的時間表，他們表明駭客於2019年下旬進行測試，到了2020年2月才真正埋入Sunburst後門程式，並於6月初移除程式碼裡的惡意軟體。詳全文
＃漏洞修補
微軟預告2月將進行Zerologon第二階段修補
針對2020年8月微軟首度修補的Zerologon漏洞，該公司近期預告將於2月份的修補星期二（Patch Tuesday），推出第2波更新程式，安裝後，將預設啟動網域控制器的強制執行模式（Enforcement Mode），並使用Netlogon安全通道與安全RPC連線，以因應Netlogon漏洞的隱憂。不過，對於防堵Zerologon漏洞，微軟表示還是同時要安裝8月提供的第1個修補程式。詳全文
圖片來源：微軟
＃網路流量管制 ＃作業系統 ＃macOS
macOS放行蘋果應用程式流量可繞過防火牆惹議，更新版修改相關配置
macOS Big Sur自2020年10月正式推出，不久後，便被多名研究人員發現一些資安作法爭議，因為他們在該作業系統內建的網路功能擴充框架裡，將自家的50餘款應用程式列入排除清單，使得這些應用程式能直接繞過防火牆或是VPN而引發資安風險。而在1月13日發布的macOS 11.2 Beta 2，已移除上述清單。
至於為何當初要排除自家應用程式的網路流量檢測？蘋果表示此為暫時性的配置，而非外界認為的蘋果自肥。詳全文
＃資料外洩 ＃武漢肺炎
駭客盜走的武漢肺炎藥物與疫苗文件已流落網路
歐洲藥品管理局（EMA）針對2020年12月遭到駭客攻擊一事，透露更多資訊。他們指出，此次資料外洩事件的影響範圍為單一IT應用系統，僅部分第三方文件遭到非法存取，而駭客目標就是武漢肺炎相關文件，而這些文件已外流至網際網路上。但該單位強調，對於相關的藥物與疫苗的審核時程，沒有受到本次事件波及。詳全文
＃資料外洩 ＃電玩產業
卡普空攻擊事件恐波及39萬人，包含用戶、員工、合作夥伴
日本電玩製作商卡普空（Capcom）於2020年11月遭勒索軟體入侵，傳出駭客竊取近1TB資料。該公司於1月12日公布調查的結果，指出可能有39萬人個資可能會受到影響。其中，確定已經遭到洩露的資料涉及16,415人，其中，有合作夥伴3,248人，前任員工和相關單位9,164人、以及現任員工和相關單位3,994人。
其他可能受到影響人士，其中包含5.8萬名應試者，他們的姓名、住址、電話，以及電子郵件等也遭到外洩。詳全文
圖片來源：卡普空
＃即時通訊機器人 ＃網路詐騙
俄國駭客濫用即時通訊對話機器人發動詐騙攻擊
近年來歹徒濫用即時通訊軟體進行詐騙的現象，可說是時有所聞，過往歹徒必須自製作案工具，但如今有駭客直接推出相關服務，讓歹徒直接購買使用。俄羅斯威脅情報公司Group IB在部落格發布一項研究報告，揭露一起網路犯罪行動Classiscam，這起行動由使用俄文的駭客發起，透過Telegram對話機器人協助廣告詐騙的歹徒騙到超過650萬美元。受害者遍及美國、歐洲，以及前蘇聯。
這些詐騙集團也冒用歐洲知名電商和物流業者的名義行騙，包含Leboncoin、Allegro、Sbazar，以及FAN Courier等購物網站，還有FedEx與DHL等。詳全文
＃資料外洩 ＃資料庫配置不當
中國行銷業者笨鳥外洩2億社交網路用戶資料
資安產品測試網站Safety Detectives於1月11日指出，他們在騰訊代管的香港伺服器上，發現完全沒加密也不需要認證的Elasticsearch資料庫，內含2.14億名的社交網站用戶個資，包括Facebook、Instagram與LinkedIn，而該資料庫屬於中國行銷業者笨鳥（Socialarks）所有。
在該資料庫所曝光的個人檔案中，超過1.3億人為臉書用戶，逾6,600萬為LinkedIn用戶，以及超過1,000萬名的Instagram用戶。笨鳥獲報後已將資料庫上鎖。詳全文
圖片來源：Safety Detectives
＃漏洞揭露
Windows螢幕鎖定存在特權提升漏洞，可繞過BitLocker機制
逆向工程團隊Secret Club成員Jonas Lykkegård揭露，惡意人士能夠利用螢幕鎖定的旁路漏洞，繞過Windows全磁碟加密功能BitLocker限制，創建具有管理員權限的帳戶。這項漏洞發生的原因，在於螢幕鎖定功能未能正確處理該作業系統的輕鬆存取（Ease of Access）工具，使得攻擊者能透過自動播放功能載入工具來破解系統。
這個漏洞的列管編號為CVE-2020-1398，微軟已釋出修補程式。詳全文
＃漏洞揭露
瀏覽器有旁路資訊洩漏弱點，恐被竊取跨來源圖片資訊
Duolingo資安工程師Aleksejs Popovs公布她在2020年5月通報的瀏覽器漏洞，攻擊者可藉由特製的HTML網頁，竊取不應被存取的跨來源圖片內容。該攻擊的原理是利用瀏覽器繪製不同透明度畫素的時間差，來推斷每個畫素的透明度，進而讀取透明背景中的文字圖片，這項漏洞同時波及Chrome與Firefox。
該漏洞存在於上述瀏覽器所採用的Skia繪圖程式庫。Aleksejs Popovs表示，兩家公司在2020年11月17日都已修補完成。詳全文
＃漏洞修補
GitLab發布更新以修復API存取權杖漏洞
GitLab發布13.7.2、13.6.4和13.5.6更新，這次修補高嚴重性的API存取令牌漏洞，以及多個中度嚴重等級的阻斷服務漏洞，強烈建議使用者更新。
事實上，從GitLab 11.5開始的所有版本，都存在高嚴重性漏洞，可讓惡意攻擊者透過專案靜態網頁模組GitLab Pages，竊取使用者API存取權杖，這個問題是因為GitLab Pages中，對身分驗證參數驗證不足所產生。詳全文
更多資安動態
●歐洲多國警方拿下全球最大網路黑市DarkMarket
●美國政府發布企業建置加密流量DNS解析服務的指南
●研究人員指出iOS與Android裝置未充分運用相關防護機制
●Google再度揭露串連Chrome與Windows的漏洞
熱門新聞
2024-04-17
2024-04-17
2024-04-18
2024-04-15
2024-04-15
2024-04-15