資安一周第144期：威聯通NAS遭勒索軟體攻擊疑似與新的漏洞有關

4/29-5/5 一定要看的資安新聞

＃勒索軟體攻擊  ＃漏洞攻擊  ＃NAS

威聯通NAS遭勒索軟體Qlocker攻擊有了新的進展，疑似與新的漏洞有關

威聯通科技（QNAP）NAS設備遭勒索軟體Qlocker攻擊的事故，該公司最初在4月21日向新聞網站Bleeping Computer表示，他們懷疑與QTS、多媒體主控臺，以及影音串流附加元件的重大漏洞有關，後來，該公司於4月22日指出，另一個漏洞CVE-2021-28799也與這起攻擊有所關連－－這項漏洞是臺灣資安業者如梭世代（ZUSO Generation）在3月通報，存在於提供備份與同步功能的Hybrid Backup Sync套件。

對於Qlocker攻擊，威聯通於4月28日再度提出說明，表明經調查後發現，駭客僅濫用CVE-2021-28799，並利用程式碼內的弱點，非法取得存取權限而得手。

圖片來源：威聯通

＃勒索軟體攻擊  ＃政府機關

華盛頓特區警局遭勒索軟體入侵，駭客以公布線人身分作為要脅

勒索軟體駭客組織鎖定警方下手，攻擊成功後以公布線民個資要脅受害單位支付贖金！勒索軟體駭客Babuk組織於4月26日宣稱，他們入侵華盛頓哥倫比亞特區大都會警察局（MPD），取得超過250GB資料。受害警局亦證實伺服器遭未經授權的存取。

駭客公布部分取得檔案的螢幕截圖，揚言若是MPD在3天內不回應，就會向當地幫派洩露線人資訊。詳全文

圖片來源：The Record

＃供應鏈攻擊  ＃DevOps 

DevOps基礎架構工具廠商HashiCorp成Codecov供應鏈攻擊受災戶

在Codecov事件爆發後，資安業者認為很可能有軟體業者採用相關服務，影響範圍恐怕不只Codecov近3萬用戶。DevOps工具提供商HashiCorp表示，自家GPG私密金鑰已暴露外流，造成SHA256SUM簽章機制受影響，雖調查後沒發現非法使用情況，但已經更換金鑰來預防，同時也表示會持續調查、應變並通知用戶。詳全文

＃殭屍網路  ＃Emotet

全球執法機構自遠端移除殭屍網路病毒Emotet

今年1月下旬，Emotet被歐洲刑警組織（Europol）聯手多國執法機構拿下，為進一步移除相關威脅，當時美國司法部即預告，將定於4月25日遠端清除惡意程式：藉由原本派送病毒的管道，讓Emotet連結的伺服器更新檔案，置換為執法機構所提供的版本。如今也依照當時的規畫，執行清除惡意程式的作業。詳全文

＃殭屍網路

Sysrc-hello殭屍網路增強C2伺服器架構，大量受害電腦成為宿主，以擴展感染規模

資安廠商Lackwork揭露名為Sysrc-hello的殭屍網路，利用已知漏洞散播其具挖礦劫持能力（Cryptojacking）的惡意軟體。攻擊者透過各種媒介散播，針對雲端工作負載（Cloud workloads）的漏洞，並執行注入的遠端程式碼，進而取得最初的存取權。而這些被利用媒介，包括了編程結構框架、開源企業搜尋平臺，以及企業軟體等。詳全文

＃iOS  ＃應用程式追蹤政策 

蘋果釋出iOS 14.5，應用程式追蹤透明化政策正式上路

蘋果的應用程式追蹤透明化政策，也隨著近期正式發布的iOS 14.5上路。日後應用程式必須取得用戶許可，才能夠跨程式或跨網站追蹤，或是分享追蹤資料給其他單位等，並強調若是用戶拒絕被追蹤，開發者仍應提供一致的功能。詳全文

＃macOS  ＃漏洞攻擊

蘋果釋出macOS 11.3

蘋果macOS於4月26日推出11.3版，其中修補的60個漏洞中，最值得留意的是CVE-2021-30657，這項漏洞允許攻擊者繞過Gatekeeper等作業系統內建的防護機制，且已傳出漏洞被用於攻擊行動，無論是採用Intel處理器或M1處理器的Mac電腦，都會受到影響，多名研究蘋果漏洞的資安研究員皆呼籲，用戶要儘速安裝Big Sur 11.3。詳全文

＃應用程式追蹤政策

Google實做疫情追蹤機制存在瑕疵，Android手機恐曝露用戶隱私

能確認手機用戶周遭是否有COVID-19確診人員的系統GAEN，疫情、地理位置、系統資訊可能會被特定平臺的手機洩露。AppCensus的共同創辦人Joel Reardon指出，由於開發GAEN平臺之一的Google採用的流程有瑕疵，可能導致Android使用者與週遭用戶的GAEN資訊曝光。

為何會存在這樣的隱私曝露風險？Joel Reardon表示，原因與Google將GAEN的資訊存放於系統記錄有關，而這些記錄許多Android手機的預裝程式都能存取，一旦有人利用這些預裝程式取得GAEN記錄，不只能推斷手機使用者的健康狀態，還能推測手機使用者與其他人的關係。

Joel Reardon於2月19日通報上述研究成果，但Google認為這不是漏洞而拒絕處理，使得該研究人員決定公開細節來督促Google修補。詳全文

＃金融業  ＃資安法規遵循

證交所修訂重大訊息處理程序，上市公司發生資安事故應揭露於重大訊息

為了強化資安事件重大訊息發布的重要性，並使得法源依據明確，臺灣證券交易所在4月27日傍晚發布公告，修訂重大訊息處理程序，指出已明訂上市公司一旦發生重大資安事件，應對外發布重大訊息。

對於相關修正條文的發布，是在第4條上市公司重大訊息中的第26項規範，正式將資通安全事件明確訂於法規定義需公告的重大情事範圍。詳全文

圖片來源：臺灣證券交易所

＃資安大型會議

臺灣資安大會於5月4日舉行，新增資安人才專區

臺灣最大的資安盛事「Cybersec 2021臺灣資安大會」在5月4日至6日，於臺北南港展覽館二館舉行，總統蔡英文、美國在臺協會處長酈英傑將親臨現場，預計會有超過8千名與會者參加。此次大會有超過200名國內外資安專家帶來多元主題演講，臺灣資安大展展覽規模擴大1.5倍，超過200家國內外領導品牌展出最新解決方案。

有鑑於全球對資安人才迫切需求，本次大會特設「Cyber Talent專區」，串連資安新鮮人與資安育才、用才單位。自2020年推出、廣受好評的「Cybersec Playground資安體驗區」，今年將擴大為7個體驗活動。

更多資安動態

●英特爾與微軟聯手對抗挖礦惡意程式
●殭屍網路Prometei利用Exchange漏洞進行攻擊
●Clop成為2021年第1季前5大勒索軟體駭客組織
●研究DNS快取污染的資安研究員Dan Kaminsky驟逝