資安一周第167期：臉書大當機7小時。資安人員揭露新的UEFI攻擊手法

10/7-10/13必看資安新聞

＃社群網站  ＃網路服務中斷

臉書大當機7小時，起因是日常維護出錯

在臺北時間10月5日清晨，臉書發生這幾年最嚴重的當機事件，全球的臉書服務同時斷線，涵蓋Facebook、Instagram與WhatsApp，影響全球逾35億用戶，且持續近7小時。臉書公布詳細的肇事原因，表示一切都是從例行性維護出錯所引發的骨牌效應。

事情發生的經過，是在5日凌晨，臉書工程師執行例行性維護，不小心切斷骨幹網路的所有連結，導致該公司全球資料中心同時斷網。因網路斷線與內部工具失效等因素，工程師必須到資料中心手動排除異常，而這些軟硬體系統的安全存取規則，也拖慢臉書修復的腳步。詳全文

＃UEFI  ＃韌體攻擊  ＃Secure Boot

惡意程式設法關閉UEFI安全開機功能，並被用於間諜攻擊

資安業者ESET於10月5日揭露新的惡意軟體ESPecter，它藉由EFI系統磁區（ESP），而能持續在受害電腦運作，讓攻擊者得以繞過Windows的驅動程式強制簽章機制（DSE），進而載入未簽章的驅動程式，以便進行其他攻擊行動。

針對這樣的攻擊手法，研究人員呼籲，使用者要嚴加防範：電腦要使用最新版本的韌體，並確定安全開機（Secure Boot）功能開啟，再者，使用者也要留意特殊權限的管理，避免高權限帳號遭到攻擊者濫用。詳全文

圖片來源：ESET

＃UEFI  ＃韌體攻擊  ＃間諜軟體

老牌間諜程式FinSpy透過惡意韌體啟動器，植入Windows電腦

資安業者卡巴斯基揭露，惡名昭彰的間諜軟體FinSpy（又被稱為FinFisher或Wingbird），駭客開始納入UEFI惡意啟動工具（Bootkit），使得攻擊行動更加的隱密而不易被察覺。

攻擊者一旦利用FinSpy，可竊取受害電腦的各種資料，像是作業系統資訊、瀏覽器與VPN的帳密、搜尋歷史記錄，以及Wi-Fi的密碼等。詳全文

＃國家級駭客

近一年6成國家級駭客攻擊來自俄羅斯

微軟於10月7日發布《數位防禦報告》（Digital Defense Report），蒐集了從2020年7月到2021年6月間，所觀察到的駭客行動。根據該報告，最積極的國家級駭客來自俄羅斯，占所有國家級攻擊的58%，居次的是北韓的23%，伊朗占了11%，還有8%來自中國。

微軟指出，俄羅斯駭客不僅活動頻繁，且其成功入侵比例從前一年的21%，成長到32%。同時俄羅斯也對蒐集情報愈來愈感興趣，且絕大多數的攻擊對象牽涉到外交政策、國家安全與國防領域，涵蓋美國、烏克蘭，以及英國組織。詳全文

圖片來源：微軟

＃漏洞修補  ＃iOS

蘋果修補已被濫用的安全漏洞

蘋果於10月11日釋出了iOS 15.0.2與iPadOS 15.0.2，此次的更新主要是解決了部分臭蟲，並且修補已遭駭客濫用的CVE-2021-30883安全漏洞。

對於CVE-2021-30883漏洞，蘋果表示，它可能允許應用程式以核心權限執行任意程式，而且已經遭到濫用，該公司藉由改善記憶體處理修復此記憶體毀損問題。資安研究人員Saar Amar也揭露有關分析及概念性驗證（PoC）程式，並認為該漏洞很可能會被用於越獄。詳全文

＃資安防護措施  ＃VBA

微軟將關閉Excel 4.0巨集確保用戶安全

微軟宣布更新Microsoft 365 Excel Trust Center巨集的設定，預設關閉Excel 4.0巨集。這項配置，微軟預計10月底會先開始部署到Insider-Slow通道；目前通道（Current Channel）11月初將開始部署；最後，每月企業通道（Monthly Enterprise Channel）版本，則預計於12月開始及完成部署。詳全文

＃影音串流平臺  ＃資料外洩  ＃組態配置不當

Twitch資料外洩原因出爐，配置錯誤闖禍

藉由網路論壇，駭客日前釋出了竊自遊戲影片串流平臺Twitch資料，而Twitch也證實該平臺被駭，並在10月6日公布原因。他們指出，是因為伺服器的配置變更錯誤所造成，而讓第三方得以存取內部伺服器。迄今Twitch仍在調查受影響的範圍，為了謹慎起見，Twitch已經重置了所有的串流金鑰。

根據新聞網站《Motherboard》的報導，駭客所揭露的安全工具是舊的，原始碼也沒有太多的機密，而影響最大的用戶可能是直播主──因為，網路上開始有人公布直播主的收入，而這些資訊可能讓他們成為駭客攻擊的目標。詳全文

＃APT攻擊  ＃RAT

ShellClient木馬鎖定全球航太與電信產業發動攻擊

資安業者Cybereason於10月6日，揭露名為GhostShell的攻擊行動，駭客運用從未被發現的RAT木馬程式ShellClient，攻擊全球的航太產業與電信公司。

針對攻擊者的意圖，Cybereason指出，主要是竊取組織的關鍵資產、基礎設施，以及所持有的技術等敏感資料。至於攻擊者鎖定的攻擊範圍，研究人員認為主要是中東地區，但在美國、俄羅斯，以及歐洲也有受害組織。詳全文

圖片來源：Cybereason

＃勒索軟體攻擊  ＃虛擬化平臺

勒索軟體鎖定VMware ESXi下手，運用Python程式碼快速加密虛擬磁碟

資安業者Sophos在10月5日，揭露一起使用Python指令碼的勒索軟體攻擊事故，攻擊者使用這些指令碼，鎖定組織內VMware ESXi環境，加密所有的虛擬磁碟，而使得虛擬機器（VM）被迫下線。

根據資安人員的調查，從入侵到部署勒索軟體指令碼，攻擊者用了3個多小時就完成，隨後就開始加密VMware ESXi伺服器裡的虛擬磁碟。Sophos表示，這是他們看過攻擊速度最快的行動之一。詳全文

＃漏洞修補

Apache修補已被濫用的資料外洩漏洞

Apache軟體基金會於10月5日，釋出了Apache HTTP Server 2.4.50，修補2.4.49版中的2個安全漏洞，其中的CVE-2021-41773為資料外洩漏洞，而且已被用於攻擊行動，使得該基金會呼籲用戶應儘速修補。

此漏洞為路徑穿越（Path Traversal）與檔案曝露漏洞，允許駭客將URL映射到文件根目錄（Document Root）以外的檔案上，也可能洩露諸如CGI腳本文件等直譯檔案的來源。詳全文

更多資安動態

●被併購的McAfee、FireEye的資安業務將整合
●車輛網路安全ISO/SAE 21434標準出爐
●為推動電信業汰換華為、中興設備，美國投入19億美元