資安一周第170期：國內多家上市櫃公司遭到網路攻擊。半導體資安標準即將於12月發布

10/28-11/3必看資安新聞

＃勒索軟體攻擊

日勝生集團接連發布資安事件重大訊息

營建商日勝生近期傳出遭網路攻擊，在10月29日臺灣證券交易所發布重大訊息，表明該公司及其子公司，部分資訊系統遭受駭客網路攻擊，但日常營運並未受到重大影響。日勝生公司發言人陳婷婷指出，他們疑似遭到勒索軟體LockBit 2.0的攻擊。

相隔4日，日勝生旗下興櫃的百貨零售業者京站實業，也在證交所發布重大訊息，也表明公司部分資訊系統遭受攻擊。京站發言人陳岱慧表示，此次事件與日勝生10月底事故有關，他們因集團共用的伺服器而連帶受到影響。

針對日勝生受駭客攻擊事件，勒索軟體組織LockBit 2.0聲稱握有141 GB資料，並打算向其索討8萬美元贖金。詳全文

＃勒索軟體攻擊

鋼鐵大廠中鴻備份系統遭到病毒攻擊，駭客留下勒索訊息

隸屬於中鋼集團的中鴻鋼鐵，於10月27日下午5時25分，在股市公開資訊觀測站發出公告，指出他們的資料備份伺服器遭到病毒攻擊。

中鴻行政副總經理羅嘉文表示，他們看到受影響的備份資料副檔名遭到竄改，駭客亦留下了勒索訊息。由此跡象看來，很有可能就是勒索軟體攻擊。詳全文

＃網路攻擊  ＃高科技產業

半導體封測矽格遭網路攻擊，受影響生產機臺逐步恢復

在11月1日下午2時，封測廠矽格於臺灣證券交易所發布重大訊息，說明公司發生網路安全事件，他們發現公司伺服器遭受病毒感染，雖然生產機臺也受到此事件衝擊，但公司表示無重大影響。詳全文

＃資安產業動態  ＃高科技產業

歷經三年制定，半導體資安標準即將於12月發布

為解決高科技產業資安防護難題，臺灣半導體界在2019年也憑藉自身影響力，推動晶圓設備資安標準（案號6506：Activity Start: 2019/01/01）制定，讓半導體產業供應商能夠遵循。歷經多次來回提交SEMI修改，在近日舉辦的SEMICON Taiwan線上資安趨勢高峰論壇上，台積電企業資訊安全處長屠震表示，這項標準將在2021年底12月正式發布，SEMI臺灣資安委員會亦於今年6月成立。詳全文

圖片來源：SEMI

＃供應鏈安全  ＃Unicode

Unicode驚傳出現漏洞，恐讓駭客在程式碼中植入人類無法察覺的內容

兩名來自劍橋大學的研究人員Nicholas Boucher與Ross Anderson，揭露藏匿在萬國碼（Unicode）中的安全漏洞CVE-2021-42574，此漏洞涉及萬國碼的雙向（Bidi）支援機制，將影響所有支援萬國碼的程式語言，目前已確定受波及者，涵蓋C、C++、C#、JavaScript、Java、Rust、Go，以及Python等，研究人員推測，其他程式語言也可能會受到影響。

駭客一旦運用這項漏洞，便能在軟體的程式原始碼中，注入人類看不見的安全漏洞，因此，研究人員將其命名為Trojan Source。詳全文

＃零信任  ＃密碼破解

密碼潑灑攻擊大增，鎖定多種管理員與高階主管而來

為了取得組織高權限帳號的使用權，且不致被資安系統察覺，近期攻擊者在猜測密碼的做法，以極低頻率進行這類行為。對此，微軟提出警告。他們發現，今年以密碼潑灑（Password Spray ）手法攻擊企業的事件大增，對此，他們特別提醒企業，並列出多項防禦建議。

研究人員指出，攻擊者鎖定未強制執行多因素驗證（MFA）的老舊協定下手，並針對具有管理權限或是CxO等級的公司高層發動攻擊。詳全文

圖片來源：微軟

＃漏洞修補不全  ＃LPE

微軟LPE漏洞修補不全，影響所有版本Windows

由研究人員Abdelhamid Naceri發現並通報的CVE-2021-34484，微軟甫於8月修補，但該名研究員指出，在檢視修補程式後，他發現微軟只處理其中一個概念性驗證程式（PoC），而導致攻擊者仍能在不知密碼的狀況之下，以其他使用者的身分執行任意程式。

這項漏洞存在於Windows的使用者設定檔服務（Windows User Profile Service），一旦遭到利用，攻擊者便能獲得本機權限升級（Local Privilege Elevation，LPE），包含Windows 11與Windows Server 2022在內的作業系統皆受影響。詳全文

＃勒索軟體攻擊

歐洲刑警組織一舉逮捕12名勒索軟體駭客

經過8個國家的聯手調查與行動，歐洲刑警組織（Europol）宣布，在10月26日一舉於烏克蘭及瑞士，逮捕了12名勒索軟體駭客，扣押了5.2萬美元現金，5輛名貴汽車，以及許多的電子裝置。而這些嫌犯是LockerGoga、MegaCortex，以及Dharma等勒索軟體RaaS服務的主嫌，這些勒索軟體於71個國家展開攻擊，受害組織超過1,800家。詳全文

圖片來源：Norway National Criminal Investigation Service

＃網路攻擊  ＃關鍵基礎設施

伊朗的國營石油公司NIOPDC遭駭，有駭客組織承認犯案

伊朗的國營石油公司NIOPDC於10月26日，疑似遭到國家級駭客攻擊，迫使該國境內近4千個加油站運作中斷，伊朗政府認為此起事故是國外的駭客所為，並對此強力譴責。

事隔一天，這起事故有了新的進展──根據BBC新聞網的報導，名為Predatory Sparrow駭客組織在Telegram的頻道上宣稱，這起事故是他們所為，目的是對於德黑蘭恐怖政權的抗議。詳全文

＃資安產業動態  ＃資安人才培育

微軟計畫於4年內培養25萬個資安人才

為了因應美國資安人力不足的情況，微軟於10月28日宣布，將展開為期4年的培訓活動，針對資源不足的社區大學提供協助，包括將提供全美所有社區大學免費課程，替150所社區大學的老師培訓，以及提供獎學金與資源予2.5萬名學生，企圖在2025年時，替美國增加25萬個資安人才。詳全文

更多資安動態

●勒索軟體Hive鎖定Linux、FreeBSD發動攻擊
●卡巴斯基Amazon服務憑證被竊，被用釣魚郵件攻擊
●駭客藉由出帳管理系統漏洞入侵，發動勒索軟體攻擊