【資安日報】2021年11月5日

今天的資安事件中，雖然有關勒索軟體的消息比例仍是最高，但在針對Npm熱門套件COA（Command-Option-Argument）用戶的攻擊事件，以及新一波的Magecart信用卡側錄攻擊，都是相當值得留意的訊息。此外，基於疫情導致全球各地許多人遠距辦公，攻擊者也看上這些人的行動裝置，進行網路釣魚攻擊，其中，能源產業被針對的情況最為嚴重。

而在漏洞的部分，則有Linux核心的透明處理程序內通訊（TIPC）模組，出現可被用於執行任意指令的重大漏洞。再者，美國對於8月底揭露的藍牙漏洞BrakTooth，要求各類使用受影響晶片裝置的開發商，應該要積極修補。

【攻擊與威脅】

熱門Npm套件COA疑遭劫持，恐導致開發者帳密遭竊

自2018年底之後不再更新的Npm套件COA（Command-Option-Argument），近期突然在數個小時發布之內上架多個版本，結果被發現具有側錄受害電腦的惡意功能。

Magecart信用卡側錄攻擊捲土重來，具備回避沙箱環境偵察的能力

隨著資安人員持續調查Magecart信用卡側錄攻擊行動，駭客也開始在攻擊的程式碼裡，加入偵測虛擬機器的能力，來避免研究人員利用沙箱找出攻擊跡象的情況。

駭客利用Google廣告向加密貨幣投資者行騙，得手50萬美元

加密貨幣投資人要留意了！最近有攻擊者購買Google搜尋網站的廣告，來誘導投資人到冒牌的錢包網站，一旦上當依照指示操作，存入的加密貨幣就會轉入駭客的帳戶。

勒索軟體聯盟Lockean攻擊法國組織

法國CERT提出警告，勒索軟體聯盟Lockean近一年半以來，使用多種勒索軟體，如Maze、Egregor、ProLock、REvil，向至少7個組織出手。

勒索軟體BlackMatter停止運作，駭客改用LockBit繼續向受害者討贖金

隨著國際間執法單位的通力合作，勒索軟體BlackMatter不再提供作案工具，但資安新聞媒體發現，這個組織似乎正在協助他們的客戶，改用LockBit的網站與受害者談判贖金事宜。

勒索軟體REvil停止運作，原因是遭到多國政府攻擊所致

數名知情美國官員透露，美國網路作戰部與另一個國家的政府，鎖定勒索軟體組織REvil的伺服器發動攻擊，主謀者害怕遭逮捕而停止營運。

烏克蘭最近起訴Gamaredon駭客組織5名成員並進行通緝

烏克蘭最近起訴Gamaredon駭客組織5名成員並進行通緝，疑與俄國情報單位有關。該組織疑似自2014年以來就鎖定烏克蘭，7年對1500個政府單位與組織發動攻擊。

日本AV公司遭駭客入侵，影片資料外洩恐衝擊該國產業經濟

日本週刊文春指出日本AV公司在今年初遭駭客入侵，而在10月中旬，這些影片遭馬賽克還原並上傳至中國網站，業者憂心影片外洩後的不法販售行為，將衝擊當地產業。

假冒Elon Musk臉書粉專竟擁有藍勾勾認證

該假冒粉專成立於2019年，歷經六次更名後，在10月中旬變更為Elon Musk，並放上真實Elon Musk的照片，企業或企業領導人或自營者除了要注意自身粉專被冒用的情形，也要瞭解假冒粉專可能突破臉書查核取得認證。

【漏洞與修補】

Linux核心的TIPC模組存在重大RCE漏洞

資安業者發現在Linux核心5.10至5.15版裡，存在重大的緩衝區溢位漏洞CVE-2021-43267，該漏洞存在於透明處理程序內通訊（TIPC）模組，攻擊者可用來執行任意程式碼。

美國要求裝置開發商儘速修補BrakTooth藍牙漏洞

研究人員於8月揭露的BrakTooth藍牙漏洞，恐影響數十億設備，美國網路安全暨基礎架構安全局發出公告，呼籲裝置製造商應儘速了解並進行處置。

今年Pwn2Own Austin 2021漏洞研究競賽，挑戰項目包括手機、印表機與NAS設備等

由趨勢科技旗下Zero Day Initiative（ZDI）漏洞懸賞計畫所推出的漏洞研究競賽，於11月2～5日連續四天舉行，比往年多一天，這次共有22組參賽者及58項參賽作品，成績陸續公布，挖掘出的漏洞後續預期業者會儘速修補。

【資安產業動態】

鎖定能源產業的行動裝置網釣攻擊大增，近半年增加161％

資安公司Lookout指出，今年攻擊者鎖定遠距辦公的員工，進行行動裝置的網路釣魚攻擊，這樣的情況尤其對於能源產業最為顯著，因為一旦竊得員工的帳密，就有機會進一步對這些產業的工控系統發動攻擊。

社會憂心國家領袖人物遭Deekfake影響國家與社會安全，國安局表示以成立專案小組因應

國安局副局長陳進廣在11月3日接受立委張宏陸質詢時，指出自2018年起，中共持續有變造我國國家領導人影音、照片的情形，針對未來的公投與選舉，國安局已成立專案小組注意此類真偽變造方式。

行政院國家資通安全會報技術服務中心發布2021年第3季資安技術報告

本季度報告11月4日發布，指出國內政府3級資安事件以個資外洩事件居多，在資安事件原因方面，已確認原因的部分中，前三嚴重是設計不當（17.68%）、弱密碼（11.11%）與應用程式漏洞（9.6%）。