【資安日報】2021年11月17日

歐洲刑警組織在今年的年初，圍剿Emotet殭屍網路的基礎設施，但這個殭屍網路近期再度出現活動，可說是本日最重大的資安新聞。比較特別的是，研究人員發現，駭客重新讓Emotet復活的方式，竟是透過另一個殭屍網路TrickBot的基礎架構。

在DDoS攻擊的態勢來說，近期規模達到2 Tbps等級的事故，上個月微軟才揭露Azure用戶於8月遭到2.4 Tbps的攻擊，而最近Cloudflare也攔截到近2 Tbps的攻擊，並表明流量來自殭屍網路。這是繼該公司揭露每秒發出1,700萬次連線請求的DDoS攻擊事故之後，另一起由殭屍網路大軍發動的大規模DDoS攻擊。

而在漏洞揭露的部分，又以知名Node.js套件管理器Npm的漏洞修補為受矚目，因為，他們終於將日前多個套件遭不明人士用來發布惡意版本的漏洞予以修補。

【攻擊與威脅】

惡意軟體Emotet捲土重來，透過TrickBot基礎設施重建殭屍網路

今年年初，由歐洲刑警組織與歐洲司法組織聯手，接管了Emotet的基礎設施，並逮捕2名成員，但最近，研究人員看到Emotet再度活動的跡象。資安業者GData、Advanced Intelligence，以及資安研究團隊Cryptolaemus指出，他們看到攻擊者透過TrickBot惡意軟體在受害裝置上，植入Emotet的載入器，經調查後發現，Emotet背後的駭客透過TrickBot現有的基礎設施，重新建置Emotet的殭屍網路。

殭屍網路Mirai發動近2 Tbps的DDoS攻擊

CDN服務業者Cloudflare於11月13日指出，他們緩解了一波DDoS攻擊，流量最高達到接近2 Tbps，該公司宣稱，這是他們看到最大流量的攻擊事故，攻擊來自約15,000個物聯網設備與尚未修補的GitLab主機，這些裝置上執行了Mirai的變體病毒，且利用DNS放大與UDP洪水攻擊等手法，進行DDoS攻擊。

安卓木馬SharkBot鎖定歐洲銀行用戶而來

提供網路詐騙防治解決方案的Cleafy指出，他們在10月底發現新的安卓木馬程式SharkBot，一旦受害手機安裝了SharkBot，攻擊者將會透過系統的輔助服務，來掌控用戶的銀行資訊，且竊取帳密與信用卡資料，此外，該木馬程式亦具備攔截銀行發送的SMS簡訊的能力。根據殭屍網路的架構，Cleafy認為，該殭屍網路可能鎖定的目標，是英國、意大利，以及美國的銀行與加密貨幣交易所。

釣魚郵件攻擊鎖定125個TikTok名人帳號下手

郵件安全業者Abnormal Security指出，他們看到攻擊者在10月2日及11月1日，總共向超過125個名人或是企業，發送釣魚郵件，疑似鎖定TikTok用戶而來。信件的內容宣稱，用戶疑似上傳侵權影片，必須依照指示回覆，否則TikTok帳號將在48小時內刪除。一旦依照指示回信，攻擊者就會要求透過WhatsApp進行對話，藉此繞過TikTok的雙因素驗證，進而挾持受害者的帳號。

駭客利用HTTP標頭偷渡手法攻擊AWS

資安業者Intruder指出，他們看到一種新的攻擊手法，鎖定HTTP請求的標頭（Header），來偷渡惡意請求，這種做法被稱為HTTP標頭偷渡（HTTP Header Smuggling），駭客的攻擊目標，主要是AWS的API閘道。研究人員將上述發現通報AWS，該公司也進行處理，但研究人員進一步測試發現，他仍然可以使用相同手法發動攻擊，從而導致容易被利用的快取中毒問題。

阿里雲ECS設備被用於挖掘加密貨幣

趨勢科技於11月15日揭露，他們發現多組駭客鎖定阿里雲的Elastic Compute Service（ECS）下手，挾持這些虛擬設備進行挖礦。研究人員指出，攻擊者不只移除阿里巴巴內建的安全代理程式，並藉由建立防火牆的規則，封鎖來自阿里巴巴網域的封包。此外，攻擊者也濫用自動延展機制，來增加挖礦所需的算力。

近300個WordPress網站遭駭，攻擊者宣稱加密檔案並索討贖金

資安業者Sucuri自11月12日起，發現約有291個WordPress網站遭到入侵，攻擊者竄改網站並宣稱網站遭到加密，要求網站管理者限時支付0.1個比特幣（約6,030.38美元）來恢復網站運作。但研究人員指出，這些網站實際上並未遭到加密，勒索訊息的網頁是被攻擊者植入的外掛程式產生。

全國高中小個資這五年持續遭盜取販售，臺南地檢署宣布逮捕幕後3名主嫌

臺南地檢署在11月17日揭露全國學生個資盜賣事件，關於這起事件的偵辦，臺南市調查處是在7月接獲檢舉，歷經兩個月調查，先是掌握到販售個資的陳男IP位址，首波搜索後查到幕後主嫌47歲蔡男，他亦是知名補習班數學老師。調查結果顯示，蔡男自2015年開始組團犯罪，與具資訊背景的36歲柴男，以及具駭客知識的27歲張男合作，非法取得750萬筆個資，幾乎涵蓋全國高中、國中、國小學生，包含校名、年級與班級、姓名、身分證號、住址、電話，還有父母姓名與職業，以每筆個資10元至20元轉售其他補習班。警方並呼籲，補教業招生勿透過不明管道取得學生家長個資，以免受罰。

北市員警涉勾結徵信業並洩漏民眾個資，會同警政署政風室偵辦中

臺北市警察局在11月17日發布公告，指出台北市警局去年偵辦刑事案件時，在搜索徵信業電腦時，發現與北市員警的往來資訊，有員警涉嫌利用警政知識聯網查詢民眾個資，再洩露給徵信業者，因此昨日已與警政署政風室進行搜索，並以刑法洩密罪，以及違反個人資料保護法偵辦。警方同時強調，此事由內部發現主動查辦防弊，並表示將加強落實內部資安管理，以及資訊稽核作為。

【漏洞與修補】

Npm修補他人能冒名發布新版套件的漏洞

知名Node.js套件管理器Npm近期修補了2個漏洞，其中1個可讓他人在未經充分授權的情況下，以開發者的名義發布新版Npm套件。這項漏洞發生的原因，是Npm註冊表與多個微服務之間，身分驗證查核與資料驗證不當所致。此外，有鑑於日前UA-Parser.js、COA、Rc等多個套件遭到挾持，Npm也預告，將於2022年第一季要求開發者啟用雙因素驗證（2FA）。

Lantronix無線晶片模組存在近20個漏洞，恐被用於執行任意程式碼

思科在Lantronix的嵌入式無線晶片模組PremierWave 2050裡，發現19個漏洞，這些漏洞與網頁管理介面有關。其中，有12個漏洞能讓攻擊者透過記憶體緩衝區溢位等方式，來把持網頁管理介面，進而執行任意程式碼；6個為目錄穿越漏洞，以及1個本地檔案包含（Local File Inclusion，LFI）漏洞。

【資安產業動態】

全球將通力合作提升網路安全，供應鏈將會有一致的安全標準

南德認證檢測公司（TÜV SÜD）於11月16日，發布2022年的資安預測，他們認為，網路攻擊會走向有人提供有關工具的服務型態「網路犯罪即服務（Cybercrime as a Service）」，使得資安威脅加劇，但在此同時，全球對於資安的意識抬頭，各國會尋求合作，共同制訂網路安全標準，而且，資安也會成為消費者選購連網設備的重要考量。再者，在軟體開發供應鏈中，同樣會出現統一的資安標準。

【近期資安日報】

2021年11月16日

2021年11月15日

2021年11月12日