【資安日報】2021年12月3日

在今天的資安新聞中，加密貨幣的交易平臺又再傳出遭到入侵，駭客轉走大量數位貨幣的情形──去中心化金融平臺Badger於12月2日公告遭到攻擊，資安業者指出攻擊者總共竊得約1.2億美元的加密貨幣，而這起事故的規模，僅次於PolyNetwork（6億美元）、Cream Finance（1.3億美元）遭到網路攻擊的事件。

值得留意的還有攻擊事故的後續追蹤，在9月中旬傳出APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus，對於多個組織發動攻擊，這個駭客組織最近有了新的動作：他們自10月底開始也針對ManageEngine ServiceDesk Plus下手。而使用CronRAT攻擊電商網站的駭客，也似乎針對這類網站常會使用的Nginx軟體，部署第二個RAT木馬程式NginRAT。

再者，殭屍網路Emotet的攻擊態勢也相當值得留意。有日本資安業者和法人組織發現該組織於當地的攻擊行動。

【攻擊與威脅】

去中心化金融平臺Badger遭駭，攻擊者竊得1.2億美元

去中心化金融平臺（DeFi）遭到駭客入侵並盜走大量加密貨幣的事故，最近幾個月出現數起。去中心化金融平臺Badger於12月2日表示他們遭到駭客攻擊，目前正在著手調查事故發生的原因，暫時停止交易。而這起事故的受害規模為何？根據區塊鏈資安公司PeckShield指出，攻擊者疑似竊得超過2,100個比特幣、151個以太幣，總計相當於1.2億美元，其中，有1名用戶損失逾900個比特幣（相當於5,050萬美元）。至於事故發生的原因，多家加密貨幣新聞媒體指出，攻擊者可能是透過使用者介面的漏洞入侵系統。

中國APT駭客鎖定客服系統下手，近3千組織恐成為目標

自9月16日開始，美國網路安全暨基礎設施安全局（CISA）提出警告，有APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus的漏洞發動攻擊，近期這起行動有了新的進展。資安業者Palo Alto Networks指出，這些駭客自10月25日至11月8日轉移攻擊的目標，鎖定ManageEngine旗下另一款產品ServiceDesk Plus的漏洞CVE-2021-44077，可能有2,900個組織曝露在此漏洞的風險之中。母公司Zoho於11月22日發出資安通報，表示這是他們已在9月修補的漏洞，呼籲用戶要儘速修補。而對於攻擊者的身分，Palo Alto也提進一步的說法，他們根據駭客所使用的工具及手法，研判與APT27（亦稱TG-3390、Emissary Panda）有關。

殭屍網路Smishing攻擊伊朗安卓手機

資安業者Check Point揭露鎖定伊朗安卓用戶的Smishing殭屍網路，攻擊者冒充當地政府的名義，透過手機簡訊發動網路攻擊，引誘受害者下載Android惡意程式，藉此取得他們的信用卡詳細資料，以及雙因素驗證（2FA）所需的驗證碼。該公司依據調查的結果指出，恐拍有數以萬計的人士受到影響。Check Point指出，雖然這些攻擊行動已經引起當地警方的注意，但這些攻擊者幾乎每天在改良其惡意軟體與基礎設施。

RAT木馬程式鎖定Nginx伺服器而來，發動MageCart側錄攻擊

資安業者Sansec日前揭露Linux木馬程式CronRAT，鎖定電商網站的伺服器，發動Magecart攻擊。但這種鎖定網頁伺服器下手發動側錄攻擊的情況，該業者又有新的進展──他們在調查北美與歐洲CronRAT受害情形時，發現另一個木馬程式NginRAT，這個木馬程式藏匿在Nginx伺服器上運作，而得以繞過資安防護系統，NginRAT劫持了Nginx應用程式，並修改Linux主機系統的核心功能，並嵌入在Nginx處理程序中運作。研究人員指出NginRAT的感染途徑，疑似是透過CronRAT傳送到受害主機。

殭屍網路Emotet透過釣魚信攻擊日本

今年1月底基礎設施遭到摧毀的殭屍網路Emotet，最近開始出現行動而引起資安界關注，資安業者也發現疑似針對特定地區的攻擊事故。根據日本共同通訊社的報導，當地資安業者Lac於11月17日發現，Emotet近期透過釣魚郵件感染日本的電腦。此外，日本資訊科技推動局（IPA）也宣稱，從釣魚郵件裡找到9種類型的Emotet惡意軟體。

研究人員揭露17種用於攻擊隔離網路的惡意框架

隔離網路（Air-Gapped Networks）通常用來保護SCADA、ICS等重要設施，但針對這種環境的攻擊行動這2年似乎有增加的跡象。ESET最近發布對於隔離網路攻擊的分析，彙整17種攻擊框架的特徵，並指出光是在2020年上半，就出現4種過往未曾出現的攻擊框架。ESET指出，17個框架的共通點在於，都透過USB儲存裝置做為將資料與外部交換的媒介，且用於執行間諜行動，並針對Windows作業系統而來。

逾4成醫療單位至少遭遇2次勒索軟體事故

醫療院所面臨勒索軟體威脅可說是與日俱增，但這樣的情況究竟有多嚴重？IBM委託Ponemon對於597家醫療院所進行調查，結果顯示，42%組織在過去幾年遭遇2次勒索軟體攻擊，而這些攻擊事件帶來的影響又是如何？IBM指出，約有近四分之三的醫療院所表示，勒索軟體攻擊導致醫療流程和檢測工作的延誤，影響就診人士的醫療品質，且會導致病人住院的時間延長。也有65%受訪者指出，攻擊事故導致轉院病人增加；36％醫療機構表示，病人治療後發生併發症的情況增加。

電商資安防護持續成焦點，有業者公布臺灣十大電商資安曝險情形

多年來電商資安問題備受議論，近期來自新加坡的數位保險業者OneDegree Global，除了推出保險科技平臺，同時旗下有位於臺灣的資安團隊，開發Cymetrics資安評級工具。最近，Cymetrics資安團隊發布了2021臺灣前十大零售電商資安曝險報告，針對臺灣十大電商網域測試，以非侵入式做曝險評估調查，包括網路服務、網站、電子郵件、帳號密碼與雲端安全等面向，調查結果顯示，網站部分表現較不理想，可能多是採用網站套件或網路伺服器預設值，導致網站安全性設置不完善，並有一半比例明顯揭露伺服器類型及版本，而在電子郵件認證方面，有8家設置不完善，並有1家業者存在域名管理不嚴謹的問題。

【漏洞與修補】

Mozilla推出的加密程式庫出現重大漏洞，恐影響多款應用程式

Mozilla最近針對加密程式庫Network Security Services（NSS）的重大漏洞CVE-2021-43527進行修補，推出3.68.1與3.73版更新軟體。這項漏洞是Google的研究人員發現，出現在驗證數位簽章的過程中，若是使用DER元件格式的編碼，將可能出現記憶體緩衝區溢位的弱點，一旦攻擊者利用此漏洞，恐導致應用程式當機，甚至能夠執行任意程式碼，研究人員將這項漏洞命名為BigSig。而對於漏洞的影響範圍，Mozilla強調，旗下的Firefox瀏覽器不受此漏洞影響，但其他依賴NSS進行簽章驗證的應用程式，如Thunderbird、LibreOffice、Evolution、Evince就有可能受到波及。

WordPress外掛程式存在XSS漏洞，8萬WooCommerce商城恐遭波及

專注於WordPress網站安全的業者Wordfence指出，名為Variation Swatches for WooCommerce的外掛程式存在跨站指令碼（XSS）漏洞，一旦遭到利用，攻擊者就能沒有高權限的狀態下，注入惡意JavaScript，等到網站管理員存取此外掛程式的設置面板時，執行JavaScript的內容，這個外掛程式約有8萬WooCommerce網站使用。Wordfence在11月12日進行通報後，此外掛程式的作者於23日發布2.1.2版予以修補。

德國自動化安全分析業者針對9款Wi-Fi路由器測試，發現226個安全漏洞，包含華碩、群暉、D-link與訊舟及國外等知名品牌

在12月2日，德國IoT Inspector發布一份關於9款Wi-Fi路由器弱點的分析報告，這是他們與當地IT雜誌CHIP合作進行，並是以自動化分析平臺對韌體分析而產生漏洞報告，測試產品包括AVM FritzBox 7530 AX、AVM FritzBox 7590 AX、Linksys Velop MR9600、Netgear Nighthawk AX12、TP-Link Archer AX6000，以及臺廠設備，包括Asus ROG Rapture GT-AX11000、D-Link DIR-X5460、Edimax BR-6473AX與Synology RT-2600ac，共發現226個漏洞，以TP-Link Archer AX6000最多。IoT Inspector表示，這些漏洞皆已通知設備商，不過目前仍有業者尚未修補。

【資安防禦措施】

國內持續推動IoT資安檢測，門禁系統資安標準將出爐

為促使臺灣企業資安升級轉型，自2019年來，政府已帶頭推動「物聯網資安檢測認證標準」的制訂，在經濟部工業局方面，從最早的影像監控系統，一直到智慧巴士、智慧路燈、空氣品質微型感測裝置與消費性網路攝影機，在近日舉辦的「物聯網資安標準推動研討會」中，除了說明全國已有106款產品取得認證，並指出在影像監控系統方面，奇偶科技、利凌科技與晶睿通訊這三家業者，通過驗證產品最多，都在10件以上，同時會中還透露，門禁系統資安標準將出爐，已在公開意見徵求中，最快可能年底會發布，該標準中除了共通性的要求，還將包括智慧門鎖、門禁讀取器、門禁閘道控制器，以及門禁管理平臺4大部分。

【近期資安日報】

2021年12月2日

2021年12月1日

2021年11月30日