自去年12月初開始，就引起IT業界關注的Log4Shell漏洞，在12月的倒數3天，又有資安業者揭露相關攻擊行動。他們發現中國駭客組織Aquatic Panda利用這項漏洞，來鎖定學術單位採用的VMware Horizon系統下手，而在此之前，利用這項漏洞的中國駭客組織，還有發動SolarWinds供應鏈攻擊的Hafnium。
而在曝露於各式IT系統的Log4Shell漏洞之外，存在於企業內部應用系統的漏洞，也可能引發嚴重的災難。例如，網路叫車平臺Uber的內部郵件系統，被研究人員找到的漏洞也值得留意，因為，攻擊者可運用這項漏洞來假借Uber的名義，來騙取用戶與司機的信用卡資料。但這名研究人員揭露後，多名資安人員也表明他們曾向Uber通報相關漏洞，且同樣不被Uber承認。
但上述提及的軟體漏洞之餘，上週大型物流業者、音訊裝置業者接連傳出雲端儲存桶配置不當的情況，接著又有遊戲大廠Sega也被發現類似的情形。研究人員發現，Sega的AWS S3儲存桶防護不足，可讓任何人上傳或修改部分網站的內容，甚至是竄改網域組態，所幸沒有遭到濫用的跡象。
【攻擊與威脅】
中國駭客組織利用Log4Shell攻擊學術機構
資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。
遊戲大廠Sega歐洲雲端系統防護不足，致用戶資料及公司資產曝險
VPN服務評測網站VPN Overview指出，他們發現遊戲大廠Sega的歐洲AWS S3儲存桶防護不足，影響該公司26個網域或遊戲服務。研究人員指出，這些防護不足的現象，讓他們可以上傳或修改網站的檔案、執行程式碼、變造網頁及網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄（Bayonetta）及全軍破敵（Total War）等遊戲服務。Sega獲報後於去年10月底修正上述防護不足的情形。
社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文
根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。
網路購物平臺PulseTV遭駭，20萬張信用卡資料外洩
美國網路購物平臺PulseTV驚傳資料外洩，根據該公司與緬因州檢察總長辦公室報告的資料，至少有20萬名客戶受到影響。這家業者自2021年3月察覺未經授權的信用卡交易，但直到當地執法部門通報，他們才與外部資安業者合作，研判約從2019年1月1日至2021年8月31日使用信用卡購物的客戶，可能會受到此次攻擊事件影響。該公司宣布，將轉換到其他支付系統，並要求客戶啟用雙因素驗證來防範相關攻擊。
五分之一老舊網域存在資安風險，恐被用於攻擊行動
資安業者Palo Alto Networks指出，他們自2021年9月開始觀察數萬個網域，結果發現近期駭客來發動攻擊的網域，往往使用已經註冊一段時間的網域名稱，原因是資安業者往往優先檢查新註冊的網域（NRD）。這種被先註冊的網域名稱，攻擊者的目的是要維持其無害的記錄，而不致被資安系統識別為有害，研究人員發現，這種網域通常會先暫停使用2年，之後的DNS流量會爆增約165倍。而他們會調查這些網域的原因，主要與近期發現的Pegasus間諜軟體攻擊行動有關。
APT駭客運用DanderSpritz事件記錄框架，進行偵察與持續在受害電腦的工作
資安業者Check Point指出，他們發現Equation Group駭客組織在使用的DanderSpritz惡意框架裡，搭配名為DoubleFeature的日誌記錄工具，來追蹤惡意框架的運作狀態。研究人員指出，這個工具監控了DanderSpritz的遠端存取模組、資料洩露後門、持續在受害環境運作的工具等模組，是否正常運作，而能在受害電腦上長時間進行監控。
【漏洞與修補】
網路叫車平臺的Uber郵件系統存在漏洞，可被用於騙取信用卡資料
漏洞懸賞獵人Seif Elsallamy指出，他發現了網路叫車平臺Uber系統裡的漏洞，一旦有人利用這項漏洞，就能以Uber的名義發送電子郵件，研究人員也進行概念性驗證攻擊，藉著這項漏洞，成功發送要求用戶驗證信用卡資料的攻擊信件，而且，該信件亦通過DKIM和DMARC等安全檢查。然而，Uber獲報後認為，這必須要透過社交工程才能發揮作用，而認定不是他們漏洞懸賞計畫範圍的漏洞，但該名研究人員指出，這項漏洞若是與該公司2016年外洩的用戶與司機個資搭配使用，將會產生嚴重的後果。
研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone
研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。
美光固態硬碟存在可濫用的隱藏磁區，恐被攻擊者用於藏匿惡意軟體
高麗大學的研究人員發現，美光（Micron）為增加固態硬碟（SSD）運作效率，所加入的彈性容量機制，可能會被攻擊者濫用。研究人員表示，由於這種機制的保留空間無法透過作業系統直接存取，連帶防毒軟體也難以檢測，再加上SSD廠商基於效能考量，而實際上往往長達數個月才清除寫入的檔案，使得攻擊者能在這個磁碟區埋藏惡意軟體。研究人員呼籲固態硬碟業者，應提供相關的防禦措施。
Netgear路由器存在漏洞，攻擊者可用於接管設備
資安業者Tenable指出，Netgear旗下的Wi-Fi路由器Nighthawk R6700v3，存在6個高風險漏洞，一旦攻擊者利用這些漏洞，將能完全控制路由器設備，雪上加霜的是，該路由器亦採用了存在漏洞的jQuery程式庫（1.4.2版），以及具有已知弱點的MiniDLNA伺服器軟體（未透露版本）。研究人員在9月30日通報Netgear，不過迄今該廠商尚未發布修補程式。
【資安防禦措施】
密碼外洩查詢網站HIBP加入由竊密軟體RedLine偷到的帳密資料
提供外洩帳密查詢的網站Have I Been Pwned（HIBP），資料來源多半是遭受攻擊的網站服務，但他們最近新加入的資料，是攻擊者透過竊密軟體RedLine從受害電腦裡，所挖掘的各式帳號和密碼。這些資料是由資安研究員Bob Diachenko發現，存在於未設防的伺服器，約自2021年8月至9月收集而得，總共超過600萬筆資料，經過分析後約有44.1萬個不重複的帳密，其中包含了許多用戶在密碼管理服務LastPass裡，所採用的主密碼（Master Password），研究人員懷疑可能與日前LastPass傳出資料外洩的事故有關。
【近期資安日報】
2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊
2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當
2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS
2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者
2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex
2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙
2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源
2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚
2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊
熱門新聞
2024-12-02
2024-11-29
2024-12-02
2024-11-30
2024-12-02
