【資安日報】2022年2月7日，中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路

在臺灣的農曆新年期間，國際情勢持續升溫，各國之間透過網路攻擊的角力不斷。其中，中國駭客鎖定歐美新聞產業發動攻擊，企圖藉此收集敵國情報的情況再度發生。例如，美國大型新聞媒體集團News Corporation近日疑似遭到中國駭客攻擊，有數量不明的記者電子郵件帳號遭駭，但該公司沒有進一步透露受害的情形。

近期北韓網路遭到DDoS攻擊的情況也引起關注。但極具爭議的是，這起行動是去年遭到北韓APT駭客網釣攻擊的資安人員所為，疑似是不滿美國政府沒有保護資安人員，而自行採取報復行動。

而中國駭客組織鎖定臺灣企業下手的現象，可說是不時傳出事故，且很有可能長期埋伏，甚至是目的達成後仍未被察覺。研究人員揭露一起自1年半前發起的攻擊行動，其中一家受害組織被監控超過8個月。

【攻擊與威脅】

華爾街日報等新聞媒體遭到駭客攻擊，疑似為中國政府蒐集情報

在國際情勢日益緊張的態勢下，國家級駭客鎖定新聞媒體來為政府蒐集情資，也有數起事故傳出。根據路透社的報導，美國大型新聞媒體集團News Corporation於2月4日透露，數量不明的記者遭到駭客攻擊，電子郵件信箱帳號與有關資料遭到外洩，該集團已委由資安業者Mandiant協助調查，該資安業者認為，駭客很可能是基於中國政府的利益進行情報收集。路透社取得該集團高層對員工發出的信件內容，指出該集團總部，以及Dow Jones、News UK、紐約郵報等子公司受到本次事故波及。但這並非美國新聞媒體第一次遭到中國駭客攻擊，例如，在2013年紐約時報傳出53臺員工電腦遭駭，原因疑似與他們報導中國時任總理溫家寶親屬財產遭到調查有關。

北韓網路遭DDoS攻擊，原因疑似是資安人員不滿美國政府毫無反制作為，逕自挾怨報復

北韓於今年一月傳出網路遭到DDoS攻擊而癱瘓的情況，且遇害的時間點與該國頻繁試射飛彈重疊，但攻擊者的身分為何？根據新聞網站Wired的報導指出，使用P4x為ID名稱的美國資安研究人員向他們宣稱，這是他個人對北韓APT駭客的報復行動，原因是他在2021年初遭到這些駭客的網釣攻擊，在美國政府沒有任何作為的情況下，他決定自行出手。這名研究人員疑似找到該國所使用的Nginx伺服器、Apache軟體，以及該國開發的Red Star OS作業系統漏洞，並使用自動化攻擊程式出手。但這起攻擊事件資安圈看法兩極，資安業者Immunity認為，此舉恐影響其他對北韓秘密進行的情蒐工作。

中國駭客組織鎖定臺灣金融與製造業，埋伏在受害組織近250天

駭客組織透過受害電腦現成的工具作案，而可能躲過相關偵測，長期埋伏並進行監控。例如，賽門鐵克揭露中國APT駭客組織Antlion的攻擊行動，此起攻擊持續至少18個月，已有2家臺灣金融組織、1家製造業者受害。駭客使用寄生攻擊（LoL）手法，大量使用受害電腦上的軟體，並植入xPack後門程式。研究人員提到，該組織在其中1家金融組織花費近250天的時間，並在上述的製造業者埋伏約175天，至於駭客的目的，疑似是為了幫助中國政府收集情資。

【漏洞與修補】

臺廠系微UEFI韌體程式爆23個漏洞，恐影響Dell、HPE、富士通等廠牌的電腦

又是臺灣業者提供的公版軟體出現嚴重漏洞，而可能影響眾多廠牌電腦的情況。資安業者Binarly於2月1日指出，他們在富士通Lifebook筆電的UEFI韌體中察覺異常，經調查後發現，與該公司採用臺灣業者系微（Insyde）所提供的InsydeH2O電腦韌體框架有關，相關漏洞共有23個，CVSS風險層級介於7.5至8.2分，恐影響戴爾、惠普、HPE等9家廠牌的工作站與伺服器，攻擊者一旦利用上述漏洞，不只能繞過防毒軟體和EDR代理程式的監控，UEFI的韌體完整性監控機制也無法察覺漏洞攻擊行為，攻擊者甚至可藉此將惡意酬載傳送到作業系統，並以核心模式執行。對此，系微也在2月7日發布新聞稿，表明已修補前述漏洞。

開源網路檔案共享軟體Samba驚傳重大漏洞，恐被攻擊者取得root權限執行任意程式

提供Linux、macOS用戶存取Windows網路共享資料夾的Samba軟體，近期也出現可被用於RCE攻擊的重大漏洞。Samba最近修補重大漏洞CVE-2021-44142，這項漏洞與模組虛擬檔案系統（VFS）有關，該模組的功能提升與蘋果電腦SMB用戶端的相容性，一旦該漏洞遭到利用，將會導致記憶體越界堆積讀寫（out-of-bounds heap read/write）的情況，而讓攻擊者可取得root權限執行任意程式碼，CVSS風險層級為9.9分。該漏洞影響Samba 4.13.17以前的版本，Red Hat、SUSE、Ubuntu等Linux作業系統廠商，以及NAS廠商群暉科技，亦發布相關資安通告。

持續交付平臺Argo CD驚傳漏洞，攻擊者藉此存取K8s密碼或是API金鑰

持續交付平臺（CD）一旦出現漏洞，很可能會洩露相關的機密資訊。例如，支援Kubernetes的GitOps持續交付工具Argo CD，於2月5日修補零時差漏洞CVE-2022-24348，這項漏洞由資安業者Apiiro發現，研究人員指出，攻擊者一旦利用這項漏洞，就可透過Helm Chart套件打造有問題的Kubernetes配置，來存取機密資訊，如API金鑰、密碼等，進而橫向移動或是擴張權限。Argo CD發布2.3.0、2.2.4、2.1.9版修補此漏洞。

耗時超過2年，導致全錄印表機停擺的重大漏洞細節終於公布

軟體開發商NeoSmart於2019年9月，發現一項全錄印表機的漏洞，但通報後直到最近全錄才表明終於完成修補。NeoSmart研究人員於2022年1月24日，公布他們向全錄通報的漏洞CVE-2022-23968，該漏洞影響所有Versalink系列的印表機，一旦攻擊者利用將會造成印表機半永久性的故障，但通報後全錄提供的更新程式並未完全修補漏洞，此後就再也沒有相關的進展。研究人員指出，全錄直到1月28日才回覆他們，在2021年6月推出的韌體xx.61.23版中，已修補上述漏洞。

為了能讓系統更新機制完整運作，微軟指出Windows電腦應持續連網6小時

電腦沒有完整安裝相關的更新，很有可能是連網的時間不足造成。微軟於1月27日指出，根據他們的分析，許多Windows個人電腦與伺服器沒有使用最新版本軟體的因素，疑似是連網時數沒有達到6小時的電腦，就可能無法成功安裝相關更新軟體。對此，該公司建議IT人員，為了讓電腦能正確下載並安裝更新，應要求用戶在沒有使用電腦的時候插上電源並維持網路連線，才能將電腦保持在最新的狀態。這樣的建議一出，有不少用戶反彈並留言表示，這麼做會消耗更多的電力，與節能的潮流背道而馳。