【資安日報】2022年2月21日，WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體

網站內容管理平臺WordPress的外掛程式出現影響重大的漏洞，最近幾個月受到矚目，而這次是出現在網站備份工具上。研究人員發現備份外掛程式UpdraftPlus的嚴重漏洞，可讓僅有低權限的用戶取得網站的備份資料，進而影響網站安全。值得留意的是，WordPress強制網站更新這項外掛程式，來修補這項漏洞，這樣的做法相當不尋常，也突顯WordPress對於此漏洞相當重視。

過往駭客利用微軟Office 365服務的名義來發動網釣攻擊，企圖竊取收信人微軟帳號的情況，很可能是透過SharePoint或OneDrive檔案共享、Teams留言訊息來做為幌子，但最近也有駭宣稱以提供資料分析圖像化工具Power BI製作的業務報表，來進行網釣攻擊。而這樣的狀況，也突顯了可存取多種雲端服務的單一使用者帳號風險。

而透過新興程式語言開發的惡意軟體，也相當值得留意。例如，以Go語言開發的殭屍網路病毒Kraken，攻擊者以此可做為植入其他惡意軟體的管道，資安業者發現，經由這樣的模式，駭客每月至少可進帳3千美元的不法所得。

【攻擊與威脅】

駭客以資料分析圖像化工具Power BI為幌子發動網釣攻擊，意圖竊取微軟帳號

微軟提供的資料分析圖像化工具Power BI，近期也成為駭客騙取微軟帳號的幌子。郵件安全業者Cofense發現捏造Power BI通知的釣魚郵件攻擊，郵件內容以每週銷售報表的名義，引誘收信人上當。

一旦收信人點選檢視報表內容的連結，就會被出現假的微軟帳號登入網頁，若是依照指示輸入資料，不只帳密會遭到挾持，該網頁還會顯示身分驗證錯誤的訊息，研究人員指出，駭客這麼做的目的，在於降低收信人意識到帳密遭竊的警覺。

以Go語言開發的殭屍網路病毒Kraken，被用於散布竊密軟體RedLine

透過較新的程式語言開發惡意軟體，很有可能因發展迅速，而在開發階段就開始為駭客賺入不法所得。例如，資安業者ZeroFox自2021年10月開始，追蹤名為Kraken的殭屍網路病毒，駭客使用Go程式語言進行開發，鎖定Windows電腦而來。該病毒具備執行第二階段酬載，或是觸發Shell命令的能力，並能對於受害電腦進行螢幕截圖的功能，甚至可竊取受害者的加密貨幣錢包。攻擊者疑似透過惡意軟體SmokeLocker來散布Kraken，再藉其於受害電腦上植入RedLine等惡意軟體。研究人員指出，雖然Kraken仍在開發階段，但該殭屍網路每月已為駭客竊得約3千美元。

網釣簡訊攻擊鎖定英國數位銀行Monzo用戶而來

沒有實體門市的數位銀行，近年來日益風行，但同時也成為駭客下手的目標。資安研究員William Thomas於2月16日，揭露針對英國數位銀行Monzo用戶的網釣簡訊攻擊，一旦用戶點選連結，就會被帶往假的Monzo登入網頁，若是用戶依照指示輸入相關資料，駭客將會挾持對方的電子郵件信箱，並騙走Monzo的PIN碼、用戶姓名與電話號碼，有了這些資料，駭客就能透過另一隻手機接管受害者的Monzo戶頭。

針對這起攻擊行動，Monzo也提出警告，他們不會使用手機應用程式以外的管道（如手機簡訊）來向用戶發送通知，假如使用者不慎上當，應該立即重設密碼，並在Monzo與電子郵件帳號上啟用雙因素驗證（2FA）機制。

NFT市集OpenSea驚傳用戶資產遭竊，疑似網釣攻擊所致

非同質化代幣（NFT）的買賣當紅，交易平臺OpenSea卻傳出用戶NFT遭竊的情況。近期有多名用戶在推特反應，他們的OpenSea帳號疑似遭駭，導致其NFT被竊，很可能是OpenSea的數位合約存在漏洞所致。對此，OpenSea於2月20日宣稱，這些受害者疑似是遭到網路釣魚攻擊，而疑似簽署了駭客的數位合約所致，總共有32人受害，駭客轉賣竊得的NFT得手約170萬美元的以太幣，但攻擊者的身分仍然不明。

誰說BEC只透過電子郵件散播？美國警告濫用線上會議平臺進行的攻擊增加

因疫情迫使許多人遠距辦公，並透過視訊或電話會議向他人進行溝通，但駭客也看上這樣的趨勢，用來發動商業郵件詐騙（BEC）攻擊。美國聯邦調查局（FBI）近日發布公告指出，自2019年至2021年，接獲BEC詐騙事件增加，其中，多數涉及透過線上會議來行騙，對此，他們呼籲企業與員工要提高警覺。

這樣的詐騙方式是如何進行？例如，攻擊者藉由公司執行長（CEO）或財務長（CFO）的名義，在這種會議中指示員工進行匯款；或是駭客挾持員工的帳號，在會議進行過程來收集公司營運的資料。

【漏洞與修補】

WordPress網站備份外掛UpdraftPlus出現任意下載漏洞，攻擊者恐用來竊取網站機密

提供給管理者自動、定時備份WordPress網站檔案的外掛程式，出現可允許低權限用戶下載網站備份檔案的漏洞，有可能被攻擊者挖掘能用來挾持網站的資料。資安業者Jetpack揭露外掛程式UpdraftPlus的嚴重漏洞CVE-2022-0633，一旦攻擊者運用這項漏洞，將能透過訂閱網站資訊的用戶（Subscriber）權限，下載整個網站的備份檔案，進而從網站的資料庫裡，竊取特權帳號使用者名稱與加鹽密碼，藉此控制整個WordPress網站，CVSS風險層級為8.5分。

UpdraftPlus獲報後推出1.22.3及2.22.3版予以修補，WordPress亦於2月16日實施自動更新的計畫，為所有安裝此外掛程式的網站進行更新。從WordPress罕見強制用戶更新的情況來看，這漏洞影響程度算是相當嚴重。