【資安日報】2022年2月22日，臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來

在2021年11月下旬，元大證券、統一證券的複委託下單系統遭到駭客入侵，部分客戶帳號遭到盜用，下單香港股票。接著，凱基期貨也傳出電子交易系統被駭的消息。雖然這些事故發生的時間點相當接近，但究竟是否有所關連？臺灣資安業者奧義智慧指出，這是中國駭客組織APT10一系列的攻擊行動，且事發到今年2月上旬，還有第2波攻擊。

鎖定銀行用戶的手機木馬程式，近期也有數起攻擊行動。而本日新聞裡有名為Xenomorph的木馬程式，鎖定歐洲近60個銀行的顧客而來。值得留意的是，駭客散布木馬程式的途徑，竟是先於Google Play市集發布看似無害App，但這些程式暗藏了惡意程式下載器，有可能導致市集審查App無法察覺異狀，而讓其上架。待受害者將App安裝之後，這些惡意程式才從網路下載至手機上執行。

大型企業疑似遭到勒索軟體攻擊的事故，本日出現2起，分別是物流業者Expeditors與鍋具業者美亞（Meyer），後者疑似是遭到勒索軟體Conti的毒手，而被公布部分機密資料。

【攻擊與威脅】

臺灣金融業遭軟體供應鏈攻擊，奧義智慧研判為中國駭客組織所為

去年11月，臺灣多家證券商與期貨商遭受駭客撞庫攻擊，導致下單異常的情況，但此事並未就此落幕。臺灣資安廠商奧義智慧科技於2月21日提出警告，根據他們參與事件處理（IR）的調查結果，發現這是中國駭客組織APT10的長期攻擊行動，且在11月底到2022年2月初，監控到第二波的駭客入侵行為，呼籲相關單位應儘快採取因應措施。

第二波事故屬於軟體供應鏈攻擊活動，主要利用某個證劵軟體系統管理介面的網站服務漏洞入侵，並使用名為QuasarRAT的後門程式。經過綜合分析多項情資，研究人員研判，此攻擊行動是中國國家級駭客APT10所為，並將這次攻擊活動命名為「咬錢熊貓」（Operation Cache Panda），同時提供入侵指標（IoC）供外界檢查，並說明緩解措施。

跨國物流業者Expeditors遭網路攻擊，被迫中斷大部分業務

針對物流業者而來的網路攻擊，最近已有數起。跨國物流業者Expeditors於2月20日，表明他們因遭到網路攻擊，而關閉全球大部分的IT系統，很可能會影響貨運的安排，或是海關的通關作業處理。資安新聞網站Bleeping Computer根據消息人士的情報，以及該公司正在透過備份資料恢復系統運作等跡象來判斷，Expeditors很可能是遭到勒索軟體攻擊。

大型鍋具業者Meyer員工資料外洩，疑遭勒索軟體Conti攻擊所致

資料外洩的事故，很可能源自於勒索軟體攻擊。美國大型鍋具業者美亞（Meyer）近日向美國司法部長辦公室通報，於2021年10月25日遭到網路攻擊，駭客疑似存取美亞母公司與子公司員工的資料。而根據資安新聞網站Bleeping Computer報導指出，該集團可能是遭到勒索軟體Conti襲擊，Conti亦在網站上公布2%竊得的資料。

伊朗國營電視臺遭網路攻擊，駭客散播抗議政府訊息並進行破壞

針對伊朗關鍵基礎設施（CI）而來的攻擊行動，近幾個月已有數起，如今駭客盯上了媒體。資安業者Check Point揭露發生在1月27日的EvilPlayout攻擊行動，駭客鎖定伊朗伊斯蘭共和國廣播電視臺（IRIB）下手，導致數個國營電視頻道遭到挾持，並播放伊朗人民聖戰者組織（MEK）領導人的訊息，鼓吹暗殺伊朗總理。研究人員發現，駭客不只植入帶有抗議訊息的惡意軟體，並使用擦除軟體進行破壞。雖然伊朗政府認為MEK是本次事故的幕後黑手，但聲稱曾攻擊伊朗鐵路、石油公司的駭客組織Predatory Sparrow，表明是他們對IRIB出手。

安卓木馬Xenomorph透過Google Play市集散布，鎖定56個歐洲銀行用戶

木馬程式透過上架到Google Play市集，以便取信受害者，如今也出現手法更為隱密的情況。資安業者ThreatGabric揭露名為Xenomorph的安卓木馬程式，鎖定西班牙、葡萄牙、意大利等歐洲國家的56家金融機構用戶下手，駭客意圖竊取受害者的財務資訊、接管帳戶，甚至是進行未經授權的交易，超過5萬用戶自Google Play市集下載。

研究人員指出，攻擊者為避免Google Play的App上架審核機制察覺異狀，因此，他們提交給市集的App都是沒有攻擊特徵的軟體，等到受害者將App安裝到手機上，這些程式此時才開始將木馬程式下載到手機裡執行。這種惡意程式散播行為，突顯App市集在審核的流程中，必須採取更為徹底的檢驗措施。

駭客以免費贈送加密貨幣的名義，意圖散布木馬程式

有些業者可能會透過贈送加密貨幣的方式，吸引顧客上門，但也有駭客利用這樣的管道散布木馬程式。資安業者Zscaler揭露名為FreeCryptoScam的攻擊行動，駭客架設詐騙網站並宣稱免費贈送加密貨幣，一旦受害者依照指示下載軟體、操作，駭客就會在他們的電腦上植入Dark Crystal RAT木馬程式，研究人員指出，接下來攻擊者很有可能進一步部署竊密程式RedLine，或是另一個木馬程式TVRat。

【漏洞與修補】

伺服器監控工具Zabbix驚傳嚴重漏洞，恐導致繞過身分驗證在伺服器上執行任意程式碼

開源伺服器監控系統，一旦出現重大漏洞，很可能會波及受管控的伺服器主機。專精開放原始碼安全的資安業者SonarSource發現，伺服器監控工具Zabbix存在CVE-2022-23131、CVE-2022-23134等2個漏洞，這些漏洞存在於該系統網頁主控臺連至後端共用資料庫的TCP通訊介面。攻擊者一旦利用第1個漏洞，就能在Zabbix啟用SAML單一簽入（SSO）的配置下，在未經身分驗證的狀態竄改連線資料。Zabbix獲報後於2021年12月29日，發布5.4.9、5.0.9、4.0.37版修補上述漏洞。