【資安日報】2022年3月17日，Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞

使用Emotet惡意軟體的駭客，近期鎖定美國報稅季下手，散布惡意軟體，值得留意的是，與過往歷年的攻擊行動相比，今年加入難以讓收信人和郵件防護系統識破的手法。

駭客針對易受攻擊的關聯式資料庫發動攻擊的情況，偶有事件發生，而這次攻擊者同時對微軟SQL Server和MySQL下手，並使用木馬程式Gh0stCringe進行偵查，然後下達攻擊命令。

加密通訊程式庫OpenSSL的漏洞也相當值得關注。開發者最近修補可導致無限循環的阻斷服務（DoS）漏洞CVE-2022-0778，而這項漏洞在OpenSSL發布更新軟體的隔日，疑似已被用於攻擊行動。

【攻擊與威脅】

臺灣PCB大廠健鼎遭網路攻擊，部分資訊系統受影響

在3月16日下午1時38分，國內上市公司健鼎在臺灣證券交易所發布資安事件重大訊息，說明發生部分資訊系統遭受駭客網路攻擊的事件，在偵測到事件發生時，該公司資訊部門已全面啟動相關防禦機制與復原作業，同時與外部資安公司技術專家協同處理，並已通報政府執法部門與資安單位。

至於此次事件的影響是否衝擊營運？目前該公司初步評估不會造成重大影響。健鼎也指出，由於主要是IT系統受影響，他們目前對所有網域、網域，以及相關檔案，做全面徹底的掃描檢測，確保資訊安全後，再復原運作。

惡意軟體Emotet鎖定美國報稅季，以國稅局的名義散布

美國報稅季將於4月18日截止，但就在1個月前，駭客鎖定打算尚未報稅的民眾，散布惡意軟體。郵件安全業者Cofense約自3月14日開始，發現使用Emotet的駭客宣稱是美國國稅局（IRS），並以提供W-9退稅表單的名義，發動釣魚郵件攻擊來散布Emotet。

研究人員指出，與過往不同的是，這些駭客今年為了取信收信人，不只在簽名檔加入美國國稅局的標誌，還會在信件內文提及收信人所屬的公司名稱。此外，為了規避郵件安全系統的檢查，駭客使用以密碼保護的ZIP壓縮檔做為附件，並在內文提供解壓縮密碼。

木馬程式Gh0stCringe鎖定兩大關聯式資料庫下手

駭客鎖定關聯式資料庫發動攻擊的情況再度發生，但這次是同時針對2大知名資料庫下手。資安業者AhnLab揭露使用Gh0stCringe木馬程式的攻擊行動，駭客同時針對執行微軟SQL Server，以及MySQL資料庫的Windows電腦下手，利用這兩款資料庫的主程式處理程序，將名為Mcsql.exe的惡意程式寫入。研究人員在同一臺電腦上，發現有多種版本的Gh0stCringe，研判很可能有多組駭客同時發動攻擊。

而此木馬程式最主要的功能，是側錄鍵盤輸入的內容，並回傳受害電腦安裝的防毒軟體等資訊給C2伺服器，以便攻擊者進一步遠端下達各式攻擊命令，像是下載其他惡意程式、破壞主要開機磁區（MBR），或是清除受害電腦的事件記錄等。

勒索軟體LokiLocker攻擊東歐和亞洲，鎖定英文使用者而來

新興的勒索軟體家族出現，且伴隨著破壞資料（Wiper）的能力。BlackBerry的資安研究團隊揭露名為LokiLocker的勒索軟體，這款勒索軟體最早約於2021年8月出現，且全球各地都有受害者，但多數在東歐和亞洲。駭客使用.NET開發LokiLocker，並透過NETGuard和KoiVM等應用程式保護工具，來防堵研究人員進行反組譯。

該公司提到，駭客要求LokiLocker受害者限期支付贖金，但逾期後駭客可透過該勒索軟體的資料破壞功能，刪除受害電腦的資料，並破壞磁碟的主要開機磁區（MBR）。至於攻擊者的身分，基於駭客所使用的英文文法，以及不會對位於伊朗的電腦發動攻擊等特性，研究人員認為很有可能是伊朗駭客所為。

經營殭屍網路TrickBot的駭客利用逾500個網域發動網釣攻擊，意圖竊取Naver用戶帳密

在南韓擁有許多用戶的入門網站Naver，旗下也如同Google提供各式各樣的服務，而這類使用者帳號也成為駭客眼中的肥羊。資安業者Prevailion在2022年1月下旬，發現專門鎖定Naver用戶的網路釣魚攻擊，當中駭客使用多達532個網域，研究人員留意到這些網域與駭客組織Wizard Spider的基礎設施部分相同，研判就是這個經營殭屍網路TrickBot的俄羅斯駭客組織所為。

GoDaddy代管的WordPress網站疑遭惡意軟體攻擊，1天內近300個網站受害

駭客攻擊WordPress網站的管道，不少是針對外掛程式下手，但最近出現鎖定代管業者的攻擊行動。資安業者Wordfence指出，他們在3月11日開始，發現有298個WordPress網站在一天內被植入後門程式。這些網站至少有281個是由GoDaddy代管，且為MediaTemple、tsoHost、123Reg等經銷商提供相關服務。

而駭客在這些WordPress網站上散布相同的後門程式，是在2015年出現的冒牌Google搜索引擎最佳化（SEO）工具，會產生含有惡意網站的搜尋結果，進而將想要瀏覽WordPress網站的使用者帶往惡意網站。

研究人員呼籲，使用GoDaddy網站代管服務的WordPress用戶，應檢查wp-config.php是否遭到竄改，並清除惡意搜尋的結果。

微軟企業版防毒軟體驚傳誤報，這次是將Office更新當作勒索軟體

微軟提供的企業版防毒軟體Microsoft Defender for Endpoint，日前曾在Emotet重出江湖的時候，將部分Office文件當作Emotet惡意軟體而引起恐慌，最近再度傳出誤報的情況。根據資安新聞網站Bleeping Computer的報導，自3月16日開始，有不少系統管理者指出，他們看到這款防毒軟體將Office更新程式誤判為勒索軟體的警示通知。隨後微軟也確認這是一起誤報事故，根據該公司調查，疑似此防毒軟體近日的更新元件引發此事，他們也著手進行修復。

遠傳Friday購物傳出客戶個資外洩，近期連3周被165列為高風險賣場

165反詐騙諮詢專線持續針對疑似個資外洩業者或組織示警，近期值得關注的是「遠傳Friday購物」，自2月中我們即注意到該公司入榜的情況，至今為止，已連續3週被列入高風險平臺通報名單之中，並都是件數第二高，僅次於去年底就一直最嚴重的東森購物。而根據國內媒體蘋果日報報導，前兩周已有消費者投訴，指稱接獲不明人士假冒遠購物客服來電，並且來電中明確指出民眾購買過的品項、時間與分期方式。後續，3月5日遠傳已在官方網站上提醒用戶慎防詐騙，但目前尚未公告此事件的調查狀況。

【漏洞與修補】

加密通訊程式庫OpenSSL存在憑證解析漏洞，一旦遭到攻擊者利用，恐導致服務中斷

加密通訊程式庫OpenSSL於3月15日發布安全性更新，修補CVE-2022-0778漏洞，這項漏洞一旦遭到利用，將可能觸發功能無限循環執行，並導致阻斷服務（DoS）的情況。此漏洞出現於BN_mod_sqrt()函數的解析錯誤，一旦有人使用OpenSSL解析惡意證書，就有可能導致此程式庫進入無限循環執行，該漏洞影響1.0.2、1.1.1、3.0等多個版本，開發者已推出對應的修補程式供用戶更新。值得留意的是，義大利電腦資安事件應變小組（CSIRT-ITA）於16日提出警告，這項漏洞可能已被用於攻擊行動。

【資安產業動態】

SentinelOne併購Attivo Networks，強化身分驗證防護能力

資安業者SentinelOne於3月15日宣布，他們將以6.17億美元的價格，買下身分威脅偵測與回應（ITDR）公司Attivo Networks。該公司表示，併購完成後，他們會借助Attivo Networks的ITDR檢測能力，來強化Singularity XDR平臺的零信任策略防線。

英國暫緩NortonLifeLock與Avast併購案，要求業者提出說明

防毒廠商NortonLifeLock去年8月宣布，將以80億美元的價格買下另一家防毒業者Avast，但此事最近可能出現變數。英國競爭與市場局（CMA）自今年1月開始，針對這起併購案進行調查，於3月16日宣布結果，由於這兩家公司在當地是主要競爭對手，CMA認為，一旦併購後很可能導致市場競爭減少，從而影響消費者選購防毒軟體產品的權利。CMA要求這兩家防毒廠商在5個工作天內進一步說明，再決定是否需要啟動第2輪調查。

由於NortonLifeLock今年初將挖礦功能加入防毒軟體引發爭議，且旗下併購的另一款防毒軟體Avira也同樣內建相關功能（Avira Crypto），若是NortonLifeLock將Avast併入旗下，Avast用戶很可能將必須被迫接受防毒軟體綑綁挖礦功能的情況。