【資安日報】2022年4月1日，Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺

Java框架Spring出現的重大漏洞CVE-2022-22965，這幾天引起許多資安人員高度關注，並認為嚴重程度很有可能接近Log4Shell。Spring於3月31日發布了資安通告，提供修補此漏洞的新版軟體，並說明可能會曝露於該漏洞風險的情境，同時也提醒IT人員不能掉以輕心。

美國衛星網路業者Viasat於2月24日遭到網路攻擊，而使得部分歐洲用戶無法上網的事故，有資安業者做出更多說明，指出駭客對這些用戶的數據機進行資料破壞（Wiper）攻擊，並找到可能是俄羅斯駭客發動攻擊的證據。

在烏克蘭戰爭中，俄羅斯軍隊節節敗退，加上許多國家祭出經濟制裁，該國也出現了與過往有所不同的網路攻擊事故，一起疑似是俄羅斯自導自演，而使得該國飛航主管機關資料遭到破壞，而被迫改以紙本作業的情況；另一起則是鎖定該國反對發動戰爭人士而來的網路釣魚攻擊。

【攻擊與威脅】

Viasat衛星網路用戶的數據機遭到資料破壞軟體AcidRain攻擊

自美國衛星服務業者Viasat公布2月24日遭駭的調查結果後，有研究人員指出，駭客疑似使用了資料破壞軟體（Wiper），導致Ka-Sat部分用戶的數據機無法運作。資安業者SentinelOne指出，他們在3月15日，看到名為ukrop的ELF檔案被上傳到惡意軟體分析平臺VirusTotal，這個Linux執行檔可在MIPS架構的設備上運作，根據檔案的名稱，研究人員認為很有可能是「烏克蘭行動」的縮寫，推測該惡意軟體是專門針對烏克蘭的攻擊行動所開發，且疑似在Ka-Sat網路攻擊裡破壞數據機的檔案，研究人員將其命名為AcidRain。

有別於烏克蘭先前出現的資料破壞軟體，幾乎都是針對Windows電腦而來，AcidRain的攻擊目標是數據機，研究人員進一步追查，發現AcidRain與VPNFilter部分程式碼有共通之處，推測背後的攻擊者有可能是俄羅斯駭客組織Sandworm。

俄羅斯聯邦航空運輸局聲稱遭駭而回歸紙本作業，匿名者否認與他們有關

烏克蘭戰爭開戰之後，俄羅斯不少政府機關與關鍵基礎設施（CI），陸續傳出遭到網路攻擊，但現在傳出該國有機關疑似出現自導自演的資安事故。根據新聞網站Aviation24.be的報導，俄羅斯聯邦航空運輸局（Rosaviatsia）表示他們在3月26日遭到網路攻擊，導致所有文件、飛機註冊資料，以及電子郵件等總計65 TB資料，全部遭到刪除，且網路暫時斷線、電子文件系統亦無法使用，該機構因沒有預算而並未備份資料，迫使他們改以人工作業因應。

俄羅斯指控，駭客是攻擊IT基礎架構服務業者InfAvia，而能成功破壞聯邦航空運輸局的內部網路環境。對此，這一個多月以來大肆對俄羅斯發動網路攻擊的駭客組織匿名者（Anonymous）否認涉案，並指出很有可能是俄羅斯政府所為。雖然匿名者沒有提出相關證據說明，但外界普遍認為應該是俄羅斯政府自導自演。

而對於俄羅斯這麼做的目的，外界認為，很有可能是為了沒收他國停在俄羅斯的飛機，或者是與Rosaviatsia的貪污案有關，也有可能是找尋可以發動軍事行動或是網路攻擊的藉口。

駭客鎖定俄羅斯政府機關與民眾發動釣魚郵件攻擊，疑似監控反戰人士

俄羅斯駭客在武裝行動開始以來，不斷對烏克蘭發動網路攻擊，但現在出現疑似針對國內反戰人士的行動。資安業者Malwarebytes發現針對俄羅斯政府與民眾的釣魚郵件攻擊行動，這些郵件向收信人提出警告，如果存取俄羅斯政府封鎖的網站、社群網站、即時通訊軟體，甚至企圖使用VPN服務突破政府封鎖的人士，將會面臨刑事訴訟，若是收信人想要知道細節而不慎開啟附件，電腦將可能會被植入Cobalt Strike。

研究人員指出，駭客使用RTF格式的文件檔案，並使用MSHTML重大漏洞CVE-2021-40444或其變種漏洞Cabless，來對受害電腦發動攻擊。收信人一旦開啟RTF檔案，將會下載惡意HTML檔案，進而遭到上述HTML漏洞的攻擊，並被植入Cobalt Strike而遭到監控。

中國駭客組織利用VMware遠距工作平臺Log4Shell漏洞，植入蠕蟲軟體

駭客鎖定遠距工作平臺VMware Horizon下手，並利用Log4Shell漏洞入侵受害主機的現象，最近又有相關事故。資安業者Fortinet發現中國駭客組織Deep Panda的攻擊行動，駭客鎖定VMware Horizon伺服器，並利用Log4Shell漏洞成功入侵之後，於受害主機植入蠕蟲程式Fire Chili。

研究人員指出，駭客使用了有效的簽章來規避偵測，而這些簽章的來源，疑似是從資安業者Comodo與遊戲開發商Frostburn Studios竊得。值得留意的是，這些簽章也遭到惡名昭彰的駭客組織Winnti所運用，研究人員認為可能是兩個駭客組織之間共用部分資源。

勒索軟體Hive利用新的混淆手法IPfuscation，以規避偵測

繼日前勒索軟體駭客組織Hive改以Rust開發Linux版攻擊工具後，該組織也傳出為Windows版Hive加入新的規避偵測機制。資安業者SentinelOne指出，他們看到勒索軟體Hive使用名為IPfuscation的新型態規避手法，駭客運用ASCII字元表示的IPv4位址數字，或是IPv6位址、UUID、MAC位址，來進行混淆，當勒索軟體的檔案執行時，就會將其轉換成二進位的資料，進而產生Shell Code。

由於上述字串解密之前看起來就是單純的IP位址或是MAC位址，而難以被防毒軟體察覺異狀，研究人員認為，企業很可能需要透過行為檢測的資安工具，才能識破這種攻擊手法。

研究人員揭露可干擾電動汽車充電站運作的Brokenwire攻擊手法

電動汽車是現今世界各國發展的潮流，隨著充電站部署越來越密集，有越來越多民眾選購這類車輛，一旦充電站遭到操弄，很有可能影響甚廣。英國牛津大學及瑞士國防聯邦採購辦公室（Armasuisse）聯手，公布能干擾這類充電站運作的手法Brokenwire，只要透過簡單的設備，就能在距離充電站約47公尺的地方發動攻擊，進而讓汽車無法充電。

這項手法是針對時下電動車直流電快速充電機制「複合式充電系統（CCS）」而來，研究人員使用無線訊號放大器與自製的天線，針對7款汽車與18個充電站進行實驗，一旦他們發出惡意訊號，充電站隨即停止對車輛充電。Brokenwire將會影響北美與歐洲CCS充電設備，研究人員認為至少1,200萬輛汽車可能會受到影響，此外，其他透過充電提供動力的船隻、飛機、重機具，也可能會遭到波及。

Palo Alto Networks用戶技術支援報修服務網站傳出漏洞，使用者竟能看到近2千筆他人報修的工單

資安業者的用戶技術支援報修服務網站出現錯誤，有可能不慎將使用者的資料曝光。資安新聞網站Bleeping Computer指出，他們接獲資安業者Palo Alto Networks的用戶通報，該用戶在3月10日註冊該公司的用戶技術支援報修服務網站的帳號後，起初瀏覽器只能存取常見問題資料庫，且在存取Palo Alto Hub的時候出現403權限不足的訊息，但在通報該公司技術支援部門並得到修復後，他的帳號竟然能從「我的公司」看到由他人發出的1,989件技術支援工單，當中部分工單包含了問題描述的相關檔案，例如防火牆事件記錄檔案（Log）、組態配置檔案、網路安全群組的規畫等。

針對這起事故，Palo Alto表示，目前沒有使用者資料遭到外洩的跡象，且僅有這名用戶的帳號出現異常。根據他們的調查，很可能是用戶技術支援報修服務網站系統中的權限配置錯誤造成，該公司已經予以修正。

【漏洞與修補】

Spring修補SpringShell漏洞

許多研究人員於3月29日至30日提出警告，Java框架Spring Core存在極為嚴重的漏洞SpringShell（亦稱Spring4Shell），Spring於31日發布資安通告並揭露細節，同時推出Spring Framework 5.3.18版與5.2.20版，以及Spring Boot 2.6.6版與2.5.12版修補這項漏洞。此漏洞如今也有了正式的CVE編號CVE-2022-22965。

Spring指出，這項漏洞必須要有多項條件符合才會觸發，此漏洞與Spring MVC和Spring WebFlux應用程式有關，且要在Java開發套件（JDK）9.0以上版本環境運作，應用程式也要以WAR模式部署，並以Tomcat作為Servlet容器等條件，相關系統才會曝露於SpringShell風險之中。開發者指出，假如應用程式以預設參數部署為Spring Boot的可執行jar檔案，則該系統應該不易受到SpringShell影響。但Spring認為，攻擊者很有可能透過其他方法利用，而不能掉以輕心，他們呼籲用戶儘速安裝更新，或是採取緩解措施。

Zyxel修補影響VPN、防火牆產品的韌體重大漏洞

防火牆設備一旦出現存取機制控管不當的弱點，很有可能讓攻擊者能夠繞過相關身分驗證而為所欲為。Zyxel於3月29日發布資安通告，修補旗下防火牆設備的身分驗證繞過漏洞CVE-2022-0342，這項漏洞起因是部分防火牆韌體版本的CGI程式裡，存在存取控制機制不當的情況，使得攻擊者能夠繞過身分驗證，進而取得管理員權限。

該漏洞CVSS風險層級高達9.8分，且USG、USG Flex、ATP、VPN、NSG產品線的設備都可能受到波及，該公司呼籲用戶應儘速安裝新版韌體。

iOS與macOS裝置存在2個零時差漏洞，蘋果緊急修補

蘋果於3月31日發布macOS Monterey 12.3.1、iOS 15.4.1、iPadOS 15.4.1，當中修補了2個可能已被用於攻擊行動的零時差漏洞CVE-2022-22675、CVE-2022-22674，前者與AppleAVD影音解碼框架有關，同時影響Mac電腦與iOS裝置，而後者存在於Mac電腦的Intel顯示晶片驅動程式，為越界讀取漏洞。截至目前為止，蘋果今年已經修補了5個零時差漏洞。