【資安日報】2022年4月6日，Spring漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則

上周Java框架Sping發現重大漏洞，由於熱門框架影響層面廣，因此許多資安業者持續關注該漏洞遭利用的情形，近日就有資安業者公布了最新的發現，例如Check Point指出他們在短短四天內，已遙測到上萬次針對CVE-2022-22965漏洞的嘗試利用，並有16%的企業組織受影響，而微軟也提及在自家雲基礎架構與服務中，追蹤到少量嘗試利用的情形。這樣的情況，也顯示有一些駭客鎖定剛出現的漏洞，利用尚未修補的空窗期，正對企業發動嘗試性攻擊。

另一方面，在資安防護態勢上，近日也有兩大消息值得關注。首先，軟體供應鏈攻擊已成近年資安圈一大關注焦點，而近日Go語言揭露如何減緩供應鏈攻擊，讓更多開發人員可以思考該如何防範相依項目遭破壞的問題；其次，面對駭客組織入侵如何有效偵測與防護，近日MITRE ATT&CK第四輪評估計畫結果正式公布，不只模擬出Wizard Spider與Sandworm駭客組織的入侵方式，呈現產品的偵測與防護結果，也成為連假期間企業與資安業者所關注的另一大焦點。

【攻擊與威脅】

有16%的企業組織面臨針對SpringShell漏洞的嘗試性攻擊

上週Spring框架核心存在RCE漏洞被揭露，並出現概念性驗證攻擊程式，雖然Spring官方在3月31日緊急釋出更新修補，並公開CVE-2022-22965漏洞，但此次漏洞危害情形受外界關注。在4月5日，資安業者Check Point公布最新的分析報告，指出在漏洞曝光後的4天之內，他們透過遙測技術，截獲關於這些漏洞利用嘗試的情況，共有多達3萬7千次鎖定Spring4Shell漏洞的嘗試利用，並指出全球有16%的企業組織，遭受嘗試性漏洞利用的影響。較特別的是，當中並指軟體供應商受衝擊的比例達28%，在所有產業中稍稍偏高，其次為教育與研究機構、保險與法律業，ISP與MSP、以及金融與銀行業，受衝擊比例均在25%以上。

駭客利用SpringShell鎖定微軟雲端服務下手

在上週SpringShell漏洞揭露之後，相關攻擊態勢持續受關注，最近微軟公布了CVE-2022-22965漏洞的檢測方式與指南，當中也談到了他們觀察到駭客利用該漏洞鎖定微軟雲端服務的經過。根據微軟在4月4日的說明，該公司為了更好地做出防禦，會定期監控針對自家雲基礎架構與服務的攻擊。而在Spring核心漏洞揭露以來，他們已經追蹤到少數嘗試利用的情形，也就是針對Spring Cloud與Spring Core漏洞的攻擊嘗試，不過就現階段來看，微軟認為，目前攻擊數量或新活動沒有顯著增加，同時微軟也藉由PoC攻擊過程的介紹，說明他們觀察到的漏洞嘗試利用活動，與此PoC非常相近，當中並指出，攻擊者若透過精心設計的HTTP請求，將可修改網路伺服器或應用程式中的敏感內部變量。

中國駭客APT10透過影音播放軟體VLC Player側載惡意程式

一個月前，博通（Broadcom）旗下的資安團隊賽門鐵克（Symantec）揭露了來自中國駭客的高階後門程式Daxin，在4月5日，該團隊再揭露由中國政府支持的Cicada（又名APT10）駭客組織的間諜活動，並指出恐已持續數月之久。根據賽門鐵克說明，這次觀測到該組織的間諜活動，最早發生在2021年年中，最近一次活動則是2022年2月，顯然是一個長期持續的攻擊活動。就最新的攻擊活動來看，研究人員一開始是在Exchange Server上發現駭侵活動，應是利用未修補的已知漏洞入侵，當攻擊者存取了受害者機器，該組織部署了多種工具，包括客制化的下載器，以及Sodamaster後門程式，這些工具也被用在先前的Cicada攻擊活動中，特別的是，這次他們還發現攻擊者利用VLC媒體播放器，透過VLC的匯出功能，來執行駭客的下載器，並使用WinVNC工具以遠端控制受害機器。

【漏洞與修補】

程式碼代管平臺GitLab出現重大漏洞，攻擊者可用於接管帳號

GitLab近日發布安全公告，說明內部團隊發現CVE-2022-1162重大漏洞並已修補，此漏洞將影響GitLab Community Edition（CE）與GitLab Enterprise Edition（EE）版本，導致基於OmniAuth的GitLab CE/EE在註冊過程中，無意間設定為靜態固定密碼。現階段，雖然GitLab尚未接獲任何用戶反映遭駭，但為了保險起見，GitLab在修補當天就已主動重設特定用戶的密碼，另也釋出一個腳本程式，供管理人員得以辨識哪些使用者帳號受到CVE-2022-1162漏洞影響。

趨勢科技修補資安防護主控臺Apex Central的RCE漏洞

近期趨勢科技發布產品安全公告，說明發現Apex Central平臺存在一項RCE漏洞，現已釋出修補，並指出已有攻擊者意圖鎖定該漏洞的活動，呼籲用戶應盡速修補。根據趨勢科技的說明，這次修補的是CVE-2022-26871漏洞，該漏洞存在於Apex Central平臺，也就是可供用戶可集中檢視所有端點、伺服器、網路及電子郵件安全防護狀態的中控臺。關於這項漏洞的危害與風險，趨勢科技表示，可讓未經授權的攻擊者上傳任意檔案，並遠端執行程式碼，安全風險值達到8.6分。

【資安產業動態】

防禦軟體供應鏈攻擊，Go語言公開五大安全設計原則

面對軟體供應鏈安全議題，特別是來自相依項目所進行的供應鏈攻擊，近日Go官方部落格上，Go核心開發團隊安全負責人Filippo Valsorda發布專文，公開Go開發工具與流程的設計，說明Go是如何在各階段減緩軟體供應鏈攻擊，引發外界注目。當中揭露5大防禦供應鏈攻擊設計原則，包括：所有Builds應被鎖定，無法自外部更改；模組版本內容永不改變，並能驗證模組真偽；將VCS版本控制系統當作唯一的事實來源；應將建構的程式碼視為不受信任，並且不會自動執行；最後是Go生態系中最重要的緩解策略，頃向用一點複製而不是依賴增加新的相依項目，降低供應鏈風險。

MITRE ATT&CK第四輪評估計畫結果出爐

為了幫助市場上端點防護產品提升偵測能力，MITRE ATT&CK評估計畫的舉行，已成為企業與資安產業都關注的評測項目，近期MITRE Engenuity公布第四輪結果。這一輪的評估計畫，共有30家資安業者產品參與，比前一輪的29家更多，而這次評估中所設想的攻擊對象，是以Wizard Spider與Sandworm駭客組織為預想攻擊情境，前者是具經濟動機的駭客集團，以大型企業與醫院為目標，並發動勒索軟體攻擊，後者是具破壞性的俄羅斯駭客組織，曾發動NotPetya勒索軟體攻擊，並攻擊過烏克蘭電氣公司。現在MITRE Engenuity公布各家參與資安業者的評估成果，供企業與業者了解各產品在每一入侵步驟上的偵測與防護能力。