【資安日報】2022年4月28日，駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立

雖然微軟不斷呼籲用戶停止使用IE瀏覽器，但在企業裡很有可能仍有部分系統需要透過這款瀏覽器存取，因此，利用該瀏覽器漏洞的攻擊行動仍相當值得留意。最近有研究人員發現一起投放竊密軟體RedLine的攻擊行動，而駭客利用的漏洞，就是微軟於去年3月公布的IE漏洞CVE-2021-26411。

在上述的瀏覽器漏洞攻擊之外，與烏克蘭戰爭有關的網路攻擊也引起外界關注。而在今天的資安新聞中，有2則與之相關的新聞。一則是中國駭客Mustang Panda的攻擊行動，他們過往曾鎖定協助烏克蘭難民的歐洲外交單位，但他們現在也攻擊俄羅斯的政府官員。

另一起則是俄羅斯駭客開始針對烏克蘭附近的國家出手的攻擊行動，他們對於立陶宛、愛沙尼亞等國家的電信業者、工業公司下手。

而在今天的臺灣資安界也發生了一件大事，那就是臺灣CISO聯盟的成立。尋找合適的資安長是許多臺灣企業正在討論的重大議題，不過，也有一些企業已經設立資安長，而為了促進多個公司資安長的交流，有14家來自不同產業的公司籌組了臺灣資安主管聯盟（臺灣CISO聯盟），在今天正式成立。

【攻擊與威脅】

駭客利用IE漏洞投放竊密軟體RedLine

隨著IE與相關的外掛程式逐漸遭到棄用，駭客運用漏洞利用工具包（Exploit Kit）的攻擊行動大幅下降，但這類手法並未因此消聲匿跡。防毒業者Bitdefender指出，他們發現駭客在一起散布竊密軟體RedLine的過程裡，攻擊者使用名為RIG Exploit Kit的漏洞利用工具包，並針對網頁瀏覽器Internet Explorer（IE）的漏洞CVE-2021-26411而來，此漏洞會導致使用者在瀏覽攻擊者特製網站時，出現記憶體損壞的情況。駭客一旦入侵成功並部署RedLine，就能進一步在受害電腦上搜刮瀏覽器資料、加密貨幣錢包的私鑰、信用卡資料等。

中國駭客Mustang Panda鎖定俄羅斯政府官員發動網釣攻擊

在烏克蘭戰爭未明確表達支持或反對力場的中國，先前傳出該國駭客鎖定協助難民的歐洲外交單位下手，但最近他們也開始針對俄羅斯發動攻擊。資安業者Secureworks發現，中國駭客Mustang Panda（亦稱HoneyMyte、Bronze President、TA416）於2022年3月，以歐盟針對白俄羅斯進行制裁的細節為由，鎖定俄羅斯政府官員發動網路釣魚攻擊，引誘對方開啟附件檔案，透過帶有合法簽章的可執行檔案，以DLL側載（DLL Sideloading）的方式，載入惡意程式PlugX。

研究人員指出，DLL載入工具（DLL Loader）在執行的過程裡，會導出8個函式，但實際上只有其中一個帶有實際要執行的指令，很可能因此能夠躲過資安防護系統的偵測。

俄羅斯駭客鎖定電信業者散布惡意軟體DarkWatchman

俄羅斯駭客近期對烏克蘭頻頻發動攻擊，但他們現在也鎖定其他鄰近的國家下手。IT業者IBM的威脅情報團隊指出，使用俄語的駭客組織Hive0117近期發動釣魚郵件攻擊，鎖定立陶宛、愛沙尼亞、俄羅斯電信服務供應商、工業公司，這些釣魚郵件幾乎都寄給公司負責人或是高層，駭客冒充俄羅斯司法部，且郵件內含該單位的標誌，看起來更像由該單位發出。

一旦收信人依照指示打開附件ZIP檔案的內容，電腦就有可能被感染惡意軟體DarkWatchman，為駭客提供後門，並藉由PowerShell程式碼側錄鍵盤輸入的內容。而對於Hive0117的身分，研究人員認為該組織並非俄羅斯政府資助的駭客，攻擊行動很可能出於經濟利益，而非與政治訴求有關。

駭客近半年來針對印度石油公司攻擊逾36萬次

印度國有的石油公司Oil India傳出於4月13日遭到攻擊，位於阿薩姆工廠的IT系統遭到鎖定，當地媒體報導駭客索討750萬美元的贖金。但根據當地非營利資安組織Cyberpeace Foundation的調查，駭客針對該公司下手的情況相當頻繁，從2021年10月至今年4月12日，他們偵測到近36萬次的攻擊行動，其中，攻擊行動有約三分之一出現在去年10月，為11.7萬次。

這項研究也顯示，駭客鎖定印度關鍵基礎設施的網路攻擊越來越多，尤其是對於石油產業的網路釣魚最為顯著。雖然該組織並未說明攻擊來源，但根據研究人員發現的JavaScript程式碼疑似來自百度網域，中國駭客很有可能參與相關攻擊行動。

勒索軟體Onyx鎖定大型檔案進行破壞

過往勒索軟體攻擊行動中，駭客通常會鎖定檔案較小的檔案進行加密，而略過較大的檔案，但最近有勒索軟體出現新的攻擊手法。資安研究團隊MalwareHunterTeam發現，有一款名為Onyx的勒索軟體，依據檔案大小之分，而採取加密與破壞的兩面策略，近期被用於攻擊行動，駭客宣稱已有6個組織受害。

研究人員針對此勒索軟體進行分析發現，Onyx會將小於200 MB的檔案加密，而對於大型的檔案，則是寫入隨機資料來進行破壞，換言之，即使受害組織向駭客支付贖金取得解密工具，只能將小於200 MB的檔案復原。研究人員呼籲，受害者不要向駭客低頭，因為就算想要付錢了事，還是很有可能無法復原所有的資料。

【漏洞與修補】

Linux弱點Nimbuspwn可被攻擊者用於提升權限

隨著Linux在企業運用越來越廣泛，這類作業系統的元件漏洞，也引起資安人員的重視。微軟揭露名為Nimbuspwn的一組漏洞，當中包含了CVE-2022-29799、CVE-2022-29800兩個漏洞，一旦被攻擊者串連利用，就有機會藉此取得受害主機上的root權限。

研究人員指出，Nimbuspwn與Linux主機發出連線狀態有關，存在於networkd-dispatcher套件裡面。這些漏洞涉及目錄遊走（Directory Traversal）、符號連結競爭（Symlink Race），以及查核與使用時間的競爭條件（Time-of-Check-Time-of-Use Race Condition），而能夠讓駭客擴張權限，進而部署惡意程式或是進行其他攻擊行為。networkd-dispatcher維護者Clayton Craft獲報後已修補上述漏洞，IT人員應儘進安裝新版軟體修補。

威聯通呼籲用戶停用AFP通訊協定，避免NAS遭到Netatalk元件的漏洞波及

在Linux檔案伺服器上，有個能夠支援蘋果電腦存取的通訊元件Netatalk，相當有名，不過，在Pwn2Own 2021，研究人員找到重大漏洞，最近也有NAS業者為此提出警告。威聯通於4月25日發布資安通告指出，該公司NAS設備用來支援macOS作業系統存取的Netatalk元件，存在CVE-2021-31439、CVE-2022-23121、CVE-2022-23123、CVE-2022-23122、CVE-2022-23125、CVE-2022-23124、CVE-2022-0194等多項漏洞，當中有數個漏洞CVSS風險層級達到9.8分。該公司已針對QTS作業系統發布4.5.4.2012版（組建編號20220419）予以修補，並呼籲尚未安裝更新韌體的用戶，應暫時停用Apple Filing Protocol（AFP）通訊協定來緩解相關風險。

【資安防禦措施】

因應資安成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」

「臺灣資安主管聯盟（簡稱台灣CISO聯盟）」今天宣布正式成立，首任聯盟會長由華碩集團資安長金慶柏擔任。這個聯盟由國內14家企業所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，希望日後能招募更多會員加入，提升臺灣產業資安韌性。

金慶柏指出，臺灣資安主管聯盟將聚焦於4大目標：第一，資安主管核心能力養成；第二，專業資安人才培訓整備；第三，資安產業服務能量鏈結；第四，資安治理合規制度建立。同時，該聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。