【資安日報】2022年7月5日，駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞

駭客握有大量個資的情況，3年前曾有Collection #1，這是綜合了近3千起資安事故所竊得的資料而成。但最近有人在駭客論壇裡，打算出售高達10億筆中國民眾的資料，並宣稱來自上海國家警察（SHGA）。究竟這些資料是否仍為有效？有新聞媒體檢驗了駭客提供的部分內容，並確認數筆資料的正確性。此外，加密貨幣交易所幣安（Binance）執行長趙長鵬也透露此起事件可能發生的原因。

名人的推特或YouTube帳號遭到挾持，並被竄改內容用於詐騙的情況，時有所聞，但最近有一起事故是同時針對上述兩種帳號而來的攻擊行動，而且是鎖定國防單位的帳號而來，但為何會遭到入侵？相關單位表示仍有待進一步調查。

Google最近發布了新版Chrome，修補了WebRTC堆積緩衝區溢位漏洞CVE-2022-2294，值得留意的是該漏洞已出現相關攻擊，Windows、macOS、Android用戶要趕快安裝新版軟體。

【攻擊與威脅】

駭客聲稱從中國警方取得逾10億民眾個資，有可能是史上規模最大的資料外洩事件

駭客公布大量資料的情況，在3年前，曾有人於地下論壇集結近3千起事故洩露的個資Collection #1，總共有近7.7億個用戶受到波及，但現在這樣的規模將被打破。根據路透社、華爾街日報等新聞媒體報導，名為ChinaDan的駭客於駭客論壇Breach Forums，出售檔案大小逾23 TB的資料庫，他聲稱資料來自上海國家警察（SHGA），內容涵蓋10億名中國民眾的姓名、生日、身分證字號、聯絡電話、住址，以及犯罪紀錄，這名駭客開價10個比特幣，約相當於20萬美元。

為了取信買家，ChinaDan公布了其中75萬筆資料，根據這些已被公開的資料，駭客取得的資料涵蓋1995年至2019年，華爾街日報對於其中的部分內容進行驗證，至少有5人的資料正確，該新聞媒體亦表示，某些案件的細節只有警方才會掌握相關資料。

大型加密貨幣交易所幣安（Binance）執行長趙長鵬也針對此事提出看法，指出該公司的威脅情報團隊確實在暗網中，發現兜售上述資料的情況，並表示這些資料來自某個亞洲國家的政府，疑似是部署Elasticsearch資料庫所引入的臭蟲而導致資料外洩，也有可能是政府的開發者在中國開發者社群CSDN撰寫部落格時，不慎外洩相關帳密。但這些資料是否來自中國政府？上海市政府和公安部門都尚未針對此事做出回應。

英國陸軍推特與YouTube帳號遭駭，並用於網路詐騙

駭客針對知名組織、名人的推特或YouTube頻道進行挾持，並用於詐騙的情況，不時傳出相關事故，但最近有一起駭客同時針對上述兩種帳號進行挾持的事故，而引起各界關注。根據加密貨幣新聞網站Web3 Is Going Great的報導，擁有36.2萬人追蹤的英國陸軍推特帳號，以及該單位擁有17.8萬人追蹤的YouTube頻道，於上週末遭不明人士挾持，置換成推銷NFT及加密貨幣交易的詐騙訊息，英國國防部證實此事並著手調查，並於7月4日表示上述的推特與YouTube帳號恢復正常。

微軟針對惡意軟體Raspberry Robin攻擊行動提出警告

有研究人員去年發現惡意軟體Raspberry Robin的蹤跡，現在出現了新的攻擊行動而引起關注。根據資安新聞網站Bleeping Computer的報導，微軟針對Microsoft Defender for Endpoint的用戶，近期提供的威脅情報指出，他們發現許多用戶的網路環境裡，出現名為Raspberry Robin的蠕蟲，主要的散布途徑是透過USB外接裝置，該蠕蟲程式還會透過合法的Windows工具，來繞過使用者帳號控制（UAC）。微軟已將相關攻擊活動標記為高度風險，呼籲用戶要提高警覺。

勒索軟體AstraLocker釋出解密金鑰

勒索軟體駭客疑似為了避免執法單位找上門而決定收手，但這不代表他們打算就此改邪歸正。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客AstraLocker打算關閉相關業務，並將解密金鑰上傳到了惡意程式分析平臺VirusTotal，該新聞網站也確認駭客提供的解密程式確實能解鎖檔案，資安業者Emsisoft打算根據駭客的解密軟體，打造能因應組織所有攻擊行動的解密工具。

這些駭客向Bleeping Computer表示，他們不想再發動勒索軟體攻擊，現在想要轉換跑道挾持他人電腦來挖礦。

【漏洞與修補】

Google修補Chrome瀏覽器的零時差漏洞CVE-2022-2294

Google於6月下旬推出Chrome 103版，在2個星期後緊急推出更新，目的是為了修補已被利用的零時差漏洞。Google於7月4日，發布Windows版Chrome 103.0.5060.114、Android版103.0.5060.71，以及延伸支援版本102.0.5005.148（Windows、macOS版本），該公司之所以推出這些版本，就是修補已經遭到利用的漏洞CVE-2022-2294，這是WebRTC堆積緩衝區溢位漏洞。相關用戶應儘速安裝新版Chrome來防堵攻擊行動。而這是今年以來Google修補的第4個Chrome零時差漏洞。

網頁框架軟體Django發布新版，修補SQL注入漏洞

以程式語言Python打造的網頁框架Django，最近修補了SQL注入漏洞CVE-2022-34265，所有尚在支援的Django版本，包括3.2版、4.0版，以及尚在測試階段的4.1版都會受到影響。Django軟體基金會發布了3.2.14版與4.0.6版予以修補，並表示4.1版正式版本將包含相關的修補程式碼。

【資安防禦措施】

為推廣行動裝置檢測工具TinyCheck，卡巴斯基設立專屬網站

近期攻擊者透過手機間諜程式跟蹤被害人的情況，不時有事故傳出，使得相關的檢測工具顯得更加重要。卡巴斯基最近針對2年前推出的檢測工具TinyCheck，設置了專屬的網站，並提供相關說明，以便組織將此工具部署於單板電腦Raspberry Pi，以非侵入式的方法，來檢查手機上是否有手機間諜程式活動的跡象──該系統藉由檢查手機對外的流量，並辨識這些流量互動的設備，來找出是否有存取手機間諜程式伺服器的情況。

該公司強調，此系統只會與手機的通訊對象互動，所有分析都會在本地進行，資料不會傳送給卡巴斯基或是其他單位。而此工具在問世之後，已有多個非政府組織採用，近期亦受到歐盟組織、記者、企業的注意，當地執法機構也正在進行相關評估，並打算用於相關事故的調查。