【資安週報】2022年10月17日到10月21日

本週資安新聞中，以Apache軟體基金會（ASF）呼籲用戶盡速更新，以修補CVE-2022-42889漏洞的消息最受注目，因為有研究人員指出這樣的漏洞，有可能會引發類似Log4Shell的效應，因此又被稱之為Text4Shell。

在威脅趨勢上，勒索軟體危害是最大焦點，本周新聞中就有多項消息，例如，烏克蘭、波蘭物流業者，澳洲保險業，印度藥廠，以及日本兩家科技業者都是新的受害者，甚至德國報社集團旗下多間媒體的紙本電子作業都停擺；另外，在勒索軟體攻擊態勢上，有研究人員揭露，近期勒索軟體Venus鎖定遠端桌面連線服務的行動，以及勒索軟體Magniber利用夾帶惡意JavaScript指令檔方式以及迂迴手段發動攻擊的行動。

不過也有好消息，勒索軟體DeadBolt被國際執法單位與資安業者智取，成功拿回150個解密金鑰，9成NAS設備受害者有機會解密。

還有值得關注的一些威脅，像是印度Tata Power發電廠遭網路攻擊，關鍵基礎設施安全防護受注目；哥倫比亞警方遭駭導致跨國合作緝毒曝光，甚至危及澳洲臥底警探身分；通常為國家級駭客使用的UEFI惡意程式，近期有駭客正在兜售一款BlackLotus；竊密軟體Ducktail透過記憶體內執行PHP指令碼，竊取瀏覽器的帳密資料與受害者臉書帳號。

國內方面，行政院修正禁用中國資通產品條例受關注，擴大禁用範圍並要求例外使用需經2位資安長同意。

【10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰

又是因政府機關保護資料不力，而使得跨國合作的其他單位也跟著受害！根據澳洲媒體的報導，該國警方查緝哥倫比亞跨國走私毒品的相關資料，因哥倫比亞政府遭駭而流入駭客論壇。類似的事件已非首例──今年9月，葡萄牙武裝部隊參謀總部（EMGFA）遭到網路攻擊，導致與北大西洋公約組織（NATO）有關的文件外洩。

惡名昭彰的勒索軟體DeadBolt，自今年初不斷針對NAS設備發動攻擊，在執法單位與資安業者通力合作之下，傳出了好消息。荷蘭警方成功向駭客取得逾150個解密金鑰，有望解鎖9成受害的NAS設備。

駭客利用惡意指令檔對受害電腦下手，且藉由迂迴的手段發動攻擊的情況，也相當值得留意。近期的勒索軟體Magniber、竊密軟體Ducktail攻擊行動，分別透過經過混淆處理的JavaScript與PHP指令碼，來攻擊一般使用者。

【10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus

在本日的資安新聞裡，勒索軟體攻擊占大多數，且橫跨製造業、生技業者、媒體、金融業。其中，涉足半導體、汽車、醫療產業的日本科技業者大宮化成遭勒索軟體LockBit攻擊的事故相當值得留意，因為這起事故很可能波及相關產業的上下游供應鏈。

能埋藏在電腦UEFI韌體的惡意程式，過往有數起攻擊事故傳出，攻擊者身分往往是國家級駭客。但最近有人開始在駭客論壇兜售此種攻擊軟體而引起研究人員高度關注。研究人員認為，一旦駭客買到這種惡意軟體，很有可能用於自帶驅動程式（BYOVD）攻擊。

Fortinet於一個禮拜前優先向部分用戶以電子郵件通報重大漏洞的做法惹議，該公司也對此提出說明，並提供入侵指標供企業檢查是否遇害。

【10月19日】Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞

Apache針對旗下的程式庫Commons Text，在9月底修補重大漏洞CVE-2022-42889，並於近日提出警告。這個漏洞引起不少研究人員高度關注，但原因為何？有資安專家指出，由於有許多Java專案都採用這個程式庫，嚴重程度很可能直逼Log4Shell。

滲透測試工具Cobalt Strike近日發布更新，原因是修補一項9月下旬修補不全引發的RCE漏洞CVE-2022-42948。軟體開發商表示，這項漏洞涉及該工具所使用的框架。

【10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩

香港政府也是中國駭客APT41監控的對象！由於駭客利用特定的後門程式發動攻擊，研究人員針對此後門程式與手法進行比對，此為該組織大規模網路間諜行動的其中一環。

駭客打造的後門程式竟出現了幾乎無法被偵測出來有害的情況！有人透過提供職缺申請表的名義散布此惡意軟體，較為罕見的是後門程式會將自己登錄為作業系統更新程序，而能規避偵測。

微軟因其中一臺伺服器配置不當，使得超過6.5萬家企業客戶資料也隨之曝光，很有可能是有史以來最嚴重的B2B資料外洩事故。

【10月21日】WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺

WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。

駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。

小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。