【資安日報】2022年10月24日，Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資

Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。

VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。

網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。

【攻擊與威脅】

Apache Commons Text重大漏洞Text4Shell傳出相關攻擊行動

Apache修補Commons Text程式庫重大漏洞CVE-2022-42889（亦稱Text4Shell），並於10月13日發布資安通告，很快就有駭客嘗試尋找可被攻擊的目標。自10月18日開始，資安業者Wordfence、Zscaler、Checkmarx提出警告，已有攻擊者開始在網路上進行掃描，研究人員認為，雖然此程式庫漏洞不像Log4Shell那麼容易被利用，但要是攻擊者成功運用，將有可能引發嚴重的RCE攻擊事故。

VMware身分驗證管理系統的重大漏洞遭到利用，被用於部署多種惡意程式

資安業者Fortinet提出警告，VMware身分驗證管理系統Workspace ONE Access（原Identity Manager）近期遭到鎖定，駭客針對今年4月修補的漏洞CVE-2022-22954（CVSS風險評分為9.8分），約自8月開始部署殭屍網路病毒Mirai的變種、勒索軟體RAR1Ransom，以及挖礦程式GuardMiner。

研究人員指出，其中駭客散布RAR1Ransom與GuardMiner的攻擊行動同時針對Windows與Linux電腦而來，該工具套件會在Windows電腦上部署勒索軟體RAR1Ransom，並會在Linux主機上植入挖礦軟體GuardMiner。

沙烏地阿拉伯政府入口網站遭仿冒，對當地民眾進行網釣攻擊

資安業者CloudSEK發現，有人假冒沙烏地阿拉伯政府的名義，建置假的當地政府入口網站Absher，藉由網釣簡訊要求民眾更新帳號資訊，一旦受害者依照指示操作，攻擊者就會要求他們存取假的Absher登入網站，並要求輸入手機收到的4位數OTP驗證碼，通過上述身分驗證後，就會要求受害者填寫註冊表單，隨後又會要綁定銀行帳戶，不僅竊取這些民眾的個資，還可能會將他們的銀行帳戶存款洗劫一空。

伊朗原子能源組織郵件伺服器傳出遭駭，疑與當地女權抗議活動有關

9月下旬伊朗婦女瑪莎；阿米尼（Mahsa Amini）死亡，引發當地民眾抗議，如今也出現相關的網路攻擊事故。根據法新社（AFP）的報導，名為Black Reward的駭客組織，於10月21日要脅公布德黑蘭核能計畫機密資料，要求政府釋放所有的政治犯，以及在示威中遭逮捕的人士，並於隔日公開部分文件。伊朗原子能源組織（AEOI）於10月23日證實，他們位於波斯灣沿岸的布什爾核電廠郵件伺服器，遭到境外流量攻擊，外洩的電子郵件內容，包含了與其他組織的技術交流。

勒索軟體駭客Daixin鎖定美國醫療機構下手

美國網路安全暨基礎設施安全局（CISA）、美國衛生及公共服務部（HHS）、美國聯邦調查局（FBI）聯手發布資安通告，名為Daixin的勒索軟體組織自今年6月開始，針對當地醫療機構的多種系統發動攻擊，並竊取病人健康資訊（PHI）及個人資料（PII）。駭客透過VPN伺服器進行入侵，一旦進入受害組織內部環境，就會利用遠端桌面連線（RDP）或SSH連線進行橫向移動，進而設法提升權限後再加密檔案。

旋轉拍賣傳出資料外洩，260萬名用戶資料流入暗網

根據新加坡海峽時報（The Straits Times）報導，網路市集旋轉拍賣（Carousell）於10月21日證實，他們在本月14日察覺資料外洩的跡象，估計有195萬名用戶受到影響。事隔數日，該報引述星期日泰晤士報的調查指出，駭客在暗網上以1千美元的價格，兜售該市集260萬名用戶個資，這筆資料的檔案大小約2 GB，於10月12日上傳，內容包含受害者的ID、姓名、電子郵件信箱、手機號碼、國籍等資料。駭客聲稱相關資料是透過某個漏洞取得，目前已賣給5個買家。

【漏洞與修補】

思科公告身分驗證系統的2個漏洞，但僅修補1個，另1個預計1個月後修補，恐造成防護空窗期

思科針對旗下的身分驗證系統Identity Services Engine於10月19日發布2則資安通告，揭露該系統存在的漏洞CVE-2022-20822及CVE-2022-20959，前者是路徑遍歷漏洞，攻擊者可藉由發送特定的HTTP請求來利用漏洞，進而讀取或刪除系統上需要高權限才能存取的檔案；後者則是跨網站指令碼（XSS）漏洞，攻擊者可引誘管理員點擊惡意連結來達成目的，並存取敏感資訊。

思科已針對CVE-2022-20959發布修補程式，但另一個漏洞的修補程式則預計要下個月才開始提供。