【資安週報】2023年10月23日到10月29日

回顧近期重大漏洞攻擊事故，最受各界矚目的，莫過於思科10月中旬公布的零時差漏洞CVE-2023-20198，駭客將其用於植入後門程式的攻擊行動，但經過一星期的延燒，後續竟出現不合理的劇烈減少的罕見現象，研究人員認為起因是駭客更換新的後門程式，導致原本的後門程式數量減少。

其他資安事故的部分，身分存取管理服務業者Okta客戶技術支援系統遭駭，最令人憂心，因為有非常多的廠商與企業採用，造成廣泛牽連的局面，目前身分存取管理業BeyondTrust、雲端服務業者Cloudare、密碼管理業者 1Password，都表明因這起事故而遭到攻擊。後續效應有待觀察。

電子郵件系統持續遭到駭客組織鎖定已是常態，但針對的平臺也有不同，例如，過往大部分是針對微軟Exchange、開源的Zimbra而來。這週有一套名為Roundcube的網頁郵件系統，俄羅斯駭客組織Winter Vivern、APT28鎖定，對方正在利用未知或已知漏洞從事攻擊行動。

這週也有攻擊隔離網路（Air-Gapped）環境的情況，資安業者揭露鎖定USB安全加密隨身碟的攻擊行動TetrisPhantom，駭客先對位於非隔離網路環境的電腦下手，在連接這種隨身碟時，趁機將惡意程式植入裝置當中，等到用戶將隨身碟帶到受隔離系統使用，會趁機植入並進行竊密。

關於資料外洩的手法，最近有新的話題。駭客不僅透過臉書收集攻擊目標的使用者資料，也會在臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用，後續資料洩露的情況尚不明朗。

在資安防護的措施上，本週有新的動態，例如，美國CISA針對醫療產業推出一站式工具包，提升網路安全。再者，則是Google宣布擴大AI漏洞懸賞的範圍，當中也列入生成式AI。

在國內的資安防護措施上，則是包含跨國網路攻防演練CODE 2023，以及政府專屬短碼簡訊平臺111。這次CODE 2023的攻防標的，選定與民生相關的水資源領域關鍵基礎設施（CI），進行攻防演綀，結果我國參與團隊表現傑出，得到冠軍。

而政府短碼簡訊平臺的部分，則是繼數位發展部推出短網址服務之後，另 一項新的防堵假冒政府機關詐騙措施。政府機關透過專屬平臺發送111短碼簡訊，達到只此一家、別無分號的效果，首波內部測試已有中央與地方的政府單位參與，現在將開放更多機關使用。

【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害

思科上週揭露已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後有研究人員指出可能有1萬臺設備感染惡意程式，但情況急速惡化。資安業者Censys發現，18日有逾4萬臺設備受害，其中又以美國、菲律賓、墨西哥的設備最多。

另一方面，思科威脅情報團隊Talos揭露此起事故的最新調查結果，指出攻擊者在部署惡意程式的過程，同時利用另一個零時差漏洞CVE-2023-20273。

【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動

思科上週揭露已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後情況急速惡化，多家資安業者發現受害的IOS XE設備，數量一度達到4萬，甚至6萬的高峰，但特別的是，他們在週末觀察到的遭駭設備數量，竟然只剩下一千多臺。難道是IT人員都很配合、及時套用更新程式嗎？研究人員普遍認為，這些看似「已修補」的狀態，可能是駭客隱匿攻擊行動的作為。

對於上述推測，資安業者Fox-IT公開證實，並指出駭客在近4萬臺具有這個弱點的設備，部署了新版後門程式，繼續進行控制。

【10月25日】6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式

今年6月，資安業者卡巴斯基從專供行動裝置使用的Wi-Fi網路流量察覺異常，有多臺iOS手機出現可疑活動，從而發現零點擊攻擊行動Operation Triangulation，在經過4個月的調查後，該公司透露攻擊者如何防範研究人員發現其活動的跡象。

研究人員認為，這些過往較為罕見的手法，代表駭客對iOS作業系統相當了解，而且，他們不排除Mac電腦也是遭到鎖定的對象。

【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料

有研究人員在今年3月，針對網路服務廣泛應用的OAuth身分驗證措施提出警告，當時他們揭露了存在於訂房網站Booking.com的漏洞，並指出類似的情況也可能發生在其他導入OAuth的網站。

到了最近，這些研究人員公布對於另外3個熱門的網路服務調查結果，其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token，就有機會挾持用戶這些網站上的帳號。

【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊

處理器的推測執行（Speculative Execution）漏洞從2018年首度揭露，不只引起IT廠商關注，推出相關修補程式，研究人員也陸續找出變種漏洞，這類研究過往大多針對x86處理器而來，雖然Arm處理器也存在這類漏洞，但未引起重視。

有一組研究人員針對蘋果自製的Arm處理器晶片進行研究，並於近期公布成果「iLeakage」，值得留意的是，這項漏洞研究人員向蘋果通報已超過一年，但直到漏洞揭露，該公司才表示要透過軟體進行修補。