近期中國駭客發起的攻擊行動接連傳出，上週末才有駭客組織APT41利用惡意程式KeyPlug攻擊義大利企業組織的消息，本週有資安業者揭露另一駭客組織從事的網路間諜行動。
值得留意的是，這些駭客專門針對Exchange伺服器下手，對其植入後門程式，企圖從中搜刮機密資料，而他們利用的漏洞，就是3年前公布的ProxyLogon、ProxyShell。
【攻擊與威脅】
中國駭客組織鎖定中東、非洲、亞洲政府機關，發動Operation Diplomatic Specter攻擊行動，散布後門程式
資安業者Palo Alto Networks針對中國APT駭客TGR-STA-0043發起的攻擊行動Operation Diplomatic Specter提出警告，駭客從2022年底，針對中東、非洲、亞洲的政府組織下手，至少有7個政府單位確認長期遭到網路間諜攻擊，對方利用相當罕見的電子郵件滲透手法，對受害伺服器進行大規模的情報收集工作。
這些駭客究竟如何入侵受害組織？研究人員指出，對方多半重覆利用Exchange伺服器的弱點，而能成功取得入侵的初始管道，其中兩個經常被利用的漏洞，包含了ProxyLogon（CVE-2021-26855）、ProxyShell（CVE-2021-34473）。
他們也觀察到駭客使用的後門程式TunnelSpecter、SweetSpecter，並指出兩者皆採用部分木馬程式Gh0st RAT的程式碼打造而成，TunnelSpecter著重於DNS隧道能力，而SweetSpecter則是與另一支名為SugarGh0st RAT的惡意軟體存在相似之處。
JAVS法庭錄影軟體遭遇供應鏈攻擊，攻擊者在安裝程式植入後門
資安業者Rapid7提出警告，他們發現在8.3.7版法庭錄影解決方案JAVS Viewer發現後門程式，攻擊者能夠藉此控制受害設備，呼籲已安裝該版本程式的用戶應儘速完整重設裝置，並重設相關的帳密因應，並改用8.3.8版的JAVS Viewer。
研究人員在本月10日著手調查一起事故，發現受害電腦存放JAVS Viewer應用程式的當中，名為fffmpeg.exe的檔案正在執行（正常應該ffmpeg.exe，而本次被偵測到異常的執行檔檔名卻多了1個f）。他們追蹤後發現，其感染來源是名為JAVS Viewer Setup 8.3.7.250-1.exe的執行檔，但值得留意的是，該檔案於3月5日自JAVS網站下載，卻經由發行授與者為Vanguard Tech Limited的Authenticode憑證進行簽署。
對此，JAVS也在5月22日做出回應，表示他們藉由持續監控並與政府機關合作，察覺有人竄改他們在網站上提供的8.3.7版JAVS Viewer，隨後便撤下所有相關的檔案，並重設密碼，並對所有JAVS系統進行調查。
開源資料處理框架Apache Flink在3年前公布的弱點，美國CISA證實被用於攻擊行動
5月23日美國網路安全暨基礎設施安全局（CISA）將開源資料處理框架Apache Flink漏洞CVE-2020-17519，列入已被利用的漏洞名單（KEV），並要求聯邦機構於6月13日前完成修補。
雖然CISA並未透露有關漏洞被利用的相關細節，無從得知攻擊者的身分及目的，但值得留意的是，Apache基金會於2021年1月公告、修補這項漏洞，相關資訊已被公布超過3年，也有研究人員公布概念性驗證的攻擊程式碼，這代表攻擊者相關利用漏洞不需自行從頭研究，後續可能有更多攻擊者加入嘗試利用漏洞的行列。
針對企業寄信測試員工資安意識，Google認為效果不彰，甚至可能帶來危害
為了提升員工對於釣魚信的警覺，許多企業藉由發送測試信來了解員工的警戒程度，但Google資安事件經理Matt Linton近期卻對此提出警告，這種做法勞民傷財且效果不彰，害處多過於好處。對此，他認為寄測試信前應事先預告，避免突擊測試，才能達到真正的目的。
雖然這種做法概念類似火災演練的測試，但實際上存在多種負面影響，首先是不具實質效果，再者是增加員工困擾並增加資安部門工作負擔。
對此，Matt Linton提出說明，他表示這項演練工作執行多年下來，釣魚郵件仍是駭客入侵企業組織內部環境的主要管道，而且，會中招的員工難以透過測試信件提高警覺。再者，則是測試信件的做法，很有可能導致承辦的資安人員必須繞過系統防護機制，甚至是建立用來放水的白名單。最後是用戶若是不慎誤點信件，將增加資安部門工作負擔，且有可能因此導致員工降低對公司的信任。
其他攻擊與威脅
◆非洲、加勒比地區政府機關遭中國駭客組織Sharp Panda盯上
◆駭客聲稱提供防毒軟體為由，針對Windows、安卓裝置散布惡意程式
◆烏克蘭針對駭客組織UAC-0006的攻擊行動升溫提出警告，對方大肆藉由釣魚郵件散布惡意軟體SmokeLoader
◆印度應用系統開發業者資料外洩，曝露當地軍方及警察生物辨識資料
◆美國旅館入住系統傳出遭植入間諜程式pcTattletale
【漏洞與修補】
Google修補本月第4個Chrome零時差漏洞CVE-2024-5274
繼5月15日Chrome發布125.0.6422.60/.61版本，修補高風險零時差漏洞CVE-2024-4947，23日再度發布125.0.6422.112/.113版本，這次是為了修補高風險漏洞CVE-2024-5274而來，請大家趕快到Chrome的「設定」或「說明」，點「關於Chrome」確認版本是否更新至此版以後的版本。
CVE-2024-5274存在Chrome採用的JavaScript引擎V8，Google僅簡單描述問題是類型混淆（Type Confusion），與稍早揭露的CVE-2024-4947屬於同類型的問題。回顧整個2024年5月，Chrome至今已累積發布4個零時差漏洞，令人擔憂。
Firefox用於存取PDF檔案的元件存在弱點，有可能被用於執行任意JavaScript程式碼
本月14日Mozilla基金會發布Firefox 126，當中修補PDF檢視元件（PDF.js）高風險漏洞CVE-2024-4367，此漏洞發生的原因，在於處理字型時缺乏類型檢查，導致能被攻擊者用來執行任意JavaScript程式碼。
通報這項漏洞的資安業者Codean Labs上週也提出說明，指出PDF.js由JavaScript開發而成，但弱點並非來自此指令碼的功能，而是字型的處理層面。為了驗證此項威脅的可行性，他們藉由特定參數觸發PDF.js漏洞，從而插入任意的JavaScript程式碼並執行。
近期資安日報
【5月24日】研究人員揭露中國駭客組織APT41的作案工具KeyPlug，並指出有可能也提供當地資安業者安洵運用
熱門新聞
2024-11-25
2024-11-25
2024-11-22
2024-11-25
2024-11-24
2024-11-25