知名的網站功能相容性程式庫polyfill.io本週傳出供應鏈攻擊，研究人員提出警告，他們發現程式碼在中國CDN業者今年初接手後，就開始植入惡意程式，由於採用這款程式庫的網站眾多，且不乏許多知名企業組織與政府單位，所以，這起供應鏈攻擊引發軟體開發與資安領域的密集關注，如今出現新的進展。
有研究人員發現，在Namecheap註銷polyfill.io之後，經營者透過新的polyfill[.]com提供服務，並聲稱相關服務透過Cloudflare快取未含供應鏈風險。
【攻擊與威脅】
發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼
本週二（6月25日）專精電子商務網站安全的資安業者Sansec提出警告，知名的網站功能相容性程式庫polyfill.io，自今年2月賣給中國內容傳遞網路（CDN）業者方能（Funnuul）後，傳出被植入惡意程式碼的情況，導致使用該程式庫的網站遭到感染，用戶被導向賭博網站及其他惡意網站。針對這起事故，如今出現新的發展。
根據資安新聞網站Bleeping Computer的報導，他們發現Polyfill.io相關網域疑似遭到網域名稱服務供應商Namecheap註銷，但經營者透過新的網域polyfill[.]com，開始提供名為Polyfill JS CDN的服務，並認為有人在誹謗他們，強調他們所有的內容都是透過靜態快取提供，並透過雲端服務業者Cloudflare進行快取，而不存在供應鏈風險。
針對polyfill.io聲稱所有內容經過Cloudflare快取，Cloudflare表示，他們並未授權該經營者使用該公司的名稱，也未曾推薦polyfill.io的服務，他們要求對方刪除相關內容，但polyfill.io置之不理。對此，Cloudflare認為，這是該服務經營者不可信任的警訊。
角川集團遭勒索軟體攻擊事故，駭客組織BlackSuit聲稱是他們做的
6月上旬日本知名的影片共享平臺Niconico傳出服務異常，隨後事態擴大，母公司角川集團發出聲明證實，不光是Niconico，角川網站及電商平臺Ebten都受到影響。該集團後來在14日證實遭遇勒索軟體攻擊，並透露資安事故發生的過程，事隔兩週，這起事故出現新的發展。
6月22日角川發出聲明，表示已有媒體報導透露攻擊者的身分，並認為這麼做將助長網路犯罪，甚至有可能會使犯罪者受益。究竟攻擊者的身分為何？根據本週資安新聞網站Bleeping Computer報導，勒索軟體駭客Black Suit聲稱是他們所為，這些駭客宣稱約在一個月前開始存取該集團的網路環境，成功存取控制中心之後，他們就加密了整個網路環境，包含多玩國（Dwango）、Niconico、角川書店，以及其他子公司，並從中竊得1.5 TB內部資料。
駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger
資安業者Group-IB揭露名為Boolka的駭客組織，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是針對瀏覽這些網站的使用者，散布名為Bmanager的模組化木馬程式。
研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。
新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit早就知道其裝置的API金鑰外洩，卻一直未採取行動。
發現相關漏洞的是專門針對Rabbit r1專案進行逆向工程的Rabbitude社群，研究人員表示，他們在今年5月存取Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。
其他攻擊與威脅
◆遠端桌面連線解決方案供應商TeamViewer傳出內部網路遭APT駭客入侵
◆惡意NPM套件鎖定AWS用戶而來，先休眠4個月減少他人關注
◆韓國網路服務供應商KT傳出針對使用網路硬碟的用戶植入惡意程式碼，60萬用戶受害
其他漏洞與修補
◆GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程
【資安產業動態】
AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。
AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。
GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。
近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。
他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。
其他資安產業動態
◆Google推出人工智慧技術驅動的漏洞研究專案Naptime
近期資安日報
【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站
熱門新聞
2024-11-29
2024-11-15
2024-11-20
2024-11-15
