![](https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/20240723.jpg?itok=bC6Sc-5s)
上週最受到各界關注的事故,就是EDR系統CrowdStrike Falcon更新出錯,導致全球大量出現藍色當機畫面(BSoD)的情況,微軟初估全球有850萬臺Windows電腦受到影響,究竟臺灣災情如何,陸續有相關消息傳出。我們也私下訪問企業的資安長及資服業者,發現金融、資服、傳統製造及高科技製造業都傳出災情。
另一方面,金管會也在例行記者會透露金融業者受害的情形,並指出期貨商、投信業者、壽險業者、產險業者都有受害的情況。
【攻擊與威脅】
盤點臺灣企業因CrowdStrike產品更新造成電腦當機的災情
臺灣時間7月19日傳出微軟雲端服務大當機,經查是資安公司CrowdStrike更新EDR時出包,造成安裝微軟作業系統的電腦,出現藍色當機畫面(BSOD)的狀態。微軟企業及作業系統安全副總裁David Weston在官方部落格文章中提到,此次受到CrowdStrike更新影響的設備,估計高達850萬臺Windows設備,而臺灣有多少企業受到波及,並沒有任何官方數據可以提供。因此,iThome私下訪問臺灣企業資安長和資服業者,希望可以勾勒出,臺灣不同產業在這一波CrowdStrike引發藍色當機畫面的災情現況。
事實上,此次CrowdStrike引發藍色當機畫面的受害產業範圍甚廣,包括金融業、資服業、傳統製造和高科技製造業者等,都陸續傳出災情;此外,根據其他媒體報導,其他像是航空業者,也是此次災情的受害者。
金融業者因為開放雲端服務較晚,便有金融業者表示,該公司剛好在進行CrowdStrike的POC(概念驗證),因此災情發生後,選擇暫停POC;另外,則有一家資服業者災情慘重,該公司有三千多臺個人電腦,全部都出現藍畫面的當機狀態。
金管會揭露CrowdStrike事故對臺金融業災情,保險業上千臺伺服器和上千臺PC受影響
上週五資安公司CrowdStrike更新EDR時出包,安裝微軟作業系統的電腦出現藍色當機畫面,不少金融業者也受到影響。金管會今日在例行記者會上表示,目前為止,受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。銀行局則尚無接獲業者通報重大偶發事件。
針對保險業受影響情形,保險局主任秘書古坤榮說明,少數業者的官網或對外服務系統有部分功能受影響,中斷了數分鐘至三小時,「大家都在時間內修復完成。」另外,古坤榮提到,本次保險業者受影響裝置有一千多臺伺服器,和一千多臺桌機和筆電。他表示,保險業者後續將強化服務,提供廠商的緊急應變機制,擬訂SOP來縮短類似事件的因應處理時效,並且辦理資安產品多樣化等改善措施。
針對證券期貨業受影響情形,證期局主任秘書尚光琪表示,受影響的2家期貨商和4家投信業對外服務並未中斷,也沒有影響到客戶權益。但是,尚光琪提到,經調查後確認,本次事件中外商投信業者的受影響裝置數量較多。
針對CrowdStrike更新出錯事故,伊朗駭客假借提供修復工具名義誘人下載,實際卻是散布資料破壞軟體
上週五EDR系統CrowdStrike Falcon更新引發全球各地Windows電腦大當機,微軟公布有850萬臺電腦受到影響,資安業者Interos指出約有67.4萬企業用戶可能受到影響。值得留意的是,駭客也伺機散布惡意程式進行破壞。
惡意軟體沙箱服務業者Any.Run指出,他們發現有駭客意圖趁機散布資料破壞軟體(Wiper)的跡象,對方針對想要找尋能修正電腦因CrowdStrike更新當機的使用者,聲稱提供另一個由CrowdStrike製作的更新軟體,能解決當機的問題。然而一旦使用者執行,電腦檔案就會被以0位元的資料覆寫,完成後惡意程式再向特定的Telegram頻道回報。
而對於攻擊者的身分,資安新聞網站Bleeping Computer指出,伊朗駭客組織Handala聲稱是他們所為,並透過社群網站X透露,攻擊目標是以色列的企業組織,他們透過釣魚郵件來散布資料破壞軟體。
中國駭客組織GhostEmperor捲土重來,利用惡意程式Demodex從事攻擊行動
資安業者卡巴斯基3年前發現中國駭客組織GhostEmperor的行蹤,事隔兩年,有研究人員察覺該組織再度犯案的跡象。去年底資安業者Sygnia收到客戶的委託,起因是他們察覺駭客破壞企業內部網路,目的是滲透合作夥伴。經過調查,駭客使用名為Demodex的rootkit變種,而這項工具與2021年9月卡巴斯基揭露的GhostEmperor有關。這些駭客運用多階段惡意軟體攻擊,從而隱密在受害組織持續運作,同時他們也利用多種手法阻止資安人員分析。
而對於這些駭客的入侵手段,研究人員指出通常是利用Exchange漏洞ProxyLogon來取得初始權限,但也有利用其他漏洞的情況。一旦成功,對方就會執行批次檔啟動整個惡意軟體感染流程。
FBI利用以色列駭客工具成功破解川普刺客的安卓手機,過程僅耗時40分鐘
根據彭博社報導,美國聯邦調查局(FBI)在以色列業者Cellebrite提供的工具協助下,以「開發中、尚未公布」的產品破解「較新款」的三星手機,從而成功存取攻擊美國總統候選人川普的刺客手機,過程僅花費40分鐘。
本月13日川普在賓州農場公開造勢發表演說時,遭到賓州男子Thomas Matthew Crooks企圖行刺。川普僅右耳受傷,而刺客隨後遭到狙擊手擊斃。FBI取得此嫌犯的手機以調查行刺原因及是否有共犯,事件隔日還無法存取手機,但第二天FBI就宣布成功存取其中內容,對於如何破解手機鎖定及刺客使用的手機品牌,FBI皆未說明。
這家以色列業者主要的業務,就是提供各國政府及警方破解工具,作為辦案使用。2016年FBI為偵辦槍擊案需解鎖已經死亡的嫌犯手機,尋求蘋果協助遭拒,最終FBI得到第三方業者協助,外傳該業者就是Cellebrite。
移民署內部通訊錄驚傳流入駭客論壇,該單位表示非駭客攻擊外流,疑為離職員工所為
近日傳出民眾在網路上發現,使用SorryBB為ID的人士,在駭客論壇BreachForums兜售移民署內部人員通訊錄的情況,當中包含署長及多名科員、專員的個資,這份資料不僅包含職稱、姓名、性別、任職年月、內網電子郵件信箱、號碼、分機、警用電話號碼,甚至提及有人照顧家人而留職停薪的情形。
對此,有知情人士透露,這些資料相當老舊,且這批內部資料外界難以利用,價值並不高。儘管如此,賣家還是開出了1,500美元(約新臺幣4.9萬元)的價碼,並要求以門羅幣或比特幣進行交易。
移民署得知此事後著手查證,確認資訊系統並未遭到駭客入侵,他們也將存放於內部網路系統的檔案移除。究竟這批資料如何流出,他們不排除是離職員工所為。
其他攻擊與威脅
◆研究人員揭露HTTP請求偷渡手法TE.0,恐導致數千個Google Cloud網站曝險
【資安產業動態】
Google宣布放棄在Chrome中封鎖第三方Cookie的計畫
在受到各國監管機關的質疑之後,7月22日Google宣布放棄於Chrome中封鎖第三方Cookie的計畫,但會繼續投資及開發原本要用來取代第三方Cookie的各種隱私沙箱(Privacy Sandbox)API。這項執行4年的計畫,最終以失敗告終。
Google企圖於Chrome瀏覽器中維持廣告主及使用者隱私之間的平衡,因而在2019年提出了隱私沙箱的概念,採用更具隱私的方式將使用者分門別類,而廣告主則可據此向群組發送廣告,並準備在2022年以隱私沙箱全面取代第三方Cookie。然而,該計畫一開始就惹來英國競爭及市場管理局(CMA)的調查,懷疑隱私沙箱的安全性,以及Google疑似打算利用隱私沙箱來圖利自家廣告服務,再加上受到各方的質疑,而使得上線日期一延再延。
近期資安日報
【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐,至少影響850萬臺電腦、67萬企業用戶
【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍,全球出現Windows電腦大量當機,影響機場、醫院等設施運作
熱門新聞
2024-09-02
2024-09-02
2024-09-02
2024-09-02
2024-09-03
2024-09-02
2024-09-04
2024-09-06