鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。
今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。
【攻擊與威脅】
日本航空傳出對外網路停擺，部分機場班機出現延誤，當地媒體指出是遭遇網路攻擊
今天（26日）上午有媒體報導，日本當地有多處機場出現班機延誤的現象，起因是有航空公司遭遇網路攻擊造成。
日本航空（Japan Airlines，JAL）在網站上發布公告，表示他們在今天當地時間早上7時24分（臺灣時間6時24分）開始，發現連接內外網路環境的網路設備遭到破壞，並導致與外部通訊的系統也發生異常。對此，該公司於8時56分將導致網路運作故障的路由器設備離線，並表示他們已經確定這起事故的影響範圍，正在對相關系統進行檢查，並著手復原。
雖然日本航空並未提及上述事故發生的原因，但當地媒體都指出是伺服器遭到攻擊造成。根據NHK的報導，羽田機場、關西機場、大阪機場、福岡機場都出現部分班機延誤的情況，但成田機場並未受到影響。
Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體
鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。
例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。
資安業者Socket分析兩個惡意NPM套件，指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。
其他攻擊與威脅
◆Windows應用程式控制機制WDAC可被利用，研究人員展示停止EDR系統運作
◆後門程式LittleLamb、WoolTea鎖定Palo Alto Networks防火牆而來
◆伊朗駭客Charming Kitten以C++改寫惡意程式，對亞洲企業組織發動攻擊
【漏洞與修補】
程式碼管理系統Gogs存在重大漏洞，若不處理攻擊者有機會執行任意命令、竊取代管的程式碼
12月23日基於Git而成的程式碼管理系統Gogs發布0.13.2版，總共修補了6項漏洞，值得留意的是，當中有3項CVSS風險評分達到10分（滿分10分）的弱點，開發人員應儘速套用更新。
這些漏洞分別是：SSH伺服器參數注入漏洞CVE-2024-39930、內部檔案刪除漏洞CVE-2024-39931，以及參數注入變更預覽漏洞CVE-2024-39932，一旦這些漏洞遭到利用，攻擊者就有機會執行任意命令，或是存取使用者存放的程式碼。值得留意的是，除了CVE-2024-39930，其餘兩個漏洞目前並無緩解措施能夠因應。
Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞
12月23日Apache基金會發布公告，表示旗下的內容傳遞網路（CDN）軟體Apache Traffic Control存在SQL注入漏洞CVE-2024-45387，影響8.0.0至8.0.1版軟體，他們已發布8.0.2版進行修補。
這項漏洞出現在名為Traffic Ops的組態管理及監控元件，攻擊者一旦挾持特殊權限使用者，並取得admin、federation、operations、portal，或是steering角色身分，就有機會藉由發送特製的PUT請求，在資料庫執行任意SQL命令，CVSS風險評為9.9（滿分10分）。
其他漏洞與修補
◆IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機
◆檔案傳輸系統CrushFTP存在重大漏洞，攻擊者能藉此重設密碼控制用戶帳號
【資安防禦措施】
義大利資料保護主管機關日前以OpenAI非法蒐集用戶個資、未立即通報資料外洩，以及未確實驗證用戶年齡為由，判罰1,500萬歐元。
2023年3月傳出ChatGPT存在漏洞，使用戶和ChatGPT的對話內容標題及支付資訊可被他人存取，促使的義大利資料防護管理署（Italian Data Protection Authority，Garante）啟動調查，調查於日前完成，Garante對OpenAI做出判罰及矯正措施。
Garante指出，OpenAI非法蒐集用戶個資來訓練ChatGPT，違反了透明原則及相關的資訊義務，而且去年3月發生資料外洩時，也沒有第一時間通知義大利政府。再者，調查顯示，OpenAI並未提供驗證用戶年齡的機制，致使13歲以下兒童可能接觸不適當的回應內容。
惡名昭彰的勒索軟體駭客組織LockBit，今年2月他們的暗網網站傳出遭到11個國家的執法單位聯手扣押，5月這團體的首腦俄羅斯人Dmitry Yuryevich Khoroshev也面臨當局起訴，到了10月，有4名涉案人士被補，如今再傳美國逮捕另一名關鍵成員，並將進行引渡。
根據以色列新聞網站Ynetnews的報導，美國檢察官辦公室在今年10月向以色列耶路撒冷地方法院申請，將居住在海法的Rostislav Panev引渡到美國，原因就是此人是勒索軟體駭客組織LockBit的成員，於2019年至2024年參與軟體開發。
這項消息在上週四（19日）曝光。根據起訴書內容，此人為LockBit的軟體開發人員，他製作了進階的攻擊工具，其中包含能從受害電腦連線的印表機印出勒索訊息的機制，他從組織總共收到的酬勞是時價為23萬美元的比特幣。
近期資安日報
熱門新聞
2025-01-13
2025-01-10
2025-01-13
2025-01-10
2025-01-13
2025-01-10
