圖片來源: 

微軟

1.14-1.20 一定要看的資安新聞

 

#供應鏈攻擊

SolarWinds公布供應鏈攻擊事故流程

針對12月爆發的供應鏈攻擊,SolarWinds找上資安業者CrowdStrike,聯手調查事件發生的來龍去脈,並在1月11日公布駭客攻擊的路徑。SolarWinds指出該攻擊的源頭,駭客利用了名為Sunspot的惡意程式。

對於此次攻擊事件的過程,SolarWinds整理出相當詳細的時間表,他們表明駭客於2019年下旬進行測試,到了2020年2月才真正埋入Sunburst後門程式,並於6月初移除程式碼裡的惡意軟體。詳全文

 

#漏洞修補

微軟預告2月將進行Zerologon第二階段修補

針對2020年8月微軟首度修補的Zerologon漏洞,該公司近期預告將於2月份的修補星期二(Patch Tuesday),推出第2波更新程式,安裝後,將預設啟動網域控制器的強制執行模式(Enforcement Mode),並使用Netlogon安全通道與安全RPC連線,以因應Netlogon漏洞的隱憂。不過,對於防堵Zerologon漏洞,微軟表示還是同時要安裝8月提供的第1個修補程式。詳全文

圖片來源:微軟

 

#網路流量管制  #作業系統  #macOS

macOS放行蘋果應用程式流量可繞過防火牆惹議,更新版修改相關配置

macOS Big Sur自2020年10月正式推出,不久後,便被多名研究人員發現一些資安作法爭議,因為他們在該作業系統內建的網路功能擴充框架裡,將自家的50餘款應用程式列入排除清單,使得這些應用程式能直接繞過防火牆或是VPN而引發資安風險。而在1月13日發布的macOS 11.2 Beta 2,已移除上述清單。

至於為何當初要排除自家應用程式的網路流量檢測?蘋果表示此為暫時性的配置,而非外界認為的蘋果自肥。詳全文

 

#資料外洩  #武漢肺炎

駭客盜走的武漢肺炎藥物與疫苗文件已流落網路

歐洲藥品管理局(EMA)針對2020年12月遭到駭客攻擊一事,透露更多資訊。他們指出,此次資料外洩事件的影響範圍為單一IT應用系統,僅部分第三方文件遭到非法存取,而駭客目標就是武漢肺炎相關文件,而這些文件已外流至網際網路上。但該單位強調,對於相關的藥物與疫苗的審核時程,沒有受到本次事件波及。詳全文

 

#資料外洩  #電玩產業

卡普空攻擊事件恐波及39萬人,包含用戶、員工、合作夥伴

日本電玩製作商卡普空(Capcom)於2020年11月遭勒索軟體入侵,傳出駭客竊取近1TB資料。該公司於1月12日公布調查的結果,指出可能有39萬人個資可能會受到影響。其中,確定已經遭到洩露的資料涉及16,415人,其中,有合作夥伴3,248人,前任員工和相關單位9,164人、以及現任員工和相關單位3,994人。

其他可能受到影響人士,其中包含5.8萬名應試者,他們的姓名、住址、電話,以及電子郵件等也遭到外洩。詳全文

圖片來源:卡普空

 

#即時通訊機器人  #網路詐騙

俄國駭客濫用即時通訊對話機器人發動詐騙攻擊

近年來歹徒濫用即時通訊軟體進行詐騙的現象,可說是時有所聞,過往歹徒必須自製作案工具,但如今有駭客直接推出相關服務,讓歹徒直接購買使用。俄羅斯威脅情報公司Group IB在部落格發布一項研究報告,揭露一起網路犯罪行動Classiscam,這起行動由使用俄文的駭客發起,透過Telegram對話機器人協助廣告詐騙的歹徒騙到超過650萬美元。受害者遍及美國、歐洲,以及前蘇聯。

這些詐騙集團也冒用歐洲知名電商和物流業者的名義行騙,包含Leboncoin、Allegro、Sbazar,以及FAN Courier等購物網站,還有FedEx與DHL等。詳全文

 

#資料外洩  #資料庫配置不當

中國行銷業者笨鳥外洩2億社交網路用戶資料

資安產品測試網站Safety Detectives於1月11日指出,他們在騰訊代管的香港伺服器上,發現完全沒加密也不需要認證的Elasticsearch資料庫,內含2.14億名的社交網站用戶個資,包括Facebook、Instagram與LinkedIn,而該資料庫屬於中國行銷業者笨鳥(Socialarks)所有。

在該資料庫所曝光的個人檔案中,超過1.3億人為臉書用戶,逾6,600萬為LinkedIn用戶,以及超過1,000萬名的Instagram用戶。笨鳥獲報後已將資料庫上鎖。詳全文

圖片來源:Safety Detectives

 

#漏洞揭露

Windows螢幕鎖定存在特權提升漏洞,可繞過BitLocker機制

逆向工程團隊Secret Club成員Jonas Lykkegård揭露,惡意人士能夠利用螢幕鎖定的旁路漏洞,繞過Windows全磁碟加密功能BitLocker限制,創建具有管理員權限的帳戶。這項漏洞發生的原因,在於螢幕鎖定功能未能正確處理該作業系統的輕鬆存取(Ease of Access)工具,使得攻擊者能透過自動播放功能載入工具來破解系統。

這個漏洞的列管編號為CVE-2020-1398,微軟已釋出修補程式。詳全文

 

#漏洞揭露

瀏覽器有旁路資訊洩漏弱點,恐被竊取跨來源圖片資訊

Duolingo資安工程師Aleksejs Popovs公布她在2020年5月通報的瀏覽器漏洞,攻擊者可藉由特製的HTML網頁,竊取不應被存取的跨來源圖片內容。該攻擊的原理是利用瀏覽器繪製不同透明度畫素的時間差,來推斷每個畫素的透明度,進而讀取透明背景中的文字圖片,這項漏洞同時波及Chrome與Firefox。

該漏洞存在於上述瀏覽器所採用的Skia繪圖程式庫。Aleksejs Popovs表示,兩家公司在2020年11月17日都已修補完成。詳全文

 

#漏洞修補

GitLab發布更新以修復API存取權杖漏洞

GitLab發布13.7.2、13.6.4和13.5.6更新,這次修補高嚴重性的API存取令牌漏洞,以及多個中度嚴重等級的阻斷服務漏洞,強烈建議使用者更新。

事實上,從GitLab 11.5開始的所有版本,都存在高嚴重性漏洞,可讓惡意攻擊者透過專案靜態網頁模組GitLab Pages,竊取使用者API存取權杖,這個問題是因為GitLab Pages中,對身分驗證參數驗證不足所產生。詳全文

 

 

更多資安動態

歐洲多國警方拿下全球最大網路黑市DarkMarket
美國政府發布企業建置加密流量DNS解析服務的指南
研究人員指出iOS與Android裝置未充分運用相關防護機制
Google再度揭露串連Chrome與Windows的漏洞

熱門新聞


Advertisement