【資安日報】2022年3月3日，網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭

在俄烏戰爭爆發後，擁護俄羅斯和烏克蘭的駭客組織，今天傳出也鎖定烏克蘭大學網站，甚至是協助難民的國家而來。

Log4Shell堪稱是史上最為嚴重的漏洞之一，迄今仍不時傳出有駭客組織用於攻擊行動，但究竟該漏洞被濫用的情況如何？近期有資安業者揭露相關調查。

近期GitLab修補CVSS風險層級達9.6分的漏洞CVE-2022-0735，其風險層級極高的原因，在於駭客可透過未經身分驗證的用戶，輕易利用此項漏洞。

【攻擊與威脅】

俄烏戰爭開打，雙方的網路攻擊也你來我往，但現在竟然也波及到協助難民的國家。資安業者Proofpoint於2月24日，偵測到疑似由國家資助的網路釣魚攻擊行動Asylum Ambuscade，駭客冒用烏克蘭武裝部隊成員的電子郵件信箱，以2月23日北大西洋公約組織（NATO）安理會召開的緊急會議為誘餌，挾帶具有惡意巨集的Office文件，目標是負責歐洲交通與人口流動的政府官員，很可能是為俄羅斯政府蒐集烏克蘭難民的情報。

一旦收信人開啟附件，將會執行SunSeed惡意軟體。研究人員尚且無法確定攻擊者的身分，但發現攻擊特徵與白俄羅斯駭客組織UNC1151（亦稱TA445、Ghostwriter）的手法幾乎一致。

俄烏戰爭爆發後，逾30所烏克蘭大學WordPress網站遭到入侵

俄烏戰爭於2月24日爆發，駭客攻擊敵對陣營的政府機關、石油公司、電視臺的情況不時傳出，但他們如今也染指學術單位。資安業者Wordfence指出，他們看到Monday Group旗下的駭客組織theMx0nday，在俄羅斯入侵烏克蘭之後，開始對烏克蘭大學的網站，藉由WordPress網站的漏洞發動大規模攻擊，至少有30個大學的網站受害，在他們保護的376個烏克蘭大學網站中，2月26日的漏洞利用攻擊達到10.4萬次。

駭客疑似來自巴西，並藉由惡意流量代管業者Njalla的VPN服務，來埋藏攻擊來源。該資安業者也宣布，將針對烏克蘭的WordPress網站免費提供即時情資。

俄羅斯間諜衛星疑成為網路攻擊的目標

在軍事情報的收集上，衛星可提供極為精確的位置，使得武器殺傷力可較為完整發揮，一旦相關設施遭到癱瘓，將可能左右戰爭的發展，而成為駭客發動網路攻擊的重要目標。隸屬於匿名者（Anonymous）的駭客組織Network Battalion 65（NB65），於3月1日宣稱癱瘓俄羅斯航太公司Roscosmos的控制中心，該國恐將無法使用間諜衛星，但此事隨即遭到俄羅斯否認。

根據資安新聞網站Bleeping Computer的報導，俄羅斯航太公司總裁Dmitry Rogozin於3月2日宣稱該控制中心正常運作，NB65是散布謠言的騙子。但在接受Rossiya 24電視臺訪問時，Dmitry Rogozin卻指控駭客對該國衛星基礎設施發動網路攻擊，就是對他們宣戰，該單位將與聯邦安全局（FSB）、總檢察長辦公室等單位發送相關情資，找出意圖發動相關攻擊的人士。

駭客廣泛運用Log4Shell漏洞發動DDoS攻擊、挖礦攻擊

自Log4Shell漏洞細節被公布，駭客於2021年12月至2022年1月，大肆利用這項漏洞發動攻擊，如今雖已稍微趨緩，但相關威脅仍舊存在，IT人員仍不能掉以輕心。資安業者Barracuda近期公布Log4Shell威脅態勢報告，他們發現運用該漏洞最為頻繁的是殭屍網路Mirai，藉此入侵並控制受害裝置，然後發動分散式阻斷服務（DDoS）攻擊，駭客也利用這項漏洞來投放BillGates、Muhstik等惡意軟體，或是在受害電腦植入挖礦軟體XMRig、Kinsing。而對於攻擊來源，研究人員指出逾8成來自美國，其次是日本、德國、荷蘭、俄羅斯。

駭客濫用API發動的攻擊行動，在2021年爆增近7倍

應用系統API遭到駭客濫用的現象，如今有顯著加劇的趨勢。資安業者Salt Security指出，他們發現最近的12個月裡，利用API發動攻擊的惡意流量增加了681%，且在他們調查的250個受訪者中，95％表示組織曾遭遇相關攻擊事件。研究人員認為，組織的應用系統API安全性普遍不足，是被駭客盯上的主要原因。因為，IT人員往往集中於開發階段的安全檢測，而無法察覺在實際上線後可能會出現的設計邏輯缺陷。此外，有34%組織仰賴廠商提供的API解決方案，而沒有制訂相關的安全政策。

輪胎大廠普利司通遭到網路攻擊而停工數日

駭客鎖定汽車零件廠商發動攻擊的情況，又傳出一起事故。根據新聞網站ZDNet的報導，輪胎大廠普利司通位於北美與拉丁美洲的工廠，傳出正在從網路攻擊中復原受害系統，要求員工不要上班數日。普利司通疑似於2月27日凌晨察覺網路攻擊，並於當日就請員工回家，且到了3月1日似乎尚未恢復運作──他們告知於2日排班的員工不需上班。

【漏洞與修補】

GitLab出現重大漏洞，恐被用於挾持特定Token

GitLab於2月25日發布14.8.2、14.7.4、14.6.5版安全更新，當中修補7個漏洞，其中最值得留意的是CVE-2022-0735，這項漏洞與註冊工作排程執行的Runner有關，CVSS風險層級達到9.6分，影響GitLab 12.10以後的版本。一旦攻擊者利用這項漏洞，就能透過未經授權的使用者來竊取Runner註冊的Token，而造成資訊洩露的情況。GitLab提醒，安裝新版軟體可能會導致群組與專案的Runner註冊Token重置，或是影響採用自動化流程來註冊Runner的功能，管理者升級前應考慮先備份相關的Token。

7成5醫用輸液幫浦存在已知安全漏洞

醫療用輸液幫浦存在的安全漏洞，近年來多次有資安人員揭露，甚至引起美國政府發布資安通報，呼籲用戶應儘速修補，但尚未修補的情況仍相當嚴重。資安業者Palo Alto Networks針對醫療院所逾20萬個輸液幫浦進行分析，結果發現，75%的設備存在已知漏洞，其中值得留意的是，52%存在CVE-2019-12255、CVE-2019-12264漏洞，這些漏洞的CVSS風險層級分別為9.8分與7.1分。研究人員認為，醫療院所應考慮採取較為積極的防護策略，而首先要對於網路上的設備進行盤點。