【資安週報】2023年9月25日到9月28日

在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。

還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。

在網路威脅焦點上，有四大議題值得關注：
（一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。
（二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。
（三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。
（四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要留意。

其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：
●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。
●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。
●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。
●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。
●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。

在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。

【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator

集權國家政府利用間諜軟體監控特定人士的情況，不時傳出，而對於上週蘋果修補的一連串漏洞，通報的加拿大公民實驗室與Google威脅情報小組隨後公布資安事故的細節，指出受害者就是參與埃及明年總統大選的前議員Ahmed Eltantawy。

但有別於1年多前攻擊者利用釣魚簡訊引誘該名議員上當，這次攻擊者竟然透過當地電信業者的邊界裝置下手，對方趁他瀏覽尚未採用HTTPS連線的網站時，重新導向到惡意網站來部署間諜軟體。研究人員依此判斷，背後的攻擊者極有可能就是埃及政府。

【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph

最近半年，針對中東地區而來的攻擊行動變得更加頻繁，而在本日的資安新聞裡，使用後門程式Deadglyph、LuaDream駭客，都將該地區列為目標，其中又以Deadglyph最為詭譎。

為了躲避資安系統偵測，駭客採用多種罕見的方法進行活動，其中最特別的部分，就屬後門程式與C2伺服器之間連線的機制，竟是透過在記憶體內執行的附加模組來達成，而使得其運作更加難以捉摸。

【9月27日】Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料

日本知名企業Sony傳出資料外洩事故，但特別的是，這並不是今天才出現的消息，前幾天就有駭客組織RansomedVC聲稱對該公司下手，今天又有另一個駭客組織MajorNelson，宣稱是他們所為。這兩個組織也公開了部分竊得的資料，供買家及媒體進行驗證。

另一個值得留意的是，兩組駭客提供的樣本資料檔案大小差距相當懸殊，但兩組資料互有交集，而對於這些資料是否真的來自Sony？有待進一步的調查。

【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金

數日前，勒索軟體駭客RansomedVC聲稱入侵Sony並竊得內部資料，引起資安界高度關切，雖然此事的真實性仍有待商確，但現在他們宣稱也竊得另一家日本大型企業NTT Docomo的內部資料，不同的是，這次駭客開出了明確的贖金價碼，不過並未公布從這家電信業者偷到的資料。

有資安業者分析駭客從Sony竊得的資料，懷疑這兩起事件有關連，有可能是供應鏈攻擊事故導致。