資安一周第97期：Zoom付費版將會有全程加密模式。美國總統候選人陣營遭國家級駭客攻擊。

0604-0610 一定要看的資安新聞

＃視訊會議  ＃E2EE

Zoom付費版可望內建全程加密，但免費版不會有

自疫情期間在家工作成常態，市面上的視訊會議產品變得熱門，但其中的Zoom卻引起各種安全爭議，該公司也宣布啟動90天的改善計畫，最近，他們又有新的進展。Zoom執行長袁征在第一季財報會議上公布，他們在5月併購Keybase，將藉此來構建Zoom的全程加密（End-to-End Encryption，E2EE）會議模式，未來他們會將此功能提供給付費版用戶，但免費版用戶確定無法使用。

袁征表示，他們不打算在免費版本提供E2EE的原因，與FBI及各國政府執法的合作有關，為的是避免該版本被不當使用。詳全文

＃國家級攻擊

中國與伊朗駭客企圖滲透美國兩大總統候選人陣營

由國家在背後支持的駭客，近年來不斷試圖左右他國選舉。例如，6月5日，Google威脅分析小組總監Shane Huntley在推特上透露，他們發現由國家支持的駭客組織，企圖利用釣魚郵件，針對美國兩大總統候選人陣營下手，目標也就是拜登（Joe Biden）與川普（Donald Trump）的競選團隊，所幸沒有成功。

Shane Huntley指出，攻擊拜登團隊的是由中國政府支持的APT31，而打算滲透川普團隊的，則是伊朗駭客組織APT35。他也呼籲競選團隊的工作者，應該透過實體金鑰來執行雙因素身分驗證，來保護自己的帳號，減少可能會被駭客濫用的情況。詳全文

圖片來源：Shane Huntley

＃供應鏈攻擊 ＃勒索軟體攻擊

勒索軟體DopplePaymer宣稱成功入侵NASA外包商

企業合作的協力廠商，也成為駭客滲透的管道。像是根據ZDNet報導，勒索軟體DopplePaymer作者在暗網中的部落格張貼文章，表示他們竊得美國航空暨太空總署（NASA）的人事檔案，而拿到這些資料的管道，就是入侵NASA的IT外包廠商Digital Management LLC（DMI）。

為了證明確有此事，駭客提供ZDNet一個壓縮檔，宣稱內容是NASA專案成員的人事檔案，包含薪資與電子郵件等資料，而ZDNet透過公開資料比對，初步認定駭客所言為真。再者，駭客也宣稱加密了DMI的電腦，並在暗網張貼該公司的伺服器與工作站電腦清單。詳全文

圖片來源：ZDNet

＃勒索軟體攻擊

研究人員發現以Java映像檔製作的跨平臺勒索軟體

為了規避企業的偵測機制，駭客也嘗試使用非典型的攻擊手法。例如，BlackBerry與KPMG聯手，發現名為Tycoon的勒索軟體，駭客採用Java映像檔（.JIMAGE）格式製作而成。研究人員表示，Tycoon已經存在一段時間，但他們沒有觀察到大規模感染的情況，代表這個勒索軟體具有鎖定特定目標的性質。

研究人員是在去年12月發現Tycoon，這個勒索軟體可針對Windows和Linux電腦發動攻擊，目標是中小型教育組織與軟體公司，其入侵管道，是透過曝露於網際網路的RDP伺服器，進而植入攻擊服務與禁用防毒軟體，再逐一感染企業內部的伺服器。詳全文

圖片來源：BlackBerry

＃惡意程式攻擊

Valak惡意程式可竊取Exchange伺服器帳密

駭客用來輔助作案的工具，竟發展成功能複雜的惡意程式。美國資安業者Cybereason揭露惡意程式Valak，這個軟體最初是駭客用於下載惡意程式（Malware Loader），但短短半年內，駭客推出超過30個不同版本，Valak也演變為具備至少6個模組的惡意程式，其中1個模組能被用來竊取Exchange伺服器帳密。

研究人員指出，Valak主要被用來執行目標式攻擊，對象包括個人，以及美國與德國的大型企業。值得留意的是，駭客為了迴避偵測機制，捨棄無檔案攻擊（Fileless）常見的PowerShell，而是採用NTFS檔案系統的替代資料流（Alternative Data Stream，ADS），來挾帶攻擊工具。詳全文

圖片來源：Cybereason

＃漏洞攻擊

俄羅斯駭客鎖定Exim的3個漏洞發動攻擊，逾90萬臺仍尚未修補

在5月底，美國國家安全局（NSA）發出警告，俄羅斯駭客集團Sandworm自去年8月開始，針對郵件傳輸代理程式（Mail Transfer Agent，MTA）Exim，利用一個在去年6月被公開的漏洞CVE-2019-10149，不斷發出攻擊，呼籲企業要趕快修補Exim。但實際曝露於已知漏洞風險的Exim伺服器數量，究竟有多少？威脅鑑識公司RiskIQ公布了他們的分析結果，從5月1日到27日之間，他們總共發現有至少90萬臺Exim主機，存在被上述駭客集團攻擊的風險。

RiskIQ認為，駭客還可能同時利用2個Exim漏洞，它們是CVE-2019-15846與CVE-2019-16928，企業不能只有修補CVE-2019-10149。RiskIQ指出，企業至少要升級Exim到4.93版，才能防範上述3個漏洞。詳全文

＃SMB  ＃漏洞攻擊

美國政府警告駭客開始針對SMBGhost漏洞發動攻擊

軟體廠商已經提供修補程式的漏洞，使用者如果還沒有安裝，便可能成為駭客鎖定的目標。美國國土安全部於6月5日發出公告，呼籲Windows 10使用者，要趕快修補CVE-2020-0796，因為相關攻擊程式已經在網路上流傳。

這項漏洞又被稱為SMBGhost，是遠端程式碼執行（RCE）漏洞，存在於第3版SMB協定中，影響1903與1909版Windows 10，微軟於3月中旬提供修補程式。詳全文

＃漏洞攻擊  ＃物聯網裝置

Totolink等多家廠商無線路由器存在漏洞，遭駭客鎖定駭入並設定VPN作為跳板

在5月29日，刑事警察局公布有駭客集團假防疫名義架設釣魚網站，當中釣魚信的寄發，是透過一家企業的無線路由器作為跳板轉發，而這臺設備之所以成為跳板，原因是存在CVE-2019-19822及CVE-2019-19823的漏洞，導致設備管理者密碼被駭客取得，進而掌控並設定VPN連線造成。

上述的無線路由器漏洞，是去年12月波蘭西里西亞技術大學研究人員Błażej Adamczyk揭露，受影響設備的共通點，是採用瑞昱（Realtek）SDK。這名研究人員估計，市面上有70萬臺無線路由器受到影響，其中有7萬臺是易受攻擊的對象。詳全文

更多資安動態

●Zoom再傳2個安全漏洞，可讓駭客執行任意程式碼
●加拿大特許專業會計師協會遭駭，近33萬人資料外洩
●自動化設備廠盟立公告遭勒索軟體攻擊
●SAP ASE資料庫軟體出現任意程式碼執行漏洞
●VMware雲端管理平臺出現漏洞，可讓駭客接管雲端服務