資安一周第103期：大規模名人推特帳號被駭，被用來詐騙比特幣

0716-0722 一定要看的資安新聞

＃社交網站  ＃加密貨幣

比爾蓋茲、馬斯克、貝佐斯等130個名人推特帳號被駭，散布比特幣詐騙訊息

大批名人的推特帳號，包括比爾蓋茲、馬斯克，以及巴菲特等，他們的帳號於7月16日凌晨遭不明人士駭入，張貼加密貨幣的詐騙訊息，這些詐騙訊息大約出現在16日凌晨3時，根據加密貨幣新聞網站Coindesk的調查發現，在短短的2小時以內，已有多人上當，而詐騙者的電子錢包至少得到11.5個比特幣。

由於受害規模大，許多研究人員懷疑，駭客可能是從推特內部系統下手，聯邦調查局（FBI）與紐約州政府也陸續介入調查，確認是否涉及國家攻擊。

隔日，推特揭露初步的調查結果。他們表示，駭客取得該公司內部管理系統的員工帳號，藉此竄改用戶的密碼，進而接管帳號，然後發送詐騙訊息。而關於實質受害狀況，該公司說，約有130個高知名度人士與公司官方的推特帳號，遭駭客鎖定，其中45個帳號被接管。詳全文

＃漏洞揭露  ＃DNS漏洞

美國國土安全部發布緊急指令，要求各聯邦機構限時修補Windows Server的DNS安全漏洞

安全廠商Check Point揭露一項漏洞CVE-2020-1350，存在於Windows伺服器的DNS元件，這項弱點可讓攻擊者遠端執行程式碼，還能感染其他電腦，CVSS風險的評分也達最高的10.0分。這項漏洞影響的範圍相當廣，包含2003以後版本的Windows Server作業系統，而微軟已於7月14日釋出修補程式。

由於這個漏洞的嚴重程度極高，已引發美國國土安全部（DHS）的高度重視。該單位旗下的網路安全及基礎設施安全局（CISA），在16日發布緊急指令，要求所有聯邦機構都應該在指定時限內，完成相關的弱點修補作業，而這也是CISA有史以來發布的第3次緊急指令。詳全文

圖片來源：Check Point

＃資料外洩  ＃VPN

標榜捍衛用戶資安的VPN服務竟暗中收集用戶資料，且存放於缺乏防護的伺服器，2千萬用戶個資外洩

免費的VPN服務相當多，有些業者強調不會記錄上網資訊，卻傳出偷偷收集用戶個資的爭議行為，引發外界抨擊。專門評測全球VPN服務的vpnMentor網站在月中揭露一項調查報告，他們指出，有7款總部位於香港的免費VPN服務，竟使用同一臺Elasticsearch伺服器存放用戶個資，且缺乏安全保護，vpnMentor研究團隊找到這臺伺服器，並發現當中有超過2千萬用戶個資。

諷刺的是，這些服務都標榜提供軍事等級的安全防護，以及採用零記錄（No-Log）政策，來保護用戶的上網隱私，但是從前述暴露的伺服器來看，這7個服務不只記錄使用者個人資訊與上網行為，還儲存了明文密碼。因此，vpnMentor也提醒這些服務的用戶，小心資料外洩引發的後續效應，像是詐欺或是網路攻擊，很可能會找上他們。詳全文

＃國家安全  ＃5G

英國正式宣布禁用華為5G設備

美國在5月對華為實施的新禁令，導致其他國家重新評估該廠牌產品對於國家安全帶來的衝擊。例如，英國政府於7月14日宣布，從12月31日以後，將禁止採購新的華為5G設備，且在2027年底之前，當地電信業者的5G網路應移除所有華為設備。英國文化大臣Oliver Dowden發布聲明，為了要求電信業者遵循禁令，《電信安全法案（Telecoms Security Bill）》將會納入這項規定。

而禁用與移除華為設備的代價，將導致英國建置5G網路的時間與成本大幅增加，估計部署5G的時間點將延後2至3年，總成本將提高至20億英鎊。詳全文

圖片來源：英國政府

＃漏洞揭露

SAP修補NetWeaver重大漏洞RECON，可讓駭客接管系統，影響4萬企業

安全廠商Onapsis發現SAP重大漏洞，它出在NetWeaver AS Java中，LM組態精靈對外部連線驗證不足，可讓攻擊者藉由建立惡意HTTP連線，進而接管整個SAP系統。安全公司將該漏洞命名為RECON（Remotely Exploitable Code On NetWeaver）。而SAP在獲報後，發出公告並提供修補程式，也表示尚未觀察到攻擊事件發生。

RECON影響SAP多項產品，包含SAP ERP、Enterprise Portal、SCM、CRM、Process Integration（PI），以及SAP Solution Manager，全球受波及的企業超過4萬家。詳全文

＃資料外洩  ＃觀光產業

MGM飯店資料外洩再擴大，1.4億筆住客個資於暗網兜售

今年2月，MGM渡假村飯店（MGM Resorts Hotel）超過千萬筆住客資料外洩，但有媒體報導，受害人數與範圍可能不只於此。ZDNet於 7月14日報導，同集團的MGM大飯店（MGM Grand）也被發現，有超過1.4億筆用戶個資外洩，且正在暗網以不到3千美元的價格，賤價出售。ZDNet指出，MGM集團的雲端伺服器應是在去年年中被駭，但該集團沒有公告，只私下通知被影響的顧客，而後來承認的資料外洩範圍僅限於MGM渡假村。

威脅情報業者KELA指出，這批資料至少從去年7月起，就已在駭客論壇流傳，張貼的人疑似和駭客組織GnosticPlayers有關。詳全文

＃資料外洩

藝術品拍賣平臺LiveAuctioneers驚傳競標者資料外洩

專門提供藝術品、古董、珠寶，以及收藏品線上拍賣服務的LiveAuctioneers，在7月11日坦承，負責處理該平臺資料的第三方合作夥伴遭到駭客入侵，造成競標者資料外洩，當天LiveAuctioneers也要求所有競標者重新設定新的密碼。

儘管LiveAuctioneers並未公布受到波及的使用者數量，但根據數位風險監控平臺CloudSEK在暗網的觀察，他們發現駭客已開始兜售340萬名競標者資料。詳全文

圖片來源：LiveAuctioneers

＃漏洞揭露

中國廠商西迪特的光纖線路終端設備含有7項漏洞

研究人員Pierre Kim及Alexandre Torres揭露，中國光纖線路終端設備廠商西迪特（C-Data），旗下的產品存在多種漏洞，可能引發各種威脅，包含：後門、密碼洩露、指令注入，以及遠端DoS攻擊等。

這2名研究人員經過靜態分析，發現了這些產品當中有7種漏洞，共影響27種型號。當中最嚴重的漏洞，是寫死在telnet伺服器的後門帳號，其Telnet伺服器可從WAN和FTTH LAN介面（即ONT）存取。而利用這些後門帳號，攻擊者可以完整存取受害產品的命令列介面（CLI）。同時，相關的後門帳號與密碼，都可以從韌體的映像檔擷取出來。

一旦攻擊者能夠存取CLI，就可以濫用2種漏洞。其中一種是資訊洩露漏洞，可取出管理員帳密；另一種則是指令注入漏洞，利用CLI的TFTP協定設定元件，就能以根權限執行Shell指令。

研究人員表示，由於他們擔心這些後門程式是刻意置入產品，因此決定完整公布漏洞細節，但C-Data並未針對這項疑慮進行回應。詳全文

更多資安動態

●取得總統授權，美國CIA將對多個國家發動網路攻擊
●蘋果修補多個程式碼執行與DoS攻擊漏洞
●山寨版思科交換器暗藏安全風險
●Thunderbird 78將提供郵件全程加密