圖片來源: 

TechCrunch

0716-0722 一定要看的資安新聞

 

#社交網站  #加密貨幣

比爾蓋茲、馬斯克、貝佐斯等130個名人推特帳號被駭,散布比特幣詐騙訊息

大批名人的推特帳號,包括比爾蓋茲、馬斯克,以及巴菲特等,他們的帳號於7月16日凌晨遭不明人士駭入,張貼加密貨幣的詐騙訊息,這些詐騙訊息大約出現在16日凌晨3時,根據加密貨幣新聞網站Coindesk的調查發現,在短短的2小時以內,已有多人上當,而詐騙者的電子錢包至少得到11.5個比特幣。

由於受害規模大,許多研究人員懷疑,駭客可能是從推特內部系統下手,聯邦調查局(FBI)與紐約州政府也陸續介入調查,確認是否涉及國家攻擊。

隔日,推特揭露初步的調查結果。他們表示,駭客取得該公司內部管理系統的員工帳號,藉此竄改用戶的密碼,進而接管帳號,然後發送詐騙訊息。而關於實質受害狀況,該公司說,約有130個高知名度人士與公司官方的推特帳號,遭駭客鎖定,其中45個帳號被接管。詳全文

 

#漏洞揭露  #DNS漏洞

美國國土安全部發布緊急指令,要求各聯邦機構限時修補Windows Server的DNS安全漏洞

安全廠商Check Point揭露一項漏洞CVE-2020-1350,存在於Windows伺服器的DNS元件,這項弱點可讓攻擊者遠端執行程式碼,還能感染其他電腦,CVSS風險的評分也達最高的10.0分。這項漏洞影響的範圍相當廣,包含2003以後版本的Windows Server作業系統,而微軟已於7月14日釋出修補程式。

由於這個漏洞的嚴重程度極高,已引發美國國土安全部(DHS)的高度重視。該單位旗下的網路安全及基礎設施安全局(CISA),在16日發布緊急指令,要求所有聯邦機構都應該在指定時限內,完成相關的弱點修補作業,而這也是CISA有史以來發布的第3次緊急指令。詳全文

圖片來源:Check Point

 

#資料外洩  #VPN

標榜捍衛用戶資安的VPN服務竟暗中收集用戶資料,且存放於缺乏防護的伺服器,2千萬用戶個資外洩

免費的VPN服務相當多,有些業者強調不會記錄上網資訊,卻傳出偷偷收集用戶個資的爭議行為,引發外界抨擊。專門評測全球VPN服務的vpnMentor網站在月中揭露一項調查報告,他們指出,有7款總部位於香港的免費VPN服務,竟使用同一臺Elasticsearch伺服器存放用戶個資,且缺乏安全保護,vpnMentor研究團隊找到這臺伺服器,並發現當中有超過2千萬用戶個資。

諷刺的是,這些服務都標榜提供軍事等級的安全防護,以及採用零記錄(No-Log)政策,來保護用戶的上網隱私,但是從前述暴露的伺服器來看,這7個服務不只記錄使用者個人資訊與上網行為,還儲存了明文密碼。因此,vpnMentor也提醒這些服務的用戶,小心資料外洩引發的後續效應,像是詐欺或是網路攻擊,很可能會找上他們。詳全文

 

#國家安全  #5G

英國正式宣布禁用華為5G設備

美國在5月對華為實施的新禁令,導致其他國家重新評估該廠牌產品對於國家安全帶來的衝擊。例如,英國政府於7月14日宣布,從12月31日以後,將禁止採購新的華為5G設備,且在2027年底之前,當地電信業者的5G網路應移除所有華為設備。英國文化大臣Oliver Dowden發布聲明,為了要求電信業者遵循禁令,《電信安全法案(Telecoms Security Bill)》將會納入這項規定。

而禁用與移除華為設備的代價,將導致英國建置5G網路的時間與成本大幅增加,估計部署5G的時間點將延後2至3年,總成本將提高至20億英鎊。詳全文

圖片來源:英國政府

 

#漏洞揭露

SAP修補NetWeaver重大漏洞RECON,可讓駭客接管系統,影響4萬企業

安全廠商Onapsis發現SAP重大漏洞,它出在NetWeaver AS Java中,LM組態精靈對外部連線驗證不足,可讓攻擊者藉由建立惡意HTTP連線,進而接管整個SAP系統。安全公司將該漏洞命名為RECON(Remotely Exploitable Code On NetWeaver)。而SAP在獲報後,發出公告並提供修補程式,也表示尚未觀察到攻擊事件發生。

RECON影響SAP多項產品,包含SAP ERP、Enterprise Portal、SCM、CRM、Process Integration(PI),以及SAP Solution Manager,全球受波及的企業超過4萬家。詳全文

 

#資料外洩  #觀光產業

MGM飯店資料外洩再擴大,1.4億筆住客個資於暗網兜售

今年2月,MGM渡假村飯店(MGM Resorts Hotel)超過千萬筆住客資料外洩,但有媒體報導,受害人數與範圍可能不只於此。ZDNet於 7月14日報導,同集團的MGM大飯店(MGM Grand)也被發現,有超過1.4億筆用戶個資外洩,且正在暗網以不到3千美元的價格,賤價出售。ZDNet指出,MGM集團的雲端伺服器應是在去年年中被駭,但該集團沒有公告,只私下通知被影響的顧客,而後來承認的資料外洩範圍僅限於MGM渡假村。

威脅情報業者KELA指出,這批資料至少從去年7月起,就已在駭客論壇流傳,張貼的人疑似和駭客組織GnosticPlayers有關。詳全文

 

#資料外洩

藝術品拍賣平臺LiveAuctioneers驚傳競標者資料外洩

專門提供藝術品、古董、珠寶,以及收藏品線上拍賣服務的LiveAuctioneers,在7月11日坦承,負責處理該平臺資料的第三方合作夥伴遭到駭客入侵,造成競標者資料外洩,當天LiveAuctioneers也要求所有競標者重新設定新的密碼。

儘管LiveAuctioneers並未公布受到波及的使用者數量,但根據數位風險監控平臺CloudSEK在暗網的觀察,他們發現駭客已開始兜售340萬名競標者資料。詳全文

圖片來源:LiveAuctioneers

 

#漏洞揭露

中國廠商西迪特的光纖線路終端設備含有7項漏洞

研究人員Pierre Kim及Alexandre Torres揭露,中國光纖線路終端設備廠商西迪特(C-Data),旗下的產品存在多種漏洞,可能引發各種威脅,包含:後門、密碼洩露、指令注入,以及遠端DoS攻擊等。

這2名研究人員經過靜態分析,發現了這些產品當中有7種漏洞,共影響27種型號。當中最嚴重的漏洞,是寫死在telnet伺服器的後門帳號,其Telnet伺服器可從WAN和FTTH LAN介面(即ONT)存取。而利用這些後門帳號,攻擊者可以完整存取受害產品的命令列介面(CLI)。同時,相關的後門帳號與密碼,都可以從韌體的映像檔擷取出來。

一旦攻擊者能夠存取CLI,就可以濫用2種漏洞。其中一種是資訊洩露漏洞,可取出管理員帳密;另一種則是指令注入漏洞,利用CLI的TFTP協定設定元件,就能以根權限執行Shell指令。

研究人員表示,由於他們擔心這些後門程式是刻意置入產品,因此決定完整公布漏洞細節,但C-Data並未針對這項疑慮進行回應。詳全文

 

 

 

更多資安動態

取得總統授權,美國CIA將對多個國家發動網路攻擊
蘋果修補多個程式碼執行與DoS攻擊漏洞
山寨版思科交換器暗藏安全風險
Thunderbird 78將提供郵件全程加密


Advertisement

更多 iThome相關內容