【資安日報】2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手

開源軟體受到廣泛使用，背後卻可能僅有數名無償付出的志工進行維護，這種現象再度因Log4Shell這樣的漏洞出現時，而引進政府重視。美國國家資安顧問更指出，開源軟體的資安問題，已是國家安全層級的議題。他們為此召集IT大廠、開源社群組織Apache軟體基金會，來探討IT大廠能否提供更多資源，來提升開源軟體的資訊安全，而不是單純仰賴志工的付出。

而在Log4Shell引起的後續效應之餘，國內最近陸續有數起前員工引起的內部威脅事件傳出，最近，電子零組件大廠臺灣東電化的員工，打算帶著公司研發機密到新東家使用，而在此之前，虛擬實境內容平臺業者愛實境（iStaging）傳出的資安事故，就是前員工發起的DDoS攻擊。

【攻擊與威脅】

電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手

國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。

勒索軟體Magniber假借瀏覽器更新名義，鎖定Windows 10電腦發動攻擊

濫用通用視窗應用程式（UWP）的安裝檔案（.APPX），來誘騙使用者在網頁瀏覽器安裝惡意軟體的現象，陸續有這種型態的攻擊事故發生。資安業者AhnLab揭露一起散布勒索軟體Magniber的攻擊行動，駭客以要求Edge和Chrome的使用者手動更新名義，引誘下載APPX更新程式，一旦下載安裝，電腦檔案就會被Magniber加密。

攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦

有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。

【漏洞與修補】

研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車

電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。