【資安日報】2022年2月14日，工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體

網管系統的漏洞，很可能會影響相當廣泛，若是用於管理工控環境的系統，甚至有機會左右工廠的運作。近期資安業者Claroty揭露，臺廠四零四科技（Moxa）的工業級網管軟體存在5個CVSS風險層級高達10分的漏洞，可被串連利用，而使得ICS-CERT也於2021年10月提出警告，呼籲用戶要儘速採取相關緩解措施。

但上述漏洞已在2021年9月修補，為何Claroty要在今年2月才揭露相關細節？研究人員沒有進一步說明。

存在於作業系統裡的重要系統元件，有可能被駭客用來挾帶惡意程式，來隱藏攻擊意圖。例如，研究人員發現駭客最近3個月，積極利用Regsvr32來載入惡意軟體Qbot、Lokibot，但攻擊者大肆濫用此元件並非首例。

【攻擊與威脅】

駭客利用Regsvr32元件於受害電腦載入Qbot、Lokibot等惡意軟體

利用受害電腦作業系統現成的元件，發動寄生攻擊（LoL）的情況，駭客最近重新盯上長年存在於Windows的功能模組。資安業者Uptycs最近提出警告，他們發現駭客透過Office文件挾帶惡意軟體Qbot、Lokibot，並利用Windows的註冊伺服器（Register Server，regsvr32.exe）元件，以註冊ActiveX控制項（OCX）檔案的方式，在受害電腦上執行惡意軟體，並表示使用這種手法的惡意軟體數量，自2021年11月開始顯著增加，到2022年1月已發現超過500個惡意軟體。

研究人員提出警告，Regsvr32經常被用於系統例行工作，而使得防毒軟體難以察覺威脅，他們呼籲IT人員要透過EDR系統的事件記錄裡，根據Regsvr32與Word、Excel的處理程序的主從關係，或是找出透過Regscr32載入的Scrobj.dll，來識別攻擊行為。

駭客組織疑似串通印度政府，攻擊人權鬥士和律師的電腦，企圖找出定罪的依據

APT駭客組織透過RAT木馬程式，暗中監控特定目標的情況，很有可能長達10年才被發現。資安業者SentinelOne近期揭露名為ModifiedElephant的駭客組織，該組織從2012年就開始運作，其攻擊行動與多半與印度的國家利益密切相關。研究人員指出，此駭客組織鎖定印度的人權鬥士、記者、學者，以及專業法律人士，利用NetWire和DarkComet等RAT木馬程式，對於受害者的Windows電腦或Android手機進行監控，以提供印度警方能逮捕對方的理由。研究人員指出，這些APT駭客使用容易取得的作案工具，且僅針對特定區域的目標，而能夠長年躲過資安人員的留意。

美式足球隊遭BlackByte勒索軟體攻擊

運動競賽隊伍在即將參與大型賽事的前夕遭到網路攻擊，很可能影響他們準備參加比賽的工作。美式足球聯盟（NFL）球隊舊金山49人隊（San Francisco 49ers）向資安新聞網站Bleeping Computer、Recorded Futrue等證實，他們遭到勒索軟體BlackByte攻擊，導致部分IT網路暫時停止運作，並認為合作廠商沒有受到波及的跡象。此駭客組織亦在網站上公布竊得的部分資料，疑似是該球隊2020年的發票資料，但究竟駭客偷得多少資料？仍有待進一步調查。由於NFL即將於2月13日（臺灣時間2月14日）舉辦超級盃賽事，這起事故很可能影響舊金山49人隊相關賽事的準備。

北市府抽獎網站疑出現後臺使用者管理介面，參加者個資恐外洩

政府單位的活動網站，竟出現管理介面隨意讓人瀏覽，而曝露民眾個資的情況。根據民視新聞的報導，有民眾向他們投訴，臺北市政府為鼓勵民眾搭乘公車，於2月11日開始舉辦的抽獎活動，其抽獎登記網站約於當日上午10時30分，開始出現異常，有資訊工程師發現疑似該網站的後臺使用者管理介面，內容列出所有登記民眾個資，且用戶能在沒有登入系統的狀態下查詢他人資料。對此，我們也詢問臺北市公共運輸處科長郭建辰，他表示，委外廠商初步判斷，事發原因是管理者的權限異常，並預計於2月16日會有進一步的調查結果。

【漏洞與修補】

臺廠工業級網管軟體存在重大漏洞，恐被攻擊者用於執行任意程式碼

工業控制環境的網管系統，一旦出現重大漏洞，很可能影響相當廣泛。資安業者Claroty揭露，臺廠四零四科技（Moxa）所推出的工業級網管系統MXview，存在5個漏洞，CVSS風險層級為滿分10分，其中的3個漏洞CVE-2021-38452、CVE-2021-38460、CVE-2021-38458，可被攻擊者串連用來發動RCE攻擊；另外2個漏洞CVE-2021- 38456、CVE-2021-38454，則能被用於解除密碼保護，或是存取其他敏感資訊。

四零四科技於2021年9月發布MXview 3.2.4版予以修補。這些漏洞近期也引起ICS-CERT在2021年10月發出警告，呼籲用戶要儘速採取相關緩解措施。

美國要求聯邦機構於2週內修補Safari重大漏洞

蘋果甫於2月10日發布修補程式，修補Safari瀏覽器重大漏洞CVE-2022-22620，這項漏洞影響Mac電腦與眾多型號的iOS裝置，是該公司2022年修補的第3個零時差漏洞。此項漏洞的嚴重程度，也使得美國網路安全暨基礎設施安全局（CISA）於2月11日下令，聯邦機構要在2月25日前完成修補作業，並指出他們已掌握駭客正在積極利用這項漏洞的證據。

macOS版Zoom驚傳臭蟲，會議結束後仍占用麥克風，恐影響用戶隱私

視訊會議軟體若是對於麥克風、視訊鏡頭的存取管控不佳，有可能造成用戶隱私洩露，或是使得他人能得知會議以外的對話內容。自2021年12月中旬，陸續有macOS版Zoom用戶發現，他們在沒有開啟Zoom用戶端軟體參與會議的情況下，控制中心的橘色指示燈卻持續亮著，顯示電腦的麥克風持續被Zoom占用。