回顧整個星期的資安新聞，我們可以發現不少與網路攻擊行動有關，而且，這些駭客又運用了各種過往較為少見的招式或是工具發動攻擊。例如，駭客組織UNC3524在入侵受害組織後，不只從Exchange伺服器挖掘與公司併購有關的資料，更特別針對IP攝影機、視訊會議系統等網路視訊設備下手，將其納入殭屍網路。但這些視訊設備的影像和畫面，也很有可能成為駭客獲取公司營業資訊的另一種管道。
在許多攻擊行動透過網路發起的同時，也有利用儲存裝置來進行的滲透，例如，駭客在Raspberry Robin攻擊行動裡，使用了近期較少聽聞的USB儲存裝置來散播蠕蟲程式。更值得留意的是，駭客的基礎設施，有一部分竟是挾持特定廠牌的儲存設備來建置而成。
而在釣魚郵件的攻擊行動裡，也有濫用Google的SMTP中繼服務來埋藏寄信來源的方式，在4月份顯著增加。再者，也有攻擊者疑似利用組織將郵件系統從內部環境遷移到雲端的時候，因安全政策出現變化，而趁機挾持上百名使用者的電子信箱帳號，然後將其用於網釣攻擊。
有些由APT駭客發起的網路間諜攻擊行動，也出現了較為不尋常的手段。例如，中國駭客Winnti在攻擊行動Operation CuckooBees裡，運用了NTFS、CLFS檔案系統的特性，而能夠規避資安系統偵測；再者，他們的惡意程式彼此之間存在高度相依性，若是研究人員只針對單一惡意軟體進行分析，很有可能難以識破攻擊意圖。
在上述過往較為少見的攻擊手法之外，本週也出現數起鎖定防毒軟體下手的攻擊事件，不只是有人利用其中部分元件的漏洞來關閉資安防護系統，有部分駭客甚至藉由受害電腦的防毒軟體來側載惡意程式。由於防毒軟體往往掌握了系統層級的權限，日後這種針對防毒軟體元件弱點而來的攻擊行動可能也會越來越多。
【攻擊與威脅】
網路間諜藉由Exchange伺服器竊密，並攻擊網路視訊設備
研究人員發現手法極為神秘的攻擊行動，駭客不只竊取往來郵件，還針對視訊會議系統下手。資安業者Mandiant揭露駭客組織UNC3524的攻擊行動，駭客在成功入侵受害組織後，透過Exchange伺服器（包含內部建置的伺服器與雲端服務），竊取含有公司合併資訊的電子郵件，並在沒有受到資安系統監控的網路設備上部署Quietexit後門程式，而在部分攻擊行動裡，他們也在受害組織的DMZ網路伺服器上，植入了名為reGeorg的Web Shell，來建立SOCKS隧道，可能暗中埋伏在受害組織超過18個月。
值得留意的是，這些駭客也利用Quietexit後門程式，針對曝露於網際網路的網路視訊設備下手，包含D-Link視訊監控鏡頭、LifeSize視訊會議系統來下手，疑似透過預設的管理者帳密入侵設備，來將這些設備納入殭屍網路。
駭客藉由USB隨身碟散播蠕蟲程式，並濫用威聯通網路設備回傳受害電腦資料
近年來駭客多半透過網路釣魚來投放惡意程式，但濫用USB儲存裝置的攻擊手法仍有事故發生。資安業者Red Canary揭露自2021年9月出現的Raspberry Robin攻擊行動，駭客利用USB儲存裝置散布蠕蟲程式，然後濫用受害電腦的Windows Installer處理程序（msiexec.exe）來存取駭客的基礎設施，這些設施多半由威聯通（QNAP）的設備組成，並在發出的HTTP請求裡包含了受害者的使用者名稱與電腦名稱。除此之外，駭客也運用洋蔥網路（TOR）的節點來增加C2中繼站的數量。
研究人員指出，他們已經在高科技與製造相關產業看到相關攻擊行動，但尚未確認受害組織之間是否存在關連，也無法判斷攻擊者的目的，不過，很可能是為了在受害電腦持續監控，駭客成功入侵後會部署惡意DLL程式庫，並透過Windows內建的應用程式來側載執行。
駭客濫用Google的SMTP中繼服務發送釣魚郵件
駭客發動釣魚郵件攻擊的手法，也出現濫用電子郵件服務的現象。資安業者Avanan提出警告，他們在4月看到攻擊者濫用Google的SMTP中繼（SMTP Relay）服務情況大幅增加，研究人員在2個星期的時間收到2.7萬封釣魚郵件，這種郵件透過上述服務寄送，從而隱藏信件的真實來源。
研究人員指出，只要這些採用Gmail的組織沒有適當的DMARC郵件驗證協定配置，攻擊者就能藉由這種方式，把釣魚郵件送到受害者的信箱。研究人員於4月23日向Google通報駭客的攻擊行動，但Google對於此事尚未做出回應。
駭客濫用英國健保局電子郵件帳號發動網釣攻擊
組織將電子郵件系統移轉至雲端服務，可能導致安全政策改變，而成為駭客用來攻擊的管道。資安業者Inky近日指出，駭客自去年秋天開始，盜用英國健保局（NHS）員工的電子郵件帳號寄送釣魚郵件，截至今年3月已有139名員工的帳號被冒用。研究人員在今年3月共偵測到1,157封以英國健保局員工名義寄送的釣魚郵件，這些郵件以傳送傳真檔案的名義引誘對方上當，一旦收信人依照指示開啟連結，就有可能被竊取微軟帳號的資料。
但為何駭客能大肆濫用該單位的員工電子郵件帳號？研究人員認為，可能與英國健保局去年將內部建置的郵件伺服器遷移至Exchange Online，使得相關安全配置產生變動，而出現能讓駭客挾持員工電子郵件信箱帳號的機會。
中國駭客Winnti竊取歐美組織的內部機密資料
駭客埋藏在受害組織的網路間諜行動，很可能長達3年才被發現。資安業者Cybereason近日指出，他們於去年調查多起針對北美、歐洲、亞洲地區科技業與製造業的入侵事件時，發現至少從2019年就開始進行的網路間諜行動Operation CuckooBees。這起攻擊行動疑似由中國駭客組織Winnti（亦稱APT41、Barium）發起，駭客主要針對受害組織的智慧財產下手，竊取有關的資料，除此之外，該組織亦偵察網路架構，並收集使用者帳號資料、員工電子郵件、客戶資料等，以利日後再度對受害組織下手，迄今已洩露數百GB的資料。
而對於駭客的攻擊手段，研究人員指出，攻擊者使用了未曾出現過的惡意軟體Deploylog，以及新版本的Spyder Loader、Privatelog、Winnkit等，並相當罕見地濫用作業系統的通用事件記錄檔案系統（CLFS）、NTFS檔案系統的機制，來規避資安系統的檢測。再者，比較特別的是，駭客所使用的惡意軟體皆相依其他元件，也就是必須具備相關元件的狀態下才能執行，使得研究人員難以各別分析就察覺攻擊意圖。
中國駭客Naikon攻擊南亞軍事單位，植入滲透測試工具Viper
資安業者Cluster25揭露中國駭客組織Naikon的網路間諜攻擊行動，目標疑似鎖定南亞國家的政府機構。這些駭客藉由釣魚郵件發動攻擊，並以網頁應用程式防火牆WAF設備的招標文件當作誘餌，一旦對方開啟這份文件，電腦就會被植入滲透測試框架Viper，駭客也在C2伺服器上部署資產探索工具Asset Reconnaissance Lighthouse（ARL）進行監控。研究人員指出，根據Naikon的武器庫分析結果，該組織長期暗中進行間諜行動，為了避免被受害者發現，也不時調整其攻擊的策略、技術、程序（TTP）。
中國駭客Moshen Dragon操弄防毒軟體元件，利用DLL側載的方式執行後門程式
駭客為了避免攻擊行動被發現，往往會透過關閉防毒軟體，或是將惡意軟體加入白名單等方式來進行，但最近有駭客竟是運用防毒軟體來側載惡意程式。資安業者SentinelOne指出，他們發現中國駭客Moshen Dragon在鎖定中亞電信業者的間諜攻擊行動裡，會濫用防毒軟體的部分元件，如Symantec SNAC、TrendMicro Platinum Watch Dog、Bitdefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher等，以DLL搜尋順序挾持（DLL Search Order Hijacking）的方式，來側載惡意程式PlugX與ShadowPad。
在受害電腦站穩腳跟後，駭客就會進一步濫用網路流量監聽工具Impacket進行橫向移動，最終在受害組織植入後門程式竊密。研究人員認為，駭客挾持防毒軟體的做法，主要還是與Windows作業系統維持DLL呼叫的相容性有關，而能讓攻擊者運用DLL搜尋順序挾持的手法對防毒軟體下手。
Avast防蠕蟲元件遭到勒索軟體AvosLocker濫用，用於停用防毒軟體，並掃描Log4Shell漏洞
勒索軟體駭客不只是會加密電腦的檔案，還會探測受害組織是否存在Log4Shell漏洞。趨勢科技最近偵測到勒索軟體AvosLocker的攻擊行動，駭客疑似先利用Zoho ManageEngine ADSelfService Plus的漏洞CVE-2021-40539，入侵受害組織，然後從C2伺服器下載HTML應用程式檔案（HTA）並執行，這個HTA檔案將會觸發含有Shell Code的PowerShell程式碼，並連線到C2中繼站接收指令。接著，駭客透過PowerShell的處理程序，下載ASPX檔案格式的Web Shell，並收集伺服器上的系統資訊，然後下載遠端桌面軟體AnyDesk，藉此讓駭客通過防火牆進行控制，並下載作案工具。
值得留意的是，他們濫用Nmap掃描受害組織的Log4Shell漏洞，並藉由Avast Anti-Rootkit的驅動程式檔案（asWarPot.sys）來關閉受害主機上的防毒軟體，然後執行勒索軟體。而對於上述防蠕蟲工具遭到濫用的情形，Avast表示，相關漏洞已於2021年6月修補，他們也與微軟合作，微軟已在Windows 10與11封鎖Avast的舊版驅動程式。
勒索軟體REvil重出江湖，研究人員發現新的惡意軟體檔案
之前已有研究人員發現勒索軟體REvil疑似東山再起的跡象，駭客重新恢復其公告受害者的網站運作，如今又有了新的進展。根據資安新聞網站Bleeping Computer的報導，資安研究員R3mrum、Advanced Intelligence執行長Vitali Kremez、Avast研究員Jakub Kroustek等多名資安研究人員，不約而同發現新的REvil勒索軟體檔案。
R3mrum指出，使用新版勒索軟體的駭客擁有原始碼，但目前的檔案不會執行加密；Vitali Kremez則表示，這個勒索軟體在4月26日編譯完成，並具備針對特定受害者的驗證機制；Jakub Kroustek則是指出，他們偵測到疑似是REvil變種的勒索軟體，組態配置與受害者ID都有所不同，目前並不會加密檔案，但會向受害者索討42個比特幣（BTC）的贖金。
勒索軟體Black Basta竄改傳真服務並在安全模式執行
在上個月首度出現的勒索軟體Black Besta，傳出很可能是駭客組織Conti成員另起爐灶，有資安業者揭露其攻擊手法的獨特之處。資安業者Minerva指出，攻擊者想要利用Black Besta加密檔案，必須要使用管理員的身分執行，若是透過一般的使用者權限，則不會發動攻擊。
研究人員發現，該勒索軟體開始執行後，不只會刪除磁碟區陰影複製（Volume Shadow Copy）的備份檔案，還會企圖竄改受害電腦已經存在的傳真服務（先刪除再建立相同名稱的服務），然後透過安全模式重新開機，並啟用上述的服務再度執行勒索軟體──先枚舉所有的磁碟機並逐一加入勒索訊息，然後占用大部分處理器的資源來加密所有檔案。研究人員指出，因為勒索訊息與公鑰都是針對特定組織而來，使得每個受害組織出現的Black Basta都不盡相同。
CrowdStrike的Docker蜜罐發現兩個可能引發阻斷服務的映像檔，疑似鎖定俄羅斯、白俄羅斯政府機關
烏克蘭戰爭開打至今，雙方的網路攻擊行動也不斷出現，但最近駭客的攻擊手法發生了變化。資安業者CrowdStrike近日指出，他們在2月27日至3月1日之間，看到疑似是烏克蘭政府發起的IT軍隊（UIA），利用曝露於網路的Docker引擎API，向俄羅斯與白俄羅斯24個政府機關、新聞網站，發動分散式阻斷服務（DDoS）攻擊。
這些駭客了上傳兩個Docker映像檔到Docker Hub，若有人去下載、部署這些映像檔，可能會啟動相關的攻擊，上述兩個檔案目前已被下載超過15萬次。
俄羅斯駭客APT29濫用工作行程安排平臺Trello發動攻擊
俄羅斯駭客鎖定外交單位發動攻擊的情況，也開始採用更為隱密的手段進行。資安業者Mandiant自1月中旬，發現俄羅斯駭客APT29的釣魚郵件攻擊，鎖定數個外交單位與政府機關而來。攻擊者假借大使官行政通知的名義，並冒用合法的電子郵件信箱寄信，挾帶名為Rootsaw的HTML投放器，以HTML挾帶（HTML Smuggling）的方式，投放IMG或ISO光碟映像檔到受害電腦，而這個映像檔的內容是Windows連結（LNK）檔案與惡意DLL程式庫。一旦受害者點選LNK檔案，便會觸發Beatdrop、Boommic下載器來攻擊受害電腦。
研究人員指出，他們觀察這些駭客在初始入侵不久後，12小時之內取得網域管理員的權限，最終投放了Cobalt Strike的Beacon。研究人員指出，這些駭客為了規避資安系統的偵測，他們利用工作管理平臺Trello架設C2中繼站，而在去年攻擊行動中，這些駭客曾濫用應用程式開發平臺Firebase、檔案共用服務Dropbox。
俄羅斯駭客針對羅馬尼亞政府發動DDoS攻擊
俄羅斯駭客不只針對烏克蘭發動網路攻擊，也鎖定援助烏克蘭的其他國家下手。羅馬尼亞情報局（SRI）於4月29日發出公告指出，從當地時間凌晨4時開始，該國與金融機構的一系列網站遭到分散式阻斷服務（DDoS）攻擊，駭客利用羅馬尼亞境外的網路設備發動攻擊，攻擊者的身分是俄羅斯駭客Killnet。該駭客組織坦承是他們發起的攻擊行動，並指出原因是羅馬尼亞眾議院主席馬塞爾·喬拉庫（Marcel Ciolacu）近期發表的聲明提及，該國將盡其所能，提供烏克蘭包含武器在內的各式援助。
北韓駭客Lazarus利用多種勒索軟體發動攻擊
因攻擊銀行而惡名昭彰的北韓駭客組織Lazarus（亦稱APT38、Hidden Cobra），有研究人員發現，這些駭客最近2年疑似也透過勒索軟體來牟利。資安業者Trellix指出，他們發現Lazarus的成員運用勒索軟體VHD的跡象，進一步分析與比對後，發現該組織還有利用Beaf、PXJ、ZZZZ、ChiChi等多款勒索軟體，這些勒索軟體共用部分程式碼，其中又以Beaf和ZZZZ的相似程度最高。
這些駭客鎖定的目標，很可能是亞太地區的實體，不過，研究人員提及，其中發生在2020年的一起攻擊行動中，駭客只收到2.2個比特幣（時價約2萬美元），獲利並不高，研究人員認為，上述的勒索軟體攻擊事故，很可能是大型攻擊行動的一部分。
北韓駭客DarkSeoul利用Log4Shell漏洞入侵VMware遠距工作平臺
國家級駭客運用Log4Shell漏洞發動攻擊的情況，已有數起，且有不少是針對VMware遠距工作平臺而來。資安業者賽門鐵克於今年2月發現，北韓駭客DarkSeoul（亦稱Stonefly、BlackMine）攻擊美國工程公司，該公司與美國國防與能源領域具有合作關係。而駭客入侵該公司的管道，就是針對該公司的遠距工作平臺VMware View（舊版的VMware Horizon）伺服器下手，利用Log4Shell漏洞入侵。
在成功進入受害組織後，駭客部署後門程式Preft（亦稱Dtrack、Valefor），並利用Mimikatz收集帳密，之後於該公司內部網路進行橫向移動，進行竊密的工作。研究人員指出，這些駭客透過寄生攻擊（LoL）的手法，大量採用開源工具WinSCP、3proxy 等，並專注於竊取機密資訊的工作。他們呼籲組織應儘速修補相關系統的Log4Shell漏洞。
駭客透過惡意軟體PrivateLoader散布NetDooka惡意框架
駭客的惡意軟體分工中，先前有資安業者揭露專門投放惡意軟體的業者，他們以感染電腦數量來向駭客收費（Pay-per-install，PPI），最近又有駭客利用這種方式散布作案工具。趨勢科技發現，近期有駭客尋求PPI業者，藉由惡意軟體PrivateLoader投放名為NetDooka的惡意軟體框架，該框架由Dropper、Loader，以及RAT木馬程式等元組成。PPI業者會先投放NetDooka的Dropper元件，該元件會解密並執行Loader。
而Loader會先確認受害電腦環境，並清除受害電腦的上的防毒軟體、封鎖防毒業者的網域，再藉由作業系統的BITS系統元件下載、以驅動程式的型式植入木馬程式，為了避免木馬程式遭到刪除或停止運作，駭客也藉由登錄檔的機碼設置了復原機制。
這個RAT程式可接受攻擊者遠端下達的命令，如執行Shell程式碼、發動DDoS攻擊、側錄鍵盤輸入的內容，以及進行遠端桌面存取等。研究人員認為，駭客透過植入惡意驅動程式的管道站穩腳跟，這樣的做法使得攻擊者能透過NetDooka惡意軟體框架，對受害電腦傳遞更多惡意軟體。
駭客以AWS的名義上傳2個惡意NPM套件
攻擊者假冒知名開發者的名義上傳惡意NPM套件，大型的雲端服務業者也成為受害者。資安業者WhiteSource於4月28日、30日，發現有人發動名為Package Backfill的攻擊行動，駭客假冒AWS的名義，找尋該公司曾經發布（但已下架）的NPM套件，然後以這些套件的名稱上架惡意軟體。
研究人員指出，第一個上架的套件名為hl7.fhir.r3.core，但套件內容僅有package.json檔案，很可能是實際攻擊之前的測試；而第二個名為@aws-cdk-example-dynamic-web-config/shared的套件，一旦受害者不慎安裝，攻擊者將藉此收集受害主機上的系統資訊，例如處理器架構、可用的記憶體、IP位址、MAC位址，使用的網路連接埠等資訊。研究人員指出，駭客藉由不再使用的NPM套件名稱來發動攻擊，並成功通過NPM的上架檢測機制，開發人員應透過套件的校驗機制來防範受騙。
駭客以無聊猿的名義向圖像創作者散布惡意軟體
非同質化代幣（NFT）的創作當紅，駭客也看上這波熱潮，以徵求NFT作品所需的圖像為由，向創作者發動攻擊。資安業者Malwarebytes指出，近期有人鎖定DeviantArt、Pixiv等圖像作品分享網站的用戶，發送釣魚郵件，他們宣稱是NFT專案Cyberpunk Ape Executives，尋求與平面圖像的創作者合作，一旦對方被錄取，每天將會有200至350美元的報酬。
一旦收信人照作，就會從檔案共享網站Mega下載RAR壓縮檔，內含了許多GIF圖檔，但其中混入了可執行檔，一旦收信人不慎當作圖片開啟，電腦就有可能被植入竊密程式。對此Cyberpunk Ape Executives也提出警告，他們沒有相關的合作計畫，呼籲收到相關郵件的人不要回覆，也不要點選信件裡的連結。
西班牙總理、國防部長手機感染間諜軟體Pegasus
又有歐洲國家透露高層遭到間諜軟體Pegasus監控，但外界認為公布相關消息可能別有用意。西班牙政府於5月2日指出，該國總理Pedro Sanchez、國防部長Margarita Robles，兩人的手機先後於2021年5月、6月，感染了Pegasus間諜程式。
但外界認為，西班牙公布此事的動機並不單純，原因是加拿大公民實驗室於今年4月指出，63隻加泰羅尼亞人士的手機遭到Pegasus監控，這些手機的所有者包含該國總統、立法委員、公民組織成員等，背後疑似是西班牙所為，這次西班牙公布總理和國防部長遭到監控的事件，很有可能是要淡化針對加泰羅尼亞的攻擊行動。
雲端應用程式服務業者Heroku坦承因客戶資料庫遭駭，引發GitHub的OAuth憑證外洩事件
自GitHub於4月中旬發出公告，指出駭客濫用他們授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證，導致數十個組織GitHub儲存庫可能會遭到異常存取，這起事件最近有了新的發展。
根據資安新聞網站Bleeping Computer的報導，Heroku於5月4日陸續向用戶寄送資安事故通知的電子郵件，表明為了對上個月的資安事故做出回應，他們將會強制重設用戶的密碼，但除此之外沒有進一步做出說明，而引發用戶不滿，認為該公司的資安事故處理不夠透明，且這樣的做法代表了當時Heroku應該遭到了攻擊。
這起風波發生的隔日，Heroku終於坦承他們於4月7日遭到入侵，駭客存取該公司資料庫並下載了客戶GitHub的憑證，並於4月8日下載這些客戶GitHub儲存庫的中繼資料，9日進一步存取含有原始碼的Heroku私有GitHub儲存庫資料。該公司於13日母公司Salesforce接獲通報後著手進行調查，遂於16日註銷所有與GitHub整合的OAuth憑證，且於5月4日決定進一步重設Heroku用戶的密碼。
【漏洞與修補】
F5公布BIG-IP系統出現重大漏洞，恐被攻擊者用於RCE攻擊
網路安全業者F5於5月4日發布資安通告，指出他們修補了BIG-IP系統的漏洞CVE-2022-1388，這項漏洞存在於iControl REST元件裡，影響從11.6.1至16.1.2的多個版本BIG-IP。一旦攻擊者加以利用，就藉由發送特定的請求來繞過iControl REST的身分驗證流程，進而有可能接管整個系統，CVSS風險層級達到9.8分。這項漏洞的嚴重程度，也使得美國網路安全暨基礎設施安全局（CISA）同日發出資安警示。
F5發布了新版軟體修補上述漏洞，而對於無法升級的用戶，該公司也提供了緩解措施，但指出用戶採用前，應留意部分的措施有可能會影響該系統運作。
關於曝露在資安風險當中的BIG-IP系統數量，資安人員Nate Warfield提出警告與預估，根據他透過物聯網裝置搜尋引擎Shodan兩年來的追蹤，可能有1.6萬套BIG-IP系統曝露在網際網路上。
用於嵌入式系統的程式庫存在DNS漏洞，恐波及數百萬物聯網設備
廣泛受到物聯網設備運用的程式庫，一旦出現漏洞，影響層面將相當廣泛。資安業者Nozomi Networks指出，他們發現uClibc、uClibc-ng程式庫所提供的DNS功能存在漏洞，攻擊者可用來發動DNS中毒，或是DNS欺騙攻擊，重新將受害者導向攻擊者控制的IP位址。
由於上述兩款程式庫受到Netgear、Axis、Linksys等網路設備廠商，以及供嵌入式應用的Linux發行版採用，可能超過200家廠牌的產品恐面臨上述風險。這項漏洞研究人員在2021年9月發現，並於2022年1月通報前述廠商，但目前尚無修補程式可用，這些廠商正試圖協助開發修補軟體中。
TLStorm 2.0漏洞波及Aruba、Avaya交換器
繼資安業者Armis於3月底發現存在於APC不斷電系統（UPS）的重大漏洞TLStorm，他們也在其他廠牌的網路設備找到相關漏洞。Armis近日指出，Aruba與Avaya多個型號的交換器裡，發現TLS通訊實作存在5個漏洞，這些漏洞存在於TLS程式庫NanoSSL，一旦攻擊者利用這些漏洞，將能打破受害組織的網段，並藉由交換器橫向移動，或是竊取受害組織的機密資料。研究人員將上述交換器的漏洞命名為TLStorm 2.0。Aruba、Avaya獲報後，已針對受影響的交換器發布修補韌體。
Avast、AVG防毒軟體存在近10年的高風險漏洞
日前研究人員發現駭客在攻擊行動裡，利用Avast防蠕蟲程式（Anti Rootkit）的元件停用防毒軟體，而最近研究人員揭露了更多可被濫用的漏洞。資安業者SentinelOne於2021年12月向防毒業者Avast通報，他們在該公司旗下Avast、AVG防毒軟體的防蠕蟲程式裡，發現了兩個相當嚴重的漏洞CVE-2022-26522、CVE-2022-26523，這些漏洞自2012年Avast防毒軟體12.1版存在至今，很可能影響數百萬用戶。
這些漏洞一旦遭到利用，攻擊者就有可能關閉資安產品、覆蓋系統元件，或是導致電腦出現藍白畫面（BSOD）。研究人員指出，這些漏洞可能會被攻擊者用於第二階段的瀏覽器攻擊，或是執行沙箱逃逸。Avast、AVG獲報後已於22.1版防毒軟體修補上述漏洞，並將陸續派送給用戶。
蘋果Apple Silicon處理器存在Augury漏洞，恐洩露準備要執行的命令
蘋果自行設計的Apple Silicon處理器晶片中，可能也存在類似推測執行（Speculative Execution）的漏洞。美國伊利諾大學香檳分校（UIUC）、華盛頓大學（UW），以及以色列特拉維夫大學的數名研究員聯手，在蘋果的A14、M1、M1 Max處理器上發現名為Augury的漏洞，這項漏洞與該廠牌處理器所採用的記憶體資料預先讀取機制（Data Memory-Dependent Prefetcher，DMP）有關，一旦攻擊者利用這項漏洞，就有可能洩露處理器核心或指令集尚未讀取的資料。再者，該漏洞也會讓這些蘋果處理器對於Spectre漏洞的防禦措施失效。
研究人員指出，雖然這個漏洞目前尚未遭到利用，但此漏洞可能會被攻擊者用於破壞作業系統，使得記憶體使用位址空間隨機載入（ASLR）的機制失效。研究人員已經通報相關分析結果，不過目前蘋果沒有進一步回應。
微軟修補Azure PostgreSQL租戶隔離漏洞
雲端資料庫的漏洞，很有可能讓駭客能用於存取其他租戶的資料庫內容。資安業者Wiz Research發現在微軟Azure Database for PostgreSQL的服務裡，存在名為ExtraReplica的漏洞，這項漏洞包含兩項缺陷，其中之一是微軟為強化PostgreSQL Flexible Server功能所做的修改，而能被攻擊者用於提升權限，另一項則是允許攻擊者使用正向表達式，發布含有萬用符號結尾的憑證，而運用於跨租戶攻擊的弱點。攻擊者一旦串連上述漏洞，就有可能藉讚此取得其他Azure PostgreSQL Flexible Server用戶資料庫的讀取權限，微軟獲報後已於4月28日完成修補。
【資安防禦措施】
OpenSSF推出能檢測惡意NPM與PyPI套件的工具
惡意NPM套件的攻擊事故近期已有數起，有鑑於這種現象，研究人員開發了相關的分析工具。開源安全基金會（OpenSSF）於4月28日，公布了軟體套件分析（Package Analysis）專案的系統原型，研究人員藉此系統來解析開源市集NPM、PyPI裡的惡意套件，經過一個月測試，他們找到超過200個惡意套件。研究人員指出，目前該系統所識別出的惡意套件，多數與程式碼的混淆與偽造網址有關，有些僅有簡單的程式碼，很有可能是資安人員為了漏洞懸賞而上架的概念性驗證程式（PoC）。OpenSSF呼籲社群要協助強化此系統的能力，以便此專案能早日實際應用於開發社群，以便更快找到有問題的開發套件。
研究人員發起Malvuln專案，找尋勒索軟體的漏洞來阻止攻擊行動
為了防堵勒索軟體加密電腦檔案，有研究人員試圖找出漏洞來阻止運作。資安研究員John Page（Hyp3rlinx）於2021年1月發起名為Malvuln的專案，該專案的目標是找出並公布惡意軟體與勒索軟體的漏洞，該專案上線至今此專案已揭露數百個惡意程式漏洞，並提概念性驗證（PoC）攻擊程式，到了5月3日，Malvuln進一步公布多款惡名昭彰的勒索軟體漏洞細節，這些勒索軟體包含了WannaCry、REvil、Conti，以及LokiLocker等。
研究人員本次揭露的漏洞，主要與勒索軟體的運作方式有關，因為駭客都會搜尋現有資料夾裡的DLL檔案，並用來側載惡意程式，一旦研究人員利用勒索軟體的漏洞，就能透過DLL挾持（DLL Injection）來置換駭客的檔案，進而終止加密資料的攻擊行為。雖然該專案立意良善，但也有資安專家認為，駭客會修補Malvuln公布的軟體漏洞，而讓資安人員無法用來反制。
曝露於網際網路的資料庫於自2021年開始不斷增加
隨著這幾年疫情的蔓延，遠距工作成為常態，使得企業的網路環境變得更加複雜，而可能使得曝露在網際網路上的資料庫大幅增加。資安業者Group-IB指出，他們在2021年共發現了30.8萬個曝露的資料庫，且自2021年第1季開始幾乎不斷增加，而這樣的情況到了今年第1季更加惡化，新增了9.1萬個資料庫。而對於這些資料庫的類型，研究人員發現，近4成是Redis，其次是MongoDB和Elastic，而根據這些資料庫位於的國家來看，主要是美國，中國次之。
臺灣百貨業者的網站、帳密保護、郵件安全尚待加強
在最近3年受到疫情的衝擊，百貨業者紛紛進行數位轉型，推出電子支付工具與電商網站，但在此同時資訊安全也相形變得更加重要，有資安業者針對臺灣百貨業者進行調查。資安業者Cymetrics近日針對臺灣前十大百貨業者檢測資安曝險的情況，結果發現，這些百貨公司的網站普遍出現配置不當，或是元件沒有即時更新的情況，攻擊者很可能藉由跨網站攻擊繞過相關安全驗證機制，或是利用舊版軟體的已知漏洞入侵。
再者，電子郵件安全與帳號保護的部分，也出現仍需加強的情況。研究人員指出，有半數業者疏於電子郵件安全防護，亦有高達4家業者曾出現帳號資料外洩的事故，而可能成為攻擊者下手的目標。
【資安產業動態】
趨勢科技宣布成立車用資安新公司VicOne，布局電動車資安防護領域
趨勢科技5月4日宣布成立車用資安新公司VicOne，這是該公司繼2019年與四零四科技共同成立TXOne Networks，擴展工控資安領域後，加強布局電動車產業資安防護領域。此舉將致力於解決電動車日益升高的資安需求，同時將推動「策略合作夥伴計畫」，目標是協助國內的汽車系統整合及零組件製造商，做到汽車品牌廠的資安合規要求。同時，鴻海推動的MIH開放電動車聯盟，也將參加VicOne策略合作夥伴計畫，而SOAFEE、AUTOSAR等產業聯盟，亦與VicOne進行合作。
Synopsys併購DAST服務業者WhiteHat Security
美國電子設計自動化（EDA）業者新思科技（Synopsys）於4月27日宣布，他們將以3.3億美元的價格，買下NTT Security旗下的應用程式安全服務公司WhiteHat Security，併購後將為新思科技帶來動態應用程式安全測試（DAST）的相關技術，這起併購案預計在該公司的今年第3財季完成。
熱門新聞
2024-11-05
2024-11-05
2024-11-07
2024-11-04
2024-11-02
2024-11-02