【資安日報】2022年6月2日，研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索

在今天的資安新聞裡，我們想要特別提及惡意外掛程式對於WordPress網站的威脅。有資安研究團隊近期發布報告指出，他們在長達8年的研究中，發現了超過4.7萬個惡意外掛程式，這些元件被部署於2.4萬個網站上，且大部分仍相當活躍。

駭客針對不設防的資料庫發動攻擊的情況，最近再添一起事故。研究人員發現有人鎖定1,200個Elasticsearch資料庫下手，刪除內容並留下勒索訊息。

這兩天有資安人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，類似可被濫用的Windows元件通訊協定漏洞再被揭露，這次是和Windows搜尋協定search-ms有關。

【攻擊與威脅】

逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站

WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。

結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。

研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。

1,200個Elasticsearch資料庫遭到勒索

駭客鎖定配置較不安全的Elasticsearch資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticsearch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。

研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticsearch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。

Windows搜尋通訊協定存在零時差漏洞

最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。

根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。

研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。

駭客濫用Telegram服務進行攻擊行動的情況，不時有事故傳出，但近期有人也運用該公司旗下的匿名部落格服務Telegraph出手。郵件安全業者Inky指出，他們看到駭客今年大肆利用Telegraph來進行網路釣魚攻擊，根據該公司的資料，他們在2019年至2022年5月偵測到的攻擊行動，有9成出現在2022年。這些駭客可能來自多個組織，使用已被挾持的電子郵件帳號發送郵件，企圖進行加密貨幣詐騙，或是竊取對方的網路服務帳密。

其中，在針對收信人的加密貨幣詐騙中，駭客聲稱已經竊得對方電子郵件帳號的密碼，並下載了所有信件，要求支付價值1,700美元的比特幣，換取資料不被外流，而這樣的狀況有多嚴重？根據研究人員的觀察與統計，駭客至少收到2,578.71美元贖金。

勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料

臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。

鴻海亦於今日傍晚證實此事，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。

三立離職員工駭入網路影音平臺遭到起訴

企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。

根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。

【資安防禦措施】

安卓惡意軟體FluBot遭到歐美執法單位圍剿

安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。