駭客利用PNG、JPG、GIF等圖片檔案挾帶惡意軟體的手法,不時有事故傳出,但現在有研究人員發現,駭客開始運用SVG格式的向量圖片檔案做為媒介。與前述幾種檔案格式有所不同,SVG採用XML語言為基礎並支援嵌入JavaScript,而使得駭客更容易透過惡意JavaScript指令碼發動攻擊。
竊取臉書帳號的攻擊行動近期越來越頻繁,然而最近有新的手法出現,不僅幾可亂真,也能騙過大多數資安系統的檢查。研究人員揭露濫用臉書貼文的網釣攻擊,這些貼文號稱是臉書的技術支援中心,並誘導受害者到釣魚網站。
Mozilla基金會近期推出Firefox 108、Thunderbird 102.6,美國CISA提出警告,該基金會甫修補的漏洞已出現攻擊行動,使用者應儘速更新。
【攻擊與威脅】
向量圖檔SVG被駭客用於偷渡惡意軟體QBot
思科的研究人員揭露惡意軟體QBot新的散布途徑,駭客利用向量圖檔SVG,並透過HTML挾持(HTML Smuggling)的手法來傳送這款惡意程式。駭客先是透過竊得的電子郵件,以回覆信件的型式進行釣魚攻擊,並挾帶HTML為附件,一旦收信人開啟該附件檔案,此HTML檔案將會載入SVG圖片,並執行此圖片裡面的JavaScript程式碼,建立惡意ZIP檔案,並向使用者顯示儲存檔案的對話框,收信人依照指示開啟壓縮檔案後,電腦便有可能感染感染QBot。
研究人員指出,與過往使用PNG、JPG圖片挾帶惡意程式有所不同的是,SVG是採用XML語言開發的向量圖檔,內含的HTML指令碼標籤會被視為合法功能,再加上QBot最終是在受害電腦上組裝,而能逃過網路安全系統的偵測。
竊取臉書帳密的網釣攻擊有新招!駭客濫用臉書貼文逃避資安系統偵測
資安業者Trustwave揭露新型態的臉書帳號釣魚攻擊手法Meta-Phish,駭客假借臉書客服的名義寄送釣魚郵件,聲稱收信人的臉書帳號部分功能遭到停用,原因是收信人發布的貼文違反臉書廣告服務條款,若不依照指示處理,帳號將在48小時被刪除。
一旦收信人照做,駭客會將其引至臉書使用者Page Support的貼文,並要求收信人點選貼文裡的URL填寫表單,一旦提交對方所要求的資料,駭客會透過Telegram機器人收集相關內容,進而接管此人的臉書帳號。此外,研究人員提到,為了確認收信人是否上鉤,駭客也濫用Google Analytics來追蹤進度。
14萬NuGet、NPM、PyPI惡意套件被用於網釣攻擊
資安業者Checkmarx與Illustria聯手,揭露大規模濫用開源套件庫的攻擊行動,有人在NuGet、NPM、PyPI套件庫上傳了144,294個惡意套件,並透過90個網域架設6.5萬個釣魚網站,目的是對開發者進行網釣攻擊。這些套件疑似透過自動化產生,因為,所有的套件發布者ID存在共通的命名規則,而且這些帳號上傳的套件數量幾乎相同。
開發者一旦安裝這些套件,將會被引導到各式各樣的釣魚網站,包含提供冒牌App、獎勵問卷、贈送禮物卡,有些人則被導向全球速賣通(AliExpress)的推薦連結。上述逾14萬個惡意套件,上傳到NuGet的最多,為136,258個;其次是PyPI的7,894個、NPM的212個。
烏克蘭政府遭到木馬化的Windows 10安裝光碟鎖定
資安業者Mandiant揭露自2022年5月出現的攻擊行動,名為UNC4166的駭客組織假借提供Windows 10的安裝光碟映像檔,在俄語與烏克蘭語Torrent共享網站上散布,一旦使用者依照指示安裝此作業系統,電腦就有可能被植入Stowaway、Beacon、Sparepart等後門程式,以便駭客能竊取電腦機密與檔案,並提供能對受害電腦持續存取的管道。
研究人員指出,從利用Windows作業系統安裝檔案來散布惡意軟體的手段,看似針對一般民眾而來,但攻擊者會分析受害電腦、確定電腦隸屬烏克蘭政府,之後才會對其發動進一步攻擊。
律師事務所遭到惡意軟體Deathstalker鎖定
資安業者卡巴斯基在調查惡意軟體Deathstalker的過程裡,發現了自2020年開始行動的變種,此惡意軟體鎖定中東律師事務所的Windows、Mac電腦發動攻擊,並在2021年達到高峰。比較特別的是,駭客濫用YouTube、WordPress.com等多個雲端服務做為Dead-Drop Resolver(DDR),讓Deathstalker成功入侵受害電腦後,破解駭客埋下的訊息而能與C2中繼站連結。
信用卡交易業者曝露9百萬交易資料
架站教學網站Website Planet資安團隊與研究人員Jeremiah Fowler聯手,發現沒有密碼保護的資料庫,內含9,098,506筆交易記錄與個人資料(PII),包括購買人姓名、付款人姓名、部分信用卡卡號、到期日、電子郵件信箱、驗證碼等。經調查後,資安人員得知該資料庫所有者的身分:總部位於美國加州的Cornerstone支付系統,該公司獲報後,已採取保護措施。
全臺戶政資料外洩事件延燒,立委要求政府儘速對民眾說明
根據民報10月下旬的報導,有人在駭客論壇兜售全臺戶政資料,並強調是最新的版本而非舊資料,並標榜內有許多政要的詳細戶藉資料。內政部、數發部表示經比對駭客提供的資料格式與內政部戶政資料差異很大,研判並非戶政司網站流出,駭客持有的是舊資料。但這樣的說明,難以解釋前述新聞媒體比對後,外洩資料符合民眾現況的情形。
對此,有立委在審查預算時,要求政府要進一步說明此事。時代力量立委邱顯智、王婉諭於12月9日召開記者會,要求政府必須向全國人民說明個人資料被侵害的情況,以及已採取的因應措施。民進黨立委賴品妤在14日立法院質詢時,指出國安局在調查報告裡坦承全臺戶政資料遭販賣的情況,而非內政部宣稱是2020年流出的舊資料,國安局發現這次外洩的資料已用於多起詐騙事件,政府應該要再進一步釐清狀況。
【漏洞與修補】
Mozilla修補Firefox、Thunderbird弱點,若不修補恐導致系統遭到挾持
12月13日Mozilla基金會發布Firefox 108、Firefox ESR 102.6、Thunderbird 102.6,當中修補了高風險漏洞CVE-2022-46878,這項漏洞是該基金會的開發人與模糊測試團隊發現,若不進行修補或緩解,將會導致記憶體中斷,而使得攻擊者有可能藉此執行任意程式碼。另一個同時出現在上述瀏覽器與收信軟體的高風險漏洞,還有CVE-2022-46872,攻擊者一旦成功利用,就有機會讀取任意檔案,不過,此漏洞只有Linux使用者受到影響。
美國網路安全暨基礎設施安全局(CISA)提出警告,已有駭客將這次Mozilla修補的漏洞用於攻擊行動,並挾持受害電腦。
西門子、施耐德電機修補逾140個漏洞
12月13日,西門子、施耐德電機發布本月例行修補公告,總共修補超過140個漏洞。其中,西門子發出20則資安通告,提出約140個漏洞的緩解措施,這些漏洞有超過半數與Scalance X-200RNA工控交換器產品線有關,超過80個存在於這些交換器採用的OpenSSL、OpenSSH程式庫元件,本次修補的漏洞涵蓋期間橫跨2013年至2019年,同時,他們也修補OpenSSL嚴重漏洞CVE-2022-3602。
同日施耐德電機也修補了6個漏洞,當中有4個存在於不斷電系統APC Easy UPS的監控軟體,其中的CVE-2022-42970、CVE-2022-42971的CVSS風險層級達到了9.8分。
【其他資安新聞】
近期資安日報
【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式
【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定
【2022年12月13日】 車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定
熱門新聞
2024-12-03
2024-11-29
2024-12-02
2024-12-02
2024-12-03