![](https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/20230421.png?itok=0sWtxBeg)
駭客攻擊WordPress網站的情況不時傳出,但近期出現了新型態的手法,而可能讓攻擊行動更難察覺──他們利用了長期沒有更新,而可能存在可利用漏洞的外掛程式,而使得攻擊行動有這種合法的外掛程式掩人耳目。
VMware針對Aria Operations for Logs修補的漏洞也相當值得留意,因為,這次他們特別呼籲用戶要儘速修補CVE-2023-20864,怪異的是卻沒有公布其CVSS風險評分。
近日微軟公布新的駭客組織命名規則,與過往不同的是,該公司以特定類型的氣候來命名駭客組織,並標榜這麼做使用者可更容易識別駭客的性質。
【攻擊與威脅】
已不再更新的外掛程式遭到濫用,駭客對WordPress網站植入後門程式
資安業者Sucuri揭露針對WordPress網站而來的攻擊行動,駭客濫用超過10年未更新的外掛程式Eval PHP,於目標網站的資料庫裡,將惡意程式碼注入名為wp_posts的資料表,而這段程式碼用file_put_contents功能函式建立PHP指令碼,再以此部署後門程式。
研究人員指出,這類攻擊行動很難被察覺,因為駭客是用老舊、合法的外掛程式來注入PHP程式碼。
而在攻擊的時機與規模上,今年4月,上述行動大幅增加,平均每天惡意下載Eval PHP的行為超過4千次。
駭客濫用Google Drive及使用密碼保護的ZIP檔案,散布惡意程式Ursnif、Diceloader
Google旗下的資安行動小組(GCAT)與該公司併購的Mandiant展開合作,近期揭發一起金融木馬Ursnif資安攻擊。駭客先是透過釣魚郵件,引誘收信人從Google Drive下載ZIP檔案,此壓縮檔案受到密碼保護,一旦依照指示開啟、執行,電腦就有可能被植入Ursnif。
研究人員指出,類似手法也被用於散布其他惡意程式。他們發現有人提供已竄改的Zoom安裝程式,於受害電腦部署惡意軟體Diceloader,過程中,同樣會要求使用者從Google Drive下載受密碼保護的ZIP檔案。
駭客濫用iPhone回復金鑰,奪取手機用戶的iCloud帳號,並且斷除原機遺失尋回機制
根據華爾街日報的報導,駭客濫用iPhone回復密碼的功能,使得手機失竊的人再也無法存取iCloud儲存的照片及檔案。
該媒體引述受害者的說法,這些人在手機被竊之後,駭客疑似輸入了Passcode,進而產生復原Apple ID的密鑰,而能成功入侵用戶的iCloud帳號。一旦成功入侵iCloud帳號,攻擊者就會馬上關閉Find My功能,並切斷能存取該帳號的蘋果裝置,甚至竊取Apple Pay行動支付的金鑰。對此,蘋果表示正在研擬防範此種威脅的新措施。
針對3CX VoIP系統軟體供應鏈的攻擊事故有新發現!駭客先透過另一個軟體供應鏈入侵員工電腦
協助網路電話系統解決方案3CX調查供應鏈攻擊事故的資安業者Mandiant指出,他們發現在這起攻擊行動裡,駭客組織UNC4736並非直接對3CX的員工下手,而是先針對股票交易自動化業者Trading Technologies的網站下手,進而散布遭到竄改的X_Trader應用程式,然後於3CX員工電腦上部署模組化後門程式VeiledSignal,執行Shell Code將通訊模組注入瀏覽器的處理程序。
而對於UNC4736的身分,研究人員根據所使用的基礎設施,認為與隸屬北韓駭客組織APT43的兩個駭客團體有關(UNC3782、UNC4469),以此推測UNC4736很有可能來自北韓。
北韓駭客Lazarus假借提供工作機會的名義,鎖定Linux用戶發動攻擊
資安業者ESET揭露Operation DreamJob的新一波攻擊行動,北韓駭客組織Lazarus在職場社群網站LinkedIn與其他社群網站上,假借提供工作機會的名義,引誘受害者下載惡意軟體。
研究人員看到的其中一起事故裡,駭客透過網路釣魚與LinkedIn散布名為HSBC job offer.pdf.zip的壓縮檔,其內容含有以Go語言編寫而成的Linux惡意軟體,駭客濫用了Unicode的特殊字元,而導致使用者以為副檔名是PDF。
一旦使用者開啟上述檔案,惡意軟體OdicLoader會顯示誘餌PDF文件,並從雲端檔案共用服務OpenDrive下載第2階段的惡意軟體酬載SimplexTea。根據進一步分析、比對SimplexTea之後,研究人員發現,它與3CX供應鏈事故中的macOS版惡意程式SimpleSea有共通特徵,因此推測Lazarus參與上述供應鏈攻擊。
【漏洞與修補】
VMware vRealize漏洞恐讓攻擊者使用root權限執行程式碼
4月20日VMware發布資安通告,因為他們針對Aria Operations for Logs(原名vRealize Log Insight)發布了8.12版,目的是修補CVE-2023-20864、CVE-2023-20865兩個漏洞。
其中比較值得留意的是CVE-2023-20864,此為反序列化漏洞,攻擊者有機會於目標系統上,使用root權限來遠端執行任意程式碼,影響Aria Operations for Logs 8.10.2版。該公司呼籲用戶應儘速升級軟體,但沒有透露此漏洞的CVSS風險評分。
研究人員Nagli揭露大型機器學習語言模型ChatGPT存在的漏洞,攻擊者可透過Web Cache欺騙手法,在自己已經登入ChatGPT的情況下,將惡意URL發送給目標用戶,並引誘登入ChatGPT,由於伺服器將使用者的敏感資料保存於暫存區,攻擊者就能從特定的CSS樣式表檔案裡,得知使用者的姓名、電子郵件信箱、Token等,而能存取目標用戶的ChatGPT帳號。對此,OpenAI在接獲通報的數個小時後修補上述漏洞。
【資安產業動態】
駭客組織的命名缺乏統一識別原則,微軟倡議新作法,中國駭客組織將取名為某某颱風,俄羅斯駭客將取名為某某暴風雪
4月19日微軟宣布他們採用新的規則命名、稱呼駭客組織,這套規則主要依據駭客類型來進行分類,包含國家級駭客(Nation-state)、因經濟動機從事攻擊行動(Financially motivated)的駭客、私人領域的駭客(Private sector offensive actors)、認知作戰駭客(Influence operations),以及尚在發展中的駭客組織(Groups in development)等。
其中,國家級駭客的部分,中國駭客以颱風(Typhoon)命名、伊朗駭客以沙塵暴(Sandstorm)命名、北韓駭客以雨雪(Sleet)命名,俄羅斯駭客以暴風雪(Blizzard)命名。
以中國駭客組織為例,APT41他們命名為Brass Typhoon,駭客組織ControlX則叫做Charcoal Typhoon。這種新的命名方式,將有助於使用者能更容易判斷駭客組織的屬性,該公司也提供了駭客組織的新舊名稱對照表。
【其他新聞】
烏克蘭遭俄羅斯駭客APT28鎖定,目的疑為掌控與戰爭有關的話語權
近期資安日報
【4月20日】 Oracle發布2023年第2季例行更新,修補433個漏洞
熱門新聞
2024-08-28
2024-08-26
2024-08-30
2024-08-26
2024-08-27
2024-08-24