有研究人員在今年3月,針對網路服務廣泛應用的OAuth身分驗證措施提出警告,當時他們揭露了存在於訂房網站Booking.com的漏洞,並指出類似的情況也可能發生在其他導入OAuth的網站。
到了最近,這些研究人員公布對於另外3個熱門的網路服務調查結果,其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token,就有機會挾持用戶這些網站上的帳號。
【攻擊與威脅】
亞太地區的政府機關遭到駭客組織發動TetrisPhantom攻擊,利用安全加密隨身碟散布惡意程式,入侵隔離網路
根據資安新聞網站Bleeping Computer的報導,資安業者卡巴斯基在近期發布的APT趨勢調查報告當中,提及駭客組織TetrisPhantom的攻擊行動,但沒有透露相關細節。該新聞網站進一步向卡巴斯基確認,這些駭客針對亞太地區的政府下手,鎖定安全USB隨身碟的加密磁區資料,利用名為UTetris的應用程式木馬化版本進行竊密。
駭客首先在使用者的電腦執行名為AcroShell的惡意酬載,此惡意程式與C2伺服器進行通訊,然後下載額外的作案工具,偷取檔案及機敏資料,同時收集使用者存取USB隨身碟的特定資訊,將其用於打造名為XMKR的惡意程式,以及木馬化的UTetris,XMKR部署至Windows電腦之後,會伺機滲透至連接這臺電腦的安全USB隨身碟,再透過這支安全USB隨身碟,對受隔離系統(Air-Gapped)發動攻擊(當使用者這支安全USB隨身碟接上隔離系統時,惡意程式可再擴散到這個環境當中)。
研究人員一共看到兩種版本的木馬化UTetris,一種出現於2022年9月至10月,另一種從去年10月使用至今,然而,他們認為駭客的攻擊行動已經進行多年。
歐洲政府機關遭到俄羅斯駭客Winter Vivern鎖定,針對網頁電子郵件系統Roundcube發起零時差漏洞攻擊
資安業者ESET揭露俄羅斯駭客組織Winter Vivern(亦稱TA473)的零時差漏洞攻擊,駭客從10月11日,鎖定歐洲政府機關和智庫的網頁郵件伺服器Roundcube而來,利用過往未曾記錄的跨網站指令碼(XSS)漏洞CVE-2023-5631發動攻擊。
駭客先是假借Outlook管理團隊的名義,寄送歡迎使用Outlook的電子郵件,但該信件被事先埋入特製SVG圖檔,一旦有人開啟信件就可能中招,觸發SVG圖檔的惡意JavaScript指令碼載入器checkupdate.js,下載有效酬載,列出Roundcube帳號的資料夾及電子郵件,並向特定網站發出HTTP請求,將電子郵件傳送至C2伺服器。
研究人員12日向Roundcube通報,該開發團隊於16日推出1.6.4版、1.5.5版、1.4.15版予以修補。
資安業者卡巴斯基揭露針對巴西支付系統PIX用戶而來的攻擊行動,駭客從2022年12月透過惡意廣告,針對從網路上搜尋網頁版WhatsApp的用戶下手,一旦使用者點選駭客購買的廣告,就會被重新導引、連上惡意軟體網站,過程中會檢查使用者電腦是否開啟27275埠,目的是檢測是否存在特定的Avast Safe Banking元件,以便繞過偵測,然後最終下載NSIS的安裝程式。
使用者若是執行安裝,就會觸發PowerShell指令碼,並於電腦植入竊資軟體GoPIX,進而挾持使用者執行支付的PIX交易,竄改收款人的資料,或是更換為比特幣或以太坊錢包。
根據資安新聞網站SecurityAffairs的報導,資安業者Hudson Rock發現,有人在兜售臉書及Instagram專供執法單位存取的入口網站Police Portal帳密,開價700美元。這種入口網站是在政府機關因應辦案需求,向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用。
但賣家究竟如何取得相關帳密?研究人員推測,很有可能是對臉書員工進行社交工程攻擊而得。
【漏洞與修補】
Grammarly、Vidio、Bukalapak網路應用程式存在重大OAuth漏洞
資安業者Salt Security於今年2月至4月發現,有多個線上服務的OAuth身分驗證措施存在嚴重的資安漏洞,這些平臺包括:文法檢查服務Grammarly、印度影音串流服務Vidio、印尼電子商務網站Bukalapak。此漏洞可能導致攻擊者得以竊取使用者的身分,或是竊取信用卡資料、私人訊息、健康記錄等各式個人資料,也有可能將相關資料拿來進行財務詐騙的行為。
以Grammarly為例,當使用者試圖透過臉書帳號存取這項服務的過程當中,網頁編輯器會將使用者輸入的資料儲存在帳號裡,研究人員發現存取臉書帳號的OAuth身分驗證流程缺乏Token驗證步驟,而使得攻擊者有機會利用另一個App ID產生的Token,利用臉書帳號來收集用戶的Token,然後對提供服務的網站發動攻擊,進而接管用戶帳號。
Vidio、Bukalapak也有類似的缺陷,而有可能導致網站服務的用戶帳號遭到挾持。上述3家業者獲報後,皆已完成修補。但研究人員警告,類似的弱點也有可能出現在其他採用OAuth的網頁應用程式上。
VMware修補vCenter伺服器重大漏洞,並對不再支援的舊版產品提供更新
10月25日VMware針對vCenter Server、Cloud Foundation提供更新程式,當中修補重大漏洞CVE-2023-34048,未經身分驗證的攻擊者可在不需用戶互動的情況下,進行遠端執行任意程式碼(RCE)攻擊,CVSS風險評分為9.8。
值得留意的是,有鑑於這項漏洞的嚴重性,該公司也為已經生命週期終止(EOL)的舊版本vCenter Server 6.7U3、6.5U3,以及Cloud Foundation(VCF)3.x提供修補程式。
VMware事件記錄分析系統的RCE漏洞出現概念性驗證攻擊程式碼
思科10月19日VMware發布事件記錄分析系統Aria Operations for Logs(原vRealize Log Insight)8.14版,當中修補身分驗證繞過漏洞CVE-2023-34051,CVSS風險評分為8.1。
隔日資安業者Horizon3.ai也公布漏洞細節,以及概念性驗證(PoC)攻擊手法,並指出攻擊者可透過IP位址欺騙,以及多種使用Thrift協定的RPC端點,來達到任意檔案寫入的目的,而能否成功利用這項漏洞,關鍵是攻擊者須取得足夠的權限,於目標系統加入額外的網路介面或靜態IP位址。
研究人員指出,這項漏洞發生的原因,是VMware在一月發布的更新程式中,出現修補不完整的情況,使得攻擊者有機會繞過修補程式碼,發動遠端執行任意程式碼攻擊(RCE)。對此,VMware也在23日更新公告,指出網路上已經出現概念性驗證攻擊程式碼,接下來很可能會被用於攻擊行動。
資料來源
1. https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/
2. https://www.vmware.com/security/advisories/VMSA-2023-0021.html
【其他新聞】
蘋果發布安全性更新iOS 17.1、macOS Sonoma 14.1,修補21個iOS漏洞、44個macOS漏洞
Mozilla發布Firefox 119,修補3個高風險漏洞
針對8月遭遇的勒索軟體攻擊事件,Seiko公布資料外洩的情形
近期資安日報
【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐,駭客嚴格確認已滲透至真實環境,才開始植入惡意程式
熱門新聞
2024-11-12
2024-11-10
2024-11-13
2024-11-10
2024-11-11
2024-11-11
2024-11-12