抓漏獎勵 | google | 漏洞獎勵

Google將抓漏獎金提高為最多5倍

在漏洞獎勵計畫實施14年後，要找到作業系統與應用程式安全弱點的難度也隨之增加，因此Google決定從產品重要性，以及研究人員提交的漏洞報告品質，來提高抓漏獎金額度

2024-07-12

間諜軟體 | 蘋果

蘋果警告傭兵間諜軟體鎖定98國iPhone用戶

近期傭兵間諜軟體針對蘋果用戶發動新一波攻擊，讓蘋果再度對身分敏感使用者發布威脅通知，警告其Apple帳號成為間諜軟體攻擊目標

2024-07-12

資安日報

【資安日報】7月12日，研究人員揭露鎖定巴黎奧運購票民眾的詐欺駭客組織Ticket Heist，並警告接下來的歐洲盃足球賽也被鎖定

隨著巴黎奧運將於2週後舉行，駭客鎖定想要購買入場門票的民眾下手，情況可說是越來越氾濫，有研究人員發現，名為Ticket Heist的駭客組織經營逾700個網域從事相關詐騙

2024-07-12

中國駭客 | SneakyChef | SugarGh0st | RAR SFX | WinRAR

中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st

研究人員針對中國駭客組織SneakyChef最新一波的攻擊行動提出警告，指出對方透過WinRAR自解壓縮檔散布惡意程式SugarGh0st，範圍遍及亞洲國家，以及歐洲、中東、非洲地區（EMEA）

2024-07-12

網路詐騙 | 巴黎奧運

詐欺駭客組織Ticket Heist運用700個網域兜售假的奧運門票

研究人員揭露鎖定即將舉行的巴黎奧運而來的大規模詐欺網站攻擊Ticket Heist，這些駭客運用超過700網域從事相關攻擊並架設冒牌購票網站，值得留意的是，接下來的歐洲足球錦標賽也是對方行騙的目標

2024-07-12

書摘 | 威脅建模 | 資安 | Threat Modeling | Izar Tarandach | Matthew J. Coles | CISO

當安全性左移還不夠時

我們不贊同安全性左移的現象， 比起使用各種方法將安全性左移，我們更支持在系統設計階段或是需求討論階段就考量系統整體的安全性

2024-07-12

樂天 | 資安檢測 | 資安測試 | 資安稽核 | 紀文平 | 產品測試

【從評估檢測必要性到事後風險評估的流程全解密】樂天市場揭露產品資安檢測方法

制度化檢測需求及流程細節，注重開發與資安團隊間的溝通

2024-07-12

資安日報

【資安日報】7月11日，富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象

日本資通大廠富士通針對今年3月發生的資安事故揭露新的調查結果，其中比較特別的是，他們推翻當初外界猜測是勒索軟體的看法，指出電腦被感染的惡意程式具備蠕蟲特性

2024-07-11

漏洞揭露 | NetScaler | Citrix | CVE-2024-6235 | CVE-2024-6236

Citrix修補應用程式交付平臺NetScaler高風險漏洞，若不處理恐面臨資訊洩露、阻斷服務風險

本週Citrix針對用程式交付平臺NetScaler、Workspace應用程式、虛擬化桌面組態管理系統Provisioning發布資安公告，其中又以NetScaler主控臺元件、NetScaler SVM的漏洞最受到關注

2024-07-11

漏洞揭露 | VMware | Aria Automation | SQL注入 | CVE-2024-22280

VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊

本週VMware發布資安公告，指出旗下的雲端自動化平臺Aria Automation存在高風險漏洞CVE-2024-22280，攻擊者可藉由輸入特定SQL查詢指令觸發，而能在未經授權的情況下對資料庫讀取或是寫入

2024-07-11

漏洞揭露 | 資訊洩露 | Apache | Apache HTTP Server | CVE-2024-39884

Apache基金會修補網頁伺服器HTTP Server的原始碼洩露弱點

7月初Apache基金會針對網頁伺服器系統HTTP Server發布更新，當中修補高風險層級漏洞CVE-2024-39884，若不處理，網頁伺服器就有可以面臨原始碼洩露的風險

2024-07-11

微軟 | Nokia | 資料外洩

駭客聲稱掌握數千名微軟、Nokia員工個資

媒體HackRead揭露Nokia與微軟合計有近一萬名員工個資流入暗網，資料外洩來源指向Nokia與微軟的第三方合作夥伴

2024-07-11

Passkey | google | Advanced Protection Program

Google進階保護計畫開放僅以通行密鑰進行設定

Google針對高風險使用者設計的進階保護計畫（APP）將開放使用者透過通行密鑰（Passkey）來註冊及使用，不再強制要求使用實體金鑰

2024-07-11

Ghostscript | 漏洞揭露 | 漏洞攻擊

文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動

研究人員針對文件轉換程式庫Ghostscript今年5月修補的遠端程式碼執行（RCE）漏洞CVE-2024-29510提出警告，指出他們在通報的資安業者公布漏洞細節後，已經出現相關攻擊

2024-07-11

漏洞揭露 | Patch Tuesday | 零時差漏洞 | CVE-2024-38112

微軟修補MSHTML零時差漏洞消息剛發布，但去年1月就有駭客濫用漏洞，今年5月又被發現有人藉此散布竊資軟體Atlantida

本週二微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112，通報此事的資安業者Check Point公布駭客利用這項漏洞的手法，對方藉由讓使用者點選特製的URL檔案，啟動Internet Explorer（IE）來觸發攻擊鏈

2024-07-11