資安日報 | OCPP | EV | IOS XE | iRent | LockBit | 供應鏈攻擊 | 烏克蘭戰爭 | Lazarus | CVE-2022-27925 | ICS | Modbus | Malvertising | MalVirt | PyPI | VSTO | CVE-2022-37042

【資安日報】2023年2月3日，駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料

為了於目標電腦執行惡意巨集，駭客濫用Visual Studio的附加工具來產生有關元件，突破微軟Office辦公室軟體的限制；有惡意PyPI套件被用於竊取開發者資料，或是成為駭客部署惡意軟體途徑

2023-02-03

資安 | 風險管理 | 資料外洩 | 轉型

機會與風險的抉擇

防守端如果沒做好風險管理，未及早補救缺失，其實就是在幫攻擊者製造有利可圖的機會

2023-02-03

北韓駭客 | Lazarus | WithSecure

北韓駭客組織Lazarus鎖定研究機構盜取情資

北韓駭客組織Lazarus向研究機構發動APT攻擊，在不造成任何破壞的情況下，默默竊取100 GB的研究資料

2023-02-03

資安日報 | Open5GS | AMI | BMC | BMC&C | 烏克蘭戰爭 | 勒索軟體 | BlackCat | SIM Swapping | Google Fi | Killnet | DDoS-as-a-Service | Redis | OAuth | RDP | Consent Phishing | 同意網路釣魚 | Nevada

【資安日報】2023年2月2日，竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣

新型態的竊密軟體Vector Stealer出現收集遠端桌面連線（RDP）組態的能力，讓攻擊者有機會藉此掌控受害電腦；濫用OAuth機制的網路釣魚攻擊再度出現，但不同的是，駭客利用微軟認證的藍勾勾帳號，來取信攻擊目標

2023-02-02

Phishing Infographic | 抗網釣MFA | 網路釣魚 | 社交工程演練 | Phishing-Resistant MFA

美CISA公布網路釣魚演練結果，每10間就有8間企業有員工被網釣成功，教育員工回報網釣與實施抗網釣MFA成新重點

近期美國網路安全暨基礎設施安全局（CISA）公布一份網路釣魚資訊圖表（Phishing-infographic），當中揭露了CISA模擬網釣測試評估的結果，同時還彙整出防範網釣攻擊應關注的4大面向及具體行動

2023-02-01

資安日報 | Dragonbridge | 裴洛西訪臺 | QNAP | LOLBin | 寄生攻擊 | POS | Wiper | Sandworm | SDelete | 3D驗證 | OTP

【資安日報】2023年2月1日，中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞

中國駭客組織Dragonbridge濫用Google多項服務對臺灣散布統戰訊息；威聯通日前修補的NAS重大漏洞CVE-2022-27596，有資安業者提出警告，全球至少有近3萬設備曝險

2023-02-01

Proofpoint | 微軟 | OAuth | 同意網路釣魚 | 開放存取權限網釣 | 要求同意開放存取權限網釣攻擊 | 網釣攻擊

微軟已驗證發布者狀態遭濫用，誘使被害者授權惡意雲端應用程式

Proofpoint發現一個新的同意網路釣魚（Consent Phishing）攻擊行動，惡意攻擊者濫用微軟已驗證發布者（Verified Publisher）狀態，誘使受害者授予惡意雲端應用程式權限

2023-02-01

GitHub | 憑證外洩 | 資料外洩 | GitHub Desktop App | GitHub Atom App

GitHub 2款App程式碼簽章憑證遭駭客竊取

由於Desktop App、Atom App的程式碼簽章憑證落入駭客手中，GitHub已撤銷外洩的憑證，呼籲用戶升級到安全版本

2023-02-01

永續 | 淨零碳排 | BSI | 蒲樹盛

如何強化組織韌性？BSI認為關鍵在於打造數位信任及永續的環境

金融資安行動方案是數位信任的範例　企業永續發展藍圖以淨零碳排為目標

2023-01-31

資安日報 | Wiper | 資料破壞軟體 | iRent | SwiftSlicer | KeePass | QNAP | BIND | GitHub | Zendesk | 資料庫配置不當 | 資料外洩 | 供應鏈攻擊 | MFA | AI RMF | AI

【資安日報】2023年1月31日，資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者取得帳密資料

鎖定烏克蘭組織的資料破壞軟體攻擊行動再度傳出，這次駭客利用名為SwiftSlicer的惡意程式一併破壞AD網域；開源密碼管理器KeePass出現CVE-2023-24055，攻擊者有可能藉此取得明文帳密資料

2023-01-31

JD Sports | 資料外洩

運動服飾品牌JD Sports被駭，千萬客戶個資外流

JD Sports系統遭入侵，旗下Size?、Millets等品牌近千萬名顧客的網路訂單資料外洩

2023-01-31

Lexmark | 印表機韌體 | CVE-2023-23560 | 安全漏洞

Lexmark印表機韌體出現高風險程式碼執行漏洞，影響上百款機種

Lexmark修補影響印表機韌體的高風險安全漏洞CVE-2023-23560，可能讓駭客從遠端執行任意程式碼

2023-01-31

SMS | 2FA | Meta | 漏洞

研究人員發現能繞過Facebook 2FA驗證的漏洞

研究人員揭露Meta帳號管理中心的安全漏洞，讓攻擊者得以破壞臉書或IG基於簡訊的雙因素認證服務機制

2023-01-31

Cisco | 隱私 | AI

思科調查顯示企業持續看重隱私安全投資，但是仍不足以消除消費者疑慮

思科資料隱私安全調查結果顯示企業普遍重視隱私投資，多數企業維持或是增加投資，在建立人工智慧資料使用信任上，消費者更注重透明化，但是企業首重法律遵循

2023-01-31

資安日報 | 漏洞揭露 | 漏洞攻擊 | Python | Realtek SDK | Fortinet | Bitwarden | Google Ads | 資料外洩 | LastPass | Riot Games

【資安日報】2023年1月30日，研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定

名為Py#Ration的木馬程式攻擊行動升溫，駭客不斷改良並用於攻擊Windows電腦；密碼管理服務Bitwarden的用戶也成為攻擊目標，駭客透過Google廣告意圖竊取帳密

2023-01-30