資安週報 | 資安一周 | 資安周報 | IT周報 | 網路攻擊 | 零時差漏洞 | 供應鏈攻擊 | 開源軟體安全

【資安週報】2024年4月1日到4月3日

這一星期適逢清明連假，而連假前夕最大條的資安消息，就是關於XZ Utils程式庫被植入後門與漏洞的事件，還有2個漏洞利用要注意，包括AI框架Ray與Android Pixel的漏洞；資安事件焦點方面，以CISA的Ivanti伺服器遭駭，及OWASP基金會資料外洩，最受矚目，臺灣也發生亞昕資訊校務行政系統遭駭、7高中受影響的事件

2024-04-08

HTTP/2 | CONTINUATION Flood

新型態HTTP/2漏洞遭揭露，網頁伺服器可能因為單一連線而癱瘓

研究人員發現新型態的HTTP/2通訊協定漏洞CONTINUATION Flood，一旦攻擊者加以利用，就可能藉由單一連線，來對網頁伺服器發動DDoS攻擊

2024-04-08

勒索軟體 | Red CryptoApp | Maze

勒索軟體駭客組織Red CryptoApp竄起，疑為Maze成員東山再起

研究人員發現新的勒索軟體駭客組織Red CryptoApp（Red Ransomware Group），對方聲稱已成功入侵11個企業組織，並公布竊得資料

2024-04-08

軟體供應鏈攻擊 | XZ Utils | SSH | SSHD | CVE-2024-3094 | Debian | Linux | 開源軟體安全 | XZ/liblzma

震撼整個IT界的XZ程式庫遭植入後門事件，之所以浮上檯面純屬意外！快速了解這項危機的三大關鍵

關於日前XZ Utils程式庫被植入隱密後門的事件，儘管整起事件的調查還沒結束，但已有相當多個重要議題被探討，因此我們也特別聯繫了Linux軟體開發與資安方面的專家來解讀，幫助大家掌握3大重要關鍵，尤其是開發人員是如何幸運發現後門的過程，還有攻擊者竟是長期潛伏以取得信任，且引入後門的手法也非常隱密

2024-04-04

Windows 10 | EOL | 付費延伸安全更新 | ESU

微軟公布Windows 10付費延伸安全更新價格

微軟將在2025年下旬終止支援Windows 10 22H2，目前已公布針對商業及教育版客戶提供的付費延伸安全更新（ESU）方案

2024-04-04

google | DBSC | Chrome | cookie

Chrome開始測試DBSC功能防禦Cookie劫持攻擊

Google在Chrome Beta測試DBSC功能，透過在工作階段與裝置上綁定金鑰，防止遠端攻擊者濫用偷來的身分驗證Cookie

2024-04-03

美國國土安全部 | DHS | 微軟 | 改革 | 資安 | 中國駭客 | 網路攻擊 | 內控

美國政府批評微軟的安全文化不足才遭駭客入侵

去年美國政府官員的電子郵件帳戶因微軟發生資安事故而遭非法存取，促使美國國土安全部展開調查並於近期公布結果，直言微軟資安內控有重大疏失，要求微軟進行根本性的安全改革

2024-04-03

美國眾議院 | 微軟 | Copilot | CISA

美國國會禁止員工使用微軟Copilot

美國眾議院下令禁止公務裝置使用免費版微軟Copilot，以免員工和聊天機器人對話內容被記錄而衍生資料外洩風險

2024-04-03

資安日報 | APT41 | Chrome | XZ Utils | Vultur | OWASP

【資安日報】4月3日，研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測

資安業者趨勢科技指出，他們發現中國駭客組織APT41旗下的團隊使用名為Unapimon惡意程式，其中出現較為罕見的機制，而有可能迴避端點防護系統的追蹤

2024-04-03

回顧2023十大資安漏洞

過去1年，應用系統、通訊協定、資安防護設備等漏洞利用攻擊事故不斷發生，部分甚至導致大規模災情，並頻繁出現在資安新聞報導，我們根據全球的資安態勢，以及臺灣企業組織偏好採用的IT系統，選出年度十大漏洞

2024-04-03

安全漏洞 | 更新 | 殭屍網路 | 2023十大資安漏洞

IT產品老弱殘是資安危機

SOHO路由器、物聯網裝置這些隱身在角落的IT設備，往往在EOL後仍繼續被使用，一旦出現資安漏洞就可能被綁架成為殭屍網路成員，最近又有類似事故重演

2024-04-03

2023十大資安漏洞 | CVE-2023-34362 | MOVEit | 檔案傳輸軟體

【回顧2023十大資安漏洞｜No.1：CVE-2023-34362】MOVEit檔案傳輸軟體漏洞

駭客策畫近2年的大規模零時差漏洞攻擊，引起全球震驚，事發後續半年持續有組織透露受害

2024-04-03

2023十大資安漏洞 | CVE-2023-4966 | Citrix Netscaler

【回顧2023十大資安漏洞｜No.2：CVE-2023-4966】Citrix NetScaler漏洞

遭到勒索軟體駭客利用，引發金融業者服務中斷，後續有其他駭客組織跟進漏洞利用的行列

2024-04-03

2023十大資安漏洞 | CVE-2023-38831 | WinRAR

【回顧2023十大資安漏洞｜No.3：CVE-2023-38831】WinRAR漏洞

使用者開啟檔案就有可能中招！解壓縮軟體處理壓縮檔時的資安弱點，成為駭客網釣攻擊偏好的利用對象

2024-04-03

2023十大資安漏洞 | CVE-2023-44487 | HTTP/2

【回顧2023十大資安漏洞｜No.4：CVE-2023-44487】HTTP/2通訊協定漏洞

造成大規模DDoS攻擊的通訊協定事故，引發三大雲端業者聯合對網頁伺服器管理者提出警告

2024-04-03