资安一周第21期：Ericsson软件凭证到期让数千万英日行动用户无法连网。2万个WordPress网站组成的僵尸网络成形
Defiant
1206-1212一定要看的资安新闻
＃电信网络中断 ＃设备凭证到期
Ericsson软件的凭证到期，造成英国与日本的数千万名行动用户无法连网
知名通讯设备制造商Ericsson，在12月6日传出因软件瑕疵，让许多国家的网络停摆，至少有数千万名行动用户无法使用数据服务，目前已确定的受害业者，包括英国的O2及日本的SoftBank，且服务中断长达数小时。之后Ericsson坦言，是因为在不同国家所使用的两种版本之SGSN–MME软件的凭证过期导致。爱利信仅表示目前有许多国家被影响，但他们并未公布明确的数字，事实上，除了日本及英国之外，还有其他国家也蒙受其害传出灾情。详全文
图片来源／撷取自Ericsson官方网站
＃网站安全 ＃僵尸网络
由2万个WordPress网站组成的僵尸网络正在自相残杀
图片来源／Defiant
WordPress的安全插件供应商Defiant上周指出，骇客集团透过4台命令暨控制（C&C）服务器，向接近1.5万台代理服务器送出请求，以用来遮掩传送命令的流量，再将这些命令，传送到2万个已被骇客控制的WordPress网站，之后这些WordPress网站，即会对网络上的其他WordPress网站发动暴力攻击。据分析显示，这两万个被控制的的WordPress网站，几乎全都是由知名业者代管，而且所有的攻击都是锁定WordPress的远端程序呼叫（XML-RPC）界面。对此，Defiant已向执法机构报案，也建议WordPress用户最好限制登录失败的次数，以免受害。详全文
＃HITCON骇客年会 ＃模拟企业资安防御
亿元设备模拟企业网络环境，HITCON首度举办考验企业资安防御能力竞赛
图片来源／HITCON
今年12月14日、15日举办的HITCON Pacific骇客年会期间，主办单位首度以企业攻防角度为出发点举行HITCON Defense“企业资安攻防大赛”，从企业面对攻击时该如何防御的角度，并借由模拟打造企业最真实的网络环境，邀请6个企业的资安团队参赛，包括金融、电信、电子商务、政府、军方、高科技制造业等产业。
现场也准备了6套完整的网络设备，让参赛队伍可以更真实面对各种网络攻击，从DDoS攻击、骇客入侵、蠕虫扩散、资料外泄到APT攻击等，参赛的资安队伍必须在有限的时间内，运用自身能力与经验，搭配各项资安设备，去找出问题症结与解决之道。详全文
＃浏览器安全 ＃Chrome
Chrome 71出炉，加强封锁不良广告、修补43个安全漏洞
Google于12月4日释出了Chrome 71，该版本主要封锁了危害使用经验的不良广告，针对不明订阅提出警告，也改善了跟声音有关的服务，并修补43个安全漏洞。过去Google已曾采取多项措施，针对跳出式广告或是将网页重新定向的滥用行为，予以封锁，但Google坦承仍有超过一半的滥用行为，可绕过Chrome的保护。
现在Google决定彻底阻挡这些经常播放滥用广告的网站，让Chrome 71封锁这些网站上的所有广告。此外，为了避免Chrome用户因页面所呈现的资讯不够明确，而误闯订阅流程，例如要求使用者输入电话号码，以借由电信账单向使用者收费的服务，Chrome 71将会在使用者进入付费网页时，跳出警告。详全文
＃恶意挖矿 ＃Mikrotik路由器漏洞
全球遭恶意挖矿程式感染的Mikrotik路由器数量，已激增到41.5万台
安全研究人员VriesHD上周透过Twitter宣布，全球已有41.5万台Mikrotik路由器遭到恶意挖矿程式感染，感染数量已达到今年8月的两倍，而且被骇装置从集中在巴西，到现在已扩散至全球各地，涵盖欧洲、中东、亚太地区与拉丁美洲。
该研究人员并认为，ISP业者也应该肩负起修补这些路由器的责任，因为大多数的Mikrotik路由器，都是由ISP业者派送给客户，更新权限仍在ISP手上，或者是客户也不知该如何更新固件，因此呼吁ISP业者应尽速采取行动以维护用户的权益。详全文
＃国家通讯安全 ＃华为 ＃5G
英国电信业者BT将从现有3G/4G网络移除华为设备，5G网络也将排除华为
英国最大电信业者—英国电信（BT Group）本周宣布，将在两年内移除现有3G及4G网络核心设备的华为产品，也将禁止华为竞标5G网络的核心设备，等于跟上美国、澳洲及新西兰的脚步。由于今年中国修订了国家情报法，英国的情报组织担心，在核心网络中采用华为设备可能引发国家安全疑虑，再加上美国的警告，都让BT更加谨慎。此外，本周还有日本政府表态，他们也决定将中国的华为和中兴的产品，排除出政府采购清单。详全文
＃国家通讯安全 ＃网络设备后门
不只美国，欧盟也要各国小心华为及其它中国科技业者
根据欧洲媒体的报导，欧盟数位单一市场的副主席Andrus Ansip上周五（12/7）在一场公开记者会上表示，他认为欧盟各国应该小心华为或其他的中国业者。因为，中国制定了新的政策，要求境内的IT企业必须与中国情报部门合作，意谓着他们可能会被强制要求在产品中植入后门，而他一直是反对后门的。Ansip还表示，当企业必须要替某些秘密服务开启系统时，大家当然应该要感到害怕。详全文
＃行动木马 ＃点击诈欺
手电筒等22款Android程式暗藏木马，下载已破200万
Sophos上周揭露22款Android程式含有木马，可受到远端C&C服务器的操控，目前骇客主要的目的是利用他们来执行广告的点击诈欺（Click fraud），送出伪装成其他程式及其他装置的广告请求，这些Android程式的总下载量已逾200万次，当中光是Sparkle Flashlight手电筒程式的下载量，即超过100万次。Google在接获报告后已于11月底将它们自Google Play上移除。其中，19款是在今年6月上架，另外3款上架超过1年，是在今年6月才被注入恶意程式。详全文
图片来源／Sophos
＃勒索软件 ＃微信支付赎金
中国出现勒索软件首度要求受害者用微信支付缴赎金
近年来勒索软件攻击可说是时有所闻，大部分都是在加密了使用者电脑的档案之后，要求支付比特币，骇客才愿意还原资料。不过，最近在中国，却出现了一个要求使用微信支付来缴交赎金的勒索软件Bcrypt，资安业者火绒安全（Velvet Security）指出，自12月1日开始，他们陆续接获许多用户遭到攻击，电脑大部分的档案都被加密，初步估计约超过10万台电脑遇害。详全文
＃人脸辨识 ＃隐私问题 ＃法律规范
忧小说场景成真，微软提出六大原则促各国政府立法，为人脸辨识定下游戏规则
在1949年出版的反乌托邦小说《1984》中，英国作家George Orwell描绘了政府无所不用其极地监控与操纵民众，微软于12月6日警告，奥威尔在70年前所勾勒的场景，即将因为现代的技术能力而成真，他们呼吁各国政府明年就应采取行动，立法规范人脸辨识技术的应用，而微软也列出内部针对该技术的六大原则，包括公平、透明、问责、非歧视、通知与同意，以及合法监督，预计2019年3月正式发表。
同一天，关注AI系统发展的AI Now Institute，也发布了AI的十大建议报告，同样也要求政府规范及监控AI与人脸辨识技术的发展，特别是所谓的“影响识别”（Affect recognition），这是人脸辨识的一个子类，它能够借由照片或影像中的人脸，来侦测人们的个性、内心感受、心理健康或参与感等事物。另也强调大学的AI课程，不应只局限在电脑科学及工程学科，随着它持续被应用在社交领域，也应纳入社会与人文科学，才能进一步关注潜在的危险。详全文
