资安一周第39期：原本一月底就要宣布的政府禁用危害国家资通安全产品明确原则终于公布，将溯及既往，禁用清单则在7月底前确定
iThome
0418-0424一定要看的资安新闻
软件安全、微软Office
卡巴斯基实验室：2018年Q4攻击有7成锁定微软Office
图片来源／卡巴斯基
锁定系统与应用程序的攻击不断，根据卡巴斯基实验室的分析，在去年第四季受到骇客攻击的平台中，有70%是针对微软Office。而根据该实验室的追踪，在2016年第四季时，最受骇客青睐的攻击平台为浏览器（45%）、Android（19%）与微软Office（16%），三年后Office则跃升为第一，并占所有攻击的70%。
究其原因，卡巴斯基表示，包括攻击表面众多，与Windows整合，并指出最近经常出现Offce的零时差漏洞，并认为微软当初建置Office的许多设计决策是错误的，但并未详细说明是那些决策。更多内容
国家资安政策
行政院公布危害资通安全产品使用原则，禁用产品清单则将在3个月内公布
行政院发言人Kolas Yotaka在4月19日召开记者会，公布行政命令“各机关对危害国家资通安全产品限制使用原则”，并以电子公文发函给各机关。这项原则原本应该在一月底公布，但因为外界有诸多疑虑，所以在综合多方考量下，迟至4月中旬才对外公布。Kolas Yotaka表示，这项行政命令的母法来自“资通安全管理法”，包括受该法规范的中央与地方政府，以及关键基础设施的提供者等，都必须在未来3个月内，优先盘点机关内已经采购的、来自危险地区的产品清单送交行政院，行政院也会汇整一份正面表列、禁止采购品牌的产品清单，给受资安法规范的机关参考；该份使用原则将溯及既往，适用先前已经采购的资安产品。更多内容
固件安全、无线芯片漏洞
Broadcom Wi-Fi芯片组驱动程式含多种安全漏洞
美国电脑网络危机处理暨协调中心（CERT/CC）本周警告，Broadcom Wi-Fi芯片组所采用的Wl与brcmfmac驱动程式，含有多个安全漏洞，包括CVE-2019-9500、2019-9501、2019-9502与2019-9503，这四个漏洞将允许骇客执行服务阻断攻击，甚至可自远端执行任意程式，且祸延苹果、群晖等品牌的产品。在本月18日前，CERT/CC仅确定brcmfmac驱动程式的漏洞已被修补，同时也提及帮助缓解此漏洞的方法，就是使用用户自己信任的Wi-Fi网络。更多内容
DNS挟持
国家级骇客持续攻击中东及北非国家的DNS系统
图片来源／Cisco Talos
Cisco旗下的威胁情报组织Talos揭露名为“海龟”（Sea Turtle）攻击行动，该行动从2017年1月到今年第一季，持续锁定中东及北非地区13个国家的逾40个组织，发动DNS攻击，他们认为一攻击是由国家支持的骇客所为。此攻击活动是以DNS挟持作为主要的攻击手法，借由非法窜改DNS名称纪录，把造访者导至骇客所掌控的服务器。该行动的主要受害者为国家安全组织、外交部、知名能源组织，以及替这些组织提供服务的第三方业者；而次要受害者则是DNS注册商、电信业者与ISP业者。还要注意的是，骇客通常以第三方业者作为跳板来攻击目标对象。更多内容
通讯安全、国家资安政策
法国打造政府机关专用传讯程式Tchap，上线隔天就被找到漏洞
为了加强政府机关之间的通讯安全，法国采用开源的全程加密通讯协定Matrix打造了Tchap传讯程式，同时规定只有使用政府机关的电子邮件账号才能注册，并在4月17日于App Store及Google Play上释出了Tchap测试版，然而，法国的资安研究人员Baptiste Robert（网名Elliot Alderson）隔天就找到了Tchap的安全漏洞，并且成功注册了Tchap账号，渗透Tchap的群组聊天室。
法国政府表示，将会持续改善Tchap测试版，也会听取外部专家的意见，而且已准备推出针对Tchap的抓漏奖励计划。更多内容
资料外泄、网站安全
骇客在黑市销售近10亿笔使用者资料
根据科技媒体ZDNet报导，有一代号为Gnosticplayers的骇客，透过暗网市集Dream Market陆续外泄了5波的用户资料，最近的一波涉及6个品牌，包括游戏平台Mindjolt、电子商务网站Wanelo、电子邀请函服务平台Evite、韩国旅游网Yanolja、时尚购物网站Moda Operandi ，以及苹果装置的维修业者iCracked等，总计牵涉到44个品牌。依照ZDNet先前向遭骇的38个品牌的求证经验，最新一波外泄资料很可能也是真实的，总数接近10亿笔。资安专家建议，受害者应尽快更新密码，或是采用双因素认证，以避免账号遭到挟持与滥用。更多内容
无线网络安全、云端数据库管理
知名热点搜寻App可能曝露200万用户Wi-Fi密码
根据科技媒体TechCrunch报导，Wi-Fi Finder App的开发商，他们搜集200万笔用户Wi-Fi密码等内容的数据库，竟然未设密码公开于网络上，可能让企业及家用Wi-Fi网络门户洞开。
Wi-Fi Finder是一款App，可让手机用户快速搜寻并连上邻近Wi-Fi热点，也让使用者分享他们Wi-Fi热点供他人使用，下载人次超过50万。发现这个资料的的GDI安全研究人员Sanyam Jain指出，这200万笔记录之下，都包含Wi-Fi网络名称、精确地点、BSSID，以及明码储存的网络密码。更值得注意的是，虽然该App声称只提供公共Wi-Fi热点的密码，但研究人员分析热点的地点资料，发现其中有大量是来自住宅区的家用Wi-Fi基地台。更多内容
行动安全、浏览器漏洞、恶意广告
骇客利用iOS上的Chrome漏洞传递恶意广告
专门拦截恶意广告的Confiant近日指出，骇客集团eGobbler成功利用了iOS版Chrome浏览器的漏洞，可绕过既有的跳出视窗拦截机制，并向iOS用户递送恶意广告，且该集团在6天之内发动了8次攻击，递送30个恶意广告，受害用户可能高达5亿人之多。据了解，该组织递送之恶意广告为常见的得奖诈骗，宣称使用者只要输入个人资料，就有机会中大奖，但其实是用来搜集个资的诈骗行动。Confiant亦打造出该漏洞的概念性验证攻击程式，Google已经收到通知并正在调查中。更多内容
程式码签章凭证、华硕
华硕产品程式码签署凭证维护公告
图片来源／华硕
今年3月底华硕笔电产品的软件更新主机遭入侵，遭到资安业者卡巴斯基揭露，当中也指出木马化的ASUS Live Update，使用的是合法的数位签章，难以被察觉，因此多家资安业者已经对华硕遭到冒用的数位签章采不信任处理，像是将其放在白名单之外。
本月13日，华硕正式公告对旗下数项产品，进行多重性程式码签章凭证架构升级，这些产品包括主板、显卡、迷你电脑、工作站、服务器及电竞配件等。同时，他们也提醒用户，此项升级作业需撤销现行的程式码签署凭证，因此可能导致现有软件版本执行时，例如Aura、AI Suite III、GPU Tweak II与Armoury II等程式，跳出Windows安全性警示。若是用户遇到这样的问题，用户可连至华硕官方网站，将软件更新至内含最新程式码签署凭证的版本。更多内容
