资安一周40期：Docker Hub外泄19万用户个资、GitHub Page成骇客滥用目标
Docker
0425-0501 一定要看的资安新闻
＃数据库外泄 ＃供应链攻击
Docker Hub遭骇，外泄19万用户凭证
Docker容器映像档的官方储存库Docker Hub遭到入侵，骇客于4月25日未经授权存取一个Docker Hub数据库，该数据库存放了19万名用户的凭证资料，包括使用者名称与杂凑密码，以及自动化部署（Automated Builds）工具中，用来验证Github与Bitbucket的Token。
Docker表示，该数据库并未存放用户的金融资料，受影响的账号仅占不到Docker Hub用户数5%，该公司已要求用户变更Docker Hub密码及其它采用同样密码的账号。详全文
（图片来源）Docker
＃云端服务滥用 ＃网络钓鱼攻击
GitHub网页代管服务遭骇客滥用
资安业者Proofpoint披露，从2017年中开始，骇客就开始滥用GitHub的免费网页代管服务GitHub Pages，从事网钓攻击行动，而GitHub在收到Proofpoint的通知之后，也立即删除骇客滥用的数十个网页。
其实，包含Dropbox、Google Drive、Paypal、Ebay，以及脸书，都曾经成为骇客的攻击跳板，骇客企图透过这些广为人知的服务，来躲避侦测并遮掩不法行为。而根据这份新的研究显示，GitHub Pages已被骇客锁定，因此，使用者与资安业者应小心提防github.io网域上的内容。详全文
（图片来源）Proofpoint
＃勒索软件 ＃特定目标攻击
锁定企业的勒索软件攻击数量爆增
Malwarebytes实验室公布2019年第一季的《网络犯罪策略与技术》调查报告，指出锁定企业的勒索软件攻击大幅成长超过5倍，至于个人端，则降低三分之一。
该报告指出，企业端攻击的大幅增加，主要来自Troldesh这款勒索软件再度蔓延。2014年首度现身的Troldesh，散布管道是透过垃圾邮件夹带恶意附件，使用者解压缩附件之后，会得到一个JavaScript档案，一旦执行，便会下载真正的勒索软件。
另外，这份报告也提到勒索软件在亚太地区最猖獗──在针对企业的恶意程式攻击类型中，排名第四，北美则排名第五、拉丁美洲排名第八，中东与非洲地区则是在第十名之外。详全文
＃云端服务滥用 ＃特定产业攻击 ＃VirusTotal
金融后门Carbanak源代码于VirusTotal存在近两年
由FIN7骇客集团大肆滥用的金融后门程式Carbanak，近期资安业者FireEye揭露功能与设计细节，其实早在2017年4月，相关的程式码就被上传到恶意程式分析网站VirusTotal，直到2018年10月才被FireEye的研究人员发现。
VirusTotal是个免费的恶意软件分析平台，全球资安人员可上传恶意档案进行分析，也能自该平台存取各种档案，然而，庞大的资安社群却未能辨识Carbanak。详全文
＃影子网域 ＃凭证填充攻击
Palo Alto与GoDaddy移除1.5万个诈骗子网域
从网域名称下手，是杜绝网络诈骗的有效方法之一。资安业者Palo Alto Networks与网域名称注册暨代管服务供应商GoDaddy，联手移除1.5万个涉及诈骗活动的子网域。骇客借由网钓或其他手法，取得这些合法网站的凭证，再建立用来销售伪造商品的“影子网域”，让许多消费者上当。
这些诈骗网站有几个共通点，不只透过假报导夸大产品功效、伪造明星或名人的推荐，而且还建置在合法的网域名称上。
GoDaddy调查发现，诈骗集团在过去几年来，持续利用网钓与凭证填充攻击，取得用户的账号凭证后，进而在用户不知情的状况下建立所谓的影子网域，用以行销各种夸大不实的产品。详全文
（图片来源）Palo Alto Networks
＃隐私疑虑 ＃漏洞攻击 ＃EteralBlue
基于法律争议及成本考量， NSA建议美-终止电话监听
根据华尔街日报报导，由于法律争议性及成本太高，美国国安局（NSA）建议白宫，停止监听美国人电话和传讯的计划。NSA认为，执行监听计划的执行与法律负担，已超过带来的情报搜集效益。
NSA监控计划不仅有侵害公民隐私之嫌，开发出来的网络窃密工具，也对现今网络留下安全祸害。如EteralBlue、EternalRed，以及DoublePulsa等，后来都外流到骇客手上，用以发动多起大规模路由器及PC、服务器骇入事件及网络威胁，包括WannaCry。
虽然NSA如此建议，不过报导指出，监听计划持续与否，最后仍是白宫说了算。详全文
＃硬件漏洞 ＃旁路攻击 ＃ECDSA
研究人员公布可用来窃取机密资讯的高通芯片旁路漏洞
英国资安业者NCC Group公布了藏匿在逾40款高通芯片的旁路漏洞，可用来窃取芯片内所储存的机密资讯，并波及采用相同芯片的Android装置，高通已于4月初修补漏洞。
这个编号为CVE-2018-11976的漏洞，涉及高通芯片安全执行环境（QSEE）中，所采用的椭圆曲线数位签章算法（ECDSA），骇客得以推测出存放在QSEE中、以ECDSA加密的224位元与256位元的金钥。详全文
＃广告诈骗 ＃供应链攻击 ＃应用市集乱象
中国开发商Android App涉广告诈骗遭下架
来自中国的开发商DO Global，他们所打造的Android程式因涉及广告诈骗，目前为止已有46款被下架，其他的也可能遭到Google Play市集移除。
之所以发生此事，是因为BuzzFeed News与资安业者Checkpoint联手调查，发现DO Global所打造的程式内含PreAMo广告诈骗机制，会伪装成使用者点击广告，向广告代理商诈骗广告费。BuzzFeed News还发现，为了隐匿程式的来源，DO Global还使用不同的发行者名称，此举同样违反Google的开发者政策。详全文
＃行动应用App安全 ＃开发安全
含有无用功能与档案是台湾热门App普遍潜藏的风险
行动应用App开发者可能会以为，有了加密保护就具备足够安全性，忽略相关防护措施是否到位。在叡扬资讯年度解决方案日的活动上，该公司揭露针对台湾80款常见的App执行黑箱检测，发现近7成的App含有无用模组，而这些元件可能会遭到攻击者滥用，呼吁企业要重视行动应用App的开发安全。
企业为了将防护效益最佳化，保护措施通常集中于正式上线的各式功能，未必会保护未使用的模组，而这些模组一旦遭受攻击，骇客很可能就得以长驱直入企业内部环境，因此，这种问题背后隐含的风险，其实相当严重。详全文
