资安一周42期：全球最大加密货币交易中心币安遭骇、两大挖矿骇客集团在云端Linux环境争地盘
0509-0515 一定要看的资安新闻
＃加密货币安全 ＃漏洞攻击
全球最大加密货币交易中心币安遭骇
数位货币交易所遭骇的情况不断发生，全球最大交易所币安（Binance）在5月7日公告，骇客借由安全漏洞，取得大量的用户金钥、双因素认证码等资料，然后一口气领走超过7,000个比特币，相当于4,200万美元。
币安首席执行官赵长鹏（Changpang Zhao）表示，骇客使用了网络钓鱼、病毒等手法入侵，并且耐心等待最佳出手时机，再透过多个看似独立的账号，一次领走大量比特币。遗憾的是，直到骇客盗走比特币时，触发多个警报系统，他们才发现遭到攻击。
虽然，骇客只盗走存放于热钱包（Hot Wallet）中的比特币，总共占交易所持有数量的2%。这也让币安决定进行全面资安稽核，估计需耗时一周，这段期间只允许交易，暂停存款及取款业务。详全文
＃特权账号漏洞 ＃漏洞攻击
以小巧著称的Alpine Linux，存放在 Docker Hub的映像档出现根账号漏洞
思科安全人员发现，Alpine Linux的Docker映像档里，出现根账号（Root）密码为空（NULL）的漏洞，允许攻击者绕过密码检测，直接存取系统。
这套Linux操作系统以轻巧著称而受到欢迎，Docker映像档大小更只有5MB，远小于大多数的Linux发行版。在Docker Hub里，Alpine Linux的映像档下载次数超过千万。
这项漏洞在2015年首度被发现，并且已经得到修补，但在当年底的回归测试中，又阴错阳差再度出现，导致3.3版以后的Docker映像档，都存在这个漏洞。为避免系统遭到不当存取，思科建议用户应该要停用根账号。详全文
＃挖矿攻击 ＃应用系统安全
两大挖矿骇客集团在云端Linux环境争地盘
安全厂商Intezer发现，骇客团体Pacha锁定云端Linux服务器，自2018年9月开始，植入变种挖矿软件Linux.GreedyAntd。这个骇客组织最早由思科发现，不过，相较于该组织先前使用的挖矿软件，GreedyAntd具备较为特殊的攻击能力，以致于迄今才被发现。
研究人员指出，GreedyAntd与另一个骇客组织Rocke较早推出的同名挖矿软件相比，有许多相似之处，包含具备档案路径黑名单、关闭防毒软件，以及锁定协同工具Atlassian Confluence的漏洞等。不过，研究人员指出，GreedyAntd并非单纯模仿，该挖矿软件植入受害服务器后，还会移除Rocke，并封锁Rocke所采用的基地网域，因此研究人员研判，这两个骇客组织正在抢夺地盘。详全文
＃漏洞攻击 ＃中国菜刀
微软SharePoint服务器的执行任意程式码漏洞已遭滥用
加拿大国家网络安全中心警告，微软SharePoint服务器可让骇客执行任意程式码漏洞，目前已有恶意程式用来发动攻击。该单位在4月底时，侦测到骇客滥用编号为CVE-2019-0604的漏洞，在SharePoint Server植入中国菜刀（China Chopper）后门程式。目前加拿大遭骇的SharePoint系统，分布于学校、公用事业、重工业、制造，以及科技产业单位。微软也在2月和3月时，修补多个版本SharePoint漏洞。
无独有偶，沙特阿拉伯资安中心也在上周公告，境内企业遭到中国菜刀攻击，根据推断，发生时间和加拿大差不多。不过，由于中国菜刀在骇客攻击时应用算是相当普遍，两国出现的事件很可能没有关连。详全文
＃漏洞攻击 ＃附加软件安全
ESET发现锁定微软Exchange服务器攻击的后门程式
资安业者ESET揭露专门锁定微软Exchange服务器的后门程式LightNeuron，它会充当Exchange的传输代理程式（Transport Agent），进而干预使用者收发的邮件，再者，骇客集团还能透过电子邮件来操纵LightNeuron。
微软允许Exchange用户安装客制化的附加软件，来增强处理邮件的能力，其中的传输代理程式，受到邮件系统信任的程度等同于垃圾邮件过滤功能，因此，当骇客于Exchange上植入LightNeuron，这个恶意软件就能读取及变更任何通过该邮件服务器的信件，甚至还能撰写与传送新邮件，或是进行封锁。
ESET指出，全球至少3个组织感染LightNeuron，一个是东欧外交部，另一个为中东的区域外交组织，还有一个位于巴西。详全文
（图片来源）WeLiveSecurity
＃物联网装置安全 ＃漏洞滥用
中国制GPS追踪器传出安全漏洞
英国资安业者Fidus Information Security披露，某家中国业者制造的GPS追踪器含有多个重大的安全漏洞，将允许远端骇客得知用户位置、启用麦克风以进行窃听，或是重置装置设定，而且该业者与多个品牌合作，在全球市场皆有铺货，估计光是在英国，就有超过1万台含有相关漏洞的GPS追踪器。
这款追踪器内建PIN码功能，但预设为关闭，而且，有两项工作完全不需PIN码验证就能执行──重启与重置装置。这样的情况，导致使用者就算启用了PIN码保护机制，一旦装置遭到重置，远端的亲友完全不需要PIN码，就能下达任何命令。
Fidus指出，要修补相关漏洞并不难，但这些装置已被不同的厂商销售到世界各地，必须大规模召回才能修补。详全文
＃物联网装置安全 ＃云端配置不当
三星SmartThings等十多项专案程式码、加密金钥外泄
安全研究人员发现，韩国大厂三星于GitLab上，存放了十多项专案等机密资讯，包括SmartThings的程式源码、帐密和加密金钥的资料夹等，均未设密码公开于网络上，恐有外泄之虞。
三星在4月10日接获通报，他们表示，这些都只是测试资料，但研究人员看到的某个Android App程式码，和4月上架Google Play的版本完全一样，显示应该不只是测试用的档案。详全文
＃国家级攻击 ＃资料窃取
北朝鲜-使用的新型骇客工具曝光！
美国国土安全部（DHS）与联邦调查局（FBI）联手，公布了由北朝鲜-支持的骇客集团Hidden Cobra近期使用的新工具ElectricFish，提醒各界要多加防范。
ElectricFish为命令列的隧道后门工具，骇客便能在回避企业多种网络防护措施下，暗中将机密传送出去。详全文
（图片来源）美国网络安全暨基础设施安全局
＃网络犯罪 ＃用户身份冒用
侦九队揭露台湾网络金融犯罪手法追查细节
当金融科技利用网络与数据创新服务的同时，骇客也可能用来犯罪，因此，刑事警察局侦九队大队长林建隆认为，网络银行必须采取更积极的态度，来避免服务被当成犯罪工具。
网络金融犯罪手法主要可分为两类型，一是以金融机构或客户为目标，阻断金融服务、骇入网站窃取资料、网络盗转账或盗领ATM；另一种则是将金融服务作为犯罪工具，包括利用国际金融业务分行（OBU）账户洗钱，以及使用金融支付或是人头户，进行诈骗。
面对因网络金融服务而衍生的犯罪，林建隆表示，银行“了解你的客户（Know Your Customer，KYC）”验证作业上，不只要识别个人身份，还应该纳入数位资讯的检验，如IP地址、App资讯，以及载具资讯等。详全文
摄影／翁芊儒
