资安一周第46期：Windows远端桌面漏洞问题持续成焦点，呼吁用户尽速修补BlueKeep漏洞，并有新RDP漏洞传出
撷取自NSA
0606-0612一定要看的资安新闻
＃系统安全 ＃远端桌面服务漏洞 ＃Windows
百万台系统曝险，美国安局呼吁旧版Windows用户修补BlueKeep漏洞
图片来源／撷取自NSA
五月中微软发布安全公告，警告旧版Windows远端桌面服务（Remote Desktop Service，RDS）存在重大远端程式码执行漏洞BlueKeep，并且二度催促用户升级。本周美国国安局（NSA）也罕见呼吁电脑用户尽速安装修补程式，同时，NSA也建议企业用户封锁防火墙、特别是面对互联网的TCP Port 3389来封锁RDP（remote desktop protocol）协定连线、开启网络层验证防止远端程式码执行、非必要时关闭远端桌面服务。更多内容
＃制程参数资料安全 ＃营业秘密
高科技业机台代理商工程师涉窃取稳懋VCSEL生产制程参数，检方侦结起诉
位于台湾的全球最大砷化镓晶圆代工厂稳懋，发生VCSEL生产制程参数险遭设备代理商员工窃取事件，去年底经桃园地检侦办而曝光。由于VCSEL之产品可应用在3D显示与人脸面部辨识，未来亦为5G应用的重要技术产品，若关键制程技术遭窃，将为台湾高科技产业带来重大损失，今年6月4日，桃园地方检察署发布案件侦结公告，将依营业秘密法起诉原晶机台设备代理商的李姓工程师与庄姓副理。
这起事件发生在去年12月12日，根据桃园地检署指出，机台设备代理商原晶当日前往稳懋公司龟山厂，在维护Picosun公司的ALD-D03机台过程，李姓工程师以预藏之记事本与笔，非法抄录该机台内的VCSEL制程参数，由于关键制程参数已被稳懋预先删除，因此李嫌趁隙登入非再维护计划内的ALD-D02机台，接续抄录，经稳懋工程师发觉有异后当场回报逮捕；调查单位隔日讯问原晶公司设备制程庄姓副理，认为他也涉犯此窃取营业秘密罪的嫌疑，并有事实足认为有逃亡、勾串证人之虞，当庭逮捕。更多内容
图片来源／撷取自桃园地方检察署案件侦结公告108.06.04
＃国家资安产业推动计划
科技部AI资安攻防竞赛成果公布，首奖从缺
图片来源／科技部
为了鼓励开发AI与提升物联网安全，科技部在今年4月宣布举办“科技大擂台2：AI资安攻防战”竞赛，经过书面审查的初赛，到专家代表团评分的复赛，最终在本月9日进行决赛，由评审团依创投与业界标准，就参赛团队之技术水准与市场潜力，进而推荐出首奖及二奖各1名。最终，由互联安睿资通、安华联网科技与杜浦数位安全进入决赛，其中杜浦数位安全的端点智能威胁鉴识平台，成为这次活动最大赢家，获颁二奖并领取奖金500万元，但首奖从缺，2,000万元最大奖无团队领取。更多内容
＃个资外泄 ＃国泰航空
报告：漏洞管理、资安措施不当，导致国泰航空950万笔个资外泄
图片来源／撷取自PCPD
国泰航空去年10月爆发系统遭骇、950万名客户个资外泄事件。上周香港隐私管理机关（PCPD）公布调查报告，揭露这是两个骇客组织行动结合国泰航空多项资安措施不当及管理疏漏的结果。报告中指出，国泰航空总共有4个系统遭骇，包括飞行常客会员忠诚度系统、会员报表系统、网页应用后端共享数据库、以及一个让亚洲万里通会员兑换非航空回馈商品的数据库，这些系统都是彼此分开而不相关。
同时，香港-归纳这起事件原因，涵括漏洞管理、安全技术疏失、资料治理不当等原因。例如，国泰航空一年才做一次漏洞扫描以致于未能及时发现漏洞；将网页服务器管理员管理界面曝露在互联网，让骇客得以有机可趁；对有IT系统权限的远端用户未实施多因素验证导致凭证被窃。更多内容
＃算法安全 ＃SHA-1 ＃苹果
iOS 13、MacOS Catalina终止支援SHA-1杂凑算法
继Google、微软及Mozilla之后，苹果最近也宣布，最新操作系统iOS 13及macOS 10.15（Catalina），也将不再支援SHA-1杂凑算法。在苹果网页公布最新iOS及macOS对信任凭证的要求中，所有TLS服务器凭证及发布的凭证认证机构（CA），都必须使用SHA-2杂凑算法。预订今年秋天释出的行动和桌机操作系统，将不再信任SHA-1签章的凭证，即不再支援使用SHA-1签章产生的HTTPS连线。任何没升级到SHA-2的TLS服务器，新iPhone及Mac电脑连接这些服务器时，将出现连线失败、App无法执行、网页无法经由Safari载入等问题。更多内容
＃系统安全 ＃远端桌面服务漏洞 ＃Windows
Windows 10 RDP漏洞可让骇客绑架连线
图片来源／撷取自KB.cert.org
卡内基大学的CERT协同中心警告，新版本Windows 10的远端桌面协定（RDP）出现漏洞，可能使远端桌面连线遭攻击者劫持。这个编号CVE-2019-9510的漏洞，出现在Windows 10 RDP用户端使用网络层级验证（NLA），由于Windows 10 1803和Server 2019之后的新版本中，NLA RDP连线的处理过程变更过，因而出现本漏洞。一旦网络异常导致RDP连线暂时中断，等网络连线恢复、RDP重置时会回到未锁定状态，而非应有的验证码输入视窗。不过，在研究人员通知微软后，微软评估未达风险层级，短期内也不打算修补。更多内容
＃勒索软件
感染勒索软件的巴尔的摩市，后续重建成本将近2千万美元
在今年5月初，美国马里兰州的巴尔的摩市（Baltimore City）遭到勒索软件攻击，该市的长官在一个月后公布善后结果，指出解决此一攻击的成本最高可能达到1,800万美元，其中的1,000万美元是用来清除勒索软件并更新软硬件设备，即便如此，迄今巴尔的摩市的IT服务尚未完全恢复正常。
虽然，骇客向巴尔的摩市勒索13个比特币，依现有价格计算约为10万美元。不过，该市的副参谋长Sheryl Goldstein表示，他们所收到的来自各联邦机构的建议都是：不要付款。而且，就算支付了赎金，大概只有50%的机会能够取回被压缩的档案，此外，长期来看该市还是要想办法保护自己的IT架构。更多内容
＃资料外泄 ＃委外资料安全
美国讨债公司AMCA资料外泄，危及众多医疗院所病患个资
资安业者Gemini Advisory今年2月在黑市发现，骇客正在兜售20万笔的支付卡资讯，追查之下发现相关资讯源自于，专替医疗诊所追讨病患欠费的American Medical Collection Agency（AMCA），因该公司内部系统遭骇，目前已导致近2千万名合作病患的个资外泄。
本周相继传出美国临床诊断公司Quest Diagnostics与LabCorp都收到AMCA的通知，显示这两家医疗组织分别有1,190万名病人及770万名病人的资料外泄。而外界则担心，AMCA的资料外泄事件恐波及更多的医疗院所，很快就会有其它的受害者浮上台面。更多内容
