资安一周51期：勒索软件锁定威联通NAS发动攻击。美国各地市长决议不再向勒索软件低头
0711-0717 一定要看的资安新闻
＃物联网装置攻击 ＃勒索软件攻击
勒索软件锁定威联通NAS发动攻击
威胁情报业者Anomali指出，最近骇客锁定台湾厂商威联通科技（QNAP）制造的NAS下手，经由暴力破解或已知漏洞入侵后，利用名为eCh0raix的勒索软件，加密档案且寄送勒索信件给受害者。
研究人员指出，eCh0raix是以Go语言撰写而成，仅有400行程式码，却具备发动勒索攻击所需的各种功能，包含寻找可被加密的档案，执行档案加密，以及产生勒索信件等。
此外，Anomali也在C&C服务器上发现白名单，当eCh0raix察觉NAS装置位于俄罗斯、白俄罗斯，或是乌克兰时，即会自动放弃攻击。
威联通在7月12日早上发出公告，提出防范相关攻击的建议措施，包含将QTS操作系统升级为更新版本，并使用Malware Remover套件，同时，也要启动网络存取防护（NAP）等保护功能。详全文
图片来源：威联通
＃物联网装置攻击 ＃资料外泄 ＃供应链攻击
知名饭店Kiosk系统惊传严重漏洞
TrustWave安全研究人员Adrian Pruteanu发现，欧美知名互动式资讯服务站（Kiosk）设备商Uniguest的数据库外泄，曝露管理员、设备，以及产品金钥等重要资讯，使得饭店的客户信用卡或其他资料，可能会落入骇客之手。而外泄的原因，来自Uniguest旧版软件中，写死在程式码里的凭证资料。
该名研究人员指出，旧版Uniguest互动式资讯服务站所采用的SystemSleuth软件，主要用于收集设备资讯，包括产品金钥、资产标签，以及密码等，并且会将这些资料透过API传送到该公司的Salesforce。Adrian Pruteanu反组译SystemSleuth后现，API的凭证存在于程式码里，以此存取Uniguest云端数据库之后，会得到所有该厂牌互动式资讯服务站的管理权限，若是再搭配键盘侧录工具，就能收集服务站上的使用者资讯。详全文
＃物联网装置攻击 ＃特定行业攻击
GE Health连网麻醉机爆漏洞，攻击者能远端变更药剂浓度
知名医疗设备大厂GE Health出产的两款麻醉机，被资安业者CyberMDX发现含有漏洞，可让连上相同网络的攻击者远端变更系统设定，包括药剂、气体、关闭警铃，以及机器配置参数等。
这个漏洞的列管编号为CVE-2019-10966，一旦被成功利用之后，骇客便能针对GE Aestiva与GE Aespire等麻醉机，窜改剂量与气压计的数值。
CyberMDX于2018年10月通报GE与主管机关。但GE向ZDNet表示，漏洞只出在连线到TCP/IP网络的通讯协定，若麻醉机没有连上网络，就不会遭到滥用，因此他们并未提供修补程式。详全文
图片来源：美国网络暨基础架构安全署
＃物联网装置攻击 ＃语音助理 ＃隐私疑虑
Google擅自侧录语音助理用户对话内容
继4月彭博社报导Amazon Echo用户的对话内容，被交由Amazon员工听取与分析，比利时公共电视台VRT NWS报导指出，Google也正在做同样的事：该公司聘雇外包人员，在Google Home、Home mini等产品上，听取消费者与Google Assistant的对话录音后，进行转录、注解，以及分析。
VRT NWS表示，经实际测试后发现，即使用户没有说出启动语音助理的“Ok Google”指令，Google Home有时候还是会录下使用者的对话内容。而Google则表示，由人类听取对话内容并加以分析，是他们提升AI语音助理的必要程序，并重申该公司已经透过多项措施，来保护使用者隐私。此外，针对疑似向VRT NWS提供上述资讯的外包语音审查人员，Google表示，已经违反该公司资安政策，打算追究法律责任。详全文
＃漏洞攻击
苹果主动出击，经由macOS更新机制移除视讯会议软件Zoom漏洞
热门视讯会议软件Zoom惊传严重漏洞，起因是软件安装的过程里，会一并加入易受攻击的本机网页服务器，虽然Zoom官方已经紧急发布更新，但考量不少用户可能未收到漏洞讯息，或是不愿安装新版Zoom的情况，苹果决定直接出手，透过macOS更新机制，移除相关元件，避免恶意网站滥用上述漏洞，而导致在未经用户同意的情况下，就将用户加入视讯通话。
根据资安研究人员Jonathan Leitschuh的发现，macOS版的Zoom用户可能为此漏洞遭受DoS攻击，同时，摄影机在用户不知情的状况下，也可能会径自启动。尽管尚未出现受害者，但网络社群已出现抗议声浪，为此Zoom公司已经推出新版软件，后来也表示他们和苹果合作，而经由macOS更新的方式，移除前述的网页服务器模组。详全文
＃物联网装置攻击 ＃漏洞攻击
Apple Watch对讲机漏洞可导致他人iPhone被窃听
新兴的DNS over HTTPS（DoH）协定，具有强化用户的隐私保护的承诺，而颇受众人期待，不过，360 Netlab资安研究人员却发现，已经有骇客开始滥用DoH传输恶意程式。
而这个首度利用DoH技术的恶意程式消息传开，让部分安全专家担忧，认为未来势必有更多恶意程式作者跟进，造成安全控管的威胁。详全文
＃云端服务组态配置错误 ＃Amazon S3
Magecart骇客集团新手法，专找配置不当的Amazon S3储存体植入恶意程式
长期以电子商务网站为目标、侧录用户交易资讯而恶名昭彰的Magecart骇客组织，资安业者RiskIQ指出，该集团开始转移攻击对象，改向Amazon S3用户下手，找寻配置不当的储存体，并植入网页侧录的程式码，估计已有超过1.7万个网域受害。
RiskIQ表示，过往Magecart会从电子商务网站的协力厂商下手，在功能模组注入侧录程式码，进而达到大规模感染的效果。如今随着许多网站架设在Amazon S3上，骇客找出错误配置的储存体后，再搜寻其中的JavaScript档案，植入侧录程式码，而这些流程已经全数自动化执行。详全文
＃勒索软件攻击
拒绝向勒索软件低头！美国各地市长决议不再支付赎金
最近举行的美国市长会议（US Conference of Mayors）通过一项决议，为避免助长犯罪，未来若是遭勒索软件攻击，各市-不会采取赎金换回档案的策略。
根据统计，从2013年起，遭勒索软件攻击的美国郡、市，以及州-，至少超过170个。光是2019年就发生22起，包括佛州大湖市、Riviera Beach、巴尔的摩、阿巴尼市、密歇根杰纳西（Genesee）市、乔治亚杰克森郡，以及德州费雪（Fisher）市等。
市长们认为，付赎金将使歹徒食髓知味，等于变相鼓励他们攻击其他州市-。为此，市长们联合起来，未来发生资安事件不再支付赎金。详全文
图片来源：美国市长高峰会网站
