资安一周第57期：资安业者揭露俄罗斯骇客组织锁定全球金融业，而台湾是该组织在亚洲攻击最频繁的目标
0822-0828一定要看的资安新闻
＃金融安全
俄罗斯骇客组织攻击全球30国银行掠财，台湾为亚洲首要目标
图片来源／Group-IB
安全公司Group-IB侦测到名为Silence的俄罗斯骇客组织，近年对全球超过30国银行发动攻击以窃取财产，而台湾是这个组织在亚洲攻击最频繁的目标。
根据该公司分析，Silence曾在近期的一个月内，发出17万封侦察式电子邮件，其中亚洲有8万封，而台湾以2.1万封居榜首，其次是马来西亚（1.6万封）及韩国（8,800封）。值得注意的是，一旦验证为有效电子邮件信箱后，骇客就开始发送附有攻击程式的恶意邮件，接着以其工具渗透受害银行的内部网络及横向移动，如果金融机构安全防护技术未能侦测到，最后骇客得以控制信用卡处理中心、并以Atmosphere木马或名为xfs-disp.exe的程控提款机在特定时间吐钞，并由外部车手取款。更多内容
＃容器管理平台安全 ＃K8s
受HTTP/2漏洞波及，Kubernetes释出安全更新
Netflix、Google及CERT/CC在日前揭露了攸关HTTP/2实现的8个安全漏洞，本周容器管理专案Kubernetes指出，用来打造Kubernetes的Go语言，受到其中两个漏洞的波及，导致所有版本都受到相关漏洞的影响，可能造成服务阻断。随着Go已经释出1.12.9与1.11.13版本，来修补这两个漏洞，而K8s则是基于Go的修补释出1.15.3、1.14.6与1.13.10版。因此，K8s用户应尽快升级到最新版本。更多内容
＃笔电内建软件安全 ＃联想
联想电脑预装管理软件暗藏可被骇客接管系统的漏洞
在联想笔电中的Lenovo Solution Centre（LSC）装置管理软件，是产品预载的测试和故障排除工具，但最近被安全厂商Pentest Partners揭露有一重大漏洞，而且官方可能已经终止支援。
该软件是联想自2011年开始，就预安装在所有联想笔电、平板等装置中，表示联想产品存在风险可能高达8年之久。简单来说，这项漏洞来自判别式存取控制表（Discretionary Access Control List，DACL）覆写，即电脑中高权限的行程，无差别覆写掉低权限用户可控制的档案权限。骇客将可利用其排程作业执行权限升级攻击。研究人员呼吁联想用户电脑及早移除LSC，而联想则已呼吁用户升级到Lenovo Diagnostics。更多内容
＃主机委外安全 ＃Hostinger
网站代管业者Hostinger遭到骇客入侵，危及1,400万名客户
图片来源／撷取自Hositnger
以价格平民为主打的网站代管业者Hostinger，25日在官方部落格上发布资安公告，表示在上周察觉遭到骇客入侵，骇客可能存取1,400万名客户的资讯，包括客户的使用者名称、电子邮件账号与杂凑密码，为了以防万一，他们已重设所有客户的密码。根据Hostinger的说明，他们是在8月23日收到警告，指出有一台服务器被第三方擅自存取，该服务器存放了一个认证Token，可进一步存取该站系统的RESTful API Server，而此一API数据库，则能够用来查询客户与其账号的细节。目前该公司正在调查外泄原因与进行内部稽核。更多内容
＃帐密安全
Google Chrome可能内建通知密码外泄的功能
随着密码外泄情形日渐严重，Google Chrome团队在今年推出Chrome外挂Password Checkup后，计划将这类能在用户登入网络服务时，主动检验密码是否外泄的通知功能，直接内建于新版Chrome。
近日BleepingComputer发现，这个名为“密码保护”（password protection）的功能，将出现在Chrome的密码管理员中，提供开启与关闭的选项。而针对企业用户，Google则会提供名为Password Leak Detection Enabled的政策，可供管理员开启、关闭这项密码保护功能。目前这项功能还在开发中，但可在Chrome 78 Canary版的指令中找到相关选项。更多内容
＃漏洞奖励计划 ＃浏览器隐私工具
Chromium-based Edge上市前最后预览版释出，微软提供最高3万美元请大家抓虫
微软即将推出基于Chromium浏览器核心架构的Edge浏览器，近期他们释出针对首个官方Beta版，包含Windows 7、8/8.1、10及macOS版本，同时宣布将扩大Edge浏览器的漏洞奖励计划，并提供最高3万美元的奖励。
在此Beta版上，提供了今年宣布的Edge隐私工具，包含Basic、Balanced 到Strict 3种层次的上网隐私保护，目前它还是实验功能，但在Beta版已可开启。其他商用功能方面，包括整合Bing AI及Microsoft Graph个人化能力的企业搜寻功能Microsoft Search、支援旧网页的IE模式，以及可过滤不安全网站的Windows Defender Application Guard等。更多内容
＃APT攻击 ＃间谍行动 ＃生医产业
FireEye：中国骇客集团相准癌症研究中心，盗取新药配方制程
内文：资安业者FireEye在最新的资安报告《Beyond Compliance: Cyber Threats and Healthcare》中指出，中国的网络间谍行动锁定了医药研究人员，虽然无法具体评估中国骇客的破坏规模，但可能已经对该产业产生了影响。目前他们已经发现有多个中国骇客集团，锁定医疗照护产业的研究展开APT攻击，且对癌症相关研究特别感兴趣，这符合了中国因癌症致死的案例愈来愈多的现象。他们并推测，这可能与中国所提出的中国制造2025政策有关，该政策计划让中国在2025年迈入制造强国之列，而锁定医疗研究与资料的间谍行动，将让中国比西方国家的竞争对手更快推出新药。更多内容
＃资料外泄
香港立场新闻员工遗失笔电，包含两万笔赞助资料，已通报隐私署
图片来源／撷取自立场新闻粉丝专页
于2014年成立，总部位于香港的非牟利网上媒体“立场新闻”，在本月24日于粉丝专页上发布讯息，该公司负责处理会员和赞助资讯的员工，在22日遗失包含相关资料的笔电。从影响范围来看，目前他们已经公布初步资料外泄范围，共23,967项赞助交易记录，包括赞助人姓名、赞助金额、电子邮件这三项资料，其中16,472项记录包含赞助人地址、37项有银行户口号码、16项有电话号码，而这些资料不包括信用卡资讯。该公司总编辑锺沛权并表示，他需要为此事件负上最大责任，因为过去两个月的赞助会员人数暴增，使负责同事需长期在家加班处理，而他没有及时在IT和人手上给予足够支援。目前，立场新闻已向香港个人隐私专员公署通报，并会尽快个别通知受影响赞助会员。更多内容
＃HITCON ＃台湾资安社群
台湾骇客年会社群场8月底热闹登场
图片来源／HITCON
全台最具含量的纯技术资安研讨会“台湾骇客年会社群场”（HITCON Community 2019），在23、24日连续两天于中央研究院人文社会科学馆举办，不仅吸引对资安有兴趣的研究人员和学生，也有来自香港、日本亚洲各国的海外参加者。本届HITCON CMT总召邱柏森表示，这次大会以“Trust in the Untrusted World”为主题，再次强调信任的议题须重新检视，现场并包含多项议程与各类行活动，让所有参加的人，都能够透过这些不同单元，来接触各式不同的资安有关的技术，他并表示，像是今年结合OPass通关的活动，有不少人反映游戏相当有趣。更多内容
＃台湾漏洞通报现况
2019年HITCON ZeroDay漏洞通报现况，弱密码问题通报数量增
对于台湾漏洞通报现况，自2015年底开始设立的HITCON ZeroDay，每隔一段时间就会公布国内的通报趋势，近日HITCON常务理事翁浩正指出，今年1月至今，SQL Injection漏洞仍以31％占最多，XSS漏洞以16%居次，不过翁浩正特别强调了弱密码问题，是今年新的焦点，他表示有6%漏洞是在通报预设密码没有修改，或是使用的密码很简单。
对于弱密码的问题，或许一些人已经知道帐密填充攻击，或是撞库攻击。他也再次说明，现在很多骇客都在搜集各种已经外泄的密码，来尝试登入各个网站，很多企业买了一些解决方案、网站或设备，可是从来没有改过密码，导致会被用这种方式来攻击。因此，弱密码将是企业不可忽视的问题。更多内容
