资安一周第69期：iOS13越狱程式利用的设备芯片漏洞，无法借由固件修补成资安威胁
Checkra1n
1114-1120 一定要看的资安新闻
＃资安攻防竞赛 ＃ATT&CK
台湾骇客协会举办第2届企业资安攻防赛，由高科技制造业夺冠
随着企业的资安议题受到关注，台湾骇客协会于11月13日，举办第2届HITCON Defense竞赛，比赛内容以企业资安防护能力为主，本次参赛队伍共6队，囊括金融业、-、高科技制造业、电信业，以及服务业等，最后由高科技制造业成军的S.H.I.E.L.D.获得冠军。
这次为了模拟企业遭到攻击的状态，现场提供参赛队伍各式资安防护设备，并经由TWNIC协调，配置10个公开的ASN（即Class C网段），让所有蓝队在真实网络环境进行比赛。
博格企业资安读书会创办人Titan Lee表示，这次红队模拟的攻击手法，首度采用MITRE推出的ATT&CK资安框架比对，让蓝队更容易理解红队发动的攻击型态，进而采取有效的防护策略。Titan Lee也从红队攻击者的角度，分享他的观察，认为蓝队需要加强处理Web Shell的能力，并确实执行资安盘点，以及更加积极交换与取得威胁情资。详全文
摄影／黄彦棻
＃资料外泄 ＃键盘侧录攻击
Disney+出师不利，惊传骇客论坛兜售上千用户账号
意图挑战Netflix地位的Disney+影音串流服务，正式于11月12日在美国、加拿大，以及荷兰等地区上线，经过24小时，用户数量号称冲破千万。但就在服务提供后的四到五天，不少用户发现，他们的账号已经被骇而无法使用。ZDNet会同资安专家调查指出，黑市里以3至11美元不等的价格，销售遭到外泄的Disney+账号。
至于账号外泄的原因，仍然不明，迪士尼并未回应。许多受害人向ZDNet表示，他们没有在Disney+与其他服务共用相同密码，因此该媒体认为，应是用户装置被安装了键盘侧录程式所致，建议使用者要启用双因素验证机制加以防范。详全文
＃硬件漏洞
利用苹果iOS装置芯片漏洞的越狱程式现身，恐被骇客滥用
在今年9月，代号为Axi0mX的研究人员揭露藏匿在苹果芯片上的Bootrom漏洞，并释出攻击验证程式checkm8，不到两个月，他会同其他研究人员，利用这个攻击工具，打造iOS 13的越狱程式Checkra1n。由于采用A5到A11芯片的历代iPhone与iPad，都可能受到Bootrom影响，而且苹果无法透过更新固件修补，因此这个越狱程式也格外受到关注，资安专家担心可能会被攻击者滥用，拿来植入攻击程式。
所幸目前想要使用Checkra1n，尚且有不少限制，首先必须实际取得iOS装置，并且与Mac电脑连接才能越狱，相关功能在iOS装置重开机即会失效。详全文
＃漏洞攻击 ＃防毒软件安全疑虑
就算骇客攻击没有成功也会导致服务中断！赛门铁克企业防毒软件再传本地端权限漏洞
防毒软件是一般个人电脑必备的端点防护措施，在企业IT环境之下，通常会采用企业级产品，以便实施多台电脑的集中控管，近期SafeBreach Labs安全研究人员Peleg Hadar，揭露企业级防毒软件Symantec Endpoint Protection（SEP）的安全漏洞，编号为CVE-2019-12758。借由这个漏洞，攻击者可绕过该端点保护软件的自我防护机制，从而扩张权限。
Symantec也针对此漏洞做出说明，表示会影响SEP 11.0至14.2 RU1的所有版本，而且就算骇客攻击失败，也可能会导致服务阻断。详全文
＃勒索软件攻击 ＃特定行业攻击 ＃关键基础设施
墨西哥国营石油公司Pemex惊传遭勒索软件攻击
能源产业传出资安攻击事件又一桩。墨西哥国营石油公司Pemex在11月10日遭到勒索软件攻击，对方加密Pemex部分系统的档案，要求支付565个比特币（约490万美元）做为赎金。
该石油公司透过推特证实此事，并强调营运与生产系统都可正常运作，也有充足的库存与供应，本次攻击事件的影响范围，仅有不到5%的电脑受损。详全文
图片来源：Pemex
＃DDoS攻击 ＃国家级攻击
英国工党网站惊传遭到两起DDoS攻击，疑为俄罗斯再度介入大选
因脱离欧盟的政策举棋不定，而提前在今年12月12日投票的英国大选，传出在11月11日与12日两天，在野党工党的网站受到分散式阻断服务（DDoS）攻击，而引发关注，工党党魁柯宾（Jeremy Corbyn）强力谴责攻击行为，认为这起事件并不寻常。
由于近年许多国家的选举过程中，不时传出有境外势力意图干涉，而发生资安事件。若是事件如攻击者的规划，造成重大损害，便有可能造成选民对于-不信任，进而让攻击者达到左右政治的目的。详全文
＃开发安全 ＃资安产业动态
为开源程式码安全把关，GitHub推Security Lab计划
GitHub在11月14日举办Universe大会，发表GitHub Security Lab计划，欲集结众多企业的力量，提升开源程式码安全。同时，该公司也免费释出程式码语义分析引擎CodeQL，让社群开发者能更快找出开源软件的漏洞。
目前参与上述计划的企业，包含F5、Google、英特尔、微软、摩根大通，以及Mozilla等14家企业，他们将共同投入资源，以修复开源软件中的漏洞。详全文
＃资安产业动态 ＃容器安全
红帽开源容器储存库专案Quay，纳入扫描机制Clair
针对容器的管理应用，红帽（Red Hat）继并购CoreOS之后，最近对于旗下的容器储存库（Container Registry）Quay，开放其程式源代码，并将新的专案命名为Project Quay，同时该专案合并了开源容器安全扫描应用Clair。红帽提到，Project Quay是Red Hat Quay和Quay.io程式码的上游专案，他们要透过在上游开源社群的力量，推动专案创新。详全文
＃资安产业动态 ＃资料中心安全 ＃人工智能
资安成台湾AI云商转的新焦点，透过高速运算力发展智慧资安系统
由国网中心打造的台湾AI云（TWCC），主要锁定智慧医疗、智慧制造、智慧防灾，以及其余类型的4大产业应用，于10月正式商转。值得注意的是，该AI云平台日前取得ISO 27017与ISO 27018认证，范围涵盖整个服务，因此，提供HPC运算、GPU容器的AI超级电脑“台湾杉2号”，也包含在内。
关于台湾AI云本身的资安防御机制，国网中心平台开发组副组长卢鸿复表示，该系统具备3大关键资安设备，包括：次世代资料中心网络防火墙、网站应用程序防火墙，以及电信等级DDoS攻击防护系统。
在平台本身的防御之外，国网中心也运用台湾AI云，发展智慧资安，并对于事件记录与网络活动迅速处理，进而诱捕追踪与分析比对，并制订疑似感染清单与警示规则，以及发布相关通报。详全文
图片来源：国网中心
