资安一周第73期：勒索软件的威胁与物联网所衍生的安全议题，持续成为企业与民众必须关注的焦点
撷取自SophosLabs
1212-1218一定要看的资安新闻
勒索软件
勒索软件演化出新手法，将电脑以安全模式重开机以躲过防毒侦测
图片来源／撷取自SophosLabs
Sophos研究团队SophosLabs自2018年夏天发现Snatch勒索软件，今年10月再次侦测到这只软件时，它已演化出可在Windows电脑安全模式下运作的能力，能让电脑在重新开机进入安全模式之际，再对档案执行加密。SophosLabs认为，这种能力使得这只勒索软件更加危险，因为安全模式下，防毒软件通常不会启动。
经由种种线索，安全公司判断Snatch背后是使用俄语的骇客组织，主要锁定企业攻击，会将受害系统磁盘上的资讯加密以勒索，而被加密的档案都会多出.abcde的副档名，目前美国、加拿大和几个欧洲国家，都有感染的企业通报。SophosLabs分析其程式码得知，Snatch透过暴力破解公开于互联网的服务，如RDP、VNC、TeamViewer，或以WebShell或SQL Injection手法渗透入企业网络，之后在内部散布。更多内容
僵尸病毒、物联网安全
新版Echobot僵尸病毒所使用的漏洞攻击程式增加到77个
图片来源／撷取自Carlos Brendel\'s Twitter
基于Mirai程式码的新一代僵尸病毒Echobot，于今年初快速崛起，安全研究人员Carlos Brendel在12月12日指出，Echobot僵尸病毒所利用的漏洞攻击程式数量已达到77种，比6月其他研究人员发现的26种更多。而这些攻击程式不仅锁定了路由器、IP摄影机，还包括VoIP电话、展示系统、智慧家庭控制器、软件、资料分析平台、NAS，甚至是生物辨识扫描器。关于Echobot的目的，与其他僵尸病毒一样，是感染众多装置并形成僵尸网络，进而利用对这些装置的控制权，来发动大规模的分散式服务阻断攻击。更多内容
物联网安全
FBI警告笔电不应和物联网装置共用Wi-Fi网络
图片来源／撷取自FBI
随着智慧家电及物联网应用兴起，一般用户也成骇客下手的目标。美国联邦调查局（FBI）本周呼吁大众，连网摄影机、游戏机及智慧喇叭等物联网装置，切记别和笔电设于同一Wi-Fi网络。
FBI指出，这些各式新兴家用资讯装置，将可能以消费者不知道的方式搜集资讯，并传到不明去处，还会让骇客透过骇入上述IoT装置入侵Wi-Fi网络，再经由家用路由器扩散到各个连网装置，包括储存隐私资讯和密码的笔电。同时，FBI也再次呼吁用户应变更所有IoT装置的预设密码，密码不要共用且愈长愈好，并检查IoT装置搭配的App的资讯搜集设定，关闭不必要的存取权限。此外，用户也应启动IoT装置的自动更新，确保升级到最新版本软件及固件。更多内容
企业云端账号安全
G Suite在2020年6月将强制第三方App支援OAuth
Google祭出强化G Suite账号安全措施，要求企业用户使用支援OAuth协定的第三方App，才能存取G suite账号。例如，Google指出，企业员工可能想用iOS邮件App，收发工作相关邮件，但这可能让G Suite账号陷入被劫持的风险。由于这类存取方式只验证账号、密码，若帐密因为用户和其他网站共用密码而被骇客取得，骇客就可以直接存取G Suite相关资讯。若App支援OAuth协定，将让G Suite可以获取更多登入资讯，以防止帐密为第三人所用，而且，OAuth也允许G Suite执行管理员定义的登入政策，像是用硬件金钥或启用白名单等安全管控。这项措施将分二阶段实施，在2020年6月15日，用户不得新增未支援OAuth的第三方App存取G Suite账号，到了2021年2月15日，将全面禁止任何不支援OAuth协定的第三方App。此外，微软在之前也已经宣布，将在2020年10月13日禁止只有帐密验证的第三方App存取Office 365/Exchange Online。更多内容
全球骇客抢旗攻防赛
DEF CON CTF主办人在HITCON CTF论坛，首度公开PWN College开源课程
图片来源／黄彦棻摄、撷取自PWN College
该如何透过现在流行的抢旗攻防赛（CTF），吸引更多对资安有兴趣的资安人才呢？DEF CON CTF主办单位O.O.O.（Order of the Overflow）主办者，也同时是美国亚历桑纳州立大学资工系教授Yan Shoshitaishvili（网络昵称Zardus），于日前参加在台举办的HITCON CTF论坛时，正式宣布将他在大学开设的PWN College课程，透过开源方式释出，希望可以作为全世界培育资安人才的入门教材。而这个开源专案用在教育领域是可以授权免费使用，但如果企业有兴趣用来作内部的资安基础训练课程，也有企业授权方案供其使用。在HITCON CTF论坛之外，期间还有HITCON CTF（抢旗攻防赛）决赛在进行，由来自10个国家、加上台湾的Balsn CTF决赛冠军，以及趋势科技CTF决赛冠军，总计14个队伍一起参赛，最终由中国队Tea Deliverers获得冠军，并直接获得晋级2020 DEF CON CTF决赛的资格。更多内容
勒索软件
微软认为企业支付勒索软件赎金，难脱助长网络犯罪之嫌
近年勒索软件肆虐-机关或企业的事件频传，似乎付不付赎金都难办。事实上，对于勒索软件受害者，包括NoMoreRamsom组织，以及许多资安专家都曾建议，付赎金是最不被建议的选项，过去FBI虽曾在2015年建议企业付款花钱消灾，但今年，FBI已改变态度，认为支付赎金并不是好方法。然而，也有一些资安业者的业务是协助企业付赎金以救回档案。对于这样的问题，微软也抱持不建议付赎金的看法，在12月16日，微软侦测及回应团队（DART）资深网络安全顾问Ola Peters指出，他们不建议企业或-机关支付赎金，以免助长网络犯罪，并建议企业用户，应将管理权限帐密和一般使用者的帐密切分，使用多因素验证、特权存取管理方案，并要定期备份公司的关键系统、应用及档案并定期测试，确保事件发生时能有效复原档案系统。更多内容
勒索软件
美国路易斯安那州今年三度遭勒索软件攻击，近日纽奥良市宣布进入紧急状态
图片来源／撷取自LaToya Cantrell\'s Twitter、nola.gov
继路易斯安那州因勒索病毒攻击在7月宣布全州进入紧急状态（Emergency Declaration），位于该州南部的纽奥良市，上周五传出-电脑档案遭勒索加密勒赎，疑似是Ryuk的勒索软件，而这是事件也成为该州今年以来第3次攻击事件。此次事件造成纽奥良市极大影响，纽奥良市长LaToya Cantrell宣布进入紧急状态，并在推特上持续公布新的情况，例如，他在本周一指出，该市-网站（http://nola.gov）仍然关闭，但他们已经架设了一个临时的网站，以供民众支付停车费、影像拍摄的违规罚单，缴纳停车税、销售及使用税，以及提供311非紧急市政服务的临时管道。更多内容
资安教育训练、银行公会
银行公会推动金融资安联防教育训练，包含7大实务面的内容
为协助台湾的银行业者提升资安防护能量，强化成员的资安意识，中华民国银行商业同业公会（银行公会）在12月11日到13日，首次举办资安联防相关教育训练计划，让会员能免费报名参与，提供实务面的训练内容，包括金融资安治理与管理、资安风险管理与稽核、行动应用程序弱点与防护、渗透测试服务与防护、数位鉴识服务与处理，以及资安事故处理与防护演练。
对于教育训练计划的未来发展，银行公会金融业务电子化委员会主任委员朱永榕表示，他们预计在未来一年或一年半内，还会持续举办四次这样的训练课程，期望让银行业者学习到更多资安实务，并落实到日常工作。此外，银行公会现已成立了CSIRT辅导小组，期望带动会员发展，并强调落实资通安全联防机制的重要性。更多内容
资安预测
趋势科技在台公布2020资安预测，BEC诈骗、IoT攻击手法更复杂
图片来源／罗正汉摄
对于即将到来的2020年，趋势科技在11月发布下一年的资安预测报告，他们根据复杂、暴露、配置错误与防御性这四大面向，列出未来要注意的17个安全议题。近日，台湾趋势科技在一场活动上，公布他们从此报告整理出的资安威胁重点。
趋势科技台湾区暨香港区总经理洪伟淦表示，从整体威胁来看，虽然许多新的科技正被讨论，不过，现行主要面对的还是传统环境之下的威胁。他指出，近年时常谈及的勒索软件、APT攻击并未减缓，但攻击手法会变得更复杂，勒索软件攻击也成常态，而在IoT与5G的发展之下，新的资安挑战也将随之出现，此外，由于企业云端使用比例提升，错误设定所引发的资料外泄事件，将会更为普遍。更多内容
