0130-0205一定要看的资安新闻

＃社交工程　＃网钓攻击　＃个资安全

武汉肺炎人心惶惶，当心填问卷送口罩、以及伪装防疫卫教资讯的社交工程手法！

图片来源／趋势科技

随着武汉肺炎疫情持续延烧，民众可要当心以相关时事为诱饵的社交工程与诈骗！已有事件被资安业者揭露。例如，在国内，趋势科技近日指出，发现多个以送口罩名义骗个资的脸书粉丝专页，像是有一个假冒全联名义的“全联福利中心Taiwan”粉丝专页，在1月31日刚成立，透过脸书投放广告，声称填问卷就可以优惠价格购买口罩，骗取民众个资；还有其他粉丝专页用各式借口，以留言分享就能免费送口罩为号召，吸引不知情民众上钩，再以聊天机器人透过私讯拉拢消费者，目的是要大家对粉丝专页按赞与骗个资，同时还要大家资讯分享，根据趋势科技统计，已有超过5万用户上钩。

在国际上，也出现伪装成各式防范武汉肺炎的社交工程邮件。近日KnowBe4、卡巴斯基实验室与IBM X-Force都公布相关发现。例如，IBM X-Force公布一封日文撰写的网钓邮件内容，标题带有“武汉肺炎”相关文字，信中则夹带恶意宏的Word文件，声称是卫生单位提供的防疫措施，实为传播Emotet银行木马类型的恶意宏档案。更多内容更多内容

＃IoT安全　＃DDoS　＃DVR

可取国际的视讯监控主机遭骇，成为DDoS攻击帮凶

图片来源／撷取自可取国际官方网站

在1月中旬，台湾可取国际（iCatch）DVR录影主机传出IoT攻击事件，用户发现设备遭破解后门并陆续被植入木马，同时对网络骨干发动DDoS攻击，许多用户之后接到中华电信通知，才知道被当跳板。

对此，该公司在1月16日于官网发出资安通报，先针对受影响的KMH（25、28系列）、RMH（A、C系列）提供新版固件，其台湾总代理德胜监控也说明产品处置计划，他们表示，KMH、RMH、RAH、RAV的1080P系列将提供安全性升级，甚至，已超过保修期限的RMV、RAS的720P系列，也将额外提供修补，但更老旧的HDR、960、D1系列则建议不要连网使用。在追踪此事件的动向时，同日我们也发现台湾学术网络危机处理中心（TACERT）率先发布相关漏洞预警，并特别指出遭入侵设备会被窜改网络界面设定，将连线设定PPPoE改成DHCP模式，造成使用者远端无法连线录影主机。

关于这起事件的影响，TACERT表示这次事件为IoT板固件漏洞，使用相同板子就可能存在同样问题；而对于这次事件是否是工程账号root遭利用及相关问题，德胜监控在1月底的回应是这次事件仍在处理，尚未提供更详细的说明。至于最新近况，可取国际在2月3日释出RAS、RAV、RAH与RXH等更多机种的新版固件，建议用户尽速更新，并要在账户设定中修改密码为高强度。更多内容

＃IoT安全

英国-打算制定新法令来规范IoT的安全性

图片来源／撷取自英国数位、文化、媒体暨体育部官方网站

英国数位、文化、媒体暨体育部部长Matt Warman宣布，该国-将立法规范物联网装置的安全标准，以避免这些装置蒙受安全及被骇风险，并确保所有在当地销售的IoT装置都符合三大安全要求：第一，所有IoT装置都必须具备独特的密码，而且无法重置成任何通用的出厂预设值；其次，IoT装置的制造商必须提供公开的安全漏洞回报窗口；第三，IoT装置制造商必须明确揭露装置的安全更新时程。更多内容

＃骇侵事件

联合国被踢爆去年曾遭骇客入侵，却不曾公布与说明此事

专门报导人道新闻的The New Humanitarian通讯社在1月29日踢爆，有未具名的联合国IT主管透露，该组织在欧洲的多个网络曾在去年7月遭到骇客入侵，大约有40台服务器遭骇，然而，联合国对此资安事件始终保持沉默，只要求员工变更密码，并未提及员工的个人资料可能已外泄。报导中指出，联合国发言人Stéphane Dujarric已坦承此事，但因无法确认事件的性质与范围，迟迟未对外公布。此一保持沉默的作法，引发相关专家抨击，因为身为国际治理组织，却没有遵循专业标准。更多内容

＃医疗OT设备安全

研究人员踢爆GE Medical医疗装置含有重大安全漏洞

图片来源／CyberMDX

专门提供医疗照护网络安全解决方案的CyberMDX，揭露GE Medical旗下医疗装置有6大安全漏洞，其中5个是CVSS v3.1最高风险10分。

由于CyberMDX是在2019年9月通报，已过90天的缓冲期，GE Medical仍来不及修补，因此美国ICS-CERT也在1月23日，针对GE CARESCAPE、ApexPro与CIC系统提出警告。

后续GE Medical表示，迄今尚未发现锁定相关漏洞的攻击程式，用户可继续使用相关装置，但最好确认MC与IX网络是独立的，以提高骇客的攻击门槛，也应采用各装置的最佳配置准则。更多内容

＃实体安全金钥　＃FIDO

Google开源可制作硬件金钥的固件专案OpenSK

图片来源／撷取自Google Secrutiry Blog\'s影片

去年Google开卖自有Titan实体安全金钥装置，在1月30日，他们进一步将开发硬件安全金钥的固件开源，在GitHub上释出OpenSK专案，希望借由这个开源专案让独立开发人员、硬件金钥制造商，都能开发安全加解密装置，加速实体安全金钥的普及。

基本上，OpenSK是以Rust撰写而成，运行在TockOS上，支援FIDO U2F及FIDO 2标准，Google指出，现在开发人员可将OpenSK固件刷到Nodic芯片的dongle开发板，因为它支援FIDO2所有主流传输协定且价格便宜，未来Google计划未来也会扩大到其他芯片。更多内容

＃软件生命周期　＃安全更新问题

德国-为确保尚未升级的Windows 7电脑的安全，今年要多花89万欧元

在2020年1月14日微软正式终止Windows 7，根据德国《商报Handelsblatt》报导，尽管该国-1年多前就已启动升级Windows 10的计划，但是各单位装置数量太多，像是柏林市-就有8.5万台电脑，迄今还有2万台是Windows 7电脑。因此，为了确保德国联邦-目前3.3万台Windows 7电脑的安全，德国-今年必须多花88.6万欧元（约新台币2952万元），购买延伸安全更新，以便持续获得安全修补程式。更多内容