调查局与微软合作拿下非法VPN与僵尸网络，源头竟是一个LED灯控制器。（图片来源：调查局）

0416-0422一定要看的资安新闻

＃僵尸网络

调查局与微软合作拿下非法VPN与僵尸网络，源头竟是一个LED灯控制器

图片来源／法务部调查局

在今年3月，微软宣布与35国警方与安全业者共同破获Necurs，台湾执法单位也名列其中，不过，其实调查局在去年就与微软合作采取行动。在去年7月8日，调查局接获台湾微软数位安全中心（Digital Crimes Unit，DCU）通报，得知台湾-网络IP地址（117.56.xxx.xxx）可能感染Necrus，进而追踪此一非法的VPN IP地址，查出攻击所在是北台湾乡下的图书馆大楼内，更意外的是，骇客用来散布恶意程式的，竟然是一个不起眼的LED灯控制装置，调查局在分析调查后将它关闭，阻止该IP与装置继续成为攻击跳板。更多内容更多内容

＃MITRE ATT&CK

第二轮MITRE ATT&CK评估计划结果出炉，台湾资安厂商也入列

图片来源／撷取自MITRE ATT&CK\'s Twitter

MITRE ATT&CK已是近年来受企业高度关注的新资安攻防框架，而他们发起的ATT&CK评估（ATT &CK Evaluations）也越来越受到资安业者的响应与认可，在4月22日早上9点，我们看到MITRE于凌晨公布了第二轮针对APT29的评估计划结果，这回共有21家资安业者参与，比第一回合更多（初期7家参与、后续5家跟进），特别的是，台湾资安新创公司奥义智慧，以及成立已满30年的趋势科技也在其中。随着这次结果的公布，不论是企业或资安业者，都将能借此衡量EDR的侦测能力与覆盖范围。

值得一提的是，两个月前MITRE也已表示将持续推动这项计划，希望能借由透明的评估过程，帮助用户评估端点检测工具，他们并公布了新一轮评估计划，将同时以Carbanak与FIN7这两个骇客组织的攻击手法为设想。更多内容

＃开源软件安全

Tomcat存在Ghostcat漏洞，有中国骇客在台湾校园网站上传 BiFrost后门程式

图片来源／TeamT5

近期Tomcat Server被揭露一个名为Ghostcat的漏洞，台湾有图书馆网站遭植入恶意程式，疑似就是因为该漏洞受到利用所导致，由于Tomcat是Java开发者常用的应用服务器之一，虽然在Apache Tomcat官方网站上，已于2月11日与14日发布不同版本的更新修补，但这个漏洞在国内比较少被关注，例如，国内安业者发现许多企业的Tomcat Server具有该漏洞，未即时修补。此外，该漏洞也波及多个Linux平台，因而陆续修补，就连商用软件也受影响。更多内容

＃软件安全　＃Zoom

传出Zoom零时差漏洞攻击程式正在黑市贩售

云端视讯会议Zoom的爆红，让全球骇客都在找这套平台的安全漏洞，近期国外媒体Motherboard爆料，指出已有骇客在黑市销售锁定Zoom的两个零时差漏洞攻击程式，分别可用来攻击Windows及macOS上的Zoom用户端程式，其中Windows版Zoom的攻击程式，可用来执行远端程式攻击，需搭配其他的漏洞才能控制整个受害系统，同时也要加入到Zoom的会议中，但由于这个零时差漏洞尚未被揭露，因此骇客开价高达50万美元。更多内容

＃微软Patch Tuesday

本月微软共修补113个零时差漏洞，其中有3个已遭成功利用

图片来源／撷取自ZDI

微软在4月例行性漏洞修补，总计修补了113个安全漏洞，其中有17个属于重大等级，并且有3个漏洞要特别注意，因为已经被骇客成功利用，分别是CVE-2020-1020、CVE-2020-0938与CVE-2020-1027，前两个漏洞是关于Adobe Type Manager Library无法正确处理特制字型，后者则是WindowsKernel的权限扩张漏洞。同时，漏洞悬赏平台ZDI也对这次更新内容，指出有两个漏洞需先考虑优先修补，一个是DNS服务阻断漏洞CVE-2020-0993，另一个则是可绕过Token机制的CVE-2020-0981。更多内容

＃软件安全　＃vCenter Server

VMware修补企业虚拟化解决方案高风险漏洞

图片来源／撷取自VMware

近日VMware针对vCenter Server上的高风险漏洞发布修补，他们指出该产品具有CVE-2020-3952弱点，肇因于VMware Directory Service（vmdir）无法正确实现存取控制，一旦遭成功滥用，将让骇客得以窃取机密资讯，是CVSS v3.1评估为10分的最高风险漏洞。美国电脑紧急应变小组（USCERT）也已针对该漏洞提出警告，呼吁使用者应尽速部署必要更新。更多内容

＃资料外泄

透过风扇震动窃取不连网PC的资料，大学研究人员展示攻击新手法

图片来源／撷取自Ben Gurion University Cyber Secuirty Labs\' Youtube

即使不连网的PC也还是有可能被骇客窃取资讯，以色列本古里安大学网络安全研究中心教授Mordechai Guri的团队，近日展示了新式攻击手法，只要先在电脑内安装恶意软件，使其不断改变风扇转速，可对桌面产生不同频率的震动，接着，攻击者需要搭配能侦测震动的装置，例如，透过智能手机将震动频率解析成资料，随后攻击者再透过手机浏览器的JavaScript接收手机的感测器资讯，再以手机网络把资料传送到远端骇客。更多内容

＃BGP安全　＃RPKI

避免BGP路由遭到绑架，Cloudflare推出可检查ISP安全的公钥网站

图片来源／Cloudflare

为了改善BGP的安全性，业界提出了资源基础架构（RPKI），近日Cloudfl are则是发布了Is BGP Safe Yet网站，可用来测试使用者的网络服务供应商，是否正确部署RPKI，以预防BGP外泄或挟持。根据Cloudflare的观察，目前大约有50%的网络部署RPKI，并希望各界督促业者部署RPKI，共同来保障全球网络的健全。更多内容

＃BEC诈骗　＃SilverTerrier

尼日利亚骇客组织的BEC诈骗攻击盯上台湾，去年受攻击程度居北亚之冠

商业电子邮件诈骗（BEC）持续锁定全球，而台湾比其他地区面临更大风险，近期Palo Alto Networks公布一份BEC相关调查报告，是针对尼日利亚骇客组织SilverTerrier的活动进行分析。报告中指出，SilverTerrier在诈骗计划与技术能力上变得更成熟，并有越来越多采用远端管理工具（RA T）的现象，而这类为了让BEC诈骗能更顺利进行的恶意软件部署，将是企业必须注意的最大威胁，此外，他们观察到该组织在去年的攻击比前一年度增加172%。

特别的是，Unite 42副处长Jen Miller-Osborn近日提供了该组织在台湾的攻击统计数据，在2019年，他们共发现1,747个样本，以及38,270次的攻击，比起邻近的中国、日本、香港与韩国都高，这样的威胁现况值得注意。更多内容

＃账号安全　＃PTT

PTT使用者反应账号出现非本人尝试登入行为，疑似对方利用自动化工具猜密码

图片来源／iThome

近一个月来，台湾电子布告栏批踢踢实业坊PTT传出不少用户账号出现遭人尝试密码的情形。首先，在今年3月底到4月初的期间，传出第一波受害者，每次都是同个IP地址连续登入失败三次，并且是在2到3秒内就完成，相隔没几天，又有不同IP地址尝试登入。到了4月中旬，又有一波这样的状况发生。目前站方与外界尚未对此状况发表评论对此事件，由于用户每次登入PTT时，若是密码错误，其实都会断线并留下一次记录，因此这样短时间连续三次被尝试密码的情形，可能是有恶意人士或集团，透过自动化工具以密码喷洒（Password Spraying）的攻击方式，利用常见弱密码尝试进行盗取用户账号。更多内容