资安一周第93期：勒索软件攻击、资料外泄、漏洞滥用攻击事件频传最新消息

0507-0513 一定要看的资安新闻

＃资料外泄

骇客论坛惊见兜售67万笔飨食天堂3年前顾客帐密

旧的账号和密码个资，仍可能在地下论坛流窜。在5月9日，骇客论坛Raidsforum出现兜售67万笔台湾民众个资的贴文，至少有姓名、账号、密码、生日，以及地址等字段。据资安专家表示，这批外泄个资是台湾知名连锁餐饮业者飨食天堂在2011年到2016年的会员资讯。

我们也在5月11日上午向飨食天堂母公司飨宾餐饮查证，他们当时才得知3年前疑遭盗的旧资料重新被上网兜售的消息，并表示这批旧账密早在2017年随网站改版，已全数移除而失效。

不过，飨宾餐饮仍发出公告通知顾客自行更换密码，后续也计划采取强制重设密码等对策，来降低风险。详全文

＃资料外泄

11家企业用户资料沦落暗网，近半数来自印尼最大电商

企业个资遭到骇客窃取，很有可能直到资料于暗网出现，才发觉事态严重。根据BleepingComputer与ZDNet报导，名为Shiny Hunters的骇客集团，近来在暗网销售11家遭骇企业的用户资料，大约涉及1.6亿名使用者。目前仅有照片打印服务ChatBooks坦承遭到入侵。

其中，最大宗的是印尼最大的电子商务网站Tokopedia，共泄露9,100万笔用户资料，叫价5千美元。此外，骇客宣称取得GitHub账号个资，展示微软私有的源代码储存库，内含500GB产品源代码，但该公司尚未证实此事。详全文

＃勒索软件＃医疗产业

欧洲最大民营医院营运商遭勒索软件攻击

医疗产业遭到勒索软件攻击的情况，不光是医院与-机构受害，提供营运管理的业者也是骇客攻击的目标。欧洲最大医院运营商及透析设备经销商的费森尤斯集团（Fresenius Group），电脑系统遭到勒索软件攻击，被迫在某些系统无法运作下照护病患。根据资安部落格Krebs On Security的报导，此起事件影响该公司全球各地分公司电脑，祸首是今年初开始崛起，并且锁定大型企业发动攻击的勒索软件Snake。

费森尤斯集团也证实此事，并表示公司某些功能已受限，IT人员正在尽力解决。详全文

＃勒索软件

勒索软件LockBit在3小时内加密25台服务器与225个工作站

针对特定目标下手的勒索软件攻击，在短时间就能造成严重的伤害。根据Bleeping Computer的报导，骇客成功入侵企业并利用勒索软件LockBit，于3个小时内加密25台服务器与225个工作站。而针对这起攻击事件，McAfee与Northwave联手，公布LockBit的攻击轨迹，要企业加以留意。

研究人员表示，这款勒索软件的散播方式，是骇客暴力破解过时的VPN服务，进而取得管理员权限，以远端存取服务器（RAS）来派送勒索软件。详全文

＃勒索软件＃高科技产业

半导体封测厂力成湖口厂区遭勒索软件攻击

台湾多家大型公司接连传出受到网络攻击，封测大厂力成也传出于5月4日下午遭到勒索软件攻击，引发自由时报与ETtoday新闻网站报导，6日上午8时，力成在证交所发布即时重大讯息证实他们遭受攻击，事件发生于湖口厂区，造成生产作业短暂停工，受影响的服务器已逐渐复原，机密资料没有遭到波及。详全文

图片来源：台湾证券交易所公开资讯观测站

＃漏洞滥用

已于4月修补的Oracle WebLogic Server漏洞遭骇客滥用

软件厂商刚推出修补软件不久，骇客锁定尚未安装更新的电脑下手的情况，时有所闻。例如，甲骨文在4月13日发布每季重大安全更新后，30日便提出警告，表示他们已接获消息，指出骇客已着手滥用4月所修补的许多安全漏洞，尤其是CVE-2020-2883，危及不同版本的WebLogic Server，这项漏洞出现在处理T3协定上，骇客可利用一个特制的T3讯息，触发不可靠资料的反序列化，而得以在无需通过身份认证的情况下，远端执行任意程式。详全文

＃漏洞揭露

SAP正在修补多项云端产品漏洞，3万多家企业用户受影响

因多家公司的产品整并而无法及时更新源代码，也导致漏洞接连出现。像是德国软件业者SAP，表示旗下7项云端产品有安全漏洞，共有9%的客户受影响，该公司也启动修补机制，并通知受影响的用户，预定在第二季完成大部分作业。

这批含有安全漏洞产品中，有多项是近年购入。彭博社指出，为快速转型，向云端发展，SAP大量并购产品，在无法及时更新这些产品源代码的状况下，产生了漏洞。

SAP强调，他们并非因资安事件才启动调查，而经过评估后，没有任何客户资料因这些漏洞受害。详全文

＃附加元件漏洞

骇客利用外挂漏洞，锁定近百万个WordPress网站发动大规模攻击

名不见经传的老旧插件，也成为骇客攻击WordPress网站的目标。根据专门提供WordPress网站安全服务的Wordfence表示，他们在最近一个月看到相同的骇客组织，针对约90万个 WordPress网站发动攻击，企图引导使用者到恶意网站。这起攻击行动中，骇客主要滥用的是跨网站指令码（Cross-Site Scripting，XSS）漏洞，锁定不甚知名的WordPress插件，像是Easy2Map、Blog Designer，以及WP GDPR Compliance等。

研究人员在4月28日发现大规模攻击，那几天的攻击量是平常的30倍，光是在5月3日，骇客便针对超过50万个网站，展开逾2千万次的攻击。近一个月来，超过90万个网站遭到来自2.4万个IP地址的攻击。详全文

图片来源：WordPress

＃间谍软件

北朝鲜骇客把间谍软件暗藏在macOS的双因素认证应用程序

原本锁定特定操作系统电脑的恶意程式，之后骇客可能不只移植到其他平台，还改变了散布的方法。例如，资安业者Malwarebytes揭露，北朝鲜骇客集团Lazarus（亦称为Hidden Cobra、APT 38）又有新的行动，他们改造原本锁定Windows和Linux平台的远端存取木马程式Dacls，转而瞄准macOS电脑，并借由MinaOTP密码产生器来进行散布。

这个木马程式家族Dacls，最早是在去年底由奇虎360网络安全实验室发现，特点是与C&C中继站协定采用双层加密，而且采模组化设计，并支援中继站动态指令更新功能。详全文