资安一周第108期：全球最大游轮业者Carnival遭勒索软件攻击。犹他大学为保护学生资料不被外泄，仍决定付赎金

0820-0826 一定要看的资安新闻

 

＃勒索软件攻击  ＃漏洞修补

没修补Citrix重大漏洞让骇客有机可趁，全球最大游轮业者Carnival遭勒索软件攻击

全球最大游轮业者Carnival于8月17日坦承，该集团旗下资讯系统在8月15日遭到勒索软件攻击，骇客下载并加密客户与员工资料，目前Carnival仍与执法机关及鉴识机构合作进行调查。

该公司只透露旗下其中一个品牌的资讯系统被骇客入侵，员工与客户资料被存取，系统遭加密，但并未提供进一步细节。而资安业者Bad Packets则是透过推文表示，他们认为Carnival遭到入侵的管道，是尚未修补CVE-2019-19781漏洞的Citrix网络设备。详全文

图片来源：Carnival

 

＃勒索软件攻击  ＃资料外泄

犹他大学遭勒索软件攻击，决定付钱赎回被盗的学生资料

这两年有愈来愈多的勒索软件骇客集团在加密系统上的资料前，会先下载备份，使得受害单位面临资料外泄的风险。美国犹他大学在7月17日遭到勒索软件攻击之后，以一己之力复原被骇客加密的系统，却为了保护被骇客下载的员工与学生资料不被外泄，而选择向骇客支付45.7万美元赎金。详全文

 

＃漏洞修补

Gmail冒名信件漏洞通报超过4个月终于得到修补

Google稍早针对Gmail和G Suite邮件系统释出修补程式，解决已通报137天、可用来发出冒名邮件的漏洞。这项漏洞是由研究人员Allison Husain发现，发生在Google后端邮件流程规则上，可造成冒名转发，再配合运用邮件闸道，使攻击者得以绕过现代邮件系统严格的验证机制，包含了寄件者政策框架（Sender Policy Framework，SPF），以及采用网域为基础，来对于邮件进行验证、报告与一致性检查（Domain-based Message Authentication, Reporting, and Conformance，DMARC）等，使得攻击者得以冒充用户发送冒名邮件。详全文

图片来源：Allison Husain

 

＃漏洞揭露

IBM DB2数据库出现漏洞，恐导致资料遭到外泄

TrustWave研究人员Martin Rakhmanov揭露，混合式资料管理产品IBM DB2的追踪工具（Trace Facility）上，存在共享内存漏洞CVE-2020-4414，会导致资料遭到未经授权的读取，或是造成阻断服务（DoS）攻击，本项漏洞波及Windows版的DB2，适用于大型主机z/OS的版本则不受影响。详全文

 

＃资料外泄

蓄意隐瞒资料外泄事件，Uber前资安长被起诉

在2015年至2017年间担任Uber安全长的Joe Sullivan，因为隐瞒骇客攻击事件，在8月20日遭到美国司法部起诉，罪名是妨碍司法及隐匿重大犯罪，最多可能面临8年牢狱之灾。

司法部的起诉内容指出，Joe Sullivan任内发生的事件，是2016年遭入侵后，骇客盗走5千7百万名乘客和司机的资料，但该名安全长当时非但没有向主管机关通报，而是以抓漏专案为名义，支付10万美元给骇客，并且与骇客签定保密协议。这名资安长在接受Uber调查后于2017年离职，并接受美国司法部调查。详全文

 

＃挖矿攻击  ＃容器安全

新版TeamTNT挖矿蠕虫会窃取AWS凭证

资安业者Cado Security揭露，TeamTNT骇客集团所打造的新一代挖矿蠕虫，多了用来窃取存放在Docker及Kubernetes系统上AWS凭证的功能，这些系统很可能因为缺乏密码保护，或是配置错误等因素，而成为TeamTNT蠕虫的攻击目标。

该资安业者表示，大多数挖矿蠕虫都是从不同挖矿程式拼凑而成，因此窃取AWS凭证的能力，其他挖矿软件日后也会纳入相关功能。详全文

 

＃挖矿攻击  ＃容器安全

AWS社群映像档暗藏恶意程式

使用者可能透过社群网站下载所需的工具，而没有注意到来源，成为骇客藏匿与散播恶意程式的途径。例如，云端资安业者Mitiga发现，AWS社群上，竟然出现了含有门罗币（Monero）挖矿程式的AMI映像档（Amazon Machine Image）。该公司警告，社群上的AMI档案取得容易，但很有可能来源不明，企业应该在关键业务选择可靠来源的AMI，并且要进行验证之后再使用。详全文

 

＃挖矿攻击

新一代僵尸网络FritzFrog感染500台服务器帮骇客挖矿

资安业者Guardicore Labs揭露新型态的P2P僵尸网络FritzFrog，骇客撰写了全新的恶意程式，企图攻击全球数百万个装置的IP地址，进而感染逾500台SSH服务器，并利用它们替骇客开挖门罗币（Monero）。

FritzFrog有许多特点，它采用无档案技术，在内存中运作，因而无从追踪。相较于其他只使用固定用户名称，来渗透IP装置的P2P僵尸网络，FritzFrog使用了相对积极的暴力破解技术，它会持续更新攻击对象与被骇机器的数据库，而且使用私有的P2P协定。

Guardicore Labs建议，企业应该设定强密码且使用公钥认证，受害系统也要移除FritzFrog所植入的公钥。此外，将SSH曝露在外的物联网装置，是FritzFrog主要的渗透点，组织应变更相关装置连接埠，或是关闭存取能力。详全文

图片来源：Guardicore Labs

 

＃供应链攻击  ＃行动装置安全

逾20万中国传音手机预载广告诈骗程式

资安业者Secure-D警告，中国业者传音（Transsion）生产的手机预载了广告诈骗程式，这些低阶手机锁定非洲市场，从2019年3月到2020年8月，该公司总计从19个国家的逾20万支传音手机，封锁1,920万个可疑的订阅交易，这些订阅很可能都是透过背景执行，完全没经过使用者的同意。

由于攻击过程都是在背景中自动执行，不会受到电信业者的干预，使用者亦无从察觉。在追查之后，Secure-D发现相关的恶意网站与传音并无关联，判断骇客是入侵了传音的供应链。详全文

 

＃供应链攻击

调查局首度揭露国内-委外厂商成资安破口的现况

对于国内-组织内资讯委外的安全问题，8月19日法务部调查局资安工作站发出警示，指出近来他们侦办数起-机关遭骇案件中，发现-单位及其资讯服务供应商遭中国骇客组织渗透的问题严重，最新发现至少有10个-单位，以及4家资讯服务供应商都已经受到攻击。

调查局揭露了从遭骇路由器所查到的11个恶意网域，加上前述攻击的5个IP地址，希望尚未遭受此一攻击的-机关与资讯服务供应商，应尽速阻挡这些恶意网域。详全文

 

 

更多资安动态

●美国公布北朝鲜骇客所使用的RAT恶意程式
●FBI与CISA警告美国正出现大规模语音网钓活动
●MITRE公布近两年全球最危险的25种软件安全缺陷
●Windows 10预览版将预设启用TLS 1.3支援