资安一周第114期：台湾2大人力银行数百万个资外泄。骇客组织锁定台湾等国企业发动间谍攻击
104人力银行
1001-1007 一定要看的资安新闻
＃资料外泄
104、1111人力银行惊传数百万求职个资遭到兜售
在10月4日，根据自由时报等多家台湾媒体报导，104人力银行疑在中秋节前，遭到中国骇客侵入，592万4,397笔求职个资被张贴在暗网出售。隔日，1111人力银行亦传出335万6,061笔求职者的资料，出现于同一个骇客论坛求售的情况。
对于个资外泄的情况，2家公司皆做出回应。104人力银行发出公告，证实确有此事，他们根据骇客公开的35笔资料研判，此次事件泄露的应为2013年的旧资料，并指出他们已向调查局报案，但尚未对用户说明该事件的处理与补救措施。1111人力银行则表示，他们已向刑事警察局侦查九队报案，同时指出经过比对，这次遭公布的内容是9年前案件。该公司强调已全面提升资安，并于新闻稿中指出为确保会员权益，他们投保第三人责任险，董事会亦提拨2亿元成立赔偿基金。详全文
＃APT攻击
骇客组织Palmerworm对台湾等多国企业发动间谍攻击
博通（Broadcom）旗下的赛门铁克，发现骇客组织Palmerworm（亦称为BlackTech）的网络间谍攻击行动，这波行动自去年开始持续到今年，目标遍及台湾、中国、日本，以及美国的许多企业。
该公司指出，此次攻击行动中，Palmerworm不仅自制恶意程式，亦搭配合法工具，如Putty、PSExec、SNScan，以及WinRAR，以进行就地取材攻击（Living-off-the-Land，LotL）。利用这类隐蔽手法，使Palmerworm得以在目标企业网络潜伏许久。例如受害的台湾媒体公司自去年8月遭到植入恶意程式，直到今年9月才被发现。而台湾金融服务业的受害期间，则从去年8月至今年3月初。详全文
图片来源：赛门铁克
＃APT攻击
锁定公部门的APT骇客组织XDSpy暗中活动长达9年
资安业者ESET揭露名为XDSpy的骇客集团，宣称它是个未曾留下记录的APT组织，秘密运作长达9年之久，该组织从2011年起开始渗透东欧与巴尔干半岛的-机关，也有部分企业受害。
根据ESET的分析，此骇客组织主要的攻击手法为鱼叉式网钓邮件，不过，他们于今年6月开始滥用IE漏洞CVE-2020-0968，此漏洞微软在今年4月已经修补。关于XDSpy锁定此漏洞的原因，研究人员认为是坊间有关细节不多，公部门可能疏于防范而有机可趁。详全文
＃勒索软件攻击
大型船运业者CMA CGM遭Ragnar Locker攻击
总部设在法国的全球第四大货柜船运业者CMA CGM，传出遭到骇客入侵。根据船务新闻网站劳埃德船舶日报（Lloyd’s List）报导，CMA CGM是勒索软件Ragnar Locker的受害者。
CMA CGM于9月28日坦承遭受攻击，他们于声明中指出正在处理受影响的服务器，并中断应用程序的外部存取，以免恶意程式持续扩散。劳埃德船舶日报指出，从骇客留下的讯息来看，他们限期CMA CGM于2天内付赎金，但没有提及赎金金额。详全文
图片来源：劳埃德船舶日报
＃勒索软件攻击
瑞士钟表公司Swatch传出遭骇客入侵
知名钟表业者近期也成为勒索软件攻击的目标，旗下拥有10多个手表品牌的Swatch集团，向资安新闻网站Bleeping Computer证实，骇客攻击该公司部分IT系统，迫使他们关闭某些系统以防攻击范围扩散。不过，Swatch并未透露进一步细节，只有表示部分营运因受影响的系统关闭，而受到影响。Bleeping Computer根据Swatch提供的声明，认为该公司可能是遭到勒索软件攻击。详全文
＃漏洞攻击
伊朗骇客正利用Zerologon漏洞发动攻击
存在于Windows服务器DNS服务的Zerologon漏洞，先前受到美国当局的高度重视，微软也于9月底揭露发现漏洞已经遭到滥用，然而发动攻击的骇客身份为何？该公司于10月6日指出，伊朗骇客组织Mercury自2周前，就开始将Zerologon运用于实际攻击行动。详全文
＃钓鱼邮件攻击
研究人员揭露以回信型式让受害者上当的钓鱼邮件手法
电子邮件钓鱼攻击事件频繁，许多使用者可能都有基本的资安意识而不去打开来路不明的信件，然而，最近资安研究员Craig Hays揭露一种新的手法，攻击者利用回信的型式来发送钓鱼邮件，由于此种信件的寄件人与收件人，都是受害者近期联络的对象，再加上使用了以Re:为开头的主旨，收到信的人不太可能察觉有异。Craig Hays呼吁，使用者账号应采用多因素验证机制，来防范用户账号资讯被骗走。详全文
＃漏洞攻击 ＃VPN
WSL2网络流量于部分情况会绕过VPN，恐造成隐私泄露
VPN业者Mullvad接获通报，指出在Windows操作系统提供执行Linux环境的WSL2（Windows Subsystem for Linux 2），Linux用户端存取互联网时，会绕过主机端的VPN通道，直接连接网络。该公司指出，这个现象是因为在Linux用户端使用Hyper-V虚拟网络卡存取网络，流量不会经过主机防火墙，因此，同样使用Hyper-V虚拟网络卡存取网络的用户端，像是Windows提供的沙箱或是Docker容器，都可能存在类似的资料泄漏风险。基于上述因素，该公司测试其他VPN业者的用户端软件，也出现相同的情况。详全文
＃网络攻击
Podcast平台声浪部分频道遭到攻击
在9月29日晚间，台湾网络广播（Podcast）平台声浪（SoundOn）遭到网络攻击，骇客针对4个高流量的频道下手，导致用户无法收听，相关的资讯字段亦被窜改。该公司于30日下午发出声明，表示遭受攻击的当下即进行处理，事件发生数小时内节目资料陆续恢复完毕，他们也重新检查系统安全性，以防后续播客的权益受到影响。详全文
＃勒索软件攻击 ＃NAS
勒索软件AgeLocker锁定威联通NAS发动攻击
台湾网络储存装置（NAS）厂商威联通（QNAP），旗下的NAS设备传出遭到勒索软件AgeLocker锁定，威联通于9月25日发出安全性公告，呼吁用户升级QTS到4.4.1版来防范相关攻击。
最早揭露此波攻击行动的是资安新闻网站Bleeping Computer，根据报导，AgeLocker自8月底开始锁定该厂牌NAS发动攻击，并将系统里的GPG档案与备份资料加密，以要求受害者使用比特币支付赎金。至于AgeLocker如何入侵这些NAS装置？根据威联通的安全公告，很可能是针对旧版Photo Station线上相簿应用程序而来。详全文
图片来源：威联通
