资安一周第151期：乌克兰警方联手美韩，打击Clop勒索软件骇客

6/17-6/23 一定要看的资安新闻

 

＃勒索软件骇客

乌克兰警方逮捕6名涉及操作Clop勒索软件的嫌犯

乌克兰-在6月16日宣布，与国际刑警组织（Interpol）、韩国及美国的执法机关合作，破获了Clop勒索软件集团，逮捕并起诉6名涉嫌参与Clop勒索软件操作的嫌犯，关闭了Clop用来散布病毒及勒索的基础设施，也扣押了这些嫌犯的资产。

根据金融时报的分析，这应该是史上首个针对勒索软件集团大规模展开的逮捕行动，将对部分国家造成压力，例如被视为勒索集团中心的俄罗斯。详全文

图片来源：乌克兰警察局

 

＃SSL VPN  ＃漏洞攻击

韩国核子研究室被北朝鲜骇客从VPN漏洞骇入

韩国原子能源研究所（KAERI）于6月18日发出公告，骇客于5月14日透过VPN系统的漏洞入侵，该单位到了5月31日才发现，并切断异常连线与进行调查。

结果发现，有不明人士从13个外部IP地址连线，并滥用VPN系统的漏洞存取其内部网络。KAERI指出，其中一个IP地址与北朝鲜网络间谍组织KimsukyAPT有关，除此之外并未透露进一步的讯息，例如该单位使用的VPN厂牌、漏洞CVE编号，或者是否出现文件遭到存取的现象。详全文

 

＃资料外泄  ＃医疗产业

美国健康照护商外泄逾10亿笔营运资料

网站架设资讯汇整平台Website Planet与资安研究人员Jeremiah Fowler联手，于6月16日指出，他们在3月21日，发现包含约11.5亿笔资料的数据库，且未设密码保护。经过调查，证实此数据库的所有者，是美国大型健康照护集团CVS Health。经研究人员通报后，该集团随即关闭公开存取的管道。

研究人员指出，外泄的档案共有204 GB，可让人清楚了解该集团的组态设定、资料储存地点，以及后端日志服务运作状态。不过，研究人员并未说明这些资料建立的时间点为何。详全文

图片来源：WebsitePlanet

 

＃漏洞揭露  ＃医疗器材

Zoll心脏电击器管理软件存在重大漏洞，攻击者可上传Excel档案执行恶意指令

美国-于6月10日提出警告，医疗设备商Zoll的心脏急救设备存在6项安全漏洞，可能导致骇客能用来远端执行指令。这些漏洞与该厂牌的体外除颤器（Defibrillator）有关，出现于其管理设备的仪表板软件。

这些漏洞中，又以CVE-2021-27489最严重，可透过上传特定Excel档案触发，CVSS风险层级高达9.9分。Zoll发布2.2版管理软件修补上述漏洞。详全文

 

＃漏洞揭露  ＃行动装置应用程序

Peloton健身App漏洞恐使骇客接管装置

防毒厂商McAfee于6月15日揭露，健身器材商派乐腾（Peloton）的健身器应用程序存在漏洞，攻击者一旦滥用，有可能得以注入恶意程式来接管整台设备。

对此，Peloton公司表示，攻击者必须要实际接触到产品才能滥用上述漏洞。在接获通知后，该公司已经于6月初修补漏洞。详全文

 

＃供应链攻击

是谁发动夜神模拟器供应链攻击？ESET揭露幕后的骇客组织身份

针对锁定知名Android模拟器夜神模拟器（NoxPlayer）的供应链攻击行动，ESET揭露他们最新的调查结果，并指出发动攻击的骇客组织名为Gelsemium，该组织也可能曾使用OwlProxy和Chrommme等恶意软件。详全文

 

＃BEC  ＃钓鱼邮件攻击

BEC诈骗信件攻击锁定Microsoft 365用户而来

微软于6月14日对Microsoft 365用户提出警告，表明他们近期发现锁定自家用户的大规模电子邮件诈骗（BEC）攻击行动，攻击者为长期隐匿行动，运用外部多个IP地址和不同时间点发送信件，并设定多笔和公司网域名称相仿的DNS记录。此外，为了绕过多因素验证机制，攻击者亦采用旧式的邮件通讯协定，如IMAP和POP3。详全文

图片来源：微软

 

＃漏洞修补

VMware重大漏洞仍有数千台系统尚未修补

重大漏洞CVE-2021-21985甫于5月底获得修补，但事隔不到2周就被用于攻击行动。而根据资安公司TrustWave的调查，仍有5,271台尚未修补的vCenter服务器曝露在网络上，且有5,076台仍开放443埠，TrustWave呼吁用户应尽速修补。详全文

 

＃物联网装置  ＃开发安全

物联智慧SDK含严重漏洞，恐遭第三方窃听

美国网络安全暨基础架构安全署（CISA）于6月15日发出警告，台湾物联网云端服务业者“物联智慧（Throughtek，TUTK）”，所开发的SDK，含有CVE-2021-32934漏洞，若遭成功利用，将允许未经授权的第三方存取机密资料，例如监视器的声音或影片，CVSS 风险评分高达9.1。

对此，物联智慧指出，他们已在2018年自行发现相关漏洞，并推出3.1.10版SDK予以修补。但CISA在2021年4月通报物联智慧，原因是有资安顾问公司发现，一些网络监控摄影机存在上述漏洞，且这些设备仍使用较旧版本的物联智慧SDK，才使得CVE-2021-32934被公布。详全文

 

＃隐私保护

警方利用实联制简讯资料追踪嫌犯行踨惹争议

行政院推出简讯实联制时曾保证仅作为疫调使用，且保留28天即删除资料，近日却有法官当吹哨者，指出简讯实联制恐遭警方滥用，用于办案以追踪嫌犯的行踪。

针对上述爆料，NCC表示，警方确实可依通讯保障及监察法规定，得以监听特定对象的所有通讯内容，包括可取得发送到1922的简讯资料。但为避免产生误会，内政部已要求警政机关，基于通讯监察取得实联制简讯资料，应主动排除使用。详全文

 

 

更多资安动态

●Google推动软件供应链安全框架SLSA
●美国传出拟对遭勒索软件攻击企业减免税赋
●欧洲电信标准协会坦承GPRS加密机制存在缺陷