Security News Feed

      iTnews – Security iTnews

      iThome 新聞 iThome 最新新聞

      資安新聞 – TWCERT/CC台灣電腦網路危機處理暨協調中心|企業資安通報協處|資安情資分享|漏洞通報|資安聯盟|資安電子報 TWCERT/CC台灣電腦網路危機處理暨協調中心|企業資安通報協處|資安情資分享|漏洞通報|資安聯盟|資安電子報 RSS channel.

      • Venom Spider利用 MaaS平台部署的新型惡意程式
        on December 17, 2024 at 07:09

        提供各種MaaS工具聞名的駭客組織Venom Spider (又稱Golden Chickens) 在2024年8月至10月期間，發現兩個惡意程式RevC2 和 Venom Loader使用其 MaaS工具進行部署。根據Zscaler的研究報告指出，這可能是新一代惡意程式家族的早期版本，未來有可能升級為更複雜的攻擊行動。 MaaS (Malware-as-a-Service) 是一種將惡意程式商品化的模式，駭客無需自行編寫或編譯惡意程式，而是直接訂購其他駭客開發的攻擊工具包，這種營運模式大幅降低發動網路攻擊的門檻，擴大網路安全威脅的範圍。 第一次的攻擊行動在2024年8月至9月，攻擊手法由VenomLNK檔案開始，此LNK檔包含一個混淆的批次(BAT)腳本，當腳本啟動後，會執行一張含有API檔案內容的圖片，利用該API文件作為誘餌，傳遞並執行能夠竊取敏感資料的RevC2後門程式，RevC2再透過WebSocket與C2進行通訊，其C2位置為ws://208.85.17[.]52:8082。 ThreatLabz開發模擬RevC2的Python腳本，供使用者測試設備是否有相關受害跡象，該腳本已上傳至ThreatLabz的Github儲存庫中，網址為：hxxps://github.com/ThreatLabz/tools/tree/main/revc2。 圖1:以RevC2作為有效負載的攻擊鏈。圖片來源：Zscaler Blog Zscaler ThreatLabz 研究人員觀察到第二次的攻擊行動則在2024年9月至10月期間進行，其攻擊手法與第一次相似，但此次攻擊以虛擬貨幣交易為誘餌，傳遞惡意程式Venom Loader並載入以JavaScript編譯的後門程式More_eggs lite，此後門程式含有遠端程式碼執行的功能。 圖2:以More_eggs lite作為有效負載的攻擊鏈。圖片來源：Zscaler Blog 利用MaaS所提供的工具進行網路攻擊日益增多，技術也不斷進化，民眾和企業應提高警覺，防範惡意程式、定期檢查系統安全，對抗網路威脅。

      • 2023年最常被利用的漏洞
        on December 5, 2024 at 01:55

        美國網路安全暨基礎架構管理署(Cybersecurity and Infrastructure Security Agency , CISA)與多個國際資安組織於11月12日共同發布資安公告，彙整2023年常見駭客利用47個漏洞資訊與修補方式。 2023年最常利用的47個漏洞涉及廠商共有28家(綜整如表1)。其中以Microsoft因其中5個漏洞被頻繁利用，成為受影響最嚴重的公司之一；2023年在這些漏洞中，影響最廣的前四大漏洞分別來自 Citrix 和 Cisco。其中，Citrix 的兩個漏洞 CVE-2023-3519 和 CVE-2023-4966，以及 Cisco 的兩個漏洞 CVE-2023-20198 和 CVE-2023-20273，成為攻擊者的主要目標，對全球資訊安全環境帶來重大挑戰。 Citrix 旗下產品NetScaler Gateway是一款提供使用者遠端訪問應用程式和數據的控制平台；NetScaler ADC是負責平台交付和負載平衡解決方案。2023年最常被利用的前二名漏洞CVE-2023-3519 (CVSS 3.x：9.8) 和 CVE-2023-4966 (CVSS 3.x：9.4)，均影響Citrix NetScaler Gateway和NetScaler ADC。CVE-2023-3519 允許未經身分驗證的使用者透過發送HTTP GET請求，導致NSPPE程序發生緩衝區溢出；而CVE-2023-4966則可能導致Session Token洩漏。 第三名與第四名則是影響Cisco為網路裝置所開發的維護作業系統Cisco IOS XE漏洞，分別為CVE-2023-20198 (CVSS 3.x：10.0) 和 CVE-2023-20273 (CVSS 3.x：7.2)，這兩個漏洞皆存在於Cisco IOS XE的Web UI，CVE-2023-20198允許未經授權的使用者獲得最初訪問權限，並建立本地使用者帳號和密碼，從而以一般使用者身分登入系統。CVE-2023-20273是一個命令注入漏洞，同樣存在於Cisco IOS XE的Web UI，與CVE-2023-20198相關，駭客可利用最高權限將惡意程式寫入檔案系統，進而控制整個系統。 建議企業與使用者儘速檢視系統，確保所有相關漏洞已被適當修補，以降低風險，更多漏洞資訊可至CISA官方網站查看2023 Top Routinely Exploited Vulnerabilities。 表1、2023年最常利用的47個漏洞 項次 廠商 CVE編號 1 Apache CVE-2021- 44228 2 Apple CVE-2023-41064、CVE-2023-41061 3 Atlassian CVE-2023-22515、CVE-2023-22518、CVE-2021-26084、CVE-2022-26134 4 Barracuda Networks CVE-2023-2868 5 Cisco CVE-2023-20198、CVE-2023-20273、CVE-2017-6742 6 Citrix CVE-2023-3519、CVE-2023-4966 7 Dahua CVE-2021-33044、CVE-2021-33045     8 F5  CVE-2021-22986 9 FatPipe  CVE-2021-27860 10 Fortinet CVE-2023-27997、CVE-2018-13379 11 Fortra  CVE-2023-0669 12 GitLab  CVE-2021-22205 13 Ivanti  CVE-2023-35078、CVE-2023-35081、CVE-2019-11510 14 JetBrains CVE-2023-42793 15 Juniper CVE-2023-36844、CVE-2023-36845、CVE-2023-36846、CVE-2023-36847 16 Microsoft CVE-2020-1472、CVE-2023-23397、CVE-2019-0708、CVE-2022-41040、CVE-2021-34473 17 Netwrix  CVE-2022-31199 18 Novi CVE-2023-29492 19 ownCloud CVE-2023-49103 20 PaperCut CVE-2023-27350 21 Progress CVE-2023-34362 22 Progress Telerik CVE-2019-18935 23 RARLAB CVE-2023-38831 24 Red Hat  CVE-2021-4034 25 Sophos  CVE-2022-3236 26 Unitronics  CVE-2023-6448  27 Zoho CVE-2022-47966、CVE-2021-40539 28 N/A CVE-2023-44487

      • 新型惡意軟體SteelFox偽裝破解工具竊取使用者敏感資料
        on November 20, 2024 at 02:12

        SteelFox是一款新型的惡意軟體，主要透過論壇貼文、Torrent追蹤器與部落格等平台進行傳播。該惡意軟體偽裝成知名流行軟體的破解工具，包括Foxit PDF Editor、AutoCAD和JetBrains等，旨在竊取使用者的信用卡資料、瀏覽紀錄及其他敏感資料，甚至利用使用者的設備進行加密貨幣挖礦。 卡巴斯基的研究人員指出，SteelFox並不針對個人或組織，而是對全球無差別進行大規模攻擊，目前資安產品成功檢測並阻止超過11,000次的攻擊，受害者主要分布位於巴西、中國、俄羅斯、墨西哥等國家。該惡意軟體最初透過論壇或Torrent追蹤器上散布含有惡意軟體的破解工具下載連結，誘導使用者下載安裝。當使用者啟動破解工具時，SteelFox安裝過程要求授予管理者權限，並在系統中植入惡意程式，以便進一步發起後續攻擊。 圖1：SteelFox利用論壇進行傳播。圖片來源：SECURELIST SteelFox使用AES-128加密技術避開嵌入式PE解析器進行偵測，隨後採用AES-NI指令集簡化加密過程。接著建立新的系統服務，使其能透過重新啟動，讓惡意程式在系統中保持運作狀態。當SteelFox成功控制受害者主機，會進一步在系統檔案中植入更多惡意軟體，且將自己註冊為Windows服務，使得檢測和刪除惡意檔案變得更加困難。 當取得管理者權限後，將會創建在內部運行的WinRing0.sys服務，此驅動程式存在CVE-2020-14979 與CVE-2021-41285 等漏洞，攻擊者可利用前述漏洞將權限提升至NT/SYSTEM等級，NT/SYSTEM權限比管理員權限更強大，允許攻擊者不受限制存取訪問系統任何資源，此驅動程式也是XMRig加密貨幣挖礦的一部分，使得攻擊者能夠使用受害者設備進行加密貨幣挖礦。 此外，SteelFox設計複雜的自我驗證機制，以確保只在合法的服務環境中執行，以避免被防毒軟體檢測。 SteelFox顯著的特點是安全通訊模型，一旦嵌入系統，惡意軟體自動透過動態分配IP位置和C2伺服器進行加密通訊，此連線採用SSL pinning 和 TLS v1.3，有效防止數據在傳輸過程中被攔截。當連線建立後，攻擊者開始收集受害者的敏感資料，如cookie、信用卡資料和瀏覽紀錄等，並將這些資料組合成JSON格式後發送至C2伺服器。 圖2：SteelFox的連接圖。圖片來源：SECURELIST 為了降低此類惡意活動，建議使用者從官方網站下載正版軟體，並對於任何免費破解軟體保持高度警惕。避免下載來路不明的軟體或破解工具，並定期更新作業系統及防毒軟體，以提高應對各類惡意程式的防範能力。  

      • CryptoAITools：針對加密錢包的惡意軟體
        on November 5, 2024 at 02:59

        Checkmarx安全研究團隊近期發現一個名為CryptoAITools新的惡意Python套件，這個套件偽裝成加密貨幣交易工具，但實際上具備竊取敏感資料與受害者加密錢包資產的功能。CryptoAITools透過Python Package Index (PyPI)和GitHub儲存庫進行擴散，此套件從PyPI下架之前，已經累積下載超過1300次。 Checkmarx安全研究團隊針對CryptoAITools的主要特點和發現包含： 該惡意軟體採用多種社交工程策略進行散播，包括在PyPI上最初的惡意軟體套件「cryptoaitools」、偽造的Github儲存庫則是名為「Meme-Token-Hunter-Bot」、模仿合法的加密貨幣交易機器人的虛假網站(coinsw[.]app)、透過Telegram與受害者互動。 使用者安裝惡意軟體後，CryptoAITools利用套件中的「__init__.py」檔，可確認目標是Windows或macOS作業系統，以執行相應版本的惡意軟體。 圖1 CryptoAITools辨別受害者的作業系統，圖片來源於Checkmarx CryptoAITools將圖形使用者介面(GUI)作為社交工程策略的一部分，旨在分散受害者的注意力，同時收集有關加密貨幣的敏感資訊，包含錢包資料、瀏覽器資料及敏感系統檔案等。 圖2 CryptoAITools的使用者介面，圖片來源於Checkmarx 該套件初始感染階段，透過腳本從虛假網站下載其他惡意元件，執行額外的有效負載，從而啟動多階段感染過程。惡意軟體精心設計具有說服力的加密貨幣交易機器人服務網站，搭配虛假用戶評論和訂閱者數量，試圖增加可信度。 圖3 CryptoAITools的虛假網站，圖片來源於Checkmarx 呼籲使用者在下載和安裝任何第三方套件時特別小心，應仔細檢查來源以及可信度，建議使用官方渠道，同時定期更新安全軟體，強化防護措施。

      • 2024台灣資安通報應變年會：預見資安威脅 賦能通報聯防
        on November 1, 2024 at 08:42

        為了協助資通安全管理法納管對象以外的民間企業提升資安防護能力，數位發展部已責成國家資通安全研究院，自2024年1月起接手營運台灣電腦網路危機處理暨協調中心（TWCERT/CC）。該中心將提供全年24小時不間斷的資安事件通報、情資分享、應變協調、國際合作及意識提升等多項企業資安服務，旨在強化台灣整體的資安防護網。 TWCERT/CC主辦的第八屆台灣資安通報應變年會將於11月22日盛大舉行，主題為「預見資安威脅 賦能通報聯防」。此次年會將邀集國內各資安事件協處單位、企業代表及學術界專家，共同分享年度資安成果與最新趨勢。與會者將有機會深入探討以下重要議題： 資安聯防最佳實踐：分享各界在面對資安威脅時的成功經驗與策略。 資安威脅趨勢發展：分析當前及未來的資安威脅，幫助企業預見潛在風險。 實務經驗分享：邀請業界專家分享實際案例，提供參與者具體的應對建議。 TWCER/CC期望在本次年會提升企業人員的資安意識，並強化台灣企業在面對各類資安挑戰時的韌性。 本年會將開放實體與線上參與，為確保座位有限，實體參加者將優先開放予聯盟會員。 專業人士可透過以下連結報名參加：https://activity.twcert.org.tw/。 歡迎各界專業人士踴躍報名，共同參與這場提升資安意識的重要盛會。 隨著數位化進程的加速，企業面臨的資安威脅日益嚴峻。透過此次年會，我們希望能夠促進各界對於資安議題的關注與合作，共同打造更安全的數位環境。

      • 勒索軟體的進化：Qilin.B增強加密技術和防禦規避
        on October 30, 2024 at 01:39

        資安公司Halcyon近日追蹤到一種名為Qilin.B的進階勒索軟體版本，該版本是自2022年7月首次出現的Qilin（又名Agenda）勒索軟體的最新變種。Qilin.B專門針對Windows和Linux系統進行攻擊，並透過竊取資料實施雙重勒索。 根據Halcyon的報告，Qilin.B在加密複雜性和規避技術上有顯著提升。此版本的勒索軟體使用AES-256-CTR加密算法，適用於支持AESNI的系統，同時對於不支持AESNI的系統則採用Chacha20加密。此外，為了保護加密密鑰，Qilin.B還使用了RSA-4096與OAEP填充技術，使得在沒有攻擊者私鑰或捕獲的種子值(Seed)的情況下，幾乎無法解密文件。 以下是Qilin.B的特點： Qilin.B結合AES-256-CTR加密技術，支持AESNI系統，同時對其他系統保留Chacha20，並使用RSA-4096和OAEP保護加密密鑰，使得沒有私鑰的情況下無法解密文件。 Qilin.B使用Rust編譯，能終止或停用安全工具、備份和虛擬化相關的服務，如Veeam、VSS、SQL、Sophos、Acronisagent和SAP。 持續清除Windows事件日誌以阻礙取證分析，導致檢測和逆向工程分析變得更加困難。 Qilin.B根據系統支援不同的加密技術，如AES-256-CTR或Chacha20，將一個可配置字串附加到加密檔案中，該字串同時作為識別和追蹤的company_id。當受害者遭受攻擊時，Qilin.B會生成名為「README-RECOVER-[company_id].txt」的勒索文件，裡面包含付款詳情和解密指示。 Qilin最初是以Golang編寫，但後來轉向以抵禦逆向工程能力而聞名的Rust編程語言。這一轉變使得Qilin.B在檢測和分析上變得更加困難。該勒索軟體還具備追蹤和識別特定目標的能力，並且能夠有效地終止安全工具相關服務、清除Windows事件日誌，甚至在完成任務後自我刪除，以減少取證痕跡。 Halcyon強調，Qilin.B的出現標誌著勒索軟體家族的進一步演化，其增強的加密機制和有效的防禦規避策略使其成為一個特別危險的威脅。隨著這類攻擊手法的不斷進化，各行各業需要提高警惕，加強資安防護措施，以防止成為下一個受害者。 由本文的案例可知，勒索軟體組織不斷演變策略，攻擊手法也日益複雜，我們需要保持警惕、密切觀察趨勢和攻擊手法，以有效應對和防範勒索軟體的威脅。

      • Gophish被利用成為網路釣魚攻擊工具
        on October 29, 2024 at 02:08

        思科Talos的研究人員近日發現，未知的威脅者正在利用Gophish框架發起網路釣魚攻擊，並散播兩種惡意軟體：DarkCrystal RAT（簡稱DCRat）以及一種尚未記錄的遠端存取木馬PowerRAT。 Gophish是一個開源的釣魚攻擊框架，旨在幫助組織測試其防禦釣魚攻擊的能力，該工具提供簡便的電子郵件模板，使用者可以輕鬆發送和追蹤電子郵件活動。 根據研究，此一攻擊活動主要透過兩種媒介展開：一是基於惡意的Word文檔，另一則是包含惡意JavaScript的HTML文件。受害者在攻擊過程中需要主動介入，以便在其設備上下載並啟用PowerRAT或DCRat，從而進一步威脅其資訊安全。 此次攻擊活動的主要特徵包括： 攻擊者可存取受害者的遠端控制，執行任意命令、管理文件和監視使用者行為。 攻擊者可以在受害者的設備上，下載並執行其他檔案。 透過竊取插件模組，RAT可以從受害者電腦中竊取憑證、文件及財務資訊，並截取螢幕截圖與記錄鍵盤操作。 RAT會在ProgramData、Pictures、Saved Games 和Windows 開始功能表等資料夾中建立多個偽裝為合法Windows執行檔案的二進位檔案，如csrss.exe、dllhost.exe、taskhostw.exe 和winlogon.exe。也會使用隨機檔案名稱和”.log” 副檔名來隱藏自己的存在。 圖1. 釣魚攻擊總覽，圖片來源於Cisco Talos研究報告 PowerRAT的攻擊手法流程如圖2所示，當受害者開啟惡意檔案並啟用巨集時，惡意巨集會擷取HTML應用程式檔案和PowerShell載入程式，HTML應用程式隨後刪除負責執行PowerShell載入程式的 JavaScript 檔案，並利用合法Windows二進位檔案執行。該惡意檔案可以進行系統偵查、收集驅動器序列號，並連接至位於俄羅斯的遠端伺服器以接收進一步指令。 圖2. 基於Maldoc感染產生的PowerRAT，圖片來源於Cisco Talos研究報告 此外，攻擊者在此次活動還包含DCRAT的攻擊手法流程如圖3所示，使用嵌入惡意JavaScript的HTML文件，透過釣魚郵件發送給受害者，當受害者點擊釣魚郵件中的鏈接時，包含惡意JavaScript的遠端HTML文件，會在受害者的電腦瀏覽器打開，並執行多步驟的過程，最終下載並執行DCRAT，其中JavaScript中包含惡意SFX RAR可執行的7-Zip壓縮檔。 圖3. 基於HTML感染產生的DCRAT，圖片來源於Cisco Talos研究報告 使用者在處理不明來源的電子郵件時，應保持高度警惕，切勿隨意點擊來路不明的連結或是附件，防止成為這些複雜攻擊的受害者，企業和個人也應加強對釣魚攻擊的防範措施，並保持對新興威脅的關注。

      • 隱形戰場：TIDRONE鎖定台灣軍事與衛星產業深度滲透
        on October 16, 2024 at 06:47

        TIDRONE是趨勢科技於2024年發現並命名的APT組織，該組織針對台灣的軍事和衛星產業發動精密的網絡攻擊，特別集中於無人機製造商。趨勢科技目前推測，此APT組織可能與中國有關，並擁有兩個專屬惡意程式，CXCLNT主要用於竊取受害者的電腦資訊，而CLNTEND則是一種遠端存取木馬，支援五種協定以與惡意中繼站進行溝通，協定分別為TCP、HTTP、HTTPS、TLS和SMB。 TIDRONE主要的入侵方式為以下兩種： 利用UltraVNC遠端桌面存取軟體下載惡意程式。 滲透ERP系統進行攻擊。(趨勢科技的分析報告指出，受害者均使用相同的 ERP 系統) 程式執行的流程與以往的中國APT組織相似，均透過執行器(Launcher)進行DDL側載(Dll-SideLoading)的方式，載入惡意載入器(Loader)。接著，解密已加密的惡意負載(payload)，獲取最終的惡意程式。 趨勢科技透過VirusTotal分析上傳的惡意程式，發現受害地區遍及韓國、加拿大及台灣，如圖 1 所示。這顯示攻擊者針對的目標地區各不相同，因此各國應對此威脅保持警惕。 圖1：圖為 2024 年從 VT 獲取的受害者來源整理，取自趨勢科技文章   趨勢科技表示，針對攻擊者使用的惡意中繼站名稱，觀察到該組織傾向於利用正規公司的名稱來誤導使用者點擊，例如此次攻擊使用的惡意中繼站包括symantecsecuritycloud[.]com、microsoftsvc[.]com 和 windowswns[.]com，這三個名稱均仿照常見的公司名 Symantec, microsoft, windows。   建議企業和使用者採取以下的措施進行防護： 從可信賴的來源端下載軟體。 對社交工程保持高度警惕。 安裝防毒軟體並保持系統更新至最新版。

      • 首個透過聊天機器人生成的惡意程式在野外散播
        on October 15, 2024 at 07:19

        HP Wolf Security 的資安研究人員在今年6月的事件調查中，揭露了一項新興的攻擊手法。調查顯示，駭客運用人工智慧聊天機器人生成 VBScript 和 JavaScript 的惡意腳本，並通過這些腳本成功傳播名為 AsyncRAT 的惡意程式。此次調查的起始點是一封來自法國的可疑電子郵件，該郵件引起了資安人員的高度關注。 AsyncRAT 是一種開源的遠端存取工具，可透過安全加密連線遠端監視，並控制他人的電腦，由於擁有鍵盤紀錄器、遠端桌面控制等多種對受害者電腦造成損害的功能，因此經常被利用做為攻擊鏈的最後環節。該工具可以透過各種方式傳播，例如魚叉式網路釣魚、惡意廣告、漏洞利用工具包等。 圖 1 為此次事件的攻擊鏈，首先，駭客透過釣魚信件夾帶一個HTML檔案，當受害者開啟HTML檔案時，即觸發由VBScript寫的惡意腳本，該腳本將惡意程式相關的資料寫入註冊表，並在受駭者的資料夾中創建一個JavaScript腳本。接者，透過工作排程實現持久化並執行JavaScript惡意腳本。JavaScript 腳本會讀取先前寫入註冊表的資料，以執行Powershell腳本內容，最後，Powershell腳本會解碼在註冊表中的資料，獲取最終駭客想要執行的惡意程式AsyncRAT。 圖1: GenAI 產生惡意程式散播 AsyncRAT，圖片取自HP Wolf Security研究報告 資安研究人員認為此次事件中，圖1的VBScript和JavaScript惡意腳本可能是透過AI生成。一般來說，惡意程式會儘可能混淆使分析更加困難，但是，這次事件中的VBScript和JavaScript惡意腳本，不僅沒有進行混淆，還包含大量的註解。圖2為此次事件的VBScript惡意腳本內容，大量的註解似乎是為了要讓AI 聊天機器人能夠理解其需求。 圖2: VBScript 惡意腳本內容，圖片取自HP Wolf Security研究報告 隨著人工智慧的發展，人們普遍認為駭客可以利用AI撰寫惡意程式，但目前幾乎沒有實質證據顯示由AI生成的惡意程式在實際環境中散播。然而，這次的駭客攻擊提供充分的證據，展示人工智慧如何加速駭客進行惡意攻擊，降低駭客感染電腦需要的技術門檻。 從防禦的角度而言，攻擊者開始使用AI開發惡意程式，企業應該將AI整合至防禦體系，以識別由AI生成的威脅，同時簡化防禦人員的工作負擔，這樣不僅可以提升企業的整體安全性，還能更有效應對不斷演變的攻擊手法。

      • APCERT資安年會：攜手共創安全未來
        on October 4, 2024 at 07:17

        亞太區電腦事件協調組織(APCERT)將於2024年11月5日至7日在台北萬豪酒店舉辦年度重要活動——「APCERT 2024會員年會暨國際資安研討會」。此次年會由台灣電腦網路危機處理暨協調中心(TWCERT/CC)主辦，主題為「Power of Together: More Than the Sum of AP CERTs/CSIRTs」。 本屆年會將分為兩部分：11月5日至6日為APCERT會員年會及閉門會議，11月7日則與全球最大的資安應變與安全組織Forum for Incident Response and Security Teams共同舉辦公開研討會。該公開研討會將針對多個資安主題進行深入探討，包括資安威脅趨勢、威脅情報與分析、新興技術、治理與管理，以及協作模式等。 此次活動旨在促進亞太地區資安專家的交流，並增強各成員間的合作能力，以更有效地應對日益嚴峻的網路安全威脅。APCERT自2003年成立以來，一直致力於建立亞太地區資安專家互信社群，並在面對重大資安事件時提供跨國協作應變的支持。 歡迎各界專業人士參加，共同分享最新的資安洞見與技術經驗，攜手提升整體的資安防護能力。 APCERT 2024會議及報名資訊請見：https://www.apcert2024con.org.tw

      香港網絡安全事故協調中心資安快訊 — 警報及博錄頻道 資訊保安的重要新聞

      • 釣魚警報 – 提防要求提供個人資訊的假冒郵政網站
        on December 20, 2024 at 01:00

        解決方案 HKCERT 呼籲公眾提高網絡安全意識，並採取以下措施防範假冒網站：   檢查網址：釣魚網站的網址通常與真實網站相似，但會有細微的差別，如拼寫錯誤或使用不同的域名。用戶應仔細檢查網址，確保其正確無誤。 注意安全證書：雖然釣魚網站也可以使用 HTTPS 協定，但用戶仍應檢查瀏覽器地址欄中的安全鎖標誌，並確保證書信息與網站匹配 留意可疑內容：釣魚網站可能會包含拼寫錯誤、語法錯誤或不一致的設計元素。這些都是潛在的警示信號。 使用反釣魚工具：可利用「CyberDefender 守網者」的「防騙視伏器」，通過檢查網址和IP地址等，來辨識詐騙及網絡陷阱,或者致電香港警務處反詐騙協調中心「防騙易18222」熱線向警方求助。 避免點擊不明連結：不要隨意點擊來自不明來源的連結，尤其是在電子郵件或社交媒體上收到的連結。 在裝置上啟用垃圾短訊攔截： 對於 Android 手機，前往「設定」 > 「垃圾短訊辨識」。 對於 IOS 手機，前往「設定」>「訊息」>「未知郵件和垃圾郵件」。 定期更新軟件：確保操作系統和應用程序保持最新，以防止已知漏洞被利用。 啟用多因素認證：為重要賬號啟用多因素認證，以增加額外的安全層。 教育和培訓：企業應定期為員工提供網絡安全培訓，提高他們的防範意識。 監控賬戶活動：定期檢查銀行賬戶和其他重要賬號的活動，及早發現可疑行為。 備份重要數據：定期備份重要數據，以防止因釣魚攻擊或其他網絡威脅造成的數據丟失。   企業或公眾如欲向HKCERT 報告與資訊保安相關的事故，可以填寫網上表格：https://www.hkcert.org/zh/incident-reporting 或致電24小時熱線：（852）8105 6060。如有其他疑問，歡迎發電郵至 hkcert@hkcert.org 與HKCERT聯絡。

      • Microsoft Edge 多個漏洞
        on December 20, 2024 at 01:00

        於 Microsoft Edge 發現多個漏洞。遠端攻擊者可利用這些漏洞，於目標系統觸發資料篡改、阻斷服務狀況及遠端執行任意程式… 影響 遠端執行程式碼 阻斷服務 篡改 受影響之系統或技術 Microsoft Edge Stable Channel 131.0.2903.112 之前的版本 Microsoft Edge Extended Stable Channel 130.0.2849.123 之前的版本 解決方案 在安裝軟體之前，請先瀏覽供應商之網站，以獲得更多詳細資料。 安裝軟件供應商提供的修補程式： 更新至 Microsoft Edge Stable Channel 131.0.2903.112 或之後的版本 更新至 Microsoft Edge Extended Stable Channel 130.0.2849.123 或之後版本

      • Fortinet FortiManager遠端執行程式碼漏洞
        on December 20, 2024 at 01:00

        於 Fortinet FortiManager發現一個漏洞。遠端攻擊者可利用此漏洞，於目標系統觸發遠端執行任意程式碼。     影響 遠端執行程式碼 受影響之系統或技術 FortiManager 7.6 的 7.6.0 版本 FortiManager 7.4 的 7.4.0 至 7.4.4 版本 FortiManager 7.2 的 7.2.3 至 7.2.7 版本 FortiManager 7.0 的 7.0.5 至 7.0.12 版本 FortiManager 6.4 的 6.4.10 至 6.4.14 版本 FortiManager Cloud 7.4 的 7.4.1 至 7.4.4 版本 FortiManager Cloud 7.2 的 7.2.1 至 7.2.7 版本 FortiManager Cloud 7.0 的 7.0.1 至 7.0.12 版本 解決方案 在安裝軟體之前，請先瀏覽供應商之網站，以獲得更多詳細資料。   安裝供應商提供的修補程式： https://www.fortiguard.com/psirt/FG-IR-24-425

      • Mozilla Thunderbird 多個漏洞
        on December 19, 2024 at 01:00

        於 Mozilla Thunderbird 發現多個漏洞。遠端攻擊者可利用這些漏洞，於目標系統觸發阻斷服務狀況、遠端執行任意程式碼、繞過… 影響 阻斷服務 遠端執行程式碼 繞過保安限制 篡改 受影響之系統或技術 以下版本之前的版本﹕   Thunderbird 115.18 Thunderbird 128.5.2 解決方案 在安裝軟體之前，請先瀏覽供應商之官方網站，以獲得更多詳細資料。 更新至版本:   Thunderbird 115.18 或之後的版本 Thunderbird 128.5.2 或之後的版本

      • Google Chrome 多個漏洞
        on December 19, 2024 at 01:00

        於 Google Chrome 發現多個漏洞。遠端攻擊者可利用這些漏洞，於目標系統觸發遠端執行任意程式碼、阻斷服務狀況及資料篡… 影響 遠端執行程式碼 阻斷服務 篡改 受影響之系統或技術 Google Chrome 131.0.6778.204 (Linux) 之前的版本 Google Chrome 131.0.6778.204/.205 (Mac) 之前的版本 Google Chrome 131.0.6778.204/.205 (Windows) 之前的版本 解決方案 在安裝軟體之前，請先瀏覽供應商之網站，以獲得更多詳細資料。 安裝軟件供應商提供的修補程式： 升級 131.0.6778.204 (Linux) 或之後的版本 升級 131.0.6778.204/.205 (Mac) 或之後的版本 升級 131.0.6778.204/.205 (Windows) 或之後的版本

      • Apache Tomcat 多個漏洞
        on December 18, 2024 at 03:00

        於 Apache Tomcat 發現多個漏洞，遠端攻擊者可利用這些漏洞，於目標系統觸發阻斷服務狀況及遠端執行任意程式碼。 … 影響 阻斷服務 遠端執行程式碼 受影響之系統或技術 Apache Tomcat 9.0.0.M1 至 9.0.97 版本 Apache Tomcat 10.1.0-M1 至 10.1.33 版本 Apache Tomcat 11.0.0-M1 至 11.0.1 版本   解決方案 在安裝軟體之前，請先瀏覽供應商之網站，以獲得更多詳細資料。   安裝供應商提供的修補程式：   Apache Tomcat 9.0.98 或之後版本 Apache Tomcat 10.1.34 或之後版本 Apache Tomcat 11.0.2 或之後版本  

      • F5 產品阻斷服務漏洞
        on December 17, 2024 at 01:00

        於 F5 產品發現一個漏洞。遠端攻擊者可利用這漏洞，於目標系統觸發阻斷服務狀況。   注意： 受影響之系統或技術暫… 影響 阻斷服務 受影響之系統或技術 BIG-IP Next SPK   1.7.0 – 1.9.2   BIG-IP Next CNF   1.1.0 – 1.3.3   解決方案 請先瀏覽供應商之網站，以獲得更多詳細資料。。   應用供應商提供的臨時處理方法： https://my.f5.com/manage/s/article/K000148969   臨時處理方法： 從以下臨時處理方法以減輕攻擊：   避免在自定義腳本中使用 Python 的 http.cookies 模組

      • [Security Blog] 在節慶期間採取網絡保安最佳實踐
        on December 16, 2024 at 16:00

        年關將至，大多數人開始計劃長假，與家人和 <h2>釣魚攻擊</h2> <p>大家不僅在網上購買節日禮物，還會預訂旅行行程，從互聯網上領取機票和酒店的優惠折扣。然而，網上活動的增加為黑客攻擊創造了機會。從黑客的角度來看，釣魚網站攻擊特別有吸引力，因為與其他類型的攻擊相比，釣魚網站所花費的成本和精力較少。用戶很容易受到釣魚網站的欺騙，黑客可以創建與官方認證賬號非常相似的線上群組，令用戶很難區分它們。 最近香港發生多次釣魚網站攻擊，黑客創建假冒群組，冒充 HKTVmall 等本地會員平台進行詐騙，通常會引誘用戶訪問偽造的 WhatsApp 連結，並提示他們輸入敏感信息。一旦用戶在這些虛假頁面上提供個人資料，黑客就可以從他們的帳戶中竊取敏感信息。</p> <p> </p> <p style="text-align: center;"><img alt="Hackers impersonate HKTVmall customer service to establish fake WhatsApp groups." class="respon-img" src="/preview/f/blog/913046/916427/500p500/Whatsapp%20fake%20link%20(3).jpg" style="width: 500px; height: 500px;" title="Hackers impersonate HKTVmall customer service to establish fake WhatsApp groups." /></p> <p style="text-align: center;">黑客冒充HKTVmall客服建立虛假的WhatsApp群組</p> <p style="text-align: center;"> </p> <p style="text-align: center;"><img alt="" class="respon-img" src="/preview/f/blog/913046/916427/800p529/Whatsapp%20fake%20link%20(1).png" style="width: 800px; height: 529px;" title="" /></p> <p style="text-align: center;">黑客利用虛假 WhatsApp 群組欺騙用戶點擊惡意連結 </p> <p> </p> <p>HKCERT亦刊登了「<a href="https://www.hkcert.org/tc/publications/all-out-anti-phishing" target="_blank">網絡釣魚 全城防禦</a>」專頁，向大家介紹更多有關釣魚攻擊以及如何防範此類攻擊的資訊。 公眾可以從這個專頁了解有關釣魚攻擊的訊息，包括攻擊技巧、預防、識別和處理可疑訊息的方式。</p> <p> </p> <p> </p> <h2>技術支援詐騙</h2> <p>大家可能會遇到令人震驚的保安警告的網站，表明用戶的設備面臨惡意軟件感染的風險。受害者經常被這些警報所欺騙，因為它們的界面看起來非常逼真且緊急，使得用戶很難與真實的保安通知區分。</p> <p> </p> <p>當大家撥打虛假的技術支援號碼時，黑客將誘騙他們安裝遠端存取軟件。這使得黑客能夠存取受害者的設備並竊取個人敏感資料。 HKCERT 最近發現技術支援詐騙案例有所增加，其中黑客創建虛假警報並仿冒技術支援服務，他們操縱用戶裝置，進行遠端存取，從而竊取用戶敏感信息。</p> <p> </p> <p>以下是最近發現的一個冒充微軟保安警報的技術支援詐騙網頁的範例：</p> <p> </p> <p style="text-align: center;"><img alt="" class="respon-img" src="/preview/f/blog/913046/916427/800p597/Whatsapp%20fake%20link%20(2).png" style="width: 800px; height: 597px;" /></p> <p style="text-align: center;">黑客在虛假的 Microsoft 技術支援詐騙連結上冒充合法的保安警報來欺騙使用者</p> <p> </p> <h2>保安最佳實踐</h2> <p>如要在數碼時代裡體驗安全的旅行和在購物時無憂無慮，大家應考慮採取以下保安最佳實踐。</p> <p> </p> <p>有關出外旅行時的保安最佳實踐：</p> <p> </p> <ol> <li>使用私人裝置去登入個人帳戶，避免使用公眾共享的裝置；</li> <li>連結到可信的Wi-Fi熱點，避免連接到保安設定較低的Wi-Fi熱點；</li> <li>檢查你的網上帳戶會否有任何可疑登入；</li> <li>在使用流動支付方式購物時加謹小心，在確認和進行付款前先核對收款人和金額；</li> <li>如需要瀏覽網頁或掃描QR Code，在輸入任何資訊前先驗證URL連結的真確性；</li> <li>不要點擊或打開使海外SIM卡接收的連結或附件，它們可能與釣魚攻擊相關；</li> <li>如有需要，只從官方網頁和應用程式平台中安裝應用程式；</li> <li>不要使用不明來歷的公衆充電插頭，以防受到「<a href="https://www.hkcert.org/tc/blog/beware-of-juice-jacking-when-charging-mobile-phones-at-public-charging-stations" target="_blank">Juice Jacking</a>」攻擊；</li> <li>不要將您的裝置放在無人看管的地方； 及</li> <li>將在家中和辦公室內不需使用的裝置關閉，在旅行時當你在晚間不再使用隨身裝置時亦將它關閉。</li> </ol> <p> </p> <p>有關網上購物時的保安最佳實踐：</p> <p> </p> <ol> <li>切勿隨便點擊來歷不明的連結或附件。盡量在瀏覽器直接輸入網購平台網址或使用瀏覽器書籤。檢查連結及電郵的合法性，例如檢查清楚網址有否拼寫錯誤、文法錯誤或寄件人是否可信。若網站並非使用HTTPS加密，應倍加小心，不要在沒有加密的情況下輸入敏感資訊；</li> <li>為防止詐騙，留意WhatsApp訊息中的錯別字或文法錯誤，避免下載應用程式，不分享個人資料，不轉寄訊息，不回應金錢要求或付費指示；</li> <li>警惕假冒熟人以及群組訊息，加入群組後，查看群組資訊，檢查群組建立者、日期和說明，對涉及彩票、賭博、工作機會、投資或貸款的訊息保持警覺。收到非聯絡人WhatsApp訊息時，根據提示決定回應、封鎖或舉報；<span style="color:#000000;">[<a href="https://faq.whatsapp.com/2286952358121083/" target="_blank">按此了解更多</a>]</span></li> <li>定期轉換網購平台賬戶密碼，於不同的帳戶使用不同的密碼，以防止其中一個資料被外洩後牽連其他帳戶；</li> <li>如果購物平台支援多重認證，用戶應將其啟用以加強保安；</li> <li>只經官方網站或手機應用程式購物或查看訂單情況；</li> <li>不要在平台的網上帳戶裡上儲存任何敏感資料，例如信用卡資訊等；</li> <li>定期檢查自己的網上付款記錄，查看是否有可疑交易；</li> <li>收到可疑電郵或訊息後，可以向官方渠道查詢詳情，切勿向不明來源發送者提供敏感訊息；</li> <li>在瀏覽器上設定<a href="https://www.hkcert.org/tc/blog/browser-s-anti-phishing-feature-what-is-it-and-how-it-helps-to-block-phishing-attack" target="_blank">反釣魚網站功能</a>以助阻擋釣魚攻擊； 及</li> <li>使用「CyberDefender 守網者」的「<a href="https://cyberdefender.hk/scameter" target="_blank">防騙視伏器</a>」，通過檢查電郵地址、網址和IP地址等，來辨識詐騙及網絡陷阱。</li> </ol> <p> </p> <p>有關技術支援詐騙的保安最佳實踐：</p> <p> </p> <ol> <li>應對意外彈出的保安警告或警報持懷疑的態度。合法的科技公司通常不會主動發送警告或透過彈窗索取用戶信息；</li> <li>務必透過官方網站或文件核實技術支援的聯絡信息。避免撥打彈出視窗或未經請求的訊息中提供的號碼；</li> <li>除非已驗證支援對象的合法性，否則切勿允許遠端存取自己的電腦裝置。未經事先確認，真正的技術支援不會要求遠端存取；</li> <li>直接通過公司官方網站或官方文件上列出的客服電話聯絡技術支援；</li> <li>定期更新作業系統和軟件，以防止黑客可能利用的漏洞；</li> <li>使用防火牆和防毒軟件等安全功能來協助偵測和阻止惡意活動；</li> <li>隨時了解最新的技術支援詐騙手法，並教育家人和朋友，防止他們成為受害者；及</li> <li>如果您遇到可疑的技術支援詐騙，請向 HKCERT 或有關服務供應商尋求協助。</li> </ol>

      • ChromeOS 多個漏洞
        on December 16, 2024 at 01:00

        於 ChromeOS 發現多個漏洞。遠端攻擊者可利用這些漏洞，於目標系統觸發繞過保安限制、阻斷服務狀況及遠端執行任意程… 影響 遠端執行程式碼 阻斷服務 繞過保安限制 受影響之系統或技術 131.0.6778.96 之前的ChromeOS Stable版本(16063.45.0之前的平臺版本) 126.0.6478.260 之前的ChromeOS LTS版本 (15886.85.0之前的平臺版本 ) 解決方案 在安裝軟體之前，請先瀏覽供應商之網站，以獲得更多詳細資料。   安裝供應商提供的修補程式，詳情請參閱以下連結： https://chromereleases.googleblog.com/2024/12/stable-channel-update-for-chromeos.html https://chromereleases.googleblog.com/2024/12/long-term-support-channel-update-for.html

      • Apache Struts 遠端執行程式碼漏洞
        on December 15, 2024 at 16:00

        於 Apache Struts 發現一個漏洞。遠端使用者可利用此漏洞，於目標系統觸發遠端執行任意程式碼及敏感資料洩露。   [更新於 2024… 影響 遠端執行程式碼 資料洩露 受影響之系統或技術 Struts 2.0.0 – Struts 2.3.37 (EOL) Struts 2.5.0 – Struts 2.5.33 Struts 6.0.0 – Struts 6.3.0.2 解決方案 在安裝軟體之前，請先瀏覽軟體供應商之網站，以獲得更多詳細資料。 更新至 Struts 6.4.0 或更高版本及使用Action File Upload Interceptor

      香港網絡安全事故協調中心資安快訊 — 新聞頻道 資訊保安的重要新聞