漏洞攻擊 - 資安趨勢部落格

15 個被駭客變成武器的漏洞

2022 年 04 月 11 日2022 年 04 月 11 日趨勢科技 TrendMicro

駭客會利用人們對網站伺服器的依賴來發動各種攻擊，例如：執行遠端程式碼、略過存取控管、阻斷服務，甚至利用受害的伺服器在背後偷挖虛擬加密貨幣。

正當企業才要從 Log4Shell 漏洞 (CVE-2021-44228) 的震撼中回神過來，瞄準開放原始碼網站伺服器 (如 Apache HTTP Server) 的攻擊便席捲而來。駭客利用人們對網站伺服器的依賴來發動各種攻擊，例如：執行遠端程式碼 (RCE)、略過存取控管、阻斷服務 (DoS)，甚至利用受害的伺服器在背後偷挖虛擬加密貨幣。

面對駭客的惡意活動，企業單靠及時修補系統仍稍嫌不足。邁入 2022 年，採用一套軟體組成元件分析 (SCA) 解決方案來發掘軟體供應鏈上每一層環節的問題，將是一項不可或缺的要素。

Apache HTTP Server 的漏洞從 2017 年起便不斷增加

繼續閱讀

當國際性研討會走進家庭辦公室-遠距工作環境可能遭到攻擊的資安漏洞

2022 年 01 月 05 日2022 年 01 月 03 日趨勢科技 TrendMicro

家庭辦公室內各種缺乏資安防護的裝置，在網路犯罪集團的眼裡，可說是唾手可得的目標。這些裝置很可能被駭客入侵之後用來從事犯罪活動，或者當成進一步入侵家庭網路的跳板。

隨著新的技術不斷導入、舊的裝置不斷升級，現代化家庭的生活及工作空間每一年都變得越來越聰明。許多專業人士也因此開始在家工作或者在家透過虛擬方式經營生意。就連國際性的研討會都能從家庭辦公室環境內舉行，大型的專案也能透過線上方式在家管理和指揮，在智慧裝置的協助下，甚至能做到的還更多。只可惜，缺乏資安防護的裝置，在網路犯罪集團的眼裡，可說是唾手可得的目標，可用於從事犯罪活動，或者當成進一步入侵家庭網路的跳板。

駭客之所以這麼努力攻擊智慧家庭裝置，原因在於這類裝置的數量越來越多，而且越來越強大、越來越有價值。正因如此，駭客的攻擊手法會不斷隨著科技進步而演進。今年 11 月在美國德州奧斯汀 (Austin) 舉辦的 Pwn2Own 2021 駭客大賽 (這是一個專門發掘關鍵漏洞好讓廠商能夠加以修補的競賽) 特別突顯出有關家用使用者與遠距工作者的裝置安全問題。一些原本讓企業 IT 人員從家中執行遠端管理的裝置，同樣也能用來存取企業的私密資訊，甚至讓犯罪集團用於攻擊行動。

影響家庭工作者與智慧家庭使用者的網路資安威脅

針對家用與工作裝置的威脅

繼續閱讀

檢視連網汽車與充電站的 Log4j 漏洞

2022 年 01 月 04 日2022 年 01 月 03 日趨勢科技 TrendMicro

本文將檢視連網汽車相關裝置或配備所存在的 Log4j 漏洞，尤其是充電設備、車用資訊娛樂系統，以及控制車門開關的數位遙控器。

Apache Log4j 這個遠端程式碼執行 (RCE) 漏洞自從2021 年 12 月 9 日正式曝光以來已經累積了大量的相關文章，這現象確實反映出它的衝擊範圍。因為，有無數的應用程式在未修改其程式碼的狀況下直接使用了這個函式庫來產生記錄檔。這表示此漏洞的可攻擊面極為廣大，包括：Amazon、Apple、Cloudflare、Google、Tencent、Twitter 以及許多其他知名廠商都曾經是潛在的攻擊目標。不僅如此，這個被稱為「Log4Shell」的漏洞甚至還影響到一些嵌入式裝置。在這份報告中，我們將仔細探討車用裝置或配備所存在的 Log4j 漏洞，尤其是充電設備、車用資訊娛樂系統 (IVI)，以及控制車門開關的「數位」遙控器。

Log4j 事件會延燒數個月,甚至數年?這漏洞為何如此危險？

2022 年 01 月 03 日2022 年 01 月 11 日趨勢科技 TrendMicro

以下是有關 Log4j 事件的相關分析資訊以及下一步我們該怎麼做。

資安界早已料到這樣的情況總有一天會發生，所以當我們在 12 月初從新聞上看到這個 CVSS 嚴重性等級 10.0 的新漏洞時，一股恐懼立即湧上心頭。全球現在都已感受到這個漏洞的衝擊，因為所有犯罪集團都在忙著趕在企業機構套用修補更新之前，對這個漏洞發動攻擊。因此這事件肯定會持續延燒數個月，甚至長達數年。

從趨勢科技客戶的最新資料就能看出 Log4Shell 在全球的影響有多麼重大深遠，並且遍及各式各樣的應用程式。所以，趨勢科技仍在持續研究 Log4j 漏洞與其潛在的最新攻擊管道，希望能藉此協助企業更了解自己可能有哪些地方暴露在危險中。

事件發生經過

Log4j 是一個非常熱門、專門用來提供記錄檔功能的 Java 函式庫，許多平台都會用到它，例如 Minecraft 和 Elasticsearch。12 月初，開放原始碼軟體廠商 Apache 針對此函式庫一個名為「Log4Shell」的高嚴重性漏洞釋出了修補更新。但隨後不久，駭客便立即開發出對應此漏洞的攻擊手法，並開始對企業機構發動勒索病毒、散播虛擬加密貨幣挖礦程式、竊取資料等等。為何這個漏洞如此危險？

繼續閱讀

企業該如何處理 Log4j 漏洞問題?

2021 年 12 月 23 日2022 年 01 月 03 日趨勢科技 TrendMicro

Apache Log4j 這個為 Java 程式提供記錄檔功能的熱門程式套件，於2021.12.09被公佈了一個嚴重的資安漏洞。該漏洞影響了Apache Log4j 日誌的多個版本，駭客可藉由發送一種特別的記錄檔訊息來觸發這個漏洞，啟動遠端程式碼執行 (RCE)。該漏洞已被識別為CVE-2021-44228、CVE-2021-45046和CVE-2021-45105，並命名為 Log4Shell。截至目前爲止，已有多項嚴重災情發生。本文帶您了解企業目前所採取的防範措施，以及等到危機稍微緩解之後，企業該做些什麼?