Microsoft 零時差漏洞攻擊 - 資安趨勢部落格

趨勢科技發現影響數百萬用戶的活躍中漏洞可讓駭客繞過Windows Defender防護，以便竊取資料和感染勒索病毒

2024 年 02 月 15 日2024 年 02 月 16 日趨勢科技 TrendMicro

趨勢科技用戶已受保護，呼籲企業採取行動

【2024年2月15日，台北訊】全球網路資安領導廠商趨勢科技(東京證券交易所股票代碼：4704) 今天宣布發現了一個活躍中的Microsoft Windows Defender 漏洞正遭到Water Hydra駭客集團所利用並進行猛烈攻擊。

趨勢科技Zero Day Initiative™(ZDI)漏洞懸賞計畫的研究人員於2023年12月31日發現這個活躍中的零時差漏洞(CVE-2024-21412)並向Microsoft揭露，並於2月13日首次對外發布^註一。趨勢科技客戶則於2024年1月17日便能自動防範這項漏洞，建議企業應立即採取行動來防止駭客經由此漏洞發動攻擊。

漏洞的最大風險是可能被駭客用來攻擊任何產業或企業，一些以賺錢為動機的持續性滲透攻擊(APT)集團正積極利用此漏洞來滲透外匯交易所，藉此影響高風險的外匯交易市場。

確切來說，駭客會在複雜的零時差攻擊程序當中使用此漏洞來繞過Windows Defender SmartScreen保護機制，讓受害電腦感染DarkMe遠端存取木馬程式(Remote Access Trojan，RAT)以方便竊取資料和感染勒索病毒。

繼續閱讀

Microsoft Exchange 遭到襲擊：我是否受到影響，下一步該怎麼做？

2021 年 03 月 10 日2021 年 03 月 12 日趨勢科技 TrendMicro

過去很少出現像 Microsoft Exchange Server這次所遭遇這麼大規模的網路間諜事件。根據 Microsoft 指出，這個由中國政府在背後支持的駭客集團運用了四種漏洞攻擊手法。

據稱美國至少已有 30,000 家企業受害，全球的話應該遠超過這個數字，受害的企業系統可能因此遭駭客從遠端遙控。根據我們最近在 Shodan 上搜尋的結果，目前大約還有 63,000 台伺服器暴露於這些漏洞攻擊的風險中。

企業應立即套用目前可用的修補更新，若無法立即修補，就應該將含有漏洞的伺服器離線。所有正在使用 Exchange 伺服器的企業機構都應檢查是否有遭駭客入侵的跡象。

我們強烈建議使用者採取 Microsoft 所建議的行動，此外我們也針對我們的客戶提供了額外的偵測及防護功能。

繼續閱讀

資安警示：Microsoft Exchange 零時差 (0-Day) 漏洞攻擊偵測、防護、回應

2021 年 03 月 09 日2021 年 03 月 12 日趨勢科技 TrendMicro

摘要

2021 年 3 月 2 日，Microsoft 發出了一份安全公告與緊急修補更新來解決多個目前正遭受猛烈攻擊的 Microsoft Exchange Server 企業內版本零時差漏洞。

受影響的 Microsoft Exchange Server 版本包括：2010 (EOL)、2013、2016 以及 2019。

關於這項攻擊

公告中所指出的四個重大漏洞包括了一個可讓駭客入侵系統的網路端伺服器端請求偽造 (SSRF) 漏洞 (CVE-2021-26855)，以及三個可在通過認證之後發動攻擊的本地端漏洞：CVE-2021-26857、CVE-2021-26858 及 CVE-2021-27065。

研究人員認為，駭客是藉由一連串的漏洞攻擊手法來攻擊含有這些漏洞的 Exchange Server，進而駭入企業網路、竊取機敏資訊 (如：所有的電子郵件信箱與通訊錄)，並從事其他惡意活動，包括：蒐集使用者登入憑證、篡改 Active Directory、在企業內四處遊走等等。

除了閱讀 Microsoft 的安全公告以及下列文章之外，強烈建議所有可能受到影響的客戶也應參考美國「網路資安與基礎架構安全局 (Cybersecurity & Infrastructure Security Agency，簡稱 CISA) 所發布的 Alert AA21-0621A 警示來獲得進一步的指示和資訊。

繼續閱讀

Microsoft 已告別 Internet Explorer (IE)，您也該考慮看看

2016 年 01 月 12 日2016 年 01 月 26 日趨勢科技 TrendMicro

Microsoft 設定的 IE 8、IE 9、IE 10 支援期限已到 (1 月 12 日)，Microsoft 建議使用者將這些版本的瀏覽器升級到最新的 IE 11 或者改用最新推出的 Microsoft Edge 瀏覽器。該公司表示：「2016 年 1 月 12 日起，只有最新版的 Internet Explorer (限目前仍支援的作業系統) 未來才會收到技術支援和安全更新。」根據一項獨立研究顯示，目前仍有將近3.7億的使用者 (也就是 45% 的 IE 用戶) 仍在使用舊的版本。

舊版瀏覽器的使用者在過了支援期限之後應該會收到一份「終止支援」通知，而舊版的瀏覽器也將不會再收到任何修補或修正程式。Microsoft 的技術支援網站寫道：「Internet Explorer 11 是最好的 IE 版本，未來也將持續收到安全更新、相容性修正以及技術支援，其支援的系統包括Windows 7、Windows 8.1 和 Windows 10。Internet Explorer 11 不僅更安全、效能更好、相容性更高，而且支援今日網站及服務的網路標準。Microsoft 鼓勵所有客戶升級到最新的瀏覽器並隨時保持更新，以享受更快、更安全的上網體驗。」

Microsoft 呼籲使用者升級或採用其他瀏覽器來保護系統，並防範任何潛在風險。該公司強調，雖然舊版瀏覽器仍可以運作，但使用者將因為再也無法取得支援而暴露在更多未修補漏洞的危險當中：「安全更新可修補一些可能遭到惡意程式攻擊的漏洞，進而提升使用者與使用者資料的安全。定期發布的安全更新可防止電腦遭到惡意攻擊，因此隨時保持更新非常重要。」

多年來，由於 Internet Explorer 存在著許多安全漏洞，因此已成為網路犯罪集團最愛的攻擊目標之一。事實上，光 2014 年，該瀏覽器就被發現了 243 個記憶體損毀漏洞，儘管這些漏洞目前都已修補。

[延伸閱讀： Microsoft Edge 瀏覽器如何讓 Windows 10 更安全 (How Microsoft Edge improves security on Windows 10)]

有鑑於大量瀏覽器漏洞已損及公司聲譽，Microsoft 在最新的作業系統上推出了一個叫做 Edge 的全新預設瀏覽器。根據趨勢科技威脅分析師 Henry Li 指出，該瀏覽器「有系統地去除了一些今日使用環境再也用不到的功能 (以及程式碼) 來縮小潛在的攻擊面。」

原文出處： Microsoft Says Goodbye to Internet Explorer; You Should Too

Windows 10 推出 Microsoft Edge 來強化瀏覽器安全性

2015 年 08 月 03 日2015 年 07 月 30 日趨勢科技 TrendMicro

Internet Explorer 或許是今日漏洞攻擊最熱門的目標之一，光是 2014 年，Internet Explorer 就被發現及修補了 243 個漏洞。

在 Microsoft 每次的定期安全更新 (Patch Tuesday) 當中都會包含一則內含數個 IE 漏洞的安全公告，這就是 Microsoft 所稱的「Internet Explorer 積存安全性更新」，因為 Internet Explorer 的零時差漏洞真是多得不勝枚舉，例如：

正因如此，Internet Explorer 的風評一向不是太好，其安全性不佳的名聲也成了它發展的障礙。所以 Microsoft 決定在 Windows 10 上推出一個「嶄新的」瀏覽器，叫「Microsoft Edge」，而安全性強化當然是其中一個重點。

Microsoft Edge 中的安全性強化

其實，Edge 並非完全砍掉重練，其 HTML 繪製引擎仍算是 Trident 引擎 (也就是 Internet Explorer 所用引擎) 的一個分支版本，現已改名為 Microsoft Edge HTML。不過，其底層移除了大量 IE 專屬的技術和相關程式碼，這些技術在 Edge 當中已不存在。此外，也導入了多項新的瀏覽器功能。

MemGC

MemGC 記憶體管理功能採用「先標記再找機會清除」的記憶體回收機制，如此可減少所謂「使用已釋放記憶體」的漏洞，也就是 UAF (Use-After-Free) 漏洞。Edge 採用 MemGC 來管理其「文件物件模型」(DOM)，並支援物件的記憶體管理。

過去兩年，UAF 漏洞一直是 Internet Explorer 的一大罩門。Microsoft 每次的定期安全更新都包含多項有關 UAF 漏洞的修補。為了解決這樣的情況，Microsoft 於 2014 年夏季在 IE 當中加入了兩項防護機制：其一是 Isolated Heap (隔離式 Heap 記憶體)，負責管理大多數的 DOM 物件和其相關物件。其二是所謂的 MemoryProtection (記憶體保護)。

Isolated Heap 讓駭客無法輕易地使用已釋放的物件。MemoryProtection 則可避免駭客利用堆疊 (stack) 中已釋放物件的指標來攻擊 UAF 漏洞。在其他情況下，MemoryProtection 可讓 UAF 漏洞的攻擊難度更高。

圖 1：MemoryProtection 流程示意圖。

這兩項防護機制大大提升了 UAF 漏洞攻擊的難度，但還是有許多方法可以避開這些機制，尤其當已釋放物件的指標並不在堆疊中時。

圖 2：UAF 漏洞攻擊步驟。

一般來說 UAF 漏洞的攻擊步驟如下：

配置物件 A 的 Heap 記憶體區塊。
釋放物件 A。
駭客在 Heap 區塊當中填入精心設計的資料。
物件 B 參照到物件 A。這樣一來，駭客就能透過物件 A 來存取其填入記憶體中的資料。

MemGC 的設計正是要避免這類攻擊，當一個 Heap 區塊被釋放時，MemGC 首先會偵測是否有任何指向該區塊的物件參照。若有，該區塊就不會被釋放。如此一來，UAF 漏洞攻擊就無法得逞。

圖 3：MemGC 如何防止 UAF 漏洞攻擊。

Abandonment (棄置) 類別

記憶體內容損毀是一種常見而且需要特別注意的漏洞類型。Microsoft Edge HTML 繪製引擎 (edgehtml.dll) 導入了一個新的類別叫做「Abandonment」(棄置)。

Abandonment 會偵測記憶體內容損毀的情況，並且在偵測到這類情況時發出一個「FAIL_FAST_EXCEPTION」例外錯誤。如此可避免錯誤進一步擴大，防範任何可能的漏洞攻擊。

圖 4：Abandonment 類別。

Abandonment 類別可偵測並處理的異常狀況包括：

Double Free (重複釋放)
Out Of Memory (記憶體耗盡)
Overflow (溢位)
Invalid Pointer (無效指標)
Invalid Arguments (無效參數)
Unreachable Code (無法觸及的程式碼)
Not Yet Implemented Function (尚未實作的函式)
Excepted return value (除外的回傳值)

預設採用「加強的受保護模式」沙盒環境以及 64 位元模式

Windows 在 Vista 時首次導入強制的一致性控管。Vista 的 Internet Explorer 7 率先在瀏覽器中導入一個稱為「受保護模式」(Protected Mode，簡稱 PM) 的沙盒環境。不過，受保護模式提供的防護有限。

Windows 8 再導入所謂的 App 容器，且 Windows 8 的 IE 10 在這項技術上提供了一種叫做「加強的受保護模式」(Enhanced Protected Mode，簡稱 EPM) 的沙盒環境。

但這有個問題：IE 外掛程式必須重新改寫才能支援 EPM，因為原本的外掛程式並不支援 App 容器。為了維持相容性，EPM 沙盒環境在預設情況下是關閉的。基於類似理由，在 64 位元系統下，IE 的繪圖處理程序是在 32 位元模式下執行，即使瀏覽器是在 64 位元模式下執行。

由於 Edge 是新的瀏覽器，因此不像 IE 那樣有著向下相容的沈重包袱，其 EPM 沙盒環境預設就是開啟狀態。此外，其繪圖處理程序也是以 64 位元模式執行 (只要系統可以支援)。

拋開老舊功能

正如前面所言，Edge 消除了一些 Microsoft 認為今日瀏覽器再也不需要支援的功能。其中之一就是支援舊的 IE 擴充架構，例如：瀏覽器協助程式物件 (Browser Helper Object，簡稱 BHO) 以及工具列，這是過去 IE 經常遭到攻擊的其中兩個途徑。這兩項功能在 Edge 當中皆已去除，Microsoft 已經表明 Edge 將採用類似 Google Chrome 和 Mozilla Firefox 的擴充架構，不過此架構今年稍晚才會推出。

除此之外，未來也不再支援某些程序碼語言 (scripting language)。從 IE 3 時代 (將近 20 年前) 開始導入的 ActiveX，一直是 IE 瀏覽器用來執行原生程式碼的方式之一。傳統上，Internet Explorer 的外掛程式 (如 Flash 和 Java) 都需要對應的 ActiveX 來支援。

VBScript 是另一個程序碼語言，但其他瀏覽器從未支援該語言。IE的VBScript支援一直是漏洞的來源，如：CVE-2014-6332。此外還有 VML (Vector Markup Language) 向量標記語言，這是一種用來顯示向量圖形的標記語言 (不過，現在 HTML5 也能達到同樣功能)，在支援該語言的程式碼當中也存在著漏洞，如 CVE-2013-2551。

在 Microsoft 眼中，以上這些都已經是過時的技術，因此 Edge 未來將不再支援這些語言，這樣就能大幅減少 Edge 遭到攻擊的機會。但少了 ActiveX 之後的最大影響就是暫時完全失去 Java 的支援，當然也消除了潛在的威脅。

另一個 Edge 將不再支援的舊技術是 X-UA 相容檔案標頭。這是一種用來讓網站以向下相容於舊版瀏覽器的方式繪製網頁的模式，但卻也成了各種漏洞的來源，例如：

拋開上述所有功能的目標只有一個，那就是藉由去除今日使用環境不再需要的功能 (以及對應的程式碼) 來縮小潛在的攻擊面。

總而言之，與 Internet Explorer 相比，Microsoft 確實在 Edge 底層下了很大的功夫。這一點有助於提升未來 Windows 預設瀏覽器的安全性，畢竟它將來會有很多使用者。只不過，Edge 所做的某些變更，必定也將引來一些新的潛在攻擊，這一點我們將在後續的文章當中繼續討論。

原文出處： Windows 10 Sharpens Browser Security With Microsoft Edge 作者：Henry Li (威脅分析師)
想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚