漏洞 - 資安趨勢部落格

Mac 惡意程式 XCSSET：感染 Xcode 專案，對 Safari 與其他瀏覽器發動 UXSS 攻擊並利用零時差漏洞

2020 年 08 月 16 日2021 年 12 月 23 日趨勢科技 TrendMicro

最近趨勢科技發現一種罕見的感染手法，專門感染 Xcode 開發專案。經過進一步調查之後，我們在某開發人員的 Xcode 專案中發現了原始惡意程式，深入追查之後更找到其他惡意檔案。在這調查過程當中，最值得注意的是我們發現了兩個零時差漏洞攻擊手法：其中一個是利用 Data Vault 的某個缺陷來竊取瀏覽器的 Cookie；另一個則是用來操控開發版本的 Safari 瀏覽器執行惡意行為。

此威脅比尋常，因為其惡意程式碼是注入於本地端 Xcode 專案當中，因此當該專案在產生應用程式時就會執行惡意程式碼，這對 Xcode 開發人員來說尤其特別危險。當我們發現受害的開發人員將其專案分享到 GitHub 之後，此威脅也隨之升高，使用者若將此專用應用到自己的開發專案當中，會造成類似供應鏈攻擊的效果。此外，我們也從 VirusTotal 之類的來源發現到此威脅，表示這項威脅已經擴散開來。

以下摘要說明我們對此威脅的分析結果，詳細攻擊細節請參閱相關技術摘要。首先，我們將此惡意程式命名為「TrojanSpy.MacOS.XCSSET.A」其幕後操縱 (C&C) 相關檔案命名為「 Backdoor.MacOS.XCSSET.A」。

此惡意程式主要經由 Xcode 專案以及從此惡意程式所衍生的應用程式散布。目前還不清楚惡意程式一開始是如何進入被感染的系統，因為照理講這些系統主要開發人員在使用。這些 Xcode 專案已遭修改，因此當專案在產生應用程式時就會執行惡意程式碼，進而使得 XCSSET 的主要惡意程式被植入到受害系統上執行。此外，受害使用者的登入憑證、帳號以及其他重要資料也可能遭竊。

XCSSET 進入受害系統之後可能出現以下行為：

繼續閱讀

《IOT 》數百萬台物聯網裝置受到 Ripple20 漏洞影響, 從一人精品店到財星500大皆被波及

2020 年 07 月 06 日2020 年 07 月 05 日趨勢科技 TrendMicro

資安研究員發佈了一組Ripple20漏洞的相關資訊。這些漏洞可能對數百萬台物聯網（IoT ,Internet of Thing）造成嚴重影響，各個產業（醫療、石油和天然氣、交通運輸、電力和製造業等）的關鍵機器都可能會受到這些臭蟲影響。以色列網路安全公司 JSOF 發佈的技術報告內列出了有漏洞裝置的廠商列表。

此漏洞來自美國公司Treck Inc.在90年代後期所發布的軟體。它實作了輕量級TCP/IP堆疊（TCP/IP stack），讓企業可以透過TCP/IP連線將裝置或軟體連上網路。

波及範圍從一人精品店到財星500大的跨國公司

繼續閱讀

智慧製造系統資安分析：威脅與後果

2020 年 05 月 26 日2020 年 05 月 18 日趨勢科技 TrendMicro

在一項深入研究當中，我們實際分析了一個真實的智慧製造環境，探討各種可能被駭客用來入侵智慧製造系統的非傳統管道。

下載「針對智慧製造系統的攻擊：一項前瞻性資安分析」(Attacks on Smart Manufacturing Systems:A Forward-looking Security Analysis)

邁入工業 4.0 的時代，越來越多的企業紛紛開始導入智慧製造，希望藉此提高生產效率。雖然這確實帶來了不少效益，例如更高的生產力與更低的成本，但卻也開啟了新的攻擊管道，讓駭客有機會入侵智慧製造環境並且在內部遊走。

智慧製造系統在設計上原本就應該與企業網路及外部世界隔離。但儘管如此，駭客仍有可能利用一些有異於傳統的方式來入侵系統。駭客經由這類方式發動攻擊的可能性，以及這類攻擊對受害企業可能造成的後果，就是這份研究所要尋找的答案。

由於智慧製造環境可能無比複雜，並且涉及各式各樣的技術和專業領域，因此我們決定聚焦某些資安環節，也就是駭客的攻擊模式，探討當駭客已經入侵系統的某些單元時，如何利用這些入侵點和受害者來進一步擴大勢力範圍。

為了達到這項研究目的，我們需要能近距離觀察一個實際的智慧製造環境。這樣不僅可以了解生產流程的實際運作，還可以模擬模擬產品的生產流程來看看是否有什麼脆弱環節。因此，我們與義大利最具規模的科技大學「米蘭理工大學」(Politecnico di Milano) 合作並使用他們的工業 4.0 實驗室，這是一個採用與完整生產線相同基本原理來生產手機玩具的研究實驗室。

繼續閱讀

線上程式開發平台的資安風險

2020 年 04 月 06 日2020 年 03 月 24 日趨勢科技 TrendMicro

在整合式開發環境 (IDE) 登上雲端之前，程式開發人員得將整套開發環境安裝在自己的電腦上。但隨著 DevOps 日益受到青睞以及雲端運算不斷成長，現在程式開發人員也可以在線上撰寫程式。這樣的模式確實方便，但線上 IDE 是否真的安全？為了回答這個問題，我們就來看看時下最流行的兩套雲端 IDE：AWS Cloud9 和 Visual Studio Online。

當您在線上撰寫程式時，IDE 其實只是將畫面呈現在瀏覽器內，瀏覽器的 JavaScript 引擎會在背後使用 WebSocket 與您的遠端目標裝置 (也就是虛擬私人伺服器，VPS) 建立 SSH (Secure Shell) 安全連線，然後提供一個您所熟悉的終端畫面來讓您執行各種指令。開發環境 (也就是遠端的雲端 VM/VPS 或具備 SSH 功能的裝置) 包含了工具組態設定 (例如金鑰或雲端組態檔案)、原始碼副本、組譯器以及其他您可能用到的工具。

本地端和雲端程式開發平台的最主要差異在於整套開發環境位於何處。對雲端 IDE 來說，開發環境位於雲端廠商的虛擬機器 (VM) 內。以安全性而言，這意味著您必須信任雲端廠商，但您有責任防範「後門」或 VM 組態設定錯誤的問題。當您透過自己的裝置來使用 AWS Cloud9 時，您有責任確保裝置設定的安全。

繼續閱讀

駭客專挑尚未更新系統的企業,更新工具套件，清除舊版挖礦程式並攻擊更多系統

2020 年 03 月 04 日2020 年 03 月 06 日趨勢科技 TrendMicro

對於時時刻刻處心積慮謀求最大獲利的網路犯罪集團來說，沉寂不代表沒有動作。Outlaw 駭客集團就是一個例子，近幾個月來，他們似乎沉寂了好一陣子，但其實是忙著開發新的工具套件來開拓更多不法獲利來源。自從趨勢科技在去年 6 月披露之後，該集團沉默了好一段時間，但到了 12 月便又開始看到他們的活動，並推出了新版的工具套件，不過仍保留了許多先前的攻擊技巧。此次版本更新除了增加一些掃描參數並擴大了掃描目標之外，更會讓惡意程式不斷循環重複執行，並且加強了掃描活動躲避偵測的能力，還會將其他競爭對手的挖礦程式以及自己舊版的挖礦程式全部清除，來提升自身的利潤。

經過詳細分析之後，趨勢科技發現歹徒應該是鎖定汽車與金融產業，他們會在已遭入侵的系統上發動更多後續攻擊，並且 (可能會) 竊取資訊拿去販賣。比較這次的版本與過去的攻擊，我們認為 Outlaw 此次更新的目的包括：攻擊尚未更新系統的企業、掌握其先前感染的主機當前最新的資安狀況與系統變動、尋找新/舊攻擊目標，以及趁機在網路上測試新版功能。根據趨勢科技蒐集來自 456 個不同 IP 位址的樣本所觀察到的變化來看，預料該集團在未來幾個月內將更加活躍。

繼續閱讀