《資安新聞周報》駭客利用iOS漏洞進行大規模無差別攻/Android攻擊程式價格首度超過iOS/部分航空公司禁止托運所有MacBook

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

這張圖片的 alt 屬性值為空,它的檔案名稱為 NEWS-R-1024x738.png

資安趨勢部落格一周精選

一周精選媒體資安新聞

電力最強挖礦機?烏克蘭核電廠員工被查出上班時間偷接電挖礦     Technews

Gmail隱藏圖片功能延伸至App 用戶資安更添保障       ETtoday新聞雲

臉書app簽章金鑰被誤上傳網站,可能陷用戶於安全風險    iThome

Facebook不再預設人臉辨識功能 舊用戶可手動解除追蹤      新頭殼newtalk

Facebook坦承錯誤 兒童社群軟體 Messenger Kids 陷隱私危機    新頭殼newtalk

Android攻擊程式價格首度超過iOS    iThome

iOS用戶竟然被秘密入侵兩年!Google發現駭客利用iOS漏洞進行大規模無差別攻擊iPhone用戶 網路資訊雜誌

Google:iPhone 被入侵事件,恐是中國針對維吾爾族穆斯林之舉       INSIDE

Google團隊揭露駭客史上最大攻擊iPhone事件!竊取文件和即時定位 蘋果獲報修復    ETtoday新聞雲

釣魚網站駭iPhone 維吾爾族難逃中共監視      台灣蘋果日報網

蘋果公開道歉,承諾不再外聘合約工聽取Siri錄音檔     數位時代

擔心電池過熱問題,有航空公司禁止托運所有MacBook        iThome

繼續閱讀

藏在純文字檔的Jenkins外掛漏洞

Jenkins是一套被廣泛使用的開源自動化伺服器,讓 DevOps 開發人員可以有效率且可靠地建構、測試和部署軟體。為了讓 Jenkins 的模組化架構發揮最大作用,開發人員會用外掛程式來擴充核心功能,好擴展建構時的腳本功能。在本文撰寫時,Jenkins的外掛程式索引裡有超過1,600個社群貢獻的外掛程式。其中有些外掛程式會儲存未加密的純文字帳密。一旦發生資料外洩,網路犯罪分子就可能在組織不知情下取得這些資料。

Jenkins在7月11日8月7日發布了資安通報,其中就包括了用純文字儲存帳密的問題。我們會在本文裡討論此漏洞會怎麼被利用以及受到影響的外掛程式:

CVE編號 外掛程式名稱 更新版本備註
CVE-2019-10348 Gogs Gogs外掛程式版本1.0.15
CVE-2019-10350 Port Allocator 當前版本可能不安全。外掛程式可以使用。主動安全警告:用純文字格式儲存帳密
CVE-2019-10351 Caliper CI 主動安全警告:用純文字格式儲存帳密
CVE-2019-10378 TestLink 目前版本跟舊版本可能都不安全。主動安全警告:用純文字格式儲存帳密
CVE-2019-10385 eggPlant 外掛程式已停用

表1. Jenkins外掛程式出現的洩密漏洞

繼續閱讀

趨勢科技報告指出無檔案式威脅成長 265%

2019 年專為躲避傳統防護而設計的隱匿威脅,為資安防禦帶來了終極考驗

【2019年9月5日】全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼:4704) 今日發表 2019 上半年資安總評報告,指出藉由無檔案方式來隱藏惡意活動的無檔案式攻擊數量突然暴增。光此一類別的威脅偵測數量就較 2018 上半年成長 265%。

截至目前為止,有多項 2019 年數據皆印證了趨勢科技去年的預測:駭客會越來越聰明,而且專挑投資報酬最大的企業及環境下手。

趨勢科技全球威脅通訊總監 Jon Clay 表示:「隨著商業技術與網路犯罪攻擊日益仰賴網路和智慧化,精密、隱匿的攻擊已成為今日網路資安威脅的主流。我們看到駭客處心積慮地利用針對性精密威脅來攻擊企業人員、流程及技術上的弱點。然而,企業的數位轉型與雲端移轉卻正不斷擴大與改變企業的受攻擊面。為了因應這樣的情勢演變,企業需要一家能夠結合專家與進階資安技術的資安夥伴來提升其偵測、交叉關聯、回應及矯正威脅的能力。」

繼續閱讀

Nemty勒索病毒可能透過暴露的遠端桌面連線散播

最近出現了一個新的勒索病毒 Ransomware 家族,會使用副檔名 – Nemty進行加密。根據Bleeping Computer的一份報告,位在紐約的逆向工程師Vitali Kremez認為Nemty可能是通過暴露的遠端桌面連線散播。

雖然利用RDP來派送勒索病毒並非新鮮事,但跟網路釣魚技術比起來,這顯然是種更加危險的散播方法。一旦網路犯罪分子取得了較高的系統權限,就能夠自由進入系統,在使用者不知情下發動攻擊,就如同之前的SAMSAM勒索病毒一樣。

在2017年,惡意份子散播 Crysis勒索病毒到澳洲及紐西蘭中小企業及大型組織所用的方式就是RDP暴力破解攻擊。這類威脅不僅只是影響企業;趨勢科技監測技術從2018年開始就在家用電腦及個人裝置上偵測到超過 3,500萬次的暴力破解攻擊 – 其中有 85%是針對RDP。

繼續閱讀

【 軟體無所不在 5-2】微處理器底層也可能出現風險

今日的微處理器內部還有一層比所有軟體使用的機器碼更低階的程式在運作,那就是所謂的微指令 (microcode)。這些微指令通常隨處理器而異,不過當微處理器出現問題時,可透過修改微指令的方式來修正機器碼的錯誤。之前鬧得沸沸揚揚的 Spectre 和 Meltdown 處理器漏洞,就是透過修改微指令的方式來修正。不過,這樣的修改也存在著風險,因為如果沒有改好,很可能會讓微處理器徹底毀於一旦。由於伺服器通常不能任意重新開機,因為它們必須執行一些重要的企業流程,基於這一點,前述的修補絕不能等閒視之。

微處理器底層也可能出現風險

微指令既然可以修改,意味著就連微處理器晶片也可被視為軟體。且近來似乎更掀起了一股認識如何重新程式化微處理器的風潮。不僅如此,還有其他幾種類型的處理器也可被程式化,例如:可針對特定工作單次程式化的「特殊應用晶片」(ASIC)、可隨時重新程式化的「現場可程式化邏輯閘陣列」(FPGA),以及專門處理類比訊號的「數位訊號處理器」(DSP)。

FPGA 正逐漸被當成特化的協作處理器來使用,例如:影像處理、網路資料過濾,或是其他高效能運算。一些較單純的 CPU 也已經可以用 FPGA 來實做。雖然未來的裝置應該不會由一系列可重新程式化通用晶片所構成,但在某些應用上確實可行。除此之外,還有一種沒有太多人關注的特化 DSP。行動電話和某些裝置為了應付各種版本的無線射頻標準,都將其無線射頻模組設計成所謂的「軟體定義無線射頻」(SDR) 裝置,如此一來,只需單一模組就能透過程式的修改來應付各種不同標準。市面上有許多 DVB-T 電視訊號 USB 接收器都採用 Realtek 的晶片,事實上,這就是一種寬頻 SDR 裝置。許多專案也都利用這款極便宜的接收器來接收無線訊號,少了它,就得使用價格更昂貴的其他套件。

隨著這些不同的可程式化處理器逐漸廣為人知、日益普及,再加上人們對它們的興趣逐漸提高,這類處理器也越來越有可能被用於惡意攻擊。

下期待續:【 軟體無所不在 5-3】-擁有軟體存取權限的車廠等製造商,才知道的隱藏版功能