微軟漏洞 - 資安趨勢部落格

2014年10月的週二修補程式日的其中一項是MS14-063，用來解決FAT32磁碟分割區驅動程式中的漏洞，此漏洞讓攻擊者可以取得受影響系統上的管理者權限，只需要一個具備特製檔案系統的USB磁碟。這個漏洞也被編號為CVE-2014-4115。

為什麼此漏洞並不尋常？

我們特別注意檔案系統驅動程式，因為它們可以被用來透過USB磁碟機來攻擊系統。想想看之前的Stuxnet漏洞：它透過Windows捷徑漏洞來散播，能夠輕易地執行Windows shell程式碼；再利用第二個漏洞來取得管理者權限。檔案系統驅動程式漏洞可以一次就達到原本需要兩步驟的效果。

CVE-2014-4115存在於Windows Vista、Server 2003、Server 2008的檔案系統驅動程式（FASTFAT.SYS）。此驅動程式負責處理Fast FAT檔案系統（如 FAT32）。當處理FAT32格式磁碟中帶有特殊BIOS參數區塊（BPB）的開機磁區時，就可能觸發此漏洞。

FAT32今日仍被普遍地用在USB隨身碟上。正因如此，針對性攻擊可以利用此漏洞。假設一個特製的USB隨身碟以某種方式插入高階主管的筆記型電腦或公司內部網路的電腦。這些系統就會被外部惡意份子所控制，就有可能被用來進行針對性攻擊。系統管媒體的政策。

系統管理員及時進行修補可以減少成為攻擊受害者的風險。企業系統管理員也該重新考慮在公司內部網路使用USB媒體的政策。

這個漏洞是什麼，出現在哪裡？

如前所述，此漏洞出現在FASTFAT.SYS。比較過有漏洞的版本和修補過的版本，唯一區別在於：函數 FatCommonWrite()。

繼續閱讀

漏洞，特別是零時差漏洞，經常會被惡意份子用作目標攻擊的起始點。影響微軟Word的零時差（在當時）漏洞（CVE-2014-1761）就是一個例子。在三月所發佈的資安通報裡，微軟自己承認該漏洞被用在「有限的目標攻擊」裡。微軟因此在其四月的週二修補程式裡修補了此一漏洞。

然而，出現修補程式並不會嚇阻惡意份子去利用此漏洞。趨勢科技還是看到有APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊在他們的攻擊活動裡利用此一漏洞。

Taidoor連線:偽裝台灣政府部門和教育單位發出全國民調, 服貿議題被操作

我們看到了兩起針對台灣政府部門和一個教育單位的攻擊。第一起攻擊使用夾帶惡意附件檔的電子郵件，此郵件偽裝成來自政府員工。附件檔標題偽裝成一份全國性民調來增加說服力。此附件其實是被偵測為TROJ_ARTIEF.ZTBD-R的漏洞攻擊程式。它會產生被偵測為BKDR_SIMBOTDRP.ZTBD-R的檔案，接著再產生兩個檔案 – TROJ_SIMBOTLDR.ZTBD-R和TROJ_SIMBOTENC.ZTBD-R。這兩個檔案最後會導致被偵測為BKDR_SIMBOT.SMC的最終結果。

第二起APT攻擊的教育單位也是在台灣。此波攻擊利用電子郵件附加檔案來取得對收件者電腦和網路的存取能力。這封電子郵件討論了服貿議題，而附件檔和一個工作專案有些關係。跟第一個案例類似，此附件檔也是被偵測為TROJ_ARTIEF.ZTBD-PB的漏洞攻擊程式。它會產生一個被偵測為BKDR_SIMBOT.ZTBD-PB的後門程式。一旦執行，此一惡意軟體可以執行指令來搜尋欲竊取的檔案、取出檔案以獲利以及進行橫向移動。