第二個 Steam 0-day 漏洞,對近億 Windows 平台玩家造成資安威脅

俄羅斯資安研究員連續公布兩個遊戲平台 Steam 的 Windows 0-day 漏洞,其中第二個漏洞對近一億名 Windows 平台遊戲玩構成嚴重威脅。

被俄羅斯資安研究員 Vasily Kravets 公布的 Steam Windoes 0-day 漏洞,不但能夠提升執行權限,也可用來執行任意程式碼,對該平台上九千六百萬名 Windows 玩家的資安造成嚴重威脅。

Kravets 和另一名資安研究員,日前發現一個 Steam 平台的 0-day 漏洞,同樣可以用來執行任意程式碼,但 Steam 無意修補,兩人於是公開該漏洞資訊。Steam 平台隨即將兩人自其 HacketOne 資安漏洞獎金計畫中除名;Keavets 隨即公布第二個 0-day 漏洞。

Steam 表示,這兩個 0-day 漏洞都必須實際在受害者用戶電腦上進行實體操作,無法遠端進行駭侵操控,這也是 Steam 認為兩位研究者不符 HackerOne 參賽資格的主因;這兩個資安漏洞也已透過更新修補完成。

資料來源:

  1. https://amonitoring.ru/article/onemore_steam_eop_0day/
  2. https://www.bleepingcomputer.com/news/security/second-steam-zero-day-impacts-over-96-million-windows-users/

企業內的 IoT 裝置,是俄羅斯大規模攻擊的目標

微軟發表研究報告,指出該公司發現俄羅斯支持的 APT28 駭侵團體,以企業內的 IoT 裝置做為攻擊跳板。

微軟的資安研究單位 Microsoft Threat Intelligence Center 日前指出,該單位觀測到來自俄羅斯支持的 APT28 駭侵團體(又名 Strontium 或 Fancy Bear),近來對企業的駭侵攻擊,係以企業內的各種連線裝置為目標。

被列入攻擊目標的企業連網裝置,包括 VoIP 電話、網路印表機、網路影音解碼器等。

微軟說,許多企業要不是沒有更新這些裝置的韌體,以修補資安漏洞,就是連這些裝置的預設登入帳密都沒有改掉,給了駭侵團體可乘之機。

一旦駭侵團體透過這些裝置侵入企業內網,就有可能進行更進一步的駭侵行為,鎖定電腦或伺服器進行正規攻擊。

資料來源:

  1. https://msrc-blog.microsoft.com/2019/08/05/corporate-iot-a-path-to-intrusion/
  2. https://www.bleepingcomputer.com/news/security/russian-apt-abuses-iot-devices-to-infiltrate-corporate-targets/

跨國共享工作空間 WeWork, 全球各地使用相同的易猜測 Wi-Fi 密碼

資安專家指出,WeWork 共用工作空間提供的 Wi-Fi 十分不安全,不但使用非常容易猜到的密碼,這套密碼竟然在全球各地的 WeWork 辦公空間均可使用。

WeWork 是最近聲量很高的跨國共享工作空間服務商,最近高調申請股票掛牌上市,然而被資安專家指出其辦公空間提供的無線網路,存有各種安全問題。

首先,在美國與全球各處一共 528 個 WeWork 辦公空間提供的 Wi-Fi,竟然使用非常容易猜測的密碼來進行保護,而且各辦公空間的 Wi-Fi SSID 名稱與密碼都完全相同。

其次,WeWork 的 Wi-Fi 沒有使用更嚴密的加密協定,僅使用非常容易破解的 WPA2 個人版;密碼更是長久未曾更換。這使得任何曾經租用過 WeWork 空間或知道密碼的人,都能輕鬆進入其無線網路,對網路中的其他電腦發動中間人攻擊,或是以相同的 SSID 與密碼誘拐用戶連進其自行設定的無線網路。

資料來源:

  1. https://www.fastcompany.com/90391748/weworks-wi-fi-network-is-easy-to-hack
  2. https://twitter.com/seancaptain/status/1164184574148120581

台灣資安公司揭露多家企業級 VPN 服務漏洞後,駭客用來攔截流量

台灣資安廠商戴夫寇爾(DevCore)公布若干大型企業 VPN 服務商的資安漏洞後,隨即傳出有駭客利用這些已公開的漏洞,駭入兩家 VPN 服務。

台灣著名的資安廠商戴夫寇爾(DevCore),日前在 Black Hat 國際資安研討會上發表研究報告,公開了數家大型企業級 VPN 服務廠商的多項資安漏洞與駭侵測試報告;被點名的其中兩家 VPN 服務商 Pulse Secure VPN 與 FortiGate VPN 隨即傳出被駭的消息。

據報,駭客利用了 DevCore 發表的部分技術細節與概念實作方法,先在 Internet 上掃瞄具有資安漏洞的主機,駭入之後隨即取得這兩家 VPN 的系統相關檔案。

利用取得的檔案資料,駭客即可偽裝成受信任的連線裝置,連入其 VPN 網路。

資料來源:

  1. https://devco.re/blog/2019/08/28/Pulse-Secure-SSL-VPN-advisory/
  2. https://devco.re/blog/2019/08/09/Fortigate-SSL-VPN-advisory/
  3. https://www.zdnet.com/article/hackers-mount-attacks-on-webmin-servers-pulse-secure-and-fortinet-vpns/

近期發生多起假檢警「境外匯款」鉅額詐騙,請小心勿上當

 

近期多件假檢警「境外匯款」鉅額詐騙,被害人年齡大多在50歲以上,事業有成、富有積蓄。接獲歹徒電話後,未加以查證即依照歹徒指示交付現金或(境外)匯款,造成財產損失也增加對自身生活環境之惶恐。

  • 近期案例
    吳女士(58歲)家中經營紅外線機具生意,5月份在家中接獲假銀行行員來電佯稱吳女士證件遭盜用被冒名開戶,表示將協助吳女士轉接檢察官處理,隨後假檢察官謊稱吳女士涉及香港洗錢案、多次傳喚皆未到案,要求被害人提領帳戶存款,交付公證以示清白,被害人信以為真,於108年5月20日至6月25日期間,分別於四家銀行臨櫃匯款21筆至香港(匯豐銀行)帳戶,金額合計美金244萬8,170元及歐元70萬7,000元(初估約新臺幣1億187萬8,270元)。
  • 詐騙手法
    1. 歹徒先隨機撥打市內電話或手機門號,假冒醫療院所、電信局或銀行人員名義,以個人資料遭冒用,再轉接假冒警察、檢察官,佯稱被害人涉及刑案、多次傳喚未到,要求配合辦案、監管帳戶、交付現金或(境外)匯款以證明清白,不配合就要收押等。
    2. 歹徒為避免銀行發現可疑情形,還會以「偵查不公開」為由,引導被害人若有行員詢問領款用途,要以公司購置機具、投資、子女結婚、家中買房子等理由搪塞行員。
    3. 因民眾對司法程序不甚瞭解,待匯款多筆後,聯繫不到假檢察官,始知受騙。

請民眾不要隨便輕信『假檢警』的詐騙,收到訊息請先查證165或相關單位,不要受騙上當

Google 資安團隊 Project Zero 一口氣發現多個 iOS 安全漏洞

Google的資安團隊Project Zero最近一口氣公開六個該團隊發現的 iOS 安全漏洞,其中有些漏洞可讓駭客在用戶不知情的情況下侵入系統,甚至執行任意程式碼。

這六個被發現的漏洞,第一個是 CVE-2019-8646,駭客可利用這個漏洞遠端讀取裝置中的資訊;因為沒有任何用戶互動,所以用戶難以發現。

第二個漏洞是 CVE-2019-8660,與記憶體管理有關;駭客可利用特殊設計的程式碼引發記憶崩潰(memory corruption),藉以造成應用程式停止運作或執行任意程式碼。其他漏洞說明,詳見參考連結。

上述的六個資安漏洞,其中的四個已在七月22日發行的 iOS 12.4 中修補完成,但仍有兩個漏洞尚未完成修補。

  • CVE編號:
    • CVE-2019-8646
    • CVE-2019-8647
    • CVE-2019-8660
    • CVE-2019-8641
    • CVE-2019-8662
    • CVE-2019-8624
  • 影響產品:iOS 12.4 之前版本
  • 解決方案:升級至 iOS 12.4 以上版本

資料來源:

  1. https://bugs.chromium.org/p/project-zero/issues/detail?id=1858
  2. https://www.securityweek.com/google-researchers-find-remotely-exploitable-vulnerabilities-ios
  3. https://twitter.com/natashenka/status/1155941108553175041

Intel 處理器再次發現嚴重資安漏洞

Intel 各型處理器,繼去年年初被發現其分支預測執行單元存有稱為「Spectre」和「Meltdown」的嚴重資安漏洞後,近日又被發現另一個類似的資安漏洞,可導致在 CPU 內存取的敏感資料遭到竊取。

駭侵者可利用這個資安漏洞,以「旁路攻擊」(Side-channel attack)方式濫用一種稱為 SWAPGS 的指令,取得處理器核心記憶體中的敏感資料,例如密碼、token、加密密鑰等。

這個漏洞雖然和先前的 Spectre、Meltdown 很類似,但先前各作業系統廠商發行的資安修補程式,對此一漏洞是無效的,必須另行安裝新的更新修補程式。

微軟表示,已在七月發行的更新包中修補了這個漏洞,各 Windows 版本用戶應立即安裝此一更新。

  • CVE編號:CVE-2019-1125
  • 影響產品(版本):Intel 2012 年後推出的各型 x86 處理器。
  • 解決方案:安裝各作業系統廠商推出的最新軟體更新套件。

資料來源:

  1. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1125
  2. https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1125
  3. https://www.infosecurity-magazine.com/news/new-intel-swapgs-flaw-spells-bad/

Adobe Acrobat 與 Adobe Reader 被發現多個安全漏洞

這批安全漏洞總數達到 60 個以上,以資料洩漏和任意程式碼執行的資安風險為主,而且受影響的平台不只 Windows,也包括 Mac 版本。

Adobe 已針對這些重要安全漏洞發行更新,請所有 Adobe Acrobat 和 Adobe Reader 的用戶盡速更新,以修補漏洞。

  • CVE編號:多個 CVE 編號,詳閱參考連結。
  • 影響產品(版本):Adobe Acrobat 與 Adobe Reader Windows/Mac 多個版本,詳閱參考連結之文件內列表
  • 解決方案:安裝 Adobe 發行之最新安全更新軟體即可

資料來源:

https://helpx.adobe.com/security/products/acrobat/apsb19-41.html

老舊聯想筆電被發現另一嚴重資安漏洞

資安研究單位 Pen Test Partners 發表研究報告,指出已經不再支援的聯想 Lenovo Solution Center 軟體,存有另一嚴重資安漏洞;駭侵者可藉此漏洞提升自身權限至管理者或系統階層權限,並且執行任意程式碼。

Lenovo Solution Center 是先前預載在所有聯想筆電的系統管理程式,由於先前曾經爆發另一嚴重資安問題,聯想已經停用該程式且停止支援;但可能仍有相當數量的老舊聯想筆電,仍在執行這個程式。

聯想已經針對這個資安漏洞發布資安通報,並且建議所有還在執行 Lenovo Solution Center 的老舊聯想電腦用戶,盡速升級至新版的 Lenovo Vantage 軟體。

  • CVE編號:CVE-2019-6177
  • 影響產品:Lenovo Solution Center 12.003
  • 解決方案:升級至 Lenovo Vantage。

資料來源:

  1. https://threatpost.com/bug-found-in-pre-installed-software/147657/
  2. https://nvd.nist.gov/vuln/detail/CVE-2019-6177
  3. https://support.lenovo.com/tw/zh/solutions/len-27811

SanDisk SSD Dashboard 管理程式存有資安漏洞

資安專家 Martin Rakhmonov 在日前發表研究報告,文中指出全球儲存裝置大廠 SanDisk 推出的電腦端 SSD 管理程式存有兩個資安漏洞。

首先是 CVE-2019-13466,這個資安漏洞在於把用來保護用戶資訊的加密密鑰,以明碼寫死在程式碼中,而且非常容易破解。

其次 CVE-2019-13467 的問題更加嚴重:該軟體與 SanDisk 伺服器透過網路傳輸資料時,仍使用未經加密的 http 協定,而非加密的 https,因此非常容易遭到中間人攔截攻擊。

在作者向 SanDisk 通報這兩個問題後,SanDisk 做了相對應的調整:目前不再將用戶資料自動上傳到其伺服器,改為由用戶在通報問題時手動上傳,另外傳輸協定也改為 https。

  • CVE編號:CVE-2019-13466、CVE-2019-13467
  • 影響產品:SanDisk SSD Dashboard 5.1.0 之前版本
  • 解決方案:升級至 SanDisk SSD Dashboard 5.1.0 起之新版

資料來源:

  1. https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/sandisk-ssd-dashboard-vulnerabilities-cve-2019-13466-cve-2019-13467/
  2. https://www.trustwave.com/en-us/resources/security-resources/security-advisories/?fid=25983