標籤: News

Zimbra Collaboration電子郵件軟體中的零日漏洞被四個不同的駭客組織所利用，竊取大量使用者的電子郵件資料、使用者憑證和身分驗證權杖。

Zimbra Collaboration是一個全功能的協作平台，主要提供電子郵件、行事曆、任務管理、聯絡人管理等協作工具。這個平台的特點在於其開放原始碼的性質，讓使用者可以自由地搭建和管理自己的郵件和協作伺服器。

谷歌威脅分析小組（TAG）在一份報告中表示：“大部分活動都是在 GitHub 上公開最初的修復之後發生的。”

該漏洞被紀錄為CVE-2023-37580（CVSS 評分：6.1），是一個跨站腳本攻擊（XSS）漏洞，影響更新包41、 8.8.15之前的版本。Zimbra在 7 月 25 日發布的更新解決了這個問題。

透過該漏洞，攻擊者只需誘騙受害者點擊特製的 URL，即可在受害者的網路瀏覽器上執行惡意腳本。Google TAG 表示，從 2023 年 6 月 29 日開始，即發現了多個攻擊活動，至少比 Zimbra 發佈更新建議還提早了兩週。四個攻擊活動中的三個是在更新發布之前觀察到的，第四個活動是在發布一個月後發現的。

據稱，第一個活動以希臘的一個政府組織為目標，向其目標發送包含惡意連結的電子郵件，當用戶點擊這些URL 時，就會被安裝名為 EmailThief 的電子郵件竊取惡意軟體。

利用 CVE-2023-37580 的第二個威脅攻擊者是 Winter Vivern，該漏洞的修補程式於 7 月 5 日推送到 GitHub 後不久，Winter Vivern就馬上針對摩爾多瓦和突尼西亞的政府組織展開攻擊。

TAG 也發現到，在 7 月 25 日更新發布之前，有第三個身份不明的組織將該漏洞武器化，以竊取越南某政府組織的憑證。而巴基斯坦的一個政府組織於 8 月 25 日也遭到攻擊，導致 Zimbra 身份驗證權杖外洩。

TAG 進一步指出，威脅攻擊者經常利用郵件伺服器中的 XSS 漏洞，因此需要對此類應用程式進行徹底驗證。並表示，該漏洞首次公開後即發現至少四個利用 CVE-2023-37580 的活動，這表示組織需要盡快對其郵件伺服器進行修復的急切性。

部分入侵指標(Indicator of compromise -IOCs):

domain   ntcpk.org                

URL  https://obsorth.opwtjnpoc.ml/pQyMSCXWyBWJpIos.js      

URL  https://applicationdevsoc.com/zimbraMalwareDefender/zimbraDefender.js                    

URL  https://applicationdevsoc.com/tndgt/auth.js

Photo credit: Checkmarx

根據Checkmarx 的報告一組新的惡意 Python 套件已進入 Python 套件儲存庫 (PyPI) ，其目的是從受感染的開發人員系統中竊取敏感資訊，這些軟體包偽裝成看似無害的混淆工具，但卻隱藏著名為BlazeStealer的惡意軟體。

此事件於 2023 年 1 月開始，總共涉及 8 個套件，名為 Pyobftoexe、Pyobfusfile、Pyobfexecute、Pyobfpremium、Pyobflite、Pyobfadvance、Pyobfuse 和 pyobfgood，最後一個套件於 10 月發布。

這些模組附帶 setup.py 和 init.py 文件，旨在檢索 Transfer[.]sh 上託管的 Python 腳本，該腳本在安裝後立即執行。

該惡意軟體名為BlazeStealer，能使攻擊者能夠獲取大量資訊，包括來自Web 瀏覽器的密碼、執行任意命令、加密文件以及停用受感染主機上的Microsoft Defender 防毒軟體。

同時它會透過提高 CPU 使用率、在啟動目錄中插入 Windows 批次腳本來關閉電腦，甚至強制出現藍屏死機 (BSoD) 錯誤，從而導致使電腦無法使用。

與這些套件相關的下載多是在美國，其次是中國、俄羅斯、愛爾蘭、香港、克羅埃西亞、法國和西班牙。在被刪除之前，它們總共被下載了 2,438 次。

近年來，開源儲存庫已成為威脅行為者傳播惡意軟體的溫床。根據 Phylum 2023 年第三季軟體供應鏈安全演進報告，多個生態系統中總計 13,708 個套件被發現在安裝過程中執行可疑程式碼，有 1,481 個軟體包從遠端來源秘密下載並執行代碼，10,201 個套件引用了已知的惡意 URL。

開源領域是未來創新與進步的沃土，但開發者仍需要謹慎並保持警惕，並對不熟悉的套件進行檢查，確保其安全無虞。

伊朗國家級駭客組織MuddyWater被發現參與一個針對兩個以色列實體的魚叉式釣魚攻擊活動，最終成功部署了遠端管理工具，N-able的Advanced Monitoring Agent。

網路安全公司Deep Instinct揭露了有關這些攻擊的詳細資訊，在過去MuddyWater也曾使用類似的攻擊鏈來部署其他遠端

存取工具，如ScreenConnect、RemoteUtilities、Syncro和SimpleHelp。

Deep Instinct表示作為伊朗網路威脅能力迅速提高的進一步證據，他們還發現MuddyWater利用了一個名為MuddyC2Go的新命令和控制（C2）框架，這是MuddyC3和PhonyC2的後繼者。

該組織至少自2017年以來一直活躍至今，據信是伊朗情報和安全部（MOIS）所支持的，與MOIS相關的集團還包括OilRig、Lyceum、Agrius和Scarred Manticore等。

之前的攻擊序列包括發送帶有惡意連結的魚叉式釣魚郵件，這些連結是在存放在各種文件共享平台上的HTML、PDF和RTF附件，最終會導致將上述其中一種遠程管理工具下載到受害者系統。

這一次的攻擊中，MuddyWater使用了一個名為Storyblok的新文件共享服務來啟動多階段感染行為。安全研究員Simon Kenin指出，它包含隱藏檔案、一個啟動感染的LNK文件，以及一個用於將誘餌文件取消隱藏並執行Advanced Monitoring Agent（一個遠程管理工具）的可執行檔案。

在受害者被感染後，MuddyWater操作者將使用合法的遠程管理工具連接到受感染主機並開始對目標進行偵查行為。呈現給受害者的誘餌文件是來自以色列公民事務委員會的官方備忘錄，可以從其官方網站上公開下載。

MuddyWater的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

a2ae5e994c0b515cadd425cfda4d4ae33b71893c45b702e1f8c1a495dc1b440f

5342101fdca144d084efffac753ab7cdede06a6f78f830309dc4f7ea3a626357

SHA 1

89b2fd7af39f3acdc2e03402976695dbf64fa463

000dc108e0bc846693d48b52679aff3155db79c8

MD5

e8f3ecc0456fcbbb029b1c27dc1faad0

dd247ccd7cc3a13e1c72bb01cf3a816d

更多APT組織攻擊事件：

iPhone上的 LightSpy 間諜軟體，被證實與中國駭客組織APT41有所關聯！

iPhone上的 LightSpy 間諜軟體，被證實與中國駭客組織APT41有所關聯！

中國 APT組織利用 HTML挾帶手法來攻擊歐洲外交部和大使館

中國 APT組織利用 HTML挾帶手法來攻擊歐洲外交部和大使館

研究稱中國APT駭客利用MgBot惡意軟體攻擊騰訊QQ，以監視非營利組織

研究稱中國APT駭客利用MgBot惡意軟體攻擊騰訊QQ，以監視非營利組織

中國APT駭客組織 Mustang Panda利用新的自訂義後門MQsTTang發動攻擊，瞄準歐洲、亞洲和澳洲，研究顯示已鎖定台灣政府機構!

中國APT駭客組織 Mustang Panda利用新的自訂義後門MQsTTang發動攻擊，瞄準歐洲、亞洲和澳洲，研究顯示已鎖定台灣政府機構!

北韓APT駭客利用網路釣魚，攻擊了近900百南韓名外交政策專家

北韓APT駭客利用網路釣魚，攻擊了近900百南韓名外交政策專家

VMware是一家總部位於美國加利福尼亞州帕洛阿爾托的軟體公司，成立於1998年。該公司專注於虛擬化技術和雲端運算解決方案的開發和銷售，在虛擬化和雲端運算領域具有廣泛影響力的公司，為企業提供了許多技術和解決方案，以提高其IT基礎設施的效率、靈活性和安全性。

該公司近日發布了安全性更新，以解決該公司 vCenter Server 中的一 個嚴重漏洞，該漏洞可能會導致受影響的系統上可進行遠端程式碼執行。此問題編號為CVE-2023-34048 （CVSS 評分：9.8），被描述為 DCE/RPC 協定中的越界寫入漏洞。

VMware在25日發布的公告中表示，透過網路存取 vCenter Server 的惡意行為者可能會觸發越界寫入，從而導致遠端程式碼執行。

VMware進一步表示，目前沒有避險作法（workaround）可以緩解該漏洞缺陷，並且已在該軟體的以下版本中提供了安全性更新：

• VMware vCenter Server 8.0（8.0U1d 或 8.0U2）
• VMware vCenter Server 7.0 (7.0U3o)
• VMware Cloud Foundation 5.x 和 4.x

鑑於該漏洞的嚴重性以及缺乏臨時緩解措施，VMware還為 vCenter Server 6.7U3、6.5U3 和 VCF 3.x 提供了修補程式。VMware表示，目前不確定這個漏洞是否被廣泛利用作為攻擊手段，但仍呼籲使用者須盡快進行安全性更新，以避免任何潛在的威脅。

此次更新也進一步解決了 CVE-2023-34056（CVSS 評分：4.3），這是一個影響 vCenter Server 的部分資訊外洩漏洞，可能使具有非管理權限的惡意行為者能夠存取未經授權的資料。

美國網路安全暨基礎設施安全局（CISA）將Cisco IOS XE的漏洞CVE-2023-20273新增至其已知被利用的漏洞清單中。

該漏洞是Cisco IOS XE的Web UI中一個未預期的錯誤，攻擊者可以將此漏洞與CVE-2023-20198一起使用，以利用新的本地用戶權限提升到root權限並在檔案系統植入惡意程式。

Cisco上週10/16通知客戶目前存在一個被積極利用來進行攻擊的零日漏洞，該漏洞被標記為CVE-2023-20198，其CVSS分數為10，該漏洞位於Cisco IOS XE作業系統的網頁使用者介面，Cisco是在其技術支援中心（TAC）所支援的多個案例中發現了這個漏洞，攻擊者可以利用這個漏洞來獲得管理員權限並接管那些未受到妥善保護的路由器。

在調查利用CVE-2023-20198漏洞的相關攻擊時，Cisco注意到已針對此問題進行過修補的系統再次遭到攻擊，這種情況顯示威脅攻擊者正在利用第二個零日漏洞。

該公司發布的公告中指出，經過他們的調查，確定攻擊者利用了兩個未知的漏洞進行了攻擊行為。攻擊者首先利用CVE-2023-20198來獲得初始訪問權限，並使用系統最高的第15級權限來創建新的本地用戶和密碼，並且有正常的訪問權限。

然後，攻擊者利用另一漏洞，透過Web UI將新的本地用戶權限提升到root權限並將惡意程式寫入檔案系統。目前Cisco已將此事件定為CVE-2023-20273，其CVSS分數為7.2。

美國CISA也已發布了處理CVE-2023-20198和CVE-2023-20273漏洞的相關指南。根據其公告於 2021 年 11 月的具約束力操作指引 (binding operational directive) BOD 22-01 規定，在 CISA 公布新的已遭用於攻擊漏洞時，所有美國聯邦政府民事機關，都必須針對相關漏洞進行處理。據此，CISA要求聯邦機構在2023年10月27日之前修復此漏洞。

目前思科已正式發佈軟體更新，以解決 Cisco IOS XE 軟體版本 17.9 中兩個經常被利用的安全漏洞，並正在修復版本 17.6、17.3 和 16.12。可以在此處存取其他發布資訊。

2023年，卡西歐資料泄露事件震撼全球！當這個以消費性電子聞名的公司，發現其廣受歡迎的ClassPad教育平台內部資料庫出現異常時，才赫然發現自己捲入了一場全球資安風暴。最初只是一個例行的系統故障，但迅速演變成了一場災難性的數據外洩事件，凸顯出即便是聲譽卓著的企業也存在資安漏洞。

卡西歐於2023年10月11日首次發現這次資料泄露事件。當公司的ClassPad教育平台內部數據庫出現問題時，他們才意識到這一問題。這個事件牽涉了大量敏感客戶資訊，包括客戶姓名、電子郵件地址、居住國家、服務使用細節，以及付款方式、授權碼和訂單細節等交易資訊。幸運的是，卡西歐未在受影響的資料庫中存放信用卡資訊，這減輕了一些潛在損害。

這次的資料泄露事件影響甚廣，截至10月19日，攻擊者已訪問了卡西歐日本客戶的91,921條記錄，包括個人客戶和1,108個教育機構客戶。此外，來自149個國家和地區的35,049條客戶記錄也遭到了竊取。

卡西歐將這次的泄露事件歸因於資安營運管理的認知不足，因為他們在開發環境中關閉了部分網路安全設置，從而允許外部方獲得未經授權的訪問權。

卡西歐發現這一泄露事件後，迅速采取行動。公司在10月16日向日本的個人資料保護委員會報告了這一事件，並開始與執法機構合作調查。此外，卡西歐還聘請了外部網路安全和鑑識專家進行內部調查，以確定泄露事件的根本原因，並制定防止未來事件發生的資安政策。

卡西歐並非首次遭遇網路安全問題。今年8月初，一名名為“thrax”的威脅攻擊者聲稱在一個網路犯罪論壇上泄露了超過120萬用戶記錄。這些記錄據稱是從一個舊的casio.com資料庫竊取的，其中包括記錄截至2011年7月的資訊、AWS金鑰、和吃料庫憑證。

卡西歐的這次數據泄露事件提醒我們，數位世界中的威脅在不斷演變。隨著科技的進步，網路罪犯的能力也不斷增強。無論企業的規模和聲譽如何，都必須保持警覺，保護客戶的個人資訊，並不斷強化安全系統與提升員工資安意識，以應對潛在的外洩風險。

這次泄露事件過後，卡西歐面臨著重建信任和強化對客戶數據保護的挑戰。這一事件強調了全球組織都必須加強其網路安全措施，以保護客戶的個人資訊，從而為所有人創建一個更安全的數位環境。

D-Link是一家專注於生產路由器、交換機和網路解決方案，提供用戶高品質的網通設備的台灣網路設備製造商。該公司近日已確認一起機敏數據洩露事件，其表示目前洩露的資料都是低敏感以及半公開的資訊。

該公司表示，這些數據並不是從雲端空間所洩露的，目前盤查的結果顯示，很可能是來自在2015年就已達到生命週期並停止更新的的D-View 6系統。這些數據主要是進行產品註冊時所留下的，截至目前為止，沒有任何證據表明這些舊版數據中包含任何使用者的個人資訊或是財務資訊。

此事件的爆發是一個未經確認的組織聲稱竊取了許多台灣政府官員的個人數據以及D-Link的D-View網路管理軟體的程式碼，並且在2023年10月1日在BreachForums上分享相關資訊，時間長達兩週之久。

D-Link聘請網路安全公司趨勢科技協助調查此洩漏事件，並公開駁斥目前流傳的、關於此事件許多誇大以及不正確的資訊，例如該組織聲稱竊取了數百萬使用者數據的說法即為不實資訊，目前調查的結果顯示，此次洩露導致的數據洩漏僅約700條，顯然與該組織的說法有所出入。

D-Link近一步說明，他們有理由相信登錄時間的戳記遭到有心人士的竄改，才會使這些過時的數據最認為是最新的資訊。

據調查，此次洩露是由於一名員工不慎成為釣魚攻擊的受害者而發生的，並表示正在採取措施來增強其公司運營的安全性。

儘管此次攻擊事件的詳細過程並未被該公司所揭露，但D-Link向其使用者喊話，強調現階段的活躍客戶並未受到此次事件的影響。

更多關於釣魚攻擊的新聞：

針對美國能源機構的網路釣魚攻擊利用了惡意二維條碼(QR code)

針對美國能源機構的網路釣魚攻擊利用了惡意二維條碼(QR code)

北韓APT駭客利用網路釣魚，攻擊了近900百南韓名外交政策專家

北韓APT駭客利用網路釣魚，攻擊了近900百南韓名外交政策專家

製作TrickBot殭屍網路的駭客組織與釣魚郵件駭客Shatak聯手合作，在受害電腦上植入Conti勒索軟體

製作TrickBot殭屍網路的駭客組織與釣魚郵件駭客Shatak聯手合作，在受害電腦上植入Conti勒索軟體

在2023年9月，名為 Balada Injector 的惡意軟體對超過 17,000 個 WordPress 網站進行了攻擊，幾乎是8月份發現的攻擊數量的兩倍。

這其中有 9,000 個網站受到了最近披露的 tagDiv Composer 插件的安全漏洞（CVE-2023-3169，CVSS評分：6.1）的入侵。未經身份驗證的使用者可能會利用此漏洞執行儲存的跨站腳本（XSS）攻擊。

Sucuri 安全研究員 Denis Sinegubko 表示：“這並不是 Balada Injector 攻擊團體第一次針對 tagDiv 主題的漏洞進行攻擊。”

這類攻擊可以追溯到 2017 年夏季，當時針對 Newspaper 和 Newsmag WordPress 主題中披露的安全漏洞被瘋狂濫用。而 Balada Injector 是由 Doctor Web 在 2022 年 12 月首次發現的大規模入侵操作，其中攻擊者利用各種 WordPress 外掛漏洞在受影響的系統上部署 Linux 後門。

植入的主要目的是引導受感染網站的使用者前往偽冒的技術支援或是彩票中獎頁面。自 2017 年以來，已有超過 100 萬個網站受到該活動的影響。Balada Injector 涉及的攻擊以每幾週發生一次的頻率出現，通常是在週末的時候進行攻擊，而每週二檢測到的感染數量會急劇增加。最新一系列漏洞需要利用 CVE-2023-3169 注入惡意腳本，最終通過上傳後門、添加惡意外掛程式和建立惡意管理員來建立對網站的持續訪問。

從歷史上看，這些腳本的目標是 WordPress 網站管理員的登入權限，因為它們允許攻擊者通過管理介面提升的權限執行惡意操作，包括創建可用於後續攻擊的新管理員帳號。這些腳本能夠嵌入後門在網站的 404 錯誤頁面中，這些後門可以執行任意的 PHP 程式碼，或者使用嵌入到頁面中的程式碼來自動安裝惡意 wp-zexit 外掛。

Sucuri 將其描述為最複雜的腳本執行攻擊類型之一，因為它模仿了從 ZIP 檔案安裝外掛並啟動它的整個過程。該外掛的核心功能與後門相同，都是執行攻擊者遠端發送的PHP程式碼。

此外，在 9 月下旬觀察到新的攻擊模式，需要使用隨機程式碼注入來從遠端伺服器下載並啟動第二階段惡意軟體以安裝 wp-zexit 外掛。同時還使用模糊腳本將訪客的 cookie 傳輸到參與者控制的 URL ，並取得回傳的未定義 JavaScript 程式碼。

Sinegubko 解釋說：“攻擊者這次很明顯地沒有使用到 tagDiv Composer 漏洞，而是利用了在成功攻擊網站管理員後植入的後門與新創的惡意管理員。”

竣盟科技建議您，若使用 WordPress 設立網站，應注意以下五點安全措施：

保持WordPress及其插件和主題更新：

定期更新WordPress核心、插件和主題，以確保已修復已知的安全漏洞。

使用強密碼：

使用包含字母、數字和特殊字元的強密碼，定期更改密碼，為每個管理員和使用者分配唯一的憑證。

限制登入嘗試：

安裝登入嘗試次數限制的外掛程式，以防止暴力破解密碼，使用雙因素認證（2FA）增加額外層次的安全性。

備份網站：

定期備份整個網站，包括資料庫和檔案，確保備份存儲在安全的地方，並測試其可還原性。

安裝安全外掛程式：

安裝安全外掛程式，如Wordfence、Sucuri Security或iThemes Security，以監控和加固網站安全性。