台灣資安新聞彙整 2022.05.02 - 05.08
巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！
5/3
關注身心健康 app 與祈禱類別 app 所隱含的個資問題
來自 Mozilla 的分析指出，在 32 個身心健康與祈禱類別的 app 中，約有 29 個隱含了嚴重的資安疑慮。這些 app 未符合包含「加密」、「定期資安更新」、「強健的密碼」、「安全管理」等標準的要求。
https://www.infosecurity-magazine.com/news/mental-health-prayer-apps-fail/
攻擊者使用 Windows Event Log 來隱藏無檔案的惡意程式
雖然以前就有惡意軟體通過 Windows 的 Powershell 或是 Windows Management Instrument (WMI) 等無檔案的方式來感情染電腦，但是最近被發現的 Windows Event Log 讓資安專家驚奇。此攻擊運用把執行腳本分散儲存到電腦的記憶體裡，並透過 Windows Event Log 來找尋各個部份的程式碼，組合起來並執行。無檔案的方式可以降低被防毒軟體等針測到的可能性。
https://threatpost.com/attackers-use-event-logs-to-hide-fileless-malware/179484/
微軟關閉 VBA 使 Emotet 改用新手法感染用戶
微軟關閉 Office 文件的 VBA 巨集以防止惡意程式，使得歷來最險惡的殭屍網路程式 Emotet 改變擴散策略及攻擊手法。
https://www.ithome.com.tw/news/150714
5/4
最大的原始碼管理員 GitHub 將於 2023 年把 2FA 設為必要
最大的原始碼管理公司 GitHub 的 最高資安負責人 (CSO) 聲明將在 2023 年年底前將要求所有在 GitHub 平台上貢獻的軟體工程師設定自己帳號的 2FA ，也就是多因素驗證。目前的 GitHub 已經提供了 OTP App、SMS 簡訊和恢復碼三種方式。Salesforce 的 Heroku 也在今年的四月已做出相同的決策。
調查指出「醫療保健」與「教育」為最容易受到網路攻擊的種類
根據 2021 年英國資訊委員辦公室（ICO）的 H2 數據指出，經由 CybSafe 的分析，去年發生的資安事件中，約有三分之一（34%）都是發生「醫療保健」與「教育」這兩個種類上。這些數據顯示針對教育機構的勒索事件近年來有顯著的提升。
https://www.infosecurity-magazine.com/news/healthcare-education-cyber/
北韓駭客利用 VMware Log4j 漏洞，駭入美國防、能源業的工程合作廠商
賽門鐵克研究人員 2 月間發現，名為 Stonefly 的北韓駭客組織駭入美國國防及能源有合作關係的工程公司，利用的正是去年 12 月間揭露的 Apache Log4j 漏洞（CVE-2021-44228）。
https://www.ithome.com.tw/news/150749
5/5
解決影子 IT 所造成的問題和風險
因為疫情所造成的遠端辦公，很多企業開始多了很多影子 IT。影子 IT 是所謂的非經過公司的 IT 部門，而是其它部門自主導入的軟體服務。一項調查指出有 68% 的 IT 管理員擔心影子 IT 有可能成為他們公司的資安漏洞。影子 IT 有可能讓公司所使用的軟體不合規又或者洩漏公司機密資料的風險。
https://www.helpnetsecurity.com/2022/05/05/shadow-it-risk/?web_view=true
微軟釋出專屬於中小企業版本的防毒軟體（Defender）
為提供企業端的資安服務，微軟釋出了中小企業版本的 Microsoft Defender。這款企業版的 Defender 能夠提供自動保護、偵測與回覆等作業。
https://www.darkreading.com/analytics/microsoft-releases-defender-for-smbs
商業電子郵件詐騙大行其道，相關損失居網路詐騙首位
FBI 本周公布了 2021 年的網路犯罪調查報告，去年商業電子郵件詐騙（Business Email Compromise，BEC）雖然在投訴數量排行榜上只位居第九，但損失金額卻高居首位，達 24 億美元，占所有去年網路犯罪損失金額的 35%。
https://www.ithome.com.tw/news/150775
歡迎分享出去！
訂閱電子報
我們將每週彙整台灣資安新聞，寄至您的信箱。
感謝您的訂閱！