台灣資安新聞彙整 2023.08.21-08.27

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

8/21

WinRAR 存在著高危險性的安全漏洞

WinRAR 的實用程序中發現了一個嚴重的安全漏洞，有心人士可以利用該漏洞在 Windows 系統上實現遠端程式碼執行。此漏洞已被編號為 CVE-2023-40477（CVSS評分：7.8）。

https://thehackernews.com/2023/08/new-winrar-vulnerability-could-allow.html

8/22

數千種 Android 惡意軟體 APK 使用特殊壓縮方式逃避分析

資安廠商 Joe Security 與 Zimperium 近期分析發現，有數千種 Android 惡意軟體的 APK 安裝檔，採用非正規的壓縮方式，能夠成功避開多種防毒防駭工具的偵測；而且採用這種方式的惡意 Android APK 數量持續增加。

https://www.twcert.org.tw/tw/cp-104-7321-85da9-1.html

近期 HiatusRAT 攻擊瞄準台灣企業及美軍

HiatusRAT 已瞄準中型企業所使用的高頻寬路由器，允許駭客去執行指令、外洩其數據並建立隱蔽的代理伺服器網路。近期這些駭客改變了戰術，將攻擊焦點轉移到對美國軍方的採購系統去進行偵察，同時瞄準台灣的企業。

https://www.securityweek.com/us-military-targeted-in-recent-hiatusrat-attack/

260 萬名 的 Duolingo 用戶的資料被爬取，並被發布在駭客論壇上

260 萬名 Duolingo 用戶的爬取數據被洩露在一個駭客論壇上，讓有心人士能夠利用這些曝光的資訊可以進行有針對性的釣魚攻擊。Duolingo 是全球最大的語言學習網站之一，全球每月用戶數超過 7400 萬。這些數據包括公開的登錄名和真實姓名，以及非公開資訊，包括電子郵件地址和與 Duolingo 服務相關的內部資訊。

https://www.bleepingcomputer.com/news/security/scraped-data-of-26-million-duolingo-users-released-on-hacking-forum/

8/24

WinRAR 零時差漏洞已被濫用，受害者點擊無害檔案就安裝惡意程式

檔案壓縮軟體 WinRAR 一項漏洞可讓用戶點擊無害檔案時遭安裝惡意程式，至少 4 月已經被用來攻擊加密貨幣投資人從帳號內竊取財物。

https://www.ithome.com.tw/news/158421

Meta 承諾 FB Messenger 年底前預設全程加密

為了讓 Messenger 服務提供全程加密，Meta為此重新設計系統，並改寫 100 多項功能，導致 Messenger 的 E2EE 開發工程，要比 WhatsApp 來得龐大

https://www.ithome.com.tw/news/158424

8/25

儘管最近已進行修補，Barracuda 郵件安全閘道仍存在漏洞。

美國聯邦調查局（FBI）的警告指出，已對最近被揭露的重大漏洞進行修補的 Barracuda Networks 郵件安全閘道（ESG）設備仍然可能受到潛在威脅，可能會被中國的駭客組織入侵。這個遠端指令注入漏洞允許未經授權的系統指令以管理員特權執行。

https://thehackernews.com/2023/08/urgent-fbi-warning-barracuda-email.html