台灣資安新聞彙整 2023.12.11-12.17
巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！
12/11
蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進行控制
最近有研究人員公布新的漏洞 CVE-2023-45866，並指出攻擊者可藉此配對「假鍵盤」，從而操作目標裝置，影響 macOS、iOS、Linux、安卓作業系統的電腦或行動裝置，值得留意的是，研究人員今年 8 月通報後，蘋果目前尚未對此漏洞進行修補。
https://www.ithome.com.tw/news/160267
Toyota 警告客戶資料遭入侵，導致個資外洩
豐田金融服務公司 (TFS) 警告客戶其遭受了資料外洩，並表示敏感的個人和財務資料在攻擊中被外洩。該公司證實，在 Medusa 勒索軟體聲稱成功入侵這家日本汽車製造商的部門後，它在歐洲和非洲的一些系統上檢測到未經授權的存取。豐田尚未與網路犯罪分子協商支付贖金，目前所有資料均已外洩在暗網上 Medusa 的勒索入口網站上。
12/13
駭客正濫用 OAuth 應用以自動化攻擊行動
近期微軟揭露針對自家雲端環境進行的 OAuth 攻擊行動裡，駭客不只建置大量的 OAuth 應用程式來從事對手中間人攻擊（AiTM），挾持電子郵件信箱來進行下一階段行動，特別的是，也有駭客藉由 OAuth 挾持 Azure 用戶帳號，並租用虛擬機器來進行挖礦。
https://www.ithome.com.tw/news/160308
逾 1,400 臺開源防火牆系統 pfSense 存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼
資安業者 SonarSource 揭露開源防火牆系統 pfSense 多個漏洞，其中包含了中度風險、CVSS 風險評分皆為 5.4 的跨網站指令碼（XSS）漏洞 CVE-2023-42325 及 CVE-2023-42327，以及 CVSS 風險評分達到 8.8 的高風險命令注入漏洞 CVE-2023-42326，一旦攻擊者結合這些漏洞，就有可能在 pfSense 系統上發動遠端執行任意程式碼（RCE）攻擊，對方可利用網路釣魚手法，誘騙通過身分驗證的 pfSense 使用者點選惡意連結來觸發漏洞。
https://www.ithome.com.tw/news/160307
12/15
小型路由器成中國駭客組織 Volt Typhoon 下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動
研究人員針對中國駭客組織 Volt Typhoon 的攻擊行動提出警告，缺乏安全防護措施、廠商不支援的家用路由器、SOHO 防火牆設備均為目標，他們會透過殭屍網路病毒發動攻擊。
https://www.ithome.com.tw/news/160355
CISA 敦促停止使用預設密碼
美國網路安全和基礎設施安全局（CISA）敦促技術製造商停止提供具有預設密碼的軟體和設備。預設密碼通常用於簡化製造流程或幫助系統管理員更輕鬆地在企業環境中部署大量設備。儘管如此，未能更改這些預設設定會造成資安漏洞，駭客可以利用該漏洞來規避身分驗證措施，從而可能危及組織整個網路的安全。
駭客謊稱要修補實際並不存在的漏洞，對 WordPress 網站管理者進行詐騙，宣稱提供更新散布惡意軟體
最近有一起鎖定 WordPress 網站攻擊行動，駭客謊稱網站有漏洞，要管理者儘快套用「修補程式」。雖然駭客煞有其事地指出網站漏洞 CVE 編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。
https://www.ithome.com.tw/news/160190
加密硬體錢包製造商供應鏈違規導致 60 萬美元被盜
加密硬體錢包製造商 Ledger 發布了新版本的「@ledgerhq/connect-kit」npm 模組，此前身分不明的駭客推送了惡意程式碼，導致超過 60 萬美元的虛擬資產被盜。該公司在聲明中表示，這次攻擊是一名前員工成為網路釣魚攻擊受害者的結果。這使得攻擊者能夠存取Ledger 的 npm 帳戶並上傳該本的三個惡意版本- 1.1.5、1.1.6 和1.1.7 - 並將加密惡意軟體傳播到依賴於該模組的其他應用程式導致軟體供應鏈被入侵。
https://thehackernews.com/2023/12/crypto-hardware-wallet-ledgers-supply.html
歡迎分享出去！
訂閱電子報
我們將每週彙整台灣資安新聞，寄至您的信箱。
感謝您的訂閱！