近日發現有從校外寄至本校使用者之惡意郵件，
其特徵可能如下：
1.郵件標題為收件者姓名
2.內容具有非法合成之不雅照附件檔案與LINE ID
3.信件標題、內容如下：

主旨:收件者姓名
內容：
收件者姓名，我們受人委託調查你，現在已經掌握了關於你的所有資料，請儘快聯絡我處理，否則你的資料將會移交委託人曝光。LINE ID:dt2689

======================================================
敬請全校教職員生加強防範此類惡意郵件，避免開啟來源不明之電子郵件。
遇有前述郵件時請直接刪除，以避免個人資料或財產遭受損失。
若遇其他可疑郵件也歡迎與我們連絡查證。
若有任何問題，請聯絡業務聯絡人　郇智喬 分機2748

網站伺服器如有使用openssl套件，將有命令注入漏洞(CVE-2022-2068)(CVE-2022-1292)、阻斷服務漏洞(CVE-2022-0778)等資安漏洞
疑慮，請各網站伺服器管理人員檢視是否使用openssl套件，及版本是否已更新至最新版本。

詳見以下連結：

openssl 官方網站Changelog

https://www.openssl.org/news/openssl-1.1.1-notes.html

https://www.openssl.org/news/changelog.html

各資安漏洞之CVE介紹網站

https://nvd.nist.gov/vuln/detail/CVE-2022-2068

https://nvd.nist.gov/vuln/detail/CVE-2022-1292

https://nvd.nist.gov/vuln/detail/CVE-2022-0778

======================================================================
[其他消息]-網路組:敬請全校教職員生加強防範惡意郵件。
[發佈時間] 12.22
======================================================================
近日發現有從校外寄至本校使用者之惡意郵件，
其特徵可能如下：
1.郵件標題為\"我們很遺憾地宣布您的包裹正在等待交付，這是由於一些額外費用。\"
2.內容具有超連結，意圖誘使收件人點擊
3.寄件人之e-mail address非本校電子郵件（偽造[中華郵政]信箱）
4.信件標題、內容如下：

主旨:我們很遺憾地宣布您的包裹正在等待交付，這是由於一些額外費用。
內容：
尊敬的顧客，
我們很遺憾地宣布您的包裹正在等待交付，這是由於一些額外費用。
請填寫以下金額：369 新台幣
否則我們將進行退貨。
您的預計交貨日期為 2022 年 12 月 22 日
額外費用：海關徵收的費用。
如需更多服務，請單擊此處查找跟?您的貨件
感謝您理解中華郵政為您服務。
版權所有 c 2022 中華郵政股份有限公司。保留所有權利。.
中華郵政股份有限公司（以下簡稱\"本公司\"）承諾尊重所有用戶的個人隱私權，遵守《中華民國個人信息保護法》和本公司的個人信息保護政策。 本公司就用戶個人信息的收集、處理、使用和保護，特聲明如下： 本隱私保護政策適用於在本公司提供的網站、域名、服務和應用程序中收集、處理、使用和國際傳輸個人信息的活動。 當為特定網絡或服務指定不同的隱私政策或聲明時，該特定隱私政策或聲明將取代或作為本隱私保護政策的補充。本公司網站鏈接到不屬於本公司的其他網站或頁面，可能適用不同的政策，本公司不對該網站的內容或客戶信息安全保護負責。 當您選擇成為本公司的客戶或會員，或參加某些活動時，可能會要求您提供姓名、年齡、性別、職業、聯繫方式、電子郵件地址等個人信息。 收集上述個人信息的目的是加深我們對客戶的了解，以提供更好的服務。 公司的個人信息管理目標和政策作為收集、處理和使用個人信息的指導原則。 連同個人信息的整體安全和維護計劃，您可以放心提供給公司的個人信息的安全性。 嚴禁將收集到的個人信息出售或洩露給任何個人或單位，嚴禁內部員工擅自使用個人信息。 本公司將嚴格保護所收集的個人信息。 在適當情況下使用個人信息必須獲得授權，相關記錄由本公司保存。.

Dear Customer,

We regret to announce that the delivery of your package is pending, and this is due to some additional costs.

Please complete the following amount: 369 NT Dollars

Otherwise we will proceed with a return shipment.

Your estimated delivery date is December 22, 2022

Additional costs: Charges imposed by customs.

For more services, find tracking your shipment by clicking here

Thanks for your understanding Chunghwa Post at your service.

Copyright c 2022 Chunghwa Post Co., Ltd. All Rights Reserved.

Chunghwa Post Co., Ltd. (hereinafter the \"Company\") is committed in respecting all users\' personal privacy, being in accord with the Personal Information Protection Act of Republic of China and Company\'s personal information protectin policy. The Company hereby declaring the following statements in regards with the collection, processing, use and protection of user\'s personal information:
This privacy protection policy is applicable to the activities involving the collection, processing, use and international transmission of personal information on websites, domains, services, and applications provided by the Company. When different privacy policy or statement is designated for a specific network or service, that particular privacy policy or statement will replace or serve as a supplement for this privacy protection policy.

============================================================================
敬請全校教職員生加強防範此類惡意郵件，避免開啟來源不明之電子郵件。
遇有前述郵件時請直接刪除，以避免個人資料或財產遭受損失。
若遇其他可疑郵件也歡迎與我們連絡查證。
若有任何問題，請聯絡業務聯絡人　夏柏齡 分機2684
==================================================================
[發佈單位] 網路組
[業務承辦人]　夏柏齡 分機2684
==================================================================

From iThome：https://www.ithome.com.tw/news/149648
【資安日報】2022年3月2日，駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年
俄羅斯與烏克蘭之間的網路攻防仍在持續，其中，匿名者（Anonymous）聲稱癱瘓了俄羅斯、白俄羅斯的政府機關、新聞媒體、石油公司等，而針對烏克蘭的部分，則有鎖定該國政府機關的的另一波資料破壞攻擊。

在俄烏戰爭之外，中國駭客的間諜行動也相當值得留意，研究人員發現埋藏近10年的後門程式Daxin，該惡意程式被用於監控含有機密資料的電腦，且藉由將攻擊埋藏在TCP流量裡，而到最近才被發現。

【攻擊與威脅】
俄烏戰爭爆發前夕針對烏克蘭的網路攻擊恐不只一起！惡意軟體IsaacWiper鎖定政府機關破壞資料

俄羅斯開始發動武裝攻擊之前，鎖定烏克蘭政府機關的惡意軟體攻擊行動接連發生。資安業者ESET在2月23日發現名為HermeticWiper的資料破壞軟體（Wiper）攻擊行動後，他們最近揭露於24日至26日之間，出現的另一款資料破壞軟體IsaacWiper，駭客使用該軟體發動攻擊的對象與HermeticWiper不同，且駭客疑似搭配滲透測試工具Impacket進行橫向移動，在部分受害電腦裡駭客也植入木馬程式RemCom。

from iTHome
https://www.ithome.com.tw/news/148337?fbclid=IwAR07xke7r7kY2CxFTa_yGUzESIT0HxjX-xHtNy6iiCoRFRocC9JE4n41j2Y

漏洞概要

漏洞編號：CVE-2021-44228
風險等級：CVSS 3.0評分10分（最嚴重10分）
影響產品：Apache Log4j 2.0-beta9至2.14.1
解決方法：1. 安裝Apache推出的Log4j 2.15版 2. 使用較新版本的Java SDK（JDK），限制JNDI漏洞利用
​攻擊利用：已知攻擊手法與攻擊事件
事件概覽

Apache甫於12月初前發布Log4j修補版本2.15.0，修補一重大漏洞（CVE-2021-44228），此漏洞約於12月10日開始受關注，當日我們報導此漏洞警訊，是阿里雲安全團隊在9日率先公告，他們指出是在11月24日向Apache官方提報這次漏洞，不過這時雙方並未公布CVE漏洞編號，我們僅能從GitHub Advisory Database找出此RCE漏洞是CVE-2021-44228，而NIST NVD的漏洞頁面則尚未公開（直到美國時間10日才發布）。

到了12月11日與12日，隨著更多資安人員關注到此漏洞，相關漏洞資訊與影響也接連曝光，該漏洞被命名為Log4Shell，CVSS風險分數為滿分10分，而且許\多大型IT公司的應用系統都使用這款工具，也導致許\多業者已經發布產品資安公告，包括Cisco、NetApp等，還有研究人員指出蘋果iCloud、遊戲平臺Steam等都受影響。研究人員Marcus Hutchins更是指出，「有數百萬款應用程式使用Log4j記錄程式活動，而攻擊者只需在聊天欄位發出訊息，將可能觸發與利用這個漏洞。」㊣
漏洞說明

編號為CVE-2021-44228的日誌框架系統Apache Log4j重大漏洞，肇因於某些功\能存在遞迴解析功\能，存在JNDI注入漏洞，而攻擊者可直接發出惡意請求，觸發遠端程式碼執行漏洞。㊣
影響程度

此漏洞經由CVSS 3.0漏洞評分系統評估為10分（最嚴重為10分），屬重大危險等級的漏洞。

由於使用存在漏洞版本的Log4j，將無法防範攻擊者控制LDAP與其他JNDI有關的端點，一旦攻擊者掌握了事件記錄訊息或是參數，有可能在訊息探索啟用的情況下，從LDAP伺服器載入程式碼的管道，執行任意程式碼。
漏洞利用

研究人員p0rz9在GitHub上揭露該漏洞的概念驗證攻擊程式，公布不到1天，資安廠商GreyNoise已偵測到有將近100臺主機利用CVE-2021-44228發動攻擊，這些伺服器大部分是Tor出口節點。

此外，紐西蘭電腦緊急回應小組（CERT NZ）也於12月10日指出，他們獲報此漏洞遭到廣泛利用的跡象。思科亦於12日表示他們在2日開始觀察到相關攻擊活動。Sophos則發現Mirai、Tsunami、Kinsing等殭屍網路開始利用CVE-2021-44228，以利用受害伺服器進行挖礦，他們從12月9日開始，檢測到數十萬次的漏洞利用探測行為。
漏洞修補

由於有多款軟體套件裡包含了Log4j，例如：Apache Struts2、Apache Solr、Apache Druid、Apache Flink，故應用系統的管理者需著手調查，是否採用名稱含有log4j-core的JAR檔案，假如此檔案有被引入使用，且為受影響的版本，管理者應從Apache網站下載最新版本，並儘速升級（2.15.0以上版本）。

若是無法更新Log4j，阿里雲也提到能使用較新版本的Java SDK（JDK），藉由限制JNDI漏洞利用的方式，來暫時緩解漏洞所帶來的風險。這些版本的SDK是6u211、7u201、8u191、11.0.1。再者，對於Log4j 2.10以上版本，亦可修改配置來達到緩解效果：將log4j2.formatMsgNoLookups的值設定為True，或將JndiLookup類別從classpath路徑刪除。

Log4j 1.x不會直接受到這個漏洞影響，但該版本產品生命週期已經結束（EOL），可能存在其他RCE漏洞且不會有修補程式，使用者仍應升級2.15.0以上版本。
事件時間軸

2021年11月24日 阿里雲安全團隊向Apache通報Log4j遠端程式碼執行漏洞CVE-2021-44228
2021年12月6日或更早 Apache發布Log4j 2.15.0修補漏洞
2021年12月9日 阿里雲安全團隊發布Log4j的RCE漏洞預警
2021年12月10日 研究人員p0rz9在GitHub上揭露概念驗證攻擊程式
2021年12月11日 NIST NVD的CVE-2021-44228漏洞頁面公開（當地12月10日）

新聞來源：iThome

摘要：
微軟揭露一起使用TodayZoo攻擊套件的網路釣魚攻擊，駭客以密碼需要重置或是文件掃描通知為由，引誘受害者到假的登入網頁，進而竊取他們的微軟帳號及密碼

微軟揭露一起自2020年底開始網路釣魚攻擊，駭客使用名為TodayZoo的攻擊套件，為了避免使用者察覺異狀，他們使用了零點像素字體（Zero-point Font）的混淆手法，並透過假造的Microsoft 365登入網頁，來騙取使用者帳密。

參考位址：https://www.ithome.com.tw/news/147459

新聞來源：iThome

摘要：
微軟宣布「非營利組織安全方案」，預計3年內為5萬家組織提供產品及監控服務，以防範國家支持的網路攻擊。

微軟指出，網路犯罪影響所有產業與組織，但欠缺人力及財務資源的非營利組織往往最為脆弱，無法保護賴以運作的資料，從捐款人、計畫參與者到志工等。這也是非營利組織安全方案推出的原因。根據微軟數據，今年非政府組織、智庫是網路犯罪者第二大目標，占微軟警告對象的31%。而另一項數據顯示，政府及非營利組織資料庫每39秒就有駭客試圖存取。

微軟非營利組織安全方案結合該公司安全產品套件及相關服務，可主動監控及警告國家駭客攻擊活動、協助非營利機構從組織和基礎架構角度評估風險，藉以強化環境的安全性。這方案預計第1年支持1萬家組織，3年涵蓋\全球5萬家非營利組織。
參考位址：https://www.ithome.com.tw/news/147449

幫助國內企業組織對抗勒索軟體，臺資安通報機構設立防護專區，可協助事前、事中與事後因應

新聞來源：iThome

摘要：

不少企業對於勒索軟體攻擊等資安事件的處理，已做好應變與復原計畫的準備，然而，還是有許\多企業無任何規畫，在10月初TWCERT/CC推出勒索軟體防護專區的獨立入口網站，希望讓普遍大大小小企業至少都能有基本的著手方向，並結合No More Ransom平臺與CISA CSET的RRA防勒索軟體成熟度自評工具的資源說明。

參考位址：https://www.ithome.com.tw/news/147355

新聞來源：iThome

摘要：

微軟在本周二（10/12）的Patch Tuesday修補了74個安全漏洞，其中有3個屬於重大（Critical）等級，另有4個為零時差漏洞，當中涉及Win32k權限擴張的CVE-2021-40449漏洞已遭駭客開採。此外，微軟本月已先行修補了7個有關Microsoft Edge的安全漏洞，意謂著10月的漏洞修補總數為81個。

詳情請參閱\連結 https://www.ithome.com.tw/news/147241

[轉載自 IThome https://www.ithome.com.tw/news/145779]

編號CVE-2021-33909的安全漏洞，可讓無特權的使用者取得系統的根權限，影響從2014年以來發布的所有Linux核心版本

文/陳曉莉 | 2021-07-21發表

根據紅帽的說明，駭客只要建立、掛載與刪除一個路徑長度超過1GB的深層目錄架構，就能開採CVE-2021-33909漏洞，並讓無特權的本地端駭客取得根權限。開採CVE-2021-33910的方法也類似，當本地端駭客掛載一個長路徑的檔案系統時，就會破壞systemd與整個系統，使得它們失去回應能力。
.

資安業者Qualys本周揭露了一個藏匿在Linux核心檔案系統層的安全漏洞CVE-2021-33909，它是個權限擴張漏洞，可讓無特權的使用者取得系統的根權限，且影響從2014年以來發布的所有Linux核心版本。

檔案系統為儲存裝置上的資料與元資料的組織，主要控制資料的儲存與取得，最重要的功\能為管理使用者資料，它不僅為各種作業系統中最重要的功\能，且在所有主要Linux作業系統中無處不在。

Qualys研究人員已打造了一個概念性驗證攻擊程式，並於Ubuntu 20.04、Ubuntu 20.10、Ubuntu 21.04、Debian 11及Fedora 34 Workstation等Linux平臺上展開測試，成功\取得了所有平臺的根權限，且其它的Linux版本應該也無法避免被開採。

Qualys還發現了另一個存在於systemd的CVE-2021-33910漏洞，將允許\本地端駭客破壞systemd，形成阻斷服務攻擊。

根據紅帽的說明，駭客只要建立、掛載與刪除一個路徑長度超過1GB的深層目錄架構，就能開採CVE-2021-33909漏洞，並讓無特權的本地端駭客取得根權限。開採CVE-2021-33910的方法也類似，當本地端駭客掛載一個長路徑的檔案系統時，就會破壞systemd與整個系統，使得它們失去回應能力。

CVE-2021-33909漏洞波及Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7與Red Hat Enterprise Linux 8，CVE-2021-33910則影響Red Hat Enterprise Linux 8。。

由於CVE-2021-33909漏洞影響近7年來的眾多Linux版本，使得不管是Qualys或紅帽都呼籲使用者應儘速修補。

本文來自 ithome
https://www.ithome.com.tw/news/143916

Mozilla宣布預定本周釋出的Firefox 88，將正式終止支援FTP協定。

檔案傳輸協定（File Transfer Protocol）出現於1971年，它是一種主機端之間直接傳送檔案的協定。因為簡單、方便而為許\多企業用以分享軟體、檔案、韌體，但它的檔案傳輸並未加密，還使用明文密碼進行身分認證，安全風險較高。Google、Mozilla數年前就已計畫淘汰。

去年Firefox開發團隊也宣布逐步從Firefox瀏覽器移除內建的FTP實作。Mozilla產品經理Caitlin Neiman指出，目前Firefox Nightly和Beta頻道關閉FTP，正式版則會在本周（4/19）的Firefox 88關閉FTP。最後，到了Firefox 90版，就會正式移除所有FTP實作。

關閉FTP時，瀏覽器會將ftp://連結交由外部應用程式處理，如其他的協定處理器。等移除支援後，決定瀏覽器是否啟用FTP協定的browserSettings.ftpProtocolEnabled 就會變成唯讀模式，無法變更其設定值，且API就無法再處理這類呼叫。

為此，ftp將會被加入Firefox外掛支援的協定處理器（protocol handlers）清單中。這表示外掛程式仍然可以要求使用者啟動FTP應用程式，來處理特定連結。例如代理伺服器過濾器（filters for proxy）或webRequest之類ftp內容仍將可傳送。

Firefox 90正式版預計今年6月釋出。

發布單位:TWCERT/CC

資安廠商近期公布各大品牌遭駭侵者用以進行釣魚攻擊的全球統計報告，其中有 39% 是資訊或科技相關品牌。

資安廠商 Check Point 近期發表研究報告，公布各大品牌遭駭侵者冒名用以進行釣魚攻擊的全球性統計報告；其中有 39% 是資訊或科技相關品牌。

這份報告統計 2021 年前三個月，各種釣魚郵件駭侵攻擊假冒的品牌，與在全球發動的相關攻擊次數；報告指出，知名科技巨頭仍為釣魚攻擊者最喜歡假冒的品牌。這些攻擊行動中有高達 65％，都是假借科技巨頭如 Microsoft、Google、Roblox、Amazon、Apple、Dropbox 等，企圖騙取受害者的登入資訊或其他機敏資料。

報告也說，在 2021 年第一季中，有高達 39% 的釣魚攻擊是假冒 Microsoft 來進行的，但總攻擊次數和去年第四季相比微幅下降；2020 年第四季冒用 Microsoft 品牌發動的釣魚攻擊，其占比高達 43%。

而在非科技品牌方面，包括全球運輸業、大型零售通路、金融業者等等也是常被釣魚攻擊者冒名發動攻擊的主要對象。

在 Check Point 的報告中，排名前十名最常被冒名的品牌，及其攻擊次數比例，分別為：

Microsoft（39％）
DHL（18%）
Google（9%）
Roblox（6%）
Amazon（5%）
Wells Fargo（4％）
Chase（2%）
LinkedIn（2%）
Apple（2％）
Dropbox（2%）
這份報告也指出，雖然科技業者在近年來， 一直都是釣魚郵件駭侵者最喜歡冒名的對象，第二名則是運輸業，但今年觀察到銀行業者的被冒名比例快速增加，美國兩家知名的銀行富國銀行（Wells Fargo）和大通銀行（Chase）被冒名比例來到前十名，是過去沒有過的現象；這可能和疫情造成的數位金融服務使用率快速成長有關。

相關連結
1.(Check Point Blog)Microsoft Continues to be Most Imitated Brand for Phishing Attempts in Q1 2021
https://blog.checkpoint.com/2021/04/15/microsoft-continues-to-be-most-imitated-brand-for-phishing-attempts-in-q1-2021/

2.Microsoft Continues to be Most Imitated Brand for Phishing Attempts in Q1 2021
https://www.globenewswire.com/news-release/2021/04/15/2210578/0/en/Microsoft-Continues-to-be-Most-Imitated-Brand-for-Phishing-Attempts-in-Q1-2021.html

[漏洞警訊]VMware vCenter存在安全漏洞(CVE-2021-21972)，允許\攻擊者遠端執行任意程式碼，請儘速確認並進行更新！

[內容說明:]
轉發 行政院國家資通安全會報技術服務中心 漏洞警訊公告
https://www.nccst.nat.gov.tw/VulnerabilityDetail?lang=zh&seq=1150

研究人員發現VMware vCenter存在安全漏洞(CVE-2021-21972)，遠端攻擊者可使用vSphere客戶端軟體(HTML5)藉由埠號443發送特製請求連線，利用此漏洞進而執行任意程式碼。


[影響平台:]
vCenter Server 7.0版本至7.0U1c版本(不包含)
vCenter Server 6.7版本至6.7U3l版本(不包含)
vCenter Server 6.5版本至6.5U3n版本(不包含)
Cloud Foundation (vCenter Server) 4.0版本至4.2版本(不包含)
Cloud Foundation (vCenter Server) 3.0版本3.10.1.2版本(不包含)

[建議措施:]
VMware官方已發布平台修補版本並提供解決方案，請各機關聯絡設備維護廠商或參考以下網址進行更新：
1. https://www.vmware.com/security/advisories/VMSA-2021-0002.html
2. https://kb.vmware.com/s/article/82374

[參考資料:]
1. https://www.vmware.com/security/advisories/VMSA-2021-0002.html
2. https://www.ithome.com.tw/news/142930
3. https://blogs.juniper.net/en-us/threat-research/cve-2021-21972-vmware-vcenter-unauthorized-remote-code-execution

[漏洞警訊]Google Chrome與Microsoft Edge瀏覽器存在安全漏洞(CVE-2021-21194~21199)，允許\攻擊者遠端執行任意程式碼，請儘速確認並進行更新!

[內容說明:]
轉發 行政院國家資通安全會報技術服務中心 漏洞警訊公告
https://www.nccst.nat.gov.tw/VulnerabilityDetail?lang=zh&seq=1151

研究人員發現Google Chrome與Microsoft Edge(基於Chromium)瀏覽器存在安全漏洞(CVE-2021-21194~21199)，攻擊者可藉由誘騙受害者存取特製網頁，利用此漏洞進而遠端執行任意程式碼。

[影響平台:]
Google Chrome 89.0.4389.114 (不含)以前版本
Microsoft Edge 89.0.774.68 (不含)以前版本

[建議措施:]
請更新Google Chrome瀏覽器至89.0.4389.114以後版本，更新方式如下：
1.開啟瀏覽器，於網址列輸入chrome://settings/help，瀏覽器將執行版本檢查與自動更新。
2.點擊「重新啟動」完成更新。
請更新Microsoft Edge瀏覽器至89.0.774.68以後版本，更新方式如下：
1.開啟瀏覽器，於網址列輸入edge://settings/help，瀏覽器將執行版本檢查與自動更新。
2.點擊「重新啟動」完成更新。

[參考資料：]
1. https://www.ithome.com.tw/news/143851
2. https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop_30.html
3. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-21194
4. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-21195
5. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-21196
6. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-21197
7. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-21198
8. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-21199

本文來自 ithome
https://www.ithome.com.tw/news/143989

Google本周釋出Windows、Linux、Mac平臺最新Chrome 90.0.4430.85版本，以修補7項漏洞，包括一個已經發生開採攻擊的漏洞。

遭到開採的是編號CVE-2021-21224的類型混淆（Type Confusion）漏洞，存在JavaScript V8引擎。它是由VerSprite研究人員Jose Martinez通報。

Google以必須等大部份用戶更新為由，昨日並未公佈漏洞細節。類型混淆可能導致記憶體越界存取，使程式當掉或讓駭客執行任意程式。不過Google指出，已接獲CVE-2021-21224開採程式在網路上公開流傳。呼籲用戶應儘速安裝最新版Chrome。

這個版本另也修補了其他4項高風險漏洞，包括另二個V8漏洞，分別是緩衝溢位漏洞CVE-2021-21222及頻外記憶體存取（out of bands memory access）CVE-2021-21225。其他二個則是Mojo元件的整數溢位漏洞CVE-2021-21223，及Navigation元件的使用已釋放記憶體（use after free）漏洞CVE-2021-21226。

這是Chrome今年以來第四次為修補已開採漏洞而釋出新版本，之前已為此在2月、3月及上周發布新版本Chrome。

惡意程式Adrozek綁架瀏覽器執行點擊詐騙、竊取密碼，Chrome、Edge、Firefox都中招

from iThome
文/林妍溱 | 2020-12-14發表

名為Adrozek的滲透性惡意程式會修改目標瀏覽器搜尋引擎設定、以插入未授權廣告於網頁內，藉此進行點擊詐騙，還會從瀏覽器竊取密碼用於未來攻擊

Adrozek的惡意Script會在搜尋結果頁及結果頁最上方的合法廣告上插入廣告（如圖右所示），目的是引誘搜尋特定關鍵字的使用者點入已被它注入的廣告，再連到廣告聯盟網頁，藉此賺取導流收入，即點擊詐騙。（圖片來源／微軟）
.

微軟警告一隻惡意程式劫持 Chrome、Firefox及Edge等瀏覽器顯示惡意廣告目前在網路上散布，還會竊取部份用戶的帳號密碼，最多一天感染3萬臺電腦。

名為Adrozek的滲透性惡意程式是一種瀏覽器修改程式（browser modifier）家族，它會修改目標瀏覽器搜尋引擎設定、以插入未授權廣告於網頁內，藉此進行點擊詐騙。此外，它還會從瀏覽器竊取密碼用於未來攻擊。所有主要瀏覽器都受到影響。

Adrozek從今年5月就在網路上大量散布開來，而在攻擊最高峰的8月，微軟觀測它每天在超過3萬臺裝置上活動。

微軟解釋Adrozek攻擊步驟。它一開始是利用大量網域代管數千個URL進行掛馬（drive-by）攻擊，以各種名目吸引用戶下載。一旦安裝到電腦後，就會修改瀏覽器外掛程式及特定DLL檔。

修改外掛程式目的在加入JavaScript以連接外部伺服器，以顯示惡意廣告在搜尋結果頁上，修改DLL檔則是為了關閉安全設定，確保瀏覽器下載惡意外掛，以及關閉瀏覽器更新以免安全設定被回復。另外，它也會修改系統設定以降低被安全軟體偵測到，以擴大在受害者電腦內的潛伏期。

在修改電腦設定後，Adrozek便可以開始主要活動。它的惡意Script會在搜尋結果頁及結果頁最上方的合法廣告上插入廣告，目的是引誘搜尋特定關鍵字的使用者點入已被它注入的廣告，再連到廣告聯盟網頁，藉此賺取導流收入，即點擊詐騙。

主要瀏覽器包括Chrome、Edge、Firefox及Yandex都受到這波攻擊的影響。而在Firefox上，Adrozek還會再多一招，它還下載一個執行檔以蒐集裝置資訊、目前有效的用戶帳號名稱，以及存取儲存Firefox密碼及上網紀錄的檔案，再將這些資訊傳給攻擊者。

微軟指出，會執行點擊詐騙的程式並不少見，但Adrozek冒充多種名目、潛伏在電腦內的手法，以及竊取用戶密碼的行為，顯示攻擊者手法愈來愈高明，且野心也更大。

發現這類攻擊的個人用戶，微軟建議重新安裝瀏覽器。至於企業用戶，微軟則建議切斷這些威脅的攻擊面，像是啟動應用控管，只允許\使用經授權的App和服務，或是使用端點安全產品，並找出其他網域（如雲端App）、電子郵件、和身份等威脅和端點資料的關聯性。

發布單位:TWCERT/CC
Facebook 日前修復一個 Facebook Messenger for Android 的嚴重資安漏洞；該漏洞可讓駭客竊聽語音對話內容，甚至受害者身邊的聲音而不被發現。

發現這個漏洞的資安專家，是 Google 旗下資安研究團隊 Project Zero 的 Natalie Silvanovich；專家指出在一般情形下，Facebook Messenger 只會在受話者按下通話按鈕後，才開始傳送音訊資料，但這個漏洞讓駭侵者只要先登入 Facebook Messenger，並且在撥打電話給受害者時同時送出特製的訊息，即可在受害者尚未接起電話時，就啟用音訊資料傳輸；駭侵者將可以竊聽受害者身邊的所有聲音。

這個漏洞出現在 Facebook Messenger 在實作 WebRTC 網路影音傳輸協定時發生的錯誤，受此漏洞影響的 Facebook Messenger for Android 版本為 284.0.0.16.119 與較舊的所有版本。

Natalie Silvanovich 在提報給 Facebook 的資安漏洞通報中，也提供了重現此漏洞的詳細操作步驟。值得注意的是，欲利用這個漏洞進行攻擊的駭侵者，必須擁有和受害者透過 Facebook Messenger 通話的權限，也就是說必須是受害者的朋友，或經受害者同意透過 Facebook Messenger 通話。

Facebook 於 10 月 6 日時接獲 Natalie Silvanovich 的資安漏洞通報，隨即於 11 月 17 日推出修復此漏洞的更新版本；所有在 Android 裝置上使用 Facebook Messenger 的用戶，應即更新至最新版本，以避免遭此漏洞攻擊。

影響產品/版本：Facebook Messenger for Android 284.0.0.16.119 與較舊版本
解決方案：升級至 Facebook Messenger for Android 最新版本