2020/07/15

Juniper SRX系列設備之Junos OS存在安全漏洞(CVE-2020-1647與CVE-2020-1654)，允許攻擊者遠端執行任意程式碼，請儘速確認並進行更新

內容說明：

微軟Windows DNS伺服器存在安全漏洞(CVE-2020-1350)，未經身分驗證的攻擊者可對DNS伺服器發送惡意請求，利用此漏洞進而執行任意程式碼。

受影響Windows版本如下:
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)

 建議措施：

目前微軟官方已針對此漏洞釋出更新程式，請各機關聯絡設備維護廠商或參考以下建議進行更新：
1. https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350
2. https://support.microsoft.com/zh-tw/help/4569509/windows-dns-server-remote-code-execution-vulnerability

 參考資料：

1. https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350
2. https://support.microsoft.com/zh-tw/help/4569509/windows-dns-server-remote-code-execution-vulnerability
3. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1350

2020/06/18

近期利用PORT 445加密勒索軟體活動頻繁，請加強系統/應用程式更新與資料備份作業

內容說明：

轉發 國家資安資訊分享與分析中心 資安訊息警訊 NISAC-ANA-202006-0095

近期勒索軟體攻擊活動情資顯示，此波勒索軟體攻擊是利用微軟伺服器訊息區塊(SMB,PORT 445)協定進行攻擊，使用者電腦一旦遭植入該惡意程式，將導致該電腦可存取的檔案(含網路磁碟機、共用資料夾等)全數加密無法開啟讀取，藉以勒索使用者支付贖金換取檔案解密。

建議措施:

1. 建議機關儘速進行作業系統更新，如無特殊需求，建議關閉Port 445服務。

2. 清查重要資料，並參考下列做法定期進行備份作業：
- 定期執行重要的資料備份。
- 備份資料應有適當的實體及環境保護。
- 應定期測試備份資料，以確保備份資料之可用性。
- 資料的保存時間與檔案永久保存的需求，應由資料擁有者研提。
- 重要機密的資料備份，應使用加密方式來保護。

3. 檢視網路硬碟與共用資料夾之使用者存取權限，避免非必要使用存取。

4. 確認作業系統、防毒軟體，及應用程式(如Adobe Flash Player、Java)更新情況，並定期檢視系統/應用程式更新紀錄，避免駭客利用系統/應用程式安全性漏洞進行入侵行為。

5. 若使用隨身碟傳輸資料，應先檢查隨身碟是否感染病毒或惡意程式。

6. 若疑似遭受感染時，可參考下列做法：
- 應立即關閉電腦並切斷網路，避免災情擴大。
- 通知機關資訊人員或廠商協助搶救還沒被加密的檔案。
- 建議重新安裝作業系統與應用程式，且確認已安裝至最新修補程式後，再還原備份的資料。
- 備份資料在還原至電腦之前，應以防毒軟體檢查，確保沒有殘存的惡意程式。

7. 加強教育訓練，請使用者留意相關電子郵件，注意郵件之來源的正確性，不要開啟不明來源信件的附檔或連結，以防被植入後門程式。

2020/06/19

AWS Shield今年第一季擋下2.3 Tbps的DDoS攻擊

內容說明：

根據AWS Shield的統計，今年第一季他們緩解了逾31萬次的分散式阻斷服務（DDoS）攻擊，比去年同期增加了22.8%，比上一季增加10%，不只是攻擊次數增加了，攻擊流量也增加了，去年同期最大的攻擊流量為0.8 Tbps，上一季為0.6 Tbps，但今年第一季卻出現2.3 Tbps的攻擊流量

Amazon Web Services（AWS）近日公布了旗下DDoS防護服務AWS Shield在今年第一季的威脅報告，指出該服務在第一季擋下了流量高達2.3 Tbps的DDoS攻擊，而這是前所未見的。

根據AWS Shield的統計，今年第一季他們緩解了逾31萬次的分散式阻斷服務（DDoS）攻擊，比去年同期增加了22.8%，比上一季增加10%，不只是攻擊次數增加了，攻擊流量也增加了，去年同期最大的攻擊流量為0.8 Tbps，上一季為0.6 Tbps，但今年第一季卻出現2.3 Tbps的攻擊流量。

AWS Shield指出，流量龐大的DDoS攻擊通常源自UDP（User Datagram Protocol ，用戶資料包協定）反射攻擊，包括DNS反射、NTP反射，或SSDP反射等，它們全都利用了網路上不需要執行握手驗證的大量UDP，針對受害系統傳送封包，進而造成受害系統超載而無法運作。

而他們在第一季所緩解的龐大攻擊，則是屬於CLDAP（Connection-less Lightweight Directory Access Protocol）反射放大攻擊，利用UDP port 389傳送請求，由於回應的封包通常大於請求封包，差異可能達到50倍，因而形成放大效果，企圖癱瘓受害系統。

AWS Shield表示，2.3 Tbps的攻擊流量出現在今年2月，比AWS上曾經見過的最大攻擊流量還多了44%，而且維繫了3天。

這很可能締造了全球DDoS攻擊流量的新紀錄，同為DDoS防禦服務供應商的Netscout Arbor在2018年3月，曾經擋下流量達1.7Tbps的反射放大攻擊，在此之前的紀錄保持人則是Github，該平台在2018年的2月遭到1.3Tbps流量的DDoS攻擊。

不過，龐大流量的DDoS攻擊畢竟還是少數，AWS Shield的統計顯示，該季第99個百分位數攻擊事件的流量只有43 Gbps。

2020/05/18

北韓駭客組織HIDDEN COBRA所利用之惡意程式COPPERHEDGE、TAINTEDSCRIBE及PEBBLEDASH，請各會員注意防範

內容說明：

轉發 國家資安資訊分享與分析中心 資安訊息警訊 NISAC-ANA-202005-0272

美國國土安全部、聯邦調查局及美國國防部近期發布三份惡意程式分析報告，描述北韓駭客組織HIDDEN COBRA利用之COPPERHEDGE、TAINTEDSCRIBE及PEBBLEDASH等遠端存取與後門工具程式。若資訊設備遭受感染會有以下風險：
1.個人或單位資料遭竊取。
2.個人工作或單位運作被影響而中斷停擺。
3.資訊設備資源被利用於對外攻擊。
4.單位財務損失。
建議除使用防毒軟體檢查資訊設備是否受惡意程式感染，也可透過檢查連線紀錄與惡意程式資訊確認感染與否。

建議措施:

1.部署黑名單於防護設備進行偵測，監控是否有資訊設備已遭入侵，網路位址與網域名稱黑名單如下：211[.]192[.]239[.]232 112[.]217[.]108[.]138 028xmz[.]com 168wangpi[.]com 33cow[.]com 3x-tv[.]com 51shousheng[.]com 530hr[.]com 919xy[.]com 92myhw[.]com 97nb[.]net aedlifepower[.]com aisou123[.]com aloe-china[.]com anlway[.]com ap8898[.]com apshenyihl[.]com as-brant[.]ru aurumgroup[.]co[.]id bogorcenter[.]com cabba-cacao[.]com castorbyg[.]dk creativefishstudio[.]com danagloverinteriors[.]com duratransgroup[.]com eventum[.]cwsdev3[.]biz eygingenieros[.]com growthincone[.]com inverstingpurpose[.]com locphuland[.]com markcoprintandcopy[.]com marmarademo[.]com matthias-dlugi[.]de new[.]titanik[.]fr nuokejs[.]com pakteb[.]com qdbazaar[.]com rhythm86[.]com rxrenew[.]us sensationalsecrets[.]com stokeinvestor[.]com streamf[.]ru theinspectionconsultant[.]com vinhsake[.]com

2.各會員可依參考資訊連結，取得詳細惡意程式特徵如雜湊值與偵測規則，用以偵測系統是否存在相關惡意程式，若確認資訊設備已遭入侵，建議立即進行必要處理措施：
(1) 針對受害電腦進行資安事件應變處理。
(2) 重新安裝作業系統，並更新作業系統及相關應用軟體。
(3) 更換系統使用者密碼。

3.日常資訊設備資安防護建議：
(1) 持續更新作業系統及辦公室文書處理軟體等安全性修補程式。若所使用的作業系統已不再提供更新程式，建議升級至較新版本作業系統。
(2) 系統上所有帳號需設定強健的密碼，非必要使用的帳號請將其刪除或停用。系統上非必要的服務程式亦建議移除或關閉。
(3) 安裝及啟用防毒軟體防護，並持續更新病毒碼及掃毒引擎。
(4) 安裝及啟用防火牆防護，並設定防火牆規則僅開放所需之通訊埠。
(5) 不要開啟可疑的郵件與檔案，在開啟下載資料之前先進行資安防護掃描檢查。

參考資料:

https://www.us-cert.gov/ncas/analysis-reports/ar20-133a
https://www.us-cert.gov/ncas/analysis-reports/ar20-133b
https://www.us-cert.gov/ncas/analysis-reports/ar20-133c

 

(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。

教育機構資安通報應變小組 網址：https://info.cert.tanet.edu.tw/ 專線電話：07-5250211 網路電話：98400000 E-Mail：service@cert.tanet.edu.tw

 

2020/05/11

APT駭客族群對醫療服務與多種其他重要服務進行攻擊活動訊息

內容說明：

轉發 國家資安資訊分享與分析中心 資安訊息警訊 NISAC-ANA-202005-0214
美國CISA與英國NCSC報告指出，近期觀察到APT駭客族群利用COVID-19疫情相關主題對醫療機構、製藥公司、醫學研究組織、學術界及地方政府等重要服務進行網路攻擊活動。分享相關威脅指標與資安報告，供會員注意防範。

建議措施:

1. 依威脅指標清單(詳如附件)，檢查資安防護設備是否有相關的連線紀錄與郵件紀錄。
2. 修補提供遠端辦公服務設備的資安漏洞，如Citrix、Pulse Secure、Fortinet、Palo Alto的VPN設備漏洞。
3. 使用線上會議服務時，不要將會議存取資訊公開，且應設定會議密碼。
4. 強化使用者認證機制，如多因子認證、強制密碼複雜度等。
5. 提醒使用者小心釣魚郵件、釣魚簡訊及釣魚網站等攻擊手法。

參考資料:

ttps://www.us-cert.gov/ncas/alerts/AA20126A
https://www.us-cert.gov/ncas/alerts/aa20-099a
https://cert.tante.edu.tw/image/threat-ioc-20200511.zip

 

(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。

教育機構資安通報應變小組 網址：https://info.cert.tanet.edu.tw/ 專線電話：07-5250211 網路電話：98400000 E-Mail：service@cert.tanet.edu.tw