【攻擊活動預警】強化通訊軟體Line安全性建議,供各機關參考運用

行政院國家資通安全會報技術服務中心

漏洞/資安訊息警訊

發布編號 NCCST-ANA-2021-0000292 發布時間 Wed Jul 28 14:51:20 CST 2021
事件類型 攻擊活動預警 發現時間 Wed Jul 28 00:00:00 CST 2021
警訊名稱 強化通訊軟體Line安全性建議,供各機關參考運用
內容說明 近期發現駭客鎖定通訊軟體Line發動攻擊活動,用戶相關內容遭擷取外流,建議勿使用即時通訊軟體討論公務或傳輸機敏資訊,傳輸檔案均應加密,且處理公務之設備不得安裝有資安疑慮之產品,以降低機敏資訊遭外洩之風險。技服中心提供防護建議以強化通訊軟體Line安全性,供各機關參考運用,詳見建議措施。
影響平台 通訊軟體Line
影響等級
建議措施 檢視Line帳號安全性,請執行下列步驟:

  1. 請至Line app主頁->設定(齒輪)->隠私設定,檢視訊息加密功能【Letter-Sealing】是否開啟,若未開啟,請立即開啟。
  2. 請至Line app主頁->設定(齒輪)->我的帳號,檢視【允許自其他裝置登入】設定是否開啟,若有開啟,請執行第3點檢視【登入中的裝置】。
  3. 請至Line app主頁->設定(齒輪)->我的帳號,檢視【登入中的裝置】,是否有陌生裝置登入,如有陌生裝置登入,表示此帳號遭駭風險高,請先截圖留存畫面,將該陌生裝置登出,並執行第4點。
  4. 請至Line app主頁->設定(齒輪)->我的帳號,將【允許自其他裝置登入】設定為關閉。
參考資料 無。
此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更,可逕自登入通報應變網站(https://www.ncert.nat.gov.tw)進行修改。若您仍為貴單位之資安人員但非本事件之處理人員,請協助將此通告告知相關處理人員。

如果您對此通告內容有疑問或有關於此事件之建議,請勿直接回覆此信件,請以下述聯絡資訊與我們連絡。
地 址: 台北市富陽街116號
聯絡電話: 02-27339922
傳真電話: 02-27331655
電子郵件信箱: service@nccst.nat.gov.tw

【漏洞預警】微軟Windows列印多工緩衝處理器(Print Spooler)存在安全漏洞(CVE-2021-34527),允許攻擊者遠端執行任意程式碼,請儘速確認並進行防護補強。

行政院國家資通安全會報技術服務中心

漏洞/資安訊息警訊

發布編號 NCCST-ANA-2021-0000261 發布時間 Tue Jul 06 17:33:54 CST 2021
事件類型 漏洞預警 發現時間 Mon Jul 05 00:00:00 CST 2021
警訊名稱 微軟Windows列印多工緩衝處理器(Print Spooler)存在安全漏洞(CVE-2021-34527),允許攻擊者遠端執行任意程式碼,請儘速確認並進行防護補強
內容說明 研究人員發現Windows列印多工緩衝處理器(Print Spooler)服務內之RpcAddPrinterDriverEx函式因未正確限制非授權之存取行為,導致存在安全漏洞(CVE-2021-34527),遠端攻擊者可藉由此漏洞進而執行任意程式碼。
影響平台 受影響版本如下:

Windows 7 for 32-bit Systems Service Pack 1

Windows 7 for x64-based Systems Service Pack 1

Windows 8.1 for 32-bit systems

Windows 8.1 for x64-based systems

Windows RT 8.1

Windows 10 for 32-bit Systems

Windows 10 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1909 for 32-bit Systems

Windows 10 Version 1909 for ARM64-based Systems

Windows 10 Version 1909 for x64-based Systems

Windows 10 Version 2004 for 32-bit Systems

Windows 10 Version 2004 for ARM64-based Systems

Windows 10 Version 2004 for x64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for x64-based Systems

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 21H1 for ARM64-based Systems

Windows 10 Version 21H1 for x64-based Systems

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2012

Windows Server 2012 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 R2 (Server Core installation)

Windows Server 2016

Windows Server 2016 (Server Core installation)

Windows Server 2019

Windows Server 2019 (Server Core installation)

Windows Server, version 1909 (Server Core installation)

Windows Server, version 2004 (Server Core installation)

Windows Server, version 20H2 (Server Core Installation)

影響等級
建議措施 目前微軟官方尚未針對此漏洞釋出更新程式,所有Windows作業系統均受此漏洞影響,請各機關聯絡設備維護廠商或參考以下步驟採取緩解措施,並持續留意更新程式釋出情形:

  1. 透過網域主機派送群組原則物件(GPO),或在單機電腦上執行「本機群組原則編輯器」(gpedit.msc),將「電腦設定?系統管理範本?印表機?允許列印多工緩衝處理器接受用戶端連線」設為「已停用」。
  2. 重新開機,或藉由「執行services.msc?在Print Spooler服務上按右鍵?點選重新啟動」以重新啟動Print Spooler服務,以使設定生效。

參考網址:https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

參考資料
  1. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
  2. https://www.ithome.com.tw/news/145427
  3. https://kb.cert.org/vuls/id/383432
  4. https://docs.microsoft.com/zh-tw/troubleshoot/windows-server/printing/use-group-policy-to-control-ad-printer
  5. https://thegeekpage.com/how-to-start-stop-or-restart-print-spooler-in-windows-10/
此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更,可逕自登入通報應變網站(https://www.ncert.nat.gov.tw)進行修改。若您仍為貴單位之資安人員但非本事件之處理人員,請協助將此通告告知相關處理人員。

如果您對此通告的內容有疑問或有關於此事件的建議,請勿直接回覆此信件,請以下述聯絡資訊與我們連絡。
 址: 台北市富陽街116
聯絡電話: 02-27339922
傳真電話: 02-27331655
電子郵件信箱: service@nccst.nat.gov.tw

【社交工程攻擊通告】請加強防範駭客假冒政府機關相似網域之社交工程釣魚郵件。

行政院國家資通安全會報技術服務中心

漏洞/資安訊息警訊

發布編號 NCCST-ANA-2021-0000251 發布時間 Mon Jun 28 11:07:44 CST 2021
事件類型 其他 發現時間 Mon Jun 28 00:00:00 CST 2021
警訊名稱 社交工程攻擊通告:請加強防範駭客假冒政府機關相似網域之社交工程釣魚郵件
內容說明 技服中心近期發現駭客大量註冊與政府機關相似之網域,並偽冒機關常見之網頁郵件(Webmail)登入頁面,隨後寄送網路釣魚郵件予政府機關人員,收件者點擊釣魚連結將導向偽冒頁面輸入帳號密碼。已知攻擊郵件特徵如下,相關受駭偵測指標請參考附件。

1.釣魚郵件內含惡意連結:

(1)亂數[.]usrfiles[.]com」域名

(2)「亂數檔名.pdf」之圖片連結

2.釣魚網站域名特徵如下︰

(1)drive-[機關名稱縮寫].live

(2)files-[機關名稱縮寫].link

(3)files-[機關名稱縮寫].org

(4)my-[機關名稱縮寫].link

(5)my-[機關名稱縮寫].org

(6)mydrive-[機關名稱縮寫].link

3.偽冒之網頁郵件登入頁面包括Gmail、HiNet 、Openfind Mail2000、Outlook Webmail及Zimbra等網頁郵件服務

影響平台 N/A
影響等級
建議措施
  1. 機關網路管理人員請參考附件受駭偵測指標,確實更新防火牆,阻擋可疑釣魚域名與惡意中繼站。
  2. 建議留意可疑電子郵件,注意郵件來源正確性,勿開啟不明來源之郵件與相關連結。
  3. 開啟任何網頁時請留意網頁域名,確認域名正確性,勿隨意提供機敏資訊,如:公務用電子郵件帳號、密碼、信用卡號碼等,以防個人資料與公務機敏資訊外洩。
  4. 加強內部宣導,提升人員資安意識,以防範駭客利用電子郵件進行社交工程攻擊。
參考資料 請參考附件。
此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更,可逕自登入通報應變網站(https://www.ncert.nat.gov.tw)進行修改。若您仍為貴單位之資安人員但非本事件之處理人員,請協助將此通告告知相關處理人員。

如果您對此通告的內容有疑問或有關於此事件的建議,請勿直接回覆此信件,請以下述聯絡資訊與我們連絡。
 址: 台北市富陽街116
聯絡電話: 02-27339922
傳真電話: 02-27331655
電子郵件信箱: service@nccst.nat.gov.tw

【漏洞預警】Google Chrome與Microsoft Edge瀏覽器存在安全漏洞(CVE-2021-30554~30557),允許攻擊者遠端執行任意程式碼,請儘速確認並進行更新

行政院國家資通安全會報技術服務中心

漏洞/資安訊息警訊

發布編號 NCCST-ANA-2021-0000242 發布時間 Thu Jun 24 17:34:40 CST 2021
事件類型 漏洞預警 發現時間 Thu Jun 24 00:00:00 CST 2021
警訊名稱 Google Chrome與Microsoft Edge瀏覽器存在安全漏洞(CVE-2021-30554~30557),允許攻擊者遠端執行任意程式碼,請儘速確認並進行更新
內容說明 研究人員發現Google Chrome與Microsoft Edge(基於Chromium)瀏覽器存在安全漏洞(CVE-2021-30554~30557),攻擊者可藉由誘騙受害者存取特製網頁,利用此漏洞進而遠端執行任意程式碼。
影響平台 Google Chrome 91.0.4472.114 (不含)以前版本

Microsoft Edge 91.0.864.54(不含)以前版本

影響等級
建議措施 請更新Google Chrome瀏覽器至91.0.4472.114以後版本,更新方式如下:

  1. 開啟瀏覽器,於網址列輸入chrome://settings/help,瀏覽器將執行版本檢查與自動更新
  2. 點擊「重新啟動」完成更新

請更新Microsoft Edge瀏覽器至91.0.864.54以後版本,更新方式如下:

  1. 開啟瀏覽器,於網址列輸入edge://settings/help,瀏覽器將執行版本檢查與自動更新
  2. 點擊「重新啟動」完成更新
參考資料
  1. https://chromereleases.googleblog.com/2021/06/stable-channel-update-for-desktop_17.html
  2. https://www.cybersecurity-help.cz/vdb/SB2021061721
  3. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-30554
  4. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-30555
  5. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-30556
  6. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-30557
  7. https://www.ithome.com.tw/news/145108
此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更,可逕自登入通報應變網站(https://www.ncert.nat.gov.tw)進行修改。若您仍為貴單位之資安人員但非本事件之處理人員,請協助將此通告告知相關處理人員。

如果您對此通告的內容有疑問或有關於此事件的建議,請勿直接回覆此信件,請以下述聯絡資訊與我們連絡。
地 址: 台北市富陽街116號
聯絡電話: 02-27339922
傳真電話: 02-27331655
電子郵件信箱: service@nccst.nat.gov.tw

【漏洞預警】近期勒索軟體攻擊活動頻繁,請加強系統/應用程式更新與防範作業

行政院國家資通安全會報技術服務中心

漏洞/資安訊息警訊

發布編號 NCCST-ANA-2021-0000241 發布時間 Wed Jun 23 15:28:39 CST 2021
事件類型 公告資訊 發現時間 Wed Jun 09 00:00:00 CST 2021
警訊名稱 近期勒索軟體攻擊活動頻繁,請加強系統/應用程式更新與防範作業
內容說明 近期勒索軟體攻擊頻繁,攻擊範圍涉及交通、能源、醫療與金融領域,技服中心亦接獲多個政府機關通報遭感染勒索軟體事件,目前已知駭客利用漏洞如下:

■ Fortinet VPN 設備漏洞 (CVE-2018-13379)

■ Ivanti VPN 設備Pulse Connect Secure 漏洞 (CVE-2021-22893、CVE-2020-8260、CVE-2020-8243、CVE-2019-11510)

■ Citrix Application Delivery Controller、Citrix Gateway、Citrix SD-WAN WANOP 漏洞 (CVE-2019-19781)

■ Microsoft Exchange Server 漏洞 (CVE-2021-26855 等)

■ SonicWall SMA100 漏洞 (CVE-2021-20016)

■ QNAP NAS 漏洞 (CVE-2021-28799、CVE-2020-36195、CVE-2020-2509 等)

■ Windows Domain Controller 漏洞 (CVE-2020-1472等)

■ Internet Explorer 漏洞 (CVE-2018-8174等)

建議請各級政府機關除加強組織資安監控防護外,持續確認相關應用程式更新情況,定期備份重要檔案,加強資訊安全宣導,避免開啟來路不明郵件或連結。

影響平台
影響等級
建議措施
  1. 清查機關是否有使用被已知勒索軟體利用之軟體與設備,並及時完成漏洞修補
  2. 檢視主機對外開放的必要性,無特殊需求建議關閉不必要之通訊埠(如137,138,139,445,3389等),僅開放必要服務。
  3. 確認作業系統、防毒軟體,及應用程式(如Adobe Flash Player、Java)更新情況,並定期檢視系統/應用程式更新紀錄,避免駭客利用系統/應用程式安全性漏洞進行入侵行為。
  4. 定期備份系統資料,並參考以下建議措施:
    • 應確保備份資料無感染之虞,例如採用離線備份存放
    • 定期測試備份資料可有效還原
    • 針對機敏資料應進行存取控制管控與加密
  5. 即時監測未授權之存取行為,透過專職監控人員或自動化機制偵測未經授權之存取行為,加強對伺服器、網路設備及個人電腦等設備之日誌監控。
  6. 加強資安教育訓練,使用者留意相關電子郵件,注意郵件之來源的正確性,不要開啟不明來源信件的附檔或連結。
  7. 建立良好的網段管理,確保隔離的網段可以獨自運行。
  8. 利用第三方滲透測試,確認系統安全性與抵禦攻擊的能力。
參考資料
  1. https://www.cnbc.com/2021/06/03/ransomware-attacks-white-house-memo-urges-immediate-action-by-business.html
  2. https://www.ithome.com.tw/news/144869
  3. https://www.nisc.go.jp/active/infra/pdf/ransomware20210430.pdf
此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更,可逕自登入通報應變網站(https://www.ncert.nat.gov.tw)進行修改。若您仍為貴單位之資安人員但非本事件之處理人員,請協助將此通告告知相關處理人員。

如果您對此通告的內容有疑問或有關於此事件的建議,請勿直接回覆此信件,請以下述聯絡資訊與我們連絡。
地 址: 台北市富陽街116號
聯絡電話: 02-27339922
傳真電話: 02-27331655
電子郵件信箱: service@nccst.nat.gov.tw