國際資安大廠ESET於4月中旬發表一研究報告，揭露了企業所淘汰的舊有設備在進了二手市場之後，成為駭客入侵的跳板可能性，在ESET所購買的18台二手路由器中，扣除一台買來就壞掉的，以及將兩台彼此鏡像的路由器視為一台之後，有56%的設備依然可取得出前任用戶的配置與資料，包含路由器之間的認證金鑰。

ESET表示，該研究團隊一開始只在市場上買了幾台二手的路由器來建置測試環境，卻發現有些路由器上的資料並未被移除，促使他們決定對此展開進一步的調查，再購買了18台二手路由器。

在真正執行分析的16台二手路由器中，有9台（56.25%）揭露了完整的配置資料，可用來取得先前用戶的機密資訊，例如它們全都含有一個或多個機密資訊，包括IPsec/VPN憑證，或是雜湊密碼，且它們所內含的資料皆足以辨識出原先的用戶。

此外，在這些曝露機密資訊的路由器上，有89%含有路由器之間的認證金鑰，有89%具備特定應用的詳細連結資訊，有44%含有連至其它網路的憑證，有33%曝露了允許第三方連結至該網路的資料，還有22%含有客戶資料。

值得注意的是，這些曝露機密資訊的路由器並非只來自缺乏IT管理資源的中小企業，有兩台分別來自員工人數超過1萬名的全球資料公司及電信公司，還有一台來自專門提供托管服務的資料中心業者。

ESET所購買的路由器型號包括思科的ASA 5500系列，Fortinet的FortiGate系列，以及Juniper Networks的SRX Series Services Gateway，它們的二手市場價格自50美元到150美元不等。

研究人員指出，可用來入侵企業網路的工具是非常有價值的，光是進入企業網路的憑證在黑市中的價格就高達2,800美元，然而，這些未受到妥善保護的二手路由器，卻只要1、200美元就能取得，對駭客而言有更好的投資報酬率。

ESET資安專家建議企業應該要重視此事，在淘汰任何企業設備或裝置時都應完整地清除資料，並應定期審核清除程序，以免設備流入二手市場而遭到駭客利用。

#若有任何資安需求，歡迎洽詢台灣二版資安專業團隊，服務電話：(02)7722-6899，或上官網查詢：https://version-2.com.tw/

原文出處：https://www.welivesecurity.com/2023/04/18/discarded-not-destroyed-old-routers-reveal-corporate-secrets/

國際資安大廠ESET發現假藉提供即時通訊軟體Telegram、WhatsApp的名義，透過YouTube頻道及冒牌網站來散布竊資軟體的攻擊行動，其主要目標是中國的Windows、安卓使用者，竊取他們的加密貨幣，部分甚至能將加密貨幣錢包洗劫一空。 

攻擊者先是在Google搜尋引擎服務當中，投放詐騙廣告，引導使用者瀏覽YouTube頻道，接著讓他們存取冒牌網站，並下載駭客提供的Telegram、WhatsApp安裝程式，導致電腦或手機被植入含有惡意模組的即時通訊軟體。

這些即時通訊軟體會攔截剪貼簿內容，竄改用戶複製的加密貨幣網址，或是通關密語（Seed Words）。比較特別的是，其中一種安卓惡意程式具備光學文字辨識（OCR）的能力，可從使用者設備留存的圖檔相簿解析通關密語。

#若有任何資安需求，歡迎洽詢台灣二版資安專業團隊，服務電話：(02)7722-6899，或上官網查詢：https://version-2.com.tw/

原文出處：https://www.welivesecurity.com/2023/03/16/not-so-private-messaging-trojanized-whatsapp-telegram-cryptocurrency-wallets/

使用社交媒體或通訊可能會帶來許多風險，例如在 Whatsapp 上遇到詐騙。這些詐騙可能會導致您失去個人資訊、金錢或者網絡安全。在這篇文章中，我們將介紹一些常見的 Whatsapp 詐騙和如何避免成為受害者。

1. 恐嚇式詐騙
恐嚇式詐騙是一種騙取金錢的詐騙，詐騙者會聲稱擁有您的私人資訊或裸照，並威脅公開這些資訊，除非您支付贖金。為了避免這種詐騙，請勿將任何私人資訊或裸照傳送給陌生人，並將您的私隱設定為僅限好友或家人可見。

2. 獎金詐騙
獎金詐騙是一種騙取個人資訊的詐騙，詐騙者會聲稱您已獲得一個大獎金，但需要您提供個人資訊或支付手續費才能領取獎金。為了避免這種詐騙，請不要相信任何您沒有參加的獎項或比賽，並避免向陌生人提供個人資訊。

3. 購物詐騙
購物詐騙是一種騙取金錢的詐騙，詐騙者會聲稱他們可以提供高品質、低價格的產品或服務，但實際上他們只會收取您的金錢但不履行承諾。為了避免這種詐騙，請避免在 Whatsapp 上向陌生人購買產品或服務，而應該選擇可信賴的網上商店進行購物。

4. 假冒身份詐騙
假冒身份詐騙是一種騙取個人資訊的詐騙，詐騙者會冒充一個權威機構或公司，要求您提供個人資訊或登錄帳戶。為了避免這種詐騙，請先驗證該機構或公司是否真實存在，可以通過他們的官方網站或聯繫他們的客戶支援部門。同時，不要在 Whatsapp 上向任何人透露您的帳戶資訊或密碼。

5. 鏈結詐騙
鏈結詐騙是一種通過向您發送有害鏈結來騙取個人資訊或網絡安全的詐騙。這些鏈結可能會帶有惡意軟件或病毒，一旦您點擊了這些鏈接，詐騙者就能夠在您的設備上偷取您的個人資訊。為了避免這種詐騙，請不要點擊任何來自陌生人或未知來源的鏈接，同時，請使用最新的防病毒軟件保護您的設備。

總結
在使用 Whatsapp 時，請注意上述常見的詐騙，避免成為受害者。同時，請保護您的私隱和網絡安全，不要將任何私人資訊傳送給陌生人，並使用最新的防病毒軟件保護您的設備。如果您收到任何可疑信息，請勿點擊鏈結或提供個人資訊。

自2022年10月，有人在駭客論壇上兜售名為BlackLotus的惡意UEFI啟動工具，並標榜能突破端點電腦的防護機制，國際資安大廠ESET為了確認該惡意軟體是否如賣家宣稱的如此強大，故取得此惡意程式的檔案進行分析，結果發現確實如此，並認為日後很可能會被駭客大肆利用。

此軟體能在啟用UEFI安全開機、執行完整修補的Windows 11的電腦上運作，攻擊者一旦於受害電腦上部署，此啟動工具會植入作業系統核心層級的驅動程式，以及HTTP下載工具（用於與C2通訊、執行惡意酬載），並能夠停用作業系統內建的BitLocker、HVCI、Microsoft Defender等防護機制。為了維持於受害電腦上運作，駭客利用了CVE-2022-21894，研究人員指出，雖然微軟已於2022年1月修補上述漏洞，但遭濫用的可執行檔並未被列入UEFI註銷名單，而使得駭客仍能用於漏洞攻擊。

#若有任何資安需求，歡迎洽詢台灣二版資安專業團隊，服務電話：(02)7722-6899，或上官網查詢：https://version-2.com.tw/

原文出處：https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed/

<新聞摘要>

• ESET 研究人員發現一個針對東南亞和東亞地區的惡意軟體
• 手法為駭客將假冒網站放置在 Google 搜索結果的「廣告」位置；ESET同時通報Google ，而這些廣告也已被立即刪除
• 從這個網站下載的安裝程式大多是中文版本，且部分沒有在中國地區提供下載
• 受害地區主要集中在東南亞和東亞（馬來西亞、日本、菲律賓、泰國、新加坡、印尼、緬甸、中國大陸、香港和台灣）
• 此次散播的惡意軟體為 FatalRAT，是一種遠端存取木馬，可以在受害者的裝置上執行各種惡意行為
  
  

2023 年 2 月 – 國際ESET 資安大廠研究人員發現了一個針對東南亞和東亞地區的惡意軟體，其透過Google 搜索結果之廣告，進而誘導用戶下載帶有木馬的安裝程式。駭客製作了與 Firefox、WhatsApp、Signal、Skype 和 Telegram 等流行應用程式相似的假冒網站，散播名為 FatalRAT 的惡意軟體，它是一種遠端存取木馬，讓駭客可以控制受害者的裝置，此次攻擊主要影響中國大陸、香港和台灣等地區的用戶。

FatalRAT 可以在受害者的裝置上執行各種惡意行為，包括記錄按键點擊、竊取或刪除某些瀏覽器儲存的數據，以及下載和執行文件。ESET 研究人員是在 2022 年 8 月至 2023 年 1 月期間偵測到此次的攻擊，但根據觀察，此波攻擊應是從 2022 年 5 月就開始了。

駭客註冊了各種域名，這些域名都指向同一個 IP 地址，由一個伺服器託管多個下載木馬軟體的網站，而假冒網站看起來與正版網站一樣，駭客更將這些網站翻譯成中文，提供原本在中國地區未能下載的軟體，例如 Telegram；根據一家中文新聞網站報導，他們在使用 Firefox 瀏覽器時，會看到一則指向這些惡意網站的 Google 廣告，而駭客的手法就是將假冒網站放置在 Google 搜索結果的「廣告」位置。ESET同時通報Google ，這些廣告也已被立即刪除。

ESET 研究人員進而說明 ：「雖然已經無法重現此類搜索結果，但判斷這些廣告只提供給目標地區的用戶。由於攻擊者為其網站註冊的許多域名與合法域非常相似，駭客應是依靠 URL 誘使並吸引潛在受害者造訪他們的網站，駭客於竊取網路憑據等資訊後，就可以在暗網販售獲利，或進行其他類型的犯罪行為。ESET資安專家提醒，在下載軟體之前，檢查正在瀏覽的 URL 之合法性是很重要的。

以下為ESET 在 2022 年 8 月至 2023 年 1 月期間偵測到被攻擊的國家 / 地區

國際資安大廠ESET於1月底公布2022年度第3季的APT攻擊情勢報告，裡頭提到俄羅斯駭客組織Sandworm於去年(2022)10月，在該國軍隊發射導彈攻擊的期間，使用名為NikoWiper資料破壞軟體（Wiper）來對烏克蘭能源基礎設施下手。

研究人員指出，此資料破壞軟體是以微軟免費工具–SDelete為基礎打造而成，而這些駭客也曾在攻擊烏克蘭媒體Ukrinform的過程中，運用此公用程式破壞資料，進而引起研究人員的注意。

#若有任何資安需求，歡迎洽詢台灣二版資安專業團隊，服務電話：(02)7722-6899，或上官網查詢：https://version-2.com.tw/

原文出處：https://www.welivesecurity.com/2023/01/31/eset-apt-activity-report-t3-2022/

國際資安大廠ESET揭露駭客Agrius自去年(2022)2月開始的攻擊行動，駭客先鎖定了以色列軟體開發業者下手，發動供應鏈攻擊，目標為該國人力資源、IT顧問公司，以及使用特定以色列軟體的鑽石產業，散布名為Fantasy的資料破壞程式（Wiper），以及名為Sandals的惡意程式啟動器，此啟動器不只能用於執行Fantasy，亦具備讓駭客於受害組織內部環境橫向移動的功能。另外研究人員亦發現南非鑽石產業的組織、香港珠寶商也遭到攻擊。

駭客一旦執行Fantasy，此資料破壞軟體藉由隨機資料覆寫受害電腦的檔案，並將檔案的時間變更為2037年再行刪除；為了消滅跡證，Fantasy還會刪除特定機碼與所有Windows事件記錄，最終將自己刪除。

#若有任何資安需求，歡迎洽詢台灣二版資安專業團隊，服務電話：(02)7722-6899，或上官網查詢：https://version-2.com.tw/

原文出處：https://www.welivesecurity.com/2022/12/07/fantasy-new-agrius-wiper-supply-chain-attack/