資安新聞及事件週報 2016/9/5 ~ 2016/9/10

**1.重大弱點漏洞：**
  Adobe ColdFusion < 11 Update 10 - XML​​外部實體注入
  https://www.seebug.org/vuldb/ssvid-92397

  微軟抓漏獎勵擴大至.NET Core與ASP.NET Core
  http://www.ithome.com.tw/news/108214

  谷歌發布新安全更新修復Quadrooter全部漏洞
  http://tech.firefox.163.com/16/0907/06/0MDGP2I1XBL6JHW7.html

  Redhat RESTEasy漏洞(CVE-2016-6346)
  https://bugzilla.redhat.com/show_bug.cgi?id=1372120

  Kaspersky Internet Security 安全漏洞 CVE-2016-4304
  https://support.kaspersky.com/vulnerability.aspx?el=12430#010916

  TCP鏈接劫持漏洞
  http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20160907-01-tcp-cn

  Fortinet FortiWAN 漏洞 CVE-2016-4968
  http://docs.fortinet.com/uploaded/files/3236/fortiwan-v4.2.5-release-notes.pdf

  IE瀏覽器數組越界漏洞利用方法
  http://www.weixianmanbu.com/article/593.html

  使用sqli-proxy來挖掘SQL注入漏洞
  http://dmzlab.com/77739.html

  快點更新 OS X 10.11.6！Apple 修補 Safari 及 OS X 零時漏洞
  http://index.yipee.cc/78097/%E5%BF%AB%E9%BB%9E%E6%9B%B4%E6%96%B0-os-x-10-11-6%EF%BC%81apple-%E4%BF%AE%E8%A3%9C-safari-%E5%8F%8A-os-x-%E9%9B%B6%E6%99%82%E6%BC%8F%E6%B4%9E

  思科 PPTP 伺服器資料洩露漏洞 CVE-2016-6398
  https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160902-io

  GNU Libidn 漏洞(CVE-2016-6261)
  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6261

  D-Link DIR-822 Firmware CVE-2016-5681
  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-5681

  F5 BIG-IP CVE-2015-8022
  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2015-8022

  Fortinet FortiOS CVE-2016-6909
  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-6909

  GOOGLE Stable Channel Update for Desktop
  https://googlechromereleases.blogspot.tw/2016/08/stable-channel-update-for-desktop_31.html
 
  Integer Overflow in MDSS Driver (CVE-2016-5344)
  https://www.codeaurora.org/integer-overflow-mdss-driver-cve-2016-5344

  Bitdefender Bug Bounty Hall of Fame
  http://www.bitdefender.com/site/view/bug-bounty-hall-of-fame.html

  Amazon Linux AMI Security Center ALAS-2016-741  CVE-2016-1000110
  https://alas.aws.amazon.com/ALAS-2016-741.html

  Cisco SOHO switches patched for SOHOpeless vuln
  http://www.theregister.co.uk/2016/09/01/cisco_soho_switches_patched_for_sohopeless_vuln/

  HP Operations Manager CVE-2016-4373
  https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c05206507

  HPE Integrated Lights-Out漏洞(CVE-2016-4375)
  https://h20566.www2.hpe.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c05236950

  cURL/libcURL CVE-2016-7141 Certificate Validation Security Bypass Vulnerability
  http://www.securityfocus.com/bid/92754

**2.銀行金融資安：**
  金管會祭出10項Fintech計畫，並用Pilot計畫形式暫代監理沙盒
  http://www.ithome.com.tw/news/108385
 
  ATM無卡提款 安控恐趨嚴
  http://udn.com/news/story/6/1940323

  金管會拚資安 設戰情中心
  http://money.udn.com/money/story/5613/1947114

  銀行如何防駭？ 專家：主動出擊找駭客、強化防禦工事
  http://times.hinet.net/news/19272889

  普鴻申請登錄興櫃；攻金融支付資服競逐FinTech商機
  http://www.moneydj.com/KMDJ/News/NewsViewer.aspx?a=63951240-626c-48b6-9a5c-e7154c90bc9e

  金管會首度啟動資安金檢 4家產險先行
  http://www.cna.com.tw/news/afe/201609090265-1.aspx

  產險資安專案金檢 出鞘
  https://tw.news.yahoo.com/%E7%94%A2%E9%9A%AA%E8%B3%87%E5%AE%89%E5%B0%88%E6%A1%88%E9%87%91%E6%AA%A2-%E5%87%BA%E9%9E%98-215005997--finance.html

**3.資安事件新聞：
  A.病毒木馬：**
    勒索病毒橫行 穿梭眾多軟體漏洞
    https://tw.news.yahoo.com/%E5%8B%92%E7%B4%A2%E7%97%85%E6%AF%92%E6%A9%AB%E8%A1%8C-%E7%A9%BF%E6%A2%AD%E7%9C%BE%E5%A4%9A%E8%BB%9F%E9%AB%94%E6%BC%8F%E6%B4%9E-230000125.html
   
    新型勒索軟體CSTO，使用UDP傳輸協定以及Google Maps
    http://securityaffairs.co/wordpress/51015/malware/csto-ransomware.html
    http://www.bleepingcomputer.com/news/security/the-crylocker-ransomware-communicates-using-udp-and-stores-data-on-imgur-com/
   
    駭客看上Google Drive, Palo Alto發現9002木馬
    http://www.runpc.com.tw/news.aspx?id=101689

    不需無線發報機，惡意程式可透過一般 USB 裝置無線傳輸
    http://technews.tw/2016/09/09/wireless-transmitters-are-not-needed-malicious-software-with-usb-cable-to-wireless-transmission/
   
    這裡有隻神奇寶貝,是會攻擊 Linux 系統的月精靈
    http://blog.trendmicro.com.tw/?tag=rootkit

    勒索軟件的歷史：27 年前贖金已達 1400 元
    http://sina.com.hk/news/article/20160907/0/5/49/%E5%8B%92%E7%B4%A2%E8%BB%9F%E4%BB%B6%E7%9A%84%E6%AD%B7%E5%8F%B2-27-%E5%B9%B4%E5%89%8D%E8%B4%96%E9%87%91%E5%B7%B2%E9%81%94-1400-%E5%85%83-6273778.html

    常見勒索軟件有那些？用户又應如何解密
    http://sina.com.hk/news/article/20160909/0/5/49/%E5%B8%B8%E8%A6%8B%E5%8B%92%E7%B4%A2%E8%BB%9F%E4%BB%B6%E6%9C%89%E9%82%A3%E4%BA%9B-%E7%94%A8%E6%88%B7%E5%8F%88%E6%87%89%E5%A6%82%E4%BD%95%E8%A7%A3%E5%AF%86-6284914.html

    網站連不上？可能是針對伺服器的FAIRWARE新勒索病毒造成
    http://blog.trendmicro.com.tw/?p=28762

    2016 上半年資訊安全總評報告：勒索病毒當道 變臉詐騙造成逾30 億美元損失.受害企業高達 22,000 家(內有完整報告)
    http://blog.trendmicro.com.tw/?p=28643

    光擋 .js副檔名己無法防禦，勒索病毒再進化
    http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=11&aid=8329

    郵件防護先過濾 檔案分享可版本還原 開信件附勒索 事前事後都有解
    http://www.netadmin.com.tw/article_content.aspx?sn=1609060002

**B.行動安全：**
    找人幫你駭入iPhone要多少？以色列駭客公司：10支110萬美元
    http://www.ithome.com.tw/news/108260

    以色列研發駭客軟體 全方位監控你的手機
    https://cnews.com.tw/%E4%BB%A5%E8%89%B2%E5%88%97%E7%A0%94%E7%99%BC%E9%A7%AD%E5%AE%A2%E8%BB%9F%E9%AB%94-%E5%85%A8%E6%96%B9%E4%BD%8D%E7%9B%A3%E6%8E%A7%E4%BD%A0%E7%9A%84%E6%89%8B%E6%A9%9F/

    駭客展示使用「yaluX」工具成功越獄iOS 10系統
    http://www.iphonetaiwan.org/2016/09/yalux-jailbreak-of-ios-10.html

    你的手機資訊它全看光？紐時揭開偵監公司NSO面紗
    http://udn.com/news/story/5/1938888

    iPhone刪除自帶軟件有漏洞
    http://www.zgshuxue.com/tech/20160903/191705.html

    鼎源必安全：移動APP安全漏洞多 如何防護是關鍵
    https://kknews.cc/tech/3bb6jo.html

    Apple Pay、Android Pay、Samsung Pay 支援手機彙整
    http://www.ettoday.net/news/20160910/773094.htm

    Android出現兩個高危漏洞 部分機型得不到修復
    http://finance.sina.com/bg/tech/sinacn/20160910/19501497226.html
       
**C.事件：**
    明年起Chrome將把含機密資訊的HTTP網頁標示為「不安全」
    http://www.ithome.com.tw/news/108343

    國內 mail server 被 Armada Collective Hackers 利用，勒索他國銀行
    http://www.cert.org.tw/twcert/newsdetail/2874

    網站建置逐年成長伴隨資安事件出不窮
    https://blog.pumo.com.tw/archives/744

    導入免特徵碼式網路安全技術，提升零時差威脅防護
    http://www.ithome.com.tw/guest-post/108218

    陝4少年自學成駭客　接委託攻擊網站盜資料
    http://tw.on.cc/cn/bkn/cnt/news/20160911/bkncn-20160911073040184-0911_05011_001.html

    未來資安漏洞會越難修復 台灣也將制定資安管理法
    https://cnews.com.tw/%E6%9C%AA%E4%BE%86%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9E%E6%9C%83%E8%B6%8A%E9%9B%A3%E4%BF%AE%E5%BE%A9-%E5%8F%B0%E7%81%A3%E4%B9%9F%E5%B0%87%E5%88%B6%E5%AE%9A%E8%B3%87%E5%AE%89%E7%AE%A1%E7%90%86%E6%B3%95/

    Google網址參數潛藏危機，登入網址可被利用轉傳惡意網站或檔案
    http://www.businessinsider.com/google-login-page-phishing-2016-8
    http://unwire.pro/2016/09/01/google-parameter-phishing/news/
    https://www.aidanwoods.com/blog/faulty-login-pages

    新世代弱點管理作法趨於多元，有助於強化資安防護網
    http://www.ithome.com.tw/guest-post/108204

    外部威脅手法多樣化 對外服務網頁與App首當其衝 從程式碼著手 強化應用安全才是王道
    http://www.netadmin.com.tw/article_content.aspx?sn=1608300007

    中共對台網攻遽增 國安局：半年1.7萬次
    http://www.epochtimes.com.tw/n180602/%E4%B8%AD%E5%85%B1%E5%B0%8D%E5%8F%B0%E7%B6%B2%E6%94%BB%E5%A4%A7%E5%B9%85%E5%A2%9E%E5%8A%A0--%E5%9C%8B%E5%AE%89%E5%B1%80-%E9%AB%98%E9%81%941%E8%90%AC7%E5%8D%83%E6%AC%A1.html

    從源頭抓好網路安全治理
    http://www.cdnews.com.tw/cdnews_site/docDetail.jsp?coluid=110&docid=103828965

    IT架構丕變 驅動網路安全防禦持續延伸 承上啟下守禦端到端　資安閘道成防線樞紐
    http://www.netadmin.com.tw/article_content.aspx?sn=1609050001

    Dropbox洩密事件仍在蔓延，一家成人網站被爆掉 80 萬帳號密碼
    http://www.techbang.com/posts/45979-dropbox-leaks-is-still-spreading-an-adult-web-site-account-password-by-burst-800000

    網路攻擊頻繁 德政府每天遭駭逾20次
    http://www.cna.com.tw/news/ahel/201609060401-1.aspx

    美情治機構徹查俄網路攻擊 嚴防大選程序遭駭
    http://big5.soundofhope.org/node/896586

    BBC遭ISIS入侵？這則推播引起民眾恐慌
    http://photo.chinatimes.com/20160903003927-260803

    網路無國界，如何抵擋數位戰威脅
    http://times.hinet.net/news/19268101
   
    臺灣TWCERT/CC負責哪些資安任務
    http://www.ithome.com.tw/news/108002

    韓國資安人才教父現身，揭露全球駭客競賽奪冠關鍵
    http://www.ithome.com.tw/news/107998

    如何扮演一個稱職的企業資安人員
    http://www.ithome.com.tw/news/108014

    免費又好用的公共WiFi能有多危險？ 看完保證你對免費公共WiFi大。改。觀！
    http://blog.trendmicro.com.tw/?p=28708

    〈分析〉高考詐騙黑色產業鏈 從盲騙進化到精準詐騙
    http://news.cnyes.com/news/id/2923949

    用Twitter私訊友人可以追蹤訊息是否已讀
    http://www.ithome.com.tw/news/108360

    #資安 #帳戶 #外流 我的帳號被偷走了嗎
    https://www.dcard.tw/f/3c/p/224687823

    資安公司揭露Windows存在18年漏洞：31家知名軟體受影響
    http://www.41443.com/HTML/Windows/20160910/450787.html

**D.資料外洩：**
    俄國入口網站Rambler.ru近1億用戶資料外洩
    http://www.ithome.com.tw/news/108297

    志光函授網站遭駭　28生被詐500萬
    http://www.appledaily.com.tw/realtimenews/article/new/20160905/942537/

    核安演習「無差別簡訊」 墾丁遊客憂個資外洩
    http://news.ltn.com.tw/news/life/breakingnews/1821519

**E.研究報告：**
    iOS三叉戟漏洞補丁分析、利用代碼公佈（POC）
    http://bobao.360.cn/learning/detail/2996.html

    CSV/XLS Injection Vulnerability 分析利用和YY
    http://www.bugbank.cn/inews/detail/57cc33379ff2ac9a4884ae3e.html

    高級瀏覽器漏洞攻擊包：BrowserExploit
    http://www.freebuf.com/sectool/113417.html

    我聽說你不需要密碼？Cisco ASA SNMP RCE漏洞分析利用
    http://bobao.360.cn/learning/detail/2998.html

    利用 collectd + InfluxDB + Grafana 監測系統效能
    http://cyrilwang.blogspot.tw/2016/09/collectd-influxdb-grafana.html

    【技術分享】手把手教你如何構造office漏洞POC
    http://bobao.360.cn/learning/detail/3003.html

**F.商業：**
    Raspberry Pi全球出貨量突破1000萬台，首個官版入門套件問世
    http://www.ithome.com.tw/news/108367

    趨勢網頁安全閘道虛擬設備可防護HTTP、HTTPS與FTP協定的網路存取行為
    http://www.ithome.com.tw/review/107948

    Sophos網頁安全閘道虛擬設備內建中文封鎖訊息網頁
    http://www.ithome.com.tw/review/107941

    宏碁運用IBM Security AppScan 協助企業搶攻行動服務商機
    http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=12&aid=8326

    擴展進階通訊、分析與安全應用，Office 365最高階方案登場
    http://www.ithome.com.tw/review/108007

    即時掌握攻擊指標，CrowdStrike扭轉端點被動防護
    http://www.ithome.com.tw/review/108027

    力麗科技代理 eDC SAFE3.0 企業資安日誌管理系統
    http://news.networkmagazine.com.tw/classification/security/2016/09/10/67226/
  
    英特爾獨立Intel Security業務，「McAfee」重現江湖
    http://www.ithome.com.tw/news/108335

    HPE以88億美元獨立出非核心軟體部門與Micro Focus合併
    http://www.ithome.com.tw/news/108324

    資安實戰攻防 微軟傳授3大防禦術
    http://pchome.megatime.com.tw/news/cat2/20160909/14734188466412422005.html

    網路電商如何以Akamai迎敵於境外 以Splunk打進顧客心裡
    http://news.networkmagazine.com.tw/news/2016/09/09/67221/

    IBM與Box聯手開發企業流程管理工具Relay，測試版Q4問世
    http://www.ithome.com.tw/news/108311

    又是雲！甲骨文買下雲端倉儲管理軟體業者LogFire
    http://www.ithome.com.tw/news/108299

    宏達電進軍國內穿戴市場，健身手環UA Band上市
    http://www.ithome.com.tw/news/108220

**G.其他：**
    【防駭客高手就在台灣】資安秘密基地曝光
    http://www.appledaily.com.tw/realtimenews/article/new/20160903/941427/

    從駭客的賞與罰 看企業創新文化
    http://www.1111.com.tw/discuss/discussTopic.asp?id=101197

    達美航空上月系統大當機，約1.5億美元飛了
    http://www.ithome.com.tw/news/108325

    Google海底電纜開通台灣段，亞洲連網將更快
    http://www.ithome.com.tw/news/108251

    缺人維護，OpenOffice考慮關閉專案
    http://www.ithome.com.tw/news/108175

    RAID 2.0的可靠性疑慮
    http://www.ithome.com.tw/tech/108164

    
**4.近期資安活動及研討會**

  2016軟體品質與APP資安研討會 9/19   9/29
  http://www.communications.org.tw/news/conference/item/8889-0919.html

  黑魔法防禦術1-3 - 網路架構基礎 2016/09/17 15:00 ~ 17:00
  http://tdohackerparty.kktix.cc/events/realdefense1-3

  智慧監控大未來 | AWSxSmart Monitoring Nextlink說明會 2016年9月20日 14:00-17:00
  http://www.accupass.com/go/nextlink_0920

  TWISC@NCKU 教育訓練 2016/09/22 ~ 2016/09/23
  http://twiscncku.kktix.cc/events/d903ee1e

  Veritas & AWS雲端備份與災難復原研討會 2016年9月22日  14:00-16:45 (13:30 開放入場)
  https://veritasevents.verite.com/23347/31131

  IoT物聯網市場趨勢與北美測試要求研討會   2016年9月21日(三) 13:00~17:00
  https://docs.google.com/forms/d/e/1FAIpQLSfH7CmDtHzsQ9eDZHqKpn84UUzUWQD4yGJrtFMOoTh0PFzpxw/viewform?c=0&w=1

  思科線上風雲會：科技最前線 商機大無限-行動飆網任我行
  https://goo.gl/Pez6Hk

  2016 ithome security forum 透視資安威脅-防微杜漸，遠離災禍 2016 年 9 月 30 日（五）13：30 - 17：00
  http://seminar.ithome.com.tw/live/20160930/index.html

  TDOH 2016 南區大型 WorkShop 10/1 09:00~17:30
  http://tdohackerparty.kktix.cc/events/tdoh-workshop-20161001

  HPE自適應備份與復原產品說明會 10/7(五) 14:00– 15:50
  http://seminar.ithome.com.tw/live/1007hpe/index.html

  Container Summit 2016 9/21(三)~9/22(四) 09:00~17:00
  http://www.ithome.com.tw/seminar