資安新聞及事件週報 2017/1/9 ~ 2017/1/13

1.重大弱點漏洞
  Joomla! aWeb Cart Watching System for Virtuemart擴展SQL漏洞 CVE-2016-10114
  https://vel.joomla.org/resolved/1897-aweb-cart-watching-system-2-6-0
  多個F5 BIG-IP產品拒絕服務漏洞 CVE-2016-7476
  http://www.securityfocus.com/bid/94353
  VMware vRealize Operations Vsphere Data Protection CVE-2016-7457 CVE-2016-7462 CVE-2016-7456
  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-7457
  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-7462
  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-7456
  Zend-Mail存在允許攻擊者遠端執行任意程式碼之漏洞(CVE-2016-10034)
  http://www.nccst.nat.gov.tw/VulnerabilityDetail?lang=zh&seq=1050
  SwiftMailer存在允許攻擊者遠端執行任意程式碼之漏洞(CVE-2016-10074)
  http://www.nccst.nat.gov.tw/VulnerabilityDetail?lang=zh&seq=1049
  Google Android 權限提升漏洞(CVE-2017-0387)
  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0387
  OnePlus 3/3T Bootloader Vulnerability Allows Changing of SELinux to Permissive Mode in Fastboot
  https://www.xda-developers.com/oneplus-33t-bootloader-vulnerability-allows-changing-of-selinux-to-permissive-mode-in-fastboot/
  Google Nexus Qualcomm Camera Driver權限提升漏洞
  https://source.codeaurora.org/quic/la/kernel/msm-3.18/commit/?id=42a98c44669d92dafcf4d6336bdccaeb2db12786
  谷歌一月安全包修復Pixel/Pixel xl bootloader 漏洞
  https://www.myzaker.com/article/586f6b8f1bc8e0c212000003/
  CVE-2016-8972 IBM AIX bellmail Privilege Escalation Vulnerability (bellmail_advisory)
  http://www.0daybank.org/?p=5583
  Google Android Qualcomm Video Driver權限提升漏洞
  https://source.android.com/security/bulletin/2017-01-01.html
  PHP7漏洞情況的通報
  http://www.kubiji.cn/juhe-id5900.html
  GnuTLS 遠端執行程式碼漏洞
  http://gnutls.org/security.html#GNUTLS-SA-2017-1
  http://gnutls.org/security.html#GNUTLS-SA-2017-2
  GitHub Enterprise SQL 漏洞
  http://blog.orange.tw/2017/01/bug-bounty-github-enterprise-sql-injection.html
  ISC BIND 多個漏洞
  https://www.us-cert.gov/ncas/current-activity/2017/01/11/ISC-Releases-Security-Updates-BIND
2.銀行資安
  連線異常 玉山銀掃出病毒
  http://www.chinatimes.com/newspapers/20170109000081-260205
  證交所異常熔斷觸發關鍵，大立光股價乘百萬倍導致記憶體溢位
  http://www.ithome.com.tw/news/111130
  比特幣同於一般法定貨幣?微軟將它納入貨幣格式
  https://cnews.com.tw/%E6%AF%94%E7%89%B9%E5%B9%A3%E5%90%8C%E6%96%BC%E4%B8%80%E8%88%AC%E6%B3%95%E5%AE%9A%E8%B2%A8%E5%B9%A3%E5%BE%AE%E8%BB%9F%E5%B0%87%E5%AE%83%E7%B4%8D%E5%85%A5%E8%B2%A8%E5%B9%A3%E6%A0%BC%E5%BC%8F/
3.資安事件新聞
  A.病毒木馬
    勒索軟件的強逼教育？　受害人要閱兩篇資安文章才可還原檔案
    https://unwire.pro/2017/01/07/ransomware-koolova/security/
    影子掮客開始出售Windows攻擊工具，可攻陷或避開防毒軟體
    http://www.ithome.com.tw/news/111116
    KillDisk網路破壞工具發展為勒索軟體
    http://www.csoonline.com/article/3155245/security/killdisk-cyber-sabotage-tool-evolves-into-ransomware.html
    企業如何防範勒索病毒?從預防,損害控制到復原的全方位指南
    http://blog.trendmicro.com.tw/?p=40160
    資安的防護不能只防毒防駭，還要保護上網的密碼與社群交友安全
    http://www.techbang.com/posts/48540-pc-cillin-2017-cloud-edition-antivirus-not-only-preventing-comment-also-protects-your-password-and-community-dating-safety
   
    公共機構成為勒索軟體眼中的肥羊，付不付贖金都是一個難題
    http://www.techbang.com/posts/47960-when-public-bodies-become-a-hacker-in-the-eyes-of-the-sheep-extorting-ransom-software-into-full-pay-should-the-government-pay-a-ransom
    貓捉老鼠! 勒索軟體家族新成員Marlboro現身僅一天就被撲滅了
    http://www.ithome.com.tw/news/111145
  B.行動安全
    官方版iOS專用洋蔥瀏覽器免費大放送
    http://www.ithome.com.tw/news/111087
    iOS 10.2越獄將很快到來 但不支持iPhone 7
    http://tech.hk.dailyeconomic.com/2017/01/09/6724.html
    WeChat正式推出微信小程序，免安裝就能存取各種應用
    http://www.ithome.com.tw/news/111038
    WhatsApp有嚴重安全漏洞 就算加密訊息也可能遭截
    http://udn.com/news/story/5/2228856
    俄羅斯要求蘋果、Google撤下LinkedIn app，觸動美俄緊張關係
    http://www.ithome.com.tw/news/111008
    Google一口氣修補逾90個Android安全漏洞，近1/3為重大漏洞
    http://www.ithome.com.tw/news/111004
    危機：谷歌插入了嚴重的And漏洞，導致設備受到間諜攻擊
    http://www.ifuun.com/a2017110921269/
    最新微信漏洞曝光：利用微信群郵件日吸過万精準流量
    http://www.gupowang.com/weixin/6251.html
  C.事件
    AI結合端點防護，強力攔阻未知病毒或APT後門
    http://www.vssecurity.com.tw/single-post/2017/01/13/AI%E7%B5%90%E5%90%88%E7%AB%AF%E9%BB%9E%E9%98%B2%E8%AD%B7%EF%BC%8C%E5%BC%B7%E5%8A%9B%E6%94%94%E9%98%BB%E6%9C%AA%E7%9F%A5%E7%97%85%E6%AF%92%E6%88%96APT%E5%BE%8C%E9%96%80
   
    GoDaddy軟體臭蟲誤發近9000個SSL憑證，用戶快更新
    http://www.ithome.com.tw/news/111120
    心臟去顫器配件有漏洞恐被駭　台灣有116部
    http://www.appledaily.com.tw/realtimenews/article/new/20170111/1033044
    如何讓家用路由器不變成殭屍機器,接收指令進行網路犯罪
    http://blog.trendmicro.com.tw/?p=40152
    微軟例行更新只釋出4項安全公告，史上最少
    http://www.ithome.com.tw/news/111115
    英特爾部分Skylake 處理器存在漏洞：可通過USB 接口入侵計算機
    https://www.myzaker.com/article/58789a841bc8e0e06e00000c/
    Sucuri：去年Q3被駭的CMS網站高達7成4為WordPress，6成還在用舊系統
    http://www.ithome.com.tw/news/111068
    危及廣告業務!? Google將隱私保護程式AdNauseam自Chrome網路商店移除
    http://www.ithome.com.tw/news/111003
    網絡攻擊公司41%為了索錢
    http://www.orientaldaily.com.my/nation/gn4152421
    公安部報告：渥京網絡安全保護不足
    http://www.epochtimes.com/b5/17/1/11/n8693971.htm
    《Black Mirror》：科技鏡射出的人性黑暗面
    http://technews.tw/2017/01/08/black-mirror-technology-and-the-dark-side-of-human-nature/
    超過一打駭客加入資料庫勒索行列，MongoDB祭出安全查核表
    http://www.ithome.com.tw/news/111009
    大批MongoDB 因配置漏洞被攻擊，數據被刪
    https://www.oschina.net/news/80766/number-of-mongodb-databases-be-attacked
   
    105 年資安服務廠商評鑑結果
    http://download.nccst.nat.gov.tw/attachfilespmo/105%E5%B9%B4%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%BB%A0%E5%95%86%E8%A9%95%E9%91%91%E7%B5%90%E6%9E%9C.pdf
   
    俄駭客攻擊美國網路 川普不信自家調查結果挨批
    http://news.ebc.net.tw/news.php?nid=48136
    俄羅斯辣妹駭客 被指操控美國大選
    https://tw.news.yahoo.com/%E4%BF%84%E7%BE%85%E6%96%AF%E8%BE%A3%E5%A6%B9%E9%A7%AD%E5%AE%A2-%E8%A2%AB%E6%8C%87%E6%93%8D%E6%8E%A7%E7%BE%8E%E5%9C%8B%E5%A4%A7%E9%81%B8-113026080.html
    川普：中國駭客偷美國帳戶，以後未必與普丁處得來
    http://news.cnyes.com/news/id/3682842
    卡巴斯基：襲擊美國的駭客組織真面目難以識破
    http://www.chinesetoday.com/big/article/1164620
    杜絕應用服務安全漏洞 首重提升軟體開發品質
    http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=11&aid=8394
   
    友訊遭美FTC提告 下周一說明
    http://money.udn.com/money/story/5612/2213686
    【美FTC控告友訊】D-Link網通產品易被駭客利用
    http://www.appledaily.com.tw/realtimenews/article/recommend/20170106/1029329/%E3%80%90%E7%BE%8EFTC%E6%8E%A7%E5%91%8A%E5%8F%8B%E8%A8%8A%E3%80%91D-Link%E7%B6%B2%E9%80%9A%E7%94%A2%E5%93%81%E6%98%93%E8%A2%AB%E9%A7%AD%E5%AE%A2%E5%88%A9%E7%94%A8
    友訊科技 D-Link 因 4 大資安漏洞持續未修正，遭美國 FTC 控告
    http://showmer.pixnet.net/blog/post/44576878-d-link-ftc
    美軍方報告：解放軍駭客指揮部藏身北京金唐酒店及全季酒店
    https://bowenpress.com/news/bowen_156553.html
    美國軍方指證北京兩家旅館實為解放軍網絡諜報司令部
    http://trad.cn.rfi.fr/%E4%B8%AD%E5%9C%8B/20170106-%E7%BE%8E%E5%9C%8B%E8%BB%8D%E6%96%B9%E6%8C%87%E8%AD%89%E5%8C%97%E4%BA%AC%E5%85%A9%E5%AE%B6%E6%97%85%E9%A4%A8%E5%AF%A6%E7%82%BA%E8%A7%A3%E6%94%BE%E8%BB%8D%E7%B6%B2%E7%B5%A1%E8%AB%9C%E5%A0%B1%E5%8F%B8%E4%BB%A4%E9%83%A8
    北科大重金打造企業級雲端機房，單日千臺VM服務全國上萬考生
    http://www.ithome.com.tw/people/110731
    日本要用3大資安對策迎戰2020奧運會
    http://www.ithome.com.tw/news/110717
    外國間諜去年對瑞典發動十萬次駭客攻擊
    http://dailynews.sina.com/bg/news/int/bcc/20170109/01307684368.html
    黑客入侵考試網 盜賣考題賺10萬
    http://news.sina.com.tw/article/20170109/20095212.html
    風險拉高、賺得不多，影子掮客以中文「失陪」宣佈退隱江湖
    http://www.ithome.com.tw/news/111143
    2016年最易受攻擊作業系統，竟然是
    https://read01.com/2PPzkn.html
    任天堂迷你紅白機玩膩了嗎？傳歐美版可被破解加入新遊戲
    http://www.ithome.com.tw/news/111006
    NINTENDO任天堂NES復刻版宣告破解！可以自己裝遊戲了
    https://news.xfastest.com/nintendo/30521/nintendo-nes-hacker/
    網路攝影機變駭客天堂　2017資安危機大預測
    http://www.cw.com.tw/article/article.action?id=5080322
    黎棟國指本港網絡安全風險增 6年損失急升至18億
    http://hk.apple.nextmedia.com/realtime/news/20170106/56140275
    遭俄駭客入侵 烏克蘭否認
    http://news.sina.com.tw/article/20170106/20066962.html
   
    Crims shut off Ukraine power in wide-ranging anniversary hacks
    http://www.theregister.co.uk/2017/01/12/ukraine_power_outtage_hack/
    Docker swings door shut on privilege escalation bug
    http://www.theregister.co.uk/2017/01/12/docker_container_escape_vuln_patched/
    Digital video recorder installers master password list 'leaked' – claims
    http://www.theregister.co.uk/2017/01/11/dvr_installer_master_password_list_leaks/
    GoDaddy revokes 9,000 SSL certificates wrongly validated by code bug
    http://www.theregister.co.uk/2017/01/11/godaddy_pulls_unvalidated_digital_certs/
    How to secure MongoDB – because it isn't by default and thousands of DBs are being hacked
    http://www.theregister.co.uk/2017/01/11/mongodb_ransomware_followup/
    Like stealing data from a kid: LA school pays web scum US$28,000 ransom
    http://www.theregister.co.uk/2017/01/10/la_school_pays_web_scum_28000_ransom/
    Hacker publishes GitHub secret key hunter
    http://www.theregister.co.uk/2017/01/09/hacker_publishes_github_secret_key_hunter/
   
  D.資料外洩
    小心! 瀏覽器自動填入功能可能讓你儲存的個資被偷光光
    http://www.ithome.com.tw/news/111135
    北市員工薪資資料驚爆外洩，資訊局：15年老舊系統闖的禍
    http://www.ithome.com.tw/news/111101
    電競遊戲社群ESEA遭駭，駭客勒索不成公開150萬會員個資
    http://www.ithome.com.tw/news/111049
    網購餐旅票券要小心　疑有科技公司系統遭駭恐有個資外洩
    http://www.nownews.com/n/2017/01/13/2372073
    "綁架"小模IG帳號 外國駭客勒索80萬
    http://www.ttv.com.tw/news/view/10601110032300L/579
  E.研究報告
    資安威脅聚合分析技術會議 網路日誌安全分析
    http://docsplayer.com/29365908-%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85%E8%81%9A%E5%90%88%E5%88%86%E6%9E%90%E6%8A%80%E8%A1%93%E6%9C%83%E8%AD%B0.html
    PHPCMS漏洞利用全過程
    http://www.weixianmanbu.com/article/1215.html
    對嵌入式設備的逆向和漏洞利用:軟件層Part 1(上)
    http://www.360doc.com/content/17/0107/13/16758694_620727913.shtml
    對嵌入式設備的逆向和漏洞利用:軟件層Part 1(下)
    http://www.360doc.com/content/17/0107/13/16758694_620727961.shtml
    【漏洞分析】e107 CMS 小於等於2.1.2 權限提升漏洞分析
    http://sxfxba.com/news/?31.html
    winsock expert 利用ASP上傳漏洞得到webshel​​l實戰
    http://www.manew.com/blog-166798-37010.html
    技術分享-逆向安全系列
    http://bobao.360.cn/learning/detail/3379.html
    Webview File域同源策略繞過漏洞- Venscor技術養成之路
    http://www.itdadao.com/articles/c15a1070156p0.html
    【技術分享】安卓漏洞：攻擊Nexus6和6p自定義引導模式
    http://bobao.360.cn/learning/detail/3388.html
    【漏洞分析】CVE-2016-10033：PHPMailer遠程代碼執行漏洞的分析
    http://bobao.360.cn/learning/detail/3386.html
    【更新支付寶回應】風控缺陷？支付寶曝“致命”漏洞，他人能改你的密碼
    http://www.freebuf.com/news/124847.html
    WinDbg 漏洞分析調試
    http://paper.seebug.org/179/
    【技術分享】遠程漏洞利用：無需借助套接字的Shellcode
    http://bobao.360.cn/learning/detail/3402.html
   
    【漏洞分析】深入分析TIMA任意內核模塊認證繞過漏洞
    http://bobao.360.cn/learning/detail/3383.html
    【漏洞分析】MS16-137：LSASS遠程拒絕服務漏洞分析
    http://bobao.360.cn/learning/detail/3409.html
    關於Docker的幾點安全解析 by Change
    http://www.4hou.com/technology/2902.html
    Wingbird rootkit analysis by Artem
    http://artemonsecurity.blogspot.tw/2017/01/wingbird-rootkit-analysis.html
    一款惡性Rootkit木馬分析——“狼人殺”木馬潛伏數十萬台電腦
    http://www.freebuf.com/articles/system/124001.html
    烏克蘭Ukrenergo斷電事件技術分析與防護方案
    http://blog.nsfocus.net/analysis-ukrenergo-blackout-event-ukraine/
    Linux勒索樣本KillDisk分析報告
    https://xianzhi.aliyun.com/forum/read/632.html
    基礎惡意軟件分析工具介紹
    http://www.4hou.com/technology/2969.html
  F.商業
    A10 Networks 宣布與聚碩科技結盟 (透過其子公司敦新科技)，共同面對不斷變化的安全威脅環境
    http://www.netadmin.com.tw/article_content.aspx?sn=1701050009
   
    防堵內神通外鬼！ 朴總統早該知道的事
    http://www.appledaily.com.tw/appledaily/article/headline/20170109/37511134/
    資誠辦研討會 助企業提升舞弊防杜及認識鑑識專業
    http://www.cna.com.tw/postwrite/Detail/207120.aspx
    亞太電光纖骨幹網路建設拚資安 導入先進骨幹端DDoS
    https://www.moneydj.com/KMDJ/News/NewsViewer.aspx?a=617e9fe8-f375-4f50-ad4a-06ffa235a13f
    亞太電信100Mbps學術級光纖骨幹正式營運
    http://www.chinatimes.com/realtimenews/20170112005835-260412
  G.政府
    政院版監理沙盒大鬆綁！不是金融業者也可以申請創新實驗
    http://www.ithome.com.tw/news/111138
    北市府資安管理嚴重出包 柯：恐怕不知道的還不少
    https://today.line.me/tw/article/443d8c20ff2355e2283d8158ed0b6c05bd687c4d9a34e9df8a007ed8589f8814
   
    文化部提升資安等級 統一異質環境的備份作業
    http://www.digitimes.com.tw/tw/iot/shwnws.asp?cnlid=15&id=0000491672_E6Z53AKW8C17LR1DRHNFM&ct=1
       
  H.近期惡意郵件Title
    Returned mail: Data format error
    Delivery reports about your e-mail
    [!10199]: ALMA Helpdesk Triage - simulator
    Boas Festas e Próspero Ano Novo
    Re: Re: Quotation Request (22/12/16)
    Outstanding payment
      
  I.教育訓練類
    Kali Linux 駭客實驗室初學者課程
    https://softnshare.wordpress.com/2017/01/07/kalilinuxhackinglab/
    [Day29] 議題探討－資訊安全的未來議題
    http://ithelp.ithome.com.tw/articles/10188837
   
    [DayX]資安xAPPx手機檢測
    http://ithelp.ithome.com.tw/articles/10188577
    [DayX]資安社群x推坑文xHITCON GIRLS
    http://ithelp.ithome.com.tw/articles/10188733
   
  J.玄武實驗室每日安全動態推送
    每日安全動態推送(01-09)
    http://chuansong.me/n/1469833451815
    每日安全動態推送(01-10) 
    http://chuansong.me/n/1475095051815
    每日安全動態推送(01-11)
    http://chuansong.me/n/1480680751615
    每日安全動態推送(01-12) 
    http://chuansong.me/n/1482795451515
    每日安全動態推送(01-13) 
    http://chuansong.me/n/1484867451315
   

  K.物聯網
    物聯網裝置淪為駭客獵物 晶睿籲用戶提高警覺
    http://www.digitimes.com.tw/tw/dt/n/shwnws.asp?cnlid=13&cat=20&id=0000490868_ROQ9MFIX52AL0695RDMH0
   
    物聯網裝置恐成駭客攻擊「利器」
    https://cnews.com.tw/%E7%89%A9%E8%81%AF%E7%B6%B2%E8%A3%9D%E7%BD%AE%E6%81%90%E6%88%90%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E3%80%8C%E5%88%A9%E5%99%A8%E3%80%8D/
   
    北醫結合3大科技業者，進攻穿戴式裝置大數據分析
    http://www.ithome.com.tw/news/111117
    諾頓網路安全調查報告：50種不同的智慧家居裝置存在安全漏洞，台灣有約12%的裝置完全沒保護
    http://www.techbang.com/posts/47793-symantec-norton
  L.其他
    無
4.近期資安活動及研討會
 
  華梵大學資訊管理學系資安學程－2017資訊安全管理系統系列課程 2017/01/16~2017/01/20 2017/01/21~2017/01/25
  http://mis.hfu.edu.tw/news/news.php?Sn=829
  UCCU 2017 技術交流小聚 2017/01/14 14:00~17:00
  http://uccu.kktix.cc/events/6796c24d
 
  HPE SAP HANA 數位核心論壇 2017 年 1 月 17 日 (二)  13:30 – 16:30
  http://www.hpe.accessus.biz/20170117/registration.htm
  「機關導入GCB 提升資安防護力」政府組態基準(GCB)研討會 2017-01-18 14:00 ~ 2017-01-18 16:30
  http://www.cisanet.org.tw/News/activity_more?id=MjI1
  數位匯流新法之剖析與意見徵詢 – NCC與利害關係人互動 (host by TWIGF) 2017/01/18 19:00~21:00
  http://nii.kktix.cc/events/56645727
 
  輔大 NISRA Hackathon 2017 2017/01/21 09:00 ~ 2017/01/22 18:00
  http://nisra.kktix.cc/events/hackathon2017

  （台北）亥客書院(資訊安全)培訓課程 2017-02-01
  http://www.1111edu.com.tw/advancedStudies_courseContent.php?autono=163635
  【課程】Arduino四軸飛行器實作坊：機體組裝、調校飛控參數、自製飛行程式、飛行教學，一天學會 2017/2/4(六)  早上 09:30~下午 16:30
  http://www.techbang.com/posts/48599-course-real-workshop-arduino-four-axis-aircraft-the-body-assembly-writing-control-programs-self-made-remote-control-app-flight-instruction-day-institute?from=flash_message
  iSecurity 2017 Cyber Security Day 2017/2/15
  https://docs.google.com/forms/d/e/1FAIpQLSefXph1LMLLpIo8CnDSERFjYj0Ofhvh-KRPtO_am5Xl1FMiSg/viewform
 
  網路爬蟲技術Python入門實作 2017年2月18日(星期六) -2月19日(星期日) 9:30-16:30
  http://www.tutortristar.com/topic/Data-mining/class-crawler-david.html?utm_source=facebook&utm_medium=banner&utm_campaign=fb-ba-2017010501
  2017 臺灣資安大會 3月14日 - 3月15日
  https://cyber.ithome.com.tw/2017/index
  2017 InfoSec Conference Taiwan 2017 Mar 14 - Mar 15
  http://infosec.ithome.com.tw/index_en.html