【资安日报】11月27日,荷兰半导体业者NXP遭中国骇客攻击,入侵时间超过2年,惊传与晶片设计相关智慧财产资料被窃

随著最近几年中美之间的晶片战,半导体产业的重要性与日俱增,美国禁止厂商对中国业者供应晶片,中国也尽举国之力,无不想方设法取得相关的技术及资源,试图在封装、制程等层面具备更强的自主能力。

虽然台面上因为美中对抗的关系,各国将相关技术输出到中国受到越来越多管制,但最近有媒体报导曾出现国家级骇客渗透欧洲大型半导体业者,试图取得相关智慧财产资料。

 

【攻击与威胁】

即时通讯软体Line母公司LY Corporation(LYC)发布资安通告,指出他们侦测到未经授权的第三方于10月9日存取该公司系统,而有可能导致使用者、业务合作伙伴、员工等人士的资讯遭到泄露。

而对于资安事故发生的经过,该公司指出,起因是他们与韩国云端业者Naver的承包商遭骇,员工电脑感染恶意软体引起。由于LYC和Naver共用处理员工及其他个资的身分验证系统,从而导致骇客借由Naver的系统入侵先前属于Line Corporation的内部系统。LYC于10月17日察觉异状并著手调查,并于同月27日得到初步结论,很有可能是来自外部的未经授权存取事故造成。

该公司在11月27日公布影响范围,已知有超过44万笔个资外泄,当中包含302,569笔Line使用者资料、86,105笔业务合作伙伴资料、51,353笔员工及其他人士的资料流出。而对于Line用户的部分,当中有49,751笔包含服务使用记录,22,239笔含有与特定用户互动的私密资料。不过,上述的用户资料皆未包含银行帐号、信用卡资料、聊天讯息内容。

为了取信买家,这名骇客提供了窃得资料的萤幕截图,内容包含了GE Aviations的资料库,且当中部分内容似乎与军事机密相关。对此,该新闻网站向奇异进一步确认,该公司表示得知骇客的说法,并著手调查,他们也会采取相关措施确保系统的完整性。

而对于攻击者的身分,研究人员指出,这起木马程式的攻击行动,与发生在2016至2017年的Operation Electric Powder攻击行动存在相似之处,幕后主使者就是哈玛斯骇客组织Molerats(亦称Gaza Cybergang),因此研究人员推测,这款SysJoker木马程式,很有可能是哈玛斯骇客用来攻击以色列的工具。

骇客从今年3月开始,入侵新闻网站并在部分新闻网页植入恶意指令码,进行水坑式攻击,一旦电脑安装MagicLine4NX的使用者存取网页,就有可能借由此身分验证程式触发前述的恶意指令码,并与C2连线,使得攻击者能够远端控制受害电脑,进而利用网路相关系统的弱点,存取目标组织面向网际网路的伺服器,并对该组织的业务伺服器散布恶意程式码,从业务电脑窃取机密资讯。

NCSC与NIS指出,骇客所利用的零时差漏洞,存在于1.0.0.1至1.0.0.26版MagicLine4NX,呼吁用户应尽速检查、更新,但并未透露该漏洞的细节。而对于攻击者的身分,资安业者AhnLab指出,就是骇客组织Lazarus。

资料来源

1. 

11月21日开源档案共享系统ownCloud发布3则资安通告,指出该系统存在3项重大漏洞,而有可能导致系统存放的档案可被存取。

其中,最严重的是取得CVE编号的CVE-2023-49103,该漏洞与特定版本的graphapi元件有关,而有可能在容器型态的部署环境下,影响网页伺服器的所有环境变数,起因是对于第三方程式库的相依性,而有可能因为URL曝露PHP环境配置,从而导致ownCloud管理者密码、邮件伺服器帐密曝光,CVSS风险评分为10。

其余两个漏洞分别存在该系统的核心程式库,以及OAuth2程式库。前者为身分验证绕过漏洞,CVSS风险评分为9.8;另一个为子网域验证绕过漏洞,CVSS风险评分为9。

资料来源

1.  3. 

 

近期资安日报