資安新聞及事件週報 2016/9/5 ~ 2016/9/10

1.重大弱點漏洞:
Adobe ColdFusion < 11 Update 10 - XML​​外部實體注入
https://www.seebug.org/vuldb/ssvid-92397

微軟抓漏獎勵擴大至.NET Core與ASP.NET Core
http://www.ithome.com.tw/news/108214

谷歌發布新安全更新修復Quadrooter全部漏洞
http://tech.firefox.163.com/16/0907/06/0MDGP2I1XBL6JHW7.html

Redhat RESTEasy漏洞(CVE-2016-6346)
https://bugzilla.redhat.com/show_bug.cgi?id=1372120

Kaspersky Internet Security 安全漏洞 CVE-2016-4304
https://support.kaspersky.com/vulnerability.aspx?el=12430#010916

TCP鏈接劫持漏洞
http://www.huawei.com/cn/psirt/security-advisories/huawei-sa-20160907-01-tcp-cn

Fortinet FortiWAN 漏洞 CVE-2016-4968
http://docs.fortinet.com/uploaded/files/3236/fortiwan-v4.2.5-release-notes.pdf

IE瀏覽器數組越界漏洞利用方法
http://www.weixianmanbu.com/article/593.html

使用sqli-proxy來挖掘SQL注入漏洞
http://dmzlab.com/77739.html

快點更新 OS X 10.11.6!Apple 修補 Safari 及 OS X 零時漏洞
http://index.yipee.cc/78097/%E5%BF%AB%E9%BB%9E%E6%9B%B4%E6%96%B0-os-x-10-11-6%EF%BC%81apple-%E4%BF%AE%E8%A3%9C-safari-%E5%8F%8A-os-x-%E9%9B%B6%E6%99%82%E6%BC%8F%E6%B4%9E

思科 PPTP 伺服器資料洩露漏洞 CVE-2016-6398
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160902-io

GNU Libidn 漏洞(CVE-2016-6261)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6261

D-Link DIR-822 Firmware CVE-2016-5681
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-5681

F5 BIG-IP CVE-2015-8022
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2015-8022

Fortinet FortiOS CVE-2016-6909
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2016-6909

GOOGLE Stable Channel Update for Desktop
https://googlechromereleases.blogspot.tw/2016/08/stable-channel-update-for-desktop_31.html

Integer Overflow in MDSS Driver (CVE-2016-5344)
https://www.codeaurora.org/integer-overflow-mdss-driver-cve-2016-5344

Bitdefender Bug Bounty Hall of Fame
http://www.bitdefender.com/site/view/bug-bounty-hall-of-fame.html

Amazon Linux AMI Security Center ALAS-2016-741 CVE-2016-1000110
https://alas.aws.amazon.com/ALAS-2016-741.html

Cisco SOHO switches patched for SOHOpeless vuln
http://www.theregister.co.uk/2016/09/01/cisco_soho_switches_patched_for_sohopeless_vuln/

HP Operations Manager CVE-2016-4373
https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c05206507

HPE Integrated Lights-Out漏洞(CVE-2016-4375)
https://h20566.www2.hpe.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c05236950

cURL/libcURL CVE-2016-7141 Certificate Validation Security Bypass Vulnerability
http://www.securityfocus.com/bid/92754

2.銀行金融資安:
金管會祭出10項Fintech計畫,並用Pilot計畫形式暫代監理沙盒
http://www.ithome.com.tw/news/108385

ATM無卡提款 安控恐趨嚴
http://udn.com/news/story/6/1940323

金管會拚資安 設戰情中心
http://money.udn.com/money/story/5613/1947114

銀行如何防駭? 專家:主動出擊找駭客、強化防禦工事
http://times.hinet.net/news/19272889

普鴻申請登錄興櫃;攻金融支付資服競逐FinTech商機
http://www.moneydj.com/KMDJ/News/NewsViewer.aspx?a=63951240-626c-48b6-9a5c-e7154c90bc9e

金管會首度啟動資安金檢 4家產險先行
http://www.cna.com.tw/news/afe/201609090265-1.aspx

產險資安專案金檢 出鞘
https://tw.news.yahoo.com/%E7%94%A2%E9%9A%AA%E8%B3%87%E5%AE%89%E5%B0%88%E6%A1%88%E9%87%91%E6%AA%A2-%E5%87%BA%E9%9E%98-215005997--finance.html

3.資安事件新聞:
A.病毒木馬:

勒索病毒橫行 穿梭眾多軟體漏洞
https://tw.news.yahoo.com/%E5%8B%92%E7%B4%A2%E7%97%85%E6%AF%92%E6%A9%AB%E8%A1%8C-%E7%A9%BF%E6%A2%AD%E7%9C%BE%E5%A4%9A%E8%BB%9F%E9%AB%94%E6%BC%8F%E6%B4%9E-230000125.html

新型勒索軟體CSTO,使用UDP傳輸協定以及Google Maps
http://securityaffairs.co/wordpress/51015/malware/csto-ransomware.html 
http://www.bleepingcomputer.com/news/security/the-crylocker-ransomware-communicates-using-udp-and-stores-data-on-imgur-com/

駭客看上Google Drive, Palo Alto發現9002木馬 
http://www.runpc.com.tw/news.aspx?id=101689

不需無線發報機,惡意程式可透過一般 USB 裝置無線傳輸
http://technews.tw/2016/09/09/wireless-transmitters-are-not-needed-malicious-software-with-usb-cable-to-wireless-transmission/

這裡有隻神奇寶貝,是會攻擊 Linux 系統的月精靈
http://blog.trendmicro.com.tw/?tag=rootkit

勒索軟件的歷史:27 年前贖金已達 1400 元
http://sina.com.hk/news/article/20160907/0/5/49/%E5%8B%92%E7%B4%A2%E8%BB%9F%E4%BB%B6%E7%9A%84%E6%AD%B7%E5%8F%B2-27-%E5%B9%B4%E5%89%8D%E8%B4%96%E9%87%91%E5%B7%B2%E9%81%94-1400-%E5%85%83-6273778.html

常見勒索軟件有那些?用户又應如何解密
http://sina.com.hk/news/article/20160909/0/5/49/%E5%B8%B8%E8%A6%8B%E5%8B%92%E7%B4%A2%E8%BB%9F%E4%BB%B6%E6%9C%89%E9%82%A3%E4%BA%9B-%E7%94%A8%E6%88%B7%E5%8F%88%E6%87%89%E5%A6%82%E4%BD%95%E8%A7%A3%E5%AF%86-6284914.html

網站連不上?可能是針對伺服器的FAIRWARE新勒索病毒造成
http://blog.trendmicro.com.tw/?p=28762

2016 上半年資訊安全總評報告:勒索病毒當道 變臉詐騙造成逾30 億美元損失.受害企業高達 22,000 家(內有完整報告)
http://blog.trendmicro.com.tw/?p=28643

光擋 .js副檔名己無法防禦,勒索病毒再進化
http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=11&aid=8329

郵件防護先過濾 檔案分享可版本還原 開信件附勒索 事前事後都有解
http://www.netadmin.com.tw/article_content.aspx?sn=1609060002

B.行動安全:
找人幫你駭入iPhone要多少?以色列駭客公司:10支110萬美元
http://www.ithome.com.tw/news/108260

以色列研發駭客軟體 全方位監控你的手機
https://cnews.com.tw/%E4%BB%A5%E8%89%B2%E5%88%97%E7%A0%94%E7%99%BC%E9%A7%AD%E5%AE%A2%E8%BB%9F%E9%AB%94-%E5%85%A8%E6%96%B9%E4%BD%8D%E7%9B%A3%E6%8E%A7%E4%BD%A0%E7%9A%84%E6%89%8B%E6%A9%9F/

駭客展示使用「yaluX」工具成功越獄iOS 10系統
http://www.iphonetaiwan.org/2016/09/yalux-jailbreak-of-ios-10.html

你的手機資訊它全看光?紐時揭開偵監公司NSO面紗
http://udn.com/news/story/5/1938888

iPhone刪除自帶軟件有漏洞
http://www.zgshuxue.com/tech/20160903/191705.html

鼎源必安全:移動APP安全漏洞多 如何防護是關鍵
https://kknews.cc/tech/3bb6jo.html

Apple Pay、Android Pay、Samsung Pay 支援手機彙整
http://www.ettoday.net/news/20160910/773094.htm

Android出現兩個高危漏洞 部分機型得不到修復
http://finance.sina.com/bg/tech/sinacn/20160910/19501497226.html

C.事件:
明年起Chrome將把含機密資訊的HTTP網頁標示為「不安全」
http://www.ithome.com.tw/news/108343

國內 mail server 被 Armada Collective Hackers 利用,勒索他國銀行
http://www.cert.org.tw/twcert/newsdetail/2874

網站建置逐年成長伴隨資安事件出不窮
https://blog.pumo.com.tw/archives/744

導入免特徵碼式網路安全技術,提升零時差威脅防護
http://www.ithome.com.tw/guest-post/108218

陝4少年自學成駭客 接委託攻擊網站盜資料
http://tw.on.cc/cn/bkn/cnt/news/20160911/bkncn-20160911073040184-0911_05011_001.html

未來資安漏洞會越難修復 台灣也將制定資安管理法
https://cnews.com.tw/%E6%9C%AA%E4%BE%86%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9E%E6%9C%83%E8%B6%8A%E9%9B%A3%E4%BF%AE%E5%BE%A9-%E5%8F%B0%E7%81%A3%E4%B9%9F%E5%B0%87%E5%88%B6%E5%AE%9A%E8%B3%87%E5%AE%89%E7%AE%A1%E7%90%86%E6%B3%95/

Google網址參數潛藏危機,登入網址可被利用轉傳惡意網站或檔案
http://www.businessinsider.com/google-login-page-phishing-2016-8 
http://unwire.pro/2016/09/01/google-parameter-phishing/news/ 
https://www.aidanwoods.com/blog/faulty-login-pages

新世代弱點管理作法趨於多元,有助於強化資安防護網
http://www.ithome.com.tw/guest-post/108204

外部威脅手法多樣化 對外服務網頁與App首當其衝 從程式碼著手 強化應用安全才是王道
http://www.netadmin.com.tw/article_content.aspx?sn=1608300007

中共對台網攻遽增 國安局:半年1.7萬次
http://www.epochtimes.com.tw/n180602/%E4%B8%AD%E5%85%B1%E5%B0%8D%E5%8F%B0%E7%B6%B2%E6%94%BB%E5%A4%A7%E5%B9%85%E5%A2%9E%E5%8A%A0--%E5%9C%8B%E5%AE%89%E5%B1%80-%E9%AB%98%E9%81%941%E8%90%AC7%E5%8D%83%E6%AC%A1.html

從源頭抓好網路安全治理
http://www.cdnews.com.tw/cdnews_site/docDetail.jsp?coluid=110&docid=103828965

IT架構丕變 驅動網路安全防禦持續延伸 承上啟下守禦端到端 資安閘道成防線樞紐
http://www.netadmin.com.tw/article_content.aspx?sn=1609050001

Dropbox洩密事件仍在蔓延,一家成人網站被爆掉 80 萬帳號密碼
http://www.techbang.com/posts/45979-dropbox-leaks-is-still-spreading-an-adult-web-site-account-password-by-burst-800000

網路攻擊頻繁 德政府每天遭駭逾20次
http://www.cna.com.tw/news/ahel/201609060401-1.aspx

美情治機構徹查俄網路攻擊 嚴防大選程序遭駭
http://big5.soundofhope.org/node/896586

BBC遭ISIS入侵?這則推播引起民眾恐慌
http://photo.chinatimes.com/20160903003927-260803

網路無國界,如何抵擋數位戰威脅
http://times.hinet.net/news/19268101

臺灣TWCERT/CC負責哪些資安任務
http://www.ithome.com.tw/news/108002

韓國資安人才教父現身,揭露全球駭客競賽奪冠關鍵
http://www.ithome.com.tw/news/107998

如何扮演一個稱職的企業資安人員
http://www.ithome.com.tw/news/108014

免費又好用的公共WiFi能有多危險? 看完保證你對免費公共WiFi大。改。觀!
http://blog.trendmicro.com.tw/?p=28708

〈分析〉高考詐騙黑色產業鏈 從盲騙進化到精準詐騙
http://news.cnyes.com/news/id/2923949

用Twitter私訊友人可以追蹤訊息是否已讀
http://www.ithome.com.tw/news/108360

#資安 #帳戶 #外流 我的帳號被偷走了嗎
https://www.dcard.tw/f/3c/p/224687823

資安公司揭露Windows存在18年漏洞:31家知名軟體受影響
http://www.41443.com/HTML/Windows/20160910/450787.html

D.資料外洩:
俄國入口網站Rambler.ru近1億用戶資料外洩
http://www.ithome.com.tw/news/108297

志光函授網站遭駭 28生被詐500萬
http://www.appledaily.com.tw/realtimenews/article/new/20160905/942537/

核安演習「無差別簡訊」 墾丁遊客憂個資外洩
http://news.ltn.com.tw/news/life/breakingnews/1821519

E.研究報告:
iOS三叉戟漏洞補丁分析、利用代碼公佈(POC)
http://bobao.360.cn/learning/detail/2996.html

CSV/XLS Injection Vulnerability 分析利用和YY
http://www.bugbank.cn/inews/detail/57cc33379ff2ac9a4884ae3e.html

高級瀏覽器漏洞攻擊包:BrowserExploit
http://www.freebuf.com/sectool/113417.html

我聽說你不需要密碼?Cisco ASA SNMP RCE漏洞分析利用
http://bobao.360.cn/learning/detail/2998.html

利用 collectd + InfluxDB + Grafana 監測系統效能
http://cyrilwang.blogspot.tw/2016/09/collectd-influxdb-grafana.html

【技術分享】手把手教你如何構造office漏洞POC
http://bobao.360.cn/learning/detail/3003.html

F.商業:
Raspberry Pi全球出貨量突破1000萬台,首個官版入門套件問世
http://www.ithome.com.tw/news/108367

趨勢網頁安全閘道虛擬設備可防護HTTP、HTTPS與FTP協定的網路存取行為
http://www.ithome.com.tw/review/107948

Sophos網頁安全閘道虛擬設備內建中文封鎖訊息網頁
http://www.ithome.com.tw/review/107941

宏碁運用IBM Security AppScan 協助企業搶攻行動服務商機
http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=12&aid=8326

擴展進階通訊、分析與安全應用,Office 365最高階方案登場
http://www.ithome.com.tw/review/108007

即時掌握攻擊指標,CrowdStrike扭轉端點被動防護
http://www.ithome.com.tw/review/108027

力麗科技代理 eDC SAFE3.0 企業資安日誌管理系統
http://news.networkmagazine.com.tw/classification/security/2016/09/10/67226/

英特爾獨立Intel Security業務,「McAfee」重現江湖
http://www.ithome.com.tw/news/108335

HPE以88億美元獨立出非核心軟體部門與Micro Focus合併
http://www.ithome.com.tw/news/108324

資安實戰攻防 微軟傳授3大防禦術
http://pchome.megatime.com.tw/news/cat2/20160909/14734188466412422005.html

網路電商如何以Akamai迎敵於境外 以Splunk打進顧客心裡
http://news.networkmagazine.com.tw/news/2016/09/09/67221/

IBM與Box聯手開發企業流程管理工具Relay,測試版Q4問世
http://www.ithome.com.tw/news/108311

又是雲!甲骨文買下雲端倉儲管理軟體業者LogFire
http://www.ithome.com.tw/news/108299

宏達電進軍國內穿戴市場,健身手環UA Band上市
http://www.ithome.com.tw/news/108220

G.其他:
【防駭客高手就在台灣】資安秘密基地曝光
http://www.appledaily.com.tw/realtimenews/article/new/20160903/941427/

從駭客的賞與罰 看企業創新文化
http://www.1111.com.tw/discuss/discussTopic.asp?id=101197

達美航空上月系統大當機,約1.5億美元飛了
http://www.ithome.com.tw/news/108325

Google海底電纜開通台灣段,亞洲連網將更快
http://www.ithome.com.tw/news/108251

缺人維護,OpenOffice考慮關閉專案
http://www.ithome.com.tw/news/108175

RAID 2.0的可靠性疑慮
http://www.ithome.com.tw/tech/108164

4.近期資安活動及研討會

2016軟體品質與APP資安研討會 9/19 9/29
http://www.communications.org.tw/news/conference/item/8889-0919.html

黑魔法防禦術1-3 - 網路架構基礎 2016/09/17 15:00 ~ 17:00
http://tdohackerparty.kktix.cc/events/realdefense1-3

智慧監控大未來 | AWSxSmart Monitoring Nextlink說明會 2016年9月20日 14:00-17:00
http://www.accupass.com/go/nextlink_0920

TWISC@NCKU 教育訓練 2016/09/22 ~ 2016/09/23
http://twiscncku.kktix.cc/events/d903ee1e

Veritas & AWS雲端備份與災難復原研討會 2016年9月22日 14:00-16:45 (13:30 開放入場)
https://veritasevents.verite.com/23347/31131

IoT物聯網市場趨勢與北美測試要求研討會 2016年9月21日(三) 13:00~17:00
https://docs.google.com/forms/d/e/1FAIpQLSfH7CmDtHzsQ9eDZHqKpn84UUzUWQD4yGJrtFMOoTh0PFzpxw/viewform?c=0&w=1

思科線上風雲會:科技最前線 商機大無限-行動飆網任我行
https://goo.gl/Pez6Hk

2016 ithome security forum 透視資安威脅-防微杜漸,遠離災禍 2016 年 9 月 30 日(五)13:30 - 17:00
http://seminar.ithome.com.tw/live/20160930/index.html

TDOH 2016 南區大型 WorkShop 10/1 09:00~17:30
http://tdohackerparty.kktix.cc/events/tdoh-workshop-20161001

HPE自適應備份與復原產品說明會 10/7(五) 14:00– 15:50
http://seminar.ithome.com.tw/live/1007hpe/index.html

Container Summit 2016 9/21(三)~9/22(四) 09:00~17:00
http://www.ithome.com.tw/seminar