2021年9月10大资安新闻

在本月的重要资安新闻中，重大漏洞的揭露与后续发展，可说是引起相当大的关注。其中，MSHTML漏洞CVE-2021-40444相当危险，因为MSHTML是内建在操作系统的功能，即使使用者没有执行Internet Explorer，还是有可能曝露在该漏洞的风险当中，而这项漏洞已被骇客用于勒索软件攻击。

但在新的漏洞之外，旧的重大漏洞所产生的后续效应，也不容忽视。近期传出骇客在暗网公布近50万组Fortinet SSL VPN帐密，揭露此事的资安新闻网站Bleeping Computer相信，这些资料的出现，与2018年被发现的CVE-2018-13379漏洞有关。

而在漏洞的揭露与后续追踪之余，攻击者采用的新手法也引起资安人员的留意。例如，骇客占用受害电脑资源牟利的方式，除了窃取机密资料、挖矿，近期也出现利用Proxyware来赚钱的现象，由于这种赚钱的方式将会让他人透过使用者的流量上网，如果被用于浏览恶意网站，也可能会导致使用者的网络遭到ISP封锁。

此外，以取得应用程序存取授权的方式行骗，让使用者不慎点选“同意”，让攻击者能够存取的同意网络钓鱼攻击（Consent Phishing Attack），研究人员警告这类手法的攻击事故，有升温的现象。

01.MSHTML重大漏洞已被用于勒索软件攻击

02.美国督促各大组织修补Atlassian Confluence漏洞

03.骇客公布50万组Fortinet VPN用户账号与密码，74个国家受影响，台湾第二严重

04.攻击者打造Linux版Cobalt Strike的Beacon，锁定电信、-、金融业发动攻击

05.恶意程式牟利的方式有了新手法！不只会偷取算力和资料，还会窃取网络带宽

06.同意网络钓鱼攻击威胁增加，透过应用程序骗取用户大型网站账号的存取权限

07.美国谷物合作社遭BlackMatter攻击，被勒索590万美元

08.逾1,200所美国K-12学校的学生资料曝露在暗网

9.白宫举行资安高峰会，IT巨头承诺将大幅改善资安

10.首届国际级工控资安评测出炉，资策会也参与这项评估计划