根據資安新聞網站Bleeping Computer的報導，國際信用卡組織Visa旗下的支付詐欺阻斷部門（Payment Fraud Disruption，PFD）發布資安通報，指出最近一波的惡意軟體JsOutProx攻擊，針對南亞、東南亞、中東、非洲金融機構與客戶而來。

對方自3月27日開始從事網路釣魚攻擊，呼籲發卡銀行、處理機構，以及相關單位嚴加防範。而對於攻擊者的最終目標，Visa表示仍有待確認，但指出該駭客組織曾從事金融詐欺行動。

針對這起攻擊行動的細節，資安業者Resecurity也公布相關調查結果。對方假冒合法的機構，聲稱為目標人士提供財務通知寄送電子郵件，信件內容與SWIFT或MoneyGram付款有關，並挾帶ZIP壓縮檔附件，內容包含.js檔案，一旦收信人執行，電腦就會從程式碼儲存庫GitLab下載JsOutProx惡意酬載。

金融木馬Mispadu擴大攻擊範圍，鎖定歐洲而來

原本鎖定拉丁美洲（LATAM）、慣用西班牙語用戶的金融木馬Mispadu（亦稱URSA），近期也將魔爪伸向歐洲國家。資安業者Morphisec發現，近期Mispadu的攻擊行動顯著增加，雖然墨西哥仍是主要目標，但他們開始在義大利、波蘭、瑞典看到有人受害。

對方假借提供發票的名義寄送釣魚郵件，當中挾帶PDF附件檔案，一旦收信人開啟附件，並點選檢視完整發票的按鈕，電腦就會從Yandex電子郵件服務下載惡意酬載，最終都有可能觸發Visual Basic指令碼，以便下載、執行第2階段的指令碼，檢查目標電腦是否為沙箱環境，最終部署Mispadu，並藉由以AutoIT指令碼寫成的惡意程式在記憶體內執行有效酬載。

營養保健品牌「無毒的家」通報網站會員資料外洩事件

4月7日生化科技業者佰研發布重大訊息，指出旗下的營養保健品牌「無毒的家」電商網站會員資料出現外洩的情況。

而對於他們得知這起事故的緣由，是接獲臺灣電腦網路危機處理暨協調中心（TWCERT/CC）通知，有國外論壇洩露該商店的資料，內容包含會員個資，但強調並無信用卡卡號及交易記錄。

【漏洞與修補】

D-Link停止維護的多款NAS機型被揭露多個漏洞，全球逾9.2萬臺設備恐被植入後門

研究人員Netsecfish揭露存在於D-Link網路儲存設備（NAS）的漏洞CVE-2024-3273，影響DNS-340L、DNS-320L、DNS-327L、DNS-325等機種，CVSS風險評分為7.3，估計全球有92,589臺NAS曝險。這些設備還是因為直接連上網際網路而被找到，若將未連上網路的設備也納入，受影響範圍應該還會更大。

值得留意的是，由於這些NAS設備的生命週期已經結束（EOL），D-Link表明將不會提供相關修補，並呼籲用戶應儘速淘汰這些設備。

Ivanti再度修補VPN系統漏洞，全球恐有逾1.6萬臺設備曝險

4月2日資安業者Ivanti發布資安公告，指出旗下的VPN系統Connect Secure、網路存取控制系統Policy Secure存在4項漏洞，其中的CVE-2024-21894、CVE-2024-22052、CVE-2024-22053為高風險層級，問題出在IPsec元件；CVE-2024-22023則為中度風險漏洞，主要是在SAML元件有問題。

而對於漏洞曝險的情況，有研究人員公布他們的觀察。5日Shadowserver基金會指出，全球約有16,500臺實體尚未修補CVE-2024-21894，比例以美國最高，有約4,600臺，其次是日本、英國、德國、法國，分別有2,000臺、1,000臺、900臺、900臺。

Google修補Pixel手機零時差漏洞，傳出遭鑑識公司利用

4月2日Google針對Pixel手機推出本月例行更新，並提及其中有2個高風險漏洞CVE-2024-29745、CVE-2024-29748，已被用於針對有限目標的攻擊行動。

其中，CVE-2024-29745為資訊洩露漏洞，與開機載入工具有關；CVE-2024-29748為權限提升漏洞，涉及手機韌體，兩者皆為高風險層級的漏洞。而對於上述兩項零時差漏洞，通報此事的Android作業系統GrapheneOS開發團隊進一步提出說明，並表示有鑑識公司正在利用這些漏洞。

【