资安业者Fortinet上个月察觉名为Fickle的窃资软件，黑客以Rust为基础开发，不仅采用相当复杂的代码撰写，并通过相当灵活的手段来挑选目标下手。

研究人员将攻击行动大致区分成3个阶段：发送作案工具至目标电脑、部署前的准备工作，以及植入经过加壳处理的恶意酬载。

究竟黑客如何引诱受害者上钩，而能够发送作案工具，研究人员并未多做说明，但他们提及，对方利用4种管道发送Fickle，其中有两种是VBA巨集程序，一种是恶意软件投放工具（Dropper），另一种则是恶意程序下载工具（Downloader），其余两种管道，分别是伪装成URL捷径或运行档的下载器。

其他攻击与威胁

◆中国黑客组织SneakyChef锁定亚洲、欧洲、中东、非洲政府机关，散布恶意程序SugarGh0st

◆俄罗斯黑客组织ExCobalt利用后门程序GoRed攻击当地政府机关、关键基础设施

◆后门程序Oyster通过恶意广告散布，黑客声称提供Chrome、Teams等网络应用程序，诱骗用户上当

◆广告软件AdsExhaust伪装成Meta虚拟实境设备的应用程序散布

◆Rootkit程序Diamorphine变种锁定Linux主机而来，可借由特定套件运行任意操作系统命令

【漏洞与修补】

Phoenix UEFI固件存在高风险漏洞，数百款采用Intel处理器的个人电脑、笔电、服务器恐受影响

专精固件安全的资安业者Eclypsium指出，他们在联想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI固件当中，发现名为UEFICanHazBufferOverflow的漏洞（CVE-2024-0762），起因是信赖平台模块（TPM）组态存在不安全的环境变量，而有可能导致内存缓冲区溢出，攻击者得以运行恶意代码，CVSS风险评为7.5分。研究人员指出，这项漏洞出现在处理TPM组态的UEFI代码里，而有可能导致TPM安全芯片的防护效果形同失效。

值得留意的是，上述的两款笔电，都采用了Phoenix SecureCore UEFI固件，他们向联想、Phoenix通报此事，经过Phoenix确认后指出，同样的漏洞也出现在其他使用该厂牌固件的Intel个人电脑、笔电、服务器，搭配Core i第7代至14代处理器的电脑都可能曝险，Phoenix在今年4月提供缓解措施，并在5月14日发布资安公告，呼吁用户向设备制造商进行确认。至于上述两款笔电的制造商联想，也在5月针对旗下超过150款设备，提供BIOS更新。

由于影响的个人电脑平台众多，研究人员指出，恐有数百款台式机、笔电、服务器存在相关漏洞。

75%的Magento电商平台恐存在重大资安漏洞CosmicSting，若不设法修补，攻击者有可能取得完整控制权

资安业者Sansec针对Adobe本月发布的例行更新当中公布的重大漏洞CosmicSting（CVE-2024-34102）提出警告，这项资安弱点位于Adob​​e Commerce及Magento Open Source电商平台，继2年前Adobe修补CVE-2022-24086、CVE-2022-24087，Sansec认为，这是该平台出现最为严重的漏洞。

就漏洞本身带来的危害而言，CosmicSting可被攻击者用来读取含有密码等机密数据的文件，但研究人员指出，若是再结合Linux操作系统的GNU C程序库（glibc）的iconv功能漏洞CVE-2024-2961，攻击者就能发动远程代码运行（RCE）攻击，从而取得电商平台的完整控制权。值得留意的是，通报此事的研究人员Sergey Temnikov补充说明，在已修补iconv弱点的电商平台环境下，攻击者还是有机会借此存取管理者API。

【资安防御措施】

加速落实金融资安行动方案2.0，金管会提供金融上手零信任架构的三步骤

「资安的改变从被动变主动，从单点控制变价值驱动。」金管会副主委邱淑贞5月16日在2024 CYBERSEC台湾资安大会金融安全论坛开场时表示，资安过去仅针对个别事件进行处理和回复，随着金融业大力运用数位化发展业务，资安现在和业务风控结合，成为驱动业务发展的关键，也是金融机构前进的重要动力。

为了推动金融机构发展资安，金管会在2020年发布金融资安行动方案1.0，两年后接着发布2.0版，延续1.0版四大策略，增加了14项精进措施，从鼓励金融机构拥抱零信任架构，强化内核数据保全、举办资安长联系会议强化，推动重大资安事件的支持演训等。如今，2.0版发布已过一年半，金管会信息服务处处长林裕泰在论坛中强调，零信任架构和资安联防是金管会力推的两大面向。

【资安关键人物】

企业重视资安的文化，不能只靠资安事件来驱动

几乎每年在政府机关、上市柜公司或关键基础设施等领域，都会发生重大资安事件，带来财务损失、商誉损失、丧失客户信任度、损害民众隐私甚至危害国安等负面影响。第一金控副总经理兼资安长刘培文表示，相关的受骇单位都需要花费大量资源，去修复因为发生资安事件所带来的后果，媒体广泛报导而引发社会大众的关注，也迫使企业必须正视资安的议题和风险。

「企业的流程与资源决定了企业能做什么，文化与价值观则决定了企业不做什么。」刘培文指出，只有从上到下、真正重视资安的企业，因为已有正确的文化与价值观，才能够看到轻微的事件与征兆出现，或看到外部发生的资安事件后，便能够在既有的流程与资源下，检讨事件背后的根因，甚至愿意投资额外的资源、新的流程等，适度及早因应减降资安风险，形成良性循环以避免未来爆发重大事件。

近期资安日报

【6月21日】黑客组织Void Arachne借由提供中国用户翻墙工具、Deepfake人工智能工具散布恶意程序

【6月20日】中国黑客UNC3886利用多项防火墙及虚拟化平台的零时差漏洞隐匿行踪，并部署后门程序持续存取网络环境

【6月19日】初始入侵管道掮客IntelBroker声称握有芯片大厂AMD内部机密数据，该公司表示将着手调查