[閒聊] 資安雙週報 241115

看板NetSecurity (資安資訊安全)作者CMJ0121 (不安全研究員)時間6天前 (2024/11/15 08:41)推噓0(0推 0噓 0→)

留言0則, 0人參與討論串1/1

==== 資安雙週報 (241115) ==== 初一十五除了呷菜喔外也要關心一下安全圈的消息 - 不能再怪駭客了 - supply chain attack 不意外 - 第三方廠商請扛 - 你愛貓、駭客愛你 - Bug Hunter 要失業了嗎? ## ==== 不能再怪駭客了 ==== ## 經濟部於11月13日宣布修正法案增特定商品零售業納入規範[0] 新規定資本額達1000萬元以上有招募會員或可取得交易對象個資的特定商品零售業者都必須在2025年5月12日前完成個資安全維護計畫要求企業必須提升密碼強度建立完整的網路安全防護機制首次違規將處以2萬至200萬元罰款如未改善或情節重大，最高可罰至1500萬元，且採取按次連續處罰制度 ## ==== supply chain attack 不意外 ==== ## 業者 stock 發現[1] 一個名稱相似的 Python 套件 fabrice 與正版 fabric 只相差一個字並且用來竊取憑證、建立後門以及執行跨平台指令等目前此套件已下架 ## ==== 第三方廠商請扛 ==== ## Amazon 日前發生員工聯絡資料外洩同時官方證實此事件[1] 為第三方廠商資安事件造成第三方廠商並沒有存取敏感資訊唯一洩漏的是員工聯絡資訊此事件除了 Amazon 之外還有聯想、HP、麥當勞等知名企業 ## ==== 你愛貓、駭客愛你 ==== ## 根據報導[3] 攻擊者透過 SEO 技術將惡意軟體推薦給愛貓人士在業者調查中發現透過愛貓人士搜尋關鍵字後透過 SEO 技術受害者將下載惡意壓縮檔透過 JS 建立工作排程並安裝惡意程式 ## ==== Bug Hunter 要失業了嗎? ==== ## Google 的 Project Zero[4] 透過 Big Sleep Agent 找到第一個真實世界的資安漏洞透過此專案發現一個 SQLite (尚未 release) 的 stack buffer-underflow 安全問題 [0]: https://401.tw/QZVo [1]: https://401.tw/kpVc [2]: https://401.tw/6Fb2 [3]: https://401.tw/rdp6 [4]: https://401.tw/Wcvu -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.242.216.198 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1731631276.A.D56.html