The Good, the Bad and the Ugly in Cybersecurity – Week 24

The Good

已經近一半的 2020 年要度過了，而美國大選季節正在迅速進入數十年來最動蕩的一年，我們很高興看到網路安全在全國性得到了加強及注意。 為此，Nattional Guard 和 U.S. Cyber Command 通過一起發起的 “ Cyber 9-Line” 計劃，聯手提供及時的數據及對網路攻擊的響應，從勒索程式攻擊到選舉安全事件。
​
Cyber 9-Line 是使用一個通用型的框架並允許 National Guard 快速的 report 事件，這些事件被輸入到 USCYBERCOM 的Cyber Nation  Mission Force 中。 然後，他們可以診斷並提供未分類的反饋來幫助解決該事件。 到目前為止，雖然只有 12 個州完成了註冊，但其他大多數州正在逐步建立帳戶並進行培訓。 USCYBERCOM 表示，捍衛 2020 年選舉是“指揮官和國家安全局的第一要務”。 Cyber 9-Line 有望在確保選舉完整性方面發揮關鍵作用。哇呼～～

同時，在英國的國防部還通過推出新的 the 13th Signal Regiment “網路團”，為打擊數位攻擊做好準備。 英國陸軍在一份聲明中說，他們的新裝備將與 “尖端技術與網路士兵互相匹配，以利在數位時代競爭並贏得勝利”。

The Bad

大家還記得 Meltdown 及 Spectre 嗎？ 還有 side-channel 側通道攻擊 RIDL，Fallout 和 ZombieLoad？ 他們是在過去，（well, 也是在不久之前的 2018 和 2019 ）來自通過 Intel 的 CPU的微體系結構緩衝區傳遞產生的處理器漏洞。

其問題的根源是在 Microarchitectural Data Sampling（MDS），深層到根本無法防止緩衝區洩漏。 Intel 表示最好的辦法就是更新現有處理器的 microcode，以便每當 CPU 切換到新的安全敏感任務時，緩衝區都將被 overwrite。 Intel 隨後發布了他們的第8代 CPU Whiskey Lake ，這新型的 CPU 應該能夠抵抗此類 MDS 攻擊。 但遺憾的是，看來這些緩解策略並不完全有用。 已有來自兩個獨立團隊的最新研究指出，即使在 Whiskey Lake 機器上，還是可以被 bypass。

SGAxe 是建立在較早的攻擊 CacheOut 的基礎上，並利用 CVE-2020-0549 竊取了來自 Security Guard Extensions 安全區域 的用戶數據，而 CrossTalk 讓駭客可以去洩漏 SGX 安全區域中受保護的數據，即使使用的代碼是在與保存敏感數據不同的 CPU Core 上運行。

研究人員表示，“將這些攻擊用於破壞 Intel 安全 SGX encllaves 中運行的代碼幾乎是微不足道的”，並且 “針對現有的瞬時執行攻擊緩解措施，在很大程度是無效的”。

Intel 聲稱 CrossTalk 為 Special Register Buffer Data Sampling（SRBDS），並表示 Atom，Xeon Scalable 和第十代 Intel Core 系列處理器不受影響。 而對於受影響的 CPU ，供應商們預期在未來幾週內提供更新。 Intel 表示，針對早期漏洞的 patches 以及發布給研發人員的 recommended guidelines，也應有助於防止 CacheOut 和 SGAxe。

The Ugly

一群專研對社會網路威脅的加拿大研究小組 Citzen Lab 表示，人權捍衛者，環保主義者，新聞工作者以及政治家和 CEOs ，已成為迄今對大家還是一個未知，稱為 "Dark Basin" 駭客招募組織的目標。 

美國非營利組織已成為 “ Dark Basin” 的一個大目標，Dark Basin 還對倡導網路中立 net neutrality，揭發否認對氣候破壞的企業組織發動了網路釣魚攻擊。 以下為同意公開的組織包括有：

• 350.org
• Climate Investigations Center
• Conservation Law Foundation
• Center for International Environmental Law
• Greenpeace
• Public Citizen
• Union of Concerned Scientists​

那 Dark Basin 是怎麼被發現的呢？因為他們在釣魚攻擊中使用了客制 URL shortener 。 由於 shortener 建立了具有順序短代碼的 URL 後，使研究人員能夠識別出近 28,000 個包含目標電子郵件地址的 URL。 然後這些惡意鏈接連接到釣魚網站：一種駭客們可以控制的複製登錄頁面，例如Facebook，LinkedIn和Google Mail 等。

最初被懷疑的駭客們可能是政府贊助的 APT，但 Citizen Lab 發現了他們與在一家印度的私人營運公司“ BellTrox InfoTech Services” 和 “ BellTrox D | G | TAL Security” 之間的線索。 儘管研究人員強烈認為， BellTrox 的員工就是 Dark Basin 的背後操手，但卻沒有強而有力的證據可以證明。

原文