台灣資安新聞彙整 2023.04.17 - 04.23

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

4/17

Google 修補今年第一個 Chrome 零時差漏洞

針對 Windows、macOS 與 Linux 平臺，Google 在 4 月 14 日釋出 Chrome 112 更新，修補一項已遭濫用的漏洞 CVE-2023-2033。

https://www.ithome.com.tw/news/156426

資安專家示警：Windows 系統管理者應立即修補嚴重的 MSMQ QueueJumper 漏洞

資安專家近期針對 Microsoft Message Queuing (MSMQ) 中介軟體服務中的一個嚴重資安漏洞提出警告，指出 Windows 系統管理者應立即套用修補軟體，修復此漏洞。目前有數十萬台 Windows 系統曝露於該資安風險之下。

https://www.twcert.org.tw/tw/cp-104-7053-4a177-1.html

駭侵者利用 Facebook 廣告，假冒 ChatGPT 散布惡意軟體

近來發現有眾多駭侵者在 Facebook 上刊登廣告，假冒 OpenAI ChapGPT 的名義，實際上用以散布多種惡意軟體。廣告的出資者欄位會顯示為「OpenAI」或「GPT」，也有少數假冒為 Google Bard 人工智慧聊天工具。

https://www.twcert.org.tw/tw/cp-104-7049-b9209-1.html

4/18

Android 惡意軟體 Goldoson 下載量超過 1 億次

McAfee 移動研究團隊的研究人員發現，Google Play 商店中至少有 60 個惡意應用程式被感染了 Android 惡意軟體 Goldoson，而該惡意軟體的總下載量已經超過 1 億次。Goldoson Android 惡意軟體旨在對設備執行惡意操作，一但下載並啟動該應用程式後，惡意軟體庫會註冊該應用程式並從具有混淆域的遠端伺服器接收其配置。

https://www.hackread.com/goldoson-android-malware-100-million-downloads/

4/19

Google 為 Google Chrome 推出針對零日攻擊的緊急修復

Google 推出了緊急修復程式以解決 Chrome 瀏覽器中另一個被積極利用的高嚴重性零日漏洞。該缺陷被編號為 CVE-2023-2136 並被描述為開源 2D 圖形庫 Skia 中的整數溢出案例。在 112.0.5615.137 之前的 Google Chrome 中的 Skia 中的整數溢出允許破壞渲染器進程的遠端攻擊者可能通過精心製作的 HTML 頁面執行沙箱逃逸。

https://thehackernews.com/2023/04/google-chrome-hit-by-second-zero-day.html

4/20

攻擊者使用廢棄的 WordPress 外掛設置後門

攻擊者正在使用一種過時的合法 WordPress 外掛 Eval PHP 通過注入隱蔽後門來破壞網站。Eval PHP 是一個舊的 WordPress 外掛，它允許網站管理員將 PHP 代碼嵌入到 WordPress 網站的頁面和貼文中，並於瀏覽器中打開頁面時執行惡意程式碼。據網站安全公司 Sucuri 指出，現在使用 Eval PHP 嵌入惡意程式碼的頻率達到平均每天 4,000 次的惡意安裝。

https://www.bleepingcomputer.com/news/security/attackers-use-abandoned-wordpress-plugin-to-backdoor-websites/

4/21

美國律師協會有 140 萬名會員的數據被盜

美國律師協會 (ABA) 在駭客入侵其網路並獲得 1,466,000 名會員的舊憑證後遭遇了資料外洩。ABA 是全球最大的律師和法律專業人士協會，截至 2022 年擁有 166,000 名成員。根據調查發現有一個未經授權的第三方獲取了用戶名以及加了 salt 的雜湊值，這些密碼可能在之前用於存取舊 ABA 網站上 2018 年前的網路帳號。

https://www.bleepingcomputer.com/news/security/american-bar-association-data-breach-hits-14-million-members/

新發現的「變色龍」Android 惡意軟體，會假冒為銀行、政府、加密貨幣 App

資安廠商 Cyble 旗下的資安研究人員近日新發現一個 Android 惡意軟體「Chameleon」，這種惡意軟體會假扮成銀行、政府單位或加密貨幣交易所發行的 App， 用以對使用者發動各類駭侵攻擊。

https://www.twcert.org.tw/tw/cp-104-7061-815fb-1.html