原标题：资安一周（0530~0605）欧盟成立专案小组查缉线上黑市。游戏平台Steam客户端存在一个十年老漏洞
5/16~5/22一定要看的资安新闻
?
欧盟警方成立暗网小组专门查缉线上黑市在28国警方的支持下，欧洲刑警组织（Europol）近期宣布成立暗网小组（Dark△Web△Team），借由各方技术及资源的协同以提高打击网络黑市的能力。
Europol指出，暗网上代管的数个重要交易市集支持了全球多个犯罪组织和个人的非法行动。暗网上交易的匿名性及跨国性，使其成为犯罪活动的温床。近年欧美警方联手打击暗网交易市集，例如去年美国FBI、荷兰警方及其他国家警方联合破获了 Alphabay及Hansa，两个交易市集运用比特币为主的交易方式，提供毒品、军火、恶意软件网络犯罪工具等35万件物品的交易。更多内容
?
Steam客户端存在一个10年的远端程式码执行漏洞，Valve紧急修补资安公司Context△Information△Security资深研究员Tom△Court发现，游戏平台Steam客户端存在一个至少10年的远端程式码执行漏洞，而这个漏洞影响每月1,500万的活跃用户，游戏公司Valve在收到资安通报后，紧急在12小时内就释出安全性补丁。
Steam客户端函式库的堆积（Heap）崩溃漏洞能被远端触发，该区程式码是用来处理并重组多个UDP资料封包，Steam客户端依赖自定义的协议进行通讯，这个协议建立于UDP之上。简单来说，这个错误发生于，客户端程式没有对分段资料包的第一个资料封包进行基本的检查，以确保指定的封包长度小于或是等于总资料包的长度，Tom△Court认为这是一个疏忽，因为在后续传输的封包都有经过检查。更多内容
?
全球最大网络交换中心DE-CIX指控德国情报机构监视全球网络流量，遭法官驳回位于德国法兰克福的全球最大网络交换中心DE-CIX在2016年指控德国联邦情报局（BND）的监控权力过大，可同时监控该中心的国际与国内流量，然而，德国的联邦行政法院却在最近驳回了该案，法官认为DE-CIX只是电信流量的中介机构，没有立场援用电信保密法来控诉BND。
网络交换（Internet△Exchange，IE）为一技术架构，主要用来处理不同系统之间的网络流量交换，例如让ISP业者、内容递送网络或其它网络服务供应商相互连结或分享流量，而DE-CIX则是全球最大的网络交换中心，每秒平均吞吐量达到4,000Gb，处理来自欧洲、中东、北美与印度的网络流量，居次的是位于阿姆斯特丹的AMS-IX，每秒平均吞吐量为3,340Gb。更多内容
?
Android装置安全再进化，Google鼓励制造商加密全手机资料手机功能越来越强大，也就存放更多用户的敏感资讯，为了要抵御手机内部攻击（Insider△attack），Google在自家手机Pixel△2实现全资料加密技术，并且使用安全硬件加以保护，Google表示，只要骇客没有装置的锁定密码，就不可能更动韧体破解装置，除非抹除装置资料。
Google为Pixel装置中所有的资料加密，并且还用安全硬件来保护加密金钥。当使用者输入正确的密码，装置才会解锁资料，安全硬件的高安全性韧体负责检查使用者密码，而且为了预防暴力破解法，该韧体还会限制密码输入的速度，提高攻击难度。更多内容
?
研究：特殊的条件下音波和超音波都是硬盘杀手，能让电脑当机一项研究显示，通过音波或超音波，只要利用一台市售或电脑内建喇叭播放声音，就可以破坏硬盘或造成作业系统当机。
一群密西根大学及浙江大学研究人员指出，磁性硬盘因为价格便宜而广泛用于储存大量资料，然而此类硬盘的问题在于突然的移动会导致硬盘毁损及资料遗失。他们的研究即在探讨听得见及听不见的恶意声波对此类资讯产品的影响。更多内容
?
Chrome与Firefox旁路漏洞可外泄用户的脸书档案目前任职于Google的安全工程师Ruslan△Habalov于5月31日在他的个人博客中披露，Chrome与Firefox于实现CSS混合模式（mix-blind-mode）功能时出现了旁路（side-channel）漏洞，将会泄露跨来源框架的视觉内容，所幸今年出炉的Chrome△63与Firefox△60都已修补了相关漏洞。
发现该漏洞的还有德国的渗透测试工程师Dario△Wei?er与另一位资安研究人员。更多内容
?
Git爆任意程式码执行漏洞，所有使用者皆受影响！微软Visual△Studio团队服务专案经理Edward△ThomsonMay在DevOps博客提到，近日Git社交发现了Git存在一个可让骇客执行任意程式码的漏洞，他呼吁，开发者应尽速更新客户端应用程序，而微软也已经采取进一步防护，避免恶意程式码储存库被推送到微软的程式码托管服务VSTS（Visual△Studio△Team△Services）中。
这个代码为CVE△2018-11235的安全漏洞，当用户在恶意程式码储存库中操作时，便有可能遭受任意程式码执行攻击。远端程式码储存库包含有子模组（Submodule）的定义以及资料，这两者被捆绑在一起做为资料夹，提交到父程式码储存库中。当这个程式码储存库被递回复制时，Git一开始会将父储存库放到工作目录中，接着准备复制子模组。更多内容
?
中华资安国际联手次世代防火墙业者Palo△Alto，推企业云端防火墙服务资安威胁越来越复杂，但是台湾有一群中小型企业用户，缺乏足够的预算和人力全新投入资安领域，由中华电信切割出来的资安子公司中华资安国际，则联手母公司频宽线路的优势，并搭配次世代防火墙业者Palo△Alto△Networks，推出每个月大约3千元起跳，在电信机房端就可以订阅的云端防火墙服务。
中华资安国际总经理洪进福认为，包括勒索软件、DDoS攻击、IoT物联网装置受骇、组织行骇客APT攻击，以及骇客入侵窃取个资等，这些都是目前台湾最常见的网络威胁类型。以往，中华电信推出资安舰队服务，则是提供企业可以选择Fortinet或是Sophos等厂牌的UTM租赁服务。更多内容
?
微软Windows△JScript元件遭爆有零时差漏洞趋势科技旗下的零时差倡议（Zero-Day△Initiative，ZDI）专案最近揭露微软Windows作业系统中的JScript元件含有一零时差漏洞，将允许骇客自远端执行任意程式。
JScript与JavaScript是同样的程式语言，为了避免商标争议，微软于Windows中将它称为JScript。更多内容
?
美政府警告朝鲜以木马、蠕虫程式发动网络攻击，台湾也受害美国联邦调查局（FBI）及国土安全部近期联合对大众发布警告，表示朝鲜政府正以木马与蠕虫程式在网络上发动攻击，用以骇入电脑、窃取密码及重要资讯，台湾也被发现在感染范围内。
这波攻击行动与名为Joanap的远端存取工具（remote△access△tool, RAT），及名为Brambul的SMB△(Server△Message△Block, SMB) 蠕虫程式有关，美国政府称之为Hidden△Cobra，相信策动者是朝鲜政府。FBI和国土安全部认为，Hidden△Cobra背后的骇客组织至少从2009年开始就利两只恶意程式，包括Joanap及Brambul攻击美国及其他国家的媒体、航太、金融业及其他重要基础设施。更多内容
相关：
Steam客户端存在一个10年的远端程式码执行漏洞，Valve紧急修补
资安公司Context△Information△Security资深研究员Tom△Court发现，游戏平台Steam客户端存在一个至少10年的远端程式码执行漏洞，而这个漏洞影响每月1,500万的活跃用户，游戏公司Valve在收到资安通报后，紧急在12小时
去年美国、荷兰警方及其他国家警方联手破获了 Alphabay及Hansa两个暗网交易市集。 图片来源: Europol 在28国警方的支持下，欧洲刑警组织（Europol）上周宣布成立暗网小组（Dark△Web△Team），借由各方技术及资源的
图片来源: Ruslan△Habalov 目前任职于Google的安全工程师Ruslan△Habalov本周四（5/31）在他的个人博客中披露，Chrome与Firefox于实现CSS混合模式（mix-blind-mode）功能时出现了旁路（side-channel）漏洞，将会泄露
Container周报第67期：Kubernetes丛集自动扩充有新工具，CNCF则多了2个沙箱新专案
05/28~06/03精选Container新闻Kubernetes丛集配置变动管理新工具，连自订配置档都能参数化你通常如何建立Kubernetes环境的配置呢？多半是直接拿现成的配置YAML档，修改成符合这次需要的配置吧。但这样一来，这类手动
图片来源: ZDI 趋势科技旗下的零时差倡议（Zero-Day△Initiative，ZDI）专案本周揭露微软Windows作业系统中的JScript元件含有一零时差漏洞，将允许骇客自远端执行任意程式。JScript与JavaScript是同样的程式语言，为