原标题：资安一周第9期：近7成德国制造业曾遭攻击，半数来自网络威胁。15行CSS恶意程式码就能重启你的iOS装置
根据德国Bitkom发布的资安研究报告，德国在过去两年有68%的制造业曾沦为破坏、间谍或资料窃贼的受害者，其中有47%的损失源自于网络攻击行动。（上图仅为场景示意图，图片来源／CC0 by△pxhere）
0913～0919一定要看的资安新闻?
＃德国制造业德国制造业遭骇现况！三分之二制造商曾遭攻击德国的资讯科技、电信与新媒体协会Bitkom公布一项资安研究报告，指出在过去两年来，德国有68%的制造业曾沦为破坏、间谍或资料窃贼的受害者，损失金额高达434亿欧元（520亿美元），其中有47%的损失源自于网络攻击行动。在曾遭受网络攻击的案例中，有24%是通过恶意程式，16%是开采软件漏洞，网钓攻击也占了16%，暴力破解密码占了12%，阻断服务与中间人攻击则各占5%与4%。
值得注意的是，在所有的攻击行动中，有高达63%是来自于现任员工或是前员工，48%源自于客户、供应商、委外业者或竞争者，有29%为业余骇客，并有17%属于有组织的犯罪行动。更多内容
?
＃iOS装置 ＃核心错误当心！CSS恶意攻击只要15行程式码，就能重启你的iOS装置安全研究人员Sabri△Haddouche借由Twitter公布了一段针对iOS装置的攻击程式，当iPhone或iPad造访含有该程式码的网页时，就会造成核心错误（Kernel△Panic），导致系统重新启动装置。
Haddouche已将这个仅15行的攻击程式码张贴在GitHub上，该程式利用了浏览器引擎WebKit的弱点，借由在CSS的背景过滤器中嵌入大量的 div△标签，消耗了装置的所有资源，而造成核心错误，遭遇核心错误的系统通常会重新启动以避免造成伤害。
WebKit为苹果Safari浏览器所使用的引擎，因此不只是iOS装置受到波及，该程式码也会让macOS上的Safari浏览器冻结。
Haddouche向Tech△Crunch透露，在iOS上任何可描绘HTML的服务都会受到影响，代表不管使用者收到的是脸书、Twitter或电子邮件中的连结，还是造访一个含有该程式码的网页，都会发生iOS装置重新启动的状况。更多内容
?
＃Cold△Boot△＃冷启动新式Cold△Boot攻击可骇进绝大多数现代电脑芬兰资安业者F-Secure在SEC-T资安会议上，展示了新型态的“冷启动”（Cold△Boot）攻击，研究人员破解了业者在韧体中替传统冷启动攻击所部署的防御机制，可成功骇入绝大多数的现代电脑。
在10年前便已现身的冷启动攻击，是利用随机存取记忆体（RAM）在电脑断电后的资料残留特性，通过冷启动重启电脑之后存取记忆体内容。为了防范冷启动攻击，由微软、IBM、英特尔、AMD与HP等业者组成的“信任运算联盟”（TCG）则发展出TCG△Reset△Attack△Mitigation，以在重启电脑时强迫BIOS覆盖记忆体内容。
不过，F-Secure的两名研究人员Olle△Segerdahl与Pasi△Saarinen则发现，只要能实际接触电脑硬件，就能改写含有该设定的记忆体晶片，并关闭其覆盖功能，破解了TCG△Reset△Attack△Mitigation，再以外接装置重启电脑，执行冷启动攻击，于记忆体中取得密码或进入企业网络的凭证。更多内容
?
＃监视器 ＃京晨科技国产监视器软件有漏洞！数十万台监视器恐遭骇客控制台湾监视器解决方案暨装置制造商京晨科技（NUUO）所生产的网络监控主机NVRMini2（NVR+NAS），被资安业者Tenable揭露含有两个安全漏洞，其中一个将允许骇客执行远端程式并掌控装置，由于还有其他第三方装置制造商也使用京晨所打造的软件，估计受害装置可能高达数十万台。
研究人员在NUUO软件中所发现的两个漏洞分别是CVE-2018-1149与CVE-2018-1150，前者属于堆叠缓冲区溢位漏洞，允许骇客执行远端程式攻击，被列为重大风险的安全漏洞，后者则是个后门漏洞。
京晨科技所生产的监视器装置或软件，广泛被应用在银行、医院、学校或购物中心等地，也将软件授权给全球逾100个品牌及2,500种型号的监视器。京晨已在开发修补程式，只是截至本文发布前仍未释出。更多内容
?
＃Amazon△＃个资外泄Amazon调查员工受贿泄露客户资料、删改产品负评华尔街日报近日披露，电商龙头Amazon员工受贿泄露客户及重要内部资料给卖家并协助删除产品负评，Amazon已经启动调查。
报道引述消息人士以及牵涉的卖家、中间商指出，Amazon员工在中间人居间协助下，将公司内部资料及其他机密资讯，包括销售纪录及顾客电子邮件泄露出去。他们也帮忙删除网站上商品的负评，并将被禁的商品重新上架销售，以图利特定卖家。报道指出，这个情况在中国尤其严重。更多内容
?
＃台北市政府卫生局 ＃个资外泄北市府红队演练发现卫生局公卫系统市民个资于暗网兜售，检调发动调查台北市政府卫生局惊传，公共卫生资讯管理系统的个人资料遭到外泄，并且在暗网中，以100笔个资要价1千美元的价格对外贩售。
该起资安事件的通报，起因是台北市政府配合行政院执行资安前瞻计划，由资讯局委由资安业者戴夫寇尔进行红队演练期间，在地下网站（俗称的暗网）发现有人贩售台北市卫生局个资，戴夫寇尔第一时间通报台北市资讯局进行后续的调查。台北市政府资讯局局长李维斌也确认，这起资安事件并不是媒体报道的流量异常，的确是进行红队演练时，由资安业者通报的情搜资料。
台北市卫生局的公共卫生资讯管理系统于2015年委由慧智达科技进行开发，据媒体报道，该系统有超过70个子系统，包含药物及化妆品线上查询暨申办、行政资讯、健康管理个案管理系统、精神病患管理系统等。更多内容
?
＃网络犯罪 ＃恶意邮件研究：约9成网络犯罪经由电子邮件展开，约1%的邮件是恶意邮件安全厂商FireEye研究人员分析今年一月到六月的5亿封电子邮件，发现101封邮件中，有1封是明显的恶意邮件。
研究资料显示，网络犯罪中，91%是电子邮件的攻击型态。值得注意的是，根据IC3的估计，电子邮件攻击中只有10%内含恶意软件；攻击者利用PDF或DOC等附档趁用户开启时，安装蠕虫、木马、勒索软件、病毒、广告软件等程式。去年以电子邮件传送的勒索软件占了整体的46%。更多内容
?
＃微软 ＃漏洞修补微软修补61个安全漏洞，包含已有攻击程式现身的零时差漏洞微软于九月十一日的每月例行性修补中，修补了61个安全漏洞，当中有17个属于重大（Critical）漏洞，以及一个概念性验证攻击程式已经出炉的零时差漏洞CVE-2018-8440。
CVE-2018-8440是个权限扩张漏洞，当Windows不正确地处理“本地过程调用”（Advanced△Local△Procedure△Call△，CLPC）的呼叫时就会现身，骇客必须要登入系统才能开采该漏洞，再执行特制程式以取得系统最高权限，因攻击程式已现身，各大资安业者皆呼吁Windows用户应该优先修补此一漏洞。更多内容
?
更多资安动态
强化生态系安全新对策，第三方App有漏洞，脸书抓漏方案也给奖金
资料来源：iThome整理，2018年9月
相关：
在生活上，遇到资金紧缺的时候，第一想到的就是网络贷款平台，因为网贷可以足不出户就能轻松办理，相当方便简单。但是带来方便的同时，不少人也被骗的一塌糊涂。近日，有网友咨询花钱就能开通微粒贷？别傻了！微粒贷
Fabric将并入Firebase行动程式开发平台，明年中走入历史
图片来源: Fabric Google在去年1月向Twitter买下的行动程式开发平台Fabric于上周宣布，将在未来几个月整并Fabric与Firebase平台，提供一个集中的行动程式开发入口，且即将于明年中关闭Fabric，同时鼓励Fabric用户愈快
【有片睇】iOS 浏览器最新漏洞 程式码即令iPhone、iPad重新开机 | 香港 UNWIRE.HK 玩生活．乐科技
最近有资讯安全人员表示，只需要 15 行程式代码，即可让使用 iOS 系统的装置马上重新启动，而 macOS 上的 Safari 浏览器也会受到有关攻击影响。导致程式死机，没有回应。（图片来源：EverythingApplePro#YouTube）资
当心! CSS恶意攻击只要15行程式码就可让你的iOS装置重新启动
示意图，与新闻事件无关。 安全研究人员Sabri△Haddouche上周六（9/15）借由Twitter公布了一段针对iOS装置的攻击程式，当iPhone或iPad造访含有该程式码的网页时，就会造成核心错误（Kernel△Panic），导致系统重新
Python 程式语言势删除 Master、Slave 用语 避免联想古代“奴隶” | 香港 UNWIRE.HK 玩生活．乐科技
“Master”这个用语在各行各业都有应用，特别是版本管理、电子工程上，Master／Slave 分别代表主、从关系。但反歧视风气日盛，令人想起以往封建时代“奴隶”、“仆人”的 Slave 一词受到反歧视人士的关注。而今时今日