處理資安漏洞（資訊安全漏洞）對於保護企業和組織免受各種網路攻擊，十分重要。及時修補漏洞能避免攻擊者突破防線，竊取敏感資料或影響關鍵系統運作。
當企業面臨名列在 CVE（Common Vulnerabilities and Exposures）的資安漏洞時，建議採取以下措施： 

### 1. 弱點評估與分類

首先要了解該 CVE 的具體細節，包括其嚴重程度（CVSS 分數）、影響範圍、攻擊途徑、潛在影響（例如：服務中斷、系統停機等）、漏洞是否已有攻擊事件發生、暗網是否有相關工具販賣情資。


### 2. 檢查受影響之系統及使用人員

調查內部系統、服務及使用和負責之人員，確認哪些設備及服務受到該CVE之影響，升級是否會造服務中斷及影響使用者。


### 3. 優先級排定

根據該弱點的嚴重程度和風險，評估該問題的修補優先級。若該 CVE 具有高危性或已被攻擊者使用，應立即將其納入高優先級處理範圍。


### 4. 修補或緩解措施

 - 若有官方已釋出更新，應立即進行更新測試驗證，驗證成功後升級。
 - 若官方尚未釋出更新，應考慮實施緩解措施，例如：限制該弱點的攻擊面、提高相關的安全設定、或通過防火牆限制攻擊途徑。

### 5. 持續監控

持續監控有關該 CVE 的更新資訊，查看是否有新的攻擊手法出現。

 

----------------

 

以之前漏洞「CVE-2024-38812」為例，採用 TeamT5 威脅情資平台解決方案 ThreatVision，即可從該平台漏洞修補管理報告（Patch Management Report）快速了解漏洞相關資訊，TeamT5 從威脅情報角度重新定義該漏洞的威脅等級，不僅包含 CVSS 分數，還納入了該漏洞的利用工具可得性以及已被攻擊者利用的情況。

 
![pic01update_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic01update_vulnerability-patch-by-using-teamt5-solution.png)
<center>漏洞修補管理報告頁面</center>

 
![pic02_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic02_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision漏洞修補管理報告針對「CVE-2024-38812」漏洞的說明</center>

 
ThreatVision 漏洞修補管理報告指出，「CVE-2024-38812」漏洞為 vCenter Server 在 DCERPC 協定實施中，存在堆溢出漏洞。具有 vCenter Server 網路訪問許可權的惡意行為者，可能會通過發送特製網路數據包來觸發此漏洞，這可能會導致遠端代碼執行。

同時根據連結提供的 VMware 官網說明，影響產品為 7.0 及 8.0 版 vCenter Server，與 4.x 及 5.x 版 Cloud Foundation。使用者可透過 ThreatVision 漏洞修補管理報告附上的連結，即時取得修補建議與官方更新。

 
![pic03_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic03_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision 漏洞修補管理報告提供「CVE-2024-38812」漏洞的官方更新檔及說明資訊</center>

 
使用者也可透過 Publicly Disclosed 區塊及 Exploited 區塊，了解是否有 POC 工具及已遭利用之入侵指標（IoCs）。由於目前 CVE-2024-38812 尚未有相關前述資料，下圖為範例。

 
![pic04_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic04_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision 漏洞修補管理報告示意圖</center>

 
![pic05_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic05_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision 漏洞修補管理報告：Publicly Disclosed 區塊說明是是否已有 POC 工具</center>

 
![pic06_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic06_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision漏洞修補管理報告：Exploited 區塊說明已遭利用之IoCs</center>

 
由於「CVE-2024-38812」漏洞出現在 vCenter Server，而可存取 vCenter Server 人員為 IT 管理人員，故可確認此漏洞有提供內部人員使用，對象為IT管理人員。

故企業與組織在未能更新前，我們建議可先在 vCenter Server 限縮網路存取面，限定特定IP才可存取（僅限管理人員IP或操作區IP），並在存取之主機安裝EDR或定期健診，檢測主機安全且透過威脅獵捕確認，是否有可疑遠端軟體或潛在風險，且透過 ThreatVision 漏洞修補管理報告提供之 Exploited IoCs 匯入資安解決方案（FW、IPS/IDS、WAF、防毒軟體、EDR）進行追蹤及防護，待後續安排更新時間。

 
![pic08update_vulnerability-patch-by-using-teamt5-solution..png](https://uploads.teamt5.org/upload/original/pic08update_vulnerability-patch-by-using-teamt5-solution..png)
<center>上圖為示意圖</center>

 
![pic07update_vulnerability-patch-by-using-teamt5-solution..png](https://uploads.teamt5.org/upload/original/pic07update_vulnerability-patch-by-using-teamt5-solution..png)
<center>上圖為示意圖</center>



 
企業也可持續留意 ThreatVision 對於漏洞的更新資訊，ThreatVision 漏洞修補管理報告提供之Exploited IoCs匯入企業既有資安防護平台，如：防火牆、防毒系統。

![pic09update_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic09update_vulnerability-patch-by-using-teamt5-solution.png)
<center> 上圖為示意圖</center>

漏洞修補絕招：以 TeamT5 解決方案為例

Products & Services

##前言：為何資安事件應變處理對企業十分重要？
現今企業日常營運越來越依賴於各種數位系統，然而，這也使資訊安全威脅日益嚴峻，如數據洩漏、系統入侵、惡意軟體攻擊和拒絕服務攻擊等類型的資安事件，已成為企業面臨的重大挑戰。

這些事件不僅可能導致大量敏感資訊、商業機密外洩，還可能大幅影響企業的財務狀況、品牌形象及正常營運。

有效的資安事件應變處理不僅是應對突發事件的必要手段，更是保護企業數位資產和維護客戶信任的關鍵。企業需要具備快速應變和處理資安事件的能力，才能在競爭激烈的市場中，立於不敗之地。

本文將從基礎概念到實務處理，全面介紹資安事件應變處理的重要環節。

## 什麼是資安事件？
資安事件是指任何威脅到資訊安全的行為或事件，這些事件可能導致資料洩漏、服務中斷或系統受損。常見的資安事件包括：

1. **數據洩漏**：敏感數據（如個人資料、財務資訊）被未經授權的第三方獲取。
2. **系統入侵**：駭客利用漏洞或社會工程手段獲得系統控制權。
3. **惡意軟體攻擊**：如病毒、蠕蟲、勒索軟體等，這些軟體可以破壞系統或竊取資訊。
4. **分散式阻斷服務（DDoS）**：大量流量癱瘓目標系統，使其無法正常運作。

 

>更多說明請參考：[資安事件是什麼？如何處理、應變？](https://teamt5.org/tw/posts/what-is-a-cybersecurity-incident-how-to-deal-with-it/?utm_source=website&utm_medium=website)

 

## 資安事件應變處理的基本步驟
 以下是處理資安事件的基本步驟，每一步驟都需要詳細計劃和準備，以確保在事件發生時能夠有效應對。

 

#### 1. 事件偵測

事件偵測是資安事件應變處理的第一步，也是最關鍵的一步。及時發現異常活動可以大幅降低資安事件的影響。使用先進的威脅情資平台（Threat Intelligence Platform）和端點偵測與回應解決方案（Endpoint Detection and Response, EDR）等工具，可以幫助企業及時發現潛在威脅。這些工具能夠自動監控網絡流量和系統活動，識別異常行為並發出警報。

 

#### 2. 事件分類

一旦偵測到潛在的資安事件，接下來的步驟是對事件進行分類。這包括確定事件的類型（如數據洩漏、系統入侵、惡意軟體攻擊等）和嚴重程度。事件分類的目的是確定應對策略和資源分配，確保最嚴重的事件得到優先處理。

 

#### 3. 事件遏制

事件遏制的目的是限制資安事件的影響範圍，防止事態進一步惡化。根據事件的類型和嚴重程度，可以採取以下措施：
 - **隔離受感染的系統**：斷開受感染系統與網絡的連接，以防止惡意軟體擴散。
 - **封鎖可疑流量**：使用防火牆和入侵防禦系統（IPS）阻止可疑的網絡流量。
 - **關閉受影響的服務**：暫時關閉受影響的應用程序或服務，以減少風險。

 

#### 4. 事件調查

在事件得到初步遏制後，需要對其進行詳細調查。調查的目的是確定事件的來源、途徑和影響範圍。這包括：
 - **分析日誌和數據**：檢查系統日誌、網絡流量記錄和其他相關數據，找出攻擊者的行為和使用的工具。
 - **訪談相關人員**：與受影響系統的管理員和用戶進行訪談，了解事件發生的前後情況。
 - **收集證據**：保存相關證據，以便在必要時進行法律追訴或進一步分析。

 

#### 5. 事件恢復

事件調查完成後，下一步是恢復受影響的系統和數據。這包括：
 - **修復受損系統**：重新安裝或修復受影響的操作系統和應用程序。
 - **恢復數據**：從備份中恢復被刪除或損壞的數據，確保數據完整性。
 - **漏洞修補**：確保所有已知漏洞都被修補，防止再次發生類似事件。

 

#### 6. 事件報告

事件恢復後，需要對整個事件處理過程進行詳細記錄，並向相關部門或監管機構報告。事件報告應包括以下內容：
 - **事件描述**：簡要描述事件的經過和類型。
 - **處理過程**：詳細記錄事件偵測、分類、遏制、調查和恢復的每一步驟。
 - **影響評估**：評估事件對企業運營、數據安全和客戶信任的影響。
 - **改進建議**：提出改進安全措施和應變計劃的建議，以防止類似事件再次發生。

 

#### 7. 事後分析

最後，進行事後分析（Post-Incident Analysis），總結經驗教訓，改進安全策略和應對方案。這包括：
 - **回顧事件處理過程**：檢查整個事件處理流程，找出成功和失誤之處。
 - **更新應變計劃**：根據事後分析的結果，更新和改進應變計劃。
 - **培訓和演練**：對員工進行培訓，提升其應對資安事件的能力，並定期進行模擬演練，測試應變計劃的有效性。

 

## 實務案例分享

杜浦數位安全 TeamT5 根據逾二十年的資安事件應變處理經驗，篩選近期對企業危害最大的資安事件，說明應變處理做法。

案例如下列：

- [【資安事件應變處理案例】當 APT 威脅埋伏於環境中，該如何有效處置？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=website&utm_medium=website)

- [【資安事件應變處理案例】個資外洩遭駭客利用，該如何處置與防範？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=website&utm_medium=website)

- [【資安事件應變處理案例】勒索加密找上門，該如何應變？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=website&utm_medium=website)

 
在日益嚴峻的網路安全環境中，企業更可與外包的資安事件應變處理服務團隊合作，成為企業保護自己免受資安事件危害的最佳助力。

 
 

>TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件應變與處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。 若您有資安事件處理、應變的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/request-information/?utm_source=blog&utm_medium=website)

資安事件應變處理：從基礎概念到實務處理

IR Service Resources

在數位時代，資安事件已成為企業無法忽視的重要議題。資安事件的範圍廣泛，從數據洩漏、系統入侵、到惡意軟體攻擊，每一種事件都可能對企業的正常運作和聲譽造成嚴重影響。

那麼，什麼是資安事件？又該如何有效處理和應變呢？

## 什麼是資安事件？

資安事件是指任何威脅到資訊安全的行為或事件，這些事件可能導致資料洩漏、服務中斷或系統受損。常見的資安事件包括：

1. **數據洩漏**：敏感數據（如個人資料、財務資訊）被未經授權的第三方獲取。
2. **系統入侵**：駭客利用漏洞或社會工程手段獲得系統控制權。
3. **惡意軟體攻擊**：如病毒、蠕蟲、勒索軟體等，這些軟體可以破壞系統或竊取資訊。
4. **分散式阻斷服務（DDoS）**：大量流量癱瘓目標系統，使其無法正常運作。

## 如何應變資安事件？

除了處理已發生的事件，企業還需制定和演練應變計劃，以提高應對能力：

1. **風險評估**：定期進行風險評估，識別潛在威脅和弱點。

2. **應變計劃**：制定詳細的應變計劃，涵蓋事件發生前、中、後的所有步驟。

3. **員工培訓**：定期培訓員工，提高其安全意識和應對技能。

4. **模擬演練**：進行定期的應變演練，測試應變計劃的有效性，並根據演練結果進行改進。

5. **資訊共享**：參與行業間的資訊共享，及時獲得和交換威脅情資。

 

總結來說，資安事件不可避免，但規劃積極的預防措施和快速的應對，企業可以將風險降到最低，保護自己的數位資產和名聲。

在日益嚴峻的網路安全環境中，企業更可與外包的[資安事件應變處理服務團隊](https://teamt5.org/tw/service/ir/?utm_source=website&utm_medium=website)合作，成為企業保護自己免受資安事件危害的最佳助力。

 

>TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件應變與處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。 若您有資安事件處理、應變的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/request-information/?utm_source=blog&utm_medium=website)。

資安事件是什麼？如何處理、應變？

## Android 漏洞研究介紹

### Android 研究環境準備
進行 Android 漏洞研究的環境可分為模擬器(emulator)環境以及實體手機環境，模擬與實體手機上的研究還是存在差異性。如模擬環境中無法將硬體一同模擬，不同廠牌的手機也會有自己實作應用程式、保護機制等，因此在研究的選擇上主要會以實體手機為主。

選擇較好進行刷機 (rooting) 的手機做為研究設備能夠較快建立好研究環境，如 Google 、小米等。 Rooting 的目的在於能幫助研究人員能夠進行更加便利的使用，以及較能不受到 SELinux 安全機制的影響。 

### 高層級攻擊面 (High-level Attack surface)
Android APP 層面的攻擊面有非常多，包含受保護的組件 (protected component) 上的錯誤設定(misconfiguration)，導致 APP 能夠存取到任意系統檔案。或者 APP 開發者使用動態方式將系統路徑的函式庫進行載入，若該 APP 存在路徑遍歷 (path traversal) 相關漏洞的話，則能將該 APP 載入惡意的函式庫 (share object file) 達到持久性本地程式碼執行 (persistent local code execution) 或者遠端程式碼執行 (RCE, Remote Code Execution)。

- **Android 深度連結 (Deep link)** : Android 中的 Deep Link 是一種特殊的 URL，允許應用程式直接導到應用內的特定內容或頁面，而不僅是啟動應用程式的主畫面。在 Pwn2own 2022 有參賽者 利用 Samsung Galaxy Store 中的 Deeplink 漏洞達到程式碼執行，能夠安裝並開啟任意 APP。

- **動態程式碼載入 (Dynamic code loading)** : Android APP 也會使用 share object files，以 CVE-2021-40724 為例，該漏洞發生在 adobe PDF Reader APP 中，漏洞成因為 APP 允許使用者以 URL 形式將期望開啟的 PDF 路徑傳給 APP。然而在後續功能實作中並未對該路徑內容進行檢查，導致了 path traversal 的漏洞。攻擊者能夠透過該漏洞建立出任意檔案，PoC 為利用 path traversal 建立 APP 預設會載入的 share object file，其中 share object file 的內容為攻擊者所能控制，藉此達到 RCE。

- **受保護的組件 (Protected components)** : 在 Android 系統中 `intent` 是一個可序列化 (Parcelable) 的物件，然而開發者可能會不小心使用錯誤的呼叫方式，或者檢查不夠嚴謹，導致攻擊者能夠從使用第三方 app 來存取到目標 app 底下的相關資訊。
 

### 低層級攻擊面 (Low-level Attack surface)

- **Android kernel** : 由於 Android kernel 是基於 Linux kernel 開發的，因此若是在 Linux kernel 中存在的漏洞， Android 系統上也是有可能具有相關漏洞，如 Dirty-CoW , Dirty Pipe 等漏洞皆能夠在 Android 系統中重現，但由於 OS 環境上的差異性，會使得重現過程中需繞過如 SELinux 等問題。

- **Android kernel driver** : Android kernel driver 負責與硬體設備的溝通，若在其中存在漏洞也可能導致攻擊者能夠在目標手機上提權拿到 root。如 ARM 的 Mali GPU driver 目前已被發現存在多個漏洞。

- **Android TEE** : Android 系統中大多使用 TEE (Trust Execution Environment) 來保護裝置的安全性，不同手機廠牌會根據所使用的 CPU 晶片來決定使用哪個架構的 TEE，如 Samsung Exynos 使用的 TEE 環境為 TEEGRIS，而 Pixel4 XL 使用的為高通的 QSEE。 TEE 的攻擊面有 TEEOS 以及 TA (Trusted Applications) 等。

## 漏洞重現

我們針對 Android 系統環境中進行漏洞的移植及重現，幫助研究人員了解成因及系統架構上的差異性。在 2022 年的 HITCON 中，我們以成功移植 Dirty-Pipe (CVE-2022-0847) 的漏洞到 Android 12 Pixel6 的手機。

在該研究的最終目的是希望能夠在 Android 系統中使用 Dirty-Pipe 漏洞，並且能夠獲取繞過 SELinux 的 reverse root shell。

### Dirty-Pipe 漏洞介紹

當 Pipe 在進行操作時，會使用 zero copy，來降低資源的浪費。對 page 進行操作時會使用 page reference 進行操作。其中 `PIPE_BUF_FLAG_CAN_MERGE` flag 設上後會以當下的 page 進行寫入而不會重新 allocate 新的 page。

Dirty-Pipe 漏洞發生在 Pipe 操作時由於 `PIPE_BUF_FLAG_CAN_MERGE` 並未初始化而導致使用時不會重新分配新的 page 而是直接對拿到的 page 進行寫入，因此可以透過 splice system call 來獲取想要 overwrite 目標的 page ，再以 Dirty-Pipe 漏洞進行寫入，就能達到對 read-only 檔案有著趨近於任意寫的功能。


 
![pic_introduction-to-android-vulnerability-research.png](https://uploads.teamt5.org/upload/original/pic_introduction-to-android-vulnerability-research.png)
 

Dirty-Pipe 本身在任意寫上存在一些限制：
1. 對檔案必須要有 read 與 open 的權限
2. 每一次寫入只能寫 1 個 page 大小
3. page 的第 1 個 byte 無法進行寫入
4. None-regular file 是不能寫入

### Linux 系統中 Dirty-Pipe 漏洞提權方法
有著趨近於任意寫的功能下，能夠對任何能夠 open read 的檔案進行寫入，在 linux 系統中提權方法相較於 Android 系統中較為簡單與直接。


- 找出帶有 SUID 的程式作為目標，如 `/usr/bin/sudo`，將該程式的 Entry point 複寫為 Shellcode 的位置即可以 root 權限開啟 Shell 。

### Reference
- https://starlabs.sg/blog/2023/06-the-old-the-new-and-the-bypass-one-clickopen-redirect-to-own-samsung-s22-at-pwn2own-2022/
- https://hulkvision.github.io/blog/post1/
- https://dirtypipe.cm4all.com/

 
>TeamT5 杜浦數位安全專精網路威脅研究，提供端點偵測與回應(EDR)解決方案 - ThreatSonar，有效偵測，避免企業系統漏洞遭到有心人士濫用、遭遇資安攻擊。
>
>團隊具備超過10年的惡意程式與進階持續性威脅(APT)的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響；更經常受邀參加世界級資安會議、發表研究成果。
>
>若您有資安防護的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/request-information/?utm_source=blogs&utm_medium=website)

Android 漏洞研究介紹

##Introduction to Android Vulnerability Research
###Preparing the Android Research Environment
The environment for conducting Android vulnerability research can be categorized into emulator environments and physical device environments. There are notable differences between research conducted on emulators and physical devices. For instance, emulator environments cannot replicate hardware interactions, and different manufacturers implement their applications and protection mechanisms. Therefore, for research purposes, the primary focus will be on physical devices.

It is advisable to choose a physical phone that is more convenient for rooting, such as devices from Google or Xiaomi. Rooting is intended to provide researchers with more convenient usage and minimize the impact of the SELinux security mechanism.

###High-Level Attack Surface
The attack surface at the Android application level is extensive, including misconfigurations in protected components that allow the app to access arbitrary system files. Additionally, if app developers dynamically load libraries from system paths, with path traversal vulnerabilities, attackers can load malicious shared object files, enabling persistence in local devices or remote code execution (RCE).

- **Android Deep Linking**: In Android, a deep link is a specific type of URL that allows an application to navigate directly to specific content or pages. At Pwn2Own 2022, a participant exploited a deep link vulnerability in the Samsung Galaxy Store, achieving code execution that allowed for the installation and launch of any app.
- 
- **Dynamic Code Loading**: Android apps often utilize shared object files. For instance, CVE-2021-40724 was a vulnerability found in the Adobe PDF Reader app, where the app allowed users to provide the expected PDF path via a URL. However, the implementations did not validate the content of this path, resulting in a path traversal vulnerability. Attackers could exploit this flaw to create arbitrary files. A proof of concept (PoC) for this vulnerability demonstrated how to create a shared object file that the app would load by default, with content controlled by the attacker, thereby achieving RCE.

- **Protected Components**: In the Android system, an `intent` is a serializable (Parcelable) object. However, developers may inadvertently use incorrect calling methods or fail to conduct rigorous checks, resulting in attackers accessing sensitive information from the target app using third-party applications.


###Low-level Attack surface
- **Android Kernel**: Since the Android kernel is based on the Linux kernel, vulnerabilities present in the Linux kernel can also manifest in the Android system. For example, vulnerabilities such as Dirty COW and Dirty Pipe can be reproduced in Android. However, due to differences in the operating system environment, the reproduction process may need to navigate issues such as SELinux.

- **Android Kernel Driver**: The Android kernel driver is responsible for communication with hardware devices. If vulnerabilities exist within these drivers, attackers may be able to escalate privileges and gain root access to the target device. For instance, multiple vulnerabilities have been identified in the ARM Mali GPU driver.

- **Android TEE**: The Android system primarily utilizes the Trusted Execution Environment (TEE) to enhance device security. Different manufacturers determine which TEE architecture to implement based on the CPU chipset. For example, Samsung Exynos employs the TEEGRIS environment, while the Pixel 4 XL uses Qualcomm’s QSEE. The attack surface of the TEE includes TEEOS and Trusted Applications (TAs).

##Vulnerability reproduction
We reproduced vulnerabilities in the Android system environment to help researchers understand the causes and differences in system architecture. At HITCON 2022, we successfully ported the Dirty-Pipe (CVE-2022-0847) vulnerability to Android 12 Pixel6 phones.

The ultimate goal of this research is to use the Dirty-Pipe vulnerability in the Android system and bypass SELinux to gain the reverse root shell.


###Dirty-Pipe Vulnerability Introduction
When a pipe is in operation, it employs zero-copy techniques to minimize resource wastage. Page operations are conducted using page references. When the `PIPE_BUF_FLAG_CAN_MERGE` flag is set, data is written to the current page without reallocating a new page.

The Dirty-Pipe vulnerability occurs during pipe operations when the `PIPE_BUF_FLAG_CAN_MERGE` is not properly initialized. This oversight prevents the allocation of a new page, allowing data to be written directly to the acquired page. By utilizing the splice system call, an attacker can obtain the page to overwrite. Subsequently, by exploiting the Dirty-Pipe vulnerability, it can perform almost arbitrary writes to files.


 
![pic_introduction-to-android-vulnerability-research.png](https://uploads.teamt5.org/upload/original/pic_introduction-to-android-vulnerability-research.png)
 

Dirty-Pipe itself has some limitations on arbitrary writing:

1. The file must have read and open permissions
2. Each write operation can only write 1 page size
3. The first byte of the page cannot be written.
4. None-regular files cannot be written

###Privilege escalation in the Linux system
Using the vulnerability we can almost achieve arbitrary writing on read-only files, it can write to any file that can be open-read. The privilege escalation method in the Linux system is simpler than in the Android system.

- Find the program with SUID flag as the target, such as `/usr/bin/sudo`. Overwrite the entry point of the SUID binary to the address of the shellcode after that it will spawn the shell with root privileges.

 
####Reference
- https://starlabs.sg/blog/2023/06-the-old-the-new-and-the-bypass-one-clickopen-redirect-to-own-samsung-s22-at-pwn2own-2022/
- https://hulkvision.github.io/blog/post1/
- https://dirtypipe.cm4all.com/

 
>TeamT5 specializes in cyber threat research and provides an endpoint detection and response (EDR) solution - ThreatSonar, which effectively detects and prevents enterprise system vulnerabilities from being abused by malicious parties and encountering cybersecurity attacks.
>
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences.
>
>For vulnerability research and endpoint protection inquiries, please contact us at [https://teamt5.org/en/request-information/](https://teamt5.org/en/request-information/?utm_source=blogs&utm_medium=website)

Introduction to Android Vulnerability Research

Technical Analysis

>從 2021 年起，由 TeamT5 主辦、專為學生打造的資安職場訓練營隊！
>營隊課程將以**實務操作**為主，帶領同學一步步解析第一線資安研究員的日常任務。讓同學能快速學習，了解每個資安工作角色的具體工作內容，進而找到適合自己的位置唷！

 

我們是 TeamT5 杜浦數位安全，專精**網路惡意入侵行為分析**與**漏洞安全研究**，為頂尖資安威脅研究團隊。

我們即將在明年（2025）寒假期間舉行五天的 TeamT5 Security Camp 資安培訓營，將帶著大家透過一系列的完整課程，快速了解每一個資安職位的工作內容。更透過導師制度，讓大家不僅可以從中學習資安技術，更能接觸真實的實務案例！

 

## 資安培訓營內容
五天的 Security Camp 資安培訓營，你將接觸到：
- 追蹤威脅情資的攻擊脈絡：從樣本分析到追查惡意攻擊族群
- 資安事件調查起手式：在受害環境中查找蛛絲馬跡
- 與系統底層一日邂逅：從程式逆向到撰寫外掛
- 漏洞挖掘的深入體驗：漏洞研究員的樸實無華與快樂

 

## 上課日期與時間
- 上課日期：2025年1月7日（二）、1月8日（三）、1月9日（四）、1月10日（五），及1月16日（四），合計共五天（皆需實體到場）
- 上課時間：10:00 - 12:30、14:00 - 17:30

 

## 報名資格與費用
- 報名資格：國內大專院校、碩士生，對資訊安全有基礎能力之在學生（**須通過報名審核**）
- 活動費用：**全程參與者完全免費**！（無遲到、早退情形；需繳交保證金）

 

## 徵選方式
即日起至 2024/11/22（五）， 請填寫表單，索取筆試題目

筆試題目索取表單：[連結](https://docs.google.com/forms/d/e/1FAIpQLSeR1aE36m5TTGKcFWTgSsDFYZscV2l_JwgIedYcnvch7QuC0g/viewform)

## 完整徵選日程
- 即日起至 2024/11/22（五）: 開放索取筆試題目表單＆每日題目寄出
- 2024/11/24（日）: 題目作答繳交截止日
- 2024/12/06（五）: 錄取通知寄出
- 2024/12/20（五）: 備取通知寄出

 

## 注意事項
- 較晚填寫題目索取表單者，將依序寄送題目
- 錄取通知實際日期，依報名狀況彈性調整
- 本活動主辦單位保有最後修改、變更、活動解釋，及取消本活動之權利。

 

## 活動諮詢窗口
若有任何問題，歡迎來信 camp@teamt5.org

 

![pic_teamt5-security-camp-2025-info.png](https://uploads.teamt5.org/upload/original/pic_teamt5-security-camp-2025-info.png)

第五屆 2025 TeamT5 Security Camp 資安培訓營 開始招生! 

Events

>TeamT5がNHKにインタビューを実施。インタビューは情報操作について。これはインタビューの抜粋です。[全文はここからお読みいただけます](https://www3.nhk.or.jp/news/html/20240920/k10014585911000.html)。

リサーチャーのひとりが、旧ツイッター、Xに不思議な投稿を見つけた。投稿にはURL。その先に飛ぶと、ある文書がダウンロードできるようになっていた。

中国の企業から流出したとみられることは、すぐにわかった。

上海に本社を置くサイバーセキュリティー企業「i-SOON」だった。中国当局と連携して世界でサイバー攻撃を展開しているのではないかと、T5がかねてからマークしていた企業のひとつだった。

文書は大量にあり、その内容は驚くべきものだった。

ハッキングなどのサイバー攻撃に使えるセキュリティー製品の技術書や取引先とみられる一覧表。海外の組織などから盗み取ったと見られるデータのリスト。そして、3年に及ぶ社内チャットの記録など、合わせて577点に上った。

TEAM T5 張哲誠さん：「中国のサイバーセキュリティー企業からこれほど多くの内部資料が流出したのは初めてです。中国政府と民間企業の関係を理解する上で、近年で最も重要な文書です」

 
 
>TeamT5 は、20 年以上の実績を持つ世界クラスのサイバーセキュリティアナリストで構成されています。 地理的・文化的利点を活用し、当社はアジア太平洋地域のサイバー攻撃者について最もよく理解しています。
>
>精確な脅威インテリジェンスと独自のエンドポイント脅威ハンティング技術により、サイバースパイ活動やランサムウェア対策のサイバーセキュリティソリューションを提供します。米国、日本、台湾の政府機関、金融、テクノロジー、電気通信、情報セキュリティサービスプロバイダーなど、各業界のお客様にご利用頂いており、機密文書の保護やサイバー攻撃の遮断を継続的に行っています。
>[会社概要](https://teamt5.org/jp/about-us/?utm_source=news&utm_medium=website)

TeamT5がNHKのインタビューを受ける

> 本公司杜浦數位安全(TeamT5)接受[NHK採訪]((https://www3.nhk.or.jp/news/html/20240920/k10014585911000.html)。)，該次採訪獲得台灣媒體進一步報導，本篇節錄中央廣播電台，完整報導請見[此連結](https://www.rti.org.tw/news/view/id/2224778)

NHK採訪了發現外流文件的台灣情資研究機構杜浦數位安全(TeamT5)。他們在社群媒體X上發現了一個神秘的URL，認為是攻擊者或者洩露的人額外創造出來的一個帳號，打開後發現的577份文件，包含了大量用於網路攻擊的技術訊息，像是能入侵微軟和谷歌電子郵件信箱的工具，以及能遠程操控智慧型手機的技術等。......

 
 

>TeamT5 杜浦數位安全專精於亞太地區網路威脅研究，長期研究網路攻擊，追蹤攻擊者，專精類別如進階持續性攻擊(APT)、勒索軟體。我們以精準的威脅情資與獨特的端點威脅狩獵技術，提供反制網路間諜、勒索軟體之資安解決方案。客戶來自美國、日本、臺灣，產業別涵蓋政府機關、金融、科技、電信、資安服務提供商，持續保護機密文件，阻斷網路攻擊。
>更多公司介紹請參考[關於我們](https://teamt5.org/tw/about-us/?utm_source=news&utm_medium=website)

[中央廣播電台] NHK追溯安洵外洩文件 探討中國認知戰真相

Japan NHK's documentary reveals the shady story of China's "cognitive warfare". And TeamT5, APAC threat intelligence leading brand from Taiwan, discover this information. It noticed the anomaly as early as 2021 and continued to monitor and reveal the truth.

- In February this year, i-Soon leaked information. This Shanghai-based cybersecurity company has long been labeled by TeamT5 as one of the organizations that may cooperate with the Chinese government and participate in global cyber attacks. The TeamT5 threat intelligence team traced a mysterious URL on social media.

- NHK’s documentary "Tracking China's Leaked Documents" took the reporter half a year to visit 7 countries and conduct in-depth tracking and analysis of these 577 leaked documents. They reveal the shocking story of the Chinese government, military and civilians working together to carry out cyber attacks and "cognitive warfare".

 

👉NHK’s report: https://www3.nhk.or.jp/news/html/20240920/k10014585911000.html

TeamT5 conducts an interview with NHK

News

The biggest information security conference in Japan, [CODE BLUE 2024](https://codeblue.jp/), will be held in Tokyo on November 14-15. TeamT5, with its Taiwan headquarter & Japan subsidiary, is proud to sponsor and participate in this Asia top international cybersecurity event.

This year, our cyber threat analysts will share their latest study - “China’s Evolving Playbook: The Combination of Hack-and-Leak and Influence Operations”.

See below for highlights of our events at CODE BLUE 2024.

 

##China’s Evolving Playbook: The Combination of Hack-and-Leak and Influence Operations
- **Time** : 11 / 15 (Wed.) 11:30 – 12:10
- **Presented by** : Li-an, Huang (Security Researcher) & Chih-yun, Huang (Security Researcher)

As we approach the largest election year in history, 2024 is already shadowed by China’s influence operations (IO) aiming to destabilize the democratic systems. Since 2023, Chinese threat actors have launched multiple IO campaigns targeting elections, including an evolving tactic that merges the hack-and-leak with IO campaigns.
In the first part of the presentation, we will introduce Chinese threat actors’ newly developed tactics, specifically the combination of hack-and-leak tactics with IO campaigns. We will elaborate on how China learned and advanced Russia’s playbook to influence the election with asserted leaked documents within our real-world case study from the 2024 Taiwan presidential election.

At the same time, the proliferation of generative artificial intelligence (AI) technology has enhanced threat actors’ capability. In the second part of the presentation, we will demonstrate how Chinese threat actors apply AI for such hack-and-leak and IO campaigns. The integration of AI, hack-and-leak, and IO allows the threat actors to create disinformation that targets broader audiences with ease.

As billions of people are heading to vote in the rest of 2024, including the critical U.S. presidential election in November, the stakes have never been higher. Alarmingly, with the enhanced capability, Chinese threat actors have expanded their target scope from presidential candidates to include legislators. The expansion serves as a dire warning as individual legislators often lack the resources to defend against influence operations. We will conclude the presentation by providing mitigation strategies and policy recommendations aiming to counter the threat at an early stage.

 

##What is CODE BLUE?
CODE BLUE is Japan's largest international information security conference, which aims to contribute to a better Internet world by connecting people through CODE (technology), beyond and across the BLUE (oceans). Every year, the world's top-class specialists and researchers gather together to share their latest findings and give cutting-edge talks. It is a place for all participants to exchange information and collaborate to respond to and solve information security problems.

More information on [CODE BLUE Official Website](https://codeblue.jp/2024/en/).

 

*Image courtesy of CODE BLUE.

【TeamT5 x CODE BLUE 2024】Because Security Matters

日本最大的資訊安全會議 [CODE BLUE 2024](https://codeblue.jp/) 將於 11 月 14 日至 15 日在日本東京舉辦。 TeamT5 台灣總部和日本子公司很榮幸能夠贊助和參與這一亞洲頂級國際資安盛會。

今年，我們的資安威脅分析師將分享他們的最新研究 – 「中國持續演進的攻擊策略：結合駭侵-洩密與資訊戰的手法（China’s Evolving Playbook: The Combination of Hack-and-Leak and Influence Operations）」。

請參閱下文，了解我們將於 CODE BLUE 2024 帶來的研究分享。

 

##中國持續演進的攻擊策略：結合駭侵-洩密與資訊戰的手法(China’s Evolving Playbook: The Combination of Hack-and-Leak and Influence Operations)
- **時間** : 11月15(週三) 11:30 - 12:10
- **講者** : Li-an, Huang（威脅情資分析師）& Chih-yun, Huang（威脅情資分析師）

隨著史上規模最大的選舉年度來臨，2024 年已被中國旨在破壞民主制度穩定的影響力行動所籠罩。自 2023 年以來，中國威脅行為者發起了多次針對選舉的資訊戰（Influence Operations），其中包括一種將駭侵-洩密與資訊戰相結合並不斷發展的策略。

在演講的第一部分，我們將介紹中國威脅行為者新開發的策略，特別是駭客洩漏策略與資訊戰的結合。我們將在 2024 年台灣總統選舉的真實案例研究中，詳細闡述中國如何學習和推動俄羅斯的策略，利用所謂的洩漏文件來影響選舉。

同時，生成式人工智慧（AI）技術的擴散增強了威脅行為者的能力。因此在演講的第二部分，我們將展示中國威脅行為者如何將人工智慧應用於此類駭客攻擊和資訊戰活動。人工智慧、駭客攻擊和資訊輸入的結合使威脅行為者能夠輕鬆地製造針對更廣泛受眾的虛假資訊。

隨著數十億人將在 2024 年餘下時間投票，包括 11 月至關重要的美國總統選舉，賭注從未如此之高。令人擔憂的是，隨著能力的增強，中國威脅行為者已將目標範圍從總統候選人擴大到國會議員。這種擴張是一個可怕的警告，因為個別國會議員往往缺乏抵禦資訊戰的資源。

演講結尾，我們將提供早期應對威脅的緩解策略和政策建議。

 

##資安會議 Code Blue 介紹
CODE BLUE 是日本最大的國際資安研討討會，旨在通過 CODE（技術）跨越 BLUE（海洋）將人們聯繫起來，為更美好的網路世界做出貢獻。 每年，世界頂級專家和研究人員齊聚一堂，分享最新發現並進行技術演講。 它是所有參與者交流資訊、合作資安事件應變和解決資訊安全問題的殿堂。

更多資訊，請參考 [CODE BLUE 官網](https://codeblue.jp/2024/en/)。

 

*圖片來源: CODE BLUE

TeamT5 參與 CODE BLUE 2024

アジア太平洋地域でトップクラスのサイバー脅威インテリジェンスとエンドポイント検出応答 (EDR) ソリューションを提供する TeamT5 は、11月14日(木)から15日(金)に開催される[CODE BLUE 2024](https://codeblue.jp/)に参加いたします。


また、今年度は弊社のサイバー脅威アナリスト2名が登壇し、最新の研究結果を発表いたします。

## タイトル：「進化する中国の戦術：ハック・アンド・リークと影響力工作とのコンビネーション」
- 時間：11月15日(金)11:30 - 12:10
- 会場：Track1(HALL B)
- 講演者： 
TeamT5サイバー脅威アナリスト 
リアン・ホアン- Li-an Huang、チーユン・ホアン- Chih-yun Huang 

- 概要：

2024年は史上最大の選挙の年を迎えようとしており、すでに中国の影響力工作（IO：Infulence Operations）が民主主義システムを不安定化させようとしている影を落としている。2023年以降、中国の脅威アクターは複数のIOキャンペーンを選挙を標的にして展開しており、その中でも進化した手法として、ハック・アンド・リーク、そしてIOキャンペーンを組み合わせた戦術が見られるようになった。

講演の前半では、中国の脅威アクターが開発した新しい戦術、特にハック・アンド・リークとIOキャンペーンの統合について紹介する。2024年の台湾大統領選挙における実際の事例を基に、中国がいかにしてロシアの戦術を学び、流出したとされる文書を利用して選挙に影響を与える技術を発展させたかを詳しく説明する。
同時に、生成AI技術の急速な普及が脅威アクターの能力を強化している。

講演の後半では、中国の脅威アクターがどのようにAIを活用して、ハック・アンド・リーク、そしてIOキャンペーンを展開しているかを実演する。AI、ハック・アンド・リーク、そしてIOを統合することで、脅威アクターはより幅広い対象に対して容易に偽情報（ディスインフォメーション）を流布できるようになっている。

2024年の残りの期間で、数十億の人々が投票に向かう中、特に11月に行われる米国大統領選挙が控えているため、その影響は非常に大きい。驚くべきことに、強化された能力を持つ中国の脅威アクターは、標的を大統領候補者から議員にまで拡大している。この拡大は、特に個々の議員が影響工作に対抗するための資源を欠く場合に、重大な警告となる。講演の最後には、この脅威に早期に対処するための緩和策や政策提言を提示し、結論とする。

 

TeamT5は、脅威インテリジェンスこそがサイバー防御の要であると考え、企業がサイバー攻撃を予測し、事前に防御戦略を展開できるよう、行動指向でローカライズされたインテリジェンスを提供します。

是非、この機会に弊社と脅威インテリジェンスについの理解を深めていただければ幸いです！

 

##CODE BLUE 2024 概要
世界トップクラスのサイバーセキュリティ専門家による国際会議です。本会議はベンダー中立の立場から、欧米の著名な研究者による最新の研究成果を共有するとともに、日本をはじめとするアジア各国の優れた若手研究者を発掘し、その研究成果を世界へと発信しています。2013年度の開催以来、こうした取組みを積み重ねることで国内外のサイバー・セキュリティ・コミュニティから厚い信頼を得てきました。

 

- 会期：2024年11月14日(木)～11月15日(金)
- 主催：CODE BLUE実行委員会
- 会場：ベルサール高田馬場（住友不動産新宿ガーデンタワーB2・1F）
- 詳細はこちら：https://codeblue.jp/2024/

TeamT5 はCODE BLUE 2024に参加いたします。

隨著網路攻擊日益猖獗，企業面臨的資安挑戰也愈加嚴峻。為了幫助企業更好地應對這些資安挑戰，TeamT5 杜浦數位安全誠摯邀請您參加資安研討會。
本次研討會將匯集各領域資安專家，分享對於最新網路攻擊、資安威脅的深刻見解與防禦策略，幫助企業化被動為主動，預測風險並防範未然，杜絕惡意網路威脅，實現精準資安防禦。

>**2024 研討會特別活動**：前 20 位報名者可免費體驗暗網觀落陰活動，為您檢測帳號密碼是否暴露於威脅之中！

歡迎各個專業領袖及關心資訊安全的專業人士們一同參與，共同提升企業資訊安全。超前部屬資安，乃能趨吉避凶、消災解厄！想深入瞭解資安的您千萬不能錯過～

 

## 活動資訊
- **日期**：2024 年 9 月 13 日 (五) 
- **時間**：13:30 - 17:00（13:00 開始報到）
- **地點**：高雄林皇宮 柏悅廳（高雄市鼓山區博愛二路99號2樓）

 

## 報名網址
https://reurl.cc/341O19

 

##活動議程
![pic_kaohsiung-seminar-202409.jpg](https://uploads.teamt5.org/upload/original/pic_kaohsiung-seminar-202409.jpg)

 

##注意事項
- 報名截止日期為 2024年 9 月 4 日（三）
- 主辦單位保留變更議程順序、內容及相關事項之權利，不再另行通知。
- 基於場地限制等因素，主辦單位將進行報名資格審核，將於09 月06日 (五) 前以電子郵件方式寄發含有報到編號及QRCode的「報到通知」至您的電子信箱，以示您的出席資格。
- 活動當天憑 QR Code 報到入場，您可以行動裝置或列印出示有 QR Code 的【報名成功確認函】，接待人員將協助您進行報到程序。

情資驅動資安防禦

產品

Designed for APT & Ransomware Protection

An Engine to Hunt down Intruders

A Portal to See Through the Chaos

量身打造企業防駭計畫

部落格

漏洞修補絕招：以 TeamT5 解決方案為例

資安事件應變處理：從基礎概念到實務處理

資安事件是什麼？如何處理、應變？

Android 漏洞研究介紹

最新消息

第五屆 2025 TeamT5 Security Camp 資安培訓營開始招生!

[中央廣播電台] NHK追溯安洵外洩文件探討中國認知戰真相

TeamT5 參與 CODE BLUE 2024

9/13 (五) 「神機妙算料事準，洞悉威脅守安全」資安超前部署論壇 (高雄)

情資驅動資安防禦

Designed for APT & Ransomware Protection

An Engine to Hunt down Intruders

A Portal to See Through the Chaos

量身打造企業防駭計畫

部落格

漏洞修補絕招：以 TeamT5 解決方案為例

資安事件應變處理：從基礎概念到實務處理

資安事件是什麼？如何處理、應變？

Android 漏洞研究介紹

最新消息

第五屆 2025 TeamT5 Security Camp 資安培訓營 開始招生!

[中央廣播電台] NHK追溯安洵外洩文件 探討中國認知戰真相

TeamT5 參與 CODE BLUE 2024

9/13 (五) 「神機妙算料事準，洞悉威脅守安全」資安超前部署論壇 (高雄)

第五屆 2025 TeamT5 Security Camp 資安培訓營開始招生!

[中央廣播電台] NHK追溯安洵外洩文件探討中國認知戰真相