2016 年 5 月 – 資安趨勢部落格

HID門禁控制器的遠端管理漏洞威脅更新

2016 年 05 月 31 日2016 年 06 月 01 日趨勢科技 TrendMicro

你可能還記得，在2016年3月30日，我們的零時差計劃（ZDI）發表了一篇關於Rocky “HeadlessZeke” Lawshae與我們DVLabs團隊所發現漏洞的公告。這是HID VertX和Edge門禁控制器的遠端管理漏洞。如果遭受攻擊，此漏洞可能讓攻擊者完全控制系統。就實際狀況而言，這代表攻擊者可以取得送至門禁控制器系統的網路封包，有效地攻破系統並進行包括開鎖在內的動作。

幸運的是，廠商在趨勢科技披露時已經提供了修補程式給受影響的系統。

但因為趨勢科技的披露，我們已經看到有研究人員做出可用來找出有漏洞系統的概念證明(概念驗證)程式碼。

我們尚未知道是否有針對這些系統的攻擊出現。但概念證明程式碼的出現的確會使攻擊此漏洞的可能性增加：惡意分子可能會利用概念證明程式碼所提供的資訊來開發出有害或惡意的程式碼。

任何尚未更新此漏洞修復程式的HID VertX或Edge系統使用者都應該馬上進行部署。如果你是趨勢科技的TippingPoint客戶，在測試與部署HID VertX或Edge門禁系統修補程式前，可以透過2015年9月22日就提供的數位疫苗過濾器20820來獲得保護。

＠原文出處：Threat Update on Remote Root Vulnerability in HID Door Controllers作者：Christopher Budd（全球威脅交流）

ImageMagick 軟體出現漏洞，使用者可能上傳「中毒」的自拍照

2016 年 05 月 30 日2016 年 05 月 30 日趨勢科技 TrendMicro

根據一篇報導，知名的影像處理軟體 ImageMagick 被發現有個可能讓網站暴露於攻擊風險的漏洞。這項資安漏洞可能讓受感染的影像騙過網站伺服器而執行可蒐集資料或窺探使用者帳號的惡意程式碼。此漏洞將影響那些使用 ImageMagick 軟體以及那些允許使用者上傳影像的網站服務。

ImageMagick 是一專門來建立、編輯、合成及轉換影像的套裝軟體，一些社群媒體平台、部落格網站以及內容管理系統，都使用這套軟體來縮放或調整使用者上傳的影像。

ImageMagick 在一份聲明當中回應了這項報導：「我們最近接獲一些程式設計師通報的漏洞，這些漏洞可能讓駭客從遠端執行程式碼，或者在本地端電腦上產生檔案。」

此漏洞是由資安研究人員 Stewie 以及資安工程師 Nikolay Ermishkin 所共同發現。根據資安專家表示，雖然這項安全漏洞目前並無進一步的資訊，不過卻令人擔憂，因為在沒有修補程式可以降低損害的狀況下，該漏洞的細節已經廣為流傳。由於漏洞資訊已經曝光，資安專家也必須開始跟駭客展開賽跑，才能保障全球伺服器的安全，避免遭到駭客入侵。繼續閱讀

《資安新聞周報》遇上檔案被加密勒索別恐慌.免費解密工具來了/FBI：小心偽裝成USB充電器的盜錄裝置KeySweeper

2016 年 05 月 30 日2016 年 06 月 01 日趨勢科技TrendMicro

本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

遇上檔案被加密勒索別恐慌.免費解密工具來了…

》一般用戶》中小企業用戶》大型企業

台灣駭客隊伍HITCON遠征歐洲、率先得分暫居第一！ iSET 2011三立網站

手電筒應用程式顯示「你感染病毒導致電池損壞」是惡意廣告 iThome

情侶沙發親熱遭智慧型電視「偷錄上傳」自由時報電子報

高手漂白…駭客小子幹員來討教聯合新聞網

FBI：小心偽裝成USB充電器的盜錄裝置KeySweeper iThome 繼續閱讀

165公開新型態的電話詐欺

2016 年 05 月 27 日2016 年 05 月 30 日趨勢科技TrendMicro

165專線提醒民眾，透過電話行銷購買手機、平板電腦等3C產品或申辦門號時應謹慎小心，在優惠的行銷包裝之下，可能隱藏著品質不佳的產品及高額的電信費率，亦有可能因此使民眾的個資外洩，而成為受詐騙的高風險族群。如果民眾有購機或門號需求，宜前往門市洽詢，更能獲得詳細的3C產品資訊及費率。

常見的電話行銷手法如下：

繼續閱讀

Google 的「Project Abacus」計畫,將取代傳統 Android 以密碼登入的方式

2016 年 05 月 27 日2016 年 06 月 23 日趨勢科技 TrendMicro

Google 打算嘗試讓 Android 應用程式改用一種可取代傳統密碼的登入方式。根據報導，Google 的「Project Abacus」（算盤計畫）已在最後實驗階段，並且正在研發一套稱為「Trust Score」(信任分數) 的安全認證系統，該系統基本上將取代密碼或 PIN 碼的登入方式，改以生物測定資料和其他資訊為基礎。

在最近一次的 Google I/O 開發者大會上，Google 先進科技與計畫總裁 Daniel Kaufman 表示：「我們手上就握有一支內建各種感應器的手機，為何不能讓它直接認得我，這樣我就不需要密碼？我應該要直接就能做事才對。」他補充說：Abacus 的目標並非要一次就將密碼換掉，而是結合多種較不確定的指標來形成一種可檢驗的使用者的身分認證方法。Google 表示目前已在美國 28 個州、33 所大學進行實驗。

[延伸閱讀：Google Android 安全性報告]

新的 API 將提供給一些「非常大型的金融機構」進行測試，並且將根據六月期間所累積的信任分數 (Trust Score)，這些分數將根據使用者的打字速度和方式、講話聲音、位置、臉部辨識，以及是否接近熟悉的藍牙裝置與 WiFi 熱點而定。一般來說，危險性低的應用程式和基本的工具，應該不需要很高的信任分數就可執行，但一些敏感的應用程式，如：網路銀行和電子郵件網站，就需要較高的信任分數來登入。這套 Trust API 會在使用者的手機背景持續執行，以測量使用者的獨特習慣。Kaufman 表示：「我們希望能淘汰掉難用的雙重認證」，意指需要輸入密碼和 PIN 碼才能使用應用程式的麻煩。

[延伸閱讀：Android 歷年來的安全性功能]

Google 在 2014 年推出 Android Lollipop 作業系統時，就已在 Android 5.0 和後續版本內建了一個叫做「Smart Lock」的類似機制，讓使用者只要其智慧型手機在配對裝置的訊號範圍內就能自動解鎖裝置，一旦失去連線，裝置就自動上鎖，不過，Project Abacus 的作法是在背景持續執行以蒐集有關使用者的資料以累積信任分數。

原文出處： Google’s Project Abacus to Kill off traditional Android Password Logins)