資安趨勢部落格

回歸原點：為什麼需要更加安全的物聯網 ( IOT ) 開發流程?

2018 年 09 月 21 日2018 年 09 月 11 日 Trend Labs 趨勢科技全球技術支援與研發中心

物聯網（IoT ,Internet of Thing ）正在徹底地改變我們的生活和工作方式。我們可以看到企業的運作變得更加敏捷、高效也更加節省成本，同時一般消費者也在驚嘆著智慧家居、健康管理和連網汽車的神奇。只有一個重要的問題：這新基礎架構的大部分都是開放的，容易遭到攻擊和濫用。想保護它會需要這生態系內的所有人的努力。

而起點就是產品製造。

這也是為什麼我們在最近推出了一項新計劃，將我們在漏洞研究領域領先的專業知識用來幫助物聯網（IoT ,Internet of Thing ）廠商踏出應對安全威脅的第一步。

威脅無處不在

使用者感受到物聯網的安全問題最早是因為2016年的Mirai殭屍網路。駭客利用出廠預設帳密來進行掃描登入，輕鬆控制了數萬台裝置來形成殭屍網路，發動了有史以來最大的幾波分散式阻斷服務攻擊 (DDoS)攻擊，其中一起讓一些網路巨頭都暫時停止了運作。受害者仍然面臨著威脅，FBI最近發布警報通知關於路由器、無線電設備、Raspberry Pi、網路攝影機、監視攝影機、NAS設備甚至智慧車庫遙控器所會遭受到的威脅。

美國聯邦調查局的研究結果顯示這些裝置可能被加入殭屍網路用來進行強大的帳密填充（credential stuff）攻擊、點擊詐騙、垃圾郵件等惡意活動，同時也被用來模糊惡意流量的真正來源。而企業面臨著更多的威脅：不安全的端點可能被用來滲透企業網路，進行資料竊取或入侵破壞業務流程及工廠產出。繼續閱讀

趨勢科技第三屆 T-Brain AI 競賽結果出爐！成功挑戰保險產業AI新應用

2018 年 09 月 20 日2018 年 09 月 21 日 Trend Labs 趨勢科技全球技術支援與研發中心

保險商品複雜及續約難預測 冠軍隊伍總續約金額準確率竟高達近九成

第四屆競賽將開鑼，趨勢科技攜手雄獅旅遊，廣邀各路AI好手再戰不可能的任務

【2018年9月20日台北訊】全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 所舉辦的第三屆「T-Brain AI實戰吧」競賽由新安東京海上產險出題，以預測汽車險客戶其保險續約金額為題，提供近一年客戶特徵與實際續約金額等真實數據，讓參賽者透過AI技術進行分析，找出有效預測既有客戶續約金額的模型與方法。由於保險商品種類複雜，個別客戶因為事件而獲得賠償的頻率及次數不同，因此每筆保單所對應的資料數量多3000寡不一；參賽者必須整合不同型態的資料，才能精準訓練AI模型，大幅提升了本次挑戰難度。即使如此，本次賽事仍吸引495支隊伍報名參加，近800名好手一同接受挑戰，最終由ceshine-who隊伍奪得冠軍12萬獎金與趨勢科技預聘書，ceshine-who比賽期間共獲1477.674積分，總續約金額準確率高達近九成，表現優異，令人驚豔！透過本屆競賽，可預見在不久的將來，保險業將可以透過AI運算來協助預測新年度的續約保單收益，有效的將數位資產轉化為公司營運最佳利器。

「T-Brain AI實戰吧」計畫主持人趨勢科技全球資深研發副總周存貹表示：「T-Brain AI競賽至今已邁入第三屆，趨勢科技持續關注AI應用最新發展並鼓勵企業善用台灣AI人才能量。如今AI的應用領域正以我們想像不到的速度擴張，光是今年全球AI技術創造的商業價值預計將達到1.2兆美元，比去年增長70％^（註一）。我們正透過AI競賽發揮拋磚引玉的作用，吸引台灣更多人才與企業投入AI應用研究，並對AI商業化應用的未來保持高度好奇心且投身試驗。」

本屆出題者新安東京海上產險發言人呂文泉副總經理指出：「新安東京海上產險提供車險服務多年以來，為不斷推出創新商品與貼心服務，讓客戶最珍貴的財產擁有最心安的保障，多年來我們陸續透過各種嘗試與突破，期望為客戶帶來更好的服務去應對及轉嫁各項風險，因此在這股全球的AI的浪潮下，我們希望能夠思考如何運用AI為企業營運帶來助力。就企業運作的角度而言，海量的資訊除可提供經營決策的參考外，最重要的目的是希望藉由AI應用能提高客戶滿意度及提升服務效率；因此很高興這次有機會與趨勢科技合作共同出題，看見參賽者面對如此複雜的資料依然不屈不撓反覆運算，持續挑戰並且獲得相當優異的成果表現，實在是相當佩服，讓我們對AI在產險業的應用上更加有信心，也期待能藉以打造出具有人性溫度的客戶服務體驗，與客戶共創雙贏局面。」

第四屆「T-Brain AI實戰吧」即將開跑，並由台灣旅遊業領導品牌─雄獅旅遊接力出題，屆時雄獅旅遊將會提供去識別化的數據資料，並透過訂單成行率的預測來進行競賽，比賽預計10月22日開始報名，詳細的比賽規章將公佈於T-Brain AI實戰吧，邀請各路好手前來AI武林一較高下！

註一：Gartner Says Global Artificial Intelligence Business Value to Reach $1.2 Trillion in 2018 https://www.gartner.com/newsroom/id/3872933

Urpage 與 Bahamut、Confucius 及 Patchwork 等駭客集團的關聯性

2018 年 09 月 20 日2018 年 09 月 11 日 Trend Labs 趨勢科技全球技術支援與研發中心

趨勢科技隨時都在監控網路資安威脅情勢的發展，透過這樣的過程，我們就能進一步了解歹徒幕後的運作。這次我們深入追查了某個不知名的駭客集團與 Confucius、 Patchwork 及 Bahamut 等集團之間的可能關聯，看看他們之間有何相似之處。我們暫時將這個不知名的集團稱為「Urpage」。

Urpage 之所以引起我們注意，在於它攻擊的目標為一個烏爾都語與阿拉伯語專用的文書處理程式，叫做「InPage」。此外，歹徒也使用了一個 Delphi 後門元件 (這一點和 Confucius 及 Patchwork 相似)，並且使用了一個和 Bahamut 類似的惡意程式，正是這樣才會讓人覺得 Urpage 與上述幾個知名駭客團體有所關聯。在我們之前的一篇文章當中，我們已探討過 Confucius 和 Patchwork 之間共通的 Delphi 元件。也稍微提到 Urpage 和兩者之間有所關聯。這一次我們將深入研究 Urpage 與這幾個團體有何共通之處。

與 Bahamut 的關聯性

假冒網站

Bahamut 與 Urpage 之間的關聯，最明顯的就是後者有多個 Android 應用程式樣本的程式碼與 Bahamut 的程式相同，但卻連接至 Urpage 的幕後操縱 (C&C) 網站。而且某些 C&C 網站同時也是網路釣魚網站，專門引誘使用者下載這些應用程式。歹徒建立這些假冒網站來介紹這些應用程式並提供連結讓使用者至 Google Play 商店下載，例如「pikrpro.eu」這個惡意網站就是一例，見下圖：

還有另一個網站也是模仿得跟原本的網站很像，只有在標誌和頁面上方的選項稍有不同。當然，假冒網站當中的連結都已經換成指向惡意 Android 應用程式的網址。

繼續閱讀

薪資匯款帳號變成駭客銀行帳戶?!美國大學員工被竊逾600萬美元

2018 年 09 月 20 日2018 年 09 月 11 日 Trend Labs 趨勢科技全球技術支援與研發中心

美國司法部公告了一名奈及利亞公民因涉嫌合謀詐欺、電腦詐騙及嚴重身份竊盜而被定罪，他企圖用網路釣魚(Phishing)騙局來從數家美國大學的員工竊取超過600萬美元。

經過在喬治亞州亞特蘭大為期三天的審判之後，被告被判有罪，並將於2018年10月22日服刑。他的同黨在1月被判處三年零三個月的監禁。

他們從馬來西亞吉隆坡進行這起詐騙行動，發送了釣魚郵件給大學員工。在取得大學員工的帳號密碼後，他們將薪資單的匯款資訊變更為自己利用愛情詐騙（romance scam）取得的銀行帳戶。接著再將偷來的錢匯到國外。除了竊取薪資外，他們還進行假退稅申報，使用了從大學員工帳號所取得的W-2表(美國報稅表工資與稅務說明書,類似台灣的扣繳憑單)。

網路釣魚的力量

網路釣魚仍是最常見的網路犯罪技術。趨勢科技在最近偵測到一起網路釣魚詐騙，向目標受害者發送了超過13,000封的網路釣魚郵件。這波郵件活動使用了HTML附件檔。主要目標是加拿大皇家銀行的加州客戶。

網路釣魚也是變臉詐騙攻擊或稱為商務電子郵件入侵，簡稱 BEC)的主要組成部分，聯邦調查局稱這種詐騙造成了120億美元的損失，受害者遍佈各種規模的組織及個人。在6月，一群位在以色列從企業竊取1800萬歐元的BEC詐騙首腦在經過兩年的調查後落網。

防範網路釣魚和BEC詐騙

資安意識和適當的教育訓練可以協助個人和組織識別網路釣魚詐騙來避免成為這類攻擊的犧牲品。部署正確的安全解決方案 – 傳統防禦加上人工智慧（AI）和機器學習先進技術有助於強化對各種網路威脅的防禦。

趨勢科技的郵件安全產品使用了人工智慧（AI）和機器學習來增強對BEC詐騙、電子郵件帳號入侵（EAC）、網路釣魚和其他進階威脅的整體網路防禦。趨勢科技的防BEC詐騙技術結合了資安專家的知識與自我學習的數學模型，透過檢查行為因素和電子郵件意圖來識別假電子郵件。

新的寫作風格（Writing Style）DNA會利用AI基於過去電子郵件的寫作風格來識別使用者的DNA，將其與可疑的假郵件進行比較來偵測造假郵件。這功能最適用在使用入侵合法郵件帳號的BEC詐騙攻擊。當一封郵件疑似要欺騙使用者時，會將寫作風格與訓練過的AI模型進行比較，並發送警告給被冒用的寄件者、收件者和IT部門。從2018年6月開始，趨勢科技Cloud App Security for Microsoft Office 365和ScanMail Suite for Microsoft Exchange已經使用了此項新技術。

趨勢科技還推出了FraudBuster，它會分析電子郵件、簡訊及聊天訊息內容來判斷這是否可能是詐騙。如果使用者對訊息內容有任何疑問，建議使用這項免費工具來進行檢查。Fraudbuster還會提供收到詐騙訊息後該如何做的建議。它的目的是為了保護使用者免於落入愛情或稅務等詐騙的陷阱。

@原文出處：Phishing for Payroll: Nigerian National Convicted for Attempted Stealing of $6M+ via Phishing

《資安漫畫》更換新的智慧型手機有哪些要注意的事項?

2018 年 09 月 19 日2018 年 09 月 11 日 Trend Labs 趨勢科技全球技術支援與研發中心

☝Google帳號及Apple ID的設定

開啟智慧型手機電源，完成語言及Wi-Fi等的設定後，在Android裝置上會被要求輸入Google帳號，iPhone手機則是必須輸入登錄Apple ID帳號以便確認。使用Google帳號及Apple ID帳號時，Google及Apple為了提供消費者各項的服務會要求輸入帳號及密碼。

已持有Google帳號及Apple ID帳號的用戶，可延續使用此帳號，但在此為防止帳號被不肖第三方盜用,設定密碼是很重要的。使用社群網站服務時，必須使用經過本人認證的帳號及密碼來進行登錄，一旦在多數的社群網站服務上使用同一組密碼或易被猜測的傻瓜密碼，被破解的危險性增高。在裝置上使用帳號來登錄時，請務必設定一組讓難以推測的密碼。

參考：不駭怕? 英國國會議員與他人共用帳密是常態!

密碼安全提示問題竟讓小廣吃味了!

☝社群網站隱私設定

一旦拿到智慧型手機，每位用戶幾乎都會迫不及待地想使用Facebook Instagram、Twitter、LINE等SNS的社群網站。開始使用社群網站時必須留意的就是隱私權的設定了。為了不被其他不肖人士窺探個資請進行適當的隱私權設定，及限制個人自我簡介及貼文的公開對象。繼續閱讀