《資安新聞周報》陳怡樺:躋身電動車大國,台灣要搞懂這三件事!/科技大廠頻傳遭駭 資安風險成企業新挑戰 /只刪App沒用!未解除訂閱APP照樣扣款

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

資安新聞精選

這張圖片的 alt 屬性值為空,它的檔案名稱為 news-red-TV-1024x683.png

VLSI國際研討會盛大登場 「2021 ERSO Award」三位得獎人揭曉 yam蕃薯藤

美國第二大汽車保險業者Geico官網含漏洞,允許駭客竊取客戶駕照號碼   iThome

趨勢科技Vision One在MITRE ATT&CK評測中偵測到96%攻擊步驟          資安人

Fujitsu與趨勢科技共同展示企業5G網路防護解決方案  電子時報

科技大廠頻傳遭駭 資安風險成企業新挑戰       經濟日報網

專訪/趨勢科技陳怡樺:躋身電動車大國,台灣要搞懂這三件事!          遠見雜誌網

詐騙老梗又騙倒高官 NCC副主委損失358萬        LineToday

騙很大!他花2000元網購「鋼鐵人頭盔」 開箱怒爆粗口:被薩諾斯打凹的限定版     民視新聞網

多張 MacBook 設計圖被外流!蘋果遭勒索軟體 REvil 盯上 自由時報電子報

廣達遭駭客攻擊勒索 調查局追查那些客戶機密被竊     台灣蘋果日報網

涉竊兒童個資 TikTok恐賠天價   工商時報電子報

國際超大型積體電路技術研討會登場 聚焦AI運算 中央通訊社

Zoom Clubhouse等中國軟體 陷資料送中風險      台灣蘋果日報網

中國駭客攻擊頻傳,日本稱 200 家企業遭鎖定       科技新報網

多達10萬個網站被安裝木馬程式(RAT),駭客甚至利用PDF檔案滲透          iThome

網購設備想投資「挖礦」遭坑殺 77萬血本無歸      自由時報電子報

只刪App沒用!未解除訂閱APP照樣扣款 冤枉錢竟逼近4億美金          tvbs新聞網

BBC揭台灣「綠色乖乖」神奇用法 網友:國家機密被發現了! 台灣蘋果日報網

企業網站聯繫表單遭到濫用!攻擊者以圖片盜用名義誘騙管理者下載惡意程式IcedID iThome

「Wreck」漏洞來襲! 預估破億台 IoT 裝置有安全風險        科技新報網

遭駭 Exchange 伺服器成QuickCPU惡意挖礦程式跳板   資安人

臉書新功能允許用戶將貼文內容匯入Google、Wordpress       iThome

Clubhouse退燒?臉書、微軟宣布新服務,搶當語音巨獸!  遠見雜誌網

臉書補了可讓駭客刪除直播影片的漏洞     iThome

中國盜賣個資猖獗!上億人隱私在暗網、社交平台外洩          新頭殼

PC-cillin 2021 雲端版|多裝置保護網頁瀏覽、隱私與資料安全     比價王

駭客利用Telegram頻道散布惡意軟體HackBoss,來洗劫受害人加密貨幣錢包          iThome

Codecov被駭,殃及數百家企業客戶及IBM等科技公司         iThome

中國駭客利用VPN裝置漏洞鎖定美國國防產業展開攻擊         iThome

微軟Edge、Firefox也暫不加入Google FLoC       iThome

中華電攻企業專網 組行動PC聯盟     中央通訊社

VLSI研討會登場!聚焦AI晶片.記憶體發展 非凡新聞網

反制中共威脅 國安局將成立大數據資料庫       中央通訊社

智慧工廠資安問題複雜 IIoT、邊緣運算皆為關鍵因子     電子時報

Microsoft Edge 推出兒童模式,讓孩子擁有更安全的上網環境       電腦王阿達

台大醫院獲微軟贊助,助 COVID-19 患者基因分析研究 科技新報網

Google Project Zero更新漏洞揭露政策,提供30天的修補緩衝期           iThome

Chrome 90問世:以HTTPS作為預設,嵌入隱私沙箱控制      iThome

歐洲商會:台徵才市場反彈 科技業加薪上看15%   自由時報電子報

漏洞揭露 視訊會議軟體 Pwn2Own Pwn2Own 2021揭露Zoom重大RCE漏洞 iThome電腦報周刊

Kubernetes GO函式庫漏洞可引發DoS攻擊       iThome

北韓駭客Lazarus鎖定電子商城發動網站側錄攻擊,目標是竊取加密貨幣     iThome

個人資料自主運用 國發會MyData平台正式上線    中央通訊社

臉書監察委員會開放臉書與IG用戶上訴未被刪除的內容        iThome

Chromium第二項漏洞又有概念驗證攻擊程式公布  iThome

針對美國報稅季的網釣攻擊擴大,利用Typeform假冒退稅文件,欺騙受害者登入,藉此收集受害者資料。     iThome

卡普空:老舊備援VPN引發去年勒索軟體及資料外洩事件    iThome

愛爾蘭正式對臉書5.3億資料外洩啟動GDPR調查  iThome

2016年是誰幫FBI破解iPhone?是澳洲的Azimuth Security    iThome


繼續閱讀

趨勢科技協助逮捕 Egregor 勒索病毒犯罪集團

三名據稱是 Egregor  勒索病毒 Ransomware (勒索軟體/綁架病毒)犯罪集團成員的嫌犯,二月在法國與烏克蘭政府聯合執行的一項行動當中遭到逮捕。這項逮捕行動是公私部門合作的共同成果,趨勢科技有幸參與其中。

Egregor將勒索病毒銷售或出租給犯罪集團


Egregor 勒索病毒從 2020 年 9 月首次現身以來已發動過多起針對零售業人力資源服務及其他企業機構的重大攻擊。該集團採用所謂勒索病毒服務 (Ransomware-as-a-service,簡稱 RaaS) 的經營模式,將勒索病毒銷售或出租給其他犯罪集團使用,如此一來,即使是經驗較為不足的犯罪集團也能發動勒索病毒攻擊。Egregor 跟許多知名的勒索病毒一樣採取「雙重勒索」的手法,一方面將受害者的資料加密,另一方面威脅受害者若不支付贖金就將其資料外流。

此勒索病毒通常經由一些遠端存取木馬程式 (如 QAKBOT) 來散布。此外,也會經由含有惡意附件的網路釣魚郵件,或經由遠端桌面協定 (RDP) 或虛擬私人網路 (VPN) 的攻擊漏洞來散布。

繼續閱讀

趨勢科技在MITRE Engenuity ATT&CK® Evaluations 嚴格考驗下提供絕佳攻擊防護評估

趨勢科技卓越的威脅偵測及回應平台在精密複雜的模擬測試當中表現優異


【2021 年 4 月 21 日,台北訊】 全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼:4704) 在資安研究機構 MITRE Engenuity 最新的 ATT&CK Evaluations 測試當中取得優異成績。在這項模擬兩大持續性滲透攻擊 (APT) 駭客集團手法的測試當中,趨勢科技 Trend Micro Vision OneTM 平台快速偵測到 96% 的攻擊步驟。

有別於其他產業機構大多測試產品偵測及防範各類惡意程式樣本的作法,MITRE Engenuity 的 ATT&CK Evaluations 測試專門評估資安解決方案是否具備偵測各種已知惡意行為目標式攻擊的能力,這樣的測試方法更貼近真實世界常見的攻擊案例。MITRE Engenuity 今年的模擬測試主要是針對知名駭客團體 Carbanak 和 FIN7 的攻擊手法。

趨勢科技網路資安副總裁 Greg Young 表示:「長久以來,資安產品都在偵測駭客攻擊所使用的工具,但 MITRE Engenuity 的作法卻是要辨識駭客的攻擊模式,儘管他們使用的工具各不相同。趨勢科技能夠在這樣的第三方獨立測試當中取得優異成績 (96% 可視性) 著實讓人欣慰,而我們在這方面的表現也確實相當優異,尤其該項測試是專門模擬全球級兩大駭客集團的攻擊技巧,更是難能可貴。MITRE ATT&CK 測試正如同它所模擬的攻擊技巧一樣非常複雜。所以 ATT&CK 不單只是一項測試,其更大的作用是可以當成資安營運中心 (SOC) 日常的教戰準則。」

今年的測試還模擬了兩起資料外洩攻擊,一起是在飯店,另一起位於銀行,測試模擬一些典型的 APT 攻擊手法,例如:權限提升、登入憑證竊取、橫向移動,以及數據外洩。

Trend Micro Vision One 在測試當中表現優異:

繼續閱讀

《資安漫畫》公司新人上完必上的資安講習課後…

你的員工是否會陷入網路釣魚騙局?透過釣魚郵件,具有說服力的社交工程攻擊可能導致敏感訊息洩露,並可能導致巨大的財務損失。 網路釣魚電子郵件對企業構成嚴重威脅,他們導致 94% 的勒索軟體和 132,000 美元的商業電子郵件詐騙事件。
貴單位員工是安全策略中最薄弱的環節嗎?

繼續閱讀

資安基礎觀念:採用 RASP (執行時期應用程式自我防護) 來保護無伺服器與容器應用程式

近年來,容器與無伺服器技術的需求大增。根據市場研究顧問機構指出,全球容器市場規模預計將從 2018 年的 12 億美元成長至 2023 年的 49.8 億美元,而無伺服器架構也將 從 2020 年的 76 億美元成長至 2025 年的 211 億美元。企業對容器與無伺服器技術的需求之所以成長,原因在於它們能為企業提供開發和部署應用程式時所需的擴充性、效率及成本效益。

然而,如同任何其他新興技術一樣,容器與無伺服器技術對於資安威脅和風險也同樣無法倖免。駭客為了增加受害者,隨時都在擴大攻擊範圍,因此遲早會針對這些技術開發出各式各樣的攻擊手法,並增加攻擊頻率。在這樣的情況下,企業該如何強化這類應用程式的安全以防範潛在的攻擊?

本文將探討開發人員必須知道的一些資安考量,以及如何利用所謂的執行時期應用程式自我防護 (RASP) 將資安整合至執行時期的應用程式,為容器與無伺服器應用程式提供最佳的防護。

繼續閱讀