趨勢科技 TrendMicro | 資安趨勢部落格

「你的IG 帳號出現非法登入活動」一點選帳號就被盜!

2019 年 09 月 11 日2022 年 11 月 23 日趨勢科技 TrendMicro

雙因子身份認證（2FA）早已成為使用者提升網路帳號安全一個非常簡便好用的方法。但即使這樣，雙重認證卻無法百分之百防範駭客的攻擊。事實上，網路犯罪集團正利用雙重認證通知簡訊來詐騙 Instagram 的使用者，目的是要騙取使用者的帳戶登入憑證。
[延伸閱讀：Machine learning-powered security technology can help stem the tide of credential phishing]

這起相當奸詐的網路釣魚攻擊會先發送一封電子郵件給受害者，告知其 Instagram 帳號出現非法登入活動。要受害者透過該連結至 Instagram 的網頁來確認其身分,點進去後，會導到看似IG 官網的釣魚網站,並假裝雙重認證要求輸入6 位數驗證碼。

網址與登入頁面露出馬腳!

儘管歹徒費盡心機地模仿了 Instagram 的網頁，但其網址還是透露出這是一起網路釣魚詐騙，因為該網址的頂層網域名稱為「.cf」，這是中非共和國的網域代碼, IG 正確官網網址：https://www.instagram.com。
還有另一個詐騙徵兆是該網頁並未提供透過 Facebook 登入的按鈕。但如果平常就不用 Facebook 帳號來登入 Instagram 的使用者，或許不會注意到這點。

繼續閱讀

網路釣魚進化成 AI 語音釣魚,偽裝老闆聲音騙走 770 萬台幣!

2019 年 09 月 09 日2019 年 09 月 10 日趨勢科技 TrendMicro

變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC) 是一種針對企業進行匯款支付詐騙的精密騙局,通常偽裝成公司內的高階經理或往來客戶的名義向公司員工寄出郵件，且網路犯罪者會事先準備好銀行帳號，再指示員工匯款。北市某貿易公司業務經理的電郵帳號遭仿冒，宣稱上游供應商要求變更匯款帳戶，逕行匯款，損失折合台幣近百萬元。
不過令人更憂心的是,針對企業的網路釣魚( Phishing ) 匯款詐騙已經進化到語音釣魚( Vishing )了!

《華爾街日報》報導，新型的詐騙透過 AI 合成的語音，一家英國能源公司主管以為接到德國總公司執行長來電，因為對方操著德國口音，語調也跟他熟悉的德國總公司 CEO 幾乎一樣，因此不疑有他，就把款項轉了過去, 被騙走了 22 萬歐元（近台幣 770 萬元）。

「媽.我被打了,快送錢來」這個台灣人熟悉的詐騙模式,會不會將來也被 AI 機器人取代，用更逼真的對話、語調進行更高效率的詐騙?

調查報告指出，從 2013 年到 2017 年，語音詐騙增長了 350%，其中每 638 個詐騙電話中就有一個是機器合成的。

繼續閱讀

藏在純文字檔的Jenkins外掛漏洞

2019 年 09 月 06 日2019 年 09 月 05 日趨勢科技 TrendMicro

Jenkins是一套被廣泛使用的開源自動化伺服器，讓 DevOps 開發人員可以有效率且可靠地建構、測試和部署軟體。為了讓 Jenkins 的模組化架構發揮最大作用，開發人員會用外掛程式來擴充核心功能，好擴展建構時的腳本功能。在本文撰寫時，Jenkins的外掛程式索引裡有超過1,600個社群貢獻的外掛程式。其中有些外掛程式會儲存未加密的純文字帳密。一旦發生資料外洩，網路犯罪分子就可能在組織不知情下取得這些資料。

Jenkins在7月11日和8月7日發布了資安通報，其中就包括了用純文字儲存帳密的問題。我們會在本文裡討論此漏洞會怎麼被利用以及受到影響的外掛程式：

CVE編號	外掛程式名稱	更新版本備註
CVE-2019-10348	Gogs	Gogs外掛程式版本1.0.15
CVE-2019-10350	Port Allocator	當前版本可能不安全。外掛程式可以使用。主動安全警告：用純文字格式儲存帳密
CVE-2019-10351	Caliper CI	主動安全警告：用純文字格式儲存帳密
CVE-2019-10378	TestLink	目前版本跟舊版本可能都不安全。主動安全警告：用純文字格式儲存帳密
CVE-2019-10385	eggPlant	外掛程式已停用

表1. Jenkins外掛程式出現的洩密漏洞

繼續閱讀

趨勢科技報告指出無檔案式威脅成長 265%

2019 年 09 月 05 日2019 年 09 月 06 日趨勢科技 TrendMicro

2019 年專為躲避傳統防護而設計的隱匿威脅，為資安防禦帶來了終極考驗

【2019年9月5日】全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 今日發表 2019 上半年資安總評報告，指出藉由無檔案方式來隱藏惡意活動的無檔案式攻擊數量突然暴增。光此一類別的威脅偵測數量就較 2018 上半年成長 265%。

截至目前為止，有多項 2019 年數據皆印證了趨勢科技去年的預測：駭客會越來越聰明，而且專挑投資報酬最大的企業及環境下手。

趨勢科技全球威脅通訊總監 Jon Clay 表示：「隨著商業技術與網路犯罪攻擊日益仰賴網路和智慧化，精密、隱匿的攻擊已成為今日網路資安威脅的主流。我們看到駭客處心積慮地利用針對性精密威脅來攻擊企業人員、流程及技術上的弱點。然而，企業的數位轉型與雲端移轉卻正不斷擴大與改變企業的受攻擊面。為了因應這樣的情勢演變，企業需要一家能夠結合專家與進階資安技術的資安夥伴來提升其偵測、交叉關聯、回應及矯正威脅的能力。」

繼續閱讀