如何保護你的社群媒體帳號?

最熱門的社群平台擁有數十億的使用者,而且這數字還在每年的增加中。Facebook、YouTube和Instagram等各領域的巨擘已經遠超過原本只是用來分享、娛樂和溝通的目的。現在企業將它們視為有用的廣告工具,而使用者也可以將分享內容當作職業。不僅如此,其他應用程式也會用主流社群媒體帳號來驗證使用者身份 – 你可以用Facebook或Twitter帳號來註冊各種應用程式和遊戲。而企業現在也經常在社群媒體上調查未來的員工,將其作為一種人格特質檢查。

FB 臉書 社群

根據一項最新的研究,因為社群平台的多樣用途,讓它們成為一般人每天會花費約116分鐘在上面的重要工具。由於它們的無所不在,並且連結了越來越多手機或其他設備上的應用程式,讓保護它們安全變得更加必要。

以下是提供給使用者和企業關於社群媒體管理的一些最佳做法。

保護你的個人社群媒體帳號

駭客可以拿入侵的帳號做什麼?

  1. 取得個人資料 – 透過社群媒體帳號可以找到購物帳號,甚至是銀行資訊
  2. 如果你的社群媒體帳號和你的工作電子郵件相連結,還可以用來連上企業網路,讓駭客有機會去入侵企業網路
  3.  竊取身份 – 帳號可以用來在另一個網站上註冊
  4. 寄威脅信給使用者 – 在極端的案例中,駭客可以用敏感資料來騷擾受害者

 

各家社群平台都具有你可以加以利用的安全功能。以下是五個保護個人帳號安全的一些建議:

  1. 關閉沒有在用的帳號
    被遺忘的社群媒體帳號可能會被入侵而不被注意。駭客可以利用來存取與其相連結的其他帳號,如你的電子郵件。
  2. 檢查有哪些應用程式連結到你的社群媒體
    你是否有用Facebook或Google帳號來登錄其他應用程式?評估這些連結是否必要。
  3. 建立良好的密碼使用習慣
    替你的每個社群媒體帳號設定不同的密碼,確保每個密碼都足夠複雜而不過於簡單。啟用雙因子認證(2FA)可以防止未經授權的使用者存取你的帳號。
  4. 保持行動應用程式在最新狀態
    確保自己使用最新版本的平台。安全修補程式可以保護你免於最新的已知威脅。
  5. 讓社群媒體帳號使用獨特的電子郵件
    如果可以的話,替社群媒體帳號建立專用的新電子郵件地址。這樣即使被盜用,駭客也無法存取有價值的資訊。

繼續閱讀

Google Play 再現惡意程式,Sockbot 可利用遭感染手機發動 DDoS 攻擊

最近 Google Play 商店上有 8 個被下載 60 萬至 260 萬次的應用程式,被發現感染了 Sockbot 惡意程式 (趨勢科技命名為 ANDROIDOS_TAPJOY.OPD)。此惡意程式不僅會暗中下載廣告幫歹徒賺錢,還會讓感染的裝置成為「Botnet傀儡殭屍網路」成員。

偽裝熱門遊戲《Minecraft: Pocket Edition》,宣稱可讓玩家自訂其角色造型

這批應用程式會偽裝成熱門遊戲《Minecraft: Pocket Edition》的修改程式,宣稱可讓玩家自訂其角色造型。不過,這些程式卻也會暗中幫歹徒賺取廣告費用。

[TrendLabs 資訊安全情報部落格:GhostClicker 廣告程式是如幽靈般的 Android 點閱詐騙程式]

根據資安研究人員表示,此應用程式會暗中連上歹徒的幕後操縱 (C&C) 伺服器 (經由連接埠 9001)。接著,C&C 伺服器會要求應用程式建立 Socket Secure (SOCKS) 通訊協定連線至 C&C 伺服器指定的 IP 位址及連接埠。連線建立之後,應用程式會再連上歹徒指定的另一個伺服器,該伺服器會提供一份廣告清單及相關資料 (如:廣告類型、螢幕大小)。然後,應用程式再經由 SOCKS 代理器 (Proxy) 連線到某個廣告伺服器去接收廣告。

研究人員發現 Sockbot 的機制如果進一步強化,就可以用來攻擊網路相關的漏洞。而且,憑著 Sockbot 挾持裝置的能力,被感染的裝置還可能被用來發動分散式阻斷服務攻擊 (DDoS)攻擊。 繼續閱讀

系統例行維修時間,竟成歹徒惡搞時機?

凡機器都需要定期維護,這不單可確保機器不會因正常磨耗而損壞,還可做一些日常的零件更新和檢查。越複雜的機器,維護的過程也就越仔細。
在維護過程中,人員通常會需要操作該機器以及所有連接的相關管理系統,舉例來說,抽水馬達會連接自來水供應管路,以及一個負責監控和調整水壓和流量的控制系統。在日常維護時,必須先暫停供水以及相關安全措施,或者切換至另一個模式來更新或修復零件。

2016 年YouBike大當機,原因是心生不滿員工利用維修時間惡搞

2016 年台北市發生了一起攻擊案例讓我們深刻了解到,維護期間很可能就是歹徒攻擊的黃金時期。根據媒體報導,一位心生不滿的員工利用日常維護的機會,在台北市 YouBike 管理系統上安裝了惡意程式。結果所有的 YouBike 都因而無法租借,導致該公司遭受 662,910 美元的損害與營業損失。這名不肖工程師目前已遭逮捕並由台中地檢署正式起訴。(相關中文報導)

四個維護期間會發生的潛在問題

維護期間除了可能完全解除安全措施之外 (此時就連應用程式控管與白名單機制這類最基本的防護都付之闕如),還有其他可能遭到利用的潛在問題:

  1. 當系統維護交由第三方廠商負責時,外人就能掌握系統的存取權限。委外維護人員很可能不會遵守企業平時所遵守的安全規範,也不受原本的流程所監督。
  2. 老舊機器的維護既缺乏效率也不安全。有些系統仍需使用 CD 甚至 3.5 吋軟碟來進行更新。而且人員必須帶著軟體到每一台端點上進行維護,因此這些系統更新既不頻繁,方法也很老舊。
  3. 某些系統老到根本無法更新,只因營運需要所以還撐著。印度有 70% 的 ATM 提款機仍在使用 Windows XP,這些提款機雖然仍可使用,但卻因為眾多漏洞的而容易遭到各式各樣的攻擊。
  4. 有些白名單機制並未考慮到系統維護的情況。有些白名單機制只有啟用和關閉兩種設定,因此當維護人員為了安裝程式而關閉這項功能時,等於讓系統卸下防禦。然而有些白名單機制卻會考慮到系統維護的需求,可以只開放系統維護時所需的權限,其他部分則不受影響。

繼續閱讀

WPA2 加密機制爆漏洞, 五招自保以防Wi-Fi 上網遭偷窺

最近,Wi-Fi 無線網路加密協定 WPA2 被揭露多項安全漏洞,據稱可能讓 Wi-Fi 無線裝置遭到所謂的「金鑰重新安裝攻擊」(Key Reinstallation AttaCK,簡稱 KRACK),是一種針對 WPA2 加密機制漏洞的概念驗證攻擊。KRACK 採用的是「篡改並重送加密交握訊息」的手法,也就是從系統和裝置在彼此通訊之前交換參數的流程下手。

 

 

WPA2 是藉由授權與加密機制來確保 Wi-Fi 裝置及硬體的通訊安全。KRACK 攻擊如果得逞,駭客就能偷窺裝置與 Wi-Fi 無線基地台之間的網路流量。

根據科技新聞網站 Ars Technica 表示,美國電腦緊急應變小組 (United States Computer Emergency Readiness Team,簡稱 US-CERT) 在針對某些機構發出的公告當中指出,這批漏洞是發生在雙方進行交握 (handshake) 以產生網路通訊加密金鑰的過程。此金鑰只要被重新傳送多次,未來就能重複使用,但該金鑰原本應該只能使用一次。

[延伸閱讀:公共 Wi-Fi 基地台安全嗎?]

根據 Ars Technica 的引述:「US-CERT 目前已掌握多個 WPA2 加密協定四向交握 (4-way handshake) 流程相關的金鑰管理漏洞。這些漏洞可能引發的問題包括:封包解密、封包轉遞、TCP 連線挾持、HTTP 內容注入…等等。請注意,由於這是通訊協定層次上的問題,因此所有或絕大部分正確實作該協定的裝置都受到影響。」

研究人員指出,有 41% 的 Android 裝置將受到 KRACK 攻擊手法的影響,而 Linux 系統也受到嚴重影響。此外 Apple、Windows、OpenBSD、MediaTek 以及 Linksys 的裝置也同樣受這批漏洞影響。以下是這批漏洞的 CVE 編號清單:

[延伸閱讀:BlueBorne:數十億裝置因藍牙漏洞而有遭駭客攻擊的危險]

發現這批漏洞的兩位研究員:Mathy Vanhoef 和 Frank Piessens 預定在 即將舉行的 ACM Conference on Computer and Communications Security (CCS) 研討會上發表其研究結果。此外,兩位研究員針對 WPA2 的安全性還有其他相關研究,目前正針對今年八月在 Black Hat Conference 駭客研討會上 展示 的成果做進一步的探討。該研究詳細說明 Wi-Fi 交握機制實作邏輯上的一些漏洞,以及可採取哪些應對措施。去年, 兩位研究員也曾發表一份研究報告指出 WPA2/802.11 群組金鑰可能如何遭到解密及濫用。

[資安指南:防範中間人 (MitM) 攻擊]

五招降低 Wi-Fi 網路與裝置遭到攻擊的危險

有鑑於這批漏洞的潛在影響,IT 系統管理員、資安人員及一般使用者最好採取一些最佳實務原則與並養成良好習慣來降低 Wi-Fi 網路與裝置遭到攻擊的危險: 繼續閱讀

前蘇聯國家的銀行遭受商業流程入侵(BPC)攻擊,損失約4,000萬美元

不管是大型銀行還是中小企業都可能會遭受商業流程入侵(BPC)攻擊。不過還是有辦法防範或減輕它所造成的影響….

 

金融機構是商業流程入侵(BPC)攻擊的主要目標之一,就以2016年的孟加拉銀行事件為例,這起利用銀行內部流程的複雜性攻擊導致了8,100萬美元被竊走。而在最近的另外一起事件中,商業流程入侵(BPC)攻擊了多家前蘇聯國家的銀行,造成約4,000萬美元的損失。

商業流程入侵(BPC)攻擊會惡意操弄正常的內部流程。在這些最新的攻擊中,攻擊者結合了現實中的詐騙以及網路攻擊。第一部分是利用了透支額度(OD),這指的是金融簽帳卡允許使用者使用多少超出帳戶實際存款的金額。在這起案例中,攻擊者派出許多人申辦有金融簽帳卡的銀行帳戶。然後將卡片送到位於歐洲各國的惡意份子手上。

攻擊者還利用網路釣魚活動來針對銀行員工,目的是要在他們的系統上安裝惡意軟體(趨勢科技偵測為TROJ_MBRWIPE.B)。這種惡意軟體成為攻擊者進入銀行網路和系統的後門。一旦進入,攻擊者會使用銀行的VPN憑證來連上第三方的支付處理服務網路,接著植入各種惡意軟體,包括能夠連上控制卡片管理基礎設施的監控工具。同時還會安裝其他軟體如合法的監控工具Mipko來取得螢幕截圖和按鍵側錄等等。

這場精細策劃並實行的搶劫成為了商業流程入侵(BPC)攻擊的完美範例。這些攻擊是對企業來說日益嚴重的問題,根據2013年至2015年的資料,企業已經因為商業流程入侵(BPC)攻擊而損失至少31億美元 – 這數字在今日可能會更高。

五招防止商業流程入侵(BPC)攻擊

不管是大型銀行還是中小企業都可能會遭受商業流程入侵(BPC)攻擊。不過還是有辦法防範或減輕它所造成的影響: 繼續閱讀