Heartbleed 心淌血漏洞:一個和孩子談論保護線上個人資料的機會

已經有許多的新聞圍繞著最近所發現的Heartbleed心淌血漏洞。這裡不提太多的技術細節,基本上它會讓許多網站有可能去洩漏出人們提交給這些網站的個人資料。這包括了購物網站、社群網路、電子郵件服務、音樂串流媒體服務以及遊戲網站,因為這世上有許多網站都同樣的使用被影響的技術。

iskf

 每當有這樣的事件發生,都是個機會教育來和你的孩子談論如何分享和守護線上個人資料。首先要自己找出更多的相關訊息。然後和孩子分享你所知道的資訊。並且提醒他們,當我們在網上分享資訊時,總會有落入他人手裡的風險,有可能是因為他們做了什麼,或沒有盡可能地保護好它。

 一些事實

我們所知道的是,這個漏洞已經存在了至少兩年,有66%的網站都使用了會受此漏洞影響的技術。但到2014年4月8日為止,根據我們的研究人員,並非所有網站都會受此漏洞影響。許多組織已經在檢查建置自己網站的伺服器是否會受此漏洞影響,並且嘗試加以修復。我們也知道,如果你使用的是已修復的網站,那應該就沒有問題。

我們所不知道是,某一特定網站可能已經曝露個人資料有多久了,像是使用者名稱、密碼、信用卡、電話號碼和家裡住址。我們也不知道有多少不良意圖的人,在出現漏洞的這段期間內拿走了那些資料。

第一起因為Heartbleed心淌血漏洞被補的案件出現在加拿大。一人被捕並被指控駭客攻擊政府國稅局網站,竊取了900個社會保險號碼。這可能只是我們探索Heartbleed漏洞影響有多深遠的開始。

 孩子的良好習慣

底下是一些可以幫你孩子培養的良好上網習慣:

  1. 只上少數的網站,這樣就可以好好管理並更常地加以檢查。過多網站意味著他們的電子郵件地址、密碼和其他個人資料會出現在網路上的太多地方。 繼續閱讀

<更新版>第一個 Windows XP 系統終止支援後出現的重大IE漏洞

 此篇文章的原始版本裡提到Windows XP不會有針對此弱點的修補程式。不過微軟已經發佈了針對此弱點的安全更新(MS14-021),其中也包含了Windows XP。本文也隨之更動相應段落。

 

 漏洞 弱點攻擊

在上週末,微軟發布了安全通報2963983,內容描述一個Internet Explorer的新零時差漏洞。(它被分配CVE編號為CVE-2014-1776)。

 

這個遠端執行程式碼漏洞讓攻擊者可以在受害者系統內執行程式碼,如果該使用者連上了攻擊者所控制的網站。雖然已知的攻擊針對了三個版本的IE(IE9到IE11),但是它相關的漏洞存在於今日還在使用中的所有IE瀏覽器版本(從IE6一直到IE11)。

這樣一個嚴重的漏洞並不完全只有壞消息。首先,該漏洞只會用系統登入使用者的相同權限來執行程式碼。因此,如果使用者帳號沒有系統管理者權限,惡意程式碼就不會以系統管理者權限執行,這部分地降低了風險。(當然,這僅僅是當使用者帳號沒有被設定為系統管理者時才成立。)

其次,一些解決方法已經被提供在微軟的通報內;其中以啟用增強地受保護模式(一個只存在於IE10和IE11的功能)最容易做到。漏洞攻擊碼需要使用Adobe Flash才能執行,因此停用或移除IE瀏覽器的Flash Player也會降低此漏洞的威脅。

更新於2014年4月28日,美西時間中午12:30

Windows XP

這是第一個會影響Windows XP而不會被修補的漏洞。停止了對軟體和作業系統的支援,讓使用者和和組織更容易受到威脅。不過,也有一些解決方案可以幫助解決或減輕此一困境。虛擬修補可以補足傳統的修補程式管理策略,因為它可以在實際修補程式可用前,先「虛擬修補」受影響的系統。另一個好處是,它可以「虛擬修補」支援終止的應用程式。例如,趨勢科技Deep Security就一直在支援Windows 2000上的漏洞問題,甚至在此作業系統支援終止之後。 繼續閱讀

Windows XP系統轉移,Heartbleed漏洞持續淌血 ….IT人員你累了嗎?

到目前為止,今年都是讓企業IT人員特別緊張的一年。年初的時候,關於資料外洩的擔憂和端點銷售系統POS惡意軟體讓零售業者大操其心。

IT 人員你累了嗎?

Windows XP系統轉移這長久以來的頭痛問題也到達了臨界點,因為四月就要結束對這古早操作系統的支援。通常每個月都會有個關於資安的頭條新聞,但是一個被稱為Heartbleed心淌血漏洞OpenSSL卻是絕對的不受歡迎。

因為這發生的一切,所以如果IT安全人員累了,或是疲於修補漏洞是有點說得過去的。希望這些團隊可以在這些緊張的時刻得到適當的休息,因為訓練有素且有能力安全人員的重要性是不可低估的。

雖然技術解決方案所扮演的角色得到更多的關注(較頻繁也更多資金),這些解決方案如果沒有知道該如何用的專家就會變得毫無價值。面對今日的攻擊環境,並不只是需要更加複雜的工具;還需要訓練有素的IT安全人員來做決策,利用工具所提供的最佳資訊以及威脅情報來進行處理。

不幸的是在許多組織中,這些團隊都被冷落和視為成本中心。這聽起來不錯,直到發生了重大的外洩事件或其他安全問題 – 結果讓組織付出了更多的成本。

那麼究竟組織要如何對待他們的資訊安全人員?有四個地方是組織可以加以協助的。

給予他們所需的工具 – 並且讓他們試驗。

首先,資訊安全團隊必須有他們所需要的資源。這可能包括硬體、軟體以及人員。團隊應該要專心做好自己的工作,而不必擔心沒有足夠資源來做到這一點。是的,這可能要花錢,但是攻擊和資料外洩會更花錢。

此外,企業應該讓團隊有一定空間來進行試驗。如果他們想嘗試新的工具或使用新的方法來收集和分析威脅資訊 – 讓他們進行實驗。這些想法不一定會馬上產出有用的東西,所需要的只是進行概念證明,以確認想法會奏效。

讓他們學習和犯錯。

新的威脅和問題總是不斷地出現。正如我們今年剛剛聽到的驚人消息,有些我們認為安全的事物,可能並不是。學習已成為團隊目標的重要部分。好在威脅前線完成每日的工作。

有關威脅的資訊並不總是精確;看來似乎是威脅的事情可能結果是完全無害,反之亦然。總是會有錯誤發生;試圖減少絕對是正確的,但不應該讓你的安全團隊變得過於畏縮,而不敢去指出一個明顯的攻擊。

確保資料可以被自由存取

這和我們的第一條相呼應。如果組織真的希望自己的團隊進行試驗,就應該確保日誌和資料庫方便存取和使用開放格式。被歸檔的所有檔案都該被儲存成純文字檔,像是CSV檔,而非專有的二進位格式。純文字檔可以被許多檢視器和腳本語言輕易地加以處理。

為什麼這很重要?這讓搜尋可以用相對快速和有效的方式進行。提供組織內的安全專家最佳方式去存取潛在威脅資訊。根據組織所記錄和歸檔的資訊,它也提供了進行資料關聯的可能性。可用的威脅情報最終能夠改善組織防禦。  繼續閱讀

什麼是比特幣(Bitcoin)?

比特幣是一種類型的電子貨幣,使用點對點(P2P)網路來追蹤和驗證交易。比特幣系統沒有涉及金融機構,因此不需要中央監管單位來控制此貨幣。比特幣可以在網路上作為現金使用。

為何勒索病毒要求用比特幣(Bitcoin)付費?

近年來比特幣成為洗錢或網路犯罪的工具,近來電腦遭勒索病毒綁架的事件層出不窮,駭客便要求受害者用比特幣來支付贖金。

勒索軟體的前身是假防毒軟體(Fake AV),”假好心”地跳出電腦中毒的訊息,且鎖住桌面,嚇唬使用者,台灣也曾出現案例,一名新北市王姓女研究生(廿四歲)點擊網路釣魚(Phishing)的連結,隨即出現即時掃毒畫面的方式,緊接呈現掃毒結果,跑出十餘筆病毒資料,詳細記錄被感染的電腦位置。她多次重新開機,不是顯示微軟開機的黑畫面,就是藍底白字的英文說明,指電腦中毒無法正常運作,必須更新防毒軟體。誘騙王同學線上刷卡。被害王同學付費兩千元後收到「防毒軟體」,結果非但不解毒,反而讓電腦中毒,不僅詐騙刷卡費用,也盜取個人資料。

勒索病毒 Ransomware 後來變本加厲發展到對重要檔案加密,但因為被害者付費麻煩,而且警察容易循線抓到駭客,起初並沒有流行。直到比特幣出現,解決了勒索病毒的金流問題,以及駭客被追蹤的風險,讓勒索病毒又開始大肆流行。

勒索軟體 比特幣 Cryptolocker

比特幣系統

比特幣是在處理稱為「區塊(block)」的數據後產生或「開採」出來。一個比特幣區塊是讓使用者需要進行許多運算後才能解決的加密問題或謎題。Bitcoin的生成,俗稱「挖礦」,需要極大的運算能力。沒有足夠資源的使用者可以直接從比特幣交易網站來購買或出售比特幣,或是透過臨櫃交易單位以及私底下進行交易。

整個比特幣網路依賴一個共享的公共總帳,稱為「區塊鏈」。區塊鏈包含了每一個比特幣或處理過的數位貨幣交易。所進行交易的有效性會透過使用者比特幣地址的電子簽章來加以驗證。驗證過程會確認比特幣消費是透過擁有它們的比特幣所有者進行。

 

比特幣bitcoin

使用比特幣

每一筆的比特幣交易都需要有比特幣地址和比特幣錢包。和電子郵件地址類似,使用者利用這些地址來發送和接收比特幣。使用者可以擁有多個地址;有些人會每筆交易都用一個地址。

比特幣使用者利用比特幣錢包來幫助管理他們的交易。每個錢包都具備一小段被稱為「私密金鑰」的數據,用來證明該交易來自電子錢包所有者。這把金鑰或簽章可防止交易被竄改。

有各種不同類型的比特幣錢包 – 軟體錢包(安裝在電腦),行動錢包(安裝在行動設備)和網路錢包(託管在雲端服務的錢包)。

比特幣可以用來購買各種網路服務,像是虛擬主機、行動應用程式開發以及雲端檔案儲存。它們也可以用來購買產品,像是遊戲、音樂、禮品卡和書籍。比特幣的使用並不限於網路交易,有些現實世界內的機構也接受使用比特幣來購買各種商品。它同時也可以在一些網站上兌換成多種國際傳統貨幣。

數位貨幣

比特幣不是唯一的數位貨幣。Litecoin是另外一種P2P貨幣,和比特幣不同的是它提供更快速的交易確認,較多的錢幣數量和較少的生成所需運算能力。許多人認為Litecoin是繼比特幣之後的第二大電子貨幣Namecoin又是另一種的數位貨幣,大多被用在分散式網域名稱系統(DNS)設定,讓網路審查制度更難以進行。Namecoin透過建立不被網際網路名稱與號碼指配組織(ICANN)控制的頂級網域(TLD)來做到這一點。ICANN負責協調網域空間和其他事務。

比特幣的新聞

雖然比特幣從2009年就開始存在,但在最近獲得較多的新聞報導。「地下黑市」 – Silk Road的關閉似乎刺激了比特幣價格的飆升。加上出現了世界第一台的比特幣自動提款機,讓比特幣似乎越來越走向公眾。 繼續閱讀

南韓渡輪沉沒事件,遭殭屍網路利用,會讓你的電腦進入休眠狀態

一艘名為「歲月號」(Sewol) 的渡輪在南韓南方海域翻覆儘管全球都還在關注此次悲劇的最新發展,網路犯罪者卻早已開始蠢動。

ferry

就在事件傳遍全球的數小時後,我們已見到多個利用這項新聞的垃圾郵件。在趨勢科技所蒐集到的樣本中,歹徒並未使用這次的新聞為誘餌,而是將新聞附在訊息當中。

圖 1:垃圾郵件訊息

注意,垃圾郵件的主要部分並未提到任何有關船難事件的支字片語。反而是將船難事件的消息附在郵件內容的下方。這種在郵件當中隨機夾帶當下熱門事件或新聞快報的作法,是垃圾郵件散發者躲避垃圾郵件過濾的一種手法。

郵件一旦躲過垃圾郵件過濾,您就只剩垃圾郵件防護軟體與您自身的判斷來保護您。請注意,上圖當中的垃圾郵件附了一個法院出庭通知的附件檔案。一旦您不小心開啟了這個附件,您的電腦就會感染後門程式。因為我們在進一步分析這個樣本之後發現其附件檔案是一個後門程式,也就是趨勢科技偵測到的 BKDR_KULUOZ.SMAL。此後門程式可讓歹徒從遠端下達一些指令,例如更新惡意程式版本、下載並執行檔案、讓電腦進入閒置或睡眠。

KULUOZ 目前已知是經由 Asprox 殭屍網路散布。KULUOZ 會下載其他的惡意程式,如假防毒軟體 FAKEAV 與 ZACCESS,也會在您的電腦上安裝 Asprox「Botnet傀儡殭屍網路」的元件,將您的電腦變成垃圾郵件散播來源。經過深入的分析顯示,這個 KULUOZ 變種是 Asprox 殭屍網路的一環。

諸如此類的事件,儘管不幸,卻是讓垃圾郵件散發者與網路犯罪者更加茁壯的養分。網路犯罪者經常利用剛發生即時事件,因為他們知道民眾有知的需求。在這樣的情況下,人們更容易急著開啟電子郵件或點選任意連結。

儘管趨勢科技的產品隨時都會攔截這類電子郵件,並且防止惡意附件檔案執行,但最安全的防護還是您自己的判斷力。您可以仔細觀察郵件的寄件人、標題和訊息內容來判斷是否為垃圾郵件。絕大部分的垃圾郵件都會使用假的電子郵件地址,並運用一些誘人的標題和/或內容。仔細分辨垃圾郵件能為您省下許多時間和煩惱,同時也維護電腦和資料的安全。

@原文來源:南韓渡輪沉沒事件變成垃圾郵件的利用工具 (News of South Korea Ferry Used for Spam Evasion) | 作者:Maria Manly (垃圾郵件防護研究工程師)

 

免費下載 防毒軟體 PC-cillin 試用版下載

趨勢科技PC-cillin 2014雲端版 獨家【Facebook隱私權監測】,手機‬、平板、電腦全方衛!即刻免費下載

◎ 歡迎加入趨勢科技社群網站