 |
僅限趨勢科技粉絲,立即按讚：https://www.facebook.com/trendmicrotaiwan
|
|
作者: 趨勢科技 TrendMicro
Dropbox入侵外洩事件所遺留的疑點
作者：趨勢科技資深分析師Rik Ferguson
在7月18號，Dropbox宣稱他們開始調查有使用者聲稱在只跟Dropbox帳號有連結的電子郵件信箱裡收到垃圾郵件(SPAM)電子郵件的事件。兩個星期過後，這其中的問題似乎已經被釐清了。
Dropbox表示：「最近其他網站被盜的使用者名稱和密碼可以被用來登入到少數的Dropbox帳號」。而其中一個被不當存取的帳號正好屬於Dropbox員工，「裡面含有帶使用者電子郵件地址的專案文件」。他們相信垃圾郵件(SPAM)
是因此而來的。
對我來說，這項消息跟它被處理的方式裡面有幾個真正重要的問題。Dropbox工程師在「專案文件」裡使用真正的客戶資料，為什麼，不是應該用假資料嗎？而這份文件可以被存取，看起來是因為Dropbox員工將公司帳號密碼重複使用在其他被入侵的網頁服務上。他們沒有指明是哪些服務，但再次地，為什麼呢？
其次，Dropbox選擇透過電子郵件去通知被外洩的使用者，郵件內包含一個連結去重設密碼。這做法跟我們一直以來建議使用者不要去點來路不明郵件內的連結相衝突，尤其是那些要求你連上某個網站去輸入認證資料的郵件。總的來說，根據使用者回報，首頁上沒有出現對這次攻擊事件的說明，也沒要求使用者變更密碼，這樣子讓他們送出的密碼重置信件的可信度產生了問題。比較理想的作法是，受影響的組織可以發送電子郵件通知，但不是提供密碼重置連結，他們應該引導使用者到公司首頁，並在那裡提供進一步的資訊。
最後，Dropbox表示，因為被入侵的結果，有些使用者的密碼會被重設（「在某些狀況下，我們會要求你變更密碼（例如，如果它是個常見密碼或已經很長一段時間沒有變更）」）。問題是，Dropbox要如何知道一個使用者的密碼是個「常見密碼」呢？他們是用明文儲存密碼的嗎？他們儲存密碼是用未加料的雜湊值（unsalted hash）嗎（就像LinkedIn）？他們對每個使用者都加一樣的料，還是他們設計雜湊演算法時注重速度更勝於安全呢？如果以上任一點屬實，那麼他們的密碼資料庫就很容易遭受彩虹表（rainbow table）攻擊，這可不是件讓人放心的事情。
理想上，儲存使用者密碼時，應該為每個使用者都加獨特的料，而在設計雜湊程序時也要採用可以加入「工作因子（work factor）」的演算法（像是Blowflish）。這會大大增加破解個人密碼的時間，因為工作因子是可變動的，可以進行修改以跟上電腦運算能力的進步。只要增加工作因子就可以讓雜湊演算過程變慢。對單一運算的影響是微不足道，但想利用彩虹表攻擊來進行大規模運算就變得不大可能了。
很高興聽到Dropbox會替使用者實施雙因子認證，還有他們所宣布的其他的安全加強措施。但這次消息跟他們的處理方式還是留下了許多疑點。
除此之外，Dropbox的使用者現在要小心會利用Dropbox做餌的釣魚攻擊了。犯罪份子一定會想到去利用它的。而且這件事也告訴了我們，為什麼應該要在每個網路帳號都使用不同的密碼。如果你無法信任你的服務供應商，你就必須會自己的安全負責。
＠原文出處：Dropbox Breach leaves unanswered questions
想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁上按讚：https://www.facebook.com/trendmicrotaiwan
@延伸閱讀
測試你的密碼：更多的密碼外洩事件(含複雜密碼,簡單記憶法設定教學)
“電子郵件帳號被入侵,還好裡面沒重要的東西?! “事實上，裡面是大有東西在。
從 Yahoo 被駭事件,看如何降低線上服務資料外洩,對你帳號密碼的衝擊?(含歷年最駭密碼一覽表)
【圖表】LinkedIn被盜帳號的前30大常用密碼(F開頭髒話和 ILOVEOU 都不是好主意)
【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~】
◎ 免費下載防毒軟體：歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻【按這裡下載】
@參考推文
雲端系！史上最強防毒軟體現身 看更多<PC-cillin真的不一樣>100字推文
◎ 歡迎加入趨勢科技社群網站
《趨勢專家談雲端運算》墮入虛擬化相關威脅的深淵
虛擬化環境裡的安全漏洞對企業來說也是很大的威脅，可能會造成業務中斷、資料被竊或是財務損失等後果。網路犯罪分子可以利用網頁伺服器或網頁應用程式的漏洞來進入本被隔離的部分公司伺服器。進而利用來存取公司的重要資產，像是客戶資料庫或是商業機密。而所偷來的資料可以在地下黑市出售，或是用來發動更進一步的攻擊。
然而，儘管公司資料有著明顯的風險，而且資料被入侵外洩後也得付出不少代價，但是系統管理員卻還是喜歡或是被迫地讓伺服器不去更新修補程式。系統管理員有時會延遲修補更新程式的佈署計畫，原因是要讓更新生效需要重新啟動系統，這對需要全天無時無刻正常運作的系統來說，可能意味著會有重大的商業損失。而且軟體廠商可能也要花上一段時間（幾天到數週不等，甚至數年）來開發修補程式給已知的漏洞，這也讓管理員沒有選擇。就在最近，微軟公開關於Microsoft XML核心服務漏洞的零時差攻擊。一旦攻擊成功，它就可以透過針對瀏覽器的網頁攻擊來控制受感染的系統，而在公佈時還沒有修補程式可用。僅在2011年，就有1822個關鍵的軟體弱點被公布，讓使用的公司都有可能陷於危險中。因此，管理員做出困難決定時，也可能讓自己的網路暴露於威脅中，或讓公司的資料陷入危險。
資料圖表 – 「安全防護虛擬環境所面臨的挑戰」將虛擬化相關問題具體的表達出來，介紹了對企業網路的相關威脅，像是舊系統漏洞、概念證明（Proof-of-concept）和零時差攻擊等威脅。一旦企業遺漏掉這些安全漏洞，就有可能會損害到品牌形象，或是更糟地讓公司失去重要的資產。
放眼未來：
防護虛擬環境的挑戰
企業可能暴露在這些安全漏洞的威脅，而讓虛擬化環境被入侵。落入這些威脅的深淵可能會讓他們的業務中斷，更糟的可能會導致資料外洩或財務上的損失。
虛擬主機間（Inter-VM）攻擊和其他淪陷方式
運行相同作業系統和應用程式的虛擬伺服器就跟實體伺服器一樣。所以像是惡意軟體和漏洞攻擊這些會影響實體環境的威脅，一樣會影響虛擬化環境。
天氣預報軟體 – GoWeather出現木馬山寨版,攔截手機認證碼,駭客看影音你付費
趨勢科技發現一個Android惡意軟體家族會未經使用者同意就下載應用程式和付費影音，讓受害者花上不必要的錢。它們都是正常的天氣預報軟體 – GoWeather的木馬化的山寨版本，被趨勢科技偵測為ANDROIDOS_TROJMMARKETPLAY。
經過研究，趨勢科技取得這惡意軟體家族的三個樣本。其中一個樣本（偵測為ANDROIDOS_TROJMMARKETPLAY.B）和其他樣本比起來，似乎是測試用的版本。我們發現許多測試資訊和代碼，留下讓我們可以找到幕後黑手的線索。
關閉付費彈出視窗,他下載影音等應用程式你買單
現在讓我們專注在可能是測試版本的樣本上。一旦安裝完畢，ANDROIDOS_TROJMMARKETPLAY.B會將行動網路的APN更改為CMWAP，讓行動裝置自動登錄到第三方應用程式商店 – M-Market。使用者第一次登入時會出現付費彈出視窗。惡意軟體會接著關閉此視窗，並打開M-Market上的頁面去尋找並下載付費影音或應用程式。這行為會讓受害者幫他人下載的應用程式和影音買單。
要求回覆認證碼簡訊遭攔截,驗證碼圖片遠端解碼,受害者渾然不知
通常使用者會接到M-Market所傳來的確認簡訊，並要求回覆認證碼。不過在此案例中，惡意軟體會攔截並回覆簡訊，所以受害者並不會察覺。至於驗證碼圖片，惡意軟體會下載圖檔，並且送到遠端伺服器來進行解碼。解碼伺服器的位置放在設定檔內 – yk-static.config。這檔案裡還包含其他設定，包括用來發送簡訊的電話號碼。網域名稱欄位是用來放解碼伺服器的位置。
趨勢科技還觀察到ANDROIDOS_TROJMMARKETPLAY.B有個顯著的不同。和其他同家族的惡意軟體樣本（偵測為ANDROIDOS_TROJMMARKETPLAY.A）比起來，這個測試版本具備自我更新的功能。它攔截並回覆驗證簡訊的方法也不同。 變種.B使用資料庫， 變種.A則使用檔案來儲存驗證碼。此外，變種.A含有尋找付費影音的程式碼。
從”第一個 iOS 惡意程式”事件 看 App 存取使用者通訊錄的權限問題
從”第一個 iOS 惡意程式”事件 看 App 存取使用者通訊錄的權限問題
近日一大堆新聞網站的頭條都是有關「第一個 iOS 惡意程式」現身 iOS App Store 商店的訊息。這些頭條看起來很嚇人，但有一個小小問題：其說法並非 100% 正確。
Android 版本的「Find and Call」程式就是趨勢科技所偵測到的 ANDROIDOS_INFOLKFIDCAL.A，而 iOS 版本則是 IOS_INFOLKCONTACTS.A，它只有一個主要功能：偷偷將使用者的通訊錄傳送至一個遠端伺服器。簡單的說，這很明顯違反了個人的隱私權，所有 App 程式都不應該這麼做。但也僅止於此。在這個案例當中，通訊錄當中的聯絡人會收到一些垃圾郵件(SPAM)，但這是由遠端的伺服器所發送，而非來自「惡意程式」本身。
問題是，正常的應用程式也曾經做過同樣的事。最有名的就是「Path」社交網路 App 程式，它在今年稍早就被人逮到從事同樣的行為。Path 如此明目張膽的行徑在當時引來了強烈的批評。
這件事引起了 Apple 的特別注意，因此在 iOS 6 Beta 版當中，每次一個 App 程式要存取/傳送使用者的聯絡人、行事曆、備忘錄或相片之前，系統都會先徵詢使用者同意。
事實上，已經有太多正常的 App 程式都想要知道使用者的行為模式，因此，將使用者的行事曆資訊傳送到伺服器已經不再讓人立即聯想到「不良」行為，因為很多人都允許 App 程式這麼做。不幸的是，將使用者通訊錄名單外傳的行為竟然被這些 App 程式給「合理化」了，即使它嚴格來說仍舊是一種可惡的行為。其實，「Find and Call」的確有先要求取得使用者通訊錄的存取權限，有圖為證：
對於這所謂「第一個 iOS 惡意程式」的誇大說法，使用者不必隨之起舞，但應該想想該應用程式 (以及背後的作者) 真正做了什麼：存取您的通訊錄。也想想有多少應用程式都曾經要求過同樣的權限，而且通常都是以和你的好友/聯絡人分享或搜尋你作為幌子。使用者應該將此事件當成一記醒鐘：以後該多注意自己將資訊開放給哪些對象、還有次數有多頻繁。
對於提供工具協助使用者掌控個人資訊的 Apple，我們應該給予掌聲。其他的行動裝置作業系統廠商也應跟進，為使用者提供保護個人隱私的功能。
@原文來源: (Malware for iOS? Not Really
手機防毒不可不知 (蘋果動新聞 有影片)
@開箱文與評測報告
TMMS 3.75 Stars in PC World AU
◎ 歡迎加入趨勢科技社群網站
