Trend Labs 趨勢科技全球技術支援與研發中心 – 第 16 頁

趨勢科技率先發現最新APT攻擊事件『遮日行動』政府機關及高科技產業已成箭靶呼籲IT人員應立即正視以防有更大規模的損失

2013 年 02 月 27 日2013 年 02 月 27 日 Trend Labs 趨勢科技全球技術支援與研發中心

【2013年 2月27 日 台北訊】趨勢科技APT進階持續性威脅 (Advanced Persistent Threat, APT)情報資訊中心，近期自攻擊政府單位電子郵件社交工程陷阱( Social Engineering)信件中，發現組織型駭客的最新針對性攻擊事件「遮日行動」，此種手法不同於以往的中繼站連線方式，透過間接繞道式的進階戰術，成功突破傳統式防火牆 (Firewall) 與 DNS 伺服器阻擋黑名單的防禦機制，達成其滲入政府機關以及企業的主要目的，目前有能力抵擋與防禦此型態攻擊的機關與企業屈指可數，政府與企業單位應立即正視、不可不慎。

「遮日行動」採取「以迂為直」攻擊戰術。惡意程式突破傳統手法，不直接向DNS伺服器詢問中繼站網域對應IP，而改為先向網際網路中提供網域查詢(DNS lookup)服務網站連線後，進行網頁查詢以取得中繼站實際位置，成功突破過往依靠防火牆或DNS伺服器阻擋之機制。趨勢科技技術總監戴燊表示：「『遮日行動』為組織型駭客針對政府機關與高科技產業發展出的進階式攻擊，顛覆過往資安防護思維，相當有效地突穿現行資安防禦防線。目前台灣僅有少數政府機關部署對應防禦機制，有能力偵測或阻擋此類攻擊。」戴燊更進一步說明：「依過去經驗，一旦此新型攻擊手法收到初步效果，恐短期內為組織型駭客大量使用，並可預期在未來將發展多種的變形攻擊，強烈建議政府與企業即早準備應變。」繼續閱讀

了解你青春期孩子在社群網路分享內容-過度分享真實案例分享

2013 年 02 月 27 日2021 年 03 月 19 日 Trend Labs 趨勢科技全球技術支援與研發中心

我在無意間關注了我朋友十歲大女兒的Instagram帳號，我原本以為那是我朋友的帳號，只是貼了許多她女兒 – Ashley的照片。我根本沒想到一個十歲的小孩會用大人用的照片分享應用程式。真是大錯特錯。趁著這個機會去查看一下Ashley和她的朋友。接著我用了主題標籤 – ＃wishIdidnotjustreadthat。

這個年輕女孩和她的朋友們做出太多的過度分享，包括她們所喜歡的男孩子，最喜歡的顏色，她們最好的朋友，跟一大堆自己的照片。不過更值得擔心的是公開地分享她們的手機號碼，學校名稱，可以讓人看到地址的住家外頭照片，還有更多更多。

美國網路霸凌研究中心指出，有20％到25％的美國孩子被霸凌

對於網路上的壞人來說，更加容易去找到這些女孩了。幾乎每個人都可以輕易地去瀏覽他們的照片，找到她們的所在位置。一想到可能會發生的事就讓我對她們的安全感到憂心起來…

經過五分鐘的「偷窺」後，我發現有個Ashley的同學是需要幫助的，她哭訴著日子有多難過和沒有人懂她，尤其是她的父母，她有多沮喪和孤獨，以及她每天是如何被欺負的。幸運的是，她的貼文後有幾十篇留言支持她，來自她的朋友或「關注者」。不過這女孩也不是特例，根據美國網路霸凌研究中心指出，有20％到25％的美國孩子被霸凌。

我瘋狂地搜尋這被霸凌女孩最近的貼文，看看她是否沒事。她看起來似乎都很好……以現在來說。這會是遺言嗎？需要協助的哭訴？或只是青少年的煩惱，她像是日記一樣的使用Instagram，記錄這年齡層的青少年都會有的短暫的過多情感？繼續閱讀

如何讓遺失的手機失而復得?

2013 年 02 月 26 日2013 年 02 月 18 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Richard Medugno

這是關於有趣的手機與 iPad失而復得故事(找回手機只要一張辣妹照片和一把鐵鎚?)後續文章。

「Find My iPhone」應用程式（使用iOS5或更新的裝置）是個有用的應用程式，但你必須有另外一台可以連上網路的iPhone、iPad或電腦才能夠使用它…當然了，你還必須先設定好iCloud，當我在研究這篇文章時有照做過。這是一個很酷的應用程式，因為它可以用GPS精確定位設備（如果有開機），你可以遠端發送訊息，或是最壞的情況，抹除你的個人資料。

以下是一些讀者的建議:

James Hsiao說他要取消iPhone的密碼保護。這樣當他遺失手機，而有好心人撿到的時候，那個人就可以讀取手機上的資訊，找出方法聯絡到他以返還手機。

James認為，如果有「壞人」拿到或偷了他的iPhone，那就算有設密碼保護也拿不回他的手機。他的理論是，有更多機會去找回手機總是好的，所以最好不要設密碼保護。

顯然地，這有些違背常理，但或許是個聰明的做法。我只擔心這樣就讓你所有的個人資料可以被人很輕易的加以讀取。而且，如果有壞蛋看到你的手機沒有設密碼，不就等於是邀請他來偷嗎？

Paul Gomez說他不可能讓他的iPhone不設保護…特別是他珍貴的照片都儲存在上面，他可不希望被陌生人看到。Paul想到一個很好的法子去解決這個兩難問題：

拍下你的聯絡資訊，然後將這照片設成「鎖定螢幕」的畫面。這樣一旦你的設備弄丟了，撿到的人馬上就可以有直接而簡單的方法來聯絡你，並將其返還。

我可能不是最聰明的人，但是當我聽到好主意時，我還是知道的。所以，我馬上就應用了Paul的解決方法。你可以在幾分鐘之內就完成。

這裡是iPhone上的步驟（我假設其他行動設備也有類似的功能）：

建立一個Word文檔（如果沒有印表機的話，你也可以用寫的）。使用你喜歡的字型來寫出訊息。我用的是宋體，字體大小14。

這裡是我建議的內容：

如果你找到這支遺失的手機，請聯絡：

[你的電子郵件地址]

將會酬謝安全及時的返還！

謝謝。

2.下一步是要印出來，然後用你的iPhone將它拍下來。

3.現在已經在你的相片圖庫裡了，所以選擇相片

4.然後點入照片

5.選擇左下角有箭頭和資料夾的圖示

6.然後會出現一個帶有幾個選項的視窗（如下圖）。選擇「作為背景圖片」選項

繼續閱讀

手機用戶,保護個資並不只是鎖定手機那麼簡單

2013 年 02 月 25 日2013 年 02 月 20 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：趨勢科技 Abigail Pichel

行動惡意軟體不僅僅是在數量上持續成長，複雜度也日益增加。趨勢科技最近發現有殭屍網路惡意軟體感染了超過一百萬台的智慧型手機。雖然Android使用者是目前主要的目標，但Apple使用者很快地也可能會成為受害者，因為已經有山寨版應用程式找到方法出現在iOS上的報告了。看看這些最近的發展，我們預測在二〇一三年底將會偵測到一百萬個惡意軟體並不過分。

不過使用者只需要注意惡意軟體嗎？不，他們也該關心他們的個人資料。由於智慧型手機上的活動牽涉了大量的資訊 – 電子郵件、遊戲和社群網路。保護行動設備上的資料就成了優先事項。

資料竊取惡意軟體會威脅到隱私，合法的應用程式也可能會將使用者的資料置於危險之中。不過這些並不是唯一讓資料被外流的方式。一般的使用者行為，像是連到公共無線網路和在社群網站上玩遊戲都可能讓其他人查看到線上活動。瀏覽歷史紀錄也可以被收集用來向使用者發送針對性廣告。即便是網路個人檔案，如果使用者貼出太多細節，也可能會成為風險。

因為對隱私的顧慮隨人而異，這也讓隱私問題變得更加複雜。有些人覺得「太多」的程度，另一個人則可能覺得還好。現在取決於使用者自己去評估所分享的程度是否在自己能夠接受的範圍。在我們的資料圖表 – 「管理行動隱私」裡，我們列出了各種跟行動設備相關的隱私威脅和風險。我們也提出保護行動設備最好的方式。

管理行動隱私:保護你的資料和設備並不只是鎖定手機那麼簡單，防護所有可能外洩的源頭:

不要連到公共熱點:線上活動是會被別人看見的,封包竊聽應用程式可以監聽網路資料
啟動遠端刪除功能:遺失或遭竊的設備將資料置於危險之中,利用內建的鎖定選項,啟動裝置的遠端刪除功能,使用可以遠端刪除資料的應用程式, 繼續閱讀

以”你的照片”為餌的點擊劫持（clickjack）最常出現在Facebook、Twitter、Google+

2013 年 02 月 22 日2014 年 07 月 18 日 Trend Labs 趨勢科技全球技術支援與研發中心

Sherry在深夜裡收到一則從親密好友所傳來的Twitter私密訊息 – 「有沒有看過你的這張照片呀，哈哈」，還包含一個短網址。因為這位朋友是個攝影師，也有她的照片。所以收到這訊息並不奇怪。於是她點了進去,賓果!這個常用的社交工程陷阱( Social Engineering),讓她就此中了clickjacking點擊劫持。你猜到了嗎?這假造朋友發的訊息，裡面的網站連結導到一個會偷密碼的假Twitter網站。

註:點擊劫持（clickjacking）是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件，但按下「播放」按鈕並不會真正播放影片，反而是被誘騙到另一個購物網站。

假的 Twitter 登錄頁面,一直出現密碼錯誤訊息,其實密碼已經被偷了

當Sherry從iPad點入這私密訊息裡的網頁連結，行動瀏覽器帶她到看來像是Twitter的登錄頁面,，即使她覺得很奇怪，為什麼照片沒有出現在Twitter應用程式瀏覽器內。正在看電視影集的她心不在焉的，試了幾次輸入帳號密碼，「假Twitter網站」都顯示密碼錯誤。她很沮喪也放棄了，就上床睡覺了。但這錯誤的嚴重性一直到幾個小時之後就浮現了。

點擊劫持的後果

Sherry睡不著，看了看手機，凌晨四點半。手機出現訊息通知，有則來自朋友的Twitter私密訊息，問說：「你傳給我的是垃圾訊息嗎?還是你真的有我好笑的圖片？」”哦，不！我做了什麼？”Sherry 知道麻煩來了,只因為她點了那個連結。

一整天裡Sherry收到數十封簡訊、Twitter推文、電子郵件和Facebook留言，告訴她有人駭入她的Twitter帳號。

因為登錄到「假Twitter」網站，而給了非法份子Twitter帳號密碼。他們就可以登錄到Sherry真正的Twitter帳號，發送一樣的垃圾訊息跟惡意連結 – 「有沒有看過你的這張照片呀，哈哈」給所有關注我的人，讓這起犯罪攻擊繼續循環下去。這就是所謂的clickjacking點擊劫持。通常出現在社群媒體的動態消息、塗鴉牆和私密訊息（Facebook、Twitter、Google+等等），讓不知情的人點入會竊取密碼和資料的網站。

這結果可能很災難性，如果你的銀行帳號和社群媒體帳號使用相同密碼的話。網路犯罪份子可能會登錄到銀行帳戶，並在幾小時內偷走被害者的錢、身份認證以及盜刷信用卡。

如果你已經中了點擊劫持該怎麼辦?

如果你懷疑可能中了點擊劫持，馬上變更你的密碼。然後檢查是否有任何新應用程式有權限連到你的帳號，因為它們可能是惡意的，並且會竊取資料。（當你改變密碼時，Twitter會強迫你檢查所有有權限連到你帳號的應用程式。）
如果你有其他重要帳號使用已經被竊取的密碼，要馬上全部更換，而且不要使用相同的密碼。繼續閱讀