分類: 趨勢科技產品

以”你的照片”為餌的點擊劫持（clickjack）最常出現在Facebook、Twitter、Google+

Trend Labs 趨勢科技全球技術支援與研發中心

Sherry在深夜裡收到一則從親密好友所傳來的Twitter私密訊息 – 「有沒有看過你的這張照片呀，哈哈」，還包含一個短網址。因為這位朋友是個攝影師，也有她的照片。所以收到這訊息並不奇怪。於是她點了進去,賓果!這個常用的社交工程陷阱( Social Engineering),讓她就此中了clickjacking點擊劫持。你猜到了嗎?這假造朋友發的訊息，裡面的網站連結導到一個會偷密碼的假Twitter網站。

註:點擊劫持（clickjacking）是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件，但按下「播放」按鈕並不會真正播放影片，反而是被誘騙到另一個購物網站。

 

假的 Twitter 登錄頁面,一直出現密碼錯誤訊息,其實密碼已經被偷了

當Sherry從iPad點入這私密訊息裡的網頁連結，行動瀏覽器帶她到看來像是Twitter的登錄頁面,，即使她覺得很奇怪，為什麼照片沒有出現在Twitter應用程式瀏覽器內。正在看電視影集的她心不在焉的，試了幾次輸入帳號密碼，「假Twitter網站」都顯示密碼錯誤。她很沮喪也放棄了，就上床睡覺了。但這錯誤的嚴重性一直到幾個小時之後就浮現了。

點擊劫持的後果

Sherry睡不著，看了看手機，凌晨四點半。手機出現訊息通知，有則來自朋友的Twitter私密訊息，問說：「你傳給我的是垃圾訊息嗎?還是你真的有我好笑的圖片？」”哦，不！我做了什麼？”Sherry 知道麻煩來了,只因為她點了那個連結。

一整天裡Sherry收到數十封簡訊、Twitter推文、電子郵件和Facebook留言，告訴她有人駭入她的Twitter帳號。

因為登錄到「假Twitter」網站，而給了非法份子Twitter帳號密碼。他們就可以登錄到Sherry真正的Twitter帳號，發送一樣的垃圾訊息跟惡意連結 – 「有沒有看過你的這張照片呀，哈哈」給所有關注我的人，讓這起犯罪攻擊繼續循環下去。這就是所謂的clickjacking點擊劫持。通常出現在社群媒體的動態消息、塗鴉牆和私密訊息（Facebook、Twitter、Google+等等），讓不知情的人點入會竊取密碼和資料的網站。

這結果可能很災難性，如果你的銀行帳號和社群媒體帳號使用相同密碼的話。網路犯罪份子可能會登錄到銀行帳戶，並在幾小時內偷走被害者的錢、身份認證以及盜刷信用卡。

如果你已經中了點擊劫持該怎麼辦?

  1. 如果你懷疑可能中了點擊劫持，馬上變更你的密碼。然後檢查是否有任何新應用程式有權限連到你的帳號，因為它們可能是惡意的，並且會竊取資料。（當你改變密碼時，Twitter會強迫你檢查所有有權限連到你帳號的應用程式。）
  2. 如果你有其他重要帳號使用已經被竊取的密碼，要馬上全部更換，而且不要使用相同的密碼。 繼續閱讀

如果一定要使用Java,該怎麼辦?

趨勢科技 TrendMicro

當Java 最近又出現另一次零時差漏洞，要使用者「移除Java」的聲音已經成為一種普遍的意見。請參考:Java更新補救安全漏洞 美國安部仍籲「停用」

已經有許多關於甲骨文針對最近CVE-2013-0422的Java零時差漏洞修補程式不完全的討論。在這篇文章中，我們想藉此機會來釐清幾個相關問題。

已經有許多關於甲骨文針對最近CVE-2013-0422的Java零時差漏洞修補程式不完全的討論。在這篇文章中，我們想藉此機會來釐清幾個相關問題。

attack

Java仍有很大的風險

根據趨勢科技的分析，我們已經證實CVE-2013-0422的修補程式並不完整。這CVE包含兩個問題。一個來自com.sun.jmx.mbeanserver.MBeanInstantiator class的FindClass method。另一個來自java.lang.invoke.MethodHandle class的invokeWithArguments() method。甲骨文已經修補了後者，但是findclass method仍然可以被用來獲取被限制class的reference。簡單來說，findclass method的問題仍然留下可供利用的後門，可能被另一個新的漏洞所用。

趨勢科技也想澄清另外一點，這次是針對CVE-2012-3174。和某些報導的觀點不同，這並不是Reflection APT的問題。Reflection API的問題已經在CVE-2013-0422裡被修補了。引用美國國家漏洞資料庫（NVD）的話「註：有些團體將CVE-2012-3174和遞迴使用Reflection API的問題關連在一起，但是這問題已經被CVE-2013-0422所包含。」

在這起事件裡，每個人心裡最大的問題是「使用者安裝這修補程式之後安全嗎？」或是「這修補程式可以防護最近利用CVE-2013-0422的攻擊嗎？」是的，直到有人找到新臭蟲跟第一個問題結合為止。Findclass method仍然是個懸而未決的問題，但它本身不能做為漏洞攻擊。不過訊息很清楚：Java仍然是很大的風險。

不過，想辦法去將Java的風險降到最低還是該做的事情。最理想的狀況是你可以移除Java以完全避免風險。但如果因為某些原因而不可行，那這些技巧可以幫你盡可能地減少風險。

在一般情況下，這是個明智的建議。如果可以的話，使用者應該移除Java，如果並不會用到。不幸的是，對於很多使用者來說，這並不是個選項。很多企業都在Java平台上構建客製化應用程式。消費者可能還需要Java去連上銀行網站（許多都用Java）或執行軟體（Minecraft需要用到Java ）。

 

所以，要如何安全的使用Java？首先，Java威脅主要來自惡意網站的惡意Java程式。如果你是因為應用程式需要而安裝Java，那你可以在瀏覽器禁用Java而不會受到影響。

過去你如果需要這樣做的話，需要一個一個瀏覽器分別設定，但現在不同了。目前的Java版本可以透過Java控制面板來做到這一點。可以在這裡找到如何進行的說明。網頁上的Java程式將無法執行，但Java應用程式可以繼續使用，沒有問題。

基於這個問題，使用者必須考慮自己是否真的需要Java。如果不的話，就應該將其移除。對於無法避免使用Java的使用者而言，還有其他的方法來降低風險：

如果一定要使用Java的該怎麼辦?

很多企業都在Java平台上構建客製化應用程式。消費者可能還需要Java去連上銀行網站（許多都用Java）或執行軟體（Minecraft需要用到Java ）。

  •  如果你因為應用程式需要而安裝Java，就在瀏覽器內選擇停用

所以，要如何安全的使用Java？首先，Java威脅主要來自惡意網站的惡意Java程式。如果你是因為應用程式需要而安裝Java，那你可以在瀏覽器禁用Java而不會受到影響。

過去你如果需要這樣做的話，需要一個一個瀏覽器分別設定，但現在不同了。目前的Java版本可以透過Java控制面板來做到這一點。可以在這裡找到如何進行的說明。網頁上的Java程式將無法執行，但Java應用程式可以繼續使用，沒有問題。

  •  如果公司內部網站或銀行網站需要Java,請個別停用瀏覽器內的Java,選擇一個「次要」瀏覽器來上使用Java的網站，然後在主要瀏覽器中停用它

在這種情況下，你需要在瀏覽器內停用Java。選擇「次要」瀏覽器專門用來瀏覽使用Java的網站，然後在主要瀏覽器中停用它。例如，如果你是Chrome使用者，你可以用Firefox或Internet Explorer來瀏覽Java網站。趨勢科技資深安全顧問Rik Ferguson已經發表過一篇文章提供針對瀏覽器來停用Java的詳細步驟:

  • 在Internet Explorer裡停用Java:的Internet Explorer的「工具」選單內選取「管理附加元件」，停用Java™ Plug-in SSV Helper和Java 2™ Plug-in 2 SSV Helper
  •  在Firefox裡停用Java（MacOS和Windows）：在「工具」選單裡選取「附加元件」，停用Java Deployment Toolkit、Java™ Platform和/或Java Applet Plug-in
  • 在Google Chrome裡停用Java：按入Chrome瀏覽器窗口右上角的「扳手」圖示，選取「選項」，進入「進階選項」然後選取「隱私權說明」中的「內容設定」。進入「內容設定」面板後，在「外掛程式」區段中選取「停用個別外掛程式」，找到Java並且點擊「停用」連結就可以了！
  •  在MacOS的Safari裡停用Java：在Safari選單內選取「偏好設定」，按一下「安全性」標籤。取消勾選「啟用Java」
  • 在Windows的Safari裡停用Java：在瀏覽器右上角點選「齒輪」圖示，然後選取「偏好設定」，選取「安全性」，取消勾選「啟用Java」。

基本上Internet Explorer和Firefox都可以輕易的在選單內停用外掛程式。Chrome則比較隱密，最快的做法是在地址列上輸入chrome://plugins。一旦你進入設定頁面，停用Java外掛程式來禁止瀏覽器執行任何Java程式。

此外，Chrome使用者的另一種選擇是控制要不要執行Java程式。Chrome會在執行Java程式前出現提示，讓你選擇只執行這一次或在這網站上永久可以執行。使用者應該要選擇只執行一次，如果他們知道這個網站真的需要Java。 繼續閱讀

認識電腦病毒:什麼是木馬（Trojan）?遠端存取木馬（RAT）?

趨勢科技 TrendMicro

 為什麼到處都是木馬，我要如何阻止他們？

想要在網路上保持安全、不受傷害可能是個艱難的任務。網絡上有許多很棒的東西，不過同樣地，對初學者來說也可能是個地雷區，充斥著網路釣魚（Phishing）詐騙、垃圾郵件(SPAM)和惡意軟體。

在資訊安全產業中，我們可能難以避免地去使用一些難懂的術語。你可能已經在一些新聞報導裡聽過木馬程式，如果他們詳細的介紹網路攻擊。因此，讓我們用白話來介紹，來看看最常見的威脅之一：木馬（Trojan）。

所以它跟蠕蟲（Worm）一樣嗎？或病毒（Virus）？嗯，不完全是

他們都是惡意軟體的一種，或說是惡意程式。但是和病毒或蠕蟲不同，木馬並不進行自我複製。簡單的說，它們是偽裝成無害軟體的惡意程式，這個詞源自於經典的特洛伊戰爭故事，一群希臘士兵藏在一個巨大的木馬以進入特洛伊城，然後跳出來大肆攻擊敵人。

而在電腦世界裡，木馬是種惡意軟體，透過電子郵件或惡意網頁來偷偷地進入並安裝在你的電腦上。一旦進入後，惡意軟體就可以做各種壞事了。

什麼是遠端存取木馬（RAT）？

有些木馬程式被稱為遠端存取木馬（RAT），設計用來遠端操縱使用者的電腦，讓駭客可以完全控制。有些則可能有不同的目的，像是竊取個人資料，側錄鍵盤，甚至將受害者電腦作為殭屍網路/傀儡網路 Botnet的一部分。

P2P和社群媒體攻擊

不幸的是，木馬攻擊已經變得越來越普遍。在網路上就可以買到工具包，像是黑洞漏洞攻擊包（Blackhole Exploit Kit），讓壞蛋們只需要具備有限的技術能力，就可以幫他們把製造和發動惡意軟體最難的部份做掉。通常木馬會偽裝成看似正常的檔案夾帶在不請自來的電子郵件中，不然就是被隱藏在被入侵的一般網站上，或偽裝成一般檔案放在P2P網站，甚至潛伏在社群網站上的連結裡。

繼續閱讀

趨勢科技SafeSyncfor Enterprise企業私有雲 便利安全雙把罩 受核研所青睞採用

趨勢科技 TrendMicro

趨勢科技SafeSync  for Enterprise企業私有雲 便利安全雙把罩 受核研所青睞採用   

隸屬於行政院原子能委員會的核能研究所(以下簡稱核研所)是政府針對原子能研究與應用設立的國家級研究機構，隨著近年來各種新興再生能源技術的發展，也不斷擴張研究領域。核研所的國家級研究資料，是眾多專家學者累積的心血結晶，更是國家未來能源發展之方向，而如何安全地保存這些資料，同時還要能夠確保資料安全且快速的在研究計畫的專家學者間分享與流通，成為核研所資訊人員的重大挑戰。

核研所綜計組副組長王培智博士表示，核研所過去檔案分享的主要管道為檔案伺服器、FTP，以及個別電子郵件。但運用這類管道會遇到的效能瓶頸為檔案過大不易傳輸與管理不易等問題。經由email附加檔案寄送電子郵件，是研究員每天再熟悉不過的流程，但卻對核研所的儲存系統帶來很大的負擔。王培智表示：「所內1,000多名使用者在一天之內會產生高達5萬封電子郵件，其中許多郵件均夾帶大型檔案。經年累月產生的資料量便得耗費不少儲存空間，每天傳輸這些夾檔郵件佔用的網路頻寬，還會排擠其他需使用網路的應用效能。所以一直希望能夠有一套安全、方便管理的檔案分享機制。」

 

趨勢科技SafeSync for Enterprise 企業私有雲 促進企業團隊協同合作能力 受核研所青睞

「研究了市面上相關產品，最後選擇最符合本所需求的趨勢科技SafeSync for Enterprise企業私有雲。」

王培智表示，市面上許多雲端儲存或群組儲存軟體，多半僅能提供資料的共享備份、跨裝置資料同步等功能。趨勢科技SafeSync除了這些功能之外，更俱備資料同步功能，增進核研所內協同合作的能力。

所內研究計畫主持人可以依需求自行開設專屬虛擬資料夾，並設定資料夾共享與存取權限群組，毋須資訊人員代為設定，減輕IT部門負擔。SafeSync的同步更新特質增快所內研究計畫成員間的溝通效能。資料上傳與下載都經由SafeSync自動執行，完全不影響使用者的工作流程，並解除伺服器傳送大量檔案複本造成的負擔。更重要的是，專案負責人能夠自行設定可存取資料的成員，

繼續閱讀

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

趨勢科技 TrendMicro

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

使用者總以為使用了 HTTPS 和 SSL安全連線，就可以高枕無憂。但如果資訊在傳送之前就已遭到竊取，那麼這些安全連線就沒有機會可以保護您的資料。一個新型的密碼還原工具可讓 PASSTEAL 擷取瀏覽器儲存的所有網站密碼，即使是使用安全連線 (SSL 或 HTTPS) 的網站 如 Facebook、Twitter、Pinterest、Tumblr、Google、Yahoo、Microsoft、Amazon、EBay、Dropbox 以及各種網路銀行也無法倖免。

由於資訊已成為一種新興貨幣，網路犯罪者時時刻刻都在思考如何竊取使用者的寶貴資料。而 PASSTEAL 正是歹徒最新的資料竊取工具，內含了一個密碼還原程式，可有效蒐集使用者的登入帳號密碼，即使是採用安全連線的網站也無法倖免。根據我們所分析到的資料，此惡意程式有某些變種是專門竊取 Google Chrome 和 Internet Explorer 當中所儲存的帳號密碼，使用的是類似「PasswordFox」的工具。

過去，趨勢科技已發現多個專門竊取資料的惡意程式，包括專門蒐集影像檔案並且上傳至遠端 FTP 伺服器的 TSPY_PIXSTEAL.A。PASSTEAL 有某些行為與 PIXSSTEAL 類似，但它竊取資訊的方式很不相同。

TSPY_PASSTEAL.A 專門蒐集儲存在瀏覽器內的資訊

趨勢科技偵測到 TSPY_PASSTEAL.A 會擷取多種不同線上服務和應用程式的帳號登入資訊，然後儲存在一個名為 {電腦名稱}.txt  的文字檔內。

有別於大多數透過鍵盤側錄來蒐集資料的惡意程式，PASSTEAL 使用的是密碼還原程式來擷取瀏覽器內所儲存的密碼。在趨勢科技所分析到的樣本當中有一些壓縮過的資料，這是一個專為 FireFox 瀏覽器設計的程式，叫做「PasswordFox」。

 

PASSTEAL 一旦蒐集到資料，就會執行命令列指令程式的「/sxml」選項，將竊取到的帳號密碼儲存成 .XML 檔案，然後再將它轉成 .TXT 檔案。接著，PASSTEAL 會連線至遠端 FTP 伺服器，將蒐集到的資訊上傳。

事實上，此密碼還原工具可讓 PASSTEAL 擷取瀏覽器儲存的所有網站密碼，即使是使用安全連線 (SSL 或 HTTPS) 的網站也無法倖免。使用這類連線的網站包括：Facebook、Twitter、Pinterest、Tumblr、Google、Yahoo、Microsoft、Amazon、EBay、Dropbox 以及各種網路銀行。 繼續閱讀