Heartbleed漏洞提供了APT 攻擊者新武器!!

只要等待受影響的網站進行更新,接著變更再自己的密碼就沒事了 ?
錯了,Heartbleed漏洞比心血管疾病還要致命一千倍。

Heartblee 心淌血d漏洞提供了APT 攻擊者新武器

Heartbleed漏洞,這是個因為被廣泛使用OpenSSL加密程式庫內的編碼錯誤所造成的漏洞。該漏洞在過去幾天內佔領了所有新聞的頭條,這是理所當然的,因為其對消費者和企業的資訊安全都帶來巨大的風險。

因為它主要的涵蓋範圍可能會讓你認為,只要等待受影響的網站進行更新,接著變更再自己的密碼就沒事了。錯了,Heartbleed漏洞比心血管疾病還要致命一千倍。它的的確確是到目前為止影響最廣的立即風險,這是因為可能受到此漏洞影響的人數,因為受影響網頁伺服器所會暴露的敏感資料(可能包括了密碼和session cookie)。即便是第一波的修補完成,剩餘的風險還是相當巨大。

OpenSSL並不只限於網頁伺服器在用,電子郵件協定、聊天協定和安全虛擬私有網路服務也都有用到。它也可以在世界各地的大量網路和安全產品內找到,所以要解決的路還很長。許多廠商已經開始調查其產品和服務是否存在會受此漏洞影響的OpenSSL版本,而確認受到影響的產品列表還在持續成長中。這注定會是開放給針對性攻擊的季節。 繼續閱讀

2020 比你想像的更近

「我們沒有槍,大家都以為我們像007一樣拔槍和歹徒作戰,但事實上當我們攻堅進入房間時,面對的只有一台台電腦!」與趨勢科技合作打擊網路犯罪的國際警察組織Interpo說.
未來網路威脅樣貌會如何?由趨勢科技和歐洲網路犯罪中心(Europe Cyber Crime Center)合作,由趨勢科技資訊安全研究全球副總Rik領軍拍攝的《2020 網路危機》影集讓你看見更多未來

 

作者:趨勢科技全球安全研究副總裁Rik Ferguson

各位或許已經讀過 Europol EC3、ICSPA 及趨勢科技合著的《2020 》專案 (Project 2020) 白皮書:「網路犯罪未來情境」,也看過相關的《2020 》系列網路影片

當我們在設定《2020 》專案的科技背景並描繪消費者、企業與政府機關的情境時,最大的挑戰之一就是預測科技世界一日千里的發展速度。科技的創新只會變得越來越快 (生活上的一些其他事物也一樣) ,消費者適應的時間越來越短,而歹徒抓住最新機會的步伐卻越來越快。

2020

雖然我們在《2020 》白皮書與系列影片中所描繪的情境只是未來的可能發展之一,但有趣的是我們已見到當中的一些蛛絲馬跡開始出現在 2013 年與 2014 的的真實世界。

這份白皮書是在美國前中情局職員史諾登 (Edward Snowden) 爆料政府監控人民之前,同時亦早於 2014 年消費性電子展 (CES 2104),但我們已從不只這些來源看到白皮書當中所點出的議題開始浮現。

「可預見的,一般人民將要求其服務供應商及政府機構對其資料的處理更加透明,並且負起更大責任。就目前預期的科技發展速度來看,例如擴增實境與充斥全球的感應器,我們將需要花費更大力氣來說服網際網路使用者有關新興科技及其服務機構在網際網路監督方面的可信賴度。」這句話顯然乎應了今日各國政府早已逾越人民心中底線的現況。

其中的一項發展是,德國總理默克爾 (Angela Merkel) 呼籲成立歐洲網際網路來避免資料被傳輸到歐洲掌控的基礎建設之外,這又呼應了《2020》白皮書的一段話:「各種不同區域性網際網路的出現,讓國際外交受到挫折。[…] 國際外交與網際網路外交現在已是一體兩面。

而在消費者情境部分則主要圍繞在擴增實境已成為存取線上內容的標準方式。在網路影片中,我們進一步將目前的抬頭顯示器 (HUD) 縮小成隱形眼鏡 (至少有錢人應該負擔得起),只可惜執法人員還是只能配戴一般傳統眼鏡。CES 2014 上有一樣東西讓我很驚訝,那就是 Innovega 公司所發表的 iOptik 智慧型眼鏡。該公司的隱形眼鏡讓配戴者擁有「超於常人」的廣角視野,再搭配一副微投影眼鏡,就能提供 Google Glass 六倍的解析度與 20 倍的視野。如果你看過 iOptik 介面的一些畫面,你可能也會認為他們是《2020 》系列網路影片的粉絲。

2020

《2020 》系列網路影片的世界或許一下子會讓人覺得有點誇張,而且離現在太近,不可能與今日有太大的差別。但趨勢科技完全了解威脅情勢的改變速度有多快,以及歹徒是多麼會利用任何新的賺錢途徑。

原文來源:The Future Is Closer Than You Think

趨勢科技協助 FBI 定罪 SyEye 銀行木馬駭客背後的故事

loveme、kissme、抓我、試試看

圖片來自dprotz,透過創用授權使用

最近美國聯邦調查局(FBI)發表一份新聞稿關於對Aleksandr Andreevich Panin(一名俄國人,更為人所知的名稱是「Gribodemon」或「Harderman」,在網路上跟惡名昭彰的SyEye銀行木馬連結在一起)和Hamza Bendelladj(一名突尼西亞人,網路綽號為「Bx1」)所進行的法律行動。Panin已經為進行線上銀行詐騙的指控認罪,而針對Bendelladj的控訴還在進行中。美國聯邦調局的新聞稿裡也感謝趨勢科技的前瞻性威脅研究(FTR)團隊協助此次調

Bendelladj被指稱經營至少一個 SpyEye 的命令和控制伺服器,雖然我們的TrendLabs部落格和我們的調查已經明確指出他的參與還要更為深入。他在2013年1月5日在曼谷機場被逮捕,而Panin是在去年7月1日飛經亞特蘭大時被捕。

趨勢科技的前瞻性威脅研究團大概在四年前就開始對SpyEye的幕後黑手進行調查。在這段調查期間,我們描繪出支援該惡意軟體的基礎設施,確認該基礎設施的弱點,並找到若干重要線索指出這惡意銀行木馬背後的個人身份。當我們覺得已經有足夠的資訊時,我們和執法單位合作以達到今日你所見到的圓滿結果。

我們進行中的研究有著相當豐富的資料,許多因為法律行動還在進行中而不適合分享出來,但你可能會有興趣知道這些被告最常使用的密碼包括了「loveme」、「kissme」和「Danny000」。我讓你自己去想想有關安全實作的結論。

去年的逮捕行動和最近的認罪再次證明了趨勢科技針對網路犯罪幕後黑手 繼續閱讀

450萬名Snapchat用戶的使用者名稱和電話號碼被曝光

趨勢科技全球安全研究副總裁 Rik Ferguson

在舊時代,一切都還是黑白分明的時候,如果有陌生人在街上接近你,跟你要通訊錄副本的話,你肯定覺得他瘋了。如果有店員堅持要你用100名朋友的資料來換取優惠券也會是一樣奇怪的要求。不知什麼時候,資料本身數位化了,而且傳輸過程無形且無痛,讓這些成為完全可以接受的行為。與其繼續讓隱私被侵蝕,這類服務的使用者最好將手機用在其長期被忽略的原本目的上,或許打電話給那些朋友們,甚至安排見個面(!)好親自聊聊你所發現很棒的新應用程式,而不是一股腦地將你的朋友賣掉。

超過450萬名Snapchat用戶的使用者名稱和電話號碼被發佈在名為SnapchatDB.info的網站上。根據TechCrunch,SnapchatDB表示攻擊者是利用一個在2013年12月23日所披露的漏洞。

DLP

 「我們這次發佈背後的動機是為了提高公眾意識在解決該問題上,也將公眾壓力帶給Snapchat,好讓此漏洞獲得修復。高科技初創公司的資源有限是可以理解的,但安全和隱私不該是次要目標。安全的重要性就跟使用者體驗一樣」

當然,這並非第一次在 Snapchat 服務或應用程式上發現漏洞。在最近幾個月內,各種偷偷儲存照片或恢復已刪除照片的方法已經成為好幾次的頭條,這些都是應用程式本身的漏洞,在使用者設備上攻擊漏洞。最新的這次攻擊是利用Snapchat自己伺服器上API的弱點,該API用來讓 Snapchat伺服器和 Snapchat客戶端進行通訊。

這些弱點可以讓自動化系統在短時間內對 Snapchat伺服器進行大量的查詢,發掘特定號碼是否存在 Snapchat 的資料庫內,並檢索與該號碼相關聯的其它資料,當然這號碼就是行動電話號碼。這次攻擊,再加上進一步的資料採礦(像透過社群媒體),可以輕易地建立出非常巨大的個人資料庫,用在各種進一步的攻擊或用來轉售。雖然Snapchat在幾個月前就意識到這些漏洞,GibsonSec – 概念證明漏洞攻擊碼的公布者聲稱他們仍然可以輕易地加以攻擊,而Snapchat DB證明了這一點。 繼續閱讀

從 Android 安全主管 Adrian Ludwig 在柏林 Virus Bulletin 大會的簡報談起

趨勢科技全球安全研究副總裁 Rik Ferguson

有兩個和Google Android作業系統有關的消息吸引了我的注意。首先是Android的安全主管Adrian Ludwig在柏林Virus Bulletin大會上所做的簡報,標題是「Android – 從無到有實作安全」。第二個就是Eric Schmidt親自加入論戰,並且宣稱Android比其主要競爭對手Apple iOS還「更加安全」。把它想成這只是句場面話來爭取支持也就可以接受了。

讓我們來看看Adrian Ludwig在柏林VB大會上的演說內容。Adrian拿出Google所擁有的Android設備安裝應用程式的大量資料,來說明只有0.001%的應用程式可以穿過Android所提供的「多層次安全防護」,有辦法實際去危害到使用者。對於一個如此應用廣泛又被犯罪份子所針對的作業系統來說,這實在是個令人印象深刻的說法。根據其演說內容,這幾層的安全防護是:Google Play,來源不明警告,安裝確認,驗證同意應用程式,驗證應用程式警告,執行分析和每個應用程式都必須運作於其中的基於權限沙箱技術。如果我對這些演講稿理解正確的話,以使用者的說法,這就等於是:Google Play,對話框,對話框,驗證應用程式,對話框,執行分析和對話框。

雖然Google的應用程式驗證技術有很大的突破,特別是現在已經和作業系統本身脫鉤,還是有許多惡意應用程式出現在Google Play上。事實上,根據最新資料( 2013年10月12日 ),有超過46 %被趨勢科技列為「惡意」(姑且不算入高風險)的應用程式直接來自Google Play。至於說到來源不明警告,安裝確認對話框以及權限/沙箱警告,我們可以這樣說,不僅應用程式開發人員常設計出過多的請求動作,使用者也很少會真的看要求的內容,甚至不會去了解他們授予權限所帶來的潛在影響。如果可以取得權限,那又有誰需要漏洞攻擊碼呢?有關應用程式授權問題只會要求一次,之後沒辦法再隨時的撤銷。不是全有就是全無,應用程式開發人員也都待在自己的世界裡,所以還是照著傳統電腦世界裡的「下一步、下一步、下一步」作法。

繼續閱讀