漏洞攻擊 - 資安趨勢部落格

一鍵就會讓歹徒篡改Android App程式,如何運作?(含影片)

2015 年 06 月 16 日2015 年 06 月 15 日趨勢科技 TrendMicro

趨勢科技發現 Apache Cordova 應用程式框架存在一個漏洞，攻擊者只要透過點擊網址就能修改應用程式的行為。修改範圍從干擾應用程式使用者到徹底讓應用程式崩潰都有可能。

這個編號為CVE-2015-1835的高危險漏洞影響Apache Cordova 4.0.1以下的所有版本。Apache已經發布一個安全公告確認此漏洞。這代表著大多數基於Cordova的應用程式（佔 Google Play上所有應用程式的5.6%）都可能受此漏洞影響。

該漏洞被存在於Cordova的一個功能內，讓Secondary Configuration Variables（也就是偏好設定）可以由Base Activity的Intent Bundles設定。此功能是Apache在2010年11月所發布程式碼更新（也就是Github的提交）的一部分，Cordova Android也更新為0.9.3。

我們的研究顯示，如果Base Activity沒有被適當的防護且偏好設定設成預設值，攻擊者可以改動偏好設定和和竄改應用程式本身的外觀和行為。

漏洞攻擊成功的先決條件

只要符合兩個條件就能成功地利用此漏洞：

應用程式至少有一個元件延伸自Cordova的Base Activity：CordovaActivity或設定Cordova框架（像java）沒有被適當的防護，也就是說可以被應用程式外部存取。
至少一個Cordova支援的偏好設定（除了LogLevel的和ErrorUrl）未在設定檔案（xml）中被定義。

它如何運作

要了解該漏洞如何運作，要先來看看應用程式的偏好設定如何設置。繼續閱讀

新漏洞讓大部分蘋果電腦後門永遠敞開

2015 年 06 月 12 日2015 年 06 月 11 日趨勢科技 TrendMicro

距離第一個蘋果 Mac 電腦後門漏洞 Thunderstrike 被揭發的時間不過數月，現在又被發現了另一個漏洞，同樣也是後門漏洞。而兩個之間有何差異呢？此漏洞與 Thunderstrike 不同之處在於，歹徒不需實際接觸到電腦就能得逞。事實上，駭客可以遠在世界的另一端就能攻擊此漏洞。

這個由 OS X 作業系統資安研究人員 Pedro Vilaca所發現的最新漏洞，讓駭客可將惡意程式安裝到 Mac 電腦的 BIOS 中。它是透過作業系統使用者空間 (userland) 當中的一項功能來達成 (使用者空間就是應用程式和驅動程式所執行的空間)。一旦惡意程式進入了 BIOS，每次電腦開機時，惡意程式都能搶在作業系統「之前」預先載入，因此非常難以清除 (即使並非不行)。

這個漏洞如何運作？首先要在Mac 從睡眠中重新啟動時立即攻破 BIOS 保護機制。在正常情況下，BIOS 區域對於使用者空間的應用程式來說是唯讀的，因為 BIOS 受到一個名為 FLOCKDN 的機制所保護。但基於某些理由，當 Mac 從睡眠模式重新啟動時會暫時解除 FLOCKDN 機制，就在這段期間，BIOS 中的韌體對應用程式來說不再是唯讀狀態，因此讓惡意程式有機會將它改寫，這項韌體寫入動作一般稱為重刷 (Reflashing) BIOS，而網路上也有免費的現成應用程式可執行這項動作，例如：Flashrom。如同 Vilaca 在文章中指出，這項手法不需實際接觸目標 Mac 電腦就能做到。他在部落格當中詳細說明了這項漏洞，事實上根據他的說法，只需利用某個含有惡意程式的網站發動順道下載攻擊就能重刷 BIOS。

當然，情況也沒那麼糟，至少要成功感染電腦不是那麼輕而易舉。駭客若要成功，首先必須透過某個漏洞來讓他取得 OS X 系統管理員 (root) 權限，但其實網路上這樣的攻擊很少。此外，駭客還要想辦法讓系統進入睡眠，如此才能取得攻擊機會，不過根據 Vilaca 的看法，這算是整個過程當中較容易的環節，因為攻擊程式可以設計成當偵測到系統要進入睡眠時才啟動，或者強迫系統進入睡眠。

現在我們知道有這樣的漏洞，那到底哪些系統可能受到影響？Vilaca 指出，在 2014 年中期之前出廠的蘋果電腦都可能受到此漏洞影響。此外他還指出，他已在一台 MacBook Pro Retina、一台 MacBook Pro 8.2 以及一台 MacBook Air 上試驗成功，而這些電腦全都使用蘋果提供的 EFI 韌體。至於 2014 年中期之後出廠的電腦則對這項攻擊免疫，Vilaca 並未解釋箇中原因。據他猜測，有可能是蘋果暗自修補了這項漏洞，不然就是意外修正了這項漏洞。

這項漏洞是否有防範之道？答案是「有」也「沒有」。針對這項漏洞，使用者能做的不多，不過使用者還是可以設定系統在閒置時不要進入睡眠。此外，進階使用者也可以下載 Trammell Hudson (Thunderstrike 的作者) 所提供的軟體來將 BIOS 晶片上的內容傾印 (dump，也就是複製) 出來。然後再將傾印出來的內容與蘋果的原始韌體檔案比對一下，就可知道是否遭人植入惡意程式 (因為重刷過之後的 BIOS 一定會和原始韌體不同)。

隨著越來越多諸如此類的蘋果系統漏洞浮上檯面，歹徒遲早會開始將這些漏洞用於不良意圖，因此，Mac 使用者應盡速妥善保護自己的裝置。正如我們一開始所大聲疾呼的，想要藉由資訊不透明來保障系統安全，再也行不通了，尤其在今日的威脅環境下。

◎原文來源: New Vulnerability Leaves Most Apple Machines Vulnerable to Permanent Backdoor Badness

《提醒》在粉絲頁橫幅,讚的右邊三角形選擇接收通知和新增到興趣主題清單,重要通知與好康不漏接

< WS 2003 EOS > Windows Server 2003 終止支援倒數計時

2015 年 06 月 02 日2015 年 07 月 27 日趨勢科技 TrendMicro

五月中，Microsoft 針對 Microsoft Windows Server 2003(WS 2003)一口氣釋出了七份安全公告。現在，這個長壽的伺服器作業系統只剩兩次週二定期性更新：6 月 9 日 (二) 以及 7 月 14 日 (二)。過了 2015 年 7 月 14 日,WS 2003終止支援後，未來 Windows Server 2003 將不再有任何安全更新。

就實際而言，這意味著，若您 2015 年 7 月 15 日起還在使用 Windows Server 2003 的話，未來當 Windows Server 2003 發現任何新的漏洞時，您將立即面臨危險，因為從那一天起，Windows Server 2003 將不再釋出任何安全更新。

這並非第一次Microsoft 長壽的作業系統面臨終止支援。就在一年前，Windows XP 也終於在歷經 13 年半的日子之後劃下句點。雖然 Windows Server 2003 不像 Windows XP 如此長壽，但也快 12 歲了，其伺服器端面臨的問題也和 Windows XP 用戶端一樣嚴重。

正如 Windows XP 當年終止支援前夕仍有大量的用戶一樣，即使現在我們也還能看到大量企業正在使用 Windows Server 2003。根據 The Enterprise Strategy Group 最近的一項調查顯示，82% 的受訪者其企業內仍有一些 Windows Server 2003 存在。這些受訪者當中有 25% 表示，針對即將終止支援這件事的打算就是「在缺乏支援和維護的情況下繼續使用 Windows Server 2003」。

使用缺乏支援的作業系統，當視為營運上的一項漏洞，因為這基本上是個危險又不智的舉動。繼續閱讀

廣告網路被入侵，使用者成為Nuclear漏洞攻擊包的受害者

2015 年 05 月 21 日2015 年 09 月 09 日趨勢科技 TrendMicro

MadAdsMedia，這是一家美國的網路廣告商，最近遭受到網路犯罪份子的入侵，導致使用他們廣告平台的網站帶給訪客出自Nuclear漏洞攻擊包的Adobe Flash漏洞攻擊。每天有多達12,500名的使用者可能受到此威脅的影響；其中有三個國家佔了一半以上的點擊量：日本、美國和澳洲。

圖1、這次攻擊最早出現在四月，雖然流量相較起來比較低。受影響使用者的數量在五月初開始出現顯著成長，在5月2日達到每日12,500名受影響使用者的高峰。

最初，趨勢科技認為這是另一種型態的惡意廣告，但後來所發現的證據顯示並非如此。一般的惡意廣告攻擊會是由攻擊者所註冊廣告軟體來觸發的重新導向。但在MadAdsMedia事件中並非如此。我們看到其JavaScript 程式庫的網址出現異常行為 – 這原本是用來分配廣告如何顯示在客戶網站：

圖2、JavaScript程式庫網址提供JavaScript，就如預期的一般

繼續閱讀

與FREAK類似的新漏洞:LogJam 破壞了安全金鑰交換…在某些時候

2015 年 05 月 21 日2015 年 05 月 29 日趨勢科技 TrendMicro

又一個用來保護網路安全的基礎加密演算法出現漏洞。這個漏洞被其發現者（來自各大學和公司的研究人員）稱為Logjam攻擊，讓攻擊者可以用中間人攻擊來減弱安全連線（例如 HTTPS、SSH和VPN）所用的加密方法。理論上，這代表著攻擊者（具備足夠的資源）可以破解加密並讀取「安全」的網路連線內容。

從某些方面來說，這種攻擊跟最近的FREAK攻擊類似。兩種攻擊都是因為對「出口等級」加密標準的支援而變得可能。直到1990年代，加密被美國認為是一種「武器」而限制「出口」到美國以外的產品能夠支援的加密強度。不幸的是，原本「可接受」的加密強度現在已經可以被破解，只要有足夠的運算資源。

該漏洞存在於Diffie-hellman金鑰交換進行的過程。Logjam可以用來降低接受的演算法強度到使用 512-bit質數（使用在「出口等級」加密）。類似的研究（也由Logjam研究者進行）證明其他漏洞也存在於使用768-bit和1024-bit質數的系統。國家等級可能有必要的資源來利用這些漏洞；讓攻擊者可以解密被動收集來的安全通訊。

誰有危險？

理論上，任何使用Diffie-hellman金鑰交換的協定都可能面臨這種攻擊的風險。然而，請注意這種攻擊要求符合兩個條件來進行攻擊：可以攔截安全伺服器和用戶端間的網路流量以及大量的運算資源。

研究人員估計，前100萬網域中有高達8.4%的網站是可能有此弱點的。類似比例的POP3S和IMAPS（安全郵件）伺服器也有危險。

我現在該怎麼做？

對於一般使用者來說，真正要做的只有一件事：更新你的瀏覽器。所有的主流瀏覽器廠商（Google、Mozilla、微軟和Apple）都在為他們的產品準備更新，應該很快就會發佈。你還可以透過這個網站來檢查你的瀏覽器是否有此弱點。

對於軟體開發者來說，要修補也是相對簡單。確認你的應用程式所使用的加密程式庫是更新的。此外，也可以在金鑰交換時指定使用較大的質數。

主要的工作落在使用有風險服務和協定的伺服器管理者身上。對他們來說，需要進行下列事情：