資安名詞/什麼是?/ 何謂? - 資安趨勢部落格

中國無人機大廠大疆創新 (DJI) 竟將 SSL 金鑰公開存放在 Github 儲存庫

2017 年 11 月 23 日2017 年 11 月 21 日趨勢科技 TrendMicro

全球最大無人機製造商之一大疆創新 (DJI) 被資安研究人員發現其 HTTPS 憑證竟大剌剌地存放在 GitHub 開放原始碼儲存庫 (Repository) 上長達四年。

研究人員 Kevin Finisterre 在一個公開的 GitHub 儲存庫上發現 DJI 的金鑰。該儲存庫中包含了 AWS 帳號登入憑證、AES 加密金鑰，以及公開的 AWS S3 儲存貯體 (Bucket)。Finisterre 指出，儲存庫內甚至還有個人身分識別資訊 (PII)。

DJI 已公開承認此事，並表示將評估及解決此問題，而受影響的 HTTPS 憑證也已在 9 月撤銷。該公司幾個月前公布了一項臭蟲懸賞計畫，不論個人或團隊，只要能夠找到 DJI 軟體的問題，就能獲得獎賞。Finisterre 也參加了這項懸賞計畫，並且原本有機會獲得 3 萬美元的獎金，但因不認同該計畫的某些條款而決定將發現的結果公開，並撰寫了一份長達 18 頁的報告 (PDF)。

這已經不是第一次因為雲端服務組態設定不當而導致資料可能遭到外洩。許多使用雲端的企業皆未徹底做好安全措施，甚至犯了一些明顯錯誤，因而使得資料暴露在外。所以可見，像雲端服務組態設定這麼簡單的問題，都可能導致資料外洩。

企業須了解，雲端基礎架構的安全，不單只是服務供應商的責任，雙方都必須共同分擔，因此企業與供應商應共同配合，這包括所有存放在雲端的一切在內。企業若能落實這份共同安全責任，就能避免發生前述的尷尬情況及相關損失。

趨勢科技 Hybrid Cloud Security 雲端解決方案，融合了跨世代的威脅防禦技巧，專為保護實體、虛擬及雲端工作負載而設計，能協助企業履行其共同分攤的安全責任。此外，更內含趨勢科技Deep Security這套領先市場的伺服器防護，隨時隨地保護著全球數以百萬計的實體、虛擬及雲端伺服器。

原文出處：Drone Manufacturer DJI Leaves SSL Key Exposed on Public Repository

《數位貨幣》採礦機不夠力? 礦工改用這些方法獲利

2017 年 11 月 16 日2017 年 11 月 16 日趨勢科技 TrendMicro

數位貨幣採礦是一項需要大量電力、強大顯示卡、專用處理器和其他硬體才能持續運作的密集性工作。比特幣仍然是最具價值的數位貨幣（在10月的第三週創下近6,000美元的高點），但是需要大量的投資才可能回本。

正如此報告中提到，不夠力的採礦機花在電力的花費比從比特幣 Bitcoin) 上賺的還要多。而因為開採一個區塊的獎勵（這是支撐比特幣的交易）減少了，所以就更難獲取利潤。在2016年，比特幣採礦收益減半至12.5比特幣，預計大約每四年下降一次。而且開採比特幣的主力變成企業化的做法，因為需要用客制化的ASIC硬體開採才有利可圖。

面對這些狀況，很多人會將數位貨幣採礦計畫轉向被認為能夠防止ASIC開採的其他貨幣，讓使用普通硬體也能夠以合理的回報開採這些貨幣。網路犯罪分子似乎也朝著這個方向前進，比特幣Bitcoin) 以前是地下市場內許多人的首選貨幣，但目前的數位貨幣採礦病毒大多是針對門羅幣（Monero）或Zcash。

隨著數位貨幣價值的水漲船高，網路犯罪分子會不斷開發新方法和技術來有效地挖掘數位貨幣也就不足為奇了。

合法廣告的代替品: 要求訪問者捐贈電腦處理能力，透過採礦來贊助網站

CoinHive是特意開發來做為網站替代收入來源的合法採礦程式。網站所有者不需要讓廣告將網站弄亂，而是要求訪問者捐贈電腦處理能力，透過採礦來贊助網站。一個熱門種子網站是採用此作法的首波主要網站之一。但是訪客並沒有被告知或提供退出選項。繼續閱讀

網路間諜集團以紐約恐攻事件當誘餌

2017 年 11 月 14 日2017 年 11 月 14 日趨勢科技 TrendMicro

Pawn Storm 攻擊行動 (亦稱為 Fancy Bear、APT28、Sofacy、STRONTIUM) 又登上媒體版面，資安研究人員再次揭露該集團最新的網路間諜行動。該集團最近的魚叉式網路釣魚行動使用的是暗藏惡意程式的 Word 文件，並利用前不久 (10 月 31 日) 紐約發生的恐攻事件為社交工程誘餌。

根據報導指出，駭客利用了 Microsoft Office 的動態資料交換 (Dynamic Data Exchange，簡稱 DDE) 機制來開啟一個命令提示字元視窗並執行 PowerShell 指令去下載及執行一個用來分析受害者電腦的程式。如果受害者電腦對他們有價值，就進一步植入一個後門程式 (X-Agent 或 Sedreco)。

[TrendLabs 資訊安全情報部落格：REDBALDKNIGHT/BRONZE BULTER 網路間諜集團的「Daserf」後門程式開始採用圖像隱碼術]

DDE 是一種讓不同應用程式之間彼此分享、交換資料的機制。但駭客卻利用它來開啟命令提示字元視窗，或者執行惡意程式碼，不再仰賴巨集功能。雖然這並非什麼新的技巧，但這種利用 DDE 機制的手法確實越來越受網路間諜集團以及整天想著賺錢的網路駭客關注。就連 Locky 勒索病毒和其長期共犯 Necurs 殭屍網路最近也開始使用這項技巧。

[延伸閱讀：網路間諜集團 Turla 在 G20 工作小組高峰會前發動一波行動]

然而除了 DDE 逐漸受到青睞之外，近期也出現了大量的網路間諜及網路宣傳活動。例如，美國外交關係協會 (Council on Foreign Relations，簡稱 CFR) 今年至目前為止就遭遇了 26 次不同的攻擊行動。事實上，光過去幾個星期就有多個駭客團體利用各地的政局發展來發動攻勢，其中包括：

Keyboy：同樣也是利用 DDE 在系統植入資訊竊取程式。
Sowbug：專門攻擊南美和東南亞的外交使節團與外交政策機構。
OceanLotus/APT32：曾在東南亞國家協會 (ASEAN) 高峰會招開前夕展開攻擊行動。
ChessMaster：曾開發出新的工具和技巧來讓其活動更加隱密。
BlackOasis：使用一個 Adobe Flash 軟體的零時差漏洞來散發間諜程式，專門鎖定中東政治人物和聯合國官員。

[資安基礎觀念：越來越多利用 PowerShell 相關威脅該如何防範?]

對企業機構而言，這些案例都突顯出邊界防禦的重要：從閘道、網路、伺服器到端點裝置，因為沒有任何平台能夠倖免於攻擊。以下是一些能夠大幅縮小企業攻擊面的縱深防禦措施：繼續閱讀

Daserf 間諜集團以「心肺復甦術」、「防災計畫」主旨信件及日文加圖像隱碼術,騙倒日本企業

2017 年 11 月 13 日2017 年 11 月 11 日趨勢科技 TrendMicro

網路間諜集團REDBALDKNIGHT (亦稱為 BRONZE BUTLER 和 Tick)專門鎖定日本企業機構，包括公家機關 (如國防單位) 及生技、電子製造、化工等產業。該集團習慣使用「Daserf」後門程式 (趨勢科技命名為 BKDR_DASERF，亦稱為 Muirim 和 Nioupale)，主要具備四種功能：執行命令列指令、下載和上傳資料、擷取螢幕畫面、側錄鍵盤輸入。

不過，根據趨勢科技最近的監控顯示，歹徒不只利用 Daserf 的變種來監控日本與南韓企業機構，其蹤跡甚至已延伸到俄羅斯、新加坡和中國。而且我們也發現各種不同版本的 Daserf 會使用不同的技巧及圖像隱碼術 (steganography)，也就是將程式碼暗藏在令人料想不到的地方 (如圖片當中)，因此更不易被察覺。

如同許多網路間諜行動一樣，REDBALDKNIGHT 集團的攻擊雖然斷斷續續，卻持續很久。事實上，REDBALDKNIGHT 集團早在 2008 年起便一直鎖定日本企業和機構，至少從他們所寄給攻擊目標的誘餌文件日期來看是如此。其攻擊目標相當特定，這一點從其社交工程（social engineering ）技巧即可看出。REDBALDKNIGHT 集團攻擊行動當中使用的誘餌文件，日文非常流利，而且是使用日本的文書處理軟體「一太郎」(Ichitaro) 所撰寫。例如其中一個誘餌文件內容是「平成 20 年年度防災計畫」。

圖 1：REDBALDKNIGHT 寄給日本攻擊目標的誘餌文件內容屬性。

圖 2：REDBALDKNIGHT 所使用的誘餌文件樣本，歹徒在魚叉式網路釣魚電子郵件使用「防災計畫」為標題來引誘受害者上當。

以「心肺復甦術 (CPR)」、「防災計畫」等信件標題為誘餌

REDBALDKNIGHT 的攻擊行動一開始通常使用魚叉式釣魚攻擊（SPEAR PHISHING）來尋找破口。其附件檔案會攻擊一太郎文書處理軟體的漏洞。這些文件是該集團用來轉移注意力的誘餌，以便能夠在背後暗中執行惡意程式，他們會以「心肺復甦術 (CPR)」、「防災計畫」等標題為社交工程誘餌。繼續閱讀

採礦程式商 Coinhive 遭駭 ! DNS 伺服器帳號因密碼強度不足遭入侵

2017 年 11 月 02 日2017 年 11 月 01 日趨勢科技 TrendMicro

Coinhive 採礦程式公司是一家相當積極的公司，專門為網站開拓另一種收入來源：不必在網頁上夾帶大量廣告，只要在網頁內嵌開採 Monero (門羅幣) 的 JavaScript 程式碼即可。這些程式碼會使用訪客裝置的運算資源來開採門羅幣。Coinhive 會從開採出來的門羅幣中收取一定比例的傭金，其餘則歸網站所有。

10 月 24 日，Coinhive 公司發出聲明表示該公司所使用的 DNS 服務帳號於 10 月 23 日遭到駭客入侵。駭客篡改了 Coinhive 的 DNS 記錄，將所有連上 coinhive.min.js 的流量指向另一台非該公司所有的伺服器。

Coinhive 在聲明中表示：「這台第三方伺服器上使用了一個修改過的 JavaScript 檔案，將網站金鑰寫死在檔案內。這基本上等於讓駭客可以竊取我們用戶開採出來的成果。」

該公司已經針對該事件出面道歉，而該事件據稱是因為密碼強度不足而引起，且此密碼是在 2014 年 Kickstarter群眾募資網站資料外洩事件當中早已外流。這當然並非第一次因為重複使用相同密碼所導致的問題。Coinhive 表示他們公司已實施了雙重認證 (2FA) 且並不重複使用相同密碼，只是該 DNS 的帳號存在已久，因而忘了更新密碼。

聲明中強調，沒有任何帳號資訊遭到外流，且該公司的網站和資料庫伺服器都沒有遭到入侵。該公司已提出用戶補償計畫，每位用戶將可獲得其網站每天 12 小時平均開採金額的補償。

帳號安全小祕訣

此事件再次突顯出網路帳號安全的重要性。使用複雜且非重複的密碼絕對有其必要，而且，企業應該妥善運用服務供應商所提供的所有安全措施。除此之外，我們也在此提供一些額外的小祕訣：