ScarCruft 網路犯罪集團最近開發出一種可掃瞄藍牙裝置的惡意程式，蒐集包括裝置名稱、位址、類型以及連線和認證等資訊。此惡意程式利用了 Windows Bluetooth API 來蒐集這些裝置資訊。
這起多重階段攻擊行動專門鎖定俄羅斯、越南和香港的投資與貿易公司。ScarCruft 會運用魚叉式釣魚（spear phishing）技巧或水坑式攻擊試圖滲透目標企業機構。
[延伸閱讀：Anatomy of a spear phishing attack]
該惡意程式 (趨勢科技命名為 Trojan.Win32.SCARCRUFT.AA) 在滲透系統之後，會下載一個惡意程式來躲避 Windows 的使用者帳戶控制 (UAC) 機制，此機制是 Microsoft 整體安全願景的一環。
惡意程式一旦成功避開 UAC 的管制，就能以更高的權限執行，並在受害企業機構內執行一些合法的滲透測試工具。為了進一步躲避偵測，還會利用圖像隱碼術(Steganography)來隱藏自己的程式碼。
繼續閱讀
一封看似正常的回覆郵件卻夾帶含有銀行木馬和間諜軟體! 現在網路釣魚變得越來越進化且具有針對性，對受害者的社交工程攻擊手法也同時升級。 一封信丟了工作,還被雇主索賠 400 多萬台幣 是個慘痛的真實案件 。
隨著網路安全解決方案使用機器學習(Machine learning,ML)及其他先進工具來加強對郵件型態威脅的偵測，網路犯罪分子也在持續地調整自已的武器，升級原有的社交工程攻擊手法（如網路釣魚(Phishing)）來讓使用者更容易落入詐欺、身份竊盜及偽造身份的陷阱，使得企業損失了大量的金錢。美國聯邦調查局報告指出，美國境內外的企業在2013年10月到2018年5月期間因變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise簡稱 BEC)損失超過了125億美元。
[延伸閱讀：HTML附件和網路釣魚如何被用在BEC詐騙攻擊]
趨勢科技年度 Cloud App Security報告顯示光是在2018年，趨勢科技的Smart Protection Network安全基礎架構就封鎖超過 410億筆的電子郵件威脅。隨著人們越來越了解到讓網路釣魚成功一次就可能讓企業蒙受巨大的經濟損失，企業也學會了採用更好的電子郵件安全解決方案和最佳實作。因此，網路犯罪分子也對應地改變工具及改進網路釣魚策略。
繼續閱讀Microsoft Office 365仍是相當吸引網路犯罪分子的目標，因為全世界有越來越多企業持續在使用中。根據Barracuda Networks新發表的報告指出，光是2019年3月就有超過150萬封惡意和垃圾郵件從數千個被入侵的Office 365帳號寄送出去。據說帳號盜用（account takeover）攻擊的增加是造成此巨大影響的原因。
[延伸閱讀：新出爐報告發現有25%的網路釣魚攻擊繞過了Office 365的安全防護]
帳號盜用（account takeover）攻擊背後的憑證取得
該份報告詳細介紹了網路犯罪分子盜用Office 365帳號的各種方法。最常見的一種是用釣魚郵件誘騙使用者連到偽造的Office 365登入表單。當使用者登入後，網路犯罪分子就能夠取得其電子郵件帳號。在2018年，趨勢科技的Cloud App Security偵測到350萬次此類攻擊。
繼續閱讀
電子郵件仍是種常見的感染媒介，因為它很容易被濫用，攻擊者可以利用它來製造持續且數量龐大的威脅。僅僅在2018一年，趨勢科技 Cloud App Security™ 就封鎖了890萬封通過Office 365內建安全機制的高風險郵件威脅。新出爐的Avanan報告進一步證明了郵件服務如何的脆弱，該報告發現，針對Office 365所進行的546,247次網路釣魚攻擊中，有25%能夠繞過其安全機制。
該報告檢視了寄送到Office 365和G Suite的5550萬封電子郵件，發現每99封就有一封是網路釣魚郵件。該份報告將這些網路釣魚郵件再細分下去，惡意軟體類型釣魚郵件或利用釣魚郵件在受害者系統上安裝惡意軟體佔了50.7%，騙取帳密的釣魚郵件佔了40.9%，敲詐勒索類型為8%，而魚叉式網路釣魚則是0.4%。
[延伸閱讀：網路釣魚郵件利用ZeroFont躲過Microsoft Office 365過濾機制]
用於網絡釣魚及其他基郵件類型攻擊的作法
Avanan報告還指出網路犯罪分子經常會假冒品牌來偽造顯示名稱，讓受害者點入惡意連結或將帳密無意間提供給假的登入頁面。該報告指出，每25封品牌郵件可能至少有一封是網路釣魚郵件。
繼續閱讀美國奧勒岡州的 Department of Human Services (DHS) 近期對外公告，有超過 35 萬名客戶的健康資訊遭到曝光。經奧勒岡州 DHS 資安團隊調查發現，研判資料外洩的起因是：有九名員工點擊了網路釣魚 URL，使員工的電子郵件帳戶資訊與信箱遭到入侵。
〔延伸閱讀: 變臉詐騙(BEC)將深入基層職員,員工沒看穿的騙局,造成的損失可能比病毒還大! 〕
據新聞稿指出，奧勒岡州 DHS 員工是在 2019 年 1 月 8 日收到魚叉式網路釣魚的電子郵件，而遭到入侵的信箱內據說有將近 200 萬封電子郵件。直到 1 月 28 日，才確定有客戶的個人健康資訊或受保護的健康資訊 (PHI) 遭到未經授權人士的存取。奧勒岡州 DHS 表示，雖然他們阻止了更進一步對入侵信箱的未授權存取，但卻無法證實是否有任何 PHI 遭到竊取或濫用。
客戶遭外洩的 PHI 屬於健康保險隱私及責任法案 (HIPAA) 的保護範圍，此外，該事件依奧勒岡州身分竊取保護法 (Identity Theft Protection Act) 亦屬違法。該資料外洩中可能遭到入侵的資訊包括下列項目：姓氏和名字、地址、生日、社會安全碼、個案編號，以及其他用於管理 DHS 計畫的資訊。
網路罪犯為了入侵電子郵件帳戶及各種其他服務，使用越來越多樣化的方式來發動網路釣魚攻擊。美國特勤局在 1 月分享了可能連結到加密文件的魚叉式網路釣魚電子郵件相關資訊。使用者點擊 URL 時，會出現假的 Office 365 登入要求表單，要求其輸入電子郵件帳戶憑證。使用者一旦採信，網路罪犯便能取得其電子郵件帳戶的存取權。
繼續閱讀