社群(交)網路 - 資安趨勢部落格

想看 iCloud被駭明星影片,請先分享到fb?! 搜尋被駭明星關鍵字,當心病毒守株待兔

2014 年 09 月 05 日2014 年 09 月 11 日趨勢科技 TrendMicro

隨著整個網路因為 iCloud 被駭導致A 咖女星私密照外流事件而鬧得沸沸揚揚 – 超過一百位明星的照片被放上網路 – 網路罪犯利用這事件來進行社交工程（social engineering ）誘餌只是遲早的事情。所以也真的發生了，趨勢科技注意到一些針對尋找上述外流照片使用者的特製新騙局。

趨勢科技發現的第一個威脅出現在Twitter上，有推文加上含有某一受害者名字的主題標籤 – 珍妮佛·勞倫斯（Jennifer Lawrence）。這推文帶有一個短網址，一旦點入，會將使用者帶到提供受害女明星影片的網站。

圖1、帶有惡意連結的推文

圖2、提供影片的網站 繼續閱讀

安裝社群網站外掛,導致漏洞攻擊,日本、台灣相繼傳出災情

2014 年 09 月 04 日2014 年 09 月 04 日趨勢科技 TrendMicro

在過去幾個禮拜裡，一個被稱為 FlashPack 的漏洞攻擊包一直在攻擊日本的使用者。為了要感染使用者，這漏洞攻擊包並不依賴於垃圾郵件或被駭網站：相對地，它採用了被駭的網站外掛。

使用這外掛的網站所有者是為了加上社群媒體分享按鈕到自己的網站上。網站所有者所要做的就只是在自己的網站設計模版中加入幾行JavaScript程式碼。這程式碼會在外掛網站上免費提供。

加入的腳本會增加如下版面到網站上：

圖1、新增的分享按鈕

要做到這一點，首頁上的一個JavaScript檔案會被載入。光是這樣就該發出警訊：這代表網站所有者在非其控制的情況下載入來自外部伺服器的腳本。如果它載入的腳本來自受信任網站，如Google、Facebook或其他知名網站是一回事；但載入無名伺服器網站上的腳本又是另外一回事。

而事實證明，這腳本被用於惡意目的。在某些網站上並非執行原有的外掛腳本，而是將使用者重新導向FlashPack的腳本，像這樣：

GET https://{add-on domain}/s.js HTTP/1.1

User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.13) Gecko/20101203 Firefox/3.6.13

Accept: */*

Accept-Language: en-us,en;q=0.5

Accept-Encoding: gzip,deflate

Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7

Keep-Alive: 115

Connection: keep-alive

Referer: {victimized website}

Host: {add-on domain}

上述文字是對外掛腳本的HTTP請求，網址部分被處理過。下面是伺服器的回應：

HTTP/1.1 302 Found

Date: Thu, 14 Aug 2014 02:39:45 GMT

Server: Apache/2.2.26 (Unix) mod_ssl/2.2.26 OpenSSL/0.9.8e-fips-rhel5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635

Location: {exploit kit URL}

Content-Length: 386

Connection: close

Content-Type: text/html; charset=iso-8859-1

要注意的是，直接載入s.js只會載入「正確」的外掛腳本。如果在Referer標頭發現一個在日本的知名免費部落格網站，則會觸發該漏洞攻擊包。這漏洞攻擊包對目標使用者進行多項Flash漏洞攻擊；其中有一個被用來攻擊的是二月所修補的Flash漏洞（CVE-2014-0497）。我們已經看到有TROJ_CARBERP.YUG被下載到受影響系統上。

這次攻擊本身大量地針對了日本使用者。至少有約66,000名使用者遭受這波攻擊，其中有超過87％來自日本。漏洞攻擊包網頁被代管在捷克、荷蘭和俄羅斯的伺服器。

圖2、各國被攻擊數量

繼續閱讀

Twitter 被駭客利用散播假馬航 MH17失事班機訊息

2014 年 07 月 22 日2014 年 07 月 22 日趨勢科技 TrendMicro

點擊超連結閱讀惡意程式即上門

【2014年7月22日台北訊】馬航班機被擊落失事的新聞震驚全球，卻也立即成為駭客進行不法行為的話題跳板。全球資訊安全領導廠商趨勢科技今日提出警訊，在事發新聞短短幾小時之內，即發現有駭客透過Twitter 散播有關馬航相關的貼文，表示於荷蘭起飛的馬航已失去聯絡，預知更多消息請持續關注等訊息來吸引民眾點閱 (原文: “Malaysia Airlines has lost contact of MH17 from Amsterdam. The last known position was over Ukrainian airspace. More details to follow)，民眾一旦點閱所附的連結，即會被暗中引導至其他網址下載惡意程式。