資料外洩/個資外洩 - 資安趨勢部落格

Hacking Team 的 Flash 零時差漏洞攻擊,已被收錄到漏洞攻擊套件!

2015 年 07 月 09 日2015 年 07 月 13 日趨勢科技 TrendMicro

以協助執行監控任務,出售間諜程式給各國政府與執法單位而備受爭議的Hacking Team公司,近日遭到攻擊，總量近400GB的公司內部文件與資料被公開。趨勢科技在這些檔案中發現了Hacking Team所開發的攻擊工具，目前發現的3款攻擊程式中，有兩款鎖定Flash Player的安全漏洞，一款鎖定Windows核心漏洞。(詳情)

從趨勢科技主動式雲端截毒服務 Smart Protection Network回報的資料中發現，Angler 和 Nuclear 兩個漏洞攻擊套件已經收錄了最近 Hacking Team 資料外洩當中的 Flash 零時差漏洞攻擊。不僅如此，Kafeine 網站也指出，這項零時差攻擊也已收錄到 Neutrino 漏洞攻擊套件當中。

此漏洞的存在因為 Hacking Team 的資料外洩而曝光，而 Adobe 也承認了這項漏洞並發布了安全公告。這份安全公告證實此漏洞已列入 CVE 資料庫當中，編號為 CVE-2015-5119。Adobe 安全公告更確認今日「所有」使用中的 Flash Player 版本都存在這項漏洞。Adobe 已經釋出修正程式APSB15-16,強烈建議盡更新。

所有 Flash Player 使用者皆應立即下載最新修正程式，否則將有危險。本月稍早我們即指出 Flash Player 遭漏洞攻擊套件鎖定的頻率越來越高，而這樣的趨勢似乎沒有轉變的跡象。

圖 1：Angler 漏洞攻擊套件的 HTTP GET 標頭

繼續閱讀

備收爭議的 Hacking Team 被駭 ! 流出資料中發現 Flash零時差漏洞攻擊程式

2015 年 07 月 09 日2015 年 07 月 13 日趨勢科技 TrendMicro

以協助執行監控任務,出售間諜程式給各國政府與執法單位而備受爭議的Hacking Team公司,近日遭到攻擊，總量近400GB的公司內部文件與資料被公開。曾表示不跟極權國家做生意,以販售號稱合法攔截通訊工具給政府和執法機構的義大利公司Hacking Team, 始終沒有正式公布與他們合作單位的名單，在此次洩露的文件中，包含了Hacking Team的客戶資料、財務文件、合約、內部E-mail郵件，根據International Business Time報導，使用其提供的程式的國家包含：
埃及、依索比亞、摩洛哥、奈及利亞、蘇丹、智利、哥倫比亞、厄瓜多、洪都拉斯、墨西哥、巴拿馬、美國、亞塞拜然、哈薩克斯坦、馬來西亞、蒙古、新加坡、韓國、泰國、烏茲別克斯坦、越南、澳大利亞、賽普勒斯、捷克、德國、匈牙利、義大利、盧森堡、波蘭、俄羅斯、西班牙、瑞士、巴林、阿曼、沙烏地阿拉伯、阿拉伯聯合大公國。

趨勢科技在這些檔案中發現了Hacking Team所開發的攻擊工具，目前發現的3款攻擊程式中，有兩款鎖定Flash Player的安全漏洞，一款鎖定Windows核心漏洞，且當中只有一個Flash漏洞曾被揭露。

另一款Flash零時差漏洞被Hacking Team描述為「最近4年來最完美的Flash漏洞」。在文件中發現了針對此一漏洞概念性驗證攻擊程式，它會影響各大瀏覽器及Flash Player 9以後的版本，包含最新的Adobe Flash 18.0.0.194在內。

事實上這個Flash漏洞,先前已經有幾個漏洞使用這種 valueOf 伎倆，包括被用在 Pwn2Own 2015的 CVE-2015-0349。

圖1、Hacking Team對漏洞的描述

Adobe Flash Player漏洞資訊

外洩的資料中包含一個可以啟動Windows計算機的Flash零時差概念證明碼（POC）以及一個帶有真正攻擊shellcode的正式版本。

在POC中有一個說明文件詳述了這個零時差漏洞（如下圖所示）。它指出該漏洞可以影響Adobe Flash Player 9及更新的版本，而且桌面/Metro版本的IE、Chrome、Firefox和Safari都會受到影響。外部報告指出最新版本的Adobe Flash（版本18.0.0.194）也受到影響。

圖2、Hacking Team對漏洞的描述

Adobe 也承認了這項漏洞並發布了安全公告。這份安全公告證實此漏洞已列入 CVE 資料庫當中，編號為 CVE-2015-5119。Adobe 安全公告更確認今日「所有」使用中的 Flash Player 版本都存在這項漏洞。

所有 Flash Player 使用者皆應立即下載最新修正程式，否則將有危險。Adobe 已經釋出修正程式APSB15-16,強烈建議盡更新。本月稍早我們即指出 Flash Player 遭漏洞攻擊套件鎖定的頻率越來越高，而這樣的趨勢似乎沒有轉變的跡象。

根本原因分析

說明文件還介紹了該漏洞的根本原因。這是一個ByteArray類別的Use-After-Free（UAF）漏洞:

當你有一個ByteArray物件ba，並將其給值ba[0]=Object，它會呼叫此物件的valueOf函數
這valueOf函數可以被覆寫，所以能夠變更物件valueOf函數中的ba值
如果你重新分配valueOf函數內的ba記憶體，就會導致UAF，因為ba[0]=Object會儲存原本的記憶體，並且在valueOf函數被呼叫後使用。

繼續閱讀

物聯網威脅：你會為了錢出售自己的個人資料嗎？

2015 年 07 月 03 日2016 年 01 月 26 日趨勢科技 TrendMicro

除非你這些年都生活在火星上，不然你會發現物聯網（IoT ,Internet of Things）已經開始到來了。無數的新聯網設備、感應器和其他智慧型電子產品出現，承諾著要改變我們的生活，用這些聯網的設備讓我們更加具備生產力、健康和快樂。但這種技術革命也帶來新的挑戰，最明顯的是安全和隱私問題。我們對於這些新設備所收集關於我們的資料數量感到高興嗎？我們覺得自己可以控制在線上的隱私嗎？並且我們準備要用合適的價格來販賣我們的資料嗎？

趨勢科技一直都想要對我們的客戶有更好的了解以改善我們的產品和服務。因此，我們開始尋找這些問題的答案，而經由Ponemon Institute所進行的一項新研究，我們的發現可能會讓你大吃一驚。

聯網威脅

我們現今的聯網世界似乎充斥著資料遺失和隱私侵犯的故事。每個禮拜我們都會聽到又有一起重大的個人和財務資料入侵外洩事件 – 無論是一家知名零售商、金融機構、醫療保險公司或其他不具名的公司。而這甚至還未提到一個日益被認識的問題，許多我們每天都會在網路上使用的服務會為了自己的利益來使用和分享我們的個人資料 – 往往沒有告知我們，也通常不會對最終消費者帶來好處。

現在想像一下，物聯網（IoT ,Internet of Things）將會影響這一切。它可能會大量地增加資料外洩的風險，並且侵犯我們的隱私。我們會和物聯網供應商分享關於自己的資料多到超乎我們的想像。從你手腕上的運動追踪手環到你廚房的智慧型冰箱，甚至是你的汽車廢氣排放感應器：這些設備過去只是讓生活更加便利，現在也會收集和儲存資料（某些非常的私人）。

繼續閱讀

藏在PNG圖檔內的木馬, 鎖定醫療保健業

2015 年 07 月 01 日2015 年 08 月 28 日趨勢科技 TrendMicro

美國醫療機構受Stegoloader木馬影響最為嚴重

根據觀察，大多數Stegoloader木馬（最近活躍在新聞上）的受害者都來自北美的醫療機構。這被稱為TROJ_GATAK的惡意軟體自2012年起就一直活躍著，利用圖像隱碼術（Steganography）來將組件藏在PNG檔內。

縱觀近來的Stegoloader惡意軟體受害者，在過去三個月內所看到的大多數受感染電腦都來自美國（66.82%），其次是智利（9.10%）、馬來西亞（3.32%）、挪威（2.09%）及法國（1.71%）。

在同一期間，受到影響最大的產業是醫療保健、金融和製造業。

圖1、過去三個月內各產業的TROJ_GATAK感染程度

值得注意的是，所有受此惡意軟體影響的醫療機構都來自北美。趨勢科技的研究人員目前正在研究網路犯罪分子如何去利用這狀況來進行有組織的攻擊，雖然還在尋找證據中。

最近有幾起成功的資料外洩事件洩漏了數百萬筆醫療機構的客戶資料，像是Anthem和Premera Blue Cross。雖然才出現在攻擊中，圖像隱碼術（Steganography）可能成為未來網路犯罪分子攻擊醫療機構時外洩醫療紀錄的新技術。

資料隱匿技術，間諜用圖片

在之前關於圖像隱碼術（Steganography）（Steganography）和惡意軟體的文章中，我們指出在圖片檔中嵌入惡意程式碼以躲避偵測的技術會變得更加普及，特別是有著勤奮的惡意軟體團體存在。

TROJ_GATAK的再度出現及其明顯針對某些地區和產業顯示出網路犯罪分子在持續地試驗資料隱匿技術（Steganography）的創意用途以擴散威脅。

當趨勢科技在2014年1月第一次於部落格中提到此惡意軟體時，TROJ_GATAK.FCK變種捆綁著各種應用程式的金鑰產生器，而最終會帶來假防毒軟體。

而這惡意軟體最新的三個樣本最終會帶來TROJ_GATAK.SMJV、TROJ_GATAK.SMN和TROJ_GATAK.SMP（在分析中）。

要注意的是，這變種在過去幾年的行為保持不變。該惡意軟體被相信其為金鑰產生器或註冊機的使用者從網路上下載。一旦下載，它偽裝成跟Skype或Google Talk相關的正常檔案。最終會下載照片，嵌入了其大部分的功能。以下是惡意軟體用來嵌入惡意組件的照片樣本：

圖2、TROJ_GATAK所下載的圖片樣本

這惡意軟體具備防虛擬機器和防模擬功能，讓它可以避免被分析。繼續閱讀

OPM(美國人事管理局)受駭事件：O代表「Owned」

2015 年 06 月 30 日2015 年 06 月 30 日趨勢科技 TrendMicro

關於美國人事管理局（OPM）遭受駭客攻擊的細節不斷地浮現出來。一些資訊並不令人意外 – 像是受影響員工數量從400萬人遽增到了1800萬。隨著調查的進行，受害規模加大並非不尋常。而這起攻擊可能關連到去年針對Keypoint Government Solutions的攻擊也毫不奇怪。精密性的攻擊會有多個階段，往往從攻擊外部供應商開始，然後向內移動。

雖然受害者的數量可能令人震驚，但其實現在這起攻擊或其規模大小都不會讓我感到驚訝了，只因一個簡單的事實 – 攻擊者取得網路的管理權限。簡單地說，這代表著一敗塗地，攻擊者可以在其網路上為所欲為。

在資安的世界裡有一個術語，我們有時會用它來形容管理權限淪落：「owned（擁有）」（也寫作「0wn3d」）。當我們說一個系統或一個網路被攻擊者所「擁有」，我們的意思是他們擁有完整而沒有限制的存取控制權限。攻擊者可以為所欲為，系統和網路在他們全面而徹底的掌控下。

如果報導正確，攻擊者取得了OPM網路和系統的管理權限，那網路就真的已經被「擁有」了，在這樣的情況下，不管記錄是否加密都已經不重要了，因為在設計上，管理者可以解密大多數系統內的加密資料。不幸的是，想將攻擊者驅逐出網路可能無法成功，因為他們可以利用其管理權限在網路內為自己建立看不見的藏身之地。最後這點似乎真的發生在OPM一案中，根據報導，網路犯罪分子已經在網路內出現一年多。

我們可能永遠無法知道此一事件的全貌或發生原因。但此一事件已經成為另一個（痛苦的）教訓，讓我們知道系統和網路管理權限淪陷可能會導致多大的破壞。值得記住的是斯諾登資料外洩事件也據稱是因為他可以取得對系統的管理存取權限。

這次的教訓對組織來說很明確：管理權限可能很危險。要採取的行動更加明瞭：今天就開始花時間來檢視和限制擁有網路管理權限的人。這個簡單的變化可能造成你能控制你的系統或讓網路犯罪分子「擁有」之間的差別。

＠原文出處：The OPM Hack: “O” is for “Owned” 作者：Christopher Budd（全球威脅交流）

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚