本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 可背景執行的 VBS 腳本,容易被駭客利用,建議開發者慎用!
- Line常見問題總整理
- 使用USB隨身碟,三個注意事項
- iOS URL Scheme有可能被惡意劫持
- Agent Smith 暗中將已安裝的 Android 應用程式調包, 並顯示詐騙廣告
一周精選媒體資安新聞
ProFTPd修補遠端程式攻擊漏洞，上百萬臺未更新ProFTPd伺服器恐曝險 iThome
VLC 影音播放器存有嚴重漏洞 數百萬使用者面臨資安風險 點子生活
中國指使 德大廠接連遇駭 自由時報
全球雲端資訊服務市占龍頭 趨勢科技物聯網時代的網路超級衛兵 財訊雜誌網
玩《英雄聯盟》也要擔心個資？Riot遭點名助中國打造監控軟體 4Gamers電競賽事平台
防詐達人平台 可辨識網站、文字 查證圖片 公視新聞網
惡意軟體Mirai新變種 專門鎖定攻擊物聯網裝置 Content Party
直接整合威脅偵測與系統強化，趨勢推出預裝在IoT設備的SDK iThome
結合AI技術 資訊安全防護更強大 新電子網
線上付款怕信用卡被盜刷？手機、電腦都能用！趨勢科技PC-cillin雲端版安心Pay網購時的保衛者 電獺少女
智慧城市危機？趨勢總經理洪偉淦：萬物聯網，代表萬物皆可被駭 天下雜誌網
俄修臉軟體FaceApp有安全疑慮 美參院領袖要求調查 中央通訊社
台中地下道裝中國製監視器 引資安疑慮 公視新聞網
專門攻擊 QNAP 網路儲存裝置的 eCh0raix 勒索病毒 雅虎奇摩
藍牙裝置漏洞可用來追蹤iOS/Mac、Windows 10裝置、Fitbit用戶位置 iThome
AI趨勢周報第93期：阿里巴巴、百度、小米開源自家SOTA等級的研究 iThome
研究人員找到AI端點防護平台BlackBerry Cylance的通用旁路 iThome
RSA Conference 2019 APJ：重點分享公共和私人部門的專家見解，呼籲加強區域合作以建立更高的網路安全標準 Content Party
趨勢攜手VIVOTEK為網攝影機提供防護 Run! PC
強化工控安全 消弭智慧製造後顧之憂 電子時報
結合設備網通資安、管理系統支援服務 消弭五大OT威脅 電子時報
美國強化.gov的DNS安全性 iThome
卓榮泰：與公民社會合作 防止銳實力與假訊息入侵 自由時報電子報
Openfind通過資訊安全能量登錄並列入資安產品服務地圖 電子時報
當科幻接近真實 法國政府招募科幻作品作者與科學家共同預測未來軍事威脅 Mashdigi
落實資安即國安防護水準 桃市府與桃市調處簽署資安合作備忘錄 台灣.好新聞報
政院資安演習 模擬駭客電郵攻擊 自由時報
Google大幅增加抓漏獎金，Chrome漏洞獎金提高3倍，Google Play漏洞是4倍 iThome
Equifax就資料外洩事件與FTC和解，和解金額上看7億美元 iThome
臺灣研究人員攻陷Palo Alto、Fortinet與Pulse Secure等SSL VPN服務漏洞 iThome
網路安全機構發現VLC Media Player存在重大安全漏洞，駭客可以遠端遙控竊取使用者資料 T客邦
俄羅斯情報機關外包商被駭，Tor反匿名技術曝光 iThome
美國大學所使用的ERP系統遭駭客入侵，62所學校受害 iThome
挖礦勒索病毒肆虐 關貿網路分析駭客隱匿蹤跡新手法 工商時報電子報
點進去竟是激情影院 韓LINE官方帳號 疑遭駭 聯合新聞網
引發隱私爭議，Google移除Play Store的7款跟蹤程式 iThome
間諜程式Pegasus再進化！透過手機複製用戶身份驗證密鑰 竊取個資、雲端數據 ETtoday新聞雲
資安公司發現瞄準Linux桌面使用者的後門程式EvilGnome iThome
資安公司在Python套件儲存庫PyPI發現3個惡意後門套件 iThome
ProFTPd修補遠端程式攻擊漏洞，上百萬臺未更新ProFTPd伺服器恐曝險 iThome
ProFTPd專案上周修補了一項遠端程式攻擊漏洞，本周BleepingComputer發現在上百萬臺ProFTPd伺服器中，只有4臺透過更新完成漏洞修補
<回到新聞條列重點>
VLC 影音播放器存有嚴重漏洞 數百萬使用者面臨資安風險 點子生活
安全研究人員警告，我們熟悉的影音播放軟體 VLC Media Player 存有嚴重的資安漏洞，目前該軟體全球下載量超過 30 億次，數百萬用戶正面臨資安風險。
<回到新聞條列重點>
中國指使 德大廠接連遇駭 自由時報
德國公視一台（ＡＲＤ）報導，國際化工大廠巴斯夫（ＢＡＳＦ）、工業集團西門子、羅氏大藥廠等多家跨國企業，週三證實曾被網路駭客攻擊，且罪魁禍首很可能就是來自於受到中國政府支持的駭客團體「Winnti集團」。
<回到新聞條列重點>
全球雲端資訊服務市占龍頭 趨勢科技物聯網時代的網路超級衛兵 財訊雜誌網
趨勢科技台灣區暨香港區總經理洪偉淦觀察，過去5年，被駭客攻擊的產業從政府為主，擴大到金融和製造業。
<回到新聞條列重點>
玩《英雄聯盟》也要擔心個資？Riot遭點名助中國打造監控軟體 4Gamers電競賽事平台
坐擁全球最大的 PC 玩家市場，中國遊戲業向來以嚴格的和諧審查廣為人知，隨著中國遊戲大廠如騰訊的跨海投資與收購遊戲開發商，不僅持續影響全球遊戲開發產業，更是加劇了遊戲版本的審查，而幫兇可能就是玩家們所熟悉的美國各遊戲知名開發商。
<回到新聞條列重點>
防詐達人平台 可辨識網站、文字 查證圖片 公視新聞網
詐騙、假訊息猖獗，而且很容易利用LINE群組來轉傳、散布，因此有科技公司，和刑事局合作，推出防詐達人平台，可以辨識可疑網站或文字，現在還能進行圖片查證。至於LINE也推出訊息查證的官方帳號、結合四家查核單位，替民眾過濾可疑資訊。
<回到新聞條列重點>
惡意軟體Mirai新變種 專門鎖定攻擊物聯網裝置 Content Party
Palo Alto Networks的威脅情報小組Unit 42最近發現惡意軟體Mirai有了新的演變及八種新型態，該惡意軟體主要目標是針對各種嵌入式、物聯網裝置的軟體漏洞為目標，以分散式阻斷服務攻擊（DDoS）和其自我複製方式為主，從2016年起成功入侵數個值得注意的目標。這些被鎖定的物聯網裝置包括無線投影系統、機上盒、SD-WAN甚至智慧家居遙控器。
<回到新聞條列重點>
直接整合威脅偵測與系統強化，趨勢推出預裝在IoT設備的SDK iThome
為了因應廠商提升物聯網設備安全的需求，趨勢科技年初發表Trend Micro IoT Security，可預先安裝在設備系統當中，提供威脅偵測阻擋及系統強化機制
<回到新聞條列重點>
結合AI技術 資訊安全防護更強大 新電子網
人工智慧的機器學習技術可對大量的用戶及設備資料進行分類與分析判別。目前許多國際資安大廠已發展出人工智慧資安解決方案，將機器學習等人工智慧技術運用於資安產品或資安服務，以強化產品防禦能力及減少資安人員工作的重複性，使用人工智慧來偵測潛在網路威脅，提供企業與消費者主動式的防護。
<回到新聞條列重點>
線上付款怕信用卡被盜刷？手機、電腦都能用！趨勢科技PC-cillin雲端版安心Pay網購時的保衛者 電獺少女
大家應該都有線上購物的經驗吧？比方說買PC HOME、買淘寶、逛MOMO、上各大平台、網拍買東西，這些應該都是現代人很熟悉的事情，因為貪圖方便，所以把交易資料(像是卡號)，存在你的Chrome、IE、Firefox……瀏覽器裡，但你有想過你的瀏覽器裡可能已經被裝入惡意的插件或程式，非法獲取你的交易資訊嗎？
<回到新聞條列重點>
智慧城市危機？趨勢總經理洪偉淦：萬物聯網，代表萬物皆可被駭 天下雜誌網
路見證IT時代的躍進，從過去企業與使用者所熟知的單機防毒、閘道防毒、雲端安全， 到如今開始面對新一波人工智慧與物聯網浪潮的挑戰。過去19年，洪偉淦成功帶領趨勢轉型為資安服務專業廠商；如今，他在2019天下經濟論壇（CWEF）指出，當智慧城市興起、當萬物聯網，也就代表：「萬物皆可被駭！」他說，「這造成的效應就不是小小炸彈，而是一顆原子彈。影響到的不只是個人、中小企業或大企業，還會影響到工業生產、關鍵基礎設施，影響所有城市和政府國家！」
<回到新聞條列重點>
俄修臉軟體FaceApp有安全疑慮 美參院領袖要求調查 中央通訊社
美國聯邦參議院少數黨領袖舒默今天致函聯邦調查局和聯邦貿易委員會，要求調查俄羅斯公司開發的熱門人臉修圖應用程式FaceApp是否對國家安全和用戶隱私構成危險。
<回到新聞條列重點>
台中地下道裝中國製監視器 引資安疑慮 公視新聞網
台中市的地下道被民眾投訴，說設置的監視器是中國品牌海康威視。而台灣基進黨台中黨部就質疑，海康威視參與中國的社會信用與天網制度，但卻變成台灣的公共場所監視器，認為有資安漏洞。台中市養工處指出，目前在市區當中，有八座地下道使用該產品，一共128支監視器，會請廠商盡快更換。
<回到新聞條列重點>
特斯拉創辦人馬斯克（Elon Musk）的新創企業Neuralink，一直以來都相當神秘，不過近期公佈一項人腦與機器相連的成果，這項技術將幫助神經受傷而癱瘓、短期失憶的人，能連結控制手機或電腦。
<回到新聞條列重點>
專門攻擊 QNAP 網路儲存裝置的 eCh0raix 勒索病毒 雅虎奇摩
最近出現了一個專門攻擊 QNAP 品牌網路儲存（NAS）裝置的勒索病毒/勒索軟體家族。這個由威脅情報平臺供應商 Anomali 的資安研究人員命名為「eCh0raix」的勒索病毒（趨勢科技命名為 Ransom.Linux.ECHORAIX.A），據報是專為針對性攻擊而設計的勒索病毒，與之前的 Ryuk 或 LockerGoga 的用途相似。
<回到新聞條列重點>
藍牙裝置漏洞可用來追蹤iOS/Mac、Windows 10裝置、Fitbit用戶位置 iThome
這項漏洞出在藍牙裝置彼此建立通訊連線過程的設計瑕疵，可讓攻擊者追蹤iOS、Mac、Windows 10裝置，連穿戴裝置及智慧筆的位置都能被追蹤
<回到新聞條列重點>
AI趨勢周報第93期：阿里巴巴、百度、小米開源自家SOTA等級的研究 iThome
近日3家中國科技龍頭開源自家SOTA等級的研究，包括阿里巴巴達摩院開源準確度達94.1％的新一代人機對話模型ESIM，百度開源自駕車系統Apollo 5.0，提供進階深度學習感知模型，還有小米開源公平神經架構搜尋（FairNAS）方法。另一方面，Google提出資料回音（Data echoing）方法來加速TPU派不上用場的資料前處理階段；同時，DeepMind發表了最強影像生成模型BigBiGAN。
<回到新聞條列重點>
在科技日新月異的發展下，目前不同領域的企業和組織將資料轉移到雲端運算平台，其具有共用、高效與高速的特點，降低不少成本。近年來醫院積極推動智慧轉型，全球醫療機構利用新設備與投入大量資金為整體系統數位化，不過巨量數據儲存在雲端，資安危機是醫院需要面對的問題。
<回到新聞條列重點>
研究人員找到AI端點防護平台BlackBerry Cylance的通用旁路 iThome
資安公司Skylight以反向工程解析了BlackBerry旗下標榜具備AI技術的EDR產品Cylance，發現了系統辨識檔案好壞的判斷準則，研究人員便汲取了某款遊戲執行檔的字串列表，再把它們附加在某些惡意檔案之後，這些惡意檔案立即由黑轉白，被Cylance的防護機制放行通過
<回到新聞條列重點>
RSA Conference 2019 APJ：重點分享公共和私人部門的專家見解，呼籲加強區域合作以建立更高的網路安全標準 Content Party
新加坡–(美國商業資訊)–全球首屈一指的資訊安全大會暨博覽會RSA Conference今日宣佈，在新加坡舉行的第七屆地區性活動圓滿閉幕。今年，大會吸引來自該地區更廣泛、更具國際代表性的與會者和公共部門參與，且相關性更強。
<回到新聞條列重點>
趨勢攜手VIVOTEK為網攝影機提供防護 Run! PC
在駭客攻擊日益嚴重下，趨勢科技表示在短短5個月內即攔截500萬次，針對網路攝影機(IP Camera)的網路攻擊。為杜絕此情形，該公司透過與晶睿通訊合作，將IoT資安解決方案融入其行銷全球的網路攝影機，提供完整資安防護。
<回到新聞條列重點>
去年(2018)底，全球網路資安方案領導廠商趨勢科技發表「2019年資安年度預測報告」，報告中提出針對工業控制系統ICS的攻擊將成為一項日益嚴重的威脅，因為現今的企業營運較以往更加仰賴即時數據，工控系統必須連結網路，因而給予駭客可乘之機，有機會利用不具備網路安全防護的工控系統做為跳板，對企業進行攻擊。
<回到新聞條列重點>
強化工控安全 消弭智慧製造後顧之憂 電子時報
去(2018)年8月期間，一向被譽為資安模範生、優等生的某大晶圓製造廠，竟然驚傳因為資安SOP沒能執行到位，以致遭到變種WannaCry勒索病毒感染，隨之而來的機台當機、產線停擺，儘管看似僅短短2天，就已釀成逾新台幣50億元的高額損失，比起早先喧騰一時遠銀ATM遇駭盜領事件的約18億元，代價超出一倍以上，且衝擊範圍涵蓋新竹、台中、台南等多個重要生產基地，情節之嚴重可見一斑。
<回到新聞條列重點>
結合設備網通資安、管理系統支援服務 消弭五大OT威脅 電子時報
隨著工業4.0、工業物聯網(IIoT)、工廠自動化等浪潮席捲，促使從前涇渭分明的OT與IT系統如今頻繁介接，讓OT環境不再封閉，因而開始滋生潛在風險；四零四科技(Moxa)亞太區事業處工業物聯網解決方案處高級工程師郭彥徵歸納，這些OT風險來自幾個大面向。
<回到新聞條列重點>
微軟公司稍早指出，去年因遭受國家網路攻擊而收到該公司示警的客戶，將近上萬！發動攻擊的國家主要是俄羅斯、伊朗、朝鮮和中國。
<回到新聞條列重點>
美國強化.gov的DNS安全性 iThome
美國政府在所有.gov網域部署新的DNS安全措施，當基於.gov網域的DNS遭變更時，會自動通知網站管理者，以緩衝DNS挾持所帶來的威脅
<回到新聞條列重點>
卓榮泰：與公民社會合作 防止銳實力與假訊息入侵 自由時報電子報
民進黨中常會今邀請中研院社會所研究員林宗弘以「威權銳實力：中共對台統戰政策的轉型與因應」為題進行專案報告。民進黨主席卓榮泰聽會中裁示表示，台灣在反假訊息的實際作為，應該與公民社會合作，建立管理機制，防止銳實力與假訊息入侵；針對易受假訊息攻擊的群體，提供正確資訊，同時也保障言論自由。
<回到新聞條列重點>
Openfind通過資訊安全能量登錄並列入資安產品服務地圖 電子時報
自2018年起經濟部工業局為推動資安產業發展，盤點業者技術能量，規劃建立「資訊安全服務機構能量登錄機制」，讓政府企業更了解各業者的資安能力與優勢。作為政府與企業選商之依據，藉以擴大產業商機，同時達到協助廠商聚焦服務能力。
<回到新聞條列重點>
當科幻接近真實 法國政府招募科幻作品作者與科學家共同預測未來軍事威脅 Mashdigi
或許是看在越來越多科技發展與科幻作品劇情不謀而合，法國政府計畫招募科幻作品作者與科學家共組團隊，藉此協助預測未來科技可能帶來軍事威脅。
<回到新聞條列重點>
落實資安即國安防護水準 桃市府與桃市調處簽署資安合作備忘錄 台灣.好新聞報
資安就是國安，桃園市政府資訊科技局跨全國之先，23日上午與法務部調查局桃園市調查處簽署「資訊安全」合作備忘錄，將化被動為主動，結合雙方資安資源，有效解決資安威脅事件、並透過檢調單位司法調查權，提升新型態、網路犯罪的偵查能量，強化新型態網路科技犯罪偵防能量、提升網路犯罪取證與鑑識能量、建構網路跨機關追查環境。同時，協助桃園市政府即時保全駭客入侵跡證，進一步追查惡意來源，增加防禦深度，以達事前預防及防堵資安事件進一步擴大與發生。
<回到新聞條列重點>
政院資安演習 模擬駭客電郵攻擊 自由時報
公務機關近來發生銓敘部所掌理的文官個人資料外洩的重大資安事件，公部門資安防護亮起紅燈。據悉，行政院資通安全處已針對這起事件進行檢討，政院將強化中央各部會等公務機關的資安維護，並展開資安防護的演習，包括目前正進行「社交工程演練」，以及到各部會網站檢視有無資安漏洞。
<回到新聞條列重點>
Google大幅增加抓漏獎金，Chrome漏洞獎金提高3倍，Google Play漏洞是4倍 iThome
Google本周再度增加Chrome與Google Play的抓漏獎金，把Chrome漏洞的基本漏洞報告獎金最大值從5,000美元增加到1.5萬美元，而Google Play的遠端程式攻擊漏洞獎金則從5,000美元提高到2萬美元。
<回到新聞條列重點>
Equifax就資料外洩事件與FTC和解，和解金額上看7億美元 iThome
美國第三大消費者信用報告業者Equifax在2017年被駭客入侵，導致1億多位消費者的個資外洩，其實美國政府曾在事發前警告Equifax內部系統有安全漏洞，但Equifax卻未有效修補，才釀成此一重大資安事件
<回到新聞條列重點>
臺灣研究人員攻陷Palo Alto、Fortinet與Pulse Secure等SSL VPN服務漏洞 iThome
臺灣資安業者戴夫寇爾（Devcore）準備在今年黑帽大會上，展示如何攻陷Palo Alto Networks、Fortinet與Pulse Secure所提供的SSL VPN服務
<回到新聞條列重點>
網路安全機構發現VLC Media Player存在重大安全漏洞，駭客可以遠端遙控竊取使用者資料 T客邦
德國網路安全監管機構CERT-Bund最近發現了VLC Media Player中一個嚴重的安全漏洞，CERT-Bund稱黑客的的攻擊可遠程執行程式碼從而造成用戶資料洩露。根據他們的報告指出，漏洞發生於 VLC media player 3.0.7.1 版，當呼叫某個功能的時候，將會導致緩衝區溢位（buffer overflow）的漏洞，造成駭客可以利用此漏洞進行攻擊。
<回到新聞條列重點>
俄羅斯情報機關外包商被駭，Tor反匿名技術曝光 iThome
俄羅斯聯邦安全局的合作廠商被駭客盜取內部資料，導致該國情報組織研發中的駭客工具外流
<回到新聞條列重點>
美國大學所使用的ERP系統遭駭客入侵，62所學校受害 iThome
全球超過1,400個大專院校使用的ERP系統含有安全漏洞，雖然系統廠商已經釋出修補後的版本，但目前美國已有62間學校的ERP系統因為尚未更新版本，而遭駭客入侵
<回到新聞條列重點>
挖礦勒索病毒肆虐 關貿網路分析駭客隱匿蹤跡新手法 工商時報電子報
在近年，資安攻擊手法日新月異，資安風險日漸提高，企業對於防護層面總有道高一尺、魔高一丈的感覺，但與其亂槍打鳥猜測駭客可能採用的攻擊手法，不如先從探討最新攻擊型式開始著手。
<回到新聞條列重點>
點進去竟是激情影院 韓LINE官方帳號 疑遭駭 聯合新聞網
高雄市長韓國瑜LINE官方帳號昨天下午發布訊息，指高雄市部分地區時雨量已破百，請民眾小心。但眼尖民眾在訊息最下方一行看到「未备案，阻斷提示！」點進去竟是色情的激情影院，懷疑LINE官方帳號被駭。
<回到新聞條列重點>
引發隱私爭議，Google移除Play Store的7款跟蹤程式 iThome
受害者手機被安裝這7款跟蹤程式後，程式會暗中傳送受害者的位置、通訊錄、簡訊與通話紀錄給監控者，跟蹤程式在受害手機上完全沒有圖示，使得受害者無從察覺
<回到新聞條列重點>
間諜程式Pegasus再進化！透過手機複製用戶身份驗證密鑰 竊取個資、雲端數據 ETtoday新聞雲
以色列駭客公司NSO Group所開發的Pegasus間諜程式正讓蘋果等科技巨頭面臨進一步的安全威脅。據《金融時報》報導，Pegasus現在不僅可以透過用戶設備的記憶體中獲取數據，更可獲取雲端的所有通訊，如位置訊息、存檔及照片等。
<回到新聞條列重點>
資安公司發現瞄準Linux桌面使用者的後門程式EvilGnome iThome
EvilGnome偽裝成桌面環境GNOME的擴充，除了會偷取文件，甚至還會竊聽用戶的麥克風
<回到新聞條列重點>
資安公司在Python套件儲存庫PyPI發現3個惡意後門套件 iThome
這3個惡意套件都由同一作者發布，從2017年11月就已經存在，PyPI安全團隊在獲通報後迅速刪除了這些套件
<回到新聞條列重點>