《IOT物聯網》亞馬遜 Alexa 語音助理可能成為竊聽器?!

趨勢科技 TrendMicro

研究人員發現了熱門智慧家居系統內的物聯網（IoT ,Internet of Thing）設計缺陷：他們發現駭客可以寫程式利用Amazon的Alexa服務來竊聽使用者並轉錄所聽到的訊息。要做到這點只需要建立一個應用程式，讓語音啟動的數位助理將所聽到的所有內容轉錄給駭客，這是種會被惡意用來竊取敏感資訊的功能。

[延伸閱讀：你的連網語音助理安全嗎？]

Alexa語音助理的設計是在收到提示詞後會開始收聽使用者指令，不過只啟用一小段時間。一旦服務通知使用者對話結束就會回到休眠狀態，直到下一次收到提示詞啟動。當研究人員以駭客的角度來研究這功能，發現可以在程式中插入空白回覆提示詞來惡意利用這功能，這表示Alexa認為自己已經通知使用者設備仍在收聽，但其實卻是保持沉默。使用者並不會意識到這一點，而且也可能沒有注意到Echo設備上的藍色指示燈亮起。只要沒有收到使用者的提示詞，這收聽狀態就會一直繼續下去。

 

[測驗：為孩子購買智慧型設備？先問自己這8 個問題。]

經過進一步的測試，研究人員增加說明了如何將設備所收聽到的所有訊息轉錄下來，可以再將收集到的資訊傳送給駭客，直到設備關閉。研究人員已經將此漏洞告知了Amazon，儘管完整的修復方法並未透露，但此一漏洞已經被修復。 繼續閱讀

五個防範語音式 IoT 與 IIoT 裝置威脅的方法

趨勢科技 TrendMicro

根據一項估計，到了今年底，全球將賣出 3,300 萬個「優先使用語音」的裝置。有鑑於語音式物聯網（IoT ,Internet of Thing）裝置在全球的使用數量驚人，因此安全應該列為這類裝置的優先考量重點。隨著裝置數量越來越多，IoT 預料也將變得更加凌亂，不僅將遇到各種相容性問題，同時也將充斥著各種安全問題。

趨勢科技資深威脅工程師 David Sancho 指出，語音式裝置 (如 Amazon Echo 和 Google Home　等智慧音箱／智慧喇叭) 採用新的人機介面來與裝置互動。使用時只需用語音來下達指令就能操作這些語音助理。

語音式裝置 (如 Amazon Echo 和 Google Home　等智慧音箱／智慧喇叭) 採用新的人機介面來與裝置互動。使用時只需用語音來下達指令就能操作這些語音助理。

這些語音助理在某些環境當中特別有用，例如當使用者無法使用或者不喜歡使用鍵盤和滑鼠等傳統輸入裝置時，常見的使用情境如廚房或浴室。不過在工業環境當中，如自動化工廠和醫院開刀房，這類語音式裝置也非常實用，因此它們也開始在工業物聯網 (IIoT) 環境當中流行。

Sancho 列舉了三種這類語音應用環境可能遭遇的威脅：隱私問題、假冒語音指令、阻斷服務攻擊。

根據 Sancho 指出，還有一些語音和聲音技術也可能帶來更危險的攻擊情境，例如：

指向性喇叭
指向性喇叭技術可能讓駭客直接對裝置發送語音指令，而裝置附近的人卻不易察覺。一般來說，這是一種很特殊且應用不廣的技術，但這類技術確實存在，而且駭客不須花費太高成本就能將它變成一種武器。 繼續閱讀

《資安新聞周報 》MyEtherWallet 遭DNS刼持導向釣魚網站/Android 用戶注意新一波間諜程式竊取銀行帳密！

趨勢科技TrendMicro

本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

媒體資安精選

5款惡意Chrome擴充程式假冒廣告封鎖、YouTube名義吸引超過2000萬次下載      iThome

數字貨幣「繁榮」帶來勒索軟體暴增：一年新增近4萬個    新浪網(臺灣)

15歲騙到機密 竊取美情報官員電郵和電話資訊，英少年得關2年。 聯合晚報(臺灣)

Nvidia Tegra晶片遭爆漏洞，禍及任天堂Switch       iThome 繼續閱讀

如何利用 AI 人工智慧揪出電郵詐騙犯?

趨勢科技 TrendMicro

駭客逐漸將企業員工視為資訊安全鏈中的薄弱環節。這就是為什麼現今大多數的威脅都是藉由電子郵件傳播，目的是誘使收件人下載惡意軟體、洩露登入資料，或線上轉帳給攻擊者。趨勢科技預測，光是變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)攻擊造成的累計損失，將在今年達到 90 億美元。

攻擊模式變得更加聰明，趨勢科技推出兩款創新產品，幫助打擊電子郵件詐騙犯。一種是使用人工智慧的全新功能，目標是提高 BEC 變臉詐騙偵測能力；另一種功能則可幫助 IT 團隊培訓其員工，察覺網路釣魚攻擊。這是更進一步與罪犯對抗。

電子郵件威脅: 趨勢科技Smart Protection Suites在 2017 年阻止了超過 660 億個威脅

電子郵件無疑是目前針對組織的攻擊者使用的主要威脅載體。Trend Micro™ 趨勢科技 Smart Protection Suites在 2017 年阻止了超過 660 億個威脅，其中超過 85% 是包含惡意內容的電子郵件。

BEC 變臉詐騙是一種越來越受歡迎的攻擊手段，因為報酬可能十分豐厚。很多組織難以察覺此種攻擊，因為通常沒有任何惡意軟體；他們主要依賴對精心挑選的收件人進行社交工程。收件人通常在財務部門工作，會收到一封冒充執行長、財務長或其他高階主管的電子郵件，要求他們緊急進行線上轉帳或回覆敏感資料。平均每次事故損失高達 130,000 美元；從 2017 年上半年到下半年，趨勢科技的客戶受到的 BEC 攻擊增加了 106%，這一點也不奇怪。

這並不是要低估網路釣魚對全球各地組織的影響。藉由針對員工下手，攻擊者可以傳播惡意軟體，並秘密滲透網路來竊取敏感資料及智慧財產。去年 Black Hat 與會者調查的結果說明了這個趨勢對組織的影響。

  • IT 主管將釣魚攻擊視為他們的頭號資安問題
  • 與會者認為，網路釣魚是最耗時的威脅
  • 受訪者認為 IT 安全最薄弱的環節，是終端使用者遭到釣魚攻擊欺騙
  • 19% 的公司將網路釣魚評定為過去一年中出現的最嚴重資安威脅，僅次於勒索軟體

寫作風格 DNA 包含使用人工智慧的全新技術

這種攻擊對於財務及名譽可能造成的損害可以想見。面對威脅層級日漸提高，趨勢科技還有兩項新的免費工具。 繼續閱讀

《虛擬貨幣 》以太幣消失了! MyEtherWallet 遭DNS刼持導向釣魚網站，用戶損失千萬台幣

趨勢科技 TrendMicro

著名的以太幣錢包網站 MyEtherWallet.com 在亞洲時間 2018/4/24晚間，遭受到 DNS Hijacking 攻擊。以太幣 (數位貨幣代號ETH) 的持有者在這段受攻擊時間，如果透過 MyEtherWallet.com 網站轉帳以太幣，就有可能誤入釣魚網站而把資產轉進駭客的錢包裡。

以太幣消失了! MyEtherWallet 遭DNS刼持導向釣魚網站，用戶損失千萬台幣
以太幣消失了! MyEtherWallet 遭DNS刼持導向釣魚網站，用戶損失千萬台幣

駭客透過 DNS Hijacking 手法搭配 MyEtherWallet.com 假網站，成功的騙到幾百位的受害者。一個月前也有駭客利用假冒的 Binance 數位貨幣交易所CEO 名義，在Twitter 上大方贈送以太幣，利用受害人貪小便宜的心理，同樣在極短的時間內騙到近千萬台幣。

作者: Ieta Chi 紀孟宏 (趨勢科技 首席資安顧問)

虛擬貨幣 (Crypto Currency) 市場自2018年初以來因為各種不確定因素，總市值 (根據CoinMarketCap資料) 從一月初的最高點八千億美元，一路下跌到三月底的最低點二千四百億美元，總共下跌了70%。四月初開始大幅回升，一個月不到總市值己經上漲超過80%，光是以太幣的價格在過去一週時間就大漲 40%，熱騰騰的錢潮不僅僅吸引了大批的投資客，同時也吸引了駭客的注意力。

4/24晚間所發生的DNS Hijacking事件，讓使用者透過瀏灠器開啟MyEtherWallet.com 網站時，被導到一個偽造的釣魚網站，受害者如果沒有察覺這是個假網站而進行以太幣轉帳，轉出去的錢不是到想要轉幣的位址，而是進到駭客錢包的位址。在這次的資安事件裡 MyEtherWallet.com 網站本身並沒有被駭，而是在 Internet 上提供網域名解析工作的 DNS服務器被駭客下毒，在正常情況下當使用者連線到 MyEtherWallet.com 網站，DNS 服務器會解析出該網站的正確 IP 地址並回覆給使用者端，當 DNS服務器被駭客下毒，這時候所回覆的IP 地址就不是指向真正的 MyEtherWallet.com 網站，而是駭客用來欺騙受害者的偽裝電腦。

在發生 DNS Hijacking 事件期間，使用者開啓 MyEtherWallet.com 網站時，以 Chrome瀏灠器為例，會出現紅色的 HTTPS 不安全警告，HTTPS是一種資料傳輸安全協定，會透過加密的方式來確保整個傳輸過程的內容不會被任何第三者看到，在網路認證、線上交易等場合己經是必備的標準協定。出現紅色警告就表示準備要連線的遠端服務器的憑證有安全性問題，如果這是一個正式對外提供服務的網站，在真實案例中幾乎可以直接斷言是個釣魚網站。

使用者開啓 MyEtherWallet.com 網站時，以 Chrome瀏灠器為例，會出現紅色的 HTTPS 不安全警告，HTTPS是一種資料傳輸安全協定，會透過加密的方式來確保整個傳輸過程的內容不會被任何第三者看到，在網路認證、線上交易等場合己經是必備的標準協定。出現紅色警告
使用者開啓 MyEtherWallet.com 網站時，以 Chrome瀏灠器為例，會出現紅色的 HTTPS 不安全警告

繼續閱讀