趨勢科技與刑事警察局共同合作，每週公布民眾通報的高風險賣場排行。
上週仍舊為知名的線上百貨賣場及美妝小舖成為最高被害案件之高風險賣場，以及Facebook假網拍詐騙在上週也高達136件之多，請大家更加小心注意！
Google Apps Script 漏洞,恐讓駭客經由軟體服務 (SaaS) 平台散布惡意程式
根據資安研究人員指出，Google Apps Script 有某個資安漏洞可能讓駭客和網路犯罪集團經由 Google Drive 散布惡意程式。由於這項漏洞是發生在軟體服務 (Software-as-a-Service，簡稱 SaaS) 平台端，因此攻擊行動不易偵測，且攻擊時不需假使用者之手，因此使用者可能不會察覺。
Google Apps Script 是一個 JavaScript 開發平台，可讓程式設計人員開發網站應用程式以及 Google 軟體服務平台 (如 Google Docs、Sheets、Slides、Forms、Calendar 和 Gmail) 的延伸功能。
該漏洞跟 Google Apps 的分享與自動下載功能有關
根據研究人員指出，這項漏洞跟 Google Apps 的分享與自動下載功能有關。其攻擊手法與傳統利用 Google Drive 來存放和散布惡意程式的方式迥異。
在此手法當中，駭客先發送一份 Google Doc 文件給目標使用者來當成社交工程誘餌。當該文件被開啟時，會要求使用者執行一個 Google Apps Script 腳本，接著此腳本會從 Google Drive 下載惡意程式。此一方式跟一般 Office 文件內嵌的巨集惡意程式有異曲同工之妙。
[TrendLabs 資訊安全情報部落格：qkG 檔案加密病毒：可自我複製的文件加密勒索病毒]
這項研究發現，突顯出越來越多企業採用的 SasS平台所潛藏的資安風險。事實上，軟體服務 (SaaS) 與基礎架構服務 (Infrastructure-as-a-Service，簡稱IaaS) 是 2017 年公有雲服務成長的兩大動力，總營收達到 586 億美元。只要建置得當，SaaS 可提供企業彈性、客製化、可擴充的解決方案，實現企業流程及營運最佳化。
SaaS 開始普及，引來網路犯罪集團的覬覦 繼續閱讀
新勒索病毒接受以太坊（ETH）作為贖金
隨著以太坊（ETH）的價格持續上漲，網路犯罪分子也很快地看上這新的賺錢機會。 有一隻新的HC7 Planetary勒索病毒似乎是第一個接受以太坊作為贖金的勒索病毒 Ransomware (勒索軟體/綁架病毒)。
HC7 Planetary會透過遠端桌面侵入網路來進行散播。一旦惡意份子駭入網路就會手動將勒索病毒安裝在所有可存取的電腦上。
這勒索病毒目前還在散播中，會加密檔案並加上.PLANETARY的副檔名。從底下的勒贖通知可以看出病毒作者要求每台電腦700美元的贖金，或用5,000美元包含整個網路的電腦。
圖1、HC7 Planetary勒索病毒勒贖通知（透過bleepingcomputer.com）
值得注意的是，這勒索病毒將以太坊和比特幣及門羅幣並列為可接受的付款數位貨幣。以太坊目前是比特幣之外第二大有價值的數位貨幣，每一枚超過1,200美元，預計到2018年將會成長3倍。 繼續閱讀
關鍵字藏玄機, 搜尋「 milk（牛奶）」出現「 Sex（性）」,六招保護兒童上網安全
孩子們經常會上網搜尋找更多資料。只是，網路犯罪集團越來越聰明，他們很可能設下一些陷阱並利用技巧讓他們的惡意網站出現在搜尋結果的前幾筆當中,明明輸入一般性查尋的詞彙，所出現的卻是令人傻眼的內容，例如輸入「 milk（牛奶）」這個字眼，竟出現「 Sex（性）」、Porn（色情）」等兒童不宜字眼。一旦好奇點選，更有被潛藏其中的惡意程式入侵之危險。
要「牛奶」，給「腥羶」-最平凡的字彙，竟有另人臉紅的搜尋結果
在網路上搜尋最平凡的詞彙卻產生令人不堪入目的結果，其中不僅充斥各類色情網頁，更有夾帶惡意程式的色情圖片在其中。趨勢科技發現不僅造訪賭博網站或成人網站會受到網頁威脅攻擊，輸入一般性查尋的詞彙，所出現的連結更有出現令人傻眼的內容，例如輸入「 milk（牛奶）」這個字眼，竟出現「 Sex（性）」、Porn（色情）」等兒童不宜字眼。一旦好奇點選，更有被潛藏其中的惡意程式入侵之危險。
36% 家長害怕孩子上色情網站,六招保護孩子的安全
我想您的孩子應該沒見過網際網路尚未誕生的年代，這是好消息，也是壞消息。一方面，這意味著這些數位原住民適應網路世界的速度比你我還快；另一方面，也意味著他們較不會懷疑網路上所看到的內容，對眼前的威脅也較缺乏警覺性。儘管網路是個很棒的學習和社交工具，但網路也有一些內容是兒童不宜的。
不過，任何上網的規範最重要的是要建立在雙方認同的基礎上，而且要強調是為了他們著想。
為此，趨勢科技 PC-cillin 雲端版除了原有的資安與隱私防護等核心功能之外，還內建了家長防護網，讓家長們只需六個簡單的步驟就能減少孩子上網的危險。首先讓我們來快速檢視一下網路上的威脅:
認識危險領域
當我們在上網時，很多我們認為理所當然的事情，對兒童來說並非如此。網路犯罪集團隨時都在想盡辦法偷取我們的個人資料和金融資訊，或是將我們的電腦鎖住而無法使用，然後再向我們勒索數百美元的來救回電腦。光是 2017 上半年，趨勢科技就攔截了高達 385 億次網路威脅，其中包括 8,200 萬次勒索病毒威脅，光從這些數字就能看出網路的威脅有多麼龐大。
好消息是，趨勢科技 PC-cillin 雲端版提供了相當廣泛的防護功能：從網址過濾到垃圾郵件與惡意程式防護，可妥善保護您家人的安全，讓您免於這些威脅。此外，更提供了社群網路防護功能來避免您經由社群網路而感染。還有隱私防護及資料防竊等功能，可避免兒童的個人資料外洩。而除了資安和隱私防護之外，還有一項最重要功能是：家長監護，此功能可讓您限制兒童瀏覽的網站和上網時間，因為網路充斥著各式各樣的危險,以下列出六項：
- 網路搜尋：搜尋引擎是很多兒童上網的第一站，然而就算是再單純不過的搜尋，也可能找到一些惡意網站。有時當有重大新聞事件發生時，孩子們經常會上網搜尋找更多資料。只是，網路犯罪集團越來越聰明，他們很可能設下一些陷阱並利用技巧讓他們的惡意網站出現在搜尋結果的前幾筆當中。雖然趨勢科技 PC-cillin 可幫您攔截這些惡意連結，但有了家長防護網，您可進一步避免孩子在搜尋結果中看到一些不當內容。根據去年一項針對美國父母的調查發現，有超過三分之一的家長 (36%) 害怕孩子上色情網站。
PC-cillin 雲端版【家長防護網】保護兒童上網安全自動過濾色情、暴力等不良網站內容，還可控管上網、電腦及應用程式的使用時間4
《 IOT 物聯網》 智慧喇叭暗藏漏洞
智慧喇叭突然暫停正在播放的歌曲，可能是攻擊者在背後操縱。還不止如此,攻擊者可以根據目標的音樂偏好發送客製化的釣魚郵件, 可以播放假錄音訊息來誘騙目標下載惡意軟體,甚攻擊者可以追踪目標居住的位置並得知他們是否在家。
除了智慧喇叭，任何具有相同或相似漏洞的設備都可能面臨這些攻擊風險。
隨著整合熱門網路服務的物聯網（IoT ,Internet of Thing）設備的出現，有越來越多的使用者看見這類設備的價值。容易整合讓使用者更會考慮將這些產品放入自己的網路。不過易用性雖然很誘人，這些產品也可能出現安全問題而帶來負面的影響。
為了了解物聯網設備的安全防護能力以及攻擊者可以如何地去操縱物聯網設備，趨勢科技測試了特定物聯網設備（智慧喇叭）的安全性。
聲音入侵
在“針對性攻擊的聲音（The Sound of a Targeted Attack）”案例研究中，趨勢科技測試了兩款可連網的智慧喇叭: Sonos Play:1和Bose SoundTouch，發現暗藏的安全漏洞,會暴露使用者資料及其他可用於攻擊的資訊,其中包括了阻斷服務（DoS）漏洞。
過去的研究都專注在奪取喇叭（如Amazon Echo和Google Home）的控制能力，我們的報告則有另外的發現,包括了開放端口所造成的安全間隙，這開放端口讓網際網路上的任何人都可以存取設備和使用者資訊。第一個被找到的是跟設備同步的音樂串流服務連結電子郵件地址。另一個可以拿到的是與測試機位於同網路的設備及共享資料夾列表。我們還取得了BSSID資訊，查詢BSSID可以讓我們知道測試機所使用無線基地台的大致位置。最後，我們還可以看到設備上進行的動作，比如正在播放的歌曲、遠端控制設備以及通過URI路徑播放音樂。
這些問題所帶來的影響超過了設備遭受控制。因為智慧喇叭等物聯網設備可能會洩露讓攻擊者可以用於惡意攻擊的資訊。首先來剖析測試機（Sonos Play:1喇叭）找出安全問題，我們能夠模擬可能的攻擊情景，不僅適用在家庭用戶，也可能被用在企業網路。雖然測試的是連接網際網路的喇叭，而且Sonos Play:1的更新也已經推出，但其他的物聯網設備仍然具備類似問題，也讓攻擊者能夠相同的利用。
攻擊物聯網設備的先決條件
無論針對的物聯網設備是什麼，要發起攻擊時都會利用多項元素。在各種攻擊情境裡，攻擊者都會利用可存取和可利用的資訊。下面列出IoT攻擊情境的先決條件，我們根據對Sonos喇叭的測試來制定了這些條件：
- 對外暴露的設備 – 正如我們對入侵工業機器人以及美國和西歐城市暴露設備的研究所顯示，攻擊者可以透過Shodan等搜尋引擎在網際網路上尋找對外暴露的設備。在進行研究時，我們可以看到大約4,000到5,000個對外暴露的Sonos喇叭。
- 存在不安全性 – 設備具有可讓攻擊者利用的安全漏洞。這可能是缺乏身份認證、未經修補的漏洞或外部來源所洩漏的資訊。在此測試中是開放對使用者資料的存取及其他部分。
- 可被利用的設備功能 – 因為物聯網設備的形式和功能各不相同，某些設備可能具備攻擊者可加以利用的獨特功能。在智慧喇叭的例子裡，攻擊者可以利用從網路來源播放音樂的能力。
- 可公開取得的個人身份資訊（PII） – 這些資訊可以來自合法來源，例如線上搜尋工具或社群媒體，也可以來自被公開的資料外洩資訊。在此研究中，我們發現了727個不重複電子郵件地址能夠輸入到開放原始碼情報工具（如Maltego）。我們還看到數個電子郵件帳號連結到之前的資料外洩事件，如River City Media，LinkedIn和fm。
攻擊情境
使用上述的攻擊先決條件，我們可以為智慧喇叭制定三種攻擊情景。同樣地，任何具有相同或相似漏洞的設備都可能面臨這些攻擊風險。
攻擊者可以根據目標的音樂偏好發送客製化的釣魚郵件。
透過Nmap掃描，我們發現Sonos Play:1的應用程式用TCP/1400進行連線。這讓我們找到一個不用身份驗證的URI頁面。 繼續閱讀