資安趨勢部落格 – 第 756 頁 – 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

ShellShock (即 Bash 漏洞) 威脅全球近五億連網裝置 ,趨勢科技提供免費工具

2014 年 09 月 29 日2014 年 09 月 29 日趨勢科技 TrendMicro

【2014 年 9 月 29日台北訊】隨著 Shellshock (即 Bash 漏洞) 的安全疑慮逐漸攀升，全球資安軟體及解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 率先提供一系列免費工具來讓大眾掃瞄自己的 OSX 和 Linux 伺服器以保護伺服器與網站使用者的安全。此漏洞很可能對全球近五億台的網站伺服器以及手機、路由器和醫療裝置等各種連上網際網路的裝置造成威脅。

趨勢科技執行長陳怡樺表示：「此問題的嚴重性很可能迅速攀升，因此我們立即採取了預防性措施來防止這個前所未有的漏洞，保障大眾安全。我們相信，對科技使用者來說，最有效的作法是謹慎面對，並且利用趨勢科技和其他廠商所提供的資源來建立一道堅固的防線。我們也希望能藉由提供免費工具給客戶及社會大眾來防範這波疫情爆發。」

本週媒體大量報導的 Shellshock (即 Bash 漏洞) 是一個可讓歹徒從遠端執行 Linux 指令的漏洞，其影響遍及全球絕大多數的網站伺服器，還有連上網際網路的 Mac OSX 平台裝置。我們提供的免費工具 BashLite Malware Scanner 即可檢查您的 Linux 系統上是否含有 BashLite 惡意程式。

趨勢科技技術長 Raimund Genes 指出：「Shellshock 很可能比今年稍早的 Heartbleed心淌血漏洞散布得更廣，它不僅與 Heartbleed 的性質和行為截然不同，而且威脅更為嚴重。」繼續閱讀

Shellshock/Bash漏洞攻擊持續出閘!!最新攻擊針對中國金融機構

2014 年 09 月 29 日2014 年 09 月 29 日趨勢科技 TrendMicro

看起來Shellshock/ Bash 漏洞攻擊真正地開門出閘了。我們已經報導過不同的攻擊來利用Bash漏洞，從僵屍網路攻擊到IRC僵屍機器人都有。

趨勢科技也發現了在巴西看到利用Shellshock漏洞來嘗試進行攻擊。看起來這些攻擊意圖並不僅限於該國家。我們看到另一波的Shellshock漏洞攻擊 – 這次是針對中國的金融機構。

趨勢科技的 Deep Discovery 偵測到此類攻擊意圖，並且發現攻擊者是想要嘗試多個屬於該機構的 IP 地址是否具有此 Shellshock漏洞，也就是 CVE-2014-06271。進一步的分析顯示有三個被測的IP地址可能有此漏洞，因為攻擊者試圖執行指令「/bin/uname –a」。指令「uname」會顯示系統資訊，包括作業系統平台、機器類型和處理器資訊。

乍一看，被取得系統資訊可能並無害處。但如同趨勢科技部落格在之前的文章中提過，資訊收集可能是為了準備更多破壞性計畫的指標。這指令可以為更大規模和更具破壞性的攻擊開道。

嘗試攻擊的時間很有意思，因為中國黃金週假期是從10月1日開始。所以這樣的嘗試很可能是在此假期間所進行攻擊的起始階段，因為網路系統管理員將在這段時候離開。

趨勢科技正在不斷地監視可能利用 Shellshock/Bash 漏洞的攻擊，同時確保使用者和組織在現實世界中免受此類威脅攻擊。趨勢科技的 Deep Discovery 提供了網路層面的能見度和威脅情報，以偵測和回應針對性攻擊及進階威脅。繼續閱讀

有關 Shellshock (Bash 漏洞) 的一些基本資訊(含資料圖表)

2014 年 09 月 29 日2016 年 01 月 25 日趨勢科技 TrendMicro

就在幾個月前，Heartbleed心淌血漏洞才橫掃網際網路，現在又出現了另一個存在已久的廣泛性安全漏洞，名叫 Shellshock (亦稱為 Bash 漏洞)，這一次，全球數以億計的伺服器和裝置及使用者都將受到威脅。Bash 漏洞之所以嚴重，是因為要利用它來發動攻擊輕而易舉，不需太大的專業技術能力。

這是什麼樣的漏洞？

Shellshock 是一個存在於 UNIX 類系統 Bash 指令列界面程式 (shell) 當中的漏洞。當今的 Bash 程式會讓使用者從遠端執行指令。如此一來，就能讓駭客在系統上執行惡意的程序檔 (script)，等於讓駭客掌控了一切。此漏洞的影響非常廣泛，因為所有的 Linux、BSD 和 Mac OS X 作業系統都受到影響，光是 Linux系統就占了網際網路上絕大多數的伺服器，再加上各種物聯網（IoT ,Internet of Things）裝置。

威脅的影響範圍及對象？

Shellshock/ Bash 漏洞等於在系統上開了一個後門，讓駭客能夠從遠端執行指令、取得系統控制權、挖掘資料、竊取資料、篡改網站等等。絕大多數採用 Linux 作業系統的電腦和連網裝置，如路由器、Wi-Fi 無線基地台、甚至智慧型燈泡都受到影響。

繼續閱讀

《 IoT 物聯網安全趨勢》穿戴式裝置來了，您準備好了嗎？

2014 年 09 月 29 日2016 年 01 月 25 日趨勢科技 TrendMicro

IOE資料圖表穿戴式裝置面面觀 ins-and-outs-of-wearable-devices-hi-res — 圖文解說：穿戴式裝置面面觀(點小圖可放大)

穿戴式科技正逐漸興起，並且將在數位領域留下不可磨滅的足跡。有了穿戴式裝置，您再也不會漏接任何電話、電子郵件、最新消息等等，其方便性還不只如此。方便性似乎已成了今日科技所追求的目標。

這一波彼此密切相關的全新智慧型裝置不僅滿足了功能、方便性與可靠性需求，更何況還能低調地融入您的一身打扮當中。一個很好的例子就是健身記錄器，這些設計得如同一般手環的智慧型裝置，內建多種生物感應器，能測量您身體的數據並即時計算您的進度，卻完全不影響您日常的健身習慣。其最新數據可以藉由藍牙傳送至您的行動裝置，讓您隨時掌握最新的進度。

另一個例子是智慧型手錶(如:蘋果 Apple 發表的 Apple Watch )，之後它可當成智慧型手機的延伸。其功能就像一般的電子錶，但卻多了顯示手機來電通知的功能。許多智慧型手錶的早期採用者表示，這些裝置能讓他們在忙其他事情時省去隨時查看手機的麻煩。儘管這類手錶的功能目前仍顯陽春，但各大電子廠商皆已承諾在未來不久之內為智慧型手錶開發出更多實用又提升生產力的 App 程式。

延伸閱讀：從陽春到智慧：物聯網 (Internet of Everything) 串連智慧裝置讓生活更便利

這類智慧型裝置的終極版本就是智慧型眼鏡。如果說健身記錄器和智慧型手錶讓您的真實生活和虛擬生活同步的話，那麼智慧型眼鏡則讓您隨時捕捉這世界的驚鴻一瞥。它能幫您搜尋網路、記錄資料、錄下視訊和影像、撥打電話、發送訊息，全都透過簡單的語音指令完成。如同其他尖端技術一樣，這項穿戴式裝置目前仍未成熟，還有許多改進空間，縱然它技術規格很強大，但依然有待開發。

不過，雖然這些智慧型裝置革命性十足，但它們也可能侵犯人們的生活、讓人容易分心、或者帶來危險。由於這些裝置會蒐集並傳送敏感資料，例如您健身記錄器上的健康進度與每日行經路線，或是您透過智慧型手錶發送的訊息，或是您的確切位置以及從智慧型眼鏡看到的畫面，這些都是網路犯罪集團覬覦的全新目標。歹徒一旦攔截到您的資料，就能竊取您的身分。若您在工作場所使用這些裝置，他們就可能潛入您的公司網路。當您在使用這類智慧型裝置時，您必須問問自己願意犧牲多少個人隱私來換取方便性和連線能力。

文章一開始的圖文解說根據傳輸及接收的資料將穿戴式裝置分成三種不同類型：「輸入型」裝置會蒐集並儲存本地端的資料，「輸出型」裝置會顯示來自配對裝置的通知讓使用者閱讀，「輸入輸出型」裝置則可傳送、接收並顯示資料。請點選上面的影像來查看穿戴式裝置圖文解說的全文。

◎原文出處：https://about-threats.trendmicro.com/us/threat-intelligence/internet-of-everything/understanding-ioe/ready-for-wearable-devices

Shellshock持續造成IRC機器人的出現

2014 年 09 月 27 日2014 年 09 月 30 日趨勢科技 TrendMicro

愈來愈多攻擊利用此Shellshock/ Bash 漏洞 !!

在此漏洞被報導後僅僅幾個小時，所帶來的惡意軟體（如ELF_BASHLITE.A）就出現在威脅情勢中。其他的會帶來的惡意程式像是PERL_SHELLBOT.WZ和ELF_BASHLET.A也在真實世界中出現，有能力去執行命令，從而危害系統或伺服器。

除了會帶來這些惡意軟體，也有針對已知機構進行DDoS攻擊的報告。經過我們的調查，我們發現到在巴西有漏洞攻擊的出現，去測試目標伺服器是否有漏洞。這意味著幕後的攻擊者可能是想要收集情報，一旦他們取得所需要的資訊，就可能去進行接下來的攻擊，進而去滲透入他們的目標網路。

趨勢科技的研究人員正在不斷地監視可能利用Shellshock/ Bash 漏洞。根據趨勢科技的調查，發現有活躍中的IRC機器人（網際網路中繼聊天）會去利用Bash漏洞。趨勢科技將此機器人偵測為PERL_SHELLBOT.CE。受感染的系統會透過端口5190連到IRC伺服器，us[點]bot[點]nu，加入IRC頻道 – #bash。接著它會等待來自遠端攻擊者的命令。它可以進行下列指令：