「資訊隱藏術」利用影像檔竊取金融個資 用戶務必謹慎
趨勢科技發現一個利用將設定檔案隱藏在影像當中的惡意程式。儘管這項技巧看來神奇，但這早已不是什麼新聞，趨勢科技之前就報導過使用相同技巧的鎖定目標攻擊(APT目標攻擊使用JPEG檔案)。
當受害者不小心瀏覽到惡意網站,這個 ZBOT 間諜軟體 (TSPY_ZBOT.TFZAH) 會在使用者背後偷偷下載一個 JPEG 檔案到已感染的電腦。使用者甚至不會發現這個影像，就算有人剛好看到這個檔案，也會覺得它只是一張普通照片。趨勢科技發現的是一張日落的照片，其他資訊安全研究人員則曾經見過一張貓的照片。(以下這張照片似乎是取自熱門相片分享網站，因為搜尋「sunset (日落)」這個字就能看到該圖出現在這類網站上。)
歹徒利用圖像隱碼術(steganography)將它所監控的金融機構名單暗藏在影像當中。名單上的金融機構遍布全球。一旦使用者造訪清單中的任何一個網站，惡意程式就會竊取使者的資訊，例如登入帳號和密碼。
「我們沒有槍，大家都以為我們像007一樣拔槍和歹徒作
戰，但事實上當我們攻堅進入房間時，面對的只有一台台電 腦！」與趨勢科技合作打擊網路犯罪的國際警察組織Int erpo說.
未來網路威脅樣貌會如何?由趨勢科技和歐洲網路犯罪中心（Europe Cyber Crime Center）合作,由趨勢科技資訊安全研究全球副總R ik領軍拍攝的《2020 網路危機》影集讓你看見更多未來
作者：趨勢科技全球安全研究副總裁Rik Ferguson
各位或許已經讀過 Europol EC3、ICSPA 及趨勢科技合著的《2020 》專案 (Project 2020) 白皮書：「網路犯罪未來情境」，也看過相關的《2020 》系列網路影片。
當我們在設定《2020 》專案的科技背景並描繪消費者、企業與政府機關的情境時，最大的挑戰之一就是預測科技世界一日千里的發展速度。科技的創新只會變得越來越快 (生活上的一些其他事物也一樣) ，消費者適應的時間越來越短，而歹徒抓住最新機會的步伐卻越來越快。
雖然我們在《2020 》白皮書與系列影片中所描繪的情境只是未來的可能發展之一，但有趣的是我們已見到當中的一些蛛絲馬跡開始出現在 2013 年與 2014 的的真實世界。
這份白皮書是在美國前中情局職員史諾登 (Edward Snowden) 爆料政府監控人民之前，同時亦早於 2014 年消費性電子展 (CES 2104)，但我們已從不只這些來源看到白皮書當中所點出的議題開始浮現。
「可預見的，一般人民將要求其服務供應商及政府機構對其資料的處理更加透明，並且負起更大責任。就目前預期的科技發展速度來看，例如擴增實境與充斥全球的感應器，我們將需要花費更大力氣來說服網際網路使用者有關新興科技及其服務機構在網際網路監督方面的可信賴度。」這句話顯然乎應了今日各國政府早已逾越人民心中底線的現況。
其中的一項發展是，德國總理默克爾 (Angela Merkel) 呼籲成立歐洲網際網路來避免資料被傳輸到歐洲掌控的基礎建設之外，這又呼應了《2020》白皮書的一段話：「各種不同區域性網際網路的出現，讓國際外交受到挫折。[…] 國際外交與網際網路外交現在已是一體兩面。」
而在消費者情境部分則主要圍繞在擴增實境已成為存取線上內容的標準方式。在網路影片中，我們進一步將目前的抬頭顯示器 (HUD) 縮小成隱形眼鏡 (至少有錢人應該負擔得起)，只可惜執法人員還是只能配戴一般傳統眼鏡。CES 2014 上有一樣東西讓我很驚訝，那就是 Innovega 公司所發表的 iOptik 智慧型眼鏡。該公司的隱形眼鏡讓配戴者擁有「超於常人」的廣角視野，再搭配一副微投影眼鏡，就能提供 Google Glass 六倍的解析度與 20 倍的視野。如果你看過 iOptik 介面的一些畫面，你可能也會認為他們是《2020 》系列網路影片的粉絲。
《2020 》系列網路影片的世界或許一下子會讓人覺得有點誇張，而且離現在太近，不可能與今日有太大的差別。但趨勢科技完全了解威脅情勢的改變速度有多快，以及歹徒是多麼會利用任何新的賺錢途徑。
原文來源:The Future Is Closer Than You Think
在過去的15年裡，我替發明資料中心代管模式的公司撰寫了第一份的服務層級協議（SLA），而且我帶領兩家使用傳統企業許可條款的公開上市IT軟體和硬體公司遷移到基於用量的定價模式。過去的經驗讓我非常瞭解大型企業如何看待IT採購，以及雲端服務供應商如何看待服務提供。
很遺憾，這是一個沒有太多重疊部位的范氏圖。當大型企業考慮遷移到Amazon網路服務（Amazon Web Services~AWS），這裡有三件你需要記住的事情。
1. 你的法務部門不會得到所想要的東西。
在雲端運算初期，服務層級協議曾經是可以討價還價的東西。雲端服務供應商重複提供完全相同的服務才能夠獲利，提供每個客戶不同的服務層級是無法重複或擴展的模式。
因為服務層級協議在大型IT的外包合約裡一直是可以商量，大多數大型企業的法務部門認為有空間來和AWS制訂和協商SLA。但其實並不行，這種要求只會減緩你的AWS部署，除了挫折感外並無法得到任何結果。
與其只是碰釘子，不如去研究AWS所提供的額外支援服務。這些可以解決許多相同的問題，不過在標準套件中可能只需要一個點擊。
2. 你的採購部門不會幫上忙。
在大型企業中，採購部門通常會加入探判。這在大型企業裡運作得很好，因為探判專家往往比IT主管來得專業。除非是跟牆壁對談，在這種情況下，採購部門的談判專家只會拖慢專案的進行。
AWS的價格透明公開且標準化。有傳聞堅持某些非常大的公司成功地協商出好價格，但我相信這些都只出現在AWS的最早期階段，在今日並沒有出現在很多公司…如果真的有的話。即使你喜歡AWS產品，你的採購部門可能會拉住你，要你考慮別的產品，這樣談判專家才有事情可做。
只是要記住，AWS有定期更新定價的習慣，而且當它更新時，通常會朝向一個方向…往下！事實上，自2006年以來，AWS已經出現過38次的降價…當你考慮其他產品時，要記得這一點。
3. 你的財務長會窒息。
大型企業的ERP和財務系統通常假設你會購買伺服器並在資料中心的某處租用空間。這些要不是資本支出就是每月固定的長期運作成本。可預測的數字對財務主管來說比較令人放鬆。
不可預知且基於用量的定價模式往往打破了靜態的業務流程，讓財務主管緊張的咬指甲。不幸的是，雲端服務供應商在這裡幫不上忙。企業會越來越習慣不可預期且基於用量的定價會佔IT預算裡越來越高的比例。
記得要有耐心的與你的財務團隊合作。遷移到雲端環境是種對IT的調整，它會讓財務方式完全改變。同心協力最終可以提供給大家一個更好的工作環境…並且讓挫折感降到最低。
@原文出處：Three things large enterprises should know about getting started with Amazon Web Services
受歡迎的訊息應用程式WhatsApp最近又上了頭條，因為它被Facebook以天價160億美元進行收購。網路犯罪份子並沒有浪費時間的去利用此一熱門新聞：幾乎就在正式宣布後不到一個星期，趨勢科技就看到了一波垃圾郵件(SPAM)攻擊宣稱有這款熱門行動應用程式的桌面版在進行測試。
趨勢科技發現了一個垃圾郵件(SPAM)樣本，內容關於Facebook收購了 WhatsApp，並且提到有Windows和Mac版的WhatsApp可以提供給使用者。該郵件還提供了此版本的下載連結，它被偵測為TROJ_BANLOAD.YZV，常見被用來下載銀行惡意軟體。（此行為不管是在個人電腦或行動設備上都一樣。 ）
大致的情況如下；TSPY_BANKER.YZV被下載到系統內。此一銀行惡意軟體變種會取得系統內儲存的使用者名稱和密碼，這讓受影響系統上使用過的網路帳號陷入安全風險。
雖然這起垃圾郵件攻擊的數量比較少，但還在不停地增加中。根據趨勢科技獲得的垃圾郵件來源回報說，此次攻擊的樣本佔了這特定來源所看到全部郵件的高達3%，這顯示出了潛在的垃圾郵件爆發。
趨勢科技強烈建議使用者要小心此次或類似的郵件；WhatsApp目前並沒有Windows或Mac版軟體，因此，所有宣稱有此版本的郵件都可以視為詐騙。趨勢科技透過偵測惡意軟體和垃圾郵件，以及封鎖相關網站來保護使用者，免於此垃圾郵件攻擊。
＠原文出處：WhatsApp Desktop Client Doesn’t Exist, Used in Spam Attack Anyway作者：Michael Casayuran（垃圾郵件研究工程師）
比特幣( Bitcoin)最近幾個星期的狀況相當不妙。Mt. Gox 因為交易延展性的問題而停止提現作業。據稱，過去也曾有人利用同樣的漏洞從 Silk Road 2.0 深層全球網路 (Deep Web) 市集洗劫了 4,000 多個比特幣 (市值約 270 萬美元)。這次的事件，再加上其他一些原本就已動搖比特幣社群信心的事件，讓比特幣的價格狂跌到將近 600 美元，比高峰時期的 1,200 多美元大幅暴跌。
所以，何謂交易延展性？為何它會對比特幣造成這麼大的影響？
假設，我要付你一張面額 25 美元支票，支票號碼為：700。若你知道我都是用支票號碼來記帳，你也能對我發動所謂的交易延展性攻擊。
當你收到我的支票時，您可以修改支票號碼，例如在末尾加一個「1」，此時號碼就變成了「7001」(為了舉例說明，我們假設銀行不會發現)。更改支票號碼本身並不會影響交易的金額。接下來你就等著兌現，然後跟我說你沒收到支票。
如果我現在去查看銀行帳戶，我會看到一張號碼為 7001 (而非 700) 的支票。若我又寄一張新的支票給你，那你就多賺到一張支票，等於可以兌現兩次。就算我不寄新的支票給你，你還是握有舊的支票，照樣可以兌現。
這就是比特幣交易延展性漏洞的基本概念。
現在假設有兩個人：Alice 和 Evan。Alice 打算支付 Evan 一些比特幣。但 Evan 想利用比特幣來詐騙 Alice。當 Alice 將交易送到比特幣網路時，這筆交易會使用一個雜湊碼來作為識別。雜湊碼當中有個欄位叫作 ScriptSig。 繼續閱讀