漏洞 - 資安趨勢部落格

銀行木馬程式 CONFICKER/DOWNAD 出道近十年依然肆虐？舊版 Windows 未修補的漏洞是關鍵!

2018 年 01 月 19 日2018 年 09 月 26 日趨勢科技 TrendMicro

銀行木馬程式 DOWNAD (又名 CONFICKER，趨勢科技命名為 DOWNAD 家族) 首次現身於 2008 年，是當時破壞力最強的惡意程式之一，高達 9 百萬台電腦受到感染，全球皆聞之喪膽。儘管 DOWNAD 現身至今已將近十年，而且已過了巔峰期，但它並未徹底消失。讓我們回顧一下 DOWNAD 近十年來的一些數據，就能理解為何它至今仍是全球最普遍的惡意程式之一。

巔峰時期曾經創下全球 9 百萬的感染案例, 至今每月偵測數量仍維持在 2 萬以上

DOWNAD 在巔峰時期曾經創下全球 9 百萬的感染案例。四年之後，DOWNAD 仍是當年最紅的惡意程式，全球偵測數量仍有 250 萬左右 (2,564,618)。到了 2013 年，DOWNAD 數量銳減，從第一季的 74.1 萬一路下滑至第四季的 22.9 萬，原因應該是越來越多使用者已升級至新版 Windows 作業系統，因此它少了可攻擊的漏洞。但儘管如此，DOWNAD 仍位居 2013 年惡意程式排行榜榜首，偵測總數高達 180 萬左右 (1,824,000)。到了 2014 和 2015 年依然維持同樣情況，DOWNAD 仍穩居企業惡意程式年度感染數量前二名 (不論大型企業或中小企業)，分別為 288,374 和 298,000。

圖 1：2012 至 2016 年 DOWNAD 偵測數量。

儘管在過了顛峰之後 DOWNAD 的感染情況已經緩和下來了，但根據趨勢科技 Smart Protection Network™ 全球威脅情報網 2016 和 2017 年的 DOWNAD 偵測數據顯示，該惡意程式每月偵測數量仍維持在 2 萬以上，所以依然還是相當活躍。

這樣的情況多年來一直相當穩定，如果只看最近兩年的話，WORM_DOWNAD.AD 的偵測數量一直維持在一定水準，只有些微的起伏變化：

圖 2：2016 和 2017 年 WORM_DOWNAD.AD 每月偵測數量。

主要分布於三大產業：政府、製造和醫療

DOWNAD 主要分布於三大產業：政府、製造和醫療，占 2016 年所有 WORM_DOWNAD.AD 偵測數量的 34%，同時也占 2017 年的 41%。這些產業的企業通常比較專注於原本的專業領域，所以不像一些科技相關產業 (如軟體和委外服務) 那麼重視技術升級投資。此外，這些產業的企業由於規模和複雜度的緣故，系統升級需耗費龐大的人力和時間，而這些都是 DOWNAD 為何在這些產業特別興盛的原因。

圖 3：WORM_DOWNAD.AD 在各產業的分布 (2016 年)。 繼續閱讀

關於Intel CPU 漏洞,微軟新修補程式部署流程 8 個常見問題

2018 年 01 月 05 日2018 年 01 月 08 日趨勢科技 TrendMicro

1月3日，微軟在每月的周二修補日之前先發布了給Windows 10的緊急安全更新，目的是要解決最近Intel處理器被發現的設計缺陷。這個更新還在修補程序中加入新的先決條件：需要具備特定註冊機碼才能部署和安裝。以下是趨勢科技客戶和使用者所需要了解的事情：

什麼是新的修補程序？
具備這個註冊機碼才能自動進行Windows更新。微軟的公告說明：“由於某些防毒軟體存在問題，這個更新僅適用於防毒廠商已經加入註冊機碼ALLOW REGKEY的機器”。這意味著廠商需要驗證其軟體與系統/作業系統的相容性。
為什麼微軟要進行這個改變？
他們在測試期間發現有第三方安全軟體會在系統核心記憶體內進行調用，造成系統當機。為了避免這種狀況以及其他無法預期的情況，微軟現在要求第三方防毒軟體需確認其軟體與系統/作業系統的相容性，確認相容之後再透過新增註冊機碼的方式進行Windows Update。
有沒有能夠自動啟用更新修補程式的工具？
Microsoft不提供用來加入此註冊機碼的工具。防毒廠商需要確保自己能夠提供所需的註冊機碼來讓他們的客戶下載和部署更新/修補程式。
如果我不是使用Windows 10，還需要註冊機碼來安裝修補程式嗎？
是的。所有後續的修補程式部署都會遵循Microsoft的新作法，因此需要一個註冊機碼。繼續閱讀

高危險Android漏洞Janus, 攻擊者可繞過簽章,竄改APP

2018 年 01 月 03 日2018 年 01 月 05 日趨勢科技 TrendMicro

Android的2017年12月安全更新修補了一個嚴重漏洞，這個漏洞會讓攻擊者在不影響簽章的情況下修改已安裝的應用程式。讓攻擊者能夠存取受影響的設備（間接地）。研究人員在去年 7月首次發現這個漏洞（被指定為CVE-2017-13156，也被稱為Janus漏洞），受到影響的Android版本包括5.1.1到8.0；約有74%的Android設備安裝這些版本。

趨勢科技發現至少有一個應用程式使用了這技術。這特定應用程式利用此漏洞讓自己更難被行動安全軟體偵測。之後也可能用來侵害其他應用程式並存取使用者資料。

漏洞分析

Android應用程式的安裝套件（.APK檔案）其實是.ZIP壓縮檔。.ZIP檔案格式有幾個特點讓這種攻擊發生。看看底下的基本.ZIP檔案結構：

圖1、.ZIP檔案結構

檔案結構由三部分組成：檔案實體（File Entry）、核心目錄（Central Directory）和核心目錄結束（EOCD）。核心目錄包含壓縮檔內每個檔案的資料；應用程式使用此目錄來找出記憶體位置以存取所需的檔案。

不過每個檔案實體並不需要相鄰。甚至可以將任意資料放入.ZIP檔案的這部分，如下所示：

圖2、ZIP檔案結構（紅色為任意資料）

攻擊者可以在APK檔案開頭放進一個惡意DEX檔案（如下所示）。有漏洞的Android版本仍會將其識別為有效的APK檔案並且執行。繼續閱讀

2018年資安預測:已知漏洞將會成為最大攻擊來源

2017 年 12 月 29 日2017 年 12 月 27 日趨勢科技 TrendMicro

趨勢科技發表了對2018年的預測報告。在報告中，我們列出了在2018年威脅環境可能會出現的八種演變。雖然這些預測涉及廣泛，從物聯網到網路宣傳戰都有，但是真正的主題是2018年最大的攻擊將來自已知漏洞。

這預測源自2017年所有的重大資安事件（像是WannaCry(想哭)勒索蠕蟲事件）都是基於已知漏洞。只要研究Shadow Brokers所洩漏出的資訊，犯罪份子就可以取得國家級情報機構所使用且成功攻擊的漏洞清單。因為這樣，很容易就可以預見犯罪分子也會利用這些漏洞。

一個未知的漏洞（只有情報組織才知道的漏洞）和已知漏洞間最大的差別就是使用它們的攻擊者數量呈指數增加。所以，一旦有漏洞被公眾所知，時間就開始在倒數，剩下的只是“什麼時候”會攻擊到使用者的問題。繼續閱讀

Facebook投票功能竟可刪除他人照片!漏洞發現者獨得美金一萬元

2017 年 12 月 06 日2017 年 12 月 05 日趨勢科技 TrendMicro

Facebook出現一個能夠讓惡意人士刪除使用者張貼在社群網路上照片的漏洞。安全研究人員發現Facebook新的投票功能有漏洞，這投票功能可以讓使用者建立給朋友和關注者投票的兩問題投票。這問題已經回報給社群網路的安全團隊並在12小時內提供初步修復，兩天之後會全面修復。

伊朗的安全研究和網路開發人員Pouya Darabi在檢查Facebook的新功能時注意到此漏洞。Darabi發現自己可以經由變更ID號碼來加入圖片。這讓他可以預覽Facebook使用者在線上傳的圖片，並將其加入到投票內。當他刪除這次投票，附加的圖片也會被從社群網路中永久刪除。

這漏洞並不容易攻擊，因為上傳圖片的ID號碼並不完全照順序。攻擊者必須計算自己的步驟來碰上有效的圖片。因此想針對特定照片會很困難。

Darabi因發現並回報此安全漏洞而獲得10,000美元獎金。這並不是這名安全研究人員第一次從Facebook獲得獎金。在2015年，他因為繞過跨站請求偽造（CSRF）保護系統而獲得15,000美元獎金。而次年他因為類似漏洞又獲得了7,500美元。

這漏洞的出現提醒了人們社群網路跟其使用者同樣容易遭受網路威脅。使用者在瀏覽自己的社群網路帳號時也要小心，因為如果不是Facebook在安全研究人員通知後快速地解決，他們自己並沒有辦法來處理這漏洞所造成的問題。這次修復可以防止使用者的數位資產被外露，不過還是要持續關注網路犯罪分子未來可能開發的漏洞攻擊。

保護你的社群媒體帳號

最近一項研究顯示人們平均每天在社群網路上花費約116分鐘。社群媒體的無處不在加上它的帳號跟越來越多應用程式和帳號連結，社群媒體平台自然成為了惡意攻擊者的理想目標。

以下是保護帳號安全的一些建議：