IOE - 資安趨勢部落格

《物聯網 IoT浪潮》住家智慧化，第二部

2014 年 07 月 18 日2016 年 01 月 25 日趨勢科技 TrendMicro

趨勢科技在這篇文章的前一部裡解釋了什麼是住家「智慧化」，為什麼人們要加以採用，並介紹了一些會影響人們將住家自動化加入日常生活的因素。

還有哪些因素會影響到智慧型設備,是否被一般住家接受？

更換現有設備

當家中現有的設備和家電需要更換時，屋主可以選用智慧型設備來更換。當然，使用者可能實際上並沒有用到設備的「智慧」功能，至少一開始沒有。

消費者不喜歡麻煩,為了「保持事情簡單化」他們希望最好不用在家裡還要不停管理和維護安全基礎設施，為了不增加住家的被攻擊面，消費者甚至最終可能會不去使用智慧型設備所提供的功能。這一切意味著生命週期較短的設備和那些較耐用持久的設備比起來更容易被「智慧化」。

寬頻供應商綁約

在許多情況下，寬頻廠商不僅提供網路連線，還包括了電話和電視服務。隨著消費者的續約，有越來越多人被吸引在合約中加入智慧型居家服務。美國的例子包括時代華納的IntelligentHome，AT＆T的Digital Life和Verizon的Home Control。所有這些提供給智慧型住家的產品都涵蓋了自動化，安全和節能。

這表示過去沒有想到要購買智慧型設備的使用者可能會發現自己買了這些產品：畢竟，現在這只是他們所購買整包東西內的一小部分。繼續閱讀

手機病毒滿 10 年,高風險行動 app 已突破二百萬大關

2014 年 07 月 15 日2016 年 01 月 25 日趨勢科技 TrendMicro

行動裝置威脅因失竊資料在地下市場需求增加突破二百萬大關!!

行動裝置惡意程式與高風險的 App 程式數量在第一季突破二百萬大關，從第一個行動裝置概念驗證 (PoC) 惡意程式至今正好滿十周年。

2014 Q1出現大量的資料竊取程式，這很可能是因為地下市場對行動裝置失竊資料的需求增加所致。更糟的是，現在犯罪集團在地下市場上提供了更容易重新包裝 App 程式的方法，這或許說明了為何光本季就發現了大約 647,000 個新的行動裝置惡意程式與高風險的 App 程式。

今年前三個月除了行動裝置惡意程式數量成長之外，我們也發現了各種全新的手法。它們使用 Tor 洋蔥網路來確保幕後操縱 (C&C) 伺服器通訊的隱匿性，此外，也出現了專門從事數位貨幣採礦的行動裝置威脅。另外還出現一個名為 DENDROID 的全新遠端存取工具，它會擷取裝置的螢幕畫面、錄下影像及聲音，並將這些資料拿到地下市場賣給最高出價者。

這一切證明了什麼？那就是，隨著越來越多使用者「邁向行動化」，行動威脅也將越來越多。
「然而，隨著行動裝置數量近年來倍數成長，行動裝置惡意程式成長速度超越電腦威脅也就不令人訝異。原本用在電腦使用者身上的技術，如 Tor 和數位貨幣採礦，如今也都成為對付行動裝置使用者的手法。」

—Kenny Ye (行動裝置威脅研究員) 繼續閱讀

Android 並非唯一受害者， iOS 也遭遇漏洞攻擊

2014 年 07 月 11 日2016 年 01 月 25 日趨勢科技 TrendMicro

惡意 App 程式和網站威脅在經過多年的急速成長之後，行動裝置威脅在2014年第一季終於開始出現成熟的跡象。除了原本的行動裝置威脅之外，Android™ 平台還出現了可能讓裝置「變成磚塊」(完全無法使用) 的軟體漏洞。

最近，一些軟體漏洞相關的事件證明，即使是自訂的 App 程式權限也可能被駭客躲過。一個最新發現的 Android 平台漏洞可能導致裝置陷入永無止境的重新開機循環，變成完全無法使用的「磚塊」。

不過，Android 並非唯一的受害者，第一季 iOS 使用者也同樣遭遇到所謂的「goto fail」漏洞。此漏洞一旦被攻擊成功，iOS 系統上用來將網際網路連線加密以防止網站連線遭到竊聽或挾持的 Secure Sockets Layer (SSL) 功能將因而失效。結果呢？任何使用者透過公共 Wi-Fi 網路發送、張貼的資料或任何線上活動，都可能被歹徒看光光，甚至遭到惡意篡改。

「越來越多的網路犯罪者開始轉移目標，紛紛搭上行動裝置的熱潮與普及列車，更何況行動裝置不像電腦那樣受到嚴密防護。未來我們勢必看到更多行動裝置平台的漏洞，尤其是 Android，因為該平台擁有廣大的使用族群。」

—Kenny Ye (行動裝置威脅研究員)

萬物聯網時代，企業必要掌握的資安四大面向

萬物聯網資訊安全中心　　多層次的資訊安全中心控管
萬物聯網駭客攻防手法　　深度分析APT攻擊，建立完整的防禦架構
萬物聯網雲端防護架構　　私有雲、公有雲、混合雲的資訊安全
萬物聯網行動安全機制　　企業行動裝置安全策略

當萬物聯網IoE(Internet of Everything)正待崛起，美國著名研究機構更看到比現今經濟大上30倍的發展契機；引領企業資安布局的您，該如何預見具前瞻價值的資安趨勢，為「萬物可聯網‧無處不資安」的時代及早準備？【即刻報名!!CLOUDSEC 2014企業資安高峰論壇】

物聯網 (IoT)安全趨勢:駭客經由銷售櫃台 (POS) 系統發動大規模資料外洩奇襲

2014 年 07 月 10 日2016 年 01 月 25 日趨勢科技 TrendMicro

在零售業一起可能是有史以來規模最大的資料外洩事件當中，駭客竊取了大約 4,000 萬名客戶的信用卡/現金卡資料。該零售業者總計大約有 7,000 萬名客戶的個人資料落入駭客手中，歹徒成功入侵了數十年如一日的老舊銷售櫃台 (POS) 系統網路。

然而，資料外洩事件並非僅侷限於美國，南韓一家金融監理機構也在一場類似的攻擊當中損失了大約 20 萬名客戶的信用卡資料。

POS 系統防護不易，但攻擊上卻相對簡單。這類系統有三種可能的攻擊管道：駭入 POS 裝置、駭入網路通訊、攻擊特定伺服器。事實上，光是本季我們就看到多個 POS 惡意程式家族，包括：會檢查是否有信用卡資訊可竊取的 ALINA、會運用 Tor 洋蔥路由器來隱藏行蹤的 FYSNA，以及會將竊取到的資料上傳至幕後操縱 (C&C) 伺服器的 HESETOX。更糟的是，我們在 2014 年第一季所發現的 POS 惡意程式數量是 2013 年一整年的七倍有餘。

此外，大型資料外洩事件還需花費龐大的資源來處理，因為銀行必須將每張信用卡的更換成本 ( 3 至 5 美元) 乘上受害者數量。

所幸，網路系統管理員可採取一些進階威脅防護方案來保護其 POS 系統網路以防範資料外洩，進而避免發生嚴重的後果。由於每一個網路皆有其獨特性，因此他們可以利用客製化的解決方案和防禦策略來防範攻擊。