《資安新聞周報》去年國內上市櫃公司14件資安事件重大訊息,平均每月一起  /開啟兩步驟驗證,Google 揭用戶帳號被盜減少一半  /LINE爽收「千元紅包」!點開結果超可怕  

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

資安新聞精選

推動預設開啟兩步驟驗證,Google 揭用戶帳號被盜減少一半         科技新報網

LINE爽收「千元紅包」!點開結果超可怕         三立新聞網

專門攻擊 NAS 裝置的四種威脅   資安人

2021年國內上市櫃公司14件資安事件重大訊息,平均每月一起           iThome

Samba 漏洞 CVE-2021-44142 分析與修補   資安人

Samba 修補高風險漏洞,不讓攻擊者藉此以root權限遠端執行程式碼     iThome

Log4j漏洞引爆開源軟體安全議題,OpenSSF基金會扛起重擔,推動修補大量軟體漏洞的計畫     iThome

蘋果推出「Tap to Pay」功能,讓iPhone直接化身便利收款工具  數位時代

【關鍵圖表】2年疫情期間台灣「假愛情交友」、「投資詐欺」案件續創新高          關鍵評論網

全球1.03億人「123456」當密碼 遭駭客攻破  民視新聞網

別為了急於省電而犧牲安全性,微軟建議Windows電腦至少要持續連網8小時,否則無法完整安裝更新          iThome

iPhone 用戶不用打密碼了!新版 iOS 將支援「口罩版Face ID」   自由時報電子報

面對OAuth程式也須驗證真偽!惡意活動OiVaVoii以假冒的OAuth程式鎖定C級高階主管         iThome

付費詐騙App日益猖獗,出現已下載到1億支Android手機進行斂財的惡意軟體          iThome

北韓駭客Lazarus利用Windows Update躲避偵測、還以GitHub遠端控制          iThome

看似安全卻是危險,這款 Android 第三方雙重驗證 App 會偷你錢          科技新報網

使用前詳閱隱私說明書,盤點各種 App 個資使用狀況   科技新報網

DeFi 史上第二大遭駭事件!區塊鏈橋「蟲洞」損失超過 3.2 億美元          科技新報網

以風險評估數值為基礎 逐步落實零信任控管    網管人

不只虛擬鄧麗君 趨勢科技:未來「數位分身」爭議將更多    ETtoday新聞雲

(100科技微趨勢)網路與資訊安全 駭客眼中新肥羊:聯網汽車          數位時代

【2025科技微趨勢】Web 3.0來了!聯網汽車變駭客眼中新肥羊?11個資安必懂趨勢        數位時代

繼續閱讀

什麼是 Catfishing ? 從三部網戀影片,看現實世界裡的網路愛情騙!

你在網路上認識的她/他,真的是天菜嗎?幻滅的網路愛情,往往來自一樁樁的假身分詐欺,尤其是發生在社群網站。「Catfish」 這個單字原意是「鯰魚」或是台灣人較為熟悉的「土虱」,2010 年因為一部追蹤身份詐欺的同名紀錄片而衍伸出「網路交友詐騙」的新定義。如果朋友跟你說:「I was catfished! 」那就表示他遇到網路交友詐騙了。下次遇到有人問你:” Have you ever been catfished?” 可別一頭霧水。
本文介紹三部跟 「Catfishing(網路交友詐騙)」相關的影片和防範小秘訣。

網路交友詐騙(Catfishing):愛情騙子藏在電腦後面的劇本,老梗居多,但還是有人老是被騙

在這滿是交友網站、視訊通話和免費交友軟體的時代,羅曼蒂克和網路犯罪之間變得難以分辨。不管老不老套,但愛情的確有一種魔力。不幸的是,它也成為各類型詐騙最有效的誘餌。

我們曾介紹了一些常見的愛情騙局,不僅成功地玩弄網友的心,也成功地騙到他們的錢。

1993 年《紐約客》(The New Yorker)雜誌刊登一則有兩隻狗的漫畫:一隻黑狗站在電腦椅上前爪扶著鍵盤,對著地上的另一隻狗說:「在網路上,沒人知道你是一條狗。」(On the Internet, nobody knows you’re a dog.)

在社群網站講球實名制的今日,個人資料,諸如生日、就讀學校、職業……等等,似乎沒有當年網際網路剛發展時的隱密,但利用社群網站建立的假帳號,卻也混淆了愛情騙子的真實身分。

想脫單的你,得睜大眼睛了,畢竟螢幕後面的真實身分,不是你能一眼看穿的。


那些影片跟 「網路交友詐騙」有關?

沒有伴的情人節都做些什麼?網路追劇;偷窺舊情人 FB感情狀況;試探分手前共享帳密是否還可登入…但如果你嘗試使用交友軟體或是在社交網站上結識異性,也許可以先看看以下三部影片,先打個預防針:

繼續閱讀

專門攻擊 NAS 裝置的四種威脅,如何強化 NAS 安全性?

趨勢科技在最近一份研究當中分析了專門攻擊知名品牌網路儲存 (NAS) 裝置的威脅。分析了當今幾個既存及發展中的消費性與企業級 NAS 裝置的威脅。

隨著使用者和企業越來越依賴物聯網(IoT ,Internet of Thing)裝置來隨時保持連網、存取資訊和資料,並維持工作流程的運作,其相關的威脅也不斷演進。使用者和企業現在都使用網路儲存 (NAS) 裝置來儲存和備份檔案,以確保使用者在工作過程當中都能持續保持連線。最近,由於 NAS 裝置儲存了大量的珍貴資料,但這類裝置的資安功能並非強制性,因此有越來越多網路犯罪集團開始將目光轉向 NAS 裝置。 

由於網路犯罪集團已經注意到這股趨勢,因此會不斷翻新他們的工具和技巧,將網路儲存 (NAS) 裝置列入他們攻擊清單。他們知道現在的家庭和辦公室環境很多都使用這類裝置來儲存和備份檔案。更重要的是,網路犯罪集團深知這些裝置不僅保存了許多珍貴資訊,而且只有一些基本的資安功能。

趨勢科技的研究報告「保護您的備份:防範 NAS 裝置不斷演變的威脅」(Backing Your Backup: Defending NAS Devices Against Evolving Threats) 分析了今日一般使用者與中小企業使用的 NAS 裝置目前的現況與功能,並點出一些可能攻擊這類裝置的威脅及使用者可能受到的衝擊。 

為何 NAS 裝置會成為攻擊目標?

NAS 裝置之所以會成為駭客的攻擊目標,主要有兩個原因。
📌第一,這些裝置內建的資安功能並非強制性。
📌第二,這些裝置含有珍貴的資訊,因為它們同時具備了儲存和備份雙重用途。


專門攻擊 NAS 裝置的四種威脅

繼續閱讀

APT 攻擊:White Rabbit 勒索病毒與其躲避偵測技巧

本文分析了最新發現的 White Rabbit 勒索病毒並仔細研究了它的躲避偵測技巧。

趨勢科技發現最新的  White Rabbit 勒索病毒 家族在 2021 年 12 月暗中攻擊了一家美國當地銀行。這個新的勒索病毒跟知名的 Egregor 勒索病毒一樣會隱藏自己的行為,而且可能跟知名的「FIN8」「進階持續性滲透攻擊」(APT攻擊)

集團有所關聯。

在指令列輸入密碼

White Rabbit 最值得注意的一點是,它的惡意程式需要在指令列輸入一個特殊的密碼,才能解開其內部的組態設定並執行勒索病毒行為。這種避免暴露惡意行為的技巧是知名勒索病毒家族  Egregor 為了防止研究人員分析其惡意程式而採用的密技。 

繼續閱讀

Samba 漏洞 CVE-2021-44142 分析與修補

本文說明 Samba 最新的漏洞以及如何防範系統遭駭客經由此漏洞駭入。

前不久,在趨勢科技 Zero Day Initiative (ZDI) 舉辦的  Pwn2Own Austin 2021 駭客大賽上,參賽者揭露了一個 Samba 軟體的記憶體讀寫超出邊界 (OOB) 漏洞。會後,ZDI 針對這個漏洞做了進一步的研究之後,又發現了幾個該漏洞的變體,接著便將研究發現通報給 Samba 開發團隊。雖然我們目前尚未看到任何利用此漏洞 ( CVE-2021-44142) 的攻擊,但這個漏洞的 CVSS 嚴重性等級達到 9.9 分 (根據我們通報的三個變體)。駭客若能成功攻擊此漏洞,就能從遠端以系統管理員 (root) 身分執行任意程式碼。凡是安裝了 Samba 軟體並使用虛擬檔案系統 (VFS) 模組「vfs_fruit」的電腦都受到影響。Samba 已經釋出所有相關的修補更新來防範此漏洞可能帶來的攻擊。趨勢科技的客戶目前都安全無虞,此外也可採用手動方式來解決此漏洞。

何謂 Samba?


Samba 是一套用來與 Windows 系統互通的軟體,它實作了 Windows 的 Server Message Block (SMB) 網路檔案與列印服務功能,可在絕大多數的 Unix 和類 Unix 系統 (如 Linux 及 macOS) 系統上執行,為所有使用 SMB/Common Internet File System (CIFS) 通訊協定的用戶端提供檔案與列印服務。如此一來,網路系統管理員就能將非 Windows 電腦整合至 Windows 環境整合,擔任網域控制器 (DC) 或一般的網域成員。

繼續閱讀