《資安新聞周報》一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中,請小心迴避/2018年不可思議14個駭客入侵手法懶人包

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

媒體資安新聞精選:

亞洲最有權勢女強人 陳怡樺談趨勢王國  寰宇新聞網

Media OutReach/趨勢科技榮獲2018Gartner用戶端防護平台同儕意見客戶首選        Pchome 新聞

怕染毒 趨勢科技攜手中華電從機房防毒  台灣蘋果日報網

【再也沒有 123456 了】加州立法禁用「預設密碼」,IoT 產品全得強制改密碼       科技報橘網

微軟網站登入系統有漏洞,用戶點選惡意連結帳號就被綁架        iThome

駭客在黑市兜售全球逾30個國家的4萬個政府服務憑證      iThome

Mygopen》【假LINE】鈕承澤醜聞私密照曝光?專家:小心熱門訊息不明連結   自由時報電子報

獨/沒有PayPal帳戶卻收到交易信 跨國第三方支付資安出現漏洞     ETtoday新聞雲

手電筒等22款Android程式暗藏木馬,下載已破200萬       iThome

由2萬個WordPress網站組成的殭屍網路正在殘害手足 iThome

全球遭惡意挖礦程式感染的Mikrotik路由器數量已激增到41.5萬台   iThome

觀點》進軍數位金融的LINE 藏著什麼隱憂?(陳瑞霖)   華視全球資訊網

Email有假!蘋果、網易、QQ、Gmail等郵箱均可被仿冒      新浪網(臺灣)

被嚴重低估的人為失誤,已成資安危機    iThome電腦報周刊

個資竊取 惡意廣告  惡意廣告攻擊行動在48小時內挾持3億次瀏覽 Thome電腦報周刊

BSI 蒲樹盛:資安風險是全球成長最快的科學風險 網路資訊雜誌

最新版本的 Chrome 會主動阻擋詐騙網站的廣告了       Engadget

IoT攻擊花樣百出 科技業攜手找出對策    網管人

華為風波!立委要國銀主管禁用微信        三立新聞網

華為資安疑慮 外交部:採購通訊產品以台灣品牌優先  今日新聞

外媒:設備充斥台灣// 華為恐成駭台特洛伊木馬   自由時報

打安全牌 爭取歐洲採購5G商機 華為擬砸600億更新軟體  經濟日報(臺灣)

華為遭圍剿 歐盟高層也補刀 副主席:歐盟應對陸科技公司感到擔心        工商時報

中華電攜手趨勢科技 推資安物聯網        台灣時報

日本舉國拒絕中國資安威脅!四大電信業者拒用華為產品    台灣英文新聞

【獨家】華為效應揭資安漏洞 市售僅5支通過手機資安認證      台灣蘋果日報網

5G之戰 國際聯軍封殺華為 自由時報

「不信中國」 川普政府將起訴大陸多名駭客  聯合新聞網

Adobe緊急修補Flash Player的零時差漏洞       iThome

臉書內部資料遭披露 涉嫌出賣用戶好友資訊  中央廣播電臺

滅不完的火!《異塵餘生 76》典藏版補償方案推出後再陷玩家個資外洩危機  遊戲基地

要科技公司交出加密資料 澳眾議院通過法案  中央通訊社

政府強制科技產品預留後門 恐造成更大資安危機  電子時報

資安聯防告捷 今年來擋下 8億次駭客入侵     工商時報

5 千萬用戶個資外洩!Google+ 因「軟體漏洞」,明年 4 月提早閉站 中央通訊社

「養」了 11 年!駭客濫用 Firefox「高齡」漏洞強制用戶輸入資訊   科技新報網

府:新政府上台後  國安單位不用資安疑慮設備     中央通訊社

智慧科技穿上身 穿戴裝置安全標準有規範      新通訊元件雜誌

VMware佈局混合雲管理 一致性體驗為終極目標   網管人

6→27 台航太吸引力排名急墜 業界建議政府應積極改善投資環境,及減輕稅賦    工商時報

〈觀察〉數位轉型資安意識抬頭 資安防護監管成企業優先要務  鉅亨網

假訊息成國安問題 總統多次籲國內外因應      中央廣播電臺

趨勢科技三十年!新願景「全視界」        網管人

2018人工智慧與應用研討會亞大登場       中央通訊社

建立管理機制 企業資安防護首要      經濟日報網

Fortinet預測企業組織將運用更多自動化技術來因應網路威脅      iThome

用破億資安設備與駭客對幹 企業資安攻防賽14日登場        自由時報電子報

當建築資訊模型加入雲端運算 AI將顛覆建築設計流程  電子時報

動態防護龍頭「星盾科技」發表 2018 資安報告:自動化攻擊將變得「更像人」    科技報橘網

高通推出 7 奈米製程驍龍 8cx 個人電腦處理器,瞄準全時聯網筆電市場 科技新報網

G0V可以解決政府與民眾的資訊落差嗎?公民科技的期望、實踐和挑戰    關鍵評論網

AR·VR雙周報第23期:免接PC就能用,VR虛擬桌面應用登上獨立VR頭戴裝置了 iThome

AI趨勢周報第67期:就靠表情辨識技術!美新創讓身障者用臉部表情來控制電動輪椅  iThome

《東坡在臺灣》大型文學舞台劇 讓民眾一同領略文學之美  中華日

繼續閱讀

AutoIt 蠕蟲透過可移除磁碟,散播無檔案後門程式BLADABINDI/njRAT

BLADABINDI(也被稱為njRAT/Njw0rm)是一種遠端存取工具(RAT),具備了鍵盤側錄、執行分散式阻斷服務攻擊” (DDoS)攻擊等眾多後門功能,一再地被重複運用在各種網路間諜活動中。事實上,BLADABINDI的可客製性及可從網路地下世界取得讓它成為一種常見的惡意威脅。趨勢科技前幾日就發現了一隻蠕蟲病毒Worm.Win32.BLADABINDI.AA,它會透過行動碟來散播並安裝無檔案版本的BLADABINDI後門程式。

雖然仍無法確切知道惡意檔案如何進入受感染系統,但其散播行為顯示出它會透過行動碟來進入系統。AutoIt除了是一種靈活且易於使用的腳本語言外,BLADABINDI如何去濫用它也很令人關心。它利用AutoIt(FileInstall命令)來將後門程式和主腳本編譯成單一的執行檔,讓後門程式難以被偵測到。

圖1:截圖顯示出常見的AutoIt編譯腳本標示(用紅色框圈出)

繼續閱讀

「你肉腳」這個詐騙購物網站 , 台語發音令受害人好崩潰!一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中,請小心迴避

臺灣電腦網路危機處理暨協調中心(TWCERT/CC)呼籲:「許多商品利用社群媒體(如:Facebook、Line等)的高點閱率,進行網路行銷。近期網路上出現大量的惡意賣家,利用上述特性建置一頁式商品廣告頁面,並向社群媒體購買廣告,進行網路行銷詐騙。」趨勢科技也發現這些強調超低價、免運費等各種誇大優惠的一頁式詐騙廣告,不僅在 Facebook 刊登廣告,也開始在各入口網站刊登廣告,網友很容易掉入陷阱,在詐騙集團建立的假網頁上買了東西,除了收到的東西可能跟下單的商品完全不一樣外,也可能讓詐騙集團掌握你購物時輸入的個資

一頁式詐騙廣告穿插在Yahoo 熱門新聞中,受害者難以分辨

 

一頁式詐騙網站網址列上竟顯示著掛鎖,讓你以為它是安全的!!

報告指出,49% 近半數釣魚網站都會讓你以為它是安全的,別以為 https:// 開頭,網址列上顯示著掛鎖就等於安全,以下圖 LIBAKA 嚴選商城為例,就是 https:// 開頭,還被網友踢爆該商城用台語唸就是你肉腳(你笨蛋)的嘲諷諧音:「 LIBAKA用台語唸就是你肉腳(你笨蛋)啊~被騙還要被吃豆腐的概念」網友表示。

為了因應 Chrome 今年起針對未加密的 HTTP 網站標記“不安全連線”,網路釣魚詐騙集團也隨之申請 SSL 憑證,用以掩人耳目。提醒大家有掛鎖圖示的網址列代表著這網頁傳輸的資料獲加密保護,但並非證明這網站安全無虞。道高一尺,魔高一丈,還是交由趨勢科技 PC-cillin 2019 雲端版幫你把關,當你搜尋時 PC-cillin 會以紅色標示危險網址,綠色標示安全網址;如果你因一時不察點入詐騙購物網站時, PC-cillin會封鎖該網站,不會讓你荷包失血。

 

PC-cillin 以紅色標示危險網址,綠色標示安全網址
PC-cillin 以紅色標示危險網址,綠色標示安全網址,要下單前讓 PC-cillin 幫你的荷包把關有網友表示:「 LIBAKA用台語唸就是你肉腳(你笨蛋)啊~被騙還要被吃豆腐的概念」

 

 

詐騙集團在入口網站刊登的廣告,可能夾雜在熱門新聞的列表中,一般人不容易分辨, 以下即是嘲諷用戶的 LIBAKA 嚴選商城在 Yahoo 刊登的廣告:

趨勢科技防詐達人也發現這些強調超低價、免運費等更種誇大優惠的一頁式詐騙廣告,不僅在 Facebook 刊登廣告,也開始在各入口網站刊登廣告,網友很容易掉入陷阱,在詐騙集團建立的假網頁上買了東西,除了收到的東西可能跟下單的商品完全不一樣外,也可能詐騙集團掌握你的個資。
趨勢科技防詐達人也發現這些強調超低價、免運費等更種誇大優惠的一頁式詐騙廣告,不僅在 Facebook 刊登廣告,也開始在各入口網站刊登廣告(圖為:一頁式詐騙廣告在 Yahoo 刊登的廣告)

 

趨勢科技PC-cillin 2019 雲端版全新線上購物安心Pay防護功能,可即時阻擋以竊取登入帳號或信用卡資訊為目標的惡意攻擊,讓消費者安心享受購物樂趣。同時 PC-cillin2019 智能防毒全面功能再進化,今年再度榮獲AV-TEST偵測率100%,透過趨勢科技XGen™ 創新融合AI+人工智慧的多層式防護技術,精準抵禦詭譎多變的各種安全威脅,全面守護網路世界的安全,讓民眾365天都安心! 》即刻免費下載試用

 

PC-cillin 可阻擋一頁式詐騙廣告
如果你因一時不察點入詐騙購物網站時, PC-cillin 會封鎖該網站,不會讓你荷包失血

 

 

國人信用卡一年被盜刷逾18億!防詐三招助你守護荷包安心購物

根據聯合信用卡中心統計註一,2017年國人信用卡被盜刷總金額為18.8億元,其中以電商網路購物、網拍消費的盜刷最多,比例飆破9成!便利購物的背後,隱藏的各種資安風險伴隨而來,一旦不小心中了圈套,即便完成付款也可能無法收到商品,輸入的個資、信用卡資料還可能遭到惡意使用!

趨勢科技提醒民眾,防範詐騙就是省荷包,平時上網購物應謹記「三要」原則:
(一)要確認網購網站上的URL是否為官方網址
(二)要固定檢查信用卡刷卡的紀錄是否異常
(三)要定期更改密碼,同時安裝
防毒軟體,並維持在最新版本的狀態。

PC-cillin 2019雲端版」四大防護特色:

繼續閱讀

【LINE惡作劇】「鈕承澤醜聞私密照曝光了」專家:人性,是最大的安全漏洞,別亂點!

鈕承澤醜聞私密照曝光了~趕快看喔!不然隨時要被刪掉了」許多人的 LINE 收到這樣的訊息,你是不是因為好奇而點開了呢?

如果你點開該連結,會看到這個圖片:

 

雖然證實是惡作劇一場, 趨勢科技提醒:駭客攻擊的誘餌或標題都不脫主流大眾關心、或可以滿足人性偷窺欲望的本性,民眾需提高警覺。如果有親友在 LINE 群組裡散播該訊息,趨勢科技防詐達人會提醒用戶,別開啟該連結,最近許多熱門新聞事件,如果擔心不小心點選到惡意或詐騙連結,請馬上將防詐達人加入LINE 朋友,未雨綢繆,以免下次碰到真正的惡意連結,就得不償失了。

 

此類郵件或 LINE 訊息藉由勾起使用者的好奇心,一個郵件標題、一個附件檔名,就能讓使用者點擊滑鼠進行散播,我們稱之為社交工程陷阱( Social Engineering), 趨勢科技攔截到許多以色情為餌的病毒。它們既不是散發大量郵件的蠕蟲,也沒有透過殭屍網路/傀儡網路 Botnet來散發垃圾郵件(SPAM),而是由人為手動轉寄木馬植入程式。究其原因,原來該網址由電子郵件或 LINE 群組中的某位成員散發給許多該群組的郵件,再滾雪球般地逐漸散佈出去。

最可能被利用的素材包括政治人物、演員、企業家等知名人士的相關新聞等。名人八卦更是駭客的最愛, 「人性,是最大的安全漏洞」一點都不假,2012年政府單位以「李宗瑞影片,趕快下載呦!」測試信標題,導致 996 名員工好奇點閱「中招」,點閱員工需分十梯上2小時的資訊安全課程。 繼續閱讀

虛擬修補:在漏洞遭受攻擊前加以修補

檢視資料圖表:了解資安漏洞:虛擬修補技術如何保護企業
檢視資料圖表:了解資安漏洞:虛擬修補技術如何保護企業

漏洞可能會對企業造成難以預料的影響。一但被攻擊也會危害到個人身份資料(PII)隱私,帶來嚴重的後果。它們不僅會損害公司信譽 – 還損害了儲存管理這些敏感資料基礎設施的完整性。

Equifax資料外洩事件就是個很好的例子。攻擊者藉由入侵其應用程式框架內的漏洞(CVE-2017-5638)來取得其網路和系統的控制能力。這次攻擊讓1.455億份美國公民及1520萬份英國客戶的PII被外洩,造成的財務損失估計達到4.39億美元

是的,只需要一個有漏洞的端點、網路、伺服器或應用程式,就可能會造成百萬倍的影響。Shellshock、Heartbleed、Poodle和EternalBlue都是惡名昭彰的安全漏洞之一,為資料竊取病毒及其他攻擊打開大門。但還有其他更多更多 – 事實上,在2017年有1,522個被公開報告的漏洞。這些漏洞有929個透過趨勢科技的零時差計畫(ZDI)披露,嚴重程度被評為「嚴重」或「高」。

[年中資安綜合報告:2018年上半年所披露的202個資料採集與監控系統(SCADA)漏洞]

 

更新修補程式可以協助企業有效地降低這些威脅。但對許多組織來說,這仍然是個常見的問題。事實上,被訪談的組織平均需要197天來識別資料外洩。而監視物聯網(IoT)設備和工業物聯網(IIoT)系統的新增任務更加劇了防止資料外洩的難度。IT和安全團隊也可能會發現要在所有漏洞遭受攻擊前完成下載、測試和部署修補程式,同時還要保持系統、網路和伺服器正常運行幾乎是件不可能的任務。

零時差攻擊對企業造成的影響越來越大。但緊急/非常態更新以及虛擬化等緊急措施可能會造成運作停擺和額外的成本。此外還有法規遵循的問題,如歐盟一般資料保護法規(GDPR)所可能帶來的巨額罰款或支付卡產業(PCI)嚴格的修補要求

繼續閱讀