《資安新聞周報》電腦病毒太猖狂 連醫生也被耍了?/ 近六成網路釣魚網站,使用 HTTPS 協定/182個免費手機App夾帶廣告軟體/

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

神偽裝! APWG報告:近六成網路釣魚網站,使用 HTTPS 協定

一周精選媒體資安新聞

日本7-11手機支付遭盜刷 日本政府要求做到這件事    自由時報電子報

防範藏在細節的闇黑部隊 員工是最重要的防火牆    財訊雜誌網

台灣部隊 靠「駭客學」挺進世界杯    財訊雜誌網

殭屍病毒GoBotKR鎖定韓劇迷    iThome

Zoom客戶端遭爆零時差攻擊漏洞,可讓惡意網頁不需用戶同意啟動攝影機    iThome

【教學】貨到付款詐騙如何退貨退款? 4招成功把錢拿回來!    這是假消息

抖音「後門」直通中國政府 印度議員火大喊禁    自由時報電子報

強化資安及深度學習,安控網路攝影機 AI 應用更上層樓    科技新報網

暑假來臨!想下載免費手機App豐富假期生活? 小心了!182個「免費遊戲」和「相機應用程式」夾帶廣告軟體    iThome

駭客追女網友被打槍 竟駭入雲端竊取性愛影片勒索50萬元    自由時報電子報

日小七行動支付 兩天喊停  App爆安全漏洞 遭駭客入侵 顧客損失逾50萬美元 重擊母公司數位策略    經濟日報(臺灣)

密碼重設功能不嚴謹,缺乏驗證,日本7App用戶遭竄改密碼並盜刷    iThome

中國智慧家庭設備業者洩露20億筆用戶資料    iThome

美國駭客因 DDoS 攻擊遊戲商被判 27 個月及 300 萬賠償金    INSIDE

中國公安強行安裝監控App  手機用戶強烈不滿    自由時報電子報

貪抽傭替駭客集團洗錢  7旬翁辯不知情仍遭起訴    自由時報電子報

假冒成Flash播放器的Mac惡意程式曝光    iThome

繼續閱讀

【詐騙】黑貓宅急騙 跟真正的黑貓官網相似度99%,收到送貨進度簡訊,別點連結

黑貓宅急騙,你宅配,我就騙!

最近出現了跟黑貓宅急便相似度極高,但網址不一樣的詐騙網站,網站無法訂購與查看商品,該網站唯一能連結進去的是「會員登入」以及「包裹查詢」,知道詐騙集團要騙的是什麼了吧!
詐騙集團在取得個資後,可能搶在真正貨物抵達前,送假貨到你家門口騙錢,或轉售受害人個資。
報導指出調查局資通安全處掌握情資,為跨國網路犯罪集團所為 日本、韓國與新加坡都遭類似手法攻擊 。

除了騙個資外,趨勢科技發現該詐騙網站還會下載木馬到受害者電腦,且網址不斷改變 ,可能是為了躲避偵測,用戶一定要提高警覺 。

防詐提醒:網址是分辨詐騙網站的最快捷徑喔

接獲
「 包裹已郵件,請查收
」 或「快遞已發,請您查收」簡訊 ,請勿點選

趨勢科技同時發現,有民眾反映收到這樣的簡訊:
您的包裹已郵件,請查收 hxxps://xxxx1.tumblr.com

165反詐騙也同步在粉專提醒民眾:
近期不少網友接獲一則「快遞已發,請您查收」的簡訊,經查這是「釣魚簡訊」,如果收到請不要點擊連結,也不要下載任何程式、輸入帳號密碼(包含Google 帳號或Apple ID、信用卡帳號密碼等),如果點進去連結進宅配業者網站(如黑貓宅急便、宅配通等),接著出現要求安裝.apk檔案,這一定是假的,請提高警覺。

黑貓也在官網發出公告聲明:
由黑貓宅急便發出的簡訊通知皆不會有任何連結,若您收到署名為黑貓宅急便發出的簡訊通知,內容為請您簽收的電子憑證或是網址連結等都可能為詐騙行為,請勿點選網址,如果有疑慮可以撥打黑貓宅急便客服專線412-8888,或是撥打165反詐騙電話諮詢查證,造成不便,敬請原諒。

PC-cillin 已經成功封鎖假黑貓宅急便網站

PC-cillin 雲端版 ,其先進的網路釣魚(Phishing)防範技術能協助您避免掉入這些詐騙陷阱當中。PC-cillin 利用 Smart Protection Network™ 龐大的惡意網站資料庫來防止您連上曾經散布惡意軟體或從事網路詐騙的網站。》 即刻免費下載試用


PC-cillin 以紅色標示危險網址,綠色標示安全網址,要下單前讓 PC-cillin 幫你的荷包把關

⊙延伸閱讀:

「你肉腳」這個詐騙購物網站 , 台語發音令受害人好崩潰! 「https 」開頭的一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中!

下載逾五萬次的Android遊戲,暗中竊取 Facebook 和 Google 登入憑證

已經累積了超過 5 萬次下載的 Android 恐怖遊戲:
「Scary Granny ZOMBYE Mod: The Horror Game 2019」,刻意要借助另一款熱門遊戲「Granny」的知名度, 會竊取 Facebook 和 Google 使用者的登入憑證,並且還會出現其他惡意行為。
它運用了網路釣魚常用的伎倆,比如 跳出 Google Play 服務更新通知; 以「com.googles.android.gms」企圖讓受害者以為是「com.google.android.gms」正牌套件 (只差一個「s」字母)等等。

安裝前兩天不會出現惡意行為 直到跳出更新 Google Play 服務通知

這款遊戲的名稱是「Scary Granny ZOMBYE Mod: The Horror Game 2019」,顯然是刻意要借助另一款熱門遊戲「Granny」的知名度。為了避免玩家起疑,該遊戲在安裝之初的兩天內都不會出現任何惡意行為。

此遊戲首先會試圖利用網路釣魚(Phishing)方式蒐集使用者的 Google 登入憑證。它會顯示通知要使用者更新 Google Play 服務,並顯示一個假冒的登入頁面。而此頁面就像其他網路釣魚頁面一樣露出了破綻,在「sign in」(登入) 的字樣當中出現拼字錯誤。

若使用者不小心輸入了自己的登入憑證,惡意程式就會利用內建的瀏覽器和某個經過加密編碼的程式套件來登入使用者的 Google 帳號。這個經過加密編碼的套件還刻意取名成跟正常的 Android 應用程式套件很像,例如「com.googles.android.gms」,這跟 Google 某個名為「com.google.android.gms」的套件幾乎完全一樣 (只差一個「s」字母)。除此之外,惡意程式還用到了一個 Facebook 的程式套件叫作「com.facebook.core」,此套件似乎與 Google 的套件功能一樣。

繼續閱讀

【IOT物聯網 】又是弱密碼惹的禍!Silex 一天就癱瘓數千台物聯網設備

三名青少年製作的 Silex, 表示不是為了錢,癱瘓設備是為了防止被其他駭客惡意使用。

資安研究人員在6月25日注意到一名為Silex的新物聯網(IoT)惡意軟體(趨勢科技偵測為BACKDOOR.LINUX.SILEXBOT.A)在迅速散播並抹除設備韌體。這個惡意軟體只運作了一天左右就已經成功地癱瘓數千台物聯網設備。直到本文撰寫時,惡意軟體的命令和控制伺服器已經關閉,因此無法感染新的受害者,但惡意軟體仍在中毒電腦上執行。

這是個特別有破壞性的惡意軟體,需要重新安裝韌體才能回復受感染的設備。根據研究員Larry Cashdollar所說,惡意軟體使用已知的預設帳密(物聯網設備出廠時的標準使用者名稱和密碼)進入受害者系統。Cashdollar指出他所發現的病毒會針對ARM設備。他還看到了針對類Unix作業系統的版本。這代表如果Linux伺服器使用預設帳密,Silex也會對其造成影響。

繼續閱讀

約會應用程式 Jack’d 因隱私問題遭罰 24 萬;《財星 100 大》企業資料外洩,皆因安全措施不當的 AWS S3 伺服器導致

便利性固然是雲端服務的一項主要優勢,但將工作負載移到雲端,絕非如「隨插即用」這般容易。 企業經常犯的一項錯誤就是以為雲端一旦設好之後,就能一勞永逸 …

Jack’d 外洩用戶私人照片長達一年

以「同性戀、雙性戀及好奇男士」為訴求對象的聊天約會應用程式 Jack’d 最近被迫必須支付 24 萬美元的罰金並改善公司資安措施,因為該公司的某台 Amazon Web Services (AWS) S3 伺服器因安全措施不當而持續外洩用戶私人照片長達一年的時間。紐約檢察長 (New York Attorney General) Leticia James 對外宣布這項和解時指出,Jack’d 所屬的 Online Buddies, Inc. 公司未能妥善保護該應用程式 1,900 名同性戀、雙性戀及跨性別用戶的敏感照片。

今年 2 月,Online Buddies 即因有報導指出該應用程式洩漏了敏感影像而遭到調查。一位名叫 Oliver Hough 的資安研究人員在循線追查一些裸露照片時發現來源竟然是 Jack’d 應用程式。他在 2018 年 2 月時便通知該公司,指出其 AWS S3 伺服器含有組態設定上的錯誤,但該公司卻未針對這項訊息採取行動。

繼續閱讀