物聯網 - 資安趨勢部落格

兒童智慧手錶出現的漏洞造成安全隱憂

2017 年 11 月 06 日2017 年 10 月 24 日趨勢科技 TrendMicro

穿戴式物聯網（IoT ,Internet of Thing）（如智慧手錶）可以幫助父母關心孩子，同時也提供他們生活和活動所需的獨立性和連結性。但如果你打算替你的小孩買一個，請確保這裝置和上面的應用程式不會危及你孩子的安全 – 在網路上或其他地方。

安全研究人員和挪威消費者委員會最近發表對兒童用智慧手錶的調查報告，並回報數個可能危及隱私和安全性的漏洞。根據他們的報告，這些安全漏洞可以讓第三者秘密追踪佩戴者的位置，竊聽語音訊息及竊取設備上的個人身份資料。

[延伸閱讀：智慧手錶正在製造新的網路安全問題]

研究人員測試了三支智慧手錶，其中一支有35萬的使用者。另外兩支用不同品牌銷售到全世界。這些智慧手錶具備即時GPS追踪功能，還可以進行雙向通話。跟據挪威的消費者組織，陌生人很容易“控制手錶，並且追蹤、竊聽和與孩子通話”。他們可以在孩子移動時加以追蹤，也可以讓孩子看起像位在某處但其實不是。一些資料在傳輸和儲存時都沒有加密。

[TrendLabs Security Intelligence 部落格：將高科技戴在手上]

該報告還指出其中一個受測設備所具備的SOS和電話號碼白名單功能都很糟糕。佩戴者離開某些地區後的訊息傳送也很不可靠。挪威消費者委員會補充說，智慧手錶上的一些應用程式沒有提供授權合約（EULA）或使用條款，這樣違反了該國的“市場行銷管理法”和“個人資料保護法”。繼續閱讀

Subaru多款車輛爆遙控鑰匙漏洞, 駭客可以複製車鑰匙

2017 年 10 月 18 日2017 年 10 月 18 日趨勢科技 TrendMicro

電子設計師Tom Wimmerhove最近發現汽車製造商Subaru多款車輛的遙控鑰匙漏洞。一旦攻擊成功就可以讓駭客或小偷複製遙控鑰匙來進入汽車。

Wimmenhove將其稱為“fobrob”攻擊，指出這漏洞相對容易被攻擊。通常遙控鑰匙會滾動或跳躍性的送出代碼，支援keyless的汽車就會加以處理來解鎖車門。這些滾動代碼被設計成隨機產生以防止重用，但Wimmenhove指出Subaru用來生成鑰匙代碼的演算法有缺陷，具有可預測性或順序性而非隨機。駭客只需一個25美元的設備來捕捉汽車鑰匙發送的封包資料並取出資料所產生的滾動（上鎖和解鎖）代碼。就可以將這些代碼複製到Raspberry Pi上。

受影響車款包括Subaru Baja（2006），Subaru Forester（2005-2010），Subaru Impreza（2004-2011），Subaru Legacy（2005-2010）和Subaru Outback（2005-2010）。Wimmenhove還展示了對Subaru Forester的漏洞攻擊。

直到本文撰寫時，Subaru尚未承認此問題或回應評論的請求。Wimmenhove告訴BleepingComputer說：“我的確有進行聯繫。我告訴他們此漏洞並與他們分享我的程式碼。他們將我導向他們的“合作夥伴”網頁並要求我填寫問卷。“

[延伸閱讀：汽車駭客問題引發汽車產業的改變]

汽車駭客成為越來越重要的問題，因為汽車變得更加智慧化，依賴網路來替使用者提供一連串的功能。Subaru只是眾多受到汽車駭客影響的汽車製造商之一。早在2015年，智慧車輛的功能如資訊娛樂、無線網路和行動連線服務以及其他數位/線上功能（即用於keyless進入的無線設備）已經成為進入目標車輛的大門。

在8月，米蘭理工大學的Linklayer實驗室與趨勢科技前瞻性威脅研究（FTR）團隊合作詳盡研究了影響控制器區域網路（CAN bus）的漏洞。CAN標準是一種車輛內部基於訊息的汽車網路，可讓汽車的微控制器和設備透過應用程式相互溝通。該研究闡述了CAN bus漏洞如何造成停用連到汽車網路的設備，如安全氣囊、停車感應器和其他安全系統。鑑於使用此協定的汽車製造商數量，這安全漏洞對汽車不管虛擬或實體的安全性都有著顯著的影響，並且會影響提供許多功能之零組件的完整性。

[來自TrendLabs Intelligence Blog：你的汽車散播出過多資訊？]

汽車採用了最新科技而變得更加智慧化，也讓汽車成為了駭客的新目標，請注意相關的警告。此外，汽車製造商也在主動地更新或修補整合進其製造車輛內的應用程式，啟動可以更好地偵測車輛內漏洞的計畫。在去年2016年，美國的汽車資料共享和分析中心（Auto-ISAC）與汽車製造商合作制定了智慧車輛安全性的最佳實作。歐盟也一樣地透過概述安全標準和多項程序認證來確保物聯網（IoT Internet of Thing）設備（包括智慧車輛）的資料隱私。

@原文出處：Vulnerability in Key Fob Can Let Hackers Open Subaru Cars

Netgear 路由器的遠端存取漏洞遭攻擊, 財富500 強企業恐成目標

2017 年 09 月 20 日2017 年 09 月 19 日趨勢科技 TrendMicro

最近趨勢科技發現了一隻針對Netgear路由器的惡意軟體 – RouterX，它會利用遠端存取和命令執行漏洞（CVE-2016-10176）進行攻擊。RouteX會將受感染路由器轉變成SOCKS代理伺服器，限制只有攻擊能存取設備。RouteX還能夠讓攻擊者進行憑證填充（Credential Stuffing）攻擊，這是利用竊來的憑證對使用者帳號進行非法存取的網頁注入攻擊。據報導這些攻擊針對的是財富500強企業。

CVE-2016-10176是出現在特定Netgear路由器和數據機路由器的安全漏洞，一旦攻擊成功就可以攻擊者遠端存取設備。還可以讓駭客回復設備密碼並執行命令。這個漏洞的韌體/軟體修補程式早在2017年1月就已經釋出。

[相關資訊：Netgear漏洞提醒了企業跟家庭都需要注重路由器安全]

透過將受感染設備轉變為SOCKS代理伺服器，可以用來重導攻擊者和目標間的網路流量。這不僅替駭客提供了進一步攻擊的跳板，而且還可以混淆網路犯罪活動的真正來源讓駭客匿名化。

這手法並不新鮮。Android惡意軟體（如MilkyDoor和DressCode）會利用SOCKS協定透過中毒手機連進企業內部網路。甚至是物聯網（IoT）惡意軟體如TheMoon會感染IP攝影機出現類似的行為。RouteX的不同處在於設置SOCKS代理程式後，它會加入Linux防火牆規則來防止其他惡意軟體利用同一個漏洞，並將可連上路由器的位置限制在可能受攻擊者控制的某些IP位址。繼續閱讀

近 50 萬個心律調節器因資安漏洞,被美國FDA 要求召回

2017 年 09 月 12 日2017 年 09 月 19 日趨勢科技 TrendMicro

美國食品藥物管理局 (FDA) 最近針對 465,000 個據報含有安全漏洞的植入式心律調節器發出一項公告。廠商召回這些採用無線射頻 (RF) 通訊技術的裝置以更新韌體，藉此修補安全漏洞。

根據美國工業控制系統網路緊急應變小組 (ICS-CERT) 指出，這些漏洞「可能讓附近的網路駭客連上心律調節器並下達操作指令、變更設定，或者干擾心律調節器的功能。」駭客可利用這些漏洞來突破或繞過心律調節器的安全認證機制，進而經由無線射頻下達操作指令，或者將未經加密的病患資訊傳送給程式設計師或家用監視器。此外，經由這些漏洞，駭客還可修改心律調節器的設定，或者將裝置電池耗盡等等。

隨著連網醫療裝置日益普及，類似這樣的案例將越來越多。9 月 7 日，ICS-CERT 也發出了一份類似的公告，這一次，受影響的是某全球品牌的無線輸液幫浦，其幫浦廣泛應用在加護病房 (如：新生嬰兒及兒童加護病房)。藉由裝置的漏洞，「遠端駭客就能連線進入裝置，然後干擾幫浦的運作。」這些漏洞的發生原因不外乎：緩衝區溢位、韌體中寫死的無線通訊密碼，以及憑證驗證與存取控管機制不良。繼續閱讀

太聽”話”的智慧語音助理,曾槍下救命,也曾惹議

2017 年 09 月 11 日2017 年 09 月 14 日趨勢科技 TrendMicro

全球各地的家庭正快速採用對話式使用者介面 (CUI) 技術，也就是我們熟知的 Siri、Alexa、Cortana 及 Google Assistant 等語音助理背後的技術。報導指出 2017 年具有語音功能的機器出貨量達到 2,400 萬部，而且仍在持續成長。隨著這些裝置逐漸問世，使用者立即發揮它們的最大潛力，創造出越來越多的連網家庭。

話說多了會出毛病?

鍵盤漸漸不再是主要的輸入裝置，如果只要說出問題或指令即可，又何需打字呢？但這項技術也帶來一些新問題，包括如何操縱語音資料，以及如何破解這些裝置。既然這些智慧型裝置負責控制部分居家功能，想當然爾，會產生關於隱私與安全的疑慮，它們可接收對話內容，並將其記錄下來，造成嚴重的隱私問題。

根據近期事件顯示，即使是合法的公司也在尋找特殊方法，濫用這些裝置對於聲音的靈敏度。其中一則案例與一家廣受歡迎的速食連鎖店有關，該連鎖店製作一則廣告，刻意觸發Google智慧助理的口令:「OK, Google」，使家裏有Google的智慧管家「Google Home」的觀眾,自動啟動語音助理回答裝置,搜尋並念出該產品在維基百科上的介紹。，雖然公然地利用這些裝置並不違法,除了使用者反彈, 竄改漢堡王的維基百科頁面，並把華堡的內容物被加入「老鼠肉」、「腳趾甲片」等副作用外,新技術領域意味著沒有規則可以管理這些裝置的使用。