從 iCloud 疑遭入侵,好萊塢 A 咖女星裸照外流事件,學到的五件事

2014年爆發史上最大藝人裸照外洩事件,包含奧斯卡影后珍妮佛勞倫斯(Jennifer Lawrence)在內因遭駭客盜取帳號,多達60張艷照火速流傳,甚至登上當日 Google 熱門搜索第一名。正在流傳的照片從有穿衣服對著鏡子自拍到不堪入目的都有。受害者還包括了愛莉安娜·格蘭德(Ariana Grande),凱特·阿普頓(Kate Upton)和維多利亞·嘉絲蒂(Victoria Justice)。

提醒好奇的網友們,很顯而易見地,現在如果點入「明星裸照」連結或打開電子郵件附加檔案都會是個「非常」糟糕的主意,因為不法份子馬上就會利用這個大好的機會。事實上在事件發生後沒幾天,就出現了相關詐騙:想看iCloud被駭明星影片,請先分享到fb?! 搜尋被駭明星關鍵字,當心病毒守株待兔

想看iCloud被駭明星影片,請先分享到fb?! 外流私密照騙局趁火打劫,搜尋被駭明星關鍵字,當心病毒守株待兔

這些照片首先出現在惡名昭彰的4chan圖片討論區,作者聲稱還有更多的照片,甚或是影片資料。這些都偷自 iCloud 帳號,而且價高者得。當然,這些照片的發布也造成許多假照片的出現,但出現這許多照片的事實(某些已經被受害者的經紀人所證實)帶給所有使用iCloud而想保持隱私的人一個不舒服的問題…我的雲端儲存安全嗎?

趨勢科技分析,本次事件有以下5種可能的發生原因:

1 –被駭者都用弱密碼:所有受影響的明星都因為容易被猜到的弱密碼而被駭。駭客只要找出來就可以登入。針對裸照外流事件,蘋果發出新聞稿指稱他們不認為iCloud有漏洞,可能是這些女星帳號的密碼設定得太簡單。

過去發生的名人帳號被駭事件,簡單密碼確實是主要被駭原因,以下舉兩個例子:

演出”復仇者聯盟”之”綠巨人浩克”一角的馬克魯法洛推特被駭後,駭客留言表示:「我要睡了,希望你能取回密碼,你的帳號被入侵,因為密碼設定太蠢了。」

英國媒體取得被敘利亞反對派攔截的敘利亞總統三千多封電子郵件,其中包括他和妻子的私密對話,還有他向伊朗請益的證據。還意外地發現總統大人下載不少的遊戲和電影,被看光的原因是敘利亞總統信箱密碼竟是在歷年帳密被盜事件中都會入榜的超虛弱密碼「12345」。

2 –受害者未啟用iCloud的雙向認證:如果攻擊者知道受害者iCloud的電子郵件地址,假設受害者沒有啟用iCloud的雙向身份認證,攻擊者就可能透過「忘記密碼」功能進行密碼重置。如果沒有雙向身份認證,密碼重置會採用傳統的「安全問題」作法,因明星多數個資可從網路取得,包括寵物名稱等等,大幅提升帳號被駭的可能性。

過去的名人被駭/病毒事件,因為密碼提示問題而被入侵帳號的名人:歐巴馬、小甜甜布蘭妮, 莎瑪.海耶克、莎拉裴林,請看相關文章

延伸閱讀:密碼提示問題如何設定才不會被猜中?其實答案很簡單:答非所問

粉絲建議:
「你母親的姓氏?」我覺得還不錯啊…但我設定的答案是…”卡好”。
「我寵物的名字?」我都寫我老婆英文名字。

3 – 攻擊者侵入另一較弱安全性或密碼的關連帳號,也許是用來接收iCloud密碼重置郵件的網頁郵件帳號。 繼續閱讀

Evernote 出現Android應用程式漏洞

趨勢科技之前討論過一個可能導致使用者資料被截取或用來發動攻擊的Android漏洞。我們發現相當普及的Evernote Android應用程式包含了此漏洞。趨勢科技披露了細節給Evernote,他們也採取了行動,釋出他們Android應用程式的更新版本。Evernote在Evernote for Android 5.8.5中增加額外的控制來保護使用者資料。使用版本低於5.8.5的Android使用者應該要更新到最新版本。

內容提供者(Content Provider)漏洞

被修補的漏洞跟儲存應用程式資料的Android元件有關。該元件有一屬性(android:exported)可以讓其他應用程式對受影響應用程式讀取或寫入特定的資料。

之前版本的Evernote定義了兩個權限來保護用來儲存幾乎所有使用者資料的內容提供者。然而,這兩個權限的保護層級被設為「正常」,意味著設備上的其他應用程式也可以被授予這兩個權限。

圖1、Evernote內容樣本

圖2、利用內容提供者漏洞所顯示的內容

網路犯罪分子可能會建立惡意應用程式用來截取儲存在Evernote應用程式的資料。對於使用Evernote儲存敏感資料(使用者帳號和密碼)的使用者來說,這可能會導致資料被竊或身份詐騙等後果。

外露、未加密的資料

除了上面所介紹的漏洞外,我們也發現另一漏洞可能會讓惡意應用程式看到儲存記事的受影響設備上的所有記事。

Evernote應用程式將所有使用者的記事儲存在外部儲存裝置的/sdcard/Android/data/con.evernote/files/資料夾內。不幸的是,儲存在該資料夾的檔案並沒有加密,而且可以被其他應用程式讀取。

圖3、記事樣本

圖4、利用SD卡漏洞來存取記事

受影響設備的Android作業系統版本也會影響應用程式所能存取的數量。在Android 4.3及更早版本中,應用程式甚至不需要特殊權限就可以存取該資料夾。在Android 4.4及更高版本中,需要READ_EXTERNAL_STORAGE權限。不過該權限對於一般應用程式來說很常見,所以惡意應用程式請求該權限不會引起懷疑。

惡意使用者可以寫一段簡單的程式碼用來讀/寫上述應用程式所儲存的檔案,然後注入具有READ_EXTERNAL_STORAGE權限的重新包裝應用程式。然後,攻擊者可以利用這重新包裝的應用程式來誘騙使用者給予所要的權限。

我們揭露此一資訊好讓可能同樣不正確使用外部儲存裝置的開發者可以修改他們的應用程式。開發者也要將他們的權限設定在簽章層級以保護其重要元件。我們也建議開發者對於應用程式所建立、處理和傳輸的任何內容都進行加密。可以的話,任何敏感資料都不該儲存在外部儲存裝置。

趨勢科技已經通知Evernote此一新漏洞。我們目前還沒有看到針對此漏洞的攻擊出現。

 

@原文出處:Evernote Patches Vulnerability in Android App作者:Weichao Sun(行動威脅分析師)

FB_banner0331-2

Heartbleed漏洞提供了APT 攻擊者新武器!!

只要等待受影響的網站進行更新,接著變更再自己的密碼就沒事了 ?
錯了,Heartbleed漏洞比心血管疾病還要致命一千倍。

Heartblee 心淌血d漏洞提供了APT 攻擊者新武器

Heartbleed漏洞,這是個因為被廣泛使用OpenSSL加密程式庫內的編碼錯誤所造成的漏洞。該漏洞在過去幾天內佔領了所有新聞的頭條,這是理所當然的,因為其對消費者和企業的資訊安全都帶來巨大的風險。

因為它主要的涵蓋範圍可能會讓你認為,只要等待受影響的網站進行更新,接著變更再自己的密碼就沒事了。錯了,Heartbleed漏洞比心血管疾病還要致命一千倍。它的的確確是到目前為止影響最廣的立即風險,這是因為可能受到此漏洞影響的人數,因為受影響網頁伺服器所會暴露的敏感資料(可能包括了密碼和session cookie)。即便是第一波的修補完成,剩餘的風險還是相當巨大。

OpenSSL並不只限於網頁伺服器在用,電子郵件協定、聊天協定和安全虛擬私有網路服務也都有用到。它也可以在世界各地的大量網路和安全產品內找到,所以要解決的路還很長。許多廠商已經開始調查其產品和服務是否存在會受此漏洞影響的OpenSSL版本,而確認受到影響的產品列表還在持續成長中。這注定會是開放給針對性攻擊的季節。 繼續閱讀

手機購物竟”心在淌血”!!Heartbleed臭蟲, 影響銀行,線上支付,網路購物等手機/行動應用程式

趨勢科技掃描了大約390,000個來自Google Play的應用程式,發現約有1,300個會連到有漏洞的伺服器。其中有15個銀行相關應用程式,39個和線上支付有關,10個和網路購物有關。

Heartbleed手機購物竟”心在淌血”!!Heartbleed臭蟲, 影響銀行,線上支付,網路購物等手機/行動應用程式 前不久,OpenSSL 加密軟體程式庫的 Heartbeat (心跳) 延伸功能被發現含有一個漏洞,此漏洞被戲稱為 Heartbleed (心在淌血) 臭蟲,它存在於所有內含 Heartbeat 延伸功能的 OpenSSL 軟體。當伺服器遭此漏洞攻擊時,駭客就能讀取電腦記憶體當中的資料 (每次最多 64KB),而且完全不留任何痕跡。

Heartbleed臭蟲的嚴重性已經讓無數的網站和伺服器急著去解決這問題。而且這是有理由的,一個由Github所進行的測試顯示,在前10,000名網站(根據Alexa排名)中,有600個受此弱點影響。在掃描的時候,受影響的網站包括了雅虎 、Flickr、OKCupid、Rolling Stone和Ars Technica。

延伸此一安全漏洞的涵蓋率帶出另一個問題,「行動設備也會受到影響嗎?」簡單的說:是的。

行動應用程式,不管我們喜不喜歡,也一樣地容易受到網站的Heartbleed臭蟲影響。因為應用程式通常會連到伺服器和網頁服務來完成各項功能。正如我們之前的文章所提到,有相當大數量的網域受到此漏洞影響。

手機購物竟”心在淌血”!!Heartbleed臭蟲, 影響銀行,線上支付,網路購物等手機/行動應用程式

假如你只是要進行應用程式內購買的動作,所以你需要輸入信用卡資訊。你做完之後,行動應用程式就會為你完成交易。當你拿到了你要的遊戲,你的信用卡資料也會儲存在行動應用程式所進行交易的伺服器上,並可能在那待上一段長度不等的時間。因此,網路犯罪分子可以利用Heartbleed漏洞來攻擊該伺服器以取得資料(如信用卡號碼)。就是這麼地簡單。

那如果應用程式不提供應用程式內購買呢?他們就安全於此漏洞嗎?也不是,只要它會連到網路伺服器,就還是會被此弱點影響,即便你的信用卡不會被影響到。例如,你的應用程式可能會要求你在社群網路上幫他們按「讚」或「關注」他們以拿到免費獎勵。

假設你決定這樣做,並且按下「確定」。你的應用程式有可能會自己去打開網頁,透過自己的應用程式內瀏覽器讓你去登入社群網路。我們並不是說你所連上的社群網路一定會被Heartbleed漏洞影響,但可能性是存在的,因此也就會有風險。 繼續閱讀

4月8日Windows XP 結束支援,超過 30% 的電腦恐成攻擊目標

4月8日 Windows XP 即將結束它漫長而成功的生涯。歷史會如此地記載,Windows XP 可能是史上最成功的Windows版本。 不過再美好的事物都有結束的時候,包括了電腦的作業系統。微軟將停止Windows XP的安全更新。從那一刻起,Windows XP會成為惡意軟體和網路犯罪份子在網路上最可行的攻擊目標。當 Windows XP 的支援終止,Java 6和 Windows XP 加起來每年會出現160個無修補的漏洞。

 

 4月8日Windows XP和結束支援

 這本來不是個問題,如果不是從趨勢科技主動式雲端截毒服務  Smart Protection Network的資料中看到有32%的電腦仍然在運行著Windows XP這個事實。這代表了

這世界從來沒有遇到像這樣的狀況。過去曾經有過停止支援的Windows版本,但從沒有在還如此被廣泛使用的時候。

網路上有如此多的系統即將成為可攻擊的目標,讓這不僅僅是這些有漏洞系統使用者的問題,而變成了每一個人的問題。每一台被攻擊的系統不僅僅是讓其所有者受到威脅,也會對網路上的其他人造成威脅。特別是當被攻擊系統成為了殭屍網路的一部分,就會對其他人造成比系統所有者更大的傷害。

這意味著,我們會眼睜睜地看著擁有巨大使用量的 Windows XP 電腦對網路上的每個人造成了真正的威脅。

這是一個非常情況。

有人說過,非常時期就要有非常手段。如果在安全性方面有任何時候可以用上這句話,那就是現在了。

通常我們對於別人使用什麼作業系統都認為是他們自己的事情,也是他們自己的選擇。這想法通常是沒錯。但Windows XP的狀況跟Windows XP使用者會傷害到其他人這個事實,讓它已不再是個人的事和選擇了。這就像是個公共衛生事件,需要採取不同的規則,因為它危害到更大的整體。因此在這裡,需要採用新的規則。

下圖介紹Windows XP停止了安全性支援和這對Windows XP使用者來說代表了什麼,以及他們應該做些什麼。

XP英文版在此

 

繼續閱讀