從SIM卡劫持到不良決策:非公共網路內的5G威脅及安全建議

趨勢科技最新的研究探討了5G網路所面臨的威脅 – 從SIM卡劫持、身份詐騙、假新聞、下毒(poisoning)機器學習(Machine learning,ML)規則到操縱商業決策,以及如何透過基於身份的作法來防護及解決。

From eSIM Jacking to Fake News: Threats to 5G and Security Recommendations
下載透過網路電信身份聯合保護5G網路

許多產業都想開始去利用5G所帶來的速度、自動化及全球影響力,而對其中大多數來說這都是新的電信技術。通常他們都還沒有做好準備、技術不夠且設備不足,無法應對許多強大新技術突然一起出現。這使得老練的駭客團體以及全球電信業界內復雜漏洞所造成的影響變得更加嚴重。除了它本身已有的風險外,還可以被利用成為相當強大的攻擊引擎。

很難一次解釋清楚這複雜性。可以利用較小規模的非公共網路(NPN)或“園區本地端5G”來說明和闡述。報告中會以一個NPN 5G工廠作為範例。

5G非公共網路(NPN)的風險和威脅

我們最新的研究探討了5G網路所面臨的威脅 – 從SIM卡劫持、物聯網身份詐騙、錯誤的決策引擎資料和日誌,以及下毒(poisoning)機器學習規則來操縱商業決策。我們還研究了如何透過基於身份的安全作法來減輕及應對這些風險和威脅。

下毒(poisoning)決策引擎及人工智慧-機器學習(ML)部署

5G和5G NPN依靠於自動化的巢狀層次(雲端內的雲端)。各種決策引擎的這類相依關係是其速度及擴展性的關鍵要素。這種分層自動化在很大程度上依賴於調整模型,從而提高大規模部署的效率和成本節省。

主動錯誤遙測資料及被動盲點的注入就能會損害決策引擎,從而改變決策所根據的“地面實況(ground truth)”。這是真實的5G等級企業GIGO(垃圾進,垃圾出)。這在攻擊者穿越IOT感測器雲時最為有用。

繼續閱讀

資安名詞:PUAs 非必要應用程式

所謂的非必要的應用程式/可能有害的應用程式 (PUAs),是被列為灰色軟體的程式。安裝這類的程式軟體可能讓您的行動裝置或電腦的使用安全跟個人隱私處於高風險狀態與受到任何不良的影響。它也可能會消耗電腦資源及效能。這類的非必要程式(PUAs)通常不會詳細說明它的功能及用途,安裝時有可能是經過使用者同意安裝,但大多數往往是在使用者不經意的狀況下被附加安裝。受影響的應用程式(app)可能是於無意間或者一些簡單的設計。非必要程式(PUAs)可能是由合法或者非法的軟體製造商所發行的。

非必要程式(PUAs)的行為可能如下:

  • 附加程式 – 當安裝這些灰色軟體時,會一併安裝其他使用者可能不會想使用的附加程式進入電腦中,並且在安裝過程中不會有任何的提示或是透過說明誘騙使用者安裝這些非必要的程式。
  • 廣告 – 不斷跳出的廣告視窗將影響使用者操作電腦的狀況。
  • 收集資料 – 未經使用者同意收集相關資訊。
  • 其他非使用者需求的行為:
    • 誇大或偽造的通知訊息。
    • 使用者無法完全控制程式。
    • 自動執行不必要的程序或是軟體,造成占用系統資源。
    • 無法透過一般的方法移除程式。

解決方案

若要解除安裝非必要的程式(PUAs),請參照下方執行步驟:

繼續閱讀

CallerSpy 行動間諜軟體,偽裝聊天APP竊個資,可能發動針對性攻擊

趨勢科技在釣魚網站上發現一個偽裝成聊天應用程式的新間諜軟體。我們認為這具備多種網路間諜行為的應用程式初始目的是用在針對性目標攻擊(Targeted attack )。我們五月時在網站https://gooogle[.]press/首次發現此威脅,一個被宣傳成名為Chatrious的聊天應用程式。使用者可以點擊網站上的下載按鈕來下載惡意APK檔。

該網站在五月那次經驗後就失效了。我們注意到它在十月再度回歸,這次提供了另一個名為Apex App的應用程式。這是個能夠竊取使用者個人資訊的間諜軟體。趨勢科技將這兩種威脅都偵測為AndroidOS_CallerSpy.HRX。

Figure 1. Screenshots of Chatrious (left) and Apex App (right)

圖1. Chatrious(左)和Apex App(右)的截圖

繼續閱讀

行動安全:80% 的 Android 應用程式預設使用加密網路流量

Google 三年前開始加緊保護 Android 裝置至網頁服務的網路流量。根據 Google 提供的最新資訊,已經有 80% 的 Android 應用程式預設採用 HTTPS 標準。HTTPS 可加密網路流量,避免第三方由應用程式攔截資料。

Google 向 Android 應用程式開發人員提供各種工具,協助確保應用程式流量利用傳輸層安全性 (TLS) 通訊協定加密,讓透過 HTTPS 或 HTTP 的 HTTP 通訊安全性「安全無虞」。這項新增的安全功能,對經常連線至機場及咖啡廳等未受信任或開放式 Wi-Fi 網路的裝置特別重要。

繼續閱讀

《資安新聞周報》網路犯罪集團覬覦的銀行與金融業/留意釣魚簡訊、當心Apple ID被駭/未來75%大型企業必須僱用「人工智慧檢查官」

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

這張圖片的 alt 屬性值為空,它的檔案名稱為 NEWS-R-1024x738.png

資安趨勢部落格一周精選

媒體資安新聞

「慶祝LINE滿八歲,8種貼圖免費抽?」當心個資全都露! 不只誘加入詐騙LINE帳號 還覬覦Facebook或Google開放授權認證LINE帳號 還覬覦Facebook或Google開放授權認證    iThome

網路瘋傳「歡慶LINE8歲貼圖免費抽」!點下去你就慘了     三立新聞網

「LINE 八周年免費送八種貼圖」訊息是假的,加入好友騙走個資       T客邦

Android漏洞可讓合法app被冒充執行,已有30多款惡意程式開採作亂     iThome

不想手機下午就沒電?達人教10招省電秘技  東森電視網

果粉注意!資安廠示警:留意釣魚簡訊、當心Apple ID被駭 ETtoday新聞雲

果粉小心 Apple ID 遭駭!手機收到帳單異常簡訊恐藏詐騙陷阱  自由時報電子報

揭/「黑色星期五」與「黑色星期五」有何不同?        三立新聞網

黑色星期五將至,線上購物小心假商城App,美國前10大購物網站有超過6,000個假分身    iThome

資安業找新血 趨勢科技人資長:熱情學不來  中央通訊社

趨勢科技混合雲防護市場佔有率35.5% 居全球之冠       台灣蘋果日報網

FBI 正式發出警告:小心你家的智慧電視,它沒有想像中安全     T客邦

趨勢科技宣布 成為Amazon Web Services新服務上市夥伴    聯合新聞網

新AI職業誕生!未來75%大型企業必須僱用「人工智慧檢查官」       數位時代

繼續閱讀