到底在「鬼叫」什麼?漆黑的客廳發出令人發毛的笑聲 小孩房常出現怪聲 嬰兒每天受驚”罵罵耗”你家的數位設備也在過萬聖節?!
是有人搞怪搗蛋,還是你的數位設備撞邪了?!快來找線索
快嚇破膽的小朋友發現監視器的攝影鏡頭竟然還會跟著他移動，那鬼魂般的聲音接著說：「看看是誰來了…」
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
媒體資安新聞精選:
Yahoo信箱被駭案達成和解 將支付8500萬美元賠償金額 先賠償美國、以色列用戶 癮科技
半年黑客盜走20億美元 你的數字貨幣 還安全嗎？ Moneybar
940萬筆乘客個資外洩 國泰驚爆資安危機 中央通訊社
北美網釣攻擊最愛冒充的廠商：微軟、PayPal及Netflix iThome
要偷特斯拉 Model S，手機＋平板即可複製車鑰匙？ 科技新報網
商業電子郵件詐騙猖獗，企業損失創新高 iThome電腦報周刊
抓假消息 境內耗時 境外IP難辦 聯合報
2018年洩露個資暴增，45億筆為去年同期2.3倍 今年個資外洩半來自社群網站 iThome電腦報周刊 繼續閱讀
網頁注入（Web Injection）是每位程式設計師、開發者和資訊安全（InfoSec）專家所頭疼的問題，也是網路犯罪工具包內常備的工具。特別是跨站腳本、命令注入、SQL注入和XML注入都是網站和網頁應用程式經常遭遇到的攻擊，因為這些攻擊可以透過多種方式執行。防護方案的複雜性也增加了防禦的困難度。
保護平台不讓個人及財務資料失守是企業在營運、商譽和利潤方面重要的一環。以下是資安人員經常會遇到的四種網頁注入攻擊：
SQL注入可以用來入侵使用資料庫的軟體，被開放網路軟體安全計畫（OWASP）視為侵入網站及SQL資料庫最常見的技術之一。SQLi將惡意SQL語法插入輸入字串（作為指令或查詢的一部分），並且利用了軟體或網頁應用程式的漏洞 – 例如沒有正確地過濾使用者輸入。比方說，攻擊者可以將惡意輸入變成SQL查詢的參數，讓資料庫認為是SQL指令的一部分而執行。
SQLi攻擊成功可以讓駭客偽裝成目標身份並取得資料庫伺服器的管理權限。駭客接著可以修改現有資料（如取消交易），取出系統內的資料，破壞、覆蓋或刪除資料，甚至使其無法連線。對於會用如何入侵網路來威脅企業付奬金的漏洞獵人以及會刪除網站內容並將其活動偽裝成勒索病毒的壞人來說，這一直是個首選技術。SQLi還被用來竄改網站以及公開儲存在資料庫內的個人識別資料、帳密和敏感公司資料。
不同於SQLi攻擊針對資料庫相關網頁應用程式/服務，命令注入讓攻擊者插入惡意shell命令到網站主機作業系統。像是可以找出應用程式安裝的目錄並在那執行惡意腳本。命令注入讓駭客可以利用有漏洞的網頁應用程式來執行任意命令 – 例如當應用程式將表單、HTTP標頭和cookie內的惡意內容帶到系統shell時。此類攻擊就會用這不安全應用程式的權限執行。
簡而言之，當惡意輸入被誤認為作業系統命令時就會發生命令注入，讓壞人可以取得檔案或網頁伺服器的控制。2014年的Shellshock攻擊就是一例：它們讓攻擊者可以修改網頁伺服器內容、變更網站代碼、竊取或外洩資料、變更權限以及安裝後門等惡意軟體。電子郵件寄送程式庫的網站元件出現漏洞時也都會成為頭條，例如聯絡人、註冊及密碼重設郵件表單。
這類攻擊不像SQLi或跨站腳本那樣常出現，但XML外部實體注入（XXE）最近也獲得了關注。XML（可延伸標記式語言）支援外部實體。可以用來引用或調用主檔案外的資料到XML文件。XXE會攻擊網頁應用程式解析未知或可疑來源XML輸入時的漏洞。將惡意內容注入將使用者或客戶資料輸入應用程式的文件（如XML檔案）。
XXE攻擊成功可以讓駭客存取內部網路或服務、讀取存放在伺服器上的系統檔案以及掃描內部端口。在某些狀況下，XXE可以讓攻擊者執行遠端程式碼（比方說透過載入惡意可執行PHP程式碼）。這些都取決於解析器的權限。
XXE被用來成功地在Facebook執行遠端程式碼，由此成為最高的bug獎金之一。XXE漏洞最近也出現在經常用於Mac應用程式的更新框架、Adobe ColdFusion的XML解析器（CVE-2016-4264）、Google搜尋引擎的一個功能以及Magento使用的PHP工具包（Zend）。
每年 10 月是美國國家資安宣導月 (NCSAM)，這項行之有年的年度活動主要目標就是希望能提升大眾對保護網路資訊安全與隱私的意識。這對一些網路安全習慣不佳的人來說，不失為一個重溫知識的好機會。儘管這項計畫涵蓋的範圍廣泛：從保護國家關鍵基礎建設到想辦法讓更多兒童認識網路資安領域，但其第一週的重點則是家庭網路安全。
對於有學齡兒童的家庭來說，剛好可以趁著這個機會確保一下家中環境是否能提供最棒、最安全的上網體驗。
從過去到現在
自從 2004 年 NCSAM 成立以來，已有了長足的進展。當年，Facebook 才剛成立，尚未成為家喻戶曉的名詞。網路威脅的犯罪手法也不像現在這麼精密，範圍和數量也較侷限。當時，您的孩子應該都還在學校玩著掌上型遊樂器或者是手機遊戲。事實上，他們不太可能可以隨時連上網路，因為大部分的手機功能還很陽春。
但現在時代已大不相同。今天，我們生活在一個以行動裝置為中心並且隨時隨地連網的世界，所以網路威脅就在身邊。光 2018 上半年趨勢科技就攔截了超過 204 億次威脅。智慧型手機的確是兒童與父母、朋友保持聯繫的有效工具，不過我們必須確保孩子使用手機的安全，不僅要防範惡意程式和身分盜用，還要防範不當內容、網路霸凌、網路誘拐以及其他威脅。由於美國青少年每天平均大約花費 4.5 小時在他們的手機上，因此一些家長已開始擔憂是否該限制一下他們看螢幕的時間。
這並為了讓您立即採取行動而非危言聳聽，身為一個關心孩子的家長，想必您已經察覺到數位生活的一些負面影響。所以，讓我們來看看您可以採取哪些作為來改善您家庭的網路資安狀況。
四個觀念,提升兒童與家庭網路安全意識
今年，NCSAM 的主題是「我們的共同責任」。為此，趨勢科技也特別善盡一份心力，給您一些確保家庭網路安全的觀念：
將電腦放在家中的公共空間 (如客廳或廚房) 來讓孩子上網，可方便您直接監控孩子的上網情況。類似的道理，若您將充電的設備設在公共區域，就能避免孩子在自己的房間內整晚使用手機。如果孩子有朋友到家中拜訪，請確定他們也了解您家中的規矩。
今日許多消費性電子產品、應用程式或網站服務都內建了安全與隱私功能，請妥善運用：
很重要的一點是，一開始就訂定一些在家使用科技或上網的基本規則，包括：
科技應該要讓家人更親密，而非在家長和孩子之間樹立另一道高牆。您可以試試以下幾個方法：
十多年來，趨勢科技「兒童與家庭網路安全」(Internet Safety for Kids and Families，簡稱 ISKF) 計畫已接觸過 200 多萬名家長、教師和兒童。雖然「全國網路安全意識月」是值得慶祝的日子，但我們相信，不論任何時候、對任何家庭來說，都是協助兒童養成良好上網習慣的時機，這些習慣能一路幫助孩子直到長大之後都能保護自己上網的安全，並且成為一位負責任的網路公民。
如需更多有關確保兒童網路安全的主題或祕訣，您可參閱我們提供的豐富資源，同時也祝您有個快樂的全國網路安全意識月！
PC-cillin 雲端版整合 AI 人工智慧的多層式防護，精準預測即時抵禦未知威脅 >>即刻免費下載試用
《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》
《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。
▼ 歡迎加入趨勢科技社群網站▼
手機速度越來越慢或是電池常常發燙,小心3C裝置已經成為幫助駭客賺取虛擬貨幣挖礦工!相較於勒索病毒在第一時間嚷著你的檔案已經被加密,挖礦病毒算是悶不作聲發黑心財,更勝一籌的駭客搖錢樹。
1988 年趨勢科技成立之初,你知道當年出現的病毒,是靠 5.25 英吋的磁碟片傳播的嗎?
今年(2018年)趨勢科技成立滿 30 年,我們一同回顧 30年病毒演變史。
本篇來到 2018 年,介紹還正火紅的資安威脅::虛擬貨幣挖礦
2017年9月新北市三重一處公寓傳出火警，警消獲報到場後發現，屋內是「比特幣礦場」，至少有15台電腦的機房，疑因二十四小時不斷電挖礦，意外導致延長線不堪負荷走火。這起為挖比特幣24小時不關機的火警事件,當天三重出現兩起,都是24小時不關機、隱身民宅的挖礦機房。
最近有則誇張的新聞,中國山西一名男子竊取鐵路電力挖礦被捕，他在電線杆上偷接電力,提供50台比特幣「挖礦機」和三台用來散熱的電風扇24小時的電力。男子被判處3年半有期徒刑，並處以罰金10萬元人民幣，4個月挖得3.2枚比特幣、全部依法沒收。
挖礦惡意程式最早出現於 2011 年中期，相較於當時最流行的蠕蟲、後門程式等惡意程式來說，只能算是個配角，但目前已演變成甚至比網路間諜活動還要賺錢的途徑，一些勒索病毒犯罪集團、駭客團體等等都紛紛跳槽加入此一行列。
虛擬貨幣興起全球淘金潮, 2017年挖礦惡意程式, 台灣排全球第三。巨幅的價格波動也開始讓威脅情勢產生變化：只要是有錢賺的地方，歹徒就會蜂擁而至,引發電線短路的火警原因有多,但去年起台灣也出現因為挖礦而導致的火燒民房事件。
先來認識加密虛擬貨幣,加密虛擬貨幣是代表一種貨幣單位的加密資料串。它經由點對點網路所監控和管理，也稱為區塊鍊，作為交易（如購買、出售、轉讓）的安全帳簿。跟實體貨幣不同，加密虛擬貨幣去中央化，這代表它們並不由政府或其他金融機構發行。
加密虛擬貨幣透過加密演算法來產生，經由稱為挖礦的程序來維護和確認，由一群電腦或特製硬體（如特殊應用積體電路，ASIC）來處理和驗證交易。這個過程會用加密虛擬貨幣來回報給礦工。
趨勢科技發佈的 2018 上半年的安全總評報告，發現加密貨幣挖礦和挖礦綁架已經成為主要的網路犯罪威脅。這種威脅已經成為犯罪者的常見行為，也有許多如何進行這種犯罪的討論。雖然這種威脅的破壞性沒有勒索病毒這麼強，卻可以破壞系統作業，因為大多數虛擬貨幣的目標，都是盡可能使用最多系統資源來挖礦。
「2018 上半年資安總評」報告，指出網路犯罪集團正逐漸捨棄容易引人關注的勒索病毒攻擊，轉而採用鴨子划水的方式暗中進行攻擊，以達到竊取錢財和珍貴運算資源的目標。
趨勢科技發現，光是2018 上半年加密貨幣挖礦活動的偵測數量就比 2017 年一整年的數量成長 96%，若與 2017 上半年相比，更是成長 956%，顯示網路犯罪集團正逐漸捨棄能讓他們快速致富的勒索病毒，轉而暗中竊取運算資源來開採虛擬貨幣。
隨著虛擬貨幣惡意挖礦活動的急速發展，能夠聰明且持續有效偵測這類威脅的方法也成為網路安全防護的必備功能。透過趨勢科技的TLSH（Trend Micro Locality Sensitive Hashing，用來識別相似檔案的機器學習雜湊演算法），可以將收集到的相似虛擬貨幣挖礦病毒樣本集群（cluster）起來。將樣本依照行為和檔案類型進行分組，就能夠偵測相似或修改過的惡意軟體。
放假時沒有特別的活動時,你通常有什麼安排呢?追劇、滑手機或是找一間可提供插座與 Wi–Fi 又不限時間的咖啡廳打發時間呢?去年勒索病毒大流行時,有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了，原來是中了惡名昭彰的 Cerber勒索病毒! 今年趨勢科技偵測到不少追劇或是成人網站上,出現挖礦程式,這類惡意程式跟勒索病毒不同的是,挖礦程式不需要與受害者互動來勒索贖金， 除非裝置上出現電量激增或系統當機的狀況，否則幾乎不會被發現。
三種族群:追劇族 、手機血拚族 、咖啡館久坐族,當心挖礦程式出沒,免得不小心讓你的電腦或手機裝置成為幫別人賺外快的礦工。
挖礦程式不像勒索病毒,需要與受害者互動來勒索贖金， 除非裝置上出現電量激增或系統當機的狀況，否則幾乎不會被發現。
從事的三種網路活動的朋友,要嚴加小心挖礦程式出沒:
挖礦程式偏好嵌入在使用者可能會停留大量時間的地方，比方說長影片,趨勢科技發現串流媒體的使用者也成為目標。
宣稱是第一個可以使用手機開採的數位加密貨幣的 Electroneum 數位加密貨幣 (簡稱 ETN)，遭受採礦程式的攻擊。一些會在背後載入惡意廣告的網站專門提供一些好康優惠給訪客，使用者一旦點選惡意廣告，它就會在背後載入 ETN 網頁採礦程式，同時將使用者重導至一個正常的購物網站以免被使用者發現。
根據 Alexa 指出，這些惡意廣告所在網站皆名列全球 15,000 大網站，意味著這些惡意網站不乏使用者造訪。另外還要當心新的Android挖礦程式,榨乾你的手機電力!一個新的 Android 挖礦程式:「ANDROIDOS_HIDDENMINER」, 利用感染裝置的 CPU 來開採門羅幣 (Monero)。該惡意程式會假冒成正常的 Google Play 更新程式並且使用了 Google Play 的圖示。HIDDENMINER挖礦程式會使用手機的運算資源不停挖礦，直到電力耗盡為止。這也會使得手機過熱，甚至故障。
3.【 不限時 WIFI 咖啡館久坐族】:到咖啡館上網,可能被偷偷加料挖礦劫持（Cryptojacking）?
跨國連鎖咖啡店星巴克(Starbucks)證實他們位於阿根廷布宜諾斯艾利斯店內的顧客會在不知情下被利用來進行數位貨幣挖礦。看起來似因為這些店家的無線網路被修改過，透過店內的 Wi-Fi 無線網路載入網頁會嵌入CoinHive挖礦程式。因為這樣，連上無線網路的使用者設備會在不知情被利用來挖掘 Monero數位貨幣。
詳請請看:挖礦劫持（Cryptojacking）幫星巴克加料,顧客上網筆電竟成挖礦機。
隨著虛擬貨幣惡意挖礦活動的急速發展，能夠聰明且持續有效偵測這類威脅的方法也成為網路安全防護的必備功能。透過趨勢科技的TLSH（Trend Micro Locality Sensitive Hashing，用來識別相似檔案的機器學習雜湊演算法），可以將收集到的相似虛擬貨幣挖礦病毒樣本集群（cluster）起來。將樣本依照行為和檔案類型進行分組，就能夠偵測相似或修改過的惡意軟體。
TLSH可以幫助趨勢科技將虛擬貨幣挖礦病毒集群起來。做法是計算檔案與檔案間數學意義上的“距離分數”，用來分析和偵測虛擬貨幣挖礦病毒集群。我們的演算法會產生某一組惡意軟體都接近的挖礦病毒中心TLSH。
集群惡意軟體樣本可以讓安全研究人員建立一對多的特徵碼，用來主動識別更多相似檔案。這是因為自動化系統（或是逆向工程師）可以檢查惡意軟體群組成員並識別成員間的相似性。當我們的系統在檢查新檔案時，會去檢視是否具備惡意軟體群組呈現的元素，並確認新檔案是否屬於惡意軟體群組的範圍。除此之外，TLSH還可以將大量可能惡意或未知檔案對已知威脅進行即時且可擴充的搜尋和交叉比對。
看完整文章
虛擬貨幣挖礦不像勒索病毒需要與受害者互動來勒索贖金， 除非裝置上出現電量激增或系統當機的狀況，否則幾乎不會被發現,發現電腦處理速度變慢時，請這麼做:
檢查電腦的 CPU 使用率 ，若有異常飆高現象可以關閉瀏覽器頁面並觀察 CPU 使用率是否回歸正常
免費下載 PC-cillin雲端版檢測確認➔立即下載
