《資安新聞週報 》為 GDPR 做好準備：強化易受攻擊的郵件系統/聲控系統恐有安全隱憂　人耳聽不到的聲音駭客將現身

趨勢科技TrendMicro

本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

 媒體資安新聞精選:

知名電競賽事主持人IG遭盜用 竟要1萬連署才能討回來！ 新頭殼

 聲控系統恐有安全隱憂　人耳聽不到的聲音駭客將現身       ETtoday新聞雲

強化裝置安全性， Google 將強制要求手機商進行每月安全更新        癮科技

趨勢科技協助FBI成功將 Scan4You 定罪  台灣產經新聞網

IoT裝置UPnP協定可讓駭客發動新型態DDoS攻擊 一旦發生難以緩解       iThome

RSA資安調查：僅4成7的組織會在第一時間修補安全漏洞        iThome

兩大郵件加密軟體有漏洞 恐易遭駭客入侵      中央社即時新聞網

LG旗艦手機遭爆有遠端程式碼執行漏洞，G4、G5及G6全中鏢  iThome

微軟修補68個安全漏洞，包含兩個零時差攻擊漏洞      iThome

南韓業者GPON路由器漏洞遭5種殭屍網路開採    iThome

【美國銀行】首席技術長：加密貨幣是一個「麻煩的」支付系統，鑑於支付設計不透明        BLOCKTEMPO

密碼沒保管好 信用卡盜刷恐難賠      台灣蘋果日報網

訊息爆炸時代資訊審核的重要性        數位時代

巡迴花蓮31校 千萬VR巴士開進校園 星河大體驗        中國時報

Adobe釋出本月第二波安全修補        iThome

厄瓜多砸上億台幣 監視維基創辦人亞桑傑      中央社即時新聞網

影／員工證晶片植入手背保證不遺失！這些瑞典人好勇        聯合新聞網

網路報稅防駭 五招護身 可由財部網站下載軟體 事前掃毒 完成後移除資料 確保安全  經濟日報(臺灣)

海外被盜刷爆 銀行竟酸「為何亂刷卡」  台灣蘋果日報網

駭客入侵西點軍校 曾留名逾萬軍事、政府及商業網站  世界新聞網

伊朗示威反美 網軍大舉襲美      聯合新聞網

國際資安新創交流活動，讓台灣與世界共同抵禦網路威脅    T客邦

資安界奧斯卡DEF CON 駭進中國 開辦活動26年 首次在美以外地方舉行        旺報

臺灣HITCON再度入圍全球駭客攻防大賽DEF CON CTF決賽，8月於美國再戰全球  iThome

新IP力助物聯網裝置抵禦物理攻擊威脅   EDN Taiwan

Nutanix加強SDN產品布局推出Nutanix Flow    iThome

Google：Microsoft Edge的ACG安全功能含有缺陷  iThome

【央行加密禁令】辛巴威央行宣布禁止金融機構與任何加密相關業務往來        BLOCKTEMPO

Windows容器 資安漏洞 Windows Server容器套件含遠端程式碼執行漏洞，用Windows主機執行容器要快更新    iThome Weekly電腦報

AI技術扮要角  打造智慧工廠非夢想 電子時報

36萬筆個資外洩顧客遭詐求償 雄獅旅行社：沒因果關係     經濟日報網

【Mac 不會中毒？醒醒吧】高市佔率讓蘋果成駭客目標，但防毒軟體可千萬別亂裝       科技報橘網

OS業者誤解晶片製造商文件，使Windows、macOS與Linux曝露資安風險        iThome

朔宇結盟FireMon 強化企業整體資安防護力   iThome

臺荷產官學國際合作  建設資安基礎防護 財團法人資訊工業策進會

【軍事】台美國防產業論壇  潛艦合作成焦點 新新聞

台灣推動國艦國造 專家：融入資安觀念  中央通訊社商情網

GDPR上路倒數，小心相關網釣活動激增!        iThome

訂定「敏感科技保護法」刻不容緩    台灣新生報

拜託別再教我如何成功─Tomofun 創辦人張友辰：「失敗很痛，但那才是學習的開始」  數位時代

繼續閱讀

網路攻擊和資料盜竊列組織前五大風險,資安長(CISO)該怎麼辦?

趨勢科技 TrendMicro

企業風險管理 (ERM) 日益困難。世界經濟論壇 2018 年《全球風險認知調查》(Global Risks Perception Survey) 顯示，組織今年最可能遭遇的前 5 大風險之中，網路攻擊和資料盜竊分別是第 3 名和第 4 名。這種情況並非出乎預料。2017 年，全球各地的資安長- chief information security officer (CISO)面臨了破壞性的勒索攻擊、大規模的漏洞威脅、削弱企業的商業電子郵件入侵變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）詐騙、遽增的加密貨幣風險、不斷演進的物聯網（IoT ,Internet of Thing）威脅，資料外洩事件更是源源不絕。面對諸多危險，公司應如何自處？而組織在 2018 年，又該如何管理企業風險？

從WannaCry(想哭)勒索蠕蟲到 Petya，勒索病毒 Ransomware (勒索軟體/綁架病毒)攻擊導致許多生產線中斷，受害廠商包括 Honda、Nissan、Renault，甚至 Cadbury。強大的勒索病毒結合 EternalBlue(永恆之藍)漏洞的蠕蟲功能，使得這類攻擊的發生率和影響力增加 10 倍。光是這些攻擊就突顯出，資安長必須重新審視評估營運的風險。我們不能再將這類威脅視為單純的 IT 風險，其影響範圍遍及 IT 和營運技術 (OT) 的領域，可能造成全球數十億美元的損失。

[請參閱：深入瞭解 2017 年的資安威脅如何侵擾企業]

2018 年，組織亟需採用風險導向漏洞管理，因為即使只有少數漏洞曝露，就表示已經成為刺探攻擊的武器，而且還會持續造成後患。特定類型的威脅，如 2017 年發生的 Dirty COW 攻擊，仍對企業帶來嚴重影響。 繼續閱讀

趨勢科技的專業技術協助執法機關將 Scan4You 定罪

趨勢科技 TrendMicro

趨勢科技與全球執法機關合作已有很長的一段歷史。至今已協助執行了大約 20 次執法行動，對象包括：國際刑警組織 (Interpol)、歐洲刑警組織 (Europol) 以及英國國家犯罪局 (National Crime Agency，簡稱 NCA)。最近一次行動是與 NCA 的多年合作，讓惡名昭彰的 CAV 服務 reFUD.me 經營者被成功定罪。

趨勢科技 與美國聯邦調查局 (FBI) 密切追查、逮捕惡名昭彰的 Scan4You 防毒反制服務 (Counter Antivirus，簡稱 CAV) 並將之起訴的相關細節。兩名主要嫌犯當中，Ruslans Bondars最終被判有罪，而 Jurijs Martisevs 則早在 2018 年 3 月即已認罪。透過趨勢科技與 FBI 獨家合作的調查成果，將這幫歹徒追緝並起訴。

Scan4You 的服務專門幫網路犯罪集團檢查其最新的惡意程式能否被市面上 30 多種防毒引擎所偵測，藉此改進其攻擊技巧。趨勢科技自 2012 年即和 FBI 展開密切合作。Scan4You於 2017 年五月因兩名系統管理員遭到逮捕而關閉服務。

趨勢科技網路資安長 Ed Cabrera 指出：「身為對抗網路犯罪的先驅與全球公民的一員，能夠支援全球執法行動讓我們備感驕傲。在這起案例當中，我們的全球威脅情報網與研究團隊發揮了很大作用，可說是 FBI 的無價資源，讓 FBI 能夠直搗惡名昭彰的 CAV 服務。這對全球各地的網路犯罪集團來說都是一大打擊，不僅無數的網路犯罪集團受到衝擊，也讓他們了解其行為將面臨何種後果。日後，我們將繼續致力與執法機關聯手保護連網的世界。」

趨勢科技是不用槍的 007 與執法機關長期合作 證明趨勢科技打擊全球網路犯罪的先驅地位

趨勢科技與全球執法機關一直保持著密切的合作關係，曾協助 FBI 破獲最大殭屍網路駭客集團,也協助過台灣健保局偵破盜個資案件,因為我們相信，唯有公私部門共同合作才能建立一個更安全的數位資訊交換世界。隨著網路犯罪日益猖獗、不斷演變，趨勢科技也採取對應的行動。很榮幸能協助美國聯邦調查局 (FBI) 進行一項為期數年的跨國辦案行動，終結惡名昭彰的 Scan4You 防毒反制服務，並將兩名幕後嫌犯起訴。

如同我們在最新的報告中指出，此案例不僅展現了趨勢科技情報蒐集與協助調查的能力，也突顯出網路犯罪偵查的艱難之處。

漫長而崎嶇的道路

CAV 服務是全球網路犯罪生態當中很重要的一環，因為全球各地的駭客都仰賴這類服務來事先檢驗其惡意程式是否能夠躲過防毒軟體的偵測。少了這類服務，駭客攻擊就不一定能夠順利。而 Scan4You 是該領域當中的佼佼者，以堅強的實力贏得無數黑帽駭客的信賴。而這一切趨勢科技都看在眼裡。

早在 2012 年，當我們在研究一個名為「g01pack」的私人漏洞攻擊套件時，我們就發現到一些不尋常的活動。就在該漏洞攻擊套件的實際案例出現前的幾分鐘，有人從拉脫維亞的 IP 位址向趨勢科技網站信譽評等服務查詢提供該漏洞攻擊套件的網址是否已被列為黑名單。進一步追查之後我們發現，這些 IP 位址不僅會查詢 g01pack 漏洞攻擊套件的網址，還會查詢許多其他的網址。而這就是 Scan4You 這個專門協助網路犯罪集團檢查其最新惡意程式是否能被市面上至少 35 套防毒軟體引擎所偵測的服務。 繼續閱讀

《電子郵件詐騙 》用 AI 人工智慧及機器學習防堵 BEC 變臉詐騙

趨勢科技 TrendMicro

變臉詐騙攻擊或稱為商務電子郵件入侵( BEC)變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)，是對於全球企業的危險威脅。目前 BEC 已在全球一百多個國家出現，2013 年至 2016 年期間，美國聯邦調查局 (FBI) 共接獲超過 40,000 起事件，報告指出全球損失達 53 億美元。然而 BEC 攻擊在 2017 年繼續擴散，從上半年到下半年增加了 106%；但網路罪犯不只依靠其盛行程度來獲得豐厚的報酬。網路罪犯變得更加狡猾，BEC 詐騙不再需要完全依賴可偵測得到的惡意元件。儘管惡意軟體仍然是發起攻擊的一種選擇，但網路罪犯正在增加網路釣魚及社交工程攻擊，鎖定企業內可能容易受到陰險手段攻擊的個人。

讓 BEC變臉詐騙難以偵測的特徵

由於 BEC 的發展與詭計多端，面對攻擊，一般的最佳做法及資安解決方案已經顯得薄弱。由於傳統防毒軟體偵測不到，社交工程式的 BEC 詐騙攻擊進行很快，相較於需要放置鍵盤記錄程式、遠端存取工具的攻擊計畫，所需的事前勘查相對較少。網路罪犯使用以下欺詐策略：

  1. 在 BEC 攻擊計畫中使用緊迫性、行動要求或財務影響等，讓目標落入陷阱。例如，網路罪犯聯絡企業的員工及/或高階主管，並且扮演第三方供應商、律師事務所的代表，甚至執行長 (CEO) 的角色，操縱目標員工/高階主管祕密處理資金轉移。
  2. 偽造的電子郵件看似正當。網路罪犯會利用員工希望儘快處理遭冒充高階主管交辦事項的心理。過去幾年來，最容易成為目標的職位是財務長 (CFO)，財務主管、財務經理、財務總監，而最常遭到冒充的高階主管為執行長、董事總經理、總裁。
  3. 使用者的帳戶或電子郵件信箱遭到入侵時，攻擊者可以使用遭到入侵的帳戶發送內部網路釣魚郵件或 BEC 郵件。由於電子郵件來自正當使用者的電子郵件信箱，因此郵件標頭或寄件人地址不會有任何可疑內容。

繼續閱讀

【網路釣魚警訊】「帳號出現異常活動 請更新您的付款資料」一按下去, Apple ID 就被盜

趨勢科技 TrendMicro

趨勢科技偵測到一波新的 Apple ID 網路釣魚攻擊，利用社交工程技巧假藉可能必須終止服務的名義強迫使用者提供個人資料。這波網路釣魚電子郵件是假冒 Apple 的名義，通知客戶因為帳號出現異常活動而被鎖住，必點選郵件內的連結來更新付款資料。當受害者點選郵件中的「Update Your Payment Details」(更新您的付款資料) 按鈕時，就會連上一個外觀類似 Apple 網站的假冒網站，網站上所使用的影像背景甚至跟正版的 Apple 網站一樣。

 

這網站的確做得比絕大多數網路釣魚網站都來得精緻而逼真。而且內含基本的輸入資料檢查，會利用基本的總和檢查 (checksum) 來確定信用卡號碼輸入正確，同時也會檢查數字和文字欄位的長度是否正確，或者是否包含特殊字元。日期、電子郵件、姓名、CVC 檢查碼等等都會檢查是否輸入正確。

在所有個人資料和帳號資訊都填妥之後，網站會告訴使用者他們將被登出以確保安全。接著，使用者會被重導到真正的 Apple 網站。

惡意網站使用了AES 加密來反制資安廠商網站信譽評等的爬網動作，此外還搭配了其他反制措施。對一個網路釣魚詐騙攻擊來說，使用 AES 加密相當反常，因為正如我們前面所述，歹徒通常會將心思花在詐騙行動上，而非安全與躲避機制。而且此採用的加密有別於一般保護整個連線階段的 HTTPS 加密。

趨勢科技提醒使用者須小心注意任何經由電子郵件發送的連結，尤其是用來登入 Apple ID、Google 帳號、PayPal、社群網站以及其他敏感網站的連結。除此之外，信中還可能有其他惡意連結或附件檔案，因此請務必使用防毒軟體來掃瞄附件檔案。比如能保護使用者的多台裝置，並能攔截惡意連結的
PC-cillin雲端版 ，同時，使用者也應透過其他管道來求證信件當中所說的緊急情況，例如該公司的社群網頁。

 

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板，跨平台防護３到位

 

網路釣魚詐騙使用 AES 加密並騙取 Apple ID

近期發生的資料外洩與隱私權風波再加上歐盟通用資料保護法 (GDPR) 即將上路，使得企業紛紛改變其處理使用者資料的方式。也因此，許多企業開始透過電子郵件通知用戶更新自己的個人檔案或主動強化資安防護。而這些電子郵件儘管來自不同的企業，其內容卻大致相同，不外乎開頭先來一段標準的問候，接著說明為何要更新其政策，最後再提供一個很顯著的按鈕讓使用者點選。由於最近這類郵件非常的多，而且陸陸續續還會有更多企業發送這類郵件，因此，不令人意外的，歹徒也看上這波郵件通知熱潮，開始假冒企業發動網路釣魚攻擊。歹徒非常擅長假冒知名企業，以「使用者政策更新」的名義發送網路釣魚郵件。 繼續閱讀