上百萬台光纖路由器爆漏洞，變更網址即可避開認證機制

趨勢科技 TrendMicro

上百萬台光纖路由器爆漏洞，變更網址即可避開認證機制資安研究人員在上百萬個 Gigabit 被動光纖網路 (GPON) 家用路由器上發現了一個遠端程式碼執行 (RCE) 漏洞。此漏洞會讓駭客藉由修改瀏覽器網址列上的網址來輕易避開路由器登入頁面的認證機制，等於完全掌控了該路由器。根據 Shodan 全球連網裝置搜尋引擎的搜尋結果顯示，含有此漏洞路由器有一半都位於墨西哥，其餘一半的則分布在哈薩克和越南。

[延伸閱讀：路由器遭到攻擊：最新資安漏洞以及如何修正]

研究人員針對 Dasan Networks 所生產的路由器進行了完整的研究之後發現了可讓駭客避開其認證頁面的 CVE-2018-10561 漏洞，只要在存取該路由器的設定頁面時在網址末端加上「?images/」字串即可。除此之外，研究人員還能利用這項漏洞來注入指令，從遠端透過修改 DNS 設定對裝置及網路執行其他指令。

[延伸閱讀：2017 年最值得注意的家庭網路威脅]

GPON 是一種被動光纖網路，經常用於光纖路由器來提供高速網際網路連線，可讓使用者和所有相連的裝置經由光纖網路上網。其路由器通常由 ISP 提供，因此大多使用預設的帳號密碼。這讓駭客很容易竄改這些路由器的韌體，將路由器收編成殭屍網路的一員，進而被駭客用來從事中間人攻擊，或者竊取各種資訊以用於其他數位勒索或網路間諜活動。 繼續閱讀

資料外洩事件必須在 72 小時之內通知! IT 安全對邁向 GDPR 遵規之路有多重要?

趨勢科技 TrendMicro

歐盟通用資料保護法 (GDPR-General Data Protection Regulation) 所強調的重點是企業內的透明、安全與責任歸屬，這其中每一項都對資安造成不同程度的影響，從行動、預防，到減低傷害、監督、資安意識等等。

在這段有關我們如何邁向 GDPR 遵規之路的最新系列影片當中，我們的 IT 安全總監 William Dalton 將說明 GDPR 如何影響趨勢科技在資安上的作法，包括：促使我們從全球觀點來看待資料隱私的管理，以及改變我們對資料外洩事件的對外通訊方式。

GDPR 最重大的挑戰之一就是資料外洩事件必須在 72 小時之內通知，這突顯出資料外洩事件必須明確告知的重要性。為了達成這項規定的要求，我們制定了一些新的程序和作法來讓我們不僅能夠確切掌握是否有資料外洩發生，更能夠在發生時迅速而準確地加以矯正和通報。

GDPR 另一個需要注意的重要領域是必須採用頂尖的防護技術。為了符合這項規定，我們採用了多重技術 (包括趨勢科技自家的多項產品) 來保護客戶資料，協助我們達成法規要求。有鑑於該法規對於網路邊境、資料中心內部以及端點裝置都有資安與隱私的要求，因此採用趨勢科技環環相扣的防護產品，讓我們在需要通報資料外洩事件時更加輕鬆，因為不論事件發生在何處，我們都能夠輕易掌握資安狀況並蒐集必要資訊。

請觀賞這段影片，讓我們的 IT 安全總監為您說明 GDPR 將在哪些層面對資安造成影響，以及採取全球觀點來管理資料的重要性，還有為何您需要頂尖的防護。

系列影片簡介:

銷售和行銷：看我們的營運長 Kevin Simzer 說明我們如何和客戶站在同一陣線，一起邁向 GDPR 遵規之路，以及這個過程能帶來什麼效益。

人事：看看 GDPR 如何影響我們的員工，以及我們如何確保員工真正了解這項法規。

行銷業務：看看我們的行銷業務團隊如何確保所有外部平台上的客戶資料都能受到妥善保護。

產品與服務：聽聽我們的雲端防護資深副總裁 Bill McGee 說明我們如何不斷創新來提供頂尖的產品功能，以及我們如何協助客戶履行其雲端環境共同分擔的資安責任。

銷售與通路訓練：看看讓現有的通路合作夥伴認識 GDPR 有多重要，以及我們如何協助他們找到達成 GDPR 規範所需的工具。

 

 

新一代 Spectre 漏洞攻擊手法：發現新的 Intel CPU 漏洞

趨勢科技 TrendMicro

繼一月份發現 Meltdown 和 Spectre 兩個影響 Intel 處理器的漏洞之後，資安研究人員又發現了八個 Intel 處理器的新漏洞。隨著 Google Project Zero 的 90 天技術細節與解決方案公布緩衝期已於 5 月 7 日到期，專家指出這些新的漏洞 (命名為「Spectre Next Generation」或「Spectre NG」) 基本上與先前的 Spectre 類似。其中有四個漏洞被認定為「高」嚴重性，其餘的則為「中」嚴重性。

[延伸閱讀：關於 Intel 處理器的 Meltdown 與 Spectre 漏洞您該知道些什麼？]

這些漏洞每一個都會有對應的 Common Vulnerability Enumerator (CVE) 編號。Intel 的修補更新將分成兩個階段實施，第一階段在 5 月份，第二階段將在 8 月份。此外，Linux 開發人員也正在針對 Spectre 漏洞研擬對策，而 Microsoft 也將釋出選擇性的修補更新來應對。此外，Microsoft 也提供 25 萬美元的獎金來懸賞更多 Spectre 相關的未知漏洞。日本 Softbank 旗下 ARM Holdings 公司的 Advanced RISC Machine (ARM) CPU 也被懷疑可能受這批新漏洞影響，至於 Advanced Micro Devices (AMD) 的處理器是否受到影響，目前仍有待檢驗。 繼續閱讀

【密碼管理】推特爆漏洞,變更你的 Twitter 密碼了嗎? 三個保護社群網站帳號建議

趨勢科技 TrendMicro

Twitter(推特)公告他們系統內的一個臭蟲可能會讓使用者密碼曝光，並呼籲所有的使用者變更帳號密碼。他們還沒有透露受到影響的使用者數量，但該公司表示已經調查並且修復了此一漏洞。不過內部人士聲稱這個問題影響了大量的使用者，並且讓密碼暴露了“好幾個月”。

Twitter在聲明裡說明自己使用了 bcrypt 進行雜湊處理，這是種較強的雜湊演算法，可以在不洩露密碼的情況下驗證使用者帳號。但該公司沒有透露為什麼密碼會在雜湊處理之前先儲存在內部日誌。他們的調查結果表示並沒有遭受入侵或帳號受到濫用的跡象。不過聲明仍建議使用者要考慮變更帳號密碼以及所有使用相同密碼的服務密碼。

使用者在打開應用程式時也會跳出視窗來告知此問題。根據報導，Twitter到二月為止已經達到3.3億名使用者，且稱他們“正在進行計劃來以防止這漏洞再次發生。”

[延伸閱讀：如何防護你的社群網站帳號]

為了你的隱私和安全著想，以下是三個保護社群網站帳號的建議： 繼續閱讀

《1987-2018 資安威脅演變史 》回顧主動事件應變策略的發展與對企業的意義

趨勢科技 TrendMicro

本文回顧威脅情勢發展上一些促使企業開始採取主動事件應變策略以強化其網路資安防禦的重大事件。

 

今日的威脅既複雜又猖獗，光靠防範似乎已經不夠。事實上，根據專家指出，威脅已經無可避免。除此之外，再加上網路資安技術上的缺口也使得資安威脅對企業的營運、獲利和商譽帶來龐大的風險。為了因應這樣的情況，企業開始改懸易轍，建置一些主動偵測技術與事件應變策略來強化其防禦。換句話說，企業或許無法完全避免所有的資料外洩或網路攻擊，但卻能夠針對這類可能帶來重大損失的事件做好更周全的準備，進而降低、控制損害並從中復原。

然而，是什麼樣的原因造成這樣的改變？促使企業在網路資安防禦當中加入主動偵測、回應及矯正技術的因素為何？讓我們來回顧威脅情勢發展上一些促使企業開始採取主動事件應變策略以強化其網路資安防禦的重大事件。

1987 年 10 月

Cascade (瀑布) 病毒現身 (德國稱為「Herbstlaub」)，其名稱的由來是：當該病毒啟動時，螢幕畫面上的文字會像瀑布一樣往下墜落到畫面底部。Cascade 當初原本打算避開 IBM 電腦不加以感染，但卻因為一個程式錯誤而讓它幾乎擴散至比利時某個辦公室中的所有電腦。Cascade 病毒的出現，也促使了防毒軟體的問世。

 

1987 年 11 月

Lehigh (理海) 病毒 (或稱為「command.com」病毒) 感染了 DOS 作業系統開機所需的系統檔案。該病毒是以當初發現病毒的美國理海大學 (Lehigh University) 來命名，是第一個會將電腦資料清除的病毒。為了因應這個病毒，該大學的電腦中心還對全校學生和教職員發出了緊急通告。此外，病毒的作者也通知了其他大學有關該病毒可能帶來的影響。

 

1988 年

Morris 蠕蟲發動阻斷服務 (DoS) 攻擊並大量散布，根據報導，網際網路上約有 10% 的電腦因而當機。這是當時第一個對網際網路骨幹造成重大影響的病毒之一。這起事件也因而讓人意識到網路緊急事件聯合應變的必要性，促使專家們成立了後來的「電腦緊急應變小組」(CERT)。而 Morris 蠕蟲也為隨後數十年企業所遭遇的惡意程式打下重要基礎。 繼續閱讀