< 虛擬貨幣攻擊 > 偽裝獵人頭公司的釣魚郵件,鎖定銀行高階主管
在過去幾週出現許多跟加密虛擬貨幣相關的駭客或詐騙報導。最近出現的兩起事件：一起是Lazarus駭客集團的新攻擊活動，另一起詐騙則涉及一家虛擬貨幣新創公司。
首先是偽裝成獵人頭公司發送內嵌Dropbox連結的釣魚郵件。該連結包含一份香港銀行高階主管的職務描述文件,文件帶有Visual Basic巨集會掃描系統上是否有比特幣活動的跡象。然後再植入第二個為了長期資料採集和持久性而設計的病毒。
另外,虛擬貨幣新創公司 LoopX，成功地通過一系列首次貨幣發行（ICO）籌集到450萬美元的資金，並在得手後從地球表面消失了。
就跟新聞報導一樣，這兩起事件只是虛擬貨幣產業所面對眾多危險的一部分。儘管虛擬貨幣技術及大部分的實作都很有用，但因為缺乏監管加上目前的大肆宣傳，讓網路犯罪分子和詐騙者有機會來佔想跟上潮流人們的便宜。
Lazarus攻擊比特幣持有者跟金融組織
被稱為Lazarus的駭客集團在最近進行過一些惡名昭彰的網路攻擊（像是Sony電子郵件被駭以及對金融機構的各種攻擊），往往將目標放在能賺錢的地方 – 現在則是虛擬貨幣。因此會看到這駭客集團出現來針對 比特幣( Bitcoin) 持有者（而不只是常見的金融機構）也就並不奇怪了。
這波攻擊活動會偽裝成獵人頭公司發送內嵌Dropbox連結的釣魚郵件。該連結包含一份香港銀行高階主管的職務描述文件,並帶有Visual Basic巨集會掃描系統上是否有比特幣活動的跡象。然後再植入第二個為了長期資料採集和持久性而設計的病毒。
根據報導，這波攻擊活動所用的手法跟 Lazarus之前的一些攻擊類似。不過植入病毒是新的作法，顯示該集團的惡意工具正在進化中。
目前還不清楚這波新攻擊活動的範圍或其確切的發生區域。但考慮到該集團之前攻擊的廣泛程度，加上該集團所可以運用的各樣工具和資源，可以相信這駭客集團不會受到地理因素的限制。
LoopX虛擬貨幣新創公司，首次貨幣發行（ICO）籌集到 450萬美元後從地表消失
隨著大量團體想通過虛擬貨幣風潮來取得現金，想了解所有市場上推出的新貨幣可能很難。LoopX是一家虛擬貨幣新創公司，成功地通過一系列首次貨幣發行（ICO）籌集到450萬美元的資金，而且擁有正常的網路業務（包括網站和社群媒體帳號），但似乎在拿走投資者的錢後從地球表面消失了。 繼續閱讀
勒索病毒居然已經十幾歲了!資安專家:有三個理由,今年還會”狗狗纏”
勒索病毒已經出現十多年了，因為病毒的攻擊手法越來越精細，幾乎所有的國家都出現受害者，成為了全球性的威脅。根據CSO的報導，勒索病毒的歷史比許多人所想的都更漫長。儘管過去幾年出現的大規模攻擊讓其成為矚目的焦點，但其實駭客從2005年開始就一直在使用勒索病毒。而且在過去11年間的勒索病毒攻擊已經超過一般的資料外洩事件。
三個勒索病毒在未來數年仍將持續肆虐的理由
不幸的是，網路犯罪份子持續在勒索病毒方面取得成功，幾乎每天都有更多的知名企業淪為這類攻擊的受害者。毫無疑問地，勒索病毒會繼續成為網路安全產業眼中的威脅。這裡有三個勒索病毒在未來數年仍將持續肆虐的理由：
1）勒索病毒持續進化中
大多數的勒索病毒都屬於加密型或上鎖型。Heimdal Security解釋說明，加密型勒索病毒（或說是鎖住資料）會利用複雜的加密演算法讓受害者無法存取系統檔案和資料。CryptoLocker是這類型中最知名的勒索病毒之一。從局外人的角度來看，勒索病毒可能看似簡單：從受害者那裡取走一些東西並要求錢來贖回。然而在加密型和上鎖型之下還有好幾種不同類型的勒索病毒，並且有許多種感染受害者的手法。
另一種的上鎖型勒索病毒則是會鎖住中毒設備的作業系統，這意味著所有檔案和資料以及應用程式和系統都無法使用。最近的Petya攻擊就屬於這類型。 繼續閱讀
勒索病毒也可網購! ShurL0ckr在暗網上販售，據報可以繞過雲端應用程式
安全研究人員發現一個名叫ShurL0ckr的新勒索病毒據説可以繞過雲端平台的偵測機制。就跟Cerber和Satan一樣，ShurL0ckr操作者將這勒索病毒經營成外包服務，讓其他網路犯罪分子也可以分一杯羹，從受害者贖金中抽取佣金。
《延伸閱讀 》 散播Cerber 和CTB Locker勒索病毒嫌犯遭捕:程式非自己開發,以 30% 不法獲利跟駭客分紅
根據研究人員對ShurL0ckr的分析顯示，它可以躲避雲端應用程式偵測來進行擴散。跟其他勒索病毒一樣，網路釣魚（Phishing）和路過式下載「Drive by download」是最可能的感染媒介。
ShurL0ckr的出現也顯示出另一個更大的問題：網路犯罪分子對合法平台和服務的濫用。研究人員指出，使用雲端應用程式的企業有44%或多或少受到惡意軟體影響。事實上，他們發現至少有三家企業級軟體即服務（SaaS）應用程式感染了惡意軟體。研究人員還發現，惡意腳本、可執行檔以及木馬化的Office文件和圖片檔是最常用的進入點。
[相關新聞：Google Apps Script的安全漏洞能讓駭客透過SaaS平台散播惡意軟體 ]
勒索病毒不會很快就消失。事實上，隨著企業越來越採用新興技術來開拓業務，勒索病毒和數位敲詐可以預見會是網路犯罪的主流。 繼續閱讀
Uber 爆漏洞,雙重認證機制出包
2017 年 11 月，全球叫車共乘大廠 Uber 陷入了一場資料外洩風暴， 該公司被揭發有 5,700 萬名司機和乘客的資訊外流到網路上。一月底又出現了另一個資安問題，研究人員 Karan Saini 發現 Uber 有一個 系統漏洞 可讓駭客跳過 Uber 應用程式的雙重認證 (2FA) 機制。
該公司早在 2015 年就開始實驗雙重認證，希望能取代電子郵件和密碼的簡單認證方式。然而，這項功能卻因為 Uber 應用程式的登入方式而使得駭客有可能跳過這項安全機制。根據 Saini 提供的詳細資料指出，使用者只要有電子郵件和密碼就能登入其帳號。接著，使用者可以在同一個瀏覽器階段切換到 Uber 的「help」(協助) 子網域，然後再用相同的登入憑證就能登入。
Uber 公司已在本文截稿前修正了該問題，並且說明這有可能是其內部資安團隊為了測試評估各種雙重認證技術的效果而導致的問題。同時，該公司也表示並非所有裝置都預設使用雙重認證，只有在適當的情況下才會使用，也就是當發現有可疑活動的時候。
雙重認證的重要性
隨著資料外洩與資訊竊盜案件日益頻傳，不論企業機構或一般消費者都應開始考慮淘汰傳統的單一認證機制，改用雙重認證。對企業機構來說，這意味著必須在其系統內加入雙重認證，對一般消費者來說，這意味著要確實啟用這項機制 (如果不是預設使用的話)。
此案例告訴我們，即使是雙重認證系統也並非完美。更何況，網路犯罪集團還可透過網路釣魚或惡意程式的方式來克服這項機制。不過，多一分防護總是比少一分好，所以雙重認證畢竟還是比單一認證來的安全。而且雙重認證不一定會比較複雜，因為大多數的雙重認證都只是需要多一封手機簡訊或多一個應用程式 (後者較為安全) 來進行雙重認證而已。
所有企業機構，尤其是需要經手或儲存大量客戶資料的企業，都應優先在系統當中加入額外的安全機制。雙重認證是一道容易架設的安全機制，而且不論對企業或使用者來說都不需太複雜的步驟。
請參考這篇「如何設定雙重認證 (2FA)」來保護您的網路帳號。
原文出處：Bug Allows Attackers to Bypass Uber’s Two-Factor Authentication System