最近，軟體開發人員 Abraham Masri 發現了一個影響 Apple 裝置的漏洞，讓人想起以前會讓 iMessage 應用程式當掉的「Effective Power」漏洞，這個名為「ChaiOS」的死亡簡訊漏洞會讓收到簡訊的裝置陷入無限當機循環。
Masri 為了展示這項漏洞的概念驗證，他在 GitHub 上製作了一個網站，並將該網站的結構資料 (Metadata) 塞滿數千個多餘的亂碼。他表示，當應用程式在讀取這些多餘的亂碼時就會當掉，甚至導致整個作業系統當機。MacRumors 測試了前述網站之後發現確實會讓 Apple 的訊息程式當掉。
ChaiOS 甚至會影響 MacOS 作業系統。Apple 已在 iOS 11.2.5 第 6 測試版 (Beta 6) 當中解決此問題。相信再過不久，正式的 iOS 11.2.5 和 MacOS High Sierra 10.13.3、watchOS 4.2.2 以及 tvOS 11.2.5 更新就會推出。
趨勢科技與刑事警察局共同合作，每週公布民眾通報的高風險賣場排行。
上週仍舊為知名的線上百貨賣場及美妝小舖成為最高被害案件之高風險賣場，以及Facebook假網拍詐騙在上週也居高不下，請大家更加小心注意！
安裝在牆上的阿拉丁智慧神燈，可追蹤使用者的移動記錄
聲控、會講話的馬桶
可以陪狗狗玩的智慧行動寵物夥伴機器人
今年 CES 會上還有哪些亮點?
根據研究指出，隨著物聯網（IoT ,Internet of Thing）裝置的持續發展，全球 IoT 市場將從 2016 年的 1,570 億美元成長至 2020 年的 4,570 億美元。全球最新消費性電子科技匯聚的 CES 消費電子展，預告今年即將上市的最新產品。今年 (2018 年)，IoT 裝置廠商已準備大展身手，推出一些訴求便利的終極產品來吸引消費者。
在會議中心外的停車場，Google 搭建的三層樓展示空間是今年的注目焦點，裡面展示著 Google Assistant 數位助理以及相關搭配的智慧喇叭、廚房家電等產品。根據 HIS Markit 的預測，2018 年將有超過 50 億個消費性裝置支援數位助理功能，這數量至 2021 年將再成長 30 億。
然而，Google Assistant 並非今年 CES 會上的唯一亮點。
Ring 希望藉由視訊門鈴與監視攝影機來達成指尖開鎖的居家功能。該裝置可讓使用者透過智慧型手機、平板或 PC 來監控家中狀況。每個 Ring 裝置都內建一個廣角鏡頭、一個麥克風及一個喇叭，使用者可隨時隨地看到、聽到有誰靠近他們的房子，並且和對方通話。當 Ring 偵測到任何物體移動時，使用者會立即收到通知，進而隨時掌握有誰踏上他們的土地。
圖 1：Ring 的視訊門鈴與監視攝影機 (資料來源：ces18.mapyourshow.com)。
Domaly 公司的 Aladin Smart Lamp (阿拉丁智慧神燈) 是一個安裝在牆上的智慧燈具，配有物體移動感應器，聰明地為年長者在半夜起床時提供適當照明。而且，萬一偵測到年長者跌倒了，燈具還可以發送通知給緊急聯絡人。同時，這款燈具還擁有行為分析功能，可追蹤使用者的移動記錄，當燈具發現使用者上廁所的次數超過正常情況時，還可通知家屬。
除此之外，CES 2018 會上還有一些有趣的創新發明。Kohler 公司的 Numi 是一款聲控、會講話的馬桶，提供情境燈光、暖腳器、音樂播放、除臭器以及先進的「免治馬桶」功能，包括脈衝、震盪、波動等多種洗淨方式。除此之外，還有 CamToy 公司的 Laika 智慧行動寵物夥伴機器人，讓主人隨時隨地從遠端和心愛的寵物互動。而主人也可將 Laika 設成自主模式，讓它自己陪狗狗玩，這樣當主人不在家時，狗狗就不會覺得無聊。
圖 2：CamToy 的 Laika 寵物夥伴機器人(資料來源：nibletz.com)。
上述產品只不過是 IoT 裝置提升使用者生活便利的幾個範例。有些裝置對學生或老年人甚至可說相當實用。但隨著這類裝置不斷推陳出新，裝置的安全性仍應是優先考量，如此才能防範相關威脅，確保使用者安全。根據預測，從 2015 至 2020 年，IoT 解決方案相關的總支出將達到 6 兆美元。
目前，物聯網在安全上仍有一些設計瑕疵，不過使用者可透過一些方法來降低智慧裝置的安全風險。例如， 妥善保護家用路由器並定期變更密碼 ，就能大幅提升智慧裝置生態系的安全並防範攻擊。
至於在產品安全上扮演關鍵角色的製造商，則可遵循一些最佳實務原則來防範針對 IoT 裝置的攻擊，例如：
原文出處：CES 2018: Securing the Promise of Invaluable Convenience from New IoT Devices
搭上 Intel CPU 漏洞順風車的釣魚信件,以「重大漏洞–重要更新」為餌，內含聲稱導向 Meltdown、Spectre 修補程式下載網頁的連結，不但使用SSL加密還冒用政府單位字樣的網域名，受害人稍不留意就掉入陷阱。
一月初，資安研究人員發現了 Meltdown 和 Spectre 兩個今日 CPU 設計上的資安漏洞，並且公布了詳盡的技術細節。根據研究人員指出，全球數十億裝置皆可能因這些漏洞而讓惡意程式竊取應用程式正在處理的資料。儘管處理器廠商們去年就已接獲通報，並在幾個月前著手開發修補更新，但直到最近才等到聯合公布的時機。Apple、Microsoft 和 Google 皆已釋出必要的修補更新來防範相關漏洞攻擊。
Meltdown 漏洞所影響的是 Intel 處理器，可能讓駭客取得系統權限並存取應用程式和作業系統記憶體中的資料。至於 Spectre 則是影響 Intel、Advanced Micro Devices (AMD) 及 Advanced RISC Machine (ARM) 處理器，可能讓駭客竊取系統核心或快取中的檔案或資料，例如：執行中程式存放在記憶體中的密碼、金鑰等等。
儘管如此，使用者在嘗試下載修補更新時務必小心，因為網路犯罪集團已利用 Meltdown 和 Spectre 的這波新聞熱潮來散布惡意程式。其中之一，就是德國在政府單位針對網路釣魚郵件發布警告之後出現的 SmokeLoader 惡意程式。
假冒來自德國聯邦資訊安全局 (BSI)的釣魚網站啟用 SSL 連線
這些郵件會假冒來自德國聯邦資訊安全局 (BSI)。研究人員指出，其網域含有一個啟用 SSL 連線的網路釣魚網站，該網站不屬於任何政府機構所有，只是假借政府名義誘騙民眾安裝惡意程式而已。該網站有個頁面會連結至 Meltdown 和 Spectre 的相關資源，但其中有些連結卻是指向一個含有惡意程式的 ZIP 壓縮檔。使用者一旦下載到該檔案並且在電腦上執行，電腦就會被植入 SmokeLoader 惡意程式。接著，SmokeLoader 會再下載其他惡意程式到電腦上執行。此外，研究人員也指出該惡意程式會嘗試連線至多個網域並送出一些加密過的資訊。
企業注意! 變臉詐騙不再使用執行檔
有些變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）電子郵件現在已不再使用執行檔為附件，而是改用 HTML 網頁。因為含有執行檔的電子郵件通常會被垃圾郵件過濾軟體列為可疑郵件，但 HTML 檔案則不會，因為惡意 HTML 檔案較難被偵測，除非可證明是網路釣魚網頁。而且，網路釣魚網頁的程式碼撰寫起來較為容易，又可在任何平台上通用。
雖然網路釣魚已是網路上最古老的詐騙手法之一，但使用者和企業機構至今仍深受其害。事實上，根據「網路釣魚工作小組」(Phishing Working Group) 的 2016 年第二季報告指出，該季偵測到的非重複網路釣魚網站數量達到巔峰。
10招防網路釣魚
使用者可採取以下 10個做法來防範網路釣魚攻擊，包括：
原文出處：SmokeLoader Malware Found Spreading via Fake Meltdown/Spectre Patches
PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板，跨平台防護３到位
《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》
《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。
▼ 歡迎加入趨勢科技社群網站▼
銀行木馬程式 DOWNAD (又名 CONFICKER，趨勢科技命名為 DOWNAD 家族) 首次現身於 2008 年，是當時破壞力最強的惡意程式之一，高達 9 百萬台電腦受到感染，全球皆聞之喪膽。儘管 DOWNAD 現身至今已將近十年，而且已過了巔峰期，但它並未徹底消失。讓我們回顧一下 DOWNAD 近十年來的一些數據，就能理解為何它至今仍是全球最普遍的惡意程式之一。
巔峰時期曾經創下全球 9 百萬的感染案例, 至今每月偵測數量仍維持在 2 萬以上
DOWNAD 在巔峰時期曾經創下全球 9 百萬的感染案例。四年之後，DOWNAD 仍是當年最紅的惡意程式，全球偵測數量仍有 250 萬左右 (2,564,618)。到了 2013 年，DOWNAD 數量銳減，從第一季的 74.1 萬一路下滑至第四季的 22.9 萬，原因應該是越來越多使用者已升級至新版 Windows 作業系統，因此它少了可攻擊的漏洞。但儘管如此，DOWNAD 仍位居 2013 年惡意程式排行榜榜首，偵測總數高達 180 萬左右 (1,824,000)。到了 2014 和 2015 年依然維持同樣情況，DOWNAD 仍穩居企業惡意程式年度感染數量前二名 (不論大型企業或中小企業)，分別為 288,374 和 298,000。
圖 1：2012 至 2016 年 DOWNAD 偵測數量。
儘管在過了顛峰之後 DOWNAD 的感染情況已經緩和下來了，但根據趨勢科技 Smart Protection Network™ 全球威脅情報網 2016 和 2017 年的 DOWNAD 偵測數據顯示，該惡意程式每月偵測數量仍維持在 2 萬以上，所以依然還是相當活躍。
這樣的情況多年來一直相當穩定，如果只看最近兩年的話，WORM_DOWNAD.AD 的偵測數量一直維持在一定水準，只有些微的起伏變化：
圖 2：2016 和 2017 年 WORM_DOWNAD.AD 每月偵測數量。
主要分布於三大產業：政府、製造和醫療
DOWNAD 主要分布於三大產業：政府、製造和醫療，占 2016 年所有 WORM_DOWNAD.AD 偵測數量的 34%，同時也占 2017 年的 41%。這些產業的企業通常比較專注於原本的專業領域，所以不像一些科技相關產業 (如軟體和委外服務) 那麼重視技術升級投資。此外，這些產業的企業由於規模和複雜度的緣故，系統升級需耗費龐大的人力和時間，而這些都是 DOWNAD 為何在這些產業特別興盛的原因。
圖 3：WORM_DOWNAD.AD 在各產業的分布 (2016 年)。 繼續閱讀