本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
【創新拿鐵】趨勢科技創辦人張明正：創業前想清楚這3個問題 創新拿鐵
不僅防毒！還防勒索！最完整的雲端防毒軟體 – 趨勢科技『PC-cillin 2017雲端版』 開箱王
勒索病毒蔓延！上合法官網也會中毒？教你一次看懂 中央社即時新聞網
勒索病毒橫行 駭客犯罪組織化 聯合報
趨勢科技 Zero Day Initiative (ZDI) 榮獲 Frost & Sullivan 評定為漏洞研究領先機構 電腦硬派月刊
趨勢科技TippingPoint新一代入侵防護系統 (NGIPS) 榮獲NSS Labs推薦 電腦硬派月刊
Media OutReach/趨勢科技推出XGen 用戶端防護 跨世代威脅防禦融合機器學習功能 中央日報網路報
網路監視器遭駭 女餵奶被看光光 今日新聞網
【電腦王阿達】密碼換了沒？ 家中隱私 恐被陌生人看光光 電腦王阿達
Adobe搶修已遭攻擊的Flash漏洞 iThome
Linux修補存在9年已被開採的COW漏洞 iThome
10月是西方人認為一年中最陰森的月份,因為萬聖節正在呼喚著惡作劇、主題裝飾、各類糖果及讓人發冷的嚇人故事。在科技業，「嚇人」的故事經常都是關於「機房」的笑話，或是一再遇上軟硬體問題的經歷。在這萬聖節時，我們要提供真正的資安恐怖故事，並告訴你該如何避免成為受駭者。
故事三:會計收到 CEO 要求匯款信件,不理會銀行提醒,堅持把錢匯給詐騙集團
點入連結,小視窗瞬間閃過,勒索病毒即刻接管
DJ Singh是Wipro Digital的技術總監，他也遭受過勒索病毒 Ransomware (勒索軟體/綁架病毒)攻擊，並且分享了他點入一個連結後發生的故事。這連結很不幸的是連到中毒的廣告伺服器之後，有個小視窗在瞬間閃過，然後勒索病毒就接管了他的電腦。
DJ當時意識到自己感染了勒索病毒，這是一種會讓他無法使用自己檔案的惡意軟體。他試圖檢查電腦內的安全功能，卻沒有一個有用。在試圖拯救檔案時，他看見檔案已遭加密的訊息，需要解密代碼來解鎖。幸運的是，DJ在網路上找到一個解決方案來回復一些檔案。原來，這惡意軟體會將解密金鑰隱藏在程式碼中。在被這勒索病毒嚇到之後，DJ了解到他可以將筆記型電腦從網路隔離來減少勒索病毒的影響。也了解到他有備份就不需要支付贖金。
無法使用重要檔案對個人或組織來說都是最糟糕的噩夢，勒索病毒經常會用各種方法來感染系統讓它成為常見的威脅。除了利用安全軟體來防禦勒索病毒外，使用者也必須避免打開未經驗證的電子郵件或連結，並且定期更新軟體和應用程式。使用 3-2-1 原則來進行檔案備份也可以有效減少勒索病毒所造成的影響。
⊙延伸閱讀:Cerber勒索病毒透過惡意廣告散播, 主要集中在台灣,防範檔案成肉票,兩個重要提醒!
AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！
即刻免費下載
駭客說:我知道你昨晚做了什麼 繼續閱讀
常用Google的使用者應該已經很習慣逢年過節，Google搜尋引擎的Logo都會做出符合節慶氣氛的改變。今年萬聖節當然也不例外，Google推出了個萬聖節闖關小遊戲-《魔法喵學院（Magic Cat Academy）》！
遊戲的情境設定是魔法喵學院新生Momo致力拯救遭受惡鬼破壞的魔法喵學院。奮鬥的過程中需不斷揮舞魔障驅除妖魔鬼怪，玩家根據不同裝置可利用滑鼠或手畫出不同形狀驅魔。整個遊戲分為圖書館、學校餐廳、教堂、體育館以及屋頂五關。今年萬聖節沒有計畫嗎？玩玩萬聖節小遊戲應景一下吧！遊戲結果可以同步分享到臉書上讓朋友知道你的厲害喔！ 繼續閱讀
不論任何時刻，網路總是會存在著漏洞，尤其若網路上還有一些老舊的系統或軟體,再加上零時差漏洞，那麼系統管理員根本就永遠在和時間賽跑。IT 系統管理員甚至必須想辦法在漏洞攻擊套件已收錄的零時差漏洞修補之前防範網路遭受攻擊。他們必須面對各種挑戰，例如，他們不僅要維護關鍵系統的營運不間斷，還要保護網路邊境。就算拿到了漏洞修補程式，也要先完成測試才能開始部署。企業平均約需要 30 天的時間來完成修補程式測試。這樣的情況再加上其他因素，就會導致空窗期，讓漏洞攻擊套件有機可乘。
————————————————-
2013 年，Blackhole 漏洞攻擊套件和 搜尋CryptoLocker 開創了漏洞攻擊套件與勒索病毒聯手出擊的先例。沒過多久，其他漏洞攻擊套件，如：Angler、Neutrino、Magnitude 和 Rig 也隨之跟進。至少有 18% 的已知勒索病毒 Ransomware (勒索軟體/綁架病毒)家族現在都經由漏洞攻擊套件散布。
值得一提的是，漏洞攻擊套件最早從 2006年起便一直是各種威脅的散布管道。2010 年至今，趨勢科技至少已發現 100 個漏洞被收錄到幾十個套件當中。勒索病毒僅是漏洞攻擊套件可能植入系統當中的眾多威脅類型之一。
[延伸閱讀：進一步認識漏洞攻擊套件]
光是 2016 年第一季，勒索病毒就從企業身上海撈了將近2.09 億美元的不法所得。雖然勒索病毒的直接風險就是資料損失，但它還會帶來其他的不良後果，包括：品牌和商譽損失、法律賠償以及復原關鍵資料的額外成本。
[延伸閱讀：勒索病毒當道的時代 ]
漏洞攻擊套件為何會成為各種威脅的有效的散布管道？首先，這類攻擊無需假借使用者之手，因為它們利用的是熱門軟體未修補的漏洞。光是今年上半年，趨勢科技 (加上 TippingPoint) 和 ZDI 漏洞懸賞計劃就發現了 473 個漏洞。 繼續閱讀
你購買冰箱,電視…等智慧型家電時,會考慮價錢、外型和功能,但會將連網設備的安全列入採買要素嗎?根據趨勢科技美洲地區公共建設之網路安全報告。分析連網裝置受到攻擊的方式，約有七成曾受過釣魚式攻擊、五成受過漏洞攻擊、四成則受過分散式阻斷服務攻擊（DDoS）。另外，勒索病毒 攻擊也是一新犯罪趨勢。但你知道：家用智慧型產品 毛孩子都能侵入侵嗎?
很顯然地，必須做些什麼來保護物聯網（IoT ,Internet of Thing）。不幸的是，我們不能期望使用者突然成為專家來保護自己的設備,因為使用者不會關心他們家的網路攝影機,或是智慧型電視機等聯網裝置,正對別人發動DDoS攻擊,除非突然電視掛掉不能看了,因為人們通常只關心類似這樣的問題：我要看電視時要隨時可以看。
上個禮拜DNS服務商Dyn所遭遇的大規模分散式阻斷服務攻擊 (DDoS)攻擊敲響了一記警鐘：物聯網生態鏈已經徹底、完全地被破壞。缺乏支援和不安全的設備造成網際網路基礎設施一個重要的部分斷線，影響了許多知名網站。
上周末臺灣10月21日傍晚19點10分，Dyn管理的DNS服務系統遭到DDoS攻擊，造成多數網站無法使用，其中較知名的有：CNN、Airbnb、Spotify、Netflix、HBO等。這啟攻擊中，駭客控制數千萬件物聯網（IoT）裝置，包含網路攝影機、監視系統、無線網路基地台等，命裝置發動攻擊。影響延續約8小時，直到台灣時間隔日早上8點才完全修復。
編按:無獨有偶 ,新加坡時間10月22日又見DDoS攻擊鎖定DNS！新加坡電信Star Hub遇襲，導致用戶3天難上網
⊙延伸閱讀:CNN、Netflix還有Spotify都不能用！上週末到底發生什麼事？
大部分攻擊起因: 監視/網路攝影機感染Mirai僵屍網路
這起攻擊來自何處？大部分都是感染了Mirai惡意軟體的物聯網（IoT ,Internet of Thing）設備所造成，趨勢科技將其偵測為ELF_GAFGYT.DGB/ELF_BASHLITE.SM。（Mirai傀儡殭屍網路原始碼已經在10月初公開發布，恐遭有心人士惡意利用）。關於攻擊的大部分原因是一家白牌的數位網路監視攝影機和網路攝影機。這家廠商已經公開召回他們一些具有漏洞的設備，這是一個值得鼓勵（可能代價高昂）的舉動。不過，也很可能有其他廠商的設備也參與其中。
利用數以千計遭到殭屍化的監視攝影機來發動 DDoS 攻擊,其實之前已經有案例。
⊙延伸閱讀:監視攝影機暗藏惡意程式
在找到方法保護好物聯網前，這起攻擊不會是最後的一次
要將這些攻擊說是「前所未有」是有點勉強 – 就在幾個星期前，Brian Krebs也遭受到Mirai「Botnet傀儡殭屍網路」的DDoS攻擊。可以肯定的是，在找到方法保護好物聯網前，這起攻擊並不會是最後的一次。
而關於物聯網（IoT ,Internet of Thing），現在的優勢是在攻擊者那方：有太多物聯網設備是不安全，無法保護，也不會受到保護。阻斷服務攻擊成為更加有力的威脅：威脅公司會斷線變成實際可行也更具說服力的說法。
物聯網產品自己也會因分散式阻斷服務攻擊 (DDoS)攻擊而產生對現實世界的影響 – 當這些設備無法連到中央伺服器時會發生什麼事？比如這個例子, 一個可根據溫度來智慧決定要不要加熱的恆溫器, 因為網路斷了拿不到數據, 結果就不停的加熱, 號稱比較省電的裝置卻適得其反,無法正常運作。DDoS攻擊曾經只是會造成困擾的事情 。而現在隨著越來越多重要功能放到網路上，這成為了嚴重的威脅。
四成連網裝置受過分散式阻斷服務攻擊（DDoS）,但購買智慧型家電時,有多少人會將資安列入考量?
根據趨勢科技美洲地區公共建設之網路安全報告。分析連網裝置受到攻擊的方式，約有七成曾受過釣魚式攻擊（Phishing）、五成受過漏洞攻擊（Unpatched vulnerabilities）、四成則受過分散式阻斷服務攻擊（DDoS）。另外，勒索病毒 Ransomware (勒索軟體/綁架病毒)攻擊也是一新犯罪趨勢。
很顯然地，必須做些什麼來保護物聯網。不幸的是，再怎麼說這有多困難都有些輕描淡寫了。我們不能期望使用者突然成為專家來保護自己的設備,因為使用者不會關心他們家的網路攝影機,或是智慧型電視機等聯網裝置,正對別人發動DDoS攻擊,除非突然電視掛掉不能看了,因為人們通常只關心類似這樣的問題：我要看電視時要隨時可以看。
當人們購買冰箱,電視…等智慧型家電時,會考慮價錢、外型和功能,鮮少有人會將連網設備的安全列入採買要素。
⊙延伸閱讀:Android 智慧型電視後門程式現身，惡意程式恐開家中資訊後門
IoT生態鏈缺口: 產品賣家並非每個人都有足夠的技術和能力來解決自己所賣東西的問題
網路安全專家把這種威脅比作「好像每個人都有一顆核彈」
那物聯網產品賣家呢？他們並非每個人都有足夠的技術和能力來解決自己所賣東西的問題。在某些情況下，這些賣家只是拿白牌產品來貼牌而已。經銷商和進口商是否真的能夠支援自己所賣的產品？答案是：可能不行。
這篇文章報導:加拿大網路安全專家在接受CBC採訪時說，” 侵入工作站或Windows的裝置是比較困難的。但是由無數小公司生產的便宜的智能電子產品，在安全防護上非常初級。而目前對這個行業的管理缺乏相關法規，使那些不想在安全上投資的小公司有漏洞可鑽。
駭客侵入這些產品如入無人之境，然後可以透過它們發動大規模的網路攻擊，例如發送海量垃圾信息導致網站癱瘓。另一位網路安全專家把這種威脅比作「好像每個人都有一顆核彈」。”