指紋辨識 ,密碼和管理網路帳號

 finger print

 重複使用、減量和回收這三件事對環境保護來說很棒,但用在密碼上就不棒了。

當Apple推出iPhone 5S時,其中一個被強調的重點是指紋辨識功能,稱為Touch ID。有了這技術,iPhone使用者可以取代密碼來解鎖螢幕,並且可以在iTunes和App Store上用來購買東西。

取代是個操作性字眼,像Touch ID這樣的技術可以替帳號加上一層防護來阻止駭客,甚或是惡意軟體的攻擊,但想要完全的取代密碼還得要花上很長一段時間。

從安全角度來看,Touch ID在規格上看起來很不錯,希望在現實世界裡也可以表現得一樣好。生物識別技術並不是新玩意,我們在過去也看到有人用粘土來騙過指紋辨識系統。甚至iPhone 5S也不是第一支使用指紋辨識技術的手機,這都顯示出這些技術需要適當的加以實作,尤其是想要推出給要求嚴格的消費者市場。

特例而非通則

同時也必須說。像這樣的技術該算是特例而非通則。很自然的,其他服務可能會想用自己的方式來解決「密碼的問題」。舉例來說,在Apple發表會的前一天,Google的高階主管被引述說:「密碼要終結了」,他們正在想辦法加以創新。在這些創新成為主流之前(也希望可以標準化),使用者仍然必須用密碼來登入自己的帳號。

我們還需要考慮到一個事實,大多數使用者會使用多個設備來存取網路帳號,這些設備都有自己的硬體規格。Touch ID可以在iPhone上很順利的購買歌曲,或許很快也會實作到到其他Apple產品上,但如果你必須透過一般電腦來存取iTunes時,你還是會需要用到密碼。

 

密碼仍然是關鍵,但要適當管理

重點是。密碼在每個人的數位生活裡仍然扮演重要的安全角色。當然,管理它們可能是件煩人的事情,現在對於長度和複雜度的要求都比之前要來得高,尤其現在的長密碼也可能會被暴力破解。有安全的電腦使用習慣,類似趨勢科技PC-cillin雲端版密碼管理通,或是手機及其他設備的內建安全功能(是的,像即將到來的Touch ID)都會有所幫助。

如何管理你多個設備上的網路密碼

管理密碼從來沒有比今天要來得更重要也更加複雜。

在今天,你必須要替無數的帳號建立跟記住各種密碼。而且管理多個設備上的同一個密碼也是相同煩人的事情。

如果你沒有做好,你就會讓自己成為密碼破解駭客的餌食。讓他們竊取你的資料、身份認證和金錢。

每隔三秒鐘,就會出現一個身分詐騙的受害者。在美國,有五分之一的使用者經歷過信用卡被盜,被用來進行未經授權的購買交易。

不要讓網路犯罪分子破壞你的數位生活。開始適當的管理你所有設備上,每個網路帳號的密碼。

不要重複使用、減量和回收

重複使用、減量和回收這三件事對環境保護來說很棒,但用在密碼上就不棒了。

你的密碼必須是獨一無二的。不可以使用常見的「password」或是「123456」,它們是有史以來最常用的兩個密碼。網路犯罪分子也知道。所以你可以想見,當他們嘗試侵入你的帳號時,一定會試過它們。

讓你的密碼夠長而且無法破解。使用無意義的單字或詞句組合而成,甚至再夾雜數字和字母。安全的密碼管理工具也可以幫得上忙。它可以替你的各個帳號生成隨機的密碼,並儲存在主密碼下,讓你不需要去一一記住。

不要回收使用你的密碼。一旦你使用過,就不要用在別的地方。不然當網路犯罪分子取得你的一個密碼,他們就有機會去存取一切。

雙倍的安全

如果可以的話,就啟用兩步驟驗證,這是網站要求登入資訊時,越來越常見的功能。它給你一個驗證碼來搭配密碼使用。這驗證碼無法被偷走,因為它是當你登入時所隨機產生的,而且會透過電腦以外的管道派送給你,像是你的手機或電子郵件帳戶。

身為一個試圖從不同設備來登入Facebook的使用者,你可能已經經歷過兩步驟驗證。一旦Facebook發現你從陌生的設備登入,它就會寄送一封帶有驗證碼的簡訊給你,讓你結合原本的密碼使用。這可以確認登入的是本人。

這程序讓你成為唯一可以存取你帳戶的人。因為你的帳戶只能經由密碼加上儲存在你身上設備上的驗證碼才能存取,讓網路犯罪分子更難去侵入你的帳戶。

清理你的 Cookie

我們都曾經依賴過網路瀏覽器的「記住密碼」功能。它讓你可以自動登入頁面,而不需要每次都重新輸入。

網路犯罪分子知道使用者喜歡這個功能,並且開發出透過它來竊取你密碼的方法。例如 Cookiejacking,可以讓網路犯罪分子控制瀏覽器 Cookie,並用它們來存取你的帳戶。Cookies被網站用來記錄你訪問的資料。如果你儲存了關於一個網站的資料,像是登入資訊,網站就會自動加以載入。如果網路犯罪分子取得你的Cookie,就可以騙過網站來冒充成你。

不要依賴Cookie。相反的,利用安全的密碼管理工具來儲存你的密碼。好的工具會讓你使用安全瀏覽器來存取你的帳號,尤其是需要輸入敏感資訊,像是網路銀行詳細資訊的時候。跟一般的瀏覽器不同,安全瀏覽器會停用那些可能危及你隱私的不必要外掛程式或是擴充功能。

繼續閱讀

以”你的照片”為餌的點擊劫持(clickjack)最常出現在Facebook、Twitter、Google+

Sherry在深夜裡收到一則從親密好友所傳來的Twitter私密訊息 – 「沒有看過你的這張照片呀,哈哈」,還包含一個短網址。因為這位朋友是個攝影師,也有她的照片。所以收到這訊息並不奇怪。於是她點了進去,賓果!這個常用的社交工程陷阱( Social Engineering),讓她就此中了clickjacking點擊劫持。你猜到了嗎?這假造朋友發的訊息,裡面的網站連結導到一個會偷密碼的假Twitter網站。

註:點擊劫持(clickjacking)是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件,但按下「播放」按鈕並不會真正播放影片,反而是被誘騙到另一個購物網站。

 

假的 Twitter 登錄頁面,一直出現密碼錯誤訊息,其實密碼已經被偷了

當Sherry從iPad點入這私密訊息裡的網頁連結,行動瀏覽器帶她到看來像是Twitter的登錄頁面,,即使她覺得很奇怪,為什麼照片沒有出現在Twitter應用程式瀏覽器內。正在看電視影集的她心不在焉的,試了幾次輸入帳號密碼,「假Twitter網站」都顯示密碼錯誤。她很沮喪也放棄了,就上床睡覺了。但這錯誤的嚴重性一直到幾個小時之後就浮現了。

點擊劫持的後果

Sherry睡不著,看了看手機,凌晨四點半。手機出現訊息通知,有則來自朋友的Twitter私密訊息,問說:「你傳給我的是垃圾訊息嗎?還是你真的有我好笑的圖片?」”哦,不!我做了什麼?”Sherry 知道麻煩來了,只因為她點了那個連結。

一整天裡Sherry收到數十封簡訊、Twitter推文、電子郵件和Facebook留言,告訴她有人駭入她的Twitter帳號。

因為登錄到「假Twitter」網站,而給了非法份子Twitter帳號密碼。他們就可以登錄到Sherry真正的Twitter帳號,發送一樣的垃圾訊息跟惡意連結 – 「沒有看過你的這張照片呀,哈哈」給所有關注我的人,讓這起犯罪攻擊繼續循環下去。這就是所謂的clickjacking點擊劫持。通常出現在社群媒體的動態消息、塗鴉牆和私密訊息(Facebook、Twitter、Google+等等),讓不知情的人點入會竊取密碼和資料的網站。

這結果可能很災難性,如果你的銀行帳號和社群媒體帳號使用相同密碼的話。網路犯罪份子可能會登錄到銀行帳戶,並在幾小時內偷走被害者的錢、身份認證以及盜刷信用卡。

如果你已經中了點擊劫持該怎麼辦?

  1. 如果你懷疑可能中了點擊劫持,馬上變更你的密碼。然後檢查是否有任何新應用程式有權限連到你的帳號,因為它們可能是惡意的,並且會竊取資料。(當你改變密碼時,Twitter會強迫你檢查所有有權限連到你帳號的應用程式。)
  2. 如果你有其他重要帳使用已經被竊取的密碼,要馬上全部更換,而且不要使用相同的密碼。 繼續閱讀

尋找序號產生器,當心木馬入侵~PASSTEAL透過檔案分享網站偷偷潛入使用者的電腦

這裡是另一件值得檔案分享網站使用者警惕的事情 – 上面放有PASSTEAL病毒變種。你可能還記得PASSTEAL,這是一個會用檔案回復工具來竊取儲存在Internet瀏覽器內資訊的惡意軟體,和以前會從受感染電腦記錄鍵盤輸入以收集資料的資料竊取軟體不同。

趨勢科技主動式雲端截毒服務  Smart Protection Network所收集的資料中,我們發現許多PASSTEAL惡意軟體利用社交工程陷阱( Social Engineering)手法,像是偽裝成付費應用程式的序號產生器或是和修改過的付費應用程式安裝檔結合在一起,如下圖所示:

PASSTEAL透過檔案分享網站偷偷潛入使用者的電腦

PASSTEAL惡意軟體利用社交工程陷阱( Social Engineering)手法,像是偽裝成付費應用程式的序號產生器或是和修改過的付費應用程式

 這顯示了病毒作者的目標是那些常會利用BitTorrent或檔案分享網站來取得盜版軟體的檔案分享者和下載者。還有些其他的PASSTEAL變種會偽裝成青少年間流行的電子版小說。

趨勢科技發現了另一個被偵測為TSPY_PASSTEAL.B的變種,它使用密碼回復工具「WebBrowserPassView」而非「PasswordFox」,去偷儲存在各主要瀏覽器內的認證資訊,像是Internet Explorer 4.0到8.0,Mozilla Firefox 1.x到4.x,Google Chrome和Apple Safari。所以有特定PASSTEAL變種會使用其他密碼回復工具來針對並擷取特定網頁應用程式內的使用者認證資訊並非不可能。

很不幸地,惡意軟體出現在檔案分享網站並不是個新聞。以前也有特定ZACCESS變體被發現偽裝成序號產生器、遊戲安裝檔和電影檔。ZACCESS是以ROOTKIT技術聞名的惡意軟體家族,讓它很難從受感染電腦中移除。它同時也是2012年第三季感染數量最多的惡意軟體

很有可能網路犯罪份子是要利用這些流行的小說和電影(更別說下載盜版的吸引力)來攻擊盡可能多的使用者。因此,建議使用者從任何網站(如檔案分享網站)下載檔案時要格外小心。

大多數使用者在建立自己網路帳號的密碼時,都有「一體適用」的心態。雖然每個網站都用一樣的密碼可以幫助使用者記住密碼,不過這也增加了資料被竊的風險。為了更好的安全性,使用者必須為他們的帳號建立不同的登錄憑證,並建立強固而又容易記住的密碼

有些瀏覽器提供的功能可以幫助使用者保護他們的資料。像是Mozilla Firefox提供一個主密碼功能,可以加密儲存在瀏覽器內的帳號資料,以避免被回復工具輕易地存取。

還有一些其他服務可以幫助使用者保護和管理他們的密碼。PC-cillin 2013雲端版的密碼管理 e 指通功能可以管理多個網路服務的密碼,並有效封鎖惡意軟體竊取資料的動作,像是PASSTEAL所做的行為。趨勢科技透過主動式雲端截毒服務  Smart Protection Network來保護使用者,從使用者的系統上偵測並移除PASSTEAL變種。
PC-cillin 密碼管理 e 指通

@原文出處:PASSTEAL Sneaks into Users Systems via File Sharing Sites作者:Alvin John Nieto(威脅反應工程師)

◎延伸閱讀

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

假Windows 8金鑰產生器現身

PC-cillin 2013 雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載試用

PC-cillin 2013雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚

◎即刻加入趨勢科技社群網站,精彩不漏網
   

 

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

使用者總以為使用了 HTTPS 和 SSL安全連線,就可以高枕無憂。但如果資訊在傳送之前就已遭到竊取,那麼這些安全連線就沒有機會可以保護您的資料。一個新型的密碼還原工具可讓 PASSTEAL 擷取瀏覽器儲存的所有網站密碼,即使是使用安全連線 (SSL 或 HTTPS) 的網站 如 FacebookTwitterPinterestTumblrGoogleYahooMicrosoftAmazonEBayDropbox 以及各種網路銀行也無法倖免。

由於資訊已成為一種新興貨幣,網路犯罪者時時刻刻都在思考如何竊取使用者的寶貴資料。而 PASSTEAL 正是歹徒最新的資料竊取工具,內含了一個密碼還原程式,可有效蒐集使用者的登入帳號密碼,即使是採用安全連線的網站也無法倖免。根據我們所分析到的資料,此惡意程式有某些變種是專門竊取 Google Chrome 和 Internet Explorer 當中所儲存的帳號密碼,使用的是類似「PasswordFox」的工具。

過去,趨勢科技已發現多個專門竊取資料的惡意程式,包括專門蒐集影像檔案並且上傳至遠端 FTP 伺服器的 TSPY_PIXSTEAL.A。PASSTEAL 有某些行為與 PIXSSTEAL 類似,但它竊取資訊的方式很不相同。

TSPY_PASSTEAL.A 專門蒐集儲存在瀏覽器內的資訊

趨勢科技偵測到 TSPY_PASSTEAL.A 會擷取多種不同線上服務和應用程式的帳號登入資訊,然後儲存在一個名為 {電腦名稱}.txt  的文字檔內。

有別於大多數透過鍵盤側錄來蒐集資料的惡意程式,PASSTEAL 使用的是密碼還原程式來擷取瀏覽器內所儲存的密碼。在趨勢科技所分析到的樣本當中有一些壓縮過的資料,這是一個專為 FireFox 瀏覽器設計的程式,叫做「PasswordFox」。

 

PASSTEAL 一旦蒐集到資料,就會執行命令列指令程式的「/sxml」選項,將竊取到的帳號密碼儲存成 .XML 檔案,然後再將它轉成 .TXT 檔案。接著,PASSTEAL 會連線至遠端 FTP 伺服器,將蒐集到的資訊上傳。

事實上,此密碼還原工具可讓 PASSTEAL 擷取瀏覽器儲存的所有網站密碼,即使是使用安全連線 (SSL 或 HTTPS) 的網站也無法倖免。使用這類連線的網站包括:FacebookTwitterPinterestTumblrGoogleYahooMicrosoftAmazonEBayDropbox 以及各種網路銀行。 繼續閱讀

密碼別再12345,521314(我愛你一生一世)了~PE_MUSTAN.A 病毒鎖定 246 組弱密碼刪除檔案

前言: 根據2012 年駭客公布重大帳密被盜事件分析出的全球最駭密碼,「password」蟬聯榜首,緊隨其後的是「123456」和「12345678」。在大陸駭客的密碼破解字典中,還列入以下幾個必備弱密碼,中國人最愛的「666666」和「888888」,還有那甜滋滋的「5201314」(我愛你一生一世),根據大陸某IT社區網站洩露的600多萬個帳號密碼為例,使用中文拼音、手機號碼,甚至經典詩句縮寫作為密碼的中國用戶不在少數。

趨勢科技曾多次提到密碼管理的文章,還記的下圖提到2012年【LinkedIn被盜帳號的前30大常用密碼】與 2011 年的最駭密碼排行嗎?根據最新的統計 2012 年最駭密碼, 「password」蟬聯榜首,緊隨其後的是「123456」和「12345678」。現在PE_MUSTAN.A病毒會鎖定這些強度不足密碼的電腦,進行刪除檔案的破壞。

最駭密碼排行

2012年【LinkedIn被盜帳號的前30大常用密碼】 (F 開頭髒話和 ILOVEOU 都不是好主意) 646 萬筆被盜的LINKEDIN密碼被貼到俄羅斯的駭客論壇上,許多人都直接用單字當密碼,而這早已證明是種糟糕的密碼。密碼破解演算法早已收錄了這些糟糕的密碼了
小編提醒:1.跟傻瓜密碼拒絕往來 2.不同網站用不同密碼

 

如果帳號符合特定些使用者名稱(administrator/admin/user/test)和 246 組密碼的組合 (完整清單請參閱威脅百科內容),該惡意程式就會取得存取權限並感染電腦上的檔案。這些密碼包含以下各類(以下僅列舉部分)

鍵盤方向順位組合:
!@#$
!@#$%
!@#$%^
!@#$%^&*
!@#$%^&*()
!@#123
!@#123456
123!@#
123456!@#
 
數字組合
0
00000000
007
1
100200
110
111
11111111
111222
112233
11223344
1234567890
2012
 
數字和鍵盤順位
1234qwer
123asd
123qaz456wsx
123qwe
 
abc 系列
abc
abc123
abcd
abcd1234
 
admin 系列
adm1n
Admin
admin!@#
admin!@#123
admin123
adminadmin
admini
administrator
alpha
asdf
 
單字系列
baseball
batman
computer
database
dragon
foobar
football
home
hunter
 
上帝系列
god
godblessyou
 
英文名字系列
jennifer
jordan
patrick
 
 
password 系列
ihavenopass
mypass
mypass123
mypassword
oapassword
P@ssW0rd
pa$$0rd
pass
pass0rd
pass123
pass123456
pass123word456
passpass
passwd
password
password1
pw123
pwd
 
 
Windows 系列
win
windows
windows2000
windows2003
windowsxp
xp
 
我愛你系列
Love
iloveyou
iwantu
 
xx系列
xxx
xxxx
xxxxx
xxxxxx
xxxxxxxx
 

2012 年 7 月現身的 PE_MUSTAN.A 會在安全性較弱的網路上散播,而且已知會攻擊密碼強度不足的目標系統。它的源頭可追溯至 WORM_MORTO.SM,後者在一年前非常流行。儘管這種透過暴力破解方式橫行網路的手法已不算新穎,但 PE_MUSTAN 的出現證明了一些應該安全的網路依然存在著重大弱點。

如同所有的檔案感染程式一樣,這個新的變種同樣也會快速感染同一台機器上的眾多檔案。它會感染所有的 .EXE 檔案,除了下列資料夾內的檔案之外:

  • Common Files
  • Internet Explorer
  • Messenger
  • Microsoft
  • Movie Maker
  • Outlook
  • qq
  • RECYCLER
  • System Volume Information
  • windows
  • winnt

根據上列清單,MUSTAN 似乎想避免感染任何可能造成當機的檔案 (因為會引起注意),所以 Microsoft 的應用程式、即時通訊程式都因而「免於」遭到感染。

此外,PE_MUSTAN.A 也會嘗試透過網路 (確切來說是「遠端桌面協定」,簡稱 RDP) 來散播,進而存取其他系統。如果使用者符合某些使用者名稱和密碼的組合 (完整清單請參閱威脅百科內容),該惡意程式就會取得存取權限並感染電腦上的檔案。這樣的行為很類似 WORM_MORTO。

一旦進入受感染的系統,它就會將所有可能的磁碟都列為下一個目標,如:本機硬碟、可卸除式磁碟、網路共用磁碟以及遠端桌面協定 (RDP) 的預設共用磁碟 (就像 WORM_MORTO 一樣)。RDP 共用磁碟並非預設會建立的。只有當使用者執行一些額外的設定步驟,指定要透過 RDP 共用磁碟時才會建立。

此惡意程式有趣的一點是,它會利用 DNS 來與自己的幕後操縱 (C&C) 伺服器溝通。它會使用 DNS 的文字內容來取得 C&C 伺服器傳來的指令,如下所示:

在前例當中,它收到的是一串編碼過字串,解開後是用來下載其他惡意檔案以執行的連結。駭客可輕鬆利用這些檔案來竊取已感染系統上的資料,或者植入後門程式,讓遠端駭客自由進出。 繼續閱讀