標籤: 漏洞

線上程式開發平台的資安風險

趨勢科技 TrendMicro

在整合式開發環境 (IDE) 登上雲端之前，程式開發人員得將整套開發環境安裝在自己的電腦上。但隨著 DevOps 日益受到青睞以及雲端運算不斷成長，現在程式開發人員也可以在線上撰寫程式。這樣的模式確實方便，但線上 IDE 是否真的安全？為了回答這個問題，我們就來看看時下最流行的兩套雲端 IDE：AWS Cloud9 和 Visual Studio Online。

當您在線上撰寫程式時，IDE 其實只是將畫面呈現在瀏覽器內，瀏覽器的 JavaScript 引擎會在背後使用 WebSocket 與您的遠端目標裝置 (也就是虛擬私人伺服器，VPS) 建立 SSH (Secure Shell) 安全連線，然後提供一個您所熟悉的終端畫面來讓您執行各種指令。開發環境 (也就是遠端的雲端 VM/VPS 或具備 SSH 功能的裝置) 包含了工具組態設定 (例如金鑰或雲端組態檔案)、原始碼副本、組譯器以及其他您可能用到的工具。

圖 1：本地端和雲端 IDE 的差異。

本地端和雲端程式開發平台的最主要差異在於整套開發環境位於何處。對雲端 IDE 來說，開發環境位於雲端廠商的虛擬機器 (VM) 內。以安全性而言，這意味著您必須信任雲端廠商，但您有責任防範「後門」或 VM 組態設定錯誤的問題。當您透過自己的裝置來使用 AWS Cloud9 時，您有責任確保裝置設定的安全。

繼續閱讀

修補CVE-2020-0601 漏洞了嗎?別讓 Vulnera-Bullies 得逞，快用免費工具檢測!

趨勢科技 TrendMicro

想必您已經聽到有關 Microsoft® 最新 CVE-2020-0601 漏洞的消息，這項漏洞最早是由美國國家安全局 (NSA) 所揭露 (也讓它成為第一個由 NSA 公開揭露的漏洞)。此漏洞出現在一個含有重多功能的加密元件當中，其中一項重要功能就是簽署軟體，也就是認證軟體確實未曾遭到篡改。所以，駭客可利用這項漏洞來簽署其惡意執行檔，讓它變成合法的執行檔，進而用於所謂的中間人攻擊。

好消息是，Microsoft 已經釋出修補更新來防範與此漏洞有關的任何攻擊，前提是：您必須確實套用修補更新。

繼續閱讀

DDoS攻擊和IoT漏洞攻擊：Momentum殭屍網路的新動態

趨勢科技 TrendMicro

趨勢科技最近發現了會顯著影響Linux裝置的惡意軟體活動，Linux平台今年已經與許多問題在奮戰中。進一步分析取得的惡意軟體樣本顯示這些活動與名為Momentum的殭屍網路（從通訊頻道內所發現圖片命名）有關。我們發現了殭屍網路用來入侵裝置並執行分散式阻斷服務（DDoS）攻擊的工具及技術細節。

Momentum會針對採用各種CPU架構的Linux平台，包括ARM、MIPS、Intel、Motorola 68020等。它的主要目的是要開啟後門來接受命令對給定目標進行各種阻斷服務（DoS）攻擊。Momentum殭屍網路會散播的後門程式包括了Mirai、Kaiten和Bashlite等病毒變種。我們所分析的樣本正在派送Mirai後門程式。此外，Momentum是透過攻擊多種路由器和網頁服務漏洞來進行散播，進而在目標裝置下載並執行Shell腳本。

Momentum如何運作？

Momentum在感染裝置後會經由修改 rc檔案來實現持續性。接著會加入命令和控制（C&C）伺服器，連到名為#HellRoom的IRC頻道來註冊自己並接收命令。IRC協定是它與命令和控制（C&C）伺服器通訊的主要方法。接著殭屍網路操作者就可以發送訊息到IRC頻道來控制受感染系統。

繼續閱讀

引發 BSoD 的BlueKeep漏洞攻擊,造成系統崩潰的原因

趨勢科技 TrendMicro

BleKeep

安全研究人員Kevin Beaumont和Marcus Hutchins的報告披露了最近會在被入侵裝置上安裝虛擬貨幣挖礦病毒的BlueKeep漏洞攻擊。Beaumont在11月初注意到他用來偵測和監視BlueKeep漏洞攻擊的蜜罐系統一直在崩潰。調查崩潰原因後證實這是因為Metasploit滲透測試框架的BlueKeep漏洞攻擊模組所造成。蜜罐系統出現的藍色死亡螢幕當機畫面- blue screen of death （BSOD ）讓 Beaumont 發現了真實攻擊的存在。

透過對這些事件的調查，Microsoft發現十月下旬的攻擊與九月的一波攻擊活動有所關聯 – 這些攻擊可能都是由同個駭客團體所進行。這引發了會有更多攻擊出現的關注和警告。BlueKeep是會影響Windows 7、Windows Server 2008和Windows Server 2008 R2上遠端桌面協定（RDP）服務的遠端執行碼漏洞。Microsoft已經在五月加以修補。Microsoft一直敦促管理員要修補RDP服務來幫助防禦此漏洞遭受攻擊。

繼續閱讀

白帽駭客將有機會在 Pwn2Own 2020 大賽展現工業控制系統安全機制破解技巧

趨勢科技 TrendMicro
white-hat-hackers-break-industrial-control-system-security-in-pwn2own-2020

從企業應用程式與網頁瀏覽器，到行動裝置與物聯網（IoT ,Internet of Thing）裝置，Pwn2Own 駭客大賽這回又新增了一個重點項目：工業控制系統 (ICS) 與相關通訊協定。趨勢科技 Zero Day Initiative (ZDI) 漏洞懸賞計畫，也就是 Pwn2Own 駭客大賽的主辦單位，長期以來一直鼓勵研究人員發掘未知的軟體漏洞。

這項預定於 2020 年 1 月在美國邁阿密舉行的駭客大賽，將廣邀白帽駭客針對 ICS 相關軟體與通訊協定進行一場良性的資安漏洞挖掘競爭。此次加入了 ICS 競賽項目可說是本屆的一大盛事，因為今日的一些關鍵基礎產業，如能源、製造、交通運輸，經常仰賴 ICS 系統來管理其工業流程並實施自動化。

白帽駭客將針對 ICS 五大領域研究如何破解其資安機制：

  • 控制伺服器 – 涵蓋所有為可程式化邏輯控制器 (PLC) 與其他廠房設備提供連線、控制、監控功能的伺服器解決方案。
  • DNP3 閘道 – 涵蓋所有 ICS 元件之間所使用的通訊協定。
  • 工業工作站軟體 (EWS) – 涵蓋主要控制設備，如 PLC 和角色導向機制。
  • 人機介面 (HMI)/操作電腦 – 涵蓋操作人員用來控制工業設備的儀表板以及可能受到網頁漏洞影響的網站伺服器元件。
  • OPC United Architecture (OPC UA) 伺服器 – 涵蓋幾乎所有 ICS 產品都會用到的 ICS 通用轉譯協定，用於在不同廠商系統之間傳輸資料。
繼續閱讀