【軟體無所不在5-5】軟體高度普及的三大缺點與對策

今日世界已經遠遠超越機械裝置與單純邏輯的時代,我們可透過程式設計對一個複雜系統的各個不同層次進行邏輯改造,從裝置的主機板元件和微處理器到企業內及雲端上的系統皆然。這無疑地能讓效率和生產力提升至原本無法達到的境界。但是,凡事都有優缺點,軟體的缺點包括:

  1. 系統邏輯缺乏一種可確認安全無虞的方法。不僅如此,當發生問題時,通常會因系統已複雜到難以分析而使得問題無法解釋。
  2. 消費者對軟體的自動更新習以為常,現在更期待功能會不斷改善。但更新有時卻反而造成營運中斷或帶來相容性問題。由於企業營運已經和軟體密不可分,因此一旦更新稍有不慎,就很可能造成嚴重問題。
  3. 隨著軟體日益普及,企業或使用者的潛在攻擊面將擴大。可惜,有些企業對這類問題既無法掌握,也缺乏適當的監控及防護工具。

不僅如此,當功能被設計成軟體的形式,也意味著擁有裝置的使用者可自行修改功能。任何人,不論是裝置持有人或駭客,都能經由公開的資訊來了解系統的內部運作。

繼續閱讀

網路勒索集團清除了 12,000 多個 MongoDB 資料庫

過去幾週以來,全球有超過 12,000 個 MongoDB 資料庫遭到駭客清除,而使用者若想復原這些資料庫,就必須支付贖金給歹徒。

這樣的勒贖事件並非第一次出現,MongoDB 和類似的企業多年來一直不斷遭到這類攻擊。根據 Bleeping Computer 的報告指出,這起最新的資料庫受害案件是一位名叫 Sanyam Jain 的獨立資安研究人員所發現。Jain 利用 BinaryEdge 連網裝置搜尋引擎,發現了 12,564 個遭到清除的 MongoDB 資料庫。此外他還發現,這些攻擊的背後主謀很可能是 Unistellar 駭客團體。

Jain 最早是在四月份開始注意到這些攻擊,他發現有某個遭到清除的 MongoDB 資料庫當中含有一封簡短的勒索訊息。在經過進一步的追查之後,他發現了更多被清除的資料庫,以及兩個歹徒留下的電子郵件地址,這些地址指向 Unistellar 駭客集團。

該報告指出,駭客很可能是利用 BinaryEdge 和 Shodan 這類搜尋引擎來找尋暴露在網路上的 MongoDB 資料庫,並且採用自動化攻擊。其自動化腳本在找到並連上這些缺乏安全保護的資料庫之後,就會將資料庫清除。而且在清除資料之前會先建立還原點,以便能在受害者支付贖金之後將資料還原。之前的 MongoDB 攻擊案例都直接要求受害者支付一定比特幣 (bitcoin) 的贖金,但最近的這起攻擊卻只留下電子郵件聯絡地址,以便受害者能和歹徒聯繫並商量贖金。

繼續閱讀

Microsoft Exchange後門程式讓駭客取得前所未有的控制能力

Microsoft Exchange後門程式讓駭客取得前所未有的控制能力

根據報導,一個運作已久的網路間諜組織開發出一套複雜的Microsoft Exchange伺服器後門程式,可以攔截、重新導向以及修改電子郵件,還能夠偽裝受害者來送出郵件,此後門程式被稱為LightNeuron(趨勢科技偵測為TROJAN.MSIL.TURLA.A)。

為什麼LightNeuron很危險?

LightNeuron跟Turla網路間諜組織有關,這是個以使用非常見策略及針對各產業內知名受害者而聞名的駭客團隊。

繼續閱讀

醫療格式漏洞讓駭客可以將惡意軟體藏在醫療影像檔中

醫療格式漏洞讓駭客可以將惡意軟體藏在醫療影像檔中

對DICOM的研究顯示出醫療影像檔格式出現了讓駭客可以用來散播惡意程式碼的漏洞。利用這個漏洞,駭客可以將執行碼嵌入到一般的DICOM檔案中。

DICOM(醫療數位影像傳輸協定)是傳輸、處理和儲存醫療影像的國際標準。Cylera Labs的研究員Markel Picardo Ortiz是在檔案開頭的128位元組導言區(preamble)發現此漏洞。導言(preamble)設計成可被修改以相容於非DICOM秀圖程式。

繼續閱讀

加油站使用預設密碼,被偷走 12 萬公升汽油

經過一年的調查後,巴黎市主管機關最近逮捕了五名被懷疑是偷走 12 萬公升汽油和柴油的嫌犯。根據 Le Parisien 報導,這些罪犯使用從網路上買來的「Miracle Remote」,利用其駭入特定的 Total 加油站油槍品牌。而會遭到駭入,可能是因為部分加油站主管並未變更加油槍的預設 PIN 碼「0000」。這夥人輸入 PIN 碼取得存取權,然後重設燃油價格,並移除加滿的上限。

加油站使用預設密碼,被偷走 12 萬公升汽油

在這起犯罪中,這夥人開著兩輛車前往小型的隔離式加油站,其中一輛還在車後裝了一個大容量的空油桶。第一輛車內的人先到加油站,將加油槍解鎖後,接著帶著空油桶的第二輛車再開進加油站,然後偷走數千公升的汽油。該夥人甚至在社交媒體上向「客戶」推銷,告訴他們在特定的時間前往某處加油站,便能取得汽油。

Total 公司在 2018 年注意到了這個可疑的活動,並與主管機關合作展開調查。2018 年 4 月,法國警方在 Val-d’Oise Sagy 的一間 Total 加油站內逮到了一名持有該遙控裝置的男子。經過後續調查,警方最終找出五名男子,並於上週一加以逮捕。法國主管機關預估,該夥人從販售竊取的汽油中獲取了約 15 萬歐元 (168,000 美元) 的贓款。

加油槍為已知的資安風險

繼續閱讀