駭客給偷情網站的警告:關閉網站,否則公布 3700萬男女風流帳

Impact Team給Ashley Madison的警告 – 關閉網站,不然的話….

全球最大偷情網站主打:「辦公室戀情太冒險了,你早該使用偷情網站的。」鼓吹已婚男女偷吃有理,向來擅長以驚世駭俗的廣告台詞吸引目光的Ashley Madison,廣告旁白以「人生苦短。及時行樂」(Life is short. Have an affair)為口號,日前驚傳遭駭,自稱是「The Impact Team」駭客宣稱已掌握超過3700萬已婚外遇男女的個資,揚言要公開取得的會員資料,除非達到他們的要求,否則將公布客戶的真實姓名、裸照、信用卡詳細資料與「性幻想內容」。由於Ashley Madison去年曾推出只要支付19美金就可以幫會員消除消費紀錄的「徹底刪除個人資料」服務,但駭客組織在入侵該網站後宣稱,該項服務是騙局,用戶的個人資料、信用卡資料、購買紀錄非但並未刪除, 更替網站創造了上億美元的利潤。

got-hacked 駭客 被駭 資料外洩

報導指出國會山莊精英 風流帳恐曝光, 華盛頓郵報先前曾報導,Ashley Madison有5,9000名顧客住在華府,而其中有10.4%的用戶集中在國會山莊。該區住了全美最有權力的政界人士、記者、國會幕僚人員、政治活動分子和說客。之前Ashley Madison曾公布全美最會搞外遇的城市排名,華府連續第三年「榮膺」榜首。報導說只要一名高知名度的政治人物曝光,就可在全國造成轟動。

根據Brian Krebs的報導,知名的偷情網站Ashley Madison遭受駭客入侵。一個自稱為「Impact Team」的組織聲稱自己竊取了該網站3700萬使用者的重要資料。擁有Ashley Madison和其他成人網站(像是Established Men和Cougar Life)的Avid Life Media(ALM)已經確認這起駭客事件,但沒有提供資料被竊的範圍。 繼續閱讀

分析 Pawn Storm 的 Java 零時差漏洞 – 故技重施

過去,Java 一向是網路犯罪集團最愛的漏洞攻擊目標,不過近年來,這樣的情況已經不在。最近已修正的 Pawn Storm 攻擊行動 Java 零時差漏洞事實上是 Java 近兩年來被發現的第一個零時差漏洞。

零時差攻擊

這有一部分的原因要歸功於 Java 安全措施的強化。正如 Oracle 在 Java 首頁上所言,現在的主流瀏覽器在遇到過時的 Java 外掛程式時都會自動將它停用。此外,2014 年 1 月發表的Java 7 Update 51即限縮了可執行的 Applet 類型。在預設情況下,自我簽署和未經簽署 (也就是駭客最可能使用) 的 Applet 將無法在瀏覽器上執行。此外,JRE 還對所有的 Applet (不論是否簽署) 提供了點按執行 (click-to-play) 的功能。這兩點加起來,大大得降低了 Java 平台對駭客的吸引力。

既然這個 Java 零時差漏洞 (CVE-2015-2590) 現在已經修正,我們就來說明一下它的相關技術細節。此漏洞由兩部分組成:第一部份是略過 Java 的點按執行保護機制。這部分我們不能討論,但我們可以談談另外一部分。如前面所說,這個漏洞在最新的 Java 版本 (Java 8 Update 51) 當中已經獲得修正。

Java 提供了一個叫做 ObjectInputStream 的類別來執行反序列化 (decentralize) 作業,以便將記憶體緩衝區內的資料轉成物件。這個反序列化緩衝區當中包含了物件的類別資訊和檔案化的資料。如需該類別的更多詳細資訊,請參閱Java 官方文件繼續閱讀

< APT 攻擊 >鎖定中小企業變更供應商詐騙:歹徒如何利用35美元惡意軟體賺黑心百萬?

nfo@貴公司名字.com.tw
sales@貴公司名字.com.tw ….
中小業主請小心!!「官方」對外信箱內的社交工程郵件陷阱

趨勢科技最新的研究 – 深入HawkEye(鷹眼)裡,發現了各種網路犯罪分子利用監控受害者信箱所收集來的資訊以從企業竊取金錢的方法。其中的一個例子 – 「變更供應商」是當中最值得注意的,因為這類騙局可以為網路犯罪分子賺得數百萬美元。本文詳細介紹這種騙局,以及為什麼它會對中小型企業和使用者造成很大的威脅。

Hawkeye 鷹眼 中小企業

 

步驟一:選擇官方服務信箱成為犯罪目標

根據趨勢科技對此種騙局的監視顯示出它比一般攻擊要更加具有針對性也更加計畫長遠。網路犯罪分子在部署攻擊時往往是用「亂槍打鳥法」 – 將特製的電子郵件寄送到名單上的所有人(可能跟其他網路犯罪分子買來)。但我們在這此案例中所看到的則大不相同,這些網路犯罪分子專門針對中小型企業的公開電子郵件地址。我們的資料顯示出這些都是「官方」公司郵件地址,格式通常為info@companyname.com或sales@companyname.com。

圖1、目標郵件地址的類型

這是一種有趣的策略,因為公司的官方郵件地址通常用來接收來自未知寄件者的郵件,這就讓網路犯罪分子佔了一些好處。如果管理郵件帳號的團隊不夠精明到能夠識別社交工程郵件,就很有可能會打開這些網路犯罪分子所送來的郵件。

繼續閱讀

< CTO 觀點 >防禦重要系統:它必須要「智慧化」嗎?

CTO

作者: Raimund Genes(趨勢科技技術長)

 

 

 

 

無論我到哪裡似乎都會聽到「重要」系統遭受攻擊。今年早些時候,人們在談論飛機是否可以被駭客攻破。我們也談過智慧化電網是否會被駭客攻擊。就在一周前LOT波蘭航空幾乎完全被分散式阻斷服務攻擊(DDoS)打趴。相關報導:LOT波蘭航空地面操作系統遭駭造成航班無法起飛

許多案例裡的重要系統都是用現成的開放原始碼軟體開發而成。我大約在十年前說過開放原始碼軟體比較安全。雖然這被證明在絕大部份時候是對的,但最近的問題(如HeartbleedShellshock)已經說明開放原始碼軟體也有其問題。

非技術人員可能會問:「為什麼之前沒有人注意到這些問題?難道我們軟體開發人員太懶了?難道開發人員忘記如何開發安全的應用程式?」基本上他們是想問軟體社群:我們為什麼會捅這麼大的婁子?

要開發安全的程式碼在大多數情況下都很困難,不幸的是許多開發人員都沒有將其視為優先。一個遊戲或瀏覽器並不安全是一回事,雖然已經夠糟糕的了。但如果電廠的部分SCADA設備出問題那就是另一回事了。而如果醫療設備被駭而危害到病人又是另外一回事。

隨著智慧型設備越來越普遍,而且被用在了重要用途上,軟體開發者必須明白他們對確保自己軟體安全負有更大的責任。或許相關產業的監管機構需要建立新法規來包含軟體安全!看看不良軟體會造成多嚴重的後果就知道了,這想法並不像聽起來那麼瘋狂。

同樣重要的是,我們需要決定什麼需要保護和什麼需要連網。比方說,人們不斷地說:智慧化電錶比較安全也對電力網有幫助。這可能沒錯,但會有什麼樣的後果?誰控制這些設備?誰有權存取這些數據?

如果真正重要的設備會被連上網路,就需要加以適當地防護。所用的軟體必須遵循最佳實作來開發,並且強化安全來防禦攻擊。也必須落實用「黑箱」方式加以測試,來確認這些重要系統可以對抗已知漏洞和攻擊。

越來越多重要系統會在不久的將來連上網路。軟體產業必須負責行事,確保我們不會重蹈過去的安全錯誤 – 帶給這世界大量的嚴重後果。


@原文出處:Defending Critical Systems: Does It Have To Be “Smart”?

 

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚

《提醒》在粉絲頁橫幅,讚的右邊三角形選擇接收通知新增到興趣主題清單,重要通知與好康不漏接

Adobe Flash 就像煙癮一樣,難以戒掉?

上星期對 Adobe Flash 來說日子真是難過。 Hacking Team公司外洩的 440GB 電子郵件資料已成為駭客挖掘資安漏洞的寶藏。過去七天,光是 Flash 就被發現了三個不同的漏洞:

目前,只有第一個漏洞已經修正。Adobe 承諾會在本週之內修正另外兩個漏洞,但這仍難保未來不會有其他該平台的漏洞出現。因此我們不禁要問:我們是否要趁現在乾脆放棄使用 Adobe Flash?

Flash 一直是資訊安全的夢魘,多年來,趨勢科技在這部落格上已經報導過各種Flash 的漏洞。每一次,除了小心避開一些不良網站、停用 Flash 外掛程式、然後等待 Adobe 釋出更新之外,消費者能做的其實很有限。

 

漏洞 弱點攻擊

Hacking Team 外洩事件而曝光的三個零時差漏洞已經突顯出 Flash 多麼容易存在著漏洞。假使像 Hacking Team 這麼小的公司 (員工總共 40 人) 都能挖到這麼重大的漏洞,那想像一下其他一些由政府在背後資助的團體將有多大能耐。先前我們只能猜測情況大概多糟,但現在我們已經清楚看到它有多危險。

在理想的世界裡,就 Flash 現在的狀況來看,真的必須淘汰。不是改用新的網站技術 (如 HTML5),就是叫 Adobe 想辦法讓 Flash 變得安全。不過,這兩件事大概都不會發生。

Flash 就像煙癮一樣:即使我們知道它不好,但還是難以戒掉。儘管有風險,人們還是會繼續使用,因為光是安全的理由還不足以讓人放棄它。就網站的觀點,他們還是會繼續使用 Adobe Flash,因為成本較低,使用者體驗也較優。對使用者來說,因為他們經常上的網站仍在使用 Flash,所以還是少不了它。不論開發人員和使用者都得依賴 Flash,因此可以確定 Adobe Flash 還會繼續存活一段時間。

那麼,我們可以做些什麼? 繼續閱讀