首位 Heartbleed漏洞駭客,竊取納稅人個資被捕!「你連上的網站會被Heartbleed漏洞影響嗎？」

趨勢科技 TrendMicro

根據法新社報導,加拿大聯邦警察逮捕1名19歲男子，並指控他利用Heartbleed漏洞，竊取900名加國納稅人的資料。加拿大國稅局因Heartbleed漏洞關閉多天。

Heartbleed 漏洞 – 一周了,心還在持續淌血嗎?

Heartbleed 漏洞攻擊已經成真。

這個漏洞已經佔據了過去一週的新聞頭條（理所當然的）。此一問題影響到的規模很龐大。OpenSSL已經被整合到許多的開發專案內。它可能是最常被用到的安全程式庫。

Heartbleed

在上個禮拜五晚上（2014年4月11日），CloudFlare的挑戰成功的被Fedor Indutny和Ilkka Mattila所擊敗。

Capture

這挑戰很簡單。CloudFlare建立了一個有Heartbleed漏洞的伺服器。然後，他們要求社群利用這個漏洞來擷取該網站的SSL憑證私鑰。

就在一天之內，不只有一個，而是有兩個人成功地完成任務。

Megan Guess在Ars Technica提供了更多的資訊。不過你要知道的是，這對於Heartbleed會造成真正而實質性的風險提供了確切的證據。在此之前，我們（資訊安全社群）知道有可能從記憶體中擷取金鑰，但很難在沒有證據前說服別人。現在，我們已經有了。

 

我該怎麼辦？

我們已經建立這個簡短的（4分30秒）影片來解釋heartbleed和你可以做些什麼來保護自己和你的使用者。更多細節和連結如下。

 

我是個使用者；我可以做些什麼？

作為一個使用者，當連上一個網站或存取一個線上應用程式前要先問自己一個簡單的問題，「這個網站還會被Heartbleed漏洞影響嗎？」

如果答案是不會，立即修改你的密碼。請記得在你的每個帳號都使用獨特的密碼。如果你有許多的網路帳號，你可能會需要一個密碼管理程式，可以輕鬆地幫你管理每一個服務上的獨特密碼。

檢測工具:

想要線上購物或進行網路交易又怕怕的嗎?輸入網址,檢測網站是否有相關漏洞,到這邊安裝檢測工具

Heartbleed detector

 

繼續閱讀

新的 BlackOS 軟體套件在地下論壇出售

趨勢科技 TrendMicro

趨勢科技最近在地下論壇看到了這篇貼文：

圖一、地下論壇貼文

 

這篇在俄羅斯的貼文是在廣告一個叫做「BlackOS」的新產品。和名字不同，這不是一個作業系統，但它肯定是個「黑」產品，或該說是惡意產品：它是用來管理和將惡意/淪陷網站的網路流量重新導向其他惡意網站。

這類型的產品在地下社群中並不算新 – 像是Brian Kerbs在大約兩年前就談過類似的iFrameservice.net網站。BlackOS本身也不是個全新的產品。它是早先「Tale of the North」軟體的新版本，安全研究人員在2013年9月就曾經提過這軟體。

BlackOS的能力

BlackOS和其它類似產品是設計用來自動化管理和攻擊網站流程。讓網路犯罪份子可以從受害者身上擠出最大利潤。它擁有網頁介面用來管理網路流量和其他功能。它可以處理大量的網路流量，並注入內置框架（iframe），並將流量重新導到使用者指定的地方。

下面是BlackOS的部分功能，來自地下論壇廣告內的說明（從原本的俄文翻譯過來）：

1)      實作轉換流量的最佳化模式。利用地域性使用者代理程式來散佈和安裝

2)      有辦法去拒絕出售iframe流量

3)      自動偵測PR網域，連結和實作出對於搜尋引擎結果有效的影響

4)      得到一份快速、穩定而且是SOCKS 5的私人列表，提供給你任何需要使用代理程式的軟體

5)      盡快地排序帳號列表

6)      透過驗證來上傳你的腳本。包含反向Shell和大量執行指令 – set / code cleanup，eval ()，system ()，sendmail和檢查antiDDOS

7)      在你的伺服器上執行弱點掃描

8)      在遠端內容管理系統上執行解析資料庫

  繼續閱讀

手機個資外洩？耗電量大增?可能是你兒子下載到山寨版遊戲 app

趨勢科技 TrendMicro

家有低頭族兒童嗎? 父母除了擔心孩子的視力、人際關係等問題外,現在更要擔心使用智慧型手機、平板電腦等行動裝置，因孩童下載遊戲等應用程式,同時附贈的廣告軟體,導致個資外洩和大幅增加耗電量的疑慮。

手機個資外洩?可能是你兒子下載廣告軟體

 

 山寨遊戲應用程式真的免費嗎？

只要滑點一下就可以玩到大家在討論的遊戲,不只是孩子,成人也很容易迷失在這大量的免費下載軟體裡。
但是要記住，這些都是要付出代價的。山寨版應用程式的特點之一就是不收你使用應用程式的費用，但他們可以透過販賣個人資料賺取暴利。而且令人驚訝地是，大多數消費者都願意交出自己的資料以免費獲取行動服務或應用程式？畢竟，誰不喜歡免費的東西？

但即使你只給出了最少的一點資料都可能帶給自己許多麻煩。你的地址或生日都可能被網路犯罪份子用來販賣獲利。也不要以為只留Email不會有問題，其實有了個人的電子郵件地址，網路犯罪份子也可能會寄送釣魚郵件給你，目的是透過這些精心偽裝成來自官方的電子郵件，內藏惡意程式的有害連結，並誘騙消費者進入惡意網頁。一旦連上這些網頁，一則有被詐騙個人資料的風險，或是更進一步被植入惡意程式而成為被駭客控制的疆屍電腦一員，繼而透過被感染的裝置持續散播釣魚郵件或有害連結，導致網路上的眾好友們也成為受「駭」一族。

當你在拚命闖關的時候病毒也可能已經闖關成功

Candy Crush 人氣App 其受歡迎程度讓它成為暗黑開發商和網路犯罪份子的完美目標，就跟之前發生在Instagram、壞蛋豬和Temple Run 等受歡迎的遊戲一樣,用來誘騙遊戲粉絲以獲取利益，

趨勢科技曾發現假的山寨 Candy Crush應用程式，這些應用程式包含了廣告應用程式Leadbolt和Airpush，含有上述程式碼的應用程式非常氾濫。廣告軟體不僅僅會採用積極的廣告策略，像是持續性的通知，同時也會收集使用者包含所在位置等相關資訊,侵犯了使用者的隱私。

行動惡意程式App數量，突破 200萬！半年內數字翻倍。不僅是數量成長，這些威脅相關的複雜性和能力也都更加增強。網路犯罪分子都在尋找機會來竊取儲存在智慧型手機和平板電腦裡可用來獲利的資訊。

 

保護個資三步驟

我們部落格裡提到，有293,091個應用程式被發現是惡意的，而這其中，有68,740個是出現在官方的Google Play上。這些惡意應用程式中，大約有22％被發現會洩漏使用者的相關資訊。

在這篇報導中提到, 廣告軟體還會大幅增加耗電量,文中並引用聯邦貿易委員會提出調查報告，指出 Google Play 上的應用程式，有 60% 都會傳送裝置 ID 給不同廣告商使用。但一心只想玩樂的孩子是毫無戒心的，因此只能靠家長費心防備。 繼續閱讀

十二年了,Windows XP時代終結：如果你還在用它怎麼辦

趨勢科技 TrendMicro

時候終於到了。

經過了超過十二年半，2014 年 4 月 8 日，是Windows XP退休的日子。
4 月 8 日過後，再也沒有任何提供給 Windows XP 的安全性更新。
桌上地腦 戶外 藍天白雲

我們一直在談論離開 Windows XP 的重要性，還有讓你所認識的人瞭解離開Windows XP的重要性。但現實是，還是有不少人仍然在使用Windows XP。事實上，網路上有四分之一的個人電腦都還在使用Windows XP作業系統。

所以，如果你是今天還在使用Windows XP的人該怎麼辦？

很簡單，走出去幫自己拿到一台安裝Windows 8.1的新電腦，利用微軟所提供的的工具將檔案和設定轉移到新電腦上。如果你不想要使用Windows 8.1的原因是你不想使用以動態磚為主的「Modern」介面，不要讓這阻止你。你可以做以下兩件事來讓Windows 8.1看起來和用起來都更像Windows XP，而非Windows 8.1的「Modern」介面。

  1. 設定Windows 8.1為「開機到桌面」：這會在開機時跳過開始畫面，帶你進到更熟悉的桌面，就像是Windows XP一樣。
  2. 下載並安裝「開始」選單替代品：有好幾個選擇可以用，它們會加入跟你所熟悉的Windows XP非常相似的開始選單。請務必先做好研究，以確保你找到正常版本的應用程式。這裡列出五個開始選單替代方案好幫你開始。

這兩個步驟可以讓你在Windows XP 轉換到Windows 8.1 的過程更為順利自在。 繼續閱讀

心跳（Heartbeat）停止：Heartbleed OpenSSL漏洞分析

趨勢科技 TrendMicro

軟體會有漏洞是我們必須面對的現實，如果我們夠幸運且夠勤快，那就可以在網路犯罪份子攻擊它之前先加以修補。事實並不一定總是如此，但幸好那些算是例外，而不是常態。

Heartbleed

不過最近新聞爆出了一個關於 OpenSSL 的Heartbeat擴充程式漏洞，這是個開放原始碼工具包，用來幫助網站管理員和開發人員讓交易更加安全。而這個漏洞如果被利用的話（因為此漏洞的本質，所以沒辦法知道網路犯罪份子是否已經如此做），可能代表有許多使用OpenSSL的網站和應用程式上的交易已經被危及了。

什麼是Heartbeat OpenSSL擴充程式？

OpenSSL在2011年12月左右推出名為Heartbeat的擴充程式，隨著1.0.1編譯版本發佈，被定義在RFC 6520 TLS/DTLS Heartbeat擴充程式。這個擴充程式的功能是幫助避免重新建立會話，並允許一個讓SSL會話可以維持更久的機制。該 RFC 建議 HeartbeatRequest 必須用HeartbeatResponse訊息回答。這結果會保存網路資源，資源一般用在完整會話的重新協商。

這裡要指出的是，OpenSSL被用在許多網站和軟體上，從開放原始碼的伺服器（像Apache和Nginx），到電子郵件伺服器，聊天伺服器，虛擬私有網路（VPN），甚至是網絡設備。

因此，可以很合理的假設Hearbead擴充程式已經被大量地應用，也讓這漏洞的影響範圍真的相當廣泛。

 

了解Heartbleed臭蟲

該漏洞被稱為Heartbleed臭蟲，存在於所有實作Heartbeat擴充程式的OpenSSL。當攻擊一個有漏洞的伺服器時，可以讓攻擊者一次讀取部分（最多64KB）的電腦記憶體而不會留下任何痕跡。

這一小塊記憶體可能會包含使用者重要的個人資料 – 私鑰、使用者名稱、密碼（在很多情況下是以明文的形式）、信用卡資料以及機密文件等等。攻擊者可以一再地要求記憶體區塊以盡可能地獲取他們所想要的資訊。而且這個漏洞可以被任何人從網路上的任何地方加以攻擊。

一個主要的網路內容供應商也受到此漏洞影響，他們迅速努力地修復它。但在它修復之前，有些惡意份子可能已經竊取了敏感資料。 繼續閱讀