網路危機~報告:高風險手機應用程式,六成會收集作業系統資訊、GPS定位等資訊

雖然今年還有三個月才結束,但是趨勢科技對於行動威脅的預測,特別是惡意軟體和高風險應用程式會達到100萬大關這點已經成真了。

行動惡意軟體和高風險應用程式破百萬

趨勢科技今年第二季的安全綜合報告裡,我們提到有超過70萬的惡意和高風險應用程式流竄在外。這是個令人驚訝的數字,加上這平台的使用者數量越來越多,讓我們預測2013年將會是Android惡意軟體達到100萬的一年。

行動惡意軟體和高風險應用程式達到一百萬大關 高風險應用程式,六成會收集作業系統資訊、GPS定位資訊等廣告軟體和資料竊取程式

 

圖一、Android惡意和高風險應用程式的成長

 

根據我們行動應用程式信譽評比服務的資料,現在已經有100萬的行動惡意軟體(如加值服務濫用程式)和高風險應用程式(會積極提供廣告導向可疑網站的應用程式)。在我們所發現的這100萬個有問題的應用程式中,75%是徹頭徹尾的惡意程式,25 %則表現出可疑行為,其中包括了廣告程式。

加值服務濫用程式和廣告程式佔據行動威脅榜首

FAKEINST(34%)和OPFAKE(30%)等惡意軟體家族是排名前幾名的行動惡意軟體。FAKEINST惡意軟體經常會偽裝成正常的應用程式。它們同時也是加值服務濫用程式,會發送未經授權的簡訊到特定號碼,替使用者註冊昂貴的服務。有個跟FAKEINST有關的知名事件是惡意版本的壞蛋豬,在遊戲發表後就馬上被趨勢科技發現了。

行動惡意軟體和高風險應用程式達到一百萬大關: 加值服務濫用程式和廣告程式佔據行動威脅榜首

圖二、前幾名的手機惡意軟體家族

繼續閱讀

網路危機~第三季近一半的行動釣魚網站是針對金融服務網站

網路銀行是因為行動技術而變得更加方便的眾多工作之一。現在,使用者可以隨時隨地的購買產品、服務、支付帳單和管理自己的財務。不過,現實中也存在著會攻擊行動銀行的威脅,必須加以解決和防護。

網路釣魚phishing2

這些威脅包括了:

  • 行動釣魚 – 惡意行動網站會偽裝成正常的登入網頁,像是銀行或社群網路。這些網頁是設計來誘騙使用者輸入他們的登入資料。到目前為止,這一季裡有近一半的行動釣魚網站是針對金融服務網站。
  • 惡意應用程式 – 含有惡意行為的應用程式,像是從安裝的設備裡竊取資訊。經常可以在第三方應用程式商店或惡意網站上發現,並且往往會偽裝成正常的應用程式
  • 木馬化的應用程式 – 正常的應用程式被變成了惡意應用程式。它們更加的危險,因為對使用者來說,他們完全無法跟真正的應用程式區分。正因為如此,這惡意應用程式以及它的行為可以持續好長一段時間,使用者要過很久才有可能去懷疑到它。

 

2013第三季近一半的行動釣魚網站是針對金融服務網站

 

圖一、 2013年第三季行動釣魚網頁類型分佈

繼續閱讀

貴公司有辦法對抗目標攻擊嗎?

有各式各樣的原因讓目標攻擊可能發生在幾乎任何一家公司。其中最大的一個原因就是為了竊取公司的專有資料。許多機密資料可能都非常的有價值。智慧財產權通常是第一個會想到的目標。還有一些比較不明顯的目標也有其價值:例如金融資料,員工和客戶的個人資料,待完成銷售、財務交易和法律行動的相關資料等。不過一家公司被當成目標的原因也可能和他們的產品或資料無關。

apt

 目標攻擊是攻擊起點

攻擊者可能會針對一家公司,好利用這新得手的網路基礎設施來發動對其他組織的攻擊。在某些案例中,攻擊者會利用受駭者的電子郵件帳號來增加他們魚叉式網路釣魚(Phishing)攻擊郵件的可信度。

另一個被當成目標的可能原因跟該公司所連接的網路有關。小廠商可能會是大型組織的供應商之一,因此需要連接到大型組織的網路。對攻擊者來說,透過這小供應商的網路會更加容易也更為隱蔽,不會在大型組織的網路內留下痕跡。

此外,一家公司也可能單純的被當成跳板,用來掩蓋攻擊者和目標之間的攻擊路徑。

面對目標攻擊可以做些什麼?

不幸的是,時間和機會都在攻擊者這一邊。不管公司的防禦有多好,只要一個設定錯誤或某個使用者打開惡意檔案或連到有問題的網站,就可能會讓公司受到影響。一旦攻擊者進入公司網路,受駭目標必須要能儘快的加以偵測和控制。在這時間點,可以進行完整的鑑識調查來看看攻擊者去過哪些地方和造成哪些損害。

那有什麼是公司可以做以面對目標攻擊的?答案是肯定的。 繼續閱讀

網路釣客也愛啃蘋果!成千上百釣魚網站伺機竊取Apple ID

apple3

Apple現在已經是世界上最有價值的品牌了。有人表示贊同,就是網路犯罪份子,開始越來越針對Cupertino(Apple公司所在地)了。

在今年的前期,每月所識別出的Apple相關釣魚網站數量達數百到數千個,可以從下圖裡看到:

Apple 蘋果相關釣魚網站數量

圖一、Apple相關釣魚網站數量

這些Apple相關的威脅裡,某些只是用Apple作為社交工程陷阱( Social Engineering)的誘餌。比方說,這一個,用「驗證」某人的Apple產品或服務來對郵件服務進行網路釣魚(Phishing)攻擊:

 圖二、Apple 蘋果釣魚網站

圖二、Apple 蘋果釣魚網站 繼續閱讀

指紋辨識 ,密碼和管理網路帳號

 finger print

 重複使用、減量和回收這三件事對環境保護來說很棒,但用在密碼上就不棒了。

當Apple推出iPhone 5S時,其中一個被強調的重點是指紋辨識功能,稱為Touch ID。有了這技術,iPhone使用者可以取代密碼來解鎖螢幕,並且可以在iTunes和App Store上用來購買東西。

取代是個操作性字眼,像Touch ID這樣的技術可以替帳號加上一層防護來阻止駭客,甚或是惡意軟體的攻擊,但想要完全的取代密碼還得要花上很長一段時間。

從安全角度來看,Touch ID在規格上看起來很不錯,希望在現實世界裡也可以表現得一樣好。生物識別技術並不是新玩意,我們在過去也看到有人用粘土來騙過指紋辨識系統。甚至iPhone 5S也不是第一支使用指紋辨識技術的手機,這都顯示出這些技術需要適當的加以實作,尤其是想要推出給要求嚴格的消費者市場。

特例而非通則

同時也必須說。像這樣的技術該算是特例而非通則。很自然的,其他服務可能會想用自己的方式來解決「密碼的問題」。舉例來說,在Apple發表會的前一天,Google的高階主管被引述說:「密碼要終結了」,他們正在想辦法加以創新。在這些創新成為主流之前(也希望可以標準化),使用者仍然必須用密碼來登入自己的帳號。

我們還需要考慮到一個事實,大多數使用者會使用多個設備來存取網路帳號,這些設備都有自己的硬體規格。Touch ID可以在iPhone上很順利的購買歌曲,或許很快也會實作到到其他Apple產品上,但如果你必須透過一般電腦來存取iTunes時,你還是會需要用到密碼。

 

密碼仍然是關鍵,但要適當管理

重點是。密碼在每個人的數位生活裡仍然扮演重要的安全角色。當然,管理它們可能是件煩人的事情,現在對於長度和複雜度的要求都比之前要來得高,尤其現在的長密碼也可能會被暴力破解。有安全的電腦使用習慣,類似趨勢科技PC-cillin雲端版密碼管理通,或是手機及其他設備的內建安全功能(是的,像即將到來的Touch ID)都會有所幫助。

如何管理你多個設備上的網路密碼

管理密碼從來沒有比今天要來得更重要也更加複雜。

在今天,你必須要替無數的帳號建立跟記住各種密碼。而且管理多個設備上的同一個密碼也是相同煩人的事情。

如果你沒有做好,你就會讓自己成為密碼破解駭客的餌食。讓他們竊取你的資料、身份認證和金錢。

每隔三秒鐘,就會出現一個身分詐騙的受害者。在美國,有五分之一的使用者經歷過信用卡被盜,被用來進行未經授權的購買交易。

不要讓網路犯罪分子破壞你的數位生活。開始適當的管理你所有設備上,每個網路帳號的密碼。

不要重複使用、減量和回收

重複使用、減量和回收這三件事對環境保護來說很棒,但用在密碼上就不棒了。

你的密碼必須是獨一無二的。不可以使用常見的「password」或是「123456」,它們是有史以來最常用的兩個密碼。網路犯罪分子也知道。所以你可以想見,當他們嘗試侵入你的帳號時,一定會試過它們。

讓你的密碼夠長而且無法破解。使用無意義的單字或詞句組合而成,甚至再夾雜數字和字母。安全的密碼管理工具也可以幫得上忙。它可以替你的各個帳號生成隨機的密碼,並儲存在主密碼下,讓你不需要去一一記住。

不要回收使用你的密碼。一旦你使用過,就不要用在別的地方。不然當網路犯罪分子取得你的一個密碼,他們就有機會去存取一切。

雙倍的安全

如果可以的話,就啟用兩步驟驗證,這是網站要求登入資訊時,越來越常見的功能。它給你一個驗證碼來搭配密碼使用。這驗證碼無法被偷走,因為它是當你登入時所隨機產生的,而且會透過電腦以外的管道派送給你,像是你的手機或電子郵件帳戶。

身為一個試圖從不同設備來登入Facebook的使用者,你可能已經經歷過兩步驟驗證。一旦Facebook發現你從陌生的設備登入,它就會寄送一封帶有驗證碼的簡訊給你,讓你結合原本的密碼使用。這可以確認登入的是本人。

這程序讓你成為唯一可以存取你帳戶的人。因為你的帳戶只能經由密碼加上儲存在你身上設備上的驗證碼才能存取,讓網路犯罪分子更難去侵入你的帳戶。

清理你的 Cookie

我們都曾經依賴過網路瀏覽器的「記住密碼」功能。它讓你可以自動登入頁面,而不需要每次都重新輸入。

網路犯罪分子知道使用者喜歡這個功能,並且開發出透過它來竊取你密碼的方法。例如 Cookiejacking,可以讓網路犯罪分子控制瀏覽器 Cookie,並用它們來存取你的帳戶。Cookies被網站用來記錄你訪問的資料。如果你儲存了關於一個網站的資料,像是登入資訊,網站就會自動加以載入。如果網路犯罪分子取得你的Cookie,就可以騙過網站來冒充成你。

不要依賴Cookie。相反的,利用安全的密碼管理工具來儲存你的密碼。好的工具會讓你使用安全瀏覽器來存取你的帳號,尤其是需要輸入敏感資訊,像是網路銀行詳細資訊的時候。跟一般的瀏覽器不同,安全瀏覽器會停用那些可能危及你隱私的不必要外掛程式或是擴充功能。

繼續閱讀