物聯網(IOT或萬物聯網IOE)會遭受攻擊嗎?

物聯網(IOT或萬物聯網IOE)是2013年最盛行的科技流行語之一,從Google搜尋趨勢就可以看得出來。這名詞指的是日常物品數位化的增加 – 任何新科技產品在設計時都會考慮到連接性,不管是智慧型電視、或是智慧型烤麵包機。隨著越來越多設備連上網路,防護這些設備也成為資安的下一個大挑戰。

遊戲玩家和擴增實境

在2014年,有一大列有趣的技術正在排隊等待出發。玩家也相當的期待:不僅最新一代的主機大戰開始,Valve也利用Steam主機帶出Linux遊戲,Oculus Rift可能會讓互動遊戲產生革命性的變化。遊戲已經成為不法份子有利可圖的目標,遊戲帳號經常在地下論壇進行交易。如果Steam主機可以普及,Linux惡意軟體的增加也成為可能。

attack

2014也可能是擴增實境(AR)的一年,開始在日常生活中變得常見。現在在智慧型手機上已經有許多你可以玩的AR應用程式,但手機並不太適合AR。你需要把它從口袋裡拿出來、解鎖、打開一個應用程式、瞄準你感興趣的對象 – 更別提你用的是4或5吋的較小螢幕。

充分沈浸才能讓AR有最好的效果 – 而這也正是Google眼鏡SpaceGlasses等穿戴式技術發揮的地方。有許多有趣的技術,甚或是心理攻擊可以攻擊這類的裝置。比方說,這些設備的使用者(白話地說)在頭上連著攝影機走來走去。不法份子去特製銀行惡意程式來擷取銀行密碼並不是件很難的事情。

火線下的SCADA(資料採集和監控系統)

自從Stuxnet蠕蟲出現,ICS/SCADA社群受到資安產業的嚴格審查。大多數安全大會現在都至少會有一個主題談論SCADA系統的安全性。趨勢科技的前瞻性威脅研究團隊在2013年發表了一系列相關主題的報告,並且證明了SCADA系統攻擊並不只是個理論,而是正在發生的現實。

這在2014年肯定會繼續下去,特別是目標攻擊、或是勒索性攻擊。對於安全研究人員和駭客來說,這真的是一個開始熱起來的領域 – 關於無線電通訊的整個領域。因為無線電沒有線而在空中進行傳輸,所以很多人認為(錯誤地)它是安全的。

在今年,趨勢科技秀出用於船舶追蹤的AIS標準有許多問題 – 其他研究人員也發現類似的問題出現在ADS-B(用於航空)上。我們預期在2014年會看到更多此類研究的發表。有更多技術在設計時並沒有考慮到安全性,或可以輕易地從遠端存取 – 突然就連到網路上,讓它們的安全漏洞顯現給大家看。 繼續閱讀

趨勢科技「回憶隨享盒(Jewelry Box)」感動上市,整合跨平台相片 搭配HiNet光世代創造更輕鬆便利的數位生活

趨勢科技 Trend Micro 回憶隨享盒(Jewelry Box)【臺北訊】全球資安領導廠商趨勢科技( TYO: 4704 )於今日正式推出2014年全新硬體消費產品「回憶隨享盒」(Jewelry Box),在堅強的雲端安全為後盾下,趨勢科技實踐了「讓消費者更快意的享受數位生活」的承諾,推出「回憶隨享盒」幫助消費者更輕鬆的整合來自不同裝置(如:智慧型手機、平板電腦、數位相機)的照片,並即時與家人朋友分享,是上有父母、下有孩子的「三明治族」消費者,送給銀髮族父母最好的新年禮物!

趨勢科技 Trend Micro 回憶隨享盒(Jewelry Box)

 根據「趨勢科技數位生活調查小組」的調查數據顯示,有92.3%的消費者使用不同裝置拍攝照片,並有75%的消費者苦惱於沒有合適的裝置可以與家人來共享充滿回憶的照片,其中也有高達86%的消費者認為儲存整理照片是很麻煩的事情。對此趨勢科技台灣及香港區總經理洪偉淦表示:「為了因應消費者常常使用不同裝置拍攝照片,最後卻無法將所有照片整合在同一個平台上觀賞、也無法讓遠距的家人簡易地同步分享的困擾,趨勢科技特別推出操作簡單、同步快速的跨平台設備『回憶隨享盒』,提供消費者最快速簡便的照片整理工具,影像一鍵傳遞,全家隨時共享。」無論透過手機、電腦或平板用Wifi傳輸相片,或是用SD儲存卡、USB隨身碟將照片直接輸入「回憶隨享盒」,都可以上網連接雲端、自動與所有的裝置同步,隨時隨地與家人朋友即時分享快樂時光! 繼續閱讀

你聽到我所聽到的東西嗎?

這一篇最近被發表在通訊雜誌上的文章,替 BadBIOS 這把大火又添了些新柴。在 BadBIOS 的案例裡,已經指出各項設備是透過一般電腦的音效裝置來進行無線的溝通。這份報告明確地說明了這樣溝通的可行作法。即使這最終和BadBIOS沒有關係,它也有很好的潛力來作為一種資料外洩的方法。

首先,我要明確指出,這僅僅是一個通訊管道,並不是像某些文章可能會讓你聯想到能夠作為感染載體。在現在這時間點,沒有已公開的技術可以僅僅依靠聲音來超越距離的感染系統(你可能會想從現在起開始對Siri多尊重一點)。

這方法的工作原理跟一種用來進行水底通訊的舊系統一樣,利用接近人耳聽覺的音頻上限。人類聽覺所能接收到的頻率範圍通常是從20Hz到20KHz。為了做個比較,狗可以聽到高達60KHz的範圍。我們聽到高頻的能力會隨著年齡增加而變差。也因為如此,一般電腦硬體的設計規格(例如20Hz到20KHz)跟大多數使用者可以聽到的範圍(比方說此篇討論所設定的17KHz)之間就會自然地出現一個空間來。

經過一些初步的測試,我們發現,在我們20人的樣本裡,約有兩個可以聽到17.5KHz的鈴聲。到目前為止,我們的測試裡沒有人聽到18.5KHz。任何可以使用音效硬體的應用程式都能夠用這種方式交談。注意到,Mac和Linux系統可能需要不同的軟體做法。所有使用的硬體都是現成而且未改過。還有一點很有用,在我們的測試中,18.5KHz的音頻沒有辦法透過電話或視訊會議傳輸。

Hack-a-day用GNU Radio做出一段關於此作法很棒的示範。雖然可能很難將GNU Radio運行在它不屬於的系統上。在我們接下來的測試裡,我們要專注在範圍、可靠性和使用一般軟體的可能性。我們可以用一個簡單的Perl腳本將文字訊息轉換成18.5KHz的摩斯密碼音頻。在一個沒有特別準備過的環境下(例如有風扇聲、機器噪音、音樂等),我們可以很輕易地在超過6公尺或20英尺外,利用些簡單的頻譜分析軟體來進行解碼。

圖一、這個訊息是「This is a test(這是個測試)」,加上相同系統在同時所播放的音樂 繼續閱讀

不讓你的信用卡帳密等個資遭駭的四個方法

PC-cillin 2014 雲端版不讓你的信用卡帳密等個資遭駭的四個方法

本部落格曾發布:十大駭客最愛網釣誘餌,淘寶、花旗銀行、萬事達卡、Paypal 皆入榜,其中來自中國的淘寶網在電子商務網站列為最常被偽造成釣魚網頁的第一名。

公司名稱/網站 釣魚網站數量
淘寶網 1691
eBay 504
Amazon.com 251

身份竊盜就是你的個人資料被一或多個網路犯罪份子竊取,然後用來冒充你。往往並不滿足於取得你的信用卡資料、銀行帳戶和社群網路來從你身上竊取金錢。一路往下,竊賊們會從你的帳號收集其他資料,用來取得你親密朋友、家人和同事的敏感資料。在某些案例中,不法份子甚至會用他們從你電子郵件和社群網路所取得的私人訊息來公然讓你難堪,損傷你的名譽。

是的,網路可以是個危險的地方,但有許多方法可以讓你保護自己免於身份竊盜或是其他的網路威脅。身份竊盜防護有四個主要部分:

  1. 管理你的帳號密碼
  2. 辨識和處理網路釣魚郵件
  3. 避免不良網站,封鎖網頁威脅
  4. 控制自己暴露在社群網路上的貼文

最近大舉入侵台灣的勒索軟體 Ransomware也經常使用網路釣於信件手法,達到綁架電腦的目的。比如勒索軟體假冒 Chrome,Facebook 和 PayPal發網路釣魚電子郵件,趨勢科技PC-cillin雲端版防毒軟體,先進的網路釣魚(Phishing)防範技術能協助您避免掉入這些詐騙陷阱。

PC-cillin 雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載試用

Windows10Banner-540x90v5

管理你的帳號密碼

身份竊盜可以從取得你的電子郵件地址開始,利用Google搜尋就可以相當輕易地做到,網路上也可以找到許多電子郵件查詢服務。對於許多網路帳號來說,你的電子郵件地址也是你的使用者名稱。只要有了這資訊,網路犯罪份子剩下要做的就只是猜測你的密碼來進入你的帳號。

為了對抗密碼破解,你應該在每個不同帳號都用不同的密碼,而且這些密碼要很難被猜到。建議使用的密碼長度至少要十個字元,包括字母(大小寫)、數字和特殊符號的組合。「特殊」符號指的是那些你需要按住SHIFT鍵,加上任意數字所打出的符號。值得注意的是,根據服務的不同,你的密碼長度可能有所限制,或可能不能使用特殊符號。

如果你有很多網路帳號,那麼如果你要為每個帳號設定不同密碼,就有可能無法記住所有的密碼。你可以用趨勢科技PC-cillin 雲端版內建的密碼管理 通來管理密碼,這讓你可以在你的筆記型電腦或智慧型手機上儲存任意數量的密碼,然後不用記住每個帳號的密碼就可以用它們來登錄到你的帳號。你所需要做的就是記住進入你密碼管理通帳號的密碼。密碼管理通也會幫你辨識容易被猜到的密碼,並幫助你選擇更強力的密碼。

辨識和處理網路釣魚(Phishing)郵件

有了你的電子郵件地址,網路犯罪份子也可能會寄送釣魚郵件給你,目的是透過這些精心偽裝成來自合法機構電子郵件內的連結,來誘騙你進入惡意網站。一旦你連上這些網站,就可能被騙去輸入個人資料或是馬上遇上惡意軟體來感染你的系統。

有種可行作法能夠解決這問題。請不要點擊任何電子郵件內的連結。如果你收到聲稱來自你擁有帳號公司的電子郵件內含有連結,另外寄一封電子郵件跟該公司確認原始電子郵件的真實性。

避免不良網站,封鎖網頁威脅

不過就本質來看,光靠個人自律是不夠的。你需要安全軟體來幫你遠離惡意網站和封鎖可能攻擊你電腦的網路威脅。

趨勢科技PC-cillin 雲端版擁有一套豐富的工具來保護你對抗網路威脅。在「控管你家孩子上網」文章裡,展示了這個PC-cillin設定畫面,可以用來設定針對網頁威脅的選項。

 趨勢科技PC-cillin 2014雲端版擁有一套豐富的工具來保護你對抗網路威脅

有三個主要的功能建議你使用,都可以在這畫面上看到:(1)封鎖具有潛在危險的網站,(2)在支援的Web瀏覽器中顯示趨勢科技工具列和(3)避免Internet Explorer、Firefox和Chrome瀏覽器執行受感染網站的惡意程式檔。

當啟動網站封鎖功能,趨勢科技PC-cillin 雲端版會阻止你瀏覽任何它已知的惡意網站。新的惡意軟體代管網站會隨時大量的出現,所以如果你在趨勢科技PC-cillin 雲端版能辨識前(透過趨勢科技主動式雲端截毒服務  Smart Protection Network)連上一個不好的網站,趨勢科技PC-cillin 雲端版還是可以封鎖可能感染你系統的潛在惡意腳本。

當啟用趨勢科技工具列,你會看到你進行網路搜尋所出現每個網站的即時評等。下面是一個在Google上搜尋cats(貓)的例子。搜尋結果裡的每個網址旁邊都有一個等級圖示,表示該網址所指向網站的安全性。對於沒問題的網站,你會看到綠色的打勾圖示。如果網站是壞的安全等級,你會看到一個打叉的紅色圖示。透過這種方式,趨勢科技工具列讓你對相關網站是否安全可以一目了然。

PC-cillin 2014 雲端版不讓你的信用卡帳密等個資遭駭的四個方法

繼續閱讀

透過可移除媒體散播的新CryptoLocker 勒索軟體

還記得 2013 年轟動一時的 史上最狠毒勒索軟體CryptoLocker嗎?趨勢科技一隻勒索軟體變種,它有一個明顯的特徵 – 具備散播的行為。經過分析這隻被偵測為WORM_CRILOCK.A的惡意軟體,結果顯示這惡意軟體可以透過可移除媒體散播。此更新被認為值得注意,因為在其他CRILOCK變種並沒有看過這樣的行為。增加散播行為也代表它和其他已知的CRILOCK變種不同,可以很容易地傳播。

除了散播的技術之外,這隻新惡意軟體還有許多和已知CryptoLocker變種不同的地方。並沒有依賴惡意下載程式(通常是UPATRE)來感染系統,該惡意軟體會在P2P檔案分享網站上偽裝成各種軟體的啟動器,像是Adobe的Photoshop和微軟的Office。將惡意軟體上傳到P2P網站可以讓壞人輕易地去感染系統,而無需製造(和發送)垃圾郵件。

ransom 勒索軟體

進一步分析WORM_CRILOCK之後發現,它和之前的變種有著鮮明的差異。該惡意軟體沒有用網域生成演算法(DGA)。相反地,它的命令與控制(C&C)伺服器被寫死在惡意軟體裡。寫死的網址讓相關惡意網址更容易被偵測和封鎖。而另一方面,DGA讓網路犯罪分子可以逃避偵測,因為它使用大量潛在網域。這可能代表這隻惡意軟體還處在修改跟改善階段。因此,我們可以預期後期變種有DGA的能力。

這隻特殊的CRILOCK變種和其他變種之間的差異讓一些研究人員認為,該惡意軟體是個山寨產品。不管創造者是誰,WORM_CRILOCK.A顯示這可能成為網路犯罪分子青睞的新攻擊方法。

繼續閱讀