資安趨勢部落格 – 第 874 頁 – 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

《Java 零時差漏洞攻擊》關閉Java而非JavaScript(含停用 Java 指南)

2012 年 09 月 03 日2013 年 01 月 17 日趨勢科技 TrendMicro

編按:可遠端控制攻擊受感染機器的Java 7 漏洞,更新後立即又被發現新漏洞!!要如何暫停使用 Java 請看本文

這不是Java �
圖片來源：Homini :)的Flickr照片，經由創用CC授權引用。

有種常見的誤解就是以為Java和JavaScript之間有密切的關連，許多人甚至會混著使用這兩個名詞。但事實上，會有相似的名稱只是因為Netscape將一種技術名稱 – LiveScript改成JavaScript，他們從1995開始研發這種技術。這改變在當時被普遍認為是種行銷策略。但從長遠來看，它的確造成許多的混淆。

Java和JavaScript並不相同，當然跟Bob的爪哇搖滾樂（上圖內的World Famous Bob’s Java Jive）更沒關係。最近Java的零時差弱點(本部落格中文相關文章Java Runtime Environment 1.7零時差漏洞攻擊, 會擷取螢幕、網路攝影機影像和錄音,易危及Mac OSX)讓這星期熱鬧滾滾，了解它倆的區別也成為了你網路安全的關鍵。

最新版本Java內的漏洞讓攻擊者可以誘騙你去連上一個惡意或被入侵的網站，在無需跟使用者有任何互動的情況下就可以利用這漏洞來安裝惡意程式到你的電腦上。它已經被用來安裝一個已知的後門程式，讓網路犯罪分子可以遠端控制被感染的電腦。也被加入到一些攻擊工具包內，不管是專業用工具還是犯罪用工具。

事實上，Java是種跨平台的環境，讓它相對起來，更簡單去產生惡意程式碼來攻擊多數主要作業系統。

如果你的系統上有裝Java 1.7的任何版本，那就有受到這種攻擊的危險。這是最新被預設安裝到微軟Windows電腦的版本。如果你用的是MacOS，那由Apple軟體更新所拿到的最新版本Java是1.6.0.33，就沒有這個弱點。但如果你很熱衷於將系統保持在最新狀態，都會想去安裝最新修補程式來防止已知漏洞（通常這是很好的作法），那你可能已經上過java.com，而Oracle也已經提供MacOS最新但是有弱點的版本。

當漏洞已經被廣泛的利用來攻擊，但修補程式還沒釋出前，最好的作法就是直接在瀏覽器裡停用Java。這時知道Java和JavaScript有何不同就很重要了。不然你很可能會關到錯的選項，但危險卻沒解除。

在Internet Explorer裡停用Java

的Internet Explorer的「工具」選單內選取「管理附加元件」，停用Java™ Plug-in SSV Helper和Java 2™ Plug-in 2 SSV Helper 繼續閱讀

雲端資料銷毀：你的舊資料還可以被存取嗎？

2012 年 08 月 31 日2012 年 08 月 27 日趨勢科技 TrendMicro

作者：趨勢科技 Christine Drake

趨勢科技最近在Linked舉辦一次關於企業如何銷燬雲端資料的調查。截至八月中旬為止，我們收到了149票，目前結果如下。

因為第四種回應是「這是什麼意思？」所以先讓我們簡單解釋一下什麼是雲端資料銷毀。在雲端環境裡，你的資料是經常在移動的，好讓資源使用可以最佳化。雲端空間是移動的、快照是頻繁的、備份也是定期在製作的，而且資料會在好幾個資料中心間被共享，以節省成本和提供可用性。資料可能會被資料所有者所移動，或者是在公共雲裡，被服務供應商所移動，好在多租戶環境中最佳化資源使用狀況。

當資料被移動時，原本位置的資料應該要被銷毀。如果有任何資料仍然殘存著，就有可能會產生安全問題，也可能出現未經授權就存取殘存資料的問題。如果企業在自家私有雲內移動資料，他們可以存取底層基礎設施，並且能夠好好地掌控銷燬原本位置上的資料。但即使是在私有雲內，新資源分配的動態特性也讓人很難確切知道資料在特定時間上會位在哪裡。

至於公共雲，企業的掌握就更少了。服務供應商可能會為了最佳化資源分配、備援和可存取性而去移動或複製資料。服務供應商通常因為規模經濟而可以幫客戶節省更多成本。但為了最佳化資源運用，他們可能會在資料所有者不知情下去移動資料。

那企業要如何確認他們在原本儲存位置上的資料已經被銷毀了呢？投票結果顯示，有31％的人表示他們的雲端服務供應商會負責處理雲端資料銷燬，33％表示他們會加密自己的資料，最後10％的人表示他們會消磁硬碟。對於那些將問題交給雲端服務供應商的人，不應該認定雲端資料已經被充分銷燬了。很重要的一點是，要檢視和服務供應商的合約，確保裡面包含了資料要如何摧毀的資訊，而且所有方法符合組織要求。而且萬一有殘存資料的問題，當資料能被存取時，誰該負責？風險還是在資料所有人身上，而不是服務供應商。

繼續閱讀

Java Runtime Environment 1.7零時差漏洞攻擊, 會擷取螢幕、網路攝影機影像和錄音,易危及Mac OSX(附件:修補程式操作說明)

2012 年 08 月 30 日2012 年 09 月 03 日趨勢科技 TrendMicro

趨勢科技最近發現，在特定網站上的惡意JAR檔案會攻擊尚未被修補的JRE 1.7/Java 7零時差弱點（CVE-2012-4681）。一旦漏洞攻擊成功就會下載一個後門程式，讓遠端的惡意攻擊者可以任意在受感染系統上執行所需的指令。

這個零時差漏洞攻擊碼可以在所有版本的Internet Explorer、Firefox和Opera上執行。而透過Metasploit的測試，這漏洞同樣也可以在Google Chrome和Safari上執行。

漏洞攻擊和惡意行為的技術分析

受影響的弱點和新的Java 7 classcom.sun.beans.finder.ClassFinder有關，它會允許sun.awt.SunToolkit class加載、修改和執行惡意程式碼。這威脅包含下列幾種元件，HTML網頁和惡意JavaScript（index.html，被偵測為JS_FIEROPS.A）、Java Applet（applet.java，被偵測為JAVA_GONDY.A）和惡意程式（FLASH_UPDATE.exe，被偵測為BKDR_POISON.BLW）。

使用者可能會因為訪問某些網站而遇上這種威脅，其中一個是https://www.{BLOCKED}s.com/public/meeting/index.html，會讓人下載並加載惡意Java Applet（JAVA_GONDY. A）。接著會傳遞參數以用來下載BKDR_POISON.BLW。

使用者可能會因為訪問某些網站而下載並加載惡意Java Applet（JAVA_GONDY. A

根據趨勢科技對index.html程式碼的分析，裡面的腳本已經被用Dadong’s JSXX 0.44 VIP做出大程度的混淆加密。

解譯這個腳本後讓我們可以拿到傳遞給惡意Java Applet的參數。下面截圖顯示出傳遞給CVE2012xxxx.Gondvv.class的參數，好用來下載惡意程式FLASH_UPDATE.exe。

傳遞給CVE2012xxxx.Gondvv.class的參數，用來下載惡意程式FLASH_UPDATE.exe

繼續閱讀

抓到所有的壞人，而不會抓到好人:防止誤判,防毒軟體該做些什麼?

2012 年 08 月 30 日2012 年 08 月 27 日趨勢科技 TrendMicro

回到惡意軟體還沒有那麼猖獗的時候，防毒軟體很大程度上是依賴病毒特徵碼的更新去偵測惡意程式。在那時，這樣的效果非常好，而誤報問題也非常少見的，除非是因為作業流程出錯而導致錯的病毒碼被發布出去。

最近幾年，因為地下經濟蓬勃的發展，我們看到惡意軟體以倍數地增長，功能也變得更加複雜。可能是因為網路犯罪份子會資助複雜惡意軟體的開發。先進的偵測躲避技術還有隱匿活動的能力也是今日惡意軟體的特徵，讓它更難以被偵測和追踪。

面對這些狀況，大多數防毒軟體廠商會不斷地創新，引進新方法來偵測更多惡意軟體，特別是在惡意軟體尚未擴散之前。大多數都是利用啟發式偵測來幫助防毒軟體分析判斷是否為病毒。但是這種做法是把兩面刃：有助於提高偵測率，也容易導致誤報。

誤報真的可能會造成傷害

誤報，也就是假陽性，就是當正常或乾淨的檔案被防毒軟體誤判為惡意或中毒的檔案。

在某些時候，誤報只是會很擾人，因為會在使用者螢幕上跳出警告訊息。但在其他狀況下，誤報是會極具破壞性的，尤其是當因為誤判而刪除系統檔案的時候（可以在這裡跟這裡找到一些例子）。如果這發生在企業環境中，對業務的影響可能會非常昂貴，在處理誤判問題以及回復的過程中，生產力也受到了影響。繼續閱讀

「嘿！有人張貼關於你的壞話」小心這個Twitter網路釣魚騙局

2012 年 08 月 29 日2014 年 10 月 09 日趨勢科技 TrendMicro

作者：Vic Hargrave

有個利用Twitter私密訊息（Direct Messages）的Twitter網路釣魚（Phishing）騙局正在四處散播。訊息內文是「 “Hey somebody is posting really bad rumors about you.” 嘿！有人張貼關於你的壞話」，並且包含一個短網址連結，點擊後會帶你到一個假 Twitter 網頁,網頁很類似Twitter的登錄頁面，並試圖騙取你的Twitter登錄憑證。但除了這個頁面並沒有典型Twitter背景外，也請注意到他們的網址（如紅色圈圈所示）是twtter，看起來像是「twitter」，但是少了一個「i」。

短網址是Twitter的主要安全弱點之一。他們可以讓包含網址的推文更容易符合140個字元的限制，卻也掩蓋了原來的網址，讓你無法分辨這網址是否是假的。

採取下列預防措施以避免被騙局所愚弄：