Apple Store提供「優惠禮物卡」作為「長期客戶獎勵」?網路釣客提供的!

作者:趨勢科技資深分析師Rik Ferguson

 Apple 用戶正遭受一起會利用到雲端服務的網路釣魚(Phishing)詐騙攻擊。

 網路犯罪份子發送目標攻擊電子郵件,內容是提供「apple discount card(優惠禮物卡)」作為「長期客戶獎勵」。這個並不存在的禮物卡提供100英鎊或100美元的面額,可以在任何Apple Store使用,價格只需要九塊英鎊。正如你在下圖所看到的,這封電子郵件裡包含了位置和價格的具體訊息,讓它看來更為可信。

 

 

Apple Store提供「優惠禮物卡」作為「長期客戶獎勵」?網路釣客提供的!
Apple Store提供「優惠禮物卡」作為「長期客戶獎勵」?網路釣客提供的!會竊取個資

 

 

 

當然,這個禮物卡並不存在,也永遠不會寄到。並不像以往一樣是用網路釣魚(Phishing)網站的連結,這封電子郵件內包含一個HTML附件檔,而且也很具說服力的外觀,是使用Apple格式的表格。犯罪份子要求許多的個人和財務資料,包括姓名、地址、駕照號碼、生日、信用卡號、到期日和安全號碼。很足夠用來做些嚴重的金融詐騙了。

 

 

犯罪份子要求許多的個人和財務資料,包括姓名、地址、駕照號碼、生日、信用卡號、到期日和安全號碼
犯罪份子要求許多的個人和財務資料,包括姓名、地址、駕照號碼、生日、信用卡號、到期日和安全號碼

 

而且並沒有直接將這些竊取的資料上傳到犯罪份子自有或入侵的伺服器,按下這藍色的「Submit」按鈕之後,會如下圖所示的將資料加上些空白資訊送到Amazon的EC2雲端伺服器料。一旦資料成功地送到犯罪份子的伺服器,瀏覽器被重新導向到Apple的官方網站。受害者可能渾然不知已經上當

  繼續閱讀

你曾下載過這些嗎?煩人廣告事小,追蹤位置,手機被竊聽才頭大,逾七十萬人次被駭

被下載超過七十萬次的十七款手機惡意應用程式

 趨勢科技之前報導過,有惡意應用程式出現在現已更名為Google Play的官方Android應用程式商店。雖然這些被報導的應用程式都被移除了,但是還有更多的惡意軟體出現在官方商店,繼續地危害著使用者。這就是為什麼我們認為像趨勢科技行動軟體信譽評比這樣的技術對於使用者的行動體驗至關重要的原因之一。

 

趨勢科技已經發現有十七款惡意行動應用程式可以從Google Play下載:有十款應用程式會利用AirPush來向使用者發送討人厭的廣告,有六款含有Plankton惡意代碼。

你曾下載過這些嗎?煩人廣告事小,追蹤位置,手機被竊聽才頭大,逾七十萬人次被駭
你曾下載過這些嗎?煩人廣告事小,追蹤位置,手機被竊聽才頭大,逾七十萬人次被駭

 而其中有一個應用程式明確地描述自己是間諜軟體,也被趨勢科技視為惡意軟體,因為有可能會被惡意濫用。這個軟體被偵測為ANDROIDOS_PDASPY.A。它在Google Play頁面上清楚地說明它的用途:

 

你曾下載過這些嗎?煩人廣告事小,追蹤位置,監聽才頭大

 

攻擊者需要先將這個特定應用程式安裝到目標手機上,如同下面截圖:

 

你曾下載過這些嗎?煩人廣告事小,追蹤位置,監聽才頭大

 

它的功能包括追蹤手機位置、電話和簡訊。一旦攻擊者按下「Save & Start」按鈕,攻擊者就可以透過網站追蹤手機:

  繼續閱讀

《APT攻擊 》另一起電子郵件目標攻擊利用研究單位做掩護

趨勢科技監測目標攻擊(特別是APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)時,趨勢科技看到一封夾帶有PDF檔案的電子郵件,這檔案在42個一般或啟發式偵測規則裡只觸發了少少的四個。

 

趨勢科技檢查了這封電子郵件,哇!這封信是來自筆者一位FireEye可信任的研究員同事和朋友,他也在監測這些活動。更精確地說,至少看起來是這樣。

 

《APT攻擊 》另一起電子郵件目標攻擊利用研究單位做掩護

 

看起來是正常的,對吧?但直覺告訴我們,這裡頭有些不對勁,所以趨勢科技先來仔細檢查一下電子郵件檔頭,希望能找到一些偽造的痕跡,而我看到了。 繼續閱讀

三步驟防護Facejacking:即使有人知道你的Facebook密碼,也無法登錄的必學設定

作者:趨勢科技資深分析師Rik Ferguson

有時很難相信,但在許多狀況下,社群網路帳號已經成為了生活的一部分,用來散播許多敏感資訊和個人消息。社群媒體已經迅速地取代了電子郵件和即時通成為這一世代用來聯絡的首選,我們的個人生活和職場生涯可能共存在同一個地方,在某些情況下,裡面不只有我們的訊息,還有曾經年少輕薄的聊天記錄。

 

我到現在都還清楚記得在那一天,我發現我哥找到並讀了我的日記,他標註我每次打給我女友的那頁,這樣他就可以告訴媽媽,我花了多久時間在手機上。那是我青少年時期最深刻的記憶,因為隱私受到侵犯的憤怒,更別提我還被禁用了手機…(我還保留著那本日記,所以老哥,別想否認這件事)。

 

無論如何,你可以想見我還是留著那股憤怒,它讓我認為今日的社群網路不僅取代了電子郵件和即時通,在許多方面,它也取代了日記。我自己的臉書代表我完整想法和活動的記錄,比我曾經寫過的日記更加完整(我可不是Samuel Pepys。註:以散文和日記著稱的英國作家和政治家),而且我相信,有更多臉書重度使用者發表了比我更多的東西。

 

所以我在這裡要說的是,如何在你的Web 2.0日記上道最強的鎖,以防止被人偷窺,也防止父母會因此而祭出什麼禁令。

 

臉書已經內建了一些了不起的功能,甚至可以阻止持有密碼的人存取你的帳戶。而這些並不是新玩意,只是未曾得到充分利用,也未被宣傳過。如果你都是從相同的電腦或裝置來登錄,可以讓臉書認識這些機器。如此可以當有人試圖從一個無法識別的設備登錄時,就會立刻通知你(如果你正在線上)。你甚至可以讓這人需要輸入一組發送到你註冊手機的代碼。所以除非偷窺者可以直接存取你的個人電腦或行動電話,否則他們就不能facejacking你(或不太好聽的詞,fraping),如果他們真的可以存取你的電腦手機,那你的問題就不只是臉書了。

 

所以以下是如何做的步驟:

 

  1. 登錄臉書,在右上方的下拉式選單選擇「帳號設定」。
  2. 進入設定頁面後,點選左側功能列的「帳號保全」:

 

接著進入下列設定

1.點選「安全瀏覽」右側的編輯選項以啟動此功能,這將確保你在使用臉書時是加密的,可以防範類似Firesheep的密碼竊聽工具。三步驟防護Facejacking:即使有人知道你的Facebook密碼,也無法登錄的必學設定

 

2,點選「登入通知」右側的編輯選項,選擇當有人從無法識別的裝置試圖進入你的帳號時,是否要透過電子郵件或簡訊來通知你。

三步驟防護Facejacking:即使有人知道你的Facebook密碼,也無法登錄的必學設定

繼續閱讀

你沒被告知的手機應用程式與資料外洩

今年初發生在iOS的事件,有應用程式在未經使用者允許或甚至未告知下就從通訊錄裡收集資料。

這問題第一次引起注意是在二月初,有個開發人員發現一個社群媒體應用程式 – Path會從使用者的通訊錄裡取得幾乎全部的資料,包括名稱、電子郵件地址和電話號碼,而且會將這些資料在未經使用者許可下送回Path的伺服器。

經過國會議員地介入並要求Apple回答此問題時,一大堆的應用程式開發商,包括Foursquare,Hipster和最近被收購的Instagram都趕緊修改自己的軟體,讓它在要求資料時會出現要求授權的訊息。

這裡要澄清一點,Apple對國會議員的說法是真實的:「應用程式未經使用者許可收集或傳送使用者資料違反了我們的規定。」但顯然地,這在並不能阻止不法或輕忽的開發商去「遺忘」這個規定。但Apple公司已經表示它會在未來的版本解決這個問題。

在比較兩個最受歡迎的智慧手機平台時,Android的安全性和隱私控制往往落在第二名。但它已經有內建功能會強制應用程式在存取手機通訊錄時要先取得使用者授權。

 

但在這裡我還是要提出一個和一般人的習慣有關的根本性安全問題,就是大多數使用者並不知道或不關心自己的手機或是會發生在他們個人 繼續閱讀