密碼破解 - 資安趨勢部落格

【密碼管理】還在用這些英文名字當密碼嗎?

2019 年 02 月 11 日2020 年 05 月 27 日趨勢科技 TrendMicro

過去一年網路犯罪集團從各種資料外洩當中累積了大量的帳號登入憑證，根據 Ponemon Institute 和 Akamai 所做的一份報告指出，透過自動化方式將某處偷來的同一組帳號密碼嘗試登入多個其他熱門網站的攻擊手法 :密碼填充攻擊 (credential stuffing) 的情況將日益嚴重。

您是否也是只用一組帳號/密碼行遍網路各項服務的用戶呢？如果您習慣使用同一組帳號密碼，那當您的帳號密碼被盜時，駭客可藉機入侵多數的網路服務（應用程式）帳號。刑事局曾破獲歹徒將生日、電話等個資，破解數百名 Yahoo！等網站用戶密碼，再以同一帳號密碼登入其他網站。為了防止帳號不再被盜，每次註冊新程式時，最好設定不同的帳號/密碼！

網路犯罪集團利用這些偷來的帳號密碼註冊一些累積里程和點數回饋方案、註冊一些假鄉民帳號來從事網路宣傳、張貼假評論來操縱一些消費性入口網站、或者在一些社群民調上灌票等等，歹徒有無限的利用方式。因此如何強化帳號密碼安全,避免被盜風險,愈來愈重要。

少年駭客回嗆:「不是我厲害,是你的密碼設定太弱了!」

當不斷有少年駭客回嗆:「不是我厲害,是你的密碼設定太弱了!」時,「Iloveyou」或「 1234 」等弱密碼卻仍年年蟬聯傻瓜密碼排行榜,網友的安全意識顯然需要加強。

1、寵物名字
2、大日子，如結婚紀念日
3、家人生日
4、孩子的名字
5、家庭成員名字
6、出生地
7、最愛的節日
8、最愛的運動團隊
9、重要人士的名字
10、直接用「password」當密碼
你發現了嗎?上述有一半是跟名字有關,我們特別從歷年重大密碼外洩事件中,找出被列入易破解的英文名字清單:

根據 Google 分析，用戶最常使用的密碼如下：

歷年密碼外洩事件中,易被破解的英文名字密碼清單

Amanda
Andrew
Angel
Ashley
Bailey
Beatriz
Bonita
Bosco
Buster
Calvin
Charlie
Chelsea
Daniel
Dallas
Donald
Estrella
George
Ginger
Hannah
Harley
Jennifer
Jessica
Jonathan
Jordan
Joshua
Maggie
Marina
Matthew
Merlin
Michael
Michael
Michelle
Mickey
Mike
Nicole
Patrick
Pepper
Robert
Sebastian
Sunshine
Sophie
Summer
Taylor
Thomas
Victoria
William

繼續閱讀

LINE公布「七大不安全登入密碼」,快來檢查你的密碼上榜了嗎?

2015 年 09 月 01 日2016 年 11 月 15 日趨勢科技 TrendMicro

LINE台灣臉書官方帳號公布「7種最常被盜的登入密碼」，看看你中獎了嗎?

1.一組密碼走天下
2.生日
3.純數字
4.密碼太短
5.跟帳號一樣
6.常見單字
7.連續字母

【LINE 資安小提醒】LINE七大不安全登入密碼～快來檢查你有沒有上榜！若上榜快來修改密碼：LINE App「其他」→「設定」→「我的帳號」→「變更電子郵件帳號」→「變更密碼」

Posted by LINE Taiwan- 再LINE一下

*延伸閱讀:最新LINE詐騙簡訊/電話詐騙一覽表！

從英國威廉王子軍旅生活的一張照片,談密碼安全

前陣子阿帕契風波成為新聞焦點,其實早在2012 年英國也有相關網路事件,當時威廉王子在英國皇家空軍基地擔任救難直升機駕駛，為展現親民作風，也常常將他的軍旅照片刊登在網站上。其中有張照片是威廉王子與他的救難小隊組員，在看來像是指揮中心辦公室的地方氣氛和樂地聊天,這張照片發佈沒隔到一天，就被網友發現了問題。原來會把登入密碼也大方的貼在牆壁上的不只是尋常百姓!

隨後，皇家空軍也發表官方聲明表示，已經全面更換了共同登入的使用者名稱以及密碼，也強制要求基地中的幕僚人員全面重設自己的使用者名稱以及密碼，以確保基地的資訊安全。

當年英國威廉王子這張照片發佈不到一天，就被迫全面下架，不過內容早就被有心人備份了….你看到問題了嗎?

Posted by 趨勢科技 Trend Micro

無論是貴為皇室或是小老百姓,都可能是資安漏洞的始作俑者,日劇半澤直樹推敲出課長在桌底藏密碼,成功開啟了金庫,邁向以牙還牙 ,加倍奉還之路,如果課長使用的是”萬年密碼”:一組密碼走透透,那麼他的損失可能就會加倍奉還了! 檢查一下桌面上,抽屜裡是否也有紀錄帳號密碼的便條紙?

還在用 I LOVE YOU 當密碼 ?你這小傻瓜! ( 5201314 ,也駭人不淺!)

每年大掃除一次;每月更新一次牙刷;那密碼呢?駭客最愛重複使用萬年密碼的人,重複使用密碼是幫了網路犯罪份子大忙,建議您 對待密碼就跟對待你的牙刷一樣，不要跟任何人共用，而且每 3 個月就要換新的。

關於密碼千萬不要做的四件事 :
不要字典裡選字
不要使用姓名、出生日期、年齡、電話號碼、寵物名字、球隊或任何跟你有關的東西
不要在不同用途的地方都使用相同的密碼
不要跟別人共用你的密碼，絕對!!!
延伸閱讀:跟另一半共用帳號嗎?(信件被偷窺導致失去孩子監護權真實案例)

密碼跟愛情一樣,必須獨一無二,切忌共用,以免一組被盜,全數失守

“Love,iloveyou,iwantu…”這類關於愛的變化組合,常常列入歷年駭客密碼破解清單榜上,在大陸駭客的密碼破解字典中,還列入以下幾個必備弱密碼,中國人最愛的「666666」和「888888」，還有那甜滋滋的「5201314」（我愛你一生一世）,根據大陸某IT社區網站洩露的600多萬個帳號密碼為例，使用中文拼音、手機號碼，甚至經典詩句縮寫作為密碼的中國用戶不在少數。

趨勢科技曾多次提到密碼管理的文章,「password」總是蟬聯榜首，傻瓜密碼常客還包含數字系列,如:「123456」和「12345678」;鍵盤方向順位組合,如: !@#$,123456!@#;abc 系列”如:abc,abc123;admin 系列,如:adm1n.admin!@#123;單字系列,如:baseball,batman;上帝系列,如:god,godblessyou。

還有 PE_MUSTAN.A病毒會鎖定這些強度不足密碼的電腦,進行刪除檔案的破壞。如果帳號符合特定些使用者名稱(administrator/admin/user/test)和 246 組密碼的組合，該惡意程式就會取得存取權限並感染電腦上的檔案。

刑事局曾破獲歹徒將生日、電話等個資，破解數百名 Yahoo！等網站用戶密碼，再以同一帳號密碼登入其他網站。

8 個保護密碼實用的祕訣

1.網拍購物,勿用臉書當萬用帳號

很多網拍帳號直接連動臉書, 一個萬用帳號通行無阻,但也有一旦遭入侵時所有資料全都露的危險

✓ 建議使用不同帳號及不同密碼登錄
✓【PC-cillin雲端版】防止個人資訊外洩免費下載 (PC-cillin 用戶即刻啟用密)

延伸閱讀:臉書當萬用帳號,到處網購超方便?!幫好友回撥新門號,竟成網拍人頭戶 !….網拍購物安全小秘訣

2.採用隨機組合密碼且超過 10 個字元。而且，不能用於一個以上的帳號。

3.密碼提示問題的答案,網路上找不到。使用與問題完全不相干的答案。某些網站會讓你建立自己的密碼提示問題。(註)

繼續閱讀

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

2012 年 11 月 20 日2012 年 11 月 15 日趨勢科技 TrendMicro

密碼還原程式,專門偷線上服務和應用程式帳密,即使使用安全連線 HTTPS、SSL 也無法避免

使用者總以為使用了 HTTPS 和 SSL安全連線，就可以高枕無憂。但如果資訊在傳送之前就已遭到竊取，那麼這些安全連線就沒有機會可以保護您的資料。一個新型的密碼還原工具可讓 PASSTEAL 擷取瀏覽器儲存的所有網站密碼，即使是使用安全連線 (SSL 或 HTTPS) 的網站如 Facebook、Twitter、Pinterest、Tumblr、Google、Yahoo、Microsoft、Amazon、EBay、Dropbox 以及各種網路銀行也無法倖免。

由於資訊已成為一種新興貨幣，網路犯罪者時時刻刻都在思考如何竊取使用者的寶貴資料。而 PASSTEAL 正是歹徒最新的資料竊取工具，內含了一個密碼還原程式，可有效蒐集使用者的登入帳號密碼，即使是採用安全連線的網站也無法倖免。根據我們所分析到的資料，此惡意程式有某些變種是專門竊取 Google Chrome 和 Internet Explorer 當中所儲存的帳號密碼，使用的是類似「PasswordFox」的工具。

過去，趨勢科技已發現多個專門竊取資料的惡意程式，包括專門蒐集影像檔案並且上傳至遠端 FTP 伺服器的 TSPY_PIXSTEAL.A。PASSTEAL 有某些行為與 PIXSSTEAL 類似，但它竊取資訊的方式很不相同。

TSPY_PASSTEAL.A 專門蒐集儲存在瀏覽器內的資訊

趨勢科技偵測到 TSPY_PASSTEAL.A 會擷取多種不同線上服務和應用程式的帳號登入資訊，然後儲存在一個名為 {電腦名稱}.txt 的文字檔內。

有別於大多數透過鍵盤側錄來蒐集資料的惡意程式，PASSTEAL 使用的是密碼還原程式來擷取瀏覽器內所儲存的密碼。在趨勢科技所分析到的樣本當中有一些壓縮過的資料，這是一個專為 FireFox 瀏覽器設計的程式，叫做「PasswordFox」。

PASSTEAL 一旦蒐集到資料，就會執行命令列指令程式的「/sxml」選項，將竊取到的帳號密碼儲存成 .XML 檔案，然後再將它轉成 .TXT 檔案。接著，PASSTEAL 會連線至遠端 FTP 伺服器，將蒐集到的資訊上傳。

事實上，此密碼還原工具可讓 PASSTEAL 擷取瀏覽器儲存的所有網站密碼，即使是使用安全連線 (SSL 或 HTTPS) 的網站也無法倖免。使用這類連線的網站包括：Facebook、Twitter、Pinterest、Tumblr、Google、Yahoo、Microsoft、Amazon、EBay、Dropbox 以及各種網路銀行。繼續閱讀

Skype出現帳號大漏洞！連小孩都能駭入帳號

2012 年 11 月 19 日2012 年 11 月 15 日趨勢科技 TrendMicro

作者：趨勢科技資深分析師Rik Ferguson

一個Skype嚴重的漏洞已經浮上水面了。這個漏洞讓你只要在知道對方電子郵件地址的情況下，就可以取得任何使用者的Skype帳號。

對於這問題的概念驗證文章大約在三個月前被貼到俄羅斯的論壇上。原本的作者在昨天又再貼到另一個網站上。作者還指出，這漏洞已經被廣泛的濫用了，影響到許多他聯絡人列表上的使用者。

基本上，整個過程非常的容易，就算是最沒經驗的電腦使用者也可以做到。需要作的只是用別人的電子郵件地址註冊一個新的Skype帳號，一旦完成這個步驟，密碼重設程序的一個漏洞就可以讓攻擊者利用線上密碼重設網頁來取得受害者的帳號。這會將受害者鎖在他們的Skype帳號之外，讓攻擊者可以接受並回應所有發給受害者的訊息。我測試了這個漏洞，整個過程只需要花幾分鐘的時間。

這問題已經回報給微軟（去年收購了Skype），在深入調查這漏洞的同時，他們先移除線上密碼重設網頁以作為預防措施。

在重設密碼網頁被禁用前，唯一可以保護自己的作法，就是註冊一個完全獨立而不為人知的電子郵件地址給Skype帳號使用。不過這作法有點不切實際，而且理論上這樣做會讓你更容易被攻擊，因為你不太可能定期調查很少用到的收件夾。

這個故事讓我們學到什麼？即使你只是發信給別人，這資訊也可以用來對付你，盡力維護隱私總是不會錯的。

＠原文出處：Skype vulnerability makes hijack child’s play.

趨勢科技建議使用者應選取具有主動偵測並封鎖惡意程式與網頁的資訊防護軟體，如：趨勢科技PC-cillin 2013 雲端版


PC-cillin 2013雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載

◎即刻加入趨勢科技社群網站,精彩不漏網

密碼別再12345,521314(我愛你一生一世)了~PE_MUSTAN.A 病毒鎖定 246 組弱密碼刪除檔案

2012 年 11 月 15 日2021 年 05 月 19 日趨勢科技 TrendMicro

前言: 根據2012 年駭客公布重大帳密被盜事件分析出的全球最駭密碼,「password」蟬聯榜首，緊隨其後的是「123456」和「12345678」。在大陸駭客的密碼破解字典中,還列入以下幾個必備弱密碼,中國人最愛的「666666」和「888888」，還有那甜滋滋的「5201314」（我愛你一生一世）,根據大陸某IT社區網站洩露的600多萬個帳號密碼為例，使用中文拼音、手機號碼，甚至經典詩句縮寫作為密碼的中國用戶不在少數。

趨勢科技曾多次提到密碼管理的文章,還記的下圖提到2012年【LinkedIn被盜帳號的前30大常用密碼】與 2011 年的最駭密碼排行嗎?根據最新的統計 2012 年最駭密碼, 「password」蟬聯榜首，緊隨其後的是「123456」和「12345678」。現在PE_MUSTAN.A病毒會鎖定這些強度不足密碼的電腦,進行刪除檔案的破壞。

2012年【LinkedIn被盜帳號的前30大常用密碼】 (F 開頭髒話和 ILOVEOU 都不是好主意) 646 萬筆被盜的LINKEDIN密碼被貼到俄羅斯的駭客論壇上,許多人都直接用單字當密碼，而這早已證明是種糟糕的密碼。密碼破解演算法早已收錄了這些糟糕的密碼了

小編提醒:1.跟傻瓜密碼拒絕往來 2.不同網站用不同密碼

如果帳號符合特定些使用者名稱(administrator/admin/user/test)和 246 組密碼的組合 (完整清單請參閱威脅百科內容)，該惡意程式就會取得存取權限並感染電腦上的檔案。這些密碼包含以下各類(以下僅列舉部分)

鍵盤方向順位組合:

!@#$

!@#$%

!@#$%^

!@#$%^&*

!@#$%^&*()

!@#123

!@#123456

123!@#

123456!@#

數字組合

00000000

007

100200

110

111

11111111

111222

112233

11223344

1234567890

2012

數字和鍵盤順位

1234qwer

123asd

123qaz456wsx

123qwe

abc 系列

abc

abc123

abcd

abcd1234

admin 系列

adm1n

Admin

admin!@#

admin!@#123

admin123

adminadmin

admini

administrator

alpha

asdf

單字系列

baseball

batman

computer

database

dragon

foobar

football

home

hunter

上帝系列

god

godblessyou

英文名字系列

jennifer

jordan

patrick

password 系列

ihavenopass

mypass

mypass123

mypassword

oapassword

P@ssW0rd

pa$$0rd

pass

pass0rd

pass123

pass123456

pass123word456

passpass

passwd

password

password1

pw123

pwd

Windows 系列

win

windows

windows2000

windows2003

windowsxp

我愛你系列

Love

iloveyou

iwantu

xx系列

xxx

xxxx

xxxxx

xxxxxx

xxxxxxxx

2012 年 7 月現身的 PE_MUSTAN.A 會在安全性較弱的網路上散播，而且已知會攻擊密碼強度不足的目標系統。它的源頭可追溯至 WORM_MORTO.SM，後者在一年前非常流行。儘管這種透過暴力破解方式橫行網路的手法已不算新穎，但 PE_MUSTAN 的出現證明了一些應該安全的網路依然存在著重大弱點。

如同所有的檔案感染程式一樣，這個新的變種同樣也會快速感染同一台機器上的眾多檔案。它會感染所有的 .EXE 檔案，除了下列資料夾內的檔案之外：