年底購物季開打,關於購物季節的安全建議,本部落格已經提過很多次,今天來認識憑證填充攻擊與如何保護你的帳密安全。
根據Okta的「安全身份狀況報告（State of Secure Identity Report）」,零售平台受憑證填充攻擊的影響最大,比率達 80%。還在每個購物平台使用相同的帳號和密碼嗎？內文分享一則國內知名購物網站盜刷會員信用卡的案例。
Raccoon是在2019年4月崛起的惡意軟體即服務（MaaS）。儘管Raccoon的功能簡單，但卻在網路犯罪分子之間廣為流行，且在一份惡意軟體流行度報告中被稱為地下論壇裡值得注意的新興惡意軟體。
此惡意軟體可以竊取登錄帳密、信用卡資訊、虛擬貨幣錢包及瀏覽器資訊。 Raccoon具備了基本的資訊竊取功能，而事實證明積極的行銷加上良好的整體使用者體驗足以彌補其不足之處。該服務也相對地便宜，價格從每週75美元到每月200美元不等。
它能夠利用各種交付技術（如漏洞攻擊套件、網路釣魚或和其他惡意軟體綁在一起）到達系統。我們在本文中調查了使用漏洞攻擊套件Fallout和Rig的攻擊活動，同時看到其用Google Drive作為躲避偵測的手段之一。
漏洞攻擊套件
我們在2019年7月和10月記錄到Rig漏洞攻擊套件及兩起Fallout漏洞攻擊套件案例會植入Raccoon竊取病毒。下表總結了這三起案例的感染鏈。
繼續閱讀
趨勢科技發現一波網路釣魚活動利用注入假登入表單來竊取使用者帳密，至少有四家韓國網站受害，包括了該國訪問量最大的商務網站。雖然我們之前就看過網路犯罪分子對網站注入惡意JavaScript來載入瀏覽器漏洞攻擊碼或金融資料擷取病毒，但利用水坑攻擊進行網路釣魚並不常見。這波我們標示為「Soula」的攻擊活動（偵測為Trojan.HTML.PHISH.TIAOOHDW）會跳出偽造韓國常用搜尋引擎登入畫面來蓋過原始網頁以收集資料。它會不經確認就直接將記錄的帳密送到攻擊者的伺服器，所以我們認為駭客還在研究與收集資訊的階段。
攻擊行為
圖1、 Soula的攻擊鏈。
我們在3月14日追蹤了受害網站的JavaScript注入。注入腳本針對網站訪問者來在主要網頁載入了網路釣魚表單。它會掃描HTTP referer標頭字串來檢查是否包含跟熱門搜尋引擎或社群媒體網站相關的關鍵字，以驗證訪問者是否是真人。因為HTTP referer會將來源位置網頁標識為請求頁面，這樣就能夠輕易地確認訪問者是否為真實使用者(如果請求來自搜尋引擎或社群媒體)，過濾掉bot爬蟲及威脅引擎掃描程式。
該腳本接著會掃描HTTP User-Agent標頭來找出是否有iPhone、iPad、iPod、iOS和Android等字串，以確認使用者是用桌機或行動裝置，好提供對應的網路釣魚表單。行動用戶要點擊被駭網站上的任一按鈕才會看到假登入表單。為了掩蓋惡意行為，它會設置cookie來計算訪問次數，並在受害者第六次訪問網站後才會出現彈跳式視窗。這cookie也會在最後一次互動後兩小時過期。
繼續閱讀Android 平台 BankBot 惡意程式:ANDROIDOS_BANKBOT, 首次現身於今年 1 月。根據報導，它是從某個外流至地下駭客論壇的不知名公開原始碼銀行惡意程式強化而來。BankBot 之所以尤其危險，是因為它會偽裝正常的銀行應用程式，將自己的網頁覆蓋在正常的銀行應用程式操作介面上，進而騙取使用者的帳號密碼。此外，BankBot 還能攔截手機簡訊，因此不怕使用者啟用手機簡訊雙重認證。
Google Play 商店發現 BankBot 惡意程式偽裝成正常的應用程式到處散佈
在這一整年當中，Bankbot 一直偽裝成正常的應用程式到處散布，有些甚至在熱門應用程式商店上架。今年 4 月和 7 月，Google Play 商店上出現了含有 Bankbot 惡意程式的娛樂或網路銀行應用程式，總數超過 20 個以上。
最近，趨勢科技在 Google Play 商店上發現了五個新的 Bankbot 應用程式，其中有四個假冒成工具軟體。有兩個被立即下架，其他兩個則待得久一點，因此已經被使用者下載。BankBot 的下載次數約在 5000-10000 之間。
這次的 BankBot 新變種會偽裝成 27 個國家的銀行應用程式。此外，被假冒的應用程式數量也從 150 個增加到 160 個，新增了十家阿拉伯聯合大公國銀行的應用程式。
最新的 BankBot 版本只有在裝置滿足以下條件時才會運作：
將山寨網頁覆蓋在正常銀行應用程式上方，以攔截使用者所輸入的帳號密碼
當 BankBot 成功安裝到手機上並且開始執行時，它會檢查裝置上安裝了哪些應用程式。一旦找到它可假冒的銀行應用程式，就會試圖連上幕後操縱 (C&C) 伺服器，然後將該銀行應用程式的套件名稱和標籤上傳至伺服器。接著，C&C 伺服器會傳送一個網址給 BankBot，好讓它下載一組程式庫，內含用來覆蓋在銀行應用程式畫面上的網頁。惡意程式會將這些網頁覆蓋在正常銀行應用程式的畫面正上方，這樣就能攔截使用者所輸入的帳號密碼。 繼續閱讀
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
專訪趨勢科技勒索軟體解密工具藏鏡人 iThome
社群媒體詐騙層出不窮 防毒軟體幫助重度使用者防護隱私 華視全球資訊網
物聯網崛起 資安威脅從謀財進階為害命 電子時報
勒索軟體出現俠盜羅賓漢？CryptMix 承諾會將所得捐給慈善機構 資安趨勢部落格
新加坡禁公務電腦連網 自由時報
Facebook Messenger有漏洞 可竄改對話 iSET 2011三立網站
打擊IS 駭客用AV女優裸圖攻陷 台灣蘋果日報網
逾3,200萬Twitter帳號密碼外洩 疑因瀏覽器感染所致 電子時報
加拿大卡加利大學付駭客贖金 中國廣播公司全球資訊網
卡戴珊家族人紅是非多？Kylie Jenner 個人 twitter 遭駭發佈不實貼文 OVERDOPE.COM
網站洩個資 業者也應賠 今日代誌
誰躲在視訊鏡頭背後偷窺你？ 天下雜誌網
摩根史坦利理財顧問將客戶資料帶回家 SEC罰百萬美元 鉅亨網
推特3200萬帳密外洩 最多人用這密碼 台灣蘋果日報網
多個網站共用帳密，Facebook、Netflix籲用戶趕快換密碼 iThome
*延伸閱讀:別和 Facebook 創辦人一樣用萬用密碼！五招讓帳密更安全
Mitsubishi Outlander PHEV內建Wi-Fi熱點易被駭入，車輛形同毫無保障？ u-car汽車網站 繼續閱讀