標籤: Adobe

研究報告：30% 的頂尖 CEO(執行長)電子郵件密碼曾經外洩;遭駭排行 LinkedIn 居首, Dropbox其次

趨勢科技 TrendMicro

全球大企業執行長將近每三人就有一人在其使用的網路服務發生資料外洩之後 電子郵件帳號即遭到入侵。根據最近發表的一份研究報告指出，約 30% 的全球頂尖企業執行長都曾經發生其使用公司電子郵件信箱註冊的網路服務密碼遭到外洩的情況。這項針對全球 10 個國家 200 多家大型企業執行長所做的調查指出，執行長使用公司電子郵件信箱註冊或連結的網路服務最常遭駭的是 LinkedIn (53%) 和 Dropbox (18%)，其次是 Adobe 和 Myspace。

此外，研究也指出，有 81% 的執行長很可能因為垃圾郵件散發名單和行銷資料庫外洩事件而使得其電子郵件及其他個人身分識別資訊 (PII) 外流。這樣的情況最常發生在英國、美國、荷蘭及法國的執行長，而義大利和日本的執行長則最不常發生這種狀況。該研究交叉比對了這些執行長的公司電子郵件信箱以及一些公開資料庫當中已外流的登入憑證。

在這份報告發表之前，美國聯邦調查局 (FBI)  才剛警告全球企業應該注意日益崛起的「變臉詐騙」(BEC)，FBI 指出這類詐騙已在全球造成十幾億美元的企業損失。從事變臉詐騙的犯罪集團都非常小心，會事先針對攻擊目標進行一番研究，密切觀察其個人與企業的一舉一動。 繼續閱讀

《2016年漏洞回顧》漏洞攻擊套件為何仍使用較舊的漏洞?

趨勢科技 TrendMicro

我們經常會看到漏洞攻擊套件使用較舊的漏洞，因為這些漏洞仍然存在於被攻擊的系統上。另外,勒索病毒會去利用漏洞攻擊套件來作為主要的感染媒介。

在趨勢科技2016年的資安綜合報告 – 「企業威脅創紀錄的一年」中，我們討論了這一年的漏洞發展形勢和所看到的趨勢。

讓我們來看看在2016年間發生的一些重點。

  1. 趨勢科技的零時差計畫（ZDI）在3,000多名獨立漏洞研究人員的支持下，披露了 678個漏洞。可以從下圖看出一些有意思的趨勢：

  • 首先是微軟產品的漏洞在持續減少中。這是個好消息，但對微軟來說不大好的消息是 Edge 漏洞增加了2,100%。這在 2017年的 Pwn2Own 大會中得到進一步的證明，因為 Edge 是競賽中被漏洞攻擊最多的瀏覽器。
  • 其次是整體 Adobe 的漏洞數量下降，不過 Acrobat Reader 在 2016 年被披露的漏洞最多。
  • 零時差攻擊（在修補程式發布前就有針對漏洞的攻擊出現）數量在 2016 年比 2015 年下降。這是個好消息，但我們最近也看到了美國中情局被駭事件，可能有許多零時差漏洞攻擊尚未被披露。
  • Android漏洞數量大幅地增加（206%）。趨勢科技研究人員在 2016 年向 Google 提交了 54 個安全漏洞。
  • 在2016年被披露的 SCADA（資料採集與監控系統）漏洞增加了421%，鑒於對這些設備進行更新的困難度，這對廠商來說會是件頭痛的事。

繼續閱讀

Angler和Nuclear漏洞攻擊包整合Pawn Storm的Flash漏洞攻擊碼

趨勢科技 TrendMicro

當說到漏洞攻擊包，最重要的就是時間。漏洞攻擊包通常都會包入最新或零時差的漏洞攻擊碼，好盡可能地攻擊更多尚未更新的受害者。趨勢科技發現有兩個漏洞正被漏洞攻擊包當作目標，其中之一被用在最近的Pawn Storm Flash零時差漏洞攻擊。

從10月28日開始，趨勢科技發現這兩個漏洞被 Angler和Nuclear漏洞攻擊包當作目標。（第二個漏洞是Flash的漏洞，直到版本18.0.0.232都存在；我們目前正在與Adobe確認此漏洞的CVE編號）

 

圖1、Angler漏洞攻擊包中CVE-2015-7645的截圖（點擊放大）

圖2、Nuclear漏洞攻擊包中CVE-2015-7645的截圖（點擊放大）

圖3、Angler漏洞攻擊包中第二個漏洞的截圖（點擊放大）

 

Diffie-Hellman協定被惡意使用

趨勢科技最新的研究確認此兩個漏洞攻擊包惡意使用了Diffie-Hellman金鑰交換協定，跟之前的用法有些許不同。這次是用來隱藏自己的網路流量並繞過某些安全產品。

這些改變試圖讓研究人員想分析它們的金鑰交換時更加困難。Angler漏洞攻擊包對其Diffie-Hellman協定的用法做出以下改變。它們在之前比較明確而清晰的程序中加入一些混淆處。

 

  1. 不再從客戶端發送g和p給伺服器。相對地，它送出ssid來確認g和p的配對。
  2. 隨機金鑰K是128字元而非16字元。使用128字元的金鑰使得想解開原始資料變得更加困難。

 

圖4、Diffie-Hellman協定，使用ssid來識別g，p配對 繼續閱讀

偽裝收據通知，垂涎比特幣和網路銀行

趨勢科技 TrendMicro

網路犯罪分子和威脅幕後黑手經常會利用測試過的漏洞來感染使用者系統，也藉此去穿透企業網路。這凸顯出修補系統和將軟體及應用程式保持在最新狀態的重要性。

比特幣bitcoin3

趨勢科技最近發現DYREZA惡意軟體利用了舊的Adobe Reader和Acrobat漏洞（CVE-2013-2729）。一旦成功地攻擊此漏洞，就可以在受影響系統上執行任意程式碼。

圖1-2、垃圾郵件截圖

DYREZA惡意軟體使用偽裝成收據通知的垃圾郵件作為感染媒介。它夾帶著惡意PDF檔案（被趨勢科技偵測為TROJ_PIDIEF.YYJU）。一旦執行，它會攻擊CVE-2013-2729漏洞，進而去下載TSPY_DYRE.EKW，一個DYREZA變種（也被稱為DYRE和DYRANGES）。

DYREZA是個以竊取銀行認證資訊聞名的惡意軟體，而且和包裹騾子詐騙有關。我們最近寫過一篇部落格文章詳述了此惡意軟體在威脅環境生態系中所扮演的角色和一些顯著的行為，包括其有能力透過瀏覽器注入來進行中間人（MITM）攻擊，監視目標銀行的網路銀行連線和竊取其他資訊，如瀏覽器版本、截圖和個人認證資訊。

使用者和企業都有危險，因為DYREZA可以透過瀏覽器截圖來取得其他類型的資料，像是個人識別資訊（PII）和認證資訊。此外，還有報告指出CUTWAIL殭屍網路會導致下載UPATRE和DYRE惡意軟體。

讓TSPY_DYRE.EKW值得注意的是其注入惡意程式碼到特定銀行和比特幣登入頁面來竊取重要資訊的能力。它所監視的一些比特幣網頁：

  • co.uk/*
  • co.uk/login*
  • com/*
  • com/merchant-login*
  • com/*
  • com/accounts/login*
  • bitstamp.net/*
  • bitstamp.net/account/login*

除了資料竊取的行為外，TSPY_DYRE.EKW可以連到某些惡意網站來收發資訊。此外，它可以連到特定STUN（NAT會話傳輸應用程式）伺服器來確認其感染電腦的公開IP位址。因此，網路犯罪分子可以找出惡意軟體的位置或判斷受影響使用者和組織的位置。出現最多受害者的國家包括了愛爾蘭、美國、加拿大、英國和荷蘭。

比特幣是一種具有真實世界價值的數位貨幣。網路犯罪分子常常會將目標放在比特幣上，因為它提供了一個可以產生利潤的新場所。雖然這並不是第一次詐騙分子及網路犯罪分子將目標放在比特幣上，這個新攻擊凸顯出傳統威脅（如漏洞和銀行惡意軟體）仍然是網路犯罪分子竊取使用者認證資訊和攻擊較新平台（比特幣）的常用手段。它也教了我們關於保持系統和軟體應用程式更新到最新版本的重要一課。

趨勢科技透過主動式雲端截毒服務  Smart Protection Network來保護使用者對抗此威脅，它會偵測垃圾郵件和所有相關惡意軟體。

@原文出處：Old Adobe Vulnerability Used in Dyreza Attack, Targets Bitcoin Sites作者：Rika Joi Gregorio（趨勢科技威脅回應工程師）

如何更安全地使用PDF檔案

Trend Labs 趨勢科技全球技術支援與研發中心

PDFAdobe Reader最近出現新的零時差漏洞攻擊，不禁會讓人想知道，是否有更安全的方式來使用PDF檔案。答案是肯定的：你可以在使用PDF檔案時降低它的風險。以下是建議的作法:

保持PDF閱讀器在最新版本,使用內建的自動更新功能或直接從廠商網站下載。

首先是每次都必須重複強調的，保持PDF閱讀器在最新版本。許多受歡迎的PDF閱讀器都內建某種形式的自動更新功能，讓你更容易做到這一點。要小心從不知名網站下載來的「更新」，因為常常會出現惡意的版本。使用內建的自動更新功能或直接從廠商網站下載。

這裡先不提那些老生常談的建議，像是不要打開可疑檔案或網站等。現在讓我們假設攻擊已經出現，透過那些看似正常而無法輕易分辨的手法，像是黑洞垃圾郵件攻擊。

你可能會以很多種方式接觸到惡意PDF檔案，但大致來說，可以歸類為在瀏覽器內或不是兩種。瀏覽器內的攻擊是PDF檔案會在瀏覽器中打開，透過外掛程式或瀏覽器本身的功能。漏洞攻擊包就是個讓使用者經由瀏覽器接觸到PDF檔案的例子。

另外一種則是相反地，在瀏覽器以外的攻擊：檔案經由郵件程式或瀏覽器儲存到電腦上，然後用PDF閱讀器打開它。

在瀏覽器內的攻擊，你可以做的就是盡量不要使用外掛程式來開啟PDF檔案。Google Chrome和Mozilla Firefox都可以使用整合的PDF閱讀器而無需依賴於外部應用程式。（Chrome瀏覽器是內建的功能，Firefox則需要下載一個外掛程式）。想要使用這功能，可能需要先關閉PDF閱讀器所安裝到瀏覽器的外掛程式，不同瀏覽器可能有不同的作法。

至於瀏覽器以外的攻擊，經由PDF閱讀器去開啟PDF檔案。一個常見的建議是避免使用Adobe Reader，但這並不是萬靈丹。第三方閱讀器也不能倖免於漏洞攻擊。使用不同的PDF閱讀器只是治標而不治本的作法，並沒有真正提供太多保護。 繼續閱讀