Intel CPU 漏洞 - 資安趨勢部落格

繼一月份發現 Meltdown 和 Spectre 兩個影響 Intel 處理器的漏洞之後，資安研究人員又發現了八個 Intel 處理器的新漏洞。隨著 Google Project Zero 的 90 天技術細節與解決方案公布緩衝期已於 5 月 7 日到期，專家指出這些新的漏洞 (命名為「Spectre Next Generation」或「Spectre NG」) 基本上與先前的 Spectre 類似。其中有四個漏洞被認定為「高」嚴重性，其餘的則為「中」嚴重性。

[延伸閱讀：關於 Intel 處理器的 Meltdown 與 Spectre 漏洞您該知道些什麼？]

這些漏洞每一個都會有對應的 Common Vulnerability Enumerator (CVE) 編號。Intel 的修補更新將分成兩個階段實施，第一階段在 5 月份，第二階段將在 8 月份。此外，Linux 開發人員也正在針對 Spectre 漏洞研擬對策，而 Microsoft 也將釋出選擇性的修補更新來應對。此外，Microsoft 也提供 25 萬美元的獎金來懸賞更多 Spectre 相關的未知漏洞。日本 Softbank 旗下 ARM Holdings 公司的 Advanced RISC Machine (ARM) CPU 也被懷疑可能受這批新漏洞影響，至於 Advanced Micro Devices (AMD) 的處理器是否受到影響，目前仍有待檢驗。繼續閱讀

搭上 Intel CPU 漏洞順風車的釣魚信件,以「重大漏洞–重要更新」為餌，內含聲稱導向 Meltdown、Spectre 修補程式下載網頁的連結，不但使用SSL加密還冒用政府單位字樣的網域名，受害人稍不留意就掉入陷阱。

一月初，資安研究人員發現了 Meltdown 和 Spectre 兩個今日 CPU 設計上的資安漏洞，並且公布了詳盡的技術細節。根據研究人員指出，全球數十億裝置皆可能因這些漏洞而讓惡意程式竊取應用程式正在處理的資料。儘管處理器廠商們去年就已接獲通報，並在幾個月前著手開發修補更新，但直到最近才等到聯合公布的時機。Apple、Microsoft 和 Google 皆已釋出必要的修補更新來防範相關漏洞攻擊。

Meltdown 漏洞所影響的是 Intel 處理器，可能讓駭客取得系統權限並存取應用程式和作業系統記憶體中的資料。至於 Spectre 則是影響 Intel、Advanced Micro Devices (AMD) 及 Advanced RISC Machine (ARM) 處理器，可能讓駭客竊取系統核心或快取中的檔案或資料，例如：執行中程式存放在記憶體中的密碼、金鑰等等。

儘管如此，使用者在嘗試下載修補更新時務必小心，因為網路犯罪集團已利用 Meltdown 和 Spectre 的這波新聞熱潮來散布惡意程式。其中之一，就是德國在政府單位針對網路釣魚郵件發布警告之後出現的 SmokeLoader 惡意程式。

假冒來自德國聯邦資訊安全局 (BSI)的釣魚網站啟用 SSL 連線

這些郵件會假冒來自德國聯邦資訊安全局 (BSI)。研究人員指出，其網域含有一個啟用 SSL 連線的網路釣魚網站，該網站不屬於任何政府機構所有，只是假借政府名義誘騙民眾安裝惡意程式而已。該網站有個頁面會連結至 Meltdown 和 Spectre 的相關資源，但其中有些連結卻是指向一個含有惡意程式的 ZIP 壓縮檔。使用者一旦下載到該檔案並且在電腦上執行，電腦就會被植入 SmokeLoader 惡意程式。接著，SmokeLoader 會再下載其他惡意程式到電腦上執行。此外，研究人員也指出該惡意程式會嘗試連線至多個網域並送出一些加密過的資訊。

企業注意! 變臉詐騙不再使用執行檔

有些變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）電子郵件現在已不再使用執行檔為附件，而是改用 HTML 網頁。因為含有執行檔的電子郵件通常會被垃圾郵件過濾軟體列為可疑郵件，但 HTML 檔案則不會，因為惡意 HTML 檔案較難被偵測，除非可證明是網路釣魚網頁。而且，網路釣魚網頁的程式碼撰寫起來較為容易，又可在任何平台上通用。

雖然網路釣魚已是網路上最古老的詐騙手法之一，但使用者和企業機構至今仍深受其害。事實上，根據「網路釣魚工作小組」(Phishing Working Group) 的 2016 年第二季報告指出，該季偵測到的非重複網路釣魚網站數量達到巔峰。

10招防網路釣魚

使用者可採取以下 10個做法來防範網路釣魚攻擊，包括：