IOE - 資安趨勢部落格

《資安漫畫》物聯網 ( IoT )會洩漏女友的體重?

2016 年 11 月 01 日2018 年 04 月 17 日趨勢科技 TrendMicro

” 駭客入侵筆電　遙控偷拍辣妹洗澡“,過去我們看到這樣的新聞感覺隱私被侵犯,但現在有更多類似的新聞:駭客直播小女孩的日常生活! 或監視攝影機暗藏惡意程式還有網路監視器遭駭女餵奶被看光光!!
你購買冰箱,電視…等智慧型家電時,會考慮價錢、外型和功能,但會將連網設備的安全列入採買要素嗎?但你知道：家用智慧型產品毛孩子都能侵入嗎?

物聯網( IoT )跟你的日常生活有何關係?

現在不僅僅是電腦及智慧型手機備有通信裝置，甚至連家中的電視、空調，運動器材及無線體重器、轎車等都備有通信功能。即使不在現場亦能得知智慧型裝置的現狀，且還能進行遠端操控。這些行為被稱作物聯網（IoT ,Internet of Thing），指的就是在我們周遭將我們團團包圍的裝置利用網路連結的狀態。

你購買冰箱,電視…等智慧型家電時,會考慮價錢、外型和功能,但會將連網設備的安全列入採買要素嗎?根據趨勢科技美洲地區公共建設之網路安全報告。分析連網裝置受到攻擊的方式，約有七成曾受過釣魚式攻擊、五成受過漏洞攻擊、四成則受過分散式阻斷服務攻擊（DDoS）。另外，勒索病毒攻擊也是一新犯罪趨勢。但你知道：家用智慧型產品毛孩子都能侵入嗎?

很顯然地，必須做些什麼來保護物聯網（IoT ,Internet of Thing）。不幸的是，我們不能期望使用者突然成為專家來保護自己的設備,因為使用者不會關心他們家的網路攝影機,或是智慧型電視機等聯網裝置,正對別人發動分散式阻斷服務攻擊 (DDoS),除非突然電視掛掉不能看了,因為人們通常只關心類似這樣的問題：我要看電視時要隨時可以看。

10月底 DNS服務商Dyn所遭遇的大規模分散式阻斷服務攻擊 (DDoS)攻擊敲響了一記警鐘：物聯網生態鏈已經徹底、完全地被破壞。缺乏支援和不安全的設備造成網際網路基礎設施一個重要的部分斷線，影響了許多知名網站

繼續閱讀

FastPOS 專門攻擊銷售櫃台系統,竊取信用卡後立即外傳給駭客

2016 年 06 月 23 日2016 年 06 月 16 日趨勢科技 TrendMicro

今日企業總是以能夠快速因應外在環境變化而自豪，不幸的是，網路犯罪集團何嘗不是如此。最近出現了一個專門攻擊個專門攻擊銷售櫃台系統 (PoS) 的新惡意程式家族，此惡意程式家族的特點是竊取到資料之後會馬上回傳給遠端的駭客。趨勢科技根據這項特性，將它命名為 FastPOS。

FastPOS 的設計是會立即將竊取到的信用卡資料外傳，而非先儲存在本機上的一個檔案，然後再定期傳送給駭客。這表示它或許是專門針對小型網路環境而設計，例如只有一台 DSL 數據機連接一台 POS 系統的環境。

攻擊管道和目標

FastPOS (趨勢科技的偵測名稱為： TSPY_FASTPOS.SMZTDA) 可經由三種管道進入其攻擊目標：

指向某個已遭駭客入侵網站的連結 (該網站專門討論外科雷射技巧)
即時檔案分享服務
透過 VNC 直接傳輸檔案

前兩種方法還需透過社交工程social engineering技巧來誘騙使用者執行惡意程式，最後一種方法則需要經由某種管道取得公司的登入帳號密碼，或者透過暴力破解的方式取得目標使用者的帳號密碼。

這項威脅的受害者分布非常廣：我們在全球各地都有發現受害者。主要分布於下列地區：

美洲：巴西和美國
亞洲：香港、日本、台灣
歐洲：法國

此外，其產業分布也很廣。美國的受害機構還包括獸醫診所，其他地區的受害機構則包括食品業和物流業；另有某些案例的受害機構為開放 VNC 連線的遠端辦公室。

資訊竊盜

FastPOS 會將偷取到的資訊「立即」傳送給遠端駭客，而非先儲存在本機，等到固定時間再上傳。雖然這可能造成一些不正常的網路流量，但由於今日的裝置隨時都連上網路，因此這樣的流量相對上很容易隱藏。其竊取的資訊方式有兩種：鍵盤側錄和記憶體擷取。繼續閱讀

監視攝影機暗藏惡意程式

2016 年 05 月 03 日2016 年 04 月 26 日趨勢科技 TrendMicro

研究人員 Mike Olsen 提出警告，Amazon 上販賣的某些產品暗藏了惡意程式。根據 Olsen 的說法，他在調校一批向朋友購買的戶外型監視攝影機時發現攝影機暗藏了惡意程式。而販售的廠商 Urban Security Group (USG) 在網路上的評價大致良好，而且還針對了某款 Sony 攝影機提供特惠組合方案。

[延伸閱讀：智慧科技是否真如我們想像的無害？]

Olsen 在他的部落格當中詳細說明了攝影機的軟體介面可看到監視畫面，但管理畫面卻看不到其他正常該有的設定功能。Olsen 說：「我只是像其他人一樣，懷疑這應該是 CSS 沒設好，所以就叫出開發人員工具。」但他並未找到他想要的選項，反而發現 <body> 標籤底下偷偷暗藏了一個 <iFrame> 標籤。這個 iFrame 會連上一個「看似非常奇怪的」主機名稱。他到 Google 上搜尋後發現，該主機名稱會連上某個專門散布惡意程式的網站。此惡意網站曾在 2009 年遭到關閉，但 2011 年又被人發現它會讓一些網站感染指向惡意網域的 iFrame。發現這件事之後，Olsen 立即向 Amazon 反映，該網站後來向他表示將會聯繫攝影機廠商 (USG)。

家用監視攝影機確實是提升居家及工作場所安全的一個不錯工具。但為了即時觀看監視畫面，您必須讓監視攝影機連上網際網路。而且，較新型的攝影機甚至可以從遠端遙控，好讓使用者操控單一攝影機來監視一大片區域。科技智慧化的結果，人們可以很方便地透過網路來查看監視攝影畫面，但這也讓其他連上網路的人都有機會看到。任何未經授權的人，只需具備特殊的工具和專業知識就能辦到。

[延伸閱讀：您在購買智慧型家用裝置時該注意些什麼？]

這項驚人的發現提醒了我們，在採購任何東西時都應小心謹慎。除此之外，我們也應引以為戒，有些問題，固然應該由裝置廠商出面解決，但使用者仍須謹記一些智慧型裝置的使用原則，包括：務必變更預設的登入帳號密碼，以及使用不易猜測的密碼來確保網路安全，並且保障使用者隱私權。

原文出處：Surveillance Cameras Found Embedded with Malware

預測:”醫療設備和穿戴式裝置將出現勒索軟體 ” – RSA 大會2016四大重點

2016 年 03 月 12 日2016 年 03 月 29 日趨勢科技 TrendMicro

作者：Ed Cabrera（趨勢科技網路安全策略副總）

吸引業界最優秀的人們前來，一年一度的RSA大會起著連接和教育全球各地安全專家的重要作用。在會議期間，我們看到許多網路安全的趨勢和發展，包括美國聯邦政府的介入，現代化汽車的容易被駭，針對連網醫療設備的潛在威脅，以及IT專業人員缺乏網路教育。簡要回顧一下這四個重點及其含義：

Apple對上美國聯邦政府

最熱門的話題之一是美國聯邦政府與Apple相關的進行中案件。在會議中，紐約地方法官裁定蘋果無須遵從FBI要求來破解一毒品案件內的iPhone。在RSA大會期間，美國司法部長Loretta Lynch走上舞台，強調國家安全依賴於技術產業的合作，並強調要找到平衡點來保護美國免於潛在威脅，網路上和實體上。

連網汽車與汽車駭客

來自Uber Advanced Technology Center的研究人員成為焦點，強調了有計畫的駭客要入侵汽車軟體系統有多麼容易。他們舉出Jeep、Tesla、Ford等等完全缺乏對這些類型攻擊的偵測能力。例子包括劫持汽車無線通訊甚或干擾車輛控制區域網路（CAN）來停用剎車。雖然這並非什麼新消息，但隨著世界各地智慧型設備的普及，至關重要的是安全專家和一般個人要將這類入侵攻擊深印入腦海中。

醫療設備安全

物聯網（IoT ,Internet of Thing）安全對大多數產業來說都是新領域，包括了醫療產業，讓駭客得以開始來攻擊連網技術。身為白帽駭客的博士研究員Marie Moe介紹了她在物聯網醫療設備上的發現，及它們安全性的缺乏。在發現她救命的心臟節律器因為無線連網能力而將她暴露到另一種威脅時，Moe致力於要代表所有病患來了解更多，並迫使醫療保健產業變得更加透明，這裡通常只限醫生、代碼專有、第三方存取受到限制。

聽到 Moe分享的經驗相當有趣，但並不令我感到驚訝，因為想到Forrester的預測，2016年將會看到醫療設備和穿戴式裝置出現勒索軟體 Ransomware。幸運的是，她和其他人的工作似乎已經獲得回報，就在今年，美國食品藥物管制局頒發解決醫療設備網路安全的準則草案。

缺乏網路安全教育

最後但絕對並非最不重要，RSA首要主題實際上並不是針對特定威脅，而是員工間缺乏網路安全教育和訓練。這顯著的差距一直繼續到即將發生難以聘請符合資格的管理者如資訊安全長和資訊長，還有資訊技術專業人員。

網路犯罪環境在不斷變化中，讓學習曲線難以克服。網路釣魚、魚叉式網路釣魚和惡意軟體會在2016年持續困擾著企業。IT管理者需要解決這些問題，並且了解和面對關於物聯網、行動設備、應用程式，雲端和其他快速發展中技術的新威脅。

儘管2016年的RSA大會已經接近尾聲，我們肯定會聽到更多主題被討論。根據我們對2016年的預測，我們預計醫療和其他物聯網裝置會成為關注中心。我個人對於看到前端教育的進展非常感興趣。更進一步到中等教育給高中院校和中等職業學校，有機會去教育和培訓年輕頭腦對於網路安全的持續成功和對抗惡意威脅會是至關重要。

期待RSA 2017的到來！

＠原文出處：RSA 2016: Top Four Takeaways

真的需要同時修補伺服器、手機和物聯網 (IoT ) 裝置嗎？

2016 年 01 月 27 日2016 年 01 月 27 日趨勢科技 TrendMicro

是的，您沒看錯，您必須同時修補您的伺服器、手機和物聯網 (IoT) 裝置才能完全防堵這個漏洞。

這是一個由 Perception Point 研究團隊所揭露的 Linux 核心漏洞 (CVE-2016-0728)。Linux 核心是所有 Linux 作業系統的共同元件，而 Linux 系統又廣泛運用在今日的許許多多裝置。由於 Linux 不僅用於伺服器平台，就連 Android 手機、平板和各式各樣的 IoT 裝置都是使用 Linux 系統，因此 Linux 核心漏洞的影響層面非常廣泛。

此次出現的是一個提升本機權限的漏洞，光就它本身來看並不算是個嚴重的問題，但提升本機權限的漏洞可能搭配其他的漏洞 (尤其是應用程式漏洞) 來發動更嚴重的攻擊。

根據 Perception Point 研究團隊的說法，此漏洞大約影響全球 66% 的 An 繼續閱讀