安全研究人員發現並回報LocationSmart免費網路展示工具的API漏洞可能會讓手機洩露美國電信公司用戶的即時定位資訊。與此同時，另一家公司Securus Technologies也在早些時候據報遭受駭客入侵，竊取了全美執法人員2,800份憑證。該公司據報曾經使用LocationSmart的服務功能將行動網路用戶資料出售或洩露給密西西比警長辦公室。
[延伸閱讀：專家說：智慧手機定位追蹤能夠強化企業安全]
LocationSmart網站讓潛在客戶在網路上可以利用免費展示工具輸入自己的姓名、電子郵件地址和電話號碼來追踪行動設備的大致位置。會寄送一封簡訊到所提供電話號碼來取得權限ping最近的基地台以進行追蹤，在同意後會寄送簡訊給用戶提供Google地圖上的約略經緯度。
[延伸閱讀：身份竊盜和你的個人資料價值]
近來有 Mac 使用者表示其電腦的 CPU 用量與電池消耗速度都比平常更高。根據研究人員發現，這些使用者電池快速消耗的原因是某個名為「mshelper」的虛擬貨幣挖礦程式 (趨勢科技命名為：COINMINER_TOOLXMR.A-OSX) 在背後挖礦。
該程式的感染途徑據推測應該是使用者不小心下載到假的 Flash Player 安裝程式或惡意文件及軟體，而非遭到精密攻擊。研究人員在其系統上發現該挖礦程式的啟動程式「pplauncher」 (趨勢科技命名為：COINMINER_MALXMR.A-OSX) 會讓該挖礦程式持續在系統內執行，因此顯然該程式具有系統管理權限。我們發現這個 3.5MB 的啟動程式當中含有一個二進位檔案提供了 23,000 多個功能函式。背負著這麼龐大的負擔顯示該程式的作者可能對 Mac 平台不熟。
[延伸閱讀：加密虛擬貨幣挖礦惡意程式：2018 年最新威脅？]
這個啟動程式會建立一個名為「mshelper」的執行程序並利用開放原始碼挖礦工具 XMRig 來開採門羅幣 (Monero)。Mshelper是一個歹徒所使用的挖礦軟體，由於該軟體可能造成系統過熱並損壞風扇，因此最好將該軟體移除。 繼續閱讀
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
媒體資安新聞精選
微軟Windows JScript元件遭爆有零時差漏洞 IT Home
一連串巧合？Amazon Alexa疑偷錄用戶對話還傳給第三方 iThome
大叫也會讓你的電腦系統崩潰，研究人員成功讓筆電和監視系統無法正常運作 T客邦
00後上大學 新科系反映陸發展 60校增設機器人工程專業 資訊技術專業新增250所 旺報
雅虎5億帳戶外洩案 23歲駭客判刑5年 中央社即時新聞網
受雇於俄羅斯聯邦安全局的加拿大駭客遭美國判刑60個月 iThome
連希拉蕊的 Email 也被洩密過，你還不來看看這篇加密郵件服務創辦人所寫的科普文嗎？ INSIDE
謊言台灣 遠見雜誌網
手機異常掉電 當心有APP在監控 自由時報
【王子有錢？】騙倒全世界 奈及利亞詐騙集團手法翻新 這回對準企業 鏡傳媒
【惡意挖礦】新型態的門羅幣惡意挖礦程式入侵蘋果電腦Mac，剖析木馬程式運作原理 BLOCKTEMPO
Chef大力擁抱GCP，不僅資安法遵工具InSpec上雲，還有更多GCP服務現成食譜可用 iThome
50萬台路由器遭俄國駭客植入惡意程式 iThome
歐盟史上最嚴格個資法GDPR上路：你聽過最高可罰7億的「被遺忘權」嗎？ 關鍵評論網
應對GDPR 阿里雲、小米：準備就緒 工商時報電子報
GDPR 網釣 GDPR上路倒數，小心相關網釣活動激增 iThome電腦報周刊
GDPR”快刀”威懾廣告服務商全球互聯網巨頭嚴陣以待 新浪網(臺灣)
「史上最嚴個資法」跟我們有關嗎？台灣政府與企業如何應對？6個QA了解歐盟「GDPR」 風傳媒
一周大事：歐洲最嚴個資保護規範GDPR正式上路 iThome
社企之星 1〉翻轉身障就業新力量 若水幫身障者創造工作 變身BIM建模高手 遠見雜誌
即日起恢復對券商資安查核 工商時報
金正恩親信到訪 美：小心北韓網攻 聯合晚報(臺灣)
【追蹤報導】比特黃金（BTG）遭到51%攻擊的後續追蹤：將進行主網升級 BLOCKTEMPO
Git爆任意程式碼執行漏洞，所有使用者皆受影響！ iThome
微軟亞太技術年會賦予AI開發力 完成智慧台灣拼圖 台灣蘋果日報網
【台灣交通業的 AI 轉型故事】導入 AI 提升運量，桃捷搶先同業當科技創新領頭羊 科技報橘網
日本虛擬貨幣支持率最高 衍生3種犯罪行為 中央日報網路報
事件回應非緝兇 防禦才是重點 網管人
狙擊民主：從歐美大選干預疑雲，看「數位原民」的網路政治學 關鍵評論網
Bitcoin Gold遭受51%攻擊，損失1800萬美元 iThome
孟加拉央行被竊26億 竊賊疑為北韓政府 tvbs新聞網
【數位隱私自保術】8招電腦基本防護術，強化數位資安、勒贖軟體木馬程式都不怕 T客邦
【業者看資安法】資安產業需加強合作，企業資安需落實在細節 iThome
Windows 10 1804 版出現相容性問題，官方對安裝 Avast 防毒 的電腦暫停更新 電腦王阿達
IBM論壇 產官學共探AI生態圈 聯合晚報(臺灣)
GFE的資安體驗 自由時報
【獨立觀點】案例分析「去中心化交易平台，能否杜絕駭客攻擊？」 BLOCKTEMPO
第五度抓谷歌安全漏洞獲獎！青少年爽領108.5萬元 經濟日報網
想玩Switch破解可能要再想想，已有玩家表示任天堂針對Switch駭客帳號直接終身封禁 T客邦
「帳號出現異常活動請更新您的付款資料」？鎖定Apple ID網路釣魚攻擊現身個人信用卡資料恐遭駭 iThome電腦報周刊
間諜軟體偽裝成人遊戲，鎖定Windows和Android 用戶 T客邦
阻監看APP入侵 手機上鎖多重保護 自由時報
【Verge｜Bitcoin Gold｜Monacoin】加密貨幣「51％攻擊」頻傳，兩週內已三起，問題均未獲解決 BLOCKTEMPO
【韓國現代集團｜HDAC】現代汽車（Hyundai）相關的「HDAC礦池」遭到駭客攻擊 BLOCKTEMPO
AV片庫遭駭 女優自危！傳數百支無碼片外流 台灣蘋果日報網
趨勢科技—拖鞋、可樂與牛仔褲文化 快樂工作人雜誌
Windows 10四月更新又傳災情，部份用戶出現電腦桌面黑掉狀況 iThome
台灣團隊 建加密貨幣交易所 工商時報電子報
【立法者看資安法三讀通過】資安法是妥協下的產物，卻是資安發展重要關鍵第一步 iThome
AMD平台「Speculative Store Bypass」漏洞緩解措施 CompoTech Asia 電子與電腦
臉書更新雙因素驗證機制，不再強制要求電話號碼 iThome
美查獲殭屍網路 俄疑駭全球50萬台路由器 中央通訊社商情網
物聯網（IoT ,Internet of Thing）已與主要網路攻擊產生關聯，通常涉及濫用易受攻擊的連網裝置 (例如監視攝影機)，以協助進行惡意活動。當然，各界已對物聯網是否能確保連線至龐大網際網路的數十億部裝置的安全感到疑慮，並要求提供可行的解決方案以填補此安全缺口。此時登場的是區塊鏈，它是相對較新的技術，可望降低透過中央機構入侵物聯網裝置的風險，同時提升物聯網實作的擴充性。原則上，它可透過多種方式保護物聯網網路，例如針對異常網路行為形成群體共識，以及隔離未依規定運作的任何節點。
在數十年之間，物聯網已大幅擴展並連接各種裝置與網路，包括住家、工作場所、運輸系統，甚至整座城市。另一方面，已問世十年的區塊鏈將透過其加密及分散式分類帳 (以建立可防止竄改的即時記錄)，為商業模式帶來革命。透過物聯網與區塊鏈的協同運作，預期後者可為前者的裝置與程序提供可驗證且安全的記錄方式。
區塊鏈以分散式分類帳運作，將會記錄資料的每個刪除或修改動作，隨著更多資料 (區塊) 的加入，將建立更長的事件鏈。進行的每筆交易皆附帶數位簽章，而且永遠無法變更或刪除。由於區塊鏈去中心化的特性，理論上可防止易受攻擊的裝置推送假資訊及破壞網路環境，無論是智慧家庭或智慧工廠。
在一件最近發生且值得注意的物聯網安全事件中，區塊鏈可降低分散式阻斷服務 (DDoS) 攻擊的風險，這些攻擊會同時影響多台裝置：一台裝置中斷不應影響其他裝置。我們在保護智慧城市安全中注意到這個問題，此種權宜措施對於維持服務中的連線與功能而言非常重要，特別是關鍵系統。
使用區塊鏈，每個裝置都將具備強大的加密功能，進一步確保與其他裝置通訊的安全，並可在最重視隱私的物聯網使用案例中提供匿名性。採用者將可更妥善地追蹤裝置及發佈安全更新，協助強化潛在易受攻擊的裝置。 繼續閱讀
資安研究人員發表了一份報告,指出駭客利用惡意軟體 VPNFilter 感染至少54個國家，超過50萬台家用和小型企業路由器。這惡意軟體可以操縱受感染路由器進行攻擊、收集資料和進行通訊、竊取重要憑證、監視資料採集與監控系統（SCADA）協定，並且會安裝自殺指令來讓受感染設備無法使用。這些動作可以被單獨觸發或集中觸發。這波攻擊從2016年就已經開始，但在最近幾週突然大量增加，尤其是在烏克蘭。
根據研究人員對VPNFilter的觀察，這是種很複雜的模組化、多階段惡意軟體，會影響到商用路由器和NAS設備，並且分成三個階段進行散播和感染。
第一階段進行散播，目標設備是使用Busybox和Linux韌體的多種CPU架構。接著到Photobucket.com下載圖檔來取得IP地址以找到第二階段的伺服器。它的命令和控制（C&C）還有備用機制，像是如果Photobucket無法連上就會從ToKnowAll.com下載。它還會接收來自攻擊者的指令，從api.ipify.org檢查IP並儲存下來備用。在此階段就算是重新啟動設備，核心惡意程式碼也仍然存在於受感染系統中。
第二階段進行情報收集，如收集檔案、執行命令、管理設備和資料取出。它還部署了自毀能力。它能夠評估受感染設備的網路價值，特別是關於駭客感興趣的系統。駭客接著可以決定是否要利用此網路繼續收集資料，或利用系統的網路連線來進行散播。此階段的自毀功能會覆寫設備的重要部分再進行重啟，一旦攻擊者觸發內建的自殺指令就會破壞韌體，讓設備無法回復。 繼續閱讀