《資安新聞週報 》VPNFilter感染全球超過50萬台的路由器/微軟Windows JScript元件遭爆有零時差漏洞/Amazon Alexa疑偷錄用戶對話

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

媒體資安新聞精選

微軟Windows JScript元件遭爆有零時差漏洞 IT Home

為什麼 Google 要關閉短網址服務,出了什麼事? 報橘

一連串巧合?Amazon Alexa疑偷錄用戶對話還傳給第三方    iThome

大叫也會讓你的電腦系統崩潰,研究人員成功讓筆電和監視系統無法正常運作        T客邦

00後上大學 新科系反映陸發展 60校增設機器人工程專業 資訊技術專業新增250所    旺報

雅虎5億帳戶外洩案 23歲駭客判刑5年 中央社即時新聞網

受雇於俄羅斯聯邦安全局的加拿大駭客遭美國判刑60個月  iThome

連希拉蕊的 Email 也被洩密過,你還不來看看這篇加密郵件服務創辦人所寫的科普文嗎?   INSIDE

謊言台灣        遠見雜誌網

簡訊連結別亂點!小心惡意程式讓帳單暴增    新頭殼

手機異常掉電 當心有APP在監控      自由時報

【王子有錢?】騙倒全世界 奈及利亞詐騙集團手法翻新 這回對準企業    鏡傳媒

【惡意挖礦】新型態的門羅幣惡意挖礦程式入侵蘋果電腦Mac,剖析木馬程式運作原理       BLOCKTEMPO

Chef大力擁抱GCP,不僅資安法遵工具InSpec上雲,還有更多GCP服務現成食譜可用   iThome

50萬台路由器遭俄國駭客植入惡意程式   iThome

歐盟史上最嚴格個資法GDPR上路:你聽過最高可罰7億的「被遺忘權」嗎? 關鍵評論網

應對GDPR  阿里雲、小米:準備就緒       工商時報電子報

GDPR 網釣 GDPR上路倒數,小心相關網釣活動激增     iThome電腦報周刊

GDPR”快刀”威懾廣告服務商全球互聯網巨頭嚴陣以待    新浪網(臺灣)

鄧湘全觀點:歐盟GDPR之個資法新知─不能不看!     風傳媒

「史上最嚴個資法」跟我們有關嗎?台灣政府與企業如何應對?6個QA了解歐盟「GDPR」 風傳媒

一周大事:歐洲最嚴個資保護規範GDPR正式上路        iThome

利用 Excel 觸發惡意行為的郵件散佈中!        數位之牆

社企之星 1〉翻轉身障就業新力量 若水幫身障者創造工作 變身BIM建模高手       遠見雜誌

即日起恢復對券商資安查核        工商時報

金正恩親信到訪 美:小心北韓網攻  聯合晚報(臺灣)

【追蹤報導】比特黃金(BTG)遭到51%攻擊的後續追蹤:將進行主網升級      BLOCKTEMPO

Git爆任意程式碼執行漏洞,所有使用者皆受影響!      iThome

微軟亞太技術年會賦予AI開發力 完成智慧台灣拼圖     台灣蘋果日報網

【台灣交通業的 AI 轉型故事】導入 AI 提升運量,桃捷搶先同業當科技創新領頭羊      科技報橘網

日本虛擬貨幣支持率最高 衍生3種犯罪行為  中央日報網路報

事件回應非緝兇 防禦才是重點  網管人

狙擊民主:從歐美大選干預疑雲,看「數位原民」的網路政治學        關鍵評論網

Bitcoin Gold遭受51%攻擊,損失1800萬美元  iThome

孟加拉央行被竊26億 竊賊疑為北韓政府        tvbs新聞網

【數位隱私自保術】8招電腦基本防護術,強化數位資安、勒贖軟體木馬程式都不怕     T客邦

【業者看資安法】資安產業需加強合作,企業資安需落實在細節        iThome

Windows 10 1804 版出現相容性問題,官方對安裝 Avast 防毒 的電腦暫停更新       電腦王阿達

IBM論壇 產官學共探AI生態圈 聯合晚報(臺灣)

GFE的資安體驗     自由時報

【獨立觀點】案例分析「去中心化交易平台,能否杜絕駭客攻擊?」        BLOCKTEMPO

第五度抓谷歌安全漏洞獲獎!青少年爽領108.5萬元     經濟日報網

想玩Switch破解可能要再想想,已有玩家表示任天堂針對Switch駭客帳號直接終身封禁       T客邦

「帳號出現異常活動請更新您的付款資料」?鎖定Apple ID網路釣魚攻擊現身個人信用卡資料恐遭駭        iThome電腦報周刊

間諜軟體偽裝成人遊戲,鎖定Windows和Android 用戶        T客邦

阻監看APP入侵 手機上鎖多重保護  自由時報

【Verge|Bitcoin Gold|Monacoin】加密貨幣「51%攻擊」頻傳,兩週內已三起,問題均未獲解決        BLOCKTEMPO

【韓國現代集團|HDAC】現代汽車(Hyundai)相關的「HDAC礦池」遭到駭客攻擊       BLOCKTEMPO

AV片庫遭駭 女優自危!傳數百支無碼片外流 台灣蘋果日報網

趨勢科技—拖鞋、可樂與牛仔褲文化        快樂工作人雜誌

Windows 10四月更新又傳災情,部份用戶出現電腦桌面黑掉狀況       iThome

台灣團隊 建加密貨幣交易所      工商時報電子報

【立法者看資安法三讀通過】資安法是妥協下的產物,卻是資安發展重要關鍵第一步    iThome

AMD平台「Speculative Store Bypass」漏洞緩解措施       CompoTech Asia 電子與電腦

臉書更新雙因素驗證機制,不再強制要求電話號碼        iThome

美查獲殭屍網路 俄疑駭全球50萬台路由器    中央通訊社商情網

看問題/區塊鏈成詐騙者溫床?美2成ICO藏陷阱       今日新聞

繼續閱讀

區塊鏈:安全與 IOT(物聯網)之間的必要環節?

物聯網(IoT ,Internet of Thing已與主要網路攻擊產生關聯,通常涉及濫用易受攻擊的連網裝置 (例如監視攝影機),以協助進行惡意活動。當然,各界已對物聯網是否能確保連線至龐大網際網路的數十億部裝置的安全感到疑慮,並要求提供可行的解決方案以填補此安全缺口。此時登場的是區塊鏈,它是相對較新的技術,可望降低透過中央機構入侵物聯網裝置的風險,同時提升物聯網實作的擴充性。原則上,它可透過多種方式保護物聯網網路,例如針對異常網路行為形成群體共識,以及隔離未依規定運作的任何節點。

兩個關鍵促成要素合二為一:當物聯網遇上區塊鏈

在數十年之間,物聯網已大幅擴展並連接各種裝置與網路,包括住家、工作場所、運輸系統,甚至整座城市。另一方面,已問世十年的區塊鏈將透過其加密及分散式分類帳 (以建立可防止竄改的即時記錄),為商業模式帶來革命。透過物聯網與區塊鏈的協同運作,預期後者可為前者的裝置與程序提供可驗證且安全的記錄方式。

區塊鏈以分散式分類帳運作,將會記錄資料的每個刪除或修改動作,隨著更多資料 (區塊) 的加入,將建立更長的事件鏈。進行的每筆交易皆附帶數位簽章,而且永遠無法變更或刪除。由於區塊鏈去中心化的特性,理論上可防止易受攻擊的裝置推送假資訊及破壞網路環境,無論是智慧家庭或智慧工廠。

在一件最近發生且值得注意的物聯網安全事件中,區塊鏈可降低分散式阻斷服務 (DDoS) 攻擊的風險,這些攻擊會同時影響多台裝置:一台裝置中斷不應影響其他裝置。我們在保護智慧城市安全中注意到這個問題,此種權宜措施對於維持服務中的連線與功能而言非常重要,特別是關鍵系統。

使用區塊鏈,每個裝置都將具備強大的加密功能,進一步確保與其他裝置通訊的安全,並可在最重視隱私的物聯網使用案例中提供匿名性。採用者將可更妥善地追蹤裝置及發佈安全更新,協助強化潛在易受攻擊的裝置。 繼續閱讀

重新啟動你的路由器:VPNFilter感染全球超過50萬台的路由器

資安研究人員發表了一份報告,指出駭客利用惡意軟體 VPNFilter 感染至少54個國家,超過50萬台家用和小型企業路由器。這惡意軟體可以操縱受感染路由器進行攻擊、收集資料和進行通訊、竊取重要憑證、監視資料採集與監控系統(SCADA)協定,並且會安裝自殺指令來讓受感染設備無法使用。這些動作可以被單獨觸發或集中觸發。這波攻擊從2016年就已經開始,但在最近幾週突然大量增加,尤其是在烏克蘭。

 

根據研究人員對VPNFilter的觀察,這是種很複雜的模組化、多階段惡意軟體,會影響到商用路由器和NAS設備,並且分成三個階段進行散播和感染。

第一階段進行散播,目標設備是使用Busybox和Linux韌體的多種CPU架構。接著到Photobucket.com下載圖檔來取得IP地址以找到第二階段的伺服器。它的命令和控制(C&C)還有備用機制,像是如果Photobucket無法連上就會從ToKnowAll.com下載。它還會接收來自攻擊者的指令,從api.ipify.org檢查IP並儲存下來備用。在此階段就算是重新啟動設備,核心惡意程式碼也仍然存在於受感染系統中。

第二階段進行情報收集,如收集檔案、執行命令、管理設備和資料取出。它還部署了自毀能力。它能夠評估受感染設備的網路價值,特別是關於駭客感興趣的系統。駭客接著可以決定是否要利用此網路繼續收集資料,或利用系統的網路連線來進行散播。此階段的自毀功能會覆寫設備的重要部分再進行重啟,一旦攻擊者觸發內建的自殺指令就會破壞韌體,讓設備無法回復。 繼續閱讀

四種駭客眼線趴趴走,只把筆電鏡頭遮住夠嗎?

女大生邊泡澡邊用筆電看電影,遠端駭客也同步拍下,一封電郵是元兇

家人的對話竟被竊聽外傳! 除了人,只有語音助理 Alexa 在場,到底誰說溜了嘴?

「快起來,你爸爸在找你。」總在夜晚出現在幼兒房間的隱形人,竟是它…

信用卡被刷爆,竟是”虛擬女友”刷的

駭客寄信敲詐表示掌握了受害人觀看色情片的錄影檔

「 沒猜錯的話,xxxxxxx 應該是你的密碼,你可能不知道我是誰,也很好奇為什麼會接到這封郵件。
實際上,我早已經在你的電腦上安裝了惡意軟體,並拍下了你的看片過程,你懂我手裡有什麼東西了吧…..」據報導,很多使用者收到恐嚇信件,對方聲稱掌握了收件者看色情內容時的影片威脅受害者要把影片副本發給他所有的連絡人,除非在 24 小時內支付比特幣。

但據安全人員分析,這些詐騙的人並沒有掌握錄製的影片,只是電腦或手機被偷偷安裝間諜程式已經發生過很多案例。

駭客打開女網友的webcam偷窺 「我喜歡糟蹋這些奴隸」看到這樣的報導,女孩們怎能不生氣呢?!報導說 駭客入侵筆電 遙控偷拍辣妹洗澡,話說一名20歲的英國女大學生在浴室邊泡澡邊用筆電看電影,突然發現電腦視訊鏡頭自動開啟,女大生嚇了一跳,她懷疑電腦被駭客入侵,擔心自己在房內更衣和洗澡過程全都已經被人拍下。《英國廣播公司》(BBC)的調查指出,駭客利用各式吸引人的電郵,騙人點開有毒連結,之後利用中毒電腦的打開鏡頭後,偷拍電腦前的女性,然後將照片上傳到網路,甚至出售牟利。

🔴 深入報導:Facebook 執行長做的這件事,FBI 局長 James Comey 也這樣做

駭客遙控偷拍過程如下:

1.在特定網頁上植入木馬
2.受害者點選特定網頁後中毒但不自知
3. 駭客遙控受害者的網路攝影機並錄下裸照影片

防止被偷拍請這麼做:

  1. 當您不使用時,記得關閉攝影機並蓋住鏡頭。(粉絲建議:不透光的布,黑色膠帶)
  2. 電腦不用時請關電源(防偷窺又環保)
  3. 將攝影機安裝在像客廳這樣的開放空間,不要讓小孩在私下使用。
  4. 別讓小孩使用攝影機與非通訊錄上的任何人聯絡,或者與素未謀面的人聯絡。
  5. 提醒您的小孩不要回應陌生人的即時通訊、電子郵件或聊天請求。
  6. 別讓攝影機照到任何您希望保留隱私的資訊。例如,可以照到門牌號碼的地方。
  7. 勿開啟不明連結或檔案
  8. 下載免費分享軟體應當心(這類偷窺惡意程式常常夾帶在網路分享軟體)
  9. 使用可即時防禦網頁惡意連結的防毒軟體 >> 即刻免費下載PC-cillin 雲端版 ✓手機✓電腦✓平板 皆適用

    PC-cillin 雲端版跨平台防護3到位 揪出偷窺木馬 間諜軟體 out!

現在,你要做的絕對不只是把筆電鏡頭遮住那麼容易….

避免被駭客遠端監控,你要做的絕對不只是把鏡頭遮住那麼容易。駭客的眼線愈來愈多,他可以做的事包括: 

  • 知道你的體重
  • 家中監視器成直播鏡頭
  • 語音助理變成竊聽器
  • 運動 APP 洩漏軍機
  • GPS 說了不該說的秘密
  • 手機成竊聽器
  • 上傳的照片透漏你家位置

安裝竊聽器,落伍了 ! 你親手安裝的手機 app,會自動幫你打開麥克風錄音?
在網路分享照片以為不標地點別人就不知道你在哪?
虛擬女友也會仙人跳? 盜刷你的信用卡! 詳情請看:【 病毒警訊】雙平台間諜軟體偽裝”虛擬女友”成人遊戲 暗中錄音 竊取簡訊

駭客的四種眼線,竟在你口袋趴趴走? …..還有你家客廳和臥室!

駭客的眼線1-您親手安裝的 app

安裝竊聽器,落伍了! 你親手安裝的手機app,會自動幫你打開麥克風錄音?

最近有款跨平台間諜軟體,偽裝”虛擬女友”成人遊戲,會暗中錄音,竊取簡訊,鎖定 Windows 和 Android 用戶 還會盜刷信用卡! 詳情請看:【 病毒警訊】雙平台間諜軟體偽裝”虛擬女友”成人遊戲 暗中錄音 竊取簡訊

在過去,間諜會在聚會的房間裡安裝竊聽器以記錄談話。如今,網路犯罪分子可以透過社交工程(social engineering )來在手機上安裝應用程式以打開麥克風,進而記錄任何談話。他們也可以竊取手機上的資料,包括電子郵件內容。使用者需要認識到手機和平板電腦並不會因為執行特製作業系統或因為是行動設備就比較安全。

熱門的糖果遊戲為何需要存取你的通訊錄?

你知道有些應用程式可以用麥克風收音卻沒讓你知道嗎?

它們的目的是什麼?

App的自動提醒功能超方便,卻會讓人知道你的位置和行程安排。如果你覺得不妥,那該怎麼辦?

越有可能被濫用的權限就更應該考慮到應用程式的來源。對發布者或應用程式做些背景調查並試著了解它是否安全,尤其是自己下載而非手機上預載得更要留心。建議檢視你手機上所有應用程式的權限,並停用你覺得可能沒必要的權限。

延伸閱讀:

訂閱資安趨勢電子報

駭客的眼線2 – GPS說了不該說的秘密

跑步健身app Strava 路徑圖意外洩軍跡!

媒體報導指出上百款GPS追蹤服務有漏洞,可能洩露你的行蹤、個資 ,研究人員指出,寵物追蹤、個人健身或是家人攜帶的隨身求助裝置所使用的線上服務隱藏許多程度不一的漏洞及安全風險,可能讓駭客取得使用者的位置、電話、使用裝置、上傳照片等個人 資料。


“與全世界運動愛好者交流”為定位的Strava 行動應運程式,號稱有數百萬名跑者與自行車手因為熱衷相同運動,而透過網路彼此交流聯繫。Strava 可以把iPhone 和 Android 手機變成跑步和騎車記錄系統,也能和 GPS 手錶和頭戴裝置搭配使用。這個號稱全球最好的追蹤系統,擁有強大的 GPS 定位技術,可記錄、分享用戶的運動路徑。 但由於 Strava 的地圖資訊過於詳盡,讓使用該 app 的軍人不小心讓軍事基地等敏感資訊曝光。

你的手機 APP,社群網站貼文和照片是否公開了自己的秘密?

社群網站雖然方便有趣,公開資訊時還是必須留意,免得不小心將自己的體重洩漏給大家知道了,提醒大家除了貼文本身的內容外, 也要當心上傳照片時,GPS公開你的拍攝位置。

在網路分享照片以為不標地點別人就不知道你在哪?如果拍照時開啟了 GPS 定位功能,照片的 EXIF 資訊就會紀錄地點,包含準確的精度、緯度、高度,藉由相關軟體可以精確定位到具體的某棟建築物地點,甚至還能推算出對方住的樓層!

為了不讓使用社群網站的快樂分享變成尷尬的回憶,公開資訊時請特別留意。

最小化定位服務的授權
定位服務或設定通常是iOSAndroid快速設定的一部分,可以讓應用程式和網站使用來自手機網路、無線網路、GPS和藍牙的資訊來確認使用者的大致位置,而這可能會造成疑慮。允許存取iOS設備定位服務權限時,建議只選擇使用期間而非永遠,這可以防止惡意軟體在背景執行來竊取裝置的定位資訊。

延伸閱讀:

跑步健身app Strava 路徑圖意外洩軍跡! 七習慣保護行動裝置

你的手機定位服務一直開著嗎?10 個保護行動設備的方法

【FB 與 IG 隱私設定】出遊打卡,把親友拖下水,還告訴小偷:闖空門正是時候?

(穿插 PCC 隱私設定)

駭客的眼線3- IOT 家用裝置

不想公布體重? 駭客都知道
現在不僅僅是電腦及智慧型手機備有通信裝置,甚至連家中的電視、空調,運動器材及無線體重器、轎車等都備有通信功能。即使不在現場亦能得知智慧型裝置的現狀,且還能進行遠端操控。這些都是物聯網(IoT ,Internet of Thing)時代的科技產物。

如果與 APP 配對的物連網裝置沒加密,當你在量體重的時候,有心人用網路封包監聽(sniffer),就可以知道你的體重!

語音助理竟成為竊聽器? 還會未經同意幫你網路下單!

時間發生在 2015 年 4 月,美國華盛頓的一對夫妻陷入了一個令人寢食難安的狀況。好一陣子,他們的三歲兒子一直在抱怨有個隱形人會在晚上出來跟他講話。一開始,他們還一直叫小孩不要亂講,直到有一天他們真的聽到陌生人的聲音從他們兒子房間裡安裝的嬰兒監視器中傳出。

那個聲音說:「小朋友,快起來,你爸爸在找你。」

更令他們毛骨悚然的是,他們發現該裝置的攝影鏡頭竟然還會跟著他們移動,那鬼魂般的聲音接著說:「看看是誰來了。」

這只是眾多家庭聯網裝置遭駭的恐怖故事之一。

「除了人,只有 Alexa 在場,到底誰說溜了嘴!」最近發生Amazon 人工智慧助理Alexa疑似竊聽用戶家中對話,並傳送給了通訊錄中的友人的事件。 

先前有一名 6 歲女童,在跟亞馬遜Alexa 語音助理說話時,意外啟動網路購物功能,訂購了金額達 162 美元(約新台幣 5,200 元)的娃娃屋和餅乾。更令人傻眼的是,美國1名主播,在播報該新聞時,說了:「Alexa(亞馬遜語音語音助理),幫我買1間娃娃屋!」竟意外啟動許多觀眾家中的Alexa,同步訂購娃娃屋,事後,電視台立馬被接連不斷的客訴電話打爆。

研究人員發現了熱門智慧家居系統內的物聯網(IoT ,Internet of Thing設計缺陷:他們發現駭客可以寫程式利用Amazon的Alexa服務來竊聽使用者並轉錄所聽到的訊息。要做到這點只需要建立一個應用程式,讓語音啟動的數位助理將所聽到的所有內容轉錄給駭客,這是種會被惡意用來竊取敏感資訊的功能。

保護你的 IOT 裝置

科技智慧化的結果,人們可以很方便地透過網路來查看監視攝影畫面,但這也讓其他連上網路的人都有機會看到。任何未經授權的人,只需具備特殊的工具和專業知識就能辦到。有些問題,固然應該由裝置廠商出面解決,但使用者仍須謹記一些智慧型裝置的使用原則,包括:務必變更預設的登入帳號密碼,以及使用不易猜測的密碼來確保網路安全,並且保障使用者隱私權。

延伸閱讀:兒童智慧手錶出現的漏洞造成安全隱憂

駭客的眼線4- 你上傳的照片

 你以為入鏡的只有你嗎? 你分享的比你想像的多更多
照片中的威廉王子跟軍中夥伴在辦公室和樂的聊天。這張照片發佈後,就被眼尖網友發現貼在牆壁上不尋常的紙張,原來英國皇家空軍也跟很多老百姓一樣,把密碼大方的貼在牆壁上!

雖然隔天該照片就全面從網站下架,但早就被很多網站備份了。

神力女超人的穿幫推文 代言華為手機「透過iPhone傳送」 

「神力女超人」蓋兒賈多特(Gal Gadot)2018年1月起成為華為手機代言人,日前在社群網站分享正式廣告影片,卻被網友發現她的推特發文底下顯示「透過iPhone傳送」……

深入報導:你上傳的照片,說了那些不該說的秘密?



PC-cillin 雲端版🔴社群隱私防護 🔴保護個資 ✓手機✓電腦✓平板,跨平台防護3到位 》 免費下載


FB IG Youtube LINE 官網

《資安漫畫 》一旦不小心開啟可疑連結時該怎麼辦?

當心埋伏在郵件或社群網站,誘騙下單的購物網站!

近年來,誘導網路使用者至惡意網站進而盜取資訊或是騙取金錢的手段是越見高明。網路駭客會偽裝成實際存在的企業團體或是親朋好友假借傳送郵件或社群網站的訊息,以不需通過經授權的方式將廣告刊登在網路上,企圖誘導網路使用者前往惡意網站。

例如,最常見的手段就是偽裝成宅配業者,寄送不在府通知單,企圖將收件者誘導至未經授權的網站。在臉書等社群網站上,駭客無所不用其極盜用收件者的信箱帳號,並偽裝被盜帳號者貼文。此時如出現「感染病毒」等警示文字樣,務必有所警戒了。

如果,在進入信箱或社群網站的訊息或網站廣告時一旦被要求輸入任何資訊,務必提高警覺。網路釣魚詐騙網站是一種會偽裝成實際存在的購物網站、銀行、信用卡公司等的官方登入頁面的假網站。利用上述手段伺機騙取網路使用者輸入帳號、密碼、個資、信用卡等資料並進行不法使用。

繼續閱讀