資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

雙11購物節起跑必看！10/9~10/15 最新詐騙賣場

2017 年 10 月 19 日2017 年 10 月 19 日趨勢科技TrendMicro

在現代生活中，網路購物的次數越來越多，歹徒詐騙的手段及目標也轉換的越來越快！
尤其是緊接著的雙十一購物節，民眾更要小心自己在網路賣場的購物行為，記住以下的詐騙關鍵字，才能保障自己在享受折扣季之餘，也能輕鬆堵絕詐騙集團的層層陷阱！

以下是「趨勢科技安全達人」與「刑事警察局」共同合作，公布本週經民眾通報的高風險賣場：

WPA2 加密機制爆漏洞, 五招自保以防Wi-Fi 上網遭偷窺

2017 年 10 月 19 日2017 年 10 月 24 日趨勢科技 TrendMicro

最近，Wi-Fi 無線網路加密協定 WPA2 被揭露多項安全漏洞，據稱可能讓 Wi-Fi 無線裝置遭到所謂的「金鑰重新安裝攻擊」(Key Reinstallation AttaCK，簡稱 KRACK)，是一種針對 WPA2 加密機制漏洞的概念驗證攻擊。KRACK 採用的是「篡改並重送加密交握訊息」的手法，也就是從系統和裝置在彼此通訊之前交換參數的流程下手。

WPA2 是藉由授權與加密機制來確保 Wi-Fi 裝置及硬體的通訊安全。KRACK 攻擊如果得逞，駭客就能偷窺裝置與 Wi-Fi 無線基地台之間的網路流量。

根據科技新聞網站 Ars Technica 表示，美國電腦緊急應變小組 (United States Computer Emergency Readiness Team，簡稱 US-CERT) 在針對某些機構發出的公告當中指出，這批漏洞是發生在雙方進行交握 (handshake) 以產生網路通訊加密金鑰的過程。此金鑰只要被重新傳送多次，未來就能重複使用，但該金鑰原本應該只能使用一次。

[延伸閱讀：公共 Wi-Fi 基地台安全嗎？]

根據 Ars Technica 的引述：「US-CERT 目前已掌握多個 WPA2 加密協定四向交握 (4-way handshake) 流程相關的金鑰管理漏洞。這些漏洞可能引發的問題包括：封包解密、封包轉遞、TCP 連線挾持、HTTP 內容注入…等等。請注意，由於這是通訊協定層次上的問題，因此所有或絕大部分正確實作該協定的裝置都受到影響。」

研究人員指出，有 41% 的 Android 裝置將受到 KRACK 攻擊手法的影響，而 Linux 系統也受到嚴重影響。此外 Apple、Windows、OpenBSD、MediaTek 以及 Linksys 的裝置也同樣受這批漏洞影響。以下是這批漏洞的 CVE 編號清單：

[延伸閱讀：BlueBorne：數十億裝置因藍牙漏洞而有遭駭客攻擊的危險]

發現這批漏洞的兩位研究員：Mathy Vanhoef 和 Frank Piessens 預定在即將舉行的 ACM Conference on Computer and Communications Security (CCS) 研討會上發表其研究結果。此外，兩位研究員針對 WPA2 的安全性還有其他相關研究，目前正針對今年八月在 Black Hat Conference 駭客研討會上展示的成果做進一步的探討。該研究詳細說明 Wi-Fi 交握機制實作邏輯上的一些漏洞，以及可採取哪些應對措施。去年，兩位研究員也曾發表一份研究報告指出 WPA2/802.11 群組金鑰可能如何遭到解密及濫用。

[資安指南：防範中間人 (MitM) 攻擊]

五招降低 Wi-Fi 網路與裝置遭到攻擊的危險

有鑑於這批漏洞的潛在影響，IT 系統管理員、資安人員及一般使用者最好採取一些最佳實務原則與並養成良好習慣來降低 Wi-Fi 網路與裝置遭到攻擊的危險：繼續閱讀

前蘇聯國家的銀行遭受商業流程入侵（BPC）攻擊,損失約4,000萬美元

2017 年 10 月 19 日2017 年 10 月 18 日趨勢科技 TrendMicro

不管是大型銀行還是中小企業都可能會遭受商業流程入侵（BPC）攻擊。不過還是有辦法防範或減輕它所造成的影響….

金融機構是商業流程入侵（BPC）攻擊的主要目標之一，就以2016年的孟加拉銀行事件為例，這起利用銀行內部流程的複雜性攻擊導致了8,100萬美元被竊走。而在最近的另外一起事件中，商業流程入侵（BPC）攻擊了多家前蘇聯國家的銀行，造成約4,000萬美元的損失。

商業流程入侵（BPC）攻擊會惡意操弄正常的內部流程。在這些最新的攻擊中，攻擊者結合了現實中的詐騙以及網路攻擊。第一部分是利用了透支額度（OD），這指的是金融簽帳卡允許使用者使用多少超出帳戶實際存款的金額。在這起案例中，攻擊者派出許多人申辦有金融簽帳卡的銀行帳戶。然後將卡片送到位於歐洲各國的惡意份子手上。

攻擊者還利用網路釣魚活動來針對銀行員工，目的是要在他們的系統上安裝惡意軟體（趨勢科技偵測為TROJ_MBRWIPE.B）。這種惡意軟體成為攻擊者進入銀行網路和系統的後門。一旦進入，攻擊者會使用銀行的VPN憑證來連上第三方的支付處理服務網路，接著植入各種惡意軟體，包括能夠連上控制卡片管理基礎設施的監控工具。同時還會安裝其他軟體如合法的監控工具Mipko來取得螢幕截圖和按鍵側錄等等。

這場精細策劃並實行的搶劫成為了商業流程入侵（BPC）攻擊的完美範例。這些攻擊是對企業來說日益嚴重的問題，根據2013年至2015年的資料，企業已經因為商業流程入侵（BPC）攻擊而損失至少31億美元 – 這數字在今日可能會更高。

五招防止商業流程入侵（BPC）攻擊

不管是大型銀行還是中小企業都可能會遭受商業流程入侵（BPC）攻擊。不過還是有辦法防範或減輕它所造成的影響：繼續閱讀

Subaru多款車輛爆遙控鑰匙漏洞, 駭客可以複製車鑰匙

2017 年 10 月 18 日2017 年 10 月 18 日趨勢科技 TrendMicro

電子設計師Tom Wimmerhove最近發現汽車製造商Subaru多款車輛的遙控鑰匙漏洞。一旦攻擊成功就可以讓駭客或小偷複製遙控鑰匙來進入汽車。

Wimmenhove將其稱為“fobrob”攻擊，指出這漏洞相對容易被攻擊。通常遙控鑰匙會滾動或跳躍性的送出代碼，支援keyless的汽車就會加以處理來解鎖車門。這些滾動代碼被設計成隨機產生以防止重用，但Wimmenhove指出Subaru用來生成鑰匙代碼的演算法有缺陷，具有可預測性或順序性而非隨機。駭客只需一個25美元的設備來捕捉汽車鑰匙發送的封包資料並取出資料所產生的滾動（上鎖和解鎖）代碼。就可以將這些代碼複製到Raspberry Pi上。

受影響車款包括Subaru Baja（2006），Subaru Forester（2005-2010），Subaru Impreza（2004-2011），Subaru Legacy（2005-2010）和Subaru Outback（2005-2010）。Wimmenhove還展示了對Subaru Forester的漏洞攻擊。

直到本文撰寫時，Subaru尚未承認此問題或回應評論的請求。Wimmenhove告訴BleepingComputer說：“我的確有進行聯繫。我告訴他們此漏洞並與他們分享我的程式碼。他們將我導向他們的“合作夥伴”網頁並要求我填寫問卷。“

[延伸閱讀：汽車駭客問題引發汽車產業的改變]

汽車駭客成為越來越重要的問題，因為汽車變得更加智慧化，依賴網路來替使用者提供一連串的功能。Subaru只是眾多受到汽車駭客影響的汽車製造商之一。早在2015年，智慧車輛的功能如資訊娛樂、無線網路和行動連線服務以及其他數位/線上功能（即用於keyless進入的無線設備）已經成為進入目標車輛的大門。

在8月，米蘭理工大學的Linklayer實驗室與趨勢科技前瞻性威脅研究（FTR）團隊合作詳盡研究了影響控制器區域網路（CAN bus）的漏洞。CAN標準是一種車輛內部基於訊息的汽車網路，可讓汽車的微控制器和設備透過應用程式相互溝通。該研究闡述了CAN bus漏洞如何造成停用連到汽車網路的設備，如安全氣囊、停車感應器和其他安全系統。鑑於使用此協定的汽車製造商數量，這安全漏洞對汽車不管虛擬或實體的安全性都有著顯著的影響，並且會影響提供許多功能之零組件的完整性。

[來自TrendLabs Intelligence Blog：你的汽車散播出過多資訊？]

汽車採用了最新科技而變得更加智慧化，也讓汽車成為了駭客的新目標，請注意相關的警告。此外，汽車製造商也在主動地更新或修補整合進其製造車輛內的應用程式，啟動可以更好地偵測車輛內漏洞的計畫。在去年2016年，美國的汽車資料共享和分析中心（Auto-ISAC）與汽車製造商合作制定了智慧車輛安全性的最佳實作。歐盟也一樣地透過概述安全標準和多項程序認證來確保物聯網（IoT Internet of Thing）設備（包括智慧車輛）的資料隱私。

@原文出處：Vulnerability in Key Fob Can Let Hackers Open Subaru Cars