美國食品藥物管理局 (FDA) 最近針對 465,000 個據報含有安全漏洞的植入式心律調節器發出一項公告。廠商召回這些採用無線射頻 (RF) 通訊技術的裝置以更新韌體，藉此修補安全漏洞。
根據美國工業控制系統網路緊急應變小組 (ICS-CERT) 指出，這些漏洞「可能讓附近的網路駭客連上心律調節器並下達操作指令、變更設定，或者干擾心律調節器的功能。」駭客可利用這些漏洞來突破或繞過心律調節器的安全認證機制，進而經由無線射頻下達操作指令，或者將未經加密的病患資訊傳送給程式設計師或家用監視器。此外，經由這些漏洞，駭客還可修改心律調節器的設定，或者將裝置電池耗盡等等。
隨著連網醫療裝置日益普及，類似這樣的案例將越來越多。9 月 7 日，ICS-CERT 也發出了一份類似的公告，這一次，受影響的是某全球品牌的無線輸液幫浦，其幫浦廣泛應用在加護病房 (如：新生嬰兒及兒童加護病房)。藉由裝置的漏洞，「遠端駭客就能連線進入裝置，然後干擾幫浦的運作。」這些漏洞的發生原因不外乎：緩衝區溢位、韌體中寫死的無線通訊密碼，以及憑證驗證與存取控管機制不良。 繼續閱讀
全球各地的家庭正快速採用對話式使用者介面 (CUI) 技術，也就是我們熟知的 Siri、Alexa、Cortana 及 Google Assistant 等語音助理背後的技術。報導指出 2017 年具有語音功能的機器出貨量達到 2,400 萬部，而且仍在持續成長。隨著這些裝置逐漸問世，使用者立即發揮它們的最大潛力，創造出越來越多的連網家庭。
鍵盤漸漸不再是主要的輸入裝置，如果只要說出問題或指令即可，又何需打字呢？但這項技術也帶來一些新問題，包括如何操縱語音資料，以及如何破解這些裝置。既然這些智慧型裝置負責控制部分居家功能，想當然爾，會產生關於隱私與安全的疑慮，它們可接收對話內容，並將其記錄下來，造成嚴重的隱私問題。
根據近期事件顯示，即使是合法的公司也在尋找特殊方法，濫用這些裝置對於聲音的靈敏度。其中一則案例與一家廣受歡迎的速食連鎖店有關，該連鎖店製作一則廣告，刻意觸發Google智慧助理的口令:「OK, Google」，使家裏有Google的智慧管家「Google Home」的觀眾,自動啟動語音助理回答裝置,搜尋並念出該產品在維基百科上的介紹。，雖然公然地利用這些裝置並不違法,除了使用者反彈, 竄改漢堡王的維基百科頁面，並把華堡的內容物被加入「老鼠肉」、「腳趾甲片」等副作用外,新技術領域意味著沒有規則可以管理這些裝置的使用。
一位漢堡王員工手拿漢堡王的華堡：「你正在觀看漢堡王的15秒廣告，但顯然這時間並不足以讓我介紹華堡。」他表示想到一個主意，接著，他說:「OK Google，華堡是什麼？」上述影片是網友將廣告啟動Google Home錄下來的影片
另外有些事件，是這些裝置意外錄下一些資訊或執行指令，竟意外地解決一場爭端,與同居人爭吵的男子, 拿槍指著女友並問：“你打電話給警察了嗎？“Google Home 顯然聽到了“打電話給警察”，然後就執行了這項指令。911在電話背景中聽到了爭執,警察即時趕到阻止了可能的悲劇。 繼續閱讀
美國國家野火應變調度小組 (National Wildfire Coordinating Group，簡稱 NWCG) 的網站被人發現暗藏一個 JavaScript 檔案下載器，專門散布 Cerber 勒索病毒。發現該問題的資安研究人員 Ankit Anubhav 表示，該網站上提供的一個 .zip 壓縮檔案內含一個 JavaScript 會執行一段經過加密編碼的 PowerShell 腳本。當 PowerShell 執行時，會去下載一個偽裝成 GIF 圖片的 Cerber 執行檔。
目前仍不清楚駭客如何在該網站植入此勒索病毒，也不曉得是否有任何瀏覽該網站的訪客遭到感染。有可能是該網站遭到駭客入侵，或者該網站儲存了一些含有惡意程式的電子郵件附件壓縮檔。
在該網站上發現的變種與 Cerber 第 6 版都是利用社交工程電子郵件挾帶含有惡意 JavaScript 檔案的附件壓縮檔。從趨勢科技所分析到的 JavaScript 檔案中，我們看到三種感染電腦的方式：直接下載惡意檔案來執行、建立排程工作讓病毒延遲兩分鐘後再執行、執行一個內嵌的 PowerShell 腳本。
圖 1：Cerber 6 感染過程。
Anubhav 在 Twitter 上公布這項發現之後，幾小時內該惡意程式的連結就已被移除。 繼續閱讀
最新一波勒索病毒攻擊鎖定的目標是 MongoDB 資料庫，全球已有數以萬計的伺服器受害。根據媒體報導，有多個駭客集團共同策劃了這一波攻擊，其中一個集團已經駭入了 22,000 台伺服器。
駭客專門攻擊可公開存取並採用預設值設定的資料庫，他們不僅會刪除資料，還會將資料替換成勒索訊息：
「We have your data. Your database is backed up to our servers. If you want to restore it, then send 0.15 BTC [$650] and text me to email, just send your IP-address and payment info. Messages without payment info will be ignored.」(你的資料在我們手上，我們已經將資料備份到我們的伺服器。如果你想要回資料，就匯 0.15 個比特幣 [約 650 美元] 給我，並用電子郵件把你的 IP 位址和付款資訊寄給我。郵件內若無付款資訊我們將會忽略。) 繼續閱讀
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
CLOUDSEC 2017 企業資安高峰論壇精彩回顧:
【CLOUDSEC 2017 企業資安高峰論壇】9月6日上午精彩議程由 IDC 亞太區資安副總裁、國際資安事件應變小組論壇 、趨勢科技全球技術長領先登場，還有獲得熱烈迴響的「IoT 駭客攻擊模擬展示」, 邀請您回顧精彩重播….
資安趨勢部落格一周精選:
行動電源怎麼買?怎麼使用才安全?- 三個選購原則,六個安全使用小撇步
《魚叉式網路釣魚》 一封假的 PDF工作邀請函, 網路間諜集團鎖定 G20 高峰會各國代表
媒體資安新聞精選:
汽車CAN協定遭爆重大安全漏洞，可讓駭客關閉安全氣囊或感應器