Java零時差漏洞和Blackhole漏洞攻擊四種社交工程誘餌
上禮拜的Java零時差漏洞已經被許多種漏洞攻擊包所用，包括大家所熟知的Blackhole漏洞攻擊包。
在這篇文章中，我們會介紹在過去一週內所爆發的一些相關攻擊。趨勢科技主動式雲端截毒服務 Smart Protection Network中的自動化處理系統已經開始偵測這些攻擊，只要它們一出現就會加以封鎖。
有許多種方法被用來將網路使用者導到藏有這些攻擊程式的網頁上，包括：
利用多種方式來將使用者導引到惡意網站，的確增加了攻擊成功的機會，也讓使用者所面臨的風險更大了。在垃圾郵件方面，我們看到四種被使用的社交工程陷阱( Social Engineering)誘餌：
作者：趨勢科技雲端安全副總裁Dave Asprey
最近全世界的資安專家在議論紛紛的話題，就是有一百萬筆Apple設備的UDID被稱為AntiSec的組織給公布出來。(中文請參考:駭客入侵FBI探員電腦1200萬蘋果用戶個資外洩)駭客從保護不善的公司手上取得客戶資料已經不是新聞了，但如果是一個FBI探員的筆記型電腦被入侵，那就絕對是新聞。而且我們聽說它包含了超過一千兩百萬筆的設備ID，以及相關的個人資料。Antisec聲稱他們先刪除部分可供識別的資料後，將這一千兩百萬筆內的一百萬筆公布出來。不過也足以讓使用者確認自己是否在列表上。（編者注：請參考底下關於資料洩漏來源的更新資料。）
以下根據AntiSec在pastebin的貼文：
|
在2012年三月的第二個禮拜，FBI區域網路行動小組和紐約FBI辦公室證據反應小組的主管 – 特別探員Christopher K. Stangl所使用的Dell Vostro筆記型電腦被人利用Java內的AtomicReferenceArray漏洞給入侵了，透過shell session，從他的桌面資料夾下載了某些檔案，其中一個檔名為「NCFTA_iOS_devices_intel.csv」，結果是包含12367232筆Apple iOS設備的列表，包括唯一的設備識別碼（UDID）、使用者名稱、設備名稱、設備類型、Apple推播通知服務標記、郵遞區號、手機號碼和地址等，關於個人資料部分，許多欄位都是空的，讓整份列表看來並不完整，這資料夾中也沒有其他檔案有提到這份列表或它的目的。 |
你在名單上嗎？
我的Apple i設備並不在這列表上，但不能保證FBI沒有我的設備ID，宣稱取得的一千兩百萬筆ID內，只有不到10％被公布出來。
謝謝NextWeb，你可以輕鬆地檢查自己是否在這份設備列表中。
首先，取得你的UDID：
第1步：將你的Apple i設備連接到你的電腦。
第2步：在iTune內選擇你的設備。
第3步：按一下「序號」，它會變成你的DiD
（或是看這裡的圖片教學）。
然後，在Next Web免費工具上輸入你的UDID （不用全部）：
作者：Brice An（趨勢科技行動威脅分析師） 趨勢科技監測了三個受歡迎的Android應用程式商店 – Google Play、Nduo和GFan。在上面發現了好幾個廣告軟體。一旦安裝，廣告軟體就會顯示惱人的廣告。 下列圖表顯示出在八月還在線上的廣告軟體。根據趨勢科技的研究，GFan出現最多被偵測為廣告軟體的應用程式。這可能是因為它在中國市場最普及。開發者可能去開發這些應用程式來顯示多個廣告到被感染的系統上，試圖利用更多的使用者來產生更多利潤。
趨勢科技還發現，在這些網站上所提供的廣告軟體中，數量最多的是ANDROIDOS_ADWIZP，ANDROIDOS_AIRPUSH，ANDROIDOS_ADSWO，ANDROIDOS_LEADBOLT，ANDROIDOS_TOUCHNET的變種。除了TOUCHNET外，所有的廣告軟體在之前就已經可以被偵測到。 安裝之後，TOUCHNET不但會顯示廣告，還會利用通知來發廣告。它並不會顯示是哪個應用程式顯示這廣告的。這可能是為了防止使用者判斷哪個應用程式需要被移除的手法。
趨勢科技透過趨勢科技行動安全防護for Android中文版來保護Android手機使用者，可以偵測偽裝成一般應用程式的惡意軟體。想知道更多關於如何保護Android系統免於被感染的威脅，可以參考：安裝手機應用程式前要注意的三件事/保護你的Android智慧型手機5步驟 ＠
原文出處：164 Unique Android Adware Still Online
想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚
◎延伸閱讀 以”世界第一足球寶貝動態壁紙”為餌的Android木馬,控制中國移動用戶的簡訊功能
手機防毒不可不知(蘋果動新聞 有影片)
防毒也防失竊趨勢科技行動安全防護軟體測試 [評測]趨勢科技行動安全防護for Android TMMS 3.75 Stars in PC World AU
2012年早些時候，一種被稱為Plugx（也被稱為 Korplug）的新型遠端存取工具（RAT）出現在真實世界中。PlugX，據報被用在有限的APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊裡，是專門為此類攻擊而客製化的遠端存取工具例子。
使用此新工具背後的想法很簡單：更少的可識性也更讓安全研究人員難以捉摸。然而，這並不代表這起攻擊是新的。趨勢科技的監測顯示使用 PlugX 的攻擊活動（至少）可以追朔至2008年2月。
該攻擊活動使用 Poison Ivy遠端存取工具，據報會針對在日本、中國和臺灣的特定使用者。這攻擊活動也是今年早些時候所發表的一起大型協同攻擊的一部分。關於它的起源，我們注意到PlugX主要散布到政府相關組織和一個位於日本的特定公司。
跟之前的Poison Ivy攻擊活動類似，它是透過魚叉式釣魚郵件的附件檔到達，可能是壓縮過的檔案或特製的文件檔來攻擊 Adobe Acrobat Reader或微軟 Office 的漏洞。我們還發現一起針對韓國網路公司和美國工程公司的 PlugX 案例。
Poison Ivy和PLUGX C&C伺服器：花開並蒂的關係
在我們的監視期間，我們最初看到一個PlugX變種會連到名為{封鎖}eo.flower-show.org的命令與控制（C&C）伺服器。根據歷史資料，我們確認這是個惡名昭彰的已知Poison Ivy C&C。使用{封鎖}eo.flower-show.org所解析出的IP地址，我們可以對應到數個C&C網域。這些C&C似乎都被Poison Ivy和PlugX變種所使用。
下面的關係圖顯示解析出的IP位址、C&C網域、遠端存取工具變種和這些遠端存取工具散播日期間的關係。注意到關於舊變種，我們使用的看見它們出現的最早日期。
在上圖中，我們可以看到雖然這起攻擊活動現在使用新的PlugX遠端存取工具，同時也還在繼續散播相對較久也更穩定的Poison Ivy變種。因為它的變體會植入除錯日誌到%System Root%\Documents and Settings\All Users\SxSbug.log，我們也懷疑PlugX可能仍在測試階段。此日誌檔記錄遠端存取工具程式碼內的可能錯誤，可能在之後上傳到攻擊者的C&C伺服器以作稽核用。
雖然為APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊開發客製化遠端存取工具並非新鮮事，我們可以看到PlugX的幕後黑手已經開始散佈其仍在測試中的遠端存取工具。這些惡意份子自2008年就已經存在，他們可能已經到達某種程度。很可能是在利用目標機器來改進他們的遠端存取木馬，以用在未來更加麻煩的攻擊活動中。
不幸的是，測試版遠端存取工具程式碼中的錯誤可能為攻擊者和任何被針對的組織導致意想不到的後果。例如，被存取的檔案可能非預期的損壞，造成大量的資料遺失。
趨勢科技的使用者受到主動式雲端截毒服務 Smart Protection Network的保護。特別是檔案信譽評比服務會偵測並刪除PlugX（BKDR_PLUGX和TROJ_PLUGX）和Poison Ivy（BDKR_POISON）變種。網頁信譽評比和電子郵件信譽評比服務會封鎖上述C&C和相關電子郵件。
＠原文出處：PlugX: New Tool For a Not So New Campaign作者：Roland Dela Paz（威脅研究員）
作者：趨勢科技資深資安顧問Rik Ferguson
當我在這個週末用iPhone來上Facebook時，我看到一個好友利用圖片分享網站來分享一個非常有趣的圖片，很值得仔細看看。我點了那張圖片，本來是想要看到全螢幕圖片版本，結果卻遇到一次非常積極且具有針對性的賺錢騙局。我的瀏覽器被重新導向到一個網站，出現一個訊息通知我首次進入英國（Apple）抽獎活動。因為只有「OK」按鈕，我也不得不繼續下去…
下個畫面就非常明確的告訴我，我的iPhone手機號碼被隨機抽中，有資格在下列獎項中四選一：MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2。為了加強可信度，這個頁面還會秀出之前幸運中獎者的110個留言中選出的十筆。我可以確定Marcus、Alex和Sue都是很可愛的人，但我並不真的相信有這些人存在。
我選擇了iPad 2（看起來是唯一還可以選的獎品），我的獎品立刻被「保留」起來，我只要再回答最後一個問題就可以了…
我被重新導到一家Quizir公司所提供的測驗服務。一開始畫面上問我一個很簡單的問題。但是當我滑動螢幕，我注意到一段很長的小字通知，我需要付3英鎊來加入測驗，而且每回答多一個問題都要再3英鎊。嗯嗯，也許我並沒真的那麼幸運。這個條款還說，我只是有中獎資格，就跟其他參加者一樣。當然，我並沒有真的在我的手機上繼續他們所要求的步驟。
這整個騙局看起來非常具有針對性，而且顯然是假的，我決定小小的研究一下。我發現這家Quizir是荷蘭一家RD Media的子公司（其他子公司還有Crosmo，Djugo…）。我瀏覽了他們的網頁，好找出更多關於這顯然被人所濫用測驗服務的線索。
根據一些其他的線上條款，每個參加者必須獲得至少5000點才有資格獲獎，每個比賽必須最少有100名參加者，才能夠產生贏家。這些條件都沒有在我的手機測驗畫面中被提及。而且，不管在網路或手機上都沒有提到要怎麼去累積積分。當我打電話給他們的客服，他們很高興的替我解釋。如果我可以在七秒內回應簡訊的話，我會得到700分，每多5秒就會少100分，如果我的時間超過1分鐘，我只能得到100分。每則簡訊3英鎊，如果我真正想要成為贏家，那我可得要花上不少錢！
雖然一開始的誤導性視窗和重新導向的惡意廣告並不是來自RD Media，我在電話上交談的那名工作人員也沒辦法跟我說清楚和合作廠商的支付行為是怎麼進行的。不過我也很懷疑他們是否有支持這些合作廠商的惡意廣告。RD Media當然也不能說是無辜的，他們在其條款的透明度上也有嚴重的瑕疵。
然而，就如同我們年初所預測的，這是犯罪分子會去濫用合法服務以產生收益的進一步證據，證明了網路犯罪並不需要惡意軟體或感染設備也可以成立。不管是用哪一種系統平台，使用者都應該要了解並小心這種高度針對性的社交工程詐騙威脅。當我們朝向去利用行動設備來作為主要連網和作業平台時，網路犯罪分子和不法企業也會想辦法在這管道上找出更多具有說服力的詐騙方式。
我已經發送一個問題清單給RD Media，同時也聯絡了英國的監管單位 – PhonepayPlus。如果有任何進展，我會再更新這篇文章。
加入想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁上按讚：https://www.facebook.com/trendmicrotaiwan
＠原文出處：iPhone targeted Malvertising
@延伸閱讀
假的 WhatsApp for Facebook正在塗鴉牆流傳
假拉票真詐騙~我朋友參加攝影比賽,幫忙一下…別上當!!手機簡訊認證碼詐騙新招「網路投票」
熱門電影惡意 APP 誘餌,蜘蛛人詐騙再起;黑暗騎士帳單暴漲~”Android的暢銷遊戲″網站詐很大
Android – 更潮就更危險！六個Android 主要威脅與安全守則
天氣預報軟體 – GoWeather出現木馬山寨版,攔截手機認證碼,駭客看影音你付費
假 Android 版本Skype,安裝後簡訊爆量,帳單暴增
◎ 歡迎加入趨勢科技社群網站