特斯拉 ( Tesla ) 與 Jenkins 伺服器成駭客挖礦機!避免「伺服器變挖礦機」四守則 

日前, Elon Musk (伊隆·馬斯克) 所持有的全球電動車、電池及太陽能大廠特斯拉(Tesla) 發生 Amazon Web Service (AWS) 雲端伺服器帳號遭駭客入侵的事件。一些敏感的資料因而外洩,包括:遙測資料、地圖資訊及車輛維修記錄。此外,駭客也趁機將這些伺服器當成挖礦機,用來執行加密虛擬貨幣挖礦惡意程式。

特斯啦 ( Tesla ) 與 Jenkins 伺服器成駭客挖礦機
特斯拉 ( Tesla ) 與 Jenkins 伺服器成駭客挖礦機

事件發生經過

伺服器設定不當,加上安全防護不足,這樣的情況其實並非罕見。過去也曾出現過多起伺服器發生資料外洩而企業卻毫不知情的案例。而這次發現問題的是資安廠商 RedLock,該廠商在其報告當中指出,Tesla 公司所使用的開放原始碼雲端資源暨工具管理軟體  Kubernetes 有某個主控台未受到妥善保護。RedLock  補充 說:「駭客入侵了 Tesla 缺乏密碼保護的 Kubernetes 主控台,在某個 Kubernetes 容器包 (Pod) 當中存取暴露在 Tesla 的 AWS 環境下的帳號登入憑證,而該環境當中就有一個 Amazon S3 (Amazon Simple Storage Service) 儲存貯體 (Bucket) 內含敏感資料 (如遙測數據)。」

駭客進入 Tesla 的 AWS 伺服器,接著利用 Stratum 比特幣挖礦協定部署一個挖礦作業。這項作業執行了多久,以及挖了多少虛擬貨幣,目前並無相關資訊。根據前述資安報告,駭客運用了一些技巧來避開偵測並暗中執行作業,包括將惡意程式隱藏在某個 CloudFlare 的 IP 位址背後,以及盡可能壓低挖礦時的 CPU 資源用量等等。

RedLock 的研究人員一發現問題之後便立即向 Tesla 漏洞懸賞計畫通報,並且獲得 3,000 美元以上的獎金。針對這項發現,Tesla 發言人表示他們在接獲通報的幾小時內就已將問題解決,而遭到外洩的資料只涉及內部研發測試用車輛。顯然其內部調查並未發現有客戶隱私資料外洩,或是車輛安全遭到破解。 繼續閱讀

跑步健身app Strava 路徑圖意外洩軍跡! 七習慣保護行動裝置

“與全世界運動愛好者交流”為定位的Strava 行動應運程式,號稱有數百萬名跑者與自行車手因為熱衷相同運動,而透過網路彼此交流聯繫。Strava 可以把iPhone 和 Android 手機變成跑步和騎車記錄系統,也能和 GPS 手錶和頭戴裝置搭配使用。這個號稱”全球最好的追蹤系統”,擁有強大的 GPS 定位技術,可記錄、分享用戶的運動路徑。 但由於 Strava 的地圖資訊過於詳盡,可能讓使用該 app 的軍人不小心讓軍事基地等敏感資訊曝光。

根據一份報告指出,2017 年 11 月健身記錄應用程式 Strava 公布了一份其用戶能呈現出用戶所走過路徑地圖的熱區圖,其中包含了 10 億筆活動記錄、3 兆個經緯度定位點、13 兆個點陣像素,以及 10 TB 的輸入資料。但這個健身記錄應用程式卻也可能意外洩漏美國機密軍事基地、巡防及前線作戰基地 (FOB) 的位置。

美軍基地「清晰可辨並可在地圖上找到」

美國聯合衝突分析機構 (Institute for United Conflict Analysts) 創始會員 Nathan Ruser 率先在 Twitter 上批露此訊息。他指出,Strava 的熱區圖讓美軍基地「清晰可辨並可在地圖上找到」。不僅如此,Ruser 更找到了一個敘利亞境內的 Khmeimim 俄羅斯基地、土耳其軍隊巡防點、阿富汗前線作戰基地,以及士兵跑步健身路徑。Ruser 在 Twitter 上指出,基地位置曝光還不是唯一的令人擔心的問題。其中的「生活模式」資訊,才是這份熱區圖可能帶來的嚴重風險,因為許多人都未將資訊設為隱私。

根據 Strava 表示,使用者可根據其需求來調整隱私設定。例如,可在活動當中增加私密區域來隱藏使用者在某些區域開始或結束的活動 (如在家或在辦公室),不讓其使用者看到。此外,還有一個選項可以關閉活動資料的匿名分享。

還可能擷取使用者姓名、檔案照片、心律資料等個資 繼續閱讀

趨勢科技跟Panasonic一起保護車聯網安全

2015年,研究人員做到了從幾英里之外來遠端攻擊一輛Jeep Cherokee,在高速公路上行駛的同時控制了其轉向系統、剎車系統和引擎。他們是透過車上Uconnect資訊娛樂系統的連接漏洞進入,進而改寫韌體來讓他們可以輸入新指令。這次的研究成果也促使車商召回了受影響的汽車。

趨勢科技宣布與Panasonic建立新的合作夥伴關係,兩家公司將聯合開發聯網汽車的網路安全解決方案。充分結合雙方獨到的技能能力來打造能夠有效偵測和防止行車電腦(ECU)、資訊娛樂(IVI)設備(如導航系統)和車載資訊系統(Telematics)被駭的產品。

物聯網(IoT ,Internet of Thing)中幾乎沒有比聯網汽車更加令人興奮的應用了。根據Gartner的預測,到了2020年將會有6,100萬輛內建連網功能的車子在路上跑。但隨著我們越來越接近那充滿自動駕駛汽車的未來景象時,也就更加小心網路威脅在這領域中所可能造成的威脅。研究人員所實際進行的攻擊或展示都在在透露出災難性後果的可能性。

趨勢科技宣布跟Panasonic建立新的主要合作夥伴關係,這將會結合兩家公司的專業知識來替聯網汽車開發業界領先的車聯網安全解決方案。

 

越來越多的受攻擊面

因為我們對車載數位功能需求的不斷增加,也讓汽車加入越來越多的運算能力跟連線功能。根據麥肯錫的說法,今日的聯網汽車上可能有多達100個電子控制單元(ECU)– 行車電腦,用來控制從轉向、引擎、煞車到資訊娛樂等各種功能。裡面包含了高達數億行的程式碼;這樣的複雜性很可能會讓駭客找到漏洞攻擊。這裡的威脅不僅僅有一般網路攻擊會有的資料竊取問題,還涉及到了人身安全。 繼續閱讀

駭客也搞資源回收?回收舊漏洞攻擊碼,竟可製造全新威脅!

開發人員都會回收使用程式碼 – 畢竟如果沒有問題就不用改了。這也是開放原始碼如此受歡迎及有價值的原因 – 不需要從頭開發全新的程式碼,開發人員可以利用現有的開放原始碼,並且可以根據自己的需求來改寫。

不幸的是,不僅軟體開發商和其他白帽公司會這麼做 – 駭客也會回收並重新利用過去運作良好的舊漏洞攻擊碼來製造全新的威脅。更糟的是,這些被回收使用的惡意攻擊結合新且複雜的感染手法讓其變得更加難以防範。

大多數新的惡意軟體並不新

從各種關於新惡意軟體的統計數據中,很容易就會認定網際網路和聯網設備都充斥著惡意威脅。事實上,G Data報導在2017年第一季就發現了2,200萬個新惡意軟體。換句話說,這代表幾乎每4秒就會發現一個新惡意威脅。

雖然有相當數量的惡意軟體可供駭客選擇是真的,但其中有許多並不完全是新的。

“2017年第一季發現了2,200萬個新惡意軟體樣本。”

Secplicity指出:“其中有大部分就像是科學怪人一樣由各種程式碼拼湊而成,可能來自現有的惡意軟體或公開的漏洞和工具。”

就這樣,駭客利用現成的程式碼和功能再並加上特製功能來做出新的惡意軟體。

 

為甚麼要回收使用?

有好幾個理由會讓駭客選擇重複或回收使用。首先這節省了許多時間。不必為基本功能來撰寫新的程式碼,使用已知可行的程式碼更快更容易。而且就如安全分析師Marc Laliberte所指出,利用這方法節省的時間可以讓網路犯罪分子將注意力放在更重要的事情上。

“如果有人已經開發了可行的解決方案,就無須再多此一舉去重新開發”Laliberte寫道。“透過盡可能地複製程式碼,讓惡意軟體作者有更多時間專注在其他地方,如躲避偵測和避免歸因。”

除了重複使用程式碼來節省時間外,許多網路犯罪分子還會重複使用常見的威脅功能,因為它們已經經過時間證明能夠成功。這也是為什麼會出現無數的勒索病毒、魚叉式網路釣魚和其他攻擊的變種。 繼續閱讀