《資安新聞周報》第一個要求「微信支付」的勒索病毒現身  / Google Play出現假語音應用程式竊個資/吸睛網紅 紛紛成了吸血駭客的大肥羊 

趨勢科技TrendMicro

本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

媒體資安新聞精選:

20大國際品牌揭曉  智慧科技加持價值    經濟日報(臺灣)

中國出現勒索軟體首度要求受害者用微信支付繳贖金    iThome

美陸軍關閉資訊傳遞系統 機敏資訊竟靠傳統郵寄  青年日報

不肖app打著健康減重的名義，誘騙iPhone 用戶在TouchID掃指紋刷卡   iThome

印表機攻擊再起？駭客入侵印表機推出廣告列印服務    iThome

同行眼紅？駭入對手廣告看板大放無碼A片    自由時報電子報

勒索病毒捲土重來，盯上二維碼支付，近兩萬人「中招」    新浪網(臺灣)

駭客入侵4.5萬台路由器，要為NSA攻擊工具開門，百萬PC和行動裝置恐成目標  iThome

駭客鎖定矽谷主管的行動電話門號下手，偷走百萬美元加密貨幣        iThome

印度再破獲假冒微軟、蘋果及Google的技術支援詐騙客服中心   iThome

德國耳機業者誤將憑證置入軟體，陷用戶於安全風險    iThome

【網紅經濟】吸睛網紅 紛紛成了吸血駭客的大肥羊      鏡傳媒

PS4出現一位駭客，專門把那些無視他的玩家永久斷開PSN連接        T客邦

Elasticsearch伺服器配置不當，8,000萬名美國民眾資料外洩曝光        iThome

《WINDOWS 10更新搞鬼》電腦被偷偷安裝LINE主程式？日本網友痛批太超過……       卡卡洛普

Dell遭駭客入侵，強制重設所有官網客戶密碼        iThome

印度再破獲假冒微軟、蘋果及Google的技術支援詐騙客服中心   iThome

臉書OMG測驗病毒烏龍，教你申訴 Google Play 問題交易與刪除臉書遊戲      硬是要學

美國政府指控伊朗籍駭客散佈勒索軟體SamSam，並揮刀斬斷駭客金流     iThome

砸1.5億辦賽車競賽還包機帶員工參加！不畏泡沫，趨勢科技的AI育才術        數位時代

《科技》全球員工籌組500隊，趨勢AI競賽4日福岡決賽   富聯網

政府砸下50億拼AI 喊話4年追上國際腳步    寰宇新聞

培養AI創新人才 趨勢執行長 : 玩樂最重要   寰宇新聞

台灣年度品牌價值排行出爐 HTC光芒散退跌21%   ETtoday新聞雲

2018台灣20大品牌揭曉  華碩蟬聯冠軍6年、價值500億  今周刊

Edge難挽頹勢，傳微軟下一個Windows重大更新將以Chromium打造新瀏覽器       iThome

微軟釋出.NET Core 3.0預覽版，還開源WPF、Windows Forms和WinUI       iThome

億元設備模擬企業網路環境，HITCON首度舉辦考驗企業資安防禦能力競賽      iThome

IOT＋智慧紡織＋精準醫學 跨業簽MOU拚三贏      工商時報

再通報FB漏洞「天才駭客」百萬獎金達陣      台灣蘋果日報

Hyper-V隔離容器 支援.NET程式獨立運行       網管人

資安疑慮 英電信5G設備 禁華為投標      自由時報

Media OutReach/趨勢科技重新定義用戶端防護 推出全功能用戶端防護方案Apex One    Pchome 新聞

衛星基地成果展登場 中科AI創新生態圈成形 經濟日報(臺灣)

研發量子加密法 陸技術領先      中時電子報網

邁入2019必看 影響下個十年的全球10大趨勢（上）  天下雜誌網

邁入2019必看 影響下個十年的全球10大趨勢（下）  天下雜誌網

美國、法國、烏克蘭、卡達、台灣… 潛藏在選舉中的訊息戰爭   自由時報

Quora遭駭客入侵！1億用戶個資裸奔 姓名、郵件全外洩    ETtoday新聞雲

2019 PHP5網站技術支援到期，恐將成為資安孤兒  iThome

防毒日：隱藏的陷阱，認識勒索病毒與現今防毒軟體必備功能 硬是要學

向密碼說再見，微軟Win 10支援FIDO 2驗證  iThome電腦報周刊

SIM-Swapping橫行，連帶衝擊加密貨幣帳號安全 盜用門號成竊取加密貨幣新手法  iThome電腦報周刊

行政院資安處：投票當天中選會遭DDoS攻擊流量只有9Gbps，維持不到10分鐘    iThome

中山大學資安碩士班 全台首見  中時電子報

大舉投入車聯網研發前，台灣政府跟產業有信心「資安零危機」嗎？        科技報橘網

Intel 經由 Windows Update 推出微碼更新，修補 Spectre V4 和 L1 Terminal Fault    T客邦

港媒指信貸公司存漏洞  特首資料隨意看 中央通訊社

合勤全新商業用Mesh無線網路解決方案-Multy Plus 即插即用，搭配企業級安全防護，為小型企業大幅節省人力與成本    T客邦

繼續閱讀

從中攔截：能源與水資源基礎架構漏洞

趨勢科技 TrendMicro

能源與水資源是我們生活當中最重要的兩大關鍵基礎架構 (Critical Infrastructure，簡稱 CI)。近年來，這兩大產業皆經歷了一些必要的變革以因應科技的最新發展，同時也改善天然資源開採及輸送的方式。目前，這些變革正朝著連網系統的方向發展 ，尤其開始整合了工業物聯網 Industrial Internet of Things (IIoT) 技術。能源與水資源產業的持續發展，已讓個人和企業獲得更有效率、也更穩定的資源供應。然而，卻也因為如此，想要妥善保護這些關鍵基礎架構背後的系統，也變得更加困難。隨著 CI系統的漏洞不斷增加，尤其是監控與資料擷取 (SCADA) 系統人機介面 (HMI) 的漏洞，我們有必要好好檢視一下這些關鍵產業所面臨的風險。

我們經由公開來源的情報 (OSINT) 即可一窺能源與水資源產業所面臨的一些問題。藉由網際網路搜尋引擎 (主要為 Shodan) 與實體定位技術，趨勢科技找出了許許多多暴露在外且容易遭到攻擊 HMI 系統，這些全都屬於中小企業所有。這顯示了網路資安對整體供應鏈的每一階層以及每一基礎架構產業有多麼重要。

完整的調查結果與相關影像，請參考趨勢科技的完整報告：「暴露在外而可能遭受攻擊的基礎架構：能源與水資源產業」。本文將列舉幾個我們在全球各地一些能源與水資源相關產業發現暴露在外的 HMI 系統，以及這些案例將對基礎架構供應鏈帶來什麼影響。

暴露在外而可能遭受攻擊的 HMI 系統

在水資源產業，我們在全球各地都發現一些暴露在外的 HMI系統。這些系統包括各種水資源系統的監控介面， 例如：水加熱、地熱、抽水、水過濾、海水逆滲透及消毒等等。 繼續閱讀

Google Play出現假語音應用程式，竊取姓名電話住址等個資

趨勢科技 TrendMicro

趨勢科技注意到Google Play上有好幾個偽裝成語音訊息平台的App(應用程式),會自動跳出假調查和進行欺詐性廣告點擊。這些惡意應用程式變種從10月開始陸續出現，未來可能發動殭屍網路等惡意攻擊。雖然目前感染數量仍不大嚴重，但因為其快速的發展及在行動生態系內的散播行為，仍須持續觀察相關應用程式上傳和使用者下載的狀況。

來自七個已知應用程式ID的所有樣本有著相似的編碼和行為，令人懷疑網路犯罪分子還在開發其他模組並將部署更多的惡意應用程式。

botnet fake voice messenger app google play_1

圖1、上傳到Google Play上偽裝成語音訊息應用程式的其中之一

繼續閱讀

【 2018資安事件回顧】運動賽事威脅：2018 世界盃足球賽帶給我們什麼啟示?

趨勢科技 TrendMicro

像世界盃這麼大的賽事總是會引起安全上的問題，而且不光場地、觀眾、運動員、各國代表等實體人身安全需要注意，數位安全也同樣重要。

今年六至七月所舉辦的第 21 屆世界盃足球賽 (FIFA World Cup)，是史上最多人觀看的運動比賽之一，全球將近半數人口皆緊盯著螢幕收看這場足球盛會，光數字就令人乍舌。除了收視人口之外，俄羅斯更斥資約 120 億美元來舉辦這場賽事。當然，國際足球總會 (FIFA) 和其他主辦單位也因而進帳數十億美元。在規模方面，世界盃足球賽是世界上少有其他活動能夠匹敵的賽事。

當然，像這麼大的賽事，總是會引起安全上的問題，而且不光場地、觀眾、運動員、各國代表等實體人身安全需要注意，由於大型運動賽事在網路上同樣相當受到關注，例如第 51 屆超級盃 (Super Bowl LI) 即創造了 2.4 億次臉書互動與近 2,800 萬則推特訊息，因此線上安全也同樣重要。

運動賽事與網路犯罪

網路犯罪集團趁著大型運動賽事舉辦的期間犯案早已不是什麼新聞。像這麼盛大的活動，正是網路犯罪集團海撈一票的最佳時機。在近幾年的大型運動賽事當中，最受網路犯罪集團關注的莫過於奧林匹克運動會和世界盃足球賽。

[延伸閱讀：Sports-related cybercrime examples]

這些攻擊行動通常會利用一些屢試不爽的犯罪工具和技巧 (如垃圾郵件與網路釣魚) 來誘騙那些沉醉在歡樂氣氛當中的使用者。在今年的世界盃足球賽期間，我們發現了幾個相當厲害的社交工程詐騙範例，成功引誘了使用者下載惡意程式。這些攻擊儘管相當單純，但卻經常能夠成功，原因就在於人們的好奇心以及龐大的關注人口。

Android 惡意程式偽裝成影音串流應用程式

全球有數百萬人無法經由官方頻道來觀賞賽事，因此他們會尋找一些可讓他們免費即時觀賞比賽的影音串流應用程式和網站。所以，數千人同時透過某個應用程式來觀賞同一場比賽的情況也就不令人意外。其中一個我們發現的影音串流應用程式 (趨勢科技命名為 AndroidOS_DarDesh.HRX)，表面上看似正派，但其實暗地裡會散布 Android 惡意程式。

此應用程式是透過一個專門介紹熱門球員 (如梅西和羅納度) 的網站來散布：

當然，該網站還提供了一些使用者所沒料到的內容。當使用者在 Android 裝置上點選網頁上的「Download Now」(立即下載) 連結時，就會下載並安裝一個惡意程式。

此惡意程式會出現各種惡意行為，包括搜尋和竊取感染裝置上的各種資訊：

  • Android 裝置名稱
  • 定位資訊
  • 發送和接收到的簡訊
  • 暗中側錄電話內容的音訊檔
  • 外接裝置上的檔案 (PDF、txt、doc、xls、xlsx、ppt、pptx)

繼續閱讀

趨勢科技歷年來打擊網路犯罪成果

趨勢科技 TrendMicro

趨勢科技與美國特勤局聯合研究專案捍衛全球網路安全超過十年 ,請檢視以下時間表，瞭解在公私部門合作下，歷年來打擊網路犯罪的重大成果。

信用卡盜刷時代 :2000-2010 年

地下網路犯罪的發展，可能是源自俄國的信用卡盜刷論壇和市場，罪犯透過這些途徑，將遭竊的支付卡資訊提供給有心人士，以供進行身分竊盜或釣魚式攻擊。支付卡持有人經常遭受釣魚式攻擊，使得網路罪犯可以無限制地存取其個人識別資訊 (PII)。遭竊的詳細資訊會出售給其他罪犯，供其生產偽造支付卡。這些網站中最龐大的可能是 Dmitry Ivanovich Golubov 和 Roman Vega、Vladislav Anatolievich Horohorin 在 2001 年共同建立的 CarderPlanet。

 

2003 年 3 月

    • CarderPlanet 首腦 Vega (又名 Boa/Roman Stepanenko/Randy Riolta/RioRita) 在塞浦路斯被捕並引渡回美國
    • 美國特勤局

2004 年 10 月

    • 28 名涉嫌參與 CarderPlanet 和類似網路的罪犯被捕 (21 名在美國，另 7 名在 6 個不同國家)
    • 美國特勤局及夥伴

2005 年 7 月

    • CarderPlanet 創始人 Golubov (又名 Script) 被捕
    • 美國特勤局與烏克蘭政府

2007 年 8 月

2009 年 1 月

    • CarderPlanet 首腦 Vega 俯首認罪
    • 美國特勤局

2009 年 5 月

2010 年 3 月

2010 年 8 月

    • CarderPlanet 首腦 Horohorin (又名 BadB) 在法國被捕並引渡回美國
    • 美國特勤局與法國政府

資料外洩年:2011年

2011 年受封為「資料外洩年」，全球企業受創於目標型漏洞攻擊，並損失了價值形同於「新型數位貨幣」的寶貴資訊。這一年對於資安產業倍具挑戰，若干受害企業遺失機密資料，並花費大筆金錢彌補損失，導致商譽受損。RSA 與 Sony PlayStation 等受害者別無選擇，只能公開揭露基礎設施遭到攻擊的事實，以確保客戶獲得適當的補救方案。 繼續閱讀