趨勢科技在釣魚網站上發現一個偽裝成聊天應用程式的新間諜軟體。我們認為這具備多種網路間諜行為的應用程式初始目的是用在針對性目標攻擊(Targeted attack )。我們五月時在網站https://gooogle[.]press/首次發現此威脅，一個被宣傳成名為Chatrious的聊天應用程式。使用者可以點擊網站上的下載按鈕來下載惡意APK檔。
該網站在五月那次經驗後就失效了。我們注意到它在十月再度回歸，這次提供了另一個名為Apex App的應用程式。這是個能夠竊取使用者個人資訊的間諜軟體。趨勢科技將這兩種威脅都偵測為AndroidOS_CallerSpy.HRX。
圖1. Chatrious（左）和Apex App（右）的截圖
繼續閱讀Google 三年前開始加緊保護 Android 裝置至網頁服務的網路流量。根據 Google 提供的最新資訊，已經有 80% 的 Android 應用程式預設採用 HTTPS 標準。HTTPS 可加密網路流量，避免第三方由應用程式攔截資料。
Google 向 Android 應用程式開發人員提供各種工具，協助確保應用程式流量利用傳輸層安全性 (TLS) 通訊協定加密，讓透過 HTTPS 或 HTTP 的 HTTP 通訊安全性「安全無虞」。這項新增的安全功能，對經常連線至機場及咖啡廳等未受信任或開放式 Wi-Fi 網路的裝置特別重要。
繼續閱讀本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
媒體資安新聞
「慶祝LINE滿八歲，8種貼圖免費抽？」當心個資全都露！ 不只誘加入詐騙LINE帳號 還覬覦Facebook或Google開放授權認證LINE帳號 還覬覦Facebook或Google開放授權認證 iThome
網路瘋傳「歡慶LINE8歲貼圖免費抽」！點下去你就慘了 三立新聞網
「LINE 八周年免費送八種貼圖」訊息是假的，加入好友騙走個資 T客邦
Android漏洞可讓合法app被冒充執行，已有30多款惡意程式開採作亂 iThome
不想手機下午就沒電？達人教10招省電秘技 東森電視網
果粉注意！資安廠示警：留意釣魚簡訊、當心Apple ID被駭 ETtoday新聞雲
果粉小心 Apple ID 遭駭！手機收到帳單異常簡訊恐藏詐騙陷阱 自由時報電子報
揭／「黑色星期五」與「黑色星期五」有何不同？ 三立新聞網
黑色星期五將至，線上購物小心假商城App，美國前10大購物網站有超過6,000個假分身 iThome
資安業找新血 趨勢科技人資長：熱情學不來 中央通訊社
趨勢科技混合雲防護市場佔有率35.5% 居全球之冠 台灣蘋果日報網
FBI 正式發出警告：小心你家的智慧電視，它沒有想像中安全 T客邦
趨勢科技宣布 成為Amazon Web Services新服務上市夥伴 聯合新聞網
新AI職業誕生！未來75%大型企業必須僱用「人工智慧檢查官」 數位時代
繼續閱讀趨勢科技已開發出一種名為「TrendX Hybrid Model」的機器學習模型，採用前置訓練與訓練兩個階段來交叉關聯靜態與動態行為特徵，進而提升偵測率並減少誤判。
數十年前，早在機器學習(Machine learning,ML)還未開始成為熱門話題之前，該技術就已證明能夠從大量的資訊當中找出一些非顯而易見的模式，並可對資料進行分類與叢集，還可經由一些演算法來提供預測。機器學習在現實生活中的應用極廣，其中最重要的領域之一就是網路資安，它可讓傳統網路資安解決方案更能有效偵測一些破壞性威脅，例如勒索病毒Ransomware，不讓它們有機會進入系統，讓企業省下時間和金錢，並確保商譽。
傳統上，機器學習大多用來處理一些歷史資料。讓電腦從一些經過人工標記的資料當中推導出結論。在網路資安領域，機器學習模型可被訓練來辨識惡意檔案與惡意程式長什麼樣子，藉由交叉關聯方式來協助發掘一些全新、從未發現或尚未被分類的威脅。
為了進一步拓展機器學習在網路資安領域的應用，趨勢科技已開發出一套採用兩階段訓練的機器模型來提升偵測率並減少誤判。這套名為「TrendX Hybrid Model」的模型讓我們不僅能偵測惡意程式，最重要的是可以預測行為。
一般來說，資安領域的機器學習模型在判斷未知檔案為惡性或良性時有兩種方法：靜態分析與動態分析 (也就是行為分析)。
在資安界稱為 APT33 的駭客組織是一個處心積慮、專門攻擊石油與航空產業的駭客集團。多年來，媒體一直不斷披露有關該集團的資訊，但根據趨勢科技最新的研究顯示，他們正利用十多個幕後操縱 (C&C) 伺服器來攻擊極少數的特定目標。該集團利用層層的掩護來保護這些以針對性惡意程式來攻擊中東、美國及亞洲少數特定對象的 C&C 伺服器。
我們相信這些伺服器所操控的殭屍網路每個最多只包含十幾台殭屍電腦，駭客利用這些殭屍網路來常駐在選定的目標內。其惡意程式非常陽春，只具備下載和執行其他惡意程式的功能。在目前 (2019 年) 仍活躍的感染目標當中，有兩個是專門提供國家安全服務的某家美國私人企業的兩個據點，其他受害單位還有：美國的某家大學和另一家學院、一個很可能與美國軍方有所關連的單位，以及多個分布在中東和亞洲的機構。
除此之外，APT33 在過去幾年也不斷從事一些更積極的攻擊，例如，該集團至少有兩年的時間利用了歐洲某高階政要 (該名政要還進入了該國的國防委員會) 的私人網站來發送魚叉式網路釣魚郵件給一些石油產業供應鏈上的企業。這些被攻擊的目標甚至包括一家供應美國陸軍某軍事基地安全飲用水的廠商。
這些攻擊很可能已入侵了石油產業，例如，我們在 2018 年秋發現英國某石油公司在英國和印度境內的伺服器曾與 APT33 的 C&C 伺服器通訊。另一家歐洲石油公司位於印度據點的某台伺服器也遭 APT33 的惡意程式感染了至少 3 週左右 (2018 年 11 月至 12 月間)。除此之外，還有多家石油產業供應鏈上的其他公司也在 2018 年秋天遭到入侵。這些入侵事件對石油相關產業來說可說是一項重大警訊，因為 APT33 習慣使用一些具有破壞力的惡意程式。
魚叉式網路釣魚攻擊,散播求職相關主旨
繼續閱讀