YouTube 大量用戶帳號遭劫持,創作者哀鴻遍野

近日大量 YouTube 影音創作者帳號被劫,尤以汽車評鑑或汽車改裝類頻道為甚;其他類型 YouTube 帳號亦傳大量被盜。

據 ZDNet 報導,這次大量帳號被盜事件,集可能是預謀已久的協同攻擊行為;被盜的帳戶有許多都是訂閱破數十萬的人氣 YouTuber,在 Twitter 上和 YouTube 支援論壇中可以看到大量相關抱怨和討論。

整個攻擊手法以釣魚郵件開始,攻擊者以釣魚郵件,誘騙帳號持有人登入假的 Google 登入頁面,取得用戶的 Google 登入帳密後,立即將用戶的 YouTube 頻道管理權限轉移給攻擊者自己的其他帳號,同時修改 YouTube 頻道原本使用的自定網址,讓循此網址進來的觀眾看到錯誤訊息,誤以為該頻道已關閉。

更有受害者指出,這些攻擊者有能力通過二階段登入驗證,因為攻擊者很可能也同時攔截了受害者應該要收到的驗證密碼簡訊。

目前 Google 尚未針對此事發表任何評論。

  • 攻擊手法:釣魚郵件
  • 關鍵字:YouTube, Phishing, 2FA
  • 資料來源:
  1. https://www.zdnet.com/article/massive-wave-of-account-hijacks-hits-youtube-creators/

近期發生多起假檢警「境外匯款」鉅額詐騙,請小心勿上當

近期多件假檢警「境外匯款」鉅額詐騙,被害人年齡大多在50歲以上,事業有成、富有積蓄。接獲歹徒電話後,未加以查證即依照歹徒指示交付現金或(境外)匯款,造成財產損失也增加對自身生活環境之惶恐。

近期案例

吳女士(58歲)家中經營紅外線機具生意,5月份在家中接獲假銀行行員來電佯稱吳女士證件遭盜用被冒名開戶,表示將協助吳女士轉接檢察官處理,隨後假檢察官謊稱吳女士涉及香港洗錢案、多次傳喚皆未到案,要求被害人提領帳戶存款,交付公證以示清白,被害人信以為真,於108年5月20日至6月25日期間,分別於四家銀行臨櫃匯款21筆至香港(匯豐銀行)帳戶,金額合計美金244萬8,170元及歐元70萬7,000元(初估約新臺幣1億187萬8,270元)。

詐騙手法

歹徒先隨機撥打市內電話或手機門號,假冒醫療院所、電信局或銀行人員名義,以個人資料遭冒用,再轉接假冒警察、檢察官,佯稱被害人涉及刑案、多次傳喚未到,要求配合辦案、監管帳戶、交付現金或(境外)匯款以證明清白,不配合就要收押等。

歹徒為避免銀行發現可疑情形,還會以「偵查不公開」為由,引導被害人若有行員詢問領款用途,要以公司購置機具、投資、子女結婚、家中買房子等理由搪塞行員。

因民眾對司法程序不甚瞭解,待匯款多筆後,聯繫不到假檢察官,始知受騙。

請民眾不要隨便輕信『假檢警』的詐騙,收到訊息請先查證165或相關單位,不要受騙上當

美軍駭入伊朗革命衛隊系統,摧毀其恐怖攻擊資料庫

美軍網路作戰司令部(US Cyber Command)證實,曾在六月時針對伊朗革命衛隊的資料庫發動網路攻擊,將其摧毀,以防行駛於波斯灣的各國油輪與貨輪再次遭該組織襲擊。

美國官員指出,這場攻擊行動是在美軍無人機遭擊落後的報復行動,且由川普總統批准執行。

美國網路作戰司令部拒絕透露行動細節,但這樣的網路軍事攻擊行動,足以顯示網路作戰已經正式成為美軍整體戰力的重要一環。

  • 攻擊手法:不明
  • 關鍵字:US Military, Iran, US Cyber Command
  • 資料來源:
  1. https://www.stripes.com/news/us/us-military-carried-out-secret-cyberstrike-on-iran-to-prevent-it-from-interfering-with-shipping-officials-say-1.596335
  2. https://www.stripes.com/news/middle-east/with-trump-s-approval-pentagon-launched-cyber-strikes-against-iran-1.587171

新發現 Android 木馬,不但竊取用戶個資,還會暗中訂閱付費服務

資安研究單位發現一個名為「小丑」(Joker)的 Android 木馬,除了會竊取用戶個資、製造廣告假點閱外,甚至還會暗中訂閱付費服務。

資安公司 CSIS 日前發表研究報告,指出該公司發現一個全新的 Android 木馬程式,稱為「小丑」(Joker),且已經大量透過 Google Play 官方軟體下載中心散布。

這個惡意程式不但會竊取用戶手機中的通訊錄、裝置資訊和簡訊通訊內容,也會製造廣告假點擊,浪費用戶頻寛並詐取廣告分潤;更嚴重的是會自動幫用戶訂閱付費服務,造成更大的損失。

目前 CSIS 觀測到 Joker 已藏身在 24 支於 Google Play 上架的 App 之中,總安裝次數接近五十萬次。受害者多分布於歐洲和亞洲各國,但也觀測到當用戶身處美國和加拿大時,該木馬便會自動停止執行。

CSIS 的報告中有詳細的惡意軟體行為分析可供參考。

資料來源:

https://medium.com/csis-techblog/analysis-of-joker-a-spy-premium-subscription-bot-on-googleplay-9ad24f044451

以 Deepfake 技術偽造 CEO 來電,歹徒「命令」子公司匯款詐騙成功

可以偽造人臉表情或聲音的 Deepfake 技術,又出現新的受害案例。歹徒偽造母公司 CEO 來電指示子公司進行匯款,成功得手 24 萬餘美元。

這個發生在今年三月的案件,受害者是一家德商所屬的英國能源公司。

歹徒使用市售可用來合成逼真語音的 AI 輔助軟體,假扮母公司的德籍 CEO,去電給英國子公司總經理,要求緊急匯款到某家設籍於匈牙利的公司。

由於來電者的語音模仿德籍 CEO 十分逼真,連其德國口音都唯妙唯肖,英籍總經理不疑有他,遵示辦理,匯了 243,000 美元;日後才發現這是詐騙。

歹徒甚至在日後又撥了假電話,要求第二筆匯款;但這次英籍總經理沒有上當。

警方追查該筆匯款流向,發現這筆匯到匈牙利的款項,被轉匯到墨西哥等多個不同國家,顯然是為了逃避查緝的洗錢行為。

這家受騙公司的名稱目前並未透露,詐騙金額則由保險公司全數理賠;但各國資安情報組織先前即曾指出,類似利用 AI 的 deepfake 詐騙案會逐漸增加,且更加難以分辨真偽。

資料來源:

  1. https://thenextweb.com/security/2019/09/02/fraudsters-deepfake-ceos-voice-to-trick-manager-into-transferring-243000/
  2. https://www.wsj.com/articles/fraudsters-use-ai-to-mimic-ceos-voice-in-unusual-cybercrime-case-11567157402

Facebook 近四億二千萬筆用戶個資外洩,資料庫被公開在網路上

資安研究人員在網路上發現多個含有 Facebook 用戶大量個資的超大型資料庫檔案,未經任何保護,可自由存取;總資料筆數高達四億一千九百萬筆;資料包含臉書用戶的 ID、手機號碼等個資。

資安研究單位 GDI 基金會的研究人員,日前在網路上發現數個資料庫,內含近四億二千萬筆 Facebook 用戶個資。

這些資料中有一億三千多萬筆資料屬於美國的 Facebook 用戶,一千八百萬筆屬於英國,也有五千萬筆以上來自臉書的越南用戶。

外洩的個資欄位包括用戶在臉書的 User ID、姓名、電話號碼、生日、國家、性別、所在地、資料更新日期等。

資安人員指出,這些含有超多內容的資料庫檔案,在網路上未經任何密碼保護,知道網址的人皆可任意存取。

駭客可經由這個資料庫輕易取得臉書用戶的手機號碼,發送垃垃簡訊或詐騙電話,甚至發動 SIM 卡置換攻擊,或是利用這個電話號碼來竊取用戶在其他網路服務的登入資訊。

Facebook 對此表示,這批資料是在 Facebook 去年取消用戶透過電話查詢其他用戶之前流出的,內容十分老舊,且 Facebook 很早以前就限制開發者取得用戶電話號碼;目前沒有證據指出資料係由 Facebook 內部直接外洩。

資料來源:

  1. https://techcrunch.com/2019/09/04/facebook-phone-numbers-exposed/
  2. https://www.theguardian.com/technology/2019/sep/04/facebook-users-phone-numbers-privacy-lapse

巴爾的摩市府證實,勒贖攻擊造成市政資料損毀

巴爾的摩市府審計單位證實,在數個月前針對該市的勒贖攻擊,確實造成部分市政資料永久損毀,無法復原。

美國巴爾的摩市審計員指出,該市資訊部門的部分資料,確定在先前該市遭受的勒贖攻擊中受損。

受損的資料是關於該市資訊部門的人員績效考核資料;這些資料都存在電腦系統的本地端,沒有其他備份;目前確認這些資料已經永久損毀。

巴爾的摩市於今年五月遭到勒贖攻擊,多個市政系統資料遭到加密,該市市政陷入癱瘓;該市隨後支付六百萬美元贖款,但遭到攻擊的市政系統與資料尚未全面復原。

巴爾的摩市先前任命的資訊部門主管,也因為此次攻擊事件而飽受責難;目前暫時處於停職狀態。

資料來源:

  1. https://www.baltimoresun.com/politics/bs-md-ci-data-lost-20190911-i6feniyk5nd3pereznpdxwsf7a-story.html
  2. https://www.baltimoresun.com/politics/bs-md-ci-ransomware-expenses-20190828-njgznd7dsfaxbbaglnvnbkgjhe-story.html
  3. https://www.baltimoresun.com/politics/bs-md-ci-frank-johnson-leave-20190910-waliphukdbcg3evzylbrjfefui-story.html

大量 Instagram 釣魚郵件,藉侵權為由騙取帳號控制權

資安單位發現大量假冒 Instagram 發送的詐騙釣魚信件,意在竊取帳號控制權,用戶須提高警覺,避免點擊假連結。

據資安公司 Sophos 發布的消息指出,近來有大量假冒熱門相片影片分享社群平台 Instagram 的釣魚信件,在網路上流傳,意圖騙取受害者的帳號控制權。

這波釣魚信件假裝是由 Instagram 平台發出的警告信,指稱用戶分享侵害著作權的內容,如果不按下信件中的申訴按鈕,帳號可能會在 24 小時內遭停權。

用戶如果受騙而按下連結,就會被導向到一個假網站,並要求輸入 Instagram 帳號與密碼;歹徒就可取得用戶的 Instagram 控制權。

由於很多用戶會將同樣的帳號密碼使用在不同服務上,所以歹徒還可能進一步入侵受害者在其他服務上的帳號。

事實上,Instagram 對於侵權內容的處理,並不會在事前通知用戶,而是會先下架內容才通知用戶,所以流程是不一樣的。Instagram 用戶如果收到不明的通知信,一定要提高警覺。

資料來源:

  1. https://nakedsecurity.sophos.com/2019/09/24/instagram-phish-poses-as-copyright-infringement-warning-dont-click/
  2. https://help.instagram.com/1445818549016877

Android 全新 0-Day 漏洞,可導致駭侵者取得更高操作權限

趨勢科技旗下的資安研究單位 ZDI 發表研究報告指出,該單位發現一個嚴重的 Android 0-Day 漏洞;駭侵者可藉此取得更高的作業系統操作權限。。

ZDI 指出,這個漏洞出現在 Android 的繪圖相關子系統驅動程式 V4l2(Video4Linux 2)中; 駭侵者只要先取得較低的執行權限,接著利用這個漏洞,就可以獲得更高權限,進而控制整個裝置。

這個 0-Day 漏洞的 CVSS 嚴重程度分數達到 7.8,算是相當嚴重的安全漏洞;ZDI 於今年三月通報 Google,但目前針對該漏洞的修補程式,尚未出現在 Google 九月的系統更新之中。

  • 影響產品(版本) :Android 各版本
  • 解決方案:尚無。
  •  CVE編號:暫無
  • 資料來源:
  1. https://www.zerodayinitiative.com/advisories/ZDI-19-780/
  2. https://threatpost.com/android-zero-day-bug-opens-door-to-privilege-escalation-attack-researchers-warn/148014/

Google 資安研究團隊揭發史上最大 iPhone 駭侵事件

Google 資安研究團隊 Project Zero 揭發史上為期最長、受害範圍最大的 iPhone 駭侵事件;駭侵行動長達兩年時間,受害人數難以估計。

駭侵者係利用 iOS 長期未被發現的 0-day 漏洞,在數個網站中放置惡意程式碼;只要以 iPhone 瀏覽這些網站,就會被植入惡意軟體;用戶在 iPhone 上進行的通訊活動,以及行事曆、相片、密碼、手機所在位置的即時座標等個資都會遭竊。

據 Google 指出,這些被置入惡意程式碼的網站,每周都有數千個訪客。

雖然 Google 並未指出是哪些網站放置惡意程式碼,也沒有指名駭侵者或其目標,但據 TechCrunch 報導,熟知內情人士認為這是由中國支持的駭侵團體,以維吾爾穆斯林人士為目標的駭侵行動。

受這個 0-day 漏洞影響的 iOS 版本,自 iOS 10 一直到 iOS 12;Google 於二月通報 Apple 這個發現,Apple 隨即在二月發行的 iOS 12.1.4 更新中修補了這個嚴重漏洞。

富比士雜誌也指出,這些網站不只攻擊 iPhone,也存有針對 Android 和 Windows 系統的惡意程式碼。

  • 攻擊手法:於網站中安插攻擊用的惡意程式碼。
  • 關鍵字:iOS, 0-day
  • 資料來源:
  1. https://googleprojectzero.blogspot.com/2019/08/a-very-deep-dive-into-ios-exploit.html
  2. https://techcrunch.com/2019/08/31/china-google-iphone-uyghur/
  3. https://www.forbes.com/sites/thomasbrewster/2019/09/01/iphone-hackers-caught-by-google-also-targeted-android-and-microsoft-windows-say-sources/#2adac7224adf