觀點

2013上半年安全報告:水坑式攻擊成為重要安全威脅

2013 / 09 / 30
編輯部
2013上半年安全報告:水坑式攻擊成為重要安全威脅

安全公司F-Secure最近發布2013年上半年安全威脅報告,說明安全威脅發展,主要趨勢包括瀏覽器的Java依舊是攻擊PC的主要工具、Android為行動平台中的首要攻擊目標,以及Mac病毒雖然相對少數但仍持續成長。其中,最值得注意的是,水坑式(watering hole)成為重要的安全威脅,就連許多網路巨頭公司也成了受害目標。

 

F-Secure表示,2013年上半年最值得關注的資安事件,以包括TwitterFacebook、蘋果(Apple)(Microsoft),以及無數的矽谷公司都遭受水坑式攻擊,非此莫屬。F-Secure的報告中指出,此攻擊具有相當的目標性且需要一定程度的人工作業,而非自動化的犯罪軟體,因為對攻擊者來說,能夠入侵Facebook等具有高度價值的目標企業,效益相當高。

 

F-Secure提醒,就算公司具有相當高的安全性,水坑式攻擊仍是一大隱憂,因為攻擊者不會對目標直接展開攻擊,而是透過入侵目標企業員工最常瀏覽、進行聊天的第三方網站,以藉機入侵。以Facebook等企業遭受的水坑式攻擊為例,駭客入侵iOS開發者論壇iPhoneDevSDK,並把惡意JavaScript植入網站,然後當目標企業的員工造訪該網站時,利用其電腦上的Java零時差漏洞進行感染。

 

除了水坑式攻擊之外,其他重要安全威脅如下:

 

1.      進階持續性滲透攻擊(APT, Advanced Persistent Threat)持續活躍。典型的APT攻擊會針對特定的組織或產業,精心設計一份文件以做為誘餌,比如PDF格式的報告,但實則為病毒開啟後門。在2013上半年中,APT攻擊的主要受害產業包括國防、航太、能源等。

 

2.      以一般PC來說,JRE(Java Runtime Environment)和運行在瀏覽器的Java程式的漏洞,占整體被利用的漏洞的80%,而所有攻擊中和Java漏洞相關的甚至高達95%F-Secure呼籲用戶最好解除瀏覽器中的Java安裝,如果用戶非用Java不可,可以將它安裝在第二個瀏覽器以偶爾使用。

 

3.      在行動運算平台上,GoogleAndroid仍為首要攻擊目標,Android病毒占所有新病毒的96%,而主要的散播管道為Play Store之外的app市集。雖然Mac病毒的數量相對而言仍是少數但持續成長,因此F-Secure建議使用者的Mac不能在沒有安裝防毒軟體的環境下運作。

 

4.      在行動威脅的類型和功能方面,多數為銀行木馬與惡意廣告。隨著越來越多銀行透行動交易驗證碼(Mobile Transaction Authentication NumbersmTans)進行網路交易驗證,藉由銀行木馬竊取mTans的手法也越來越普及。另外,在過去幾個月中,惡意廣告也有顯著的增加,一旦使用者點擊後就會被引導至惡意網站。

 

攻擊者對網路虛擬貨幣比特幣(Bitcoins)的興趣大增。Bitcoin是透過一種特殊演算法而運算產生,因此病毒開發者透過撰寫可以運算Bitcoin的病毒,設定好規則以及運算方式,再利用殭屍網路讓電腦自動計算,就可產生Bitcoin