資安一周[1119-1125]：臺灣團隊217打敗79個國家，取得2016趨勢CTF攻防賽冠軍

重點新聞（11月19日-11月25日）

2016年趨勢CTF攻防賽，臺灣團隊217打敗79國奪冠

資安公司趨勢科技於本月在東京舉辦2016全球網路攻防搶旗賽( Capture the Flag )，21日舉辦總決賽，最終由臺灣團隊「217」打敗來自79個國家的952支團隊獲得冠軍，得到獎金100萬日圓（約29萬元新臺幣），並且取得12月臺北舉行的HITCON CTF 2016駭客大賽決賽資格。今年決賽採取的是「攻防戰」( Attack and Defense ) 形式，以近年最常當作網路攻擊的形式作為題目，包括物聯網 ( IoT )、工業控制系統 ( ICS )、監控與資料擷取 ( SCADA ) 系統、針對性攻擊等主題，考驗參賽者對這些領域的技術掌握能力。更多資訊

甲骨文買下遭大規模DDoS攻擊DNS服務商Dyn

甲骨文公司在21日在官網發表聲明，宣布他們已經跟DNS服務商Dyn簽屬協議，決定收購Dyn來擴展甲骨文雲端運算平臺服務，以及為企業提供IaaS和PaaS服務。甲骨文同時在聲明表示，收購Dyn之後，雙方還是維持獨立運行型態，客戶和合作夥伴都不會受到影響。然而，甲骨文並未在聲明稿說明收購的價錢，無法得知先前Dyn在10月遭到DDoS大規模攻擊，造成許多網站無法進入的情況，是否會因為此狀況而壓低收購價錢。更多資訊

勒索軟體Locky假冒ISP發電子郵件，專攻中小企業

資安研究者Derek Knight於21日發現，駭客會假冒來自ISP的電子郵件，內容是告知使用者最近出現大量的垃圾郵件，並且附上名為「logs_recipients name.zip」內含勒索軟體Locky的壓縮檔，偽裝成事件報告，誘拐使用者下載，許多文件被加密成副檔名為.aesir，以及將C2格式檔案文件更改為/information.cgi。Derek Knigh說明，這次勒索對象有很高的比例是中小企業，並且他也指出Locky的格式從過去的.locky、.zepto、.odin到.shit、.thor，現在又以.aesire格式出現，雖然一直不斷地在變化，但這次不是提供新的勒索手法，只是單純更改文件檔案名。更多資訊

矽谷供應商也加入抓漏獎勵行列，高通打頭陣

高通近日宣布旗下子公司Qualcomm Technologies已透過HackerOne平臺，推出抓漏獎勵計畫，邀請白帽駭客協助尋找Snapdragon家族處理器、LTE數據機及相關技術的安全漏洞，單一漏洞的最高獎金為1.5萬美元。繼微軟、Google及Facebook等軟體或網路服務業者之後，高通是全球首家加入抓漏獎勵計畫的矽供應商。高通工程副總裁Alex Gantman表示，這幾年來研究人員已經透過直接回報漏洞來協助他們改善產品的安全性，儘管多數的改善仍仰賴內部工程師，但此一計畫彰顯了該公司對安全的重視。更多新聞

PlayStation Network突停止服務，駭客組織宣稱要警告PSN安全不足

遊戲服務平臺PlayStation Network於23日突然暫停服務，美國與英國玩家無法進入平臺登錄PSN帳號，然而，這起事件疑似由駭客組織Phantom Squad發動攻擊。Phantom Squad曾在去年攻擊EA伺服器，以及今年11月初攻擊Steam平臺。Phantom Squad在Twitter坦言是發起攻擊的組織，目的是要警告PlayStationNetwork的安全防護有漏洞。Phantom Squad還宣示，這次攻擊PlayStation Network只是一系列攻擊的開始，之後會在感恩節當天攻擊XBOX的遊戲平臺。更多資訊

Akamai：第三季全球破100Gpbs的DDoS攻擊有19次

網路Akamai公布最新第三季報告顯示，自去年第三季以來DDoS攻擊次數增加了71%，其中有19次攻擊流量超過100Gpbs，最大一波攻擊流量為623Gbps，其次是555Gbps，這兩起皆是藉由Mirai傀儡網路透過IoT裝置發動的DDoS攻擊。同時，Akamai在報告中證實，9月發生資安部落客Brian Krebs的網站「Krebs On Security」發生DDoS攻擊事件時，Akamai主動決定將此網站移除在他們安全防護之外，但並未說明移除的原因。Akamai說明，由於IoT發展越來越蓬勃，未來駭客將會透過IoT裝置製造下一個最大的DDoS攻擊。更多新聞

駭客假冒Facebook好友私訊，誘拐使用者植入勒索軟體

資安研究人員Bart Blaze和Peter Kruse發現，駭客會假冒朋友的Facebook的帳號，透過私訊傳送內藏特殊腳本程式的偽造svg圖片檔給勒索對象，這個偽造圖片會打開一個假冒的Youtube網頁，並跳出安裝下載開啟一個內藏有Nemucod惡意程式的Chrome外掛程式「One」的請求，若使用者點下同意安裝外掛。Bart同事Peter Kruse進一步證實這個Nemucod程式會暗中下載Locky勒索軟體植入受害者的電腦，來加密綁架檔案，進而勒索贖金。Bart Blaze建議，如果受到感染後，儘速將擴充程式移除，並且更改Facebook密碼，避免再次遭到勒索。更多新聞

賽門鐵克砸23億美元買個資保護業者LifeLock，進軍個資安全市場

賽門鐵克於本月20日公布以23億美元（約740億元新臺幣），收購專門提供消費者個資保護業者LifeLock，將從過去僅有保護消費者免於遭到惡意程式感染的服務，轉向消費者個人數位安全的保護，例如消費者在網路上的個人資料防護，擴大消費者對於個資安全的保障。賽門鐵克在公告上指出，全球超過6.5億的人曾經是網路犯罪的受害者，越來越多消費者開始重視網路安全，估計在這塊市場會增長100億美元的價值。因此，賽門鐵克收購Lifelock也是讓賽門鐵克得以拓展消費者個資數位安全的市場的第一步。更多資訊

Google Play service明年停止支援舊版Android系統

Google近期宣布用於更新Google Play App的Google Play services用戶端函式庫10.0.0版及雲端開發平臺Firebase Android版用戶端函式庫10.0.0版將是支援對應Android API Level 9-13的最後一個版本。預計自2017年初推出的下一代函式庫（10.2.0）起，將把支援API Level 的底限，由Level 9拉高到Level 14。Google解釋，Gingerbread平臺推出即將滿5年，許多Android App都已經不再支援。最新的支援變更有助於開發人員更有效應用Android平臺的新功能，也讓Google得以集中資源，提供Android 開發人員更強大、速度更快的工具。更多新聞

中國銳嘉科的Android韌體遭爆有中間人攻擊漏洞，280萬安卓裝置安全警報響起

AnubisNetworks近日揭露中國業者銳嘉科的Android韌體含有中間人攻擊（MITM）漏洞，影響約280萬臺Android裝置。根據卡內基美隆大學CERT的說明，由銳嘉科打造的Android韌體，含有一個特權二進位程式檢查空中（OTA）更新。該韌體還有許多用以隱藏執行該二進位程式的技術，類似rootkit行徑。由於此一OTA的通訊並未加密，將允許駭客取得根權限並執行任意程式。更多新聞