FaceApp爆紅，出現新的網路詐騙手法


近日有一款可以把人臉變老、變笑臉的修圖軟體《FaceApp》在臉書及 IG 上爆紅，ESET研究團隊發現因為FaceApp的流行，出現了藉由使用假的“Pro”版本的應用程序作為誘餌的新詐騙手法

FaceApp應用程序提供各種面部修改過濾器，適用於Android和iOS，雖然應用程式本身是免費的，但某些功能（標記為“PRO”）需付費，而最近對FaceApp隱私問題的擔憂也引起了媒體的巨大關注。

ESET發現了試圖透過FaceApp不存在的“Pro”版本的兩種詐騙手法。

假網站

第一個方式，攻擊者使用了一個虛假的網站聲稱免費提供FaceApp的“高級”版本。

圖1.其中一個使用的詐騙網站 

實際上，詐騙者會欺騙他們的受害者點擊無數的安裝其他付費應用、訂閱、廣告和問卷等的提議，受害者還會收到各種網站的請求，以允許顯示通知，啟用後，這些通知會進行下一步的詐騙性提議。 

圖2.來自瀏覽器的通知進行下一步的詐騙

在測試的過程中，可以從Google Play下載取得免費版本FaceApp，但是，如不是在Google Play裡，而是其他的文件共享服務（如mediafire.com）下載該應用程序，如下面的圖3所示，這代表著很可能用戶已下載了惡意軟體。

圖3. FaceApp呈現為“FaceApp PRO”並從非官方來源下載 

YouTube影片

第二種的詐騙方式為YouTube影片，其宣傳FaceApp免費“專業版”的下載連結，但是，縮短的下載連結其實是讓用戶從Google Play安裝各種其他應用程式，如下面的圖4所示的其中一個YouTube影片，在撰寫本文時，該影片已有超過150,000個觀看次數。

雖然此類詐騙手法通常僅用於投放廣告，但縮短的連結可能會導致用戶只需點擊一下即可安裝惡意軟體。過去就曾發生過類似情況，例如將Fortnite用作誘餌。

圖4.一個YouTube影片提供了一個連接，用於為Android的“FaceApp Pro”應用程序下載安裝包（APK）

上述連結被點擊了96,000次，但這並不是實際下載數量。 

圖5.YouTube影片中引用的假“FaceApp Pro”下載安裝包連結的數字訊息

結論

無論APP多麼有趣，請避免從非官方應用程式的來源處下載應用程式，並去了解該應用程式的相關訊息（開發人員，評級，評論等），特別是在Android系統中，每個受歡迎的應用程式或遊戲都有可能是假的；但幸運的是，對於注重網路安全的用戶而言，是可以透過他們所使用的資安產品中發現的，ESET資安專家建議為了維護您的行動裝置安全，請選用專業並值得信賴的資安品牌，ESET行動安全套裝適用於Android系統，讓您的行動裝置獲得更多的保障。

入侵指標（IoC）

原文出處：https://www.welivesecurity.com/2019/07/19/faceapp-spotlight-scams-emerge/

***購買ESET行動安全套裝：https://www.eset.hk/estore

 

 



關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於ESET
ESET成立於1992年，是一家面向企業與個人用戶的全球性的電腦安全軟件提供商，其獲獎產品 — NOD32防病毒軟件系統，能夠針對各種已知或未知病毒、間諜軟件 （spyware）、rootkits和其他惡意軟件為電腦系統提供實時保護。ESET NOD32佔用 系統資源最少，偵測速度最快，可以提供最有效的保護，並且比其他任何防病毒產品獲得了更多的Virus Bulletin 100獎項。ESET連續五年被評為“德勤高科技快速成長500 強”（Deloitte’s Technology Fast 500）公司，擁有廣泛的合作夥伴網絡，包括佳能、戴爾、微軟等國際知名公司，在布拉迪斯拉發（斯洛伐克）、布裏斯托爾（英國 ）、布宜諾斯艾利斯（阿根廷）、布拉格（捷克）、聖地亞哥（美國）等地均設有辦事處，代理機構覆蓋全球超過100個國家。

Windows零時差攻擊CVE-2019-1132利用漏洞鎖定目標攻擊

今年6月，ESET研究團隊發現針對東歐地區利用Windows中的提高本地權限擴張漏洞的零時差攻擊 

其利用Microsoft Windows中的提高本地權限擴張漏洞，特別是win32k.sys元件中的NULL pointer dereference。當發現該漏洞時，就已向Microsoft資訊安全中心進行通報，該中心也及時修復了漏洞並發布了更新。

該漏洞影響的Windows版本如下：

Windows 7 for 32位系統Service Pack 1

Windows 7（用於基於x64的系統）Service Pack 1

Windows Server 2008 for 32位系統Service Pack 2

Windows Server 2008（用於基於Itanium的系統）Service Pack 2

Windows Server 2008（用於基於x64的系統）Service Pack 2

Windows Server 2008 R2（用於基於Itanium的系統）Service Pack 1

Windows Server 2008 R2（用於基於x64的系統）Service Pack 1

這與近年來揭露的許多其他Microsoft Windows win32k.sys漏洞一樣，此漏洞為利用彈出選單的攻擊手法，與2017年分析的Sednit組織透過提升本地特權漏洞方式非常相似。

此漏洞建立了兩個視窗；一個用於第一階段，另一個用於第二階段的開發。對於第一個視窗，它建立彈出選單對象並使用CreatePopupMenu和AppendMenu函數追加選單項目。此外，該漏洞利用設置了WH_CALLWNDPROC和EVENT_SYSTEM_MENUPOPUPSTART hooks。

然後該漏洞利用TrackPopupMenu函數顯示一個選單。此時，連接到EVENT_SYSTEM_MENUPOPUPSTART的代碼將被執行。此代碼嘗試通過向選單發送MN_SELECTITEM，MN_SELECTFIRSTVALIDITEM和MN_OPENHIERARCHY訊息序列打開選單中的第一個可用項目。

接下來為觸發此漏洞的關鍵點，利用已經建立初始選單的同時，即刻建立子選單，而該漏洞利用代碼處理WH_CALLWNDPROC hooks中的WM_NCCREATE訊息，當漏洞利用代碼檢測到系統處於此狀態時，它會向第一個選單發送MN_CANCELMENUS（0x1E6）訊息，取消該選單，但它的子選單仍然會被建立。

如果在核心模式下檢查這個子選單對象，就會看到tagPOPUPMENU-> ppopupmenuRoot等於0.這個狀態允許攻擊者在這個核心結構中使用該元素作為NULL pointer dereference。該漏洞利用在地址0x0處分配一個新頁面，該地址將被核心視為tagPOPUPMENU對象（請參考圖1）。

圖1. tagPOPUPMENU核心結構

此時，攻擊者使用第二個視窗，主要的漏洞利用目標是觸發第二個視窗的tagWND結構中的bServerSideWindowProc位址。這導致在核心模式下執行WndProc過程。

為了執行該操作，攻擊者通過調用user32.dll函數庫中的未導出的HMValidateHandle函數來洩漏第二個視窗的tagWND結構的核心內存地址。然後，漏洞利用程序在NULL頁面處製作一個假的tagPOPUPMENU對象，並將MN_BUTTONDOWN訊息發送到子選單。 

之後，核心最終將執行win32k！xxxMNOpenHierarchy函數。

圖2. win32k！xxxMNOpenHierarchy函數的反組譯代碼

此函數將NULL頁面上的精心設計對象傳遞給win32k！HMAssignmentLock。 bServerSideWindowProc位在win32k！HMDestroyUnlockedObject函數內設置，該函數位於win32k！HMAssignmentLock內部的幾個調用中。

圖3. win32k！HMDestroyUnlockedObject函數的反組譯代碼

一切完成後，漏洞可以將特定訊息發送到第二個視窗，以便在核心模式下執行WndProc。

最後該漏洞利用系統令牌替換當前進程的令牌。

已發布的更新程序在win32k！xxxMNOpenHierarchy函數中添加了對NULL pointer的檢查。

圖4.兩個win32k.sys版本之間的代碼差異 – 原始（左）和修補（右）

結論

該漏洞僅適用於舊版本的Windows，因為從Windows 8開始，不允許用戶端程序執行NULL頁面。 Microsoft將此處理操作反向移植到x64的系統的Windows 7。仍然使用Windows 7進行32位系統Service Pack 1的人更新到最新的操作系統，因為Windows 7 Service Pack 1的擴展支援將於2020年1月14日結束。這意味著Windows 7用戶將無法獲得重大的安全性更新。

入侵指標(IoCs)

全球資安大廠ESET一直致力開發主動偵測、多層級的安全技術，並結合自動化的機器學習和人類知識，超過30年的研究經驗，為各種規模的企業和端點平台，提供主動和智慧的防護產品或解決方案。連年榮獲Virus Bulletin 100獎項肯定, 優異的成績持續保持業界領先地位。全球擁有超過1億的用戶，代理機構遍及全球超過180個國家，支援多種語系，並提供在地化的服務協助、是個人及企業值得信賴的資安領導品牌。 

原文出處：https://www.welivesecurity.com/2019/07/10/windows-zero-day-cve-2019-1132-exploit/

 

 

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於ESET
ESET成立於1992年，是一家面向企業與個人用戶的全球性的電腦安全軟件提供商，其獲獎產品 — NOD32防病毒軟件系統，能夠針對各種已知或未知病毒、間諜軟件 （spyware）、rootkits和其他惡意軟件為電腦系統提供實時保護。ESET NOD32佔用 系統資源最少，偵測速度最快，可以提供最有效的保護，並且比其他任何防病毒產品獲得了更多的Virus Bulletin 100獎項。ESET連續五年被評為“德勤高科技快速成長500 強”（Deloitte’s Technology Fast 500）公司，擁有廣泛的合作夥伴網絡，包括佳能、戴爾、微軟等國際知名公司，在布拉迪斯拉發（斯洛伐克）、布裏斯托爾（英國 ）、布宜諾斯艾利斯（阿根廷）、布拉格（捷克）、聖地亞哥（美國）等地均設有辦事處，代理機構覆蓋全球超過100個國家。

ESET launches Version 7.0 of File Security for Linux

BRATISLAVA – ESET,  a global leader in cybersecurity, has launched Version 7.0 of their ESET File Security for Linux product.

ESET File Security for Linux provides advanced protection to organizations’ general servers, network file storage and multipurpose servers. The software ensures the servers are stable and conflict-free in order to preserve system resources for vital tasks and avoid disrupting business continuity.

As the use of Linux servers increases in popularity with organizations, it is vital that all users and their businesses remain protected against the latest threats. ESET File Security for Linux is powered by the latest ESET LiveGrid® technology and eliminates all types of threats, including viruses, rootkits, worms and spyware. Version 7.0 offers a host of advanced features, including real-time file system protection, tighter security and a real-time web graphical user interface (GUI). 

Additionally, ESET File Security is fully compatible with the ESET Security Management Center and allows you to manage the software through a web interface, giving you the option to schedule on-demand scans, actions and security tasks.

Matus Cipak, product manager from ESET, says, “Just a single malicious file can pose a serious threat to organizations of any size, and a reliable and advanced security software system is an absolute must for modern businesses. With ESET File Security, users can rest assured that their organizations and their servers are fully protected against the latest threats. Whether it’s a targeted attack on your organization or hidden ransomware, ESET is proud to provide businesses with the absolute best in enterprise security.”

For further information on ESET File Security for Linux, click here.

About Version 2 Digital

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products.

Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

About ESET
For 30 years, ESET® has been developing industry-leading IT security software and services for businesses and consumers worldwide. With solutions ranging from endpoint security to encryption and two-factor authentication, ESET’s high-performing, easy-to-use products give individuals and businesses the peace of mind to enjoy the full potential of their technology. ESET unobtrusively protects and monitors 24/7, updating defenses in real time to keep users safe and businesses running without interruption. Evolving threats require an evolving IT security company. Backed by R&D facilities worldwide, ESET became the first IT security company to earn 100 Virus Bulletin VB100 awards, identifying every single “in-the-wild” malware without interruption since 2003.

郵件伺服器元件Exim再傳重大漏洞

全球將近六成伺服器使用的郵件伺服器元件Exim再傳重大漏洞，此漏洞可讓駭客以最高權限執行任意指令。

Qualys的研究人員發現，開源郵件傳輸代理程式（Mail Tansfer Agent，MTA）-Exim有一個嚴重的安全漏洞，在某些情況下，它可以讓遠程攻擊者在未更新的郵件服務器上執行他們選擇的命令。

*Qualys：雲端弱點管理品牌

Exim存在編號CVE-2019-10149的遠端指令執行（Remote Command Execution，RCE）漏洞。該漏洞讓攻擊者可以execv()函數以根權限執行指令，無需引發記憶體毁損或ROP（Return-Oriented Programming），進而接管受害伺服器。

本地端攻擊者或是在特定非預設組態下的遠端攻擊者可輕鬆開採這項漏洞。遠端攻擊者則需要連續和目標伺服器保持7天連線，並以每幾分鐘 1 byte的速度傳輸進行攻擊。但研究人員提醒，有鑒於Exim程式碼的複雜性，可能出現更快的攻擊方法。

本漏洞的CVSS v3.0版被列為重大風險。受影響版本包括4.87 到4.91版的Exim。Exim管理組織也呼籲用戶應升級到最新版本4.92版。

因惡意軟體犯罪者經常利用電子郵件擴散感染，故企業郵件伺服器成為重要的第一防線。ESET Mail Security 替多個平台提供最佳的反惡意軟體與主動掃描，更快的效能、整合反垃圾郵件及占用系統資源低等特性可處理高流量郵件伺服器工作。

※ 採用屢獲殊榮的技術並多次獲得VB SPAM+ 認證，最新一期， ESET 仍是維持第一的殊榮。

For  Exchange Server- https://www.eset.hk/business/mail-security-exchange/

For  Linux / BSD / Solaris- https://www.eset.hk/business/file-security-linux/

For  IBM Domino- https://www.eset.hk/business/mail-security-domino/

For  Kerio- https://www.eset.hk/business/kerio-security/

若有任何資安需求，歡迎聯絡銷售團隊 2893 8860。

原文出處：https://www.welivesecurity.com/2019/06/07/mail-server-software-exim-critical-bug/

 

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於ESET
ESET成立於1992年，是一家面向企業與個人用戶的全球性的電腦安全軟件提供商，其獲獎產品 — NOD32防病毒軟件系統，能夠針對各種已知或未知病毒、間諜軟件 （spyware）、rootkits和其他惡意軟件為電腦系統提供實時保護。ESET NOD32佔用 系統資源最少，偵測速度最快，可以提供最有效的保護，並且比其他任何防病毒產品獲得了更多的Virus Bulletin 100獎項。ESET連續五年被評為“德勤高科技快速成長500 強”（Deloitte’s Technology Fast 500）公司，擁有廣泛的合作夥伴網絡，包括佳能、戴爾、微軟等國際知名公司，在布拉迪斯拉發（斯洛伐克）、布裏斯托爾（英國 ）、布宜諾斯艾利斯（阿根廷）、布拉格（捷克）、聖地亞哥（美國）等地均設有辦事處，代理機構覆蓋全球超過100個國家。

ESET多層防禦技術 有效阻擋駭客攻擊與威脅

越來越多人習慣透過手機進行網上交易和電子支付，以往，用戶只要透過官方途徑，即可避免下載到仿冒應用程式，相對可以放心使用這些金融支付工具，例如銀行 app 或 PayPal 等。ESET研究人員發現有駭客把惡意軟體偽裝成電池管理工具，以「覆蓋攻擊」模式（即惡意軟體以一層透明介面，覆蓋到官方正常的金融應用程式之上）記錄和盜取用戶資料，此攻擊的可怕之處在於：

1）整個過程只需 5 秒鐘

2）它繞過了雙重身份驗證（2FA）

3）該金融應用程式本身是從官方途徑下載，讓用戶的警覺性大大減低

這也代表很多用戶在安裝應用程式時，都沒有留意權限問題，例如上述案例中的電池管理工具，根本沒有要求用戶授予存取聯絡人的權限。如何避免成為受害者呢？！ESET資安專家建議：下載應用程式時，除了要使用官方商店，還需要檢查該應用程式的下載次數和評分，留意權限問題，定期更新手機的作業系統，以及安裝可靠的防毒軟件。另外如發現手機出現來歷不明的應用程式、耗電量或數據量增加、裝置過熱或變慢、有異常費用或自動撥打電話等，都可能是裝置已受感染，都要馬上處理，才能防止個資被竊或造成財務上的損失。 

ESET多層防禦體系的基礎：機器學習技術

ESET獨特的多重防護核心，搭配ESET LiveGrid®雲端技術，在網際狙殺鍊(Cyber Kill Chain)的各個階段主動反擊，有效阻擋現今詭變多端的惡意軟體與駭客攻擊，為用戶提供不間斷的最強防護效能。其中自行開發的機器學習引擎–“Augur”，該引擎運用神經網路（比如深層學習和長短期記憶）搭配六種精選分類算法，具有強大的綜合分析能力，根據檢測特徵，正確識別樣本的特性，來判定為無毒，有害（廣告類灰色程序）或惡意（病毒，木馬等各類威脅），不僅幫助用戶防禦病毒，木馬等全類型惡意程式，還能夠抵禦廣告插件等拖慢系統性能，存在潛在危害的不良應用軟體。


另外還將惡意樣本進行自動化群組歸類和運算，找出新的惡意基因及其行為模式，為病毒檢測引擎提供檢測依據，再加上基因圖譜與海量白名單資料庫的比對，來去除無害對象，也最大程度地避免了誤判。

ESET的“Augur”防毒引擎可自動微調和優化，使其與基因檢測、沙箱、內存分析及行為特徵提取等其他防護技術相輔相成，保障最高的檢測率及最低的誤判率。 

從以下圖二和圖三中可以看出，在目前全球的防毒軟體品牌中，ESET除了高檢測率外，還做到了最低的誤判率；同時還具備系統資源佔用低，深受全球1.1億用戶信賴。 


ESET為國際資安領導品牌，持續進化引擎的防禦能力，除了既有的發現變種病毒隨即發布更新外，陸續設計增添進階記憶體掃描器 ( Advanced Memory Scanner ) 、系統漏洞防護 (Exploit Blocker )等機制，在最新變種病毒出現尚未被防毒引擎發現前，有能力分析陌生的檔案，藉此得知是否存在威脅性。欲知更多ESET多層防禦技術，請參考：https://www.eset.hk/about/technology。

若有任何資安需求，歡迎聯絡銷售團隊 2893 8860

企業資安解決方案：https://www.eset.hk/business/

 

 



關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於ESET
ESET成立於1992年，是一家面向企業與個人用戶的全球性的電腦安全軟件提供商，其獲獎產品 — NOD32防病毒軟件系統，能夠針對各種已知或未知病毒、間諜軟件 （spyware）、rootkits和其他惡意軟件為電腦系統提供實時保護。ESET NOD32佔用 系統資源最少，偵測速度最快，可以提供最有效的保護，並且比其他任何防病毒產品獲得了更多的Virus Bulletin 100獎項。ESET連續五年被評為“德勤高科技快速成長500 強”（Deloitte’s Technology Fast 500）公司，擁有廣泛的合作夥伴網絡，包括佳能、戴爾、微軟等國際知名公司，在布拉迪斯拉發（斯洛伐克）、布裏斯托爾（英國 ）、布宜諾斯艾利斯（阿根廷）、布拉格（捷克）、聖地亞哥（美國）等地均設有辦事處，代理機構覆蓋全球超過100個國家。