雖然這篇駭客攻擊手法教學鄉民發文沒有被收入到精華區：在駭客攻擊手法教學這個話題中，我們另外找到其它相關的精選爆讚文章
在 駭客攻擊手法教學產品中有4篇Facebook貼文，粉絲數超過7萬的網紅高虹安，也在其Facebook貼文中提到， ‼️ 勒索軟體駭全台！又傳大企業受害，我國資安拉警報 ‼️ 今早美國網路媒體 #BleepingComputer 率先披露（bit.ly/3xejmGi），一群使用勒索軟體Revil的駭客試圖勒索Apple要求其買回產品藍圖，更涉嫌從Apple筆電製造商廣達電腦的網路中竊取大量數據資料，並要求支付...
同時也有1部Youtube影片，追蹤數超過75萬的網紅志祺七七 X 圖文不符，也在其Youtube影片中提到，🕹 天菜傳說：激戰!!人類乳突病毒 🕹 ⚔️ 你是拯救世界的那個人嗎？HPV 肆虐的世界正在等待著你！！🦠🦠🦠 👉🏼 戰場傳送門：https://bit.ly/3eVWnGD ✔︎ 成為七七會員（幫助我們繼續日更，並享有會員專屬福利）：https://bit.ly/3eYdLKp ✔︎ 訂閱志祺七...
-
駭客攻擊手法教學 在 志祺七七 X 圖文不符 Youtube 的最佳貼文
2020-08-18 19:16:16🕹 天菜傳說：激戰!!人類乳突病毒 🕹
⚔️ 你是拯救世界的那個人嗎？HPV 肆虐的世界正在等待著你！！🦠🦠🦠
👉🏼 戰場傳送門：https://bit.ly/3eVWnGD
✔︎ 成為七七會員（幫助我們繼續日更，並享有會員專屬福利）：https://bit.ly/3eYdLKp
✔︎ 訂閱志祺七七頻道： http://bit.ly/shasha77_subscribe
✔︎ 追蹤志祺IG ：https://www.instagram.com/shasha77.daily
✔︎ 來看志祺七七粉專 ：http://bit.ly/shasha77_fb
✔︎ 如果不便加入會員，也可從這裡贊助我們：https://bit.ly/support-shasha77
（請記得在贊助頁面留下您的email，以便我們寄送發票。若遇到金流問題，麻煩請聯繫：service@simpleinfo.cc）
＃網路釣魚 ＃兩階段驗證
各節重點：
00:00 前導
01:33 駭客是怎麼入侵的？
03:36 防不勝防的釣魚攻擊
05:24 每個人都可以做到的三件事
07:18 感覺越重要的資訊 越要提高警覺
08:32 該如何避免被釣魚？
09:47 我們的觀點
11:49 結尾
【 製作團隊 】
｜企劃：冰鱸、志祺
｜腳本：冰鱸、志祺
｜編輯：土龍
｜剪輯後製：絲繡
｜剪輯助理：歆雅
｜演出：志祺
——
【 本集參考資料 】
→你好我們是擁有26萬訂閱的Youtuber, 近期我們的頻道被駭客盜了，現在頻道已經被停權....：https://bit.ly/31bbrvP
→26萬頻道被偷 請大家幫幫我...... 【秀煜的臨時頻道】：https://bit.ly/31VrRqY
→突獲27億遺產！蔡阿嘎曝光身世之謎 爽喊：不用買威力彩：https://bit.ly/2Q4Y2is
→26萬YouTuber頻道遭駭！3年影片心血空空如也：台灣Google無法處理：https://bit.ly/320pDqx
→駭客冒充 SpaceX 頻道詐騙，2 天獲利 150 萬美元的比特幣：https://bit.ly/326DYBE
→YouTube 大量用戶帳號遭劫持，創作者哀鴻遍野：https://bit.ly/3hdUNRO
→Massive wave of account hijacks hits YouTube creators：https://zd.net/3kSjKEl
→使用個人電腦應注意事項為何?：https://bit.ly/2E9Wzon
Google跟YouTube官方的教學說明
→YouTube 帳戶遭駭客攻擊時的因應方式：https://bit.ly/34a8tJJ
→確保 YouTube 帳戶安全性：https://bit.ly/2CByeXY
→防範及檢舉詐騙電子郵件：https://bit.ly/3gbUjKh
→利用完整標頭追蹤電子郵件：https://bit.ly/3kSk2uV
Google帳戶
→進一步確保帳戶安全的各個步驟：https://bit.ly/34djOZs
開啟兩階段驗證的介紹
→你的帳號安全嗎？開啟雙步驟驗證和備份粉專教學：https://bit.ly/2E9kKDg
→雙重驗證/兩步驟驗證是什麼？對於網路安全的重要性為何？：https://bit.ly/2Q4Yv3Y
→Google 兩步驟驗證：https://bit.ly/3iS5Lgc
關於網路釣魚與社交工程的防護
→辨識及防範網路釣魚訊息、假的支援電話和其他詐騙：https://apple.co/313iIO2
→如何辨識網路釣魚並保護自己：https://bit.ly/3iNYXju
→網路釣魚的常見誘導手法－電子郵件網路詐欺：https://bit.ly/2E6aOL9
→網路釣魚攻擊進化 最常仿冒蘋果品牌：https://bit.ly/2PZS5mT
→什麼是社交工程（social engineering ）陷阱/詐騙？：https://bit.ly/3h8WS14
→常見的社交工程攻擊方式有哪些?應如何防範?：https://bit.ly/3iS1HfL
＼每週７天，每天７點，每次７分鐘，和我們一起了解更多有趣的生活議題吧！／
🥁七七仔們如果想寄東西關懷七七團隊與志祺，傳送門如下：
106台北市大安區羅斯福路二段111號8樓
🟢如有業務需求，請洽：hi77@simpleinfo.cc
🔴如果影片內容有誤，歡迎來信勘誤：hey77@simpleinfo.cc![post-title]()
駭客攻擊手法教學 在 高虹安 Facebook 的最佳貼文
‼️ 勒索軟體駭全台！又傳大企業受害，我國資安拉警報 ‼️
今早美國網路媒體 #BleepingComputer 率先披露（bit.ly/3xejmGi），一群使用勒索軟體Revil的駭客試圖勒索Apple要求其買回產品藍圖，更涉嫌從Apple筆電製造商廣達電腦的網路中竊取大量數據資料，並要求支付天價贖金。
根據該篇報導，#REvil 已在暗網上洩漏了十幾份MacBook組件的示意圖，儘管沒有跡象表明它們中的任何一個是Apple的新產品，但REvil駭客警告說，如果廣達不開始就贖金進行談判，「所有Apple設備的圖紙以及員工和客戶的所有個人數據將在隨後的銷售中發布」。而駭客要求廣達必須在4月27日之前以加密貨幣XMR支付5000萬美元，或者在倒計時結束後支付1億美元。
其實現在 #資安勒索 比大家以為的、檯面上看到的多很多，包括之前宏碁、仁寶都曾經遭到駭客鎖定攻擊並遭勒索贖金。即便是這麼大的公司，資安防護跟稽核都無法滴水不漏、防不勝防，一方面除了駭客的勒索手法與使用軟體持續進步外，另一方面則突顯我國企業資安人才缺乏與資安防護漏洞嚴重的問題。
#勒索軟體（Ransomware）是什麼？它是一種源於密碼病毒學（cryptovirology ）的惡意軟體，除非向駭客支付贖金，否則它會威脅發布受害者的數據或永久阻止對目標檔案的訪問。儘管某些簡單的勒索軟體僅是鎖定系統，從而使技術高超的人不難解除，但更高級的惡意軟體使用一種稱為「加密病毒勒索」（cryptoviral extortion）的技術。它會加密受害者的文件，使其無法訪問，並要求支付贖金以解密。
勒索軟體最早從大概2007年開始出現，近幾年無論是金額或件數都以倍數成長，特別是在去年疫情爆發後，使得線上銷售、宅經濟、雲端服務、遠距教學及工作模式倍增，卻也成為新的網路犯罪溫床。甚至還有駭客組織推出「#勒索軟體即服務」（RaaS）的模式，提供網路攻擊服務。
美國網路安全公司帕羅奧圖（Palo Alto Networks）的網路安全研究人員分析了針對北美和歐洲組織的勒索軟體攻擊，發現為換取解密密鑰而支付的平均勒索贖金，從2019年的115,123美元增加到2020年的312,493美元，暴增三倍！同時，駭客越來越貪婪。從2015年到2019年，勒索軟體的最高需求為1,500萬美元，2020年，這個金額增長至3,000萬美元。
為了提高勒索成功率，駭客也開始持續精進犯罪手法，尤其是一些犯罪集團開始鎖定大企業作為狩獵標的，成為所謂的「Big game hunter」。這些駭客為了確保被勒索的企業有能力且有意願支付數十萬到數千萬美金不等的勒索贖金，從過往漫天撒網劫掠資料、加密勒索的方式，進階到鎖定特定產業或企業的「#針對式勒索」。我們看到仁寶、宏碁跟這次的廣達，以及國外包括蘋果、FedEX、俄羅斯電信、本田Honda等大企業的勒索軟體攻擊，都是屬於這種針對式的手法。
根據奧義智慧共同創辦人叢培侃及趨勢科技台灣區暨香港區總經理洪偉淦在網路上的公開說法，駭客組織為了確保受害者勢必得支付贖金，已經啟動了被稱為「#雙重勒贖」的新作案手法，即發動方式採用APT滲透攻擊，先行潛伏竊取資料，並在加密企業資料之前同步備份，完成後再啟動勒索軟體執行加密勒索，並且威脅不支付贖金就公開企業及其客戶的商業機密甚至個資，以確保受害企業必定花錢消災。
在交付贖金方面，容易使用、加密因此難以追查的 #虛擬貨幣 出現，解決了以往網路犯罪集團最傷腦筋的 #隱藏金流 問題，也間接帶動駭客開始透過勒索軟體加密企業資料的方式，遠端向受駭企業要求以加密貨幣支付贖金，成為犯罪者的保護傘。除了盛行的比特幣（Bitcoin）之外，駭客也常要求以匿名隱私幣的XMR支付贖金，因為XMR無法追蹤交易，因此成為暗網常用的交易媒介。
勒索軟體攻擊的氾濫，凸顯出我國企業資安的長期問題，包括業界長期反應缺乏專業資安人才的培養計畫以及政府資源錯置，如CTF 競賽偏向駭客攻防技術，和實際政府和企業的防禦性資安人才需求有落差，如今就連企業資安防守的課程要找到合格師資也相當困難。如何正確的佈署資安的縱深，並強化整體企業資訊防護安全，是政府相關單位的當務之急。
虹安呼籲，政府與社會應該要對資安攻擊背後的目的以及對於事業體、國家可能造成的嚴重傷害有充分認知，數個公司、數個相似產業的事業體遭受攻擊，除了損失贖金與客戶資料、衝擊股價甚至影響商譽而掉單，都可能導致我國科技產業的長遠危機！
政府既已號稱成立「#資安國家隊」，就應該盡快提出包括應對勒索軟體在內的 #資安解決方案，協助科技產業加強與整合資安防護資源，共同發展最適當的防禦因應措施，以保護我國科技產業與全民的資訊安全不受勒索威脅！
📒參考資料：
1.勒索軟體大轉型，防禦難度提升：黒產供應鏈經營成本高，鎖定有能力付贖金的知名企業
https://www.ithome.com.tw/news/143458
2.不給錢就公布 竊資型勒索橫行
https://www.netadmin.com.tw/netadmin/zh-tw/market/464E17819569476E94344EDEBDEECAD6
3.資安險如何回應 勒索軟體攻擊事件
https://www.aon.com/getmedia/3dd6d44a-a783-43e3-8c89-db5b7a2c97fd/2020-cyber-risk-case-study-CN.aspx
4.加密勒索程式的 特性與特徵
http://tprc.tanet.edu.tw/tpnet2020/training/10909.pdf
5.Largest ransomware demand now stands at $30 million as crooks get bolder
https://www.zdnet.com/article/largest-ransomware-demand-now-stands-at-30-million-as-crooks-get-bolder/
6.Highlights from the 2021 Unit 42 Ransomware Threat Report
https://unit42.paloaltonetworks.com/ransomware-threat-report-highlights/
7.Largest ransomware demand now stands at $30 million as crooks get bolder
https://www.zdnet.com/article/largest-ransomware-demand-now-stands-at-30-million-as-crooks-get-bolder/
8.駭客入侵台灣10大企業！研華慘遭勒索10億 仁寶認栽付千萬贖金
https://finance.ettoday.net/news/1872347
9.天啊，被勒索了怎麼辦？！10大資安鐵則讓你遠離勒索病毒
https://www.uso.com.tw/portal_b1_page.php?owner_num=b1_55912&button_num=b1&cnt_id=13205
10. 獨家／廣達遭駭1／遭REvil入侵資料庫 客戶設計圖全都露
https://www.ctwant.com/article/113305
駭客攻擊手法教學 在 中央社財經粉絲團 Facebook 的最佳貼文
疫情帶動遠距視訊軟體夯 資安防範有3大撇步
#武漢肺炎 #遠距工作 #遠距教學
駭客攻擊手法教學 在 Taipei Ethereum Meetup Facebook 的最佳解答
📜 [專欄新文章] Private key security and protection / 私錀的安全與保護 — Tim Hsu
✍️ 洪偉捷
📥 歡迎投稿： https://medium.com/taipei-ethereum-meetup #徵技術分享文 #使用心得 #教學文 #medium
Private key security and protection / 私錀的安全與保護 — Tim Hsu
Crosslink Taipei 在10/19、10/20 台北矽谷會議中心舉辦的 區塊鏈conf。 這是Crosslink Taipei 下午的演講，主講者是擔任CYBAVO CTO的徐千洋(Tim Hsu)先生，同時也是幣托、OTCBTC的資安顧問。
2018年一月被發現的硬體漏洞meldown跟spectr，我們的硬體為了要讓執行速度更快，processor會預先執行某些指令，也因此駭客可以透過這種方式，間接檢測出我們記憶體的內容，把敏感資訊都dump出來。雖然後這之後各CPU廠商都有推出針對這個bug的軟體update，但是在這之後硬體安全的問題逐漸浮出來面，也使世人意識到硬體資安的問題。而今天我們要談的部分不僅有軟體安全，也有硬體安全跟使用者資安觀念的問題。
淺談交易所與錢包
在從交易所提幣的時候，首先Server會先將這筆交易紀錄到交易所自己的資料庫內，之後再取得交易所金庫的private key去金庫取錢，再打到使用者的錢包內。在這個過程中，如果駭客可以竄改Server或資料庫的交易金額，原本要打給使用者1 BTC，變成10BTC，或是直接取得金庫的private key，對交易所都是一大噩夢
圖(一) 從交易所提幣的流程
攻擊手法
1. 交易所的網路架構
案例一: 交易所因為怕被偷交易資料與客戶資料，所以都把這些資訊先加密後再存到資料庫，但是這些資料仍然會被偷(交易所遭到電話詐騙)，往後將這些資料加了三層密，仍無法防範資料被偷的情形，原因出在圖(二)的交易所網路架構。
圖(二) 交易所的網路架構(OA與資料庫間沒防火牆)
因為OA 與資料庫之間的網路沒有防火牆保護，所以駭客不用正面攻擊有防火牆的部分，而是攻擊OA的部分，再藉由OA連線到資料庫。一封藏有病毒的email求職信寄到HR的電腦，都有可能造成交易所資料外流。
解決方式: 就是在OA與資料庫間架個防火牆，如圖(三)所示。例如: 只有Engineer、RD 可以連線到資料庫，QA則只能連到測試環境，HR、CEO不需要、也不能連線到資料庫，依職責對連線範圍做縮限，則駭客可以攻擊的目標變少，我們也比較好做應對。講者重要的一句話: 「千萬不要輕忽駭客攻擊OA的能力」
圖(三) 好的交易所的網路架構
2. DNS Attack
透過汙染AWS 的DNS Server 將交易所網頁導向駭客的網頁，來騙取使用者個資。雖然在導向駭客頁面時，很容易發現駭客的網頁沒有使用安全憑證，或是安全憑證不是SSL核發，但使用者仍可能因資安觀念低落，而堅持連線到不安全的網站。
3. Online Paper Wallet
很多人因為覺得私鑰放電腦覺得不安全，又沒錢買硬體錢包，所以透過線上私鑰轉換器將私鑰轉換成QR code，然而再轉換時勢必要輸入自己的私鑰，容易使私鑰遭竊。
圖(四) 私鑰轉換詐騙網頁
4. 使用者對私鑰保護的意識很低
例如: 不了解私鑰的註記詞或其他相關資訊保密的重要性，而無意間通過社交軟體洩漏了這些重要資訊(硬體錢包開箱文 XD)。
5. 硬體錢包的漏洞
TREZOR 錢包是業內公認的研發最早最警慎最安全的加密儲存器，但是今年仍被發現硬體相關的漏洞。只要駭客輸入特定24碼pin碼，就可以通過硬體的側通道分析，輕易提取出未加密的私鑰，而且這個必須重新設計硬體架構才能夠防止這樣的攻擊。所以即便硬體錢包掉了，仍有被攻擊的疑慮，最好的解決辦法就是硬體錢包外再設定一個long Password，這樣就可以避免掉硬體錢包時帳戶虛擬貨幣遭竊
圖(五) 硬體錢包漏洞
題外話 — Iphone Jailbreak問題
今年在twitter，有人公布了最新攻擊iphone的方式，而問題出在手機晶片。Iphone開機時第一個執行的程序是 bootrom，而bootrom的程式碼則是位於記憶體唯獨區域，所以無法竄改。駭客可以利用bootrom上的bug來攻擊手機，而這些有問題的晶片出現在Iphone 6 ~ Iphone X。其實這攻擊方式充滿限制，不僅要取得欲攻擊的手機，而且這種攻擊方式每次重開機就會刷新。不過這也衍伸出新的問題，以後的iOS作業系統都更容易遭到入侵，因為我們可以在舊的手機上裝新的iOS系統，然後透過bootrom的漏洞來了解新的iOS系統的運作方式，因此這個問題應該被更加重視。
圖(六) axi0mX針對此bug的文章
保護方式
透過secure sharing將私鑰拆成User、Company、Vendor，分散私鑰存放風險
圖(七) 拆散私鑰，分散存放的風險
保護思維
未來除了在演算法的鑽研，也應該多多關注整個 區塊鏈產業的資安問題，從身分認證、系統安全、IT架構，都應該要從安全的角度來設計。
圖(八) 講者參考的設計架構
以上方的圖片為例，很多軟體架構在設計時都忽略了作業系統這一塊，而講者分享了他在設計時針對Server或資料庫的 OS做的處理，如下圖
圖(九) OS層級的安全防護
我們的app、網站、服務都跑在Sandbox層上，Sandbox可以限制由內到外的網路封包收送，同時在Sandbox之上還有Host-IDS(Host-based Intruction Detection System)會記錄及過濾程式在Sandbox跑的所有指令，而且有任何非法存取記憶體或網路封包的行為都會都過Host-IDS被記錄到Threat Intelligence，並且通知使用者。 我覺得這樣的好處是，使用者不僅可以在第一時間知道自己的帳號遭到駭客攻擊，也因為一切的動作都被Host-IDS過濾以及被記錄到Threat Intelligence，工程師也可以更快找到安全漏洞。
結語
近年來因網路的應用，資安越來越重要，除了軟體方面外，硬體方面也要兼顧安全，而使用者的觀念宣導更重要，否則不管我們的系統做的再怎麼嚴密，只要使用者意外連到駭客網站或是洩漏自己的私鑰，一切都是白談。演講中有一句話我覺得很值得借鏡，就是「我們一定要假設我們的系統會被駭客破解，而我們要做的就是盡可能減少被入侵後的損失」，上面提到的Host-IDS就是這樣的觀念，我們無法防止駭客進到Sandbox，但是可以記錄駭客的進到Sandbox後所有行為，這樣的架構才能在第一時間修正系統漏洞。
參考資料
Trezor錢包漏洞: https://bcsec.org/index/detail/id/585/tag/2
Iphone 漏洞: https://www.pcmarket.com.hk/2019/09/30/iphone-bootrom%E8%B6%8A%E7%8D%84%E5%B7%A5%E5%85%B7%E5%85%AC%E9%96%8B-4s%E8%87%B3x%E5%85%A8%E9%81%AD%E6%AE%83%E5%B9%B8%E5%8D%B1%E9%9A%AA%E6%80%A7%E4%BD%8E/
spectre&meldown介紹: https://www.youtube.com/watch?v=bs0xswK0eZk
Private key security and protection / 私錀的安全與保護 — Tim Hsu was originally published in Taipei Ethereum Meetup on Medium, where people are continuing the conversation by highlighting and responding to this story.
👏 歡迎轉載分享鼓掌