原标题：资安一周第2期：下载知名开源软件 ，小心误闯山寨官网。变种Spectre漏洞攻击可从远端窃取机器资料
研究人员Ivan△Kwiatkowski发现骇客借由仿造知名软件官网，诱导使用者下载以散布广告程式，骇客相中的知名软件包括Keepass、7-Zip、Clonezilla及Greenshot等等
0725～0731一定要看的资安新闻?
?山寨官网?
下载Keepass与7-Zip等知名软件，小心误闯山寨官网被植入广告程式一位安全研究人员Ivan△Kwiatkowski揭露骇客仿冒知名开源软件的官网，诱导使用者下载并安装相关软件，却在软件中植入广告程式来牟利。
Kwiatkowski最早发现的是假冒为Keepass的Keepass.fr。Keepass为一开源的密码管理程式，支援Windows、macOS与Linux等作业系统，它的官方网站为Keepass.info，但骇客却建立了Keepass.fr，企图鱼目混珠。
除了假的Keepass.fr之外，骇客还建立了Keepass.com；而压缩程式7-Zip的官网为7-zip.org，但骇客建立了7zip.fr；而由台湾国网中心所开发的Clonezilla硬盘克隆软件官网应是clonezilla.org，骇客则为其打造了clonezilla.es及clonezilla.fr。
资安专家建议使用者要下载自由或开源软件前，得先确定官网位址，就算自以为是从官网下载，也最好经由防毒软件进行扫描。更多内容
?
?Spectre漏洞?
新Spectre漏洞攻击手法，可从远端窃取机器资料今年初发生在英特尔、AMD等晶片的Spectre漏洞令人余悸犹存，现在有研究人员发现新的Spectre漏洞攻击手法，让骇客可从远端发动攻击，不需植入任何程式码。
Spectre变种1（CVE-2017-5753）是发生于CPU中推测执行（speculative△execution）的功能漏洞，有被骇客发动缓冲溢位攻击，造成记忆体内容，包括密码、加密金钥外泄的风险。但条件是骇客必须在本机上执行程式码。
在名为“NetSpectre”的新手法中，研究人员是以极慢速度将资料从目标机器中外泄出来。首先，他们通过Evict+Reload快取攻击，以每小时15-bit速度汲取资料。另外，不像原本Spetre变种1攻击使用的快取通道，他们再利用Intel△AVX（Advanced△Vector△Extension，进阶向量延伸）通道以每小时60-bit速度暗中取得资料，这也是第一个不使用快取通道的Spectre漏洞攻击。他们并证实NetSpectre的攻击手法可以运用在本地网络以及Google△Cloud的VM之间。
研究团队认为，NetSpectre手法展示了Spectre攻击已经从本机端扩大为远端攻击，也让为数更多的装置暴露于风险中。更多内容
?
?HITCON? ?数位货币?
第14届HITCON社交场新尝试，专用数位货币及实境挑战游戏在第14届台湾骇客年会社交场（HITCON△CMT），除了多项技术分享的议程之外，大会活动也是一直以来的重点。例如，今年大会推出专用的数位货币HITCON△Token，并推出限定的冷钱包，也就是开源的区块链硬件电路板，含电子纸、WIFI与蓝牙（BLE）等多种功能，且电路板内建安全元件、可离线存放密码货币。同时，大会规画了资安挑战赛，让与会者可从大会竞赛或摊位活动中取得HITCON△Token，运用于交换纪念品或取得活动参加资格。
大会今年也首度推出骇客版实境密室逃脱游戏HITCON△Hackdoor。游戏中充满门禁系统破解、无线连网设备入侵、破解手机密码档、无线网络Wi-Fi等挑战。主办单位也带领与会者学习和挑战生活中的各种物联网装置，并察觉任何系统可能存在的资安问题。更多内容
?
?GCP? ?虚拟机器安全技术?
GCP推出可防窜改的虚拟机器安全技术将工作负载移往云端，安全性是企业的重点考量之一，Google从3月开始，发布了一系列云端的安全性更新，更在5月的时候发布了安全的沙盒容器Runtime△gVisor，以及机密运算开发框架Asylo。而在Cloud△Next大会上，同样也释出了一系列云端安全技术，而Google宣布在GCP上，Shielded虚拟机器测试版上线，其具备不受Rootkit和其他恶意软件攻击的高安全性。
Shielded虚拟机器使用了一系列先进的安全控制技术，帮助使用者抵御Rootkit和Bootkit这类恶意软件，确保使用者的虚拟机器不会被任意窜改，以有效保护企业工作负载免于远端攻击、特权提升（Privilege△Escalation）或来自内部的恶意威胁等攻击。更多内容
?
?三星? ?智慧家庭? ?SmartThings?
三星第一版SmartThings△Hub爆可被骇客接管的20项漏洞思科Talos安全研究中心发现，三星的智慧家庭SmartThings的中央控制装置韧体出现20项漏洞，可能导致骇客间接接管家中无线摄影机或智慧门锁。所幸三星已释出修补程式。
三星SmartThings△Hub是管理家中连网产品，像是智慧灯泡、中央温控、连网摄影机或智慧门锁的中央控制器。SmartThings△Hub的韧体为Linux软件，可允许不同传输协议，如乙太网络、Zigbee及Z-wave、蓝牙等标准物联网（IoT）装置互通。
Talos△Labs在SmartThings△Hub韧体发现到总共20个大小漏洞。开采这些漏洞所费的工夫，以及造成的风险各有不同，有的也很难开采，但是如果串连起来就能让骇客成功骇入SmartThings△Hub。更多内容
?
?Google? ?云端托管硬件安全模组?
Google即将推出云端托管硬件安全模组HSM测试版Google在Cloud△Next发表了多项云端安全性服务，其中一项便是云端托管硬件安全模组HSM（Hardware△Security△Module）服务，让用户可以托管加密金钥以及执行加密操作，并且与金钥管理服务（KMS）整合 ，让用户使用硬件所建立并保护的金钥变得非常简单。
Cloud△HSM是在GCP上即将要推出的硬件安全模组服务，通过在云端上托管，免除企业自行管理HSM丛集的麻烦，不再需要进行扩展或是安全性修补的成本支出，通过API就能操作并自动化使用Cloud△HSM服务。Cloud△HSM支援对称与非对称金钥，用户可以使用对称的AES-256，以及RSA△2048、RSA△3072、RSA△4096、EC△P256以及EC△P384非对称加密金钥来加解密与进行签章作业。更多内容
?
?PDF编辑器? ?挖矿软件?
软件供应链攻击再起，微软：小心安装PDF编辑器却让挖矿软件上身微软安全团队揭露了一场针对软件供应链的攻击行动，骇客开采了PDF编辑器安装流程中的漏洞，窜改安装时所需下载的MSI字形套件，并植入挖矿程式。微软也向外界示警：软件供应链已受到骇客的青睐而成为高风险领域。
这起攻击行动是因遭到微软安全防护服务Windows△Defender△ATP拦截，而引起研究人员的注意。在这起事件中，骇客建立了一个仿冒PDF编辑器之软件合作伙伴的伺服器，还复制与代管该软件合作伙伴所提供的所有MSI档案，接着窜改其中作为亚洲字体套件的MSI档案，植入可用来开采门罗币的挖矿程式。更多内容
?
?Oracle△WebLogic? ?漏洞开采?
当心！Oracle△WebLogic△重大漏洞已遭骇客开采甲骨文的WebLogic△Server软件一项远端程式码执行重大漏洞，近日遭到至少2组骇客开采，安全公司呼吁应尽速修补。
编号为CVE-2018-2893的漏洞出现在Oracle△WebLogic△Fusion△Middeleware中的WebLogic△Server，受影响版本包括10.3.6.0、12.1.3.0、12.2.1.2及12.2.1.3。若遭成功开采，可导致Oracle△WebLogic△Server机器遭到接管。
根据入侵后果、远端开采及开采的容易程度，该漏洞被给予10分中的9.8分，被列为“重大”（critical）风险等级。甲骨文已经于7月的季度更新中予以修补。更多内容
?
?勒索软件? ?Jigsaw?
勒索软件Jigsaw改造再现身，这次不勒索，改当比特币小偷老旧的勒索病毒Jigsaw经改造后，又化身为比特币小偷，窃取使用者的比特币。资安业者Fortinet日前证实了，这款变身过后的Jigsaw病毒会通过更改电子钱包的位址，并重新导向到攻击者的帐户，来窃取比特币。根据Fortinet官网，这款恶意程式已经成功窃取至少8.4个比特币，大约价值6万美元。
这个窃取比特币的恶意程式是由Fortinet在定期监控区域网络威胁时所发现，FortiGuard△Labs在日本区域发现了一个不寻常的病毒样本，在进一步分析此病毒样本后发现，这款恶意程式不仅锁定日本地区的使用者，而是锁定任何持有比特币资产的使用者。更多内容
?
?蓝牙配对规格?
蓝牙配对规格有瑕疵，恐造成中间人攻击，苹果、英特尔及高通都遭殃两名来自以色列理工学院的研究人员近期揭露，蓝牙（Bluetooth）标准中的Secure△Simple△Pairing与LE△Secure△Connections装置配对功能，含有一重大安全漏洞CVE-2018-5383，将允许骇客拦截蓝牙装置之间的通讯，影响了任何部署这两项功能却未确实执行验证的作业系统与驱动程式，包括苹果、博通（Broadcom）、高通（Qualcomm）与英特尔都受到波及，采用上述业者所开发之蓝牙晶片的装置也无法幸免于难，例如iPhone与Android手机。更多内容
?
更多资安动态中小企业也有适用的资安险，明台产险推因应个资新法的保单
同一家公司推出的近10款App与浏览器扩充程式因涉及间谍行为遭下架
议员促美国政府机关移除Flash内容
资料来源：iThome整理，2018年8月
相关：
示意图，与新闻事件无关。 今年初发生在英特尔、AMD等晶片的Spectre漏洞令人余悸犹存，现在有研究人员发现新的Spectre漏洞攻击手法，让骇客可从远端发动攻击，不需植入任何程式码。Spectre变种1（CVE-2017-5753）是
Samsung 官网意外流出 新 Galaxy Watch 外观细节 | 香港 UNWIRE.HK 玩生活．乐科技
早前，市场上早已有传 Samsung 将会推出新智能手表 Galaxy Watch 。如今，在 Samsung 官方网页上更出现这款新手表的外观细节。当外媒记者发现后， Samsung 随即进行修正，但都是被人抢先一步撷图保留证据。在官方网站
最大开源基金会Apache年度报告：生态系持续成长，现在已有300多个顶级专案
Apache软件基金会公布了，从2017年5月1日到2018年4月30日的2018年的年度报告，各项数据都显示了，这是一个活跃成长的生态系，今年甚至还有盈余约55万美元。该基金会现在拥有超过300个专案，以及6,700多位程式码贡献者
实时热点凤凰网财经7月23日讯疫苗案主角长生生物今天开盘前突然公告临时停牌,有消息称,厂升级官网首页被黑客攻击,并配图“不搞你对不起祖国的花朵”,如下图...财联社7月23日讯,长生科技官网首页被黑客攻击,并配图“不
脸书（Facebook）开源内部用来解决记忆体不足（Out-Of-Memory，OOM）的解决方案Oomd，脸书提到，随着服务发展而扩建的生产环境，由于规格不同，造成软件在部分的机器上运作，会有记忆体空间不足的情况发生。Oomd可以