2017-05-20

[專欄] 如何避免勒索軟體上身?


2017年5月12日是網際網路面臨浩劫的一天,因為這款名為WannaCry的勒索病毒軟體在世界各地引起非常大的風波,這款勒索軟體入侵未及時修補Windows系統漏洞的電腦,造成檔案被加密勒索的慘案不斷發生!全球的資安研究人員在此時,不斷的對此惡意程式進行研究分析,也有許多資安廠商提出了解決方案、提前預防的方法。

此事讓很多人對資安大大的提升認識,也證明了資訊安全意識是非常重要的!但是很多人想必會問到我們到底該怎麼防範?買防毒軟體嗎?不上伊莉論壇嗎?不要下載有的沒的嗎?答案是:提昇你的資安意識往往比這些更重要!

想必很多人中了勒索軟體可能會說,會不會是最近伊莉論壇爆發的被駭客植入惡意程式代碼造成的?當然這問題有沒有被入侵是否屬實又或者怎麼回事?我們是不知道的,筆者的老師也在課堂上說不要上伊莉,不然等就換自己中病毒了!也不是所有中的用戶就該把責任推向伊莉,使用者會被加密檔案,大部分是因為是自己資訊安全意識不夠充足也未了解,所以我們要做的是,該去檢討怎麼提前預防和接收新資訊才能對自己有保障,但是筆者在這裡想說,伊莉網站確實存在了很多漏洞問題。

伊莉網站程式使用了非常舊的版本,所以這些安全漏洞在以前就已經被揭露,有嚴重零時差攻擊的風險!





看到上圖網頁PHP系統版本停留在5.2.17版,可見網站工程師對資訊安全不夠認真跟重視!那麼用戶相關敏感資料也會暴露在陽光下,所以我們時常瀏覽任何網頁也要特別留意、下載非官方檔案軟體必須更加注意!建議搭配一款屬於自己的防毒軟體(或再加上安全防護軟體),也要有資安意識這樣才能對上網有保障,因為如果沒有軟體防護,你可能永遠也不知道惡意攻擊者有沒有植入了惡意程式代碼,甚至電腦中了相關病毒進了官方網頁還被導向其他惡意網頁!所以我們必須謹慎看待資安議題。

再來提到釣魚郵件,其種類非常繁多,我們任何人或企業都不可能不使用電子郵件,當然!某些企業在安全防護上有自己特定的資安防護產品,可以過濾這些惡意郵件,但是如今國家級網軍或攻擊者技術不斷攀升、千變萬化,所以我們不可能一輩子只靠所謂資安產品來保護自己,所以企業IT必須時常教育員工對資安意識有相當認識與了解,使用者也是如此。

若被魚叉式釣魚郵件攻擊了,那麼接下來會發生什麼事?完全取決於攻擊者身上!

那另外再想想企業內部遭釣魚呢?企業擁有龐大消費者個資、自己的產品機密資料,如果這些都外洩了,損失就會非常嚴重!

所以如何避免勒索軟體上身?筆者有下列幾點呼籲:

  1. 不隨便點擊陌生郵件和附加檔案。
  2. 只從官方渠道或受信任來源下載軟體。
  3. 不隨意瀏覽不安全網站。
  4. 企業隨時舉辦內部教育訓練,提昇員工資訊安全意識。
  5. 不輕易在網路上洩漏自己的個資。

後續會再補上其他相關資訊安全問題,謝謝!


相關文章:
預防WannaCry勒索病毒入侵3步驟:系統更新→關閉445連接埠→安裝HitmanPro.Alert
實測WanaCrypt0r 2.0勒索病毒被Emsisoft Anti-Malware完封
實測WannaCry勒索病毒被Bitdefender Antivirus Free免費防毒軟體查殺


版權資訊

文章作者:HONC (章哲瑜)阿榮福利味忠實讀者,目前還是個學生,熱愛資安研究、網路滲透。)
資歷:
★獲得幾個國際獨立漏洞編號:CVE-2017-8848、CVE-2017-8833、CVE-2017-8832
★Europa 歐盟漏洞安全名人堂-2017
★Microsoft March 2017 名人堂
★Trend Micro 2017 名人堂
★Adobe 2017 名人堂