由众多资安业者组成的网络威胁联盟（Cyber△Threat△Alliance，CTA）于本周发表了《非法挖矿威胁》研究报告，指出今年侦测到挖矿恶意程式的数量比去年增加了459%，而且并未因为加密货币价格的下滑而趋缓，若说去年最严重的资安威胁是勒索软件，那么今年就是非法挖矿。
所谓的非法挖矿是骇客借由入侵使用者的电脑、浏览器、物联网装置、行动装置或网络架构，在未经授权的状态下偷偷植入挖矿程式，窃取这些装置的运算资源来替骇客开挖加密货币。
研究显示，未修补的安全漏洞是骇客入侵的主要管道之一，例如美国政府所打造的EternalBlue攻击工具是开采了微软Windows中用来共享档案与印表机资源的SMB协议的安全漏洞，且微软已于去年3月释出MS17-010修补，然而，现在仍有不计其数的组织并未修补该漏洞，使得该漏洞迄今仍遭到Adylkuzz及Smominru两款恶意采矿程式的利用。
此外，SMB协议漏洞还只是冰山的一角，其它还有更多年久失修的漏洞被恶意采矿程式成功攻陷。CTA认为这对企业来说是个警讯，假设骇客能够潜入企业网络并植入挖矿程式，那么也可能带来更大的威胁。
研究还发现有许多新手骇客通过唾手可及的恶意程式或浏览器攻击程式来窃取系统资源，由于缺乏经验，不懂得限制挖矿软件的能力，直接耗尽了CPU或GPU的资源，不仅损害了IT设备，也让受害者察觉到它们的存在。
至于有经验的老手则发展出更复杂的手法来隐藏这些恶意行为，以避免被识破，诸如将恶意行为藏匿在合法程序中的“离地攻击”（living△off△the△land），并限制挖矿程式所使用的运算资源，或是在侦测到滑鼠移动时停止挖矿行为。根据Palo△Alto△Networks的调查，不少经验老道的骇客只会窃取20%的CPU资源。
尽管挖矿的效率与装置的效能有关，但许多骇客着眼于“聚沙成塔”的效果，使得不管是路由器、智慧电视、机上盒或监控主机等物联网装置被植入挖矿程式的数量都在增加中。
CTA也提醒大型企业要特别小心挖矿程式的存在，因为企业拥有大量的装置、高运算能力的伺服器，甚至是公有云系统，都让它们成为骇客眼中的宝库。
I 相关 / Other
从事不同的行业或者是要办理一些业务的时候是需要用到自己的一些证书的，但证书都是要靠自己去考取的，就有人想投机取巧，花钱去办假证的人不在少数，就有团伙制假证1张卖2千到1万8，而这团伙还专门在网络上招揽生意
【TGS 2018】Kingdom Hearts III 冰雪奇缘+加勒比海盗+大英雄联盟 | 香港 UNWIRE.HK 玩生活．乐科技
SQUARE-ENIX 旗下的角色扮演游戏《Kingdom Hearts III》（王国之心3）公开一段长约 3 分半钟的宣传及由野村哲也绘制的游戏封面，为一众游戏迷带来惊喜。从展前释出的宣传片可以看到历代多个主要角色的身影，当中包括
开源API管理平台Kong正式进入1.0，支援服务网状网络更易于管理丛集
开源API管理平台Kong官方正式宣布Kong进入1.0，并且加入了包括支援服务网状网络，以及增加新的资料库抽象物件，官方也提到，Kong版本名称将进行改变，原来的Kong△CE社交版（Community△Edition）将被消灭，仅使用Ko
新恶意程式Xbash攻击手法多元化，兼具勒索与挖矿能力，专门锁定Linux及Windows平台
资安业者Palo△Alto△Networks本周二（9/18）揭露了一新的恶意程式Xbash，它兼具勒索、挖矿与僵尸网络等功能，且同时锁定Linux及Windows平台。Xbash攻击不同平台有不同的角色及表现，它针对Linux平台时主要展现勒索软
资安一周第9期：近7成德国制造业曾遭攻击，半数来自网络威胁。15行CSS恶意程式码就能重启你的iOS装置
根据德国Bitkom发布的资安研究报告，德国在过去两年有68%的制造业曾沦为破坏、间谍或资料窃贼的受害者，其中有47%的损失源自于网络攻击行动。（上图仅为场景示意图，图片来源／CC0 by△pxhere） 0913～0919一定要看