在出現勒索訊息之前,勒索病毒暗中做的四件事

勒索病毒:幕後的運作

勒索病毒 Ransomware (勒索軟體/綁架病毒)已成為快速散播的瘟疫,不僅危害一般的使用者,還影響公家機關或企業。從失去對系統檔案的存取能力到損毀聲譽,勒索病毒利用恐嚇戰術脅迫受害者支付贖金。這類惡意軟體會如此猖獗的原因是受害者往往不知道自己已經中毒,直到他們看到勒贖訊息突然出現在螢幕上,但那時為時已晚。

最近韓劇超夯的,許多人喜歡網路追劇,提醒您別遇到勒索病毒,以上為粉絲在趨勢科技粉絲頁留言
最近韓劇超夯的,許多人喜歡網路追劇,提醒您別遇到勒索病毒,以上為粉絲在趨勢科技粉絲頁留言

對於勒索病毒的報導通常聚焦於如何抵達系統和其所帶來的破壞性後果,在受害者看到勒贖通知之前,這中間發生了什麼事?

 

1.往往從一個惡意連結或附件開始,受害者親手將電腦陷入危機

不知情的受害者點入連結或下載有害檔案的瞬間打開了讓惡意軟體進入系統的大門。它將自己複製到使用者的資料夾內,通常是以可執行檔的格式。在Windows環境,惡意軟體往往將檔案寫入%APPDATA%或%TEMP%資料夾,原因是作業系統允許一般使用者寫入這些資料夾而無須管理員權限。接著勒索病毒會開始悄悄地在背景執行。

如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床,紐約時報、BBC、MSN 皆曾中招。台灣也傳出相關案例。
如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床,紐約時報、BBC、MSN 皆曾中招。台灣也傳出相關案例。

2.連線到特定網站收發資訊

一旦惡意軟體進入系統,它會連上網路並且聯絡伺服器,在這個階段,勒索病毒跟命令和控制(C&C)伺服器發送和接收設定檔。在最近所看到Pokemon Go App的 Pogotear寶可夢勒索病毒案例裡(趨勢科技偵測為RANSOM_POGOTEAR.A),惡意軟體連到特定網站來收發資訊。

這隻皮卡丘抓不得!勒索病毒也搶搭寶可夢《Pokemon GO》抓寶熱潮
這隻皮卡丘抓不得!勒索病毒也搶搭寶可夢《Pokemon GO》抓寶熱潮

 

 

抓寶先抓毒 即刻免費下載 PC-cillin 雲端版,抽行動電源
>> 抓寶先抓毒 即刻免費下載 PC-cillin 雲端版,抽行動電源

 

3.搜尋特定類型的檔案進行加密 繼續閱讀

從六隻常見勒索病毒訊息,分辨您感染了何種勒索病毒

自從勒索病毒 Ransomware (勒索軟體/綁架病毒) 首次出現以來,其數量已翻了數倍,而且隨著新的家族和變種不斷出現,再加上原有的家族亦持續更新,這所有的跡象都顯示勒索病毒的問題仍在持續擴大當中。勒索病毒之所以能夠得逞,很重要的一個原因是它能讓受害者心生恐懼,因此很容易乖乖就範,照著勒索訊息的指示支付贖金。

勒索訊息的內容大致包含付款資訊和威脅內容:經由什麼方式付款、該付多少、不付的後果會怎樣等等。但是,受害者顯然想知道更多資訊,可能的話最好知道如何防範勒索病毒,或者,是否有辦法移除勒索病毒,例如使用免費解密工具。不過,首先您必須知道您感染的是什麼勒索病毒,以下我們將介紹x六個最常見的勒索病毒以及勒索訊息來幫助您跨出這第一步。

  1. CERBER:會逐字唸出勒索訊息的內容,語音提醒受害者支付贖金
  2. CryptXXX:加密檔案類型多達 200 多種,新變種會鎖住電腦螢幕
  3. 奪魂鋸Jigsaw:每隔一小時就會刪除一批檔案,過了 72 小時之後永久刪除
  4. Locky:迫使醫院緊急將所有電腦關機,改用紙本作業
  5. RAA:不僅會偷密碼,還會偷比特幣錢包
  6. MIRCOP: 做賊喊抓賊的,說自己是受害者的

 

當 RAA 第一次亮相時,最令人矚目的是它使用 JScript 來躲避偵測,並且讓自己更容易透過編碼來隱藏。進入系統之後,RAA (趨勢科技命名為 RANSOM_JSRAA.A) 會搜尋下列副檔名的檔案:.doc、.xls、.rft、.pdf、.dbf、.jpg、.dwg、.cdr、.psd、.cd、.mdb、.png、.lcd、.zip、.rar、.csv 等等,接著將檔案加密,然後在檔名末端加上「.locked」副檔名。除此之外,RAA 還會在系統植入專門竊取資料的 FAREIT (亦稱為 Pony) 惡意程式,它會搜尋系統上儲存的 FTP 用戶端和其他檔案管理軟體、電子郵件用戶端、網站瀏覽器、甚至 比特幣(Bitcoin) 錢包的帳號密碼。蒐集到的資料會傳送至某個幕後操縱 (C&C) 伺服器。其勒索訊息是以俄羅斯文撰寫,內容提供了支付贖金的步驟,贖金最高 0.39 比特幣 (約合 7308 台幣)。

CERBER:會逐字唸出勒索訊息的內容,語音提醒受害者支付贖金

Cerber (趨勢科技命名為 RANSOM_CERBER.A) 最明顯的特徵是具備語音功能,會逐字唸出勒索訊息的內容,以說話方式不斷提醒受害者支付贖金。Cerber 犯罪集團要求的贖金為 1.24 比特幣(根據 2016 年 8 月 23 日的匯率約合 23,238 台幣),付款期限是七天,過了期限之後贖金將加倍。正如其勒索訊息所說,受害者的照片、資料庫以及其他重要文件都已遭到加密,受害者電腦上所有下列副檔名的檔案都會遭到加密:.doc.docx.jpg.pdf.pps.pptm.rar.txt.xls.mov.mp3.config.css.csv.dds.flv.html.key.lit.mov.mp3.mp4.mpg,而且副檔名會改成「.cerber」。

CryptXXX:加密檔案類型多達 200 多種,新變種會鎖住電腦螢幕

當 CryptXXX (趨勢科技命名為 RANSOM_WALTRIX.C) 一開始被發現時,它是從早期勒索病毒 Reveton 所衍生而來,經過多次改版和改頭換面之後,現在它已變得相當難以破解。最新的版本不僅會將檔案加密,某些 CryptXXX 變種還會將電腦螢幕鎖住,讓使用者根本無法使用電腦 (但這樣的作法似乎有點適得其反,因為使用者不能使用電腦就看不到勒索訊息)。CryptXXX 已知可加密的檔案類型有 200 多種,包括:.doc、.docx、.jpg、.pdf、.pps、.pptm、.rar、.txt、.xls、.mov、.mp3、.config、.css、.csv、.dds、.flv、.html、.key、.lit、.mov、.mp3、.mp4 以及 .mpg 等等,加密之後副檔名會變成「.crypt」。有趣的是,病毒的作者在某次更新時突然決定「大發慈悲」,給受害者更長的期限來支付 500 美元的贖金,但期限過後贖金依然會加倍。

 


PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制,可預防檔案被勒索軟體惡意加密

Windows10Banner-540x90v5

趨勢科技PC-cillin雲端版 ,榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦,採用全球獨家趨勢科技「主動式雲端截毒技術」,以領先業界平均 50 倍的速度防禦惡意威脅!即刻免費下載


 

奪魂鋸Jigsaw:每隔一小時就會刪除一批檔案,過了 72 小時之後永久刪除

繼續閱讀

從論壇受駭事件,看熱門網路平台的漏洞攻擊

最近的遭受駭客攻擊的Ubuntu列王的紛爭(Clash of Kings)、戰甲神兵(Warframe),還有最新一起的迪士尼Playdom都具備了兩個共通點,都是使用vBulletin(一個為線上社群設計的網路論壇軟體),它們還有一個共通的特點:都被駭了。雖然這些事件並沒有關聯,報告指出每起攻擊背後的駭客都可以取得類似的詳細資料 – 用戶名稱、電子郵件地址、IP地址和兩款熱門遊戲的Facebook個人檔案資料。

論壇軟體:一個被低估的危險性

最近的這些論壇受駭事件顯示熱門網路平台仍然可能遭受基礎的漏洞攻擊。不幸的是,儘管多數網路平台的外觀感覺都已經大幅改變,要管理論壇軟體仍然是個艱鉅的挑戰,因為這些平台都是公開使用,意味著大多數的資料庫仍然容易受到特定類型的攻擊。

論壇軟體一向都很難加以防護。它們需要處理大量傳入的使用者輸入,如搜尋和貼文,需要SQL資料庫來儲存所有之前的文章,通常都是由小型開發團隊所為戶,所以疏漏有時是難以避免。升級論壇軟體通常是件不簡單的任務,而且更新程式需要時間才會發布,這可能是為什麼大多數管理員不會立刻更新。

在列王的紛爭(Clash of Kings)被駭事件中(可能還有其他也是),駭客攻擊了一個未更新修補程式的漏洞,據說是因為列王的紛爭論壇使用的是2013年的舊版本vBulletin,而且沒有使用任何加密。在Ubuntu和戰甲神兵(Warframe)被駭事件中,攻擊者利用了SQL注入漏洞,這也是駭客們最喜歡的工具之一。輕微的疏忽,如使用舊版或過時的軟體,或是沒有更新修補程式都會讓危險放大。

在2016年6月,駭客從超過一千個熱門論壇竊取了數萬名帳號,這些論壇都是架設在VerticalScope,一家多倫多媒體公司。根據入侵外洩通知網站LeakedSource,資料外洩的範圍可能已經大於原先的預期。再一次,連串駭客事件顯示受駭網站沒有達到今日安全環境的要求:更強的加密和持續更新修補程式以解決已知的安全漏洞。

 

被竊的資料怎麼了?

使用者的認證資料,如使用者名稱和密碼是攻擊者的共同目標,並且能為進一步的攻擊和詐騙提供相當長期的價值。網路犯罪分子會利用資料的金融價值,貨幣化他們所竊取的資料 – 多寡取決於資料的類型。例如,在巴西地下市場,市內電話號碼清單可以賣到317美元到1,931美元之間,而一組電子郵件登入憑證可以在中國黑市賣較便宜的價格 – 163美元。工作和個人電子郵件地址可以在俄羅斯地下市場賣到高達200美元。

[延伸閱讀:竊個人資料的全球黑市]

繼續閱讀

《資安新聞周報》APT駭客攻擊組織 IXESHE,對台灣的新一波攻擊/陸男搭Uber台女付費! /線上廣告詐騙盛行 殭屍軍團 製造假流量

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

著名的APT駭客攻擊組織 IXESHE,對台灣的新一波攻擊 資安趨勢


趨勢科技張明正董事長到亞大共識營演講,張明正:人人都有獨立的思想,要讓大家取得共識,必須溝通、建立制度。 中央社即時新聞網

趨勢科技:勒贖軟體 Q2季增3倍 台灣地區偵測到的病毒高達200多萬個,為亞洲第2高  工商時報

勒索病毒橫行 趨勢科技邀FBI探員來台分享  聯合新聞網

小心別中! 勒索病毒愛台灣  聯合新聞網

勒索病毒太猖狂?台灣名列亞太區第二大重災區! 自由時報電子報

這隻皮卡丘抓不得!勒索病毒也搶搭寶可夢《Pokemon GO》抓寶熱潮。玩家必看的5個手機遊戲安全秘訣  電腦硬派月刊

勒索訊息畫面上出現皮卡丘的圖案

演新版《魔鬼剋星》遭諷像黑猩猩 萊絲莉被駭性愛裸照流竄  台灣蘋果日報

不爽獎牌被作掉 伊朗網民灌爆國際舉總網站  中央社即時新聞網

帳號被駭! 陸男搭Uber台女付費  華視全球資訊網

鎖定留學生 盜QQ帳號詐匯款  世界新聞網

駭客竊天貓、珀萊雅個資 轉售詐騙集團  HiNet 繼續閱讀

Google 新一版的Chrome 將封殺Flash

在即將到來的九月中,Chrome版本53會開始有效地封鎖Flash。根據Google的Chrome部落格,Google計劃在今年年底在新版Chrome瀏覽器將Adobe Flash Player擋在門外。Google表示他們計劃在12月發表Chrome版本55,用HTML5取代Flash,這是個輕量而無須外掛程式的Adobe多媒體軟體平台的替代方案。此舉可以提高安全性,並且降低電力消耗和網頁載入時間。

在2015年,Google推出「智慧化暫停(intelligent pausing)」 ,Chrome的點擊後載入功能,可自動停止內容播放(包括了Flash動畫)以節省資料傳輸和電力。內容通常是廣告或網站側邊欄的自動播放影片,這些會拖慢網頁載入且被認為較無關緊要。自動暫停功能大大提升網頁瀏覽速度和顯著地降低電力消耗。但還是一種選擇性的作法,因為被暫停的內容可以用滑鼠點擊恢復。有了這功能,Google表示,「你會注意到的唯一變化是更加安全,更節省電力的瀏覽體驗。」

隨著Flash的普及,它在十幾年來也長期飽受批評。Apple公司在其行動設備不支援Flash就開始了它的下滑之路,而未曾中止的安全問題和大量耗用設備資源也促使網站將圖像和動畫從Flash轉成HTML5

 

[延伸閱讀:Adobe Flash的難題:積重難返]

Flash已經出現過許多安全問題,雖然這也有可能是來自於它受歡迎的程度和普及性。由於支援該平台是熱門瀏覽器功能的一部分,從微軟的IE到Mozilla的Firefox和Google的Chrome,它已經成為普遍的漏洞攻擊目標,反復地將使用者暴露在威脅前。在2015年有許多Flash漏洞(包括兩個零時差漏洞)在一年的前幾個星期就被發現。趨勢科技在一月底回報了第一個,其會影響微軟Windows的Adobe Flash Player使用者。在二月初,另一個Flash的零時差漏洞被發現,這次是用在惡意廣告繼續閱讀