資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

惡意Chrome擴充功能竊取Roblox遊戲貨幣

2017 年 08 月 29 日2017 年 08 月 30 日趨勢科技 TrendMicro

資安趨勢部落格最近討論過網路犯罪份子利用玩家經常使用的新一代聊天平台: Discord，從Windows電腦上的Roblox程序竊取cookie。在那之後，我們又看到類似的竊取行為，只是這次是利用Chrome擴充功能（CRX檔案）。

雖然它目前的目標只針對擁有 1 億 7,800 萬名註冊用戶的ROBLOX遊戲使用者，但相同的技術可以用來在任何網站竊取cookie。偷來的資訊會透過Discord聊天平台發送，不過這也能夠變更成其他聊天平台。而且趨勢科技發現這個Chrome擴充功能可以只用99美分在Dream Market地下市場買到：

圖1、Roblox Trade Bot在“Dream Market”地下市場販賣（點擊放大）

我們取得這交易機器人內的樣本如下：ROBLOX BOT.zip、Crm5extension.crx、Roblox Enhancer.crx和DankTrades.zip。第一個ZIP檔內包含一個檔案名為bgWork.js。

圖2、 ZIP檔案內容

搜尋CRM5或bgWork.js會找到論壇v3rmillion.net。這個地下市場論壇是Roblox駭客的熱門網站。人們甚至會開始用ROBUX（Roblox遊戲內的貨幣）來交易其他工作或產品。

檢視bgWork.js會發現一個設定好的Discord網路掛接（webhook）。安裝之後，惡意軟體會透過Discord API送出竊來的Roblox cookie。在此例中，這個交易機器人擴充功能號稱會取得最近的平均價格，協助你來將ROBUX交易成別的東西。但這擴充功能實際上並不會這麼做；只會將偷來的cookie送到Discord頻道，對使用者沒有任何用處。繼續閱讀

冒充業務和財務部門的電子郵件,夾帶後門程式攻擊企業

2017 年 08 月 29 日2017 年 08 月 24 日趨勢科技 TrendMicro

一起針對企業的惡意電子郵件攻擊活動利用漏洞攻擊結合Windows元件來植入新後門，讓攻擊者可以接管中毒系統。攻擊者利用各種合法Windows元件來執行惡意腳本; 這也讓偵測和封鎖變得更具困難，尤其是對使用白名單的解決方案來說。

趨勢科技在一個月內已經觀察到至少五波攻擊，每一波都會寄送數份惡意電子郵件給目標。受影響產業為金融機構（包括銀行）和礦業公司。值得注意的是，攻擊者在每波攻擊時都會利用多種手法來寄送電子郵件給每個目標。

這起攻擊的相關惡意動態連結函式庫（DLL）樣本最早在2017年6月6日被上傳到VirusTotal，這跟我們在6月的最後一周和7月27日間看到一連串的電子郵件攻擊的時間點相近。

推測這起攻擊應該仍在進行中,少量散播和社交工程誘餌的特定性顯示出這可能是起魚叉式釣魚攻擊（SPEAR PHISHING）攻擊活動。

圖1、惡意電子郵件活動的攻擊鏈

圖2、送給一個目標的不同惡意電子郵件（時間順序為自左向右，順時針方向）

繼續閱讀

如何快速搜尋 LINE 對話內容?

2017 年 08 月 28 日2017 年 08 月 30 日趨勢科技TrendMicro

LINE 非常的便利，但也因為這樣常常訊息太多記不住重要的內容，除了可以善用LINE的聊天室記事本外，也可以透過LINE所提供的搜尋功能來快速找到你想要的訊息內容喔～

現在，讓趨勢科技 3C 好麻吉詳細的教你怎麼使用LINE的搜尋功能吧！讓您可以利用隻字片語來尋找當初的聊天紀錄，從此可以精確找尋到每一個聊天內容與對象

首先打開LINE後，滑到”聊天”的那一分頁

繼續閱讀

ShadowPad 後門程式藏匿在伺服器管理軟體中

2017 年 08 月 26 日2017 年 08 月 24 日趨勢科技 TrendMicro

安全研究人員在美國與南韓公司 NetSarang 的伺服器管理產品內發現強大的後門程式:ShadowPad（趨勢科技偵測為BKDR_SHADOWPAD.A），它能夠下載並執行其他惡意軟體及竊取資料。

受影響的組織包括金融機構、能源和製藥等產業

NetSarang產品包括管理網路、伺服器和系統管理工作站的軟體。受影響的組織包括了金融機構（如銀行）、能源和製藥等產業。

根據研究人員的分析，ShadowPad每隔8小時連到攻擊者所控制的特定網域來傳送中毒系統上的資料。它也被設計成會每月連到不同的網域。如果傳送給攻擊者的資料引起興趣，則命令與控制（C&C）伺服器會去觸發後門程式來送入更多的惡意程式。

ShadowPad的惡意程式碼被注入到一個動態連結函式庫（DLL）檔案nssock2.dll，在7月17日出現在NetSarang網站上，至今仍未被發現。另外值得注意的是ShadowPad的隱蔽程度，包括了加密層數，並且具備分級機制來阻止後門程式啟動，除非C&C伺服器發送特定封包到中毒系統。

NetSarang已經承認了此一事件，並且開始實施對策，他們告訴Ars Technica：“我們建立了一個全新且獨立的基礎設施網路，所有要被放入此新基礎設施網路的設備都會先重新格式化。接著接受檢查，加入白名單，再逐次加入新的基礎設施網路。這過程將需要經歷幾個星期的時間，但我們需要確保這樣的入侵事件不會再在NetSarang發生。“

合法軟體被惡意濫用不止一樁:

會計軟體被利用散佈Petya勒索病毒,Mac勒索病毒內嵌到BitTorrent客戶端 繼續閱讀

叫車app也有山寨版?! 冒充叫車應用程式的 FakeToken 木馬再現身

2017 年 08 月 25 日2017 年 08 月 25 日趨勢科技 TrendMicro

叫車程式會儲存及使用個人金融資訊和身分資料,FakeToken 變種木馬會即時監控 Android 裝置上所安裝的這類應用程式並試圖偷取相關資料。當使用者執行某個叫車程式時，FakeToken 就會顯示一個網路釣魚畫面並將它重疊在原本的應用程式畫面上，騙受害者輸入信用卡資料。而且網路釣魚畫面長得跟就像原本的應用程式一樣，包括標誌和配色等等。此外，這一版的 FakeToken 還會攔截手機收到的簡訊，監控手機通話並錄音

趨勢科技提醒您,請勿在網路上分享過多個人資訊，同時也盡可能減少您提供給應用程式的權限。還有，務必小心一些不請自來的簡訊