趨勢科技 TrendMicro | 資安趨勢部落格

兩隻新勒索病毒：Snatch重啟電腦進入安全模式/ Zepplin鎖定歐美

2019 年 12 月 24 日2019 年 12 月 23 日趨勢科技 TrendMicro

近日出現兩隻值得注意的勒索病毒 Ransomware (勒索軟體/綁架病毒) – Snatch和Zeppelin。Snatch勒索病毒可以強迫Windows電腦重新啟動進入安全模式。而Zeppelin勒索病毒則感染了歐洲和美國的醫療和IT公司。

Snatch勒索病毒重啟電腦進入安全模式來躲避安全防護

Snatch會重新啟動受感染電腦進入安全模式來繞過安全軟體以加密檔案而不被偵測。這樣做的原因是安全軟體通常不會在Windows安全模式下執行，因為此模式是用來除錯和回復有問題的作業系統（OS）。

研究人員發現勒索病毒作者利用Windows登錄檔來排程一個名為SuperBackupMan的Windows服務，此服務可以在安全模式下執行，無法被停止或暫停。此惡意軟體甚至會進一步刪除系統上所有的磁碟區陰影複製來防止鑑識回復加密檔案。

Snatch勒索病毒最早於2018年被發現，它的目標並不是家庭使用者，也沒有利用垃圾郵件或瀏覽器漏洞等大規模散播方式。此惡意軟體操作者只專注在小部分的目標，包括公司和政府組織。操作者還會在駭客論壇上招募駭客來從目標組織竊取資訊。

Zeppelin勒索病毒針對歐洲和美國的醫療和IT公司

Zeppelin是VegaLocker/Buran勒索病毒的新變種，被發現會透過針對性安裝感染位於歐洲和美國的公司。根據BlackBerry Cylance的報導，Zeppelin勒索病毒屬於勒索病毒即服務（RaaS）模式，被發現感染了某些醫療和IT公司。

繼續閱讀

什麼是電腦病毒 ?

2019 年 12 月 23 日2020 年 05 月 21 日趨勢科技 TrendMicro

電腦病毒在技術上來說,是一種會自我複製的可執行程式。大部份的電腦病毒都會有一個共通的特性:它們通常都會發病。當病毒發病時, 它很可能會破壞硬碟中的重要資料, 有些病毒則會重新格式化 (Format) 您的硬碟。

早期製作電腦病毒的目的,主要是為了癱瘓或破壞使用者的電腦,造成公司行號或社會的混亂,進而讓駭客可以在自己的圈子裡獲得名聲。

現代的病毒可能不會造成電腦系統的損毀,但是會讓使用者的電腦不知不覺就被侵入或操縱。進而竊取使用者的資料,例如:個人資料、銀行帳號密碼、拍賣帳行、遊戲帳號,讓不法集團得利。

有價値的個人資料可能會有國家或地域的限制。所以不法組織為了竊取有價値的個人資料,可能會針對犯案的地區設計特殊的病毒。

⭕ 延伸閱讀:

電腦為什麼會生病呢？

每當天氣轉涼，一不小心就容易得流行性感冒。流行性感冒是濾過性病毒在人體的呼吸系統搗蛋引起的，它會讓你沒有體力工作、上學。同樣的，如果電腦感冒了，它也不會乖乖聽你的指揮。

至於電腦為什麼會生病呢？如果你常常忘了天冷了要多穿衣服、晚上總是踢被子，還有平常沒有養成運動強身的好習慣，就容易讓病毒有可乘之機一旦引起感冒的病毒在你周圍活動，你的身體就沒有跟它抵抗的能力，接著便會頭痛、咳嗽和鼻塞。電腦也是有類似抵抗力的問題，如果你事先沒有正確的防毒習慣，就像把一個沒有穿衣服的人，丟在天寒地凍的北極一樣，不生病才怪，一旦病毒入侵電腦，可能讓你的程式消失、電腦當機…..等等。

自從 Internet 盛行以來,電腦病毒的定義就擴大為只要是對使用者會造成不便的這些不懷好意的程式碼, 就可以被歸類為病毒。以Java病毒為例, Java病毒它並不能破壞您硬碟上的資料, 可是若您使用瀏覽器來瀏覽含有 Java 病毒的網頁, Java病毒可以強迫您的 Windows不斷的開啟新視窗, 直到系統資源被吃光為止, 而您也只有選擇重新開機一途了。

電腦病毒的生命週期

電腦病毒就好像細菌的生長一般, 所以我們才將它稱做「病毒」。而電腦病毒的成長可以被歸納成下列幾個階段:

繼續閱讀

Waterbear 又回來了，這次使用 API 攔截技巧躲避資安產品偵測

2019 年 12 月 23 日2019 年 12 月 21 日趨勢科技 TrendMicro

Waterbear 是一個已肆虐多年、善於使用模組化惡意程式、並可從遠端新增功能的駭客攻擊行動。此攻擊行動幕後的操控者很可能是 BlackTech 網路間諜集團，該集團主要攻擊東亞的科技公司與政府機關 (特別是台灣，有時也攻擊日本和香港)，同時也是某些惡名昭彰的攻擊 (如 PLEAD 和 Shrouded Crossbow) 幕後的黑手。在之前的攻擊當中，我們看到 Waterbear 主要用於橫向移動，並使用檔案載入器來解開及觸發加密的惡意檔案。在大多數情況下，這些惡意檔案都是用來接收並載入更多模組的後門程式。不過在最近一起攻擊中，趨勢科技發現某個 Waterbear 惡意檔案有了全新的用途：藉由 API 攔截 (API hooking) 技巧來隱藏自己的網路活動以免被某資安廠商的產品偵測。根據我們的分析，這是一家亞太地區的資安廠商，而這也正是 BlackTech 集團習慣攻擊的地區。

[延伸閱讀：主要鎖定台灣,專偷機密技術的BlackTech 網路間諜集團]

由於駭客知道該攔截哪個 API 來避開偵側，因此意味著駭客很可能熟悉該資安產品在客戶端點和網路上蒐集資訊的方式。而且，由於其程式碼採用通用的方式來攔截 API，因此未來很可能只需更換部分程式碼就能讓別的產品也無法偵測 Waterbear。

Waterbear 深入剖析

繼續閱讀

2019年最活躍的銀行木馬:Trickbot更新密碼擷取模組,鎖定更多應用程式和服務

2019 年 12 月 20 日2019 年 12 月 18 日趨勢科技 TrendMicro

Trickbot一直都是2019年最活躍的銀行木馬之一。這隻惡意軟體持續地透過新模組或更新來不停改進自己，而且背後的開發者也一直在尋找新目標。來自Security Intelligence的研究人員報告了Trickbot在日本的活動程度突然大增，趨勢科技研究人員也發現它更新了密碼擷取（pwgrab）模組，同時可能改用 Emotet 病毒散播 Trickbot。

之前的 Trickbot報告提到會入侵服務或平台來從瀏覽器、Outlook、WinSCP 和Filezilla收集登入憑證。趨勢科技報告發現它的pwgrab模組增加了竊取遠端存取軟體登入憑證的功能，如遠端桌面協定（RDP）、VNC 和 PuTTY平台。最新變種（趨勢科技偵測為TrojanSpy.Win32.TRICKBOT.TIGOCER）將目標放到了TeamViewer、OpenSSH、OpenVPN、Git、KeePass密碼管理器、SSH私鑰檔案、SSL憑證檔案和比特幣錢包檔案等大量登入憑證。

繼續閱讀