【 軟體無所不在 5-2】微處理器底層也可能出現風險

今日的微處理器內部還有一層比所有軟體使用的機器碼更低階的程式在運作,那就是所謂的微指令 (microcode)。這些微指令通常隨處理器而異,不過當微處理器出現問題時,可透過修改微指令的方式來修正機器碼的錯誤。之前鬧得沸沸揚揚的 Spectre 和 Meltdown 處理器漏洞,就是透過修改微指令的方式來修正。不過,這樣的修改也存在著風險,因為如果沒有改好,很可能會讓微處理器徹底毀於一旦。由於伺服器通常不能任意重新開機,因為它們必須執行一些重要的企業流程,基於這一點,前述的修補絕不能等閒視之。

微處理器底層也可能出現風險

微指令既然可以修改,意味著就連微處理器晶片也可被視為軟體。且近來似乎更掀起了一股認識如何重新程式化微處理器的風潮。不僅如此,還有其他幾種類型的處理器也可被程式化,例如:可針對特定工作單次程式化的「特殊應用晶片」(ASIC)、可隨時重新程式化的「現場可程式化邏輯閘陣列」(FPGA),以及專門處理類比訊號的「數位訊號處理器」(DSP)。

FPGA 正逐漸被當成特化的協作處理器來使用,例如:影像處理、網路資料過濾,或是其他高效能運算。一些較單純的 CPU 也已經可以用 FPGA 來實做。雖然未來的裝置應該不會由一系列可重新程式化通用晶片所構成,但在某些應用上確實可行。除此之外,還有一種沒有太多人關注的特化 DSP。行動電話和某些裝置為了應付各種版本的無線射頻標準,都將其無線射頻模組設計成所謂的「軟體定義無線射頻」(SDR) 裝置,如此一來,只需單一模組就能透過程式的修改來應付各種不同標準。市面上有許多 DVB-T 電視訊號 USB 接收器都採用 Realtek 的晶片,事實上,這就是一種寬頻 SDR 裝置。許多專案也都利用這款極便宜的接收器來接收無線訊號,少了它,就得使用價格更昂貴的其他套件。

隨著這些不同的可程式化處理器逐漸廣為人知、日益普及,再加上人們對它們的興趣逐漸提高,這類處理器也越來越有可能被用於惡意攻擊。

下期待續:【 軟體無所不在 5-3】-擁有軟體存取權限的車廠等製造商,才知道的隱藏版功能

LokiBot變種利用圖像隱碼術來隱藏蹤跡

當Lokibot第一次出現在地下論壇時,標榜的是資訊竊取和鍵盤記錄等能力,但這幾年來它又加入了許多功能。最近的攻擊活動已經看到這病毒家族會利用Windows Installer進行安裝,而且使用了新的派送方式,利用夾帶惡意ISO檔的垃圾郵件。分析新的LokiBot變種後發現它更新了持續性機制且使用 圖像隱碼術 (steganography)  來隱藏其程式碼,讓它在系統內更不容易被發現。

事件背景

當時我們通知一家使用趨勢科技託管式偵測及回應(MDR)服務的東南亞公司出現潛在威脅時發現此一LokiBot變種(趨勢科技偵測為TrojanSpy.Win32.LOKI.TIOIBOGE) – 一封聲稱來自印度甜點公司的電子郵件附件檔。公司內部署的趨勢科技趨勢科技的Deep Discovery Inspector沙箱發出了警訊加上此封郵件的可疑性質讓我們通知公司可能的惡意威脅,接著趨勢科技研究部門進一步地深入調查和分析。

Figure 1. Screenshot of the actual email sample that contained a LokiBot attachment

圖1. 包含LokiBot附件檔的郵件樣本截圖

繼續閱讀

【詐騙新招】偽裝台灣小農打悲情牌,宣稱無花果茶/桑葚,有治糖尿病/白髮療效

詐騙集團又出新花招,繼前陣子假冒宅配公司詐騙後,趨勢科技防詐達人發現詐騙集團開始成立20幾個網站與臉書帳號賣無花果茶,廣告內頁連入一頁式購物詐騙網站,宣稱能治療糖尿病 。
這些詐騙的共通特色,宣稱來自台灣小農,另外,也不再冒用知名品牌的粉絲頁,而是成立各種粉絲團如 「台灣在地小農」 、 「生活家居館」 ,甚至一些跟產品沒有連結度的英文名稱粉絲專頁: 「A quick」 、 「 AthenG 」 、 「 Pure Apple Cider Vinegar Gummies 」 」…刊登臉書廣告促銷「彰化小郭」 的無花果茶。 另外, 趨勢科技防詐達人發現也發現,有宣稱可從根部治好白頭髮,讓黑髮重新長出來桑葚 ,還有打著陳月卿老師推薦的苦茶油 。

偽裝台灣小農打悲情牌,宣稱無花果茶/桑葚,有治糖尿病/白髮療效

糖尿病友: 「不要盜用我的照片!」

其實今年六月大愛醫院就發現網路上有不法份子販賣宣稱可以治療糖尿病的無花果茶,還盜用電視節目影片,以及醫師和病友影像,看似為這家產品背書。

最近這名被盜照片的病友,發現詐騙集團在 FB 故技重施,成立多個粉專刊登廣告,該名病友也留言: 「不要再盜用我的照片,不要再騙人了

另外也有台灣相關業者發出反詐騙聲明 ,因為不肖詐騙集團,盜用電視台專訪影片,
在網路販售”來路不明”的”無花果乾 。

不肖詐騙集團,盜用電視台專訪影片,
在網路販售"來路不明"的"無花果乾 。

「無花果滯銷,果農含淚倒在樹下當肥料? 」 其實是移花接木來自對岸舊聞

繼續閱讀

【軟體無所不在5-1】軟體更新一旦出了問題,有可能會危及生命安全!

精密複雜的軟體是工業成長的動力,讓工業以前所未有的方式茁壯,但最新的科技卻也伴隨著風險和後果。

軟體更新一旦出了問題,有可能會危及生命安全,例如交通運輸便是一例。針對軟體的安全性,全球航空產業已制定了嚴格的規範,但仍舊過度依賴一套無法預見所有情況的系統。

才不過數十年前,系統的邏輯設計還在使用機械開關來控制。要將一輛列車停止,駕駛員必須扳動一個控制桿,經由電力或機械方式將列車切換至「危險」狀態 (代表列車應該停止)。在進入隧道之前,若列車的高度超過隧道的限高,列車就會撞壞隧道前方某處的一個水銀管,使得該列車的電力被切斷。倫敦地鐵北線 (Northen Line) 就時常發生這樣的情況。這類控制邏輯相對上容易理解、也容易確認。

但隨著系統的日益複雜,系統慢慢開始改用電機零件來控制,再複雜一點的邏輯,就用離散電路來控制。如果訊號必須經過中繼轉送,那系統會發出聲音來確認操作已確實執行。因此,只要按部就班執行各樣動作,就能確保邏輯的正常運作。

到了今日,系統上的電機零件已經很少,因為,為了提升效能和效率,系統必須具備更複雜的邏輯。為了實現關鍵系統所需要的複雜邏輯,製造商開始在系統內導入微處理器。微處理器不僅擁有更大的彈性,而且比離散電路更容易透過程式控制。

繼續閱讀

MDR 找到埋伏某公司系統2年的MyKings變種

亞太地區一家電子公司在五月導入託管式偵測及回應(Managed Detection and Response,簡稱MDR) 服務時,趨勢科技的Deep Discovery Inspector 偵測到了 EternalBlue(永恆之藍) 相關可疑活動,這漏洞攻擊之前常被用於WannaCry(想哭)勒索病毒。我們發現後向該公司發出了第一次的警報,通知這個可能的威脅。

我們幾天後想辦法找到了公司內部電腦會跟攻擊者建立惡意通訊的證據,公司一台電腦會連到下列網址(我們確認為惡意程式來源 ):

  • hxxp://js[.]mykings.top:280/v[.]sct
  • hxxp://js[.]mykings.top:280/helloworld[.]msi

網址包含了單字「mykings」,這跟我們之前在2017年8月分析殭屍網路時所看到的命令和控制(C&C)伺服器類似。這給了我們關於此威脅身份的第一個線索。

此外,我們發現攻擊者竄改了系統登錄檔,目的是為了持續性機制。新加的登錄機碼負責跟前面所提到的網址進行C&C通訊:

  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run” -Name “start”
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run” -Name “start1”
  • HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg” -Name “start”
  • HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg” -Name “start1”

惡意軟體在被發現前已經隱藏在公司系統內大約2年

更深入研究後,我們發現這些註冊表值是在2017年加入,顯示惡意軟體在被發現前已經隱藏在公司系統內大約2年。這造成了另外一個問題,因為時間點對確認MyKings實際在系統上做了哪些事情很重要。有許多殭屍網路組件(包括C&C伺服器網址和下載網址)都只會存活短短的時間,非常容易消失。跟使用內嵌網址和檔案的病毒不同,MyKings跟腳本綁在一起,只從遠端伺服器下載所需的一切。

繼續閱讀