趨勢科技 TrendMicro | 資安趨勢部落格

BlackSquid 利用八種知名漏洞潛入伺服器與磁碟,並植入 XMRig 挖礦程式

2019 年 06 月 13 日2019 年 06 月 12 日趨勢科技 TrendMicro

利用一個未修補的資安漏洞發動攻擊已經夠令人擔憂了，然而同時經由八種漏洞攻擊手法來暗中竊取您的企業資產、資料及客戶資訊，則完全是另一個境界。

趨勢科技發現一個專門攻擊網站伺服器、網路磁碟及可卸除式磁碟的最新惡意程式家族，它利用了多種網站伺服器漏洞攻擊手法以及所謂的「字典攻擊」(dictionary attack)。這個惡意程式叫作「BlackSquid」(以其所建立的系統登錄與主要檔案來命名)，是一個相當危險的惡意程式，原因有幾點。首先，它在面對所處環境時，會運用反制虛擬環境、反制除錯、反制沙盒模擬分析的技巧來判斷自己是否要繼續執行安裝程序。此外，它也具備類似蠕蟲的行為，能自我複製並四處擴散。同時，它更利用了當今最知名的一些漏洞攻擊手法，如 EternalBlue、DoublePulsar，以及 CVE-2014-6287、CVE-2017-12615、CVE-2017-8464 等三項漏洞的攻擊手法，並且會攻擊三種不同版本 ThinkPHP 的漏洞。

除此之外，網路犯罪集團似乎也在測試該惡意程式當中的一些技巧是否可行，以作為後續發展的參考依據。目前我們所蒐集到的樣本，最終會安裝一個 XMRig 門羅幣 (Monero) 挖礦程式。不過，BlackSquid 未來還可能再結合其他惡意程式。

根據我們的監測資料指出，五月份的最後一週，BlackSquid 攻擊數量出現最多的地區是泰國和美國。

躲避技巧、行為模式與漏洞攻擊

BlackSquid 可經由三種管道來感染系統：經由造訪已感染的網站伺服器而讓使用者電腦遭到感染、經由漏洞攻擊來感染網站伺服器、經由可卸除式磁碟或網路磁碟來感染。當以下至少一個條件成立時，它會立即中斷感染的行為以避免被偵測或攔截：

當前使用者名稱與以下常見沙盒模擬分析環境使用者相同時：

繼續閱讀

如何在第一時間防堵漏洞以保障企業安全?

2019 年 06 月 12 日2019 年 05 月 31 日趨勢科技 TrendMicro

資安漏洞隨時可能突然竄出，此時，任何仰賴資訊科技來營運的企業都可能陷入危險。當漏洞發生時，就是歹徒入侵企業系統、從事不法活動的最佳時機：從資料竊取、資訊外洩到各種其他風險。因此，漏洞可說是今日最令企業頭痛的一項問題。

根據最新資料顯示，有越來越多的漏洞不斷被挖掘出來：

• 根據 SecurityWeek 指出，2017 年是漏洞通報數量創新紀錄的一年。整體上，該年總共發現了 20,000 多個資安漏洞，較前一年增加 30%。儘管這數據可能有多種不同解讀方式，例如：資安風險正不斷升高，或是企業軟體使用者通報漏洞的情況更加頻繁。然而，這麼高的平台漏洞增加幅度，確實令人擔憂。

• 儘管 2018 年的數據還在統計，但根據 RiskBased Security 的一項報告，截至去年 8 月為止，已通報的漏洞數量已經超過 10,000 個，其中包括 3,000 個很可能許多企業都還尚未修補的漏洞。

RiskBased Security 表示：「這些已通報漏洞的嚴重性依然很高，企業必須隨時保持警戒，並建立一套完整的軟體漏洞評估與管理計畫。」

儘管企業越來越難抵擋漏洞不斷增加的浪潮 (尤其是零時差漏洞)，但還是可以採取一些關鍵的策略來提升自身安全。

漏洞類型以及歹徒如何利用漏洞從事惡意活動

在我們深入探討這些策略之前，我們應先來看看漏洞的實際運作，了解歹徒如何利用這些軟體漏洞。

繼續閱讀

PCASTLE門羅幣挖礦病毒利用無檔案技術,再次針對中國發動攻擊

2019 年 06 月 10 日2019 年 06 月 11 日趨勢科技 TrendMicro

éå¼µåçç alt å±¬æ§å¼çºç©ºï¼å®çæªæ¡åç¨±çº feature_cybercrime-300x300.jpg

利用PowerShell散播惡意軟體並不件新鮮事；事實上，有許多無檔案病毒(fileless malware)都使用了這種作法。我們經常會看到這類型的威脅，趨勢科技的行為監控技術也能夠加以主動偵測和封鎖。比方說我們有智慧型特徵碼能夠主動偵測惡意PowerShell腳本所建立的排程工作。我們還有網路層規則來偵測SMB漏洞攻擊、暴力破解攻擊和非法虛擬貨幣挖礦( coinmining )連線等惡意活動。

不過這些活動的突然飆升仍然並不常見。根據趨勢科技 Smart Protection Suites反饋資料顯示，最近出現了一波針對中國的攻擊。攻擊活動在5月17日發現，現在仍在進行中；在5月22日到達顛峰後就一直保持穩定。

進一步分析後讓我們認為這些都屬於同一波的攻擊活動，行為模式跟之前用混淆PowerShell腳本（名為PCASTLE）散播門羅幣挖礦病毒的攻擊類似。但前一波的攻擊已經擴散到了日本、澳洲、台灣、越南、香港和印度等其他地區。現在似乎正將目標再度針對中國，跟之前被報導的首波攻擊一樣。

這波新攻擊使用了一些新手法。首先，它用了多個進行不同工作的組件來以各種方式散播虛擬貨幣挖礦病毒。它還使用了多層的無檔案技術，透過惡意PowerShell腳本下載其他病毒（通過排程工作）並只在記憶體內執行。最終的PowerShell腳本也是在記憶體內執行，用來進行所有的惡意行為：SMB漏洞攻擊（EternalBlue(永恆之藍)）、暴力破解、傳遞雜湊（pass-the-hash）攻擊及下載其他病毒。

繼續閱讀

垃圾郵件使用 HawkEye Reborn 鍵盤側錄惡意程式攻擊企業

2019 年 06 月 07 日2019 年 06 月 06 日趨勢科技 TrendMicro

HawkEye Reborn v8.0 和 v9.0 是該知名鍵盤側錄惡意程式家族最新的兩個版本，目前已出現在一些專門攻擊企業使用者的垃圾郵件當中。IBM X-Force 研究人員發現了一些攻擊案例使用該鍵盤側錄惡意程式變種來竊取帳號登入憑證與敏感資料，而這些資料又進一步被用於其他攻擊，如：盜用帳號或變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise簡稱 BEC)。除了竊取上述資訊之外，該程式還可能下載更多其他惡意程式變種至被感染的電腦。

過去，趨勢科技也曾經發現過類似的攻擊案例。趨勢科技研究人員曾在一項深度研究中發現，歹徒會利用鍵盤側錄惡意程式來找尋更大的攻擊目標，蒐集更多有關受害者的資訊 (如業務聯絡人、同事、合作夥伴等等) 以從事詐騙。在詐騙過程中，歹徒會持續監控受害使用者的公司電子郵件帳號，一旦發現有關交易付款事宜的郵件，就會從中加以攔截，提供另一個收款帳戶給付款方，好讓交易的款項直接匯入歹徒的銀行帳戶。

繼續閱讀