趨勢科技 TrendMicro | 資安趨勢部落格

Google Play 出現53個會竊取 Facebook 登入憑證的惡意廣告程式

2018 年 01 月 26 日2018 年 01 月 25 日趨勢科技 TrendMicro

趨勢科技在 Google Play 商店上總共發現了 53 個會竊取 Facebook 帳號並暗中推播廣告的應用程式。這些應用程式當中，有許多是早在 2017 年 4 月就已上架，而且似乎是在同一期間整批上架。趨勢將偵測到的惡意廣告程式命名為：ANDROIDOS_GHOSTTEAM。在我們偵測到的樣本當中，有許多都是採用越南文，就連它們在 Google Play 上的說明也是。

該程式幕後操縱 (C&C) 伺服器的網址也位於越南：mspace.com.vn。從這一點以及大量使用越南文來看，很可能意味著這些應用程式來自越南，例如，GhostTeam 的組態設定就是使用英文和越南文。如果惡意程式偵測到自己所在的位置不在越南，就會預設使用英文。

利用影片下載程式為社交工程誘餌，吸引想要將影片下載到裝置上離線觀賞的使用者

這些應用程式會偽裝成工具程式 (閃光燈、QR Code 掃描器、指南針)、效能優化程式 (檔案傳輸、清除) 以及最重要的：社群網站影片下載程式。它們利用影片下載程式為社交工程誘餌，吸引想要將影片下載到裝置上離線觀賞的使用者，這一點與我們偵測到的 GhostTeam 行為吻合。根據報導，印度、印尼、巴西、越南及菲律賓已成為 Facebook 用戶最多的國家，所以也因此成為 GhostTeam 肆虐最嚴重的國家。

失竊的帳號很可能將被組成社群網路殭屍大軍，大量散發假新聞或數位加密貨幣採礦惡意程式

雖然目前我們尚未發現網路犯罪集團將竊取到的 Facebook 帳號用於其他攻擊行動，但這一點應該是無庸置疑的事。因為，就其他的網路攻擊和威脅的案例來看 (如「Onliner」垃圾郵件散發殭屍網路)，這些失竊的帳號很可能將被用於散發更具破壞力的惡意程式，或者組成社群網路殭屍大軍，大量散發假新聞或數位加密貨幣採礦惡意程式。由於 Facebook 帳號很可能含有各種其他金融帳號相關資訊或個人身分識別資訊，因此在地下網路上算是常態商品。

圖 1：GhostTeam 肆虐最嚴重的國家。

除此之外，應用程式當中還有一項有關作者的線索：該惡意程式的早期版本在程式碼當中曾經出現過「ghostteam」字樣。這個「ghostteam」程式套件當中含有一些程式碼會要求使用者安裝一個惡意檔案 (GhostTeam_Demo.mp4)。它們會偽裝成某知名網際網路服務廠商的套件名稱。

圖 2：會暗中竊取 Facebook 帳號的應用程式圖示。 繼續閱讀

網路犯罪集團環遊世界的省錢花招-計程車與共乘服務篇(4-2)

2018 年 01 月 26 日2018 年 01 月 19 日趨勢科技 TrendMicro

Miniature businessman on map of Europe. Color tone tuned

網路上充斥著各種渡假旅遊的省錢花招。Brian Kelly 是一名前華爾街上班族，他利用信用卡的回饋和航空公司里程點數賺到了不少免費甚至超便宜的旅遊行程。其中一趟沿途經過迦納、盧安達、南飛的行程只花了他 5.6 塊美元。在此同時，也有另一位Reddit 用戶宣稱他去了一趟為期兩週的泰國之旅，原本需要 28,000 美元，最後只花了 326 美元。

前面兩個例子都算是合法的旅遊省錢花招，但如果是使用非法服務來節省旅費，那可就完全另當別論。

近幾年來，一些經由詐騙得來的旅遊證件、機票住宿熟客優惠專案，以及其他旅遊相關服務，在網路犯罪地下市場開始變得搶手。網路犯罪集團經營的手法是：以偷來的信用卡購買服務、以駭客手法取得熟客優惠帳號、以詐騙方式取得免費贈品、折扣與現金回饋兌換券等等，然後再將這些商品拿到地下市場販賣。儘管目前已有一些專門對抗這類不法活動的安全機制，但網路犯罪集團所提供的商品卻越來越多，藉此吸引買家的興趣。

黑暗網路、地下論壇、Telegram 頻道、甚至社群網路貼文，全都充斥著這類服務的廣告，只要您不在意可能觸法的話，各種便宜好康真是唾手可得。從各式各樣的旅遊證件與租車、機票、飯店住宿應有盡有。以下是我們在中國和俄羅斯地下市場以及某些英文論壇上看到的相關
服務,本文將分數篇刊出,主題包含:

這篇討論的是計程車與共乘服務：

計程車與共乘服務

對於需要搭車到機場或進入目的地城市的旅客，網路犯罪集團也提供了廉價的陸上交通工具，基本上是利用計程車優惠折扣或共乘方案。

它們提供了超低價格的共乘服務以及網路叫車服務。犯罪集團盜用俄羅斯某廠商的優惠方案，為乘客提供超優惠的價格：原本一趟 550 盧布 (9.28 美元) 的車資只要 200 盧布 (3.38 美元)；700 盧布 (11.81 美元) 的車資變成 250 盧布 (4.22 美元)；1,000 盧布 (16.88 美元) 的車資變成 300 盧布 (5.06 美元)；1,500 盧布 (25.32 美元) 的車資變成 500 盧布 (8.44 美元)；還有一小時商務級計程車服務只需 600 盧布 (10.12 美元)。

此外，還有價格超殺的租車廣告，尤其是使用偷來的會員卡。中國地下市場的某廣告提供一張會員卡可以享有車輛免費升等、周末免費租車、以及 25-50% 的紅利點數，可用來免費租車一次。這張享有高級優惠的高級會員卡，價格只需 338 人民幣 (51.03 美元)。

圖 8：提供 Uber 搭車優惠的廣告。 繼續閱讀

企業缺乏內部 IT 安全專家,該怎麼辦?

2018 年 01 月 25 日2018 年 01 月 19 日趨勢科技 TrendMicro

有許多因素都可能影響到公司的整體安全。網路犯罪分子運作越來越精細，利用進階惡意軟體所發起的攻擊越來越頻繁，這些都變成要落實IT安全的動力。也因此帶來了一個日益被關注的問題，就是缺少有經驗和足夠能力的內部IT安全人員。

威脅環境不斷地在變化，今天的企業需要具備專業知識的安全專家來協助組織對抗新出現漏洞和攻擊手法。企業和IT產業都在缺乏經驗豐富的IT安全人員下運作，這也讓它們付出了代價。

在這樣的情況下，網路安全專家越來越依賴於利用關鍵安全解決方案來填補人力和知識的空白。要讓這作法能成功，組織必須選擇可以深度整合來建立強大而全面IT防護的安全解決方案。

雖然大多數企業都有專門的 IT 團隊，但缺乏 IT 安全人員

“網路安全專家越來越依賴於他們的關鍵安全解決方案來填補人力和知識的空白。”

雖然大多數企業都有專門的IT團隊，但有些無法找到具備正確技能的員工，更具體的說是專注安全防護的人員。事實上，一份2016年 IT安全風險特別報告在4,000名企業代表內發現，有48%缺少IT安全人員，33%將增進安全專業列作未來IT投資的主要項目之一。另外有46%的人表示需要更多的安全專家。

“企業缺乏安全專家真的是個問題嗎？”該報告指出。“簡言之，是的！我們發現無法建立企業安全情報（特別是經由僱用新人才）會造成現實的網路安全事件，帶來直接的影響。”

在這情況下，公司IT缺乏安全經驗，不僅造成內部人才短缺，也讓企業面臨惡意入侵事件的嚴重風險。另一份技術研究公司Vanson Bourne的獨立研究發現技術間隙的問題更加嚴重 – 在全球775名IT決策者中，有82%的受訪者表示組織缺乏網路安全專業。

“這是全世界各企業和產業的問題，”Information Week作者Kelly Sheridan寫道。“當他們苦惱於如何尋找有能力的員工時，幾乎所有參與者都表示網路安全技術可以彌補人才的缺乏。” 繼續閱讀

網路犯罪集團環遊世界的省錢花招-旅遊證件和機票篇(4-1)

2018 年 01 月 24 日2018 年 01 月 30 日趨勢科技 TrendMicro

前面兩個例子都算是合法的旅遊省錢花招，但如果是使用非法服務來節省旅費，那可就完全另當別論。

這篇要討論的是旅遊證件和機票：

旅遊證件和機票

地下市場上有不少販賣偽造證件的廣告，專門滿足那些不想讓身分曝光或者根本無法取得必要證件的旅客。例如，在數十個提供服務的賣家當中，有一位俄羅斯地下論壇的賣家在販售空白和包含個人資料的烏克蘭護照，價格分別為：1,500 美元和 1,600 美元。除此之外，地下市場也提供護照變造服務，價格通常在：30,000 盧布 (510 美元) 至 65,000 盧布 (1,100 美元) 之間。繼續閱讀

攻擊者利用 Struts和 DotNetNuke 伺服器漏洞,進行數位貨幣挖礦攻擊

2018 年 01 月 23 日2018 年 01 月 22 日趨勢科技 TrendMicro

最近幾個月來，惡意份子已經將數位貨幣挖礦視作可行的賺錢方式。挖礦攻擊利用使用者的電腦運算能力來挖掘各種數位貨幣，最常見的是利用惡意軟體或被駭網站。透過入侵伺服器來執行挖礦程式可以讓惡意份子得到更多的運算能力，並從非法挖礦中賺取更多利潤。

趨勢科技在最近幾週注意到針對CVE-2017-5638（Apache Struts的漏洞）和CVE-2017-9822（DotNetNuke的漏洞）的攻擊次數顯著地增加。這些漏洞的修補程式都已經釋出。這些漏洞存在於開發者常用於建構網站的Web應用程式內，所以可能出現在許多伺服器上。2017年的大規模Equifax資料外洩事件也跟Struts漏洞有關。

我們認為這些攻擊的幕後黑手是同一個，因為這些網站都指向同個網域來下載門羅幣挖礦程式，也都指向同一個門羅幣地址。這地址已經收到了30個門羅幣（XMR），以2018年1月中的匯率來看約等於12,000美元。

分析

攻擊上述漏洞的惡意HTTP請求被發送到目標伺服器。這些HTTP請求包含編碼過的腳本程式。上述漏洞被利用來在受影響的Web伺服器執行這程式。使用多層混淆技術的程式碼可以讓分析和偵測變得更加困難。Windows和Linux系統都成為了這波攻擊的目標。

一旦將混淆過的程式碼完全解碼後就會找到這波攻擊活動的最終目標。程式碼最終會下載惡意軟體：一個門羅幣挖礦程式。