作者: 趨勢科技 TrendMicro

《數位貨幣》採礦機不夠力? 礦工改用這些方法獲利

趨勢科技 TrendMicro

數位貨幣採礦是一項需要大量電力、強大顯示卡、專用處理器和其他硬體才能持續運作的密集性工作。比特幣仍然是最具價值的數位貨幣（在10月的第三週創下近6,000美元的高點），但是需要大量的投資才可能回本。

cryptominer

正如此報告中提到，不夠力的採礦機花在電力的花費比從 比特幣 Bitcoin) 上賺的還要多。而因為開採一個區塊的獎勵（這是支撐比特幣的交易）減少了，所以就更難獲取利潤。在2016年，比特幣採礦收益減半至12.5比特幣，預計大約每四年下降一次。而且開採比特幣的主力變成企業化的做法，因為需要用客制化的ASIC硬體開採才有利可圖。

面對這些狀況，很多人會將數位貨幣採礦計畫轉向被認為能夠防止ASIC開採的其他貨幣，讓使用普通硬體也能夠以合理的回報開採這些貨幣。網路犯罪分子似乎也朝著這個方向前進， 比特幣Bitcoin) 以前是地下市場內許多人的首選貨幣，但目前的數位貨幣採礦病毒大多是針對門羅幣（Monero）或Zcash。

隨著數位貨幣價值的水漲船高，網路犯罪分子會不斷開發新方法和技術來有效地挖掘數位貨幣也就不足為奇了。

合法廣告的代替品: 要求訪問者捐贈電腦處理能力，透過採礦來贊助網站

CoinHive是特意開發來做為網站替代收入來源的合法採礦程式。網站所有者不需要讓廣告將網站弄亂，而是要求訪問者捐贈電腦處理能力，透過採礦來贊助網站。一個熱門種子網站是採用此作法的首波主要網站之一。但是訪客並沒有被告知或提供退出選項。 繼續閱讀

NIC亞洲銀行發生的SWIFT網路劫案凸顯出商業流程入侵的嚴重性

趨勢科技 TrendMicro

尼泊爾的NIC亞洲銀行是變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）最新的受害者，出現了透過SWIFT系統的詐騙性金融轉帳。這場網路劫案的幕後駭客試圖將竊來的錢轉到多個國外帳號，如日本、英國和新加坡以及紐約渣打銀行和Mashreq銀行等外幣帳戶。

NIC亞洲銀行向中央銀行（尼泊爾國家銀行）回報了此一事件。截至2017年11月6日，NIC亞洲銀行與其他金融機構（如KPMG India和印度中央調查局）合作阻止非法交易，取回了4.6億尼泊爾盧比（約合445.1萬美元）。

[相關資訊：Security 101：商業流程入侵（Business Process Compromise）]

 

NIC亞洲銀行是近來SWIFT相關劫案的最新受害者，去年孟加拉中央銀行發生的相關事件損失了至少8,100萬美元。網路犯罪分子將SWIFT相關基礎設施作為目標，讓厄瓜多和越南的金融機構也都上了頭條新聞。

[相關資訊：你企業內的大型主機是否暴露在危險中？你的商業流程可能會受到威脅。]

商業流程入侵破壞了管理公司運作的基礎架構完整性，像是利用其漏洞或使用資料竊取或變更惡意軟體來加以感染。在亞洲銀行的案例中，據報專門用於處理SWIFT交易的系統也被用在其他用途（如電子郵件）。這次的劫案是在排燈節時進行，這在尼泊爾是五天的國定假日，該國的銀行和金融機構在這期間也都關閉。

 

[相關資訊：網路犯罪分子如何利用你的資料來對付你]

商業流程入侵不僅被用來打擊金融機構。從物流和航運、教育和資料/商業服務到零售業，不管組織是大是小都很可能遭受攻擊。 繼續閱讀

IcedID 銀行木馬鎖定美國的金融機構

趨勢科技 TrendMicro

研究人員在九月發現一種名為IcedID（趨勢科技偵測為TSPY_EMOTET.SMD3、TSPY_EMOTET.SMD4和TSPY_EMOTET.AUSJMY）的新型銀行木馬出現在美國、英國和加拿大的金融機構，包括了銀行、支付卡廠商、行動服務商及電子商務網站。銀行木馬的影響範圍目前尚不清楚，但根據初步報告顯示，到本文發表時的影響仍然有限。

phishing

對此木馬的初步分析顯示它是透過被稱為EMOTET的另一個木馬殭屍網路散播。在此案例中，殭屍網路被用來當作惡意軟體散播平台，就跟之前的攻擊散播DRIDEX木馬一樣。一旦IcedID進入系統內，它會利用重新導向和網頁注入技術來進行攻擊。這惡意軟體還包含一個網路散播模組，讓它不僅可以移動到其他端點系統，還可能移動到終端伺服器上。

IcedID攻擊的初始階段是當使用者開啟網頁瀏覽器時，會從C&C伺服器下載包含木馬目標的設定檔案。具體來說，它對線上銀行網站使用網頁注入攻擊，並對支付卡和網路信箱網站使用重新導向技術。 繼續閱讀

網路間諜集團以紐約恐攻事件當誘餌

趨勢科技 TrendMicro

Pawn Storm  攻擊行動 (亦稱為 Fancy Bear、APT28、Sofacy、STRONTIUM) 又登上媒體版面 ，資安研究人員再次揭露該集團最新的網路間諜行動。該集團最近的魚叉式網路釣魚行動使用的是暗藏惡意程式的 Word 文件，並利用前不久 (10 月 31 日) 紐約發生的恐攻事件為社交工程誘餌。

根據報導指出，駭客利用了 Microsoft Office 的動態資料交換 (Dynamic Data Exchange，簡稱 DDE) 機制來開啟一個命令提示字元視窗並執行 PowerShell 指令去下載及執行一個用來分析受害者電腦的程式。如果受害者電腦對他們有價值，就進一步植入一個後門程式 (X-Agent 或 Sedreco)。

[TrendLabs 資訊安全情報部落格：REDBALDKNIGHT/BRONZE BULTER 網路間諜集團的「Daserf」後門程式開始採用圖像隱碼術]

DDE 是一種讓不同應用程式之間彼此分享、交換資料的機制。但駭客卻利用它來開啟命令提示字元視窗，或者執行惡意程式碼，不再仰賴巨集功能。雖然這並非什麼新的技巧，但這種利用 DDE 機制的手法確實越來越受網路間諜集團以及 整天想著賺錢的網路駭客關注。就連 Locky 勒索病毒和其長期共犯  Necurs 殭屍網路 最近也開始使用這項技巧。

[延伸閱讀：網路間諜集團 Turla 在 G20 工作小組高峰會前發動一波行動]

然而除了 DDE 逐漸受到青睞之外，近期也出現了大量的網路間諜及網路宣傳活動。例如，美國外交關係協會 (Council on Foreign Relations，簡稱 CFR) 今年至目前為止就 遭遇了 26 次不同的攻擊行動。事實上，光過去幾個星期就有多個駭客團體利用各地的政局發展來發動攻勢，其中包括：

  • Keyboy：同樣也是利用 DDE 在系統植入資訊竊取程式。
  • Sowbug：專門攻擊南美和東南亞的外交使節團與外交政策機構。
  • OceanLotus/APT32：曾在東南亞國家協會 (ASEAN) 高峰會招開前夕展開攻擊行動。
  • ChessMaster：曾開發出新的工具和技巧來讓其活動更加隱密。
  • BlackOasis：使用一個 Adobe Flash 軟體的零時差漏洞來散發間諜程式，專門鎖定中東政治人物和聯合國官員。

[資安基礎觀念：越來越多利用 PowerShell 相關威脅該如何防範?]

對企業機構而言，這些案例都突顯出邊界防禦的重要：從閘道、網路、伺服器到端點裝置，因為沒有任何平台能夠倖免於攻擊。以下是一些能夠大幅縮小企業攻擊面的縱深防禦措施： 繼續閱讀

Daserf 間諜集團以「心肺復甦術」、「防災計畫」主旨信件及日文加圖像隱碼術,騙倒日本企業

趨勢科技 TrendMicro

 

網路間諜集團REDBALDKNIGHT (亦稱為 BRONZE BUTLER 和 Tick)專門鎖定日本企業機構，包括公家機關 (如國防單位) 及生技、電子製造、化工等產業。該集團習慣使用「Daserf」後門程式 (趨勢科技命名為 BKDR_DASERF，亦稱為 Muirim 和 Nioupale)，主要具備四種功能：執行命令列指令、下載和上傳資料、擷取螢幕畫面、側錄鍵盤輸入。

不過，根據趨勢科技最近的監控顯示，歹徒不只利用 Daserf 的變種來監控日本與南韓企業機構，其蹤跡甚至已延伸到俄羅斯、新加坡和中國。而且我們也發現各種不同版本的 Daserf 會使用不同的技巧及圖像隱碼術 (steganography)，也就是將程式碼暗藏在令人料想不到的地方 (如圖片當中)，因此更不易被察覺。

如同許多網路間諜行動一樣，REDBALDKNIGHT 集團的攻擊雖然斷斷續續，卻持續很久。事實上，REDBALDKNIGHT 集團早在 2008 年起便一直鎖定日本企業和機構，至少從他們所寄給攻擊目標的誘餌文件日期來看是如此。其攻擊目標相當特定，這一點從其社交工程（social engineering ）技巧即可看出。REDBALDKNIGHT 集團攻擊行動當中使用的誘餌文件，日文非常流利，而且是使用日本的文書處理軟體「一太郎」(Ichitaro) 所撰寫。例如其中一個誘餌文件內容是「平成 20 年年度防災計畫」。


圖 1：REDBALDKNIGHT 寄給日本攻擊目標的誘餌文件內容屬性。


圖 2：REDBALDKNIGHT 所使用的誘餌文件樣本，歹徒在魚叉式網路釣魚電子郵件使用「防災計畫」為標題來引誘受害者上當。

以「心肺復甦術 (CPR)」、「防災計畫」等信件標題為誘餌

REDBALDKNIGHT 的攻擊行動一開始通常使用魚叉式釣魚攻擊（SPEAR PHISHING）來尋找破口。其附件檔案會攻擊一太郎文書處理軟體的漏洞。這些文件是該集團用來轉移注意力的誘餌，以便能夠在背後暗中執行惡意程式，他們會以「心肺復甦術 (CPR)」、「防災計畫」等標題為社交工程誘餌。 繼續閱讀