趨勢科技 TrendMicro | 資安趨勢部落格

「TRITON」惡意程式瞄準工業安全系統

2017 年 12 月 25 日2018 年 01 月 02 日趨勢科技 TrendMicro

TRITON 亦稱為「TRISIS」(趨勢科技命名為 TROJ_TRISIS.A) 是一個近期發現的惡意程式，專門入侵工業安全系統，最知名的就是中東某工廠生產停頓的案例。歹徒所攻擊的系統廣泛應用在各種產業，尤其是能源產業，所以很多其他機構仍有遭到攻擊的危險。而且，此次事件可能是駭客為了瞭解系統如何運作以方便日後攻擊而在刺探過程當中不小心導致系統停機。

TRISIS 是有史以來首次出現駭客直接攻擊安全系統的案例。不令人意外，媒體報導也拿 Triton 跟之前的 Stuxnet 相提並論。然而，它到底有何新穎之處？以下我們透過問答的方式來說明Triton 惡意程式,它為何值得關注，以及這對工業控制系統 (ICS) 的安全有何影響。

如何發現？

有兩家資安廠商發布了有關該惡意程式的報告。其中一家在網路上發現了針對 ICS 量身訂製的惡意程式，最早可追溯至 2017 年 11 月中東某受害機構的案例。隨後出現了一篇有關此惡意程式的報告，該報告將它命名為「TRISIS」，因為該程式攻擊的對象是 Schneider Electric 公司所開發的 Triconex 安全儀控系統 (SIS)。同一時間左右，另一家資安廠商也發表另一篇報告來探討他們受委託調查某工廠感染同一惡意程式家族的案例。該資安廠商將此惡意程式命名為「Triton」，同樣也是參考 Triconex 系統的名稱而來。

TRITON/TRISIS 所鎖定的安全儀控系統 (SIS) 到底是什麼？

過去幾年，許多知名的 ICS 相關攻擊都是針對流程控制系統，例如「監控與資料擷取」(Supervisory Control and Data Acquisition，簡稱 SCADA) 系統，因此 SCADA 相關的攻擊目前已相當普遍。不過 TRITON所攻擊的卻是安全控制裝置，也就是所謂的「安全儀控系統」(Safety Instrumented System，簡稱 SIS)，因此可算是開創新局。

安全儀控系統的作用是監控工廠流程的一些數值和參數是否維持在一定的作業範圍內。當出現可能造成風險的情況，就會觸動警報，並且讓工廠回復到安全的狀態。或者，若情況已達到危險的程度，就會安全地停止工廠作業。這些安全控制裝置，傳統上屬於獨立的系統，與工廠的其他設備獨立運作，其唯一的作用就是監控安全狀況。就我們所知， Triconex SIS 控制裝置在遭到攻擊時正處於「程式化模式」，而 SIS 也與營運網路相連，這有違一般最佳實務原則。

就一般的 SIS 設計及其可公開取得的資訊來看，歹徒要能設計出如此針對受害者特定系統 (此處為 Schneider Electric 公司 Triconex SIS) 的漏洞攻擊，勢必要事先取得該 SIS 系統的原型，並對其研究透徹。

TRITON 的運作原理與能力為何？ 繼續閱讀

Shodan 搜尋引擎暴露各大城市網路資產

2017 年 12 月 25 日2017 年 12 月 08 日趨勢科技 TrendMicro

西歐、英國、法國、德國、美國等各大城市都有許多裝置暴露在網際網路上。您的連網裝置是否也如此？看看這有什麼風險？

Shodan 讓暴露在外的網路資產無所遁形

趨勢科技前瞻威脅研究 (FTR) 團隊利用 Shodan 搜尋引擎針對全球各大都市最常暴露在網際網路上的資產進行了一番研究。網路資產 (如：網路攝影機和印表機) 一旦可透過搜尋引擎在網際網路上找到，駭客就能設法入侵這些裝置，或是看看裝置本身及其軟體是否有可利用的已知漏洞。這份研究可協助相關機構了解自己該投資哪些必要的安全措施來提升其資料和資產的安全，防範潛在的入侵。

Shodan 是什麼？

Shodan 是一個網路搜尋引擎，專門用來搜尋連上網際網路的各種裝置。Shodan 可搜尋的裝置和系統包括：網路攝影機、嬰兒監視器、醫療設備、工業控制系統 (ICS) 裝置、家用電器，以及資料庫等等。Shodan 會蒐集、彙整連網裝置所公開的一些基本資料和資訊，讓任何人都能輕易搜尋。

什麼是暴露在外的網路資產？

所謂「暴露在外的網路資產」，就是那些連上網際網路、並可從 Shodan 或類似引擎搜尋到的裝置和系統，表示這些裝置也可經由網際網路進行存取。當某個裝置或通訊協定暴露在外時，並不一定代表它就含有漏洞或者會遭到入侵。

不過，當某個裝置可以從公共網路搜尋得到時，駭客就能利用 Shodan 提供的資訊來策畫其攻擊。例如，駭客可看裝置上的軟體是否含有已知漏洞，或是該裝置的管理員密碼是否很容易猜測。

網路資產暴露在外的全球城市

我們針對全球多個已開發國家進行一番研究，看看其網路資產暴露在外的程度和方式是否有所差異。我們將這些城市劃分成：美國、西歐、英國、法國和德國等幾個地區來看。請點選圖片來開啟完整的 PDF 報告。

西歐城市暴露情況新增

此處我們整理了西歐人口最稠密的十大城市網路資產暴露在外的情況，包括：倫敦、柏林、雅典、馬德里、羅馬、巴黎、斯德哥爾摩、奧斯陸、阿姆斯特丹，以及里斯本。倫敦和柏林的數量在 250 萬以上，阿姆斯特丹和馬德里則在 100 萬左右。

檢視報告 >>

英國城市暴露情況新增

此處我們整理了英國人口最稠密的十大城市網路資產暴露在外的情況，包括：倫敦、曼徹斯特、伯明罕/伍爾弗漢普頓、里茲/布拉福德、格拉斯哥、利物浦、南安普敦/樸茨茅斯、泰恩河畔新堡/桑德蘭、諾丁漢，以及雪菲爾。倫敦是英國網路資源暴露在外數量最多的城市，約略超過 250 萬，其次是曼徹斯特 (約 32 萬) 和格拉斯哥 (約 16 萬)。繼續閱讀

盜領 ATM 得手千萬美元,MoneyTaker 犯罪集團如何讓 ATM 吐鈔?

2017 年 12 月 22 日2017 年 12 月 20 日趨勢科技 TrendMicro

資安研究人員最近批露了有關俄語系網路犯罪團體 MoneyTaker 的細節。根據報導指出，該集團曾經攻擊美國和俄羅斯的金融機構，並且至少從 20 個支付卡與跨行轉帳系統得手了一千萬美元的不法獲利。

MoneyTaker 是什麼？

MoneyTaker 是一個網路犯罪集團，其名稱來自該團體所用的客製化惡意程式，此程式專門用來入侵與金融交易系統連接的工作站電腦。MoneyTaker 的作案手法是先入侵這些系統，然後再雇用一群車手到自動提款機 (ATM) 前提款。

MoneyTaker運作至今至少有 18 個月之久，他們下手的對象包括：信用合作社、金融服務機構、律師事務所、軟體廠商等等的系統與網路。研究人員表示，該集團目前也開始拓展版圖至拉丁美洲企業，甚至嘗試入侵環球銀行金融電信協會 (SWIFT) 的系統。去年，歹徒利用 SWIFT 系統的弱點洗劫了孟加拉中央銀行，使得該銀行至少損失 8,100 萬美元。

[資安基礎觀念：商業流程入侵 (Business Process Compromise)]

MoneyTaker 是如何將錢從銀行偷走？

MoneyTaker 基本上使用的是無檔案式惡意程式，這類惡意程式不需下載檔案，亦不需將檔案寫入本地端磁碟。它們會直接注入系統記憶體內執行，或者躲藏在系統登錄內，以長期潛伏。典型的無檔案式攻擊技巧包括：將惡意程式碼直接注入現有執行程序當中，或者利用 PowerShell 這類工具來執行腳本。其中一個率先使用這類犯罪技巧的就是 Lurk 網路犯罪集團，該集團已從金融機構得手超過 4,500 萬美元。繼續閱讀

趨勢科技公布2018資安預測：駭客三大手法智慧攻防邁入新層級

2017 年 12 月 20 日2017 年 12 月 20 日趨勢科技 TrendMicro

鎖定數位勒索、物聯網漏洞、機器學習與區塊鏈熱潮駭客攻擊技巧再進化

【2017年12月20日，台北訊】全球網路資安解決方案領導品牌趨勢科技（東京證券交易所股票代碼：4704）今日發表2018年資安年度預測報告，指出隨著人們透過不安全網路進行連線和互動的情況越來越普遍，駭客將以「鎖定數位勒索獲利模式」、「仰賴漏洞為攻擊管道」、「搶搭機器學習與區塊鏈熱潮發展新攻擊技巧」三大手法發動網路攻擊，駭客攻防進入新層次。因應更加猖獗的網路犯罪行為，企業應採納多層式的跨世代防禦策略，強化企業內部資安意識，提升資安防禦層級。消費者使用數位裝置上網時更應重視資安防護，確保個人機密資料及財產多一層保護。

鎖定數位勒索獲利模式，針對性勒索將成寵兒！

趨勢科技觀察過去幾年，網路犯罪手法已由間接誘騙使用者的帳號密碼，轉向直接勒索錢財的「數位勒索」為主，駭客利用勒索病毒威脅受害者付錢贖回資料或透過變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）手法進行商業詐騙，以獲得高利潤報酬。

回顧2017 年，從WannaCry(想哭)勒索蠕蟲、Petya 到 BadRabbit，勒索病毒風暴席捲全球企業端及消費端，顯見駭客攻擊手法日益進步。趨勢科技預測，2018年駭客將持續大量寄發勒索病毒信件，並進一步鎖定特定可帶來最高報酬的對象攻擊，例如單一企業機構以中斷營運為威脅，試圖從中盈利。由於勒索病毒手法趨向純熟，促使其他類型的數位勒索攻擊也更加猖獗、從而發展出多樣且龐大的詐騙手法。

其中，變臉詐騙 (BEC) 快速、程序簡單的特性，加上企業組織架構資訊容易取得，將持續成為駭客喜愛攻擊手法。趨勢科技預估變臉詐騙 (BEC) 案件在 2018 年只會增加、不會減少，甚至恐造成高達 90 億美元的全球損失。原因除了有企業普遍對變臉詐騙及其手法的認識越來越高，通報數量有逐年成長的趨勢外，更重要的是變臉詐騙所仰賴的網路釣魚手法，長久以來依然屢試不爽，使變臉詐騙成為高效率的賺錢工具。繼續閱讀

出國旅行當心手機被扒,去年有23,000 台 iPhone在邁阿密機場失竊!

2017 年 12 月 20 日2017 年 12 月 07 日趨勢科技 TrendMicro

結合真實世界的網路犯罪,竊賊先解鎖Apple 裝置,再銷贓轉賣

網路詐騙與真實世界犯罪已經開始出現交集。根據趨勢科技今年 5 月所看到的一樁案例，歹徒利用工具破解 iCloud 帳號以解鎖偷來的 iPhone 手機。經過進一步追查之後，我們發現犯罪集團跨界的程度相當深。今日全球手機銷贓市場其實已具備相當的規模，而破解 iCloud 則是其中重要一環。從愛爾蘭、英國到印度、阿根廷及美國，失竊裝置解鎖服務的需求令人乍舌：去年，失竊的 iPhone 手機在東歐國家可賣到 2,100 美元之譜，而美國去年也有 23,000 台 iPhone (總價值 670 萬美元) 在邁阿密國際機場失竊。

假冒 Apple 名義發送一封電子郵件或簡訊給受害者

駭客的手法相當直接，他們假冒 Apple 名義發送一封電子郵件或簡訊給受害者，通知他們失竊的裝置已經尋獲。此時，心急如焚的受害者很可能不假思索就點下訊息隨附的連結，進而連上歹徒用來騙取受害者 iCloud 登入憑證的網頁，得手之後，歹徒就能解鎖偷來的 iPhone 手機。竊賊會透過第三方 iCloud 網路釣魚服務來解鎖裝置。這些 iCloud 網路釣魚服務業者所用的犯罪工具包括：MagicApp、Applekit 與 Find My iPhone (FMI.php) 架構，甚至建立了自動化 iCloud 解鎖流程，裝置一旦解鎖之後，就能賣到地下市場或灰色市場 (gray market)。

這類 iCloud 解鎖服務大多利用社群網站或個人網站來經營。此外，也提供服務轉售或伺服器租用 (替人發送網路釣魚訊息)。這類服務的客戶遍及全球，如：義大利、法國、西班牙、美國、印度、沙烏地阿拉伯、巴西以及菲律賓。雖然我們只研究了三個 iCloud 解鎖應用程式和服務，但網路上可找到的還更多，只要搜尋一下社群媒體、網路廣告和電子商務網站即可。

我們發現的案例牽涉到科索沃、菲律賓、印度和北非等國的數個犯罪集團。開發 AppleKit 的駭客在一個叫「dev-point」的阿拉伯駭客論壇上相當活躍。使用 MagicApp 或 AppleKit 兩套工具的客戶並不一定非用網路釣魚腳本不可，但因為開發人員大多熟悉彼此的產品 (而且成功率頗高)，因此許多人都傾向將三者合併使用。

利用網路釣魚騙取登入憑證
以下是歹徒犯案手法示意圖。駭客一旦取得了受害者的 iCloud 帳號，其工具就可以下載 iCloud 帳號來從事其他犯罪活動，然後再將它刪除。

圖 1：駭客犯罪手法示意圖。 繼續閱讀