作者: 趨勢科技 TrendMicro

深入檢視北韓的網際網路

趨勢科技 TrendMicro

北韓常被認為是單向的網際網路：駭客對外攻擊，沒有東西可以進去。各種事件如2014年的 Sony影業被駭以及一連串的全球性銀行網路劫案都被報導是來自北韓駭客所為。一部分的公開證據是因為網路連線來自北韓IP地址。該國被認為嚴格地掌控網際網路，所以有人可能認為這樣的網路內系統不會被入侵。但外國犯罪集團用來發送垃圾郵件的殭屍網路怎麼能夠在北韓活躍一年多呢？北韓電腦是否也可能遭受一般的惡意軟體感染？分配給北韓的IP地址空間是否都被用在該國？這些問題的答案對於將攻擊歸因給北韓駭客有什麼影響？

本文會總結我們對進出北韓網路流量所進行研究的發現。它檢視了這包含1024個IP地址的網段。北韓也使用國外的基礎設施。我們同時發現註冊為北韓使用的一些IP地址實際是由虛擬專用網路（VPN）服務商所使用，顯然是想欺騙Geo IP服務將外國的網路基礎設施標記為北韓。

我們會介紹來自該國垃圾郵件殭屍網路的垃圾郵件活動，對北韓網站的DDoS攻擊和它們與真實世界事件的關連，以及北韓網站所經常出現的水坑攻擊。就像是我們之前關於北韓發動針對性攻擊的部落格文章，我們的目標是揭開常見迷思的真面貌。

 

北韓的網際網路

北韓網際網路空間是經由中國上游服務商連到網際網路的4組Class C IP範圍（總共1024個IP地址）。從2017年10月1日開始，一家俄羅斯公司提供相同IP範圍第二條路徑。因為某些歷史原因，北韓有額外使用一組分配給中國聯通的Class C IP地址（256個IP）。該國也可能透過衛星網路連到網際網路。許多電信商都有提供此服務，但我們不知道到底有誰被允許使用衛星網路。

有數個IP範圍看似由北韓使用，如果你相信Geo IP定位服務以及Whois註冊資料來的IP地址資料。

IP網段 IP數量 Whois註冊國家 GeoIP 真正國家 附註
175.45.176.0/22 1,024 北韓 北韓 北韓 分配給平壤的Star Joint Venture Co., Ltd.
210.52.109.0/24 256 中國 中國 中國 借自中國聯通
5.62.56.160/30 4 北韓 北韓 捷克 “PoP North Korea” – 由VPN服務商HMA使用
5.62.61.64/30 4 北韓 蒙古 捷克 “PoP North Korea”  – 由VPN服務商HMA使用
45.42.151.0/24 256 北韓 北韓 N/A Manpo ISP (Roya hosting)
46.36.203.81 1 北韓 北韓 荷蘭 VPN服務商 “IAPS Security Services”
46.36.203.82/30 4 北韓 北韓 荷蘭 VPN服務商 “IAPS Security Services”
57.73.224.0/19 8192 北韓 北韓 N/A SITA-Orange
88.151.117.0/24 256 北韓 俄羅斯 俄羅斯 LLC “Golden Internet”
172.97.82.128/25 128 北韓 北韓 美國 “North Korea Cloud”  – 由VPN服務商HMA使用
185.56.163.144/28 16 北韓 北韓 盧森堡 VPN服務

表1、與北韓有關的IP範圍

 

有些虛擬專用網路（VPN）服務商聲稱擁有在北韓的出口節點（如例1、 例2）。這表示這些VPN服務的客戶可以選擇經由北韓出口節點瀏覽。這看起來是讓願意嚐鮮的使用者從北韓角度來體驗網際網路的奇特機會。但據我們所知，VPN服務商的說法並不正確。“北韓”出口節點實體位置是位於像盧森堡、捷克和美國的西方國家。該VPN服務商讓Geo IP服務相信他們有一台電腦伺服器在北韓，可能是將北韓國家代碼輸入到特定IP地址範圍的公共Whois資料。雖然VPN服務商可能會覺得這是個無傷大雅的行銷噱頭，但會讓依賴Geo IP服務的系統管理員在檢視系統上攻擊相關日誌檔時下了錯誤的結論。

Figure 1. HMA VPN service says it has an exit node in North Korea, but in reality the exit node is in Czech Republic.

圖1、HMA VPN服務表示它們有一個出口節點在北韓，但實際上這出口節點位在捷克。

繼續閱讀

如何保護你的社群媒體帳號?

趨勢科技 TrendMicro

最熱門的社群平台擁有數十億的使用者，而且這數字還在每年的增加中。Facebook、YouTube和Instagram等各領域的巨擘已經遠超過原本只是用來分享、娛樂和溝通的目的。現在企業將它們視為有用的廣告工具，而使用者也可以將分享內容當作職業。不僅如此，其他應用程式也會用主流社群媒體帳號來驗證使用者身份 – 你可以用Facebook或Twitter帳號來註冊各種應用程式和遊戲。而企業現在也經常在社群媒體上調查未來的員工，將其作為一種人格特質檢查。

FB 臉書 社群

根據一項最新的研究，因為社群平台的多樣用途，讓它們成為一般人每天會花費約116分鐘在上面的重要工具。由於它們的無所不在，並且連結了越來越多手機或其他設備上的應用程式，讓保護它們安全變得更加必要。

以下是提供給使用者和企業關於社群媒體管理的一些最佳做法。

保護你的個人社群媒體帳號

駭客可以拿入侵的帳號做什麼？

  1. 取得個人資料 – 透過社群媒體帳號可以找到購物帳號，甚至是銀行資訊
  2. 如果你的社群媒體帳號和你的工作電子郵件相連結，還可以用來連上企業網路，讓駭客有機會去入侵企業網路
  3.  竊取身份 – 帳號可以用來在另一個網站上註冊
  4. 寄威脅信給使用者 – 在極端的案例中，駭客可以用敏感資料來騷擾受害者

 

各家社群平台都具有你可以加以利用的安全功能。以下是五個保護個人帳號安全的一些建議：

  1. 關閉沒有在用的帳號。
    被遺忘的社群媒體帳號可能會被入侵而不被注意。駭客可以利用來存取與其相連結的其他帳號，如你的電子郵件。
  2. 檢查有哪些應用程式連結到你的社群媒體。
    你是否有用Facebook或Google帳號來登錄其他應用程式？評估這些連結是否必要。
  3. 建立良好的密碼使用習慣。
    替你的每個社群媒體帳號設定不同的密碼，確保每個密碼都足夠複雜而不過於簡單。啟用雙因子認證（2FA）可以防止未經授權的使用者存取你的帳號。
  4. 保持行動應用程式在最新狀態。
    確保自己使用最新版本的平台。安全修補程式可以保護你免於最新的已知威脅。
  5. 讓社群媒體帳號使用獨特的電子郵件。
    如果可以的話，替社群媒體帳號建立專用的新電子郵件地址。這樣即使被盜用，駭客也無法存取有價值的資訊。

繼續閱讀

Google Play 再現惡意程式，Sockbot 可利用遭感染手機發動 DDoS 攻擊

趨勢科技 TrendMicro

最近 Google Play 商店上有 8 個被下載 60 萬至 260 萬次的應用程式,被發現感染了 Sockbot 惡意程式 (趨勢科技命名為 ANDROIDOS_TAPJOY.OPD)。此惡意程式不僅會暗中下載廣告幫歹徒賺錢，還會讓感染的裝置成為「Botnet傀儡殭屍網路」成員。

偽裝熱門遊戲《Minecraft: Pocket Edition》，宣稱可讓玩家自訂其角色造型

這批應用程式會偽裝成熱門遊戲《Minecraft: Pocket Edition》的修改程式，宣稱可讓玩家自訂其角色造型。不過，這些程式卻也會暗中幫歹徒賺取廣告費用。

[TrendLabs 資訊安全情報部落格：GhostClicker 廣告程式是如幽靈般的 Android 點閱詐騙程式]

根據資安研究人員表示，此應用程式會暗中連上歹徒的幕後操縱 (C&C) 伺服器 (經由連接埠 9001)。接著，C&C 伺服器會要求應用程式建立 Socket Secure (SOCKS) 通訊協定連線至 C&C 伺服器指定的 IP 位址及連接埠。連線建立之後，應用程式會再連上歹徒指定的另一個伺服器，該伺服器會提供一份廣告清單及相關資料 (如：廣告類型、螢幕大小)。然後，應用程式再經由 SOCKS 代理器 (Proxy) 連線到某個廣告伺服器去接收廣告。

研究人員發現 Sockbot 的機制如果進一步強化，就可以用來攻擊網路相關的漏洞。而且，憑著 Sockbot 挾持裝置的能力，被感染的裝置還可能被用來發動分散式阻斷服務攻擊 (DDoS)攻擊。 繼續閱讀

系統例行維修時間,竟成歹徒惡搞時機?

趨勢科技 TrendMicro

凡機器都需要定期維護，這不單可確保機器不會因正常磨耗而損壞，還可做一些日常的零件更新和檢查。越複雜的機器，維護的過程也就越仔細。
在維護過程中，人員通常會需要操作該機器以及所有連接的相關管理系統，舉例來說，抽水馬達會連接自來水供應管路，以及一個負責監控和調整水壓和流量的控制系統。在日常維護時，必須先暫停供水以及相關安全措施，或者切換至另一個模式來更新或修復零件。

2016 年YouBike大當機,原因是心生不滿員工利用維修時間惡搞

2016 年台北市發生了一起攻擊案例讓我們深刻了解到，維護期間很可能就是歹徒攻擊的黃金時期。根據媒體報導，一位心生不滿的員工利用日常維護的機會，在台北市 YouBike 管理系統上安裝了惡意程式。結果所有的 YouBike 都因而無法租借，導致該公司遭受 662,910 美元的損害與營業損失。這名不肖工程師目前已遭逮捕並由台中地檢署正式起訴。(相關中文報導)

四個維護期間會發生的潛在問題

維護期間除了可能完全解除安全措施之外 (此時就連應用程式控管與白名單機制這類最基本的防護都付之闕如)，還有其他可能遭到利用的潛在問題：

  1. 當系統維護交由第三方廠商負責時，外人就能掌握系統的存取權限。委外維護人員很可能不會遵守企業平時所遵守的安全規範，也不受原本的流程所監督。
  2. 老舊機器的維護既缺乏效率也不安全。有些系統仍需使用 CD 甚至 3.5 吋軟碟來進行更新。而且人員必須帶著軟體到每一台端點上進行維護，因此這些系統更新既不頻繁，方法也很老舊。
  3. 某些系統老到根本無法更新，只因營運需要所以還撐著。印度有 70% 的 ATM 提款機仍在使用 Windows XP，這些提款機雖然仍可使用，但卻因為眾多漏洞的而容易遭到各式各樣的攻擊。
  4. 有些白名單機制並未考慮到系統維護的情況。有些白名單機制只有啟用和關閉兩種設定，因此當維護人員為了安裝程式而關閉這項功能時，等於讓系統卸下防禦。然而有些白名單機制卻會考慮到系統維護的需求，可以只開放系統維護時所需的權限，其他部分則不受影響。

繼續閱讀

WPA2 加密機制爆漏洞, 五招自保以防Wi-Fi 上網遭偷窺

趨勢科技 TrendMicro

最近，Wi-Fi 無線網路加密協定 WPA2 被揭露多項安全漏洞，據稱可能讓 Wi-Fi 無線裝置遭到所謂的「金鑰重新安裝攻擊」(Key Reinstallation AttaCK，簡稱 KRACK)，是一種針對 WPA2 加密機制漏洞的概念驗證攻擊。KRACK 採用的是「篡改並重送加密交握訊息」的手法，也就是從系統和裝置在彼此通訊之前交換參數的流程下手。

 

 

WPA2 是藉由授權與加密機制來確保 Wi-Fi 裝置及硬體的通訊安全。KRACK 攻擊如果得逞，駭客就能偷窺裝置與 Wi-Fi 無線基地台之間的網路流量。

根據科技新聞網站 Ars Technica 表示，美國電腦緊急應變小組 (United States Computer Emergency Readiness Team，簡稱 US-CERT) 在針對某些機構發出的公告當中指出，這批漏洞是發生在雙方進行交握 (handshake) 以產生網路通訊加密金鑰的過程。此金鑰只要被重新傳送多次，未來就能重複使用，但該金鑰原本應該只能使用一次。

[延伸閱讀：公共 Wi-Fi 基地台安全嗎？]

根據 Ars Technica 的引述：「US-CERT 目前已掌握多個 WPA2 加密協定四向交握 (4-way handshake) 流程相關的金鑰管理漏洞。這些漏洞可能引發的問題包括：封包解密、封包轉遞、TCP 連線挾持、HTTP 內容注入…等等。請注意，由於這是通訊協定層次上的問題，因此所有或絕大部分正確實作該協定的裝置都受到影響。」

研究人員指出，有 41% 的 Android 裝置將受到 KRACK 攻擊手法的影響，而 Linux 系統也受到嚴重影響。此外 Apple、Windows、OpenBSD、MediaTek 以及 Linksys 的裝置也同樣受這批漏洞影響。以下是這批漏洞的 CVE 編號清單：

[延伸閱讀：BlueBorne：數十億裝置因藍牙漏洞而有遭駭客攻擊的危險]

發現這批漏洞的兩位研究員：Mathy Vanhoef 和 Frank Piessens 預定在 即將舉行的 ACM Conference on Computer and Communications Security (CCS) 研討會上發表其研究結果。此外，兩位研究員針對 WPA2 的安全性還有其他相關研究，目前正針對今年八月在 Black Hat Conference 駭客研討會上 展示 的成果做進一步的探討。該研究詳細說明 Wi-Fi 交握機制實作邏輯上的一些漏洞，以及可採取哪些應對措施。去年， 兩位研究員也曾發表一份研究報告指出 WPA2/802.11 群組金鑰可能如何遭到解密及濫用。

[資安指南：防範中間人 (MitM) 攻擊]

五招降低 Wi-Fi 網路與裝置遭到攻擊的危險

有鑑於這批漏洞的潛在影響，IT 系統管理員、資安人員及一般使用者最好採取一些最佳實務原則與並養成良好習慣來降低 Wi-Fi 網路與裝置遭到攻擊的危險： 繼續閱讀