趨勢科技 TrendMicro | 資安趨勢部落格

網路犯罪者如何利用聊天應用程式 Discord 攻擊 ROBLOX 玩家?

2017 年 08 月 25 日2017 年 08 月 24 日趨勢科技 TrendMicro

我們常會聽到網路犯罪者鎖定遊戲玩家進行攻擊。過去我們曾通報許多類似事件，例如假遊戲應用程式、以線上遊戲貨幣從事現實貨幣洗錢等。攻擊者的目標通常很單純：竊取個人資訊並從中獲利，而遊戲本身也因此經常遭到濫用。

在本文說明的案例中，遭到網路犯罪者利用的並非遊戲，而是遊戲玩家所使用的通訊工具，Discord，這是玩家經常使用的新一代聊天平台，擁有超過 4,500 萬名註冊會員用戶。

ROBLOX

此攻擊案例涉及熱門的大型多人遊戲 ROBLOX，這個遊戲擁有 1 億 7,800 萬名註冊用戶，每個月超過 1,200 萬名活躍使用者。ROBLOX 的發展非常仰賴使用者建立的內容，玩家可以在 ROBLOX 的世界中建立自己的迷你遊戲與環境，並且與其他玩家遊玩分享。ROBLOX 亦具備社群網路的要素，鼓勵使用者進行社交、一起玩遊戲及建立內容，並賺取、消費可交換現金的專屬虛擬貨幣 ROBUX。

Discord 的詐欺漏洞

在網路犯罪者攻擊 ROBLOX 玩家的犯罪中，Discord 扮演何種角色？我們的研究發現，網路犯罪者濫用此聊天平台內建的一項功能，即應用程式設計介面 (API)，API 讓此平台能執行使用者建立的程式碼與應用程式。網路犯罪者可藉此從使用 Discord 的目標系統中，竊取包含 ROBLOX 登入憑證的瀏覽器 cookie，具體而言，是 Discord 使用 webhook 的能力遭到濫用。Webhook 其實就是特定應用程式或程序符合條件時，讓聊天程式傳送訊息至指定頻道或使用者，Discord 因此成為資訊外洩的管道。

濫用 webhook 的手法可細分為以下步驟：

惡意程式感染目標系統，在此案例中，趨勢科技偵測到惡意程式 TSPY_RAPID.A。TSPY_RAPID.A 最早出現在遊戲論壇上，使用者將它貼在論壇上，宣稱是「作弊程式」，可讓玩家修改角色，取得勝過其他玩家的不當優勢。此惡意程式的程式碼中包含 Discord webhook，如下所示 (SHA256: a983e78219bf3c711c21c7dc23f03dca621ed5861578a8848a954ad9ac9f20e5)。圖 1 在程式尾端夾帶 Discord webhook 惡意程式碼的螢幕截圖
此惡意程式會持續等待，直到偵測到被害者系統中的 ROBLOX，就會竊取使用者的遊戲帳戶 cookie。
惡意程式利用 Discord，將竊取到的 cookie 傳送給同樣連線至 Discord 的指定頻道或使用者。
遭竊的 cookie 即用於登入已遭入侵的 ROBLOX 帳戶，竊取儲存於帳戶的 ROBUX，推測最後換為現金。

繼續閱讀

以太幣平台 Enigma 遭攻擊並失竊近 50 萬美元

2017 年 08 月 24 日2017 年 08 月 25 日趨勢科技 TrendMicro

加密貨幣交易所 Enigma 遭到攻擊，就在受到高度矚目的首次貨幣發行 (ICO) 的幾週前，該公司發出警訊，表示其系統中的部分帳戶已遭到入侵。

根據報導指出，駭客藉由更改 enigma.co 網站，利用 Slack 管理員帳戶張貼訊息，並傳送垃圾郵件至該公司的郵寄清單，讓使用者將錢送至其加密錢包，共計竊取價值近 50 萬美元的以太幣。這項訊息藉由預售公告，刻意讓該公司的潛在客戶產生緊迫感。

Enigma 於 8 月 21 日在其 Twitter 帳戶上張貼聲明，提醒使用者此攻擊事件。該公司澄清，預售只能透過未來代幣簡單協議 (SAFT) 進行，它是合法交易所需要的法律文件。該公司同時澄清，實際將提供此代幣的網站並未受到影響，9 月 11 日的 ICO 將如期進行。

根據來自 reddit 的 EthTrader 子網站推測，這次事件可能源自與 Enigma CEO Guy Zyskind 的電子郵件相關的個別攻擊，導致有關 Zyskind 的電子郵件地址資訊被散佈至網站，並在後來被用於展開這項攻擊。繼續閱讀

無檔案病毒攻擊: 新數位貨幣採礦病毒, 亞太區為重度感染區,台灣排名第三

2017 年 08 月 24 日2017 年 08 月 24 日趨勢科技 TrendMicro

無檔案病毒攻擊正變得越來越普遍。惡意份子越來越常直接在記憶體中操作，並利用合法工具或服務進行攻擊。在此次案例中，WMI被此數位貨幣採礦病毒作為無檔案持久性機制。因為沒有惡意檔案落在硬碟上，也就更加難以察覺。

作為無檔案持久性機制。因為沒有惡意檔案落在硬碟上，也就更加難以察覺。

無檔案病毒很難被分析和偵測。所以也並不令人驚訝地有越來越多惡意軟體利用此手法，讓偵測和鑑識都更加困難。趨勢科技最近發現一個新的數位貨幣採礦病毒:TROJ64_COINMINER.QO,也利用了此一技術。

亞太區為重度感染區,台灣排名第三

這隻病毒散播七月首次現身在亞太地區。根據趨勢科技主動式雲端截毒服務 Smart Protection Network 的統計，受此威脅最嚴重的國家前三名依次為：日本、印尼和台灣。

圖1、2017年7月至8月的TROJ64_COINMINER.QO感染分佈

無檔案病毒WMI腳本加上EternalBlue 漏洞,讓此威脅更刁鑽

此威脅利用WMI（Windows管理規範）作為無檔案感染的持久性機制。具體來說，它利用 WMI Standard Event Consumer腳本程式（scrcons.exe）來執行它的腳本。為了進入系統，這惡意軟體利用了EternalBlue永恆之藍漏洞 – MS17-010。無檔案病毒WMI腳本加上EternalBlue漏洞讓此威脅變得既隱蔽又具備持久性。

TROJ64_COINMINER.QO數位貨幣採礦病毒的感染分成幾個階段。感染流程從MS17-010開始；這漏洞被用來在系統安裝和執行一個後門程式（BKDR_FORSHARE.A），它會安裝數個WMI腳本。這些腳本接著會連到C&C伺服器來取得命令和下載數位貨幣採礦病毒及其他元件。

圖2、感染流程

利用WMI- Windows的核心元件,達到持久性

WMI是Windows的核心元件，通常被用於日常管理工作，例如部署自動化腳本、在給定時間執行程序/程式、取得已安裝應用程式或硬體的資訊、監視資料夾內的變化和監視磁碟空間等。然而，到了網路犯罪份子手上就會被用在惡意用途，就如趨勢科技在報告了解WMI惡意軟體中所探討的那樣。這案例中所用的技術跟報告內提到的樣本（我們偵測為TROJ_WMIGHOST.A）非常類似。

下面類別在滿足特定條件後會用來觸發惡意WMI腳本：

ActiveScriptEventConsumer
__EventFilter
__IntervalTimerInstruction
__AbsoluteTimerInstruction
__FilterToConsumerBinding

惡意WMI腳本可以從ROOT\subscription名稱空間底下的ActiveScriptEventConsumer類別找到。 ActiveScriptEventConsumer是持久性有效載荷，包含了當條件滿足時會執行的命令。在此例中，它包含在條件滿足時會執行的惡意JScript。繼續閱讀

假新聞葫蘆裡賣什麼膏藥?

2017 年 08 月 24 日2017 年 08 月 16 日趨勢科技 TrendMicro

所謂的假新聞最近出現在許多圈子，包括政府、新聞和網路安全產業，但這個概念早在過去一年之前就已出現。蓄意的誤導性散播資料一直是這幾年的通訊關鍵，尤其是在政治或經濟混亂時期。技術持續演進，惡意人士用來散播這類不實資訊的策略也不斷升級。

但這些惡行究竟如何在現行技術環境下被煽動？假新聞整體來說會對個人及企業帶來哪些風險？這個概念目前在全球受到高度矚目，現在讓我們來看看假新聞葫蘆裡賣什麼膏藥。

Facebook 出現前的假新聞

一提到「假新聞」，大家腦中首先想到的應該是社交媒體上的貼文和文章連結，這些文章用意在於煽動特定觀點，試圖激起使用者間的對話，無論其中所含的資訊正確與否。但根據趨勢科技在其具前瞻性的威脅研究白皮書「假新聞製造機：鼓吹者如何利用網際網路來操縱大眾」(The Fake News Machine: How Propagandists Abuse the Internet and Manipulate the Public) 中所述，設計用來誤導大眾的出版品早在社交媒體出現前便已在外流通。

趨勢科技研究員指出：「網際網路不過是另一種更新型態用來散播的通訊技術。這個途徑讓少數人得以影響並操縱大眾的看法。此外，社交媒體所創造的針對性與群眾動力，讓想法無論真實與否都能以前所未有的速度向外散佈。」

炒假新聞的三大要素:

繼續閱讀

Google Play 上 340款應用程式,嵌有GhostClicker惡意廣告機制

2017 年 08 月 23 日2017 年 08 月 22 日趨勢科技 TrendMicro

趨勢科技在Google Play上發現有多達340個應用程式夾帶會自動點擊廣告的軟體GhostClicker（ANDROIDOS_GHOSTCLICKER.AXM），其中一個“阿拉丁冒險世界（Aladdin’s Adventure’s World）”被下載了500萬次, 而且評價高達4顆星。這些含有廣告軟體的應用程式涵括：休閒遊戲、設備效能工具（如清理工具和加速工具）和檔案管理程式、QR和條碼掃描程式、多媒體錄放程式、設備充電和GPS/導航相關應用程式。這些程式出現在台灣、東南亞及巴西、日本、俄羅斯、義大利和美國。

雖然大多數應用程式都已經下架，到2017年8月7日止還有101個夾帶GhostClicker的應用程式可以下載。

GhostClicker 會將自己隱藏在Google行動服務（GMS，Google最熱門應用程式和應用程式介面（API）組合）,也會隱藏在Facebook廣告的軟體開發套件（SDK）。將自己嵌入到這兩個服務，皆以“logs”為名，可能是怕偽裝成合法應用程式元件比較容易引起懷疑。