純無檔案式惡意程式 JS_POWMET, 90% 的感染案例在亞太區

2017 年 08 月 11 日2017 年 08 月 09 日趨勢科技 TrendMicro

最近，網路駭客開始專心研究如何在攻擊過程當中不留下痕跡，因此無檔案式惡意程式 (如最近的 SOREBRECT 勒索病毒) 未來將更加普遍。不過，這類惡意程式有很多只在潛入使用者系統時才不寫入檔案，但最後在執行真正的惡意程式時還是會在磁碟上產生檔案，所以純無檔案式的攻擊畢竟還是少數。因此，我們覺得有必要跟大家介紹一個新的木馬程式，叫做「JS_POWMET」(趨勢科技命名為 JS_POWMET.DE)，該程式會利用 Windows 系統登錄中的開機自動執行機碼來進入電腦。其感染過程完全不會在磁碟上產生檔案，所以很難用沙盒模擬分析技術來加以偵測，同時也加深了資安人員的研究難度。

根據趨勢科技 Smart Protection Network (SPN) 全球威脅情報網所收到的初步資料顯示，感染 JS_POWMET 最嚴重的是亞太地區，將近 90% 的感染案例都來自該區域。

技術細節

圖 1：JS_POWMET 感染過程示意圖。

儘管此木馬程式進入系統的確切管道還無法確定，但很可能是因為使用者瀏覽了惡意網站才下載到該木馬程式，或者是由其他惡意程式植入系統當中。但很肯定的是，當該惡意程式下載到系統上時，系統登錄當中就會出現以下機碼：繼續閱讀

在加密檔案之前,先偷儲存在瀏覽器上的密碼 ! Cerber 勒索病毒再進化,連比特幣錢包也遭殃

2017 年 08 月 10 日2017 年 08 月 10 日趨勢科技 TrendMicro

自去年以來透過惡意廣告散播, 把台灣當主戰場的 Cerber勒索病毒,又有新變種了,Cerber 現已成為當今家喻戶曉且演化速度最快的勒索病毒家族。就在今年五月，我們才介紹過該病毒的六個演化版本的行為演變。沒過幾個月，現在又出現了新的演化版本，而這一次則是除了增加竊取數位貨幣的行為外,還會在加密檔案之前,試圖偷取 Internet Explorer、Google Chrome 及 Mozilla Firefox 等瀏覽器儲存在電腦上的密碼,將資料傳送至駭客的幕後操縱 (C&C) 伺服器。

勒索病毒廣闢財源

然而整體上，這波 Cerber 病毒是經由電子郵件附檔散布：

圖 1：Cerber 勒索病毒的電子郵件。

這個 JavaScript 附件檔案就是趨勢科技偵測到的 JS_NEMUCOD.SMGF2B 惡意程式，它會從網路上下載 Cerber 的變種，也就是 RANSOM_HPCERBER.SMALY5A。此 Cerber 變種基本上與先前我們五月所發現的版本相同，只不過多了一項新的行為，那就是竊取比特幣（Bitcoin）錢包。

其鎖定竊取的比特幣錢包有三種：第一種是比特幣官方的 Bitcoin Core 錢包，另外兩種是第三方的 Electrum 和 Multibit 錢包。其作法是直接偷取比特幣錢包應用程式的對應檔案：

dat (Bitcoin)
*.wallet (Multibit)
dat (Electrum)

此處有兩點值得注意。第一，竊取這些檔案並不代表就能取得錢包內的比特幣。歹徒仍須取得用來開啟錢包的密碼。第二，Electrum 從 2013 年晚期即不再使用 electrum.dat 檔案。

在檔案加密「之前」,先偷儲存在瀏覽器上的密碼

不過，新的 Cerber 變種所竊取的資訊還不只這些，它還會試圖偷取 Internet Explorer、Google Chrome 及 Mozilla Firefox 等瀏覽器儲存在電腦上的密碼。值得注意的是這些竊取資訊的行為都是發生在勒索病毒開始將系統上的檔案加密「之前」。繼續閱讀

太過老舊,越獄過的手機可以加入公司的BYOD計劃嗎?

2017 年 08 月 10 日2017 年 08 月 01 日趨勢科技 TrendMicro

有大量的BYOD設備被用來儲存、連接和處理公司機密資料。如果設備落入壞人之手就會產生很大的風險。除了惡意竊取資料的駭客，員工若是將設備遺忘在大眾運輸系統上也可能會暴露敏感資料。

很多人只在自己的設備上設定最低程度的認證，以為自己永遠不會遺失或被竊。這意味著只要花點功夫就可以拿到儲存在這些設備上的重要資料。企業該怎麼做?

資訊安全指南：處理自帶設備（BYOD）環境所面臨的威脅

自帶設備（BYOD）在過去幾年大大地盛行，因為企業也想要提高工作效率並且降低營運成本。雖然BYOD為員工和企業都帶來了不少好處，但也在安全方面帶來些問題。本指南會將重點放在企業因為BYOD所會面臨的主要威脅、以及如何解決這些威脅的最佳實作和解決方案。

惡意行動應用程式

隨著行動設備形成企業BYOD生態系的很大一部分，企業必須認識到使用者從這些設備下載惡意行動應用程式所會造成的風險。透過第三方應用程式商店和分享網站下載的使用者往往不會檢查所下載應用程式的真實性，不瞭解這些應用程式中有很大量是惡意的。網路犯罪分子經常會偽裝成新或受歡迎應用程式的合法下載來誘騙使用者，如Super Mario Run。讓某些應用程式特別危險的是，它們運作起來看似很像真正的應用程式，但會包含其他的惡意程式碼，如垃圾廣告，甚至是惡意軟體。

《延伸閱讀》超過9,000個搭任天堂Mario(瑪莉歐)順風車的手機應用程式,約有三分之二都帶有惡意行為

防禦惡意應用程式：對於行動設備，企業應該考慮提供具備應用程式信譽評比技術的端點安全解決方案，可以偵測應用程式是否可以安全使用。此外，企業解決方案應該包含設備管理和應用程式管理功能，讓IT專業人員能夠從單一的中央控制台來管理應用程式安裝。

此外，企業還可以利用網路解決方案來在問題出現前先封鎖惡意行動應用程式，可以透過網路活動來先一步偵測惡意軟體。

網路釣魚

雖然網路釣魚（Phishing）並不僅是BYOD的問題，但它在BYOD生態系造成特別顯著的威脅，因為企業偏好將重點放在自己網路內設備的安全防護。網路犯罪分子往往先從安全鏈最脆弱的一環著手 – 最終使用者。網路釣魚攻擊是誘騙員工將惡意電子郵件或訊息誤以為正常的有效方法。

雖然有許多公司都會部署安全解決方案來有效過濾自己系統上可能的網路釣魚攻擊，但極少數會對員工設備做相同的事。這讓他們面臨針對個人帳號的攻擊，可能會影響到他們自己的設備。繼續閱讀

F2FS 檔案系統漏洞可能導致 Android 和 Linux 記憶體資料損毀

2017 年 08 月 09 日2017 年 08 月 22 日趨勢科技 TrendMicro

Android 八月份安全性公告包含了三個趨勢科技研究人員發現的檔案系統漏洞 (CVE-2017-10663、CVE-2017-10662 和 CVE-2017-0750)。這些漏洞可能造成裝置記憶體中的資料損毀，讓惡意程式在系統核心內執行惡意程式碼，進而存取並掌握更多資料。歹徒可利用惡意程式來掛載一個 F2FS (Flash-Friendly File System) 格式的磁碟來觸發這項漏洞，這個磁碟可以是實體磁碟或虛擬磁碟映像。

F2FS 是一種專門針對快閃記憶體 (NAND) 裝置 (如隨身碟) 而最佳化的檔案系統。任何可掛載 F2FS 檔案系統的裝置都存在這項潛在風險。就 Android 而言，最危險的是那些預設使用 F2FS 檔案系統的裝置，例如：Motorola、Huawei 和 OnePlus 的手機，因此有數以百萬計的用戶都可能遭駭。不過，這項攻擊技巧要能成功，駭客必須先駭入某個具備檔案系統掛載權限的執行程序才行。

至於 Linux，問題就更加嚴重。Linux 核心從 2013 年發表的 3.8 版起就開始支援 F2FS 檔案系統。因此，該版本之後的所有 Linux 裝置都存在這項潛在危險。只不過，並非所有 Linux 發行版本都會預設啟用 F2FS 功能。而那些在插入 USB 隨身碟時會自動掛載該磁碟的裝置風險最高，因為駭客只需將一個含有 F2FS 漏洞攻擊程式的隨身碟插入系統就能觸發這項漏洞。

技術細節

這項漏洞出在讀取 F2FS 檔案系統結構的程式碼：駭客只要在含有漏洞的系統上使用 losetup 來掛載一個惡意的磁碟或本地端磁碟映像檔，即可造成系統記憶體資料損毀，進而讓惡意程式在系統核心內部執行惡意程式碼。前面發布的三項漏洞都可能讓惡意程式寫入正常範圍之外的記憶體，促使系統執行其惡意程式碼。繼續閱讀

在駭客天堂,網路犯罪的避難所-暗網(Dark Web),企業可以發掘哪些資安情報?

2017 年 08 月 08 日2017 年 08 月 01 日趨勢科技 TrendMicro

自從執法單位在2013年將Slik Road地下市場關閉之後，深網(Deep Web)的深度與廣度就越來越引人興趣了。這一塊網路有很大程度從大眾眼前消失，這是駭客可以交流、分享惡意程式碼和攻擊手法的地方，並且可以在這裡將網路攻擊中竊來的資料拿來換錢。

根據所收集的資訊，深網(Deep Web)內含藏著驚人的資料量 – 7,500TB，與表層網路的19TB比起來是令人難以置信。因為這些年急劇增加的網路犯罪活動，網際網路的這塊陰暗部分包含了比表層網路還多達550倍以上的公開資料量。趨勢科技經過兩年對深網(Deep Web)的分析，發現了576,000筆不重復網址，收集超過3,800萬筆單獨事件的詳細資料。

雖然深網(Deep Web)稱為駭客活動的天堂，但這並非是它唯一的目的。透過研究深網(Deep Web)、它的使用者類型、所分享的流程和資料，讓企業可以對整體威脅環境有更好的認識 – 而且可以更加充分準備好對抗新出現的安全漏洞和攻擊。

從基礎開始：什麼是深網(Deep Web)？

在我們要進一步探討網路的這一塊可以教給我們什麼前，先了解深網(Deep Web)到底是什麼非常重要。多數人是在Ross Ulbricht被捕後才知道了深網(Deep Web)，它在Silk Road地下社群所用的名字是Dread Pirate Roberts。趨勢科技指出Ulbricht打造了價值數十億美元的數位市場，裡面充斥著洗錢和非法毒品。因為這些活動，Ulbricht被控販毒和電腦駭客等犯罪行為，被判了兩個無期徒刑。

這個吸引人的故事造成許多人對深網(Deep Web)的深切關注，許多個人和企業都盡可能地從網路這一塊無法用傳統方法存取的地方學習。如同趨勢科技在“水面之下：探索深網(Deep Web)”所指出，深網(Deep Web)或有時也被稱為暗網(Dark Web)，一開始的建立目的是提供使用者免於審查，可以自由發言的安全空間，它最終成為網路犯罪的避難所。