企業如何對抗頑強的 CERBER 勒索病毒變種?

2017 年 05 月 31 日2017 年 05 月 25 日趨勢科技 TrendMicro

勒索病毒 Ransomware (勒索軟體/綁架病毒)在2016年相當地猖獗，出現大規模的攻擊活動及各種能夠對抗安全措施的新變種。在2016年年底，Locky和 CERBER勒索病毒家族似乎在市場佔有率方面遇上頻頸。但這隨著 CERBER 發展出新的躲避偵測能力而有所改變。根據 Security Intelligence的報導，CERBER在2017年的市場佔有率達到70%，並且在第一季末上升至90%。相較之下，Locky在2017年第一季只剩下2%的佔有率。

CERBER已經展現其躲避安全軟體偵測的成功，為了犯罪活動而加以優化。新CERBER變種也開始會繞過機器學習工具，不過趨勢科技也站在解決這些問題的最前端。事實上，趨勢科技最近發表了一份報告秀出CERBER迄今為止的演變及如何維護安全性的進階解決方案。隨著CERBER持續對企業造成威脅，了解如何防範新變種及解決目前漏洞變得相當重要。

CERBER的快速變形讓其躲避偵測

就跟大多數惡意軟體一樣，CERBER透過垃圾郵件、漏洞攻擊套件及其他感染途徑散播。當接收者點入連結或開啟郵件時，程式會在背景被偷偷下載，開始加密檔案。但CERBER與許多其他勒索病毒不同。它不僅會重新命名目標副檔名和檔案名稱；微軟指出它也會選擇感染的資料夾。比方說，CERBER會避開系統資料夾，但會加密共享網路及本機磁碟上，進而讓感染擴散。

CERBER還經常進行升級，以「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS)的形式賣給網路犯罪分子。這些修改使其很難被鎖定。在2016年，伺服器每15秒鐘改變一次CERBER，每次都產生新的哈希（Hash）。根據SecurityWeek，解決方案需要偵測這些哈希（Hash）來識別惡意軟體，但CERBER的快速變形技術讓其躲避偵測。這技巧是讓CERBER能夠繼續保持神祕並且讓新變種成功抵禦安全措施的關鍵。繼續閱讀

< 勒索病毒風暴 > 剖析三隻利用企業在修補程式管理和系統升級難題的勒索病毒:WannaCry、UIWIX、EternalRocks

2017 年 05 月 27 日2019 年 09 月 27 日趨勢科技 TrendMicro

由於 WannaCry(想哭)勒索病毒/勒索蠕蟲的大規模散播，讓勒索病毒在五月成為全世界的焦點。從最初的攻擊之後，我們又看到了 UIWIX、Adylkuzz 和最近的 EternalRocks 都在使用相同的核心漏洞。

三種威脅間的共同點是MS17-010以及 Shadow Brokers 所披露的工具和漏洞。這些威脅不僅攻擊了系統上的漏洞，還充分地利用了企業在修補程式管理和系統升級上所面臨的根本難題。讓我們來看看它們所造成的影響，並思考一下為什麼這些威脅會發生。

但首先，我們來快速比較一下WannaCry、UIWIX和EternalRocks：繼續閱讀

小心假 WannaCry(想哭)勒索病毒趁火打劫 !跳出中毒視窗,撥打技術支援電話,12500元台幣飛了!

2017 年 05 月 26 日2017 年 05 月 26 日趨勢科技 TrendMicro

小心假 WannaCry(想哭)勒索病毒/勒索蠕蟲趁火打劫 !英國警方接獲通報一名用戶在上網時電腦忽然跳出感染 WannaCry 勒索病毒警告視窗，且無法關閉。受害者不疑有他撥打電話視窗上假冒微軟技術支援的電話,並被騙取320英鎊（約12500元台幣）安裝「惡意軟體移除工具」。
這並不是第一起利用 WannaCry趁火打劫的案例,英國警方也在之前發出 WannaCry詐騙警告,提醒用戶別開啟聲稱來自英國電信的強化用戶帳號安全性的郵件，該網路釣魚信附上假的WannaCry清除工具連結，誘使用戶付費下載。

這就是所謂的技術支援詐騙，歹徒以「假裝提供協助」的方式來誘騙受害者。這類詐騙會佯稱受害者的電腦遭駭客入侵，並主動提供服務來協助受害者解決問題。通常都是假裝成大公司,如微軟的技術支援人員，並向受害者索取信用卡卡號與個人資訊。根據一個詐騙案例的受害者描述，他的畫面被鎖住而不能動。不僅瀏覽器畫面遭到凍結，鍵盤也失效，受害者必須撥打畫面上顯示的電話號碼。當受害者撥電話過去，詐騙者就會親切地提供支援來協助您解決這個問題，但會向受害者索取信用卡卡號與個人資訊。

類似這樣的事件時有所聞,之前有網友反應 ,上網時忽然跳出通知說 Adobe Flash 版本太舊需要更新,不疑有它按下後就中了勒索病毒。類似的案例還有:

保持作業系統、Adobe Flash、瀏覽器等重要軟體更新是防範漏洞攻擊、保障系統安全的方式之一,但趨勢科技提醒大家,安裝更新通知請睜大眼:保持作業系統及應用程式更新可防漏洞攻擊,但別更新到勒索病毒!

PC-cillin2017 雲端版成功封鎖攔截勒索病毒 WannaCry,即刻免費安裝試用,不再「想哭」!

同場加映:防範技術支援詐騙 5 秘訣

技術支援詐騙經常利用各種伎倆來操弄受害者的心理。以下是防範這類詐騙的一些祕訣：

請記住，真正的技術支援人員不會主動打電話給您。您必須自己向他們求助。因此，小心那些不請自來的電話。假若您必須聯絡技術支援人員，請務必確認您手上的電話是對的。請直接前往服務廠商的官方網站來查看他們的支援專線電話號碼。
若您的螢幕已經被鎖住，然後畫面出現一個惡意廣告，千萬別驚慌。您通常只需利用 Windows 的「工作管理員」來終止瀏覽器的執行程序即可輕鬆化解。切記千萬別撥打廣告上的熱線電話。若您在公司裡面，請聯絡您的 IT 部門。
若您聯絡上的支援人員一開始就要求您讓他們從遠端存取您的電腦，請提高警覺。遠端存取一般來說都更高階的技術人員才會做的事，而非接電話的第一線人員。
若您已經上當，請盡快採取行動。若您已經把信用卡資料給了對方，請立刻聯絡您的發卡銀行。若您已經授權給對方進行遠端存取，請馬上變更您的電腦登入密碼。
安裝一套有效且正派的防毒軟體來避免系統連上惡意網站。若您已經安裝，切記隨時保持防毒軟體更新。唯有保持更新，才能讓您的軟體具備最完整的防護來防範最新的惡意網站。

《延伸閱讀》
Windows /Adobe Flash 更新通知、出現藍屏、網頁變亂碼、假技術支援真詐騙….駭客裝神弄鬼常見 6 招

資安威脅趨勢：攻擊者使用 LNK 檔案下載惡意軟體

2017 年 05 月 26 日2017 年 06 月 12 日趨勢科技 TrendMicro

PowerShell 是微軟的多用途命令列和 shell 腳本語言，可以與許多技術整合並且互動。它可以默默地在背景執行，無須執行檔就能夠取得系統資訊。換言之，這是對威脅者相當具有吸引力的工具。有許多網路犯罪分子惡意使用 PowerShell 的知名案例：像是2016年3月的 PowerWare勒索病毒，和2016年4月的新Fareit惡意軟體變種。因為這看起來是正在上升的趨勢，安全管理員對於如何防止PowerShell腳本造成損害也變得更加熟悉。

不過網路犯罪分子找到另一種方法來執行PowerShell腳本 – Windows LNK（LNK）。使用者常常可以看到的LNK檔案就是捷徑，出現在桌面和開始選單。事實上，LNK檔早在2013年就被用作攻擊載體。而在2017年初，我們注意到有木馬下載程式利用.zip包含.zip來掩飾一個會帶來Locky勒索病毒的LNK檔案。

現在，我們看見越來越多攻擊使用惡意 LNK 檔來利用正常應用程式（如PowerShell）下載惡意軟體或其他惡意檔案。為了說明LNK 的上升使用趨勢，請看看一個LNK 惡意軟體（趨勢科技偵測為LNK_DLOADR.*）如何從2017年一月開始一路飛升。這上升幅度顯示出這樣的方法正在成為流行：

圖1、4個月間的LNK_DLOADR偵測數量

最近的 LNK-PowerShell和 ChChes攻擊

在2016年10月，我們看到攻擊者利用LNK加上PowerShell和BKDR_ChChes來對日本政府機構和學術單位進行針對性攻擊。攻擊中使用了偽裝成假.jpg檔案的惡意PowerShell檔案。

圖2、在2016年十月針對日本目標的攻擊

我們在2017年一月注意到一個駭客集團 APT10（也稱為MenuPass、POTASSIUM、Stone Panda、Red Apollo和CVNX）在一波大規模魚叉式釣魚攻擊（SPEAR PHISHING）使用類似手法。在此起攻擊中，LNK 檔案執行cmd.exe來下載一個隱藏了惡意 PowerShell 腳本的假.jpg檔案。繼續閱讀

為何 WannaCry 只勒索 300 美金,卻為企業帶來災難？

2017 年 05 月 26 日2017 年 05 月 25 日趨勢科技 TrendMicro

儘管 WannaCry 勒索蠕蟲所要求的贖金，相對於其他勒索病毒家族，其實並不算多 (300 美元)，但因為它會透過網路共用來散布，所以企業每多一台電腦遭到感染，就必須多支付 300 美元贖金。如此一來，駭客將賺得荷包飽飽，但受害的企業卻損失慘重。

勒索病毒海撈 10 億美元

在 2016 年當中，勒索病毒 Ransomware (勒索軟體/綁架病毒)駭客集團已開始將目光從個人使用者轉移到更大的目標，也就是大大小小的企業機構，並且海撈了 10 億美元。

才一年的時間，勒索病毒家族的數量就大幅成長 752%

早在 WannaCry(想哭)勒索病毒/勒索蠕蟲出現之前，全球的企業和個人使用者就已遭受勒索病毒所帶來的嚴重痛苦，這在我們的研究報告「勒索病毒的過去、現在和未來」(Rnsomware: Past, Present, and Future) 當中有詳盡的描述。才一年的時間，勒索病毒家族的數量就大幅成長 752%。

勒索病毒威脅在各地的分布 ,雅太區感染比例最高 (2016 年 1 月至 2017 年 3 月) 繼續閱讀