作者: 趨勢科技 TrendMicro

CVE-2017-5638：Apache Struts 2 漏洞可能讓駭客從遠端執行程式

趨勢科技 TrendMicro

 

Apache Struts 是一個免費的開放原始碼程式開發架構，用來開發 Java 網站應用程式。我們仔細研究了過去 Apache Struts 被發現的幾個遠端程式碼執行 (Remote Code Execution，簡稱 RCE) 漏洞之後發現，歹徒大多使用 Object Graph Navigation Language (OGNL) 這個程式語言。OGNL 之所以很容易讓駭客從遠端執行任意的程式碼，是因為 Apache Struts 在大多數的流程當中都用到這個語言。

最近，一位研究人員在 Apache Struts 2 當中新發現一個關於 OGNL 的遠端程式碼執行漏洞：CVE-2017-5638。此外，一份報告也指出網路上已出現實際的漏洞攻擊案例，我們的研究和監控團隊也見過利用該漏洞的攻擊。

攻擊手法

駭客可以發送一個精心設計的網站請求給含有漏洞的伺服器，就能將一個檔案上傳至使用 Jakarta 外掛模組來處理檔案上傳請求的伺服器。

駭客接著在 Content-Type 標頭當中包含所要執行的指令來讓受害的伺服器執行指令。網路上已經出現示範這項攻擊手法的概念驗證。

漏洞分析

為了深入了解這項漏洞，我們仔細研究了一下該漏洞的修補程式，我們發現廠商在 FileUploadInterceptor.java 當中已放棄使用「LocalizedTextUtil」這個類別。此類別原本是用來在 HTTP 檔案上傳請求失敗時提供錯誤訊息給使用者。 繼續閱讀

世界駭客大賽Pwn2Own – 永遠不知道有那些新研究將會揭開面紗

趨勢科技 TrendMicro

 

 

在過去十年的世界駭客大賽Pwn2Own競賽中，不同的人會對此競賽產生不同的感情。它曾被稱為是對瀏覽器的大屠殺，雖然沒有真人倒地。它曾幫人開創自己的事業，或至少，幫他們成就惡名。它被指責同時摧毀了粉絲跟黑特的心。同樣地，在比賽史上沒有粉絲或黑特真的受傷，但內心就不敢保證了。

過去十年來，Pwn2Own已經成為安全研究的根源

更有甚者是指責Pwn2Own不過是個 Security theater (維安劇場) – 只是場精采的秀，但沒有真正出現什麼。但實際上恰恰相反。在過去十年來，Pwn2Own已經成為安全研究的根源。

不只是因為在Pwn2Own上所使用的漏洞都很複雜（當然它們也的確複雜）。這計畫所披露的幾個漏洞都得到社群的讚賞，如Pwnie大獎。除此之外，在Pwn2Own所出現的漏洞也驅動了其他研究，最終讓廠商提出了解決方案。例如在數年前，釋放後使用（UAF, use-after-free）漏洞被用來攻擊瀏覽器，特別是Internet Explorer。結果導致許多研究人員找出UAF漏洞並將其回報給零時差計畫（ZDI）。UAF狂潮讓微軟引入了隔離堆積（Isolated Heap）和記憶體保護（MemoryProtection）等安全措施來防止這些UAF漏洞被利用。這些讓ZDI研究人員去深入研究問題並找出解決方案。這些結果提交給微軟的安全獎勵計畫 – Mitigation Bypass Bounty，並獲得了125,000美元的獎金（全部捐給了慈善機構）。

如果沒有Pwn2Own，UAF會如此熱門嗎？有可能，但被運用在競賽中肯定帶動了這方面的研究，結果就是更加安全的瀏覽器。當然，我們不只是看到了UAF。這些年來已經出現過各種類型的漏洞，而這些漏洞都在比賽出現後變得更加常見（或至少更加流行）。像是沙箱逃脫（sandbox escape）、連接點竄改（junction point manipulation），繞過控制流防護（CFG bypass）和字體濫用（font abuse）都曾如此過。 繼續閱讀

Mirai 原始碼流傳之後….面對轉戰家用網路的殭屍大軍, 光在大門上鎖是不夠的

趨勢科技 TrendMicro

原本該讓我們生活更美好的聯網用品,竟瞬間變成了攻擊他人的殭屍網路!

從去年 9 月感染了大約 10 萬個物聯網裝置的 Mirai 原始程式碼在網路上流傳開始，駭客們便紛紛忙著開發新的變種來搶攻那些安全堪慮的物聯網裝置，儼然成了一場軍備競賽。
從電燈開關、恆溫控制器,到聯網茶壺、無人機以及各種日常生活用品,讓這些聰明但不安全的智慧裝置連上網際網路，就如同引狼入室。現在光在大門隨便裝個簡單的鎖頭是不夠的，這批最近才剛轉戰家用網路的犯罪集團，他們感染家庭智慧裝置，將它們變成殭屍來替他們從事不法勾當。

這波搶攻裝置、建立殭屍網路熱潮有如一股掏金熱,如果這些聯網用品都像 Dyn 事件當中那些遭到攻擊的裝置一樣,存在著相同的安全漏洞，那麼未來恐怕有重大的災難等著我們。

網域名稱服務 (DNS) 供應商 Dyn 的伺服器在 2016 年底遭到一起重大的網路攻擊，全球多家知名網站因而停擺，包括 Twitter 和 Netflix 皆頓時陷入危機，工程師們為了讓伺服器恢復正常運作而疲於奔命。該事件的罪魁禍首，是一個叫作「Mirai」的物聯網 IoT ,Internet of Thing）殭屍病毒。

駭客的軍備競賽:紛紛開發新變種,搶攻物聯網裝置

網路媒體 All About Circuits 特約作家 Robin Mitchell 將這起網路犯罪事件歸類為「Botnet傀儡殭屍網路」攻擊。基本上，Mirai 幕後的犯罪集團利用此惡意程式感染了大約 10 萬個物聯網裝置，並以此建立了一個殭屍網路。歹徒之所以能夠建立這樣的殭屍網路，只因為物聯網裝置缺乏足夠的入侵防護措施。事實上，這些被感染的裝置很可能還在使用出廠時所內建的預設密碼，而這些密碼非常容易破解。

隨著物聯網裝置的日益普及，我們該如何對付像 Mirai 這類專門攻擊物聯網裝置的惡意程式呢？當這些原本應該讓我們生活更美好的連網用品瞬間變成了敵人，將變成什麼樣的狀況？

如果物聯網繼續這麼容易遭到這類攻擊，那麼情況將更令人擔憂。市場研究機構 Gartner 預測，到了 2020 年，全球將有208 億個物聯網裝置：從智慧家庭恆溫控制器和電燈開關，到聯網茶壺、無人機以及各種日常生活用品。如果這些聯網用品都像 Dyn 事件當中那些遭到攻擊的裝置一樣存在著相同的安全漏洞，那麼未來將有重大的災難等著我們。 繼續閱讀

TorrentLocker 勒索病毒,利用雲端服務來躲避偵測/裝萌的勒索訊息,使用Python程式語言

趨勢科技 TrendMicro

 

一隻名為TorrentLocker的勒索病毒 Ransomware (勒索軟體/綁架病毒), 利用Dropbox來躲避偵測，雖然該勒索病毒的行為跟之前並沒有太大不同，但是它新的散播方式會讓那些對網路釣魚攻擊缺乏認識的使用者造成威脅。

這些勒索病毒變種主要利用社交工程（social engineering ）技術誘騙不知情者,點擊內嵌在網路釣魚郵件內的Dropbox網址。這個網址會連至一個假收據檔案（實際上是勒索病毒檔案）。

 

 

裝萌的勒索訊息,使用Python程式語言

還有幾個使用Python程式語言的勒索病毒值得注意，在二月底出現了PyL33t（趨勢科技偵測為Ransom_PYLEET.A）和Pickles（趨勢科技偵測為Ransom_CRYPPYT.A）。

網路文化對PyL33t勒索病毒產生了重大影響，像是其勒贖通知使用Comics Sans這種似手寫的字體字體，使用1337端口及加密檔案的.d4nk副檔名。一旦PyL33t被下載跟執行在受害者電腦上，它會加密使用.docx、.jpg和.xlxs等副檔名的檔案。

 

Pickles(醃黃瓜)是另一個使用Python勒索病毒。一旦Pickles感染了受害者電腦，它會加密檔案並用.EnCrYpTeD副檔名重新命名，將桌面改成上述訊息，並且植入檔名為READ_ME_TO_DECRYPT.TXT的勒贖通知，內文要求1比特幣的昂貴贖金（約1,200美元）。解密程式也跟勒索病毒一起植入電腦；但想解密檔案需要密碼。

 

趨勢科技的勒索病毒解決方案

從中小企業到大型企業的網路設備都是Crysis這類勒索病毒的攻擊目標，業務持續性、財務損失和公司聲譽都受到了威脅。當網路犯罪分子汲汲營營地想要將關鍵資料做為人質，重要的是能夠具備主動式、多層次的安全防護：從閘道、端點、網路到伺服器。

 

 

AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！即刻免費下載

 

 

 

電子郵件和閘道防護

趨勢科技Cloud App Security、趨勢科技Deep Discovery™ Email Inspector和InterScan™ Web Security 可以防禦常被用來散播勒索病毒的管道，如電子郵件和網頁。

  • 魚叉式網路釣魚防護
  • 惡意軟體沙箱
  • IP/網頁信譽評比技術
  • 檔案漏洞攻擊偵測
 端點防護

趨勢科技 Smart Protection Suites 在端點層級偵測和阻止與勒索病毒相關的可疑行為和漏洞攻擊。

  • 勒索病毒行為監控
  • 應用程式控管
  • 漏洞防護
  • 網頁安全
網路保護

趨勢科技Deep Discovery Inspector偵測與勒索病毒進入網路相關的惡意流量、連線和其他活動。

  • 網路流量掃描
  • 惡意軟體沙箱
  • 防止橫向移動
 伺服器防護

趨勢科技Deep Security可以偵測和阻止可疑網路活動和保護伺服器和應用程式免於漏洞攻擊。

  • 保護網頁伺服器
  • 漏洞防護
  • 防止橫向移動

 

保護中小企業和家庭用戶

保護中小型企業

Worry-Free Pro透過Hosted Email Security來提供雲端電子郵件閘道防護，偵測和封鎖勒索病毒。

  • 勒索病毒行為監控
  • IP/網頁信譽評比技術
 保護家庭用戶

趨勢科技PC-cillin雲端版可以封鎖勒索病毒威脅相關的惡意網站、電子郵件與檔案來提供強大的防護。

  • IP/網頁信譽評比技術
  • 勒索病毒防護

 

 

大型企業 》
中小企業 》
一般用戶 》

 

 

《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。

 

▼ 歡迎加入趨勢科技社群網站▼

好友人數

 

Trump Locker 勒索病毒搭川普順風車

趨勢科技 TrendMicro

繼米開朗基羅,庫妮可娃之後,近年電腦病毒史上已經顯少出現以名人為名的病毒,不過,近日出現了一隻Trump Locker 勒索病毒,趕搭政治話題人物順風車。感染該病毒會出現” 你被駭了( You are hacked )”要求付贖金以還原被加密檔案的訊息。

“米開朗基羅”是文藝復興時期大師,也是病毒

以人名命名的電腦病毒,最紅的莫過於米開朗基羅（Michelangelo）了! 這位文藝復興時期傑出的雕塑家、建築師、畫家和詩人，米開朗基羅1475年3月 6日生於佛羅倫斯共和國卡普雷塞，1564年在羅馬去世，時年88歲。他的風格影響了幾乎三個世紀的藝術家。(資料來源米開朗基羅—维基百科)
1991年4月現身的米開朗基羅病毒( Michelangelo)電腦病毒也以他命名:該病毒( Michelangelo)是傳統開機型病毒,當年利用軟碟開機時侵入電腦系統，然後再伺機感染其他的硬碟,該病毒在每年米開朗基羅（Michelangelo）生日-三月六日發作, 有整整一年的潛伏期。還好,以經過了 25 歲生日的米開朗基羅病毒,現在已經完全沒有影響力了 !


►延伸閱讀:米開朗基羅病毒25 歲了!

 

【離奇客訴~】就算中毒 也要看”庫妮可娃”的真面目!?

已退役的俄羅斯著名女子網球選手安娜·庫妮可娃，最高世界排名單打第8、雙打第1。 當年她是全世界最紅最具商業價值的女子體育人物，也是網球史上美女網球風潮的開創者，尤其當年她與瑞士女子網球天后辛吉斯的雙打搭檔更被譽為「網球場上的最美風景」。(來源:維基百科)

當年紅極一時的安娜庫妮可娃 (Anna Kournikova) 病毒 在2001年 2月11 日發病,已經屆滿十五歲，當年的客服人員回憶一段啼笑皆非的小故事:

「每次當我想到這個病毒，我就想到一個故事，這是有關一通來自我們使用者因系統遭該病毒感染而打來的電話。那位使用者非常生氣，但並不是因為感染而生氣,而是我們的防毒軟體移除了病毒,讓他頗為不悅。因為他還是很想看到庫妮可娃的照片。 」

很顯然地，感染的問題已經是其次，客戶生氣的原因是因為最後沒有看到想看的照片。

以下是該病毒的e-Mail訊息：

Subject line: “Here you have, :o)”
Message text: “Hi: Check this!”
Attachment: “AnnaKournikova.jpg.vbs”.

….看更多

 

Trump Locker 搭川普順風車

網路上出現了一個趕搭美國當前政治情勢的新勒索病毒，不過很可能只是舊瓶裝新酒。根據研究人員表示，最近出現的 Trump Locker 勒索病毒 (趨勢科技命名為  RANSOM_VENUSLOCK.F) 與 2016 年 8 月出現的 Venus Locker 非常相似。

Trump Locker 和之前的 Venus Locker 變種 (趨勢科技命名為  RANSOM_VENUSLOCK.C) 最雷同之處就是其加密檔案的方式。兩者在面對某些副檔名的檔案時，不會將整個檔案加密，只會加密前 1024 KB 的內容。完整加密的檔案附檔名為「.TheTrumpLockerf」，但部分加密的檔案，其副檔名為「.TheTrumpLockerp」。除此之外，兩者在加密時都會避開檔案資料夾路徑當中有特定字串的檔案。

還有另一項共同點是兩者的勒索訊息除少部分修改之外幾乎完全相同，主要的差異在於駭客提供給受害者在支付贖金之後用來通知駭客的電子郵件地址。

繼續閱讀