趨勢科技助刑事警察局及時遏止300萬台幣落入駭客口袋,成功為企業把關駭客變臉詐騙威脅

【2016年12月9日,台北訊】全球資安軟體與解決方案領導廠商趨勢科技(東京證券交易所股票代碼:4704) 在11月份偵測出台灣某製造廠商遭駭客攻擊的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise,簡稱 BEC)件,成功與刑事警察局合作阻止了一場正在進行中的跨國詐騙案件,此詐騙金額高達 300 萬台幣 (9萬美金),此案件亦再次證明資安意識為企業營運的基本要素,採用資安解決方案防範並防堵多形態的詐騙手法已為必要。

bec

由於變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise,簡稱 BEC)所需成本及技術門檻較其他攻擊手法低,變臉詐騙已成為近年來駭客新寵兒。趨勢科技自 2015 年起與內政部警政署刑事警察局簽訂合作備忘錄,不定期提供資安情資協助遏阻網路犯罪案件。上週,趨勢科技與台北市刑事警察局合作,第一時間阻止一起正在進行中的典型變臉詐騙案件。趨勢科技團隊透過 IMSVA 郵件閘道防護SNAP(Social Engineering Attack Protection)的偵測功能, 發現台灣某製造廠商與其俄羅斯客戶間的採購交易郵件,遭駭客竊取後竄改內容,以拋棄式郵件信箱提供假匯款帳號誘騙廠商付款;此外,駭客更竊取了含有該公司戳記的發票檔案進行加工,整筆交易金額將高達台幣300 萬元。本次趨勢科技與刑事警察局協力防堵變臉詐騙,屬國內少數以資安防護技術成功提前預防變臉詐騙的案例,藉此事件,更提醒了企業主對於資安攻擊的多變需多加留心並加以預防。

郵件變臉詐騙(BEC)主要為駭客竄改企業間往來的郵件內容,誤導企業轉帳至詐騙帳號,是近年來常見的駭客攻擊手法之一。電子郵件溝通已成為企業間的主要聯繫方式,舉凡交易訂單、收據及匯款帳號等均可能載於郵件中,然上述資料也成為駭客斂財的工具。駭客利用社交工程或鍵盤側錄郵件帳密等方式,竊取企業間往來的電子郵件,並假冒請款方寄信要求更改匯款帳號,若匯款方未向請款方再次求證,則成為變臉詐騙受害者。

趨勢科技呼籲,企業面對來勢洶洶的變臉詐騙威脅,「預防」才是關鍵之道。企業應加強電子郵件系統的安全性,避免郵件遭不法第三方擷取竄改;提升員工資安意識,勿點擊來路不明等可能為社交工程的郵件;交易雙方在匯款前,應再三確認交易帳號,增加交易的安全性。此外,也可以使用 趨勢科技 IMSVA、HES 郵件閘道防護 預防變臉詐騙的發生。IMSVA、HES郵件閘道防護 提供了完整的多層式安全防護,結合了企業內的虛擬裝置與選購的雲端預先過濾,能在企業網路外部擋掉絕大多數的垃圾郵件和惡意程式,並透過雲端信譽評等資料庫與網路邊境執行掃瞄程序,確保企業遠離如變臉詐騙等類型的資安威脅。

企業成勒索病毒的金礦:Cerber是如何加密資料庫檔案?

或許是為了讓Cerber開發者及其同夥可以賺到最多的錢,這隻勒索病毒 Ransomware (勒索軟體/綁架病毒)增加了對企業造成更大威脅的動作:加密資料庫檔案。這些組織資料的儲藏庫讓企業儲存、檢索、排序、分析和管理資料。有效使用就能夠助於維持組織效率,所以拿這些關鍵資料作人質無疑可以影響公司業務,觸及了底線。

作為提供服務給網路犯罪新手的勒索病毒,Cerber經歷過無數次的改版。它會利用更多技巧,包括整合DDoS元件、使用雙重壓縮的Windows腳本檔案以及利用雲端生產力平台,甚至與資料竊取木馬聯手犯案。

Cerber開發者對下游抽取40%的佣金,光是今年7月就賺進近20萬美元。

勒索病毒的不斷更新反映出其開發者的活躍程度及下游如何將其當作是有利可圖的生意。比方說,前一個版本在一天內就更新到4.1.5。Cerber開發者對下游抽取40%的佣金,光是今年7月就賺進近20萬美元。

 圖1、與其他變種相比,Cerber 4.1.5要求比較少的贖金。
圖1、與其他變種相比,Cerber 4.1.5要求比較少的贖金。

 

為了讓受害者即刻付贖,資料庫檔案成綁匪肉票

加密資料庫檔案並非Cerber獨有的行為。2016上半年所出現的家族像rypJOKER(RANSOM_CRYPJOKER.A)、SURPRISE(RANSOM_SURPRISE.A)、PowerWareRANSOM_POWERWARE.A)和Emper(Ransom_EMPER.A)等都將資料庫相關副檔名加入加密列表。包括了dBASE(.dbf)、Microsoft Access(.accdb)、Ability Database(.mdb)和OpenOffice(.odb)等檔案。想想看資料庫檔案對於企業來說有多麼重要,開發者讓它們成為Cerber的加密檔案類型可以說是為了讓受害者更急切與願意付錢的手段。

自動避開俄羅斯等語系

Cerber 4.1.0、4.1.4和4.1.5就跟其它變種(Ransom_CERBER.CADRansom_CERBER.A)一樣,設計成會避開某些語系的設備和系統。它使用API – GetKeyboardLayoutList來取得語言設定,勒索病毒偵測到下列語系就會終止自己:俄羅斯、烏克蘭、白俄羅斯、塔吉克語、亞美尼亞、阿澤里語、格魯吉亞語、哈薩克語、克里吉斯斯拉夫語、土庫曼語、烏茲別克語拉丁語、韃靼語、羅馬尼亞摩爾多瓦語、俄羅斯摩爾多瓦語、阿塞里斯拉夫語和烏茲別克斯拉夫語。趨勢科技從今年3月到11月中在美國、台灣、德國、日本、澳大利亞、中國、法國、義大利、加拿大和韓國所觀察到的大部分Cerber 樣本都能夠看到此一行為。

圖2、夾帶Cerber的垃圾郵件樣本
圖2、夾帶Cerber的垃圾郵件樣本

繼續閱讀

感染勒索病毒的四個主要症狀與緊急措施 

jigsaw-fb

2016 年已開啟了網路犯罪集團探索未知攻擊領域和攻擊面的大門,以影響企業營運及消費者資安甚鉅的網路勒索為例,趨勢科技團隊統計截至今年第三季為止,全球網路勒索總攻擊次數已超過 1.8 億次,台灣受害排名則高居全球第 16,受攻擊總數逼近 300 萬大關1 ,FBI 最新數據更指出光是單一勒索病毒變種每天就能入侵大約  100,000  台電腦2

Locky 先盜用Facebook帳號,再以私訊假冒好友分享偽造的圖片

近日傳出勒索病毒駭人新手法,先盜用Facebook帳號,再以私訊假冒好友分享偽造的圖片,誘拐被害者下載惡意瀏覽器外掛,再暗中植入惡名昭彰的勒索病毒 Locky。

提到 Locky ,不得不提到年初的這個案例:Locky 勒索軟體迫使醫院緊急將所有電腦關機,改用紙本作業,四月在台灣有傳出大量散播案例,它利用一封看似發票的信件主旨,加上使用者對 Microsoft Word 檔比較沒有防備的心態,造成不少台灣民眾檔案被綁架。詳情請看:從勒索軟體 Locky 加速散播,看巨集惡意軟體新伎倆

它的變種藉著改良版的漏洞攻擊套件散播,專門攻擊本地端安裝的 Revive 和 OpenX 開放原始碼廣告伺服器,而且台灣是遭攻擊排行榜第一名 !

Bizarro Sundown 攻擊分布情況 (依國家)。

追劇竟成悲劇! Cerber 勒索病毒透過惡意廣告散播,台灣已成重災區

許多人喜歡網路追劇,提醒您別遇到這樣掃興的事:

“最近我同事只是追劇而已就中招,整個電腦資料全毀….”

fans-1

這並不是個案,無獨有偶的是近日也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了,原來是中了Cerber 勒索軟體 Ransomware,並被要求支付約台幣1.7 萬的比特幣Bitcoin才可解鎖,更慘的是用公司的電腦 ! 很多網友給的建議跟 FBI 建議的一樣:” 付錢了事 “

提醒您:如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。

到底感染勒索病毒時會出現什麼症狀?在第一時間該如何緊急處理?我們來重點複習一下:

感染勒索病毒的四個主要症狀 

感染勒索病毒時,勒索病毒會連線到C&C伺服器下載加密金鑰並且開始加密電腦中的檔案,然後在電腦上放置Ransom Note檔案(支付贖金的說明檔案)。因此,當下列症狀出現時,就有可能就是遭到勒索病毒感染:

  1. 出現不明對外連線
  2. 各目錄下開始出現奇怪副檔名的檔案,例如:.crypt、.ECC、.AAA、.XXX、.ZZZ等等
  3. 突然出現很多 Ransom Note檔案(支付贖金的說明檔案)或捷徑,通常是.txt檔或是.html檔,如下圖:
  4. 在瀏覽器工具列發現奇怪的捷徑,如下圖:

繼續閱讀

迎接智慧家庭的到來:物聯網 (IoT) 的普及與安全責任

將來有一天,一切開關按鍵都將消失。人們再也不需透過遙控器來轉台,或者透過開關來關燈。這些裝置都將按照其設計的功能自動運作,完全不需使用者操作:不需拍手、不需語音指令、也不需在空中畫手勢。它們將擁有某種程度的自主性,因此不需人為介入。這將是無可避免、非常接近、且非常真實的未來。智慧科技已經來臨,而且只會越來越聰明。

iot1

人們在討論這些科技及物聯網 (IoT) 時通常會以這些裝置和基礎架構是否自動化來作為它是否「智慧」的標準,但其實光自動化還不算。

首先,任何歸類在物聯網之下的裝置都必須超越其最原始的基本功能。它必須要能像個人電腦一樣接收、處理、傳送數位資訊。要達到這點,它必須具備第二項條件,那就是:連線能力。裝置必須能夠連上網際網路,甚至要能和附近的其他智慧裝置溝通。

比方說,智慧家庭中的自動化窗簾會在日出時自動打開,此時將觸動室內的智慧型燈泡自動熄滅。這樣的連動不但可以引入自然光,讓室內明亮,而且可以節省能源。另一個裝置之間彼此溝通的例子是,每當電話鈴聲響起時,智慧型電視就自動調低音量,讓使用者更容易聽到電話鈴聲。

 

自動化與連線能力既是物聯網的動力,也是阻力。

家庭物聯網必將崛起

物聯網的發展已停滯多年,因為使用者發現智慧型裝置並不實用。而且這些獨特的裝置生產成本很高,因此價格居高不下。幾年前,它們可說是奢侈品,而非必需品。而且,不是每個國家都有適當的基礎建設讓人人都能連上網際網路。因此,早期的採用者皆是科技狂熱者,而且要負擔得起物聯網裝置,又要位於能夠發揮這類裝置效益的地區。

然而,物換星移,市場的風向早已轉變。現在,人們對智慧型裝置開始趨之若鶩,一方面為了追求生活上的便利,一方面也為了追求個人的生活享受。這一點,業界早已留意。

市場的風向早已轉變。現在,人們對智慧型裝置開始趨之若鶩,一方面為了追求生活上的便利,一方面也為了追求個人的生活享受。這一點,業界早已留意。

 

那些市值動輒數十億的美國矽谷科技公司,競相追逐創新,因此推出各式各樣的物聯網裝置供大眾選擇。所有企業,不論規模大小,只要是漠視這股趨勢變化者,終將被市場所遺忘。這令人聯想到當年的手機巨擘正是因為未能抓住消費者對智慧型手機的需求趨勢,最後消失在地平線上。

2018 年,全球將有超過十億個連網裝置

市場研究顧問機構 Gartner 甚至預言,至 2018 年,全球將有超過十億個連網裝置,而這數字還只包括智慧家庭而已。另外十億個裝置預料將出現在智慧商業建築,其餘的十億個裝置則將分布各種不同產業,如:醫療、交通運輸以及其他推動智慧城市運作的產業。

日本德國兩個國家的都會區都已開始擁抱智慧型家庭浪潮。在這些地區,物聯網已經深深融入人們的生活當中,成為日常必需品。

在通勤量極大的日本大都會地區,通勤族可藉由家庭自動化來善用通勤的時間並節省能源。例如,配備智慧廚房家電的公寓可在主人踏入公寓門口的同時已準備好美味的料理。

在老年人口龐大的德國,許多人都選擇配戴健康監視器。當發生緊急狀況時 (如心臟病發),裝置就能自動呼叫緊急救援。因此,這類監視器確實可以救人一命。

負起家庭物聯網的安全責任

家庭物聯網的普及終將使得市場競爭更加激烈。然而,缺乏統一的監理機構來制定這些裝置的功能與安全規範,長期下來將衍生許多安全問題。

那麼,問題是:誰應負起物聯網的安全責任。

 

物聯網的版圖正在不斷演變。隨著物聯網走出家庭、進入城市,使用者的主導權將大為削弱。

 

是不是該由物聯網的使用者來承擔?就目前而言,答案似乎如此。因為,使用者能自由選擇要在家中導入哪些裝置。他們可以在家中安裝一套智慧型家庭娛樂系統,並完全掌握每次使用時裝置會將哪些資訊傳送給廠商。使用者永遠必須在個人的隱私和安全、以及生活的舒適與滿意之間做出取捨。

但物聯網的版圖正在不斷演變。隨著物聯網走出家庭、進入城市,使用者的主導權將大為削弱。

一個很好的例子就是,新的智慧型公寓已經開始配備物聯網裝置,如:監視保全攝影機或緊急情況感應器。這些公寓的住戶將被迫必須接受一定程度的監視。想像一下,假使未來所有新蓋的大樓,不論公家或私人住宅,都必須安裝這些物聯網裝置會是什麼情況。

一旦智慧科技廣泛應用在公共建築或交通工具,使用者將完全無法掌握自己的隱私和個人安全。如此一來,安全的重擔將從使用者移轉到物聯網裝置的生產者。那麼,廠商應該先預見哪些危險才能保護其使用者和其企業本身,防範可能發生的災難?

我們將在本部落格繼續探討有關這方面的問題。

原文出處:Securing Smart Homes

攻擊舊金山市交通局的勒索病毒HDDCryptor 變種:小更新仍造成大威脅

自從在今年九月第一次寫到關於HDDCryptor的發現,趨勢科技就一直緊密追踪此一勒索病毒Ransomware(勒索軟體/綁架病毒)的演變。它在上個禮拜出現了一個新版本。根據分析,這新變種在最近被用來攻擊舊金山市交通局(SFMTA)。系統被入侵後,所有的電子售票機都出現了「停止服務」或是「捷運(地鐵)免費」的訊息。

⊙延伸閱讀: 勒索病毒造成藍色當機畫面:HDDCryptor使用商業工具來加密網路分享和鎖住硬碟

此次攻擊就跟我們在HDDCryptor的其他版本所看到的一樣,勒索病毒會植入一些工具來加密整個磁碟,同時會加密掛載的網路磁碟。趨勢科技認為此次攻擊並沒有用漏洞攻擊套件和自動安裝工具來入侵感染受害者。而是先透過針對性攻擊/鎖定目標攻擊(Targeted attack )或攻擊漏洞等作法取得對機器的存取能力,接著再手動執行惡意軟體。儘管我們沒有詳細資料去解釋這攻擊如何涵蓋SFMTA內的2000台機器,但很有可能是透過管理權限在所有設備上設定排程任務來達成。

繼續閱讀