盤點 2016 年全球針對政治團體的高調攻擊活動

縱觀歷史,具有政治動機的威脅份子會有意地影響輿論來達到自己的目的。而近來網際網路的普及也讓這些威脅分子拿到了新工具。他們不僅利用社群媒體來操弄新聞,散佈謠言和假新聞,同時也積極地入侵政黨團體。

政黨團體對這些想造成傷害的威脅分子來說是相對容易的目標。從本質上看,政黨團體必須要跟成員、媒體和公眾坦誠溝通。在忙亂的選舉期間,政黨團體也特別容易遭受間諜活動和網路攻擊,因為安全防禦措施在此時可能會被視為影響運作的累贅。但近來在2016年的事件顯示出安全防護對政黨團體來說有多重要。

2016年,至少有八起針對政治團體的高調攻擊活動

在2016年,我們至少看到八起針對政治團體的高調攻擊活動,發生在美國、德國、烏克蘭、土耳其和蒙特內哥羅等國家。這些攻擊不只是為了進行間諜活動,而是要積極地干預政治程序和影響公眾輿論。維基解密和主流媒體都被利用來讓廣大人民知道被針對政治團體所可能涉及的醜聞。竊取的資料被發布了,但資料真實性通常沒有經過證實。這讓威脅份子有空間來為了自身利益變造竊取資料,然後發表時假裝資料真實而沒有經過變動。而發布精心挑選而未經變造的資料可以讓威脅分子更好地影響公眾輿論,往有利他們利益的方向發展。

在2016年,據稱美國民主黨成為Pawn Storm的目標,這駭客團體已知曾對俄羅斯的個人和團體造成威脅。在2014年到2016年間,Pawn Storm至少對十數個國家的軍隊發動攻擊活動。Pawn Storm的活動顯示出地緣是國內外間諜活動和其產生影響的主要動機,而非金錢利益。

民主黨成員的電子郵件被竊是一個例子。這些電子郵件由維基解密和dcleaks[.]com流出,後者有可能是Pawn Storm所控制的網站。我們可以確認在2016年3月和4月,Pawn Storm對美國民主黨各高層成員的企業和免費網路郵箱發動一波積極的憑證網路釣魚攻擊活動。

在競選期間,數十名政界人士、民主黨全國委員會(DNC)工作人員、演說稿作者、資料分析師、前歐巴馬競選活動人員、希拉蕊競選活動人員,甚至是企業贊助者都曾被多次鎖定。我們知道是因為我們從2014年開始就一直在追蹤Pawn Storm的憑證網路釣魚攻擊活動。我們獲取對數以萬計網路釣魚網址的大量點擊統計資料,並曾在2015年發表對該資料的早期分析。

在2016年6月,趨勢科技發現一起針對民主黨國會競選委員會(DCCC)網站的嚴重駭客事件呈現和Pawn Storm駭客集團類似的行為模式。我們是此入侵事件的最早期發現者之一,並立即對美國當局披露。入侵問題在我們回報問題的數小時後就解決,DCCC網站也已經經過清理。

除了維基解密,威脅分子也試圖利用主流媒體來影響公眾輿論,並對政黨團體造成傷害

Pawn Storm利用主流媒體來讓普羅大眾知道他們的惡意攻擊已經有例可循。數家主流媒體已經證實它們被提供Pawn Storm竊取資料的獨家取得權。這顯示除了維基解密,威脅分子也試圖利用主流媒體來影響公眾輿論,並對政黨團體造成傷害。 繼續閱讀

檢視義大利知名駭客事件惡意軟體EyePyramid

義大利當局(與美國聯邦調查局合作)逮捕了兩名義大利駭客,原因是他們竊取國家機密和非法網路入侵,造成數以萬計電子郵件被駭,嫌犯以「魚叉式網路釣魚(Spear Phishing)」夾帶EyePyramid惡意軟體,入侵政府官員、銀行家、律師、企業家等身居國家要位成員的電子郵箱。這惡意軟體得手超過87 GB的不法機敏資料,包括使用者名稱、密碼、瀏覽資訊跟檔案系統內容。

感染鏈: 從律師事務所開始

根據現有資訊和趨勢科技對樣本的初步分析來看,此魚叉式釣魚攻擊的目的是要入侵電子郵件帳號,特別是數家律師事務所的律師和合夥人。駭客誘使目標開啟惡意電子郵件附件檔。一旦打開,這惡意附件檔(也就是上面所提到的惡意軟體),會啟動其惡意行為並將自己用隨機名稱加上.exe副檔名複製到系統上。底下是我們所看到的一些已知名稱(其他版本的惡意軟體可能會加以改變):

圖1、所用的檔案名稱

 

初步樣本分析

該惡意軟體最初看起來是用.NET(> = 4.5.x)編寫的程式碼,深入研究則發現其他事情。在標準混淆(可以用現成工具來進行逆向工程),反組譯原始碼的敏感部分被進行混淆,這讓偵測和分析變得更加棘手。例如關於命令和控制伺服器的網址及MailBee的授權碼(據稱用攻擊者的名字購買)等資訊經過重度混淆,如下面的程式碼節錄所示:

圖2、混淆過程式碼範例

繼續閱讀

2017 年 1 月份 Microsoft 和Adobe 資安更新評析

新的一年,您是否也立下新的願望,要扎扎實實地做好每次的系統修補呢?就讓我們一起來看看 2017 年 1 月 Microsoft 和Adobe 分別發布了哪些資安更新。

2017 年 Microsoft 首次更新 

在經過了刷新紀錄的 2016 年之後,微軟 2017 年的首次資安更新只包含了四份資安公告,分別解決了 Edge 瀏覽器、Office 軟體和 Windows 系統的三個漏洞;第四份公告則是有關 Adobe Flash 軟體。若說這次的更新微不足道,其實並不為過。但經過了 2016 年的風風雨雨之後,相信所有系統管理員對於這次只有小幅更新應該都非常感到慶幸。

若是硬要分出輕重緩急的話,那麼系統管理員應該優先套用的是 Edge 瀏覽器的修補,因為它解決了一個已知公開的跨網域隱碼攻擊。此外, LSASS 的安全公告也是個已知公開的漏洞,可能讓未修補的系統遭到阻斷服務 (DoS) 攻擊。此外,這份公告也提醒了我們必須封鎖網路邊境上的 TCP 389 連接埠,也就是 LSASS 預設的連接埠。雖然這只不過防堵了一個小小的缺口,但每一分防範都很重要。接下來該修補的是 SharePoint 和 Word 2016 當中可能讓駭客從遠端執行程式碼的重大漏洞。此漏洞有二點頗耐人尋味:首先,Office 的漏洞通常會歸類為「重要」而非「重大」,因為要讓使用者開啟某個檔案,需要經過多次對話方塊,但該漏洞卻歸類為「重大」。其次,Office 資安公告所揭露的問題,只有當可能在 Outlook 預覽窗格當中觸發的漏洞,才會升級至「重大」等級,但此次並非如此。最後一個該套用的是 Microsoft 自行開發的 Adobe Flash 修補程式。除此之外,本月就沒有其他資安公告了。

是的,您沒看錯,本月 Internet Explorer 沒有新的資安公告。或許有人會懷疑,這次資安公告數量這麼稀少是否跟 Microsoft 的測試週期有關,還是因為 Microsoft 刻意在移轉至Security Update Guide (資安更新指南) 之前刻意有所保留。不過,儘管該公司發布的資安修補資訊持續減少,但我們仍會盡可能針對每個月的資安更新提出詳盡的分析。 

2017 年 1 月 Adobe 修補程式

新的一年開始,Adobe 就發布了 Flash 和 Reader 的更新。在 Acrobat 與 Reader 方面此次共修補了 29 個漏洞,其中最嚴重的有可能讓駭客在受害系統上執行程式碼。我們的 ZDI 漏洞懸賞計畫也有幸發現了其中的13 個漏洞。在 Flash 方面,此次修正了 13 個漏洞。其中最嚴重的漏洞跟 Reader 一樣,也會讓駭客在受害系統上執行程式碼。所幸,此次 Adobe 修正的漏洞目前並未出現任何已知的攻擊。  繼續閱讀

針對人事部的勒索病毒: GoldenEye (黃金眼) ,夾帶 PDF 或 Excel假履歷誘點擊

00_去年三月趨勢科技研究團隊發現一個俗稱的「Petya」惡意程式(趨勢科技命名為RANSOM_PETYA.A﹚勒索軟體 Ransomware ),透過發送電子郵件來散布一封看似要應徵某項工作的電子郵件,信件內含一個連向 Dropbox 雲端空間的連結,點選連結後會發現內含兩個檔案:一個是偽裝成履歷表的自我解壓縮執行檔,另一個是冒充「求職者」的照片檔可讓收件人用來下載求職者的履歷表。

該病毒會讓電腦出現藍色當機畫面,並且在電腦重新開機時,出現不是熟悉的 Windows 開機畫面,而是一個由 $ 組成的骷髏頭閃爍的紅色畫面。

 

上個月GoldenEye (黃金眼) 勒索病毒 Ransomware (勒索軟體/綁架病毒) (趨勢科技命名為 RANSOM_GOLDENEYE.A)發動了一波波的攻擊,尤其特別針對企業的人事部門。GoldenEye 其實是 Petya (RANSOM_PETYA) 和 Mischa (RANSOM_MISCHA) 兩個勒索病毒的合體。

假冒求職信,偽裝履歷表的PDF 檔案,會覆寫系統硬碟的主要開機磁區 (MBR)

GoldenEye 如同 Petya 和 HDDCryptor 一樣,會覆寫系統硬碟的主要開機磁區 (MBR),此外也會假冒成求職信件,且信件同樣是挾帶了偽裝成履歷表的惡意 PDF 檔案與暗藏惡意巨集的 Excel 試算表 (XLS)。

圖 1:GoldenEye 假冒成履歷表的 PDF 檔案 (左) 與挾帶 XLS 檔案的垃圾郵件 (右)。

繼續閱讀

【一封郵件騙走一棟房子 】 變臉詐騙(BEC)常用的三種詐騙手法

變臉詐騙(BEC)手法對駭客來說是技術門檻低且獲利性極高的企業詐騙手法,詐騙平均損失金額統計高達 400 萬台幣(相當於一棟小坪數房子)。據估計,近兩年來變臉詐騙的不法獲利總金額高達 30 億美元,對於變臉詐騙(BEC)此類低成本高收益的攻擊,將是台灣企業於 2017 年度仍極需高度重視的資安威脅風險。

繼續閱讀