在出現勒索訊息之前,勒索病毒暗中做的四件事

勒索病毒:幕後的運作

勒索病毒 Ransomware (勒索軟體/綁架病毒)已成為快速散播的瘟疫,不僅危害一般的使用者,還影響公家機關或企業。從失去對系統檔案的存取能力到損毀聲譽,勒索病毒利用恐嚇戰術脅迫受害者支付贖金。這類惡意軟體會如此猖獗的原因是受害者往往不知道自己已經中毒,直到他們看到勒贖訊息突然出現在螢幕上,但那時為時已晚。

最近韓劇超夯的,許多人喜歡網路追劇,提醒您別遇到勒索病毒,以上為粉絲在趨勢科技粉絲頁留言
最近韓劇超夯的,許多人喜歡網路追劇,提醒您別遇到勒索病毒,以上為粉絲在趨勢科技粉絲頁留言

對於勒索病毒的報導通常聚焦於如何抵達系統和其所帶來的破壞性後果,在受害者看到勒贖通知之前,這中間發生了什麼事?

 

1.往往從一個惡意連結或附件開始,受害者親手將電腦陷入危機

不知情的受害者點入連結或下載有害檔案的瞬間打開了讓惡意軟體進入系統的大門。它將自己複製到使用者的資料夾內,通常是以可執行檔的格式。在Windows環境,惡意軟體往往將檔案寫入%APPDATA%或%TEMP%資料夾,原因是作業系統允許一般使用者寫入這些資料夾而無須管理員權限。接著勒索病毒會開始悄悄地在背景執行。

如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床,紐約時報、BBC、MSN 皆曾中招。台灣也傳出相關案例。
如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床,紐約時報、BBC、MSN 皆曾中招。台灣也傳出相關案例。

2.連線到特定網站收發資訊

一旦惡意軟體進入系統,它會連上網路並且聯絡伺服器,在這個階段,勒索病毒跟命令和控制(C&C)伺服器發送和接收設定檔。在最近所看到Pokemon Go App的 Pogotear寶可夢勒索病毒案例裡(趨勢科技偵測為RANSOM_POGOTEAR.A),惡意軟體連到特定網站來收發資訊。

這隻皮卡丘抓不得!勒索病毒也搶搭寶可夢《Pokemon GO》抓寶熱潮
這隻皮卡丘抓不得!勒索病毒也搶搭寶可夢《Pokemon GO》抓寶熱潮

 

 

抓寶先抓毒 即刻免費下載 PC-cillin 雲端版,抽行動電源
>> 抓寶先抓毒 即刻免費下載 PC-cillin 雲端版,抽行動電源

 

3.搜尋特定類型的檔案進行加密 繼續閱讀

從六隻常見勒索病毒訊息,分辨您感染了何種勒索病毒

自從勒索病毒 Ransomware (勒索軟體/綁架病毒) 首次出現以來,其數量已翻了數倍,而且隨著新的家族和變種不斷出現,再加上原有的家族亦持續更新,這所有的跡象都顯示勒索病毒的問題仍在持續擴大當中。勒索病毒之所以能夠得逞,很重要的一個原因是它能讓受害者心生恐懼,因此很容易乖乖就範,照著勒索訊息的指示支付贖金。

勒索訊息的內容大致包含付款資訊和威脅內容:經由什麼方式付款、該付多少、不付的後果會怎樣等等。但是,受害者顯然想知道更多資訊,可能的話最好知道如何防範勒索病毒,或者,是否有辦法移除勒索病毒,例如使用免費解密工具。不過,首先您必須知道您感染的是什麼勒索病毒,以下我們將介紹x六個最常見的勒索病毒以及勒索訊息來幫助您跨出這第一步。

  1. CERBER:會逐字唸出勒索訊息的內容,語音提醒受害者支付贖金
  2. CryptXXX:加密檔案類型多達 200 多種,新變種會鎖住電腦螢幕
  3. 奪魂鋸Jigsaw:每隔一小時就會刪除一批檔案,過了 72 小時之後永久刪除
  4. Locky:迫使醫院緊急將所有電腦關機,改用紙本作業
  5. RAA:不僅會偷密碼,還會偷比特幣錢包
  6. MIRCOP: 做賊喊抓賊的,說自己是受害者的

 

當 RAA 第一次亮相時,最令人矚目的是它使用 JScript 來躲避偵測,並且讓自己更容易透過編碼來隱藏。進入系統之後,RAA (趨勢科技命名為 RANSOM_JSRAA.A) 會搜尋下列副檔名的檔案:.doc、.xls、.rft、.pdf、.dbf、.jpg、.dwg、.cdr、.psd、.cd、.mdb、.png、.lcd、.zip、.rar、.csv 等等,接著將檔案加密,然後在檔名末端加上「.locked」副檔名。除此之外,RAA 還會在系統植入專門竊取資料的 FAREIT (亦稱為 Pony) 惡意程式,它會搜尋系統上儲存的 FTP 用戶端和其他檔案管理軟體、電子郵件用戶端、網站瀏覽器、甚至 比特幣(Bitcoin) 錢包的帳號密碼。蒐集到的資料會傳送至某個幕後操縱 (C&C) 伺服器。其勒索訊息是以俄羅斯文撰寫,內容提供了支付贖金的步驟,贖金最高 0.39 比特幣 (約合 7308 台幣)。

CERBER:會逐字唸出勒索訊息的內容,語音提醒受害者支付贖金

Cerber (趨勢科技命名為 RANSOM_CERBER.A) 最明顯的特徵是具備語音功能,會逐字唸出勒索訊息的內容,以說話方式不斷提醒受害者支付贖金。Cerber 犯罪集團要求的贖金為 1.24 比特幣(根據 2016 年 8 月 23 日的匯率約合 23,238 台幣),付款期限是七天,過了期限之後贖金將加倍。正如其勒索訊息所說,受害者的照片、資料庫以及其他重要文件都已遭到加密,受害者電腦上所有下列副檔名的檔案都會遭到加密:.doc.docx.jpg.pdf.pps.pptm.rar.txt.xls.mov.mp3.config.css.csv.dds.flv.html.key.lit.mov.mp3.mp4.mpg,而且副檔名會改成「.cerber」。

CryptXXX:加密檔案類型多達 200 多種,新變種會鎖住電腦螢幕

當 CryptXXX (趨勢科技命名為 RANSOM_WALTRIX.C) 一開始被發現時,它是從早期勒索病毒 Reveton 所衍生而來,經過多次改版和改頭換面之後,現在它已變得相當難以破解。最新的版本不僅會將檔案加密,某些 CryptXXX 變種還會將電腦螢幕鎖住,讓使用者根本無法使用電腦 (但這樣的作法似乎有點適得其反,因為使用者不能使用電腦就看不到勒索訊息)。CryptXXX 已知可加密的檔案類型有 200 多種,包括:.doc、.docx、.jpg、.pdf、.pps、.pptm、.rar、.txt、.xls、.mov、.mp3、.config、.css、.csv、.dds、.flv、.html、.key、.lit、.mov、.mp3、.mp4 以及 .mpg 等等,加密之後副檔名會變成「.crypt」。有趣的是,病毒的作者在某次更新時突然決定「大發慈悲」,給受害者更長的期限來支付 500 美元的贖金,但期限過後贖金依然會加倍。

 


PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制,可預防檔案被勒索軟體惡意加密

Windows10Banner-540x90v5

趨勢科技PC-cillin雲端版 ,榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦,採用全球獨家趨勢科技「主動式雲端截毒技術」,以領先業界平均 50 倍的速度防禦惡意威脅!即刻免費下載


 

奪魂鋸Jigsaw:每隔一小時就會刪除一批檔案,過了 72 小時之後永久刪除

繼續閱讀

從論壇受駭事件,看熱門網路平台的漏洞攻擊

最近的遭受駭客攻擊的Ubuntu列王的紛爭(Clash of Kings)、戰甲神兵(Warframe),還有最新一起的迪士尼Playdom都具備了兩個共通點,都是使用vBulletin(一個為線上社群設計的網路論壇軟體),它們還有一個共通的特點:都被駭了。雖然這些事件並沒有關聯,報告指出每起攻擊背後的駭客都可以取得類似的詳細資料 – 用戶名稱、電子郵件地址、IP地址和兩款熱門遊戲的Facebook個人檔案資料。

論壇軟體:一個被低估的危險性

最近的這些論壇受駭事件顯示熱門網路平台仍然可能遭受基礎的漏洞攻擊。不幸的是,儘管多數網路平台的外觀感覺都已經大幅改變,要管理論壇軟體仍然是個艱鉅的挑戰,因為這些平台都是公開使用,意味著大多數的資料庫仍然容易受到特定類型的攻擊。

論壇軟體一向都很難加以防護。它們需要處理大量傳入的使用者輸入,如搜尋和貼文,需要SQL資料庫來儲存所有之前的文章,通常都是由小型開發團隊所為戶,所以疏漏有時是難以避免。升級論壇軟體通常是件不簡單的任務,而且更新程式需要時間才會發布,這可能是為什麼大多數管理員不會立刻更新。

在列王的紛爭(Clash of Kings)被駭事件中(可能還有其他也是),駭客攻擊了一個未更新修補程式的漏洞,據說是因為列王的紛爭論壇使用的是2013年的舊版本vBulletin,而且沒有使用任何加密。在Ubuntu和戰甲神兵(Warframe)被駭事件中,攻擊者利用了SQL注入漏洞,這也是駭客們最喜歡的工具之一。輕微的疏忽,如使用舊版或過時的軟體,或是沒有更新修補程式都會讓危險放大。

在2016年6月,駭客從超過一千個熱門論壇竊取了數萬名帳號,這些論壇都是架設在VerticalScope,一家多倫多媒體公司。根據入侵外洩通知網站LeakedSource,資料外洩的範圍可能已經大於原先的預期。再一次,連串駭客事件顯示受駭網站沒有達到今日安全環境的要求:更強的加密和持續更新修補程式以解決已知的安全漏洞。

 

被竊的資料怎麼了?

使用者的認證資料,如使用者名稱和密碼是攻擊者的共同目標,並且能為進一步的攻擊和詐騙提供相當長期的價值。網路犯罪分子會利用資料的金融價值,貨幣化他們所竊取的資料 – 多寡取決於資料的類型。例如,在巴西地下市場,市內電話號碼清單可以賣到317美元到1,931美元之間,而一組電子郵件登入憑證可以在中國黑市賣較便宜的價格 – 163美元。工作和個人電子郵件地址可以在俄羅斯地下市場賣到高達200美元。

[延伸閱讀:竊個人資料的全球黑市]

繼續閱讀

Google 新一版的Chrome 將封殺Flash

在即將到來的九月中,Chrome版本53會開始有效地封鎖Flash。根據Google的Chrome部落格,Google計劃在今年年底在新版Chrome瀏覽器將Adobe Flash Player擋在門外。Google表示他們計劃在12月發表Chrome版本55,用HTML5取代Flash,這是個輕量而無須外掛程式的Adobe多媒體軟體平台的替代方案。此舉可以提高安全性,並且降低電力消耗和網頁載入時間。

在2015年,Google推出「智慧化暫停(intelligent pausing)」 ,Chrome的點擊後載入功能,可自動停止內容播放(包括了Flash動畫)以節省資料傳輸和電力。內容通常是廣告或網站側邊欄的自動播放影片,這些會拖慢網頁載入且被認為較無關緊要。自動暫停功能大大提升網頁瀏覽速度和顯著地降低電力消耗。但還是一種選擇性的作法,因為被暫停的內容可以用滑鼠點擊恢復。有了這功能,Google表示,「你會注意到的唯一變化是更加安全,更節省電力的瀏覽體驗。」

隨著Flash的普及,它在十幾年來也長期飽受批評。Apple公司在其行動設備不支援Flash就開始了它的下滑之路,而未曾中止的安全問題和大量耗用設備資源也促使網站將圖像和動畫從Flash轉成HTML5

 

[延伸閱讀:Adobe Flash的難題:積重難返]

Flash已經出現過許多安全問題,雖然這也有可能是來自於它受歡迎的程度和普及性。由於支援該平台是熱門瀏覽器功能的一部分,從微軟的IE到Mozilla的Firefox和Google的Chrome,它已經成為普遍的漏洞攻擊目標,反復地將使用者暴露在威脅前。在2015年有許多Flash漏洞(包括兩個零時差漏洞)在一年的前幾個星期就被發現。趨勢科技在一月底回報了第一個,其會影響微軟Windows的Adobe Flash Player使用者。在二月初,另一個Flash的零時差漏洞被發現,這次是用在惡意廣告繼續閱讀

勒索病毒侵台居亞洲第二,僅次日本

APT 攻擊猖獗,資安組織戰考驗企業資安戰力 掌握資安主控權,以「人」為核心,三大重點建立強大資安防禦

【台北訊】全球資安領導品牌趨勢科技,今日(25)舉辦資安界年度盛會-CLOUDSEC 2016雲端企業資安高峰論壇,面對全球資安危機,趨勢科技台灣暨香港區總經理洪偉淦現身分享台灣資安環境現況及未來趨勢,首度來台的趨勢科技網路安全策略總裁Eduardo E. Cabrera強調以「人」為企業內部資安防護核心之重要性,及資安防禦三大重點:建立資安防護策略與規範、資安事件偵測與即時監控機制建立、成立事件應變小組並打造事件處理SOP。會中同步邀請到全球頂尖資安顧問美國聯邦調查局(FBI)督導特別探員(SSA) Timothy Wallach分享全球資安犯罪情勢,協助企業打造最完善的資安防禦策略藍圖,掌握資安主控權!

圖說:趨勢科技CLOUDSEC 2016媒體分享會,邀請到全球頂尖資安顧問趨勢科技網路安全策略總裁Eduardo E. Cabrera、趨勢科技台灣暨香港區總經理洪偉淦及美國聯邦調查局(FBI)督導特別探員(SSA)Timothy Wallach與會
圖說:趨勢科技CLOUDSEC 2016媒體分享會,邀請到全球頂尖資安顧問趨勢科技網路安全策略總裁Eduardo E. Cabrera、趨勢科技台灣暨香港區總經理洪偉淦及美國聯邦調查局(FBI)督導特別探員(SSA)Timothy Wallach與會

台灣偵測到的勒索病毒高達2百多萬!為全亞洲第二高,僅次日本

雲端服務、行動裝置與物聯網等科技進步,使全球資安威脅層出不窮。根據趨勢科技偵測統計報告指出註1,每5分鐘至少攔截到80萬個惡意網址、垃圾郵件或惡意軟體產生,更有1,800個新的網路威脅產生並散佈到網域中,整體資安環境面臨巨大挑戰!趨勢科技觀察,近年猖獗的網路駭客已逐漸運用勒索病毒 Ransomware (勒索軟體/綁架病毒)針對企業進行攻擊,以謀得較高的勒索利潤。根據趨勢科技研究報告顯示註2,截至2016年第二季,台灣地區所偵測到的勒索病毒便高達2百多萬!為全亞洲第二高,僅次於日本。 繼續閱讀