當你落入網路釣魚陷阱,駭客就會幫你代管Apple ID

網路詐騙份子看來找到了個新的關注目標:Apple ID。在最近幾天,趨勢科技看到想要竊取Apple ID的網路釣魚(Phishing)網站大量的增加。

apple

當檢視這些網址時,趨勢科技注意到這些網路釣魚(Phishing)的網址都有著統一的模式。它們都位在資料夾~flight底下。有趣的是,如果嘗試去直接瀏覽該資料夾,就會出現底下網頁:

如前所述,該資料夾包含了偽裝得非常像的Apple ID登錄網頁:

我們已經確認了一百一十個淪陷的網站,都代管在IP地址 – 70.86.13.17,被註冊在休士頓的網路服務供應商。幾乎所有的這些網站都還沒有被清除乾淨。

上圖顯示了針對Apple ID的網路釣魚(Phishing)在增加。我們看到了這些攻擊不僅是針對美國使用者,同時也針對了英國和法國的使用者。某些版本的攻擊不僅會要求使用者提供Apple ID登錄資料,也會要求他們的帳單地址和其他個人資料和信用卡資訊。最終會被導到一個顯示存取已經恢復的網頁,不過資訊也被偷了。可以在下圖看到它是如何要求提供信用卡資訊:

使用者可能是透過垃圾郵件(SPAM)被導到這些釣魚網站,它會顯示使用者的帳戶將到期,除非提供資訊接受審查,這不僅會讓使用者去點入連結,也會讓他們更願意去提供一些資料。

有一種方法可以識別這些網路釣魚(Phishing)網站,就是這些假網站不會出現任何跡象顯示你位在安全的網站(像是出現在工具列的鎖頭和「Apple Inc. [US]」),你可以看看正常網站的截圖:

繼續閱讀

目標攻擊活動隱匿在SSL通訊背後

作者:Nart Villeneuve(資深威脅研究員)

使用加密通訊像是SSL,加上巧妙地利用新聞事件作為社交工程陷阱( Social Engineering)的誘餌,就是滲透入侵跟持久隱匿在目標網路的完美組合。

目標攻擊沒過多久就開始利用波士頓馬拉松事件作為誘餌,誘騙使用者去開啟惡意附件檔案。我們發現有封電子郵件帶有惡意附件,檔名為「The Prayer.DOC」,敦促收件者為這慘劇的受害者祈禱。

圖一、利用波士頓馬拉松事件的樣本電子郵件
圖一、利用波士頓馬拉松事件的樣本電子郵件

 

上述附件檔案(MD5:5863fb691dd5b3002c040fc7c535800f,被偵測為TROJ_MDROP.ATP),會攻擊漏洞CVE-2012-0158,將惡意執行檔 – 「IEXPLORER.EXE」(MD5:74a8269dd80d41f7c81e0323719c883c)植入目標電腦內。

這惡意軟體被偵測為TROJ_NAIKON.A,透過SSL(端口443)連到網域 – gnorthpoint.eicp.net,之前解析為IP – 220.165.218.39,現在解析為IP – 50.117.115.89

它的憑證內填入的是假資訊,包括身份:「donc」,和組織:「abc」。

圖二、使用假資訊憑證的截圖

繼續閱讀

超過百個假鋼鐵人3(Iron Man3)影片串流網站流竄,網路廣告不斷跳出,更藉臉書散播詐騙個資問卷

不想排隊去看鋼鐵人3(Iron Man3)?想在網路上找盜版下載或是免費串流影片?熱門電影鋼鐵人3已成為有心人士騙取個資的利器。趨勢科技發現網路上已經出現至少一百多個號稱提供鋼鐵人3影片串流的網站,要求使用者下載特定影片播放軟體,一旦下載完成,將會主動播放廣告,讓使用者不堪其擾,並且網路犯罪者也利用臉書來大量散播「免費鋼鐵人3串流視訊」的廣告連結,誘導使用者至問卷調查詐騙網站,騙取使用者個資。

 鋼鐵人3輔上映即造成全球熱潮,有心人士立刻透過網路散播免費的鋼鐵人3影片串連,根據趨勢科技病毒防治中心 Trend Labs 觀察,短短一周已經發現超過一百個號稱可以提供鋼鐵人3免費影片串連的網站,一旦連上這些網站,使用者會被要求下載視訊安裝程式,此檔案的確是如駭客所言的影片播放程式,但這個影片播放程式在之前曾被偵測為會主動播放廣告,除了讓網友不勝其擾之外,更不排除為駭客植入惡意軟體的跳板,造成網友上網安全的潛在疑慮。

上網搜尋鋼鐵人3(Iron Man3),當心找到麻煩
上網搜尋鋼鐵人3(Iron Man3),當心找到麻煩

我們簡單地用Google來進行查詢,發現有一百多個網站號稱提供了鋼鐵人3的影片串流。

一旦連上這些網站,就會要求使用者下載一個視訊安裝程式。根據趨勢科技的分析,這檔案的確是如他們所說的影片播放程式。這個影片播放程式在過去已知會侵略性的播放廣告,只是目前我們沒有看到這行為。此外,這播放程式也可以被用來下載和觀看色情影片。

不過這些正常程式還是有可能在之後被更換成惡意軟體。所以如果我們很快就發現有惡意軟體網頁偽裝成鋼鐵人3串流播放或是下載網頁也不會感到訝異。

繼續閱讀

防禦APT 攻擊不只需要防火牆,IPS和防毒軟體

 攻擊者利用合法使用者的身分認證和信任關係,持續待在你最敏感網路內很長一段時間,可以自由自在地去通過鬆散的安全技術。防火牆告訴我一切正常,IPS告訴我一切正常,防毒軟體告訴我一切乾淨;所以一切就都正常,對吧?錯了,這種短視的安全作法就是讓APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)/目標攻擊在世界各地如此成功的原因之一。

 

 作者:趨勢科技資深安全分析師Rik Ferguson

曾經,安全技術所必須避免的重點就是產生一連串的事件通知。將系統調整到只會去通報已經確定的惡意攻擊事件是首要任務。你的防火牆必須非常肯定這些流入封包不屬於已建立的網路連線,或是入侵防禦系統(IPS)需要能夠明確指出這些封包是在嘗試做漏洞攻擊才能提出警報。

在廿世紀,甚至是廿一世紀初,我們習慣防禦就是將一切弄得清清楚楚;防火牆告訴我一切正常,IPS告訴我一切正常,防毒軟體告訴我一切乾淨;所以一切就都正常,對吧?錯了,這種短視的安全作法就是讓針對性攻擊在世界各地如此成功的原因之一。

在現實裡,那句見樹不見林的古諺說得再生動不過了。我們太過於注重「已知的惡意」,因為想要更加精簡和集中分析而對「正常」的處理,讓我們忽略脈絡而陷於危險中。

想像一下,在你伺服器機房外的走廊上一個安全監視器照到一個人,讓我們叫他戴夫。利用步態辨識和臉部識別都可以確認戴夫的身分,系統甚至可以指出他穿著清潔工的制服,這很不錯,因為戴夫是名清潔工。戴夫接近伺服器機房大門,使用他的NFC卡去開門,因為安全監視器和門禁系統已經進行連線,所以可以打開。在伺服器機房內的第二個監視器也確認的確是戴夫走進門來,一切都很好。

根據短視模型,這些事件都將被棄用,放進即將被清除的日誌資料夾內,因為「這裡沒什麼可看的」,但是這些事件所呈現出的脈絡對我們想監視的事情非常珍貴……

分隔線

如果戴夫在伺服器機房內不是在做清潔地板這類已知良好的行為,而是坐在一台伺服器前開始敲鍵盤呢。這顯然不是件好事,應該在某處敲響警鐘。但如果我們去掉我們聰明的大腦所記得和關連出的所有脈絡,那還剩下什麼?一個人在伺服器機房使用電腦?警備隊退下,這事件當然也屬於「這裡沒什麼可看的」資料夾。 繼續閱讀

「我不想將我所有的資料都放入雲端。」你為何害怕雲端技術?

作者:Ryan Delany

身為趨勢科技WorryFree Business Security服務的產品行銷經理,我聽到許多對這產品的反對聲音,尤其有許多是針對雲端技術的恐懼。我從客戶和合作夥伴所聽到的一些例子是:

「如果我的網路斷線,那我就不安全了。」

「我不想將我所有的資料都放入雲端。」

「我不想將所有頻寬都浪費在將所有東西上傳到雲端掃描。」

這些日子以來,一般人已經開始越來越了解雲端了,感謝GoogleAppleNetflix和其他消費性產品公司花了大把錢在行銷上。他們幫助客戶去了解雲端相關產品,以及這些產品如何讓客戶享用。幸運的是,有在家裡使用這些雲端服務的中小企業老闆和員工都對雲端技術比較認識。

我不希望深入去解釋技術,但這篇文章的目的是要幫助你了解WorryFree Business Security的架構。這是個端點安全解決方案,特別為中小企業(SMB)打造,好在Windows,Mac和Android三個平台上去保護你和你的資料。這解決方案有兩個主要組成部分。

第一個組成部分,我稱之為管理主控台。這是當你身為管理者時,用來管理產品、設定策略、查看日誌檔、跑報表以及進行任何產品相關例行工作的地方。這個管理主控台實際上位在高度安全的趨勢科技資料中心內。

第二個組成部分稱之為客戶端。它需要被安裝到每個設備上(Window、Mac、Android),並負責提供設備上的實質保護。它會執行檔案掃描,封鎖發現的惡意軟體,並將結果回報給管理主控台。

「如果我的網路斷線,那我就不安全了」

現在你了解它的架構,可以輕易地的發現這說法並不成立。理論上,如果所有的安全性都是由實際安裝在設備上的客戶端所提供,怎麼可能因為沒有網路連線就不安全了呢?所以答案是,你並不會不安全。產品內所需要用來保護你設備的一切都在設備上,不需要連接網路。

「我不想將我所有的資料都放入雲端」

由於管理主控台實際上位在雲端,所以會有一定數量的資料放在雲端。表面上這疑問是成立的,不過這取決於你如何定義「我所有的資料」。唯一會存放在雲端的資料是由客戶端所生成的日誌資料,還有身為管理者的你所添加到主控台的任何額外評論/留言。

這產品不會將任何現有資料,像是文件、電子表格、檔案等拷貝複製到雲端。所以底線就是,你的東西都不會被移動到雲端。我們只會將偵測到惡意軟體的相關資料,像是時間、電腦名稱、病毒名稱以及相關元資料(metadata)儲存到雲端。

「我不想將所有頻寬都浪費在將所有東西上傳到雲端掃描」

回到之前架構的討論,我提到所有的保護都是由第二個組成部分,實際位在設備上的客戶端所提供。所有的掃描、分析和修復都在設備上完成,所以這說法並不成立。

這產品確實有一些創新技術,像是會利用雲端更新去進行智慧掃描的主動式截毒技術。不過相反地,這些功能實際上是讓頻寬用得更少,而非更多。正在掃描的檔案永遠不會離開設備,也不會上傳到任何地方,包括雲端。

繼續閱讀