趨勢科技產品 - 資安趨勢部落格

< Targeted attack >「Cuckoo Miner」侵占合法電郵,攻擊銀行機構

2015 年 10 月 02 日2015 年 10 月 27 日趨勢科技 TrendMicro

一般我們在分析一項威脅時，都會將其惡意程式當成元凶或主要對象來分析。然而，研究其他相關的元件卻可以看到威脅的全貌，反而能比單獨研究二進位程式碼掌握更多的細節。

唯有將目光放遠，超越惡意檔案，才能看出一群原本不相干的網路釣魚（Phishing）郵件，其實都是同一起肆虐全球銀行和金融機構的攻擊行動。駭客利用其他銀行的電子郵件帳號來發送網路釣魚（Phishing）郵件到他們鎖定的銀行，企圖進入該銀行的電腦，進而加以遠端遙控。我們將這起攻擊行動稱為「Cuckoo Miner」(杜鵑鳥礦工)。因為駭客侵占合法電子郵件信箱的手法，很像杜鵑鳥欺騙別的鳥來養大它們的雛鳥、進而鳩佔鵲巢的方式很像。

除了攻擊行動本身的資料之外，我們也發現這起行動和其他攻擊有所關聯： HawkEye、CARBANAK 以及 GamaPOS。

Cuckoo Miner 攻擊行動的第一步

想像一下以下情境：某家大型金融機構的出納櫃台人員 Bob 收到了一封電子郵件。這封電子郵件乍看之下一切正常，內文只有一行，接著就是另一家銀行的簽名資料，並且附上一個 Microsoft Word 文件附件檔案，叫做「ammendment.doc」。

圖 1：「垃圾」電子郵件。

Bob 開啟了這份 Word 文件，裡面寫道：「Hey….」 Bob 看了一頭霧水，索性關掉 Microsoft Word 文件並刪除這封郵件，接著繼續查看其他郵件。但他卻不曉得，光是開啟這份 Microsoft Word 文件，他就已經讓他的電腦 (以及整個分行) 的門戶洞開。

Bob 的情況並非特殊案例，這其實是一起大型的針對性攻擊/鎖定目標攻擊(Targeted attack )。

趨勢科技主動式雲端截毒服務 Smart Protection Network全球情報威脅網路在今年 8 月 4 日偵測到至少有 17 個國家 (包括印度、瑞士、美國等等) 境內的電子郵件伺服器 (不論在企業內或在雲端) 所屬的銀行和金融機構員工都收到了同樣的電子郵件。這些受害的機構皆位於歐洲、中東、非洲 (EMEA) 以及亞太地區 (APAC)。這些電子郵件只針對一群特定的收件人，而且只在該日發送以避免被察覺。

圖 2：受害伺服器分布地理位置。

使用多重 RAT 遠端存取工具

該行動使用的 Microsoft Word 文件會攻擊 CVE-2015-1770 漏洞，進而在系統內植入另一個檔案，該檔案會另外啟動一個「svchost.exe」執行程序。但這個「svchost.exe」事實上是一個遠端存取工具 (RAT) 叫做「Utility Warrior」。

圖 3：svchost.exe。

不過，駭客還不光使用 Utility Warrior 這個 RAT 工具，他們在為期數個月的攻擊行動當中接連使用了多個 RAT 工具，最早可追溯至 2015 年 1 月，而且各工具的使用期間大多彼此重疊。

圖 4：不同期間所使用的 RAT 工具。

一旦 RAT 工具成功和幕後操縱伺服器取得聯繫，駭客就能自由操縱受感染的電腦，他們可透過 RAT 工具查看系統上有哪些資源、安裝了哪些程式、過濾端點裝置上的資料，此外，還可以從端點裝置直接下載資訊。

從駭客所使用的 RAT 工具非常廣泛就能看出，惡意程式作者在駭客圈內非常活躍，而駭客們彼此之間的關係也非常密切。此外我們也觀察到，駭客很樂意嘗試新的 RAT 版本，並且很快就能將新版 RAT 工具融入他們的攻擊行動當中。

重複使用的憑證以及與 CARBANAK 的淵源

此攻擊行動絕大多數的 RAT 工具使用的電子憑證都是簽發給一個名為「ELVIK OOO」的機構，而且有多個憑證是不斷重複使用。理論上，憑證中的序號是由憑證簽發機構所核發，而且每個憑證都有自己的序號。

圖 5：憑證範例。

還有一件值得注意的是，我們也曾見過一個 Anunak (也就是 CARBANAK) 攻擊行動的樣本也是使用這個憑證來簽署。然而更重要的是其中含有「arablab」字樣：

圖 6：Arablab 字樣。

從我們擷取到的封包內容可看到「 ArabLab0 」字樣緊跟著一串16 進位碼：「 e4fd2f290fde5395 」，這其實就是一台殭屍電腦識別碼 (BOT ID)，也就是：「 ArabLab0e4fd2f290fde5395」。

這個「Botnet傀儡殭屍網路」識別碼讓我們想起我們在 2014 年 6 月的一項研究發現。我們發現「arablab」是一位使用 Citadel 和 Zeus 來攻擊銀行的駭客。此外，值得一提的是，「arablab」也會利用 Microsoft Office 文件漏洞 CVE-2010-3333 來攻擊某些特定人士，並且從事奈及利亞 (419) 詐騙。儘管攻擊不同，但目標是一樣的，那就是：盜取錢財。繼續閱讀

數位科技大小事趨勢科技旗艦服務任你問

2015 年 09 月 18 日2016 年 01 月 06 日趨勢科技 TrendMicro

消費者最怕不會使用軟體？跨平台應用整合好困難？

來電報通關密語「趨勢大神」即享一次免費專人諮詢

【台北訊】網路使用者的成長速度持續攀升，據財團法人台灣網路資訊中心今年的調查指出，台灣民眾上網率從去年的75.6%上升到80.3%。根據資策會2015年第一季的調查結果顯示，77.3%的民眾擁有行動裝置，其中同時擁有平板與智慧型手機的民眾佔28.2%；此外，熟齡族擁有行動裝置之比率已躍升為各族群最高，達到26.6%，顯示各年齡層網路使用者在使用不同裝置或是執行、轉換應用軟體的行為複雜度將更高。

然而當民眾遇到這麼多軟硬體使用問題，卻常苦於找不到人幫忙的窘境，想找原廠又無法一次解決所有問題，或擔心電腦公司會收取高額費用。因應消費者需求，趨勢科技於今年初推出「趨勢科技旗艦服務」，透過專人電話諮詢協助民眾排解數位科技大小問題，推出後反應相當熱烈，進線諮詢狀況踴躍。為回饋消費者的支持，趨勢科技推出「趨勢科技旗艦服務」免費試用，凡於九月底前撥打趨勢大神—趨勢科技旗艦服務專線02-2378-3666#7，並說出通關密語「趨勢大神」，即可享有一次」，協助消費者解決各式各樣的數位科技大小事！

資料備份同步分享煩惱多專業數位科技客服一線通

趨勢科技產品行銷經理朱芳薇表示：「『趨勢科技旗艦服務』的宗旨為協助消費者能輕鬆解決數位科技疑難雜症，自一月推出以來，專業、親切、高效的客服諮詢深獲用戶信賴，我們分析來電諮詢的用戶後發現，40歲以上的用戶族群約佔七成，其中以男性用戶諮詢家中各裝置的操作與設定等使用問題居多，重度使用者甚至每月有超過10通以上的電話進線，顯示『趨勢科技旗艦服務』切中民眾需求，並已成為使用者倚賴的VIP級數位科技諮詢專家。」

繼續閱讀

開學季網路銀行繳費小心為上,偵測偽網站安全憑證看緊荷包不露白

2015 年 09 月 08 日2015 年 12 月 17 日趨勢科技 TrendMicro

勒索軟體威脅不可輕忽主動偵測協助預警檔案個資保平安
PC-cillin 10 – 2016雲端版全台通路正式開賣 一年三台版加贈旗艦服務一台版買一送一

【台北訊】開學季到來，網路銀行繳交學費快速又方便，已成為首選繳費方式之一，但網路金融交易攻擊日益猖獗，網路銀行繳費的資安風險也隨之提升。此外，勒索軟體 Ransomware威脅數量提升且犯罪手法不斷進化與變形，越來越多消費者的重要資訊被綁架並遭索求贖金，網路安全極需強化。有鑑於此，全球資安軟體及解決方案領導廠商趨勢科技(東京證券交易所股票代碼：4704) 最新趨勢科技PC-cillin10-2016 雲端版，新增偵測假冒之SSL網站安全憑證功能及主動偵測勒索軟體，幫助用戶妥善保護重要資料！為讓客戶享有全方位防護，即日起PC-cillin10-2016 雲端版於全台通路開賣，更祭出限時優惠方案，購買PC-cillin 10-2016 雲端版三台版隨貨加贈旗艦版服務一年(價值$1,500元，提供不限次數的科技產品諮詢服務)、PC-cillin10-2016 雲端版一台版隨貨買一送一。絕無僅有的超值優惠，讓用戶能輕鬆為全家入手最完善的資安防護！

趨勢科技產品行銷經理朱芳薇表示：「現代父母在忙碌的生活中，使用網路金融交易如繳交學費的比例越來越高，也成為犯罪集團所覬覦的攻擊對象，除了建議避免使用公共電腦進行金融交易之外，為提供民眾更嚴密的資安防護，PC-cillin 10 – 2016雲端版幫助用戶辨識假冒的SSL網站安全憑證，避免線上交易資料遭竊，可有效保護重要個資與財產；除此之外，近年勒索軟體 Ransomware攻擊形式不斷演進，甚至偽裝為政府機關通知信，引誘受害者連結到假網站，繼而入侵受害者電腦，勒贖金額也從小額詐騙進化為高額贖金，透過挾持重要檔案，逼迫受害者支付贖金。最新版PC-cillin 10 – 2016雲端版新增主動偵測勒索軟體 Ransomware 功能，能偵測企圖加密用戶電腦檔案的勒索軟體 Ransomware，並復原被勒索軟體 Ransomware加密的檔案，防範用戶的電腦檔案被加密無法開啟，資安防護再上一層樓！」

「PC-cillin 10 – 2016雲端版」安全防護再升級網路交易好安心

為抵禦更為多元的資安威脅，全新進化的「PC-cillin 2016雲端版」率先支援Windows 10，守護個資安全更即時；並同時支援Mac電腦、Android及iOS智慧型裝置，安全防護更全面。「PC-cillin 2016雲端版」特色功能如下：

完整支援Windows 10：使用者在體驗Windows 10作業系統嶄新的功能時，全面進化的「PC-cillin 10 – 2016雲端版」完美結合Windows 10，為用戶守護雲端安全，防禦病毒侵害與個資外洩，盡情遨遊網路世界。

網路交易憑證偵測與勒索軟體防護；為提升網路交易安全性，「PC-cillin2016雲端版」新增主動偵測假冒的SSL網站安全憑證，辨識偽裝的安全網站憑證，防範線上交易資料遭竊取；此外，更新增主動偵測勒索軟體 Ransomware功能，並幫助用戶自動刪除感染檔案、隔離病毒、間諜軟體及勒索軟體 Ransomware，輕鬆享受網路交易便利並妥善保護個人重要資料！

繼續閱讀

從雅虎廣告網路遭惡意廣告入侵,談惡意廣告的運作模式與防範之道

2015 年 09 月 08 日2015 年 09 月 09 日趨勢科技 TrendMicro

惡意廣告並非新的產物；它是已經存在了十多年的犯罪手法。早在 2004年，就出現當訪客連到科技網站「The Register」被流氓廣告攻擊的事情，它利用一個 Internet Explorer中的零時差漏洞來植入BOFRA惡意軟體。在過去十年間，許多高知名度的網站因為他們的廣告網路在不知情下成為網路犯罪市場的幫兇。受害者包括紐約時報、Google和赫芬頓郵報等數不清的例子。

8 月發生了一件聯合網路犯罪攻擊，Yahoo 的廣告網路遭到襲擊，使得每月造訪該網站的 69 億人可能因而陷入危險。歹徒運用的是最新的威脅，例如：惡意廣告（malvertising）和漏洞攻擊套件。

惡意廣告（malvertising）是一些由網路犯罪者製作並刊登在網站上的廣告，只要是瀏覽了刊登這類廣告的網站，使用者就有可能遭殃，因此對整個廣告供應鏈帶來嚴重的影響。此次案例，網路犯罪集團利用了用戶數量龐大的 Microsoft Azure 服務網站來提高其潛在受害者數量。這樣的作法屢見不鮮，歹徒經常利用一些熱門的話題並滲透相關的網站。此外，歹徒也滲透了 Yahoo 這個全球最大的廣告網路之一，因此可能的感染數量相當可觀。而且，惡意廣告的運作模式是，使用者不須點選惡意廣告就可被感染。正因如此，一些不知情的使用者才會光是連上有問題的網頁就遭到感染。

【編按】由於網路犯罪集團越來越常利用惡意線上廣告來攻擊使用者，所以使用者經常會在購物網站、新聞網站、社群媒體以及遊戲網站看到這類廣告。
進一步了解惡意廣告感染使用者裝置方式,建議閱讀惡意廣告Malvertising：當廣告出現攻擊行為

網路犯罪使用漏洞攻擊套件的頻率越來越高，因為這類攻擊套件非常容易取得而且不貴。此次攻擊使用的是 Angler 漏洞攻擊套件來感染已入侵網站的訪客。漏洞攻擊套件的作者們非常積極地在第一時間搶先收錄最新曝光的漏洞。如下圖所示，許多今年才曝光的 Adobe Flash 漏洞都已收錄到 Angler 攻擊套件當中。