APT / APT攻擊 / APT 進階持續性威脅/ Advanced Persistent Threat - 資安趨勢部落格

< 病毒警訊 > 針對銀行及金融機構的目標式攻擊—Carbanak的防護策略

2015 年 02 月 25 日2015 年 02 月 26 日趨勢科技 TrendMicro

趨勢科技於上週稍早收到一份最新的目標式攻擊報告（攻擊活動命名為Carbanak），此波攻擊事件主要針對銀行，使駭客能夠滲透公司網路修改銀行相關紀錄從而竊取高額鉅款。根據報告指出，攻擊者能夠滲透100間位於不同國家的銀行，包括：俄羅斯、德國、中國、烏克蘭、美國。

Carbanak攻擊事件讓我們重新檢視銀行業所面臨的威脅，此類型的威脅雖然不會以釣魚信件或是網銀惡意程式直接攻擊使用者，但是仍然十分危險。銀行本身的內部網路十分複雜，但卻握有十分重要的資料，因此成為網路攻擊的絕佳目標。

下面我們列出了部分Carbanak攻擊手法：

寄送魚叉式網路釣魚信件給員工，信件內含漏洞CVE-2012-0158、CVE-2013-3906、CVE- 2014-1761，或是在信件內夾帶惡意CPL檔案。
不論是攻擊漏洞或是直接執行惡意CPL檔案，都會植入Carbanak惡意程式到作業系統中。Carbanak本身是一個後門程式，可以執行各種指令，包括：鍵盤側錄程式、擷取螢幕快照、檢查某些特定銀行應用程式（例如銀行轉帳軟體）。
駭客透過遠端管理工具利用Carbanak在內網中流竄直到找到可進行銀行交易的目標電腦為止，一旦成功入侵目標電腦，透過錄影方式記錄受害者銀行的交易流程，待竊取到所需資訊後，駭客即可進行銀行交易竊取金錢而不被發現。

繼續閱讀

iOS 新間諜軟體,偷照片,窺簡訊,秘密錄音….！

2015 年 02 月 09 日2015 年 02 月 09 日趨勢科技 TrendMicro

當趨勢科技持續地研究棋兵風暴行動（Operation Pawn Storm）時，我們發現一枚有趣的毒棋兵 – 一個特別設計給iOS設備的間諜軟體。針對Apple使用者的間諜軟體本身就很值得注意，再加上這個間諜軟體跟APT目標攻擊有關。

棋兵風暴行動（Operation Pawn Storm）的背景資訊

棋兵風暴行動（Operation Pawn Storm）是個活躍的經濟和政治間諜行動，針對了各種機構，像是軍事、政府、國防產業及媒體。

棋兵風暴行動（Operation Pawn Storm）背後的惡意份子往往會先出動許多棋兵以期能夠接近自己實際想要的目標。當他們終於成功感染一個主要目標後，他們可能會決定更進一步：進階間諜惡意軟體。

iOS惡意軟體也出現在這些進階惡意軟體中。我們相信iOS惡意軟體被安裝在已被駭的系統上，這跟我們在微軟Windows系統上所發現的SEDNIT惡意軟體很相似。

趨勢科技在棋兵風暴行動（Operation Pawn Storm）發現兩個惡意iOS應用程式。一個稱為 XAgent（偵測為IOS_XAGENT.A），另一個則使用合法 iOS 遊戲軟體的名稱 – MadCap（偵測為IOS_XAGENT.B）。經過分析，我們的結論是這兩者都是跟SEDNIT有關的應用程式。

SEDNIT相關間諜軟體的目的顯然的是要竊取個人資料，錄音，截圖，並將它們傳送到遠端的命令和控制（C＆C）伺服器。在本文發表時，此iOS惡意軟體所連絡的C＆C伺服器仍然存在。

XAgent分析

XAgent應用程式是全功能的惡意軟體。安裝在 iOS7 後，應用程式的圖示會被隱藏，並且會立刻在背景執行。當我們試圖殺死程序來終止它時，它幾乎會馬上重新啟動。

安裝惡意軟體到iOS 8的設備上則會出現不同的結果。圖示不會被隱藏，並且它也不能自動重新啟動。這顯示惡意軟體是在2014年9月推出iOS 8前所設計。

資料竊取能力

該應用程式目的在收集iOS設備上各種類型的資料。它能夠執行以下動作：

收集簡訊
取得連絡人列表
取得圖片
收集地理位置資料
開始錄音
取得已安裝應用程式列表
取得程序列表
取得無線網路狀態

繼續閱讀

數以百萬計的 iOS 裝置可能遭到 Pawn Storm 間諜軟體攻擊

2015 年 02 月 06 日2015 年 10 月 05 日趨勢科技 TrendMicro

iOS 裝置已成為一項名為 Pawn Storm 的「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）最新目標，這是一項有組織的政治、經濟間諜行動，專門鎖定美國的軍方、大使館及國防承包商人員。趨勢科技研究人員發現兩個專門針對 iOS 7 平台的間諜程式 (目前活躍中的 iOS 裝置約有四分之一仍在使用 iOS 7)。就數量而言，Apple 光去年就賣出了 1.3 億台 iOS 裝置，因此 Pawn Storm 的潛在目標至少在千萬之譜。

[延伸閱讀：深入探討 Pawn Storm 間諜攻擊行動 (An In-depth Look at Pawn Storm Espionage Attacks)]

趨勢科技研究人員發現的這兩個間諜程式可暗中監控 iOS 裝置，其行為特徵與 SEDNIT 惡意程式相似，因此可斷定是 Pawn Storm 攻擊行動所有。依據過去經驗，Pawn Storm 的所有攻擊階段當中都會用到 SEDNIT 或 Sofacy 惡意程式，此外也用於該行動的魚叉式網路釣魚郵件當中。

這兩個惡意程式都是 XAgent 間諜程式的變種，不過，只有其中一個會假冒正牌的 MadCap (瘋狂花栗鼠) 遊戲。再者，假冒的 MadCap 遊戲據稱只能在越獄的裝置上運作。

這些 XAgent 應用程式會蒐集裝置上的簡訊、通訊錄、照片、定位資料、已安裝的應用程式清單、執行程序清單以及 Wi-Fi 的狀態。最重要的是，XAgent 應用程式可在使用者不知情的狀況下暗中錄音。也正因如此，任何感染這類程式的 iOS 裝置都將變成一個完美的竊聽工具，而且大多數人在開會或與人交談的時候都會隨身攜帶著手機，因此是一種非常好的竊聽方法。繼續閱讀

PlugX惡意軟體出現在官方版本的英雄聯盟和流亡黯道

2015 年 01 月 21 日2015 年 01 月 21 日趨勢科技 TrendMicro

台灣的資訊安全大會 – 台灣駭客年會（HITCON）上發表了一起針對多款線上遊戲的攻擊。兩款熱門線上遊戲的官方版本被發現有問題，會下載惡意軟體到系統上。HITCON和趨勢科技合作提供了清除工具給這波攻擊的潛在受害者。趨勢科技接著和受到影響的遊戲供應商合作來解決這起事件。

有問題的官方版本

被用在這波攻擊的遊戲是線上遊戲 – 英雄聯盟（LoL）和流亡黯道（Path of Exile）。遠端存取木馬（RAT）PlugX的變種出現在這些遊戲的官方版本，而且顯然地是針對於亞洲特定國家的使用者。

感染鏈經由下載合法安裝程式或更新遊戲而觸發。有問題的遊戲啟動程式會植入三個檔案：

合法遊戲啟動程式
用合法啟動程式來蓋掉有問題版本的「清理程式」
安裝PlugX檔案的植入程式

清理程式可以視為是一種掩飾惡意活動痕跡的作法。到最後，受害者只會看到兩個惡意檔案，NtUserEx.dll和NtUserEx.dat（都被偵測為BKDR_PLUGX.ZTBL-EC）。

PlugX允許遠端攻擊者在未經使用者許可或授權下執行惡意和資料竊取行為。PlugX變種往往會針對合法的應用程式，所以利用這些遊戲並不算是新手法。一個比較大的分別是這個PlugX變種會建立自己的自動啟動服務，而非利用合法應用程式的服務。

仔細檢查會發現「Cooper」字串出現在惡意軟體內。而在另一起APT攻擊活動中，「Lee Cooper」這名字被用來註冊命令與控制（C&C）伺服器，這顯示這兩起攻擊活動背後可能是相同的團體。

圖1、「Cooper」字串可以在惡意軟體中找到

同時檢查其憑證，我們注意到可疑檔案的雜湊值是有效的，意味著有用「簽章工具」來配對有問題檔案的雜湊值。而在另一方面，合法的遊戲啟動程式則帶有無效的數位簽章。

追查源頭

這些有問題的官方版本可以追查到Garena，這是一家亞洲的線上遊戲代理商。Garena和Riot Games、S2 Games和藝電等遊戲廠商有合作關係，所以對某些遊戲有獨家發行權。

在一份官方說明中，Garena說道「電腦和修補程式伺服器受到了木馬程式感染。結果造成所有英雄聯盟和流亡黯道的遊戲程式受到感染」。

臺灣和新加坡所受的影響最大

根據分析，似乎只有臺灣版本的英雄聯盟和流亡黯道受到影響。趨勢科技主動式雲端截毒服務 Smart Protection Network的反饋資料也支持這項發現。然而，我們也看到來自其他亞洲國家（如泰國、馬來西亞和香港）的受害者。

圖3、受影響的國家

繼續閱讀

從2014年學習：2015年的安全新希望

2015 年 01 月 21 日2015 年 01 月 21 日趨勢科技 TrendMicro

如果我說針對性攻擊對任何一家公司來說都只是時間遲早的問題，絕不誇張。在2014年，我們看到許多受害者在想辦法解決看不見的敵人。最近一個非常著名的例子就是Sony被攻擊造成該公司大量的問題加上大量資料被洩漏。身為威脅防禦專家，我們努力讓這無形的威脅變得可見：你應該從2014年的網路攻擊中學到最重要的事情是什麼？我們可以將什麼經驗帶到2015年？

保護你在雲端的資料

雲端運算安全的責任在2014年是再清楚不過的。雲端運算有著強大的擴展能力，讓越來越多的小型、中型以及大型企業都能同樣地加以採用。雖然使用者可以期望「共同責任」模型提供一定程度的安全性，像是雲端服務供應商運行雲端服務和基礎設施（包括實體的硬體和設施）的作法。但使用者不要忘了，雲端資料存取可能會因為自己那一端而遭受攻擊淪陷。

比方說，在三月時竟然發現了一個普遍的「開發者壞習慣」，有成千上萬的密鑰及私人帳號在GitHub這程式碼分享網站上發現。這就跟一般消費者將使用者名稱和密碼放到公共論壇上一樣。從某些方面來看，這甚至更加嚴重，因為金鑰外洩代表著數千份的秘密公司文件、應用程式軟體能夠被惡意份子所存取。而且因為入侵者基本上是以開發者身分登入，他可以刪除整個環境或將其作為人質勒贖。

在一個更加致命的例子裡，Code Spaces因為攻擊者取得權限進入其主控台並開始亂刪客戶資料庫後不得不在2014年關閉。對於一個本質強烈依賴於軟體服務的企業來說，「偏執於安全」應該是必要的一環。雲端服務有雙重或多重因子身份認證選項、完全私密模式或基於身份/角色管理，這些都可以大大地減少入侵攻擊，或讓入侵變得非常困難。

IT管理者必須現在就在其雲端環境檢視和實行各種雲端安全選項。

Code Spaces事件也對那些做雲端生意的公司上了同樣重要的一課：定期備份雲端資料，因為你永遠不知道什麼會發生。3-2-1法則成為最佳實作是有很好的理由的，只有當資料陷入危險或永遠消失的時候才可以看到它真正的價值。

保護你的關鍵系統