APT / APT攻擊 / APT 進階持續性威脅/ Advanced Persistent Threat - 資安趨勢部落格

著名的APT駭客攻擊組織IXESHE,對台灣的新一波攻擊

2016 年 08 月 19 日2016 年 08 月 19 日趨勢科技 TrendMicro

從520就職到南海仲裁案一直到雄三飛彈誤射事件和尼伯特風災都成為攻擊者用來製造魚叉式網路釣魚 (Spear Phishing )誘餌的素材。IXESHE 駭客組織自台灣新政府520上任以來就開始進行密集的攻擊。從其所使用的釣魚信件來看，可以發現攻擊者對於台灣政府的組織架構及輿情相當熟捻，不停利用最新的熱門話題來製作釣魚信件

趨勢科技根據對其所使用的惡意後門程式所進行的分析，攻擊者從製造惡意程式，製作社交工程文件到送抵目標只需要5小時，也使得傳統進行特徵碼比對的防毒解決方案難以有效的偵測及封鎖。

IXESHE是著名的「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）駭客組織，從2009年開始就頻繁地進行網路間諜活動，主要針對東亞的各國政府、電子廠商和一家德國電信公司。其他目標還包括了G20的政府官員以及紐約時報。趨勢科技一直都在密切注意這個駭客組織（IXESHE）所進行的針對性攻擊/鎖定目標攻擊(Targeted attack )攻擊活動，也在2012年推出了技術白皮書來詳述 IXESHE所用的手法及攻擊特徵。IXESHE也曾在2013年及2016年涉及針對北美傳播媒體產業及高科技產業的針對性攻擊。

[延伸閱讀：IXESHE白皮書]

台灣自2009年以來就一直是IXESHE的攻擊目標，而最新的一波攻擊也更新了其所使用的後門工具及通訊模式，同時利用最新的熱門話題（包括南海仲裁案、尼伯特風災和雄三飛彈誤射事件）來透過魚叉式網路釣魚 (Spear Phishing )信件攻擊鎖定的受害者。

IXESHE 的 C&C 伺服器主要分布在台灣和美國(資ˋ料來源:IXESHE白皮書)

精心設計的社交工程誘餌

最新的這一波攻擊從2016年五月開始就進行密擊的攻擊，不停的利用最新熱門話題作為誘餌。從520就職到南海仲裁案一直到雄三飛彈誤射事件和尼伯特風災都成為攻擊者用來製造魚叉式網路釣魚 (Spear Phishing )誘餌的素材。

這些精心製作的魚叉式網路釣魚信件不僅僅是利用了熱門話題。其所夾帶的釣魚文件在內容及檔案屬性等細節上也都相當考究，讓人難以分辨真假。而且這些文件所用上的各層級官員姓名、手機號碼等資訊也讓人驚訝於IXESHE對台灣新政府掌握的精細程度。

繼續閱讀

採礦業面臨的網路威脅

2016 年 07 月 15 日2016 年 07 月 12 日趨勢科技 TrendMicro

由於今日全球市場對於大宗物資及商品的激烈爭奪，而且經濟發展皆需仰賴天然資源，再加上近來氣候極端變化，使得採礦業開始成為網路間諜活動的目標，甚至極端一點，成為破壞性或毀滅性網路攻擊的目標。這類網路間諜活動的目標在於取得最新的科技知識和情報，以便能在全球經濟市場當中維持競爭優勢與地位。

歹徒看上了採礦業在全球供應鏈上的戰略地位，使得該產業開始面臨網路攻擊的威脅。這類威脅不僅具備相當高的針對性，而且經過精密的計畫，其幕後的駭客團體也包羅萬象，從駭客激進團體、敵對國家，到有組織的犯罪集團。這些駭客已學會如何利用礦物天然資源在區域和全球供應鏈以及國家經濟當中所扮演的重要角色，並且知道如何攻擊礦業公司因極度仰賴整合性自動化系統所暴露的漏洞。

針對不同產業的網路攻擊

今日，各種產業遭到網路攻擊的新聞已經司空見慣，就像日常播報的資料外洩新聞一樣。進階持續性滲透攻擊 (APT)原本只是純粹的產業間諜行動 (如 BlackEnergy)，現在卻已演變成可能造成實體破壞的攻擊與毀滅行動。研究人員發現，BlackEnergy 和另一個名為 Sandworm 的 APT 行動似乎是 2015 年 12 月烏克蘭兩座發電廠大斷電幕後的元凶。此外，BlackEnergy 和 KillDisk 亦曾試圖針對一家礦業公司和一家大型鐵路公司發動類似攻擊，同樣也是位於烏克蘭。這顯示 BlackEnergy 已有能力從能源產業跨足到其他產業。

產業、攻擊行動、惡意程式和幕後操縱 (C&C) 伺服器之間的交集。

產業為何會遭到攻擊？

網路攻擊並非單純只是 IT 的問題，而是可能對企業日常營運造成深遠的影響：營運中斷、設備損壞、商譽受損、財物損失、智慧財產權損失、競爭力損失、健康與人身安全風險等等。今日網路犯罪集團覬覦的目標不是只有錢和財務資料而已，他們不論在技術能力和犯罪手法上都有長足的進展，而且越來越曉得竊取敏感資料的價值所在，以及如何利用這些資料來賺錢並操弄商業的運作。例如，某個團體從 100 多家公司竊取到市場敏感的資訊，另一個團體從金融新聞媒體竊取到產品的上市前資訊，然後兩個團體彼此交換竊取到的資訊，這樣就能從股票市場獲利。繼續閱讀

SNSLocker 急著趕搭勒索病毒順風車,程式碼中竟含伺服器帳號密碼

2016 年 06 月 21 日2016 年 06 月 14 日趨勢科技 TrendMicro

SNSLocker 加密勒索病毒雖然在行為和外觀上並不突出，但其粗糙平凡的外表下卻隱藏著一項令人震驚的事實。當趨勢科技仔細研究過它的程式碼之發現，這個勒索病毒 Ransomware (勒索病毒/綁架病毒)程式碼當中竟含有其伺服器的帳號密碼。

SNSLocker 加密勒索病毒作者的動機就如同許許多多趕搭勒索病毒大賺黑心錢順風車的網路犯罪分子一樣：它使用的是網路上現成的伺服器和付款機制。不過這一次，歹徒不是太過心急，就是為了省錢，竟然讓自己的帳號密碼就這麼大剌剌地公開 (其帳號密碼已經被其資安研究人員公布在社群網站上)。我們已經將這項消息通報給執法機關。

SNSLocker (偵測名稱：RANSOM_SNSLOCKER.A) 所包含的元素與絕大多數加密勒索病毒相同，例如：倒數計時、恐嚇訊息、加密檔案、提供付款連結、勒索贖金 (300 美元) 等等。

圖 1：SNSLocker 鎖定螢幕畫面。

SNSLocker 純粹採用 .Net Framework 2.0 並搭配一些熱門程式庫 (如 Newtonsoft.Json) 以及 MetroFramework UI 所撰寫。其核心更採用了 Microsoft .Net Crypto API 來縮短開發時間。

圖 2：SNSLocker 是以 .Net Framework 2.0 所撰寫。

先前已提到，該勒索病毒的程式碼當中含有其伺服器的帳號密碼字串。不論是刻意或是忘記，將密碼留在程式碼內，等於讓所有人都能進入其伺服器。不只這樣，其加密金鑰也可公開取得。

圖 3：程式碼中還留著伺服器帳號密碼。

架設伺服器和散布 SNSLocker
趨勢科技發現，駭客申請了一個免費的伺服器代管服務來架設幕後操縱 (C&C) 伺服器與付款伺服器。也就是說，駭客幾乎不用花費一毛錢來維護這個帳號。除此之外，SNSLocker 也利用了一個合法的數位貨幣交易閘道來接收款項，這顯示駭客在這方面並未多花費任何心思來做出自己的特色。

最後，我們看到 SNSLocker 已透過它的伺服器散布至全球各地。在我們分析的當時，其受害者早已遍布全球，儼然成為一項全球威脅。繼續閱讀