傀儡殭屍網路 - 資安趨勢部落格

“殭屍出沒,請注意!!”從交通系統等基礎建設被駭談起

2013 年 03 月 15 日2013 年 03 月 16 日 Trend Labs 趨勢科技全球技術支援與研發中心

殭屍（步履蹣跚，會吃人肉的那種，不是出現在電腦上的那種）最近真是風靡一時。出現在電視影集和電視遊樂器上。甚至還有殭屍會在大街上散步。無論為什麼，殭屍都是我們現在喜歡用來嚇自己的有趣題材。

所以當人們想要作個有趣的惡作劇時，會選擇殭屍這題材也就毫不奇怪了。駭客入侵和遊戲間有些相似之處，我們最近也在殭屍上看到這一點。有人駭入交通號誌系統去警告司機「前有僵屍」。上禮拜，我們看到美國蒙大拿州大瀑布城的一家地方電視台 – KRTV的緊急警報系統被駭客入侵，送出警報給看電視新聞的居民：「死人從墳墓裡爬起來，開始攻擊活人。」

我們看這些故事時會邊笑邊分享，因為聽起來蠻聰明有趣的。但其中有危險的部分，這可不是開玩笑的。

關鍵基礎設施可能會被入侵

這些事件的重點是重要公共安全通訊基礎設施被入侵，然後被用在別的目的上。

我們都知道，當重要的公共安全通訊基礎設施被以「突擊（swatting）」的方式濫用時，可能會出現可怕的後果。突擊指的是人們用假的求助電話報警。結果讓全副武裝的特警隊（SWAT）衝進不知情而無辜的人家裡。雖然在這些事件裡沒有人被殺害，但那是因為有良好的訓練和運氣好。但事實上這系統已經受到破壞，將全副武裝的警隊送去他們認為有危險且可能需要使用致命武器的地方時，會讓別人的生命陷入危險中。

要認識到公路號誌和緊急警報系統被駭的風險，就必須專注在一個事實上，現在我們所看到的假消息都很有趣，同時荒謬而令人難以置信。我們會發現這是個笑話而不會採取行動。但如果這消息雖然是捏造的，但卻像是真的時，會發生什麼事呢？

繼續閱讀

「Sent from Yahoo! Mail on Android」:Android 平台 Yahoo! App 程式漏洞可能讓駭客散發垃圾郵件

2012 年 07 月 26 日2012 年 07 月 26 日趨勢科技 TrendMicro

就在一波疑似某 Android 殭屍網路/傀儡網路 Botnet垃圾郵件(SPAM)的報導出現之後不久，趨勢科技就發現了 Android 平台Yahoo! App 程式的漏洞，此漏洞可讓駭客利用遭入侵的 Yahoo! 帳號散發垃圾郵件。

第一波透過 Android 殭屍網路散發的垃圾郵件？

近日趨勢科技發現了多個專門散發假藥品網站連結或網路釣魚（Phishing）網站連結的郵件。這一波垃圾郵件之所以特別，在於訊息的簽名部分有著「Sent from Yahoo! Mail on Android」(從 Android 上的 Yahoo! Mail 寄信) 的字樣，而且信件的 Message-ID 欄位數值為「androidMobile」。根據報導，其 IP 位址顯示這些訊息來自於開發中國家的網路業者。

某些專家依據這些證據猜測，這些垃圾郵件(SPAM)散發者可能利用了被植入惡意 App 程式的 Android 裝置。不過，Google 駁斥了垃圾郵件是從 Android 殭屍網路/傀儡網路 Botnet散發的說法，並宣稱歹徒應該是使用已感染的個人電腦，並在信件當中假冒行動裝置的特徵來試圖躲避電子郵件過濾機制。

就在最近，有人提出了另一種可能的情況。某些資訊安全研究人員推論，歹徒可能利用Android 平台Yahoo! App 程式的漏洞來入侵行動裝置並散發垃圾郵件(SPAM)。

歹徒可能利用 Adroid 平台的 Yahoo! Mail App 程式漏洞來散發垃圾郵件

不論這些訊息是從何而來，網路駭客是有可能利用 Android 平台的 Yahoo! App 程式漏洞來入侵 Yahoo! Mail 帳號然後散發垃圾郵件。事實上，趨勢科技最近在 Android 上的Yahoo! 郵件用戶端上發現了一個漏洞，此漏洞可允許攻擊者取得使用者的 Yahoo! Mail cookie。此問題來自於 Yahoo! 郵件伺服器和 Android 平台 Yahoo! 郵件用戶端之間的通訊弱點。在取得這個 cookie 之後，駭客就能使用已遭入侵的 Yahoo! Mail 帳號來散發精心製作的信件。此外，上述漏洞還可讓駭客存取使用者的收件匣和信件。繼續閱讀

讓 57 萬台電腦遇駭的駭客集團 ROVE DIGITAL (DNS Changer開發者) 近 10 年的起落

2012 年 07 月 05 日2013 年 03 月 25 日趨勢科技 TrendMicro

去年趨勢科技協助 FBI 破獲史上最大殭屍網路DNS Changer(域名系統綁架病毒)之後， FBI發現若是直接關掉駭客犯罪用伺服器，中毒的 50 多萬電腦將無法連上網路。因此美國政府設立了替代伺服器,讓尚未修復的電腦可以正常上網,。FBI原先預定在今年3月8日關閉替代伺服器，但美國聯邦法院要求繼續提供DNS服務，給感染電腦多一點緩衝時間處理,但礙於經費，FBI已決定美國時間7月9日關掉伺服器，屆時數十萬尚未清除病毒的中毒電腦就會連不上網路。

趨勢科技呼籲大家立即檢查是否感染DNS Changer，因為FBI即將於7月9日關閉服務遭感染電腦所使用的DNS伺服器，屆時未修復的設備將無法上網。至於為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要?請<看這裡>

ROVE DIGITAL的起落

DNS Changer(域名系統綁架病毒)是由Rove Digital這個網路犯罪集團控制,Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。

當某些網路犯罪份子只想賺快錢的時候，有些則有更長遠的目標。ROVE DIGITAL已經運作超過六年了。讓我們看看他們是怎麼開始，最後又怎麼結束的。

過去四年每天都有人到駭客集團所成立的 Rove Digital 公司上班,主要業務:控制數以百萬計中毒殭屍電腦，獲取數百萬美金的不法所得

2002-2004 早期階段

惡意活動

出租伺服器給網路罪犯客戶，主要做為垃圾郵件僵屍網路的C&C伺服器，或是代管資料竊取木馬、釣魚網站和DNS Changer(域名系統綁架病毒)。

基礎架構

在紐約（PILOSOFT），洛杉磯（ATRIVO）和愛沙尼亞（ELION）的三個資料中心承租伺服器。

地理位置：愛沙尼亞美國

業務模式：一開始是網域註冊商繼續閱讀

《上網時間倒數中》FBI稱 57 萬電腦被駭,感染 DNS Changer 電腦, 7月 9 日後無法上網,即刻檢查!!~為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要？

2012 年 07 月 04 日2012 年 07 月 11 日趨勢科技 TrendMicro

7 月 9 日後，您還能繼續上網嗎 ? 趨勢科技提供讓您對電腦進行自我檢驗步驟,立即檢查

趨勢科技呼籲大家立即檢查是否感染DNS Changer，因為FBI即將於7月9日關閉服務遭感染電腦所使用的DNS伺服器，屆時未修復的設備將無法上網。
即刻免費下載PC-cillin 2012掃瞄系統,清除電腦上感染的 DNS 竄改木馬程式

為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要？

犯罪史追朔到2007年DNS Changer(域名系統綁架病毒) 除了讓你無法連上網際網路之外，網路犯罪者還可能利用(域名系統綁架病毒)側錄鍵盤輸入，或者將受害電腦當做代理器 (proxy) ，將別的使用者導向假冒的網路銀行或社交網站。因此，歹徒可藉此竊取您和他人的網路銀行與社交網路密碼。

賺進數百萬美金黑心錢的Rove Digital駭客集團的 "CEO",這名駭人不淺首腦已經被逮捕

每天都有人到駭客集團所成立的 Rove Digital 公司上班,主要業務:控制著數以百萬計中毒殭屍電腦，獲取數百萬美金的不法所得。

這個網路犯罪集團控制了每一個環節，從植入木馬到透過中毒的傀儡殭屍電腦來賺錢。它是一間愛沙尼亞的公司，稱為Rove Digital。Rove Digital是許多其他公司（像是Esthost、Estdomains、Cernel，UkrTelegroup和許多較無人知的空殼公司）的母公司。

Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。

Rove Digital 已在 2011 年 11 月 8 日遭到破獲，該公司最為人所知的惡行就是散播 DNS 竄改木馬程式來協助其從事其他不法行動。駭客在四年內利用廣告詐欺獲利超過1400萬美元。若要了解 Rove Digital 的網路犯罪歷史，請參閱趨勢科技 TrendLabs 的圖文解說：「The Rise and Fall of Rove Digital」。

◎認識DNS（Domain Name System）伺服器與 DNS Changer 的偷天換日

IP地址就像是我們寄信的地址一樣，沒寫地址郵差先生沒法把信送給收件人。網路上的每台主機都有唯一的IP地址,電腦的位址不是用文字而是用四個數字表示。如xxx.xxx.xxx.xxx。但是一般人無法記住這些數字，這時DNS（Domain Name System）伺服器就發揮作用了。DNS伺服器能將易讀好記的網域名稱解析成IP位址。大部分網路使用者都會自動使用網路服務業者的DNS伺服器。

當你在網址列輸入像www.trendmicro.com.tw 或www.pccillin.com.tw的網址時，其實會先連到DNS（Domain Name System）域名系統，找出該網站對應的數字IP 位址,才能連上該網站。

DNS Changer(域名系統綁架病毒)會把你的DNS連線偷偷換掉, 使用惡意人士所設立DNS伺服器，用來將特定的網域解析成惡意網站的IP位址。因此，受害者會在不自覺的情況下被導到惡意網站。犯罪集團可以透過很多方法來賺黑心錢，包括更換受害者所訪問的網站廣告，劫持搜尋結果或是植入其他惡意軟體,如假防毒軟體等。

◎ 7月9日後您的網路還能正常連線嗎？
FBI稱全球約 57萬台電腦被駭, 7月9 後,中毒電腦不能上網!!

遭 Ghost Click DNS 竄改程式伺服器關閉倒數計時中搶救您電腦上網功能的黃金時間正一點一滴流失…
立即檢查

立即免費下載趨勢科技的PC-cillin 2012來掃瞄系統。清除您電腦上感染的 DNS 竄改木馬程式。

@延伸閱讀:
讓 57 萬台電腦遇駭的駭客集團 ROVE DIGITAL (DNS Changer開發者) 近 10 年的起落

繼續閱讀

《勒索軟體 Ransomware》警察木馬:不給 100 萬歐元,就讓你的電腦變石頭

2012 年 04 月 17 日2020 年 12 月 21 日趨勢科技 TrendMicro

最近幾個月以來，歐洲的網路使用者深受所謂的警察木馬這種 勒索軟體 Ransomware所擾，它會鎖住使用者的電腦，直到他們付出100歐元的罰款。是的，罰款，它偽裝當地警察來威脅受害者。這種恐嚇手法似乎很有效，因為歐洲國家感染這類木馬的受害者一直沒少過。

趨勢科技更加深入的研究了這個木馬的運作模式和其幕後黑手用來控制和接收付款的網路架構。我們發現它跟其他的惡意軟體攻擊活動關係密切，可以追溯到2010年，從 Zeus 和 CARBERP到相當近期被稱為Gamarue蠕蟲的新惡意軟體攻擊。

這個木馬的幕後黑手同時也跟其他惡意軟體有關，同時也在這個生意上投資了不少。舉例來說，趨勢科技發現他們是DNSChanger木馬的分支單位，稱為Nelicash，Rove Digital也曾經贊助過幾年。而Rove Digital背後的主要人士在2011年11月8日經過美國聯邦調查局、美國航空總署監察長辦公室、愛沙尼亞警方和趨勢科技以及其他合作夥伴兩年的調查之後被加以逮捕了。所以我們可能也發現了警察木馬幕後黑手的重要線索。

這些犯罪份子都很專業，而且也會繼續活動下去，因為這對他們來說很有錢途。這是一個很好的例子讓我們可以看到這些組織如何去跟無辜的網友來勒索錢。趨勢科技已經為這個木馬和幕後集團製作了一份內容詳盡的報告，你可以下載來全面了解這個犯罪組織。