中小企業資安 - 資安趨勢部落格

著名的APT駭客攻擊組織IXESHE,對台灣的新一波攻擊

2016 年 08 月 19 日2016 年 08 月 19 日趨勢科技 TrendMicro

從520就職到南海仲裁案一直到雄三飛彈誤射事件和尼伯特風災都成為攻擊者用來製造魚叉式網路釣魚 (Spear Phishing )誘餌的素材。IXESHE 駭客組織自台灣新政府520上任以來就開始進行密集的攻擊。從其所使用的釣魚信件來看，可以發現攻擊者對於台灣政府的組織架構及輿情相當熟捻，不停利用最新的熱門話題來製作釣魚信件

趨勢科技根據對其所使用的惡意後門程式所進行的分析，攻擊者從製造惡意程式，製作社交工程文件到送抵目標只需要5小時，也使得傳統進行特徵碼比對的防毒解決方案難以有效的偵測及封鎖。

IXESHE是著名的「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）駭客組織，從2009年開始就頻繁地進行網路間諜活動，主要針對東亞的各國政府、電子廠商和一家德國電信公司。其他目標還包括了G20的政府官員以及紐約時報。趨勢科技一直都在密切注意這個駭客組織（IXESHE）所進行的針對性攻擊/鎖定目標攻擊(Targeted attack )攻擊活動，也在2012年推出了技術白皮書來詳述 IXESHE所用的手法及攻擊特徵。IXESHE也曾在2013年及2016年涉及針對北美傳播媒體產業及高科技產業的針對性攻擊。

[延伸閱讀：IXESHE白皮書]

台灣自2009年以來就一直是IXESHE的攻擊目標，而最新的一波攻擊也更新了其所使用的後門工具及通訊模式，同時利用最新的熱門話題（包括南海仲裁案、尼伯特風災和雄三飛彈誤射事件）來透過魚叉式網路釣魚 (Spear Phishing )信件攻擊鎖定的受害者。

IXESHE 的 C&C 伺服器主要分布在台灣和美國(資ˋ料來源:IXESHE白皮書)

精心設計的社交工程誘餌

最新的這一波攻擊從2016年五月開始就進行密擊的攻擊，不停的利用最新熱門話題作為誘餌。從520就職到南海仲裁案一直到雄三飛彈誤射事件和尼伯特風災都成為攻擊者用來製造魚叉式網路釣魚 (Spear Phishing )誘餌的素材。

這些精心製作的魚叉式網路釣魚信件不僅僅是利用了熱門話題。其所夾帶的釣魚文件在內容及檔案屬性等細節上也都相當考究，讓人難以分辨真假。而且這些文件所用上的各層級官員姓名、手機號碼等資訊也讓人驚訝於IXESHE對台灣新政府掌握的精細程度。

繼續閱讀

針對內容管理系統 (CMS) 漏洞的自動化攻擊,訪客將感染 CryptXXX 勒索病毒

2016 年 08 月 16 日2016 年 08 月 11 日趨勢科技 TrendMicro

7 月 19 日，許多企業網站都因遭到駭客入侵而開始散布勒索病毒 Ransomware (勒索軟體/綁架病毒)，所有瀏覽這些網站的訪客全都遭殃。根據報導，瓜地馬拉官方旅遊網站 Dunlop Adhesives 以及其他正常的網站都遭到同樣的攻擊。

根據報導，這些網站都遭到了某個稱為 SoakSoak 的Botnet傀儡殭屍網路或類似專門針對內容管理系統 (CMS) 漏洞的自動化攻擊。這些受到攻擊的網站會將訪客導向某個惡意網站，惡意網站會試著在使用者電腦上安裝 2016 年 4 月首次被發現的 CryptXXX 勒索病毒家族，此病毒具備反制虛擬機器與反制資安軟體分析的躲避偵測功能。

SoakSoak 殭屍網路在找到含有未修補漏洞的網站之後，就會在網站中插入重新導向的腳本程式碼，藉此將訪客重導至另一個含有 Neutrino 漏洞攻擊套件的網站，這是一個地下市場上販賣的「商用」惡意程式安裝套件。

在這次的最新案例當中，Neutrino 漏洞攻擊套件會檢查端點裝置是否安裝了任何資安軟體或 Flash Player 除錯工具。根據該部落格的說法，若裝置上未安裝這些程式，攻擊套件就會開啟一個指令列介面程式 (command shell) 並透過 Windows Script Host 腳本執行程式從其幕後操縱 (C&C) 伺服器下載勒索病毒到電腦上。

當正常網站遭到毒化

這樣的手法早已不是什麼新聞，駭客一直在利用各種惡意廣告來駭入正常網站，並利用其他技巧來將使用者引導至漏洞攻擊套件。遭到駭客入侵的網站會將使用者重導至含有漏洞攻擊套件的網站。在大多數情況下，駭客之所以能輕易駭入這些網站，是因為其伺服器使用的是含有未修補漏洞的 CMS 軟體。2015 年 11 月，趨勢科技即曾經撰文揭露第一個利用 Angler 漏洞攻擊套件經由遭到入侵的網站感染訪客電腦的 ElTest 攻擊行動。我們發現，該行動至少成功入侵了 1,500 個網站，並且利用這些網站來散布 Cryptesla 勒索病毒 (趨勢科技命名為：RANSOM_CRYPTESLA.YYSIX)。ElTest 攻擊行動通常會在其駭入的網頁當中插入一個 SWF 物件，此物件會載入一個 Flash 檔案並在網頁安插一個隱藏的 iFrame 來將使用者重導至含有漏洞攻擊套件的網站。

ElTest 並非唯一專門針對網站漏洞的攻擊行動，我們還見過許多其他的行動專門攻擊採用 WordPress、Joomla 及 Drupal 這類知名內容管理系統的網站。遭到入侵的網站大多是因為使用了含有未修補漏洞的內容管理系統或第三方熱門附加元件。

[延伸閱讀：Joomla 和 WordPress 套裝軟體不斷遭到殭屍網路攻擊] 繼續閱讀

FBI: 光是今年,勒索病毒所造成的損失就高達 10 億美元,端點防護如何讓企業防範勒索病毒?

2016 年 08 月 04 日2016 年 08 月 02 日趨勢科技 TrendMicro

本文是一系列四篇部落格文章的第二篇，專門探討勒索病毒 Ransomware (勒索軟體/綁架病毒)攻擊一般使用者及企業的各種不同技巧。從這些技巧看來，防範這類威脅最好的方式就是在企業網路的各個層面建置多層式防護，從閘道、端點、到網路和伺服器。

先前的文章請參考這裡：

勒索病毒的攻擊媒介了無新意，為何能繞過傳統的安全解決方案?

FBI: 光是今年，勒索病毒所造成的損失就高達 10 億美元

根據 FBI 美國聯邦調查局預測，光是今年，勒索病毒 Ransomware (勒索軟體/綁架病毒)所造成的損失就高達 10 億美元。勒索病毒儼然已成為一項「錢」景看好的生意，而網路犯罪集團也正積極轉戰其他領域來開拓更多攻擊目標，無論一般使用者或大大小小的各種企業皆無一倖免。

一般來說，中小企業 (SMB) 通常缺乏足夠的資源來建置完善的資安解決方案，根據一項調查顯示，美國有 65% 的中小企業不願將錢花在勒索病毒相關問題上，包括支付贖金或建置防護；而大型企業，儘管已建置了多層式防護，其網路仍舊存在著資安風險，尤其當威脅來自已知的信任來源，例如：第三方合作夥伴、廠商、聯絡人或是自己的員工。在這樣的情況之下，具備良好行為監控以及應用程式控管功能的端點防護，將是企業對抗勒索病毒的最後一道防線。

圖 1：勒索病毒攻擊與因應解決方案。

行為監控如何運作

趨勢科技 Smart Protection Suite 和 Worry-Free Pro當中所內建的行為監控功能可追蹤並封鎖任何「異常」或不常見的系統行為或變更，如此就能根據已知和未知的攻擊手法與技巧，包括加密、操弄處理程序、在系統植入檔案、幕後操縱 (C&C) 通訊等等，主動偵測及防止勒索病毒與加密勒索病毒執行，此外，還可封鎖專門竊取資訊的勒索病毒變種，如 RAA 及 MIRCOP勒索病毒。繼續閱讀

趨勢科技與國際刑警組織 (INTERPOL) 合作逮捕奈及利亞網路犯罪集團首腦

2016 年 08 月 02 日2016 年 08 月 04 日趨勢科技 TrendMicro

在趨勢科技研究人員的協助下，國際刑警組織 (INTERPOL) 和奈及利亞經濟與金融犯罪委員會 (Economic and Financial Crime Commission，簡稱 EFCC) 最近破獲了一個變臉詐騙集團 (又稱為商務電子郵件入侵Business Email Compromise， BEC) ，並且逮捕了 40 歲的奈及利亞籍犯罪首腦「Mike」，該集團涉及了多起 BEC 詐騙、419 詐騙以及愛情詐騙等等。

Mike 旗下的犯罪集團成員遍布奈及利亞、馬來西亞與南非等國，警方相信其不法獲利超過 6,000 萬美元以上，受害者分布廣泛，其中單一受害者甚至損失 1,500 萬美元以上。

趨勢科技對於 BEC 詐騙集團的調查

我們是在 2014 下半年調查 Predator Pain 和 Limitless 兩個 BEC 詐騙惡意程式時開始注意到 Mike (他曾經化名為「Chinaka Onyeali」和「Beasley Martyn」)。我們在分析前述惡意程式幕後操縱 (C&C) 基礎架構的過程中追查到 Mike。隨後在 2014 年末，我們將所有關於 Mike 的資料轉交給國際刑警組織。國際刑警組織正是透過這份資料，再加上其他研究人員提供的資訊，循線追查到 Mike 並於 2016 年 6 月將他逮捕到案。

BEC 可說是一種非常有效的詐騙手法，歹徒已經從各式各樣的企業手中騙到相當龐大的金額。根據估計，從 2013 年至 2015 年，BEC 已累積造成 23 億美元的損失，到了 2016 年甚至攀升至 30 億美元。這類詐騙專門鎖定企業內部掌管公司帳目的員工 (會計、行政及財務)，且專門假冒成公司高層主管 ( CXX之類的)。這種詐騙手法可說是屢試不爽，許多企業都曾遭其毒手。我們先前就曾在「數十億美元的詐騙：商務電子郵件入侵 (BEC) 背後的數字」一文當中探討過這類手法。

趨勢科技從 2014 年起便經由國際刑警組織在新加坡的全球創新總部 ( Global Complex for Innovation，簡稱 IGCI) 與國際刑警組織展開密切合作。這項合作案已促成多個網路犯罪集團的破獲及逮捕行動，其中甚至包括一些自以為躲在法律鞭長莫及之處的歹徒。未來，我們將繼續與國際刑警組織密切合作，協助他們將更多網路犯罪集團繩之以法。

趨勢科技技術長 Raimund Genes 表示：「趨勢科技一向致力推動公私部門合作共同打擊網路犯罪。這群專門利用科技來犯罪的分子是我們的共同敵人，因此趨勢科技將盡力協助執法機關逮捕並起訴這些網路歹徒。這一次的成功經驗，象徵著網路資安社群合作又再度邁向另一個里程碑。」

這位奈及利亞籍嫌犯據稱是某個 40 人犯罪集團的首腦，其成員遍布奈及利亞、馬來西亞與南非，他負責提供惡意程式並執行網路攻擊。同時，警方懷疑他利用中國、歐洲與美國洗錢集團提供的人頭帳戶來存放贓款。

國際刑警組織全球創新總部 (INTERPOL Global Complex for Innovation) 執行董事 Noboru Nakatani 表示：「這次的逮捕行動全靠資安社群成員們的群策群力才能順利達成。因為，創造一個更安全的網際網路世界，是大家共同努力的目標。由於複雜性使然，變臉詐騙非常難以追查，因此公私部門合作變得非常重要。」

趨勢科技身為國際刑警組織的策略合作夥伴，經常透過該組織位於新加坡的國際刑警組織全球創新總部為該組織及其會員國提供必要的知識、資源及策略來打擊全球網路犯罪。

調查:超過 20% 受訪單位防禦勒索病毒不及格;26%企業未做好資料外洩防範

2016 年 07 月 21 日2017 年 06 月 30 日趨勢科技 TrendMicro

2016 年 1 月至 5 月期間，趨勢科技做了一項網路調查，請受訪者就「趨勢科技 2016 年資安預測」報告當中所提出的各項資安領域評估一下其所屬公司的準備情況。我們統計了受訪者的回應，並就其公司的資安準備度與今年最大的資安威脅做個比較，得出一項對應的成績。

成績「優良」者，代表企業機構已能防範今年最大的資安威脅。成績「及格」者，代表企業機構已建置了相當的安全防護，但在某些領域仍有改善空間。成績「不及格」者，代表企業機構並未達到保護企業資料和資產的最低基本要求。不過，不及格的企業機構不必氣餒，只要強化一下當前的資安策略並投資適當的解決方案即可。

根據這項「企業資安準備度調查」，僅有 18% 的受訪者已做好充分準備，另有 21% 在一些關鍵的防護點並未做好防禦措施。以下是我們根據產業和地理區域所做出來的統計數據和圖表。

不同產業的資安準備度

26%受訪單位未做好資料外洩防範

整體來看，資料防護依然是許多企業機構最弱的環節，有 26% 的受訪者表示並未做好網路攻擊相關資料外洩的防範。此外，在全部的受訪者中，有 18% 的受訪者對於網路勒索、行動惡意程式以及其他行動付款機制相關的威脅並未做好準備。

超過 20% 受訪單位防禦勒索病毒不及格

今年依然有各種新的網路勒索手法和形態出現。根據美國聯邦調查局 (FBI) 的統計，2016 年第一季勒索病毒 Ransomware (勒索軟體/綁架病毒)的獲利創下有史以來的新高：2.09 億美元。然而，有 33% 受訪者仍表示其公司不是沒有嚴格執行重要資料的強制備份，就是不曉得他們到底有沒有備份。有超過 20% 的通訊/媒體、銀行，以及教育機構在勒索病毒防範方面拿到不及格的成績。

25%使用智慧型裝置的醫療機構，未能充分採用最佳實務原則防範威脅

當被問到公司是否有配發 PC、筆記型電腦、平板、智慧型手機之外的工作用聯網裝置給他們時，受訪者的回答呈現兩極化。將近 50% 表示沒有，其餘的則被允許在工作上使用個人或配發的智慧型裝置。那些使用智慧型裝置來工作的受訪者，顯然已做好嚴格的身分認驗證措施，並且會定期更新。然而，在使用智慧型裝置的醫療機構當中，有 25% (大多在美國) 並未充分採用最佳實務原則來防範物聯網（IoT ,Internet of Thing）威脅。繼續閱讀