企業資安 - 資安趨勢部落格

熱門的辦公室通訊平台,如何被網路犯罪分子濫用?

2017 年 07 月 06 日2017 年 06 月 30 日趨勢科技 TrendMicro

網路犯罪分子利用聊天平台API作為 C&C 基礎設施

聊天平台如 Discord、Slack和Telegram已經成為相當熱門的辦公室通訊工具，這三個例子都深受世界各地企業和組織的青睞。一個重要的原因是這些聊天平台可以讓使用者透過API將他們的應用程式與自己的平台整合。這種作法在工作環境內可以減少應用程式切換的時間，進而簡化工作流程並提高效率。但有一點必須提出來，這樣的功能是否會被網路犯罪分子濫用？畢竟，我們已經看過許多將合法服務和應用程式用在惡意網路犯罪行為的例子，像是IRC就是個知名的例子，曾在過去被許多網路犯罪分子作為「Botnet傀儡殭屍網路」的命令與控制（C&C）基礎設施。

將聊天平台API轉換為命令與控制基礎設施

趨勢科技的研究重點是分析這些聊天平台API是否可作為C&C之用，並且看看是否有現行惡意軟體在利用此漏洞。通過大量的監視、研究和製作概念證明程式碼，我們已經可以證明每個聊天平台的 API功能都可能被濫用 – 將聊天平台轉變成C&C伺服器，網路犯罪分子可藉此與中毒或被駭系統進行通訊。

發現濫用API的惡意軟體樣本

我們對聊天平台的大量監視也顯示出網路犯罪分子已經在利用這些聊天平台進行惡意攻擊。在Discord，發現許多惡意軟體，包括檔案注入程式，甚至是比特幣Bitcoin) 採礦程式。同時，Telegram也被發現遭到某些KillDisk變種及TeleCrypt（一種勒索病毒 Ransomware (勒索軟體/綁繼續閱讀

濫用 PowerShell 的無檔案病毒興起

2017 年 07 月 04 日2017 年 06 月 29 日趨勢科技 TrendMicro

網路犯罪分子越來越常利用系統內建工具或服務來散播惡意軟體,原因是方便、有效和隱蔽。舉例來說，利用這些合法工具可以讓威脅活動混在正常的網路流量或IT/系統管理工作內,也讓這些惡意威脅能夠留下較少的痕跡，使得偵測更加困難。無檔案病毒就是其中一個例子。

無檔案病毒意味著沒有檔案被寫入或下載至受感染機器的本地磁碟執行。相對地，它們會在系統的記憶體內執行，或駐留在系統註冊表內以取得持久性。在典型的無檔案病毒感染中，有效載荷可以被注入現有應用程式/軟體的記憶體內，或透過白名單內的應用程式（如PowerShell）來執行腳本。

即便它們不是基於檔案（或可執行檔）的威脅，我們知道它們確實在外活動著，因為此類技術已經常地被使用在針對性攻擊/鎖定目標攻擊(Targeted attack )中。無檔案病毒最可被察覺的是網路蹤跡，像是命令與控制（C&C）連線，和其他留在中毒系統內的惡意程式碼。不幸的是無檔案病毒也可以在公開的專案計畫中取到，甚至在網路地下市場作為產品（或服務）提供。無檔案病毒也是如Angler等漏洞攻擊的主要功能之一。舉例來說，網路犯罪集團Lurk利用自己所開發的漏洞攻擊套件來透過無檔案病毒從金融機構竊取超過4,500萬美元。

[延伸閱讀：無檔案勒索病毒技術全貌 – UIWIX]

惡意PowerShell腳本是許多無檔案病毒的關鍵要素。Windows PowerShell是內建基於.NET框架的命令列Shell，提供使用者存取作業系統（OS）服務的介面，也是能夠建立腳本的程式語言。PowerShell主要用來自動化系統管理工作，像是檢視系統內所有的USB設備、磁碟和服務，排程工作並在背景執行，或是終止程序（就像是工作管理員）。PowerShell也可以讓管理員無縫管理系統和伺服器及軟體或服務所運行環境的設定。繼續閱讀

目標式勒索:勒索病毒採 APT 攻擊手法再進化 , 某企業超過一百台伺服器被 SOREBRECT 加密

2017 年 06 月 30 日2018 年 10 月 23 日趨勢科技 TrendMicro

某企業超過一百台的伺服器被勒索病毒加密

勒索病毒 Ransomware (勒索軟體/綁架病毒)攻擊頻傳，災情遍佈各地，在各資安防護廠商積極防禦勒索病毒之時，惡意攻擊者也更上一層樓，發展出新的攻擊手法。日前趨勢科技發現一波勒索病毒攻擊事件，攻擊目標是一般企業，其中某間遭駭的公司超過一百台的伺服器被勒索病毒加密，檔案遭到加密後的副檔名為「.Pr0tect」。趨勢科技產品可偵測此頗勒索病毒為 RANSOM_SOREBRECT.A 和 RANSOM_SOREBRECT.B 。

SOREBRECT起初僅存在於中東地區的黎巴嫩及科威特等等國家，但漸漸地擴散出去，加拿大、中國、克羅埃西亞、義大利、日本、墨西哥、俄羅斯、台灣、美國都能夠見到其蹤跡。

▍ 延伸閱讀:內建自我摧毀功能的無檔案式勒索病毒:SOREBRECT ▍

APT 攻擊手法:先取得管理者權限的帳號密碼資訊，再進行內網擴散

這起勒索病毒攻擊事件採用完全不同的新攻擊手法。以往受害者多是收到惡意電子郵件，或是瀏覽受駭網站或惡意廣告，遭到附加其中的勒索病毒攻擊，而這一起攻擊事件是駭客從外部入侵，取得內網具管理者權限的帳號密碼等機敏資訊，並進行內網擴散活動，將重要伺服器上的檔案加密，攻擊結束後它會刪除系統上的事件記錄（Event Log）和其他相關資訊，並且使用TOR洋蔥路由器來隱藏其通訊，使得資安部門無法有效調查攻擊事件。

繼續閱讀

商業流程入侵 (BPC)：進階目標式攻擊的下一個步驟

2017 年 06 月 28 日2017 年 06 月 20 日趨勢科技 TrendMicro

近幾年來，針對性攻擊/鎖定目標攻擊(Targeted attack ) 已有長足發展，其會鎖定特定對象並採用越來越進階的技術來發動攻擊。一般來說，這類駭客會鎖定企業內的單一成員、竊取其憑證、登入帳戶，並冒用這個帳戶來尋找敏感資訊。變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)就是駭客將惡意活動推展到新境界的手法之一，其會運用密集研究與量身訂做的訊息來達到入侵目的。