企業資安 - 資安趨勢部落格

Android用戶小心 400種APP染毒, 實施個人自備裝置 (BYOD)的企業風險增高

2016 年 10 月 07 日2016 年 10 月 06 日趨勢科技 TrendMicro

Android手機用戶請小心， Google Play商店中可能有多達400種應用程式帶有某個稱為「DressCode」家族散播的木馬病毒，恐導致個資外洩。此惡意程式會讓駭客經由遭感染的裝置入侵裝置所連接的網路，因此，若裝置連上的是企業網路，其威脅將不言而喻。

行動裝置威脅在最近幾個月的時間之內急速成長，趨勢科技行動裝置應用程式信譽評等服務 (Mobile App Reputation Service，簡稱 MARS) 截至 2016 年 8 月為止，已偵測到 1,660 萬個行動惡意程式，較一月份偵測的數量大幅成長 40%。Android 平台依然特別容易遭到攻擊，尤其，某個稱為「DressCode」的家族從四月份起便一直暗中持續散布，直到八月才有相關報導出現。此惡意程式會讓駭客經由遭感染的裝置入侵裝置所連接的網路，因此，若裝置連上的是企業網路，其威脅將不言而喻。

趨勢科技將此惡意程式命名為 ANDROIDOS_SOCKSBOT.A，並且至少發現了 3,000 個遭此惡意程式木馬化的應用程式。這些木馬化程式曾出現在多個知名的 Android 應用程式市集，在 Google Play 商店也偵測到 400 多個。由於惡意程式碼只占應用程式的一小部分，因此偵測不易。被感染的程式從休閒類應用程式如遊戲、外觀套件、主題套件，到手機優化程式等等涵蓋廣泛。趨勢科技曾在九月份通知 Google Play 這項威脅，該公司也已採取適當行動，將受感染的應用程式下架。

圖 1：根據 Google Play 上的資料，該程式的安裝數量在 100,000 至 500,000 之間。 繼續閱讀

<勒索病毒> 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定（RDP）散播

2016 年 09 月 29 日2016 年 09 月 29 日趨勢科技 TrendMicro

勒索病毒 Crysis會注入木馬程式到重新導向或連接的設備，如印表機和路由器,以便讓攻擊者能夠重新進入和感染系統，即便已經將惡意軟體從中毒電腦中移除。這也說明了為什麼不建議支付贖金，因為看來只能解決一時的問題。

Crysis勒索病毒可以結合RSA和AES的加密演算法來加密185種類型的檔案，使用 vssadmin來刪除備份，並且修改註冊表來使得在每次啟動時都會自動執行。

今年二月出現的勒索病毒 Ransomware (勒索軟體/綁架病毒) RANSOM_CRYSIS.A，現在會透過暴力破解遠端桌面協定（RDP）散播,目前澳洲和紐西蘭的企業傳出疫情。

在今年六月初曾經報導過Crysis想接手TeslaCrypt所留下的市場（因為TeslaCrypt作者決定結束業務），並且追上勒索病毒界中流行的Locky。Crysis主要透過垃圾郵件散播，可能是帶有雙重副檔名的木馬化病毒附加檔案（將惡意軟體偽裝成非執行檔的一種手法），或是連到受感染網站，網路服務也可能會散播合法軟體的可疑安裝檔。現在它也會將暴力破解攻擊遠端桌面協定作為其感染途徑之一。

Windows遠端存取工具所具備的資源重新導向功能讓使用者可以方便的存取、處理和使用本地磁碟的檔案、印表機、剪貼簿和可移除設備等資源。使用暴力破解攻擊遠端桌面協定的Crysis,利用來源電腦的重新導向磁碟,執行勒索病毒。

圖1、透過RDP暴力破解攻擊的Crysis感染流程示意

RDP是內建在Windows作業系統的功能，可以讓使用者透過網路來連接另外一台電腦。RDP常會被針對性攻擊/鎖定目標攻擊(Targeted attack )利用來取回資料，竊來的資料可以放到網路地下市場販賣，還可以將劫持的系統整合到「Botnet傀儡殭屍網路」內來發動進一步的惡意攻擊。繼續閱讀

如何阻止勒索病毒滲透企業網路和在內部蔓延?

2016 年 09 月 26 日2016 年 09 月 30 日趨勢科技 TrendMicro

這是探討勒索病毒 Ransomware (勒索軟體/綁架病毒)四部曲中的第三部。這個系列文章會探討勒索病毒用來攻擊使用者和企業的各種技術。同時也說明了，如果想減少勒索病毒所帶來的風險，最好的辦法是在企業網路的各個部位實施多層次防護 – 閘道、端點、網路和伺服器。

可以到這裡閱讀之前的文章：

勒索病毒 Ransomware (勒索軟體/綁架病毒)已經成為影響數百萬使用者並且掠取數百萬美元的嚴重問題。本系列之前的文章探討勒索病毒進入系統的方式及加密的行為。在本篇文章中，我們將研究勒索病毒如何使用網路及可能的解決方法。

檢視網路連線相當有用，因為網路活動是企業內部惡意活動進行的指標。反之，如果企業對網路沒有適當的能見度，就可能因為未受管理的設備（它們不一定受到閘道安全軟體的保護）或可信任設備來的未經授權連線而造成勒索病毒的感染。

受感染的企業內部電腦在勒索病毒攻擊中可能扮演兩種角色：

成為通訊中繼站
變成病毒擴散到其他系統和伺服器的幫兇

角色＃1：命令和控制（C&C）

對勒索病毒來說，網路最重要的用途是連接攻擊者的命令與控制（C&C）伺服器，因為勒索病毒通常需要這連線來取得加密檔案用的金鑰。

金鑰會由C&C伺服器送到中毒電腦用來加密目標檔案。如果連線建立完成，多數勒索病毒會從C&C伺服器取得公共金鑰，並用它來加密目標檔案。對應的私鑰會一直留在攻擊者那邊。公鑰可以隨時加以改變，而不會在惡意程式碼中發現任何金鑰。

如果無法建立與C&C伺服器的連線會發生什麼事？大多數勒索病毒（像是CryptoWall）不會去加密任何檔案。不過也有些變種可以自己進行加密的動作。一個例子是CrypXXX，在程式碼中內嵌了預設金鑰。Cerber變種通常會在本機產生金鑰，讓安全研究人員比較容易進行逆向工程，並替使用者製造解密工具來回復加密檔案。新的變種偏好使用來自C&C伺服器的金鑰，讓使用固定金鑰的解密工具無用武之地。

角色＃2：擴散

勒索病毒還可以在企業內部透過網路分享散播。當勒索病毒在中毒系統上執行時，多數都會加密本機磁碟和網路磁碟上的檔案。結果就是病毒會更快地在企業內部散播，結果本來只是單機的中毒問題，造成讓整個企業都停擺的後果。

如前所述，勒索病毒也能夠經由未授權的連線來侵入網路。比方說，Cryisis勒索病毒會利用遠端桌面協定（RDP）的暴力破解攻擊。在2016年3月，Surprise勒索病毒據報會使用偷來的TeamViewer登錄憑證來感染系統。

繼續閱讀

《勒索病毒》RaaS 加入了 CaaS 的行列,企業該如何防範新一代網路犯罪?

2016 年 09 月 20 日2016 年 09 月 12 日趨勢科技 TrendMicro

作者：趨勢科技網路安全長 (Chief Cybersecurity Officer,CCO ) Ed Cabrera

多年以來，「網路犯罪服務」(Cybercrime as a Service，簡稱 CaaS) 已在深層網路(Deep Web)地下論壇當中蔚為一股風潮。一些缺乏經驗的網路犯罪分子 (坦白說也是出於懶惰)，只要向一些老手購買 CaaS 工具和服務，就能輕輕鬆鬆發動一些惡意程式、垃圾郵件(SPAM)、網路釣魚（Phishing）或其他惡意攻擊行動，一切只需點點滑鼠即可。這些現成的工具套件使用起來幾乎不費力氣、也不需花大錢、更不需經驗，就連只會寫寫腳本的初階駭客也能上手，但卻可以帶來高報酬。

而最新的「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS) 毫不意外地，這項最新的服務，已造成新的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族的數量大增，光是2016 上半年就比去年一整年暴增 172%，而 RaaS 的出現，也讓原本大多針對個人使用者的攻擊，現在也開始對企業造成嚴重威脅。

企業的資料和商譽陷入前所未有的危險當中，最終甚至可能危及企業的生存，因為有了 RaaS 之後，網路犯罪分子就能發動多起勒索病毒攻擊，有助於他們在地下論壇打響名號。他們的目標就是挾持企業最寶貴的資產，包括：重要的連絡人資訊、業務資訊或是企業關鍵檔案。企業一旦損失這些數位檔案，將帶來嚴重的後果，包括：營業損失、營運中斷、法律賠償以及商譽損失。

企業的資安長 (CISO) 與 CXX 級高階主管，有責任採取必要的安全措施來妥善保護企業的寶貴資訊，並充分教育員工認識這項威脅。勒索病毒並非只有一種行為模式，因此資安對策也不能只靠單一防護。趨勢科技的多層式防護能協助企業降低風險，不讓攻擊進入系統，不論經由何種入侵點。我們提供了四層的防護來協助您降低風險：

電子郵件閘道和網站閘道：趨勢科技 Deep Discovery Email Inspector 可防止勒索病毒經由電子郵件閘道、網站閘道或是 Office 365 進入您的使用者端。
端點：趨勢科技 Smart Protection Suite 採用行為監控、應用程式控管和漏洞防護來偵測端點上的勒索病毒，避免企業必須為了救回資料而被迫支付贖金。
網路：趨勢科技 Deep Discovery Inspector 可偵測並攔截網路上的勒索病毒，防止它擴散至其他端點和伺服器。
伺服器：趨勢科技Deep Security能保護實體、虛擬及雲端伺服器，防止駭客取得企業最寶貴的資料。

RaaS 服務背後的犯罪集團，必須靠著他們的「客戶」(也就是使用其服務的犯罪分子) 來入侵企業系統，才能獲得不法利益。因此，他們會盡可能確保攻擊能夠遍地開花。這波風潮短期內應該不會消失，所以，別讓您的企業成為下一個受害者，成為駭客在深層網路上提高聲望的墊腳石。教育您的員工，備份您的檔案，最重要的是：部署一套多層式防護來保護您的資料。最終您會發現，您所花費的時間和金錢，都將值得。

原文出處：Protecting Your Enterprise against a New Generation of Cybercriminals)

網站連不上？可能是針對伺服器的FAIRWARE新勒索病毒造成

2016 年 09 月 08 日2016 年 09 月 07 日趨勢科技 TrendMicro

新一波的勒索病毒 Ransomware (勒索軟體/綁架病毒) FAIRWARE變種,會攻擊在Linux伺服器上運作的網站。

在Bleeping Computer論壇上的一篇貼文指出,受害者認為自己的系統遭受暴力破解攻擊而被取得權限。一旦進入伺服器，據稱攻擊者會加密並移走網頁目錄內的內容，刪除原始檔案並且留下訊息要求支付2 比特幣贖金來取回檔案。當然，網頁目錄內容被移除的伺服器會無法使用，這對於重要的網頁應用程式來說是很嚴重的問題。受害者被警告要在兩週內支付贖金，不然就無法取回檔案，而且可能會被公開外洩。

目前還不清楚FAIRWARE勒索病毒作者在刪除檔案前是否真的有先移走，還是只是試圖迫使受害者支付贖金。到目前為止，還沒有發現有受害者支付贖金到勒贖通知內指定的比特幣錢包，但不排除當有價值的資料被綁票時，會有受害者支付贖金換回檔案。繼續閱讀