只有密碼能放心嗎？
登入社群網站及網路購物等網站時，大多數必須輸入帳號/密碼。帳號/密碼機制可用來證明存取該網站的是本人，防止其他人擅自登入。如果將各個網站比喻為住家，帳號/密碼就像是住家的鑰匙。
但是，即使採用帳號/密碼進行認證，若被惡意的第三者發現帳號/密碼，或是遭到盜取時，就可能會被盜用身份而非法登入。就像是家裡的鑰匙被偷走而遭到入侵一樣。
近年來，採用兩步驟驗證的網際網路服務持續增加。 繼續閱讀
分類: 企業資安
【勒索軟體】鎖定中小企業的TorrentLocker和CryptoWall改變戰術
勒索軟體 Ransomware背後的惡意份子已經將目標放到消費者以外，將攻擊延伸到中小企業（SMB）。這區塊是勒索軟體 Ransomware很好的潛在目標，因為中小企業不太會有如大型企業那樣複雜的解決方案。同時中小企業主也通常有能力支付贖金。
此外，中小企業也不太可能具備如大型企業那樣全面的備份方案，增加支付贖金的可能性。想像一間擁有少於50名員工的公司。裡面的主管收到了一封內嵌看似正常網址的電子帳單郵件。他們點了連結而導致感染勒索軟體 Ransomware。不幸的是該公司並沒有備份資料。因此會讓他們傾向選擇支付贖金以換回檔案。但付錢取回檔案很可能會鼓勵網路犯罪分子在未來進行更多波攻擊。
這轉變中我們所看到最明顯的例子是TorrentLocker和CryptoWall，這是現今最持久也最大量的勒索軟體 Ransomware變種。
從2015年六到七月，趨勢科技觀察到多數點入CryptoWall相關電子郵件內惡意連結的使用者屬於中小企業用戶。
< Targeted attack >「Cuckoo Miner」侵占合法電郵,攻擊銀行機構
一般我們在分析一項威脅時，都會將其惡意程式當成元凶或主要對象來分析。然而，研究其他相關的元件卻可以看到威脅的全貌，反而能比單獨研究二進位程式碼掌握更多的細節。
唯有將目光放遠，超越惡意檔案，才能看出一群原本不相干的網路釣魚（Phishing）郵件，其實都是同一起肆虐全球銀行和金融機構的攻擊行動。駭客利用其他銀行的電子郵件帳號來發送網路釣魚（Phishing）郵件到他們鎖定的銀行，企圖進入該銀行的電腦，進而加以遠端遙控。我們將這起攻擊行動稱為「Cuckoo Miner」(杜鵑鳥礦工)。因為駭客侵占合法電子郵件信箱的手法，很像杜鵑鳥欺騙別的鳥來養大它們的雛鳥、進而鳩佔鵲巢的方式很像。
除了攻擊行動本身的資料之外，我們也發現這起行動和其他攻擊有所關聯： HawkEye、CARBANAK 以及 GamaPOS。
Cuckoo Miner 攻擊行動的第一步
想像一下以下情境：某家大型金融機構的出納櫃台人員 Bob 收到了一封電子郵件。這封電子郵件乍看之下一切正常，內文只有一行，接著就是另一家銀行的簽名資料，並且附上一個 Microsoft Word 文件附件檔案，叫做「ammendment.doc」。
圖 1：「垃圾」電子郵件。
Bob 開啟了這份 Word 文件，裡面寫道：「Hey….」 Bob 看了一頭霧水，索性關掉 Microsoft Word 文件並刪除這封郵件，接著繼續查看其他郵件。但他卻不曉得，光是開啟這份 Microsoft Word 文件，他就已經讓他的電腦 (以及整個分行) 的門戶洞開。
Bob 的情況並非特殊案例，這其實是一起大型的針對性攻擊/鎖定目標攻擊(Targeted attack )。
趨勢科技主動式雲端截毒服務 Smart Protection Network全球情報威脅網路在今年 8 月 4 日偵測到至少有 17 個國家 (包括印度、瑞士、美國等等) 境內的電子郵件伺服器 (不論在企業內或在雲端) 所屬的銀行和金融機構員工都收到了同樣的電子郵件。這些受害的機構皆位於歐洲、中東、非洲 (EMEA) 以及亞太地區 (APAC)。這些電子郵件只針對一群特定的收件人，而且只在該日發送以避免被察覺。
圖 2：受害伺服器分布地理位置。
使用多重 RAT 遠端存取工具
該行動使用的 Microsoft Word 文件會攻擊 CVE-2015-1770 漏洞，進而在系統內植入另一個檔案，該檔案會另外啟動一個「svchost.exe」執行程序。 但這個「svchost.exe」事實上是一個遠端存取工具 (RAT) 叫做「Utility Warrior」。
圖 3：svchost.exe。
不過，駭客還不光使用 Utility Warrior 這個 RAT 工具，他們在為期數個月的攻擊行動當中接連使用了多個 RAT 工具，最早可追溯至 2015 年 1 月，而且各工具的使用期間大多彼此重疊。
圖 4：不同期間所使用的 RAT 工具。
一旦 RAT 工具成功和幕後操縱伺服器取得聯繫，駭客就能自由操縱受感染的電腦，他們可透過 RAT 工具查看系統上有哪些資源、安裝了哪些程式、過濾端點裝置上的資料，此外，還可以從端點裝置直接下載資訊。
從駭客所使用的 RAT 工具非常廣泛就能看出，惡意程式作者在駭客圈內非常活躍，而駭客們彼此之間的關係也非常密切。此外我們也觀察到，駭客很樂意嘗試新的 RAT 版本，並且很快就能將新版 RAT 工具融入他們的攻擊行動當中。
重複使用的憑證以及與 CARBANAK 的淵源
此攻擊行動絕大多數的 RAT 工具使用的電子憑證都是簽發給一個名為「ELVIK OOO」的機構，而且有多個憑證是不斷重複使用。理論上，憑證中的序號是由憑證簽發機構所核發，而且 每個憑證都有自己的序號。
圖 5：憑證範例。
還有一件值得注意的是，我們也曾見過一個 Anunak (也就是 CARBANAK) 攻擊行動的樣本也是使用這個憑證來簽署。然而更重要的是其中含有「arablab」字樣：
圖 6：Arablab 字樣。
從我們擷取到的封包內容可看到「 ArabLab0 」字樣緊跟著一串16 進位碼：「 e4fd2f290fde5395 」，這其實就是一台殭屍電腦識別碼 (BOT ID)，也就是：「 ArabLab0e4fd2f290fde5395」。
這個「Botnet傀儡殭屍網路」識別碼讓我們想起我們在 2014 年 6 月的一項研究發現。我們發現「arablab」是一位使用 Citadel 和 Zeus 來攻擊銀行的駭客。此外，值得一提的是，「arablab」也會利用 Microsoft Office 文件漏洞 CVE-2010-3333 來攻擊某些特定人士，並且從事奈及利亞 (419) 詐騙。儘管攻擊不同，但目標是一樣的，那就是：盜取錢財。 繼續閱讀
什麼是針對性目標攻擊?與「APT攻擊」有何差別?
針對性攻擊/鎖定目標攻擊(Targeted attack ) 為何有本事能輕易將民間業者搞得天翻地覆，也能將政府搞得人仰馬翻?它跟 APT 攻擊有何差別?
如果以槍枝作比較,「針對性目標攻擊」是一般手槍;而「APT攻擊」是最高科技軍規步槍。
什麼是針對性攻擊/鎖定目標攻擊 ( Targeted attack )?
針對性攻擊/鎖定目標攻擊 ( Targeted attack,以下簡稱針對性目標攻擊 ) 的三個特性:
1.非亂槍打鳥,有具體攻擊目標，花長時間布局2.主要目的是滲透目標網路和竊取資訊3.非短暫攻擊,而是持久戰,攻擊者花費相當大的努力確保攻擊在一開始滲透網路並取出資料後能夠繼續下去。
針對性目標攻擊並非自動化、機會主義或無差別式的攻擊,該攻擊是深思熟慮、有目的性且持久性的攻擊。而且往往過了數年才被發現，且事件爆發時已經有數千甚至數百萬的客戶紀錄或資料被竊。雖然針對性目標攻擊在某種程度上也帶有金錢動機，但其攻擊的主要目標總是在竊取資訊。比如常見的資料外洩事件新聞: Sony被駭、Target資料外洩和Ashley Madison偷情網站入侵事件。
就如它們在新聞中所聽起來的那樣驚人跟破壞性，資料外洩本身並不足以描繪整個故事。 針對性目標攻擊所做的比扳倒大公司還要多，它們也用在對付國家及其政府機構的網路間諜活動。
針對性目標攻擊跟 APT 攻擊是同一件事嗎?
針對性目標攻擊常跟「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）聯想在一起,事實上兩者是有差異的。如果以槍枝作比較,「針對性目標攻擊」是一般手槍;而「APT攻擊」是最高科技軍規步槍-在複雜度、工程性和使用者上有所不同。
APT攻擊是使用自製程式碼與工具的攻擊 — 不只是像針對性目標攻擊是由駭客所製造的那樣，而是來自一群有才華、有領薪水的工程師。APT 攻擊也可能是國家贊助的攻擊 — 這代表它們背後實際上是政府，而不像是針對性目標攻擊的背後是一小群駭客。
APT攻擊的規模和火力跟針對性攻擊/鎖定目標攻擊(Targeted attack )比起來都更為嚴重，並且只針對真正的大目標，像是國防承包商和其他政府機構。跟 針對性目標攻擊Targeted attack )比起來，企業可能比較不需要加以擔心，但最好還是兩者都加以防範，以防萬一。
像趨勢科技Deep Discovery威脅保護平臺這樣的解決方案可以讓企業偵測、分析和回應複雜的惡意軟體、 針對性目標攻擊(Targeted attack )和APT攻擊等現代威脅。
針對性攻擊/鎖定目標攻擊(Targeted attack )跟激進駭客主義（hacktivism）有何不同？
激進駭客主義（hacktivism）或激進主義相關的駭客攻擊跟針對性目標攻擊不同，因為前者有著一次性與破壞性質。他們往往更像是非法騷擾 — 不那麼有害而比較容易處理，就像是在牆壁塗鴉一樣。激進駭客攻擊往往不會出現網路滲透，很少或沒有出現資訊竊取。
他們也會以誇張的做法來追求最大的能見度 — 目的是被看見，而非針對性目標攻擊那樣設計成不被注意到。
針對性目標攻擊跟網路犯罪活動有何不同？
針對性攻擊/鎖定目標攻擊(Targeted attack )跟網路犯罪活動的最大區別是範圍。網路犯罪活動的目的是在最短時間（在資安公司反應前）內盡可能找到最多受害者。
而另一方面， 針對性目標攻擊行動的範圍十分限縮 — 通常將目標限制在一家公司或組織。有時範圍甚至會進一步縮小到組織中的特定員工或一小撮員工。所有的工作、努力跟研究都是為了確保目標上鉤落入他們的圈套 — 然後讓他們得以進入目標網路。
繼續閱讀2015 上半年行動威脅情勢:每兩個網路銀行 App 程式就有一個是惡意或假冒的程式
2015 上半年行動威脅情勢的焦點在於作業系統、應用程式以及裝置本身的漏洞。過去幾個月來所發生的幾起重大事件和案例顯示這些漏洞已成為歹徒的攻擊管道。此外，越權廣告程式和可能有害的程式 (PUA) 仍是極為普遍的威脅，數以百萬計的使用者因而暴露在惡意廣告與個資蒐集程式的危險當中。
以下是 2015 上半年幾起最重大的行動威脅案例。
內含 MDash 軟體開發套件 (SDK) 的應用程式突顯出線上廣告的危險
一些可能有害的線上廣告不光只是煩人而已，還會在行動裝置上植入惡意程式。
今年二月，Google Play 下架了一些據報由廣告程式偽裝的應用程式，這些內含 MDash 廣告 SDK 的應用程式讓數百萬台裝置感染了越權廣告程式，這就是趨勢科技所偵測到的 ANDROIDOS_ADMDASH.HRX。內含此 SDK 的惡意程式家族可在使用者背後偷打電話並偷偷蒐集資訊，並將資訊傳送至遠端伺服器。此外，還會在已感染的裝置上再安裝其他更惡劣的廣告。
內含 MDash SDK 的 App 程式
根據我們的調查，截至去年 3 月 11 日為止，Google Play 商店上就發現 2,377 個這類 App 程式的 SHA-256 雜湊碼。Google 在接獲研究人員通知之後，立刻展開了調查。
Pawn Storm 攻擊行動使用惡意的 iOS App 繼續閱讀