企業資安 - 資安趨勢部落格

Memcached DDoS 攻擊的 PoC 漏洞程式碼遭公開,自我防禦四措施

2018 年 03 月 16 日2018 年 03 月 15 日趨勢科技 TrendMicro

三月初發生了兩起破記錄的分散式阻斷服務 (DDoS) 事件。第一起是 GitHub 遭到史無前例 1.35 Tbps 的 DDoS 攻擊；五天後 Arbor Networks 證實，一家美國服務供應商遭到 1.7 Tbps 的 DDoS 攻擊。自從攻擊者開始濫用 Memcached 伺服器放大資源，分散式阻斷服務攻擊 (DDoS) 攻擊的等級就急遽上升。

Memcached 伺服器如何遭到濫用？

攻擊者假冒目標的 IP 位址，向許多 Memcached 伺服器送出請求，而目標接收到的回應流量，可能高於請求本身 50,000 倍，導致受害者的網站遭到龐大的惡意流量轟炸。這種手法類似於反射攻擊，其曾在 2013 年及 2014 年引發災情，但這次使用的服務不同，威力更加強大。

最近，Memcached 放大式攻擊的兩種概念驗證 (PoC) 漏洞程式碼，顯示出這類大規模 DDoS 攻擊的發動方式。第一個PoC 名為 Memcrashed，位於 Python 指令碼中，其藉由 Shodan 搜尋引擎鎖定易受攻擊的 Memcached 伺服器，再透過它們攻擊目標。只需幾秒鐘執行工具，就能完成這項過程。

第二個 PoC 則發佈在 Pastebin 上，其以 C 語言寫成，附有 17,000 個易受攻擊的 Memcached 伺服器清單。這個指令碼會使用清單上的伺服器，針對特定目標發動 DDoS 攻擊。

使用者該如何緩解這類威脅？

DDoS 攻擊利用 Memcached 伺服器的消息傳出後，尋求解決方案的討論也隨之展開。除了通用的 DDoS 防護服務以外，有位研究人員提出一種針對 Memcached 伺服器的緩解技術。

這項「銷毀開關 (kill switch)」的機制經測試證實完全有效。採取「全部清除」的方法，可使易受攻擊的伺服器快取徹底失效，進而阻止 DDoS 攻擊者的惡意酬載。

許多網站業主隨後展開行動，報告指出，數台明顯易受攻擊的 Memcached 伺服器在首起 DDoS 攻擊發生後停止運作。Memcached 團隊也著手處理伺服器濫用的問題，並於 2 月 28 日的安全版本更新中發佈 1.5.6 版。

除了將伺服器更新至最新版本，並使用「全部清除」的緩解技術之外，擔心遭受 DDoS 攻擊的使用者還可採取以下四個措施：

確認伺服器是否必要開放外部存取，並盡量避免使用可公開存取的工具。
確保上游供應商不只一家，如此在主要供應商遭到大量攻擊時，即可容錯轉移至其他連結。
確認網路供應商採取防偽措施 (例如 BCP38 和 84)，以免 DDoS 反射攻擊使用這類假冒封包入侵網路。
確認網路是否有良好的流量監控功能 (傳入和傳輸流量均需要)，並使用網路入侵防護工具，例如趨勢科技的Deep Discovery Inspector及 TippingPoint。趨勢科技Deep Security 也提供多種網路安全功能，如深度封包檢測、入侵防禦 (IPS)、主機防火牆等。已發佈下列 IPS 規則，以利主動防範上述威脅：
– 1008918-Identified Memcached Amplified Reflected Response
– 1008916-Identified Memcached Reflected UDP Traffic

DDoS 攻擊強度遽增，如今隨著 PoC 公開，預計攻擊會越來越頻繁。網路罪犯也會不斷嘗試強化威脅，並設法從攻擊中牟利。使用者必須保持優勢，搶先行動，保護好伺服器安全，防患於未然。

◎原文來源:PoC Exploits for Memcached DDoS Attacks Published Online

了解網頁竄改（Web Defacement）的動機和作法

2018 年 03 月 12 日2018 年 03 月 02 日趨勢科技 TrendMicro

突發事件會引發特定的網頁竄改（Web Defacement）攻擊；查理週刊總部槍擊案和對敘利亞阿勒坡的攻擊都引發一連串的網頁竄改活動。近 20年來網頁竄改的手法有何演進?

網頁竄改（Web Defacement）長久以來被攻擊者利用來駭入網站並進行破壞。這些攻擊者（被稱為Web Defacer）通常會將原本的網頁置換成自己的內容，大膽地去表達政治或社會訴求。這並不新，而是長期以來都有的現象。趨勢科技分析了近20年來的資料，可以看到進行網頁竄改的手法到目前都還在用。

之前的研究都專注在偵測這些攻擊，並沒有探討其背後的原因或動機。駭客主義者（Hacktivist）佔了其中一部分，他們利用網頁竄改來表達他們的訴求，不過Web Defacer可能有許多不同的動機。我們研究的重點在於會觸發網頁竄改的事件和攻擊者所用的方法。我們檢視來自世界各地多達1,300萬份的相關報告。利用機器學習收集、分析和關聯這些報告，以便更加深入了解網頁竄改的模式。

網頁竄改的原因

我們的研究顯示駭客進行網頁竄改往往是由於政治事件或衝突所造成,許多知名的網頁竄改活動都不是單一事件，而是有不同攻擊者發動和支持。

大部分的攻擊都跟近幾十年來的激烈政治衝突有關。突發事件會引發特定的網頁竄改攻擊；查理週刊總部槍擊案和對敘利亞阿勒坡的攻擊都引發一連串的網頁竄改活動。

在某些案例中，網頁竄改攻擊起因於邊界衝突或政治立場的對立。南海周邊的幾個國家現在正捲入領土爭議，Defacer也在網路上攻擊對方。被稱為“#OpIndia”的活動涉及印度與其鄰國孟加拉和巴基斯坦間的邊界糾紛，而“#OpIsrael”則是以色列和巴勒斯坦間爭議的現代表現方式，這爭議可追溯至四十年代。

網頁竄改的團體及其策略

進行網頁竄改的團體有很多種。通常都是本地駭客為了共同議題而進行，但有時候活動也可能變得國際化。這些團體利用社群媒體來相互溝通，取得支援、組織活動。他們也互相分享工具。有時候，他們會在進行網頁竄改時使用特定範本，這些都會傳送給支持者。

而且還不止於此。Defacer之間會分享駭客工具和教學影片，甚至是漏洞攻擊碼。他們的犯罪行為會趨於越來越升級。

Web Defacer的演進

目前多數的攻擊團體並不會從網頁竄改中獲利。不過隨著這些攻擊者不斷成功地攻擊網站，對任何駭客來說下一個階段都是為了可以從活動中獲利。這對獲得受駭網站存取能力的他們來說是很容易的。比方說他們可以被置換的網頁中進行惡意的重新導向或放置漏洞攻擊碼，以便在訪客電腦上安裝勒索病毒 Ransomware (勒索軟體/綁架病毒)。

進行網頁竄改的駭客很可能轉進到更為激烈，被利益驅動的活動。

請到這裡參考趨勢科技在這方面的研究。

@原文出處：Understanding Motivations and Methods of Web Defacement

2017年勒索病毒損失金額成長4倍達50億美元;去年 10 月挖礦程式突破10萬關卡

2018 年 03 月 08 日2018 年 03 月 08 日趨勢科技 TrendMicro

趨勢科技2017年度資安總評報告 以獲利為主的駭客攻擊稱王

籲防範新型態網路犯罪留意歐盟通用資料保護法（GDPR）詐騙

【2018年3月8日台北訊】全球網路資安解決方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）今天發表2017年資安總評報告「2017 年資安總評：弔詭的網路威脅」，指出2017年勒索病毒、加密虛擬貨幣挖礦程式，以及變臉詐騙（BEC）數量持續攀升，成為網路犯罪集團的主要攻擊手法。其中勒索病毒造成全球企業損失金額較2016年狂增4倍達50 億美元，而台灣受勒索病毒的攻擊全球排名更上升兩名，在2017年遭攻擊千萬次以上^[1]。此外，全球變臉詐騙（BEC）損失也較2016年累積金額多出23億美元，顯見網路犯罪集團已不斷精進其針對性攻擊手法，創造更高獲利。趨勢科技警告這股趨勢將延續至2018年，且伴隨歐盟新的資料保護法即將在5月上路，需要遵守這項法規的企業恐將成為不法人士進行數位詐騙的目標。

報告顯示加密虛擬貨幣挖礦惡意程式數量在2017年10月已突破10萬關卡。同時 IoT 裝置被利用來進行加密虛擬貨幣挖礦活動即達4,560萬次以上 — 報告顯示加密虛擬貨幣挖礦惡意程式數量在2017年10月已突破10萬關卡。被利用來進行加密虛擬貨幣挖礦活動即達4,560萬次以上同時 IoT 裝置被利用來進行加密虛擬貨幣挖礦活動即達4,560萬次以上

趨勢科技在先前的2018年資安預測即指出，網路犯罪集團已開始逐漸拋棄使用漏洞攻擊套件亂槍打鳥的手法，轉而採用更有策略的針對性攻擊來提升投資報酬率。此份最新報告也再次提醒，駭客很可能開始鎖定一些需要遵守最新歐盟通用資料保護法（GDPR）的企業，先根據網路公開資訊計算出目標企業在發生資料外洩時可能面對的最高罰鍰，再入侵該企業並要求一筆低於該罰鍰的贖金，迫使目標企業只能乖乖付錢。

對此，趨勢科技全球威脅通訊總監Jon Clay表示：「2017年資安總評報告所揭露的威脅情勢就如同過去一樣詭譎多變，網路犯罪集團不斷開發提高其獲利的方法，不論是財物、資料或商譽，歹徒總是策略性地鎖定企業最有價值的資產發動攻擊。面對多樣化的威脅，企業需要一套跨世代的解決方案加上最新防禦技巧，才能協助企業有效降低風險。」繼續閱讀

企業資安:BEC 變臉詐騙最愛用”採購訂單”當網路釣魚檔名

2018 年 03 月 08 日2018 年 03 月 06 日趨勢科技 TrendMicro

變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC） (Business Email Compromise，亦稱「商務電子郵件入侵」，簡稱 BEC) 這幾年來在全球瘋狂成長，專家預測這項威脅在 2018 年將達到 90 億美元的規模。由於變臉詐騙手法簡單有效，因此未來肯定將持續成為歹徒最青睞的攻擊之一，尤其是那些缺乏專業工具、知識和技術而無法從事其他複雜攻擊的不肖之徒。

去年我們趨勢科技花了九個月的時間 (2017 年 1 月至 9 月) 仔細研究了各種變臉詐騙案例，希望能從中發掘一些發展趨勢以及歹徒使用的工具和技巧，進而描繪出今日變臉詐騙的整體樣貌。

變臉詐騙兩大技巧

網際網路犯罪申訴中心 (Internet Crime Complaint Center，簡稱 IC3) 將變臉詐騙分成五大類型。不過，我們在追蹤研究的期間發現，變臉詐騙可根據其攻擊技巧只分成兩大類：

竊取帳號登入憑證：這類技巧通常使用鍵盤側錄程式和網路釣魚套件來竊取目標企業網頁郵件 (webmail) 的帳號密碼。
單純利用電子郵件：這項技巧基本上是發送一封電子郵件給目標企業財務部門的員工，其對象通常是企業的財務長 (CFO)。這封電子郵件會假冒企業的高階主管，並要求員工匯一筆款項給某供應商或外包商，或是幫其個人暫時代墊某筆款項。

竊取帳號登入憑證的技巧還可細分為兩種：第一種使用的是惡意程式，另一種使用的是網路釣魚。

變臉詐騙最喜歡的檔名:採購訂單

在仔細觀察惡意附件檔案的樣本之後，我們發現歹徒使用的附件檔名有一定的規律，以下就是最常用的幾種檔名類型：

惡意程式附件檔最常使用的幾種檔名類型
(根據 VirusTotal 的樣本)。

在使用惡意程式的變臉詐騙方面，最活躍的惡意程式有兩個：第一個是叫做「Ardamax」的軟體，售價 50 美元，提供了變臉詐騙所需的基本功能，另一個叫做「LokiBot」，是變臉詐騙集團越來越常用的惡意程式家族。
反觀單純採用電子郵件的變臉詐騙則主要仰賴社交工程技巧。雖然社交工程技巧原本就是大多數變臉詐騙的重要元素之一，但純粹使用電子郵件的變臉詐騙，其社交工程技巧要高明許多，很能掌握人類的心理。簡單來說，這類攻擊會讓電子郵件看其來相當具說服力，並且會巧妙運用電子郵件的「主旨」、「回覆地址」及「寄件人」等欄位。

刻意註冊看似受害機構高階主管個人的電子郵件，或註冊模仿被害企業的網域。

除了前述手法之外，變臉詐騙集團還會註冊一些看似受害機構高階主管個人的電子郵件地址。他們會到一些狡猾的免費網頁郵件服務開立信箱，或者註冊一個模仿被害企業的網域。

變臉詐騙電子郵件所用技巧的分布情況大致如下：
電子郵件變臉詐騙所使用的技巧 (回覆地址、狡猾的網頁郵件、模仿被害企業的網域)。

此外，我們也研究了一下歹徒如何取得他們的犯案工具，尤其是攻擊中所使用的網路釣魚網站。變臉詐騙集團最常用使用網路釣魚套件來發動攻擊。我們從研究案例當中找到了一名變臉詐騙歹徒，並且找出他所使用的工具以及取得管道。

趨勢科技在好幾個網路釣魚網站發現這名歹徒的蹤跡，因此推論變臉詐騙嫌犯應該都會架設多個網路釣魚網站來從事詐騙。他們大多活躍於地下犯罪市場，並且從中取得他們所需的詐騙工具。而且，地下市場甚至還有一些專門給變臉詐騙新手的教學資源，協助他們快速上手。換句話說，變臉詐騙歹徒可以很輕易地獲得它們所需的工具和技巧。這份研究主要是希望能讓大家對變臉詐騙有一番更清楚的認識，包括：最新發展趨勢、歹徒的工具和技巧，以及一般消費者和企業該如何防範這類攻擊。

➔ 完整報告：變臉詐騙 (BEC) 技巧發展趨勢追蹤

原文出處：Delving into the World of Business Email Compromise (BEC)

Oracle 伺服器漏洞遭駭客用來散布門羅幣 (Monero) 挖礦程式

2018 年 03 月 02 日2018 年 03 月 02 日趨勢科技 TrendMicro

加密虛擬貨幣突然爆紅，已經讓資安威脅情勢大為改觀。網路犯罪集團開始調整其人力和資源，將加密虛擬貨幣定為優先要務，包括直接竊取比特幣錢包或入侵網路和裝置並用於挖礦。歹徒看上加密虛擬貨幣其實已不是新聞，勒索病毒駭客集團多年來一直偏愛比特幣 Bitcoin 為其勒索贖金的管道。不過，趨勢科技從 2017 年 10 月下旬開始在一些行動裝置應用程式商店看到手機挖礦惡意程式，到了 2017 年 12 月，Digmine 加密虛擬貨幣挖礦程式開始藉由社群媒體即時通訊散布。

而現在，駭客正利用一個已經修補的 Oracle WebLogic WLS-WSAT 漏洞 (也就是可讓駭客從遠端執行程式碼的 CVE-2017-10271 漏洞) 來散布兩個加密虛擬貨幣挖礦程式，分別是 64 位元和 32 位元的 XMRig 門羅幣挖礦程式。兩個版本分別對應不同版本的 Windows 作業系統。「圖 1」顯示此漏洞攻擊程式碼仍在開發當中。此份報告所分析的是最新版本的惡意程式。