漏洞懸賞計畫與漏洞研究的具體成效

2017 年 07 月 07 日2017 年 07 月 12 日趨勢科技 TrendMicro

我們擁有全球最大不限廠牌的漏洞懸賞計畫「Zero Day Initiative」(ZDI)，因此有機會收到各式各樣的軟體漏洞。ZDI 所收到的軟體漏洞，其嚴重性從輕微困擾到超級破壞性不等，這是很正常的狀況。一般來說，漏洞懸賞計畫的目標，就是要盡可能網羅越多漏洞。至於收到漏洞之後該怎麼處理，那就看計畫團隊如何決定。在 ZDI，我們不僅會設法解決漏洞 (這一點我們似乎做得比其他機構來得好)，而且我們還會設法阻止駭客利用漏洞從事進階攻擊。

當然，偵測及防範持續性滲透攻擊本身就是一項艱難挑戰，實際的情況總是不免要經歷一番危機才能真相大白。最近，維基解密 (WikiLeaks) 公布了一批據稱是美國情治單位所用的駭客工具，這正是 ZDI 懸賞計畫影響駭客攻擊方式的最佳範例。事實上，若維基解密的資料屬實，那美國中情局 (CAI) 將因 ZDI 的行動而被迫改用其他工具。

2010 年，震驚全球的 Stuxnet 病毒讓伊朗核武計畫的離心機受到嚴重損壞。Stuxnet 有三個核心元件：一個是用來隱藏自己的 Rootkit、一個是負責主要攻擊的蠕蟲，另一個是用來散布蠕蟲的自動執行捷徑檔。為此，Microsoft 釋出了多個安全更新來修補相關漏洞，包括解決捷徑檔漏洞的 MS10-046。這項修補使用了一個白名單來確保只有經過核准的檔案才能使用，很多人認為這樣的做法確實有效。不過，根據維基解密公布的文件顯示，一個叫做「EZCheese」的工具直到 2015 年為止一直都在攻擊一個類似的捷徑漏洞。這樣的改變是因為 ZDI 漏洞懸賞計畫已收到多個證明 MS10-046 更新修補無效的漏洞。駭客改用另外一個當時未知的捷徑漏洞 (Lachesis/RiverJack)，源自於作業系統的「library-ms」功能。儘管 Microsoft 並未特別說明，但這另一個捷徑漏洞很可能在 CVE-2017-8464 釋出之後已經解決。繼續閱讀

機器人如何變壞?

2017 年 06 月 29 日2017 年 06 月 29 日趨勢科技 TrendMicro

測試工業機器人的安全極限

今日世界在各方面都極度仰賴工業機器人，然而，目前的機器人生態體系在安全方面是否足以抵擋駭客的網路攻擊？

機器人可不可能遭到駭客入侵？

基於效率、準確與安全的理由，工業機器人在許多大型生產線上早已取代了人力。這些可程式化的機械裝置，幾乎已遍及各種工業領域：汽車、飛機零件製造、食品包裝，甚至提供重要的公共服務。

很快地，機器人將成為現代化工廠一項普遍的特色，因此，我們有必要停下來思考一下，當今的工業機器人生態體系在安全上是否足以抵擋網路攻擊？這是我們前瞻威脅研究 (FTR) 團隊以及我們的合作夥伴 Politecnico di Milano (POLIMI) 在檢視今日工業機器人攻擊面時所共同思考的一個問題。更重要的是，我們希望藉由這次的機會來證明這些機器人是否真的有可能被入侵。

以下影片當中的攻擊示範，是在實驗室環境下針對工廠實際會用的工業機器人所做的測驗。由於今日工業機器人在結構上大同小異，此外也有嚴格的標準，因此，本研究所用的機器人對於為數眾多的工業機器人來說，可算具有代表性。

所謂的工業機器人，就是一套「經由自動控制、可重複程式化、多重用途的操作手臂，具備三軸或更多軸可程式化，可固定於某地，也可四處行動，主要應用於工業自動化。」

機器人可能遭到什麼樣的攻擊？

一具工業機器人需要多個部位共同配合才能順利加以操作。程式化人員或操作人員通常透過遠端存取介面，如：教導盒 (teach pendant) 來經由網路來下達一些高階指令給控制器。控制器 (基本上就是一台電腦) 接著將指令轉換成低階的指令給機器手臂的各個部位去解讀並執行。繼續閱讀

MS-17-010：EternalBlue對SRV驅動程式的Large Non-Paged Pool溢位

2017 年 06 月 03 日2017 年 06 月 26 日趨勢科技 TrendMicro

EternalBlue的漏洞攻擊碼在五月成為受人注目的焦點，因為它和過去數周出現的大規模惡意軟體攻擊大有關聯 – 知名的 WannaCry(想哭) 勒索蠕蟲、無檔案勒索病毒UIWIX、SMB蠕蟲 EternalRocks以及電子貨幣採礦惡意軟體Adylkuzz。

EternalBlue（微軟釋出MS17-010修補）是關於Windows SMB 1.0（SMBv1）伺服器如何處理特定請求相關的安全漏洞。一旦攻擊成功，就可以讓攻擊者在目標系統上執行任意程式碼。EternalBlue及其他被駭客集團Shadow Broker所流出漏洞攻擊碼的嚴重性和複雜性被認定為中到高的程度。

趨勢科技進一步的研究EternalBlue內部運作來更加地了解此漏洞攻擊如何運作，並提供關於此漏洞攻擊肆虐世界各地不同產業組織的技術見解。

《延伸閱讀》與 WannaCry 較勁?!「EternalRocks」一口氣用同個駭客集團外流的七個漏洞展開攻擊

漏洞分析

Windows SMBv1的核心函式srv!SrvOs2FeaListToNt在處理檔案延伸屬性（FEA）時，Large Non-Paged核心集區記憶體（kernel pool memory）存在緩衝區溢位的漏洞。srv!SrvOs2FeaListToNt在將FEA列表轉換成NTFEA（Windows NT FEA）列表前會呼叫srv!SrvOs2FeaListSizeToNt來計算所接收FEA列表的大小。按順序進行下面操作：

srv!SrvOs2FeaListSizeToNt會計算FEA列表大小和更新所接收FEA列表大小
因為錯誤的WORD類型轉換造成FEA大小比原值大
當FEA列表重複地被轉換為NTFEA列表時，非分頁集區（non-page pool）會出現溢位，因為原本的總列表大小被誤算

溢位分析

我們的溢位分析是根據srv.sys 6.1.7601.17514_x86。有漏洞的程式碼可以用srv!SrvSmbOpen2觸發。追踪如下：

00 94527bb4 82171149 srv!SrvSmbOpen2

➜ SrvOs2FeaListSizeToNt() 繼續閱讀

【資料圖表】如何防止保全系統遭到網路攻擊?

2017 年 06 月 01 日2017 年 06 月 02 日趨勢科技 TrendMicro

一般建築，不論商業大樓或私人住宅，通常都設有保全系統來保障重要資產的安全。從簡單的門禁管理到全面的監控攝影與警報系統，都算是保全系統。而且隨著這類系統日益複雜，大樓管理員也開始需要更方便的管理方式。

為了能夠更快、更容易掌控，保全系統開始慢慢連上網路。一些智慧型大樓，更是採用中央監控管理系統。值勤的人員直接從中控室就能過濾消防警報、查看是否有動作感應器被觸動，或者查看每一樓的監視畫面。通道入口的人員進出權限也可以從遠端直接更改。換句話說，實體保全正在逐漸數位化。

不僅如此，保全系統的裝置也逐漸變得複雜，門禁部分可能用到證件讀卡機、外出開關 (REX)、門管控制器、管理軟體等等整套系統。監視部分則包括了攝影機、數位錄影機、檢視軟體等等。而且大樓通常還會安裝各種警報裝置，例如：防闖感應器、消防警報器、滅火系統、動作感應器等等。繼續閱讀

與 WannaCry 較勁?!「EternalRocks」一口氣用同個駭客集團外流的七個漏洞展開攻擊

2017 年 05 月 24 日2017 年 05 月 24 日趨勢科技 TrendMicro

一個名為「EternalRocks」的最新惡意程式，不僅會攻擊 ShadowBrokers 駭客集團從美國國安局 (NSA) 外流並被惡名昭彰的 WannaCry(想哭)勒索病毒/勒索蠕蟲所利用的 EternalBlue 和 DoublePulsar 兩個漏洞，還會攻擊其他五個由同一駭客集團所外流的漏洞：EternalChampion、EternalRomance、EternalSynergy、ArchiTouch以及SMBTouch。這些都是針對 Microsoft Server Message Block (SMB) 網路資源 (如檔案及印表機) 分享通訊協定的漏洞。

建議企業或個人使用者都該盡速更新修補自己的系統,即刻未雨綢繆,防患未然!

感染目標裝置後，會分兩階段執行安裝程序

EternalRocks 惡意程式最早是由科羅埃西亞電腦緊急應變小組 (CERT) 資安研究員 Miroslav Stampar 所發現，該惡意程式在感染目標裝置後，會分兩階段執行安裝程序。在第一階段，惡意程式會下載 TOR 用戶端來建立通訊管道，接著再透過該管道與其幕後操縱 (C&C) 伺服器通訊。令人意外的是，該 C&C 伺服器並不會立即做出回應，而是等過了 24 小時之後才回應。這樣的延遲設計，很可能是為了躲避沙盒模擬分析技巧的測試以及資安人員的分析。繼續閱讀