分類: 漏洞攻擊

Android 行動裝置威脅:Root 改機惡意程式和漏洞攻擊,隨著漏洞數量增加而趁勢崛起

趨勢科技 TrendMicro

趨勢科技 2016 年所攔截到6,500 萬行動裝置威脅,截至 2016 年 12 月為止，我們所蒐集和分析的非重複 Android 惡意程式樣本總數高達 1,920 萬，較 2015 年的 1,070 萬有著飛躍性成長。

就全球來看，目前最普遍的是漏洞攻擊和惡意的 Root 改機程式 。 

根據趨勢科技 Mobile App Reputation Service (MARS) 行動裝置應用程式信譽評等服務，以及 Smart Protection Network™ 全球威脅情報網的統計，2016 年，我們發現了超過 30 個 Android 系統漏洞並通報給 Google 和 Qualcomm。這些資安漏洞分散在 Android 的系統架構、裝置驅動程式以及 Linux 核心。其中有五項是重大漏洞，可能讓駭客取得本地端系統權限 (root) 或者從遠端執行程式碼。在我們所發現的漏洞當中，有 10 個以上可用來駭入系統執行程序，或者用於駭入系統核心。例如，核心加密引擎重大漏洞 (CVE-2016-8418) 可能讓駭客從遠端執行程式碼 (遠端 root 權限)。此外我們也通報了一系列有關 Android 效能系統模組的重大漏洞，可能讓駭客入侵系統核心。而 Android 系統也因為我們和 Google 的合作而增加了一些額外的安全機制。

其他 2016 年揭露較大的 Android 漏洞與漏洞攻擊還有  Dirty COW  (CVE-2016-5195)、Rowhammer (CVE-2016-6728)、Drammer 以及 Quadrooter，全都可能讓駭客取得裝置的系統管理 (root) 權限。

隨著更多資安漏洞被發現，Root 改機惡意程式與漏洞攻擊也因此擁有更多的攻擊管道。CVE-2015-1805 就是一個被收錄到 Kingroot 改機程式當中的漏洞，該程式的下載量已高達 2.9 億次。當該程式的原始碼在網路上公開之後，該程式即不斷出現在各種攻擊當中。至於 Godless (ANDROIDOS_GODLESS.HRX) 則是 使用一個開放原始碼 Root 改機套件，該套件收錄了多種漏洞攻擊程式碼。截至六月為止，已有超過 850,000 台 Android 裝置受害，目前已有超過 79,780 個變種在網路上流傳。

另外還有 Ghost Push，其漏洞攻擊程式碼經常暗藏在 Google Play 商店的一些應用程式當中，目前已有 4,383 個變種在網路上流傳。LibSkin (ANDROIDOS_LIBSKIN.A) 首次出現是在 2016 年 2 月，目前已有 1,163 個變種，它會對受害的裝置進行改機 (Root)，並偷偷下載及安裝其他應用程式，同時竊取使用者的資料。

有關 2016 年最猖獗的 Android 行動惡意程式 (根據趨勢科技偵測數據) 以及趨勢科技 2016 年所揭露的完整 Android 和 iOS/macOS 漏洞清單，請參考這份文件的「附錄」一節。

 

原文出處：In Review: 2016’s Mobile Threat Landscape Brings Diversity, Scale, and Scope

 

CloudFlare漏洞造成潛在的大規模資料外洩

趨勢科技 TrendMicro

全球最大型網路服務公司的程式碼出現嚴重缺陷，導致敏感資料會被外洩到網路上。在部落格的事後檢討文章中，CloudFlare詳細說明了其邊際伺服器如何受到緩衝區溢出的影響，導致對使用CloudFlare服務的網站所發出的請求會返回隨機資料位元，這可能包含了私密資訊如API金鑰、使用者憑證、cookies甚至是私人訊息。外洩資料也被搜尋引擎所暫存，增加了被用在惡意用途的可能性。這個漏洞已經被非正式地稱為「CloudBleed」，因為它跟早期的HeartBleed漏洞有相似之處。

「CloudBleed」一開始是由Google研究人員Travis Omandy所發現，他在觀察到對使用CloudFlare服務的網站所發出HTTP請求的異常行為時回報了此一問題。經過分析，CloudFlare將問題追查至其新的cf-html HTML解析程式。具體地說，這個問題跟存在其舊Ragel解析程式內多年的程式碼錯誤有關，不過問題會浮現是因為切換到新解析程式改變了緩衝機制，導致資料外洩的發生。

CloudFlare的即時回應是停用使用有資料外洩問題HTML解析程式的相關功能。此外，也組成了一個團隊來找出和修復解析程式內的錯誤，他們會設法在短時間內完成任務，在資料被更廣泛擴散前將潛在的傷害最小化。

 

網路使用者應該擔心嗎？

考量到使用CloudFlare服務的網站數量和資料可能遭到外洩的有效時間長度（最早可能從2016年9月），這似乎是件應該擔心的事情，特別是對經常使用CloudFlare相關網站的使用者來說。不過該公司也說明了資料外洩所造成的影響並沒有那麼大。據估計，在2月13日至18日期間所造成的資料外洩影響最大，透過CloudFlare所進行的3,300,300個HTTP請求中有約1個（0.00003%）可能會導致記憶體資料外洩。

這一點再加上CloudFlare對此事件的快速回應，顯示出資料外洩的影響應該很小。不過這起事件還是提醒了所有網路使用者必須要做好準備來保護自己最重要的數位資產 – 特別是包含敏感資料的部分。

因為主要問題並非使用者所能夠控制，所以使用者能做的最佳行動是變更使用CloudFlare基礎設施網站上的密碼。除了變更密碼，這或許也是個好時機讓使用者去採用更有效的驗證方法，如雙因子身份認證。

 

＠原文出處：CloudFlare Flaw Causes Potential Major Data Leak

波蘭銀行和其他金融機構遭受新惡意軟體攻擊

趨勢科技 TrendMicro

2017年 2月，許多的波蘭銀行回報在系統上出現未曾偵測到的惡意軟體變種。受影響的銀行報告了異常行為，包括連到國外的網路流量、加密的可執行檔和使用者工作站上的惡意軟體。惡意軟體分析顯示一旦其下載到工作站後，它會連到外部伺服器並且進行網路探勘、橫向移動和資料流出。

 

該惡意軟體被懷疑是放在波蘭金融監管局（該國的金融監管機構）網站上。有意思的是，研究人員還發現有證據顯示攻擊所用的程式碼跟墨西哥全國銀行及證券監察委員會及烏拉圭銀行所發生攻擊事件內的程式碼相似。

有跡象顯示針對波蘭銀行的攻擊屬於更大規模全球性攻擊活動的一部分，這波攻擊活動針對31個國家的104個金融組織。攻擊者入侵了目標組織的網站，注入惡意程式碼來將訪客重新導向會安裝惡意軟體的漏洞攻擊套件。漏洞攻擊套件是種用來感染訪客的客製化工具，特別是使用目標金融機構所擁有IP地址的使用者。 繼續閱讀

洗劫金融機構超過4500萬美元,第一批運用無檔案感染技術的網路犯罪集團:Lurk

趨勢科技 TrendMicro

無檔案感染技術已經被用來將目標電腦加入「Botnet傀儡殭屍網路」、派送勒索病毒、感染銷售端點（PoS）系統及進行點擊詐騙（click fraud）。

Lurk第一批運用無檔案感染技術的網路犯罪集團,如何從一群威脅分子轉變成完整的網路犯罪組織？

為何Lurk 總選擇在午休時間進行惡意內容派送?

沒有單一網路防禦工具可以處理這些威脅,IT 如何因應?

Lurk 興風作浪的這五年

 

無檔案感染（Fileless Infection）就如同其名：沒有下載或寫入惡意檔案到磁碟就感染了系統。無檔案感染並非新技術或罕見，而且對企業和一般使用者都造成了嚴重的威脅，因為它能夠取得權限並且一直待在攻擊者的目標系統內而不被發現。但是無檔案感染技術已經被用來將目標電腦加入「Botnet傀儡殭屍網路」、派送勒索病毒、感染銷售端點（PoS）系統及進行點擊詐騙（click fraud）。無檔案感染對攻擊者來說，重要的一點是可以先評估中毒系統，確認感染狀態再決定是否繼續或消失無蹤。

典型的Lurk攻擊會利用瀏覽器漏洞將非持久性病毒派送給目標受害者

Lurk屬於第一批在大規模攻擊中有效地運用無檔案感染技術的網路犯罪集團，這些技術之後也成為其他犯罪分子的重要手段。典型的Lurk攻擊會利用瀏覽器漏洞將非持久性病毒派送給目標受害者，在部署其他惡意軟體前先探測其目標。感染鏈有多個階段，可以利用在記憶體內執行的無檔案病毒來進行而無須另外的持久性機制。如果Lurk集團對目標系統不感興趣，則在感染系統內除了來自漏洞攻擊程序的檔案外不會留下其他痕跡。這種隱匿行為讓其惡名昭彰，直到幕後黑手被逮捕而停止了行動。俄羅斯內政部在2月8日逮捕了9名以上的嫌犯。Lurk集團從金融機構獲取超過4500萬美元，同時也破壞了受害者的營運、信譽和重要的一切。

Lurk是如何從一群威脅分子轉變成完整的網路犯罪組織？他們還知道什麼其他的技術可能被其他網路犯罪分子仿效？他們的運作模式如何從針對俄羅斯一般使用者轉成銀行和企業？我們對該組織的觀察是基於對其程式碼、網路流量和網址特徵的分析，我們在俄羅斯數個組織的入侵偵測系統在Lurk集團活動的五年間進行監視。

2011年至2012年初：利用路過式下載「Drive by download」攻擊瀏覽器漏洞進而危害系統

Lurk的網頁攻擊是他們攻擊活動的首要跡象。他們實作了某些機制來防止防毒偵測。比方說，特定時間區段或非其目標區域IP來的網頁連線請求會被重新導到第三方網站（如Google）。 繼續閱讀

2017 年 1 月份 Microsoft 和Adobe 資安更新評析

趨勢科技 TrendMicro

新的一年，您是否也立下新的願望，要扎扎實實地做好每次的系統修補呢？就讓我們一起來看看 2017 年 1 月 Microsoft 和Adobe 分別發布了哪些資安更新。

2017 年 Microsoft 首次更新 

在經過了刷新紀錄的 2016 年之後，微軟 2017 年的首次資安更新只包含了四份資安公告，分別解決了 Edge 瀏覽器、Office 軟體和 Windows 系統的三個漏洞；第四份公告則是有關 Adobe Flash 軟體。若說這次的更新微不足道，其實並不為過。但經過了 2016 年的風風雨雨之後，相信所有系統管理員對於這次只有小幅更新應該都非常感到慶幸。

若是硬要分出輕重緩急的話，那麼系統管理員應該優先套用的是 Edge 瀏覽器的修補，因為它解決了一個已知公開的跨網域隱碼攻擊。此外， LSASS 的安全公告也是個已知公開的漏洞，可能讓未修補的系統遭到阻斷服務 (DoS) 攻擊。此外，這份公告也提醒了我們必須封鎖網路邊境上的 TCP 389 連接埠，也就是 LSASS 預設的連接埠。雖然這只不過防堵了一個小小的缺口，但每一分防範都很重要。接下來該修補的是 SharePoint 和 Word 2016 當中可能讓駭客從遠端執行程式碼的重大漏洞。此漏洞有二點頗耐人尋味：首先，Office 的漏洞通常會歸類為「重要」而非「重大」，因為要讓使用者開啟某個檔案，需要經過多次對話方塊，但該漏洞卻歸類為「重大」。其次，Office 資安公告所揭露的問題，只有當可能在 Outlook 預覽窗格當中觸發的漏洞，才會升級至「重大」等級，但此次並非如此。最後一個該套用的是 Microsoft 自行開發的 Adobe Flash 修補程式。除此之外，本月就沒有其他資安公告了。

是的，您沒看錯，本月 Internet Explorer 沒有新的資安公告。或許有人會懷疑，這次資安公告數量這麼稀少是否跟 Microsoft 的測試週期有關，還是因為 Microsoft 刻意在移轉至Security Update Guide (資安更新指南) 之前刻意有所保留。不過，儘管該公司發布的資安修補資訊持續減少，但我們仍會盡可能針對每個月的資安更新提出詳盡的分析。 

2017 年 1 月 Adobe 修補程式

新的一年開始，Adobe 就發布了 Flash 和 Reader 的更新。在 Acrobat 與 Reader 方面此次共修補了 29 個漏洞，其中最嚴重的有可能讓駭客在受害系統上執行程式碼。我們的 ZDI 漏洞懸賞計畫也有幸發現了其中的13 個漏洞。在 Flash 方面，此次修正了 13 個漏洞。其中最嚴重的漏洞跟 Reader 一樣，也會讓駭客在受害系統上執行程式碼。所幸，此次 Adobe 修正的漏洞目前並未出現任何已知的攻擊。  繼續閱讀