漏洞攻擊 - 資安趨勢部落格

微軟 Windows 作業系統零時差弱點 CVE-2014-4114

微軟在週二發布的例行性安全公告，其中由 iSights 所發現的零時差漏洞 CVE-2014-4114，此漏洞影響 Vista 之後所有版本的 Windows作業系統與 Windows Server 2008及2012。據趨勢科技調查顯示，一個俄羅斯的駭客團體已透過此一漏洞來發動攻擊活動(Sandworm) ，目標是竊取與攻擊北大西洋公約組織 (NATO)與歐盟等企業與重要人士的資料。這項漏洞存在於Windows作業系統中的OLE Package Manager，透過Office PowerPoint文件觸發該漏洞，會下載並執行特定的INF檔案，並下載任意程式碼。根據報導，一群名為「Sandworm Team」(沙蟲小隊) 的駭客利用此漏洞 (CVE-2014-4114) 來從事網路間諜活動。據稱，此漏洞從 2013 年 8 月開始即已流傳至今：「主要是製成特殊的 PowerPoint 文件當成武器使用」。此漏洞的詳細內容如下：

此漏洞存在於 Microsoft Windows 系統與伺服器當中的 OLE 封裝管理程式。
OLE 封裝程式 (packager) 可下載並執行 INF 檔案。「在所觀察到的案例中，尤其是在處理 Microsoft PowerPoint 檔案時，封裝程式可讓封裝的 OLE 物件參照任意外部非信任來源的檔案，如 INF 檔案。」
當攻擊得逞時，此漏洞可讓駭客從遠端執行任意程式碼。

趨勢科技產品已經可以偵測利用此漏洞的病毒程式，病毒名稱為” TROJ_MDLOAD.PGTY”。當開啟駭客製作的 Power Point檔案之後，會下載一個INF檔惡意程式(被偵測為” INF_BLACKEN.A”)，並嘗試下載與執行一支被偵測為”BKDR_BLACKEN.A”的後門程式。詳細病毒資訊請參考下列連結。

TROJ_MDLOAD.PGTY
https://about-threats.trendmicro.com/malware.aspx?language=en&name=TROJ_MDLOAD.PGTY
INF_BLACKEN.A
https://about-threats.trendmicro.com/malware.aspx?language=en&name=INF_BLACKEN.A
BKDR_BLACKEN.A
https://about-threats.trendmicro.com/malware.aspx?language=en&name=BKDR_BLACKEN.A

由於此一攻擊方式並不特別複雜，很有可能導致駭客們大量濫用，趨勢科技所提供的Smart Protection Network可即時偵測透過本漏洞所執行的惡意程式。

趨勢科技 Deep Security 客戶建議措施：

趨勢科技的 APT 防護解決方案已可針對此漏洞進行防護，透過”惡意文件指紋偵測引擎” (ATSE靜態引擎)成功偵測並攔阻此社交工程之惡意文件。

另外趨勢科技用戶請盡快更新最新防毒元件，以偵測此病毒程式。若有使用TrendMicro Deep Security與OfficeScan IDF plug-in的用戶們可套用下方DPI規則進行偵測。

1006290 – Microsoft Windows OLE Remote Code Execution Vulnerability (CVE-2014-4114)
1006291 Microsoft Windows OLE Remote Code Execution Vulnerability (CVE-2014-4114) – 1

此外，我們建議用戶盡快針對此一Windows作業系統的漏洞進行修補，在完成修補前，不要隨意開啟陌生人寄來的PowerPoint檔案，以降低被攻擊的風險。

◎ 原文參考出處：MS Zero-Day Used in Attacks Against European Sectors, Industries

2014 年截至目前為止趨勢科技已發現 14 個重大漏洞

2014 年 10 月 03 日2014 年 10 月 02 日趨勢科技 TrendMicro

鎖定APT攻擊/目標攻擊經常利用漏洞來暗中感染電腦系統，這類攻擊不一定會利用新發現或零時差的漏洞，例如 Internet Explorer 的 CVE-2013-2551 漏洞就是一個在 2014 年仍受到攻擊的漏洞。

儘管如此，零時差攻擊依然是一項嚴重威脅，因為它們會讓所有人都措手不及，包括資訊安全廠商在內。零時差漏洞正是利用這段防護空窗期，因此即使是勤勞的使用者和系統管理員也不免會暴露於威脅當中。

防護研究

趨勢科技的產品內含一些可解決這類問題的技術，包括瀏覽器漏洞防護、文件漏洞防護以及虛擬修補。這些技術都已整合到我們的消費端及企業級產品當中。

此外，我們也利用這些產品所回報的漏洞與漏洞攻擊訊息來建立一些經驗法則，進而防範已修補的漏洞和零時差漏洞。這樣的作法已展現優良成效。2010 年，一些利用 IE 漏洞來攻擊 Google (CVE-2010-0249) 的惡意程式樣本早在漏洞被揭露之前數星期前就被我們預先攔截。其他類似的案例還有利用 CVE-2013-5990、CVE-2013-3346、CVE-2014-0496 以及 CVE-2014-1761 等漏洞的攻擊。

發掘漏洞

趨勢科技投入了大量的人力和資源來發掘漏洞以及相關的零時差攻擊，這方面也獲得了不少成果。2014 年我們在各種應用程式當中總共發現了 14 個可能讓駭客從遠端執行程式碼的漏洞。其中十個是 Internet Explorer 漏洞，兩個是 Adobe Flash Player 漏洞，另外 Adobe Reader/Acrobat 和 Java 也各有一個。

圖 1：2014 年發現的漏洞。

我們在 2014 年發現的這 14 個重大漏洞以及受影響的軟體 (皆已通報相關廠商) 分別為：

CVE-2014-0290 – Internet Explorer
CVE-2014-0417 – Java
CVE-2014-0525 – Adobe Acrobat/Reader
CVE-2014-0536 – Adobe Flash
CVE-2014-0559 – Adobe Flash
CVE-2014-1753 – Internet Explorer
CVE-2014-1772 – Internet Explorer
CVE-2014-1782 – Internet Explorer
CVE-2014-1804 – Internet Explorer
CVE-2014-2768 – Internet Explorer
CVE-2014-4057 – Internet Explorer
CVE-2014-4095 – Internet Explorer
CVE-2014-4097 – Internet Explorer
CVE-2014-4105 – Internet Explorer

我們主要是分析從鎖定APT攻擊/目標攻擊受害者所蒐集到的樣本，因為這些樣本更能反應威脅情勢的真實狀況。這些樣本來源廣泛，包括：誘補網路、產品回報、使用者送審的檔案等等。我們相信，這些樣本所使用的都是駭客正在使用或者最可能使用的漏洞。

趨勢科技透過多種方法來發掘潛在的漏洞和漏洞攻擊，包括：經驗法則掃瞄、機器自我學習以及沙盒模擬分析 (Sandboxing)。我們的自動化流程每日可處理數十萬個樣本，其中只有數十個樣本必須再經過手動分析。

如同其他研究人員一樣，我們也會利用靜態分析、輸入資料錯誤測試 (fuzzing)、滲透測試等方法來主動發掘漏洞。我們會在這些漏洞遭駭客利用之前預先通報 Microsoft、Adobe 和 Oracle 等廠商。繼續閱讀

Shellshock /Bash 漏洞有多糟糕？

2014 年 09 月 29 日2014 年 09 月 30 日趨勢科技 TrendMicro

Bash漏洞（又被稱為Shellshock）剛被報導沒多久，趨勢科技就已經看到一些攻擊用它來植入DDoS惡意軟體到Linux系統上。然而，鑒於此漏洞的嚴重性，我們幾乎可以肯定還會看到更大、更嚴重的攻擊出現。我們可能看到的情景有哪些呢？

伺服器

目前網頁服務器遭受漏洞攻擊的風險最高。現在CGI腳本是最可靠也最被詳盡說明的漏洞攻擊方式。如同我們早前文章所提到，趨勢科技已經看到此類攻擊出現在現實世界中。我們預期之後將會看到更多相關攻擊。

網頁伺服器被入侵對於組織的危害有可能會很嚴重。淪陷的伺服器可以變成攻擊者進入組織網路的進入點。攻擊者可以選擇在受影響伺服器上執行任何指令。Shellshock加上一些其他的提權漏洞就可以完全掌控受影響的伺服器。

然而，網頁伺服器並非唯一的高風險應用程式。SSH也可能會受到Shellshock影響。在這時候，任何使用Bash的Unix/Linux伺服器都處在危險之中。這些系統大多數都是預設使用Bash，只有一些例外。比方說FreeBSD的預設shell是tcsh。這Bash的替代品不被認為有此弱點。

端點

Shellshock對最終使用者來說可能不會有什麼危險。Windows系統不會受到Shellshock影響，因此這些系統的使用者不會直接受到此問題危害。

目前的數據顯示約有10%的個人電腦使用某種形式的Linux或Max OS X。這些作業系統可能有Shellshock的漏洞，雖然對此進行漏洞攻擊有些困難。端點系統通常不會運行可以讓攻擊者輕易存取到的網路服務（如HTTP伺服器），所以減低了風險。Mac應用程式並不像Unix/Linux應用程式那樣依賴shell腳本。不過因為SSH看來提供了遠端存取到Bash的可能管道，也讓它成為可能的感染載體。

對於最終使用者來說，最大的隱憂可能是透過運行在受影響路由器或網路熱點上的惡意DHCP伺服器。DHCP客戶端使用bash來配置系統設定；連到惡意DHCP伺服器的客戶端可能會在他們的系統上執行惡意指令。這在惡意的開放無線網路上特別容易做到。我們建議使用者連到無線網路時要多加小心，不過這也是一直以來最佳實作的一部分。（Mac OS X使用自己的DHCP客戶端，所以不受此漏洞影響。）

對於行動裝置來說，Android設備並不使用Bash shell，因此也不受此威脅影響。iOS設備也不會。不過越獄的iOS設備包括了一份Bash副本，這些設備就處在危險之中。同樣地，root過或修改過的設備會執行變種的 *nix系統（因此有用Bash）就可能會受到影響。

嵌入式設備/萬物聯網（IoE ,Internet of Everything）

許多組成物聯網的嵌入式設備都建立在嵌入式版本的Linux上，增加了它們可能會受攻擊的風險。這可能會讓設備上的資料被竊，以及讓設備本身成為「Botnet傀儡殭屍網路」的一部份，用到各種惡意活動上。

不過並非所有此類設備都使用Bash。許多此類設備使用的是BusyBox，其中並不含Bash。這些設備也不會受此漏洞影響。

診斷和修補受 Shellshock 影響的物聯網設備有極大的難度。可以用來檢查系統是否有此漏洞的標準測試也很難在嵌入式設備上執行。同樣地，許多物聯網廠商提供安全修補程式的記錄也不是很理想。這部分可能會對想要消除Shellshock危害的長遠目標造成重大問題。

現在最該擔心的是IT管理員, 趨勢科技提供免費工具給 IT管理員

在眼下，IT管理員對於面對網路提供服務的伺服器進行維護是處理此攻擊最該關心的事。正如我們在之前的部落格文章中提到，大多數廠商現在都已經提供修補程式來關閉此安全性漏洞。繼續閱讀

ShellShock (即 Bash 漏洞) 威脅全球近五億連網裝置 ,趨勢科技提供免費工具

2014 年 09 月 29 日2014 年 09 月 29 日趨勢科技 TrendMicro

【2014 年 9 月 29日台北訊】隨著 Shellshock (即 Bash 漏洞) 的安全疑慮逐漸攀升，全球資安軟體及解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 率先提供一系列免費工具來讓大眾掃瞄自己的 OSX 和 Linux 伺服器以保護伺服器與網站使用者的安全。此漏洞很可能對全球近五億台的網站伺服器以及手機、路由器和醫療裝置等各種連上網際網路的裝置造成威脅。

趨勢科技執行長陳怡樺表示：「此問題的嚴重性很可能迅速攀升，因此我們立即採取了預防性措施來防止這個前所未有的漏洞，保障大眾安全。我們相信，對科技使用者來說，最有效的作法是謹慎面對，並且利用趨勢科技和其他廠商所提供的資源來建立一道堅固的防線。我們也希望能藉由提供免費工具給客戶及社會大眾來防範這波疫情爆發。」

本週媒體大量報導的 Shellshock (即 Bash 漏洞) 是一個可讓歹徒從遠端執行 Linux 指令的漏洞，其影響遍及全球絕大多數的網站伺服器，還有連上網際網路的 Mac OSX 平台裝置。我們提供的免費工具 BashLite Malware Scanner 即可檢查您的 Linux 系統上是否含有 BashLite 惡意程式。

趨勢科技技術長 Raimund Genes 指出：「Shellshock 很可能比今年稍早的 Heartbleed心淌血漏洞散布得更廣，它不僅與 Heartbleed 的性質和行為截然不同，而且威脅更為嚴重。」繼續閱讀

Shellshock/Bash漏洞攻擊持續出閘!!最新攻擊針對中國金融機構

2014 年 09 月 29 日2014 年 09 月 29 日趨勢科技 TrendMicro

看起來Shellshock/ Bash 漏洞攻擊真正地開門出閘了。我們已經報導過不同的攻擊來利用Bash漏洞，從僵屍網路攻擊到IRC僵屍機器人都有。

趨勢科技也發現了在巴西看到利用Shellshock漏洞來嘗試進行攻擊。看起來這些攻擊意圖並不僅限於該國家。我們看到另一波的Shellshock漏洞攻擊 – 這次是針對中國的金融機構。

趨勢科技的 Deep Discovery 偵測到此類攻擊意圖，並且發現攻擊者是想要嘗試多個屬於該機構的 IP 地址是否具有此 Shellshock漏洞，也就是 CVE-2014-06271。進一步的分析顯示有三個被測的IP地址可能有此漏洞，因為攻擊者試圖執行指令「/bin/uname –a」。指令「uname」會顯示系統資訊，包括作業系統平台、機器類型和處理器資訊。

乍一看，被取得系統資訊可能並無害處。但如同趨勢科技部落格在之前的文章中提過，資訊收集可能是為了準備更多破壞性計畫的指標。這指令可以為更大規模和更具破壞性的攻擊開道。

嘗試攻擊的時間很有意思，因為中國黃金週假期是從10月1日開始。所以這樣的嘗試很可能是在此假期間所進行攻擊的起始階段，因為網路系統管理員將在這段時候離開。

趨勢科技正在不斷地監視可能利用 Shellshock/Bash 漏洞的攻擊，同時確保使用者和組織在現實世界中免受此類威脅攻擊。趨勢科技的 Deep Discovery 提供了網路層面的能見度和威脅情報，以偵測和回應針對性攻擊及進階威脅。繼續閱讀