重大資安事件 - 資安趨勢部落格

Shellshock漏洞屆滿一年，您的伺服器和裝置是否更安全了呢？

2015 年 09 月 30 日2015 年 09 月 30 日趨勢科技 TrendMicro

當 2014 年爆發 Shellshock 漏洞時，資安研究人員第一時間就跳出來回應。當大多數的 Unix、Linux 及 Mac OSX 作業系統皆普遍使用的 Bash指令列介面程式爆發嚴重漏洞時，研究人員同樣也迅速著手研究網站伺服器可能如何遭到該漏洞的攻擊。Shellshock 漏洞發現當時，全球約有五億台裝置和系統受到威脅。

而研究人員擔心的問題也很快就應驗，網路犯罪集團迅速將 Shellshock 整合至現有的攻擊當中，使得一些使用 Bash 指令列介面程式 (至今已有 25 年歷史) 的裝置和伺服器瞬間陷入危機。就在該漏洞曝光的幾小時後，趨勢科技研究人員就在網路上發現針對此漏洞的攻擊。趨勢科技在一個樣本當中發現了 ELF_BASHLITE.A 惡意程式，它不僅可讓歹徒從遠端存取電腦，還可發動分散式阻斷服務 (DDOS) 攻擊。

當時許多企業也迅速做出回應，這或許是因為有了幾個月前的 OpenSSLHeartbleed心淌血漏洞的經驗。加拿大政府也預防性地將某些含有漏洞的系統下線。此外，美國聯邦金融機構檢查委員會 (FFIEC) 也警告金融機構應小心Shellshock 的危險，而英國國家電腦緊急應變小組 (CERT-UK) 也對該漏洞發出警訊。

有關 Shellshock 可能造成網站安全問題的疑慮甚囂塵上，因為，歹徒只需幾行程式碼就能入侵含有漏洞的伺服器。經過一番測試之後我們發現，並非所有使用 Bash 的系統都有可能遭到遠端攻擊，只有預設使用 Bash 為指令列介面程式的作業系統才會遭到攻擊。

Shellshock 帶來的恐懼仍持續至今

就在漏洞曝光的一星期之後，更多 Bash 相關漏洞和惡意程式相繼出現。Shellshock 曾被用於 DDoS 攻擊，一家知名的雲端服務被用來攻擊其他伺服器，包括某政府機關的伺服器在內。此外，巴西的政府單位和中國一家金融機構也遭到此漏洞攻擊。另一個相關的惡意程式還會下載 KAITEN 惡意程式的原始碼，此程式專門用於 DDoS 攻擊。除了攻擊伺服器和裝置之外，Shellshock 攻擊也可能影響分配用戶端 IP 位址的 DHCP 通訊協定，以及電子郵件的 SMTP 傳輸協定。

事隔一年之後，這份恐懼已經漸漸消退，但威脅卻依然存在。Shellshock 相關的攻擊仍持續肆虐數位世界。從2015年第二季起，趨勢科技已發現超過 70,000 次使用 Shellshock 漏洞的攻擊以及大約 100,000 次使用Heartbleed心淌血漏洞的攻擊。我們刻意架設了一個含有 Shellshock 漏洞的誘捕網路，光在過去 15 天內即遭到 50 次攻擊。

Shellshock 相關的感染已蔓延全球。與一年前的情況相比，今日受害最嚴重的地區仍大致維持不變。當年 Shellshock 曝光後的第一個月，絕大多數受感染的電腦都分布在亞洲 (34%)、歐洲 (34%) 和北美 (11%)。過去一個月，絕大部分受感染的電腦還是分布在亞洲 (46%)、歐洲 (23%) 和北美 (14%)。亞洲地區感染率較高的原因很可能是系統修補作業較未能落實的緣故。

圖 1：2014 年 9 至 10 月受 Shellshock 影響的地區,亞洲居冠。

圖 2：2015 年 8 至 9 月受 Shellshock 影響的地區,亞洲居冠。

儘管目前 Shellshock 漏洞仍未出現重大攻擊，但這仍無法掩蓋它是一項普遍性漏洞的事實，而且歹徒有可能利用它來製造真實的傷害。它可用於取得遠端存取權限、發動 DDoS 攻擊、散布惡意程式、竄改並汙損網站、建立「Botnet傀儡殭屍網路」、竊取資料、散發垃圾郵件和網路釣魚郵件，以及執行其他惡意指令。只要駭客的想像力夠豐富，就有無限的方式可攻擊任何使用 Bash 的應用程式和連網裝置，包括：路由器、IP 攝影機、網路閘道 (如 Citrix 的 NetScaler、F5 的 BIGIP 及 Cisco 的產品)，以及網站 CGI 程式。繼續閱讀

Pawn Storm 網路間諜行動,從政府機關到媒體名人皆在攻擊之列

2015 年 09 月 22 日2018 年 09 月 26 日趨勢科技 TrendMicro

Pawn Storm 是一項又深又廣的持續性網路間諜行動。它曾攻擊北大西洋公約 (NATO) 會員國與美國白宮等政府機關，也曾鎖定烏克蘭和俄羅斯的一些知名政治人物，而且我們相信，歹徒的總部就位於俄羅斯。去年十月趨勢科技即曾經發表過有關 Pawn Storm 的研究報告：Pawn Storm 攻擊行動：利用轉移注意力來躲避偵測 (Operation Pawn Storm: Using Decoys to Evade Detection)，自此我們便一直持續監控及追蹤該行動的最新發展。

本文介紹有關該行動的最新發展，同時也提供一些背景資訊讓還不熟悉該行動的讀者進入狀況。

什麼是 Pawn Storm 攻擊行動？

Pawn Storm 是一項至今仍相當活躍的政治經濟網路間諜行動，專門鎖定一些知名機構和人士，從政府機關到媒體名人皆在攻擊之列。其最早的活動出現於2007 年，但直到最近，我們才掌握有關該行動的一些具體資料，包括其攻擊目標和攻擊來源。

它和其他網路間諜團體/行動有何不同之處？

Pawn Storm 在攻擊手法上和其他以政治為動機的駭客團體有明顯不同，例如：

使用挾帶 SEDNIT/Sofacy 惡意程式的魚叉式網路釣魚（Phishing）郵件來攻擊 Windows系統，或挾帶 Fysbis 或 X-Agent 惡意程式來攻擊 Linux 系統。其魚叉式網路釣魚郵件有時會使用一些當地的材料或話題來吸引收件人開啟郵件。SEDNIT 是一個擁有後門和資訊竊取行為的惡意程式。
假冒企業的 OWA 登入網頁來從事魚叉式網路釣魚郵件攻擊。其某個魚叉式網路釣魚（Phishing）魚郵件的變種會將使用者重導致假冒的 Outlook Web Access (OWA) 登入網頁，藉此竊取使用者的登入帳號密碼。此一攻擊手法的眾多受害者當中，美國國防承包商 ACADEMI (前 Blackwater 公司) 也名列其中。
利用自製的 iOS 惡意程式從事間諜活動。此 iOS 惡意程式就是趨勢科技所偵測到的 IOS_XAGENT.A 或 IOS_XAGENT.B，可從受感染的行動裝置竊取各種資訊，例如：訊息、通訊錄、定位資訊、照片，甚至錄音檔。

繼續閱讀

Pawn Storm 間諜行動曝光：政治人物,搖滾歌手,藝術家成為攻擊目標

2015 年 09 月 18 日2015 年 10 月 14 日趨勢科技 TrendMicro

Pawn Storm 這個活躍已久的網路間諜行動為何看上俄羅斯的龐克搖滾樂團？的確，Pussy Riot (暴動小貓) 是個具爭議性的樂團，這個由女性主義者成立的樂團，其成員不久前才因觸犯基督教東正教會和俄羅斯教長制度的言論而入獄。但駭客為何會對她們有興趣？她們和其他被攻擊的對象有何關聯？

今年年初，我們曾經報導過 Pawn Storm 攻擊行動攻擊了北大西洋公約組織 (NATO) 會員國、美國白宮以及德國國會。不久前，他們又鎖定了駐紮在多個國家的大使館和軍事官員。Pawn Storm 的攻擊目標多為俄羅斯境外的政治單位，但根據趨勢科技的分析發現，實際上仍可有不少目標其實是位於該國境內。

俄羅斯境內的間諜活動

Pawn Storm 行動幕後的俄羅斯間諜顯然對國內外是一視同仁，他們甚至也監控自己的人民。例如，針對俄羅斯國民的帳號登入資訊網路釣行動，就是一個本國境內間諜行動的案例。圖 1 顯示該行動攻擊目標在不同產業的分布情形。

圖 1：俄羅斯境內攻擊目標的產業/市場分布。

繼續閱讀

有關 Hacking Team 資料外洩的行動惡意程式套件,你該知道的七件事

2015 年 09 月 16 日2015 年 09 月 16 日趨勢科技 TrendMicro

自從 Hacking Team 資料外洩的檔案在網路上曝光之後，引發了很多後續效應。除了一些新的 Flash Player 和 IE 漏洞被發現、攻擊、然後修補之外，該公司的工具套件原始碼也遭到外流。尤其是一套精密的惡意程式套件，叫做 RCSAndroid (Android 遠端遙控系統)，這是該公司對外販售用來監視特定對象的間諜工具。

根據趨勢科技的研究人員指出，這套間諜工具可說是「目前所見最專業、最精密的 Android 惡意程式之一。」

但RCSAndroid 間諜軟體到底可以做些什麼？受影響的對象為何？哪些裝置會受到影響？我們在下面快速整理了有關 Hacking Team 資料外洩曝光的行動惡意程式套件你該知道的一些重點：

它可利用前、後鏡頭拍攝照片
我們的研究人員在分析該行動惡意程式套件外洩的原始程式碼之後發現，RCSAndroid 程式可窺探監視對象的隱私。其功能包括監視 Android 裝置螢幕和剪貼簿中的內容、蒐集網路帳號的密碼和聯絡資訊，還有使用裝置的相機鏡頭及麥克風。
所有 Android Lollipop 之前的版本都受到影響
若你裝置的 Android 系統版本為 Froyo、Gingerbread、Ice Cream Sandwich 或 Jelly Bean，那你就有可能成為 RCAndroid 監視的對象。我們目前還尚未證實這套工具是否適用於所有裝置。但前述的版本幾乎已經涵蓋 82% 的 Android 裝置。
歹徒會利用兩種方式來讓鎖定的對象下載 RCSAndroid
第一種方法是透過簡訊或電子郵件發送一個特殊的網址到目標對象。第二種方法是利用一個隱匿的後門 App 程式，該程式可避開 Google Play 的機制。
Hacking Team 實際販售的間諜工具價格昂貴，且使用者須支付年度維護費用
據聞整套工具價格為 234,000 歐元或 260,000 美元。雖然 Hacking Team 販售的間諜工具價格昂貴，但由於程式碼已遭到外洩，因此現在任何人都有可能取得這套工具。由於 RCSAndroid 如此強大，而且現在又這麼容易取得，因此也變得更加危險。網路犯罪集團可隨心所欲地修改其原本的程式來配合自己的需求，還能透過各種管道來讓使用者安裝到自己的裝置上，使用者完全不曉得自己安裝了間諜程式。
現在任何 Android 開發人員都能輕鬆使用 RCSAndroid
任何 Android 開發人員，只要具備足夠的知識，就能使用這套行動惡意程式。我們對這套惡意程式以及它如何破解裝置權限來從事間諜活動有深入的分析，請參閱我們的部落格文章「會竊聽電話的 Hacking Team RCSAndroid 間諜工具」。
已感染的裝置很難偵測並移除該間諜工具
為了躲避偵測以免遭到移除，RCSAndroid 套件還有能力偵測自己是否在模擬器或沙盒模擬分析環境中執行。該程式還有一項功能是篡改 Android 封裝管理員 (package manager) 的資料來新增或移除某些權限和元件並隱藏 App 圖示。
某些惡意的行為是經由一個事件動作觸發 (Event Action Trigger) 模組來觸發
在已感染的裝置上，事件動作觸發模組可根據某些事件來觸發惡意行為。這些事件的觸發條件包括：時間、充電或電池狀態、地理位置、連線狀態、執行中的 App、取得焦點的 App、SIM 卡狀態、收到包含特定關鍵字的簡訊以及螢幕開啟。

繼續閱讀

竊聽,偷拍,窺簡訊,秘密錄音….RCSAndroid的10個間諜能力,威脅 Android 用戶

2015 年 09 月 11 日2016 年 10 月 21 日趨勢科技 TrendMicro

繼新聞報導指出 iOS 裝置可能遭到 Hacking Team 間諜程式監聽之後，現在 Android 裝置也將遭殃。趨勢科技在 Hacking Team 資料外洩的檔案當中發現其開放原始碼惡意程式套件 RCSAndroid (Android 遠端遙控系統) 的程式碼，這是該公司所販賣的一項間諜工具。

RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。程式碼的外洩已讓它成為一項公開的商業間諜利器。Android 用戶隨時留意裝置是否有遭到監聽的跡象。可疑的跡象包括系統出現異常行為，例如：不正常重新開機、裝置上出現一些莫名其妙的應用程式、即時通訊軟體突然當掉等等。

有關 Hacking Team 資料外洩入侵事件的各種消息及後續漏洞報導都著重在Adobe方面，但有一小塊對Android使用者很重要的訊息卻被許多人給忽略掉。

我們從 Hacking Team 資料外洩中所發現的攻擊手法及工具裡面，有一個特別惡劣的Android 惡意軟體稱為 RCSAndroid（Remote Control System Android）。RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。其程式碼的曝光，讓網路犯罪集團又多了一項新的利器可強化其間諜行動。

此一惡意軟體被該公司出售作為監控目標的工具。不同於其他惡意軟體，此一惡意軟體可安裝到 Android 手機上且近乎無法察覺。

跟其他個人電腦或Android上的惡意軟體不同，這個惡意軟體是真正的間諜工具。它安裝後所能做到的功能包括收集Android螢幕上的資訊、收集簡訊、收集電子郵件、拍照,甚至可竊聽電話，並且會打開內建麥克風錄製談話。它會針對Android設備進行漏洞攻擊,直到成功安裝為止。

根據外洩的程式碼看來，RCSAndroid 應用程式具備下列10 個間諜能力：

透過「screencap」這個指令擷取螢幕抓圖，並可直接讀取螢幕緩衝區內容。
監看剪貼簿的內容。
蒐集 Wi-Fi 網路與各種網路帳號的密碼，如：Skype、Facebook、Twitter、Google、WhatsApp、Mail 及 LinkedIn。
利用麥克風錄音。
蒐集簡訊、多媒體簡訊與 Gmail 訊息。
蒐集定位資訊。
蒐集裝置資訊。
利用前、後鏡頭拍照。
蒐集聯絡人，解讀即時通訊訊息，如：Facebook Messenger、WhatsApp、Skype、Viber、Line、WeChat、Hangouts、Telegram 以及 BlackBerry Messenger。
攔截系統的 mediaserver 服務，即時錄下任何行動電話與 App 的語音通話。

※RCSAndroid 工具的程式碼是至今曝光的所有 Android 惡意程式當中寫得最專業、最複雜工具之一。程式碼的外洩已讓它成為一項公開的商業間諜利器。Android 用戶隨時留意裝置是否有遭到監聽的跡象。可疑的跡象包括系統出現異常行為，例如：不正常重新開機、裝置上出現一些莫名其妙的應用程式、即時通訊軟體突然當掉等等。看更多關於會竊聽電話的 Hacking Team RCSAndroid 間諜工具

此種威脅自2012年起就出現了，但在7月因為兩個原因而出現重要轉折。

首先，因為 Hacking Team 資料外洩事件所被披露的文件,讓研究人員可以深入研究惡意軟體。其次，這惡意軟體可以透過Google Play上看似合法的應用程式來植入。雖然惡意軟體本身沒有出現在Google Play上，但其他應用程式會附帶啟動並加以安裝該惡意軟體。

在所有的 Android 威脅裡，這是我們所看到手法相當高竿的,其實這也不難理解，因為它的買主包含國家情報機構。

雖然我們大多數人感覺起來不太可能成為如此複雜間諜軟體攻擊的攻擊目標，但現在此惡意軟體背後的工具和技巧已經被公布周知，在 Android 惡意軟體在 2015 年 3月已經衝過了 500萬大關之際,可以預期會更廣泛地被其他惡意軟體作者所利用。繼續閱讀