駭客利用 Twitter 發送 Meme迷因梗圖,藉圖像隱碼術( Steganography )躲避偵測

圖像隱碼術(Steganography) – 將惡意檔案藏在圖片中來躲避偵測的方法,一直以來都被駭客用來散播惡意軟體或進行其他惡意攻擊。趨勢科技最近發現有駭客在「MEME」迷因圖(梗圖)上使用了這種技術。在10月25日和26日,攻擊者透過一個在2017年建立的 Twitter 帳號發表了兩條包含惡意Meme迷因圖的推文。圖內嵌了命令,讓惡意軟體從惡意 Twitter 帳號下載到受害者電腦後加以解析。變成電腦內惡意軟體的C&C服務。但要注意的是,惡意軟體並非從 Twitter下載,我們也沒有觀察到惡意軟體是用哪種機制散播給受害者。

 

編按:「Meme」指在網路上快速傳播擴散的爆紅內容,也有用發音/miːm/直譯為「迷因」, Meme圖通常指具有某種梗的圖片。

 

這個新威脅(偵測為TROJAN.MSIL.BERBOMTHUM.AA)值得注意的地方在於,惡意軟體透過合法服務(也是熱門的社群網路平台)接收命令,使用看似正常實為惡意的Meme迷因圖,而且除非關閉惡意Twitter帳號,不然無法中斷此威脅。Twitter在2018年12月13日已經關閉了該帳號。

隱藏在所提到圖片中的命令是「/print」,指示惡意軟體擷取受感染電腦的螢幕截圖。螢幕截圖會被送到駭客控制的C&C伺服器(利用pastebin.com來取得網址)。

截取受感染電腦螢幕截圖回傳給駭客

趨勢科技發現,一旦惡意軟體在受感染電腦上執行,就會將從Twitter帳戶下載惡意Meme迷因圖到受害者電腦上。接著會取出圖內所藏的命令,在此次案例中是「print」命令,讓惡意軟體截取受感染電腦的螢幕截圖。接著惡意軟體會從Pastebin取得C&C伺服器資訊。再將所收集的資訊或命令輸出上傳到指定網址,傳送給攻擊者。

圖1、顯示Pastebin網址的惡意軟體程式碼

 

在分析過程中,我們看到Pastebin取得的網址指向內部或私有IP地址,這可能只是攻擊者臨時的設定。

圖2、Pastebin取得的網址指向私有IP地址

繼續閱讀

「你明天不用來了!」為何一則推文,竟讓她還沒上工就秒被解雇?

即使將 Facebook 上的頁面刪除,這些頁面都已經被 Google 之類的搜尋引擎網羅,而且已經散播到網路的其他角落。有一個叫做Tweleted.com 的網站專門讓人搜尋已經刪除的 Twitter 訊息。任何張貼在網際網路的訊息,在刪除之後都還能存活好長一段時間。
凡走過必留下痕跡,趨勢科技提醒:即使將 Facebook 上的頁面刪除,這些頁面都已經被 Google 之類的搜尋引擎網羅,而且已經散播到網路的其他角落。有一個叫做Tweleted.com 的網站專門讓人搜尋已經刪除的 Twitter 訊息。任何張貼在網際網路的訊息,在刪除之後都還能存活好長一段時間。

好不容易被 CISCO 和 NASA錄取了,一則推文,竟讓她倆還沒上工就秒被解雇?

一名美國女大生獲准進美國太空總署 NASA實習後,在Twitter發了一篇則推文,,結果秒丟工作。這簡直就是2009 年 Cisco 準實習生事件的翻版, 兩則樂極生悲的前車之鑑,提醒大家社群網站發文,別逞一時口舌之快,鍵盤彈指間毀了大好前程。

 Cisco 準員工還沒上工就先抱怨恨透了這份薪水很高的工作
2009 年一名 Cisco 的準員工在 Twitter 上抱怨:「恨透了這份工作。」

Cisco just offered me a job! Now I have to weigh the utility of a fatty paycheck against the daily commute to San Jose and hating the work.

很不幸的她的準老闆也看到了 。這位年輕女孩在 Twitter 上抱怨自己「必須為了這份豐厚的報酬而每天通勤到 San Jose 上班,而且恨透了這份工作。」不幸的是,一位 Cisco 的員工看到了這則訊息,然後將這則訊息傳遍了整個公司和網路,因而引起宣然大波。由於這則故事引起相當大的關注,因而有人為此專門成立了一個網站叫做「ciscofatty.com」。

 

準實習生使用「 FXXK 」字眼慶賀在 NASA 找到新工作

時隔近 10 年,最近歷史重演,一名在 Twitter 名為Naomi H的女大生獲准進美國太空總署NASA實習後在Twitter貼文,但可能是習慣以這種語氣跟朋友說話,絲毫不掩飾其中的不雅字眼:

「EVERYONE SHUT THE F**K UP. I GOT ACCEPTED FOR A NASA INTERNSHIP.」(大家都給我X閉嘴,我錄取 NASA 實習生了!)

有個好心人在貼文底下留言提醒她「注意用語」,她還回嗆「吃我的 X 啦!」沒想到對方回應:「我在負責監督 NASA 的國家太空諮詢委員會工作」,原來這位竟是航太界鼎鼎有名的Homer Hickam, 他著有知名的自傳體小說《十月的天空》,目前為美國國家太空諮詢委員會( National Space Council’s Users Advisory Group )中的一員。

沒想到後來還有豬隊友火上加油,不但使用了侮辱性的字眼攻擊Homer Hickam,還加上了 NASA 的標籤,不到 24 小時內Naomi H的實習資格就被取消。

Homer Hickam事後表示,他只是想提醒Naomi H 這則帶有NASA標籤的貼文,很容易會引起NASA的關切,尤其是帶有租俗字眼。 繼續閱讀

【密碼管理】推特爆漏洞,變更你的 Twitter 密碼了嗎? 三個保護社群網站帳號建議

Twitter(推特)公告他們系統內的一個臭蟲可能會讓使用者密碼曝光,並呼籲所有的使用者變更帳號密碼。他們還沒有透露受到影響的使用者數量,但該公司表示已經調查並且修復了此一漏洞。不過內部人士聲稱這個問題影響了大量的使用者,並且讓密碼暴露了“好幾個月”。

Twitter在聲明裡說明自己使用了 bcrypt 進行雜湊處理,這是種較強的雜湊演算法,可以在不洩露密碼的情況下驗證使用者帳號。但該公司沒有透露為什麼密碼會在雜湊處理之前先儲存在內部日誌。他們的調查結果表示並沒有遭受入侵或帳號受到濫用的跡象。不過聲明仍建議使用者要考慮變更帳號密碼以及所有使用相同密碼的服務密碼。

使用者在打開應用程式時也會跳出視窗來告知此問題。根據報導,Twitter到二月為止已經達到3.3億名使用者,且稱他們“正在進行計劃來以防止這漏洞再次發生。”

[延伸閱讀:如何防護你的社群網站帳號]

為了你的隱私和安全著想,以下是三個保護社群網站帳號的建議: 繼續閱讀

山寨 Binance CEO 慷慨贈幣Twitter 推文,駭客1天獲利820 萬台幣! 兩招預防社群網站虛擬貨幣詐騙

淘金熱好夯,偷用電腦挖礦花招也愈來愈多,連社交網站也遭挖礦詐騙者覬覦,該怎麼做? 3月7號晚上,一件駭客透過盜用帳密所引發的異常交易量,觸發了虛擬貨幣交易所 Binance 的內部警報系統。Binance CEO 在 Twitter 帳號發表的官方聲明,動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號,並用假帳號回覆真正 CEO 的推文,表示將送出 5000 個以太幣 ETH做為 Binance客戶的免費補償,光3月8日當天,就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客,這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780),駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣),相當驚人的詐騙獲利。

作者: Ieta Chi 紀孟宏 (趨勢科技 首席資安顧問)

2018年3月7號晚上,一件駭客透過盜用帳密所引發的異常交易量,觸發了虛擬貨幣交易所 Binance 的內部警報系統。根據 Binance的報告,駭客在今年2月份就己經使用網路釣魚(Phishing) 的手法取得一批用戶登入交易所的帳號密碼,在釣魚成功後,駭客並不急於獲利,而是耐心的等到 3 月7號這天,開始大量賣出用戶帳戶裡的虛擬貨幣,並轉至駭客帳號。 在事件發生幾個小時候,Binance CEO (CZ, Changpeng Zhao) 隨即在自己的 Twitter 帳號發表對此事件的官方聲明 (圖中藍框),並安撫交易所的客戶。
Binance CEO (CZ, Changpeng Zhao) 在自己的 Twitter 帳號發表對此事件的官方聲明 (圖中藍框),並安撫交易所的客戶。

不過動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號(圖中紅框),並用假帳號回覆真正 CEO 的推文,表示將送出5000 個以太幣 ETH做為 Binance客戶的免費補償,只要用戶傳送0.3-5 ETH到指定Address,就可以立即收到 Binance 所回贈的 3-50 個ETH。為了以假亂真取信於人,駭客還建立了許多假 twitter 帳號,回覆推文說在極短的時間內就收到CEO 的慷慨贈幣,感謝推文一個接著一個,看到這些推文很難不讓人信以為真。

動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號(圖中紅框),並用假帳號回覆真正 CEO 的推文
駭客用假帳號回覆真正 CEO 的推文,表示將送出5000 個以太幣 ETH做為 Binance客戶的免費補償

為了刺激人們想要獲得免費贈幣的慾望,駭客還設計了一個動態網站,顯示逐漸減少的贈幣數量,用來告訴你動作再不快一點,5000個免費 ETH 就快送完了。利用害怕搶不到所導致的思考不週來進行詐騙,也是詐騙的常見手法。

駭客還設計了一個動態網站,顯示逐漸減少的贈幣數量,用來告訴你動作再不快一點,5000個免費 ETH 就快送完了
駭客還設計了動態網站,告訴你動作再不快一點,5000個免費 ETH 就快送完了

在短短一天內(3月8日),就有超過七百個tweet回覆Binance CEO 最早的官方推文,只不過90% 的回覆推文都駭客假造的,絕大多數是由一連串假帳號所發出成功收到數個到數十個免費 ETH 的感謝推文(畫面內的用戶及推文全部都是駭客假造的)。

甚至還利用假帳號,秀出戶頭畫面,證明自己收到 99 個贈幣。

駭客利用假帳號,秀出戶頭畫面,證明自己收到 99 個贈幣。
駭客利用假帳號,秀出戶頭畫面,證明自己收到 99 個贈幣。

 

受影響程度

在3月8日的 twitter 推文中,假造的 Binance CEO 帳號總共貼出了 四個不同的以太幣轉帳 Address:

1) 0x1e3c07ce10973fcaebc81468af1d3f390d2a4c71
2) 0xa8b3c9c2a45d68eb435b5f3ef6712fa50cdbd996
3) 0x75b9ca8e82cf03bc8d793a44f2e928f266cadca5
4) 0xd0206f494e1834a0ad76b202bebfc916317884cb

 

虛擬貨幣的特性就是所有的交易都會記錄在區塊鏈 (Blockchain) 上,所以透過以太幣的區塊鏈查詢網頁 (如: https://etherscan.io/) 就可以查詢有多少人轉帳到上述駭客所提供的錢包地址(下圖紅框)。先以查詢第一個錢包 address「0x1e3c07ce10973fcaebc81468af1d3f390d2a4c71」為例,綠色 IN 代表的是那個錢包把錢轉到駭客錢包以及金額,橘色 OUT 代表的是有多少錢從駭客錢包被轉到哪裡去。從這裡我們也可以看出,駭客把錢轉出 (OUT) 時,刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框),提高未來把錢追回來難度。

駭客把錢轉出 (OUT) 時,刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框),提高未來把錢追回來難度
駭客把錢轉出 (OUT) 時,刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框),提高未來把錢追回來難度

 

照這個方法就可以把 4個駭客錢包的所有IN/OUT交易記錄從區塊鏈上調出來, 統計了一下光3月8日當天,就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客,這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780),駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣),相當驚人的詐騙獲利。

 

如何預防社群網路上的虛擬貨幣詐騙?

  1. 除了記住天下沒有不勞而獲這個致理名言以外,如何判斷 Twitter 帳號真假也很重要。一個通過Twitter 實名制認證的帳號 (下圖/上),在帳號旁邊會出現一個藍色圓圈打勾的圖案,反之,駭客建立的假帳號(下圖/下)幾乎不可能接受實名制認證,也就不會有前面說的認證圖案 (駭客也知道所以放了一個藍色心型圖案魚目混珠),有能力辨認詐騙帳號才免於上當。
駭客放了一個藍色心型圖案魚目混珠,有能力辨認詐騙帳號才免於上當。
駭客放了一個藍色心型圖案魚目混珠,有能力辨認詐騙帳號才免於上當。
  1. 詐騙說穿了就是一種社交工程攻擊,從事件最開始 Binance 交易所用戶的帳密被盜,到 Twitter 上駭客所發的贈幣假消息,都是透過社交工程手法引誘用戶受騙上當。提高企業員工及個人對於社交工程攻擊的資安意識,才能真正降低受到網路詐騙的風險。 趨勢科技提供免費的社交工程演練服務 Phish Insight,歡迎立刻試用 

《延伸閱讀 》

< 虛擬貨幣攻擊 > 偽裝獵人頭公司的釣魚郵件,鎖定銀行高階主管

“你的字型需要更新” “關閉網頁後,竟還繼續挖礦?” 這些騙術讓你的電腦做牛做馬幫他人賺外快 !

趨勢科技 PC-cillin 2018 防毒軟體雲端版好強大!跟偷挖礦、勒索病毒說掰掰

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板,跨平台防護3到位

 

《虛擬貨幣 》關注這些名人的 Twitter ,就可獲得比特幣?!山寨版名人Twitter 帳號耍詐

詐騙集團利用山寨版名人Twitter 帳號竊取比特幣

詐騙集團已經找到新方法來延續過去的奈及利亞王子騙局:利用社群媒體來竊取虛擬貨幣(又稱數位貨幣),如以太坊或 比特幣。而且從最近的報導中可以發現似乎真的有受害者上當,將自己的虛擬貨幣送給了詐騙集團。

詐騙集團利用山寨版名人Twitter 帳號竊取比特幣
詐騙集團利用山寨版名人社群網站Twitter 帳號竊取比特幣

這騙局相當簡單,卻能夠有效地欺騙沒有防備的受害者。在這騙局中,詐騙集團山寨了知名人士或組織的Twitter帳號(如John McAfee,Elon Musk,Donald Trump,Ripple,CryptoCoinsNews)。接著用這山寨帳號來回復推特,開啟一個對話或討論串。他們聲稱會送出多達30比特幣給關注者,只要他們將微薄的0.02-0.03比特幣發送到一個特定錢包/地址。

根據不斷出現的推文,這種快速致富的詐騙似乎是奏效了。儘管有很多人將這些推文標記為可笑且很容易就可以避開,但是因為假推文送到比特幣地址的金額總計已達0.184比特幣,約合1,474美元。對於這樣不用花多少努力的騙局來說,這投資報酬率不算壞。

[相關閱讀:奈及利亞王子騙局在西非地下市場很普遍 ]

冒用知名人士與組織的信譽加上虛擬貨幣日益成長的現實價值,使其成為有力的社交工程誘餌。這些詐騙也象徵威脅環境的一種趨勢:經過考驗可以成功的技術會被重複運用在新興技術或平台上。 繼續閱讀