重大資安事件 - 資安趨勢部落格

從勒索軟體 Locky 加速散播,看巨集惡意軟體新伎倆

2016 年 04 月 06 日2016 年 04 月 07 日趨勢科技 TrendMicro

巨集惡意軟體使用新手法，利用表單儲存程式碼

巨集惡意軟體會捲土重來並持續流行可能有幾個原因，其中之一是它們繞過傳統防惡意軟體解決方案及沙箱技術的能力。另一個原因是它們會不斷地改善攻擊方式：就在最近，我們看到相關巨集惡意軟體及最新的 Locky勒索軟體會用巨集內的表單物件來混淆惡意程式碼。這種做法可以進一步地讓攻擊者得以隱藏在目標網路或系統內執行的惡意活動。

編按:勒索軟體 Locky 近日在台灣有加速散播的趨勢,它利用使用者對 Microsoft Word 檔比較沒有防備的心態，造成不少台灣民眾檔案被綁架。如果你近日接到一封看似發票的信件主旨:ATTN: Invoice J-98223146 ,請當心不要任意開啟其所附的 Word 檔

PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制，可預防檔案被勒索軟體惡意加密

趨勢科技PC-cillin雲端版，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

使用表單（就像應用程式介面的文字方塊），攻擊者會用巨集表內的腳本來產生並執行惡意程式。跟之前的巨集惡意軟體一樣，這也需要使用者手動啟用巨集以觸發執行。但這種新做法需要能夠存取儲存在表單中的shellcode。雖然這種做法被認為比典型技術更困難，但並不一定會影響其安裝。

繼續閱讀

勒索軟體攻擊從個人電腦轉到網站

2016 年 03 月 30 日2016 年 03 月 30 日趨勢科技 TrendMicro

2月13日，英國心理諮商及心理治療協會（BACP）網頁被置換預示著新一代的勒索軟體變種已經從感染桌上型電腦演化到恐嚇網站。陸陸續續網頁伺服器檔案被加密,影響了超過100個網站的報導宣告勒索軟體 Ransomware攻擊從個人電腦轉到網站的新發展。

這個勒索軟體 Ransomware變種CTB-Locker使用PHP編碼，會加密使用WordPress的網站。接著替換index.php來讓首頁顯示勒贖訊息。有意思的是，會提供聊天室功能來讓受害者跟資料綁匪間能夠進行對話。

安全研究人員Lawrence Abrams將這勒索軟體稱為CTB-Locker for Websites，並且在他的發現中分享：「一旦開發者（攻擊者）可以存取一個網站，他們將原有的index.php或index.html重新命名為original_index.php或original_index.html。然後，上載開發者所製作的新index.php來執行加解密和顯示勒贖訊息給被駭網站。要特別指出的是，如果網站不是使用PHP，CTB-Locker for Websites將無法作用。」

從首篇報導的勒索軟體 Ransomware事件中，難以判斷此攻擊是否該被稱為勒索軟體攻擊或只是想要引起目標網站所有者的恐懼心理。研究人員隨後從受影響網站之一取得惡意程式碼的完整副本，發現迄今至少有102個網站被感染。繼續閱讀

【警訊】Petya 勒索病毒修改主要開機磁區 (MBR) 讓電腦無法正常開機 ,Dropbox 成為駭客入侵管道!

2016 年 03 月 29 日2017 年 06 月 29 日趨勢科技 TrendMicro

勒索軟體又以"履歷表"為餌,以 Dropbox 為傳播管道,假求職真駭人 — 勒索軟體又以”履歷表”為餌,以 Dropbox 為傳播管道,假求職真駭人

打開電腦，骷髏頭畫面現身 ?!

趨勢科技研究團隊近日發現一個俗稱的「Petya」惡意程式(趨勢科技命名為RANSOM_PETYA.A﹚勒索軟體 Ransomware )正進行一波新的攻擊，此惡意程式透過發送電子郵件來散布一封看似要應徵某項工作的電子郵件，信件內含一個連向 Dropbox 雲端空間的連結，點選連結後會發現內含兩個檔案：一個是偽裝成履歷表的自我解壓縮執行檔，另一個是冒充「求職者」的照片檔可讓收件人用來下載求職者的履歷表。

★針對此新型勒索軟體企圖修改主要開機磁區（MBR)的惡意行為，PC-cillin 雲端版已經能主動偵測並加以封鎖，建議一般民眾可以立即下載保護自身電腦免於遭受攻擊。

當機重開機卻出現骷髏頭畫面,當心被勒索軟體盯上了

勒索軟體 Ransomware犯罪集團似乎覺得，光是將檔案加密還不足以逼迫使用者，因此，現在他們又開發了一種會讓電腦出現藍色當機畫面，並且在電腦重新開機時顯示勒索訊息的加密勒索軟體，使用者根本無法進入作業系統。想像一下當您打開電腦電源之後，電腦上出現的不是熟悉的 Windows 開機畫面，而是一個由 $ 組成的骷髏頭閃爍的紅色畫面。

感染了加密勒索軟體Petya 後,電腦會當機,重新開機,會出現骷髏頭紅色畫面 — 圖 1：感染了勒索軟體Petya 後,電腦會當機,重新開機,會出現骷髏頭紅色畫面

這就是俗稱「Petya」的勒索軟體 Ransomware (趨勢科技命名為 RANSOM_PETYA.A)。該程式不僅會修改被感染電腦的主要開機磁區 (MBR)，讓使用者無法開機，更值得注意的是它會經由雲端儲存服務 (Dropbox) 來進入受害者電腦。

這並非惡意程式首次利用合法服務來從事不法行為，但卻是長久以來第一次使用者可能經由合法服務感染勒索軟體 Ransomware。此感染方式有別於傳統以電子郵件附件或含有漏洞攻擊套件的惡意網站來散布的作法。

感染過程:求職信內含一個指向下載履歷表的]Dropbox連結，求指者的照片是盜用的

研究人員指出，Petya 仍是經由電子郵件來散布。受害者會收到一封看似要應徵某項工作的電子郵件，信件內含一個指向 Dropbox 雲端空間的連結，可讓收件人用來下載求職者的履歷表。

在我們分析到的一個樣本中，此連結指向一個 Dropbox 資料夾，內含兩個檔案：一個是偽裝成履歷表的自我解壓縮執行檔，另一個是冒充「求職者」的照片檔。經過進一步的分析之後，我們發現該照片應該是從網路上盜來的圖片。

繼續閱讀

勒索病毒,連警察局長辦公室也淪陷

2016 年 03 月 25 日2018 年 08 月 10 日趨勢科技 TrendMicro

警長辦公室硬碟遭到加密! 因為有人不小心從共用網路上下載了勒索病毒。猜猜看以下哪個是正確的 ?____
1.警察逮捕了歹徒
2.歹徒主動交出解密金鑰
3.警察竟付了贖金
4.FBI 追查並逮捕到歹徒

「你們的檔案都已被我加密，如果真的在乎這些數據，那麼建議你們別浪費寶貴時間，尋找不存在的解決方案」。在連續五天努力都未能解密之後，受害者無奈支付了數百美金贖金給勒索病毒 Ransomware 犯罪份子，而受害對象是警察。

本文末列舉的是 2015 年四月的例子,但這並非唯一的一個勒索病毒 Ransomware 挑戰執法單位的案例:

麻薩諸塞州 Swansea警察局在2013年支付了750美元贖金
伊利諾州 Midlothian警察局2015年支付了500美元
田納西州迪克森郡(Dickson County)治安官辦公室2015年支付了572美元。
阿拉巴馬州柯林斯維爾（Collinsville）警察局在 2015 年6 月被襲, ，導致罪犯照片資料庫被加密鎖定。駭客要求500美元贖金，但這家小鎮警局拒絕支付，而是放棄被綁架的檔案資料

加密勒索病毒看準警察局缺少IT專業人士,一再挑戰執法單位

犯罪份子鎖定美國小鎮警局,主要是看準他們人手不多，缺少IT專業人士，警察為了讓自己的工作儘快恢復正常的情況下,只能無奈選擇支付贖金。

今日的惡意程式和以往已大不相同。過去，使用者只需一套防毒軟體，或者依序執行某些步驟就能清除惡意程式的檔案和副作用，但今日的勒索病毒 Ransomware 可沒這麼好應付。勒索軟體是專為鎖住系統或某些檔案然後向使用者勒贖而設計，因此可說是場賭注：不是歹徒拿錢走人，就是受害者承受檔案全毀的代價。

雖然早期的勒索軟體變種 (尤其是那些單純只將電腦畫面鎖住的變種) 可以透過勒索軟體反制工具來解決，但一些較新的變種可就沒這麼容易對付。事實上，會將電腦系統鎖住「並且」將某些檔案加密的加密勒索軟體，可說是駭客的一招「死棋」，使用者一旦中招，立刻就陷入兩難的抉擇。

[延伸影片：勒索軟體如何運作：從感染到勒索]

沒有解密金鑰，就算勒索病毒 Ransomware被清除了，被加密的檔案還是救不回來

加密勒索軟體 Ransomware (勒索病毒/綁架病毒)採用了現代化的加密技術，這些原本為了保護資料及通訊安全而發展出來的加密技術，會使用特殊的演算法來將檔案重新編碼，因此唯有擁有解密金鑰的人才能開啟或閱讀檔案內容。繼續閱讀

CERBER：會說話的加密勒索軟體，在俄羅斯地下市場兜售

2016 年 03 月 08 日2016 年 03 月 09 日趨勢科技 TrendMicro

「注意！注意！注意！」
「你的文件、照片、資料庫和其他重要檔案都已經被加密！」

“Attention! Attention! Attention!”

“Your documents, photos, databases and other important files have been encrypted!”

想想看，你系統上所有的重要檔案都被勒索軟體 Ransomware加密了。你很快就收到勒贖通知，其中一個還會發出聲音念出訊息，並告知你的檔案已經成為勒索贖金的人質，除非你依照指示付贖金。

RANSOM_Cerbera加密勒索軟體具備「語音」能力，用電腦語音來播放如下音頻檔案：

在一般的案例中，這類型的威脅會出現包含如何支付贖金和取回檔案的說明圖檔。這種創新作法讓人想起REVETON變體（或稱為警察勒索軟體），能夠根據使用者所在地來用適當的語言「說話」。

圖1、勒贖通知樣本

根據我們的調查，CERBER只使用英語；然而，當使用者透過Tor瀏覽器來點入連結，它所指向的網頁會詢問使用者要用哪種語言。儘管登錄網頁提供各種語言選項，但直到本文貼出時，只有英語有效。CERBER背後的網路犯罪分子要求使用者支付1.24比特幣（Bitcoin）（在2016年3月4日時約等於523美元），這會在七天後增加至2.48比特幣（Bitcoin）（在2016年3月4日約等於1046美元）。

圖2、詢問偏好語言的登錄網頁

繼續閱讀