重大資安事件 - 資安趨勢部落格

駭客組織 Anonymous匿名者發動Operation Petrol攻擊意圖大量癱瘓石油國家與企業網站

2013 年 06 月 20 日2013 年 06 月 20 日趨勢科技 TrendMicro

中東地區特定政府網站疑已遭攻擊關閉 政府及企業應加強戒備以防受骇

【2013年06月20日 台北訊】駭客組織「 Anonymous匿名者」於月初宣稱將於今日發動代號為「Operation Petrol」的攻擊行動，鎖定全球主要石油產業相關的政府及企業，趨勢科技(TSE:4704)分析該組織很可能已經在五月即開始部署可發動目標性攻擊的惡意行動，以達到癱瘓大量網站目的。目前已知部分中東政府網站與特定企業也已遭攻擊，趨勢科技呼籲全球政府與企業都應提高警覺，建議企業與政府於近期進行內部IT資安防護能力檢測，確實更新修補元件、提高對網路與電子郵件釣魚的警覺心，以防成為此波攻擊受害者。

駭客團體「 Anonymous匿名者」於月初表示為了抗議石油交易以美金計價，嚴重剝奪石油產出國權益，預計於6月20日發動一波代號為「Operation Petrol」的攻擊，攻擊對象遍及全球主要國家，多數為該組織認為「石油美金」既得利益國家政府與石油產業網站，匿名者組織更進一步公布已經掌握一千個網站、三萬五千個email帳號密碼，以及十萬個Facebook帳號密碼，彰顯其具備癱瘓大量網站的能力。

根據趨勢科技病毒防治中心TrendLabs的分析，該組織已經於五月開始佈局，透過遠端C&C伺服器控制遭後門程式CYCBOT感染的電腦形成殭屍網路，駭客將可運用殭屍網路發動DDOS攻擊，癱瘓大量網站。目前已知沙烏地阿拉伯與科威特部分政府網站已經遭到零星攻擊而暫時關閉，亦有數家被駭客鎖定的機構已確定遭到攻擊。

繼續閱讀

Anonymous匿名者駭客組織宣稱在 6月20日對石油公司發動攻擊

2013 年 06 月 20 日2013 年 06 月 20 日趨勢科技 TrendMicro

作者：Darin Dutcher

在上個月，駭客集團匿名者Anonymous 宣稱他們打算對石油公司發動網路攻擊（代號：#OpPetrol），預計將會持續到6月20日。

他們聲稱這次的攻擊的主要原因是因為石油用美元計價，而非石油產國本身的貨幣。不過也有討論指出，會想要進行這波新的攻擊是因為前兩次的攻擊（代號：#OpIsrael和#OpUSA）被認為沒有效果。

要注意的是，6月20日指的是預期大多數攻擊會發生或被公開的那一天。和上個月的#OpUSA一樣，他們在這天之前就已經開始動員。自從這次行動公布以來，就開始有目標被攻擊，憑據被竊取，目標列表已經越來越長了。

而且這類攻擊被當做幌子，用來掩護其他攻擊的例子也並不少見。根據之前行動所記錄的附加損害和在公開攻擊日以外進行的資料外洩來看，不管是目標還是時間都沒有辦法被精確的掌握。

像這樣的Anonymous行動對現在或潛在的目標來說，都是個很好的機會來演練各種保護自己的步驟。每個人都可能會成為目標，總會有漏洞可被用來攻擊。

如果你所防衛的組織或國家是這次行動的潛在目標，你應該要考慮下文內的步驟，或許還要做得更多。如果你會連到這些目標組織，或位在潛在目標的國家內，我們建議你還是要採取這些步驟。但如果你和預定目標並沒有交集，你也可以利用這些步驟做為主動防禦的措施，對抗類似#OpPetrol這類的攻擊。

6月20日：

確保所有的IT系統（作業系統、應用程式、網站等）都更新到最新。
確保IT安全系統都保持在最新狀態，盡可能廣泛的監控，再加以深入的檢查。它們可以偵測和阻止攻擊計劃並且和偵殺鏈做整合嗎？它們可以佈署偵測點到網路、硬碟和記憶體內？
確保相關的第三方廠商都被通知，並且可以找得到。
偵測任何網路和系統異常行為並加以檢查。因為攻擊的偵察階段已經開始在作用。可能已經記錄了可用的漏洞和偷走所需的憑證。類似趨勢科技 Deep Discover Inspector樣的解決方案可以幫你檢查可疑的網路活動。
提醒使用者要特別小心，提防網路釣魚（Phishing）和魚叉式網路釣魚電子郵件。
和所有必要單位（不僅僅是IT部門）計劃或檢視事件反應程序。確認面對DDoS攻擊、更改網頁和資料外洩時會有不同的計劃跟反應。
讓IT安全部門、法務和對外溝通單位準備或檢視影響你組織事件的公開聲明。並且要問：「如果這起事件不是激進駭客組織所造成，而是網路犯罪、國家組織、內賊或恐怖份子進行的，那你的聲明和回應會有所不同？」
監視Anonymous的相關資訊，好了解他們的目標、工具或動機、成功列表或獲取資料的任何相關變化。

在6月20日：

注意，攻擊者可能會跨越不同的時區，所以對你來說可能會持續超過24小時。
持續監視Anonymous的相關資訊以了解目標、工具、動機、成功列表或獲取資料的相關變化。
你的IT、IT安全系統和日誌記錄需要保持高度警戒，持續地去注意任何可疑的地方。
如果你認為你的組織受到影響，要假設你受到DDoS攻擊、更改網頁、資料外洩，而且不只是其中一種。

6月20日過後：

持續監視Anonymous相關資訊以監視任何成功列表或獲取資料。繼續閱讀

《APT 攻擊》南韓 DarkSeoul 大規模 APT 攻擊事件事件 FAQ

2013 年 03 月 29 日2013 年 04 月 29 日趨勢科技 TrendMicro

: 南韓遭駭客攻擊事件,引發中外媒體大量報導(圖為壹電視報導)

• 2013 年 3 月 20 日在韓國發生什麼?
在 3 月 20 日下午，多家韓國民間企業遭受數次攻擊，業務運作嚴重中斷。此次事件的開始是受害企業內部數台電腦黑屏，網路凍結，造成電腦無法使用。
*本事件有一說為南韓 DarkSeoul 大規模APT攻擊事件)

4月中事件調查出爐，報導說北韓至少策畫了8個月來主導這次攻擊，成功潛入韓國金融機構1千5百次來部署攻擊程式，受駭電腦總數達4萬8千臺,這次攻擊路徑涉及韓國25個地點、海外24個地點，部分地點與北韓之前發動網路攻擊所使用的地址相同。駭客所植入的惡意程式總共有76種，其中9種具有破壞性，其餘惡意程式僅負責監視與入侵之用,相關報導:
韓國320駭客事件調查出爐，北韓花8個月潛入企業千次部署攻擊

• 誰在此次攻擊事件中受到影響?

數家韓國媒體與金融機構的網路受到影響，尤其是媒體，據報導他們的業務運作受到嚴重中斷，要完全恢復至少需要4至5天。

• 攻擊者的意圖為何?

目前還不知道攻擊者的動機，但是攻擊造成的影響是終端正常業務運作，表明了這是一次破壞行動。如果不知道攻擊者的真面目，很難去判定此次攻擊的意圖為何。

• 攻擊活動如何開始? 相關的惡意軟體如何入侵?

一封偽裝成三月份信用卡交易紀錄的郵件被送給被害者，該郵件包含兩個附件，一個是無害的 card.jpg，另一個是惡意的 .rar 文件，文件名寫著「您的帳戶交易歷史」

• 此次攻擊事件的感染途徑為何?

附件的 .rar 文件是一個 downloader，它會連接數個惡意 IP 地址並下載 9 個文件。企業內部的中央更新管理伺服器也遭受入侵而被植入惡意程序，更新管理機制讓這個惡意程序能夠相當快速地散播到所有連接此伺服器的電腦。該惡意程序會新增數個組件，其中包含一個 MBR (主開機記錄，Master Boot Record) 修改器。

• 在終端電腦上發生什麼?

這個 MBR 修改器，經趨勢科技偵測分析，定名為 TROJ_KILLMBR.SM 惡意程序。該惡意程序被設定在 2013 年 3 月 20 日執行，在這個時間之前，它只是安靜地存在系統之中。當設定的時間到達之後，TROJ_KILLMBR.SM 覆蓋MBR並且自動重啟系統，讓此次破壞行動能夠生效。它並且利用保存的登入訊息嘗試連接 SunOS、AIX、HP-UX 與其他 Linux 伺服器，然後刪除服務器上的 MBR 與文件。

對於Windows Vista 或是更新的版本，它會搜尋所有固定或移動硬碟中文件夾裡的全部文件，用重複的單詞去覆蓋文件，然後刪除這些文件與文件夾。在根目錄的文件是最後被覆蓋的。對於比 Windows Vista 舊的操作系統，它會覆蓋所有固定或移動硬碟的開機引導紀錄 (boot record)。

• 在 3 月 20 日之前有沒有對於此事攻擊事件的提前預警?

在一個趨勢科技的客戶環境中，我們能夠判斷至少在一天前，也就是 3 月 19 日，他們就已經遭遇了這個威脅。然而藉由趨勢科技威脅發現設備 DDI 的協助，他們能夠提早知道並且採取防禦措施。

• 趨勢科技對於此次攻擊事件提供什麼保護?

趨勢科技 DDI 利用偵測到相關郵件中的惡意附件，啟發式偵測名稱為 HEUR_NAMETRICK.B，我們也提供特徵碼去查殺 MBR 修改器，同時我們能夠偵測此次攻擊相關的所有 URL 與垃圾郵件。

• 趨勢科技客戶在此次事件中有受到影響嗎?

趨勢科技 DDI 能夠利用啟發式偵測與沙盒分析提示與此次攻擊相關郵件中的惡意附件。由於 DDI 提供的訊息，客戶能夠提早採取預防措施，防止威脅影響他們的系統。

面對 APT 攻擊企業該怎麼辦呢? 這是我們的建議

• 確保重要主機的防護及安全

。駭客企圖利用具有中控管理的程式來散播惡意程式，所以包含防毒軟體、資產管理、軟體派送及 AD 等等，因此做好主機保護很重要。

。程式本身也必須做好防護，以免成為攻擊的管道。繼續閱讀

從Facebook、Twitter、Microsoft和Apple遭到水坑攻擊談Mac OS平台安全

2013 年 03 月 29 日2013 年 03 月 27 日 Trend Labs 趨勢科技全球技術支援與研發中心

隨著越來越多的個人資訊會提供給Facebook、Twitter、Microsoft和Apple，他們的員工也成為更加誘人的目標。攻擊者知道這些員工還有其他許多可能的高價值目標是Mac使用者，並會據此來制定攻擊計劃。

作者：Jonathan Leopando

最近，我們看到了許多科技業知名品牌（如Facebook、Twitter、Microsoft和Apple）都遭到水坑（Watering hole）。這些受影響公司的員工瀏覽了受歡迎的iOS開發論壇，因為它被入侵淪陷了，所以也讓使用者遭受當時仍未知的Java漏洞攻擊。

毫無疑問地，Java首當其衝地被認為要為此事件負責。The Verge的一個頭條新聞甚至要對Java「消失」。類似想法已經出現在許多安全專家的腦海裡，不管他們是不是會公開地說出來。

但…Java並不是唯一的問題。所有受影響的系統都是Mac（這很自然，因為是針對iOS開發者的論壇）。現在的重點都一直放在是如何攻擊（Java），而非目標（Mac）上。

攻擊者會嘗試去攻擊目標所使用的平台，不管是哪一種。在整個作業系統的市場裡，Apple的市佔率仍然比較低，但在某些圈子（如矽谷）的比例則高得多。而這些被鎖定的目標恰恰就是因為是Mac電腦的使用者而變得不再安全。攻擊者會客製化他們的攻擊以符合他們目標的狀況。在這起事件裡，攻擊者顯然是要透過水坑（Watering hole）攻擊來針對iOS開發者，這也說明了這起攻擊有過相當程度的規劃。

去年的Flashback事件強調了Mac使用者也有遭受惡意軟體攻擊的風險，而這起事件讓人了解到Mac使用者也會成為精心設計的目標攻擊(APT-進階持續性滲透攻擊)對象。Java只是這次攻擊的載體，但Mac使用者已經不再比其他使用者更加免疫於社交工程( Social Engineering)攻擊。

隨著越來越多的個人資訊會提供給這些網路公司，他們的員工也成為更加誘人的目標。攻擊者知道這些員工還有其他許多可能的高價值目標是Mac使用者，並會據此來制定攻擊計劃。

使用者可以透過跨平台防護的PC-cillin 2013雲端版來防護Mac OS平台上所有已知的威脅影響。

＠原文出處：Barking Up The Wrong Tree

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚

◎延伸閱讀

什麼是 APT進階持續性威脅 (Advanced Persistent Threat, APT)？

《APT 攻擊》南韓爆發史上最大駭客攻擊企業及個人用戶電腦皆停擺

當 APT 攻擊者擁有很大程度的控制權時，該怎麼辦？

《APT攻擊/威脅》水坑攻擊: 不是去攻擊目標，而是去埋伏在目標必經之路

Mandiant 提出的美國企業被 APT攻擊報告被當作社交工程信件誘餌

《APT 攻擊》退信和讀取回條自動回覆的風險

APT 攻擊者偏好的DDOS 分散式阻斷服務攻擊與密碼擷取工具，自我更新更厲”駭”

木馬專門竊取圖檔/影像檔案,得手資料傳送遠端 FTP,可能為APT 攻擊布局

◎即刻加入趨勢科技社群網站,精彩不漏網

《APT 攻擊》趨勢科技Deep Discover 成功協助南韓客戶抵抗駭客多重攻擊

2013 年 03 月 27 日2013 年 09 月 17 日趨勢科技 TrendMicro

趨勢科技再次呼籲企業應正視客製化資安防禦策略重要性

【2013 年 3 月 27日 台北訊】上周爆發的南韓遭受駭客攻擊事件引起全球注目，也引發企業經營者及IT人員對於企業自身防禦方案是否周全的熱烈討論。全球雲端防毒廠商趨勢科技(TSE:4704)在事前透過客製化防禦策略，成功協助南韓客戶抵擋駭客攻擊，讓趨勢科技的南韓客戶事先發覺並採取回應，因此未發生任何損失。但根據過往經驗，不排除駭客會再發動另一波攻擊，趨勢科技再次呼籲企業應正視客製化防禦策略的重要性，才能確保企業免於成為駭客下波攻擊的犧牲者。透過趨勢科技的趨勢科技Deep Discovery搭配客製化防禦方案，全球六大銀行當中就有三家採用趨勢科技Deep Discovery，更有超過八十多個政府機構也採用這套解決方案免於此類攻擊。

南韓多家大型銀行及三家大型電視公司相繼在當地時間 2013 年 3 月 20 日星期三出現多台電腦失去畫面的情況。有些電腦甚至在畫面上出現骷髏頭的影像以及來自名為「WhoIs」團體的警告訊息。此攻擊是南韓同一時間遭受的多起攻擊之一。根據趨勢科技研究顯示，這是一次惡意程式攻擊的結果，歹徒一開始假冒銀行寄送主旨為「三月份信用卡交易明細」的釣魚郵件，內含會清除系統的主開機磁區 (Master Boot Record，簡稱 MBR)的惡意程式。駭客並且設定該惡意程式在 2013 年 3 月 20 日同步發作。一旦發作，將使銀行電腦系統完全癱瘓，必須逐一重灌才能回復。繼續閱讀