重大資安事件 - 資安趨勢部落格

從 Koobface 看殭屍網路的百變戲法

2012 年 02 月 23 日2012 年 02 月 13 日趨勢科技 TrendMicro

俗話說得好，戲法人人會變，各有巧妙不同。在做資安事件調查時，也會用上許多不同的方式來進行，加上各種的專業知識。特別是在調查使用多個組件的惡意軟體加上難搞C＆C網路的攻擊事件時。

但即使分析方法會改變，可能透過反向工程或是殭屍網路/傀儡網路 Botnet分析，但最重要的還是要了解威脅本身。

趨勢科技在監控KOOBFACE活動和技術分析上交出很棒的成績單。讓我們對這殭屍網路有密切的了解，也使我們可以快速反應，並且用適當的解決方案來保護我們的客戶。

Koobface的高峰期

在高峰期時，KOOBFACE最為人所知的就是（在當時）會透過急速成長的社群網路Facebook來傳播。但是當然，還不止於此。

在2008到2009年間，Facebook剛剛成為社群網路的主導者，也正開始和其他同類型的社群網站拉開距離（像是MySpace、Twitter、Friendster和myyearbook等等）。

我們對Koobface的第一份研究報告提供了詳細的說明，KOOBFACE並不只是在Facebook上散播，在這段期間還會利用其他流行的社群網站。趨勢科技的報告還指出，一旦系統被KOOBFACE惡意軟體所感染，會被安裝另外的惡意軟體到系統內，然後利用受駭使用者的網路流量來賺錢，或是將這受駭電腦變成Koobface殭屍網路/傀儡網路 Botnet的一部分。

Koobface和它的C＆C網路

趨勢科技的新發現讓我們發表了第二份研究報告，更深入的探討C＆C網路和通訊過程。在這裡，我們發現了 KOOBFACE 駭客集團所能控制的各個層面。從巧妙地利用受駭使用者來發出社交工程陷阱攻擊用的垃圾訊息，到 KOOBFACE 駭客集團所使用的各種組件、帳號、網路架構和指令。

繼續閱讀

《木馬專偷 Word, Excel 文件檔,得手後放雲端》受駭IP 遍佈150 國,含政府、學術界和企業網路

2012 年 02 月 20 日2012 年 02 月 13 日趨勢科技 TrendMicro 60 筆留言

趨勢科技最近看到有惡意軟體會從中毒使用者的電腦裡收集微軟Word和Excel文件檔，然後上傳到網路硬碟sendspace.com。Sendspace是一個網路分享空間，提供了檔案代管功能，讓使用者可以「發送、接收、追蹤和分享你的大檔案。」

Sendspace最近曾被用來存放偷來的資料，但並不是透過惡意軟體自動完成。根據去年底的報告，駭客利用Sendspace來處理跟上傳偷來的資料。

但這是第一次，趨勢科技看到有惡意軟體會將竊取的資料上傳到檔案代管與傳送網站。

這次的惡意軟體攻擊是從一個被偵測為TROJ_DOFOIL.GE的檔案 – Fedex_Invoice.exe開始。

為了要讓使用者受到感染，一個用社交工程陷阱偽裝成聯邦快遞貨運通知的電子郵件大量寄給目標的受害者。

一旦執行了這個檔案，TROJ_DOFOIL.GE會下載並執行TSPY_SPCESEND.A。這個下載器同時也會在感染的電腦上安裝其他惡意程式，包括了從BestAV結盟網路來的假防毒軟體變種，和從Yamba網路來的FakeHDD變種。

另外，這一個木馬下載器還跟TSPY_SPCESEND.A共用相同的C&C伺服器。這也強烈地顯示出，做出文件竊取sendspace木馬的犯罪份子，同時也涉及了按成交計費（Pay-Per-Sell，PPS）的地下經濟。

TSPY_SPCESEND.A是一個「拿了就走（grab and go）」木馬程式，它會在中毒電腦的本機硬碟裡搜尋微軟Word 和Excel 文件檔。收集到的檔案會被壓縮起來存放到使用者的暫存資料夾裡，並且利用隨機產生的密碼加密。下圖是一個文件收集壓縮檔的範例：

產生壓縮檔之後，TSPY_SPCESEND.A會將它送到Sendspace.com：

繼續閱讀

KOOBFACE靠網路廣告賺黑心錢的秘密：使用流量導向系統

2011 年 01 月 02 日2011 年 12 月 29 日趨勢科技 TrendMicro

KOOBFACE 殭屍網路/傀儡網路 Botnet會用安裝次數付費（Pay-Per-Install，PPI）和點擊次數付費（Pay-Per-Click，PPC）的商業模式來賺錢。僅僅在2009年，KOOBFACE這幫人就賺了約兩百萬美金。

但這顯然還不夠，因為這網路黑幫剛剛升級了他們的殭屍網路/傀儡網路 Botnet網路架構，使用先進的流量導向系統（Traffic Direction System，TDS）來處理導向下游網站的流量。他們還推出新元件來增加導向他們TDS的網路流量，這也意味著會讓他們賺進更多的錢。

KOOBFACE黑幫的TDS會將流量導往能賺仲介費的廣告網站或是其他幾個下游網站。要注意的是，這些付了仲介費的像是廣告網站或下游網站還是會透過增加的網路流量來賺回更多的錢。想更清楚地了解新TDS如何讓這集團賺更多，請看看下圖還有所列出的步驟：

新增跟註冊Yahoo電子郵件地址：由於KOOBFACE殭屍網路/傀儡網路 Botnet不能再自動新增Google帳號為他們所用，他們就換成自動新增Yahoo電子郵件帳號。這讓他們可以建立他們所需要的Google帳號。
建立社群網路帳號：KOOBFACE 殭屍網路/傀儡網路 Botnet新增的電子郵件地址被用來登入社群網路，像是Twitter、Tumblr、FriendFeed、FC2、Livedoor、So-net和Blogger。有些也被新增到altervista.org。這些殭屍網路/傀儡網路 Botnet路所建立的部落格帳號網址內會包含像「news」或「2011」的字眼。
部落格收集色情等圖檔：KOOBFACE新推出的新元件會收集色情圖片；名人、婚禮、紋身和汽車照片；還有從Google圖片搜尋來的桌布圖檔。這些都會被用在網路黑幫新貼的部落格文章內。
繼續閱讀

2010年重大資安事件回顧：Stuxnet 的喧擾與真相

2010 年 12 月 12 日2018 年 10 月 11 日趨勢科技 TrendMicro

2010年間最受安全產業討論的議題 Stuxnet(編按：2010 年11月Stuxnet蠕蟲攻擊伊朗核電廠，鎖定水庫、油井、電廠等重要基礎設施)。大多數 Stuxnet 的攻擊目標出現在伊朗，引發意圖破壞核子設施的陰謀論說。)。毫無疑問的是，Stuxnet是一款高度精良的惡意軟體，其資源，不管是在時間，金錢或人力上其皆十分充裕地被運用來發展。但就衝擊度而言，多數的使用者並未受顯明的影響。沒錯，Stuxnet的確散佈到世界上許多的系統中，但對幾乎是所有受到感染的系統來說，它並不是個大問題。它不偷盜資料，不促銷假防毒軟體( Fake AV)，也不會大量傳送垃圾訊息。

說 Stuxnet 預告了惡意軟體威脅影響「真實世界」機構的新世代來臨，也不完全正確。早在2003年，Slammer蠕蟲就打擊了俄亥俄州一個核能機構，並關閉了一個監視系統。而 DOWNADConficker 蠕蟲攻擊了多個高知名度機構如醫院（甚至影響了MRI磁核共振造影），執法單位，甚至不同的軍事機構。

要說 Stuxnet，可以說它的確劃下了第一次有人決定值得花時間，刻意以特定供應商的SCADA系統監控與資料擷取功能軟體（Supervisor Control And Data Acqusition，簡稱SCADA）平台做為攻擊目標。技術從過去就已經存在，欠缺的是進行的動力。

這類的惡意軟體攻擊數量少也遠在今日的威脅情勢之外。目前資料竊盜仍是最大的問題。趨勢科技每日所發現的惡意軟體中，大多數皆屬資料偷盜型惡意軟體。今日所見的每一件Stuxnet感染，皆相對地會發現上千件牽涉到偷盜資料的惡意軟體，如 Zeus 和 SpyEye。

從 Stuxnet我們可學到兩個教訓。對那些和被 Stuxnet視為目標類似的企業控制系統來說，這應該是一記警鐘。Stuxnet 攻擊的「軟」目標皆未受到良好的防護。這些系統之所以未受到良好防護，是因為他們是位在網路的「內部」，可能被認為受到區域防護業已足夠。網路其實和其最弱的環節一樣安全。因此，企業控制系統中的電腦和網路皆需要全面強化。

第三者的應用程式最常被做為入侵破壞的目標，例如 Adobe Flash 和 Adobe Reader，因此如果不能將這兩者自系統中移除的話，最好是將兩者隨時更新。對可移除式裝置如USB記憶碟的攻擊也不能等閒視之，且需加以防範。這將不會是迅速，簡單或便宜就可以解決的。

不過對負責重要系統的使用者而言，來自 Stuxnet 的危險必須要被放在適當的內容中。憑證竊盜軟體是遠比Stuxnet更重大的威脅。除此之外，要記得針對重要系統而來的威脅很可能目標就單只是該系統。一般的使用者更常看到的威脅類型，會是憑證竊盜和假防毒軟體類的惡意軟體。

Stuxnet終歸是享受了大量的媒體關注。它最主要的是對系統管理者在防護重要系統，甚至那些他們認為不會受惡意軟體威脅的系統，產生警告作用而非是實際的威脅。這個問題必須要被囊括在更大的惡意軟體威脅內容中，這類的威脅每日皆可見到上萬新數量的產生，絕大多數都是在偷盜使用者的資料。

文章來源：2010 in Review: The Hype and Reality of Stuxnet 作者：Ivan Macalintal (趨勢科技資安分析經理)

搜尋超級電腦病毒Stuxnet,搜尋結果頁面夾帶更多守株待兔惡意攻擊

2010 年 10 月 11 日2018 年 10 月 11 日趨勢科技 TrendMicro

假 Youtube 網頁,假防毒軟體,夾帶在搜尋頁面中趁機打劫

被稱為超級電腦病毒的 Stuxnet 蠕蟲,近日肆虐全球,網路犯罪者正利用 Stuxnet 蠕蟲到處肆虐的新聞熱潮來散發惡意程式。趨勢科技資安威脅高級研究員 Ivan Macalintal 發現，許多有關此蠕蟲的搜尋結果均遭到毒化。此次遭到 Black_Hat SEO黑帽搜尋引擎最佳化的一些搜尋字串包括：「stuxnet SCADA」、「stuxnet removal tool」、「stuxnet cleanup」、「stuxnet siemens」、「stuxnet worm」等等。某些已遭毒化的搜尋字串還高居搜尋結果頂端。其中有一個搜尋字串所指到的惡意 URL ({BLOCKED}lo-canada.org/2008/stuxnet.html) 會將使用者帶到一個專門攻擊 CVE-2010-0886 與 CVE-2010-1885 漏洞的網站。此外，還有某些搜尋結果會將使用者導向專門攻擊 PDF 和 SWF 漏洞的網站。該威脅分別命名為TROJ_PIDIEF.XE 和 SWF_AGENT.WAW。

事實上，可能招來的惡意程式很多，包括會在系統上植入其他惡意程式的下載程式在內，此外也包括 TROJ_FAKEAV.SMZU 這個假防毒軟體FAKEAV 變種。假防毒軟體FAKEAV 變種特別喜歡利用搜尋結果和新聞事件來誘騙使用者購買假防毒軟體。