惡意軟體病毒發展史 - 資安趨勢部落格

《電腦病毒30演變史》首部曲－從1986年的大腦病毒到1996年的 Taiwan No.1文件巨集病毒

2018 年 09 月 06 日2018 年 12 月 22 日趨勢科技 TrendMicro

1988 年趨勢科技成立之初,你知道當年出現的病毒,是靠磁碟片傳播的嗎?
今年(2018年)趨勢科技成立滿 30 年,我們一同回顧 30年病毒演變史。

你可能從去年的 WannCry (想哭)勒索病毒大爆發,才聽過勒索病毒,但你知道史上第一個勒索病毒,可能比你還年長嗎?

你知道為何在 1997 年前的每年 3 月 6 日,電腦用戶就會神經緊繃地幫電腦開機?

又或是高齡已達 32 歲,每逢13 號星期五發病的黑色星期五病毒, 現在是否建在,有比它更黑心的對手嗎?

我們將分期為大家介紹《1988-2018 資安威脅演變史》中,造成全球重大損失的病毒與攻擊手法事蹟

1986 年第一隻感染個人電腦的病毒: BRAIN 大腦病毒

僅透過 5.25 英吋的磁碟片傳播的防盜拷病毒

電腦病毒的老祖宗，得從 1983 年說起，在那個時代有一位美國南加大的學生曾在 UNIX 系統下寫了一支會引起系統當機的程式，並以論文方式大力發表，在當時引起不小的震撼。
後來在隸屬美國電話電報公司的貝爾實驗室中，有一群寫程式的工程師，以撰寫吃掉他人程式的方式彼此消遣，但是並沒有流傳到外面。真正造成電腦使用者害怕的是 1987 年誕生的大腦病毒，它才算是電腦病毒的老祖宗。BRAIN大腦病毒，是第一隻感染 IBM 個人電腦也是首隻被媒體大量報導的病毒。大腦病毒誕生，原本只是為防止別人盜用軟體程式，沒想到卻被竄改成為具有破壞性的病毒程式，使得電腦使用者從此籠罩在電腦病毒的陰影下。

創造BRAIN大腦病毒的是一對來自巴基斯坦兩兄弟─Basit與Amjad。當時兩兄弟只有17歲和24歲共同經營一間電腦軟體公司，為了追蹤有多少人非法盜用他們開發的心臟監控系統，在軟體中加入一項新功能,會跳出一則警告訊息:「Beware of this VIRUS…. Contact us for vaccination…(小心！這是病毒，快聯絡我們拿解藥)」，訊息中也留了聯絡電話,以確認用戶的使用身分是否合法。但後來發展的變種會吃掉硬碟空間。

後來一些有心人士將大腦病毒發揚光大，把它改寫成有強大殺傷力的變種病毒，而且不斷的衍生毒子毒孫。

1987年黑色星期五誕生:「We hope we haven’t inconvenienced you」

黑色星期五，這是個被西方社會認為是不幸、不吉利的日子。據英國《每日郵報》報導，黑色星期五當天發生的交通事故比平日高出個百分點。繼續閱讀

勒索軟體：恐嚇取財手法十年進化史

2015 年 06 月 23 日2018 年 09 月 08 日趨勢科技 TrendMicro

勒索軟體誕生於 2006 年
2012年假冒警察,抓盜版軟體
2013年加密手法日益成熟
2014-2015年鎖定企業,台灣也受駭…

自從我們第一次遭遇勒索軟體 Ransomware至今已過了大約十個年頭，這類軟體會挾持受害者最重要的檔案，然後逼迫受害者支付一筆金額來贖回這些資料 (因而稱為勒索軟體)。為了記錄這個有史以來發展最蓬勃、吸金能力最強大的惡意程式類型邁入十年重大里程碑，讓我們來回顧一下我們所接觸過的重大案例，看看它們這些年來是如何發展與演變。

2006 年：起源

僅管早在 2005 年中期，媒體就報導過一些勒索軟體 Ransomware的案例，但是較為精密且會採取某種加密手法的版本要在一年之後，也就是 2006 年才開始出現。其中一個早期變種就是我們偵測並報導過的 TROJ_CRYPZIP.A，它會搜尋受害者硬碟上某些副檔名的檔案，然後將這些檔案壓縮成含有密碼保護的壓縮檔，並將原始檔刪除。使用者若沒有任何其他備份，就只好想辦法看看能不能解開這份壓縮檔案。此外，TROJ_CRYPZIP.A 還會利用一個記事本檔案來留下勒索訊息，告訴使用者只要支付 300 美元就能取得壓縮檔的密碼。

當然，由於這是勒索軟體 Ransomware首次嘗試向不知情的使用者詐取錢財，其詐騙手法還不是非常周延。因為，歹徒的密碼其實就儲存在惡意程式其中一個元件當中，也就是它的 .DLL檔案，而且大剌剌地並未加密。

2011 年：實驗摸索的階段

時間繼續向前快轉五年，我們發現勒索軟體 Ransomware已有重大進展，至少在贖金的付款方式上已經可以接受行動支付機制。2011 年發現的 TROJ_RANSOM.QOWA 專門鎖定俄羅斯的使用者。此變種一改挾持檔案勒贖的作法，直接將使用者的桌上型電腦鎖住，並在螢幕上顯示一個要求支付 360 俄幣 (在當時約為 12 美元) 贖金的畫面。受害者必須撥打一個付費電話號碼並同意支付費用才能取回系統的主控權。

儘管這還不像後來發展出來的檔案加密怪獸，也不像那些要求龐大贖金的變種，但歹徒已經達到目的。雖然贖金只有區區 12 美元，但這項攻擊行動在短短五週之內就獲利至少 30,000 美元，至少有 2,500 人受害。據統計，此惡意程式光在一個月前就從某個色情網站被下載了 137,000 次以上，絕大部分都是俄羅斯使用者。

金額不高，再加上付款方便，使得這項詐騙對受害者來說並不會造成太大麻煩。您會不會支付 12 美元來贖回自己的電腦？這在今日大概只不過是三杯拿鐵的價格而已，遠少於其他勒索軟體 Ransomware所要求的金額，因此受害者也就乾脆付款。

上述數據證明了勒索軟體 Ransomware的獲利潛力，很顯然地，誘騙使用者下載一個能夠鎖住其檔案或電腦以勒索贖金的惡意程式，可收到非常好的效果。這同時也證明了有效散布管道的價值。毫不諱言，這個案例證明了色情就是能夠吸引許多俄羅斯使用者上勾並自願下載惡意程式。

2012 年：青春期血氣方剛的恐嚇技倆

繼續閱讀

巨集惡意程式：老技倆依舊有效

2015 年 06 月 10 日2018 年 08 月 30 日趨勢科技 TrendMicro

巨集病毒曾經是最熱門的話題, 它主要是利用軟體本身所提供的巨集能力來設計病毒, 所以凡是具有寫巨集能力的軟體都有巨集病毒存在的可能, 如Word, Excel,都相繼傳出巨集病毒危害的事件, 在台灣最著名的例子正是1996 年現身的Taiwan NO.1 Word 巨集病毒。以下我們先分享幾個台灣本土巨集病毒發作的畫面:

現在，我們該好好重溫一下 Microsoft Word 下面這個安全性警告訊息為何重要：

圖 1：Microsoft Word 巨集安全性警告

今天下午，我在同事之間詢問了一下這個問題：「你能不能馬上想到任何一個有效的巨集惡意程式？若是透過電子郵件散布就更好。」我得到的第一個答案是1999年3月26日，導致全球大企業的 Email Server大當機的「Melissa」，但另一位較資深的同事則說1995年的第一隻文件巨集病毒「WM Concept」和 1996年的Excel巨集病毒「LAROUX」。接著我又問其他同事能不能舉出 2005 – 2008 年左右的熱門巨集惡意程式，結果大家開始聊起 2000 年代巨集病毒瘋狂的年代，也想起當年 Microsoft Office 將預設安全性改成高安全性之後對惡意程式情勢有多大改變，以及現在將如何歷史重演。

「舊瓶裝新酒」

我們在一年前就開始發現巨集惡意程式重返的跡象，當時看到的是 W97M_SHELLHIDE.A 和 TSPY_ZBOT.DOCM 的合體。一開始，我們以為只是偶然的案例，但根據趨勢科技有關 BARTALEX 的最新報告指出， DRIDEX、ROVNIX 及 VAWTRAK 等惡意程式也再度利用巨集來散布惡意程式，並且從 2014 下半年延續至今年。

不但如此，趨勢科技也注意到巨集惡意程式這次重現江湖的目標非常明確，那就是：企業機構。而且企業也因遭受一波垃圾郵件散布的巨集惡意程式攻擊而嚴重受創。繼續閱讀