勒索病毒/勒索軟體 - 資安趨勢部落格

美國政府單位網站發現 Cerber 勒索病毒

2017 年 09 月 09 日2017 年 09 月 20 日趨勢科技 TrendMicro

美國國家野火應變調度小組 (National Wildfire Coordinating Group，簡稱 NWCG) 的網站被人發現暗藏一個 JavaScript 檔案下載器，專門散布 Cerber 勒索病毒。發現該問題的資安研究人員 Ankit Anubhav 表示，該網站上提供的一個 .zip 壓縮檔案內含一個 JavaScript 會執行一段經過加密編碼的 PowerShell 腳本。當 PowerShell 執行時，會去下載一個偽裝成 GIF 圖片的 Cerber 執行檔。

目前仍不清楚駭客如何在該網站植入此勒索病毒，也不曉得是否有任何瀏覽該網站的訪客遭到感染。有可能是該網站遭到駭客入侵，或者該網站儲存了一些含有惡意程式的電子郵件附件壓縮檔。

在該網站上發現的變種與 Cerber 第 6 版都是利用社交工程電子郵件挾帶含有惡意 JavaScript 檔案的附件壓縮檔。從趨勢科技所分析到的 JavaScript 檔案中，我們看到三種感染電腦的方式：直接下載惡意檔案來執行、建立排程工作讓病毒延遲兩分鐘後再執行、執行一個內嵌的 PowerShell 腳本。

圖 1：Cerber 6 感染過程。

Anubhav 在 Twitter 上公布這項發現之後，幾小時內該惡意程式的連結就已被移除。繼續閱讀

二萬多個 MongoDB 資料庫遭駭客攻擊

2017 年 09 月 08 日2017 年 09 月 12 日趨勢科技 TrendMicro

最新一波勒索病毒攻擊鎖定的目標是 MongoDB 資料庫，全球已有數以萬計的伺服器受害。根據媒體報導，有多個駭客集團共同策劃了這一波攻擊，其中一個集團已經駭入了 22,000 台伺服器。

駭客專門攻擊可公開存取並採用預設值設定的資料庫，他們不僅會刪除資料，還會將資料替換成勒索訊息：

「We have your data. Your database is backed up to our servers. If you want to restore it, then send 0.15 BTC [$650] and text me to email, just send your IP-address and payment info. Messages without payment info will be ignored.」(你的資料在我們手上，我們已經將資料備份到我們的伺服器。如果你想要回資料，就匯 0.15 個比特幣 [約 650 美元] 給我，並用電子郵件把你的 IP 位址和付款資訊寄給我。郵件內若無付款資訊我們將會忽略。) 繼續閱讀

目標式勒索:「客製化」勒索病毒Defray,最愛的四個產業

2017 年 09 月 07 日2018 年 10 月 23 日趨勢科技 TrendMicro

勒索病毒最愛的醫療保健、教育、製造及科技組織

到處肆虐的勒索病毒 Ransomware (勒索軟體/綁架病毒)一般是以「亂槍打鳥」的方法感染，新興勒索病毒 Defray (由趨勢科技偵測到的 RANSOM_DEFRAY.A 及 RANSOM_DEFRAY.B) 則鎖定特定攻擊目標。報告指出，Defray 散播者利用量身訂製的社交工程（social engineering ）手法，將目標鎖定在勒索病毒最愛的醫療保健、教育、製造及科技組織，特別是醫療保健業。

Defray 冒充「醫院 IT 管理者」,寄送病患報告

Defray 和大多數的勒索病毒一樣，透過網路釣魚（Phishing）電子郵件散播，它會嘗試強迫受害者下載惡意檔案。2016 年趨勢科技報告指出電子郵件是最常見的進入點，有 79% 勒索病毒來自垃圾郵件。

Defray冒充「醫院 IT 管理者」偽裝寄送病患報告的網路釣魚電子郵件。趨勢科技也發現有些網路釣魚郵件，偽裝成一家英國的水族公司，要求收件者報價或訂購產品，而惡意檔案上附有「官方」標誌。這些郵件的針對性及細節清楚顯示，攻擊者努力讓攻擊目標相信其真實性，而量身訂製的誘餌，顯示攻擊者正在鎖定更具體的攻擊目標。繼續閱讀

勒索病毒藏在你的口袋裡趴趴走嗎?

2017 年 09 月 04 日2017 年 08 月 25 日趨勢科技 TrendMicro

近幾個月來，WannaCry(想哭)勒索蠕蟲及 NotPetya 勒索病毒攻擊再度引起滿城風雨，讓人更審慎思考造成這些威脅的原因，許多領導廠商也再度推行資安防護，防範電腦漏洞。不過，有另一種極容易遭到勒索病毒入侵的端點可能被忽略了，說不定您口袋裡就有一個。

行動裝置比桌上型電腦更難監管

在 BYOD 或 COPE 政策開始施行後，在工作場所中使用智慧型手機、平板電腦等個人行動裝置的接受度越來越高，導致 IT 必須耗費大量心力來適切地控管這類硬體。然而行動裝置比桌上型電腦更難監管，勒索病毒的技術又越發精密，如果使用者未加警覺，就有可能受害。勒索病毒的攻擊目標逐漸鎖定行動裝置，但企業和員工卻沒有做足自我保護措施。

2017年第一季行動勒索病毒較前一季翻3.5倍

2016 年被稱為勒索病毒之年，現在看來 2017 年不但承其基業，而且規模更勝以往。勒索病毒常發展出新變種，盡其所能威脅更多人。根據業界報告，2017 年第一季偵測到超過 218,000 個行動勒索病毒檔案，而前一季僅有 61,000 個。其中有高達 86% 的攻擊來自於 Congur 系列的勒索病毒，會在發動後重設裝置密碼，讓駭客取得管理員權限，有部分變種相當難以移除，因此該台裝置未來仍有被脅迫的風險。

行動勒索病毒會影響裝置和企業的安全性

行動勒索病毒的運用量持續上升，是不容忽視的威脅，有些駭客可能會要求 100 至 500 美元不等的贖金來解鎖裝置，但無法保證他們是否真會履行約定，而且駭客可能會再次將受害者當成目標。2016 年，駭客的攻擊行動賺進了 10 億美元，對企業造成不小的損失，而且還有合規問題和名譽受損的後果需要善後。企業領導者和員工必須學會辨識行動勒索病毒、瞭解其如何感染系統，以及該如何有效地保護自己。繼續閱讀

磁碟加密勒索病毒 HDDCryptor 變種, 根據感染規模來調整受害者的贖金

2017 年 08 月 22 日2017 年 08 月 16 日趨勢科技 TrendMicro

磁碟加密勒索病毒HDDCryptor的變種（趨勢科技偵測為RANSOM_HDDCRYPTOR.AUSE）據報在巴西和沙烏地阿拉伯感染了許多受害者。它跟2016年11月攻擊舊金山市政交通局（SFMTA）的磁碟加密惡意軟體是同一個家族，當時迫使公共交通系統手動分配路線，並打開票閘以防止運作停擺。

HDDCryptor（也被稱為Mamba）在去年9月首次出現。它可以加密透過SMB分享的網路資源，包括網路磁碟、資料夾、檔案、印表機和序列埠。它惡意使用一些免費軟體、開放原始碼軟體和商用軟體來搞亂磁碟及掛載的SMB磁碟，並且用修改過的開機引導程式（bootloader）覆寫主開機記錄（MBR），進而鎖住受感染電腦的硬碟。受感染系統重新啟動後會顯示勒贖通知而非正常的登入畫面。

[延伸閱讀：勒索病毒造成藍色當機畫面：HDDCryptor使用商業工具來加密網路分享和鎖住硬碟 ]

它的感染載體讓人聯想到其他家族（如Crysis和Erebus Linux勒索病毒），會利用漏洞攻擊來在植入並執行惡意軟體前先取得管理員權限。到了11月下旬，HDDCryptor更新使用了更加精簡的加密程序及防沙箱和反除錯功能，更能夠去躲避防毒和其他偵測技術。

[延伸閱讀：<勒索病毒> 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定（RDP）散播]