CryptXXX會取代TeslaCrypt成為勒索病毒主流嗎?

TeslaCrypt告別勒索病毒 Ransomware (勒索軟體/綁架病毒)圈已經在網路犯罪世界掀起了波瀾。壞蛋們紛紛加入,希望在TeslaCrypt所留下的空缺裡分一杯羹。而和這起事件相呼應的是,眾多消息指出勒索軟體界新強者的出現:CryptXXX

CryptXXX(偵測為RANSOM_WALTRIX.C)一直都有在進行更新;其中一次是在讓受害者可以不用付贖金的免費解密工具出現之後。它不僅會加密檔案,最新的CryptXXX變種還會鎖住螢幕,讓使用者無法進入桌面。

 

抵達媒介

CryptXXX的散播是經由帶有Angler漏洞攻擊套件的受入侵網站和惡意廣告。

圖1、利用Angler漏洞攻擊套件的CryptXXX感染媒介

 

一旦使用者瀏覽了受入侵網站或是惡意廣告,就會被BEDEP惡意軟體變種植入CryptXXX。一旦它進入系統,它會先檢查自己是否執行在虛擬環境。如果偵測到,就會將自己停掉。

 

讓CryptXXX很難被阻止的原因是它還會執行一個看門狗(watchdog)程式。CryptXXX會同時進行兩個動作;一個是加密,另外一個是偵測異常的系統行為。當看門狗(watchdog)偵測到異常系統行為就會停止加密程序,再重新啟動加密程序。這會導致將惡意軟體停止,而看門狗(watchdog)會重新啟動惡意軟體的一個循環。

 

圖2、CryptXXX同時執行的兩個svchost.exe程序

繼續閱讀

中了勒索病毒怎麼辦?該不該付贖金? (內有免費解密工具 )

近來勒索病毒驚傳變種,透過更多新型手法勒索您的檔案並要求支付高額贖金換取解密金鑰! |
PC-cillin 雲端版“勒索剋星”可防範 WanaCry 等勒索病毒,保護珍貴檔案,防止電腦被綁架,快為您的電腦做好防護!
防範勒索病毒 PC-cillin 用戶請至這裡點選”免費體驗”即可免費升級至最新版本

 

台灣受駭創新高 付錢不能保證檔案能取回

在臺灣有受駭案例,付錢後卻沒有救回檔案,甚至加碼更高的贖金,所以沒有人能夠保證付錢之後檔案可以救回來。支付贖金不僅是一種賭注,更會助長勒索病毒持續氾濫。何況付了款,不一定就能拿到解密金鑰。

在過去的六個月,就有超過50個勒索病毒新家族出現,而2014到2015年加起來也只有49個。如果你還覺得這些案例都是發生在國外,就算 FBI 說中招了只能付錢了事,還是覺得勒索病毒離自己很遙遠,一樣照追劇,照下載,照瀏覽新聞?但是現在你不可以置身事外了,台灣地區光5月勒索病毒攻擊人次高達50萬威脅,急增3倍,網路上常常出現類似的討論:

論壇傳出「勒索病毒」大量災情。(圖擷取自PTT)

最近韓劇超夯的,許多人喜歡網路追劇,提醒您別遇到勒索病毒,有粉絲在趨勢科技粉絲頁留言:

fans-1

這並不是個案,無獨有偶的是有網友在論壇上求助,說想利用假日在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了,原來是中了Cerber 勒索病毒 Ransomware,並被要求支付約台幣1.7 萬的比特幣Bitcoin才可解鎖,更慘的是用公司的電腦 ! 很多網友給的建議跟 FBI 建議的一樣:” 付錢了事 “

提醒您:如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床,紐約時報、BBCMSN 皆曾中招。台灣也傳出相關案例。
4koma-38-2

 

也許你會說大不了重灌,但若是遇到像這位媽媽一樣,孩子的成長照片全被加密了,如果沒有備份的習慣,真的會令人很心急。
Ransomware-kids photo

以下是勒索病毒威脅手法的演變:

 勒索病毒威脅手法

【警訊】 LINE 也成為勒索病毒傳播的管道!!

中了勒索軟體該怎麼辦?「建議受害人付款了事」在一個網路安全高峰會上 FBI 如是表示,,此語一出即惹來了爭議。勒索軟體藏在郵件,藏在載點,藏在廣告裡…只要你上網,就有可能是它的覬覦目標。日前也傳出有網友用電腦版的 LINE 遇到假好友傳來的檔案,點下去就中毒整台電腦被綁架,要求支付 500 美金。

感染勒索病毒的四個主要症狀 

感染勒索病毒時,勒索病毒會連線到C&C伺服器下載加密金鑰並且開始加密電腦中的檔案,然後在電腦上放置Ransom Note檔案(支付贖金的說明檔案)。因此,當下列症狀出現時,就有可能就是遭到勒索病毒感染:

  1. 出現不明對外連線
  2. 發現各目錄下開始出現奇怪副檔名的檔案,例如:.crypt、.ECC、.AAA、.XXX、.ZZZ等等
  3. 突然出現很多 Ransom Note檔案(支付贖金的說明檔案)或捷徑,通常是.txt檔或是.html檔,如下圖:
  4. 在瀏覽器工具列發現奇怪的捷徑,如下圖:

萬一中了勒索病毒怎麼辦?第一個動作:中斷網路連線 !!

繼續閱讀

網路敲詐年預言成真? ” 叫我第一名 “,七隻創新的加密勒索病毒垂涎你的荷包!

上週出現勒索病毒假健保卡報稅郵件信件主旨是:「網路報稅『健保卡+註冊密碼』輕鬆搞定」及「報稅囉~~健保卡報稅,輕鬆兩步驟」夾帶勒索病毒,勒索六萬台幣!

近日有心人士假衛生福利部中央健康保險署名義發送健保卡網路報稅電子郵件夾帶電腦病毒,健保屬呼籲請勿開啟並立即刪除。
近日有心人士假衛生福利部中央健康保險署名義發送健保卡網路報稅電子郵件夾帶電腦病毒,健保屬官網呼籲請勿開啟並立即刪除。

 

上個月也有網友因為追劇而中招!有粉絲在趨勢科技粉絲頁留言:

“最近我同事只是追劇而已就中招,整個電腦資料全毀….”

fans-1

 

這並不是個案,無獨有偶的是近日也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了,原來是中了Cerber 勒索軟體 Ransomware,並被要求支付約台幣1.7 萬的比特幣Bitcoin才可解鎖,更慘的是用公司的電腦 ! 很多網友給的建議跟 FBI 建議的一樣:” 付錢了事 “

提醒您:如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。

 

網路敲詐年預言成真?

2016年迄今,趨勢科技發現新的勒索病毒 家族及變種出現,它們竭盡所能的使出各種惡毒手法,這些發展進一步的將加密勒索軟體打造成利潤豐厚的網路犯罪企業。正如趨勢科技曾經預測的,今年將變成網路敲詐年。

 


AV-TEST :PC-cillin雲端版再度獲選為"最佳防毒軟體"
AV-TEST :PC-cillin雲端版再度獲選為”最佳防毒軟體”

 

上班族報稅季荷包縮水,不能再讓勒索病毒把檔案當肉票!!
《即刻防檔案被加密》,免費下載 PC-cillin 雲端版

 

 

 


 

勒索軟體勒索軟體1200x627_2

 

2016 年迄今七隻創新的勒索病毒:

1.KeRanger第一個成功攻擊 Mac OS 的勒索軟體

MAC 蘋果 apple 電腦 滑鼠
繼續閱讀

Locky 勒索病毒利用 Flash 和 Windows 系統核心漏洞散布

今年四月初,Adobe Flash Player 出現了一個 零時差漏洞  (CVE-2016-1019)。此漏洞很快就被收錄到  Magnitude 漏洞攻擊套件 當中,Adobe 被迫緊急釋出修補程式。駭客利用此漏洞並搭配「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載. 網頁掛馬)技巧來散布 Locky勒索病毒(勒索軟體/綁架病毒)

Vulnerability 漏洞 勒索軟體 警告 安全

不過,使用者所面臨的威脅還不只這樣。最近,趨勢科技發現這項攻擊又增加了一個新的技巧。除了利用 Flash 漏洞之外,駭客更利用一個 舊的 Windows 權限升級漏洞 (CVE-2015-1701) 來躲避資安軟體的沙盒模擬分析技術。

隱匿的惡意行為

趨勢科技不僅分析了擷取到的網路流量,也分析了一個相關的檔案下載程式  (也就是 TROJ_LOCKY.DLDRA)。從網路流量可發現此威脅利用的是 CVE-2016-1019 漏洞。至於檔案下載程式,則是利用了一個罕見的 Windows 核心漏洞。檔案下載程式可藉此連上其幕後操縱 (C&C) 伺服器 (IP:202.102.110.204:80),並且下載Locky勒索軟體到系統上。這項技巧利用了多項核心層級的系統機制,包括:工作項目、系統執行緒以及非同步程序呼叫 (APC)。由於這些機制在使用時都不需要透過任何檔案,因此惡意程式可以在不被偵測的狀況下植入系統中。

檔案下載程式會將其惡意程式碼植入 Windows 用來執行各種服務的  svchost.exe 系統執行程序當中。此外,它還會檢查 Windows 的版本及 win32k.sys 檔案的日期來確認系統是否含有漏洞,藉此降低被偵測的風險。

這項漏洞可用於躲避偵測,尤其是能躲避沙盒模擬分析技術。此外,以這項核心漏洞為基礎的隱藏技巧,也讓分析和沙盒模擬技巧更難偵測這項威脅。我們在分析惡意程式檔案時發現它在遇到新版的 Windows 作業系統時可能會改用其他漏洞。 繼續閱讀

近三成企業重複感染加密勒索病毒,透漏什麼訊息?

勒索病毒受害企業單季暴增7 成 重複遭綁架比例居高不下
勒索病毒受害企業單季暴增7 成 重複遭綁架比例居高不下

關於修補更新的一課:SAMSAM加密勒索軟體給我們的啟示

根據趨勢科技接獲的案例回報顯示,今年第一季感染勒索軟體 Ransomware的受害企業當中,近三成是重複感染,這透漏著什麼訊息? 會刪除備份,逼迫就範SAMSAM加密勒索軟體告訴我們答案,跟其他的加密勒索軟體 Ransomware不同的是, SAMSAM並非利用惡意網址或垃圾郵件,而是利用未經修補伺服器的安全漏洞。

勒索軟體ransomware2

 

當攻擊者利用漏洞來滲透目標系統和網路,或是利用漏洞攻擊來散播安全威脅,就是修補程式管理發揮其關鍵作用的時候。去年2016年3月,SAMSAM攻擊了肯塔基州醫院,加密了所有檔案,也包括網路上的檔案。SAMSAM還從醫療產業轉移目標到教育機構。在最近一次的攻擊中,有大量伺服器和系統因為JBoss伺服器漏洞而面臨SAMSAM和其他惡意軟體攻擊。JBoss是使用JAVA的開放原始碼應用程式伺服器。使用「Destiny」軟體的系統或伺服器也蒙受其害。根據CISCO的報告,全世界幼稚園到高中的教育單位都很常使用這套軟體。Follett已經發布一個修補程式來保護Destiny軟體的使用者。

根據報導,JexBoss漏洞工具被用來安裝Webshell,這是能夠遠端管理系統的腳本程式。一旦遭駭,這些伺服器會感染後門程式、Webshell和SAMSAM。這個加密勒索軟體會透過未經修補的伺服器散布,並且將被加密的檔案加上.encryptedRSA副檔名。

 

進行修補所面對的挑戰

雖然的SAMSAM加密勒索軟體並非第一個利用漏洞滲透網路的威脅,但它的出現讓企業和大型機構面對另一層面的安全風險。關鍵資訊或機密資料可能會被加密和丟失,迫使企業支付鉅額贖金以換回重要資料。然而,我們高度建議不要支付贖金,因為這並無法保證企業可以取回其檔案。 繼續閱讀