網路犯罪 - 資安趨勢部落格

ATM 惡意軟體在地下市場出售

2019 年 07 月 08 日2019 年 07 月 16 日趨勢科技 TrendMicro

任何罪犯只要投資 1,000 美元，就可以立即開始攻擊 ATM

違法賣家正在地下市場兜售可用來駭入銀行的現成 ATM 惡意軟體。趨勢科技在 2015 年開始分析樣本時，自動櫃員機 (ATM) 惡意軟體並不常見。南美洲和俄羅斯的一些犯罪集團已研究這些機器的運作原理，並製造特殊軟體來攻擊它們，這項事實在當時相當驚人。ATM 機器與常見的 Windows 環境不同，因此攻擊者需要瞭解一套特殊的應用程式設計介面 (API)，以及介面如何與特定銀行應用程式互動。

自從趨勢科技首次與歐洲刑警組織 (Europol) 的歐洲網路犯罪中心 (EC3) 合作，並說明了以 ATM 為目標的不同網路威脅開始，我們觀察到 ATM 惡意軟體現況正逐步發展為以網路攻擊為主。我們發表了第二篇論文，詳細說明這項進展，以及這些年來出現的 ATM 惡意軟體系列。

[閱讀研究報告：利用 ATM 惡意軟體牟利：全面檢視各種攻擊類型]

我們已看到 ATM 惡意軟體領域的多種變化，但最重要的變化並非技術層面：ATM 惡意軟體已變成網路犯罪地下市場的共同特徵，現正成為攻擊者竊取現金裝備的一部分。ATM 惡意軟體已成為商品，任何罪犯只要投資 1,000 美元，就可以立即開始攻擊 ATM。

值得注意的是這些違法產品來自說俄語的地下犯罪組織。這並不是表示南美集團已停止攻擊當地的 ATM，而是表示俄羅斯的地下犯罪市場更活躍、更繁榮，更有可能發生各種違法交易。

[相關文章：再訪俄羅斯網路犯罪地下市場]

地下賣家提供疑難排解等線上協助

網路犯罪產品包含的內容通常不只惡意軟體。這些地下賣家經常會提供指示、實際的建議和疑難排解指南。

舉例來說，廣告打最兇的 ATM 惡意軟體產品之一「Cutlet Maker」，具有成功執行搶劫所需硬體的具體描述，以及使用該程式的詳細逐步指示。

https://documents.trendmicro.com/images/TEx/articles/fig-1-atm-malware-underground-cutlet-maker-description.png

Cutlet Maker 套件的組成部分：要鎖定的 ATM 廠牌和機型的說明，以及攻擊它需要的設備

繼續閱讀

HiddenWasp惡意軟體借用Mirai及Winnti程式碼攻擊Linux系統

2019 年 06 月 15 日2019 年 06 月 14 日趨勢科技 TrendMicro

資安研究人員發現了一隻針對Linux系統的新惡意軟體。這隻稱為HiddenWasp的惡意軟體被認為是用來對已入侵系統進行第二階段的針對性目標攻擊(Targeted attack )。

HiddenWasp惡意軟體借用Mirai及Winnti程式碼攻擊Linux系統

HiddenWasp跟其他感染物聯網（IoT ,Internet of Thing）裝置成為分散式阻斷服務攻擊 (DDoS) 殭屍網路（botnet）或佈署虛擬貨幣挖礦( coinmining )病毒的Linux威脅不同。根據Intezer的Ignacio Sanmillan所說，HiddenWasp被用來遠端控制已入侵系統。它具有能夠避免被偵測的Rootkit功能。

繼續閱讀

Trickbot 攻擊迫使俄亥俄州學校停課

2019 年 06 月 06 日2019 年 06 月 04 日趨勢科技 TrendMicro

一所俄亥俄州學校在 5 月底被迫停課一天，原因是學校的網路及電腦遭到 Trickbot 攻擊。卡文特里地方學校 (Coventry Local School District) 在停課前一天發表的 Facebook 最新動態中表示，由於系統在受到惡意軟體感染，因此學校需要關閉，試圖恢復正常運作。

根據《艾克隆燈塔報》(Akron Beacon Journal) 的報導，FBI 判定感染是從學校出納組的電腦開始，擴散至仰賴校區網路的各種運作系統，影響最大的就是電話和暖氣、通風及空調 (HVAC) 系統停擺。

繼續閱讀

GandCrab 勒索病毒鎖定攻擊 MySQL 資料庫

2019 年 06 月 05 日2019 年 06 月 04 日趨勢科技 TrendMicro

資安研究人員發現有大量突發的攻擊事件，鎖定執行 MySQL 資料庫的 Windows 伺服器，透過 GandCrab 勒索病毒 Ransomware (勒索軟體/綁架病毒)進行感染 (由趨勢科技偵測為 Ransom.Win32.GANDCRAB.SMILC)。這類攻擊最初是在去年 5 月 19 日透過誘捕系統 (honeypot) 發現，會掃描網際網路對向 (internet-facing) 的 MySQL 資料庫，並確認資料庫是否運行於 Windows 作業系統，然後執行惡意的 SQL 指令上傳檔案，擷取並協助執行勒索病毒。

發現這種入侵手法的資安研究員發現，這種掃描活動會搜尋不安全或設定不當的 MySQL 資料庫或防火牆，並可能攻擊任何暴露了連接埠 3306 的 MySQL 伺服器，這是 MySQL 預設使用的連接埠。

該攻擊行動涉及的 GandCrab 版本/樣本下載已經超過 2,300 次。雖然這樣的次數並不多，但攻擊仍造成重大的資安風險。MySQL 是相當普遍的資料庫技術，據報市佔率超過 50%。

[延伸閱讀：深層網路提供勒索軟體即服務?這對企業有何影響?]

GandCrab 本身使用不同的攻擊媒介，因為這項軟體最初是使用 Rig 及 GrandSoft 等漏洞攻擊套件。GandCrab 操作者在檔案分享網站使用惡意廣告，透過新開發的漏洞攻擊套件傳遞勒索軟體，例如 Fallout、JavaScript malware 及 spam attachments。透過種類廣泛的攻擊媒介，這種勒索軟體威脅逐漸猖獗 — GandCrab 在 2018 年是北美地區最常遭到偵測的勒索病毒系列。

繼續閱讀

網路勒索集團清除了 12,000 多個 MongoDB 資料庫

2019 年 06 月 04 日2019 年 06 月 04 日趨勢科技 TrendMicro

過去幾週以來，全球有超過 12,000 個 MongoDB 資料庫遭到駭客清除，而使用者若想復原這些資料庫，就必須支付贖金給歹徒。

這樣的勒贖事件並非第一次出現，MongoDB 和類似的企業多年來一直不斷遭到這類攻擊。根據 Bleeping Computer 的報告指出，這起最新的資料庫受害案件是一位名叫 Sanyam Jain 的獨立資安研究人員所發現。Jain 利用 BinaryEdge 連網裝置搜尋引擎，發現了 12,564 個遭到清除的 MongoDB 資料庫。此外他還發現，這些攻擊的背後主謀很可能是 Unistellar 駭客團體。

Jain 最早是在四月份開始注意到這些攻擊，他發現有某個遭到清除的 MongoDB 資料庫當中含有一封簡短的勒索訊息。在經過進一步的追查之後，他發現了更多被清除的資料庫，以及兩個歹徒留下的電子郵件地址，這些地址指向 Unistellar 駭客集團。

該報告指出，駭客很可能是利用 BinaryEdge 和 Shodan 這類搜尋引擎來找尋暴露在網路上的 MongoDB 資料庫，並且採用自動化攻擊。其自動化腳本在找到並連上這些缺乏安全保護的資料庫之後，就會將資料庫清除。而且在清除資料之前會先建立還原點，以便能在受害者支付贖金之後將資料還原。之前的 MongoDB 攻擊案例都直接要求受害者支付一定比特幣 (bitcoin) 的贖金，但最近的這起攻擊卻只留下電子郵件聯絡地址，以便受害者能和歹徒聯繫並商量贖金。

繼續閱讀