網路犯罪 - 資安趨勢部落格

Memcached DDoS 攻擊的 PoC 漏洞程式碼遭公開,自我防禦四措施

2018 年 03 月 16 日2018 年 03 月 15 日趨勢科技 TrendMicro

三月初發生了兩起破記錄的分散式阻斷服務 (DDoS) 事件。第一起是 GitHub 遭到史無前例 1.35 Tbps 的 DDoS 攻擊；五天後 Arbor Networks 證實，一家美國服務供應商遭到 1.7 Tbps 的 DDoS 攻擊。自從攻擊者開始濫用 Memcached 伺服器放大資源，分散式阻斷服務攻擊 (DDoS) 攻擊的等級就急遽上升。

Memcached 伺服器如何遭到濫用？

攻擊者假冒目標的 IP 位址，向許多 Memcached 伺服器送出請求，而目標接收到的回應流量，可能高於請求本身 50,000 倍，導致受害者的網站遭到龐大的惡意流量轟炸。這種手法類似於反射攻擊，其曾在 2013 年及 2014 年引發災情，但這次使用的服務不同，威力更加強大。

最近，Memcached 放大式攻擊的兩種概念驗證 (PoC) 漏洞程式碼，顯示出這類大規模 DDoS 攻擊的發動方式。第一個PoC 名為 Memcrashed，位於 Python 指令碼中，其藉由 Shodan 搜尋引擎鎖定易受攻擊的 Memcached 伺服器，再透過它們攻擊目標。只需幾秒鐘執行工具，就能完成這項過程。

第二個 PoC 則發佈在 Pastebin 上，其以 C 語言寫成，附有 17,000 個易受攻擊的 Memcached 伺服器清單。這個指令碼會使用清單上的伺服器，針對特定目標發動 DDoS 攻擊。

使用者該如何緩解這類威脅？

DDoS 攻擊利用 Memcached 伺服器的消息傳出後，尋求解決方案的討論也隨之展開。除了通用的 DDoS 防護服務以外，有位研究人員提出一種針對 Memcached 伺服器的緩解技術。

這項「銷毀開關 (kill switch)」的機制經測試證實完全有效。採取「全部清除」的方法，可使易受攻擊的伺服器快取徹底失效，進而阻止 DDoS 攻擊者的惡意酬載。

許多網站業主隨後展開行動，報告指出，數台明顯易受攻擊的 Memcached 伺服器在首起 DDoS 攻擊發生後停止運作。Memcached 團隊也著手處理伺服器濫用的問題，並於 2 月 28 日的安全版本更新中發佈 1.5.6 版。

除了將伺服器更新至最新版本，並使用「全部清除」的緩解技術之外，擔心遭受 DDoS 攻擊的使用者還可採取以下四個措施：

確認伺服器是否必要開放外部存取，並盡量避免使用可公開存取的工具。
確保上游供應商不只一家，如此在主要供應商遭到大量攻擊時，即可容錯轉移至其他連結。
確認網路供應商採取防偽措施 (例如 BCP38 和 84)，以免 DDoS 反射攻擊使用這類假冒封包入侵網路。
確認網路是否有良好的流量監控功能 (傳入和傳輸流量均需要)，並使用網路入侵防護工具，例如趨勢科技的Deep Discovery Inspector及 TippingPoint。趨勢科技Deep Security 也提供多種網路安全功能，如深度封包檢測、入侵防禦 (IPS)、主機防火牆等。已發佈下列 IPS 規則，以利主動防範上述威脅：
– 1008918-Identified Memcached Amplified Reflected Response
– 1008916-Identified Memcached Reflected UDP Traffic

DDoS 攻擊強度遽增，如今隨著 PoC 公開，預計攻擊會越來越頻繁。網路罪犯也會不斷嘗試強化威脅，並設法從攻擊中牟利。使用者必須保持優勢，搶先行動，保護好伺服器安全，防患於未然。

◎原文來源:PoC Exploits for Memcached DDoS Attacks Published Online

駭客也搞資源回收?回收舊漏洞攻擊碼,竟可製造全新威脅!

2018 年 02 月 23 日2018 年 02 月 12 日趨勢科技 TrendMicro

開發人員都會回收使用程式碼 – 畢竟如果沒有問題就不用改了。這也是開放原始碼如此受歡迎及有價值的原因 – 不需要從頭開發全新的程式碼，開發人員可以利用現有的開放原始碼，並且可以根據自己的需求來改寫。

不幸的是，不僅軟體開發商和其他白帽公司會這麼做 – 駭客也會回收並重新利用過去運作良好的舊漏洞攻擊碼來製造全新的威脅。更糟的是，這些被回收使用的惡意攻擊結合新且複雜的感染手法讓其變得更加難以防範。

大多數新的惡意軟體並不新

從各種關於新惡意軟體的統計數據中，很容易就會認定網際網路和聯網設備都充斥著惡意威脅。事實上，G Data報導在2017年第一季就發現了2,200萬個新惡意軟體。換句話說，這代表幾乎每4秒就會發現一個新惡意威脅。

雖然有相當數量的惡意軟體可供駭客選擇是真的，但其中有許多並不完全是新的。

“2017年第一季發現了2,200萬個新惡意軟體樣本。”

Secplicity指出：“其中有大部分就像是科學怪人一樣由各種程式碼拼湊而成，可能來自現有的惡意軟體或公開的漏洞和工具。”

就這樣，駭客利用現成的程式碼和功能再並加上特製功能來做出新的惡意軟體。

為甚麼要回收使用?

有好幾個理由會讓駭客選擇重複或回收使用。首先這節省了許多時間。不必為基本功能來撰寫新的程式碼，使用已知可行的程式碼更快更容易。而且就如安全分析師Marc Laliberte所指出，利用這方法節省的時間可以讓網路犯罪分子將注意力放在更重要的事情上。

“如果有人已經開發了可行的解決方案，就無須再多此一舉去重新開發”Laliberte寫道。“透過盡可能地複製程式碼，讓惡意軟體作者有更多時間專注在其他地方，如躲避偵測和避免歸因。”

除了重複使用程式碼來節省時間外，許多網路犯罪分子還會重複使用常見的威脅功能，因為它們已經經過時間證明能夠成功。這也是為什麼會出現無數的勒索病毒、魚叉式網路釣魚和其他攻擊的變種。繼續閱讀

資料外洩數據如何被用於網路犯罪？Linkedin 外洩帳號成木馬發送機!泰迪熊被駭,登錄憑證流向地下市場!

2017 年 11 月 27 日2017 年 11 月 29 日趨勢科技 TrendMicro

資料分析有助於發掘一些模式、關聯以及其他寶貴資訊，對企業決策有莫大幫助。在網路資安領域，資料分析同樣也扮演日益吃重的角色，成為偵測威脅的關鍵。然而，當資料分析被歹徒應用於網路犯罪時又將如何？

從資料外洩事件搜刮而來的7.11 億個帳號,被 Spambot 當銀行木馬發送機

今年八月下旬，一位法國研究人員發現了一個名為「Onliner」的大型公開垃圾郵件機器人 (Spambot)，它利用全球 8 千萬個遭入侵的電子郵件伺服器來散發垃圾郵件，尋找潛在受害者，然後讓受害者感染專門竊取資訊的銀行木馬 URSNIF 惡意程式。Onliner 總計利用了 7.11 億個-相當於歐洲人口的帳號，散播惡意程式,這些被綁架的帳號都是從先前發生的資料外洩事件搜刮而來，例如：LinkedIn資料外洩事件。

[TrendLabs 資訊安全情報部落格：URSNIF 垃圾郵件發現新的惡意巨集躲避技巧]

在今日科技掛帥的世界裡，資料就如同貨幣一樣，因此 Onliner 的案例讓我們見識到歹徒的獲利多麼驚人。也許，資料的價值越來越高，正是網路攻擊日益精密且不擴張的原因。過去，網路犯罪集團大多重複利用其手上僅有的少數資料來盡可能發揮最大效益，例如從事身分盜用。

但今日，網路犯罪集團的目標是更大的資料，希望撒下一個更大的網來提高獲利，並且投入更多資源來收網。所以，處理、管理及儲存資料的技術越新，就越吸引網路犯罪集團覬覦並加以利用。

光是企業 (及一般使用者) 所創造、管理、儲存的資料量 (及轉手的速度)，就足以讓資料竊盜集團垂涎三尺。網路犯罪集團與駭客在得手之後，會將這些資料用於其他用途，或拿到地下市場販售。

[延伸閱讀：駭客偷取您的身分資料做什麼？]

資料如何用來從事網路勒索。

商業流程入侵入侵企業內部基礎架構來獲取暴利

歹徒如何利用資料來從事網路犯罪？其實這樣的情境大家並不陌生，而且有越來越普遍的趨勢：網路犯罪集團會從雲端竊取帳號資料，或經由漏洞駭入儲存帳號資料的系統。還有另一種做法，那就是：直接到地下市場上購買或蒐集駭客對外公開的外洩資料庫，然後再自行篩選出有價值的資料，例如：帳號登入憑證或身分識別資訊。繼續閱讀

製造業為何成為攻擊肥羊?

2017 年 11 月 17 日2017 年 11 月 09 日趨勢科技 TrendMicro

在2016年，一項獨立研究報告將製造業認定為被攻擊第二多的產業。雖然醫療產業被攻擊的狀況仍最常見，但製造業會遭受攻擊也並不令人驚訝，因為這是個涵蓋範圍很廣的產業，包括汽車、紡織、電子和其他各種族群，生產著各式各樣不同的產品。

攻擊製造業背後的動機

根據過去關於製造設備的攻擊事件，我們了解到攻擊者可能會有各種不同的動機，商業競爭和財務原因，或只是想造成大規模的破壞（有時只是為了好玩）。

在去年的一份獨立報告中詳細說明了製造業所遭受的資料外洩事件中有94%可被歸類為“間諜事件”，代表這些攻擊是特意針對關於產品或流程的獨特資訊。商業競爭也成為了最大的動機。
錢也是個主要因素，攻擊者可以劫持系統作為人質來要求現金，或利用攻擊系統的機會來操縱股價。
製造業也可能遭受國家等級的攻擊，目的是對基礎設施造成嚴重破獲或延遲主要產品生產（可能為軍事相關）。這些攻擊也可能對一個國家的經濟產生負面影響。
大型的駭客事件能夠登上頭條對希望宣揚自己名字的駭客來說很有用。這些人可能想透過一次高能見度的大事件來炫耀自己的技能和宣傳自己。他們也可能只是為了開心而入侵生產設備，只為了對不知情而容易下手的目標搞破壞，這對許多駭客來說並非罕見。

攻擊製造業的背後有許多可能動機。不幸的是，也有許多安全問題讓駭客很容易得手。

製造設備的安全問題

網路安全為製造業帶來獨特的挑戰，想想看製造設備內所包含硬體和系統的規模和範圍。製造業所用的系統（特別是管理和監控生產不同部份的工業控制系統ICS）具備獨特的漏洞而容易遭受網路攻擊。而製造商也正在將之前隔離的系統連上網，這增加了受攻擊面。進行升級也是相當零碎，因為系統非常複雜，所以舊系統去整合新軟體和安全功能的腳步緩慢。而和醫療產業及金融業不同的是，製造業仍還在導入網路安全，只有少數幾個法規標準，如國際自動化學會（ISA）所制定的ISA/IEC 62443標準。

還有其他幾個影響製造業安全防護的問題：繼續閱讀

網路間諜集團以紐約恐攻事件當誘餌

2017 年 11 月 14 日2017 年 11 月 14 日趨勢科技 TrendMicro

Pawn Storm 攻擊行動 (亦稱為 Fancy Bear、APT28、Sofacy、STRONTIUM) 又登上媒體版面，資安研究人員再次揭露該集團最新的網路間諜行動。該集團最近的魚叉式網路釣魚行動使用的是暗藏惡意程式的 Word 文件，並利用前不久 (10 月 31 日) 紐約發生的恐攻事件為社交工程誘餌。

根據報導指出，駭客利用了 Microsoft Office 的動態資料交換 (Dynamic Data Exchange，簡稱 DDE) 機制來開啟一個命令提示字元視窗並執行 PowerShell 指令去下載及執行一個用來分析受害者電腦的程式。如果受害者電腦對他們有價值，就進一步植入一個後門程式 (X-Agent 或 Sedreco)。

[TrendLabs 資訊安全情報部落格：REDBALDKNIGHT/BRONZE BULTER 網路間諜集團的「Daserf」後門程式開始採用圖像隱碼術]

DDE 是一種讓不同應用程式之間彼此分享、交換資料的機制。但駭客卻利用它來開啟命令提示字元視窗，或者執行惡意程式碼，不再仰賴巨集功能。雖然這並非什麼新的技巧，但這種利用 DDE 機制的手法確實越來越受網路間諜集團以及整天想著賺錢的網路駭客關注。就連 Locky 勒索病毒和其長期共犯 Necurs 殭屍網路最近也開始使用這項技巧。

[延伸閱讀：網路間諜集團 Turla 在 G20 工作小組高峰會前發動一波行動]

然而除了 DDE 逐漸受到青睞之外，近期也出現了大量的網路間諜及網路宣傳活動。例如，美國外交關係協會 (Council on Foreign Relations，簡稱 CFR) 今年至目前為止就遭遇了 26 次不同的攻擊行動。事實上，光過去幾個星期就有多個駭客團體利用各地的政局發展來發動攻勢，其中包括：