網路犯罪 - 資安趨勢部落格

資料外洩數據如何被用於網路犯罪？Linkedin 外洩帳號成木馬發送機!泰迪熊被駭,登錄憑證流向地下市場!

2017 年 11 月 27 日2017 年 11 月 29 日趨勢科技 TrendMicro

資料分析有助於發掘一些模式、關聯以及其他寶貴資訊，對企業決策有莫大幫助。在網路資安領域，資料分析同樣也扮演日益吃重的角色，成為偵測威脅的關鍵。然而，當資料分析被歹徒應用於網路犯罪時又將如何？

從資料外洩事件搜刮而來的7.11 億個帳號,被 Spambot 當銀行木馬發送機

今年八月下旬，一位法國研究人員發現了一個名為「Onliner」的大型公開垃圾郵件機器人 (Spambot)，它利用全球 8 千萬個遭入侵的電子郵件伺服器來散發垃圾郵件，尋找潛在受害者，然後讓受害者感染專門竊取資訊的銀行木馬 URSNIF 惡意程式。Onliner 總計利用了 7.11 億個-相當於歐洲人口的帳號，散播惡意程式,這些被綁架的帳號都是從先前發生的資料外洩事件搜刮而來，例如：LinkedIn資料外洩事件。

[TrendLabs 資訊安全情報部落格：URSNIF 垃圾郵件發現新的惡意巨集躲避技巧]

在今日科技掛帥的世界裡，資料就如同貨幣一樣，因此 Onliner 的案例讓我們見識到歹徒的獲利多麼驚人。也許，資料的價值越來越高，正是網路攻擊日益精密且不擴張的原因。過去，網路犯罪集團大多重複利用其手上僅有的少數資料來盡可能發揮最大效益，例如從事身分盜用。

但今日，網路犯罪集團的目標是更大的資料，希望撒下一個更大的網來提高獲利，並且投入更多資源來收網。所以，處理、管理及儲存資料的技術越新，就越吸引網路犯罪集團覬覦並加以利用。

光是企業 (及一般使用者) 所創造、管理、儲存的資料量 (及轉手的速度)，就足以讓資料竊盜集團垂涎三尺。網路犯罪集團與駭客在得手之後，會將這些資料用於其他用途，或拿到地下市場販售。

[延伸閱讀：駭客偷取您的身分資料做什麼？]

資料如何用來從事網路勒索。

商業流程入侵入侵企業內部基礎架構來獲取暴利

歹徒如何利用資料來從事網路犯罪？其實這樣的情境大家並不陌生，而且有越來越普遍的趨勢：網路犯罪集團會從雲端竊取帳號資料，或經由漏洞駭入儲存帳號資料的系統。還有另一種做法，那就是：直接到地下市場上購買或蒐集駭客對外公開的外洩資料庫，然後再自行篩選出有價值的資料，例如：帳號登入憑證或身分識別資訊。繼續閱讀

製造業為何成為攻擊肥羊?

2017 年 11 月 17 日2017 年 11 月 09 日趨勢科技 TrendMicro

在2016年，一項獨立研究報告將製造業認定為被攻擊第二多的產業。雖然醫療產業被攻擊的狀況仍最常見，但製造業會遭受攻擊也並不令人驚訝，因為這是個涵蓋範圍很廣的產業，包括汽車、紡織、電子和其他各種族群，生產著各式各樣不同的產品。

攻擊製造業背後的動機

根據過去關於製造設備的攻擊事件，我們了解到攻擊者可能會有各種不同的動機，商業競爭和財務原因，或只是想造成大規模的破壞（有時只是為了好玩）。

在去年的一份獨立報告中詳細說明了製造業所遭受的資料外洩事件中有94%可被歸類為“間諜事件”，代表這些攻擊是特意針對關於產品或流程的獨特資訊。商業競爭也成為了最大的動機。
錢也是個主要因素，攻擊者可以劫持系統作為人質來要求現金，或利用攻擊系統的機會來操縱股價。
製造業也可能遭受國家等級的攻擊，目的是對基礎設施造成嚴重破獲或延遲主要產品生產（可能為軍事相關）。這些攻擊也可能對一個國家的經濟產生負面影響。
大型的駭客事件能夠登上頭條對希望宣揚自己名字的駭客來說很有用。這些人可能想透過一次高能見度的大事件來炫耀自己的技能和宣傳自己。他們也可能只是為了開心而入侵生產設備，只為了對不知情而容易下手的目標搞破壞，這對許多駭客來說並非罕見。

攻擊製造業的背後有許多可能動機。不幸的是，也有許多安全問題讓駭客很容易得手。

製造設備的安全問題

網路安全為製造業帶來獨特的挑戰，想想看製造設備內所包含硬體和系統的規模和範圍。製造業所用的系統（特別是管理和監控生產不同部份的工業控制系統ICS）具備獨特的漏洞而容易遭受網路攻擊。而製造商也正在將之前隔離的系統連上網，這增加了受攻擊面。進行升級也是相當零碎，因為系統非常複雜，所以舊系統去整合新軟體和安全功能的腳步緩慢。而和醫療產業及金融業不同的是，製造業仍還在導入網路安全，只有少數幾個法規標準，如國際自動化學會（ISA）所制定的ISA/IEC 62443標準。

還有其他幾個影響製造業安全防護的問題：繼續閱讀

網路間諜集團以紐約恐攻事件當誘餌

2017 年 11 月 14 日2017 年 11 月 14 日趨勢科技 TrendMicro

Pawn Storm 攻擊行動 (亦稱為 Fancy Bear、APT28、Sofacy、STRONTIUM) 又登上媒體版面，資安研究人員再次揭露該集團最新的網路間諜行動。該集團最近的魚叉式網路釣魚行動使用的是暗藏惡意程式的 Word 文件，並利用前不久 (10 月 31 日) 紐約發生的恐攻事件為社交工程誘餌。

根據報導指出，駭客利用了 Microsoft Office 的動態資料交換 (Dynamic Data Exchange，簡稱 DDE) 機制來開啟一個命令提示字元視窗並執行 PowerShell 指令去下載及執行一個用來分析受害者電腦的程式。如果受害者電腦對他們有價值，就進一步植入一個後門程式 (X-Agent 或 Sedreco)。

[TrendLabs 資訊安全情報部落格：REDBALDKNIGHT/BRONZE BULTER 網路間諜集團的「Daserf」後門程式開始採用圖像隱碼術]

DDE 是一種讓不同應用程式之間彼此分享、交換資料的機制。但駭客卻利用它來開啟命令提示字元視窗，或者執行惡意程式碼，不再仰賴巨集功能。雖然這並非什麼新的技巧，但這種利用 DDE 機制的手法確實越來越受網路間諜集團以及整天想著賺錢的網路駭客關注。就連 Locky 勒索病毒和其長期共犯 Necurs 殭屍網路最近也開始使用這項技巧。

[延伸閱讀：網路間諜集團 Turla 在 G20 工作小組高峰會前發動一波行動]

然而除了 DDE 逐漸受到青睞之外，近期也出現了大量的網路間諜及網路宣傳活動。例如，美國外交關係協會 (Council on Foreign Relations，簡稱 CFR) 今年至目前為止就遭遇了 26 次不同的攻擊行動。事實上，光過去幾個星期就有多個駭客團體利用各地的政局發展來發動攻勢，其中包括：

Keyboy：同樣也是利用 DDE 在系統植入資訊竊取程式。
Sowbug：專門攻擊南美和東南亞的外交使節團與外交政策機構。
OceanLotus/APT32：曾在東南亞國家協會 (ASEAN) 高峰會招開前夕展開攻擊行動。
ChessMaster：曾開發出新的工具和技巧來讓其活動更加隱密。
BlackOasis：使用一個 Adobe Flash 軟體的零時差漏洞來散發間諜程式，專門鎖定中東政治人物和聯合國官員。

[資安基礎觀念：越來越多利用 PowerShell 相關威脅該如何防範?]

對企業機構而言，這些案例都突顯出邊界防禦的重要：從閘道、網路、伺服器到端點裝置，因為沒有任何平台能夠倖免於攻擊。以下是一些能夠大幅縮小企業攻擊面的縱深防禦措施：繼續閱讀

執法的長鞭：多位網路犯罪分子伏法入獄

2016 年 05 月 26 日2016 年 05 月 25 日趨勢科技 TrendMicro

2016 年 4 月有多位網路犯罪分子終於判刑入獄。4 月 12 日，惡名昭彰的 Blackhole 漏洞攻擊套件作者 Paunch 被判刑七年，關進俄羅斯監獄。緊接著，SpyEye 的作者 Aleksandr Panin 也被美國聯邦法院判刑九年半。其同夥 Hamza Bendelladj 則被判刑十五年。

最新的一個案例是 Esthost，該集團最近一位伏法的是 Vladimir Tsastsin，他將在獄中待七年以上，此外，還將被沒收 250 萬美元以上的財產。

Esthost 是知名的 DNS Changer 殭屍網路的幕後集團，專門篡改受害電腦的 DNS 設定。Tsastsin 和其同夥的獲利方式是在這些殭屍電腦上顯示廣告、暗中攔截並修改其搜尋結果，以及在受害電腦上植入更多惡意程式。

[延伸閱讀：趨勢科技協助 FBI 破獲史上最大殭屍網路始末: DNS Changer(域名系統綁架病毒)與數百萬美金的不法所得 ]

當此殭屍網路在 2011 年被破獲時，還曾經是有史以來破獲的最大殭屍網路。趨勢科技經過多年的努力，累積了相當多有關 Esthost 整個集團的活動資料。我們將這些資訊提供給執法機關，成為 Tsastsin 和其共犯重要的犯罪證據。

至於 SpyEye，我們幾乎是在它一開始成為 ZBOT 競爭對手時就盯上它，不過後來因為對手的知名度較高，因此選擇和對手合併。多年來，各種駭客都利用它來竊取使用者的存款，金額高達數百萬美元。我們的調查最後終於追查到 Panin 和 Bendelladj，兩人也在 2013 年被捕。

[延伸閱讀：為什麼 FBI 將 SpyEye 定罪是件大事? ]

路程漫長，但一切都值得

將歹徒繩之以法是一條漫漫長路。研究人員和執法人員通力合作，花費了數年的時間蒐集了所有起訴的必要證據。此外，還有律師和外交官也花費了同樣長的時間來完成引渡手續，將這些罪犯帶回美國受審。

這中間的過程真是相當困難，也相當耗時，而我們真心希望整個過程可以更快、更簡單一點，但無庸置疑地，這一切都是值得。

這些入獄的罪犯並非一般寫寫程序碼的小毛頭。他們都是頭號罪犯 繼續閱讀