分類: 資安名詞/什麼是?/ 何謂?

專感染 Microsoft Word 的 Normal 範本的勒索病毒: qkG

趨勢科技 TrendMicro

可自我繁殖的文件加密勒索病毒

最近趨勢科技發現了幾個相當有趣的檔案加密勒索病毒 Ransomware (勒索軟體/綁架病毒)樣本，純粹以 VBA 巨集所撰寫，這就是「qkG」病毒 (趨勢科技命名為 RANSOM_CRYPTOQKG.A)。這是一個典型的巨集惡意程式，會感染 Microsoft Word 的 Normal 範本 (normal.dot)，也就是所有新增空白 Word 文件所使用的範本。

從進一步的分析可看出 qkG 比較像是個實驗性計畫或概念驗證 (PoC)，而非在外活躍的惡意程式。但儘管如此，qkG 仍是個相當危險的威脅。因為從 qkG 的樣本可看出，其作者或其他駭客可能對其行為和技巧做進一步的調校改進。例如，當我們在 11 月 12 日首次於 VirusTotal 看到它的樣本時，它還沒有比特幣（Bitcoin）位址。但短短兩天之後就有了，而且還增加了一個會在特定日期和時間加密文件的行為。隔天，我們又看到一個行為不同的 qkG 樣本 (不會加密某些檔名格式的文件)。

值得注意的行為: 少數使用巨集來撰寫惡意程式碼的病毒

qkG 檔案加密病毒特別之處在於它是第一個一次加密一個檔案 (以及一種檔案) 的勒索病毒，而且是純粹採用 Visual Basic for Applications (VBA) 巨集撰寫的檔案加密惡意程式之一。除此之外，它也是少數使用巨集來撰寫惡意程式碼的病毒之一，其他絕大多數惡意程式家族都是將巨集用來下載勒索病毒。

qkG 採用巨集撰寫惡意程式碼的作法，類似  .lukitus 勒索病毒 (Locky 勒索病毒變種之一)，後者運用的是 VBA 的 Auto Close 巨集。兩者都是在使用者關閉檔案時會執行惡意巨集。不過，qkG 只會將文件加密，但 .lukitus  的巨集卻會下載並協助執行勒索病毒，被下載的勒索病毒才會將感染系統上的目標檔案加密。

其他 qkG 值得注意的行為還有會將文件內容加密，但檔案結構及檔案名稱卻維持不變。此外，也不會在系統上產生勒索訊息檔案，因為訊息已經插在文件內容前面。而且它只會加密「使用中」的文件 (ActiveDocument)，換句話說，只有已開啟的文件才會被加密。


圖 1：qkG 內容中的字串顯示其名稱和作者。 繼續閱讀

中國無人機大廠大疆創新 (DJI) 竟將 SSL 金鑰公開存放在 Github 儲存庫

趨勢科技 TrendMicro

全球最大無人機製造商之一大疆創新 (DJI) 被資安研究人員發現其 HTTPS 憑證竟大剌剌地存放在 GitHub 開放原始碼儲存庫 (Repository) 上長達四年。

研究人員 Kevin Finisterre 在一個公開的 GitHub 儲存庫上發現 DJI 的金鑰。該儲存庫中包含了 AWS 帳號登入憑證、AES 加密金鑰，以及公開的 AWS S3 儲存貯體 (Bucket)。Finisterre 指出，儲存庫內甚至還有個人身分識別資訊 (PII)。

DJI 已公開承認此事，並表示將評估及解決此問題，而受影響的 HTTPS 憑證也已在 9 月撤銷。該公司幾個月前公布了一項臭蟲懸賞計畫，不論個人或團隊，只要能夠找到 DJI 軟體的問題，就能獲得獎賞。Finisterre 也參加了這項懸賞計畫，並且原本有機會獲得 3 萬美元的獎金，但因不認同該計畫的某些條款而決定將發現的結果公開，並撰寫了一份長達 18 頁的報告 (PDF)。

這已經不是第一次因為雲端服務組態設定不當而導致資料可能遭到外洩。許多使用雲端的企業皆未徹底做好安全措施，甚至犯了一些明顯錯誤，因而使得資料暴露在外。所以可見，像雲端服務組態設定這麼簡單的問題，都可能導致資料外洩。

企業須了解，雲端基礎架構的安全，不單只是服務供應商的責任，雙方都必須共同分擔，因此企業與供應商應共同配合，這包括所有存放在雲端的一切在內。企業若能落實這份共同安全責任，就能避免發生前述的尷尬情況及相關損失。

趨勢科技 Hybrid Cloud Security 雲端解決方案，融合了跨世代的威脅防禦技巧，專為保護實體、虛擬及雲端工作負載而設計，能協助企業履行其共同分攤的安全責任。此外，更內含趨勢科技Deep Security這套領先市場的伺服器防護，隨時隨地保護著全球數以百萬計的實體、虛擬及雲端伺服器。

 

原文出處：Drone Manufacturer DJI Leaves SSL Key Exposed on Public Repository

《數位貨幣》採礦機不夠力? 礦工改用這些方法獲利

趨勢科技 TrendMicro

數位貨幣採礦是一項需要大量電力、強大顯示卡、專用處理器和其他硬體才能持續運作的密集性工作。比特幣仍然是最具價值的數位貨幣（在10月的第三週創下近6,000美元的高點），但是需要大量的投資才可能回本。

cryptominer

正如此報告中提到，不夠力的採礦機花在電力的花費比從 比特幣 Bitcoin) 上賺的還要多。而因為開採一個區塊的獎勵（這是支撐比特幣的交易）減少了，所以就更難獲取利潤。在2016年，比特幣採礦收益減半至12.5比特幣，預計大約每四年下降一次。而且開採比特幣的主力變成企業化的做法，因為需要用客制化的ASIC硬體開採才有利可圖。

面對這些狀況，很多人會將數位貨幣採礦計畫轉向被認為能夠防止ASIC開採的其他貨幣，讓使用普通硬體也能夠以合理的回報開採這些貨幣。網路犯罪分子似乎也朝著這個方向前進， 比特幣Bitcoin) 以前是地下市場內許多人的首選貨幣，但目前的數位貨幣採礦病毒大多是針對門羅幣（Monero）或Zcash。

隨著數位貨幣價值的水漲船高，網路犯罪分子會不斷開發新方法和技術來有效地挖掘數位貨幣也就不足為奇了。

合法廣告的代替品: 要求訪問者捐贈電腦處理能力，透過採礦來贊助網站

CoinHive是特意開發來做為網站替代收入來源的合法採礦程式。網站所有者不需要讓廣告將網站弄亂，而是要求訪問者捐贈電腦處理能力，透過採礦來贊助網站。一個熱門種子網站是採用此作法的首波主要網站之一。但是訪客並沒有被告知或提供退出選項。 繼續閱讀

網路間諜集團以紐約恐攻事件當誘餌

趨勢科技 TrendMicro

Pawn Storm  攻擊行動 (亦稱為 Fancy Bear、APT28、Sofacy、STRONTIUM) 又登上媒體版面 ，資安研究人員再次揭露該集團最新的網路間諜行動。該集團最近的魚叉式網路釣魚行動使用的是暗藏惡意程式的 Word 文件，並利用前不久 (10 月 31 日) 紐約發生的恐攻事件為社交工程誘餌。

根據報導指出，駭客利用了 Microsoft Office 的動態資料交換 (Dynamic Data Exchange，簡稱 DDE) 機制來開啟一個命令提示字元視窗並執行 PowerShell 指令去下載及執行一個用來分析受害者電腦的程式。如果受害者電腦對他們有價值，就進一步植入一個後門程式 (X-Agent 或 Sedreco)。

[TrendLabs 資訊安全情報部落格：REDBALDKNIGHT/BRONZE BULTER 網路間諜集團的「Daserf」後門程式開始採用圖像隱碼術]

DDE 是一種讓不同應用程式之間彼此分享、交換資料的機制。但駭客卻利用它來開啟命令提示字元視窗，或者執行惡意程式碼，不再仰賴巨集功能。雖然這並非什麼新的技巧，但這種利用 DDE 機制的手法確實越來越受網路間諜集團以及 整天想著賺錢的網路駭客關注。就連 Locky 勒索病毒和其長期共犯  Necurs 殭屍網路 最近也開始使用這項技巧。

[延伸閱讀：網路間諜集團 Turla 在 G20 工作小組高峰會前發動一波行動]

然而除了 DDE 逐漸受到青睞之外，近期也出現了大量的網路間諜及網路宣傳活動。例如，美國外交關係協會 (Council on Foreign Relations，簡稱 CFR) 今年至目前為止就 遭遇了 26 次不同的攻擊行動。事實上，光過去幾個星期就有多個駭客團體利用各地的政局發展來發動攻勢，其中包括：

  • Keyboy：同樣也是利用 DDE 在系統植入資訊竊取程式。
  • Sowbug：專門攻擊南美和東南亞的外交使節團與外交政策機構。
  • OceanLotus/APT32：曾在東南亞國家協會 (ASEAN) 高峰會招開前夕展開攻擊行動。
  • ChessMaster：曾開發出新的工具和技巧來讓其活動更加隱密。
  • BlackOasis：使用一個 Adobe Flash 軟體的零時差漏洞來散發間諜程式，專門鎖定中東政治人物和聯合國官員。

[資安基礎觀念：越來越多利用 PowerShell 相關威脅該如何防範?]

對企業機構而言，這些案例都突顯出邊界防禦的重要：從閘道、網路、伺服器到端點裝置，因為沒有任何平台能夠倖免於攻擊。以下是一些能夠大幅縮小企業攻擊面的縱深防禦措施： 繼續閱讀

Daserf 間諜集團以「心肺復甦術」、「防災計畫」主旨信件及日文加圖像隱碼術,騙倒日本企業

趨勢科技 TrendMicro

 

網路間諜集團REDBALDKNIGHT (亦稱為 BRONZE BUTLER 和 Tick)專門鎖定日本企業機構，包括公家機關 (如國防單位) 及生技、電子製造、化工等產業。該集團習慣使用「Daserf」後門程式 (趨勢科技命名為 BKDR_DASERF，亦稱為 Muirim 和 Nioupale)，主要具備四種功能：執行命令列指令、下載和上傳資料、擷取螢幕畫面、側錄鍵盤輸入。

不過，根據趨勢科技最近的監控顯示，歹徒不只利用 Daserf 的變種來監控日本與南韓企業機構，其蹤跡甚至已延伸到俄羅斯、新加坡和中國。而且我們也發現各種不同版本的 Daserf 會使用不同的技巧及圖像隱碼術 (steganography)，也就是將程式碼暗藏在令人料想不到的地方 (如圖片當中)，因此更不易被察覺。

如同許多網路間諜行動一樣，REDBALDKNIGHT 集團的攻擊雖然斷斷續續，卻持續很久。事實上，REDBALDKNIGHT 集團早在 2008 年起便一直鎖定日本企業和機構，至少從他們所寄給攻擊目標的誘餌文件日期來看是如此。其攻擊目標相當特定，這一點從其社交工程（social engineering ）技巧即可看出。REDBALDKNIGHT 集團攻擊行動當中使用的誘餌文件，日文非常流利，而且是使用日本的文書處理軟體「一太郎」(Ichitaro) 所撰寫。例如其中一個誘餌文件內容是「平成 20 年年度防災計畫」。


圖 1：REDBALDKNIGHT 寄給日本攻擊目標的誘餌文件內容屬性。


圖 2：REDBALDKNIGHT 所使用的誘餌文件樣本，歹徒在魚叉式網路釣魚電子郵件使用「防災計畫」為標題來引誘受害者上當。

以「心肺復甦術 (CPR)」、「防災計畫」等信件標題為誘餌

REDBALDKNIGHT 的攻擊行動一開始通常使用魚叉式釣魚攻擊（SPEAR PHISHING）來尋找破口。其附件檔案會攻擊一太郎文書處理軟體的漏洞。這些文件是該集團用來轉移注意力的誘餌，以便能夠在背後暗中執行惡意程式，他們會以「心肺復甦術 (CPR)」、「防災計畫」等標題為社交工程誘餌。 繼續閱讀