分類: 資安名詞/什麼是?/ 何謂?

濫用 PowerShell 的無檔案病毒興起

趨勢科技 TrendMicro

網路犯罪分子越來越常利用系統內建工具或服務來散播惡意軟體,原因是方便、有效和隱蔽。舉例來說，利用這些合法工具可以讓威脅活動混在正常的網路流量或IT/系統管理工作內,也讓這些惡意威脅能夠留下較少的痕跡，使得偵測更加困難。無檔案病毒就是其中一個例子。

無檔案病毒意味著沒有檔案被寫入或下載至受感染機器的本地磁碟執行。相對地，它們會在系統的記憶體內執行，或駐留在系統註冊表內以取得持久性。在典型的無檔案病毒感染中，有效載荷可以被注入現有應用程式/軟體的記憶體內，或透過白名單內的應用程式（如PowerShell）來執行腳本。

即便它們不是基於檔案（或可執行檔）的威脅，我們知道它們確實在外活動著，因為此類技術已經常地被使用在針對性攻擊/鎖定目標攻擊(Targeted attack )中。無檔案病毒最可被察覺的是網路蹤跡，像是命令與控制（C&C）連線，和其他留在中毒系統內的惡意程式碼。不幸的是無檔案病毒也可以在公開的專案計畫中取到，甚至在網路地下市場作為產品（或服務）提供。無檔案病毒也是如Angler等漏洞攻擊的主要功能之一。舉例來說，網路犯罪集團Lurk利用自己所開發的漏洞攻擊套件來透過無檔案病毒從金融機構竊取超過4,500萬美元。

 

[延伸閱讀：無檔案勒索病毒技術全貌 – UIWIX]

惡意PowerShell腳本是許多無檔案病毒的關鍵要素。Windows PowerShell是內建基於.NET框架的命令列Shell，提供使用者存取作業系統（OS）服務的介面，也是能夠建立腳本的程式語言。PowerShell主要用來自動化系統管理工作，像是檢視系統內所有的USB設備、磁碟和服務，排程工作並在背景執行，或是終止程序（就像是工作管理員）。PowerShell也可以讓管理員無縫管理系統和伺服器及軟體或服務所運行環境的設定。 繼續閱讀

商業流程入侵 (BPC)：進階目標式攻擊的下一個步驟

趨勢科技 TrendMicro

近幾年來，針對性攻擊/鎖定目標攻擊(Targeted attack )  已有長足發展，其會鎖定特定對象並採用越來越進階的技術來發動攻擊。一般來說，這類駭客會鎖定企業內的單一成員、竊取其憑證、登入帳戶，並冒用這個帳戶來尋找敏感資訊。變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)就是駭客將惡意活動推展到新境界的手法之一，其會運用密集研究與量身訂做的訊息來達到入侵目的。

不過，現在又有新的威脅曝光了：商業流程入侵 (BPC)。BPC 聽起來跟 BEC 很像，但卻是完全不同的概念。

BPC 的運作方式

從趨勢科技的這段影片可以看出，BPC 駭客並非鎖定受害組織中的特定成員，而是鎖定企業中的特定流程，這些流程是完成重要日常作業的關鍵環節。一旦侵入系統之後，駭客就會試圖透過活動、漏洞或整個系統進行滲透，並使用這項弱點作為攻擊主力。

這種攻擊模式的目的是要盡量取得組織的流程資訊，包括商業用的所有活動和系統。駭客可以從這裡查出相關流程和平台的漏洞，並進行巧妙的調整或操控。如此一來，從公司的角度來看，系統仍照常運作。但是，網路罪犯卻躲在背後竊取資料、詐取利潤，甚至盜取實際商品。

BPC 有成功過嗎？

繼續閱讀

駭客如何反將組織一軍?

趨勢科技 TrendMicro

伺機而動：駭客如何反制防護策略並用於攻擊

在運動電影、戰爭故事和犯罪情節當中，總會出現下列主軸：知己知彼，百戰百勝。

人們在層層設定 (包括網路安全領域) 中，採用了這種戰術，且通常成功率很高。安全研究人員不斷努力徹查並瞭解駭客使用的技術，以便打造可防禦特定威脅的目標式防護。不過，大多數人都沒有發現到，在防護端另一側的敵人，也正發展出相同的策略趨勢。

惡意的駭客與白帽駭客一樣，都持續精進自己的技術。再者，現在有些攻擊者並不會採用已知的系統漏洞，反而想利用組織部署的惡意行動封鎖防護措施，來反將組織一軍。

這些安全措施本應讓消費者與企業用來保護最重要的資料與內容，為何反被網路罪犯作為攻擊武器？接下來，讓我們來看看目前駭客會使用的幾個狡猾技術。

員工平日訓練有素? 駭客總有辦法突破心防

許多企業的安全防禦基礎之一，是對員工進行專業的特殊培訓。這有助員工瞭解如何找出具有攻擊徵兆的惡意活動，並掌握自己在公司整體資料防護中所扮演的個別角色。許多的培訓課程都教導員工，除非獲得授權人或團體的許可，否則都不要提供個人或公司的敏感詳細資料。

對此，駭客可偽造冒牌電子郵件，引誘受害者點選會干擾內部系統的惡意連結。

擬定這個策略後，駭客即開始利用網路釣魚（Phishing），該技術會依靠仿真的訊息，說服受害者提供敏感資訊。在這類攻擊當中，攻擊者可能會偽造來自權威機構 (例如銀行或執法部門) 且看似合法的訊息。

在某些案例中，當攻擊者鎖定特定企業的成員時，駭客會竭盡所能地瞭解這些對象，並偽造出一封與他們高度相關的訊息。其中可能包括該對象的姓名、公司職稱和其他詳細資料，以吸引閱信者的目光，並誘使他們點選惡意連結或足以干擾系統的附件。 繼續閱讀

假新聞與網路宣傳如何運用及操弄社群媒體?

趨勢科技 TrendMicro

研究報告顯示假新聞已發展成一種新的營利模式，網路犯罪者善用此手法作為服務項目 FNaaS（Fake News as a Service），在全球包含俄羅斯、中國、中東及英語國家的地下市場販售，所提供的服務不止是散播假新聞，通常還包括產製這些新聞故事，並把它們行銷給目標族群，手法類似於內容行銷服務與社群媒體行銷運作，甚至透過點擊詐騙殭屍大軍（Botnet）為貼文或影片的觸及率灌水，讓特定內容更具權威性及可信度，間接操控輿論風向，例如：中國「寫作幫」販賣產製內容，每篇只需100至200人民幣（約400-800台幣）不等，甚至也利用社群媒體引發口碑效應，讓新聞文章被特定留言讚爆。相同手法也同樣能影響股價及金融市場，任何有心人士都能利用此服務散佈不實訊息來達到特定目的，其中以政治及商業目的最為常見，可能對全世界政治、金融局勢和整個媒體產業產生巨大影響。

談到「假新聞」三個字，人們大概會直接聯想到社群網站上一些超神奇、超誇張的故事。不過，儘管假新聞與社群網站有很大關聯，但社群網站上的假新聞卻並非只是標題誇張而已。

假新聞與網路宣傳

假新聞看似是一項今日才有的新問題，但其實這只是它的散布平台較為新穎而已。然而「鼓吹宣傳」這件事其實早已存在數百年，只是網際網路最近才成為人們散布謊言與不實資訊的管道。

火的燃燒有三項要素：氧氣、熱度和燃料。同樣地，假新聞要炒得起來，也需要三要素：工具與服務、社群網路、動機 (如下圖所示)，而且只要缺乏其中一項，假新聞就無法散布或到達目標。

圖 1：假新聞的三項要素。

首先是在社群媒體上操弄和散布新聞的「工具與服務」，這些工具大多可透過全球各種網路社群取得，而且種類繁多。有些服務相當單純，例如付費購買「按讚數」和「追隨數」等等，有些則稍微複雜，例如在網路調查中灌水，或者迫使某網站管理員撤下某篇文章。無論如何，這些操弄社群媒體的工具和服務唾手可得，而且不一定要到地下市集才能取得。

其次，這些工具要發揮作用，首先得要有社群網站這個宣傳平台。而隨著人們經由這類網站吸收資訊和新聞的情況越來越普遍，其重要性實在不容小覷。不過，單純地將宣傳訊息 PO 上網，離訊息真正觸及目標對象還有一段距離。我們在報告中說明了歹徒利用何種技巧來引誘讀者閱讀其訊息。

此次針對社群媒體的研究，也讓我們也了解到 Twitter 網站上的內容機器人與讀者之間的關係，描繪出這類操弄性輿論的規模和組織。

最後，所有的宣傳背後必定有其「動機」。我們也探討了這些假新聞背後的動機，其中有些只是單純為了賺取廣告費，但有些則懷有犯罪或政治意圖。不論其動機為何，任何宣傳是否成功，最終還是要看它對真實世界有多大影響。

個案研究

報告中，我們舉出幾種不同的個案來說明這些宣傳的成效，以及歹徒如何利用假新聞來達到各種目的，如以下三圖所示：

假新聞的各種用途

繼續閱讀