與 WannaCry 較勁?!「EternalRocks」一口氣用同個駭客集團外流的七個漏洞展開攻擊

一個名為「EternalRocks」的最新惡意程式,不僅會攻擊 ShadowBrokers 駭客集團從美國國安局 (NSA) 外流並被惡名昭彰的 WannaCry(想哭)勒索病毒/勒索蠕蟲所利用的 EternalBlue 和 DoublePulsar 兩個漏洞,還會攻擊其他五個由同一駭客集團所外流的漏洞:EternalChampion、EternalRomance、EternalSynergy、ArchiTouch以及SMBTouch。這些都是針對 Microsoft Server Message Block (SMB) 網路資源 (如檔案及印表機) 分享通訊協定的漏洞。

建議企業或個人使用者都該盡速更新修補自己的系統,即刻未雨綢繆,防患未然!

感染目標裝置後,會分兩階段執行安裝程序

EternalRocks 惡意程式最早是由科羅埃西亞電腦緊急應變小組 (CERT) 資安研究員 Miroslav Stampar 所發現,該惡意程式在感染目標裝置後,會分兩階段執行安裝程序。在第一階段,惡意程式會下載 TOR 用戶端 來建立通訊管道,接著再透過該管道與其幕後操縱 (C&C) 伺服器通訊。令人意外的是,該 C&C 伺服器並不會立即做出回應,而是等過了 24 小時之後才回應。這樣的延遲設計,很可能是為了躲避沙盒模擬分析技巧的測試以及資安人員的分析。 繼續閱讀

勒索病毒來裝熟,竟知道受駭人的名字和地址! 除了檔案變肉票,還得當心個資販售給詐騙集團~真想哭~

若說這幾天來 WannaCry(想哭)勒索病毒/勒索蠕蟲讓我們學到了什麼,那就是:網路犯罪對全球所有企業和消費者來說,都是明確而迫切的危險。但您可曾想過,當歹徒對您的個人電腦或行動裝置發動網路攻擊時,他們要的到底是什麼?

網路犯罪集團之所以愛上勒索病毒,是因為它是一種迅速又容易的賺錢方法,但絕非唯一方法。歹徒除了將您的個人資料或金融資料加密之外,還可直接偷走您的資料。為何?因為,他們可以將資料拿到地下網路上賣給詐騙集團,讓他們從事身分冒用或其他詐騙。

停車場繳費機,ATM 提款機,戶外電子看版也「想哭」了!

台灣有網友分享,當他前往停車場取車繳費時螢幕顯示卻「想哭」病毒勒索的畫面,無法繳費,車子也出不去,只好求助停車場業者開啟閘門脫困。

ATM 也遭殃:

戶外電子看板也中了:

街頭實驗:你會用多少錢買回手機照片?勒索病毒綁架你的回憶

如果有人失手刪去你手機內所有的相片、影片、資訊,並表示願意以金錢賠償,你願意接受多少錢去交換呢?攝影器材龍頭柯達今年初釋出將一街頭試測剪輯成廣告。工作人員在街頭隨機邀請路人提供免費充電服務,但卻在過程中製造意外刪去照片資料的假象,血淋淋的事件讓受試者重新衡量照片的價值。面對提問,受試者們不約而同地表示他們「只想要照片回來」、「回憶與照片沒辦法用金錢衡量」等對於照片的重視。然而,如果他們遇上的是勒索病毒,重新取得照片需花上更大的代價。請參考:你會用多少錢買回手機照片?勒索病毒綁架你的回憶

從個人照片等檔案被加密,升高到可能讓人飯碗不保的工作資料損失

在全球爆發 WannaCry 疫情之前,勒索病毒早已到處肆虐。事實上,根據趨勢科技資料顯示,新勒索病毒家族的數量在去年 (2016) 成長了 752%。在一般的勒索病毒攻擊當中,歹徒會將惡意程式植入您的電腦,讓您的電腦或檔案被鎖住而無法使用。歹徒會向您勒索一筆贖金,您需支付贖金才能拿到解開電腦或檔案的「虛擬鑰匙」。您若拒絕支付,但資料卻沒有備份,那麼這些資料將永遠一去不返。

那麼,風險在哪裡?根據趨勢科技最新調查顯示,勒索病毒攻擊讓 24% 的受訪者因而損失了照片,還有 18% 損失了影片。這其實不難理解,因為歹徒就是要拿您最珍貴的記憶來要脅您,這樣您才會乖乖付錢。

問題還不只這樣。每五位受訪者就有一位表示自己曾經損失了一些工作上的檔案,此外,還有 19% 的人表示自己的 Word 文件都被加密而無法讀取。突然間,原本只是讓人猶豫不決的個人資料損失,忽然升高到可能讓人飯碗不保的工作資料損失。此時,網路犯罪集團將掌握更多的籌碼來迫使受害者支付贖金,因為他們知道不可能每位員工都能輕易從工作資料損毀的困境中脫身。所以,您敢不敢跟勒索病毒賭上您的工作?

歹徒除了將您的個人資料或金融資料加密之外,還可偷走您的資料,賣給詐騙集團 繼續閱讀

WannaCry 勒索病毒尚未平息,利用相同漏洞攻擊的 UIWIX 接踵而來

 WannaCry 哭聲未止,其他網路犯罪集團紛紛利用相同的漏洞來攻擊

一波未平一波又起,上周末WannaCry(想哭)勒索病毒/勒索蠕蟲剛爆發,另一隻也是利用 Server Message Block (SMB) 漏洞的UIWIX勒索病毒緊接著發動網路攻擊,除了 UIWIX 勒索病毒 (趨勢科技命名為 RANSOM_UIWIX.A) 還有另一個專門開採墨內羅 (Monero) 貨幣的木馬程式。

UIWIX 並非 WannaCry,但更難偵測

最近有些新聞報導表示 UIWIX 是 WannaCry 新演化的版本,但根據我們持續不斷的分析發現,這是一個全新的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族,只不過和 WannaCry 一樣是利用 Server Message Block (SMB) 漏洞 (MS17-010,代號 EternalBlue,由 Shadow Brokers 所公開揭露) 來感染系統並在網路內散布,同時還會掃瞄網際網路上的電腦以尋找更多受害者。

UIWIX 有何不同?首先,它是所謂的無檔案型態病毒,UIWIX 是經由 EternalBlue 漏洞直接進入記憶體中執行。無檔案的感染方式不會在電腦硬碟寫入檔案或元件,因此不會留下什麼痕跡,所以更難偵測。

此外,UIWIX 的行為更加謹慎,只要它偵測到虛擬機器 (VM) 或沙盒模擬環境存在,就會自行終止。根據 UIWIX 程式內的字串顯示,它似乎可以蒐集感染系統上所儲存的瀏覽器、FTP、電子郵件以及即時通訊軟體帳號登入資訊。

以下是 WannaCry 和 UIWIX 主要特點: 繼續閱讀

回顧17 年來 Pawn Storm 遍及全球的網路間諜行動

趨勢科技的研究人員在最新一份有關 Pawn Storm (別名 APT28、Fancy Bear、Strontium 等等) 的報告當中,清楚披露了該網路間諜團體的活動範圍及規模。但更值得關注的是他們所使用伎倆。根據我們的觀察,其行動最遠可追溯至 17 年前,主要攻擊目標為政府、軍事、媒體以及政治機構,足跡遍布全球。此外,報告中也指出近兩年來該團體已開始將重心移轉至網路宣傳,而且光 2016 年就成長了 400%。

Pawn Storm 的發展史 

根據我們的研究,Pawn Storm 行動最遠可追溯至 2004 年,但趨勢科技的第一份相關報告 (同時也是業界發表的第一份有關該團體的報告) 卻是在 2014 年才出爐。不過從那時起,人們就開始知道該團體專門攻擊全球可能危害俄羅斯利益的大小機構。該團體透過情報的蒐集與精密的網路釣魚(Phishing)伎倆,成功襲擊了全球各類目標。

儘管該團體在美國大選期間出盡鋒頭,但其實他們過去三年來成功入侵了非常多機構:

 

2016 年 Pawn Storm 仍繼續從事網路間諜行動,但手法卻出現兩項重大改變。雖然歹徒依舊持續不斷騙取重要鎖定目標的帳號密碼,而且次數更加頻繁,行動也更加堅決,但歹徒卻開始朝網路宣傳發展。根據該集團使用的網路釣魚網域可以看出,其主要對象已變成了政黨與媒體。 繼續閱讀

激進駭客間諜團體 Pawn Storm 如何利用免費網站郵件服務,鎖定目標攻擊重要人士?

就算使用者變更了帳號密碼,歹徒的應用程式還是能夠存取該帳號,除非…..

Pawn Storm 利用 OAuth 開放認證機制從事進階社交工程詐騙

Pawn Storm 是一個從 2004 年活躍至今的激進駭客間諜團體。根據趨勢科技最新的研究顯示,該團體一直想盡各種辦法、盡各種手段來試圖從攻擊目標竊取重要資訊。他們最擅長也最令人擔憂的是利用網路釣魚(Phishing)來騙取帳號登入資訊。2016 年受害對象包括:美國民主黨全國代表大會 (Democratic National Convention,簡稱 DNC)、德國基督教民主黨 (Christian Democratic Union,簡稱 CDU)、土耳其國會和政府機關、蒙特內哥羅國會、世界反運動禁藥機構 (World Anti-Doping Agency,簡稱 WADA)、半島電視台 (Al Jazeera) 以及其他多家機構。

本文探討 Pawn Storm 如何利用開放驗證 (Open Authentication,簡稱 OAuth) 機制來從事進階社交工程詐騙。駭客在 2015 至 2016 年間攻擊了不少使用免費網站郵件服務的重要人士。

OAuth 如何遭到利用?

OAuth 是一種用來讓第三方應用程式登入使用者社群網站、遊戲網站、免費網站郵件等網路帳號的認證機制,此機制的好處是使用者不須提供自己的帳號密碼,而是提供一個可用來登入的認證碼 (token) 讓第三方應用程式使用。
繼續閱讀