資安名詞/什麼是?/ 何謂? - 資安趨勢部落格

認識變臉詐騙/BEC- (Business Email Compromise) 商務電子郵件詐騙與防禦之道

2016 年 02 月 02 日2023 年 08 月 02 日趨勢科技 TrendMicro

北市某貿易公司業務經理的電郵帳號遭仿冒，宣稱上游供應商要求變更匯款帳戶，逕行匯款，損失折合台幣近百萬元。這就是近年相當猖獗的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)，報導指出，光是去年一年，美國聯邦調查局就接到超過1萬2千件投訴，被害金額約台幣110億元；而國內去年受害報案件數也有55件，被騙金額超過6千萬元，平均每件財損超過百萬元，今年1至5月也已發生26件。

美國聯邦調查局（FBI）將商務電子郵件詐騙（BEC）定義成針對與外國供應商合作企業或經常進行匯款支付企業的精密騙局。原本稱為Man-in-the-Email詐騙，這些詐騙會侵入公開的企業郵件帳號來進行非授權的轉帳。根據美國聯邦調查局指出，在2013年10月到2015年8月間，BEC詐騙已經造成美國受害者將近7.5億美元的損失，影響超過7,000人。全球網路犯罪份子從美國以外的受害者詐騙了超過5,000萬美元。

BEC詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚（Phishing）手法達成,不過,駭客為了讓人更容易上鉤,改為直接內嵌多家郵件服務的HTML網頁。相關文章:變臉詐騙 (BEC) :執行檔易被起疑心, 改用 HTML 附件讓你上鉤!

本部落格曾分享過網路犯罪個體戶崛起，HawkEye 鍵盤側錄程式,攔截台灣在內的中小企業交易資料,本文將更進一步說明這類企業郵件詐騙運作方法與防禦之道。

在過去兩年來，詐騙分子入侵企業正式電子郵件帳號並利用這些帳號進行詐欺性轉帳，從這些企業身上竊取了數百萬美元。在2015年1月，網路犯罪申訴中心（IC3）和美國聯邦調查局發表一個公開聲明，警告針對外國供應商合作企業的一種「精密騙局」。顯然地，跟商務/企業電子郵件詐騙（Business Email Compromise，BEC）相關的電腦入侵事件在成長，詐騙者偽裝成高階主管，從看似合法的來源寄送釣魚郵件，要求匯款至詐騙用帳戶。這些手法最終導致成功的入侵及可以不受阻礙地存取受害者憑證。

什麼是商務電子郵件詐騙？

美國聯邦調查局（FBI）將企業郵件受駭（BEC）定義成針對與外國供應商合作企業或經常進行匯款支付企業的精密騙局。原本稱為Man-in-the-Email詐騙，這些詐騙會侵入公開的企業郵件帳號來進行非授權的轉帳。根據美國聯邦調查局指出，在2013年10月到2015年8月間，BEC詐騙已經造成美國受害者將近7.5億美元的損失，影響超過7,000人。全球網路犯罪份子從美國以外的受害者詐騙了超過5,000萬美元。

更新: 2016年變臉詐騙造成逾30 億美元損失.受害企業高達 22,000 家(內有完整報告)

它如何運作？

BEC詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚（Phishing）手法達成，攻擊者會建立類似目標公司的網域或偽造的電子郵件來誘騙目標提供帳號資料。在監控受駭電子郵件帳號時，詐騙者會試著找出進行轉帳及要求轉帳的對象。詐騙者通常會進行相當的研究，尋找財務高階主管變動的公司，高階主管正在旅行的公司或是進行投資人電話會議來製造機會以進行騙局。

BEC詐騙有三種手法：

第一個手法: 透過偽造的郵件、電話或傳真要求匯款給另一個詐騙用帳戶

這個手法也被稱為「偽造發票騙局」、「供應商詐騙」和「發票變造騙局」，通常跟有供應商關係的企業有關。詐騙者透過偽造的郵件、電話或傳真要求匯款給另一個詐騙用帳戶。

第二個手法: 詐騙者自稱為高階主管（CFO、CEO、CTO等）、律師或其他類型的法定代表 繼續閱讀

趨勢科技連續六年蟬聯全球伺服器防護市場龍頭寶座

2016 年 01 月 21 日2016 年 01 月 21 日趨勢科技 TrendMicro

IDC最新報告指出趨勢科技市占率已達30.3%，成長速度超越市場

全球資安軟體及解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 今天宣布再度榮獲產業分析機構 IDC 評選為全球伺服器防護市場領導廠商。趨勢科技已經第六年蟬聯全球伺服器防護市場龍頭；不僅伺服器防護市場規模在 2014 年已突破 8 億美元，在該市場的營收市占率達到 30.3%，雙雙超越市場與競爭對手的成長速度。

趨勢科技雲端及資料中心防護資深副總裁 Bill McGee 表示：「隨著虛擬化、雲端和混合式部署不斷帶動現代化安全防護的需求，IDC 預測伺服器防護市場的重要性將日益增加。我們在該市場的領導地位，充分展現了我們對該領域的專注，為滿足客戶在混合式雲端的需求，提供一套完整的安全控管，不僅透過集中管理與自動化減輕對營運環境的衝擊，並支援 VMware、Amazon Web Services 及 Microsoft Azure 等主流平台。」

趨勢科技領先市場的趨勢科技Deep Security平台能保護虛擬桌面、虛擬伺服器、雲端以及混合式架構，防範零時差惡意程式和其他威脅，同時能消除資源利用率不佳與緊急修補對營運所造成的衝擊。

IDC 防護產品與服務計劃副總裁 Chris Christiansen 指出：「今日企業在挑選防護解決方案時，在乎的是能解決其所有重要問題的完整防護功能。趨勢科技已連續六年蟬聯伺服器防護市場領導者，與如此值得信賴的伺服器防護領導廠商合作，絕對是明智的抉擇。」

趨勢科技Deep Security平台提供了軟體與服務兩種部署方式，客戶可選擇最適合其資料中心及雲端策略的採購方式。此外，在趨勢科技深耕雲端市場的努力下，趨勢科技Deep Security也在 AWS 和 Azure 市集上架，為客戶提供更多元的採購彈性。

MEDHOST 公司 IT 與託管式服務副總裁 Todd Forgie 表示：「幾乎所有資安廠商每天都必須面對敵人的強大火力，因此我們需要像趨勢科技這樣的合作夥伴來提供必要的反擊能力。趨勢科技能偵測其他解決方案無法偵測的疫情，這正是為何我們當初決定選擇趨勢科技為唯一資安廠商，而且我們從未遲疑。」繼續閱讀

第一起由惡意軟體造成的6小時大斷電,導致烏克蘭數十萬戶住家停電

2016 年 01 月 11 日2016 年 05 月 11 日趨勢科技 TrendMicro

在2015年進入尾聲時出現一起特別的事件，烏克蘭的伊萬諾-弗蘭科夫斯克地區有數十萬戶住家，相當於當地一半的住宅，籠罩在無電力供應的黑暗之下。這起事件跟11月時烏克蘭民族主義分子在克里米亞半島進行破壞造成停電並沒有關係。根據研究人員表示，這次事件是由系統內的惡意軟體造成，導致12月23日出現6小時的電力中斷。

根據惡意軟體研究人員Robert Lipovsky，烏克蘭西部的電力公司Prykarpattyaoblenergo是唯一提供相關詳情的公司，而有兩家電力公司也受到類似惡意軟體的影響。

烏克蘭情報單位認為這起停電事件跟俄羅斯有關，因為兩國間正在進行軍事和政治上的鬥爭，調查指出是惡意軟體造成了這次的停電事件。網路安全專家Robert M. Lee在其文章中指出，「這惡意軟體是一個32位元的Windows執行檔，其模組化特質顯示這是個更加複雜惡意軟體的模組之一。」

不久後，Lee與趨勢科技的前瞻性威脅研究人員Kyle Wilhoit協調取得樣本，確認該惡意軟體具備抹除能力會損害受感染系統。在Lee的初步調查後不久，有許多分析及研究人員證實這些電力公司確實受到網路攻擊，讓此次事件成為第一起由惡意軟體引起的停電。

與其他分析及研究人員的見解一致，Wilhoit分享道：「我們看到第一起公開發布惡意軟體導致SCADA-資料蒐集與監控系統(supervisory control and data acquisition；SCADA)設備停擺的消息。令人憂心,下一個受害的是什麼產業？更增加了它的神秘感。」

「我們所知道的是，Prykarpattyaoblenergo的停電是由惡意軟體所造成。我們也知道這惡意軟體不僅針對Prykarpattyaoblenergo，至少還有一個烏克蘭的廣播公司。在目前看來，受害者似乎都在烏克蘭，沒有出現在其他的地方，」Wilhoit補充說明。繼續閱讀

什麼是魚叉式網路釣魚 (Spear Phishing )？

2016 年 01 月 04 日2022 年 06 月 06 日趨勢科技 TrendMicro

一起鎖定某跨國企業法務部門三名員工的「魚叉式網路釣魚(Spear Phishing)」郵件能逞嗎?

針對性攻擊要能成功，很重要的一點是歹徒必須根據受害者的防禦機制而調整及改進其攻擊方法,其中包含「魚叉式網路釣魚(Spear Phishing)」

魚叉式網路釣魚通常鎖定特定個人或某機構的特定員工及其社群媒體帳號 (如 Twitter、Facebook 和 LinkedIn)，它們會精心製作出很有說服力的電子郵件內容，並且在電子郵件當中挾帶可造成感染的附件檔案和連結。一旦開啟檔案或連結，就會執行惡意程式或將使用者導向某個網站。接下來，駭客就能建立其祕密通訊網路，然後朝攻擊的下一階段邁進。

》魚叉式網路釣魚 (Spear Phishing )是勒索軟體 Ransomware攻擊企業的主要手法

》醫療保險公司 Anthem Inc. 大規模資料外洩的主因:魚叉式網路釣魚 (Spear Phishing )

》南韓爆發最大駭客攻擊事件因魚叉式網路釣魚 (Spear Phishing )而起

》91％的APT 目標攻擊來自:魚叉式網路釣魚 (Spear Phishing )

檢視「防範魚叉式網路釣魚：保護電子郵件如何能夠防止針對性攻擊」

2015年稍早，醫療保險公司 Anthem Inc. 發出聲明表示自己發生了一起大規模的資料外洩，導致 8,000 萬名客戶受到影響。根據媒體報導，駭客經由一項精密的針對性攻擊/鎖定目標攻擊(Targeted attack ) 取得了進入 Anthem 公司 IT 系統的權限，進而竊取系統上儲存的個人資料。有些人對於企業資料外洩事件或許略知一二，但很少有人知道實際發生的經過以及網路犯罪集團所用的手法。

在所謂的「針對性攻擊/鎖定目標攻擊(Targeted attack ) 」當中，駭客必須擁有相當高的專業技能以及充裕的資源來進行這類長期的計謀。針對性攻擊要能成功，很重要的一點是歹徒必須根據受害者的防禦機制而調整及改進其攻擊方法。

駭客會利用各種最新時事、業務相關內容，以及攻擊目標可能有興趣的資訊來從事社交工程（social engineering ）攻擊。此外，後門程式、零時差或軟體漏洞攻擊、水坑式攻擊、魚叉式網路釣魚等等，也是歹徒經常用來竊取資訊的技巧。

雖然一般的網路釣魚（Phishing）和魚叉式網路釣魚所使用的技巧類似，但兩者之間還是有所差別。網路釣魚基本上是一種針對大量目標的亂槍打鳥式攻擊，但魚叉式網路釣魚則是專門針對特定目標。兩者的差異在於，一般的網路釣魚（Phishing）相對單純，歹徒一旦偷到受害人的資料 (如網路銀行登入資訊)，就算達到目的。但對於魚叉式網路釣魚來說，取得登入資訊或個人資訊通常只是攻擊的開端，這是歹徒進入目標網路的手段，只能算是的跳板而已針對性攻擊/鎖定目標攻擊(Targeted attack ) 。

何謂魚叉式網路釣魚攻擊？

前面提到，魚叉式網路釣魚是專門針對特定對象的網路釣魚（Phishing），其對象通常是某個機構，其最終目標是取得機密資訊，其技巧則包括：假冒他人名義、使用迷人的誘餌、避開安全機制 (如電子郵件過濾及防毒) 等等。預算和一般網路釣魚（Phishing）的都會誘騙目標對象開啟郵件中的附件檔案或點選郵件中的連結。繼續閱讀

新針對性攻擊:駭客組織買下 BIFROSE程式碼並分工合作

2015 年 12 月 29 日2015 年 12 月 29 日趨勢科技 TrendMicro

趨勢科技最近新發現了一起由資金雄厚的駭客組織所發動的網路間諜攻擊行動，主要鎖定亞洲一些重要產業當中與政府有密切關係的民間企業，包括：民營化政府機構及政府承包商，此外還有消費性電子、電腦、醫療、金融等產業。

該組織從 2010 年起活躍至今，我們根據其某個後門程式中的 mutex 名稱將這起行動命名為「Shrouded Crossbow」(暗弩) 行動。我們的研究指出，該組織財力雄厚，足以買下某個熱門惡意程式工具的原始程式碼，並擁有充足的人力根據這份程式碼開發出自己的改良版本。

BIFROSE、KIVARS 和 XBOW

BIFROSE (亦稱為 Bifrost) 惡意程式過去在地下市場上的售價高達 10,000 美元。我們曾在一起針對政府機構的攻擊和「Here You Have Mail」(您有來信) 垃圾郵件行動當中看過這個惡意程式。儘管 BIFROSE 的網路封包和行為已經廣為業界所知，但該團體仍有辦法在其攻擊行動當中充分運用這個惡意程式。

以下這段程式碼顯示 BIFROSE 回報 (phone home) 給幕後操縱 (C&C) 伺服器的受害者資料。

圖 1：BIFROSE 的回報訊息。

從 2010 年起，這項攻擊行動開始使用另一個後門程式：KIVARS。雖然此程式在載入器和後門工具兩部分的設計與 PLUGX 類似，但從其回報訊息內容看來，似乎與 BIFROSE 的關係更為密切。

圖 2：KIVARS 的回報訊息。

儘管 KIVARS 在功能上沒有 BIFROSE 來得豐富，但對該組織來說仍不失為一個好用的後門工具。事實上，為了因應 64 位元系統的日益普及，KIVARS 在 2013 年更推出了 64 位元的升級版本。

我們認為該組織應該是買下了 BIFROSE 的原始程式碼並加以改良，然後再設計出一套新的安裝流程，以及一個新的程式產生器來產生成對的載入器和後門工具，並且將後門功能加以精簡，結果就成了目前的 KIVARS。這意味著，要不是有人在背後資助這項攻擊行動，就是這個組織本身就擁有足夠的財力和人力可將現有的後門程式加以改良。

有趣的是，KIVARS 某些程式資料庫 (PDB) 檔案的路徑採用的是「BR」＋{年份} 的命名方式，這一點似乎與 KIVARS 的名稱不符。我們認為「BR」兩個字母很可能是代表 Bifrose RAT。