分類: 資安名詞/什麼是?/ 何謂?

【Targeted attack】針對性攻擊/鎖定目標攻擊的影響

趨勢科技 TrendMicro

 

在我們針對性攻擊/鎖定目標攻擊（Targeted attack）系列文章的第一部中，我們討論了什麼是針對性攻擊/鎖定目標攻擊（Targeted attack）(以下簡稱鎖定目標攻擊)，什麼樣的攻擊算是及它跟其他類型的網路攻擊有何不同。在這最新的一篇中，我們將要談論為什麼鎖定目標攻擊不只會影響到被針對的組織，還有其客戶，這類事件會如何讓雙方都蒙受財務損失或嚴重的公關問題。它也可能造成很多人失業，損害國家安全或讓負責人遭受嚴懲。

 

針對性攻擊/鎖定目標攻擊（Targeted attack）如何影響目標？

鎖定目標攻擊所造成的影響會因為目標和攻擊者意圖而有所不同。根據我們所看過的大型攻擊及它們所帶來巨大而無所不包的影響，底下是鎖定目標攻擊最常見對公司帶來影響的清單：

  • 業務中斷：企業無法進行日常作業和活動，可能是因為攻擊造成系統當機，或因為人手必須調派去處理攻擊。這在去年的TV5 Monde攻擊中發生過，鎖定目標攻擊造成該電視網路關閉運作，11個頻道完全停播。
  • 知識產權受損：公司所擁有的知識產權可能會被竊，就像RSA駭客攻擊事件造成SecurID雙因子認證系統資料被竊。Sony被駭事件導致其尚未發行的電影流出也是類似的例子。
  • 客戶資料外洩：企業內的客戶PII（個人識別資料）資料庫可能會被入侵或遭竊，這導致其客戶陷於身份竊盜、敲詐、勒索或其他更糟狀況的危險中。這是鎖定目標攻擊常見的後果之一，可以從大型連鎖零售企業所遭遇到的資料外洩事件（如Target和Home Depot）看到例證，數百萬的客戶PII遭竊。

繼續閱讀

【警訊】針對性攻擊/鎖定目標攻擊：偽裝來自高階主管的詐騙信件

趨勢科技 TrendMicro

趨勢科技近來發現一波針對性攻擊/鎖定目標攻擊(Targeted attack )詐騙攻擊活動，攻擊活動由一封E-mail開始。偽冒某間公司的高階主管寄給其他主管（例：財務部經理），與一般詐騙攻擊或是網路釣魚（Phishing）信件不同的是這封Email沒有任何的附件或是連結網址，但他的表頭已遭到修改，導致收件者回覆之後會把信件寄給攻擊者。若不經仔細檢查，很難發現隱藏其中的陷阱。

信件 網路釣魚Mail

根據趨勢科技主動式雲端截毒服務  Smart Protection Network所蒐集到的資料，僅僅在九月就有至少40間公司被攻擊。


 TARGETED ATTACK 2.png

技術細節與解決方案：

  1. “From”與“To”使用相同的網域，使他看起來像是一封內部信件，例：CompanyX.com寄給CompanyX.com。
  2. “From”與“Reply-To”的網域不同，例：”From”是CompanyX.com，而“Reply-To”是類似gmail.com或其他外部網域。
  3. 目前發現“Workspace Webmail”及“Roundcube Webmail”在這類攻擊中常被使用。
  4. 整封Email不大，不容易被懷疑。
  5. Email內常包含某些特定字詞像是“wire”或“transfer”。
  6. “Reply-to”欄位常包含“executive”或“ceo”或“chief”等關鍵字。

趨勢科技Email信譽評等（ERS, Email Reputation Services）團隊已釋出病毒碼偵測此類型攻擊。
建議措施：

  1. 回覆信件前請確認收件者地址。
  2. 請提高警覺，如果“mail from”與“reply-to”網址不同，尤其是魚目混珠的Email網址，例：把trendmicro拼成trendrmicro。
  3. 如發現任何攻擊信件未被偵測，立即回報趨勢科技。

詐騙攻擊信件樣本：

TARGETED ATTACK 3.png.jpg

回覆信件時，收件者為外部網域信箱：

TARGETED ATTACK 1

540x90 line 《現在加入趨勢科技LINE@,留言即刻輸入 888 看本月好友禮 》

 

《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。

【勒索軟體】鎖定中小企業的TorrentLocker和CryptoWall改變戰術

趨勢科技 TrendMicro

勒索軟體 Ransomware背後的惡意份子已經將目標放到消費者以外，將攻擊延伸到中小企業（SMB）。這區塊是勒索軟體 Ransomware很好的潛在目標，因為中小企業不太會有如大型企業那樣複雜的解決方案。同時中小企業主也通常有能力支付贖金。

ransomeware 勒索軟體

此外，中小企業也不太可能具備如大型企業那樣全面的備份方案，增加支付贖金的可能性。想像一間擁有少於50名員工的公司。裡面的主管收到了一封內嵌看似正常網址的電子帳單郵件。他們點了連結而導致感染勒索軟體 Ransomware。不幸的是該公司並沒有備份資料。因此會讓他們傾向選擇支付贖金以換回檔案。但付錢取回檔案很可能會鼓勵網路犯罪分子在未來進行更多波攻擊。

這轉變中我們所看到最明顯的例子是TorrentLocker和CryptoWall，這是現今最持久也最大量的勒索軟體 Ransomware變種。

從2015年六到七月，趨勢科技觀察到多數點入CryptoWall相關電子郵件內惡意連結的使用者屬於中小企業用戶。

 

多數點入CryptoWall 勒索軟體設下的釣魚郵件受駭者,近七成為中小企業用戶....
多數點入CryptoWall 勒索軟體設下的釣魚郵件受駭者,近七成為中小企業用戶….

 

繼續閱讀

FBI和趨勢科技合作,讓銀行惡意軟體 DRIDEX 停擺

趨勢科技 TrendMicro

 

跟著英國國家打擊犯罪調查局（NCA）的腳步,多個DRIDEX「Botnet傀儡殭屍網路」所使用的命令與控制（C&C）伺服器已經被美國聯邦調查局（FBI）關閉。

美國執法官員取得法庭命令沒收DRIDEX所使用的多台伺服器。打擊了惡意軟體的C&C網路，其被惡意軟體用來將竊得的資料發送給網路犯罪分子，並且下載包含目標銀行清單的設定檔案。此外，也已經起訴了Andrey Ghinkul（別名Andrey Ghincul和Smilex），「Botnet傀儡殭屍網路」在摩爾多瓦的管理者。

破獲網路犯罪並不是件小事。追查並關閉網路犯罪活動需要研究人員與執法機構的不斷合作，各自貢獻自己的專業知識。破獲銀行惡意軟體DRIDEX所用的命令和控制（C&C）網路是這團隊合作成功的最新例證。

 

什麼讓 DRIDEX與眾不同？

DRIDEX在這過去一年漸漸打響名號，一直被視為是 Gameover ZeuS（GoZ）惡意軟體的後繼者。它在威脅環境的普及可以歸因於它的商業模式、P2P（點對點網路）架構及獨特的行為。

不同於其他惡意軟體，DRIDEX運用BaaS（殭屍網路即服務）商業模式。它運行數個「Botnet傀儡殭屍網路」，每個都以編號標識，並且每個都對應一組特定的目標銀行。趨勢科技的調查顯示其目標銀行大多來自美國和歐洲（特別是羅馬尼亞、法國和英國）。從過去三個月內趨勢科技主動式雲端截毒服務  Smart Protection Network所提供的反饋資料顯示，美國和英國受DRIDEX感染的使用者占全部的35%以上,台灣也列入受害名單。

 

圖1、分析受影響的國家，資料來自2015年7月到10月1日

 

DRIDEX的P2P架構是GoZ架構的改進版本。從GoZ被關閉事件中學習，DRIDEX開發者在其架構中在命令與控制（C&C）伺服器前多加了一層。

除此之外，DRIDEX還會除去或隱藏其在系統中的痕跡。跟ZBOT的Chthonic變種類似，它使用一種隱形持久性技術，會在系統關閉前寫入自動啟動註冊碼，並在系統啟動後刪除自動啟動註冊碼。然而，只有DRIDEX會清理儲存在註冊表中的設定，並改變惡意軟體副本的位置。

DRIDEX可以輕易地透過惡意電子郵件附件檔散播，通常是包含巨集的Microsoft Office文件。使用巨集可看作是提高攻擊成功機會的方式。巨集常被用在自動化和互動文件中。該功能通常預設關閉，但如果它在攻擊前就已經啟用，就可以直接進行攻擊。否則，攻擊者必須利用強大的社交工程（social engineering ）來說服使用者啟用該功能。此外，我們發現巨集程式碼中會包含垃圾和無用程式碼。造成偵測上更多的挑戰。

繼續閱讀

 < CTO 觀點 >針對性攻擊/鎖定目標攻擊(Targeted attack )與進階持續性滲透攻擊 (ATP) 有何差異？

趨勢科技 TrendMicro

作者：Raimund Genes (趨勢科技技術長，CTO)

前不久我上了由 Bill Murphy 主持的 RedZone Podcast 節目，談論到有關「 針對性攻擊/鎖定目標攻擊(Targeted attack )」和「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）」之間有何差異 (當然還有其他主題)。這是一個過去我經常談到的一個話題，也是一個我經常在各種會議上被問到的問題。讓我來解釋一下我的意思。

APT攻擊一詞，大約是十年前從美國軍方流傳出來的一個用語。它有相當明確的定義，意指那些由國家所發動的攻擊。這些攻擊當然不會明確張揚其幕後的主使者。其程式碼也不會告訴你是哪個情報單位或國家所為。要追溯某項攻擊確切的幕後主使國家有其困難：畢竟，駭客很可能會透過重重的跳板來隱藏其真正的源頭。

攻擊,APT,目標攻擊

不過，在大多數情況下，當我們在檢視某個 APT攻擊所用的程式碼時可以發現，這些程式都擁有相當完整的設計。它們不像是由一小群個人所開發，反倒像背後有一整個開發團隊。此外，我們也無法在地下犯罪網路上找到這些程式的藍本，意思是：不論是誰所開發，這些都是他們自己的創作。

這一切所需的代價不斐。想想看您需要多少資源才能養得起這些開發人員。看看 Hacking Team 資料外洩 的例子，他們的產品在全球各國販售的價格在數十萬美元之譜。想像一下，若是一個國家要培養自己的「駭客團隊」要付出比這價格高出多少的代價。

然而，大多數人「並不」需要擔心 APT攻擊 的問題。除非您是某個政府機構或國防承包商的 IT 系統管理員，否則您大概不會需要擔心APT攻擊 威脅。您「真正」需要擔心的是資料外洩和 針對性目標攻擊(Target attack )。

「 針對性攻擊/鎖定目標攻擊(Targeted attack )」與 APT攻擊截然不同，它們不是由國家所發動，而是由全世界各個角落的駭客所為。他們的動機五花八門，包括：竊取資訊、從事信用卡詐騙、或者單純只是在您的企業內搞破壞。他們所用的工具基本上都能在地下市集上以合理的價格買到。其真正「精密」之處在於這些攻擊所用的社交工程技巧。 繼續閱讀