分類: 資安名詞/什麼是?/ 何謂?

惡意廣告Malvertising：當廣告出現攻擊行為

趨勢科技 TrendMicro

利用惡意廣告(Malvertising)來誘騙受害者的網路犯罪集團，就像利用配樂來製造電影氣氛的大師一樣，能在短短幾秒之內就讓人們坐立難安。電影大師懂得利用音樂來配合情緒，歹徒則懂得利用廣告來配合您的喜好和習性，所以受害者經常不知不覺就點選了惡意廣告，絲毫不知已落入陷阱。對某些人來說，網路廣告沒什麼大不了的，頂多只是網路生活中的一點小小困擾，而且惡意廣告經常出現在人們信賴的網站上，因此這項攻擊才會這麼有效。

malware 病毒 惡意廣告

這類廣告之所以可怕，是因為其背後暗藏著可能造成使用者帳號被盜、身分遭到冒用或是造成財務損失的惡意程式。

惡意廣告如何運作？

惡意廣告的受害者不單只有一般使用者而已，還有廣告主。線上廣告與行動廣告都允許廣告主追蹤使用者的地點、資料以及其他資訊。由於網路犯罪集團越來越常利用惡意線上廣告來攻擊使用者，所以使用者經常會在購物網站、新聞網站、社群媒體以及遊戲網站看到這類廣告。

惡意廣告感染使用者裝置的方式主要有兩種：

  1. 第一是透過使用者點選廣告來感染，惡意廣告會以彈出視窗或警告訊息的方式呈現。這類社交工程（social engineering ）會要求使用者點選廣告以便能安裝惡意程式。
  2. 第二是藉由順道下載 (drive-by download) 技巧，使用者只要連上含有惡意廣告的網頁即可感染。因為這類廣告當中含有專門掃瞄使用者系統漏洞的程式碼，可利用漏洞來促使系統下載惡意程式並將它執行，最後讓系統感染資料竊取程式。 繼續閱讀

【病毒警訊】新型勒索軟體病毒,亞太區爆發疫情, 切勿輕易打開來源不明信件

趨勢科技 TrendMicro

趨勢科技曾於上周發現新型態的勒索軟體 Ransomware，近日在亞太區已出現蔓延的趨勢。 此惡意程式會偽裝於 Email附加檔案中。一旦被執行，使用者電腦上的檔案將 會被加密鎖定而無法使用。同時攻擊者會要求受感染的用戶付出贖金(或透過虛 擬貨幣)，獲得解密金鑰以還原被加密的文件。趨勢科技再一次提醒各位用戶， 切勿輕易打開來源不明的信件。

勒索軟體 Ransom
新型勒贖軟體病毒警訊通知

以下為此次勒索軟體 Ransomware的相關資訊：(真實案例)

  1. 病毒攻擊皆是透過郵件(SMTP)偽造的寄件者，搭配看似正常的郵件內容， 並附上一個壓縮格式的附件檔。上周發現的案例附件檔為.zip，但是最新發 現的案例中附件已改為.cab。由此可知，此類攻擊很可能透過不同壓縮格式 的檔案來傳播。
    ransom1
  2. 開啟附件後，該壓縮檔案中放著一隻副檔名為.src的檔案，此檔案即為此波 攻擊中勒贖程式的主體。
    ransom2
  3. 一旦使用者開啟（執行）了該檔案，該勒贖軟體將自 internet中取得一組加 密金鑰，並將使用者電腦中的文件、照片或資料庫等類型的檔案進行加密 (如:pdf、docx、xlsx、jpg…等)，並且出現類似下方的警告視窗，要求使用著 支付贖金。同時，使用者電腦桌面將被綁架，該頁面亦無法被關閉：
    ransom3

如果按下左下角的「View」按鈕，會列出遭到加密的檔案：
ransom4

此勒贖軟體還能夠任意恢復若干加密檔，以顯示其”真實性”：

ransom5

截至目前為止，趨勢科技產品已可偵測攔截此勒贖軟體，( OPR病毒碼 11.445.00)並偵測為： TROJ_DALEXIS.YUU

TROJ_CRYPCTB.SME

TROJ_CRYPCTB.AU
此外，由於目前本勒贖攻擊的趨勢已擴及至亞太區，趨勢科技預測此惡意程 式短期內也將有變種的可能，在此建議用戶盡快採取以下防範措施：
1. 確認防毒軟體病毒碼更新至最新

  1. 加強企業內部宣導，不要隨意開啟來源不明的郵件附加檔案 (特別是 「.scr」等可執行檔)。
  2. 對於電腦中重要的文件與檔案進行「離線備份」。
  3. 在不影響日常郵件業務的前提下，建議從 SMTP管控設備(如 IMSVA or SMEX)上，攔截「.cab」或「.src」格式的附件。此外，再搭配啟動「電子 郵件信譽評等」與「垃圾郵件過濾」服務，以降低中毒的可能性。
  4. 開啟 OfficeScan或 WFBS中惡意程式行為封鎖的功能。(方法請參考)
  5. 從閘道器端阻斷駭客所使用的 C&C Server 連結。僅列出本次攻擊行為中 駭客所使用的網址如下供用戶們參考:

Joefel.com

m-a-metare.fr

ourtrainingacademy.com

locamat-antilles.com

thomasottogalli.com

cds-chartreuse.fr

 

 

TorrentLocker 勒索軟體肆虐紐澳地區

趨勢科技 TrendMicro

 

勒索軟體 Ransom趨勢科技最近報導了 EMEA（歐洲、中東和非洲）地區出現 勒索軟體 Ransomware大量激增，特別是 加密勒索軟體 攻擊。現在這類攻擊不再僅限於該地區。趨勢科技工程師的研究顯示，紐澳地區最近也受到此類惡意軟體的影響，這次是TorrentLocker勒索軟體。

感染鏈

圖一、紐澳地區攻擊的感染鏈圖解

這惡意軟體透過電子郵件到達，偽裝成來自新南威爾士州政府（在此篇裡簡稱為NSW）的刑事命令或澳洲郵政的遞送通知。一旦使用者點入連結就會被重新導倒一個偽造的網頁，使用類似官方名稱的新註冊網域。

這網頁會指示使用者輸入驗證碼來下載檔案。如果輸入正確，就會下載來自檔案代管網站（SendSpace）的壓縮格式惡意檔案。

一旦使用者打開壓縮檔並執行惡意程式，它會連到指揮和控制（C＆C）伺服器。收發資訊成功後，惡意軟體會利用ECC加密演算法來加密使用者電腦上的檔案，並且加上.encrypted副檔名。接著，它會放入一帶有解密說明和勒贖頁面的HTML檔。它還會透過指令vssadmin.exe Delete Shadows /All /Quiet來刪除感染系統上的陰影複製（Shadow Copy），防止使用者從備份回復檔案。

根據趨勢科技主動式雲端截毒服務  Smart Protection Network的反饋資料，有98.28%的收件者來自澳洲。

比特幣付款

為了支付贖金，使用者需要註冊一個比特幣（Bitcoin）錢包和從建議連結購買比特幣。一旦完成付款，網路犯罪份子會將比特幣從給定的比特幣地址轉到其官方比特幣地址，他們也可以進行一連串的轉移好不被警方追踪。解密軟體只能用於指定的感染電腦；每一個受感染的系統都需要自己獨特的30位數金鑰。否則就會破壞掉檔案。

受此惡意軟體感染的使用者被分配如下格式的代碼：

  • hxxp[:]//{gibberish}.gate2tor.org/buy.php?user_code={xxxxxxx}

 

直到12月9日，垃圾郵件發送者將密碼加入這個樣本格式：

  • hxxp[:]//r2bv3u64ytfi2ssf.way2tor.org/buy.php?user_code={xxxxx}&user_pass={xxxx}

這些網址只能透過Tor網路連上，因為其網站使用TOR2Web網路代理。使用TOR2Web，使用者就不需要安裝Tor瀏覽器來進行付款。TOR匿名網路是用來隱藏網路流量。在此案例中，其主要目的是要當使用者付費後用來隱藏解密檔案的資料。

勒贖頁面會警告贖金將會在4天或96小時後加倍。在澳洲，贖金價格是598澳幣。但如果使用者不是位於紐澳或EMEA地區，會出現以英文寫成的通用網頁來要求美金計價的贖金。

圖二、澳洲（上），西班牙（中）和非紐澳/EMEA國家（下）的勒贖訊息

繼續閱讀

假 Viber 通知:”你有新語音留言!”點選後當心信用卡費暴增,電話通聯紀錄走光，還附贈成人網站

趨勢科技 TrendMicro

趨勢科技注意到偽裝成來自跨平台網路電話及即時通訊軟體 Viber 的垃圾郵件數量在急遽地增加。這個應用程式也有電腦版，讓使用者可以使用免費電話和訊息。這封電子郵件通知收件者他們的帳號內有一封語音留言。

圖1、垃圾訊息樣本

 

電腦和手機上的不同行為

在電腦上的感染行為非常簡單：點入內嵌的連結會導致下載被偵測為BKDR_KULUOZ.VLU的後門惡意軟體到系統內。

然而，在行動裝置上打開電子郵件的收件者經歷了不同的結果。它不會下載任何惡意軟體，而是將使用者重新導到不同的網站，像是一個隨機網址、搜尋引擎甚或是官方應用程式商店。

行動使用者有時會被重新導到一個串流媒體網站。調查顯示此網站已經跟可疑活動連結。比方說，該網站會秘密地去對使用者在註冊過程中必須提供的信用卡號碼收費。一些使用者會在點入「Flash Player」更新廣告時被導到該網站。

圖2、使用者有時會被重新導到一個串流媒體網站

 

基於行動作業系統的重新導向

更值得注意的是其重新導向結果也取決於設備的作業系統。Android 使用者被重新導到Google Play上的「GO桌面EX」應用程式。Apple 使用者被重新導到 iTunes 網站上的一個中國遊戲應用程式。要特別指出的是，這些應用程式都並非惡意程式。

圖3和4、使用者有時會被重新導到 Google Play和 iTunes

繼續閱讀