分類: 資安名詞/什麼是?/ 何謂?

【病毒警訊】新型勒索軟體病毒,亞太區爆發疫情, 切勿輕易打開來源不明信件

趨勢科技 TrendMicro

趨勢科技曾於上周發現新型態的勒索軟體 Ransomware，近日在亞太區已出現蔓延的趨勢。 此惡意程式會偽裝於 Email附加檔案中。一旦被執行，使用者電腦上的檔案將 會被加密鎖定而無法使用。同時攻擊者會要求受感染的用戶付出贖金(或透過虛 擬貨幣)，獲得解密金鑰以還原被加密的文件。趨勢科技再一次提醒各位用戶， 切勿輕易打開來源不明的信件。

勒索軟體 Ransom
新型勒贖軟體病毒警訊通知

以下為此次勒索軟體 Ransomware的相關資訊：(真實案例)

  1. 病毒攻擊皆是透過郵件(SMTP)偽造的寄件者，搭配看似正常的郵件內容， 並附上一個壓縮格式的附件檔。上周發現的案例附件檔為.zip，但是最新發 現的案例中附件已改為.cab。由此可知，此類攻擊很可能透過不同壓縮格式 的檔案來傳播。
    ransom1
  2. 開啟附件後，該壓縮檔案中放著一隻副檔名為.src的檔案，此檔案即為此波 攻擊中勒贖程式的主體。
    ransom2
  3. 一旦使用者開啟（執行）了該檔案，該勒贖軟體將自 internet中取得一組加 密金鑰，並將使用者電腦中的文件、照片或資料庫等類型的檔案進行加密 (如:pdf、docx、xlsx、jpg…等)，並且出現類似下方的警告視窗，要求使用著 支付贖金。同時，使用者電腦桌面將被綁架，該頁面亦無法被關閉：
    ransom3

如果按下左下角的「View」按鈕，會列出遭到加密的檔案：
ransom4

此勒贖軟體還能夠任意恢復若干加密檔，以顯示其”真實性”：

ransom5

截至目前為止，趨勢科技產品已可偵測攔截此勒贖軟體，( OPR病毒碼 11.445.00)並偵測為： TROJ_DALEXIS.YUU

TROJ_CRYPCTB.SME

TROJ_CRYPCTB.AU
此外，由於目前本勒贖攻擊的趨勢已擴及至亞太區，趨勢科技預測此惡意程 式短期內也將有變種的可能，在此建議用戶盡快採取以下防範措施：
1. 確認防毒軟體病毒碼更新至最新

  1. 加強企業內部宣導，不要隨意開啟來源不明的郵件附加檔案 (特別是 「.scr」等可執行檔)。
  2. 對於電腦中重要的文件與檔案進行「離線備份」。
  3. 在不影響日常郵件業務的前提下，建議從 SMTP管控設備(如 IMSVA or SMEX)上，攔截「.cab」或「.src」格式的附件。此外，再搭配啟動「電子 郵件信譽評等」與「垃圾郵件過濾」服務，以降低中毒的可能性。
  4. 開啟 OfficeScan或 WFBS中惡意程式行為封鎖的功能。(方法請參考)
  5. 從閘道器端阻斷駭客所使用的 C&C Server 連結。僅列出本次攻擊行為中 駭客所使用的網址如下供用戶們參考:

Joefel.com

m-a-metare.fr

ourtrainingacademy.com

locamat-antilles.com

thomasottogalli.com

cds-chartreuse.fr

 

 

TorrentLocker 勒索軟體肆虐紐澳地區

趨勢科技 TrendMicro

 

勒索軟體 Ransom趨勢科技最近報導了 EMEA（歐洲、中東和非洲）地區出現 勒索軟體 Ransomware大量激增，特別是 加密勒索軟體 攻擊。現在這類攻擊不再僅限於該地區。趨勢科技工程師的研究顯示，紐澳地區最近也受到此類惡意軟體的影響，這次是TorrentLocker勒索軟體。

感染鏈

圖一、紐澳地區攻擊的感染鏈圖解

這惡意軟體透過電子郵件到達，偽裝成來自新南威爾士州政府（在此篇裡簡稱為NSW）的刑事命令或澳洲郵政的遞送通知。一旦使用者點入連結就會被重新導倒一個偽造的網頁，使用類似官方名稱的新註冊網域。

這網頁會指示使用者輸入驗證碼來下載檔案。如果輸入正確，就會下載來自檔案代管網站（SendSpace）的壓縮格式惡意檔案。

一旦使用者打開壓縮檔並執行惡意程式，它會連到指揮和控制（C＆C）伺服器。收發資訊成功後，惡意軟體會利用ECC加密演算法來加密使用者電腦上的檔案，並且加上.encrypted副檔名。接著，它會放入一帶有解密說明和勒贖頁面的HTML檔。它還會透過指令vssadmin.exe Delete Shadows /All /Quiet來刪除感染系統上的陰影複製（Shadow Copy），防止使用者從備份回復檔案。

根據趨勢科技主動式雲端截毒服務  Smart Protection Network的反饋資料，有98.28%的收件者來自澳洲。

比特幣付款

為了支付贖金，使用者需要註冊一個比特幣（Bitcoin）錢包和從建議連結購買比特幣。一旦完成付款，網路犯罪份子會將比特幣從給定的比特幣地址轉到其官方比特幣地址，他們也可以進行一連串的轉移好不被警方追踪。解密軟體只能用於指定的感染電腦；每一個受感染的系統都需要自己獨特的30位數金鑰。否則就會破壞掉檔案。

受此惡意軟體感染的使用者被分配如下格式的代碼：

  • hxxp[:]//{gibberish}.gate2tor.org/buy.php?user_code={xxxxxxx}

 

直到12月9日，垃圾郵件發送者將密碼加入這個樣本格式：

  • hxxp[:]//r2bv3u64ytfi2ssf.way2tor.org/buy.php?user_code={xxxxx}&user_pass={xxxx}

這些網址只能透過Tor網路連上，因為其網站使用TOR2Web網路代理。使用TOR2Web，使用者就不需要安裝Tor瀏覽器來進行付款。TOR匿名網路是用來隱藏網路流量。在此案例中，其主要目的是要當使用者付費後用來隱藏解密檔案的資料。

勒贖頁面會警告贖金將會在4天或96小時後加倍。在澳洲，贖金價格是598澳幣。但如果使用者不是位於紐澳或EMEA地區，會出現以英文寫成的通用網頁來要求美金計價的贖金。

圖二、澳洲（上），西班牙（中）和非紐澳/EMEA國家（下）的勒贖訊息

繼續閱讀

假 Viber 通知:”你有新語音留言!”點選後當心信用卡費暴增,電話通聯紀錄走光，還附贈成人網站

趨勢科技 TrendMicro

趨勢科技注意到偽裝成來自跨平台網路電話及即時通訊軟體 Viber 的垃圾郵件數量在急遽地增加。這個應用程式也有電腦版，讓使用者可以使用免費電話和訊息。這封電子郵件通知收件者他們的帳號內有一封語音留言。

圖1、垃圾訊息樣本

 

電腦和手機上的不同行為

在電腦上的感染行為非常簡單：點入內嵌的連結會導致下載被偵測為BKDR_KULUOZ.VLU的後門惡意軟體到系統內。

然而，在行動裝置上打開電子郵件的收件者經歷了不同的結果。它不會下載任何惡意軟體，而是將使用者重新導到不同的網站，像是一個隨機網址、搜尋引擎甚或是官方應用程式商店。

行動使用者有時會被重新導到一個串流媒體網站。調查顯示此網站已經跟可疑活動連結。比方說，該網站會秘密地去對使用者在註冊過程中必須提供的信用卡號碼收費。一些使用者會在點入「Flash Player」更新廣告時被導到該網站。

圖2、使用者有時會被重新導到一個串流媒體網站

 

基於行動作業系統的重新導向

更值得注意的是其重新導向結果也取決於設備的作業系統。Android 使用者被重新導到Google Play上的「GO桌面EX」應用程式。Apple 使用者被重新導到 iTunes 網站上的一個中國遊戲應用程式。要特別指出的是，這些應用程式都並非惡意程式。

圖3和4、使用者有時會被重新導到 Google Play和 iTunes

繼續閱讀

偽裝收據通知，垂涎比特幣和網路銀行

趨勢科技 TrendMicro

網路犯罪分子和威脅幕後黑手經常會利用測試過的漏洞來感染使用者系統，也藉此去穿透企業網路。這凸顯出修補系統和將軟體及應用程式保持在最新狀態的重要性。

比特幣bitcoin3

趨勢科技最近發現DYREZA惡意軟體利用了舊的Adobe Reader和Acrobat漏洞（CVE-2013-2729）。一旦成功地攻擊此漏洞，就可以在受影響系統上執行任意程式碼。

圖1-2、垃圾郵件截圖

DYREZA惡意軟體使用偽裝成收據通知的垃圾郵件作為感染媒介。它夾帶著惡意PDF檔案（被趨勢科技偵測為TROJ_PIDIEF.YYJU）。一旦執行，它會攻擊CVE-2013-2729漏洞，進而去下載TSPY_DYRE.EKW，一個DYREZA變種（也被稱為DYRE和DYRANGES）。

DYREZA是個以竊取銀行認證資訊聞名的惡意軟體，而且和包裹騾子詐騙有關。我們最近寫過一篇部落格文章詳述了此惡意軟體在威脅環境生態系中所扮演的角色和一些顯著的行為，包括其有能力透過瀏覽器注入來進行中間人（MITM）攻擊，監視目標銀行的網路銀行連線和竊取其他資訊，如瀏覽器版本、截圖和個人認證資訊。

使用者和企業都有危險，因為DYREZA可以透過瀏覽器截圖來取得其他類型的資料，像是個人識別資訊（PII）和認證資訊。此外，還有報告指出CUTWAIL殭屍網路會導致下載UPATRE和DYRE惡意軟體。

讓TSPY_DYRE.EKW值得注意的是其注入惡意程式碼到特定銀行和比特幣登入頁面來竊取重要資訊的能力。它所監視的一些比特幣網頁：

  • co.uk/*
  • co.uk/login*
  • com/*
  • com/merchant-login*
  • com/*
  • com/accounts/login*
  • bitstamp.net/*
  • bitstamp.net/account/login*

除了資料竊取的行為外，TSPY_DYRE.EKW可以連到某些惡意網站來收發資訊。此外，它可以連到特定STUN（NAT會話傳輸應用程式）伺服器來確認其感染電腦的公開IP位址。因此，網路犯罪分子可以找出惡意軟體的位置或判斷受影響使用者和組織的位置。出現最多受害者的國家包括了愛爾蘭、美國、加拿大、英國和荷蘭。

比特幣是一種具有真實世界價值的數位貨幣。網路犯罪分子常常會將目標放在比特幣上，因為它提供了一個可以產生利潤的新場所。雖然這並不是第一次詐騙分子及網路犯罪分子將目標放在比特幣上，這個新攻擊凸顯出傳統威脅（如漏洞和銀行惡意軟體）仍然是網路犯罪分子竊取使用者認證資訊和攻擊較新平台（比特幣）的常用手段。它也教了我們關於保持系統和軟體應用程式更新到最新版本的重要一課。

趨勢科技透過主動式雲端截毒服務  Smart Protection Network來保護使用者對抗此威脅，它會偵測垃圾郵件和所有相關惡意軟體。

@原文出處：Old Adobe Vulnerability Used in Dyreza Attack, Targets Bitcoin Sites作者：Rika Joi Gregorio（趨勢科技威脅回應工程師）

趨勢科技榮獲「最佳軟體即服務-資訊安全大獎」

趨勢科技 TrendMicro

【台北訊】趨勢科技(TSE: 4704)今天宣佈榮獲 2014 Asia Cloud Awards 中的「最佳軟體即服務—資訊安全大獎」(Best Software-as-a-Service – Security Award)。該獎項對趨勢科技Deep Security給予肯定，肯定趨勢科技在雲端資安領域內的努力及領導地位。

award 得獎

趨勢科技香港及台灣區總經理洪偉淦表示：「能夠獲頒此雲端運算服務的獎項我們感到十分榮幸。我們竭誠協助客戶在雲端及虛擬環境中對抗瞬息萬變的威脅，務求保護其機構安全，這個獎項正是對我們這份努力的認同，實在令人鼓舞。」

第二屆Asia Cloud Awards 2014致力於表揚亞太區內領先的雲端技術供應商，專家評審團成員包括企業資訊長、研究分析家及業界協會。Deep Security在以下四個範疇表現卓越，為趨勢科技贏得「最佳軟體即服務—資訊安全大獎」的殊榮。

  • 服務獨特性及創新
  • 服務穩健性及資訊安全
  • 服務能力及綜合特性
  • 市場接受度及競爭力

許多企業兼具實體及虛擬環境，並日益依賴私有雲及公共雲來提升效率。Deep Security 保護實體、虛擬與雲端伺服器免受惡意攻擊，防護機密資料與重要應用程式，協助預防資料竄改，並且讓企業遵循重要的標準與法規，例如：PCI、FISMA 與 HIPAA。此外協助企業發掘可疑的活動和行為，主動採取預防措施來確保資料中心安全。

查詢更多關於趨勢科技Deep Security平台的資訊，請瀏覽

https://www.trendmicro.tw/tw/enterprise/cloud-solutions/deep-security/index.html