資安名詞/什麼是?/ 何謂? - 資安趨勢部落格

南韓渡輪沉沒事件,遭殭屍網路利用,會讓你的電腦進入休眠狀態

2014 年 04 月 28 日2014 年 04 月 28 日趨勢科技 TrendMicro

一艘名為「歲月號」(Sewol) 的渡輪在南韓南方海域翻覆。儘管全球都還在關注此次悲劇的最新發展，網路犯罪者卻早已開始蠢動。

就在事件傳遍全球的數小時後，我們已見到多個利用這項新聞的垃圾郵件。在趨勢科技所蒐集到的樣本中，歹徒並未使用這次的新聞為誘餌，而是將新聞附在訊息當中。

圖 1：垃圾郵件訊息

注意，垃圾郵件的主要部分並未提到任何有關船難事件的支字片語。反而是將船難事件的消息附在郵件內容的下方。這種在郵件當中隨機夾帶當下熱門事件或新聞快報的作法，是垃圾郵件散發者躲避垃圾郵件過濾的一種手法。

郵件一旦躲過垃圾郵件過濾，您就只剩垃圾郵件防護軟體與您自身的判斷來保護您。請注意，上圖當中的垃圾郵件附了一個法院出庭通知的附件檔案。一旦您不小心開啟了這個附件，您的電腦就會感染後門程式。因為我們在進一步分析這個樣本之後發現其附件檔案是一個後門程式，也就是趨勢科技偵測到的 BKDR_KULUOZ.SMAL。此後門程式可讓歹徒從遠端下達一些指令，例如更新惡意程式版本、下載並執行檔案、讓電腦進入閒置或睡眠。

KULUOZ 目前已知是經由 Asprox 殭屍網路散布。KULUOZ 會下載其他的惡意程式，如假防毒軟體 FAKEAV 與 ZACCESS，也會在您的電腦上安裝 Asprox「Botnet傀儡殭屍網路」的元件，將您的電腦變成垃圾郵件散播來源。經過深入的分析顯示，這個 KULUOZ 變種是 Asprox 殭屍網路的一環。

諸如此類的事件，儘管不幸，卻是讓垃圾郵件散發者與網路犯罪者更加茁壯的養分。網路犯罪者經常利用剛發生即時事件，因為他們知道民眾有知的需求。在這樣的情況下，人們更容易急著開啟電子郵件或點選任意連結。

儘管趨勢科技的產品隨時都會攔截這類電子郵件，並且防止惡意附件檔案執行，但最安全的防護還是您自己的判斷力。您可以仔細觀察郵件的寄件人、標題和訊息內容來判斷是否為垃圾郵件。絕大部分的垃圾郵件都會使用假的電子郵件地址，並運用一些誘人的標題和/或內容。仔細分辨垃圾郵件能為您省下許多時間和煩惱，同時也維護電腦和資料的安全。

@原文來源:南韓渡輪沉沒事件變成垃圾郵件的利用工具 (News of South Korea Ferry Used for Spam Evasion) | 作者：Maria Manly (垃圾郵件防護研究工程師)

趨勢科技PC-cillin 2014雲端版獨家【Facebook隱私權監測】,手機‬、平板、電腦全方衛！即刻免費下載

◎ 歡迎加入趨勢科技社群網站

愈來愈多惡意軟體嵌入RTF檔案,會竊取帳密

2014 年 02 月 25 日2014 年 02 月 24 日趨勢科技 TrendMicro

網路犯罪份子之前就利用過RTF（Rich Text Format）檔案，不過看來最近他們又更有創意的去利用這個格式。

趨勢科技之前談論過CPL檔案如何被嵌入到RTF文件，並且以附件檔的方式傳送給目標受害者。這些CPL檔案接著會下載惡意檔案並執行在受影響的系統上。

早期樣本裡的指示使用的是葡萄牙文，不過現在較新的樣本則是使用德文：

圖一、德文的RTF文件

總的來說，所用的手法還是一樣 – RTF檔案內含一個嵌入的「收據」，並指示使用者去打開這份收據。打開該檔案會執行CPL惡意軟體，它會接著下載其他的惡意檔案。

圖二、RTF文件碼

在此案例裡，該網址已經無法存取，所以我們無法百分百地肯定接著會下載的是什麼。不過之前的案例使用過資料竊取程式，所以這次很有可能也是一樣。我們將這CPL惡意軟體變種偵測為TROJ_CHEPRTF.SM2 木馬病毒。

另一起案例也將惡意軟體嵌入RTF檔案，但這次的嵌入惡意軟體屬於ZBOT惡意軟體家族。這個ZBOT變種被偵測為TSPY_ZBOT.KVV 木馬病毒，它會竊取使用者名稱和密碼，像是電子郵件、FTP和網路銀行。

這些事件強調了網路犯罪技術一直在提升。RTF文件可能已經被用在許多案例之中，只是使用者並不知道RTF檔案可以被用來散播惡意軟體。即使他們知道，他們也未必能夠很容易地確認哪些檔案是惡意的，而哪些不是。

此外，使用RTF檔案來散播ZBOT並不尋常，因為它通常是透過其他的方式（如下載程式、惡意網站或垃圾郵件）散播。這顯示出網路犯罪份子是如何地願意接受新方法來達到自己的目的。

趨勢科技強烈建議使用者在打開電子郵件和附件檔時要小心謹慎。在可以確認之前，絕對不要下載並打開附件檔。企業應該在網路上部署郵件掃描解決方案，並啟動對電子郵件的掃描。

趨勢科技主動式雲端截毒服務 Smart Protection Network可以透過封鎖所有相關惡意網址並防止惡意檔案被下載或執行來保護使用者。

＠原文出處：More Malware Embedded in RTFs作者：Jeffrey Bernardino（威脅研究員）

洗錢者的願望清單

2013 年 12 月 27 日2013 年 12 月 27 日趨勢科技 TrendMicro

一台有視網膜螢幕的iPad，一支藍色的iPhone和一副Beats by Dr. Dre耳機，拜託。

這聽起來可能像是個受寵小孩的聖誕願望清單，但還不只如此：一把配備內紅點瞄準器的來福槍，六顆英特爾的高階硬碟，一台水手用的GPS救援裝置。這些都不是聖誕老人通常會收到的要求，即便是來自大人的許願。但這份清單是真的，而且只是洗錢者要錢騾寄送到俄羅斯的昂貴商品列表的一部份。
趨勢科技一直在追查一群網路犯罪份子，他們會透過好幾種方式來將偷來的錢洗乾淨。通常，錢騾 (money mules)會收到來自被入侵帳號的匯款。然後被指示將錢送向海外，像是使用西聯匯款這樣的合法轉帳系統。而另一種方式是誘騙網路使用者相信自己是在為正當公司工作，將昂貴商品（像是iPhone）寄出美國。但實際上，這些使用者是在為網路犯罪份子工作。

圖一、典型的代寄詐騙網站

他們被要求使用自己的美國家裡地址來接收昂貴商品，然後將這些貨物寄到第二個地址，也是在美國。在那裡，第二個錢騾 (money mules)會將商品重新包裝，寄送到俄羅斯去。一開始，錢騾會被要求自己支付運送成本。等到完成十次成功運送後，他們理應可以報銷開支，並且取得基本薪水以外的額外獎金。但我們認為，這些報銷和薪水永遠不會成真。

根據洗錢者的內部文件顯示，他們對待員工的確不大好。首先，他們被稱為「Drop」，第二，他們不被期望可以工作超過20天。內部備忘指出：「和Drop工作的最佳時間是20天。接近或超過20天的指令不大可能成功」。經過20天後，這些Drop就會drop（退出、移除）掉自己。

這樣輕率地把工作者扔掉的方式延伸到俄羅斯。所有在西方處理Drop的步驟都清楚地寫在我們所拿到的俄羅斯文件裡。這份文件可能是為了某個記憶力不好的網路犯罪份子而寫，但我們認為這應該是對於臨時俄語人員的指引，他們會不斷的被更換，就如同他們不幸的美國同事。此外，總是得有人在俄羅斯和烏克蘭接收包裹。這些人很可能也都是臨時工，會在洗錢者覺得會對自身造成風險時加以替換。

這內部的洗錢文件清楚地說明了如何從俄羅斯指導在西方的Drop。一個新Drop需要先完成一個測試程序。如果沒有在5天內完成，這Drop會被認定為「掛點」。所有被指定商品的價值都超過300美元。知道自己是為了非法目的而被雇用為Drop的網路使用者都被清楚地標明為「不值得信賴」或「不願意工作」：包裹不應該發送給他們。

在表一，我們總結了幾百個錢騾 (money mules)所出貨的項目。總的來說，運送貨物的總值約為50萬美元，而且根據我們所知，這些包裹都被送往莫斯科郊區，或是基輔和烏克蘭。

表一、受洗錢者歡迎的商品清單繼續閱讀

什麼是“ 錢騾 money mules ”？

2013 年 12 月 26 日2013 年 12 月 24 日趨勢科技 TrendMicro

隨著個人電腦安全防護的改進，網路犯罪份子正尋求其它迂迴方式接觸帳戶。一款詐騙手法牽涉了“錢騾（money mules）”這個名詞是用來形容在自願或非自願被召募的狀況下，協助網路詐騙者從企業處偷盜金錢。

案例之一是一名年輕女性被一家宣稱是設立在紐約的投資公司所召募。這家公司透過電子郵件接觸這名女性，聲稱是從熱門的人力網站找到她的履歷，並提供她一份在家工作的“金融經理”職位。這位女性基於自己上一份職位是薪資經理而因此認為此工作是量身定做。

在回覆了召募電子郵件後，她被要求提供大量的個人與金融資料，包括駕駛執照和銀行帳戶的掃瞄影本。

投資公司通知這名女性在她的銀行帳戶會收到高達1萬元（美金）的金額，要她提領後留下8%的佣金，再將餘額經由西聯匯款（West Union）匯到投資公司戶頭。在存入第一筆轉帳後，女性使用的銀行發現詐騙手法並立即關閉她的帳戶。經過數日的審核後，銀行認定該名女性為空頭投資公司錢騾詐騙手法的受害者之一。繼續閱讀

非洲領導人去世前後,垃圾郵件以曼德拉基金會之名,進行詐財

2013 年 12 月 12 日2014 年 09 月 02 日趨勢科技 TrendMicro

納爾遜・曼德拉，是非洲最著名的人物之一，在今年的12月6日去世。這樣不幸的消息也不能阻止網路犯罪份子利用它來進行一貫的垃圾郵件活動，這次想要利用的是非洲領導人的噩耗。

讓人感興趣的是，即使在曼德拉過世之前，垃圾郵件發送者就開始利用他的名字來吸引注意力。通常網路騙子會在有新聞價值的事件發生後開始這類攻擊活動，但在曼德拉過世之前，我們就已經看到一起攻擊活動。我們在11月發現了這個特殊的樣本：

圖一、曼德拉過世前所發現的垃圾郵件樣本

這封郵件聲稱來自「曼德拉基金會」。在郵件裡面，收件者被告知自己是一項超大現金獎的（超過550萬美元）的贏家之一。為了拿到這筆獎金，使用者必須提供自己的全名、地址和其他個人識別資料（PII），並將其送到一個特定的電子郵件地址。而在曼德拉過世後，我們發現另一波垃圾郵件活動，基本上就是複製前一波的垃圾郵件，只是經過小小的修改。

圖二、非洲領導人過世宣布後所發現的垃圾郵件樣本

提供這些資料會對使用者造成危險，垃圾郵件發送者可以將其用在他們其他更邪惡的計畫裡。這些垃圾郵件也讓人想起經典的奈及利亞419騙局（Nigerian 419 Scam），一個眾所周知，提供使用者從匯款中獲利的機會，好來騙取他們的銀行資料。這種騙局還會採取其他不同的形式，包括假冒倫敦奧運和世界杯足球賽的行銷活動。雖然過時，這種騙局仍然在威脅情勢裡佔有一席之地。就在最近，我們也發現好幾個ICE IX伺服器加入散佈奈及利亞詐騙的活動。

一起有效的垃圾郵件活動不僅僅是靠所使用的漏洞攻擊碼或惡意元件的複雜社交工程陷阱( Social Engineering)誘餌的吸引力往往決定了使用者會不會在不知不覺下落入陷阱。這通常取決於攻擊活動是否能找到使用者最脆弱的地方，像是利用他們的情緒或好奇心。

曼德拉的人氣，他去世的消息，加上現金的獎勵，大概就有足夠的說服力來影響一些使用者做出錯誤的判斷，像是將資料洩漏給未經確認的對象。同樣的事情也發生最近在Facebook和垃圾郵件活動中所看到的海燕颱風詐騙活動。繼續閱讀