機器學習 machine-learning - 資安趨勢部落格

新型 BEC 變臉詐騙手法，竄改薪資自動轉帳路徑

2019 年 04 月 26 日2019 年 04 月 25 日趨勢科技 TrendMicro

最近出現一種新的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email CompromiseHYPERLINK BEC)手法，攻擊者會誘騙收件人變更薪資自動轉帳的路徑。根據 CNBC 的報告，這類 BEC 詐騙的數量越來越多；例如位於堪薩斯市的非營利兒福機構「KVC 健康醫療系統」每個月平均會收到二到三次這類郵件。

攻擊者冒充執行長、財務長或薪資主管，將詐騙郵件寄給人資部門人員，要求該職員變更員工的銀行帳戶和轉帳資訊，使該員工的薪資直接存入偽裝帳戶。

[請參閱：不只是企業高層主管，變臉詐騙也將開始鎖定一般員工]

詭計多端的社交工程不斷上演

這種新的 BEC 手法和類似的詐騙都不需要複雜的技術手段，主要是仰賴社交工程攻擊而得逞。歹徒不必使用鍵盤側錄或遠端存取工具來入侵合法的電子郵件帳戶。

在這種新的 BEC 手法中，攻擊者會使用 Gmail 這類免費服務產生社交工程電子郵件，並且在精心製作之下，使偽裝的郵件看似一切合法正當。如同其他類似手法，BEC 攻擊者可能會利用員工博取公司高層青睞的心理，誘使收件人積極回應。

在這種攻擊中，受害者會收到精心編撰的電子郵件；通常行文簡潔有禮，但顯得有些急迫。在報告引用的一封電子郵件範例中，詐騙者要求收件人在下一次發薪之前變更入帳資訊。攻擊者也可能矇騙收件人，防止他們打電話給主管確認，例如在一封電子郵件中，攻擊者寫道「我現在要去開會」，避免收件人立即聯繫對方。

[請參閱：隨著網路安全工具持續發展，會出現更智慧的網路釣魚技術]

電子郵件詐騙影響公司營運和員工士氣

BEC 這類電子郵件詐騙一旦得逞，會給公司和員工帶來沉重負擔。

繼續閱讀

利用機器學習(Machine learning)透過有限樣本偵測病毒爆發

2019 年 04 月 22 日2019 年 04 月 24 日趨勢科技 TrendMicro

能夠在惡意軟體一出現時就能夠捉到對保護使用者、社群、企業和政府來說是相當重要的。隨著機器學習(Machine learning,ML)技術被運用在網路安全上，偵測惡意軟體爆發的效率變得更高。

機器學習有助於分析大量資料，找出惡意軟體樣本的模式和關聯性，幫助訓練系統來偵測未來的相似變種。但如果只有少量的資料集，機器學習是否能夠用來分析惡意軟體爆發？我們與澳大利亞聯邦大學的研究人員合作進行一項名為「生成惡意軟體爆發偵測（Generative Malware Outbreak Detection）」的研究，該研究顯示出利用對抗自編碼器（AAE）取得可能表徵能夠有效處理這種情況。這被用來偵測惡意軟體爆發的機器學習（ML）模型使用生成對抗網路（GAN）來透過少量的OS X訓練樣本取得相似的樣本。

大規模的惡意軟體爆發

在今日的威脅環境中，惡意軟體爆發已經成為公開的事件，對全球使用者和企業帶來負面的影響，造成了數十億美元的損失。根據美國政府的說法，2017年的NotPetya勒索病毒成為「史上最具破壞性和代價最高的網路攻擊」。它對政府及企業都造成了嚴重破壞，丹麥航運巨頭Maersk是最知名的的受害者之一。

與此同時，2018年的VPNFilter病毒爆發感染了家庭及小型企業所使用的50萬台路由器，多數受害者位於烏克蘭。這隻多階段的惡意軟體散播到了54個國家/地區，並且跟BlackEnergy間諜軟體有著重疊的程式碼。

繼續閱讀

一種專門偵測惡意程式變種的機器學習模型

2019 年 04 月 15 日2019 年 03 月 28 日趨勢科技 TrendMicro

惡意程式要能發揮作用，首先要能躲過資安防禦的偵測成功滲透到系統內部。它要能包裝並偽裝自己，讓自己看起來像一般正常的程式，等到通過資安關卡之後，再顯現出本性。針對不易偵測的惡意程式，或是樣本不足，無法提供有效分析的惡意程式，我們提出了一種採用對抗自動編碼器 (adversarial autoencoder) 並搭配語意雜湊碼 (semantic hashing) 的機器學習(Machine learning,ML)模型來加以偵測。趨勢科技與澳洲聯邦大學 (Federation University Australia) 研究人員共同發表過一篇名為「生成式惡意程式擴散偵測」(Generative Malware Outbreak Detection) 的研究論文。

透視加密編碼的惡意程式

惡意程式作者知道，惡意程式必須不被發現才有機會入侵裝置或網路。所以，他們會運用各種不同工具和技巧來躲避偵測，此外，更會用盡方法來提高惡意程式的偵測難度，包括躲避沙盒模擬分析、反解譯、反除錯、躲避防毒軟體以及變形或多形等技巧。例如先前曾出現在針對性攻擊與網路間諜行動當中的 RETADUP 蠕蟲，後來也演化出變形能力。其新的變種是以 AutoHotKey 程式碼來撰寫，且與其先前的 AutoIt 變種一樣，都是用來發動虛擬加密貨幣挖礦攻擊。

惡意程式一旦經過加密編碼，一般傳統的防毒系統就很難加以偵測。我們曾在一篇文章當中指出，加密編碼的問題可藉由發掘同一惡意程式家族當中不論任何變種都大致維持一致的特徵來加以偵測，例如程式指令序列。本文將延續先前那篇文章，更進一步深入探討對抗自動編碼器如何處理程式指令序列，以及語意雜湊碼在我們提出的模型當中有何用途。

繼續閱讀

利用機器學習來對 Gh0st RAT 變種的惡意網路流量分群 (Clustering)

2018 年 11 月 26 日2018 年 11 月 20 日趨勢科技 TrendMicro

網路犯罪集團躲避網路防護產品的能力和效率都越來越高。每一天，我們都會看到一些有關企業網路遭駭客入侵、資料遭到竊取、令專家傷透腦筋的報導。因此，如果沒有一套更有效率的偵測系統或方法，這樣的情況還會繼續下去。今日的駭客經常使用變形、加密、編碼以及其他技巧來自動製造大量變種，試圖躲避像規則式偵測技巧這類傳統入侵偵測方法。

為了解決日益成長的網路威脅，以及因應日益複雜的網路入侵技巧，趨勢科技特別鑽研了網路流量分群 (network flow clustering) 技巧，這是一種運用機器學習(Machine learning,ML)來提升現有入侵偵測技巧的方法。