趨勢科技最近發現一個新的銀行木馬針對了數家韓國銀行。這並非首例：在2013年六月，我們就看到數個網路銀行威脅擴大其活動範圍，並且利用各種技術鎖定韓國銀行。
在監控類似威脅的過程中，我們注意到一波針對韓國銀行的新銀行木馬攻擊，包括會利用Pinterest作為指揮與控制（C＆C）頻道。
透過惡意iframe注入來加以感染
此威脅目前的影響範圍是韓國使用者，會利用淪陷網站來導致漏洞攻擊包。在11月中，我們發現一次感染的感染鏈會牽涉到多個惡意網站。
為了將攻擊到使用者，惡意份子首先會淪陷正常網站並注入iframe。它會將使用者導到放置漏洞攻擊包的第二個淪陷網站，其會植入銀行木馬到使用者系統內。趨勢科技將其偵測為TSPY_BANKER.YYSI。
一旦這惡意軟體出現在受影響系統上，使用IE瀏覽器連上特定銀行網站的使用者會被自動導到惡意網站。該網站包含了要求使用者輸入銀行認證資訊的網路釣魚（Phishing）網頁。使用其他瀏覽器連到網站的使用者則不受影響。（因為韓國法規要求，韓國使用者一般都會用IE瀏覽器來訪問本地銀行網站。）
圖一、比較真正的銀行網站與假冒的銀行網站 繼續閱讀
Blackhole 漏洞攻擊套件垃圾郵件侵襲 Pinterest
社交網站一向是網路犯罪者各種不同惡意活動經常使用的媒介，其手法大多利用網路釣魚（Phishing）和垃圾郵件(SPAM)。而 Blackhole 漏洞攻擊套件 (簡稱 BHEK) 垃圾郵件正是讓網際網路使用者困擾已久的此類攻擊之一 。BHEK 垃圾郵件行動專門利用知名品牌與網站來誘騙使用者。
正因如此，最近看到 BHEK 垃圾郵件開始侵襲 Pinterest 網站與該網站的使用者，其實一點也不令人意外。該網站在遭遇這波攻垃圾郵件攻擊行動之前，就曾經遭受過其他威脅，例如問卷調查詐騙與專門將使用者導向惡意網站的垃圾郵件。
目前趨勢科技已採集到這波垃圾郵件的樣本，並且分析其感染過程，以下是整個感染過程的詳細步驟：
Pinterest網站日益爬升的訪客量也是它變成網路犯罪份子覬覦目標的原因。三月時，趨勢科技發現網路詐騙會利用知名網站假貼文來誘騙使用者連到問卷調查詐騙網站(星巴克、奢華名牌COACH免費送!新社群網站Pinterest真慷慨? )。而最近發現的問卷調查詐騙則是利用了「pinterest」。
曾經轉釘過上面這些相片的使用者，很可能也在無意間幫助散播了這貼文。
另外，趨勢科技還發現貼文利用像是bit.ly和goo.gl.的縮網址服務。一旦點擊了這些短網址，就會被導到下列網址：
一旦點選了連結，使用者會被導到一個偽Pinterest網頁，上面號稱提供獎品、優惠券、禮品卡和其他好處：
這假網頁作的就像是真的Pinterest網頁一樣，假網站上有搜尋欄位、Add+和About，不過還有些是純粹的圖檔，並無法點選。可供點選的連結會導向問卷調查詐騙網頁，像是身體年齡測驗。
趨勢科技看到了許多電子郵件偽裝成來自知名網站的通知信，除了答應她的臉書Facebook 交友邀請,個資被看光這個案例外,像是LinkedIn、foursquare、Myspace和Pinterest 也紛紛出現網路釣魚（Phishing）信件。這些垃圾郵件(SPAM)包含了將使用者導向偽線上藥局或是詐騙網站的連結。他們還利用看起來正常的電子郵件地址來取信於收件者。利用類似這些網站的名氣可以有效地吸引使用者入局，不然就變成明顯的騙局了。
偽foursquare郵件通知
趨勢科技發現有垃圾郵件(SPAM)偽裝成foursquare的通知信，這是一個受歡迎的用戶定位社群網站。我們發現的第一個樣本偽裝成通知信，內容是有人留下訊息給收件者。第二個樣本是用朋友確認通知當幌子。
這兩封信都是用noreply@foursquare.com當做「寄件者」，也用了看起來正常的MessageID。就跟之前利用熱門社群網站的垃圾郵件一樣，攻擊者在這也是使用經過偽裝的惡意網址。如果用戶點擊這些連結，會導到包含另外一個連結的空網頁，最後導到賣壯陽藥的網站。
偽LinkedIn、Myspace郵件導到「維基藥店」
趨勢科技還發現有自稱來自LinkedIn和MySpace的郵件樣本。LinkedIn是一個為專業人士設立的網站，而MySpace是個流行音樂網站。
兩個樣本都偽裝成來自這些網站的確認郵件。郵件裡包含了本該將使用者送去正常網站的連結。
就跟偽foursquare電子郵件一樣，這些郵件都使用看來合法的地址，像是emailconfirm@linkedin.com和noreply@message.myspace.com。收件者都會被郵件內容要求去點所提供的連結以確認他們的電子郵件地址（偽LinkedIn郵件），或取消帳號（偽Myspace郵件）。
經過進一步的分析後，趨勢科技已經確認寄件者資訊是偽造的。我們也沒找到任何相關細節可以證明這些電子郵件的確是來自LinkedIn和Myspace。這些郵件也都使用隱形連結會重新導向到假網站「維基藥房」。
”]
詐騙郵件利用Pinterest騙人去詐騙網站
越來越受歡迎的Pinterest也吸引了網路犯罪分子的注意。趨勢科技之前看過一個騙局利用這個照片分享網站。這一次，我們發現偽Pinterest郵件通知包含一個連結，聲稱提供關於減肥的網路文章。當使用者點下這個連結，結果卻導向之前用來做詐騙活動的網站。
Pinterest是最近掀起一陣風潮的新社群媒體，如果你還沒有聽過或是嘗試過它,簡單的說，Pinterest是一個讓你可以上傳和釘（Pin）圖片到你自己的線上相片簿的社群網路服務。這就像是圖片板的Twitter，可以讓你的照片以時間軸的方式呈現給所有人。
你可以轉釘你在Pinterest上發現的圖片，或是利用瀏覽器附加元件的擴充功能來轉釘任何在網路上看到的圖片。如果你喜歡其他使用者的圖片，或是他們喜歡你的，那你可以關注（Follow）他們或是被關注。你還可以對這些圖片發表評論，所以也可以跟別人一起討論。
來看看Fearless的Pinterest網頁：https://pinterest.com/fearlessweb
我必須承認我真的很喜歡Pinterest的概念。在過去幾個禮拜裡，我已經釘了好幾個我所喜歡的圖片，像是音樂、電影和好笑的方面。Pinterest就是這麼好玩，我喜歡在這所看到的新圖片。每次上Pinterest網站就好像是在看本新相簿一樣。
但從另一方面來說，Pinterest所帶來的這一切就像他們所說的一樣，會將一切都公開出來。如果你沒有小心的使用這服務，你可能會真的犧牲掉自己的隱私，還會損害到你的名譽。
小心你所釘的東西
簡單的說，Pinterest目前沒有提供隱私設定，就跟Twitter一樣，你所釘的每件事情都可以讓所有人看到，不只是你的關注者。在上面並沒有像Facebook或Google+一樣可以用來限制誰可以看你釘的東西或是評論。而且就跟Twitter一樣，一旦你的圖片或是評論放上網路，就沒有辦法收回了。