加密貨幣/虛擬貨幣/數位貨幣 - 資安趨勢部落格

新挖礦攻擊利用 EternalBlue(永恆之藍) 漏洞攻擊技巧,入侵伺服器

2018 年 03 月 19 日2018 年 03 月 19 日趨勢科技 TrendMicro

資安研究人員 Nadav Avital 發現了一個由他命名為「RedisWannaMine」的加密虛擬貨幣挖礦行動，利用知名的 EternalBlue(永恆之藍)漏洞攻擊技巧入侵資料庫和應用程式伺服器。

RedWannaMine 會經由 CVE-2017-9805 這個可讓駭客從遠端執行程式碼的 Apache Struts 漏洞。Apache Struts 是一個用來開發 Java 網站應用程式的開放原始碼應用程式架構，根據研究，全球 Fortune 100 (《財星》百大) 企業當中至少有 65% 都採用這套架構。RedisWannaMine利用此漏洞從遠端執行指令列 (shell) 命令，將加密虛擬貨幣挖礦惡意程式下載至伺服器上。

[資安基礎觀念：加密虛擬貨幣挖礦惡意程式的負面影響]

此外，在追查這項攻擊行動的過程當中，研究人員還發現一個指令列腳本 (shell script)，該腳本用來：

下載加密虛擬貨幣挖礦惡意程式。
利用 Linux 上的 crontab 工作排程器來讓自己在系統上不斷執行。
在感染的系統上建立一個新的 Secure Shell (SSH) 金鑰以便從遠端連線。

繼續閱讀

山寨 Binance CEO 慷慨贈幣Twitter 推文,駭客1天獲利820 萬台幣! 兩招預防社群網站虛擬貨幣詐騙

2018 年 03 月 09 日2018 年 03 月 20 日趨勢科技 TrendMicro

淘金熱好夯,偷用電腦挖礦花招也愈來愈多,連社交網站也遭挖礦詐騙者覬覦,該怎麼做? 3月7號晚上，一件駭客透過盜用帳密所引發的異常交易量，觸發了虛擬貨幣交易所 Binance 的內部警報系統。Binance CEO 在 Twitter 帳號發表的官方聲明，動作快的駭客，就在幾個小時內創建了仿冒Binance CEO 的假帳號，並用假帳號回覆真正 CEO 的推文，表示將送出 5000 個以太幣 ETH做為 Binance客戶的免費補償，光3月8日當天，就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客，這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780)，駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣)，相當驚人的詐騙獲利。

作者: Ieta Chi 紀孟宏 (趨勢科技首席資安顧問)

2018年3月7號晚上，一件駭客透過盜用帳密所引發的異常交易量，觸發了虛擬貨幣交易所 Binance 的內部警報系統。根據 Binance的報告，駭客在今年2月份就己經使用網路釣魚(Phishing) 的手法取得一批用戶登入交易所的帳號密碼，在釣魚成功後，駭客並不急於獲利，而是耐心的等到 3 月7號這天，開始大量賣出用戶帳戶裡的虛擬貨幣，並轉至駭客帳號。在事件發生幾個小時候，Binance CEO (CZ, Changpeng Zhao) 隨即在自己的 Twitter 帳號發表對此事件的官方聲明 (圖中藍框)，並安撫交易所的客戶。

不過動作快的駭客，就在幾個小時內創建了仿冒Binance CEO 的假帳號(圖中紅框)，並用假帳號回覆真正 CEO 的推文，表示將送出5000 個以太幣 ETH做為 Binance客戶的免費補償，只要用戶傳送0.3-5 ETH到指定Address，就可以立即收到 Binance 所回贈的 3-50 個ETH。為了以假亂真取信於人，駭客還建立了許多假 twitter 帳號，回覆推文說在極短的時間內就收到CEO 的慷慨贈幣，感謝推文一個接著一個，看到這些推文很難不讓人信以為真。

為了刺激人們想要獲得免費贈幣的慾望，駭客還設計了一個動態網站，顯示逐漸減少的贈幣數量，用來告訴你動作再不快一點，5000個免費 ETH 就快送完了。利用害怕搶不到所導致的思考不週來進行詐騙，也是詐騙的常見手法。

在短短一天內(3月8日)，就有超過七百個tweet回覆Binance CEO 最早的官方推文，只不過90% 的回覆推文都駭客假造的，絕大多數是由一連串假帳號所發出成功收到數個到數十個免費 ETH 的感謝推文（畫面內的用戶及推文全部都是駭客假造的）。

甚至還利用假帳號，秀出戶頭畫面，證明自己收到 99 個贈幣。

受影響程度

在3月8日的 twitter 推文中，假造的 Binance CEO 帳號總共貼出了四個不同的以太幣轉帳 Address：

1) 0x1e3c07ce10973fcaebc81468af1d3f390d2a4c71
2) 0xa8b3c9c2a45d68eb435b5f3ef6712fa50cdbd996
3) 0x75b9ca8e82cf03bc8d793a44f2e928f266cadca5
4) 0xd0206f494e1834a0ad76b202bebfc916317884cb

虛擬貨幣的特性就是所有的交易都會記錄在區塊鏈 (Blockchain) 上，所以透過以太幣的區塊鏈查詢網頁 (如: https://etherscan.io/) 就可以查詢有多少人轉帳到上述駭客所提供的錢包地址(下圖紅框)。先以查詢第一個錢包 address「0x1e3c07ce10973fcaebc81468af1d3f390d2a4c71」為例，綠色 IN 代表的是那個錢包把錢轉到駭客錢包以及金額，橘色 OUT 代表的是有多少錢從駭客錢包被轉到哪裡去。從這裡我們也可以看出，駭客把錢轉出 (OUT) 時，刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框)，提高未來把錢追回來難度。

駭客把錢轉出 (OUT) 時，刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框)，提高未來把錢追回來難度

照這個方法就可以把 4個駭客錢包的所有IN/OUT交易記錄從區塊鏈上調出來，統計了一下光3月8日當天，就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客，這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780)，駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣)，相當驚人的詐騙獲利。

如何預防社群網路上的虛擬貨幣詐騙?

除了記住天下沒有不勞而獲這個致理名言以外，如何判斷 Twitter 帳號真假也很重要。一個通過Twitter 實名制認證的帳號 (下圖/上)，在帳號旁邊會出現一個藍色圓圈打勾的圖案，反之，駭客建立的假帳號(下圖/下)幾乎不可能接受實名制認證，也就不會有前面說的認證圖案 (駭客也知道所以放了一個藍色心型圖案魚目混珠)，有能力辨認詐騙帳號才免於上當。

詐騙說穿了就是一種社交工程攻擊，從事件最開始 Binance 交易所用戶的帳密被盜，到 Twitter 上駭客所發的贈幣假消息，都是透過社交工程手法引誘用戶受騙上當。提高企業員工及個人對於社交工程攻擊的資安意識，才能真正降低受到網路詐騙的風險。趨勢科技提供免費的社交工程演練服務 Phish Insight，歡迎立刻試用

《延伸閱讀》

< 虛擬貨幣攻擊 > 偽裝獵人頭公司的釣魚郵件,鎖定銀行高階主管

“你的字型需要更新” “關閉網頁後,竟還繼續挖礦?” 這些騙術讓你的電腦做牛做馬幫他人賺外快 !

趨勢科技 PC-cillin 2018 防毒軟體雲端版好強大！跟偷挖礦、勒索病毒說掰掰

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板，跨平台防護３到位

2017年勒索病毒損失金額成長4倍達50億美元;去年 10 月挖礦程式突破10萬關卡

2018 年 03 月 08 日2018 年 03 月 08 日趨勢科技 TrendMicro

趨勢科技2017年度資安總評報告 以獲利為主的駭客攻擊稱王

籲防範新型態網路犯罪留意歐盟通用資料保護法（GDPR）詐騙

【2018年3月8日台北訊】全球網路資安解決方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）今天發表2017年資安總評報告「2017 年資安總評：弔詭的網路威脅」，指出2017年勒索病毒、加密虛擬貨幣挖礦程式，以及變臉詐騙（BEC）數量持續攀升，成為網路犯罪集團的主要攻擊手法。其中勒索病毒造成全球企業損失金額較2016年狂增4倍達50 億美元，而台灣受勒索病毒的攻擊全球排名更上升兩名，在2017年遭攻擊千萬次以上^[1]。此外，全球變臉詐騙（BEC）損失也較2016年累積金額多出23億美元，顯見網路犯罪集團已不斷精進其針對性攻擊手法，創造更高獲利。趨勢科技警告這股趨勢將延續至2018年，且伴隨歐盟新的資料保護法即將在5月上路，需要遵守這項法規的企業恐將成為不法人士進行數位詐騙的目標。

報告顯示加密虛擬貨幣挖礦惡意程式數量在2017年10月已突破10萬關卡。同時 IoT 裝置被利用來進行加密虛擬貨幣挖礦活動即達4,560萬次以上 — 報告顯示加密虛擬貨幣挖礦惡意程式數量在2017年10月已突破10萬關卡。被利用來進行加密虛擬貨幣挖礦活動即達4,560萬次以上同時 IoT 裝置被利用來進行加密虛擬貨幣挖礦活動即達4,560萬次以上

趨勢科技在先前的2018年資安預測即指出，網路犯罪集團已開始逐漸拋棄使用漏洞攻擊套件亂槍打鳥的手法，轉而採用更有策略的針對性攻擊來提升投資報酬率。此份最新報告也再次提醒，駭客很可能開始鎖定一些需要遵守最新歐盟通用資料保護法（GDPR）的企業，先根據網路公開資訊計算出目標企業在發生資料外洩時可能面對的最高罰鍰，再入侵該企業並要求一筆低於該罰鍰的贖金，迫使目標企業只能乖乖付錢。

對此，趨勢科技全球威脅通訊總監Jon Clay表示：「2017年資安總評報告所揭露的威脅情勢就如同過去一樣詭譎多變，網路犯罪集團不斷開發提高其獲利的方法，不論是財物、資料或商譽，歹徒總是策略性地鎖定企業最有價值的資產發動攻擊。面對多樣化的威脅，企業需要一套跨世代的解決方案加上最新防禦技巧，才能協助企業有效降低風險。」繼續閱讀

“你的字型需要更新” “關閉網頁後,竟還繼續挖礦?” 這些騙術讓你的電腦做牛做馬幫他人賺外快 !

2018 年 03 月 02 日2018 年 03 月 15 日趨勢科技 TrendMicro

瀏覽網頁時，電腦變得卡卡的, CPU 使用率突然飆高?當心是挖礦程式正利用你的電腦資源挖礦!全球每天新增 300個挖礦網站，挖礦綁架無所不在,繼星巴克之後,連 Youtube 也遭殃。若您覺得電腦 CPU飆高或者發燙跑很慢,出現疑似被植入挖礦程式的跡象,您可以怎麼做? 新型的挖礦程式關閉瀏覽器後也會繼續挖礦,該怎麼辦?先來看看最近的幾則電腦被偷偷用來挖礦案例:

案例一:星巴克 Wi-Fi 遭加料,顧客手機筆電竟成挖礦機

案例二:Youtube 看影片電腦變好慢?原來是駭客正在挖礦賺外快!

案例三:惡意廣告暗藏採礦程式,一點就中! 重導向購物網站,用戶渾然不知

案例四:無法正確顯示字型? 中毒了? 假微軟技術支援網頁真挖礦!

案例一:星巴克 Wi-Fi 遭加料,顧客手機筆電竟成挖礦機

去年底跨國連鎖咖啡店星巴克(Starbucks)證實他們位於阿根廷布宜諾斯艾利斯店內的顧客會在不知情下被利用來進行數位貨幣挖礦。看起來似因為這些店家的無線網路被修改過，透過店內的 Wi-Fi 無線網路載入網頁會嵌入CoinHive挖礦程式。因為這樣，連上無線網路的使用者設備會在不知情被利用來挖掘 Monero數位貨幣。

挖礦腳本也會被嵌入在使用者可能會停留大量時間的地方，比方說長影片,趨勢科技發現串流媒體的使用者也成為目標。相關報導:挖礦劫持（Cryptojacking）幫星巴克加料,顧客上網筆電竟成挖礦機

案例二:Youtube 看影片電腦變好慢?原來是駭客正在挖礦賺外快!

有用戶反應在看 Youtube 的時候，電腦效能變差,原因是 Youtube 上的廣告被發現內含挖礦惡意程式 Coinhive ,也就是說,當你在看 Youtube 影片的同時，你的電腦或手機也默默的成為了不法駭客的「礦工」，幫他挖礦賺外快!… 《看完整報導》

案例三:惡意廣告暗藏採礦程式,一點就中! 重導向購物網站,用戶渾然不知

宣稱是第一個可以使用手機開採的數位加密貨幣的 Electroneum 數位加密貨幣 (簡稱 ETN)，遭受數位加密貨幣採礦程式的攻擊。一些會在背後載入惡意廣告的網站專門提供一些好康優惠給訪客，使用者一旦點選惡意廣告，它就會在背後載入 ETN 網頁採礦程式，同時將使用者重導至一個正常的購物網站以免被使用者發現。
根據 Alexa 指出，這些惡意廣告所在網站皆名列全球 15,000 大網站，意味著這些惡意網站不乏使用者造訪。… 《看完整報導》

案例四:無法正確顯示字型? 中毒了? 假微軟技術支援網頁真挖礦!

去年趨勢科技發現惡名昭彰的EITest 攻擊活動利用技術支援詐騙手法來散播虛擬貨幣採礦程式。在一個月的時間內，有990個受駭網站被注入惡意腳本，將潛在受害者轉向到技術支援詐騙網站。

網路釣魚腳本被設計成通知使用者下載 Hoefler Text 字型以正確顯示頁面，但實際上它會下載一個惡意執行檔。

技術支援詐騙網頁偽裝成正常的微軟Windows通知，提醒受害者系統中毒了,要求使用者打電話給他們的“技術部門”來解決問題。但在背後，網頁會從Coinhive的伺服器載入腳本並啟動JS數位貨幣採礦程式。除了造成系統延遲和效能問題外，使用者不會注意到自己的系統受到影響。看完整報導 … 《看完整報導》

關閉瀏覽器後也會繼續挖礦?

挖礦通常都會需要非常高的效能，駭客將挖礦程式偷偷植入到網站上，當使用者瀏覽網站時網頁會自動開啟挖礦程式，藉由眾多瀏覽網站使用者的電腦CPU資源來挖礦，以賺取虛擬貨幣，而這也會導致使用者的CPU使用率大幅上升，電腦運行緩慢，嚴重影響使用者的使用品質及效能。所幸只要使用者關閉瀏覽器離開頁面，就不會繼續替他們挖礦了。

但現在有另一種狀況是即使關閉瀏覽器後也會繼續幫他們挖礦，這其實是當使用者瀏覽網站時，電腦會跳出一個彈出式視窗，這視窗只有Windows 工具列的高度且隱藏在工具列後，致使使用者看不到此視窗，在使用者在沒有警覺下，這個隱藏視窗持續默默的為駭客挖礦，若使用者要關閉這視窗則要將工具列往上提，再調整這個視窗的大小，才能把它關掉，為了避免瀏覽到這些網頁，趨勢科技的雲端技術中有著網頁威脅防護，這可是獲得網友們認證的超棒技術唷，因此安裝信譽卓著的防毒軟體也很重要！

不當免費礦工

但是該怎麼樣才會發現自己的電腦正在執行挖礦程式默默的為駭客賺錢呢？當您的電腦中招時， CPU 效能會被這些挖礦頁面偷走一半以上的效能，若您發現電腦處理速度變慢或是有點Lag的時候，可以查一下電腦的CPU使用率，當發現打開網站後CPU使用率突然飆高，極有可能是中招囉！此時可以把瀏覽器關掉或是看一下是否有隱藏的小視窗並關閉它來觀察是否回歸正常。

一般使用者對於自己的電腦替駭客挖礦是很難察覺的，建議大家在使用電腦時，發現運行速度和平常不大一樣時要趕緊查看處理，才不會不小心當了駭客的免費“礦工”囉！

🔴延伸閱讀:
趨勢科技 PC-cillin 2018 防毒軟體雲端版好強大！跟偷挖礦、勒索病毒說掰掰

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板，跨平台防護３到位

Oracle 伺服器漏洞遭駭客用來散布門羅幣 (Monero) 挖礦程式

2018 年 03 月 02 日2018 年 03 月 02 日趨勢科技 TrendMicro

加密虛擬貨幣突然爆紅，已經讓資安威脅情勢大為改觀。網路犯罪集團開始調整其人力和資源，將加密虛擬貨幣定為優先要務，包括直接竊取比特幣錢包或入侵網路和裝置並用於挖礦。歹徒看上加密虛擬貨幣其實已不是新聞，勒索病毒駭客集團多年來一直偏愛比特幣 Bitcoin 為其勒索贖金的管道。不過，趨勢科技從 2017 年 10 月下旬開始在一些行動裝置應用程式商店看到手機挖礦惡意程式，到了 2017 年 12 月，Digmine 加密虛擬貨幣挖礦程式開始藉由社群媒體即時通訊散布。

而現在，駭客正利用一個已經修補的 Oracle WebLogic WLS-WSAT 漏洞 (也就是可讓駭客從遠端執行程式碼的 CVE-2017-10271 漏洞) 來散布兩個加密虛擬貨幣挖礦程式，分別是 64 位元和 32 位元的 XMRig 門羅幣挖礦程式。兩個版本分別對應不同版本的 Windows 作業系統。「圖 1」顯示此漏洞攻擊程式碼仍在開發當中。此份報告所分析的是最新版本的惡意程式。