波士頓爆炸案蠕蟲軟體也來湊一腳！惡意連結散佈蠕蟲鎖定受害者FTP帳密企圖竊取更進一步資料

2013 年 04 月 18 日2013 年 04 月 18 日趨勢科技 TrendMicro

【2013年4月18日 台北訊】波士頓馬拉松爆炸案相關連結?點選前請小心，駭客攻擊就在你身邊。趨勢科技發現在波士頓馬拉松爆炸案發生的24小時內，已經有駭客以此為誘餌，透過垃圾郵件攻擊，以及社交平台散播內含蠕蟲WORM_KELIHOS.NB的惡意連結。該蠕蟲會竊取使用者的FTP帳號密碼與存在本機的電子郵件地址，同時監控受感染裝置的網路狀態以進一步竊取資料。除此之外，該蠕蟲會感染USB等卸除式裝置，達成其擴散目的。趨勢科技呼籲民眾對於近期與波士頓爆炸案相關網路訊息與電子郵件都應該保有一定程度戒心，不要輕易點選來路不明的連結是最佳自保之道。

運用波士頓馬拉松大爆炸 散播蠕蟲以竊取資訊

波士頓馬拉松爆炸案發生後不到24小時內，趨勢科技已經偵測到超過9000封的以波士頓爆炸案為名的的垃圾郵件，更發現駭客以主旨為「Aftermath to explosion at Boston Marathon 」的垃圾郵件發動社交工程陷阱( Social Engineering)。該垃圾郵件夾帶連結https://{BLOCKED}/boston.html，使用者點選後將看到一段來自波士頓爆炸現場的影片，同時也下載了名為WORM_KELIHOS.NB的蠕蟲程式。該蠕蟲程式會透過被感染裝置竊取使用者FTP的帳號密碼與本機中的電子郵件地址，更會監控受感染裝置的網路流量以達成竊取資訊牟利的目的。為了避免被追查，駭客精心設計許多不同的蠕蟲程式下載點，下載IP位址來自阿根廷、台灣、烏克蘭、日本等地。

圖說：波士頓爆炸案惡意連結，點選後會看到的影片畫面。

此蠕蟲也會透過USB磁碟等裝置散佈，並隱藏卸除裝置中所有資料夾。使用者在遭感染的裝置上看到的是與原資料夾相同名稱，實際上為LNK.的檔案。這些LNK檔的圖示看起來與一般目錄圖示一模一樣，使用者不疑有他點選並順利開啟資料的同時，該蠕蟲也成功擴散感染至電腦。

繼續閱讀

從紐約時報APT攻擊裡所學到的教訓

2013 年 02 月 04 日2013 年 09 月 17 日趨勢科技 TrendMicro

作者：趨勢科技Christopher Budd

紐約時報發表他們從四個月前就開始遭受APT進階持續性威脅 (Advanced Persistent Threat, APT)。該報告還提供出一定程度的細節，這其實是相當少見的,任何對資訊安全和防範APT攻擊有興趣的人都應該花點時間來讀完紐約時報全部的故事。

紐約時報還做了一件事，就是指出了他們有安裝安全產品，但是這些產品未能阻止攻擊。他們甚至將這安全廠商列名出來,讓人覺得他們將矛頭指向該美國安全廠商。紐約時報的故事和安全廠商的反應似乎都暗示集中在基於病毒碼(特徵碼)的端點安全防護方案。

有了這些資訊以及我們對這攻擊的所知訊息，我們可以學到一些教訓，關於要怎樣如何才能充分保護網路環境以對抗APT進階持續性威脅 (Advanced Persistent Threat, APT)。

鎖定特定對象電子郵件帳號,進而存取 53 名員工個人電腦

本部落格分享過這篇:《APT進階持續性威脅~主要目標攻擊侵入點:eMail》63%產品規劃藍圖 ,76%預算計畫經由 email 傳送,紐約時報陳述攻擊的進入點也是透過針對特定對象的電子郵件帳號（大概是透過適當的開放情報收集所確認得來）。獲得控制權後，他們利用帶有特定目的的惡意軟體來建立命令和控制（C＆C）通訊點。接著，開始橫向移動，先偷取企業內所有員工的密碼（透過針對網域控制（DC）伺服器的攻擊），並用來存取其他系統（包括53名員工的個人電腦，其中大多數不屬於紐約時報編輯部）。
關於APT 攻擊常用的三種電子郵件掩護潛入技巧,請參考:《這裡》含多則中英文信件樣本

45個客製化惡意軟體潛伏部署,但廠商沒有偵測到

他們說從這起攻擊中所學到的教訓是，有45個客製化惡意軟體被部署,但安全廠商未被偵測。該報告接著說明沒有重要資料被竊取，因為這次攻擊被及早的發現。調查人員也在監控這起攻擊，以了解需要做些什麼來防護網路。

以病毒碼(特徵碼)為基礎的防護,無法全面主動監控

對於像是這樣複雜的攻擊來說，很明顯地，傳統基於病毒碼(特徵碼)的端點安全防護是不夠的。攻擊者可以製作並測試出多面向的目標攻擊以特別用來閃避這些產品的偵測。他們是整體安全防護的一個重要部分，但必須包含在更整體的防護策略中，包括啟發式偵測、動態信譽評比服務和主動式網路監控。

以客製化防禦對抗針對性攻擊

如我上面所說，我們不確定紐約時報用了哪些產品以及如何部署。但是，我們可以觀察這起攻擊所提供的細節，去了解攻擊者這些天做了哪些事情，從而確認怎樣的防護策略會最有效果。答案很顯然是設計用來對抗進階威脅的主動式、多層次安全防禦：現在需要客製化的防禦去對抗針對性的攻擊。如趨勢科技的Deep Discovery，便可以防禦目標攻擊。繼續閱讀

低頭族成為駭客新寵行動上網購物請小心

2012 年 12 月 18 日2015 年 09 月 18 日趨勢科技 TrendMicro

趨勢科技行動購物e指南 讓您安心購物無煩惱

「行動購物」可說是再便利不過的購物方式了。特別是歲末接連著聖誕，跨年等假期，對於忙碌的現代人，隨時隨地連上網路查看購物優惠訊息可說是相當方便的購物方式。IDC Financial Insights 的一項調查指出，超過33% 的受訪者表示透過手機購物的金額較去年已增加兩倍[1]，但網路購物的便利與商機也相對受到網路犯罪者的高度關注。截至今年10月，趨勢科技(東京證券交易所股票代碼：4704)已發現 175,000 個惡意與高風險的 Android App 程式，造成直接或潛在的行動網路購物風險。如何避開行動網購風險，聰明網購 ? 趨勢科技特別提供行動網路購物e指南與行動購物小撇步，讓您歲末網購無煩惱。

行動裝置的普及連帶帶動行動網路購物熱潮，特別是歡慶節日及季末打折季節期間，龐大的行動裝置使用者多半會利用手機或平板電腦上網蒐集相關資訊

或下單，在一般使用者對於透過行動裝置上網購物缺乏資訊安全意識的情況之下，更成為網路犯罪者發動攻擊的最佳目標。

根據趨勢科技病毒研究中心歸納分析，網路犯罪者主要透過以下三個方式來引誘消費者落入惡意程式的陷阱，造成行動網路購物風險：

行動裝置廣告程式

行動裝置廣告程式會占用裝置資源，有時還會以緊急通知的方式出現，使用者點選後卻連上某個購物網站。更有廣告程式還會暗地蒐集使用者手機中的個人資訊，導致個資外洩風險增加。

Wi-Fi 連線購物快速又方便，小心個資全都露

消費者如果透過安全防護相對低的Wi-Fi 熱點上網購物，駭客將可運用連線階段挾持的方式，取得如信用卡號碼等較為機密的購物資訊，進而達成其變賣個資或詐取金錢謀利的目的。

冒牌好康優惠蒐集程式滿天飛

挑選好康優惠蒐集程式時，請務必小心，因為有很多好康優惠蒐集程式都是假冒的 App。這些假冒的程式會從事惡意活動，從濫用高資費服務導致
使用者帳單爆增，更進一步可能蒐集個資侵犯使用者隱私權。趨勢科技建議應該直接於程式開發者的網站下載相關程式，降低下載到假 App 程式的機率。

行動網路購物風險多，如何聰明避開行動網購風險，享受其所帶來的便利與樂趣，趨勢科技提供以下四個小撇步供消費者參考：

使用開放性 Wi-Fi 服務，個人資料請勿露：連上開放性的網路服務，如 Wi-Fi ，看似相當便利，但此類網路的開放特質如同雙面刃，會讓使用者的個人資料暴露在輕易被有心人士竊取的風險中。如必須使用開放性無線網路如Wi-Fi服務，請儘量選擇由具有良好加密機制的無線網路服務，並儘量勿進行與傳送個人機密資料相關的行為如上網購物或線上金融交易。

下載來自不明第三方應用程式商店的 APP 前請審慎考慮：

趨勢科技建議消費者應盡量避免下載來自不明第三方應用程式商店的 APP目前最新的資訊安全軟體如PC-cillin 雲端版可針對可疑的Android

APP進行掃描，已有效發現藏有惡意程式的App並提醒消費者請勿下載。繼續閱讀

好毒阿,”喝醉的歐巴馬”~網友誤點歐巴馬關鍵字病毒次數領先羅姆尼近 6 倍

2012 年 10 月 16 日2012 年 10 月 15 日趨勢科技 TrendMicro

美國大選病毒選邊戰目前歐巴馬領先

許多人看了美國總統大選辯論，雖然網民們對於到底是歐巴馬還是羅姆尼贏得這場辯論還在爭論中，但有件事是肯定的：總統競選活動已經進入了11月6日投票日前的最後一個階段。還有另外一件事是可以肯定的，那就是騙子會利用這活動到最後一刻。

趨勢科技的研究人員一直在監看著從主動式雲端截毒服務 Smart Protection Network遍佈全球的感知器所收集來的資料。下面是有點到惡意網站與美國總統選舉相關的關鍵字：

關鍵字	惡意連結點擊次數
Obama （歐巴馬）	26,559
Romney （羅姆尼）	4,519
Elections （選舉）	806
2012 Elections （2012大選）	358

被封鎖的歐巴馬與羅姆尼不重複惡意網域數量:四比一

要知道，這些數字僅僅來自過去三個月的數量，可以預期隨著投票日的接近，它也會跟著增加。不過從兩位候選人的點擊數量中，我們可以特別明顯看出的事實是：很顯然地，如果要說到嘗試點入惡意網站的數量，那麼是歐巴馬獲勝。任何網路犯罪份子都會同意：當我們檢視從一月以來所被封鎖的不重複網域數量時，歐巴馬相關的網域和羅姆尼相關的網域數量是四比一。

這並不令人驚訝，現任總統跟羅姆尼相比，至少多了四年被媒體注目的光環。別忘了，就緊接在他贏得2008年大選後的就職典禮時，歐巴馬就被用在一些社交工程陷阱( Social Engineering)的誘餌上。讓我們回到這三個月的統計數字，我們已經可以看出歐巴馬相關點擊率的高點和低點。但另一方面，羅姆尼則是持續的在增加，這趨勢跟他是從八月正式宣布參選是符合的。

不過當我們檢視威脅類型以及最終受害者時，兩位候選人幾乎是一模一樣的。雖然很明顯的，大多數受害者來自美國和加拿大。但有趣的是，還有許多受害者來自亞洲和歐洲的國家。

繼續閱讀

美國 2012 年總統大選 App 程式可能導致資料外洩

2012 年 09 月 27 日2012 年 09 月 27 日趨勢科技 TrendMicro

趨勢科技在 Google Play 和某些第三方 App 應用程式商店發現四個 Android App 程式在安裝之後會不經使用者同意即存取某些裝置資訊，並且可能導致資料外洩。其中一個 App 程式目前已經從 Google Play 下架，但還是可以在第三方應用程式商店上找到。這些 App 程式是針對即將來臨的 2012 年美國總統大選與二位候選人：Mitt Romney 和 Barack Obama 而設計。使用者可免費下載這些應用程式。

第一個應用程式叫作：「Obama vs Romney」，這是一個 ANDROIDOS_AIRPUSH 變種，會連線至 airpush.com 這個行動裝置廣告網路網站。此 App 程式的說明頁面指出該程式可能會顯示一些廣告通知。趨勢科技發現，目前此 App 程式已在第三方商店上累積了 300 多次下載，並且 Google Play 上的下載次數估計也在 500-1000 之間。

此 App 程式原本的設計是用來做民意調查，讓使用者從二位候選人當中做出選擇。理論上它應該會立即顯示整體的民調結果。但是，根據趨勢科技的測試，它最終只會顯示一個訊息「you probably want to start clicking as soon as possible」(或許您應該盡快開始點按)。此外，這個 App 程式還會顯示一些來自 airpush.com 的惱人廣告，而且是出現在該 App 程式之外的地方。

該程式也會要求 ACCESS_COARSE_LOCATION (存取粗略定位) 權限，因此會讀取裝置所在 GPS 定位以及其他的資訊。

第二個 App 程式叫作「Captain America Barack Obama 1.0」(也就是趨勢科技偵測到的 ANDROIDOS_ADWLEADBOLT 變種)，它會在裝置上安裝一個 Barack Obama 3D 桌布與美國國旗。此程式已經從 Google Play 下架，但仍可在第三方應用程式商店上找到。該程式與「Obama vs. Romney」程式類似，會取得 ACCESS_COARSE_LOCATION (存取粗略定位) 及其他權限，因此能讀取裝置的 GPS 定位、CellID 與 Wi-fi 定位等資訊。安裝時，它會在裝置首頁畫面上建立一個捷徑。截至目前為止，此 App 程式已經在第三方商店上累積了 720 次下載。

最後二個 App 程式是「Barack Obama Campaign LWP 1」和「Mitt Romney Live Wallpaper 1」(二者都是我們所偵測到的 ANDROIDOS_ADWLEADBOLT 變種)。兩者都會要求 ACCESS_FINE_LOCATION (存取精細定位) 和 ACCESS_COARSE_LOCATION (存取粗略定位) 權限。

如同前面提到的 App 程式，這二個都會在裝置上顯示廣告。使用者可以點選某個 URL 來關閉這些廣告，但卻會因此洩漏裝置的國際行動裝置識別碼 (International Mobile Equipment Identity，簡稱 IMEI 碼) 與裝置類型資訊到前述網站。不過，使用者有可能不會注意到這個連結，因此仍會持續收到廣告。

繼續閱讀