傀儡殭屍網路 botnet - 資安趨勢部落格

觀光業遭殭屍網路攻擊比例上升身份資料被竊危險指數升高

2018 年 08 月 01 日2018 年 07 月 17 日趨勢科技 TrendMicro

近期研究指出觀光產業是目前最容易遭受網路攻擊的產業。這項研究分析從2017年11月到2018年8月的紀錄，並發現惡意假帳號透過傀儡殭屍網路(botnet)攻擊飯店、航空公司、郵輪和旅行社的比例在部分國家有上升的趨勢，其中超過1120億的登入請求和39億次的惡意登入，超過 4成的攻擊是來自“假瀏覽器”或已知的欺詐媒介。

這些網站因為幫助儲存偷來的個資和提供駭客發動攻擊平台為這些犯罪集團賺取了龐大的資金。這些偷來的信用卡資料和個人身分資料（PII）可以在黑市裡低價販售或是用來盜刷賺取不法獲利。然而駭客更可以利用這些個人身分資料去登入其他線上的帳號，或是修改帳號密碼進而登陸其他的相關的帳號。飯店和航空公司提供的獎勵措施也都是駭客們下手的目標。

[延伸閱讀: 網路犯罪集團環遊世界的省錢花招]

專家亦提出警告，表示駭客認為觀光產業的資安等級是“唾手可得”，這更提醒產業需要更重視資訊安全這塊。專家也提醒出門在外必須小心使用公共空間的免費無線網路，這是駭客最常使用來投放病毒和竊取資料的途徑。

隨著科技進步，線上的資料傳輸與存取也更加方便，無論是企業或是個人用戶都應該更加的小心使用網路並保護自己免於受到駭客攻擊或是被竊取資料。以下是幾點建議確保你的系統是安全的：

給企業使用者：

小心跨國客戶的線上購買或預約，他們可能使用著不同的名字其實背後都是相同的人在操作。
當仲介在非他們上班時間或不同時區的半夜等時間想要談生意也要特別小心，正常的合法業者是不會在下班時間聯絡客戶的。
建立員工和夥伴們的資安常識，確保他們了解各種網路威脅，並與當地警方合作，一有任何可疑交易行為立刻聯絡警方。
完整安裝多層式的防毒安全系統，任何資料的泄露都可能造成對企業造成傷害和名聲的受損。

繼續閱讀

什麼是殭屍網路(Botnet)?

2018 年 04 月 23 日2018 年 04 月 09 日趨勢科技 TrendMicro

殭屍網路（botnet）是指感染殭屍網路病毒的被劫持電腦/設備所組成的網路，讓駭客可以進行遠端控制。殭屍網路被用來寄送垃圾郵件和進行分散式阻斷服務攻擊(DDoS)攻擊，並且也可以出租給其他網路犯罪分子。殭屍網路也可以在沒有命令和控制（C&C）伺服器的情況下存在，只要透過點對點（P2P）架構和其他管理通道來將命令從一台殭屍電腦（bot）傳到另一台。

一開始，殭屍網路操作者使用IRC客戶端來傳遞指令並進行DDoS攻擊。而近來更多的殭屍網路運作包括挖掘比特幣、攔截正在傳輸的資料、將包含敏感使用者資訊的日誌發送給殭屍網路主人，以及消耗使用者電腦資源。見下圖：繼續閱讀

深入檢視北韓的網際網路

2017 年 10 月 25 日2017 年 10 月 23 日趨勢科技 TrendMicro

北韓常被認為是單向的網際網路：駭客對外攻擊，沒有東西可以進去。各種事件如2014年的 Sony影業被駭以及一連串的全球性銀行網路劫案都被報導是來自北韓駭客所為。一部分的公開證據是因為網路連線來自北韓IP地址。該國被認為嚴格地掌控網際網路，所以有人可能認為這樣的網路內系統不會被入侵。但外國犯罪集團用來發送垃圾郵件的殭屍網路怎麼能夠在北韓活躍一年多呢？北韓電腦是否也可能遭受一般的惡意軟體感染？分配給北韓的IP地址空間是否都被用在該國？這些問題的答案對於將攻擊歸因給北韓駭客有什麼影響？

本文會總結我們對進出北韓網路流量所進行研究的發現。它檢視了這包含1024個IP地址的網段。北韓也使用國外的基礎設施。我們同時發現註冊為北韓使用的一些IP地址實際是由虛擬專用網路（VPN）服務商所使用，顯然是想欺騙Geo IP服務將外國的網路基礎設施標記為北韓。

我們會介紹來自該國垃圾郵件殭屍網路的垃圾郵件活動，對北韓網站的DDoS攻擊和它們與真實世界事件的關連，以及北韓網站所經常出現的水坑攻擊。就像是我們之前關於北韓發動針對性攻擊的部落格文章，我們的目標是揭開常見迷思的真面貌。

北韓的網際網路

北韓網際網路空間是經由中國上游服務商連到網際網路的4組Class C IP範圍（總共1024個IP地址）。從2017年10月1日開始，一家俄羅斯公司提供相同IP範圍第二條路徑。因為某些歷史原因，北韓有額外使用一組分配給中國聯通的Class C IP地址（256個IP）。該國也可能透過衛星網路連到網際網路。許多電信商都有提供此服務，但我們不知道到底有誰被允許使用衛星網路。

有數個IP範圍看似由北韓使用，如果你相信Geo IP定位服務以及Whois註冊資料來的IP地址資料。

IP網段	IP數量	Whois註冊國家	GeoIP	真正國家	附註
175.45.176.0/22	1,024	北韓	北韓	北韓	分配給平壤的Star Joint Venture Co., Ltd.
210.52.109.0/24	256	中國	中國	中國	借自中國聯通
5.62.56.160/30	4	北韓	北韓	捷克	“PoP North Korea” – 由VPN服務商HMA使用
5.62.61.64/30	4	北韓	蒙古	捷克	“PoP North Korea” – 由VPN服務商HMA使用
45.42.151.0/24	256	北韓	北韓	N/A	Manpo ISP (Roya hosting)
46.36.203.81	1	北韓	北韓	荷蘭	VPN服務商 “IAPS Security Services”
46.36.203.82/30	4	北韓	北韓	荷蘭	VPN服務商 “IAPS Security Services”
57.73.224.0/19	8192	北韓	北韓	N/A	SITA-Orange
88.151.117.0/24	256	北韓	俄羅斯	俄羅斯	LLC “Golden Internet”
172.97.82.128/25	128	北韓	北韓	美國	“North Korea Cloud” – 由VPN服務商HMA使用
185.56.163.144/28	16	北韓	北韓	盧森堡	VPN服務

表1、與北韓有關的IP範圍

有些虛擬專用網路（VPN）服務商聲稱擁有在北韓的出口節點（如例1、例2）。這表示這些VPN服務的客戶可以選擇經由北韓出口節點瀏覽。這看起來是讓願意嚐鮮的使用者從北韓角度來體驗網際網路的奇特機會。但據我們所知，VPN服務商的說法並不正確。“北韓”出口節點實體位置是位於像盧森堡、捷克和美國的西方國家。該VPN服務商讓Geo IP服務相信他們有一台電腦伺服器在北韓，可能是將北韓國家代碼輸入到特定IP地址範圍的公共Whois資料。雖然VPN服務商可能會覺得這是個無傷大雅的行銷噱頭，但會讓依賴Geo IP服務的系統管理員在檢視系統上攻擊相關日誌檔時下了錯誤的結論。

圖1、HMA VPN服務表示它們有一個出口節點在北韓，但實際上這出口節點位在捷克。

繼續閱讀

FBI和趨勢科技合作,讓銀行惡意軟體 DRIDEX 停擺

2015 年 10 月 27 日2015 年 10 月 15 日趨勢科技 TrendMicro

跟著英國國家打擊犯罪調查局（NCA）的腳步,多個DRIDEX「Botnet傀儡殭屍網路」所使用的命令與控制（C&C）伺服器已經被美國聯邦調查局（FBI）關閉。

美國執法官員取得法庭命令沒收DRIDEX所使用的多台伺服器。打擊了惡意軟體的C&C網路，其被惡意軟體用來將竊得的資料發送給網路犯罪分子，並且下載包含目標銀行清單的設定檔案。此外，也已經起訴了Andrey Ghinkul（別名Andrey Ghincul和Smilex），「Botnet傀儡殭屍網路」在摩爾多瓦的管理者。

破獲網路犯罪並不是件小事。追查並關閉網路犯罪活動需要研究人員與執法機構的不斷合作，各自貢獻自己的專業知識。破獲銀行惡意軟體DRIDEX所用的命令和控制（C&C）網路是這團隊合作成功的最新例證。

什麼讓 DRIDEX與眾不同？

DRIDEX在這過去一年漸漸打響名號，一直被視為是 Gameover ZeuS（GoZ）惡意軟體的後繼者。它在威脅環境的普及可以歸因於它的商業模式、P2P（點對點網路）架構及獨特的行為。

不同於其他惡意軟體，DRIDEX運用BaaS（殭屍網路即服務）商業模式。它運行數個「Botnet傀儡殭屍網路」，每個都以編號標識，並且每個都對應一組特定的目標銀行。趨勢科技的調查顯示其目標銀行大多來自美國和歐洲（特別是羅馬尼亞、法國和英國）。從過去三個月內趨勢科技主動式雲端截毒服務 Smart Protection Network所提供的反饋資料顯示，美國和英國受DRIDEX感染的使用者占全部的35%以上,台灣也列入受害名單。

DRIDEX的P2P架構是GoZ架構的改進版本。從GoZ被關閉事件中學習，DRIDEX開發者在其架構中在命令與控制（C&C）伺服器前多加了一層。

除此之外，DRIDEX還會除去或隱藏其在系統中的痕跡。跟ZBOT的Chthonic變種類似，它使用一種隱形持久性技術，會在系統關閉前寫入自動啟動註冊碼，並在系統啟動後刪除自動啟動註冊碼。然而，只有DRIDEX會清理儲存在註冊表中的設定，並改變惡意軟體副本的位置。

DRIDEX可以輕易地透過惡意電子郵件附件檔散播，通常是包含巨集的Microsoft Office文件。使用巨集可看作是提高攻擊成功機會的方式。巨集常被用在自動化和互動文件中。該功能通常預設關閉，但如果它在攻擊前就已經啟用，就可以直接進行攻擊。否則，攻擊者必須利用強大的社交工程（social engineering ）來說服使用者啟用該功能。此外，我們發現巨集程式碼中會包含垃圾和無用程式碼。造成偵測上更多的挑戰。

繼續閱讀

不著痕跡：無檔案惡意軟體出現了

2015 年 05 月 21 日2015 年 05 月 21 日趨勢科技 TrendMicro

檔案掃描程式的加強讓惡意軟體作者選擇跳脫原本傳統惡意軟體的安裝行為。惡意軟體將自己複製到惡意程式碼內所指定的位置，再利用持續性策略（像是加入自動啟動功能以確保自己持續運作）的做法已經不再足夠。檔案掃描程式可以輕易地封鎖和偵測這些威脅。

趨勢科技注意到的一個手法是利用無檔案惡意軟體。跟大多數惡意軟體不同，無檔案惡意軟體將自己隱藏在難以掃描或偵測的位置。無檔案惡意軟體只存在於記憶體中，並直接寫入記憶體而非目標電腦的硬碟上。POWELIKS是一個無檔案惡意軟體的例子，它可以將惡意程式碼隱藏在Windows註冊表中。利用一個傳統惡意軟體將惡意程式碼加入註冊表內。

在2014年8月，POWELIKS 的閃躲技術及使用Windows PowerShell 讓它被視為可能出現在未來攻擊的危險工具。

無檔案感染技術的成功（可以從2014年後期出現的POWELIKS感染高峰看出）讓其他惡意軟體作者也想要跟著仿效。在本文中，我們將討論另一個知名的惡意軟體也具備無檔案感染行為。

Phasebot，源自Solarbot

另一個無檔案惡意軟體的例子是「Phasebot」，趨勢科技發現它出現在販賣惡意軟體和其他惡意線上工具的網站上，被自稱是惡意軟體的創造者加以兜售。我們將 Phasebot偵測為TROJ_PHASE.A。Phasebot 同時具備 rootkit和無檔案執行能力。

趨勢科技注意到這個惡意軟體和Solarbot有著相同的功能，這個舊「Botnet傀儡殭屍網路」程式第一次出現是在2013年底左右。當我們比較販賣這兩個惡意軟體的網站後就可以看得更加清楚。