分類: 網路銀行詐騙

隨著越來越多使用者使用網路銀行，有越來越多銀行惡意軟體出現也就並不令人驚訝了。事實上，趨勢科技在2013年看到有將近一百萬的新銀行惡意軟體變種出現，是前一年的兩倍。銀行惡意軟體趨勢一直持續到今年，加入了新的惡意軟體，甚至是新的技術。

就在趨勢科技發現會利用Windows安全功能的銀行惡意軟體後幾個星期，我們注意到另一個銀行惡意軟體。讓這個被偵測為EMOTET的惡意軟體特別值得注意的是，它會「監聽」網路流量以竊取資料。

垃圾郵件連結

EMOTET變種會透過垃圾郵件到達。這些郵件通常和銀行轉帳和快遞收據有關。收到這些電子郵件的使用者可能會被說服點入連結，因為該郵件跟金融交易有關。

圖一、垃圾郵件樣本

 

圖二、垃圾郵件樣本

 

裡面出現的連結會導致下載EMOTET變種到系統內。

 

通過網路監聽竊取

一旦進入系統，惡意軟體會下載它的組件檔案，包括內含惡意軟體目標銀行資訊的設定檔案。工程師所分析的變種顯示某些德國的銀行被列入監控網站列表。但是請注意，可能會有不同的設定檔案。因此，不同的設定檔案可能也會包含不同銀行的監控資訊。

另一個下載的檔案是會注入到所有程序的DLL檔案，負責攔截和記錄對外的網路流量。當注入到瀏覽器，這惡意DLL會用先前下載的設定檔案內的字串來比對所訪問的網站。

如果字串符合，該惡意軟體會取得存取的網址和送出的資料來重組出資訊。該惡意軟體會將網站內容全都儲存下來，代表可以竊取和儲存任何資料。

EMOTET甚至可以「監聽」透過安全連線送出的資料，因為它可以掛到下列網路API來監控網路流量：

 

• PR_OpenTcpSocket
• PR_Write
• PR_Close
• PR_GetNameForIndentity
• Closesocket
• Connect
• Send
• WsaSend

 

趨勢科技的研究人員嘗試登錄會被惡意軟體給擷取，儘管該網站使用HTTPS。

 

 

圖三和圖四、嘗試登錄會被該惡意軟體所擷取

繼續閱讀

4月28日，趨勢科技獲頒日本警視廳所授予的感謝狀。表彰趨勢科技在日本打擊網路金融竊取活動時所提供的有用資料。

能夠輕鬆地賺錢還是當前網路犯罪的最大動機。網路犯罪份子會去竊取資料的主要目的就是可以賺錢。像是網路銀行資料，一旦竊得，就可以利用這些資料來從受害者帳戶中非法轉移金錢。

在2013年，在日本透過這方法所被竊取的金錢總額到達了14億日元。這是有史以來最大的金額。而2014年也似乎正在大步地迎頭趕上，根據日本國家警察廳（NPA）所公布的資料，已經有6億日元被竊取。我們有理由相信這數字還會繼續攀升，如何一勞永逸的制止網路犯罪成為了一項挑戰。

做為我們阻止網路犯罪的努力，我們研究團隊內的專門小組 – 前瞻性威脅研究團隊 Forward-looking Threat Research（FTR）一直在研究如何防範網路犯罪份子竊盜網路帳戶所造成的金融損失。我們已經確認了一些用來追踪和識別這些網路犯罪分子的方法，像是命令與控制（C＆C）伺服器的分析，分析被竊資料和惡意軟體分析。

比方說，最近流行的銀行木馬程式 – Citadel（TSPY_ZBOT）背後的網路犯罪份子利用WebInjects來顯示網路銀行登錄資料竊取所需的假畫面。透過分析WebInject模組，可以找出被竊取資料發送到的伺服器的相關資訊。

因為受害者輸入到假畫面的資料會儲存在伺服器上，所以透過監控伺服器上儲存的資料，趨勢科技可以馬上確認受害者的存在。因此，可以快速地透過被動方式來阻止實際的財務損失，像是在錢被惡意轉走前先凍結受害銀行帳戶。

 

圖一、Webinject銀行木馬程式感染鏈

 

當然，這種作法不能僅透過安全廠商像趨勢科技來進行。必須跟相關機構如警察和涉及銀行合作。趨勢科技TM- SIRT團隊是日本資安相關活動的合作聯絡窗口，提供有關組織來自趨勢科技內部研究小組如FTR -Forward-looking Threat Research（前瞻性威脅研究）團隊所提供的資料，以協助打擊這類網路犯罪竊取活動。 繼續閱讀

作者：趨勢科技全球安全研究副總裁Rik Ferguson

在2013年，所有媒體和資安研究的焦點都放在目標攻擊的狀況，以及有越來越多組織成為這類攻擊的犧牲品。你可能會認為傳統的使用者層級攻擊活動已經開始勢微了。那你就錯了，而且大錯特錯。

網路犯罪分子的目的還是為了要錢，他們不會管是透過針對商業活動的目標攻擊，還是大量散佈的垃圾郵件(SPAM)活動。他們會在任何可以找到的肥沃土地播下金融惡意軟體的種子。

去年銀行惡意軟體入侵電腦將近100萬次,且不斷開發”新市場”

趨勢科技在2013年看到銀行惡意軟體用著自2002年後就未曾見過的成長速度在散播著。趨勢科技在這一年裡攔截銀行木馬入侵使用者的電腦將近100萬次。分開來看，2013年的前三季分別是113,000次到220,000次之間，而在最後一季高達了537,000次。罪犯不僅是增加了攻擊數量，同時也在不斷擴大攻擊範圍。

 我們看到在某些國家數量的大幅增加，如日本和巴西躋身到前四名，並且也加入了新的目標，包括澳州、法國和德國。日本一般來說不是會出現大量銀行惡意軟體的國家，但我們在2013年第三季和第四季在那裡看到大量而廣泛的ZeuS攻擊活動。

在開發新「市場」之餘，銀行惡意軟體也在開發新技術。特別是在巴西，趨勢科技看到惡意CPL檔案（微軟Windows的控制面板檔案）數量顯著地在增加，內嵌在RTF文件檔裡，和我們之前比較熟悉的傳統附加為ZIP和RAR檔案來傳遞有所不同。

 

2013年勒索軟體年成長一倍,平均每季超過兩萬起攻擊

 不過這還不是全部的銀行惡意軟體。而且去年還有一個地方有著大量回報，那就是勒索軟體 Ransomware體，特別是Cryptolocker。趨勢科技客戶偵測到的勒索軟體總數跟前年相較起來增加了一倍，每季平均約偵測到22,000起。當你考慮到每名受害者可能要支付高達300美元或等值貨幣以重新取得自己的資料，這顯然成為網路劫匪頗具潛力的收入來源。

Cryptolocker本身就是一種現有勒索軟體 Ransomware的進化，它改善了加密技術，使用更有效的尋找和加密動作。會在本地端將檔案處理的更難解析，Cryptolocker同時也會找到網路硬碟上的檔案加以加密。不再依賴於簡單的共享密碼來解密付贖金的檔案或系統，Cryptolocker使用公鑰加密，加上非常有效的密鑰長度，讓加密過的檔案幾乎不可能回復。這會讓更多受害者願意去交出現金來換回對自己非常重要的數位寶物。這時候就必須要考慮建置有效而定期的備份解決方案，比以往任何時候都更加重要。 繼續閱讀