網路犯罪是一門生意。職業的網路罪犯會改進流程、衡量績效並定期評估其投資回報。每一步都有戰略意義。我們從勒索病毒攻擊和整個地下市場活動一次又一次地看到證明。
這就是為什麼看到駭客企圖敲詐 Apple支付10萬元來「回復」數億筆 iCloud帳號時會令人難以置信的原因。
媒體即武器
駭客給出4月7日的最後期限,如果Apple公司不回應，那犯罪分子威脅會重設帳號並抹除連結的設備。可能是想藉由媒體報導來產生公眾壓力迫使Apple讓步。這其實極不可能，主要原因是Apple有足夠多的資源不去屈服外部壓力。如果他們不會還給我們耳機孔或HDMI端口，蘋果也不會付錢給罪犯。
對於iCloud帳號，Apple掌握最終的安全控制，他們控制帳號背後的基礎設施。這消弭了罪犯可以動作的大多數施力點。 繼續閱讀
在 2016 年，美國有 91%的人口具備健康保險，這意味著只要發生醫療資料外洩，任何人都會受到影響。它對個人的影響層面可能各有不同，但對受到影響的人和醫療機構來說都不會是件小事。趨勢科技的最新研究報告 – 「醫療產業所面臨的網路犯罪和其他威脅」中檢視了醫療產業資料外洩的另一面，並追蹤了電子健康記錄（EHR）被竊後會發生的事情。
電子健康記錄在深層網路 (Deep Web) 上被多次使用
EHR是給醫生使用的資料集合，包含了個人識別資訊（PII）、財務資訊（如保險資料）、付款資訊及個人健康相關資訊（如醫療處方、病歷、約診時間和其他醫療相關資料）。每個資料集合對網路犯罪分子來說都非常具有價值。財務資訊和個人識別資訊（PII）經常出現在資料外洩事件中，並且會放到地下市場販賣。哪麼醫療保健相關資訊呢？網路犯罪分子對醫生的約診時間或受害者所服用的藥物感興趣嗎？
圖1、在地下市場販賣的醫療保健文件
歹徒的目標有時是可拿到地下市場販賣的金融資訊，或是公司的商業機密。就連已遭入侵的網路帳號密碼，對網路犯罪者來說也是一項商品。因此，針對攻擊來源進行一番仔細的研究，有助於事件回應和資安矯正。
此外，追查幕後的駭客有助於了解其技術的純熟度，並且掌握駭客資源與技巧的多寡，以及資安人員有多少應變時間。但是，研究人員不該因為事件的重大而譁眾取寵，或者隨著主流媒體對資安事件的炒作與恐慌而起舞。
EyePyramid 事件印證了一件事：重大的資安攻擊並非只有國家級駭客才能辦到。從保護企業邊境的觀點來看，了解未來該如何防範並取得必要的工具和專業知識來面對這些威脅，反倒更為重要。
今年初EyePyramid 資訊竊盜程式成了各大媒體的焦點，因為它從一些政府機關、私人企業和公家機構竊取了高達 87GB 的敏感資料，共有 100 多個電子郵件網域和 18,000 多個電子郵件帳號受害，包括義大利、美國、日本和歐洲的一些知名機構在內。
很多人或許會認為 EyePyramid 應該是由國家級駭客所進行的一項網路間諜行動。但事實並非如此，該行動的「幕後集團」最後被發現只是一對想要利用惡意程式賺錢的兄妹檔。
追根溯源相當困難
若我們可以從 EyePyramid 的案例學到什麼教訓的話，那就是：追根溯源相當困難。追溯幕後的源頭是網路犯罪偵查當中最複雜的工作，部分原因是網際網路的設計讓歹徒有很多方式可以隱藏行蹤。
就算真的追查到網路攻擊的源頭，大多數資安機構和資安人員也都會盡可能避免點名特定的個人、團體或國家，因為這麼做很冒險。例如，資安界經常引用惡意程式碼當中的一些特徵來當成佐證。但不幸的是，惡意程式碼的作者經常不是實際犯案的歹徒，因為這些程式很可能是從地下市場買來的。除此之外，從惡意程式也看不出幕後運籌帷幄的歹徒，因為他們有許多躲藏和造假的工具和技巧。甚至連受害者、犯案動機或惡意程式所參與的行動都很難斷定。 繼續閱讀
假使勒索病毒一直能為歹徒帶來高達十億美元的獲利，那他們有何理由收手？
十億美元！這就是為何歹徒一直積極投入這類犯罪，而且這類犯罪的成本還在持續降低，因為地下市場上充斥了各種必要的犯罪工具供歹徒購買或租用。
有了這些現成的工具，就算沒有技術背景的人也能發動這類攻擊。無需特殊技能、低風險、高報酬：這根本就是歹徒夢寐以求的”夢幻組合”。
勒索病毒成為黑色產業金雞母的三個關鍵:無需特殊技能、低風險、高報酬
勒索病毒 Ransomware (勒索軟體/綁架病毒) 已經成為網路犯罪集團心中一棵巨大的搖錢樹，幾乎每個犯罪分子都想來分一杯羹。為此，一些擁有技術能力的犯罪集團便開發出一種商業模式，以服務的方式提供勒索病毒 DIY 套件來讓其他入門新手或是想要從事網路犯罪的人加入這場掏金夢，這就是所謂的「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS) 。這項服務給那些無須擁有進階技術、知識或經驗的”客戶”，讓他們可以根據自己的需求來進行設定。
勒索病毒一旦在受害者的系統上執行，就會開始加密電腦或伺服器上的檔案，接著會顯示一個訊息向受害者勒索一筆贖金 (通常為比特幣)，使用者若想救回被加密的檔案，就必須支付贖金。 Encryptor RaaS對它的”事業夥伴喊話:”只要會設定比特幣錢包ID,不需技術能力
有個叫做「Stampado」的勒索病毒 Ransomware在深層網路 (Deep Web) 上主打只要 39 美元的價格便提供「終身授權」。網路論壇上到處充斥著各種自己動手做 (DIY) 的勒索病毒套件，就算是完全沒有技術背景的人也有辦法獨自發動一波勒索病毒攻擊。
Cerber是2016年最惡名昭彰也最流行的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族。它具備多種攻擊策略，包括利用雲端平台和Windows腳本，還會加入非勒索病毒行為像是分散式阻斷服務攻擊。它會流行的原因之一可能是它經常被作為服務買賣（「勒索病毒即服務」(Ransomware as a Service，簡稱 RaaS)）。
趨勢科技發現某些 Cerber 變種會在受害者點擊播放影片後，跳出視窗導到漏洞攻擊套件的伺服器,然後下載 Cerber勒索病毒。
有粉絲在趨勢科技粉絲頁留言:
“最近我同事只是追劇而已就中招,整個電腦資料全毀….”
這並不是個案,無獨有偶的是也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了，原來是中了Cerber 勒索病毒。
論壇傳出勒索病毒大量災情(圖擷取自 PTT)
PC-cillin 雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！即刻免費下載
勒索病毒的不斷更新反映出其開發者的活躍程度及下游如何將其當作是有利可圖的生意。比方說，前一個版本在一天內就更新到4.1.5。Cerber開發者對下游抽取40%的佣金，光是2016年7月就賺進近20萬美元。
12 月 1 日，歐洲刑警組織 (Europol)、美國聯邦調查局 (FBI)、德國警方以及一些其他單位，聯合採取了一項跨國執法行動，破獲一個叫做「Avalanche」(雪崩) 的國際網路犯罪基礎平台。Avalanche 是一個專門為「Bullet Proof」(防彈) 殭屍網路提供服務的內容派送管理平台，有多達 20 幾個不同的惡意程式家族都運用到這個平台，受害對象遍及 30 多國。因此這項行動已成為近年來最成功、也最具成效的網路犯罪打擊行動。
趨勢科技有幸參與了這項行動，並且提供受害者所需的惡意程式清除工具。我們在此要恭喜所有投入這項長期偵查行動的單位，感謝他們的努力才能有今日的成果。
趨勢科技一直在積極協助執法機關降低網路犯罪對使用者所帶來的日常風險，因此，這只是其中的一個案例。趨勢科技為了達成企業使命，一直與國際刑警組織 (Interpol) 進行長期合作，並且和英國國家犯罪局 (National Crime Agency，簡稱 NCA) 簽訂了合作備忘錄，同時也是歐洲刑警組織 (Europol) 諮詢委員會的長期代表，更與世界許多其他國家執法單位有直接的聯繫。
多年來，我們已參與過多起成功的逮捕行動，包括逮捕惡名昭彰的 SpyEye 惡意程式作者、DNS Changer 殭屍網路犯罪集團、 Refud.me 和 Cryptex Reborn 地下網路服務幕後集團，以及奈及利亞境內一個重要的垃圾郵件散發集團，還有許許多多目前正在追查中的案件。
延伸閱讀: