報告數據 - 資安趨勢部落格

研究報告:金融業正面臨越來越多憑證填充 (Credential Stuffing) 攻擊

2018 年 10 月 17 日2018 年 10 月 17 日趨勢科技 TrendMicro

當資料外洩發生，其後續的效應並不一定會隨著事件落幕而消失。Akamai 的研究人員指出，根據他們在 2017 年 11 月至 2018 年 6 月之間觀察到的 300 億次惡意嘗試登入顯示，金融業正面臨越來越多的憑證填充 (Credential Stuffing) 攻擊。

憑證填充攻擊是一項利用殭屍網路（botnet）以自動化方式不斷使用偷來的登入憑證試圖登入網路服務的一種攻擊技巧。這項手法使用大量外流的電子郵件地址和密碼，再搭配自動化腳本，以疲勞轟炸的方式不斷試圖登入網路服務，直到某一組帳號密碼成功為止。此攻擊技巧很可能讓企業因為詐騙、網路斷線導致業務停擺、緊急應變與通知客戶、系統修復以及商譽受損等等而造成損失。

該研究特別指出，遭遇這類攻擊的企業不分大小。報告引述的例子是某家財星 500 大 (Fortune 500) 企業，同時也是一家信用合作社，該公司的日常登入活動突然飆高，造成每分鐘網路流量大幅增加。在為期 6 至 7 天的觀察期間，其網路活動從 420 萬飆升至 850 萬次嘗試登入，因而讓這起殭屍網路暴力攻擊與試圖暗中存取活動曝光。

[延伸閱讀：A Shift in the ATM Malware Landscape: From Physical to Network-based Attacks]

目前，金融業與零售業依舊是這類攻擊的主要目標，因為這類自動化攻擊非常容易實行。而且行動裝置與網站的介面和作業系統通常會盡可能精簡，因為冗長的載入時間不利於客戶和合法使用者的線上體驗。同時，客戶和員工也習慣在多個網路帳號上使用相同的電子郵件與密碼組合，而企業也仍在使用一些老舊或廠商已不再支援的作業系統。除此之外，還有企業的員工和現有系統無法有效分辨正常使用者與網路犯罪集團的登入活動。

四招金融業防範憑證填充攻擊的方法

由於網路犯罪集團總是處心積在尋找獲利方式，因此針對金融業網路資產的攻擊不論是數量、型態和手法都會不斷增加。以下是一些強化安全來防範這類攻擊的建議方法：

養成良好的密碼習慣。避免在不同的網路帳號上使用相同的電子郵件與密碼組合，此外也要經常更換密碼。
盡可能啟用雙重認證 (2FA)，畢竟，多一層保護總是多一分安全保障。
定期下載廠商提供的更新。
觀察您的網路流量和系統。如果網路查詢、登入數量突然暴增，或者速度突然變慢，都有可能是遭到攻擊的跡象。採用一套資安軟體來掃瞄並清除惡意程式感染。

[延伸閱讀： ATM 惡意程式 Alice, 專門用來清空自動提款機]

趨勢科技 XGen™ 防護能為企業提供跨世代融合的威脅防禦技巧，完整防範各式各樣的威脅，保護資料中心、雲端環境、網路及端點。

它藉由高準度的機器學習來保護閘道與端點資料和應用程式，保護實體、虛擬及雲端工作負載。XGen 能藉由網站/網址過濾、行為分析及客製化沙盒模擬分析，來防範今日針對企業量身訂做的威脅，這些威脅不僅能避開傳統資安防禦，更能利用已知、未知或尚未公開的漏洞，竊取個人身分識別資訊或將資料加密。XGen 是趨勢科技 Hybrid Cloud Security 混合雲防護、User Protection 使用者防護以及 Network Defense 網路防禦等解決方案的技術基礎。

原文出處：Report Finds Increased Credential Stuffing Attacks on Financial Sector

《病毒30演變史》「一封郵件騙走一棟房子」老闆,別再成詐騙集團金雞母 ! 2018年趨勢科技首創 AI 技術防禦BEC 詐騙

2018 年 10 月 16 日2018 年 10 月 19 日趨勢科技 TrendMicro

趨勢科技成立之初,當年出現的病毒,是靠磁碟片傳播的
今年(2018年)趨勢科技成立滿 30 年,我們一同回顧 30年病毒/資安威脅演變史。
本篇來到 2013年開始興起的 BEC 電子郵件詐騙,及趨勢科技如何使用人工智慧 (AI) 及機器學習來防禦這類詐騙

2017年 10 月新竹一間長期與中國代工廠合作的科技公司，原本都用對方「xxx@ximhan.net」信箱聯絡，沒想到歹徒另創立名稱相似的「xxx@xlmhan.net」假帳號，以定期更換受款帳戶，以免遭洗錢犯罪利用為由，要求更改受款帳戶。該公司不疑有他，一時眼花, i 跟 l 分不清,損失新台幣2千餘萬元!這是變臉詐騙攻擊或稱為商務電子郵件入侵(Business Email Compromise 簡稱 BEC) 常用的手法。一封郵件騙走一棟房子一點都不誇張。

刑事局受理的 BEC 詐騙案件，到今(2018)年 10月5日為止，已有 45 件，平均算起來，大約每周都會有一家臺灣企業遇害報案，而遭到詐騙的金額更是已經超過2億元。

美國南俄勒岡大學在 201 7年 4 月底因BEC 詐騙轉帳損失190萬美元。他們以為轉帳對象是負責建設學生娛樂中心的建築公司。但該公司從未收到過該款項
原因是騙子冒充既定廠商，向大學財務處發送支付帳戶變更通知郵件

趨勢科技看過各種 BEC 詐騙手法,包含用”採購訂單”當網路釣魚檔名;網路釣魚執行檔易被起疑心, 改用 HTML 附件讓你上鉤!;2017年男大生認罪, 利用 Limitless鍵盤側錄程式危駭數千企業! 趨勢科技FTR 團隊協助逮捕;

FBI 報告：全球變臉詐騙 (BEC) 損失金額已超過 120 億美元

繼續閱讀

這些員工沒看穿的騙局,造成的損失可能比病毒還大－企業常見四種電子郵件威脅

2018 年 10 月 08 日2018 年 11 月 07 日趨勢科技 TrendMicro

儘管社群媒體和即時通變得越來越普及，但電子郵件仍是企業重要的溝通工具。不幸的是，電子郵件的廣泛使用也讓它成為網路犯罪的理想平台。在本篇文章中將會介紹四種電子郵件威脅垃圾郵件、網路釣魚(Phishing)、詐騙郵件和變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱BEC)。

垃圾郵件（Spam）

儘管有許多方法可以過濾掉這些不想要的電子郵件，但垃圾郵件仍舊讓企業吃了不少苦頭。雖然一般都只將將垃圾郵件視為擾人的事情，但真正危險的是透過垃圾郵件散播的惡意軟體。在2016年，有71%的勒索病毒Ransomware (勒索軟體/綁架病毒)透過垃圾郵件傳播，讓電子郵件成為最常見的攻擊媒介。與網路釣魚郵件一樣，垃圾郵件也可以偽裝成像從銀行或網路商家等合法來源寄出，增加無辜使用者下載可疑檔案的機會。Cerber、Petya和Locky等勒索病毒攻擊事件也顯示出惡意垃圾郵件攻擊的規模可以發展得有多大。

快速提示：網路管理員應確保正確地設定垃圾郵件過濾器，包括政策管理和威脅偵測等級設定。此外，全面性的電子郵件安全閘道需要具備網頁信譽評比追踪、文件漏洞攻擊偵測和客製化威脅情報等功能，能夠在針對性攻擊到達使用者之前先加以封鎖。

網路釣魚（Phishing）

網路釣魚是種利用操縱心理手法來誘使收件者洩露敏感資訊的電子郵件威脅，駭客再將這些敏感資料拿去販賣或用在其他惡意用途。網路釣魚攻擊通常會使用以假亂真的寄件者加上社交工程（social engineering ）過的郵件內容，讓缺乏這類詐騙意識的一般使用者很難加以分辨。網路釣魚郵件還可能夾帶了惡意軟體附件檔、詐騙網站連結或是兩者都有。

魚叉式釣魚（spear phishing）是一種更加針對性的網路釣魚攻擊，它會針對特定個人或組織進行高度客製化的攻擊。在此類攻擊中，駭客通常會對目標受害者進行廣泛的研究，以求製作的電子郵件看起來更像真的。雖然一般使用者常常成為魚叉式釣魚攻擊的目標，但大型企業也會成為駭客的目標，如2016年的「Pawn Storm行動」。

快速提示：網路犯罪分子會利用各種社交工程（social engineering）來迫使目標受害者下載檔案或給出敏感資訊，因此教育員工如何防範網路釣魚攻擊非常重要。如果企業的安全軟體整合了網路釣魚防護功能，則應該啟用並正確地設定。

繼續閱讀

薪資匯款帳號變成駭客銀行帳戶?!美國大學員工被竊逾600萬美元

2018 年 09 月 20 日2018 年 09 月 11 日趨勢科技 TrendMicro

美國司法部公告了一名奈及利亞公民因涉嫌合謀詐欺、電腦詐騙及嚴重身份竊盜而被定罪，他企圖用網路釣魚(Phishing)騙局來從數家美國大學的員工竊取超過600萬美元。

經過在喬治亞州亞特蘭大為期三天的審判之後，被告被判有罪，並將於2018年10月22日服刑。他的同黨在1月被判處三年零三個月的監禁。

他們從馬來西亞吉隆坡進行這起詐騙行動，發送了釣魚郵件給大學員工。在取得大學員工的帳號密碼後，他們將薪資單的匯款資訊變更為自己利用愛情詐騙（romance scam）取得的銀行帳戶。接著再將偷來的錢匯到國外。除了竊取薪資外，他們還進行假退稅申報，使用了從大學員工帳號所取得的W-2表(美國報稅表工資與稅務說明書,類似台灣的扣繳憑單)。

網路釣魚的力量

網路釣魚仍是最常見的網路犯罪技術。趨勢科技在最近偵測到一起網路釣魚詐騙，向目標受害者發送了超過13,000封的網路釣魚郵件。這波郵件活動使用了HTML附件檔。主要目標是加拿大皇家銀行的加州客戶。

網路釣魚也是變臉詐騙攻擊或稱為商務電子郵件入侵，簡稱 BEC)的主要組成部分，聯邦調查局稱這種詐騙造成了120億美元的損失，受害者遍佈各種規模的組織及個人。在6月，一群位在以色列從企業竊取1800萬歐元的BEC詐騙首腦在經過兩年的調查後落網。

防範網路釣魚和BEC詐騙

資安意識和適當的教育訓練可以協助個人和組織識別網路釣魚詐騙來避免成為這類攻擊的犧牲品。部署正確的安全解決方案 – 傳統防禦加上人工智慧（AI）和機器學習先進技術有助於強化對各種網路威脅的防禦。

趨勢科技的郵件安全產品使用了人工智慧（AI）和機器學習來增強對BEC詐騙、電子郵件帳號入侵（EAC）、網路釣魚和其他進階威脅的整體網路防禦。趨勢科技的防BEC詐騙技術結合了資安專家的知識與自我學習的數學模型，透過檢查行為因素和電子郵件意圖來識別假電子郵件。

新的寫作風格（Writing Style）DNA會利用AI基於過去電子郵件的寫作風格來識別使用者的DNA，將其與可疑的假郵件進行比較來偵測造假郵件。這功能最適用在使用入侵合法郵件帳號的BEC詐騙攻擊。當一封郵件疑似要欺騙使用者時，會將寫作風格與訓練過的AI模型進行比較，並發送警告給被冒用的寄件者、收件者和IT部門。從2018年6月開始，趨勢科技Cloud App Security for Microsoft Office 365和ScanMail Suite for Microsoft Exchange已經使用了此項新技術。

趨勢科技還推出了FraudBuster，它會分析電子郵件、簡訊及聊天訊息內容來判斷這是否可能是詐騙。如果使用者對訊息內容有任何疑問，建議使用這項免費工具來進行檢查。Fraudbuster還會提供收到詐騙訊息後該如何做的建議。它的目的是為了保護使用者免於落入愛情或稅務等詐騙的陷阱。

@原文出處：Phishing for Payroll: Nigerian National Convicted for Attempted Stealing of $6M+ via Phishing

趨勢科技報告指出網路犯罪集團開始轉向低調攻擊

2018 年 09 月 04 日2018 年 09 月 11 日趨勢科技 TrendMicro

趨勢科技發佈了 2018 上半年的安全總評報告，我們希望能透過此報告，分享在 Trend Micro™ Smart Protection Network™ 發現的威脅情報，識別針對客戶的威脅。以下要跟大家分享一些資訊，有關這些趨勢和網路犯罪者如何影響您和組織。

網路犯罪者會定期改變攻擊的目標、手段、目的。我們最近發現網路犯罪的轉變，從大規模的勒索軟體散佈活動轉向更具針對性的攻擊，使用勒索軟體作為破壞關鍵業務營運的工具。所有依靠關鍵系統營運的組織都需要準備好，面對鎖定目標攻擊的威脅。另外我們也發現，加密貨幣挖礦和挖礦綁架已經成為主要的網路犯罪威脅。這種威脅已經成為犯罪者的常見行為，也有許多如何進行這種犯罪的討論。雖然這種威脅的破壞性沒有勒索軟體這麼強，卻可以破壞系統作業，因為大多數加密貨幣挖礦惡意軟體的目標，都是盡可能使用最多系統資源來挖礦；如此一來，系統便無法支援主要業務營運。

所有支援關鍵基礎架構的組織都要考慮如何強化 ICS/SCADA 網路，因為我們注意到攻擊者想進行破壞性攻擊，而不只是在入侵網路時進行偵察和測試攻擊能力。正如我們的 Zero Day Initiative 調查結果顯示，這類產業的應用程式及裝置漏洞正在增加；更令人擔憂的是，受影響的廠商都沒有盡快修補漏洞。隨著廠商開始對修復錯誤的責任增加，這種情況可能會改變；但在這之前，提供關鍵基礎架構的廠商需要改進修補流程，例如在網路和主機層使用虛擬修補程式。

正如聯邦調查局的資料顯示，自 2013 年以來，變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)/ 威脅逐年增加，造成的總損失已達 120 億美元。這表示這項威脅的簡單程度 (犯罪成本低) 和高報酬鼓勵了潛藏在威脅攻擊幕後的犯罪者。未來可能會有更多攻擊者和犯罪組織利用這種威脅，攻擊各種規模的企業。好消息是，勤於教育財務和人資員工如何辨識這種威脅，並實施雙因素請求驗證，可以大大降低入侵風險。

整體來說，組織需保持警惕，審視安全流程和現有資安解決方案。由於技術複雜，缺乏管理問題的訓練人員，在全組織貫徹解決方案，才是真正的問題。企業應該考慮整合及連接防禦措施，才能更快地防禦新威脅，並提高整個基礎架構的能見度。最後，考慮投資使用即將進入市場、結合人工智慧和機器學習的進階威脅防護，但不要忘記阻止現今許多威脅時，許多傳統技術仍非常有效。

年度期中資安總評彙整威脅發展趨勢:虛擬加密貨幣挖礦、SCADA漏洞威脅攀升

【2018 年 9 月 4日台北訊】全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 今日發表「2018 上半年資安總評」報告，指出網路犯罪集團正逐漸捨棄容易引人關注的勒索病毒攻擊，轉而採用鴨子划水的方式暗中進行攻擊，以達到竊取錢財和珍貴運算資源的目標。

截至目前為止，今年衝擊最大的資安威脅是虛擬加密貨幣挖礦。趨勢科技發現，光是2018 上半年虛擬加密貨幣挖礦活動的偵測數量就比 2017 年一整年的數量成長 96%，若與 2017 上半年相比，更是成長 956%，顯示網路犯罪集團正逐漸捨棄能讓他們快速致富的勒索病毒，轉而暗中竊取運算資源來開採虛擬貨幣。

趨勢科技全球威脅通訊總監 Jon Clay 表示：「近期威脅情勢的轉變一如我們多年來的觀察，網路犯罪集團隨時都在變換其攻擊工具、手法、程序 (Tools, Tactics and Procedures, TTPs) 以提升感染的成功機率。傳統大量散布的勒索病毒與資料外洩攻擊大家已耳熟能詳，因此歹徒開始改用一些更隱匿的方法，並且經由先前從未見過或較少使用的途徑來入侵。這也意味著企業必須隨時評估其防禦能力，確保自己足以應付最新、最迫切的威脅。」

今年上半年另一項明顯的轉變是歹徒開始改用一些特殊的惡意程式，例如：無檔案式惡意程式、巨集惡意程式，以及小檔案惡意程式。趨勢科技發現，尤其是名為「TinyPOS」的小檔案惡意程式，其偵測數量較 2017 下半年成長了 250%，箇中原因很可能是這類惡意程式越來越懂得如何躲避那些只具備單一防護能力的資安產品。

除上述趨勢之外，趨勢科技 Zero Day Initiative (ZDI) 漏洞懸賞計畫在 2018 上半年發布了 600 多次漏洞公告。值得注意的是在今年的漏洞公告當中，ZDI 所發佈揭露的 SCADA 系統漏洞是去年同期的兩倍，因此，擁有這類環境的企業資安主管必須密切關注此項威脅的發展。尤其，歹徒已經開始在攻擊中從事一些破壞活動，而非單純只是進行偵查和測試。

面對快速演變的威脅，企業應集中採用一家能提供完整多層式防護的廠商，不僅要能防範一般常見的惡意程式，更要能夠防範各種新興威脅。趨勢科技憑著 30 多年來累積的領先威脅情報來提供完整的防護，今年截至目前為止已攔截了 200 億次威脅以上，並且數量還在持續攀升中。