歷史上的病毒 - 資安趨勢部落格

《1987-2018 資安威脅演變史》回顧主動事件應變策略的發展與對企業的意義

2018 年 05 月 09 日2018 年 09 月 19 日趨勢科技 TrendMicro

本文回顧威脅情勢發展上一些促使企業開始採取主動事件應變策略以強化其網路資安防禦的重大事件。

今日的威脅既複雜又猖獗，光靠防範似乎已經不夠。事實上，根據專家指出，威脅已經無可避免。除此之外，再加上網路資安技術上的缺口也使得資安威脅對企業的營運、獲利和商譽帶來龐大的風險。為了因應這樣的情況，企業開始改懸易轍，建置一些主動偵測技術與事件應變策略來強化其防禦。換句話說，企業或許無法完全避免所有的資料外洩或網路攻擊，但卻能夠針對這類可能帶來重大損失的事件做好更周全的準備，進而降低、控制損害並從中復原。

然而，是什麼樣的原因造成這樣的改變？促使企業在網路資安防禦當中加入主動偵測、回應及矯正技術的因素為何？讓我們來回顧威脅情勢發展上一些促使企業開始採取主動事件應變策略以強化其網路資安防禦的重大事件。

1987 年 10 月

Cascade (瀑布) 病毒現身 (德國稱為「Herbstlaub」)，其名稱的由來是：當該病毒啟動時，螢幕畫面上的文字會像瀑布一樣往下墜落到畫面底部。Cascade 當初原本打算避開 IBM 電腦不加以感染，但卻因為一個程式錯誤而讓它幾乎擴散至比利時某個辦公室中的所有電腦。Cascade 病毒的出現，也促使了防毒軟體的問世。

1987 年 11 月

Lehigh (理海) 病毒 (或稱為「command.com」病毒) 感染了 DOS 作業系統開機所需的系統檔案。該病毒是以當初發現病毒的美國理海大學 (Lehigh University) 來命名，是第一個會將電腦資料清除的病毒。為了因應這個病毒，該大學的電腦中心還對全校學生和教職員發出了緊急通告。此外，病毒的作者也通知了其他大學有關該病毒可能帶來的影響。

1988 年

Morris 蠕蟲發動阻斷服務 (DoS) 攻擊並大量散布，根據報導，網際網路上約有 10% 的電腦因而當機。這是當時第一個對網際網路骨幹造成重大影響的病毒之一。這起事件也因而讓人意識到網路緊急事件聯合應變的必要性，促使專家們成立了後來的「電腦緊急應變小組」(CERT)。而 Morris 蠕蟲也為隨後數十年企業所遭遇的惡意程式打下重要基礎。繼續閱讀

12 個惡名昭彰的網路銀行木馬與五個不讓存款人間蒸發的方法

2016 年 07 月 19 日2017 年 08 月 16 日趨勢科技 TrendMicro

你在擁擠的馬路上行走時會小心扒手,那在網路呢?

網路銀行提供了許多便利性，也帶給詐騙份子可乘之機,為了避免Google的索引雷達，網路銀行扒手沒有註冊任何主機名稱/網域;他們假裝來自正常銀行的網路釣魚是用來獲取敏感資料;利用間諜軟體竊聽網路封包;甚至會試圖置換某些銀行的聯絡電話成攻擊者所控制的惡意號碼….

以下是一些攻擊者使用過並繼續讓許多網銀用戶存款人間蒸發的著名銀行木馬列表：

ZBOT（又名ZeuS）: 監視使用者的瀏覽狀況以觸發攻擊

ZBOT是公認透過 HTTP POST 到遠端網址來收集資訊。網路犯罪分子可能會用取得的資料來從受害者身上竊取金錢或到地下市場出售。此外，一旦電腦受到感染，它也會成為「Botnet傀儡殭屍網路」網路的一部分。

2011年，ZBOT的原始碼在檔案分享網站流傳，並且在地下論壇迅速地蔓延。在ZBOT問世後幾年，許多網路犯罪分子利用它的程式碼來建立具備類似功能的變種。ZBOT變種常會出現意想不到的行為，像是結合檔案感染型病毒，有些變種還會透過點擊付費（per-pay-click）模式收錢。

有些ZBOT變種會調整行為來躲避偵測，包括使用隨機標頭和不同副檔名，還會改變其加密方式。此外，它也加強其連到C&C伺服器的方法，像是使用Tor和點對點網路。

GOZI利用螢幕擷取和鍵盤側錄功能，取得登錄認證

GOZI銀行木馬是會監視網路流量的間諜軟體。利用其螢幕擷取和鍵盤記錄功能，它可以取得存在瀏覽器和郵件應用程式的登錄認證。GOZI利用Rootkit組件來隱藏相關進程、檔案和註冊表資訊。

在2015年9月，拉脫維亞的Deniss Calovskis在美國聯邦法院承認關於製造和散播網路銀行木馬GOZI的罪名。他在2015年2月從家鄉引渡到美國，Calovskis面臨60年以上的求刑，但認罪可能讓它大大縮短至10年再加上巨額罰款。繼續閱讀

“庫妮可娃”病毒，十五歲生日快樂！

2016 年 02 月 11 日2018 年 10 月 20 日趨勢科技 TrendMicro

【離奇客訴~】就算中毒也要看庫妮可娃的真面目!?

當年紅極一時的安娜庫妮可娃 (Anna Kournikova) 病毒在2001年 2月11 日發病,已經屆滿十五歲，每次當我想到這個病毒，我就想到一個故事，這是有關一通來自我們使用者因系統遭該病毒感染而打來的電話。那位使用者非常生氣，但並不是因為感染而生氣,而是我們的防毒軟體移除了病毒,讓他頗為不悅。因為他還是很想看到庫妮可娃的照片。很顯然地，感染的問題已經是其次，客戶生氣的原因是因為最後沒有看到想看的照片。以下是該病毒的電子郵件訊息：

Subject line: “Here you have, :o)”
Message text: “Hi: Check this!”
Attachment: “AnnaKournikova.jpg.vbs”.

這就是社交工程 ( Social Engineering )陷阱活生生的案例！

社交工程（social engineering ）陷阱技巧在過去十五年已經有長足的進步。十年前被庫妮可娃電子郵件病毒感染的使用者，現在對於不明來歷的電子郵件普遍都存有戒心。因此，今日的戰場已經轉到網站上，所以歹徒總是想盡辦法要讓使用者點選惡意連結。現代的社交工程（social engineering ）通常會利用使用者「非要某種東西才可以」的強迫心態或是「可能覺得某某東西很有趣」的好奇心理。

在強迫心態方面，歹徒會讓使用者覺得他們非要什麼不可，然後再提供一個方便的連結，使用者只要點一下就能獲得。這個非要不可的東西，通常是一項安全更新、一個視訊解碼器，或者是類似的東西。這類技巧通常都會巧妙運用使用者的恐懼心理 (例如，不更新就可能遭到駭客攻擊)。

而在好奇心方面，歹徒會讓使用者覺得所提供的內容很有趣，因此會很想看。因為人們總是喜歡發掘新的事物，並且和好朋友分享 (最典型的例子就是 2008 年的那一波（安潔莉娜裘莉與布來得比特偷拍相關新聞）)。

這些年來，即使手法已經有所不同，但社交工程（social engineering ）攻擊的基本原理還是離不開人性的弱點，這些弱點在過去十年並無太大改變，未來也不太可能有所差別。

您知道嗎，本部落格有史以來點閱率最高的文章是哪一篇嗎？就是 2008 年有關安潔莉娜裘莉垃圾郵件的那篇。因為一直有人在 Google 上搜尋安潔莉娜裘莉的照片和影片，進而搜尋到該文章的連結。

而且，都已經十五年了，到現在還有人在搜尋安娜庫妮可娃的照片，這就是為何社交工程 ( Social Engineering )陷阱到現在都還歷久不衰的原因。

原文參考:安娜，十歲生日快樂！(Happy 10th Birthday, Anna!) David Sancho (資安威脅高級研究員) 著

PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制，可預防檔案被勒索軟體惡意加密

趨勢科技PC-cillin雲端版，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

《想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。

▼ 歡迎加入趨勢科技社群網站▼

Shellshock漏洞屆滿一年，您的伺服器和裝置是否更安全了呢？

2015 年 09 月 30 日2015 年 09 月 30 日趨勢科技 TrendMicro

當 2014 年爆發 Shellshock 漏洞時，資安研究人員第一時間就跳出來回應。當大多數的 Unix、Linux 及 Mac OSX 作業系統皆普遍使用的 Bash指令列介面程式爆發嚴重漏洞時，研究人員同樣也迅速著手研究網站伺服器可能如何遭到該漏洞的攻擊。Shellshock 漏洞發現當時，全球約有五億台裝置和系統受到威脅。

而研究人員擔心的問題也很快就應驗，網路犯罪集團迅速將 Shellshock 整合至現有的攻擊當中，使得一些使用 Bash 指令列介面程式 (至今已有 25 年歷史) 的裝置和伺服器瞬間陷入危機。就在該漏洞曝光的幾小時後，趨勢科技研究人員就在網路上發現針對此漏洞的攻擊。趨勢科技在一個樣本當中發現了 ELF_BASHLITE.A 惡意程式，它不僅可讓歹徒從遠端存取電腦，還可發動分散式阻斷服務 (DDOS) 攻擊。

當時許多企業也迅速做出回應，這或許是因為有了幾個月前的 OpenSSLHeartbleed心淌血漏洞的經驗。加拿大政府也預防性地將某些含有漏洞的系統下線。此外，美國聯邦金融機構檢查委員會 (FFIEC) 也警告金融機構應小心Shellshock 的危險，而英國國家電腦緊急應變小組 (CERT-UK) 也對該漏洞發出警訊。

有關 Shellshock 可能造成網站安全問題的疑慮甚囂塵上，因為，歹徒只需幾行程式碼就能入侵含有漏洞的伺服器。經過一番測試之後我們發現，並非所有使用 Bash 的系統都有可能遭到遠端攻擊，只有預設使用 Bash 為指令列介面程式的作業系統才會遭到攻擊。

Shellshock 帶來的恐懼仍持續至今

就在漏洞曝光的一星期之後，更多 Bash 相關漏洞和惡意程式相繼出現。Shellshock 曾被用於 DDoS 攻擊，一家知名的雲端服務被用來攻擊其他伺服器，包括某政府機關的伺服器在內。此外，巴西的政府單位和中國一家金融機構也遭到此漏洞攻擊。另一個相關的惡意程式還會下載 KAITEN 惡意程式的原始碼，此程式專門用於 DDoS 攻擊。除了攻擊伺服器和裝置之外，Shellshock 攻擊也可能影響分配用戶端 IP 位址的 DHCP 通訊協定，以及電子郵件的 SMTP 傳輸協定。

事隔一年之後，這份恐懼已經漸漸消退，但威脅卻依然存在。Shellshock 相關的攻擊仍持續肆虐數位世界。從2015年第二季起，趨勢科技已發現超過 70,000 次使用 Shellshock 漏洞的攻擊以及大約 100,000 次使用Heartbleed心淌血漏洞的攻擊。我們刻意架設了一個含有 Shellshock 漏洞的誘捕網路，光在過去 15 天內即遭到 50 次攻擊。

Shellshock 相關的感染已蔓延全球。與一年前的情況相比，今日受害最嚴重的地區仍大致維持不變。當年 Shellshock 曝光後的第一個月，絕大多數受感染的電腦都分布在亞洲 (34%)、歐洲 (34%) 和北美 (11%)。過去一個月，絕大部分受感染的電腦還是分布在亞洲 (46%)、歐洲 (23%) 和北美 (14%)。亞洲地區感染率較高的原因很可能是系統修補作業較未能落實的緣故。

圖 1：2014 年 9 至 10 月受 Shellshock 影響的地區,亞洲居冠。

圖 2：2015 年 8 至 9 月受 Shellshock 影響的地區,亞洲居冠。

儘管目前 Shellshock 漏洞仍未出現重大攻擊，但這仍無法掩蓋它是一項普遍性漏洞的事實，而且歹徒有可能利用它來製造真實的傷害。它可用於取得遠端存取權限、發動 DDoS 攻擊、散布惡意程式、竄改並汙損網站、建立「Botnet傀儡殭屍網路」、竊取資料、散發垃圾郵件和網路釣魚郵件，以及執行其他惡意指令。只要駭客的想像力夠豐富，就有無限的方式可攻擊任何使用 Bash 的應用程式和連網裝置，包括：路由器、IP 攝影機、網路閘道 (如 Citrix 的 NetScaler、F5 的 BIGIP 及 Cisco 的產品)，以及網站 CGI 程式。繼續閱讀

巨集病毒/惡意軟體20年：從「示範」意味的 Concept 病毒到 APT攻擊

2015 年 09 月 07 日2015 年 09 月 09 日趨勢科技 TrendMicro

巨集病毒/惡意軟體是資安界所面臨的問題中最長久的一個。自從第一個樣本出現在1995年以來，巨集病毒總是能找到方法來讓擺脫它們的努力化成烏有，一次又一次的以某種形式死灰復燃。我們相信它會具備如此韌性的很大一個原因是因為它所攻擊的是世上使用最廣泛也最無處不在的軟體，如Microsoft Office。從它第一次出現到現在已經有20年了，回顧一下過去這些年巨集惡意軟體歷史和將來會如何發展。

1995 – 1999年：早期年代

1995年，第一個巨集惡意軟體「Word-Concept 」首次誕生。它會利用微軟Word的巨集功能，被發現預裝在微軟所發布Windows 95的光碟上。它基本上無害，只會顯示帶有數字「1」和「OK」按鈕的對話框。也在同一年，第一個Excel巨集病毒XM_LAROUX出現。跟Word-Concept 一樣，「示範」作用居多，只會顯示一個帶有模糊訊息和確定按鈕的對話框。

在台灣最著名的例子正是1996 年現身的Taiwan NO.1 Word 巨集病毒。以下我們先分享幾個台灣本土巨集病毒發作的畫面:

在世紀末的1999年，最惡名昭彰的巨集惡意軟體之一梅麗莎(Melissa)出現。當時幾乎所有的信箱都塞滿了這樣標題的信件：「 Important message from < somebody>」(PS. Somebody 是寄件人的名字) ，信件內容為：「 Here is that document you asked for….don’t show anyone else:-)」並有一個內含80個色情網站 Word 附件檔。

一旦打開附件檔，會大量寄出郵件給使用者通訊錄上的前50名郵件地址。許多知名大企業並沒在情勢失控前，找到合宜的解決方案。甚至以關閉 Mail server 來對抗這隻史無前例擴散的病毒，全世界約有20%的電腦被感染，造成超過8,000萬美元的損失。
繼續閱讀