資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

網路釣魚利用ZeroFont 技術,閃避Microsoft Office 365過濾器

2018 年 06 月 28 日2018 年 06 月 28 日趨勢科技 TrendMicro

ZeroFont是一種早期駭客發送網路釣魚信件時,用來繞過Microsoft Office 365的電子郵件審查的技術。顧名思義,它以善於操縱訊息的字型,比如將字體大小設為零,收件人看不見,藉以騙過 Office 365的自然訊息處理（一種用來篩選有毒信件的電腦程式）。

根據發現Zerofont的以色列研究人員表示，駭客會寄出嵌入隨機符號與單字的信件，藉此避免過濾器針對可疑的內容做出安全警告的標記。ZeroFont 利用 < span style=”FONT-SIZE:0px” >這串將字型大小標記為零的HTML語法,藉以隱藏嵌入的字詞,讓Office 365郵件過濾器將其視為一些隨機的字母,而無法辨識可疑內容。

圖一，ZeroFont 字母在HTML中的範例(圖片來源: Avanan)

ZeroFont 能繞過Office 365的例子，舉例來說像是：信中帶有“蘋果”或是“微軟”等字句，但其實信件本身並不是從正常合法的公司網域發出來的。但Office 365的過濾器無法對這類信件篩選，因爲字型大小為零的關係，過濾器和一般用户看到的内容完全不同,根本讀不到這類的可疑字句或隨機符號。

繼續閱讀

機器學習如何發現 BrowseFox 大規模憑證濫用?

2018 年 06 月 28 日2018 年 06 月 20 日趨勢科技 TrendMicro

透過機器學習(machine learning )演算法趨勢科技發現了BrowseFox大規模的憑證簽章濫用，BrowseFox是被趨勢科技偵測為PUA_BROWSEFOX.SMC的潛在不必要程式（PUA），會非法注入彈出式廣告的廣告軟體外掛。儘管它用的是合法的軟體程序，但廣告軟體外掛可能會被駭客所利用，使用惡意廣告來將受害者導向惡意網站，進而不知不覺地下載了惡意軟體。根據分析，我們從200萬筆已簽章檔案所組成資料集內判斷出有大量的BrowseFox – 這些檔案的有效性和完整性已通過驗證。

發現BrowseFox憑證濫用

我們是在準備2017年BlackHat亞洲大會演講時發現此憑證簽章濫用問題，原本是要展示如何將局部敏感雜湊（Local Sensitive Hashing, LSH）用於智慧/動態白名單（SHA1或MD5等加密雜湊完全不適用於此領域）。

在使用趨勢科技局部敏感雜湊（Trend Micro Locality Sensitive Hashing, TLSH）群集分析200萬筆簽章檔案組成的資料集時，我們確定許多群集（cluster）具有非常特殊和奇怪的特徵：群集檔案由許多不同簽章者（signer）簽章。許多合法軟體也會有這種情形，但跟BrowseFox相關聯的群集有另一個屬性；當我們針對簽章者建立群集圖時，這些群集形成一個約略的二分團。然後我們可以識別與該團相關的檔案，隨後將約25萬筆檔案標記為疑似BrowseFox。我們檢查了VirusTotal上的疑似樣本，發現了5,203筆檔案雜湊，並確定它們確實是BrowseFox。經過進一步的調查，我們發現這些檔案已經由519名不同的憑證簽章者簽章註[1]。這似乎是BrowseFox的策略 – 建立新簽章實體來取得有效憑證。

正如之前在「探討（惡意）軟體下載的長尾現象」中所觀察到，已簽章檔案並不一定就非惡意。事實上，研究顯示有許多被下載的惡意軟體都是簽章過的。BrowseFox的調查結果進一步地凸顯出駭客如何濫用有效的憑證簽章者來散播惡意軟體。

在我們200萬筆已簽章執行檔所組成的資料集中，有大量檔案（24.4萬筆）屬於BrowseFox的惡意軟體或PUA檔案。這24.4萬筆檔案透過兩個嚴格的條件被識別為BrowseFox：首先，該檔案由這519個惡意簽章者之一所簽章，其次，它屬於其中一個BrowseFox群組。

圖1、在VirusTotal上所看到BrowseFox檔案簽章資訊

圖1顯示從VirusTotal收集的BrowseFox樣本。簽章資訊內的根憑證所有者是VeriSign，它提供程式碼簽章服務。建立這檔案的實體或公司（也就是最終簽章者）是Sale Planet。也就是說這個BrowseFox PUA檔案也是由合法簽章者所簽章。

繼續閱讀

《資安漫畫》Mac也會中毒？

2018 年 06 月 27 日2019 年 11 月 08 日趨勢科技 TrendMicro

Mac 最近總是燒燙燙?原來是下載到假的Flash Player,被植入挖礦程式了,詳情請看:Mac 最近總是燒燙燙?原來是下載到假的Flash Player,被植入挖礦程式了

「Mac不會中毒」的神話不再…..

Macbook Air或是 Macbook Pro等的Mac電腦是相當有人氣的。因為Mac一般來說在消費者眼裡存在著「Mac不會感染上病毒」的印象，所以會採取防毒對策的用戶幾乎少之又少。實際上，瞄準Mac的病毒早已存在了。

比如:
專挑 MacOS 的勒索病毒, Patcher假修補真加密,付贖金也無法挽回檔案,

Mac 用戶當心!兩隻遠端存取木馬竊取個資,監看電腦螢幕及記錄鍵盤輸入

首例! Mac 用戶也不能倖免於勒索軟體,「KeRanger」鎖定蘋果 Mac OS X 系統

iWorm為Mac安全防護敲響警鐘？新蠕蟲感染1.7萬台蘋果Mac電腦

WhatsApp 提供 Windows和Mac版?!銀行木馬假好心真詐騙

假 Mac OS 安裝程式透過手機帳戶向使用者收錢

最近有一則謊稱是蘋果公司將會傳送「用戶的帳號將暫時失效」等的信件，伺機將收件者誘導至類似仿蘋果的登入頁面的釣魚詐騙網站，從去年起已確認到不少不斷地變更各種詐騙的手法了。此時伺機騙取登入Apple Store時或是 iCloud時必須輸入的Apple ID或密碼、個資、信用卡等的資料。相關報導:將網路用戶誘導至惡意網站，趁機騙取資訊及金錢的網路詐騙已經開始瞄準Mac用戶。繼續閱讀

別當殭屍礦工 – 下篇：如何避免感染挖礦程式？

2018 年 06 月 26 日2018 年 06 月 28 日趨勢科技 TrendMicro

上篇我們談到別當殭屍礦工 – 上篇：就是這三個把你的電腦當成挖礦機! 這篇我們繼續來看看要避免裝置感染加密虛擬貨幣挖礦程式，該遵守那些原則 ? 其實只要確實遵守原本防範病毒、蠕蟲、殭屍病毒、惡意程式、勒索病毒 Ransomware (勒索軟體/綁架病毒)等威脅的資安原則即可，因為這些挖礦程式通常也是經由網路釣魚和社交工程技巧進入您的裝置。

趨勢科技提供一些日常上非常實用的幾個原則：

強化密碼:強化連網裝置 (如路由器) 的密碼以防止不肖之徒駭入，或者啟用網路或本機防火牆來阻擋駭客。
防堵漏洞:定期更新系統並安裝最新的安全修補，防止系統漏洞成為感染途徑。
啟用瀏覽器資安功能:確實啟用瀏覽器的所有資安功能來防範網站威脅，包括網站隱碼、瀏覽器腳本以及瀏覽器延伸功能或輔助物件 (Browser Helper Object, 簡稱 BHO) 相關的攻擊。
謹防廣告程式暗藏挖礦程式:使用廣告攔截軟體來防止惡意廣告所暗藏的挖礦程式。
防止社交工程攻擊:啟用垃圾郵件過濾功能，並熟悉網路釣魚(Phishing)與假冒軟體慣用的社交工程social engineering 攻擊手法，包括不請自來或精心設計的電子郵件和訊息，其中很可能挾帶惡意連結或附件檔案 (例如有毒的影像檔)。
勿從不明網站下載及安裝軟體:除此之外，一些已遭感染的網站、社群網路、第三方軟體派送機制也可能成為惡意連結及檔案的來源。為了防範這些威脅管道，請勿從不明網站下載及安裝軟體。
點選連結前要三思:在點選短網址或不明網站網址時要特別小心，因為您很難判斷這類連結的真實性。
提防山寨版免費app 耍心機:隨時小心提防假冒正牌軟體的應用程式，或是像今年 3 月出現在 Apple App Store 上的「Calendar 2」這類應用程式。該軟體明確告知使用者其內含挖礦程式，出廠預設的「免費」版會在程式安裝之後就開始利用使用者裝置開採門羅幣 (Monero)，但因為程式設計的錯誤而導致使用者就算付費也不會關閉挖礦功能。
善用「工作管理員」或「活動監視器」:如果您懷疑自己的電腦可能感染了虛擬加密貨幣挖礦程式，您可利用 Windows 的「工作管理員」來查看是否有任何來自本機或網站的不明腳本/應用程式/執行程序正在消耗大量 CPU、記憶體、網路或顯示卡資源。在 MacOS 作業系統上則可使用「活動監視器」來查看。
留意應用程式所要求的權限:至於 Android 裝置，請小心注意應用程式在安裝時所要求的權限，例如 HiddenMiner 挖礦程式就會要求提供系統管理員權限以便能夠安裝其他惡意程式。
主動備份:不論在 iOS 或 Android 裝置上，請主動備份裝置上的資料到雲端 (如 iOS 的 iCloud 或 Android 上的類似雲端服務)，如此一來，萬一感染了挖礦程式而必須重設裝置，也能復原裝置資料。

繼續閱讀

您的託管式偵測及回應服務能做到這點嗎？

2018 年 06 月 25 日2018 年 06 月 22 日趨勢科技 TrendMicro

趨勢科技在北美地區推出了自家的「託管式偵測及回應」(Managed Detection and Response，簡稱 MDR) 服務。我趁著和 ESG 的 Jon Oltsik 碰面的機會，討論了一下我們的方案內容以及為何選擇在這時候推出。

隨著駭客攻擊越來越高明，企業必須改用一些更進階的偵測及回應技術來因應。有時候，一套偵測方法要能奏效，必須要能交叉關聯來自網路、伺服器及端點的威脅才能清楚掌握針對性攻擊的完整樣貌。很不幸的，由於網路資安人才的短缺或人員編制的不足，企業在分析大量資安警示及資料時常顯得力不從心。

趨勢科技託管式偵測及回應能為趨勢科技客戶提供進階威脅追蹤服務。客戶只需部署一套整合式端點解決方案就能記錄系統層次的活動。這些記錄資料會持續傳送至趨勢科技服務中心。客戶也可部署 (或已部署) 一套 Deep Discovery Inspector 裝置。這套裝置可記錄網路層次的活動與警示，並將資訊傳送至趨勢科技的 MDR 服務。趨勢科技的 MDR 分析師會利用這些資料來描繪出進階威脅的完整樣貌，包括威脅如何入侵企業、如何躲藏、如何在企業內蔓延。藉由交叉關聯這些資訊，MDR 服務還可發掘可能受到攻擊的工業 IoT 裝置。

這項服務提供了上線支援、7 天 24 小時警示監控、警示優先順序判斷與調查，以及威脅追蹤服務。趨勢科技將監控客戶的 Deep Discovery 和 OfficeScan 環境、查看資安事件來判斷威脅的根源/入侵點，並且可能的話，透過追蹤和調查來提供更完整的事件警示。此外，趨勢科技分析師還會協調客戶採取必要的矯正措施，提供建議的變更來遵從最佳實務原則以防範威脅。必要時，客戶也會與趨勢科技資安營運中心的資安分析師透過線上或電話直接聯繫配合。