資安趨勢部落格 – 第 734 頁 – 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

【病毒警訊】新型勒索軟體病毒,亞太區爆發疫情, 切勿輕易打開來源不明信件

2015 年 01 月 30 日2015 年 12 月 18 日趨勢科技 TrendMicro

趨勢科技曾於上周發現新型態的勒索軟體 Ransomware，近日在亞太區已出現蔓延的趨勢。此惡意程式會偽裝於 Email附加檔案中。一旦被執行，使用者電腦上的檔案將會被加密鎖定而無法使用。同時攻擊者會要求受感染的用戶付出贖金(或透過虛擬貨幣)，獲得解密金鑰以還原被加密的文件。趨勢科技再一次提醒各位用戶，切勿輕易打開來源不明的信件。

以下為此次勒索軟體 Ransomware的相關資訊：(真實案例)

病毒攻擊皆是透過郵件(SMTP)偽造的寄件者，搭配看似正常的郵件內容，並附上一個壓縮格式的附件檔。上周發現的案例附件檔為.zip，但是最新發現的案例中附件已改為.cab。由此可知，此類攻擊很可能透過不同壓縮格式的檔案來傳播。
開啟附件後，該壓縮檔案中放著一隻副檔名為.src的檔案，此檔案即為此波攻擊中勒贖程式的主體。
一旦使用者開啟（執行）了該檔案，該勒贖軟體將自 internet中取得一組加密金鑰，並將使用者電腦中的文件、照片或資料庫等類型的檔案進行加密 (如:pdf、docx、xlsx、jpg…等)，並且出現類似下方的警告視窗，要求使用著支付贖金。同時，使用者電腦桌面將被綁架，該頁面亦無法被關閉：

如果按下左下角的「View」按鈕，會列出遭到加密的檔案：

此勒贖軟體還能夠任意恢復若干加密檔，以顯示其”真實性”：

截至目前為止，趨勢科技產品已可偵測攔截此勒贖軟體，( OPR病毒碼 11.445.00)並偵測為： TROJ_DALEXIS.YUU

TROJ_CRYPCTB.SME

TROJ_CRYPCTB.AU
此外，由於目前本勒贖攻擊的趨勢已擴及至亞太區，趨勢科技預測此惡意程式短期內也將有變種的可能，在此建議用戶盡快採取以下防範措施：
1. 確認防毒軟體病毒碼更新至最新

加強企業內部宣導，不要隨意開啟來源不明的郵件附加檔案 (特別是「.scr」等可執行檔)。
對於電腦中重要的文件與檔案進行「離線備份」。
在不影響日常郵件業務的前提下，建議從 SMTP管控設備(如 IMSVA or SMEX)上，攔截「.cab」或「.src」格式的附件。此外，再搭配啟動「電子郵件信譽評等」與「垃圾郵件過濾」服務，以降低中毒的可能性。
開啟 OfficeScan或 WFBS中惡意程式行為封鎖的功能。(方法請參考)
從閘道器端阻斷駭客所使用的 C&C Server 連結。僅列出本次攻擊行為中駭客所使用的網址如下供用戶們參考:

Joefel.com

m-a-metare.fr

ourtrainingacademy.com

locamat-antilles.com

thomasottogalli.com

cds-chartreuse.fr

勒索軟體提供變更勒贖訊息語系的選項,中國出現激增災情

2015 年 01 月 30 日2015 年 10 月 02 日趨勢科技 TrendMicro

CTB-Locker勒索軟體加入免費軟體功能並且延長期限

趨勢科技在去年七月發現一個稱為Critroni或Curve-TOR-Bitcoin（CTB）Locker的加密勒索軟體 Ransomware。最近我們觀察到CTB惡意軟體的改進，現在提供了「免費解密」服務、延長檔案解密期限及提供變更勒贖訊息語系的選項。這新變種還要求支付3比特幣（約630美元），而在七月所看到的舊版本只收取0.02比特幣或24美元。

除了這些改進外，我們也看到這些攻擊在某些地區激增，主要是歐洲、中東和非洲（EMEA）、中國、拉丁美洲和印度。

感染CTB-Locker

我們之前報導過CTB Locker會使用Tor來隱藏其活動，但這新變種有著顯著的新變化。

這個CTB-Locker變種透過垃圾郵件到達。這些垃圾郵件用不同的語言寄送，常常偽裝成重要通知訊息以誘騙收信者打開附加檔案，趨勢科技注意到是壓縮兩次的檔案。

這些攻擊所使用的部分垃圾郵件樣本被判斷是由長期存在的CUTWAIL殭屍網路之部分系統所發送。CUTWAIL已知會重複使用現有的資源（包括「Botnet傀儡殭屍網路」）；所以這波垃圾郵件攻擊的部分IP地址早出現在我們垃圾郵件黑名單上多年也就不令人意外了，有些地址甚至早在2004年就已經被列入黑名單。

圖1、帶有惡意ZIP附加檔案的垃圾郵件樣本，裡面包含惡意下載程式TROJ_CRYPCTB.SMD
其附加檔案實際上是一個惡意下載程式，被偵測為TROJ_CRYPCTB.SMD。這個惡意軟體會連到多個網址來下載CTB-Locker惡意軟體到系統上。這勒索軟體 Ransomware被偵測為TROJ_CRYPCTB.SME。檢查這些網址後，我們確定這些都是被入侵淪陷的網站，而且都在法國。這個惡意軟體用輪循（Round-Robin）的方式來選擇惡意軟體下載網址。

這裡有個解釋攻擊模式的圖表，感染鏈開始於帶有惡意ZIP附加檔案的垃圾郵件（如圖1所示的郵件範例）。

圖2、CTB-Locker感染鏈範例

新的發展

七月出現的舊版TROJ_CRYPCTB.A變種只給使用者72個小時，而這個新版本給使用者96個小時付款。延長期限可能是基於現實考量：較長的期限意味著可能會有更多受害者能夠支付費用。

按下「Next（下一步）」會出現「Test Decryption（測試解密）」的選項，惡意軟體在這裡透過免費服務來引誘使用者。「Test Decryption（測試解密）」功能可以隨機解密五個檔案，用以說服使用者真的可以解密。還出現說明訊息告知使用者不能重新命名或刪除檔案，只有被選中的檔案會被解密。該惡意軟體還會用其他語言（如德文、荷蘭文和義大利文）來顯示勒贖訊息。

繼續按下「Next（下一步）」會出現支付頁面，惡意軟體在這裡會指示受害者支付3比特幣（Bitcoin）或630美元以進行檔案解密；否則所有檔案都將永久保持加密狀態。該訊息還包括了如何透過Tor瀏覽器來支付贖金的說明。以下是趨勢科技在2014年七月所看到舊版本CBT-Locker及最新版本變種間的比較。

圖3、新 CBT-Locker變種要求高達630美元或3比特幣以讓使用者解密自己的檔案

該訊息指出受害者必須在期限內支付贖金。否則所有檔案將永久保持加密狀態。

分析變種後發現一個之前的 CTB-Locker所沒有的功能，就是有免費解密檔案的機會。這種免費模式曾經出現在惡意軟體CoinVault上，但這個 CTB-Locker變種還更加碼，讓受害人可以解密五個檔案而非只有一個。

免費解密可視為是一種說服使用者支付贖金的方式。解密檔案讓受害者覺得如果支付費用的話，自己的其他檔案也可以復原。

圖4、「免費解密」服務

繼續閱讀

拿到一款新遊戲或新主機，正想好好體驗一下,但卻無法連線到….

2015 年 01 月 29 日2015 年 01 月 29 日趨勢科技 TrendMicro

今年的國際消費電子展（CES）有許多關於電玩的消息。有新遊戲，新控制器，新系統，還有大量的遊戲創新。而它們的共同點是連線能力。

現在如果有遊戲沒有加入連網元素將會是個異數。共享的世界、季節、多人遊戲對戰及獎勵制度，連線遊戲提供了大量能夠增強體驗的方法。

它同時也帶來了各種風險。

最近的一個例子是在節日季節期間。微軟的 Xbox Live 和 Sony 的 PlayStation Network都據稱因為攻擊而處於癱瘓狀態。

Brian Krebs對於據稱為此攻擊負責的團體提供了更多細節。而到目前為止，沒有任何關於有資料遺失的報導。

這次攻擊對兩個服務的使用者都帶來了深深的失落感。想想看，當興奮地在假期拿到一款新遊戲或新主機，正想好好體驗一下…但卻無法連線到服務。

幸運的是對於使用者來說，這已經算是好的了。只是簡單的阻斷服務攻擊。

我們在2011年4月看到一個可憐的例子，Sony 的 PlayStation Network被入侵，7700萬筆帳號資料被盜。這次攻擊導致網路離線兩個禮拜，一個安全更新被派送到所有連接的設備以及成千上萬張信用卡出現潛在被竊風險。

這起攻擊不只對Sony來說代價昂貴 — 大約1億7100萬美金，也凸顯了玩家可能面對的風險。

連線遊戲和遊戲網路的目的都是為了提高社群連結和創造收入。

從玩家的角度來看，這意味著它們會儲存我們的社群連結關係圖（誰是我們的朋友，我們多常聊天，我們玩些什麼等）還有我們的帳單資料。攻擊者可以輕鬆地利用這些資訊來進行身份竊盜和金融詐騙。

那玩家可以做些什麼？

我們知道連線遊戲已經是現在的潮流。當你玩FIFA 15可以選擇國外的朋友對戰時，要比面對電腦來得有趣多了。多人共同進行天命（Destiny）的世界，會比只有電腦對手來的更加讓人滿足。這些遊戲都因為連線功能而變得更加豐富。

你可以透過幾個步驟來確保你的遊戲體驗盡可能安全：

在每個遊戲網路上使用個別的密碼。基本的密碼衛生習慣一直都沒變，個別密碼有助於減少潛在外洩事件對你生活的影響
監控信用卡帳單上奇怪的費用，有疑問時立即回報
善待他人，玩得開心！

＠原文出處：Video Game Vulnerabilities作者：Mark Nunnikhoven

“春節初一至初五拿身分證至各鄉鎮市區公所即可領 3000元紅包”是惡作劇!!

2015 年 01 月 27 日2015 年 01 月 27 日趨勢科技 TrendMicro

趨勢科技緊急提醒，隨著農曆春節將近，有網路犯罪者利用年節機會進行網路詐騙。近日陸續有民眾收到一則簡訊告知，只要於農曆正月初一至初五，憑身分證至鄉鎮市區公所，便可以兌換 3,000元紅包，並附有一個網路連結(URL)。民眾一旦開啟該連結，就會不斷跳出惡作劇諷刺開啟連結網友的視窗(如下文所示)，目前雖然看似無其他危害，但趨勢科技查驗發現，該網站曾出現過有從事可疑活動之不良紀錄。

趨勢科技資深技術顧問簡勝財呼籲民眾，收到此簡訊或Facebook分享連結時，不要因為好奇心點選或分享給親友，收到來路不明連結時也千萬不要點選，並安裝有信譽的行動防護程式如趨勢科技『安全達人』免費App，以保障自身的個資安全。此外，近日也有網友將此連結做為惡作劇透過臉書分享，建議常使用桌機、筆電瀏覽臉書的使用者，可透過資安防護軟體如趨勢科技『PC-cillin 2015雲端版』之封鎖惡意網頁功能，避免誤點惡意連結，全面提升臉書瀏覽之安全！

該網站經趨勢科技查驗發現曾有從事可疑活動之紀錄，趨勢科技建議民眾可安裝有信譽的行動防護程式如趨勢科技『安全達人』免費App，保障自身個資安全。

繼續閱讀

近七成行動裝置威脅屬於越權廣告程式

2015 年 01 月 27 日2015 年 01 月 27 日趨勢科技 TrendMicro

2014 下半年重大行動裝置威脅

隨著使用者對行動裝置的接受度越來越高，行動裝置威脅也隨之而來。 2014 年底網路犯罪集團利用各種方式，例如攻擊熱門平台、發掘裝置漏洞、開發更精良的假冒 App 程式等等，來竊取行動裝置上的個人資料，並直接拿到地下市場販賣。

行動裝置威脅正以飛快的速度朝精密化發展，惡意程式作者正是利用一般大眾不知如何正確設定行動裝置以及不知該從正常安全管道下載 App 程式的弱點。不僅如此，大多數的使用者對平台的安全建議也視若無睹，這就是為何許多人會為了獲得進階功能或是貪圖免費程式而破解行動裝置保護 (如越獄或 root)。

2014 上半年，我們見到非重複性行動裝置惡意及高風險 App 程式樣本數量正式突破二百萬大關，而且數量還在不斷增加，這距離上次突破一百萬大關僅僅六個月的時間。此外，我們也見到行動裝置惡意程式正逐漸演出成更精密的變種，例如數位貨幣採礦惡意程式 ANDROIDOS_KAGECOIN 和行動裝置勒索程式 ANDROIDOS_LOCKER.A。

[延伸閱讀：2014 上半年行動裝置資安情勢總評 (The Mobile Landscape Roundup: 1H 2014)]

這份報告詳述 2014 下半年的情勢發展，包括重大的行動裝置威脅及趨勢。

惡意及高風險的 App 程式數量現已達到 437 萬

行動裝置惡意程式數量在 2014 下半年又翻了一倍以上，距離上次突破二萬大關僅僅六個月的時間。現在，網路上惡意及高風險的 App 程式總數已達到 437 萬。這意味著，從該年上半年結束至今已成長了大約 68%，也就是 260萬。

2014 年惡意及高風險的 App 程式成長趨勢

若從這幾百萬當中挑出那些明顯惡意的 App 程式，我們發現它們絕大多數都是行動裝置惡意程式家族排行榜的成員：

2014 年行動裝置惡意程式家族排行榜

若就它們對行動裝置的影響來分類，我們發現大約 69% 的行動裝置威脅都屬於越權廣告程式。越權廣告程式是指那些拼命顯示廣告而讓使用者無法專心好好使用裝置的程式。其次是高費率服務盜用程式 (PSA)，占惡意及高風險 App 程式的 24% 左右。PSA 會在背後偷用一些高費率服務，讓使用者的手機帳單無故飆高。

2014 年主要行動裝置威脅類型分布比例

另外，以下為 2014 下半年越權廣告程式家族排行榜：繼續閱讀