資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

偽裝收據通知，垂涎比特幣和網路銀行

2014 年 11 月 12 日2014 年 11 月 12 日趨勢科技 TrendMicro

網路犯罪分子和威脅幕後黑手經常會利用測試過的漏洞來感染使用者系統，也藉此去穿透企業網路。這凸顯出修補系統和將軟體及應用程式保持在最新狀態的重要性。

趨勢科技最近發現DYREZA惡意軟體利用了舊的Adobe Reader和Acrobat漏洞（CVE-2013-2729）。一旦成功地攻擊此漏洞，就可以在受影響系統上執行任意程式碼。

圖1-2、垃圾郵件截圖

DYREZA惡意軟體使用偽裝成收據通知的垃圾郵件作為感染媒介。它夾帶著惡意PDF檔案（被趨勢科技偵測為TROJ_PIDIEF.YYJU）。一旦執行，它會攻擊CVE-2013-2729漏洞，進而去下載TSPY_DYRE.EKW，一個DYREZA變種（也被稱為DYRE和DYRANGES）。

DYREZA是個以竊取銀行認證資訊聞名的惡意軟體，而且和包裹騾子詐騙有關。我們最近寫過一篇部落格文章詳述了此惡意軟體在威脅環境生態系中所扮演的角色和一些顯著的行為，包括其有能力透過瀏覽器注入來進行中間人（MITM）攻擊，監視目標銀行的網路銀行連線和竊取其他資訊，如瀏覽器版本、截圖和個人認證資訊。

使用者和企業都有危險，因為DYREZA可以透過瀏覽器截圖來取得其他類型的資料，像是個人識別資訊（PII）和認證資訊。此外，還有報告指出CUTWAIL殭屍網路會導致下載UPATRE和DYRE惡意軟體。

讓TSPY_DYRE.EKW值得注意的是其注入惡意程式碼到特定銀行和比特幣登入頁面來竊取重要資訊的能力。它所監視的一些比特幣網頁：

co.uk/*
co.uk/login*
com/*
com/merchant-login*
com/*
com/accounts/login*
bitstamp.net/*
bitstamp.net/account/login*

除了資料竊取的行為外，TSPY_DYRE.EKW可以連到某些惡意網站來收發資訊。此外，它可以連到特定STUN（NAT會話傳輸應用程式）伺服器來確認其感染電腦的公開IP位址。因此，網路犯罪分子可以找出惡意軟體的位置或判斷受影響使用者和組織的位置。出現最多受害者的國家包括了愛爾蘭、美國、加拿大、英國和荷蘭。

比特幣是一種具有真實世界價值的數位貨幣。網路犯罪分子常常會將目標放在比特幣上，因為它提供了一個可以產生利潤的新場所。雖然這並不是第一次詐騙分子及網路犯罪分子將目標放在比特幣上，這個新攻擊凸顯出傳統威脅（如漏洞和銀行惡意軟體）仍然是網路犯罪分子竊取使用者認證資訊和攻擊較新平台（比特幣）的常用手段。它也教了我們關於保持系統和軟體應用程式更新到最新版本的重要一課。

趨勢科技透過主動式雲端截毒服務 Smart Protection Network來保護使用者對抗此威脅，它會偵測垃圾郵件和所有相關惡意軟體。

@原文出處：Old Adobe Vulnerability Used in Dyreza Attack, Targets Bitcoin Sites作者：Rika Joi Gregorio（趨勢科技威脅回應工程師）

詳解網路銀行木馬DYRE，第二部

2014 年 11 月 11 日2014 年 11 月 12 日趨勢科技 TrendMicro

在本系列文章的第一部中，我們討論了銀行惡意軟體DYRE的行為和進入點。然而，資料竊取並非此惡意軟體的最後一步。這惡意軟體還參與了另一項計畫 – 包裹騾子騙局。

包裹和騾子

在我們分析DYR惡意軟體時，也發現了一個網頁控制台 – Global BlackPoint。

圖1、Global BlackPoint網站

快速地進行線上搜尋，此網域已經出租一年多了。網站使用者可以購賣其所想要的東西。

圖2、待售物品

然而，研究和有關此網頁控制台內容的情報都指出一個事實，它被用作購買美國商品，再將其重新寄送到不同的地方。該網站在其使用條款內指明了這一點。繼續閱讀

< 網路釣魚 >假 Google Drive 登錄頁面竊取電子郵件帳號

2014 年 11 月 11 日2014 年 11 月 11 日趨勢科技 TrendMicro

網路犯罪分子跟攻擊者正在利用 Google Drive 網站和其品牌名氣來躲避雷達，避免被偵測。前不久有一起針對性攻擊利用 Google Drive 來從其受害者身上獲取資訊。而這一次，網路網路釣魚（Phishing）攻擊利用變造過的 Google Drive 登錄頁面來竊取電子郵件帳號認證資訊。這起攻擊可以視為是今年早些時候要求多重電子郵件地址之攻擊的改良版本。

假 Google Drive 網站

使用者會收到一封電子郵件，內容包含會導到假 Google Drive 網站的連結。

圖一、包含會連到假網站連結的垃圾郵件

釣魚網站讓使用者可以用不同的電子郵件服務帳號登入，這很不尋常，因為 Google Drive只能用 Google 帳號登入。該網站還提供語言選項，不過無法正常運作。

圖2、假 Google Drive網站

為了要讓使用者認為沒有發生任何奇怪的事情，釣魚網站將使用者重新導向一投資相關網站的PDF檔案。不過重新導到一個關於投資的網站可能還是會讓人們起疑，因為電子郵件本身沒有提到會有關於金融財務的「文件」。繼續閱讀

詳解網路銀行木馬DYRE，第一部

2014 年 11 月 10 日2014 年 11 月 10 日趨勢科技 TrendMicro

假日季節正在接近了，你們有些人或許已經提早進行假日採購了–檢查錢包來趕上購物熱潮。假日季節也帶來了每年都會在這段時候出現的網路犯罪活動：

我們已經看到大量偽造的銀行電子郵件。我們也看到其他類型的垃圾郵件威脅，包括KELIHOS，VAWTRACK，甚至某些形式的419騙局。
我們也目睹了銀行惡意軟體的增加。這個惡意軟體家族變種試圖竊取敏感資訊，如銀行認證資訊和電子郵件帳號詳細資料。它們會利用資訊竊取技術，通常會偽造跟銀行網站一模一樣的釣魚網頁，用來擷取使用者的銀行資訊，如使用者名稱、密碼或卡號。再將竊來的資訊發送到一個預先設定的電子郵件地址，代管伺服器的暫存區或透過HTTP post發送到一網址去。

此一系列的文章著重於一特定銀行惡意軟體，被偵測為TSPY_BANKER.DYR。在深入瞭解惡意軟體本身後，我們會將這惡意軟體威脅放入整個生態系，加上其連結的的垃圾郵件，甚至包裹騾子詐騙（指將包裹寄送到別的地方的人，就跟「驢子」一樣）。這些人很容易落入騙局，因為打著「容易致富」的名號。

關於DYR的一切

這被偵測的惡意軟體跟DYRE（也被稱為DYREZA，DYRANGES或BATTDIL）有關。TSPY_BANKER.DYR跟DYRE變種有許多相似之處，可以從其行為看出：

可以透過瀏覽器注入來進行中間人攻擊。此外也可以進行瀏覽器截圖，竊取個人認證資訊，並竊取如瀏覽器版本等資訊。
它竊取銀行認證資訊和監視對特定銀行進行線上交易時的連線。
它會植入一個設定檔（透過C&C更新），裡面包含了目標銀行列表和bot ID（由電腦名稱、作業系統版本和一組32個字元識別碼所組成）。目標銀行包括了國際、美國和歐洲銀行。
它利用NAT會話傳輸應用程式（STUN），一種位在NAT網路內之終端主機找出其公開IP地址的方法。它常被即時語音、視訊和其他訊息服務應用程式用來找出公開IP位址或是可被網際網路所見之IP地址。犯罪分子使用這種方法來知道其惡意軟體的確切位置（並可能知道誰試著去加以執行）。

繼續閱讀

Shellshock 新式攻擊針對SMTP伺服器，台灣為存取惡意網站最多的國家

2014 年 11 月 06 日2014 年 11 月 04 日趨勢科技 TrendMicro

趨勢科技發現了針對SMTP伺服器的新式Shellshock攻擊。攻擊者利用電子郵件來攻擊這個漏洞。如果漏洞攻擊碼在有漏洞的SMTP伺服器上被執行成功，就會下載並執行被稱為「JST Perl IrcBot」的IRC殭屍程式。它會在執行後刪除自己，這很有可能是潛伏在雷達之下而不被偵測的方法。

下圖描述了攻擊的週期。

圖一、SMTP攻擊圖解

攻擊者將Shellshock惡意程式碼插入到主旨、寄件者、收件者和副本欄位來製造出惡意電子郵件。
攻擊者接著將這封電子郵件發送到任何可能有此漏洞的SMTP伺服器。
當有漏洞的SMTP郵件伺服器收到此惡意電子郵件時，內嵌的Shellshock惡意程式碼就會被執行，然後下載並執行一個IRC僵屍程式。接著會建立對IRC伺服器的連線。
攻擊者之後就能夠利用郵件伺服器來進行各種惡意活動，如發動垃圾郵件攻擊活動。

可能有漏洞的郵件伺服器

趨勢科技列出了各種可能有此漏洞的郵件伺服器環境。