“ bịnạnce.com ” 兩個小點以假亂真,發動大規模搶劫虛擬貨幣交易所 !還有假 CEO 趁火打劫

趨勢科技發現為數不少的網路釣魚(Phishing)利用類似網址的分身詐騙事件,比如 Paypal 被改成Paypa1 ;Google 被改成 Goog1e,詐騙者把英文字母l 和 O 魚目混珠成數字 1 和 0 是常見的手法,這些雷同 URL ,很容易矇騙臉友點擊。「ɢoogle.com」乍看之下似乎看不出來什麼端倪。把它和正宮「Google.com」擺在一起再看仔細,有發現哪裡不對勁嗎?看出來了吧,就是「ɢ」、「G」的差別。事實上,這個「ɢ」其實是一個拉丁字母,而不是我們平常常見的「G」。

「就是「ɢ」、「G」的差別」的圖片搜尋結果

 

趨勢科技發現為數不少的網路釣魚(Phishing)利用類似網址的分身詐騙事件,比如 Paypal 被改成Paypa1 ;Google 被改成 Goog1e,詐騙者把英文字母l 和 O 魚目混珠成數字 1 和 0 是常見的手法
趨勢科技發現為數不少的網路釣魚(Phishing)利用類似網址的分身詐騙事件,比如 Paypal 被改成Paypa1 ;Google 被改成 Goog1e,詐騙者把英文字母l 和 O 魚目混珠成數字 1 和 0 是常見的手法

點開一封網路釣魚信件的代價有多高?
日本知名加密貨幣交易所Coincheck,今年初因內部員工誤開了網路釣魚郵件,讓駭客入侵竊取了價值新臺幣154億元的加密貨幣。雲林某女網友上網看了色情網站影片連結,一不小心按了讚之後,沒想到卻中毒,臉書帳號遭盜後被用來轉貼了暗示性交易相關訊息,因而觸犯「妨害風化案及兒童及少年性剝削防制條例」被函送法辦!警方表示,有犯罪集團利用工具軟體,將色情圖片與木馬程式結合,一旦點選相關連結,就會被導向臉書網路釣魚登錄假頁面,導致帳號被盜。

點開一封網路釣魚信件的機率有多高?
網路釣魚陷阱何其多,在2012年的 Black Hat USA安全大會上所做的調查顯示,69%的人表示每週都會有網路釣魚(Phishing)郵件進入到使用者的信箱。超過25%的人表示有高階主管和其他高權限員工被網路釣魚攻擊成功。

現在網路釣客也把歪腦筋動在目前最夯的虛擬貨幣交易上….

最近出現許多跟加密虛擬貨幣相關的駭客或詐騙報導。首先是偽裝成獵人頭公司發送內嵌Dropbox連結的釣魚郵件。該連結包含一份銀行高階主管的職務描述文件,文件帶有 Visual Basic巨集會掃描系統上是否有比特幣活動的跡象。然後再植入第二個為了長期資料採集和持久性而設計的病毒。

偽裝成獵人頭公司發送內嵌Dropbox連結的釣魚郵件。該連結包含一份香港銀行高階主管的職務描述文件,文件帶有Visual Basic巨集會掃描系統上是否有比特幣活動的跡象。然後再植入第二個為了長期資料採集和持久性而設計的病毒。

3月上旬虛擬貨幣交易所Binance發現,駭客使用相似的假網域“bịnạnce.com”進行網路釣魚(Phishing)攻擊,以取得 Binance使用者的帳號密碼。由於假網域“ bịnạnce.com”。“i”和“a”下面的兩個小點幾乎不會被發現,許多人因此上當。該事件雖然觸發了虛擬貨幣交易所 Binance 的內部警報系統。

編按:加密貨幣交易平台 coinbase.com也曾被仿冒,駭客所註冊的網址為 coinḃase.com,不仔細看難發現後者的字母b上多了一個點。這就是所謂的同形異義(homograph)攻擊,主要透過註冊類似網域名稱來仿冒成另一個網站,偽造網站網址字符看起來像英文字,但其實它們並不是。

Binance CEO 在 Twitter 帳號發表的官方聲明,但動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號,並用假帳號回覆真正 CEO 的推文,表示將送出 5000 個以太幣 ETH做為 Binance客戶的免費補償,光3月8日當天,就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客,這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780),駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣),相當驚人的詐騙獲利。

事件始末

繼續閱讀

新挖礦攻擊利用 EternalBlue(永恆之藍) 漏洞攻擊技巧,入侵伺服器

資安研究人員 Nadav Avital 發現了一個由他命名為「RedisWannaMine」的加密虛擬貨幣挖礦行動,利用知名的 EternalBlue(永恆之藍)漏洞攻擊技巧入侵資料庫和應用程式伺服器。

RedWannaMine 會經由 CVE-2017-9805 這個可讓駭客從遠端執行程式碼的 Apache Struts 漏洞。Apache Struts 是一個用來開發 Java 網站應用程式的開放原始碼應用程式架構,根據研究,全球 Fortune 100 (《財星》百大) 企業當中至少有 65% 都採用這套架構。RedisWannaMine利用此漏洞從遠端執行指令列 (shell) 命令,將加密虛擬貨幣挖礦惡意程式下載至伺服器上。

[資安基礎觀念:加密虛擬貨幣挖礦惡意程式的負面影響]

此外,在追查這項攻擊行動的過程當中,研究人員還發現一個指令列腳本 (shell script),該腳本用來:

  • 下載加密虛擬貨幣挖礦惡意程式。
  • 利用 Linux 上的 crontab 工作排程器來讓自己在系統上不斷執行。
  • 在感染的系統上建立一個新的 Secure Shell (SSH) 金鑰以便從遠端連線。

繼續閱讀

山寨 Binance CEO 慷慨贈幣Twitter 推文,駭客1天獲利820 萬台幣! 兩招預防社群網站虛擬貨幣詐騙

淘金熱好夯,偷用電腦挖礦花招也愈來愈多,連社交網站也遭挖礦詐騙者覬覦,該怎麼做? 3月7號晚上,一件駭客透過盜用帳密所引發的異常交易量,觸發了虛擬貨幣交易所 Binance 的內部警報系統。Binance CEO 在 Twitter 帳號發表的官方聲明,動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號,並用假帳號回覆真正 CEO 的推文,表示將送出 5000 個以太幣 ETH做為 Binance客戶的免費補償,光3月8日當天,就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客,這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780),駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣),相當驚人的詐騙獲利。

作者: Ieta Chi 紀孟宏 (趨勢科技 首席資安顧問)

2018年3月7號晚上,一件駭客透過盜用帳密所引發的異常交易量,觸發了虛擬貨幣交易所 Binance 的內部警報系統。根據 Binance的報告,駭客在今年2月份就己經使用網路釣魚(Phishing) 的手法取得一批用戶登入交易所的帳號密碼,在釣魚成功後,駭客並不急於獲利,而是耐心的等到 3 月7號這天,開始大量賣出用戶帳戶裡的虛擬貨幣,並轉至駭客帳號。 在事件發生幾個小時候,Binance CEO (CZ, Changpeng Zhao) 隨即在自己的 Twitter 帳號發表對此事件的官方聲明 (圖中藍框),並安撫交易所的客戶。
Binance CEO (CZ, Changpeng Zhao) 在自己的 Twitter 帳號發表對此事件的官方聲明 (圖中藍框),並安撫交易所的客戶。

不過動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號(圖中紅框),並用假帳號回覆真正 CEO 的推文,表示將送出5000 個以太幣 ETH做為 Binance客戶的免費補償,只要用戶傳送0.3-5 ETH到指定Address,就可以立即收到 Binance 所回贈的 3-50 個ETH。為了以假亂真取信於人,駭客還建立了許多假 twitter 帳號,回覆推文說在極短的時間內就收到CEO 的慷慨贈幣,感謝推文一個接著一個,看到這些推文很難不讓人信以為真。

動作快的駭客,就在幾個小時內創建了仿冒Binance CEO 的假帳號(圖中紅框),並用假帳號回覆真正 CEO 的推文
駭客用假帳號回覆真正 CEO 的推文,表示將送出5000 個以太幣 ETH做為 Binance客戶的免費補償

為了刺激人們想要獲得免費贈幣的慾望,駭客還設計了一個動態網站,顯示逐漸減少的贈幣數量,用來告訴你動作再不快一點,5000個免費 ETH 就快送完了。利用害怕搶不到所導致的思考不週來進行詐騙,也是詐騙的常見手法。

駭客還設計了一個動態網站,顯示逐漸減少的贈幣數量,用來告訴你動作再不快一點,5000個免費 ETH 就快送完了
駭客還設計了動態網站,告訴你動作再不快一點,5000個免費 ETH 就快送完了

在短短一天內(3月8日),就有超過七百個tweet回覆Binance CEO 最早的官方推文,只不過90% 的回覆推文都駭客假造的,絕大多數是由一連串假帳號所發出成功收到數個到數十個免費 ETH 的感謝推文(畫面內的用戶及推文全部都是駭客假造的)。

甚至還利用假帳號,秀出戶頭畫面,證明自己收到 99 個贈幣。

駭客利用假帳號,秀出戶頭畫面,證明自己收到 99 個贈幣。
駭客利用假帳號,秀出戶頭畫面,證明自己收到 99 個贈幣。

 

受影響程度

在3月8日的 twitter 推文中,假造的 Binance CEO 帳號總共貼出了 四個不同的以太幣轉帳 Address:

1) 0x1e3c07ce10973fcaebc81468af1d3f390d2a4c71
2) 0xa8b3c9c2a45d68eb435b5f3ef6712fa50cdbd996
3) 0x75b9ca8e82cf03bc8d793a44f2e928f266cadca5
4) 0xd0206f494e1834a0ad76b202bebfc916317884cb

 

虛擬貨幣的特性就是所有的交易都會記錄在區塊鏈 (Blockchain) 上,所以透過以太幣的區塊鏈查詢網頁 (如: https://etherscan.io/) 就可以查詢有多少人轉帳到上述駭客所提供的錢包地址(下圖紅框)。先以查詢第一個錢包 address「0x1e3c07ce10973fcaebc81468af1d3f390d2a4c71」為例,綠色 IN 代表的是那個錢包把錢轉到駭客錢包以及金額,橘色 OUT 代表的是有多少錢從駭客錢包被轉到哪裡去。從這裡我們也可以看出,駭客把錢轉出 (OUT) 時,刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框),提高未來把錢追回來難度。

駭客把錢轉出 (OUT) 時,刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框),提高未來把錢追回來難度
駭客把錢轉出 (OUT) 時,刻意把每一筆交易的轉到不同的錢包 Address (下圖藍框),提高未來把錢追回來難度

 

照這個方法就可以把 4個駭客錢包的所有IN/OUT交易記錄從區塊鏈上調出來, 統計了一下光3月8日當天,就有 151 個用戶 (不同的錢包位址) 把錢轉給駭客,這151個用戶總共轉了353 個 ETH。以3月8日的均價來看 (1ETH = USD780),駭客在1天內就獲利 28 萬美金 (相當於820 萬台幣),相當驚人的詐騙獲利。

 

如何預防社群網路上的虛擬貨幣詐騙?

  1. 除了記住天下沒有不勞而獲這個致理名言以外,如何判斷 Twitter 帳號真假也很重要。一個通過Twitter 實名制認證的帳號 (下圖/上),在帳號旁邊會出現一個藍色圓圈打勾的圖案,反之,駭客建立的假帳號(下圖/下)幾乎不可能接受實名制認證,也就不會有前面說的認證圖案 (駭客也知道所以放了一個藍色心型圖案魚目混珠),有能力辨認詐騙帳號才免於上當。
駭客放了一個藍色心型圖案魚目混珠,有能力辨認詐騙帳號才免於上當。
駭客放了一個藍色心型圖案魚目混珠,有能力辨認詐騙帳號才免於上當。
  1. 詐騙說穿了就是一種社交工程攻擊,從事件最開始 Binance 交易所用戶的帳密被盜,到 Twitter 上駭客所發的贈幣假消息,都是透過社交工程手法引誘用戶受騙上當。提高企業員工及個人對於社交工程攻擊的資安意識,才能真正降低受到網路詐騙的風險。 趨勢科技提供免費的社交工程演練服務 Phish Insight,歡迎立刻試用 

《延伸閱讀 》

< 虛擬貨幣攻擊 > 偽裝獵人頭公司的釣魚郵件,鎖定銀行高階主管

“你的字型需要更新” “關閉網頁後,竟還繼續挖礦?” 這些騙術讓你的電腦做牛做馬幫他人賺外快 !

趨勢科技 PC-cillin 2018 防毒軟體雲端版好強大!跟偷挖礦、勒索病毒說掰掰

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板,跨平台防護3到位

 

“你的字型需要更新” “關閉網頁後,竟還繼續挖礦?” 這些騙術讓你的電腦做牛做馬幫他人賺外快 !

瀏覽網頁時,電腦變得卡卡的, CPU 使用率突然飆高?當心是挖礦程式正利用你的電腦資源挖礦!全球每天新增 300個挖礦網站,挖礦綁架無所不在,繼星巴克之後,連 Youtube 也遭殃。若您覺得電腦 CPU飆高或者發燙跑很慢,出現疑似被植入挖礦程式的跡象,您可以怎麼做? 新型的挖礦程式關閉瀏覽器後也會繼續挖礦,該怎麼辦?先來看看最近的幾則電腦被偷偷用來挖礦案例:

 

案例一:星巴克 Wi-Fi 遭加料,顧客手機筆電竟成挖礦機

去年底跨國連鎖咖啡店星巴克(Starbucks)證實他們位於阿根廷布宜諾斯艾利斯店內的顧客會在不知情下被利用來進行數位貨幣挖礦。看起來似因為這些店家的無線網路被修改過,透過店內的 Wi-Fi 無線網路載入網頁會嵌入CoinHive挖礦程式。因為這樣,連上無線網路的使用者設備會在不知情被利用來挖掘 Monero數位貨幣。

挖礦腳本也會被嵌入在使用者可能會停留大量時間的地方,比方說長影片,趨勢科技發現串流媒體的使用者也成為目標。相關報導:挖礦劫持(Cryptojacking)幫星巴克加料,顧客上網筆電竟成挖礦機

案例二:Youtube 看影片電腦變好慢?原來是駭客正在挖礦賺外快!

有用戶反應在看 Youtube 的時候,電腦效能變差,原因是 Youtube 上的廣告被發現內含挖礦惡意程式 Coinhive ,也就是說,當你在看 Youtube 影片的同時,你的電腦或手機也默默的成為了不法駭客的「礦工」,幫他挖礦賺外快!… 《看完整報導 》

案例三:惡意廣告暗藏採礦程式,一點就中! 重導向購物網站,用戶渾然不知

惡意廣告暗藏採礦程式,一點就中! 重導向購物網站,用戶渾然不知

宣稱是第一個可以使用手機開採的數位加密貨幣的 Electroneum 數位加密貨幣 (簡稱 ETN),遭受數位加密貨幣採礦程式的攻擊。一些會在背後載入惡意廣告的網站專門提供一些好康優惠給訪客,使用者一旦點選惡意廣告,它就會在背後載入 ETN 網頁採礦程式,同時將使用者重導至一個正常的購物網站以免被使用者發現。
根據 Alexa 指出,這些惡意廣告所在網站皆名列全球 15,000 大網站,意味著這些惡意網站不乏使用者造訪。… 《看完整報導 》

案例四:無法正確顯示字型? 中毒了? 假微軟技術支援網頁 真挖礦!

去年趨勢科技發現惡名昭彰的EITest 攻擊活動利用技術支援詐騙手法來散播虛擬貨幣採礦程式。在一個月的時間內,有990個受駭網站被注入惡意腳本,將潛在受害者轉向到技術支援詐騙網站。

網路釣魚腳本被設計成通知使用者下載 Hoefler Text 字型以正確顯示頁面,但實際上它會下載一個惡意執行檔。

使用者被重新導到技術支援詐騙網站
使用者被重新導到技術支援詐騙網站

技術支援詐騙網頁偽裝成正常的微軟Windows通知,提醒受害者系統中毒了,要求使用者打電話給他們的“技術部門”來解決問題。但在背後,網頁會從Coinhive的伺服器載入腳本並啟動JS數位貨幣採礦程式。除了造成系統延遲和效能問題外,使用者不會注意到自己的系統受到影響。看完整報導 … 《看完整報導 》

關閉瀏覽器後也會繼續挖礦?

挖礦通常都會需要非常高的效能,駭客將挖礦程式偷偷植入到網站上,當使用者瀏覽網站時網頁會自動開啟挖礦程式,藉由眾多瀏覽網站使用者的電腦CPU資源來挖礦,以賺取虛擬貨幣,而這也會導致使用者的CPU使用率大幅上升,電腦運行緩慢,嚴重影響使用者的使用品質及效能。所幸只要使用者關閉瀏覽器離開頁面,就不會繼續替他們挖礦了。

但現在有另一種狀況是即使關閉瀏覽器後也會繼續幫他們挖礦,這其實是當使用者瀏覽網站時,電腦會跳出一個彈出式視窗,這視窗只有Windows 工具列的高度且隱藏在工具列後,致使使用者看不到此視窗,在使用者在沒有警覺下,這個隱藏視窗持續默默的為駭客挖礦,若使用者要關閉這視窗則要將工具列往上提,再調整這個視窗的大小,才能把它關掉,為了避免瀏覽到這些網頁,趨勢科技的雲端技術中有著網頁威脅防護,這可是獲得網友們認證的超棒技術唷,因此安裝信譽卓著的防毒軟體也很重要!

不當免費礦工

但是該怎麼樣才會發現自己的電腦正在執行挖礦程式默默的為駭客賺錢呢?當您的電腦中招時, CPU 效能會被這些挖礦頁面偷走一半以上的效能,若您發現電腦處理速度變慢或是有點Lag的時候,可以查一下電腦的CPU使用率,當發現打開網站後CPU使用率突然飆高,極有可能是中招囉!此時可以把瀏覽器關掉或是看一下是否有隱藏的小視窗並關閉它來觀察是否回歸正常。

一般使用者對於自己的電腦替駭客挖礦是很難察覺的,建議大家在使用電腦時,發現運行速度和平常不大一樣時要趕緊查看處理,才不會不小心當了駭客的免費“礦工”囉!

🔴延伸閱讀:
趨勢科技 PC-cillin 2018 防毒軟體雲端版好強大!跟偷挖礦、勒索病毒說掰掰

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板,跨平台防護3到位

 

Oracle 伺服器漏洞遭駭客用來散布門羅幣 (Monero) 挖礦程式

加密虛擬貨幣突然爆紅,已經讓資安威脅情勢大為改觀。網路犯罪集團開始調整其人力和資源,將加密虛擬貨幣定為優先要務,包括直接竊取比特幣錢包或入侵網路和裝置並用於挖礦。歹徒看上加密虛擬貨幣其實已不是新聞,勒索病毒駭客集團多年來一直偏愛 比特幣 Bitcoin 為其勒索贖金的管道。不過,趨勢科技從 2017 年 10 月下旬開始在一些行動裝置應用程式商店看到手機挖礦惡意程式,到了 2017 年 12 月,Digmine 加密虛擬貨幣挖礦程式開始藉由社群媒體即時通訊散布

而現在,駭客正利用一個已經修補的 Oracle WebLogic WLS-WSAT 漏洞 (也就是可讓駭客從遠端執行程式碼的  CVE-2017-10271 漏洞) 來散布兩個加密虛擬貨幣挖礦程式,分別是 64 位元和 32 位元的 XMRig 門羅幣挖礦程式。兩個版本分別對應不同版本的 Windows 作業系統。「圖 1」顯示此漏洞攻擊程式碼仍在開發當中。此份報告所分析的是最新版本的惡意程式。

惡意程式新舊版本比較 (左側為新版本,右側為舊版),新版多了一個新元件 (紅框標示處)。
圖 1:惡意程式新舊版本比較 (左側為新版本,右側為舊版),新版多了一個新元件 (紅框標示處)。

漏洞攻擊在系統植入兩個挖礦程式

至截稿為止,趨勢科技發現駭客會利用 CVE-2017-10271 漏洞在系統上植入趨勢科技命名為「Coinminer_MALXMR.JL-PS」的挖礦程式。受感染的系統上會有兩個門羅幣挖礦程式。 繼續閱讀