惡意程式 - 資安趨勢部落格

BlackSquid 利用八種知名漏洞潛入伺服器與磁碟,並植入 XMRig 挖礦程式

2019 年 06 月 13 日2019 年 06 月 12 日趨勢科技 TrendMicro

利用一個未修補的資安漏洞發動攻擊已經夠令人擔憂了，然而同時經由八種漏洞攻擊手法來暗中竊取您的企業資產、資料及客戶資訊，則完全是另一個境界。

趨勢科技發現一個專門攻擊網站伺服器、網路磁碟及可卸除式磁碟的最新惡意程式家族，它利用了多種網站伺服器漏洞攻擊手法以及所謂的「字典攻擊」(dictionary attack)。這個惡意程式叫作「BlackSquid」(以其所建立的系統登錄與主要檔案來命名)，是一個相當危險的惡意程式，原因有幾點。首先，它在面對所處環境時，會運用反制虛擬環境、反制除錯、反制沙盒模擬分析的技巧來判斷自己是否要繼續執行安裝程序。此外，它也具備類似蠕蟲的行為，能自我複製並四處擴散。同時，它更利用了當今最知名的一些漏洞攻擊手法，如 EternalBlue、DoublePulsar，以及 CVE-2014-6287、CVE-2017-12615、CVE-2017-8464 等三項漏洞的攻擊手法，並且會攻擊三種不同版本 ThinkPHP 的漏洞。

除此之外，網路犯罪集團似乎也在測試該惡意程式當中的一些技巧是否可行，以作為後續發展的參考依據。目前我們所蒐集到的樣本，最終會安裝一個 XMRig 門羅幣 (Monero) 挖礦程式。不過，BlackSquid 未來還可能再結合其他惡意程式。

根據我們的監測資料指出，五月份的最後一週，BlackSquid 攻擊數量出現最多的地區是泰國和美國。

躲避技巧、行為模式與漏洞攻擊

BlackSquid 可經由三種管道來感染系統：經由造訪已感染的網站伺服器而讓使用者電腦遭到感染、經由漏洞攻擊來感染網站伺服器、經由可卸除式磁碟或網路磁碟來感染。當以下至少一個條件成立時，它會立即中斷感染的行為以避免被偵測或攔截：

當前使用者名稱與以下常見沙盒模擬分析環境使用者相同時：

繼續閱讀

病毒提前過情人節?看到「Love you 」附件別亂點! 垃圾信夾帶惡意JavaScript,散播勒索病毒挖礦程式,台灣列全球第五大感染區

2019 年 01 月 22 日2019 年 01 月 23 日趨勢科技 TrendMicro

使用垃圾郵件來挾帶 JavaScript 惡意程式早已不是新聞，但對使用者來說卻仍是一項重大威脅，因為這類手法已不再需要仰賴執行檔或使用者的操作就能發動。只要惡意程式碼儲存在硬碟上，就能經由使用 JavaScript 的網頁指定 JavaScript 程式庫讓 Windows 預設執行。
這些惡意程式不僅可能存取、蒐集、竊取機密資料與系統資訊，更可能提供其他不法功能，例如讓駭客從遠端操控系統。
目前看到許多標題不外乎「Wrote the fantasy about us down 」
「 Felt in love with you 」 ,且許多Zip 附件檔名都含有「Love you 」字樣 ,情人節將至,大家請提高警覺,點選情人節相關郵件時,請提高警覺。

趨勢科技從 2018 年 12 月 31 日至今已在 72,000 多封電子郵件當中發現大量 JavaScript 惡意程式，且數量突然暴增。這些惡意程式會散布至少 8 種其他類型的惡意程式，如：GandCrab 勒索病毒及挖礦程式。根據趨勢科技的資料顯示，偵測數量最多的國家依序為：日本、印度、美國、德國、台灣、菲律賓及加拿大，且大多數來自教育、政府、製造和銀行產業。在本文撰稿時，其下載來源 IP 位址已遭到封鎖。趨勢科技的機器學習和行為偵測技術已能主動偵測並攔截這些惡意的 JavaScript。

圖 1：根據趨勢科技 Smart Protection Network™ 的資料顯示 2019 年一開始網路上即出現大量惡意程式，尤其是 1 月 3 日的數量最高。

圖 2：偵測數量最多的國家:台灣名列第五。

繼續閱讀

手機鈴聲變成靜音?Android 間諜程式作怪! XLoader 偷打電話、看簡訊、暗中錄音,還會竊取銀行帳密

2018 年 04 月 25 日2018 年 04 月 25 日趨勢科技 TrendMicro

新 Android 間諜程式兼銀行木馬程式「ANDROIDOS_XLOADER.HRX」,正瞄準台灣在內的亞洲國家,此惡意程式會假冒成 Facebook 或 Chrome 之類的正常應用程式,竊取裝置上的個人身分識別資訊與金融相關資訊，並且會安裝更多應用程式。此外，XLoader 還會挾持已感染的裝置 (如發送簡訊) 並藉由裝置管理員權限來隱藏行蹤。每當受害裝置安裝新的程式套件或者螢幕裝置亮起來時，就會顯示一個網路釣魚網頁來試圖竊取受害者的個人資料 (如銀行帳號密碼)。此外,XLoader 會竊取簡訊內容，甚至暗中錄下語音通話。除了金融帳號,還會竊取感染裝置上的遊戲帳號資訊。為使受害者不易察覺，這些網路釣魚網頁甚至能根據裝置的設定來提供相對應的多國語言，包含中文、日文、韓文、英文等。

不僅如此，XLoader有可能將原本正常的應用程式換成重新包裝過的惡意版本,比如圖示假冒成 Facebook 和 Chrome 。它的惡意行徑包含: 發送簡訊、啟用或停用 Wi-Fi 連線、蒐集裝置上的所有聯絡人、將裝置鈴聲模式設成靜音、取得詳細的手機連線狀態，包括使用中的網路和 Wi-Fi (不論是否有密碼) 、強迫裝置回到主畫面、連上指定的網路、模擬某個撥號音、撥打指定電話號碼、取得裝置上所有應用程式的清單….等等。

Android 間諜程式與銀行木馬程式 XLoader 經由竄改 DNS 的手法散布

趨勢科技從三月初開始便偵測到一波新的網路攻擊，現在，這波攻擊正瞄準台灣、香港、中國大陸、日本和韓國。這些攻擊先利用網域名稱系統 (DNS) 快取汙染/竄改 DNS 的技巧 (有可能是利用暴力破解或字典攻擊來入侵路由器)，進而散布及安裝惡意的 Android 應用程式，趨勢科技將此惡意程式命名為「ANDROIDOS_XLOADER.HRX」。

此惡意程式會假冒成 Facebook 或 Chrome 之類的正常應用程式。經由被汙染的 DNS 網域發送通知到不知情的受害者裝置。這些惡意的應用程式會竊取裝置上的個人身分識別資訊與金融相關資訊，並且會安裝更多應用程式。此外，XLoader 還會挾持已感染的裝置 (如發送簡訊) 並藉由裝置管理員權限來保護自己，讓自己一直躲藏在裝置內。

圖 1：假冒成 Facebook 和 Chrome 應用程式 (框起來部分)。 繼續閱讀

Google Play 再現加密貨幣採礦惡意程式

2017 年 11 月 04 日2017 年 11 月 06 日趨勢科技 TrendMicro

儘管行動裝置的效能是否能開採出足夠的數位加密貨幣還有待商榷，但對於受害裝置的使用者來說，壞處卻是很明顯的：裝置耗損更快、電池壽命縮短、手機效能變慢。

最近，趨勢科技在 Google Play 商店上發現了幾個具備數位加密貨幣開採能力的惡意應用程式。這些應用程式採用了 JavaScript 動態載入與原生程式碼注入技巧來躲避偵測。我們將偵測到的惡意程式命名為：ANDROIDOS_JSMINER 和 ANDROIDOS_CPUMINER。

這已非第一次這類應用程式在 Google Play 商店上架。多年前，趨勢科技在 Google Play 商店上發現的 ANDROIDOS_KAGECOIN 惡意程式家族即具備數位加密貨幣採礦能力。

ANDROIDOS_JSMINER：利用 Coinhive 程式庫進行採礦

我們先前曾經看過一些技術支援人員詐騙以及遭到駭客入侵的網站被植入 Coinhive 所開發的 JavaScript 數位加密貨幣採礦程式庫。不過這一次看到的卻是以應用程式型態出現，這就是：ANDROIDOS_JSMINER。我們發現了兩個應用程式樣本，其中一個是使用者誦經禱告幫手，另一個是提供各類折扣優惠資訊。

圖 1 和 2：Google Play 商店上的兩個 JSMINER 惡意程式樣本。

不過這兩個惡意程式樣本在啟動之後都會載入 Coinhive 所提供的一個 JavaScript 程式庫，隨即便開始用駭客的網站金鑰來開採數位加密貨幣。

圖 3：應用程式啟動之後開始採礦的程式碼。

這個 JavaScript 程式碼會在應用程式的網頁視窗中執行，但使用者卻不會看到，因為該視窗預設會以隱形模式執行。繼續閱讀

惡意軟體識別工具Yara ,竟被惡意程式用來作弄資安研究人員

2017 年 07 月 25 日2018 年 12 月 19 日趨勢科技 TrendMicro

對絕大多數資安研究人員來說，Yara 是一個非常寶貴的惡意軟體識別工具，它可建立一些規則來追蹤惡意程式，讓許多資安研究人員的作業流程可以自動化。然而，儘管 Yara 可靠又好用，但卻不應當成監控最新惡意程式變種的唯一工具。

網路上可以找到很多 Yara 的規則，從 Yara-Rules 專案到本部落格文章所提供用來偵測惡意程式入侵指標 (IOC) 的 Yara 規則都有。除此之外，資安研究人員還可建立屬於自己的規則來偵測目前正在尋找的特定威脅，有時候並不會輸給網路上所提供的規則。

《延伸閱讀》透過分析Stampado 勒索病毒,改良惡意軟體辨識工具Yara

當 Yara 的某個規則被觸發時，它會產生警示來提醒研究人員採取進一步行動，包括啟動虛擬機器 (VM) 或除錯器和解譯器來查看被觀察的樣本到底試圖做些什麼，這對許多資安研究人員來說，算是家常便飯。

在趨勢科技監控威脅的過程當中，有一個惡意程式的樣本 (趨勢科技命名為 JOKE_CYBERAVI) 觸發了許多條 Yara 規則。我們第一次發現這個樣本的時間是在全球標準時間 (UTC) 2017-05-11 14:33:49。當查看該執行檔的 PE 標頭時，我們看到它的時間戳記是全球標準時間 12:57:16。換句話說，我們是在該檔案產生出來後的 90 分鐘左右就發現到該檔案。全部加起來，該檔案我們總共偵測到 26 次。