目標攻擊 - 資安趨勢部落格

層層掩護下的十多個 APT33 殭屍網路,鎖定亞洲在內的特定目標

2019 年 12 月 05 日2019 年 12 月 05 日趨勢科技 TrendMicro

在資安界稱為 APT33 的駭客組織是一個處心積慮、專門攻擊石油與航空產業的駭客集團。多年來，媒體一直不斷披露有關該集團的資訊，但根據趨勢科技最新的研究顯示，他們正利用十多個幕後操縱 (C&C) 伺服器來攻擊極少數的特定目標。該集團利用層層的掩護來保護這些以針對性惡意程式來攻擊中東、美國及亞洲少數特定對象的 C&C 伺服器。

我們相信這些伺服器所操控的殭屍網路每個最多只包含十幾台殭屍電腦，駭客利用這些殭屍網路來常駐在選定的目標內。其惡意程式非常陽春，只具備下載和執行其他惡意程式的功能。在目前 (2019 年) 仍活躍的感染目標當中，有兩個是專門提供國家安全服務的某家美國私人企業的兩個據點，其他受害單位還有：美國的某家大學和另一家學院、一個很可能與美國軍方有所關連的單位，以及多個分布在中東和亞洲的機構。

除此之外，APT33 在過去幾年也不斷從事一些更積極的攻擊，例如，該集團至少有兩年的時間利用了歐洲某高階政要 (該名政要還進入了該國的國防委員會) 的私人網站來發送魚叉式網路釣魚郵件給一些石油產業供應鏈上的企業。這些被攻擊的目標甚至包括一家供應美國陸軍某軍事基地安全飲用水的廠商。

這些攻擊很可能已入侵了石油產業，例如，我們在 2018 年秋發現英國某石油公司在英國和印度境內的伺服器曾與 APT33 的 C&C 伺服器通訊。另一家歐洲石油公司位於印度據點的某台伺服器也遭 APT33 的惡意程式感染了至少 3 週左右 (2018 年 11 月至 12 月間)。除此之外，還有多家石油產業供應鏈上的其他公司也在 2018 年秋天遭到入侵。這些入侵事件對石油相關產業來說可說是一項重大警訊，因為 APT33 習慣使用一些具有破壞力的惡意程式。

魚叉式網路釣魚攻擊,散播求職相關主旨

繼續閱讀

《病毒30演變史》「駭客竟比同事還來解你!」2010 年客製化 APT針對性目標攻擊,成企業心頭大患

2018 年 10 月 09 日2018 年 10 月 19 日趨勢科技 TrendMicro

1988年趨勢科技成立之初,當年出現的病毒,是靠磁碟片傳播的嗎?
今年(2018年)趨勢科技成立滿 30 年,我們一同回顧 30年電腦病毒與資安威脅演變史。
本篇談 APT 針對性目標攻擊…

APT 針對性目標攻擊或稱為進階持續性滲透攻擊(Advanced Persistent Threat) 跟一般不限定目標地亂槍打鳥的惡意程式攻擊不一樣的是, APT 攻擊會花費較長的時間規劃、執行：偵查、蒐集資料；發掘目標的安全漏洞或弱點。從蒐集各種情報開始,可能持續幾天，幾週，幾個月，甚至更長的時間。這項攻擊 2010年開始成為企業所面臨的最大威脅之一。高知名度的攻擊事件，像是零售商 Target 和百貨公司 Neiman Marcus 的大量資料外洩. 還有主要攻擊目標為發電廠或煉油廠等等的自動化生產與控制系統（ SCADA ）的 Stuxnet 蠕蟲病毒。

APT目標攻擊通常會先充分研究過並以相關的電子郵件形式出現,比如2014年服貿議題成社交工程信件誘餌!!台灣爆發大規模 APT 威脅！近20家經濟相關機構成目標(請參考:服貿議題成社交工程信件誘餌!! 及針對台灣政府單位的 RTLO技術目標攻擊)，其中包含惡意電子郵件附加檔案或網址來合成引誘收件者打開的內容。他們會被誤導去相信電子郵件的來源和內容真實無誤，進而受騙和在無意中將進階惡意軟體安裝到他們的電腦上，從而成為攻擊者在網路內的灘頭堡。從這一刻開始，攻擊者可能會取得敏感的客戶資料、商業秘密或無價的知識產權。

攻擊者:電子郵件是阻力最小的攻擊路徑

根據趨勢科技TrendLabs的研究，有91％的 APT攻擊利用電子郵件作為開始的進入點。此外，Ponemon的研究表示有78％的針對性電子郵件攻擊利用嵌入在附件的惡意軟體。根據這幾點，攻擊者顯然認為電子郵件是阻力最小的攻擊路徑，可以用來避開現有的安全防禦，進而從你的網路外洩資料。
【延伸閱讀】69％的人每週都碰到網路釣魚,25% 高階員工被釣得逞

一封假冒銀行交易的信件,導致南韓爆發史上最大駭客攻擊,根據趨勢科技統計，一般員工平均每個工作日會收到100封電子郵件，等於我們每天有100次掉進駭客陷阱的風險。繼續閱讀

Blackgear網路間諜活動再度出現，利用社群媒體進行C&C連線

2018 年 07 月 19 日2018 年 07 月 28 日趨勢科技 TrendMicro

Blackgear（也稱為Topgear和Comnie）網路間諜活動早在2008年就已經出現（根據駭客所使用的Protux後門程式）。它的目標是日本、韓國和台灣的組織，對公家機關、電信業及其他高科技產業進行攻擊。像在2016年，我們就發現它使用各種惡意工具（最著名的是Elirks後門程式）攻擊日本的組織。Blackgear有著高度的組織性，而且自行開發所用的工具，我們從其最新攻擊可以發現這些工具都已經被改進過。

Blackgear的特色是它躲避偵測的能力，會利用部落格、微網誌和社群媒體來隱藏其命令與控制（C&C）設定。不同於將C&C資訊嵌入惡意軟體而容易被封鎖的作法，它的作法讓Blackgear可以根據需要來快速變更C&C伺服器。讓它能夠延長駐留在系統內的時間好進行進一步的橫向移動。

分析了Blackgear最新攻擊活動所使用的Marade下載器（趨勢科技偵測為TSPY_MARADE.ZTBC）和Protux（BKDR_PROTUX.ZTBC），我們在部落格和社群媒體找到加密過的設定（參見圖1）。這可能表示這些惡意軟體是由同一個團體開發。

圖1、Marade發在Facebook上的加密過設定 繼續閱讀

三年來攻擊韓國能源及交通產業的OnionDog 「洋蔥狗」行動,原來是網路安全演習

2017 年 09 月 23 日2017 年 10 月 02 日趨勢科技 TrendMicro

疑似由北韓人士主導的攻擊事件，成為熱門資安研究主題。例如，據部分報導指出，惡名昭彰的 2014 年索尼影業駭客攻擊事件是北韓的攻擊者所為。許多人也對 Lazarus 很感興趣，據稱 Lazarus 是與北韓有關的集團組織，針對一些全球性銀行展開攻擊，企圖竊取龐大的金額。

在本篇文章中，我們將探討幾場較小規模的攻擊事件。據稱這幾場攻擊事件的行動組織連續攻擊韓國能源及交通行業的重要目標，為時三年以上，這些攻擊被稱為 OnionDog。我們進行了更為徹底的查證，並獲得了有趣的結論：OnionDog 並非鎖定目標的攻擊，而是一場資安演習。

為時三年以上的，並非鎖定目標的攻擊，而是網路安全演習

OnionDog 首次於 2013 年出現。在 2016 年，有關 OnionDog 的報導指出，它們可能是 2013 年韓國能源及運輸公司攻擊事件的幕後黑手。我們已知約 200 件 OnionDog 獨特樣本，乍看之下，它看來像是規模小，但仍具有影響力的攻擊組織。

Qihoo 360 的 Helios Team 提出一份報告，非常詳細地分析了 OnionDog。這份報告包含 OnionDog 的入侵指標 (IoC)，例如惡意檔案的雜湊 (hash)，以及八個特定的命令及控制 (C&C) IP 位址，而這些 IP 位址確實是受到惡意程式感染電腦的回呼位址。攻擊者的目的看似並無惡意，只是為了記錄哪些目標成為這場網路安全演習的受害者。趨勢科技查找了這八個 IP 位址的網域解析歷程，獲得資訊如下：繼續閱讀

RATANKBA入侵攻擊目標經常瀏覽的合法網站,針對企業發動大規模水坑攻擊,台灣也受影響

2017 年 03 月 16 日2017 年 03 月 07 日趨勢科技 TrendMicro

在二月初，有多家金融機構通報出現惡意軟體感染，而且顯然來源是合法網站。這些攻擊以入侵受信任的網站來感染各產業內被鎖定企業的系統, 是大規模攻擊活動的一部分。這種策略通常被稱為「水坑（watering hole）」攻擊。

最近對波蘭銀行進行的連串惡意軟體攻擊，據報會在終端機跟伺服器上出現未知的惡意軟體，還有可疑、加密的程式/可執行檔，更加引人注意的是不尋常的網路活動。中毒系統會連到不尋常的位置，可能是要暗渡陳滄將入侵單位的機密資料送至該處。

趨勢科技發現備受關注的惡意軟體RATANKBA,不僅跟對波蘭銀行的惡意軟體攻擊有關，而且還涉及墨西哥、烏拉圭、英國和智利金融機構所發生的類似事件。它如何感染受害者？有沒有其他惡意軟體參與其中？這攻擊活動是否真的跟俄羅斯網路犯罪集團有關？不過根據我們在惡意軟體內所看到的俄文，我們認為這只是用來混淆攻擊者真面目的偽裝手法。

台灣也受到影響

銀行並不是唯一的目標；也有電信、管理諮詢、資訊技術、保險、航太、教育等企業受害。此外，攻擊活動並非僅局限於北美和歐洲，一些亞太地區，特別是台灣、香港和中國也受到影響。

在此提供進一步的分析和見解，可以補充其他關於此一威脅的研究。