標籤: Targeted attack

造成烏克蘭大停電的惡意程式,不只威脅能源產業

趨勢科技 TrendMicro

導致12月兩起烏克蘭電力設施中斷的攻擊者,可能也曾試圖對烏克蘭礦業公司及大型鐵路公司進行類似攻擊。

【延伸閱讀:第一起由惡意軟體造成的6小時大斷電,導致烏克蘭數十萬戶住家停電】

 

這證明造成烏克蘭停電事件有關的惡意程式BlackEnergy不僅只是能源產業的問題；而延伸成為各產業的威脅，不管是公共事業和私營企業都應該意識到並準備好保護自己。雖然上述攻擊的動機一直是被重度炒作的話題，其主要目的似乎是為了癱瘓烏克蘭公共和關鍵基礎設施，可能是出自於政治動機。

我們檢視原有的入侵指標有了這些發現，包括BlackEnergy偵察和橫向移動工具及KillDisk（磁碟清除惡意軟體）等。趨勢科技追查與此事件相關的其他感染或惡意軟體。我們很快就發現Prykarpattya Oblenergo和Kyivoblenergo並非此最新BlackEnergy攻擊活動的唯一目標。

根據公開來源情報（OSINT）和趨勢科技主動式雲端截毒服務  Smart Protection Network所取得的資料，我們發現BlackEnergy和KillDisk可能也被用來攻擊烏克蘭一家大型礦業公司及一家大型鐵路公司。此外，礦業和鐵路公司所感染的惡意軟體可能與兩起電力設施攻擊中所用的BlackEnergy和KillDisk使用相同的基礎設施。

 

大型烏克蘭礦業公司的相關惡意軟體

在趨勢科技的調查過程中，我們看到攻擊烏克蘭電力設施的BlackEnergy樣本也被用來攻擊烏克蘭礦業公司。惡意軟體amdide.sys（SHA1值：2D805BCA41AA0EB1FC7EC3BD944EFD7DBA686AE1）似乎在2015年11月就被用來感染其目標。其他被用來攻擊烏克蘭電力設施及礦業公司的樣本有： 繼續閱讀

新針對性攻擊:駭客組織買下 BIFROSE程式碼並分工合作

趨勢科技 TrendMicro

趨勢科技最近新發現了一起由資金雄厚的駭客組織所發動的網路間諜攻擊行動，主要鎖定亞洲一些重要產業當中與政府有密切關係的民間企業，包括：民營化政府機構及政府承包商，此外還有消費性電子、電腦、醫療、金融等產業。

攻擊,APT,目標攻擊

該組織從 2010 年起活躍至今，我們根據其某個後門程式中的 mutex 名稱將這起行動命名為「Shrouded Crossbow」(暗弩) 行動。我們的研究指出，該組織財力雄厚，足以買下某個熱門惡意程式工具的原始程式碼，並擁有充足的人力根據這份程式碼開發出自己的改良版本。

BIFROSE、KIVARS 和 XBOW

BIFROSE (亦稱為 Bifrost) 惡意程式過去在地下市場上的售價高達 10,000 美元。我們曾在一起針對政府機構的攻擊和「Here You Have Mail」(您有來信) 垃圾郵件行動當中看過這個惡意程式。儘管 BIFROSE 的網路封包和行為已經廣為業界所知，但該團體仍有辦法在其攻擊行動當中充分運用這個惡意程式。

以下這段程式碼顯示 BIFROSE 回報 (phone home) 給幕後操縱 (C&C) 伺服器的受害者資料。

圖 1：BIFROSE 的回報訊息。

從 2010 年起，這項攻擊行動開始使用另一個後門程式：KIVARS。雖然此程式在載入器和後門工具兩部分的設計與 PLUGX 類似，但從其回報訊息內容看來，似乎與 BIFROSE 的關係更為密切。

圖 2：KIVARS 的回報訊息。

儘管 KIVARS 在功能上沒有 BIFROSE 來得豐富，但對該組織來說仍不失為一個好用的後門工具。事實上，為了因應 64 位元系統的日益普及，KIVARS 在 2013 年更推出了 64 位元的升級版本。

我們認為該組織應該是買下了 BIFROSE 的原始程式碼並加以改良，然後再設計出一套新的安裝流程，以及一個新的程式產生器來產生成對的載入器和後門工具，並且將後門功能加以精簡，結果就成了目前的 KIVARS。這意味著，要不是有人在背後資助這項攻擊行動，就是這個組織本身就擁有足夠的財力和人力可將現有的後門程式加以改良。

有趣的是，KIVARS 某些程式資料庫 (PDB) 檔案的路徑採用的是「BR」＋{年份} 的命名方式，這一點似乎與 KIVARS 的名稱不符。我們認為「BR」兩個字母很可能是代表 Bifrose RAT。

圖 3：KIVARS 某些程式資料庫 (PDB) 檔案的路徑。

除此之外，這項攻擊行動還使用了另一個自行開發的後門程式，叫做「XBOW」。XBOW 的發展最遠可追溯至 2010 年中期，其設計靈感應該是來自 BIFROSE 和 KIVARS。

從下圖的 XBOW 組合語言程式碼當中我們可以找到「Recent」、「Desktop」和「Program」等資料夾名稱，這些同樣也出現在 BIFROSE 和 KIVARS 的回報訊息當中。 繼續閱讀

認識針對性攻擊的六大元素

趨勢科技 TrendMicro

攻擊,APT,目標攻擊

針對性攻擊/鎖定目標攻擊(Targeted attack ) 是全球大型企業機構都擔心 (或應該擔心) 的一項重大問題。這類精心策劃的攻擊分為六大階段，每一階段都清楚象徵著駭客的攻擊進程。

針對性攻擊大約在幾年前首次出現在資安版圖，這段時間以來，這類威脅以及我們對它們的認知，已有長足的進步，並且更加成熟。那麼，我們到底學到了些什麼？它們和過去又有何不同？

在我們一頭栽進針對性攻擊各個不同元素之前，應該先了解一下這類攻擊行動能夠得逞的原因。駭客之所以有辦法進入企業的原因之一，就是因為企業的前線防禦 (也就是員工及員工的安全意識) 太過薄弱。換句話說，「人」才是防範針對性攻擊的第一道防線。

各元素之間的界線並非涇渭分明

針對性攻擊/鎖定目標攻擊(Targeted attack ) 的六大元素 (或階段) 可以看成這類組織性攻擊依序執行的各個步驟，但實際的情況其實並非如此涇渭分明。每當一個階段「達成」之後，並非意味著該階段的所有活動將立即停止。其實同一時間可能會有「好幾個」階段在同時進行，例如：整起攻擊行動的所有階段當中一直會有所謂的幕後操縱 (C&C) 通訊。由於駭客需要隨時掌握目標網路內的攻擊行動，因此，已遭入侵的系統和駭客之間自然不斷會有來來回回的 C&C 流量。

因此，我們最好將每個階段都當成攻擊的不同元素。此外，同一時間，網路的不同區域也可能處於攻擊的不同階段。
這一點對於企業如何因應攻擊有很大的關鍵性影響，企業不能單純地假設自己偵測到「早期」的攻擊活動，就認定沒有「後期」的階段正在進行。正確的威脅因應計畫必須將這點考慮進去，然後再採取適當的因應措施。 繼續閱讀

< 資料圖表 >防範魚叉式網路釣魚/鎖定目標攻擊：從保護電子郵件開始

趨勢科技 TrendMicro
針對性攻擊/鎖定目標攻擊(Targeted attack )
點我看大圖

 

 

針對性攻擊/鎖定目標攻擊(Targeted attack )  已成為今日資安威脅常態，所有企業 (不論大小) 皆無法倖免。雖然沒有人能準確預測企業何時、何處可能遭到針對性攻擊，但企業卻能妥善保護這類攻擊最常利用的管道：電子郵件。

為何是電子郵件？

mail

電子郵件是職場上最普遍的溝通方式，但同時也是駭客最容易潛入企業網路的一項管道。

  • 74% 的針對性攻擊皆以電子郵件為攻擊途徑。
  • 企業每日收發的電子郵件數量高達 1,087 億。
  • 每年，趨勢科技都會攔截超過 500 億個散發垃圾郵件的 IP 位址。
  • 到了 2017 年，企業每日收發的電子郵件數量將達到 1,394 億。

 

什麼是魚叉式網路釣魚？

魚叉式網路釣魚是駭客用來滲透企業網路的眾多方法之一，透過惡意的電子郵件來輔助其發動針對性攻擊/鎖定目標攻擊(Targeted attack ) 。這類電子郵件會挾帶含有惡意程式的附件檔案，或者內含連上網路釣魚網站的連結。

  1. 駭客鎖定特定企業員工進行情報蒐集。
  2. 利用蒐集到的情報，精心製作一封針對目標對象的電子郵件，郵件中挾帶惡意附件或惡意連結。
  3. 目標對象收到這封電子郵件，並開啟郵件中的惡意附件或惡意連結。
  4. 附件檔案執行暗藏的惡意程式，或者連結連上一個專門散布惡意程式的網站。不論是哪一種情況，都因而讓惡意程式有機會在目標對象的電腦上執行，進而讓駭客得以進出該系統與網路。

企業若未做好魚叉式網路釣魚的防範措施，就很可能遭遇針對性攻擊/鎖定目標攻擊(Targeted attack )

針對性攻擊/鎖定目標攻擊(Targeted attack ) 能做些什麼？

針對性攻擊不僅可能造成企業的財務損失，還可能造成商譽損失。它們可能帶來資料外洩，進而導致上億美元的損失。以下是一些魚叉式網路釣魚所引起的嚴重外洩事件。 繼續閱讀

【Targeted attack】針對性攻擊/鎖定目標攻擊的影響

趨勢科技 TrendMicro

 

在我們針對性攻擊/鎖定目標攻擊（Targeted attack）系列文章的第一部中，我們討論了什麼是針對性攻擊/鎖定目標攻擊（Targeted attack）(以下簡稱鎖定目標攻擊)，什麼樣的攻擊算是及它跟其他類型的網路攻擊有何不同。在這最新的一篇中，我們將要談論為什麼鎖定目標攻擊不只會影響到被針對的組織，還有其客戶，這類事件會如何讓雙方都蒙受財務損失或嚴重的公關問題。它也可能造成很多人失業，損害國家安全或讓負責人遭受嚴懲。

 

針對性攻擊/鎖定目標攻擊（Targeted attack）如何影響目標？

鎖定目標攻擊所造成的影響會因為目標和攻擊者意圖而有所不同。根據我們所看過的大型攻擊及它們所帶來巨大而無所不包的影響，底下是鎖定目標攻擊最常見對公司帶來影響的清單：

  • 業務中斷：企業無法進行日常作業和活動，可能是因為攻擊造成系統當機，或因為人手必須調派去處理攻擊。這在去年的TV5 Monde攻擊中發生過，鎖定目標攻擊造成該電視網路關閉運作，11個頻道完全停播。
  • 知識產權受損：公司所擁有的知識產權可能會被竊，就像RSA駭客攻擊事件造成SecurID雙因子認證系統資料被竊。Sony被駭事件導致其尚未發行的電影流出也是類似的例子。
  • 客戶資料外洩：企業內的客戶PII（個人識別資料）資料庫可能會被入侵或遭竊，這導致其客戶陷於身份竊盜、敲詐、勒索或其他更糟狀況的危險中。這是鎖定目標攻擊常見的後果之一，可以從大型連鎖零售企業所遭遇到的資料外洩事件（如Target和Home Depot）看到例證，數百萬的客戶PII遭竊。

繼續閱讀