2016 年 6 月 – 第 3 頁 – 資安趨勢部落格

FastPOS 專門攻擊銷售櫃台系統,竊取信用卡後立即外傳給駭客

2016 年 06 月 23 日2016 年 06 月 16 日趨勢科技 TrendMicro

今日企業總是以能夠快速因應外在環境變化而自豪，不幸的是，網路犯罪集團何嘗不是如此。最近出現了一個專門攻擊個專門攻擊銷售櫃台系統 (PoS) 的新惡意程式家族，此惡意程式家族的特點是竊取到資料之後會馬上回傳給遠端的駭客。趨勢科技根據這項特性，將它命名為 FastPOS。

FastPOS 的設計是會立即將竊取到的信用卡資料外傳，而非先儲存在本機上的一個檔案，然後再定期傳送給駭客。這表示它或許是專門針對小型網路環境而設計，例如只有一台 DSL 數據機連接一台 POS 系統的環境。

攻擊管道和目標

FastPOS (趨勢科技的偵測名稱為： TSPY_FASTPOS.SMZTDA) 可經由三種管道進入其攻擊目標：

指向某個已遭駭客入侵網站的連結 (該網站專門討論外科雷射技巧)
即時檔案分享服務
透過 VNC 直接傳輸檔案

前兩種方法還需透過社交工程social engineering技巧來誘騙使用者執行惡意程式，最後一種方法則需要經由某種管道取得公司的登入帳號密碼，或者透過暴力破解的方式取得目標使用者的帳號密碼。

這項威脅的受害者分布非常廣：我們在全球各地都有發現受害者。主要分布於下列地區：

美洲：巴西和美國
亞洲：香港、日本、台灣
歐洲：法國

此外，其產業分布也很廣。美國的受害機構還包括獸醫診所，其他地區的受害機構則包括食品業和物流業；另有某些案例的受害機構為開放 VNC 連線的遠端辦公室。

資訊竊盜

FastPOS 會將偷取到的資訊「立即」傳送給遠端駭客，而非先儲存在本機，等到固定時間再上傳。雖然這可能造成一些不正常的網路流量，但由於今日的裝置隨時都連上網路，因此這樣的流量相對上很容易隱藏。其竊取的資訊方式有兩種：鍵盤側錄和記憶體擷取。繼續閱讀

被朋友標記的聚餐照片,不想被另一半看到怎麼辦?

2016 年 06 月 22 日2016 年 06 月 14 日趨勢科技 TrendMicro

繼續閱讀

SNSLocker 急著趕搭勒索病毒順風車,程式碼中竟含伺服器帳號密碼

2016 年 06 月 21 日2016 年 06 月 14 日趨勢科技 TrendMicro

SNSLocker 加密勒索病毒雖然在行為和外觀上並不突出，但其粗糙平凡的外表下卻隱藏著一項令人震驚的事實。當趨勢科技仔細研究過它的程式碼之發現，這個勒索病毒 Ransomware (勒索病毒/綁架病毒)程式碼當中竟含有其伺服器的帳號密碼。

SNSLocker 加密勒索病毒作者的動機就如同許許多多趕搭勒索病毒大賺黑心錢順風車的網路犯罪分子一樣：它使用的是網路上現成的伺服器和付款機制。不過這一次，歹徒不是太過心急，就是為了省錢，竟然讓自己的帳號密碼就這麼大剌剌地公開 (其帳號密碼已經被其資安研究人員公布在社群網站上)。我們已經將這項消息通報給執法機關。

SNSLocker (偵測名稱：RANSOM_SNSLOCKER.A) 所包含的元素與絕大多數加密勒索病毒相同，例如：倒數計時、恐嚇訊息、加密檔案、提供付款連結、勒索贖金 (300 美元) 等等。

圖 1：SNSLocker 鎖定螢幕畫面。

SNSLocker 純粹採用 .Net Framework 2.0 並搭配一些熱門程式庫 (如 Newtonsoft.Json) 以及 MetroFramework UI 所撰寫。其核心更採用了 Microsoft .Net Crypto API 來縮短開發時間。

圖 2：SNSLocker 是以 .Net Framework 2.0 所撰寫。

先前已提到，該勒索病毒的程式碼當中含有其伺服器的帳號密碼字串。不論是刻意或是忘記，將密碼留在程式碼內，等於讓所有人都能進入其伺服器。不只這樣，其加密金鑰也可公開取得。

圖 3：程式碼中還留著伺服器帳號密碼。

架設伺服器和散布 SNSLocker
趨勢科技發現，駭客申請了一個免費的伺服器代管服務來架設幕後操縱 (C&C) 伺服器與付款伺服器。也就是說，駭客幾乎不用花費一毛錢來維護這個帳號。除此之外，SNSLocker 也利用了一個合法的數位貨幣交易閘道來接收款項，這顯示駭客在這方面並未多花費任何心思來做出自己的特色。

最後，我們看到 SNSLocker 已透過它的伺服器散布至全球各地。在我們分析的當時，其受害者早已遍布全球，儼然成為一項全球威脅。繼續閱讀

強化端點防護成為多層次勒索病毒防禦的一環

2016 年 06 月 20 日2016 年 06 月 21 日趨勢科技 TrendMicro

難有可靠的統計數據可以顯示出全球勒索病毒 Ransomware (勒索軟體/綁架病毒)疫情的確切規模，但根據美國聯邦調查局的資料，單單 CryptoWal l這個變種就在短短一年多內帶來超過1,800萬美元非法暴利。顯而易見的，這已經成為黑帽駭客對受害者敲詐錢財的新歡了。這也是為什麼趨勢科技推出全面性的活動來幫你向勒索病毒說不。

我們推出了系列文章來詳細說明多層次防禦是組織降低感染風險的最佳做法，在上一篇的文章中，我們說明大多數威脅能夠在網頁和電子郵件閘道被攔截，雖然這是真的，但確保你佈署些什麼來攔截可能穿過的東西也非常重要，這就是端點安全防護作用的地方。

犯罪份子的搖錢樹

勒索病毒 Ransomware攻擊可以具毀滅性，使企業資料無法被存取就能夠癱瘓整間企業，即便不是所有資料都會被惡意軟體加密，但很可能你會被迫將整個IT系統離線作為防禦措施，這可能導致服務中斷、生產力損失及嚴重打擊你的聲譽。

好萊塢長老教會醫療中心是最早因為這類攻擊而上新聞的機構之一，一般認為攻擊造成醫院被迫將病人轉診和取消X光、電腦斷層掃描和實驗室作業，執行長Allen Stefanek後來承認支付了40比特幣（Bitcoin）的贖金（當時約17,000美元）來取回它的檔案。他聲稱這是「回復我們的系統和行政作業最快和最有效的方式。」

這也讓我們很容易知道為什麼勒索病毒在網路犯罪世界變得如此受歡迎，以及為什麼組織必須提高預防措施來避免遭受類似的命運。

該怎麼做?

正如之前的文章所說，趨勢科技的網頁和電子郵件閘道解決方案可以攔截99%的勒索病毒威脅。大多數這類威脅都是透過這些管道來針對你組織內最脆弱的一環 – 一般使用者，但這可能被偷偷繞過的1%怎麼辦？畢竟在勒索病毒數量節節上升的時候，1%仍可能是相當大的數量，而只需要一個使用者一次的錯誤點擊就能夠讓組織陷入混亂。繼續閱讀