好幾個月來，趨勢科技一直在積極監視著稱為StealRat的垃圾郵件殭屍網路/傀儡網路 Botnet網路，它的運作主要是利用被入侵淪陷的網站和系統。我們持續地監視著其運作，並確定了約有195,000個網域和IP地址已經淪陷。這些淪陷網站的共通點是用了有弱點的內容管理系統，像是WordPress、Joomla和Drupal。
在本篇文章裡，我們會討論網站管理員可以如何檢查他們的網站是否已經淪陷，變成StealRat殭屍網路/傀儡網路 Botnet的一部分。
第一步是檢查是否有垃圾郵件發送腳本的存在，通常會用s 繼續閱讀
7 月 9 日後，您還能繼續上網嗎 ? 趨勢科技提供讓您對電腦進行自我檢驗步驟,立即檢查
去年趨勢科技協助 FBI 破獲史上最大殭屍網路DNS Changer(域名系統綁架病毒)之後， FBI發現若是直接關掉駭客犯罪用伺服器，中毒的 50 多萬電腦將無法連上網路。因此美國政府設立了替代伺服器,讓尚未修復的電腦可以正常上網,。FBI原先預定在今年3月8日關閉替代伺服器，但美國聯邦法院要求繼續提供DNS服務，給感染電腦多一點緩衝時間處理,但礙於經費，FBI已決定美國時間7月9日關掉伺服器，屆時數十萬尚未清除病毒的中毒電腦就會連不上網路。
趨勢科技呼籲大家立即檢查是否感染DNS Changer，因為FBI即將於7月9日關閉服務遭感染電腦所使用的DNS伺服器，屆時未修復的設備將無法上網。
即刻免費下載PC-cillin 2012掃瞄系統,清除電腦上感染的 DNS 竄改木馬程式
為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要？
犯罪史追朔到2007年DNS Changer(域名系統綁架病毒) 除了讓你無法連上網際網路之外，網路犯罪者還可能利用(域名系統綁架病毒)側錄鍵盤輸入，或者將受害電腦當做代理器 (proxy) ，將別的使用者導向假冒的網路銀行或社交網站。因此，歹徒可藉此竊取您和他人的網路銀行與社交網路密碼。
DNS Changer(域名系統綁架病毒)是由Rove Digital這個網路犯罪集團控制,Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。
每天都有人到駭客集團所成立的 Rove Digital 公司上班,主要業務:控制著數以百萬計中毒殭屍電腦，獲取數百萬美金的不法所得。
這個網路犯罪集團控制了每一個環節，從植入木馬到透過中毒的傀儡殭屍電腦來賺錢。它是一間愛沙尼亞的公司，稱為Rove Digital。Rove Digital是許多其他公司（像是Esthost、Estdomains、Cernel，UkrTelegroup和許多較無人知的空殼公司）的母公司。
Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。
Rove Digital 已在 2011 年 11 月 8 日遭到破獲，該公司最為人所知的惡行就是散播 DNS 竄改木馬程式來協助其從事其他不法行動。駭客在四年內利用廣告詐欺獲利超過1400萬美元。若要了解 Rove Digital 的網路犯罪歷史，請參閱趨勢科技 TrendLabs 的圖文解說： 「The Rise and Fall of Rove Digital」。
◎認識DNS（Domain Name System）伺服器與 DNS Changer 的偷天換日
IP地址就像是我們寄信的地址一樣，沒寫地址郵差先生沒法把信送給收件人。網路上的每台主機都有唯一的IP地址,電腦的位址不是用文字而是用四個數字表示。如xxx.xxx.xxx.xxx。但是一般人無法記住這些數字，這時DNS（Domain Name System）伺服器就發揮作用了。DNS伺服器能將易讀好記的網域名稱解析成IP位址。大部分網路使用者都會自動使用網路服務業者的DNS伺服器。
當你在網址列輸入像www.trendmicro.com.tw 或www.pccillin.com.tw的網址時，其實會先連到DNS（Domain Name System）域名系統，找出該網站對應的數字IP 位址,才能連上該網站。
DNS Changer(域名系統綁架病毒)會把你的DNS連線偷偷換掉, 使用惡意人士所設立DNS伺服器，用來將特定的網域解析成惡意網站的IP位址。因此，受害者會在不自覺的情況下被導到惡意網站。犯罪集團可以透過很多方法來賺黑心錢，包括更換受害者所訪問的網站廣告，劫持搜尋結果或是植入其他惡意軟體,如假防毒軟體等。
◎ 7月9日後您的網路還能正常連線嗎？
FBI稱全球約 57萬台電腦被駭, 7月9 後,中毒電腦不能上網!!
遭 Ghost Click DNS 竄改程式伺服器關閉倒數計時中搶救您電腦上網功能的黃金時間正一點一滴流失…
立即檢查
立即免費下載趨勢科技的PC-cillin 2012來掃瞄系統。清除您電腦上感染的 DNS 竄改木馬程式。
@延伸閱讀:
讓 57 萬台電腦遇駭的駭客集團 ROVE DIGITAL (DNS Changer開發者) 近 10 年的起落
微軟控告殭屍網路ZeuS、SpyEye和Ice IX幕後黑手
作者：趨勢科技資深分析師Rik Ferguson
經過允許使用bixentro的Flickr相片
在提交給法院長達162頁的文件裡，微軟和金融服務與資訊服務分析中心（FS-ISAC） – 一個代表4400個金融機構的經貿團體，還有NACHA – 電子付款協會一起控告了ZeuS、SpyEye和Ice IX殭屍網路/傀儡網路 Botnet背後的犯罪份子。
ZeuS、Ice-IX和SpyEye程式在網路犯罪史上有著漫長而惡名昭著的一席之地，ZeuS從2006年開始出現（2007年被告到法院），它要為數百個殭屍網路/傀儡網路 Botnet以及從消費者和企業的銀行帳戶中被竊取的數百萬英鎊負責。SpyEye原本是ZeuS的競爭對手，甚至當它發現目標電腦上有ZeuS存在，還會去移除它。但最近這兩個程式碼已經被合併成一個單一犯罪軟體了。
俗話說得好，戲法人人會變，各有巧妙不同。在做資安事件調查時，也會用上許多不同的方式來進行，加上各種的專業知識。特別是在調查使用多個組件的惡意軟體加上難搞C＆C網路的攻擊事件時。
但即使分析方法會改變，可能透過反向工程或是殭屍網路/傀儡網路 Botnet分析，但最重要的還是要了解威脅本身。
趨勢科技在監控KOOBFACE活動和技術分析上交出很棒的成績單。讓我們對這殭屍網路有密切的了解，也使我們可以快速反應，並且用適當的解決方案來保護我們的客戶。
Koobface的高峰期
在高峰期時，KOOBFACE最為人所知的就是（在當時）會透過急速成長的社群網路Facebook來傳播。但是當然，還不止於此。
在2008到2009年間，Facebook剛剛成為社群網路的主導者，也正開始和其他同類型的社群網站拉開距離（像是MySpace、Twitter、Friendster和myyearbook等等）。
我們對Koobface的第一份研究報告提供了詳細的說明，KOOBFACE並不只是在Facebook上散播，在這段期間還會利用其他流行的社群網站。趨勢科技的報告還指出，一旦系統被KOOBFACE惡意軟體所感染，會被安裝另外的惡意軟體到系統內，然後利用受駭使用者的網路流量來賺錢，或是將這受駭電腦變成Koobface殭屍網路/傀儡網路 Botnet的一部分。
Koobface和它的C＆C網路
趨勢科技的新發現讓我們發表了第二份研究報告，更深入的探討C＆C網路和通訊過程。在這裡，我們發現了 KOOBFACE 駭客集團所能控制的各個層面。從巧妙地利用受駭使用者來發出社交工程陷阱攻擊用的垃圾訊息，到 KOOBFACE 駭客集團所使用的各種組件、帳號、網路架構和指令。
來聽聽看趨勢科技 CTO Raimund對2012年資安威脅將如何演變的12項預測。包括關於消費化（consumerization）、行動裝置、應用軟體弱點、社群網路和殭屍網路/傀儡網路 Botnet網路等方面。
[翻譯稿：我想談談我們對於2012年所作的威脅預測。那麼，會出現什麼呢？事實上，我們對2012年做了12項預測，因為在某種程度上它們都可能會發生。至於什麼對整體安全威脅會有影響？我們看到了兩個最大的IT威脅。
一個是消費化。越來越多人將自己的行動裝置帶進組織內部。資料會被儲存到這些行動裝置上，或許還會複製到雲端上，所以也無法再清楚的確認資料所在了，你可以說就是在一大片雲中了。而且這些資料都在移動著。所以建構在你的網路架構上，用來保護這些資料的傳統防禦已經不管用了。
而對數據中心的所有者來說，真正的挑戰是處理日益複雜的實體、虛擬和雲端等系統的安全防護措施。這並不容易，因為修補管理會是個大問題。大多數的攻擊並不是用零時差弱點攻擊。實際上真正發生的，多半是利用已知的弱點來入侵伺服器。所以這些都是很大的IT威脅。 繼續閱讀