銀行木馬 - 資安趨勢部落格

會自我隱藏的DanaBot銀行木馬,竊取帳密並劫持受感染系統

2018 年 10 月 04 日2018 年 10 月 02 日趨勢科技 TrendMicro

偽裝成收據形式的銀行木馬DanaBot，是個具有隱藏能力的模組化惡意軟體。模組化惡意軟體難以偵測。比方說，一個組件可以設計成在另一組件沒有運行時就停止或不運作，因此可以讓惡意軟體組件長時間駐留在中毒系統內直到被執行起來。攻擊者也可以將組件設計成不需依賴其他組件就能自行執行。此時惡意軟體可以進行資料竊取，但同時讓其他功能組件保持隱藏狀態。

資安研究人員最近發現一隻名為DanaBot的銀行木馬（趨勢科技偵測為TROJ_BANLOAD.THFOAAH）會經由垃圾郵件在歐洲國家散播。以下是關於此威脅的資訊，使用者和企業該如何抵禦此威脅的作法，以及託管式偵測及回應（managed detection and response）服務如何協助對抗此威脅。

DanaBot 銀行木馬偽裝收據經郵件散播

DanaBot是用Delphi程式語言開發的銀行木馬，能夠竊取帳密並劫持受感染的系統。它會偽裝成收據檔案來透過垃圾郵件夾帶散播出去，執行時會利用PowerShell（一種系統管理工具）及名為BrushaLoader的Visual Basic腳本（VBScript）來取回和執行組件。

DanaBot第一次出現時會利用內嵌惡意巨集的Word文件檔，開啟時會透過PowerShell下載DanaBot。資安研究人員指出最新的垃圾郵件活動則開始會利用BrushaLoader，並且DanaBot本身也進行了更新。

[相關新聞：不斷進化的Trickbot加入躲避偵測和鎖住螢幕的功能]

繼續閱讀

【手機病毒警訊】新一波Android間諜程式, 不只訊息看光光還竊取銀行帳密！

2018 年 04 月 25 日2018 年 09 月 25 日趨勢科技 TrendMicro

趨勢科技近期偵測到一波新網路攻擊，Android(安卓)惡意程式「ANDROIDOS_XLOADER.HRX」會透過入侵路由器篡改網域名稱系統設定（DNS）進行散播，推播假冒的通知訊息引誘受害者去惡意網域下載 XLoader惡意程式，並喬裝成 Facebook 或 Chrome 等正常應用程式，進一步竊取裝置上的包括身分識別與金融帳號密碼等個人敏感資料，不法人士瞄準了台灣、香港、中國大陸、日本和韓國等亞洲地區進行散播攻擊。

XLoader喬裝成Facebook或Chrome等正常應用程式，進一步竊取裝置上的包括身分識別與金融帳號密碼等個人敏感資料

XLoader既是間諜程式，也是銀行木馬程式，一旦受害者裝置遭到感染之後，XLoader 除了可以掌握到所有應用程式的相關資訊、推播訊息，還能偷看簡訊、暗中錄下語音通話。更令人擔心的是，其會建立一個臨時的網站伺服器以進行網路釣魚來騙取受害者的個人資料，為使受害者不易察覺，這些網路釣魚網頁甚至能根據裝置的設定來提供相對應的多國語言，包含中文、日文、韓文、英文等。它的惡意行徑眾多,以下列出部分:

發送簡訊
偷看簡訊
暗中錄下通話
啟用或停用 Wi-Fi 連線
蒐集裝置上的所有聯絡人資料
將裝置鈴聲模式設成靜音
取得詳細的手機連線狀態，包括使用中的網路和 Wi-Fi (不論是否有密碼)
強迫裝置回到主畫面
連上指定的網路
模擬某個撥號音
撥打指定電話號碼
取得裝置上所有應用程式的清單

趨勢科技提醒一般消費者，XLoader會利用系統管理權限來隱藏自己，並在暗中執行惡意指令，因此受害者幾乎不易察覺，呼籲使用者應養成正確的資安習慣，例如設定高強度密碼、定期更新及修補路由器韌體、啟用路由器內建防火牆、定期檢查路由器設定等方式來防範家用或企業路由器漏洞的威脅。也建議系統管理員和資安人員應妥善設定路由器組態來防範DNS快取汙染這類的攻擊。

此攻擊會先入侵路由器然後竄改 DNS 設定，進而將受害者導向駭客指定的網域。接著受害者會收到緊急通知，引誘受害者去惡意網域下載 XLoader。

採用多層式防護保護手機行動裝置資料與隱私

跨平台防護的PC-cillin 也同步支援 Android與 iOS行動裝置防護，可攔截上述相關惡意應用程式。除此之外，其多層式的防護也能守護裝置的資料與隱私，並且防範勒索病毒、詐騙網站以及身分盜用，有助於保障使用者安全。

PC-cillin 雲端版防範勒索保護個資 ✓手機✓電腦✓平板，跨平台防護３到位
》即刻免費下載試用

更多關於此事件的訊息請參考

銀行木馬程式 CONFICKER/DOWNAD 出道近十年依然肆虐？舊版 Windows 未修補的漏洞是關鍵!

2018 年 01 月 19 日2018 年 09 月 26 日趨勢科技 TrendMicro

銀行木馬程式 DOWNAD (又名 CONFICKER，趨勢科技命名為 DOWNAD 家族) 首次現身於 2008 年，是當時破壞力最強的惡意程式之一，高達 9 百萬台電腦受到感染，全球皆聞之喪膽。儘管 DOWNAD 現身至今已將近十年，而且已過了巔峰期，但它並未徹底消失。讓我們回顧一下 DOWNAD 近十年來的一些數據，就能理解為何它至今仍是全球最普遍的惡意程式之一。

巔峰時期曾經創下全球 9 百萬的感染案例, 至今每月偵測數量仍維持在 2 萬以上

DOWNAD 在巔峰時期曾經創下全球 9 百萬的感染案例。四年之後，DOWNAD 仍是當年最紅的惡意程式，全球偵測數量仍有 250 萬左右 (2,564,618)。到了 2013 年，DOWNAD 數量銳減，從第一季的 74.1 萬一路下滑至第四季的 22.9 萬，原因應該是越來越多使用者已升級至新版 Windows 作業系統，因此它少了可攻擊的漏洞。但儘管如此，DOWNAD 仍位居 2013 年惡意程式排行榜榜首，偵測總數高達 180 萬左右 (1,824,000)。到了 2014 和 2015 年依然維持同樣情況，DOWNAD 仍穩居企業惡意程式年度感染數量前二名 (不論大型企業或中小企業)，分別為 288,374 和 298,000。

圖 1：2012 至 2016 年 DOWNAD 偵測數量。

儘管在過了顛峰之後 DOWNAD 的感染情況已經緩和下來了，但根據趨勢科技 Smart Protection Network™ 全球威脅情報網 2016 和 2017 年的 DOWNAD 偵測數據顯示，該惡意程式每月偵測數量仍維持在 2 萬以上，所以依然還是相當活躍。

這樣的情況多年來一直相當穩定，如果只看最近兩年的話，WORM_DOWNAD.AD 的偵測數量一直維持在一定水準，只有些微的起伏變化：

圖 2：2016 和 2017 年 WORM_DOWNAD.AD 每月偵測數量。

主要分布於三大產業：政府、製造和醫療

DOWNAD 主要分布於三大產業：政府、製造和醫療，占 2016 年所有 WORM_DOWNAD.AD 偵測數量的 34%，同時也占 2017 年的 41%。這些產業的企業通常比較專注於原本的專業領域，所以不像一些科技相關產業 (如軟體和委外服務) 那麼重視技術升級投資。此外，這些產業的企業由於規模和複雜度的緣故，系統升級需耗費龐大的人力和時間，而這些都是 DOWNAD 為何在這些產業特別興盛的原因。

圖 3：WORM_DOWNAD.AD 在各產業的分布 (2016 年)。 繼續閱讀

IcedID 銀行木馬鎖定美國的金融機構

2017 年 11 月 15 日2017 年 11 月 20 日趨勢科技 TrendMicro

研究人員在九月發現一種名為IcedID（趨勢科技偵測為TSPY_EMOTET.SMD3、TSPY_EMOTET.SMD4和TSPY_EMOTET.AUSJMY）的新型銀行木馬出現在美國、英國和加拿大的金融機構，包括了銀行、支付卡廠商、行動服務商及電子商務網站。銀行木馬的影響範圍目前尚不清楚，但根據初步報告顯示，到本文發表時的影響仍然有限。

對此木馬的初步分析顯示它是透過被稱為EMOTET的另一個木馬殭屍網路散播。在此案例中，殭屍網路被用來當作惡意軟體散播平台，就跟之前的攻擊散播DRIDEX木馬一樣。一旦IcedID進入系統內，它會利用重新導向和網頁注入技術來進行攻擊。這惡意軟體還包含一個網路散播模組，讓它不僅可以移動到其他端點系統，還可能移動到終端伺服器上。

IcedID攻擊的初始階段是當使用者開啟網頁瀏覽器時，會從C&C伺服器下載包含木馬目標的設定檔案。具體來說，它對線上銀行網站使用網頁注入攻擊，並對支付卡和網路信箱網站使用重新導向技術。繼續閱讀

Android 銀行木馬再進化,冒充影片播放 app, 竊取銀行憑證和信用卡資料,還可繞過HTTPS安全連線

2017 年 09 月 13 日2017 年 09 月 11 日趨勢科技 TrendMicro

銀行木馬 EMOTET和Trickbot 在沉寂一段時間後再度死灰復燃，(趨勢科技將它們分別偵測為TSPY_EMOTET和TSPY_TRICKLOAD)。這些銀行病毒都是經由社交工程（social engineering ）惡意垃圾郵件或網路釣魚（Phishing）郵件散播。安全研究人員指出它們還會利用蠕蟲、下載其它惡意軟體以及模仿銀行網域等方式散播。

EMOTET能夠“竊聽”經由網路連線傳輸的資料,以繞過HTTPS安全連線，並躲避傳統的偵測技術

EMOTET首次現身於 2014年: 假冒銀行轉帳通知!!利用網路監聽竊取資料跟其他利用惡意網頁來竊取銀行資料的銀行惡意軟體不同，EMOTET能夠“竊聽”經由網路連線傳輸的資料。這讓攻擊者可以繞過像HTTPS這樣的安全連線，並且躲避傳統的偵測技術。在2016年12月，趨勢科技發現它再度出現在相同地區，還包括了熟悉的舊資料竊取軟體DRIDEX和ZeuS/ZBOT。

最近再度出現的EMOTET還會植入DRIDEX病毒。垃圾郵件內的惡意連結會將受害者導向下載一個Word文件，內嵌會觸發PowerShell腳本的Visual Basic程式碼。這腳本會下載並執行EMOTET及其他惡意軟體，其中最常見的是DRIDEX，放在各攻擊者所擁有的網域。

Trickbot銀行木馬偽裝成登錄表格的Word文件,實際上嵌入了會從網路犯罪分子的命令與控制（C&C）伺服器下載Trickbot的惡意巨集

Trickbot銀行木馬是前輩DYRE/Dyreza惡意軟體的接班人，它會利用以假亂真的銀行網頁。也透過夾帶HTML檔案的惡意垃圾郵件散播。這些HTML檔案會下載偽裝成登錄表格的Word文件,實際上嵌入了會從網路犯罪分子的命令與控制（C&C）伺服器下載Trickbot的惡意巨集。繼續閱讀