APT - 資安趨勢部落格

著名的APT駭客攻擊組織IXESHE,對台灣的新一波攻擊

2016 年 08 月 19 日2016 年 08 月 19 日趨勢科技 TrendMicro

從520就職到南海仲裁案一直到雄三飛彈誤射事件和尼伯特風災都成為攻擊者用來製造魚叉式網路釣魚 (Spear Phishing )誘餌的素材。IXESHE 駭客組織自台灣新政府520上任以來就開始進行密集的攻擊。從其所使用的釣魚信件來看，可以發現攻擊者對於台灣政府的組織架構及輿情相當熟捻，不停利用最新的熱門話題來製作釣魚信件

趨勢科技根據對其所使用的惡意後門程式所進行的分析，攻擊者從製造惡意程式，製作社交工程文件到送抵目標只需要5小時，也使得傳統進行特徵碼比對的防毒解決方案難以有效的偵測及封鎖。

IXESHE是著名的「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）駭客組織，從2009年開始就頻繁地進行網路間諜活動，主要針對東亞的各國政府、電子廠商和一家德國電信公司。其他目標還包括了G20的政府官員以及紐約時報。趨勢科技一直都在密切注意這個駭客組織（IXESHE）所進行的針對性攻擊/鎖定目標攻擊(Targeted attack )攻擊活動，也在2012年推出了技術白皮書來詳述 IXESHE所用的手法及攻擊特徵。IXESHE也曾在2013年及2016年涉及針對北美傳播媒體產業及高科技產業的針對性攻擊。

[延伸閱讀：IXESHE白皮書]

台灣自2009年以來就一直是IXESHE的攻擊目標，而最新的一波攻擊也更新了其所使用的後門工具及通訊模式，同時利用最新的熱門話題（包括南海仲裁案、尼伯特風災和雄三飛彈誤射事件）來透過魚叉式網路釣魚 (Spear Phishing )信件攻擊鎖定的受害者。

IXESHE 的 C&C 伺服器主要分布在台灣和美國(資ˋ料來源:IXESHE白皮書)

精心設計的社交工程誘餌

最新的這一波攻擊從2016年五月開始就進行密擊的攻擊，不停的利用最新熱門話題作為誘餌。從520就職到南海仲裁案一直到雄三飛彈誤射事件和尼伯特風災都成為攻擊者用來製造魚叉式網路釣魚 (Spear Phishing )誘餌的素材。

這些精心製作的魚叉式網路釣魚信件不僅僅是利用了熱門話題。其所夾帶的釣魚文件在內容及檔案屬性等細節上也都相當考究，讓人難以分辨真假。而且這些文件所用上的各層級官員姓名、手機號碼等資訊也讓人驚訝於IXESHE對台灣新政府掌握的精細程度。

繼續閱讀

採礦業面臨的網路威脅

2016 年 07 月 15 日2016 年 07 月 12 日趨勢科技 TrendMicro

由於今日全球市場對於大宗物資及商品的激烈爭奪，而且經濟發展皆需仰賴天然資源，再加上近來氣候極端變化，使得採礦業開始成為網路間諜活動的目標，甚至極端一點，成為破壞性或毀滅性網路攻擊的目標。這類網路間諜活動的目標在於取得最新的科技知識和情報，以便能在全球經濟市場當中維持競爭優勢與地位。

歹徒看上了採礦業在全球供應鏈上的戰略地位，使得該產業開始面臨網路攻擊的威脅。這類威脅不僅具備相當高的針對性，而且經過精密的計畫，其幕後的駭客團體也包羅萬象，從駭客激進團體、敵對國家，到有組織的犯罪集團。這些駭客已學會如何利用礦物天然資源在區域和全球供應鏈以及國家經濟當中所扮演的重要角色，並且知道如何攻擊礦業公司因極度仰賴整合性自動化系統所暴露的漏洞。

針對不同產業的網路攻擊

今日，各種產業遭到網路攻擊的新聞已經司空見慣，就像日常播報的資料外洩新聞一樣。進階持續性滲透攻擊 (APT)原本只是純粹的產業間諜行動 (如 BlackEnergy)，現在卻已演變成可能造成實體破壞的攻擊與毀滅行動。研究人員發現，BlackEnergy 和另一個名為 Sandworm 的 APT 行動似乎是 2015 年 12 月烏克蘭兩座發電廠大斷電幕後的元凶。此外，BlackEnergy 和 KillDisk 亦曾試圖針對一家礦業公司和一家大型鐵路公司發動類似攻擊，同樣也是位於烏克蘭。這顯示 BlackEnergy 已有能力從能源產業跨足到其他產業。

產業、攻擊行動、惡意程式和幕後操縱 (C&C) 伺服器之間的交集。

產業為何會遭到攻擊？

網路攻擊並非單純只是 IT 的問題，而是可能對企業日常營運造成深遠的影響：營運中斷、設備損壞、商譽受損、財物損失、智慧財產權損失、競爭力損失、健康與人身安全風險等等。今日網路犯罪集團覬覦的目標不是只有錢和財務資料而已，他們不論在技術能力和犯罪手法上都有長足的進展，而且越來越曉得竊取敏感資料的價值所在，以及如何利用這些資料來賺錢並操弄商業的運作。例如，某個團體從 100 多家公司竊取到市場敏感的資訊，另一個團體從金融新聞媒體竊取到產品的上市前資訊，然後兩個團體彼此交換竊取到的資訊，這樣就能從股票市場獲利。繼續閱讀

Pawn Storm 網路間諜行動,從政府機關到媒體名人皆在攻擊之列

2015 年 09 月 22 日2018 年 09 月 26 日趨勢科技 TrendMicro

Pawn Storm 是一項又深又廣的持續性網路間諜行動。它曾攻擊北大西洋公約 (NATO) 會員國與美國白宮等政府機關，也曾鎖定烏克蘭和俄羅斯的一些知名政治人物，而且我們相信，歹徒的總部就位於俄羅斯。去年十月趨勢科技即曾經發表過有關 Pawn Storm 的研究報告：Pawn Storm 攻擊行動：利用轉移注意力來躲避偵測 (Operation Pawn Storm: Using Decoys to Evade Detection)，自此我們便一直持續監控及追蹤該行動的最新發展。

本文介紹有關該行動的最新發展，同時也提供一些背景資訊讓還不熟悉該行動的讀者進入狀況。

什麼是 Pawn Storm 攻擊行動？

Pawn Storm 是一項至今仍相當活躍的政治經濟網路間諜行動，專門鎖定一些知名機構和人士，從政府機關到媒體名人皆在攻擊之列。其最早的活動出現於2007 年，但直到最近，我們才掌握有關該行動的一些具體資料，包括其攻擊目標和攻擊來源。

它和其他網路間諜團體/行動有何不同之處？

Pawn Storm 在攻擊手法上和其他以政治為動機的駭客團體有明顯不同，例如：

使用挾帶 SEDNIT/Sofacy 惡意程式的魚叉式網路釣魚（Phishing）郵件來攻擊 Windows系統，或挾帶 Fysbis 或 X-Agent 惡意程式來攻擊 Linux 系統。其魚叉式網路釣魚郵件有時會使用一些當地的材料或話題來吸引收件人開啟郵件。SEDNIT 是一個擁有後門和資訊竊取行為的惡意程式。
假冒企業的 OWA 登入網頁來從事魚叉式網路釣魚郵件攻擊。其某個魚叉式網路釣魚（Phishing）魚郵件的變種會將使用者重導致假冒的 Outlook Web Access (OWA) 登入網頁，藉此竊取使用者的登入帳號密碼。此一攻擊手法的眾多受害者當中，美國國防承包商 ACADEMI (前 Blackwater 公司) 也名列其中。
利用自製的 iOS 惡意程式從事間諜活動。此 iOS 惡意程式就是趨勢科技所偵測到的 IOS_XAGENT.A 或 IOS_XAGENT.B，可從受感染的行動裝置竊取各種資訊，例如：訊息、通訊錄、定位資訊、照片，甚至錄音檔。

繼續閱讀

Pawn Storm 間諜行動曝光：政治人物,搖滾歌手,藝術家成為攻擊目標

2015 年 09 月 18 日2015 年 10 月 14 日趨勢科技 TrendMicro

Pawn Storm 這個活躍已久的網路間諜行動為何看上俄羅斯的龐克搖滾樂團？的確，Pussy Riot (暴動小貓) 是個具爭議性的樂團，這個由女性主義者成立的樂團，其成員不久前才因觸犯基督教東正教會和俄羅斯教長制度的言論而入獄。但駭客為何會對她們有興趣？她們和其他被攻擊的對象有何關聯？

今年年初，我們曾經報導過 Pawn Storm 攻擊行動攻擊了北大西洋公約組織 (NATO) 會員國、美國白宮以及德國國會。不久前，他們又鎖定了駐紮在多個國家的大使館和軍事官員。Pawn Storm 的攻擊目標多為俄羅斯境外的政治單位，但根據趨勢科技的分析發現，實際上仍可有不少目標其實是位於該國境內。

俄羅斯境內的間諜活動

Pawn Storm 行動幕後的俄羅斯間諜顯然對國內外是一視同仁，他們甚至也監控自己的人民。例如，針對俄羅斯國民的帳號登入資訊網路釣行動，就是一個本國境內間諜行動的案例。圖 1 顯示該行動攻擊目標在不同產業的分布情形。