什麼是勒索病毒?該如何預防電腦或手機檔案被加密綁架?(內有資料圖表)

中了勒索軟體該怎麼辦?FBI回答:解密資料的最快方法就是花錢消災!美國聯邦調查局(FBI)探員在一個網路安全高峰會上表示,當他們遇到有人投訴遭到勒索軟體的攻擊時,居然是建議支付贖金以取回被駭客加密的檔案,,連美國 FBI 都破解不了的勒索病毒 Ransomware (勒索軟體/綁架病毒),到底有何本事?

勒索病毒 Ransomware (勒索軟體/綁架病毒)是一種特殊的惡意軟體,讓你失去對自己系統或資料的控制,而且如果不付錢給這攻擊的背後黑手也就無法拿回來。基本上,你的系統或資料成為了人質,讓你被迫去支付贖金。這也就是它被稱為「勒索軟體」的原因。加密勒索軟體散播到新地區,台灣列入歐美以外最受影響的國家。

勒索病毒 散播超過十年,第一個版本早在2005年在俄羅斯現身,從那時候起,勒索軟體傳遍了全球,發展出許多不同的版本。

「你已觸犯法律,電腦已被鎖定,你的行為非法且會導致刑事責任。」勒索軟體也會冒用警方詐騙?

警察勒索病毒 為人所知的就是會宣稱使用者違反法律,進而鎖住系統。他們必須支付一大筆罰款以再次使用自己的電腦,有些不僅會顯示勒索頁面,還會播放聲音檔,警告你快點繳罰款

某些類型的勒索軟體會偽稱為當地的警察機構:贖金以「罰款」的形式出現,讓使用者不得不馬上支付。有些較複雜的警察勒索軟體會使用受害者的本土語文。有些甚至會在受害者的本土語文中包含了語音訊息

*延伸閱讀:

有一個特別麻煩的勒索病毒稱為「Cryptolocker」。它會加密你重要的檔案,只有當你支付贖金後才提供解密方法。Cryptolocker變種使用無法破解的加密演算法,所以使用者只能選擇乖乖付錢(雖然可能不會真的解密檔案)或失去他們的資料。

勒索病毒轉戰行動領域

勒索病毒甚至還從一般電腦發展到Android系統上。

*延伸閱讀:

手機 綁架 上鎖 Mobie

加密病毒最大宗的攻擊方式是透過網路釣魚信件

 一位公司員工在辦公室查看一下自己的信箱,看到一封看似重要訊息的郵件,比如:偽裝履歷表的 CryptoWall 加密勒索病毒,因此就點了裡面的連結。隨即,畫面上閃爍著一段勒索訊息表示系統及系統上的所有檔案都已被鎖住。該員工必須在 72 小時之內支付贖金來解開這部電腦,不然檔案將永遠無法挽回。

加密勒索軟體/綁架病毒鼻祖CryptoLocker

有些駭客透過購買網路廣告,以內含惡意程式的廣告,散布木馬。有些網頁外觀看起來都很正常,但其中卻也可能遭植入惡意連結的網站。總之加密勒索軟體主要的攻擊管道,包含釣魚電子郵件、網頁惡意程式與惡意廣告,以及透過論壇文章瀏覽等管道。

勒索病毒曾經使用過的網路釣魚主旨: 

儘管勒索訊息的內容可能有所變化,但典型的勒索軟體 Ransomware攻擊皆有共同的特徵,那就是讓使用者的電腦無法使用,然後藉此勒索贖金。很不幸地,這樣的手法在今日越來越普遍。

勒索病毒或許可說是當今最令人恐懼的電腦惡意程式類型之一,原因在於它的運作方式以及它對受害者的影響。儘管專家一再提出警告,但仍有許多使用者不斷遭到這類威脅所害。到底什麼是勒索程式?談到資訊安全或隱私權時,大多數人都只想到木馬、蠕蟲、鍵盤側錄程式這類專門竊取帳號密碼以駭入網路帳號和企業網路的惡意程式。

勒索程式是一種專門將您電腦鎖住,讓您無法使用電腦也無法存取檔案以向您勒索贖金的一種惡意程式,您可能被迫必須交出密碼或錢財給不知名的歹徒。以往,勒索程式的設計只會將您的電腦畫面鎖住,然後顯示一段警告訊息向您要求支付贖金。這類程式存在已久,而且也有各種不同形態,但是如同其他任何成功的犯罪一樣,勒索病毒如今已演化出好幾種更新、更危險的變種。 繼續閱讀

堅持上工的Windows XP ,讓DOWNAD 登上第二季垃圾毒王寶座

DOWNAD (亦稱為 Conficker) 仍舊是讓大型企業與中小企業受害最深的三大惡意程式之一。這是因為仍有不少企業還在使用容易遭此威脅攻擊的 Windows XP 系統。

Windows XP

此威脅可透過惡意 URL、垃圾郵件及可卸除式裝置散布,並感染整個網路。它專門攻擊 MS08-067 伺服器服務漏洞,可執行任意程式碼。此外,DOWNAD 還內建專門產生網域名稱的演算法,可隨機產生 URL,然後連接至產生的 URL 來下載檔案到系統上。

趨勢科技監控垃圾郵件情勢的期間,我們發現第二季當中有 40% 的惡意程式相關垃圾郵件都是由感染 DOWNAD 蠕蟲的電腦所散發。一些在附件當中散布 FAREITMYTOBLOVGATE 惡意檔案的垃圾郵件行動,都是由感染 DOWNAD 的電腦所為。   FAREIT 是一個專門竊取資訊的惡意程式家族,會下載 ZBOT 程式。至於 MYTOB 則是一個專門透過垃圾郵件附件來自我散布的老式蠕蟲家族。

 表一:專門散發垃圾郵件的惡意程式

根據這項資料,CUTWAIL (Pushdo) Botnet傀儡殭屍網路」以及 Gameover ZeuS (GoZ) 為另兩個惡意程式相關垃圾郵件的最大來源。有趣的是,CUTWAIL 先前是用來下載 GoZ 惡意程式。而現在,UPATRE 卻是利用具備點對點 (P2P) 通訊功能的 GoZ 惡意程式或 ZBOT 變種。

在過去幾個星期當中,我們已通報過多起濫用 Dropbox 連結來散布惡意程式的垃圾郵件行動,如:NECURS 和 UPATRE。此外,我們還發現了一個偽裝成語音訊息的垃圾郵件,內含 Cryptolocker 勒索軟體 Ransomware變種。我們最新發現的是一個利用 CUBBY 檔案儲存服務連結的垃圾郵件行動, 這次挾帶的是一個銀行木馬程式,也就是趨勢科技偵測到的 TSPY_BANKER.WSTA。網路犯罪者和駭客之所以濫用這些檔案儲存平台,或許是為了掩護其惡意行動,並且避免在系統和網路上被發現。 繼續閱讀

該是將受感染電腦隔離的時候了

quote

威尼斯語的「quaranta」,意思是「40」。檢疫的目的是要將可能曾經暴露於某種疾病但卻仍然健康的人或動物分開並限制其行動,以便看看他們是否會發病。其 40 天的觀察期為了找出當年的鼠疫 (也就是黑死病) 帶原者而設定,以免帶原者上岸之後造成傳染病擴大。雖然非常時期需要非常手段,但這個概念已廣泛普及,且延續至今。

不過,今日資訊安全產業已完全誤用「檢疫」一詞,指的是將已知感染的檔案或系統移至受保護的區域等候進一步檢驗和清除。這種作法更精確說法應該是「隔離」,因為大多數的情況下我們已經知道它們遭到了感染或入侵。不過,這還是達到了防止入侵擴大與後續損害、防止系統遭人用於散布垃圾郵件(SPAM)、防止敏感資訊遭到竊取、防止感染繼續擴大等重要目的。

今日的執法機關、資訊安全廠商 (如趨勢科技) 以及網際網路服務業者之間前所未有的聯合打擊行動,讓我們有機會檢驗一下這樣的觀念有多普遍,以及如何運用這個概念來打擊網路犯罪。非常時期的確需要非常手段。

參與 GOZeuS 及 Cryptolocker 圍勦行動的網際網路服務業者可利用執法機關的情報來發掘他們有哪些客戶遭到感染,然後通知客戶並協助他們清除。難道這不應該當成一種未來應建立的標準嗎?已知遭到入侵的系統應該隔離到清除為止。

如今日所見,當我們發布全球警示以及推動一波教育行動時,成果或許看似斐然,尤其是對於參與的資訊安全相關人員:11個執法單位、一長串的資訊安全廠商、記者會以及全國和國際媒體報導。但事實上,對於絕大多數網際網路使用者來說卻有如耳邊風一樣。教育計劃的效果基本上還是信者恆信,不信者恆不信 (我們去年拍攝的《2020》 系列影片正是為了擴大對話)。

我們必須採取一些行動來讓一般網際網路使用者真正了解其行為及毫無作為的後果,因為即使是駭人的頭條新聞,明天過後就會被大家遺忘。更何況,在一樁又一樁的資料外洩事件之後,人們對這類警告早已痲木不仁。

網際網路服務業者應持續利用資訊安全產業所提供的情報來發掘有哪些受感染的系統連上他們的網路。這些系統應該移至隔離區域,並且通知帳號使用者,告訴他們如何清除系統並矯正這樣的情況。在感染清除之前,這些電腦可存取的網際網路資源應該受到限制。使用者將被迫必須在乎。

同樣的作法對車輛已行之有年。車輛每年都要接受定期檢驗,如不通過就無法上路,直到改善為止,因為不合格的車輛將對駕駛人和其他用路人造成危險。非常時期的確需要非常手段。

◎原文來源: https://countermeasures.trendmicro.eu/its-time-to-quarantine-infected-computers/

勒索軟體瞄準比特幣!!

勒索軟體和比特幣竊盜程式合併成 BitCrypt

CryptoLocker和其他類似的 勒索軟體 Ransomware威脅已經是個嚴重問題好一段日子了,但最近我們看到一個新的 勒索軟體 Ransomware手法。此一新威脅自稱為BitCrypt,為勒索軟體加入一個獨特的作法:它會從各種電子貨幣錢包內偷錢。

比特幣ˇ bitcoin1

趨勢科技已經確認了此威脅的兩個不同變種。第一個變種 – TROJ_CRIBIT.A,會將任何加密過的檔案加上副檔名「.bitcrypt」,並使用英文勒索信。第二個變種 – TROJ_CRIBIT.B,會加上副檔名「.bitcrypt2」,並使用含中文在內的多國語言的勒索信,包括了以下10種語言;(根據它們出現在信內的順序):

 

  • 英文
  • 法文
  • 德文
  • 俄文
  • 義大利文
  • 西班牙文
  • 葡萄牙文
  • 日文
  • 中文
  • 阿拉伯文

勒索信內容如下:

意!

 你的BitCrypt ID:{交易編號}

 你電腦上所有的必要檔案(照片、文件、資料庫和其他)都透過唯一的RSA-1024金鑰加密。

只有透過一個特殊程式才能解碼你的檔案,而且每個BitCrypt ID都對應一個程式。

來自電腦維修服務和防毒實驗室的專家並無法幫助你。

為了收到這解密程式,你需要遵照此連結{惡意網站#1}和跟隨指示。

 

如果現有連結無法作用,但是你需要回復檔案,請按指示操作:

  1. 嘗試打開連結{惡意網站#2}。如果失敗,繼續執行步驟2。
  2. 下載並安裝Tor瀏覽器{Tor專案網站}
  3. 安裝完成後,啟動Tor瀏覽器,連上下列網址{惡意網站#3}

 

記住,你越快採取行動,越有機會去完好如初地回復你的檔案。

 

其他語言的內容都很類似,雖然看起來是用電腦翻譯的。除了上述情況外,TROJ_CRIBIT.B會將桌布變成黑色背景加上白色文字來通知使用者目前狀況。

勒索軟體瞄準比特幣!!

圖一、桌布

繼續閱讀

透過可移除媒體散播的新CryptoLocker 勒索軟體

還記得 2013 年轟動一時的 史上最狠毒勒索軟體CryptoLocker嗎?趨勢科技一隻勒索軟體變種,它有一個明顯的特徵 – 具備散播的行為。經過分析這隻被偵測為WORM_CRILOCK.A的惡意軟體,結果顯示這惡意軟體可以透過可移除媒體散播。此更新被認為值得注意,因為在其他CRILOCK變種並沒有看過這樣的行為。增加散播行為也代表它和其他已知的CRILOCK變種不同,可以很容易地傳播。

除了散播的技術之外,這隻新惡意軟體還有許多和已知CryptoLocker變種不同的地方。並沒有依賴惡意下載程式(通常是UPATRE)來感染系統,該惡意軟體會在P2P檔案分享網站上偽裝成各種軟體的啟動器,像是Adobe的Photoshop和微軟的Office。將惡意軟體上傳到P2P網站可以讓壞人輕易地去感染系統,而無需製造(和發送)垃圾郵件。

ransom 勒索軟體

進一步分析WORM_CRILOCK之後發現,它和之前的變種有著鮮明的差異。該惡意軟體沒有用網域生成演算法(DGA)。相反地,它的命令與控制(C&C)伺服器被寫死在惡意軟體裡。寫死的網址讓相關惡意網址更容易被偵測和封鎖。而另一方面,DGA讓網路犯罪分子可以逃避偵測,因為它使用大量潛在網域。這可能代表這隻惡意軟體還處在修改跟改善階段。因此,我們可以預期後期變種有DGA的能力。

這隻特殊的CRILOCK變種和其他變種之間的差異讓一些研究人員認為,該惡意軟體是個山寨產品。不管創造者是誰,WORM_CRILOCK.A顯示這可能成為網路犯罪分子青睞的新攻擊方法。

繼續閱讀