fbi - 資安趨勢部落格

趨勢科技協助 FBI 定罪 SyEye 銀行木馬駭客背後的故事

2014 年 02 月 10 日2014 年 02 月 17 日趨勢科技 TrendMicro

loveme、kissme、抓我、試試看

圖片來自dprotz，透過創用授權使用

最近美國聯邦調查局(FBI)發表一份新聞稿關於對Aleksandr Andreevich Panin（一名俄國人，更為人所知的名稱是「Gribodemon」或「Harderman」，在網路上跟惡名昭彰的SyEye銀行木馬連結在一起）和Hamza Bendelladj（一名突尼西亞人，網路綽號為「Bx1」）所進行的法律行動。Panin已經為進行線上銀行詐騙的指控認罪，而針對Bendelladj的控訴還在進行中。美國聯邦調查局的新聞稿裡也感謝趨勢科技的前瞻性威脅研究（FTR）團隊協助此次調查。

Bendelladj被指稱經營至少一個 SpyEye 的命令和控制伺服器，雖然我們的TrendLabs部落格和我們的調查已經明確指出他的參與還要更為深入。他在2013年1月5日在曼谷機場被逮捕，而Panin是在去年7月1日飛經亞特蘭大時被捕。

趨勢科技的前瞻性威脅研究團大概在四年前就開始對SpyEye的幕後黑手進行調查。在這段調查期間，我們描繪出支援該惡意軟體的基礎設施，確認該基礎設施的弱點，並找到若干重要線索指出這惡意銀行木馬背後的個人身份。當我們覺得已經有足夠的資訊時，我們和執法單位合作以達到今日你所見到的圓滿結果。

我們進行中的研究有著相當豐富的資料，許多因為法律行動還在進行中而不適合分享出來，但你可能會有興趣知道這些被告最常使用的密碼包括了「loveme」、「kissme」和「Danny000」。我讓你自己去想想有關安全實作的結論。

去年的逮捕行動和最近的認罪再次證明了趨勢科技針對網路犯罪幕後黑手繼續閱讀

趨勢科技協助FBI(美國聯邦調查局),將惡名昭彰 SpyEye 銀行木馬駭客繩之於法

2014 年 02 月 06 日2014 年 02 月 05 日趨勢科技 TrendMicro

前幾日美國司法部宣布惡名昭彰的SpyEye銀行惡意軟體作者 – Aleksandr Andreevich Panin（又名Gribodemon或Harderman）已經為製造和散佈SpyEye而認罪。趨勢科技在這次的調查中扮演關鍵角色，和美國聯邦調查局合作這個案子很長一段時間。各團體都花費相當大的力氣來讓此次調查活動可以圓滿結束。

我們的調查

Panin的共犯之一是Hamza Bendelladj,，他的暱稱是bx1。Panin和Bendelladj都參與建立和設置各SpyEye網域和伺服器，這也是趨勢科技獲得這對犯罪伙伴資訊的來源。雖然SpyEye的建立僅僅有很少的文件公開，我們還是仍然能夠拿到這些文件並取得文件中的資訊，其中包括（比方說）伺服器控制者的電子郵件地址。

我們將這些設定檔所取得資料和我們在其他地方所收集到的資料進行關聯。例如我們潛入各個已知Panin和Bendelladj會訪問的地下論壇。只要閱讀他們所貼出來的文章，他們會在不經意間透露像電子郵件地址、ICQ號碼或Jabber號碼等資訊，這些都是可能揭露他們真實身份的資料。

例如，我們發現了C＆C伺服器lloydstsb.bz也和SpyEye程式和設定檔有關。解密過的設定檔包含了代碼bx1。該伺服器上的設定檔也包含了電子郵件地址。第二個設定檔（也用了bx1）被發現含有virtest的登錄憑證，這是網路犯罪份子所使用的偵測測試服務。所有的資料都被趨勢科技用來幫助美國聯邦調查局找出他的真實身份。

圖一、設定檔

接下來在地下論壇的貼文顯示Bendelladj和SpyEye的關連比他所公開宣稱的還要更深入：

圖二、地下論壇貼文

下圖顯示出各種不同網站、電子郵件地址和Bendelladj所使用惡意軟體間的關聯：

圖三、此圖顯示各網站、電子郵件地址和惡意軟體間的關係

繼續閱讀

讓 57 萬台電腦遇駭的駭客集團 ROVE DIGITAL (DNS Changer開發者) 近 10 年的起落

2012 年 07 月 05 日2013 年 03 月 25 日趨勢科技 TrendMicro

去年趨勢科技協助 FBI 破獲史上最大殭屍網路DNS Changer(域名系統綁架病毒)之後， FBI發現若是直接關掉駭客犯罪用伺服器，中毒的 50 多萬電腦將無法連上網路。因此美國政府設立了替代伺服器,讓尚未修復的電腦可以正常上網,。FBI原先預定在今年3月8日關閉替代伺服器，但美國聯邦法院要求繼續提供DNS服務，給感染電腦多一點緩衝時間處理,但礙於經費，FBI已決定美國時間7月9日關掉伺服器，屆時數十萬尚未清除病毒的中毒電腦就會連不上網路。

趨勢科技呼籲大家立即檢查是否感染DNS Changer，因為FBI即將於7月9日關閉服務遭感染電腦所使用的DNS伺服器，屆時未修復的設備將無法上網。至於為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要?請<看這裡>

ROVE DIGITAL的起落

DNS Changer(域名系統綁架病毒)是由Rove Digital這個網路犯罪集團控制,Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。

當某些網路犯罪份子只想賺快錢的時候，有些則有更長遠的目標。ROVE DIGITAL已經運作超過六年了。讓我們看看他們是怎麼開始，最後又怎麼結束的。

過去四年每天都有人到駭客集團所成立的 Rove Digital 公司上班,主要業務:控制數以百萬計中毒殭屍電腦，獲取數百萬美金的不法所得

2002-2004 早期階段

惡意活動

出租伺服器給網路罪犯客戶，主要做為垃圾郵件僵屍網路的C&C伺服器，或是代管資料竊取木馬、釣魚網站和DNS Changer(域名系統綁架病毒)。

基礎架構

在紐約（PILOSOFT），洛杉磯（ATRIVO）和愛沙尼亞（ELION）的三個資料中心承租伺服器。

地理位置：愛沙尼亞美國

業務模式：一開始是網域註冊商繼續閱讀

《上網時間倒數中》FBI稱 57 萬電腦被駭,感染 DNS Changer 電腦, 7月 9 日後無法上網,即刻檢查!!~為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要？

2012 年 07 月 04 日2012 年 07 月 11 日趨勢科技 TrendMicro

7 月 9 日後，您還能繼續上網嗎 ? 趨勢科技提供讓您對電腦進行自我檢驗步驟,立即檢查

趨勢科技呼籲大家立即檢查是否感染DNS Changer，因為FBI即將於7月9日關閉服務遭感染電腦所使用的DNS伺服器，屆時未修復的設備將無法上網。
即刻免費下載PC-cillin 2012掃瞄系統,清除電腦上感染的 DNS 竄改木馬程式

為何清除電腦上的DNS Changer(域名系統綁架病毒)很重要？

犯罪史追朔到2007年DNS Changer(域名系統綁架病毒) 除了讓你無法連上網際網路之外，網路犯罪者還可能利用(域名系統綁架病毒)側錄鍵盤輸入，或者將受害電腦當做代理器 (proxy) ，將別的使用者導向假冒的網路銀行或社交網站。因此，歹徒可藉此竊取您和他人的網路銀行與社交網路密碼。

賺進數百萬美金黑心錢的Rove Digital駭客集團的 "CEO",這名駭人不淺首腦已經被逮捕

每天都有人到駭客集團所成立的 Rove Digital 公司上班,主要業務:控制著數以百萬計中毒殭屍電腦，獲取數百萬美金的不法所得。

這個網路犯罪集團控制了每一個環節，從植入木馬到透過中毒的傀儡殭屍電腦來賺錢。它是一間愛沙尼亞的公司，稱為Rove Digital。Rove Digital是許多其他公司（像是Esthost、Estdomains、Cernel，UkrTelegroup和許多較無人知的空殼公司）的母公司。

Rove Digital看起來是一個位在塔爾圖的正常IT公司，一個每天早上都有人來上班的辦公室。但實際上，這個在塔爾圖的辦公室控制著數以百萬計，位在世界各地的中毒電腦，每年都可以靠這些「Botnet傀儡殭屍網路」,獲取數百萬美金的不法所得。

Rove Digital 已在 2011 年 11 月 8 日遭到破獲，該公司最為人所知的惡行就是散播 DNS 竄改木馬程式來協助其從事其他不法行動。駭客在四年內利用廣告詐欺獲利超過1400萬美元。若要了解 Rove Digital 的網路犯罪歷史，請參閱趨勢科技 TrendLabs 的圖文解說：「The Rise and Fall of Rove Digital」。

◎認識DNS（Domain Name System）伺服器與 DNS Changer 的偷天換日

IP地址就像是我們寄信的地址一樣，沒寫地址郵差先生沒法把信送給收件人。網路上的每台主機都有唯一的IP地址,電腦的位址不是用文字而是用四個數字表示。如xxx.xxx.xxx.xxx。但是一般人無法記住這些數字，這時DNS（Domain Name System）伺服器就發揮作用了。DNS伺服器能將易讀好記的網域名稱解析成IP位址。大部分網路使用者都會自動使用網路服務業者的DNS伺服器。

當你在網址列輸入像www.trendmicro.com.tw 或www.pccillin.com.tw的網址時，其實會先連到DNS（Domain Name System）域名系統，找出該網站對應的數字IP 位址,才能連上該網站。

DNS Changer(域名系統綁架病毒)會把你的DNS連線偷偷換掉, 使用惡意人士所設立DNS伺服器，用來將特定的網域解析成惡意網站的IP位址。因此，受害者會在不自覺的情況下被導到惡意網站。犯罪集團可以透過很多方法來賺黑心錢，包括更換受害者所訪問的網站廣告，劫持搜尋結果或是植入其他惡意軟體,如假防毒軟體等。

◎ 7月9日後您的網路還能正常連線嗎？
FBI稱全球約 57萬台電腦被駭, 7月9 後,中毒電腦不能上網!!

遭 Ghost Click DNS 竄改程式伺服器關閉倒數計時中搶救您電腦上網功能的黃金時間正一點一滴流失…
立即檢查

立即免費下載趨勢科技的PC-cillin 2012來掃瞄系統。清除您電腦上感染的 DNS 竄改木馬程式。

@延伸閱讀:
讓 57 萬台電腦遇駭的駭客集團 ROVE DIGITAL (DNS Changer開發者) 近 10 年的起落

繼續閱讀

趨勢科技協助 FBI 破獲史上最大殭屍網路始末: DNS Changer(域名系統綁架病毒)與數百萬美金的不法所得

2011 年 11 月 11 日2015 年 07 月 15 日趨勢科技 TrendMicro

在2011年11月8日，美國聯邦調查局 FBI和愛沙尼亞警方在趨勢科技和其他夥伴的合作下攻破了一個歷史悠久，控制了超過四百萬台電腦的「Botnet傀儡殭屍網路」,在這次的行動，被美國聯邦調查局稱為「Operation Ghost Click」，有兩個位在紐約和芝加哥的資料中心被搜索，一個由100多台伺服器所組成的命令與控制（C＆C）基礎網路被斷線。在這同時，愛沙尼亞警方也在塔爾圖逮捕了數名成員。而這裡是聯邦調查局的新聞稿。

這個「Botnet傀儡殭屍網路」,由中毒電腦所組成，這些電腦的DNS設定都被改成國外的IP位址。DNS伺服器能將易讀好記的網域名稱解析成IP位址。大部分網路使用者都會自動使用網路服務業者的DNS伺服器。

而DNS變更木馬會偷偷地修改電腦設定，去使用國外的DNS伺服器。這些 DNS伺服器是由惡意人士所設立，用來將特定的網域解析成惡意網站的IP位址。因此，受害者會在不自覺的情況下被導到惡意網站。

犯罪集團可以透過很多方法來利用這個DNS Changer「Botnet傀儡殭屍網路」,賺錢，包括更換受害者所訪問的網站廣告，劫持搜尋結果或是植入其他惡意軟體等。

趨勢科技在2006年就發現了誰最有可能是這DNS Changer「Botnet傀儡殭屍網路」,的背後主腦。我們決定先保留這些資料而不公開，以便讓執法機構可以對這背後的犯罪集團採取法律行動。

現在主事者已經被逮捕，「Botnet傀儡殭屍網路」,也被移除了。我們可以分享一些過去5年來所收集的詳細情報。

Rove Digital

這個網路犯罪集團控制了每一個環節，從植入木馬到透過中毒的「Botnet傀儡殭屍網路」電腦來賺錢。它是一間愛沙尼亞的公司，稱為Rove Digital。Rove Digital是許多其他公司（像是Esthost、Estdomains、Cernel，UkrTelegroup和許多較無人知的空殼公司）的母公司。

Esthost，一家提供網站代管服務的經銷商，曾經在2008年的秋天上過新聞。當時它在舊金山的供應商 – Atrivo被迫關閉，而它也因此而斷線。大約也在同一時間，Rove Digital的一家網域註冊公司 – Estdomains也被ICANN取消了許可權，因為它的所有人 – Vladimir Tsastsin在他的家鄉愛沙尼亞因為信用卡詐欺而被定罪。

「Botnet傀儡殭屍網路」,集團Rove Digital的 CEO

繼續閱讀