作者: 趨勢科技 TrendMicro

《 勒索病毒》RaaS 加入了 CaaS 的行列,企業該如何防範新一代網路犯罪?

趨勢科技 TrendMicro

作者：趨勢科技網路安全長 (Chief Cybersecurity Officer,CCO ) Ed Cabrera

多年以來，「網路犯罪服務」(Cybercrime as a Service，簡稱 CaaS) 已在深層網路(Deep Web)地下論壇當中蔚為一股風潮。一些缺乏經驗的網路犯罪分子 (坦白說也是出於懶惰)，只要向一些老手購買 CaaS 工具和服務，就能輕輕鬆鬆發動一些惡意程式、垃圾郵件(SPAM)、網路釣魚（Phishing）或其他惡意攻擊行動，一切只需點點滑鼠即可。這些現成的工具套件使用起來幾乎不費力氣、也不需花大錢、更不需經驗，就連只會寫寫腳本的初階駭客也能上手，但卻可以帶來高報酬。

而最新的「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS) 毫不意外地，這項最新的服務，已造成新的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族的數量大增，光是2016 上半年就比去年一整年暴增 172%，而 RaaS 的出現，也讓原本大多針對個人使用者的攻擊，現在也開始對企業造成嚴重威脅。

企業的資料和商譽陷入前所未有的危險當中，最終甚至可能危及企業的生存，因為有了 RaaS 之後，網路犯罪分子就能發動多起勒索病毒攻擊，有助於他們在地下論壇打響名號。他們的目標就是挾持企業最寶貴的資產，包括：重要的連絡人資訊、業務資訊或是企業關鍵檔案。企業一旦損失這些數位檔案，將帶來嚴重的後果，包括：營業損失、營運中斷、法律賠償以及商譽損失。

企業的資安長 (CISO) 與 CXX 級高階主管，有責任採取必要的安全措施來妥善保護企業的寶貴資訊，並充分教育員工認識這項威脅。勒索病毒並非只有一種行為模式，因此資安對策也不能只靠單一防護。趨勢科技的多層式防護能協助企業降低風險，不讓攻擊進入系統，不論經由何種入侵點。我們提供了四層的防護來協助您降低風險：

RaaS 服務背後的犯罪集團，必須靠著他們的「客戶」(也就是使用其服務的犯罪分子) 來入侵企業系統，才能獲得不法利益。因此，他們會盡可能確保攻擊能夠遍地開花。這波風潮短期內應該不會消失，所以，別讓您的企業成為下一個受害者，成為駭客在深層網路上提高聲望的墊腳石。教育您的員工，備份您的檔案，最重要的是：部署一套多層式防護來保護您的資料。最終您會發現，您所花費的時間和金錢，都將值得。

如需更多資訊，請參閱：https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/ransomware-as-a-service-what-this-means-for-enterprises

原文出處：Protecting Your Enterprise against a New Generation of Cybercriminals)

” 只要 39 美元便提供「終身授權」” —深層網路上的勒索病毒服務(RaaS),對企業的意義為何?

趨勢科技 TrendMicro

 

檢視資安指南：勒索病毒服務 (Ransomware as a Service)

根據趨勢科技威脅回應工程師 Pacag 指出，幾個星期前，有個叫做「Stampado」的最新勒索病毒 Ransomware (勒索軟體/綁架病毒)在深層網路 (Deep Web) 上只要 39 美元的價格便提供「終身授權」。這正是「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS) 的運作方式，現在，網路論壇上到處充斥著各種自己動手做 (DIY) 的勒索病毒套件，就算是完全沒有技術背景的人也有辦法獨自發動一波勒索病毒攻擊。

勒索病毒在近幾個月來不斷登上媒體版面，因為這類病毒的效果真的是太強。一般來說，使用者可能經由下列管道感染勒索病毒：瀏覽網路、開啟垃圾郵件、或是單純只是仍在使用舊版軟體。

勒索病毒一旦在受害者的系統上執行，就會開始加密電腦或伺服器上的檔案，接著會顯示一個訊息向受害者勒索一筆贖金 (通常為比特幣)，使用者若想救回被加密的檔案，就必須支付贖金。2015 年的 CryptoWall 只不過是數百個勒索病毒品種之一，但卻從受害者身上海撈了 3.25 億美元，而這些很可能都是淨賺的，因為這類網路犯罪攻擊行動的門檻極低。

一般的勒索病毒行動 (左) 和 RaaS (右) 的差異

這對企業的意義為何？一切端看企業需要保護的是什麼資料。雖然勒索病毒很難知道某個檔案對受害者的重要性，但藉由大量的加密：整個資料夾、整個磁碟、整台伺服器等等，網路犯罪分子就有足夠的籌碼可以向大批的受害者勒索任何贖金，而且就算只有少數受害者願意付錢，他們的獲利也相當可觀。 繼續閱讀

當駭客們互駭 – 在法國地下世界上演的戲碼

趨勢科技 TrendMicro

趨勢科技曾發表了一篇新非法賭博系統的文章-「法國黑暗投注站（FDB）」。FDB運行在法國最大的地下市場 – 法國黑暗網路（FDN）。這個投注系統完全使用比特幣（Bitcoin,BTC）運作，讓網路犯罪份子可以輕易地透過這平台注資或籌資。

這之後的幾個禮拜發生一連串的事件引起我們的注意：FDN和FDB在幾天內關閉又開啟，宣稱自己受到駭客入侵，錢也都被偷走了。在被駭之後，FDN回復上線還變動了部分功能。

縱觀這些事件，我們發現不對勁的地方，不禁令人懷疑到底發生了什麼事，這所謂的駭客事件到底是不是起自導自演的戲碼，好讓某些人賺飽自己的口袋。我們就來看看在法國地下世界發生的事件，以及法國網路犯罪社群內有出現什麼動靜和線索。

比特幣系統如何在FDN/FDB運作？

FDN/FDB市場和投注系統具備獨立處理金融交易的功能。這表示許多金錢來源直接注入FDN。

  • 客戶的資金到供應商：
    要在FDN上買東西，比特幣必須存進FDN比特幣錢包。一旦轉入金額，系統讓買方可以用來向供應商買商品。供應商直接從FDN比特幣錢包得到等值於該商品的比特幣。基本上，FDN系統就類似賣買雙方間的仲介商。
  • 下注的錢：
    要賭些什麼時，賭徒先存入比特幣到FDN比特幣錢包。如果他贏得賭注，獲取的金額會從FDN錢包轉到賭徒的比特幣錢包。
  • 禮品及贈與：
    FDN接受禮品/贈與。
  • 籌資：
    聽起來很不可思議，但FDB提出幫助有需要的人或組織（對抗癌症等）的想法，並允許利用它們的比特幣錢包籌資。

 

駭客事件

FDN管理員大力地推銷新的FDB系統，在YouTube上張貼影片來吸引更多平常不會去黑暗網路（dark web）的客戶。在影片推出後，我們注意到FDN在2016年7月13日離線了幾個小時。它在7月14日回復，聲稱受到駭客入侵。他們還在這平台推出一些變動。

被駭的公告十分簡短，而且FDN幾乎沒有提出任何解釋。他們告知FDN論壇自己遭受駭客入侵，不過FDN/FDB資料庫還是安全的，沒有被駭客入侵。

只有FDN比特幣錢包遭受駭客攻擊，導致FDN/FDB客戶所有的錢都不見了。每當發生這類駭客事件，論壇管理員大多會表達出自己的憤恨，並提供相關的技術細節來支持自己的說詞 – 一些能夠說服社群相信的重要資訊。但是這起案例並沒有披露任何駭客事件相關細節。

被稱為Zulu的主要管理者在之後提供了後續資訊：

圖1、FDN管理員貼在論壇的發文

 

總結其內容，FDN基本上是整個打掉重練，所有交易都被取消，所有比特幣都消失了。FDN還實施了新規則，變成了私人論壇和市場。

FDN被駭之後發生什麼事？

在FDN網站回復後不久，FDN決定限制FDN論壇的使用。 繼續閱讀

Cerber勒索病毒透過惡意廣告散播, 主要集中在台灣,防範檔案成肉票,兩個重要提醒!

趨勢科技 TrendMicro

< 2016/10/12更新 >最近許多本部落格讀者向趨勢科技求援,表示自己或朋友中了Cerber 勒索病毒,趨勢科技資深技術顧問簡勝財表示,Cerber 除了透過郵件大量散播之外,最近也開始透過惡意廣告進行攻擊,而且衍生出變種。

兩個重要提醒:

提醒用戶除了”三不三要”之外(如下圖),還有兩個防範 Cerber 勒索病毒的建議:

1.更新作業系統或應用程式的修補程式,例如Flash/IE等

2.部分變種會透過email寄送office文件檔案,開啟文件時會要求開啟巨集的功能. 若收到這類信件或附檔.請不要任意開啟巨集以避免中毒

Cerber是2016年最惡名昭彰也最流行的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族。它具備多種攻擊策略，包括利用雲端平台和Windows腳本，還會加入非勒索病毒行為像是分散式阻斷服務攻擊。它會流行的原因之一可能是它經常被作為服務買賣（勒索軟體即服務也就是RaaS）。

有粉絲在趨勢科技粉絲頁留言:

“最近我同事只是追劇而已就中招,整個電腦資料全毀….”

fans-1

這並不是個案,無獨有偶的是近日也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了，原來是中了Cerber 勒索病毒。

▍延伸閱讀 ▍
Chimera 加密勒索軟體威脅 :「要被駭還是一起駭人賺黑心錢 ? 」
勒索病毒DIY 套件,削價競爭,只要 39 美元,終生授權!煽動犯罪新手加入黑心掏金夢

在過去的六個月，就有超過50個勒索病毒新家族出現，而2014到2015年加起來也只有49個。如果你還覺得這些案例都是發生在國外,就算 FBI 說中招了只能付錢了事,還是覺得勒索病毒離自己很遙遠，一樣照追劇,照下載,照瀏覽新聞?但是現在你不可以置身事外了,台灣地區光5月遭勒索病毒攻擊人次高達50萬威脅,急增3倍,網路上常常出現類似的討論:

論壇傳出「勒索病毒」大量災情。（圖擷取自PTT）

最新版本的Cerber具備之前版本的功能，像是會念出勒索訊息。跟之前的版本相似，Cerber 3.0會利用Magnitude和Rig漏洞攻擊套件散播。

使用者通常會在點擊播放影片後，被跳出視窗導到漏洞攻擊套件的伺服器,最後會下載 Cerber勒索病毒。這惡意廣告攻擊活動已經影響了好幾個國家，主要集中在台灣。

Magnitude會簡單的利用重新導向腳本。而Rig則會開啟正常網站,比如某服飾網站截圖，也許是為了讓廣告看起來不那麼可疑。

圖1、Rig漏洞攻擊連鎖行為

 

PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！即刻免費下載

Windows10Banner-540x90v5

  繼續閱讀

這裡有隻神奇寶貝,是會攻擊 Linux 系統的月精靈!

趨勢科技 TrendMicro

以神奇寶貝月精靈為名的 Umbreon Rootkit , 攻擊 x86 和 ARM 處理器的 Linux 系統

趨勢科技前瞻威脅研究 (FTR) 團隊最近取得了一個新的 Rootkit家族樣本。此 Rootkit 家族的名字叫做「Umbreon」(與第 197 號神奇寶貝「月精靈」同名)，會攻擊 Intel 和 ARM 處理器的 Linux 系統，因此一些內嵌式裝置也可能遭殃。(註：此 Rootkit 還真符合這隻神奇寶貝的特性，因為月精靈喜歡躲在黑漆漆的夜裡，所以與 Rootkit 的特性吻合。)

我們已針對這個 Rootkit 進行了詳細分析，並且將樣本提供給業界來協助資安界攔截此威脅。

編按: Rootkit是一種技術，用途在修改系統核心以便隱藏特定的檔案或是處理程序，甚至是登錄值．也因此常常會被病毒拿來利用作為躲避追查的手法之一

Umbreon 的發展始於 2015 年初，但其作者至少從 2013 年起即活躍於網路犯罪地下網路。根據一些駭客在地下論壇和 IRC 頻道上的說法，Umbreon 非常難以偵測。我們的研究已找出該 Rootkit 的運作方式以及它如何躲藏在 Linux 系統當中。

Umbreon 是經由駭客手動安裝到受害裝置或伺服器上。安裝之後，駭客即可經由該程式來遙控受害裝置。

何謂 Ring 3 Rootkit？

Rootkit 是一種難以偵測及發現的持續性威脅。它的功用就是要讓自己 (與其他惡意程式) 能夠躲過系統管理員、資安分析師、使用者、掃瞄引擎、鑑識分析以及系統工具的偵測。此外，它也可用來開啟一道後門，或者透過幕後操縱 (C&C) 伺服器讓駭客從遠端暗中遙控及監控受害機器。

這類程式有幾種執行模式，分別具備不同的存取權限：

  • 使用者模式 (Ring 3)
  • 核心模式 (Ring 0)
  • 虛擬化監管程式 (Hypervisor) 模式 (Ring -1)
  • 系統管理模式 (SMM) (Ring -2)

此外，一些研究也發展出一種在主機板或其他裝置的某些晶片上執行的 Rookit，這類 Rootkit 的執行模式為 Ring -3。在越底層執行的 Rootkit 就越難偵測及處理，但這並不表示 Ring 3 的 Rootkit 就很容易清除。

Ring 3 (也就是在使用者模式執行的) Rootkit 雖不會在系統上安裝一些系統核心物件，但卻會攔截 (hook) 系統的核心函式庫，這些函式庫是一般程式呼叫系統重要功能的介面，例如：讀/寫檔案、產生執行程序、傳送網路封包。因此，就算是在使用者模式下執行，這類 Rootkit 也可能有辦法監控甚至改變作業系統的運作。

在 Linux 系統上，當某個程式呼叫 printf() 這個函式時，該函式會再呼叫同一函式庫內一連串的其他函式，如：_IO_printf() 和 vprintf()。而這些函式最終會呼叫 write() 這個系統呼叫 (syscall)。一個 Ring 0 的 Rootkit 會直接在核心模式下攔截這個系統呼叫 (但這需要在系統當中插入核心物件/模組)，反觀一個 Ring 3 的 Rootkit 只需攔截使用者模式下的某些中間函式，不需撰寫核心模式下的原生程式碼 (因為這有相當的難度)。

跨平台功能

Umbreon 可在三個不同平台上執行：x86、x86-64 和 ARM (Raspberry Pi)。這套 Rootkit 的可攜性非常高，因為它並未用到任何綁定平台的程式碼：這套 Rootkit 除了一些輔助工具是以 Python 和 Bash 等腳本語言撰寫之外，純粹是以 C 語言撰寫。

趨勢科技判斷作者應該是刻意這麼做，好讓 Umbreon輕鬆支援前述三種平台。

後門認證機制

Umbreon 在安裝過程當中會在 Linux 系統上建立一個使用者帳號讓駭客經由後門進出受害的系統。這個後門帳號可經由 Linux 支援的任何認證機制 (如 SSH) 來存取，只需透過一個外掛的認證模組 (PAM) 即可。

該使用者帳號的群組識別碼 GID (group ID) 很特別，因此可讓 Rootkit 判斷試圖經由它進入系統的是不是駭客本人。由於 Umbreon 已攔截了 libc 函式庫內的函式，因此系統管理員無法在 /etc/passwd 檔案中看到這個使用者帳號。下圖顯示透過 SSH 來存取此後門帳號時會看到的畫面：

圖 1：SSH 登入畫面。 繼續閱讀