當駭客們互駭 – 在法國地下世界上演的戲碼

趨勢科技曾發表了一篇新非法賭博系統的文章-「法國黑暗投注站(FDB)」。FDB運行在法國最大的地下市場 – 法國黑暗網路(FDN)。這個投注系統完全使用比特幣(Bitcoin,BTC)運作,讓網路犯罪份子可以輕易地透過這平台注資或籌資。

這之後的幾個禮拜發生一連串的事件引起我們的注意:FDN和FDB在幾天內關閉又開啟,宣稱自己受到駭客入侵,錢也都被偷走了。在被駭之後,FDN回復上線還變動了部分功能。

縱觀這些事件,我們發現不對勁的地方,不禁令人懷疑到底發生了什麼事,這所謂的駭客事件到底是不是起自導自演的戲碼,好讓某些人賺飽自己的口袋。我們就來看看在法國地下世界發生的事件,以及法國網路犯罪社群內有出現什麼動靜和線索。

比特幣系統如何在FDN/FDB運作?

FDN/FDB市場和投注系統具備獨立處理金融交易的功能。這表示許多金錢來源直接注入FDN。

  • 客戶的資金到供應商:
    要在FDN上買東西,比特幣必須存進FDN比特幣錢包。一旦轉入金額,系統讓買方可以用來向供應商買商品。供應商直接從FDN比特幣錢包得到等值於該商品的比特幣。基本上,FDN系統就類似賣買雙方間的仲介商。
  • 下注的錢:
    要賭些什麼時,賭徒先存入比特幣到FDN比特幣錢包。如果他贏得賭注,獲取的金額會從FDN錢包轉到賭徒的比特幣錢包。
  • 禮品及贈與:
    FDN接受禮品/贈與。
  • 籌資:
    聽起來很不可思議,但FDB提出幫助有需要的人或組織(對抗癌症等)的想法,並允許利用它們的比特幣錢包籌資。

 

駭客事件

FDN管理員大力地推銷新的FDB系統,在YouTube上張貼影片來吸引更多平常不會去黑暗網路(dark web)的客戶。在影片推出後,我們注意到FDN在2016年7月13日離線了幾個小時。它在7月14日回復,聲稱受到駭客入侵。他們還在這平台推出一些變動。

被駭的公告十分簡短,而且FDN幾乎沒有提出任何解釋。他們告知FDN論壇自己遭受駭客入侵,不過FDN/FDB資料庫還是安全的,沒有被駭客入侵。

只有FDN比特幣錢包遭受駭客攻擊,導致FDN/FDB客戶所有的錢都不見了。每當發生這類駭客事件,論壇管理員大多會表達出自己的憤恨,並提供相關的技術細節來支持自己的說詞 – 一些能夠說服社群相信的重要資訊。但是這起案例並沒有披露任何駭客事件相關細節。

被稱為Zulu的主要管理者在之後提供了後續資訊:

圖1、FDN管理員貼在論壇的發文

 

總結其內容,FDN基本上是整個打掉重練,所有交易都被取消,所有比特幣都消失了。FDN還實施了新規則,變成了私人論壇和市場。

FDN被駭之後發生什麼事?

在FDN網站回復後不久,FDN決定限制FDN論壇的使用。 繼續閱讀

Cerber勒索病毒透過惡意廣告散播, 主要集中在台灣,防範檔案成肉票,兩個重要提醒!

< 2016/10/12更新 >最近許多本部落格讀者向趨勢科技求援,表示自己或朋友中了Cerber 勒索病毒,趨勢科技資深技術顧問簡勝財表示,Cerber 除了透過郵件大量散播之外,最近也開始透過惡意廣告進行攻擊,而且衍生出變種。

兩個重要提醒:

提醒用戶除了”三不三要”之外(如下圖),還有兩個防範 Cerber 勒索病毒的建議:

1.更新作業系統或應用程式的修補程式,例如Flash/IE等

2.部分變種會透過email寄送office文件檔案,開啟文件時會要求開啟巨集的功能. 若收到這類信件或附檔.請不要任意開啟巨集以避免中毒


Cerber是2016年最惡名昭彰也最流行的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族。它具備多種攻擊策略,包括利用雲端平台Windows腳本,還會加入非勒索病毒行為像是分散式阻斷服務攻擊。它會流行的原因之一可能是它經常被作為服務買賣(勒索軟體即服務也就是RaaS)。

有粉絲在趨勢科技粉絲頁留言:

“最近我同事只是追劇而已就中招,整個電腦資料全毀….”

fans-1

這並不是個案,無獨有偶的是近日也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了,原來是中了Cerber 勒索病毒。

▍延伸閱讀 ▍
Chimera 加密勒索軟體威脅 :「要被駭還是一起駭人賺黑心錢 ? 」
勒索病毒DIY 套件,削價競爭,只要 39 美元,終生授權!煽動犯罪新手加入黑心掏金夢

在過去的六個月,就有超過50個勒索病毒新家族出現,而2014到2015年加起來也只有49個。如果你還覺得這些案例都是發生在國外,就算 FBI 說中招了只能付錢了事,還是覺得勒索病毒離自己很遙遠,一樣照追劇,照下載,照瀏覽新聞?但是現在你不可以置身事外了,台灣地區光5月勒索病毒攻擊人次高達50萬威脅,急增3倍,網路上常常出現類似的討論:

論壇傳出「勒索病毒」大量災情。(圖擷取自PTT)

最新版本的Cerber具備之前版本的功能,像是會念出勒索訊息。跟之前的版本相似,Cerber 3.0會利用Magnitude和Rig漏洞攻擊套件散播。

使用者通常會在點擊播放影片後,被跳出視窗導到漏洞攻擊套件的伺服器,最後會下載 Cerber勒索病毒。這惡意廣告攻擊活動已經影響了好幾個國家,主要集中在台灣。

Magnitude會簡單的利用重新導向腳本。而Rig則會開啟正常網站,比如某服飾網站截圖,也許是為了讓廣告看起來不那麼可疑。

圖1、Rig漏洞攻擊連鎖行為

 

PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外,更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能,跨平台跨裝置全面保護消費者遠離威脅!!即刻免費下載

Windows10Banner-540x90v5

  繼續閱讀

這裡有隻神奇寶貝,是會攻擊 Linux 系統的月精靈!

以神奇寶貝月精靈為名的 Umbreon Rootkit , 攻擊 x86 和 ARM 處理器的 Linux 系統

趨勢科技前瞻威脅研究 (FTR) 團隊最近取得了一個新的 Rootkit家族樣本。此 Rootkit 家族的名字叫做「Umbreon」(與第 197 號神奇寶貝「月精靈」同名),會攻擊 Intel 和 ARM 處理器的 Linux 系統,因此一些內嵌式裝置也可能遭殃。(註:此 Rootkit 還真符合這隻神奇寶貝的特性,因為月精靈喜歡躲在黑漆漆的夜裡,所以與 Rootkit 的特性吻合。)

我們已針對這個 Rootkit 進行了詳細分析,並且將樣本提供給業界來協助資安界攔截此威脅。

編按: Rootkit是一種技術,用途在修改系統核心以便隱藏特定的檔案或是處理程序,甚至是登錄值.也因此常常會被病毒拿來利用作為躲避追查的手法之一

Umbreon 的發展始於 2015 年初,但其作者至少從 2013 年起即活躍於網路犯罪地下網路。根據一些駭客在地下論壇和 IRC 頻道上的說法,Umbreon 非常難以偵測。我們的研究已找出該 Rootkit 的運作方式以及它如何躲藏在 Linux 系統當中。

Umbreon 是經由駭客手動安裝到受害裝置或伺服器上。安裝之後,駭客即可經由該程式來遙控受害裝置。

何謂 Ring 3 Rootkit?

Rootkit 是一種難以偵測及發現的持續性威脅。它的功用就是要讓自己 (與其他惡意程式) 能夠躲過系統管理員、資安分析師、使用者、掃瞄引擎、鑑識分析以及系統工具的偵測。此外,它也可用來開啟一道後門,或者透過幕後操縱 (C&C) 伺服器讓駭客從遠端暗中遙控及監控受害機器。

這類程式有幾種執行模式,分別具備不同的存取權限:

  • 使用者模式 (Ring 3)
  • 核心模式 (Ring 0)
  • 虛擬化監管程式 (Hypervisor) 模式 (Ring -1)
  • 系統管理模式 (SMM) (Ring -2)

此外,一些研究也發展出一種在主機板或其他裝置的某些晶片上執行的 Rookit,這類 Rootkit 的執行模式為 Ring -3。在越底層執行的 Rootkit 就越難偵測及處理,但這並不表示 Ring 3 的 Rootkit 就很容易清除。

Ring 3 (也就是在使用者模式執行的) Rootkit 雖不會在系統上安裝一些系統核心物件,但卻會攔截 (hook) 系統的核心函式庫,這些函式庫是一般程式呼叫系統重要功能的介面,例如:讀/寫檔案、產生執行程序、傳送網路封包。因此,就算是在使用者模式下執行,這類 Rootkit 也可能有辦法監控甚至改變作業系統的運作。

在 Linux 系統上,當某個程式呼叫 printf() 這個函式時,該函式會再呼叫同一函式庫內一連串的其他函式,如:_IO_printf() vprintf()。而這些函式最終會呼叫 write() 這個系統呼叫 (syscall)。一個 Ring 0 的 Rootkit 會直接在核心模式下攔截這個系統呼叫 (但這需要在系統當中插入核心物件/模組),反觀一個 Ring 3 的 Rootkit 只需攔截使用者模式下的某些中間函式,不需撰寫核心模式下的原生程式碼 (因為這有相當的難度)。

跨平台功能

Umbreon 可在三個不同平台上執行:x86、x86-64 和 ARM (Raspberry Pi)。這套 Rootkit 的可攜性非常高,因為它並未用到任何綁定平台的程式碼:這套 Rootkit 除了一些輔助工具是以 Python 和 Bash 等腳本語言撰寫之外,純粹是以 C 語言撰寫。

趨勢科技判斷作者應該是刻意這麼做,好讓 Umbreon輕鬆支援前述三種平台。

後門認證機制

Umbreon 在安裝過程當中會在 Linux 系統上建立一個使用者帳號讓駭客經由後門進出受害的系統。這個後門帳號可經由 Linux 支援的任何認證機制 (如 SSH) 來存取,只需透過一個外掛的認證模組 (PAM) 即可。

該使用者帳號的群組識別碼 GID (group ID) 很特別,因此可讓 Rootkit 判斷試圖經由它進入系統的是不是駭客本人。由於 Umbreon 已攔截了 libc 函式庫內的函式,因此系統管理員無法在 /etc/passwd 檔案中看到這個使用者帳號。下圖顯示透過 SSH 來存取此後門帳號時會看到的畫面:

圖 1:SSH 登入畫面。 繼續閱讀

網站連不上?可能是針對伺服器的FAIRWARE新勒索病毒造成

新一波的勒索病毒 Ransomware (勒索軟體/綁架病毒) FAIRWARE變種,會攻擊在Linux伺服器上運作的網站。

在Bleeping Computer論壇上的一篇貼文 指出,受害者認為自己的系統遭受暴力破解攻擊而被取得權限。一旦進入伺服器,據稱攻擊者會加密並移走網頁目錄內的內容,刪除原始檔案並且留下訊息要求支付2 比特幣 贖金來取回檔案。當然,網頁目錄內容被移除的伺服器會無法使用,這對於重要的網頁應用程式來說是很嚴重的問題。受害者被警告要在兩週內支付贖金,不然就無法取回檔案,而且可能會被公開外洩。

目前還不清楚FAIRWARE勒索病毒作者在刪除檔案前是否真的有先移走,還是只是試圖迫使受害者支付贖金。到目前為止,還沒有發現有受害者支付贖金到勒贖通知內指定的比特幣錢包,但不排除當有價值的資料被綁票時,會有受害者支付贖金換回檔案。 繼續閱讀

2016 上半年資訊安全總評報告:勒索病毒當道 變臉詐騙造成逾30 億美元損失.受害企業高達 22,000 家(內有完整報告)

2015 年底,趨勢科技曾預言 2016 年將是網路勒索之年。今年上半年短短六個當中,我們看到網路犯罪集團如何大肆擴張網路勒索行動,利用勒索病毒 Ransomware (勒索軟體/綁架病毒) 來攻擊企業,包括中、大型企業在內。

 

勒索病毒稱霸威脅版圖

勒索病毒 依然不斷成長,儼然成為一項普遍的威脅。光是 2016 上半年我們看到的新勒索病毒家族數量就已經較 2015 年一整年成長 172%。隨著勒索病毒攻擊日益精密、日漸普遍,我們相信下半年將帶來更大的損害。

 

每月新增的勒索病毒家族數量

2016 上半年新勒索病毒家族數量就已經較 2015 年一整年成長 172%
2016 上半年新勒索病毒家族數量就已經較 2015 年一整年成長 172%

我們發現勒索病毒家族在感染手法和勒索伎倆上都不斷翻新。奪魂鋸Jigsaw 會在每隔一段時間受害者仍不支付贖金時就刪除一批被加密的檔案。同樣地,SURPRISE 會在受害者超過期限時提高贖金。

此外,我們的研究也發現,某些勒索病毒家族專門鎖定特定企業檔案,例如 SURPRISE 和 POWERWARE 會將報稅檔案加密。 繼續閱讀