趨勢科技 TrendMicro – 第 446 頁

物聯網 (IoT)會成為網路勒索的新天地？

2016 年 09 月 02 日2016 年 11 月 07 日趨勢科技 TrendMicro

由各式各樣蒐集和交換資訊的裝置所構成的物聯網向來是網路犯罪集團覬覦的對象，因為 IoT 的普及率正在不斷上升。根據 Gartner 預估，2020 年全球使用中的 IoT 裝置數量將超過 208 億，屆時超過一半以上的企業流程和系統都將運用到 IoT，其中大型企業將是 IoT 營收的主要動力。

然而，網路犯罪集團如何利用這波浪潮？IoT 裝置儘管擁有最新的硬體和應用程式，但大多數卻仍在使用一些過時的通訊協定與作業系統 (OS)。例如，遠端遙控燈泡及 Wi-Fi 連線的車內資訊系統 (In-Vehicle Infotainment，簡稱 IVI)，大多使用 Linux 作業系統，並以缺乏安全組譯功能的 C 語言開發。此外，也採用 TCP/IP (1989，RFC 1122)、ZigBee (2004 規格)、CAN 2.0 (1991) 這類過時的通訊協定來連接，歹徒只要成功利用這些通訊協定的漏洞，就能從遠端遙控裝置。

例如，針對 TCP/IP 通訊協定，歹徒可發動中間人攻擊來侵入 IoT 裝置網路，從中攔截裝置的通訊流量，進而遙控裝置。

歹徒在駭入 IoT 裝置時會經過以下幾個步驟：

敵情偵察與概念驗證 (PoC)

駭客會先針對目標裝置進行一番研究，尋找可能的弱點，並透過概念驗證來發掘可利用的漏洞。這些概念驗證包括：車內資訊系統內建數位音訊廣播接收器可能存在的漏洞，以及連網燈泡的安全認證漏洞，這使得就算是與外界隔離的網路也可能發生資料外洩。

在這個階段，駭客的主要工作包括：

尋找裝置是否使用預設或內建的登入帳號密碼。
利用軟體測試工具來攻擊通訊協定的漏洞，如通訊協定或參數測試工具。
尋找是否有輸入檢查方面的疏失 (如：緩衝區溢位、SQL 隱碼攻擊)。

此外，駭客還有像 Modbus Fuzzer 和 CANard 這類開放原始碼的工具可加快整個流程，兩者都能在 Github 程式碼代管服務網站中找到。

圖 2：american fuzzy lop 2.06b 測試工具運作畫面，該軟體可分析大量資料來尋找漏洞。

取得裝置控制權

接下來，駭客將利用找到的漏洞奪取 IoT 裝置的控制權，可能的方式包括：

藉由漏洞攻擊或預設的使用者帳號密碼來進入裝置，接著搜尋可橫向移動的內部網路。
在裝置當中安裝殭屍程式來建立殭屍網路，進一步掌控裝置網路。
發動分散式阻斷服務攻擊 (DDoS)，這類攻擊需要大量的資料來癱瘓網路，而分布廣泛的 IoT 裝置正好提供一個良好的環境來發動 DDoS 攻擊。例如，最近發生的一個案例就是利用數以千計遭到殭屍化的監視攝影機來發動 DDoS 攻擊。
圖 3：利用 TCP/IP 的漏洞來發動 SYN 洪水攻擊 (阻斷服務攻擊的一種)。

繼續閱讀

報告:上半年勒索病毒幾乎比去年翻一倍變臉詐騙及漏洞攻擊為企業資安防禦當務之急

2016 年 09 月 01 日2016 年 08 月 31 日趨勢科技 TrendMicro

2016上半年資訊安全總評:勒索病毒稱霸資安威脅版圖

正如趨勢科技所預言，2016 年已成為網路勒索之年，且攻擊手法不斷翻新。全球資安軟體及解決方案領導廠商趨勢科技發表的2016上半年資安總評報告：「勒索病毒當道的時代」，詳細分析了今年上半年的攻擊與漏洞發展趨勢。此報告針對攻擊的成長與衝擊做了廣泛的分析，例如，2016 年至今，勒索病毒已成長 172%，而變臉詐騙攻擊 (又稱為商務電子郵件入侵Business Email Compromise， BEC) 則造成了 30 億美元的損失，此外趨勢科技也在市面上各家軟體當中發現了將近 500 個漏洞。

趨勢科技技術長 Raimund Genes 指出：「勒索病毒 Ransomware (勒索軟體/綁架病毒)有能力癱瘓它所攻擊的企業，其幕後的網路犯罪集團正積極地設法讓病毒不斷演進，使得企業因而疲於奔命。到目前為止，勒索病毒可說是稱霸了2016年的威脅版圖，各種產業都有企業蒙受巨大損失。企業必須採取多層式資安解決方案，才能以最有效的方式對抗這類隨時試圖入侵企業網路的威脅。」

以下是該報告整理出的 2016 上半年重大資安趨勢：

台灣所偵測到的勒索病毒高達2百多萬，名列亞洲第二：2016 上半年，勒索病毒家族出現數量幾乎比 2015 年翻了一倍 (成長率 172%)，更加鞏固了勒索病毒在資安版圖的地位，其攻擊涵蓋所有階層的網路。並且台灣所偵測到的勒索病毒高達2百多萬，名列亞洲第二。

勒索病毒稱霸威脅版圖：2016 上半年，勒索病毒家族出現數量幾乎比 2015 年翻了一倍

變臉詐騙蔓延全球：根據美國聯邦調查局 (FBI) 的資料，2016 年至今變臉詐騙受害企業已超過 22,000 家，並且造成 30 億美元以上的損失。趨勢科技發現，美國是遭受這類攻擊最多的國家。
漏洞攻擊套件收錄新漏洞並散布勒索病毒：Angler 漏洞攻擊套件因 50 名犯罪集團成員遭到逮捕而逐漸式微。然而，其他漏洞攻擊套件卻趁機崛起並紛紛取而代之，其中還包括一些新面孔，例如：Rig 和 Sundown。
Adobe Flash Player與物聯網（IoT ,Internet of Thing）平台發現的漏洞數量持續增加：趨勢科技和 ZDI 發現並通報了多個重大瀏覽器和系統核心漏洞，而且這些都是在Pwn2Own世界駭客大賽當中所發現。
資料外洩災情肆虐各種產業：上半年，不論公家機關或私人機構都發生了資料外洩事件，包括：Myspace、威訊通信(Verizon)、多家醫院以及政府機構。
新版 PoS 惡意程式帶來新式攻擊：FastPoS 具備了高效率的信用卡竊取能力，災情遍及全球中小企業，也包括美國在內。此外它還有FighterPoS這個具有跨網路感染能力的變種首度現身，其性質類似蠕蟲，因此能跨網路感染。
舊漏洞重獲新生：Shellshock 漏洞攻擊案例在今年上半年有所成長，儘管廠商早就釋出修補程式，但我們每個月還是會看到上千筆新的漏洞攻擊。這是一個顯示虛擬修補技術更能夠發揮作用的例子，此技術能在新漏洞出現時讓企業網路更快獲得防護。
違反常理的銀行木馬程式：當 DYRE 網路銀行木馬程式的作者遭到逮捕之後，銀行木馬程式的數量卻因為QAKBOT 木馬程式而大增。此變種專門竊取重要資訊，包括：銀行帳號密碼、使用者瀏覽習慣，以及其他敏感的使用者資料。

繼續閱讀

在出現勒索訊息之前,勒索病毒暗中做的四件事

2016 年 08 月 31 日2016 年 09 月 02 日趨勢科技 TrendMicro

勒索病毒：幕後的運作

勒索病毒 Ransomware (勒索軟體/綁架病毒)已成為快速散播的瘟疫，不僅危害一般的使用者，還影響公家機關或企業。從失去對系統檔案的存取能力到損毀聲譽，勒索病毒利用恐嚇戰術脅迫受害者支付贖金。這類惡意軟體會如此猖獗的原因是受害者往往不知道自己已經中毒，直到他們看到勒贖訊息突然出現在螢幕上，但那時為時已晚。

最近韓劇超夯的,許多人喜歡網路追劇,提醒您別遇到勒索病毒,以上為粉絲在趨勢科技粉絲頁留言

對於勒索病毒的報導通常聚焦於如何抵達系統和其所帶來的破壞性後果，在受害者看到勒贖通知之前,這中間發生了什麼事？

1.往往從一個惡意連結或附件開始,受害者親手將電腦陷入危機

不知情的受害者點入連結或下載有害檔案的瞬間打開了讓惡意軟體進入系統的大門。它將自己複製到使用者的資料夾內，通常是以可執行檔的格式。在Windows環境，惡意軟體往往將檔案寫入%APPDATA%或%TEMP%資料夾，原因是作業系統允許一般使用者寫入這些資料夾而無須管理員權限。接著勒索病毒會開始悄悄地在背景執行。

如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載（隱藏式下載、偷渡式下載、強迫下載,網頁掛馬）攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床，紐約時報、BBC、MSN 皆曾中招。台灣也傳出相關案例。

2.連線到特定網站收發資訊

一旦惡意軟體進入系統，它會連上網路並且聯絡伺服器，在這個階段，勒索病毒跟命令和控制（C&C）伺服器發送和接收設定檔。在最近所看到Pokemon Go App的 Pogotear寶可夢勒索病毒案例裡（趨勢科技偵測為RANSOM_POGOTEAR.A），惡意軟體連到特定網站來收發資訊。

3.搜尋特定類型的檔案進行加密 繼續閱讀

從六隻常見勒索病毒訊息,分辨您感染了何種勒索病毒

2016 年 08 月 30 日2016 年 09 月 01 日趨勢科技 TrendMicro

自從勒索病毒 Ransomware (勒索軟體/綁架病毒) 首次出現以來，其數量已翻了數倍，而且隨著新的家族和變種不斷出現，再加上原有的家族亦持續更新，這所有的跡象都顯示勒索病毒的問題仍在持續擴大當中。勒索病毒之所以能夠得逞，很重要的一個原因是它能讓受害者心生恐懼，因此很容易乖乖就範，照著勒索訊息的指示支付贖金。

勒索訊息的內容大致包含付款資訊和威脅內容：經由什麼方式付款、該付多少、不付的後果會怎樣等等。但是，受害者顯然想知道更多資訊，可能的話最好知道如何防範勒索病毒，或者，是否有辦法移除勒索病毒，例如使用免費解密工具。不過，首先您必須知道您感染的是什麼勒索病毒，以下我們將介紹x六個最常見的勒索病毒以及勒索訊息來幫助您跨出這第一步。

CERBER:會逐字唸出勒索訊息的內容，語音提醒受害者支付贖金
CryptXXX:加密檔案類型多達 200 多種,新變種會鎖住電腦螢幕
奪魂鋸Jigsaw:每隔一小時就會刪除一批檔案,過了 72 小時之後永久刪除
Locky：迫使醫院緊急將所有電腦關機,改用紙本作業
RAA:不僅會偷密碼，還會偷比特幣錢包
MIRCOP: 做賊喊抓賊的,說自己是受害者的

當 RAA 第一次亮相時，最令人矚目的是它使用 JScript 來躲避偵測，並且讓自己更容易透過編碼來隱藏。進入系統之後，RAA (趨勢科技命名為 RANSOM_JSRAA.A) 會搜尋下列副檔名的檔案：.doc、.xls、.rft、.pdf、.dbf、.jpg、.dwg、.cdr、.psd、.cd、.mdb、.png、.lcd、.zip、.rar、.csv 等等，接著將檔案加密，然後在檔名末端加上「.locked」副檔名。除此之外，RAA 還會在系統植入專門竊取資料的 FAREIT (亦稱為 Pony) 惡意程式，它會搜尋系統上儲存的 FTP 用戶端和其他檔案管理軟體、電子郵件用戶端、網站瀏覽器、甚至比特幣(Bitcoin) 錢包的帳號密碼。蒐集到的資料會傳送至某個幕後操縱 (C&C) 伺服器。其勒索訊息是以俄羅斯文撰寫，內容提供了支付贖金的步驟，贖金最高 0.39 比特幣 (約合 7308 台幣)。

***CERBER:*會逐字唸出勒索訊息的內容，語音提醒受害者支付贖金**

Cerber (趨勢科技命名為 RANSOM_CERBER.A) 最明顯的特徵是具備語音功能，會逐字唸出勒索訊息的內容，以說話方式不斷提醒受害者支付贖金。Cerber 犯罪集團要求的贖金為 1.24 比特幣(根據 2016 年 8 月 23 日的匯率約合 23,238 台幣)，付款期限是七天，過了期限之後贖金將加倍。正如其勒索訊息所說，受害者的照片、資料庫以及其他重要文件都已遭到加密，受害者電腦上所有下列副檔名的檔案都會遭到加密：.doc、.docx、.jpg、.pdf、.pps、.pptm、.rar、.txt、.xls、.mov、.mp3、.config、.css、.csv、.dds、.flv、.html、.key、.lit、.mov、.mp3、.mp4、.mpg，而且副檔名會改成「.cerber」。

CryptXXX:加密檔案類型多達 200 多種,新變種會鎖住電腦螢幕

當 CryptXXX (趨勢科技命名為 RANSOM_WALTRIX.C) 一開始被發現時，它是從早期勒索病毒 Reveton 所衍生而來,經過多次改版和改頭換面之後，現在它已變得相當難以破解。最新的版本不僅會將檔案加密，某些 CryptXXX 變種還會將電腦螢幕鎖住，讓使用者根本無法使用電腦 (但這樣的作法似乎有點適得其反，因為使用者不能使用電腦就看不到勒索訊息)。CryptXXX 已知可加密的檔案類型有 200 多種，包括：.doc、.docx、.jpg、.pdf、.pps、.pptm、.rar、.txt、.xls、.mov、.mp3、.config、.css、.csv、.dds、.flv、.html、.key、.lit、.mov、.mp3、.mp4 以及 .mpg 等等，加密之後副檔名會變成「.crypt」。有趣的是，病毒的作者在某次更新時突然決定「大發慈悲」，給受害者更長的期限來支付 500 美元的贖金，但期限過後贖金依然會加倍。

PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制，可預防檔案被勒索軟體惡意加密

趨勢科技PC-cillin雲端版，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

奪魂鋸Jigsaw:每隔一小時就會刪除一批檔案,過了 72 小時之後永久刪除

繼續閱讀

從論壇受駭事件,看熱門網路平台的漏洞攻擊

2016 年 08 月 30 日2016 年 08 月 22 日趨勢科技 TrendMicro

最近的遭受駭客攻擊的Ubuntu、列王的紛爭（Clash of Kings）、戰甲神兵（Warframe），還有最新一起的迪士尼Playdom都具備了兩個共通點，都是使用vBulletin（一個為線上社群設計的網路論壇軟體），它們還有一個共通的特點:都被駭了。雖然這些事件並沒有關聯，報告指出每起攻擊背後的駭客都可以取得類似的詳細資料 – 用戶名稱、電子郵件地址、IP地址和兩款熱門遊戲的Facebook個人檔案資料。

論壇軟體：一個被低估的危險性

最近的這些論壇受駭事件顯示熱門網路平台仍然可能遭受基礎的漏洞攻擊。不幸的是，儘管多數網路平台的外觀感覺都已經大幅改變，要管理論壇軟體仍然是個艱鉅的挑戰，因為這些平台都是公開使用，意味著大多數的資料庫仍然容易受到特定類型的攻擊。

論壇軟體一向都很難加以防護。它們需要處理大量傳入的使用者輸入，如搜尋和貼文，需要SQL資料庫來儲存所有之前的文章，通常都是由小型開發團隊所為戶，所以疏漏有時是難以避免。升級論壇軟體通常是件不簡單的任務，而且更新程式需要時間才會發布，這可能是為什麼大多數管理員不會立刻更新。

在列王的紛爭（Clash of Kings）被駭事件中（可能還有其他也是），駭客攻擊了一個未更新修補程式的漏洞，據說是因為列王的紛爭論壇使用的是2013年的舊版本vBulletin，而且沒有使用任何加密。在Ubuntu和戰甲神兵（Warframe）被駭事件中，攻擊者利用了SQL注入漏洞，這也是駭客們最喜歡的工具之一。輕微的疏忽，如使用舊版或過時的軟體，或是沒有更新修補程式都會讓危險放大。

在2016年6月，駭客從超過一千個熱門論壇竊取了數萬名帳號，這些論壇都是架設在VerticalScope，一家多倫多媒體公司。根據入侵外洩通知網站LeakedSource，資料外洩的範圍可能已經大於原先的預期。再一次，連串駭客事件顯示受駭網站沒有達到今日安全環境的要求：更強的加密和持續更新修補程式以解決已知的安全漏洞。

被竊的資料怎麼了？

使用者的認證資料，如使用者名稱和密碼是攻擊者的共同目標，並且能為進一步的攻擊和詐騙提供相當長期的價值。網路犯罪分子會利用資料的金融價值，貨幣化他們所竊取的資料 – 多寡取決於資料的類型。例如，在巴西地下市場，市內電話號碼清單可以賣到317美元到1,931美元之間，而一組電子郵件登入憑證可以在中國黑市賣較便宜的價格 – 163美元。工作和個人電子郵件地址可以在俄羅斯地下市場賣到高達200美元。

[延伸閱讀：遭竊個人資料的全球黑市]

繼續閱讀