趨勢科技 TrendMicro – 第 455 頁

作賊喊抓賊!加密勒索病毒竟說自己是受害者

2016 年 07 月 07 日2016 年 07 月 01 日趨勢科技 TrendMicro

最近，勒索病毒 Ransomware (勒索軟體/綁架病毒)的行為成了大家討論的重點，例如：GOOPIC 給予的贖金支付期限特別長、RAA 會偷取密碼、最新的 JIGSAW 變種則提供了線上聊天支援，而這些還只是六月份出現的案例而已。不過，在這些新的行為當中，最特殊的還是MIRCOP 加密勒索病毒。

MIRCOP 加密勒索病毒 (趨勢科技命名為 RANSOM_MIRCOP.A) 會將一切怪罪到受害者身上，並且還不提供如何支付贖金的指示，事實上，它顯然假設受害者已經知道該如何「歸還」款項。

圖 1：MIRCOP 的勒贖訊息。

此處的重點在於「歸還」這件事，就整個情況看來，受害者似乎心知肚明該將贖金支付給誰，引用「蓋伊·福克斯」面具頭像的勒索訊息似乎暗示受害者「偷了」某知名駭客激進團體的東西，並且威脅受害者如不歸還這筆金額，將採取進一步行動。

編按:蓋伊·福克斯面具是根據蓋伊·福克斯的面容加以風格化而描繪成的一種肖像。這位火藥陰謀計劃中最著名的成員曾於1605年企圖在倫敦炸毀上議院但未成功。插畫家大衛·勞埃德將蓋伊·福克斯的臉部肖像設計成有著特大的笑容、透紅的雙頰、開開往上翹的八字鬍、以及下巴上有著細細尖尖垂直鬍鬚樣子的風格。1982年所出版的《V怪客》漫畫以及2006年所改編的同名電影都將這樣風格的肖像用作為故事情節的主要元素，使得該肖像已然成為各式各樣抗議活動的象徵。自其在網路論壇上出現之後，網路駭客組織團體「匿名者」便在2008年的佔領運動「Chanology 行動」中使用這種風格的面具肖像，也曾在世界各地其他的反政府、反體制的示威遊行中使用過，使得該面具成為眾所周知匿名者組織的象徵符號。
以上來自維基百科: 蓋伊·福克斯面具

繼續閱讀

竊取總計高達 2,500 萬美金的漏洞攻擊套件 Angler 垮台之後,最新加密勒索病毒活動

2016 年 07 月 06 日2016 年 06 月 30 日趨勢科技 TrendMicro

今年稍早，趨勢科技曾經撰文指出 Angler 是 2015 年最強勢的漏洞攻擊套件，占該年所有漏洞攻擊套件活動的 59.5%，但如今卻完全銷聲匿跡。

有趣的是，就在 50 名利用該惡意程式來竊取總計高達 2,500 萬美金的網路犯罪分子遭到逮捕之後， Angler 基本上已經完全停止營運。雖然 Angler 似乎已經沉寂，但網路犯罪分子顯然並未受到影響，因為他們正忙著尋找新的漏洞攻擊套件來取代，Angler 之所以成為當時的首選，是因為它收錄新漏洞的速度最快，而且擁有許多躲避防毒軟體偵測的技巧，例如：將惡意內容加密以及無檔案的感染方式。

在 Angler 垮台之後，趨勢科技看到漏洞攻擊套件的整體活動已大幅下降。雖然其他漏洞攻擊套件的活動有所增加，但完全無法和 Angler 相提並論，顯然，之前仰賴 Angler 的網路犯罪活動似乎並未完全移轉到其他漏洞攻擊套件。

圖 1：漏洞攻擊套件活動 (2016 年 6 月 1 日至 15 日)

歹徒之前經常利用 Angler 來散布勒索病毒 Ransomware (勒索病毒/綁架病毒)，那麼 Angler 沉寂之後，是否會對勒索病毒造成影響？答案是：「不盡然」。今年三月，我們開始看到歹徒利用 Magnitude 漏洞攻擊套件散布 Cerber 勒索病毒，而去年也有 Rig 漏洞攻擊套件會散布 CryptoWall 和 TeslaCrypt。隨著 Angler 消失在地平線上，我們看到原本透過 Angler 散布的 CryptXXX現在也開始改用 Neutrino，而原本不受看好的 Rig 和 Sundown 漏洞攻擊套件，也開始受到新勒索病毒家族的青睞。

後來居上

Rig 漏洞攻擊套件收錄了一個因 Hacking Team 資料外洩事件而曝光的零時差漏洞以及 Adobe Flash Player 和其他的軟體漏洞，Rig 曾經出現在近期的一波惡意廣告當中，受害者幾乎遍及 40 個國家，但主要目標為日本。

圖 2：Rig 偵測數量分布 (2016 年 6 月 1 日至 16 日)

Sundown 使用的是 Adobe Flash Player 當中一個使用已釋放記憶體的漏洞。Sundown 與 Rig 一樣，主要攻擊日本地區，值得注意的是，並非所有前述攻擊都透過 Sundown 來散布勒索病毒。繼續閱讀

「只要不點入可疑網站就不會中毒」?!

2016 年 07 月 05 日2016 年 06 月 29 日趨勢科技 TrendMicro

只是觀賞也有可能遭受惡意廣告感染的威脅

「只要不點入可疑網站萬事OK」的防毒口號，很抱歉已經不再適用了。為了防範來自網路資安的威脅,保持作業系統及各種應用程式更新到最新，最重要的就是盡可能減少資安漏洞存在電腦的時間以降低所帶來可能的威脅。當然，為自己提高安全防護的最佳方法是將防毒軟體版本維持在最新狀態。

繼續閱讀

短網址所面臨的新舊安全問題

2016 年 07 月 04 日2016 年 06 月 24 日趨勢科技 TrendMicro

短網址已經出現超過十年了，第一個主要短網址服務（TinyURL）出現在2002年。為什麼會需要短網址？有幾個很好的理由：

有些網址超長而破壞美觀，不好直接顯示在網頁上（例如：出現在報告結尾的引用列表），或是很難輸入，如果無法直接複製貼上的話，且會出現一大堆的破折號、斜線和逗號。
像是Twitter等平台對於字數有嚴格的限制，長網址一下子就用掉所有的字數。而短網址只需要較少的字元就可以指向相同的地方。

事實上，Twitter對於短網址的盛行是有決定性的因素，特別是bit.ly，在2009年底已經被使用超過20億次，競爭對手如goo.gl（來自Google）和t.co（Twitter自己所提供，現在貼到Twiiter上的連結都會使用這個服務）也在不久之後出現。

短網址發揮的另一個新領域是雲端服務，如微軟的OneDrive或是地圖服務（如Google Maps）。短網址提供了以上的好處，還加上一定程度的私密性和遮蔽性。

許多完整網址會在一定程度上透露出所指向的資源，短網址用的是隨機字元，所以看不出來是要指到一個敏感的雲端電子表格或是到當地藥局的Google地圖路線，但它們對使用者來說真的安全嗎？

短網址所面臨的新舊安全問題

短網址的遮蔽性在過去一直是個問題，就如趨勢科技的Rik Ferguson在部落格所提過，因為網址本身沒有顯示任何資訊，也就很難分辨是否是指向合法的網站，縮短網址可以混淆目的網站，也成了網路釣魚（Phishing）詐騙的防護罩。

自那時起就出現了許多類似狀況：

在2010年，趨勢科技的研究人員發現惡意軟體會利用短網址來在即時通服務傳遞垃圾訊息，像是Yahoo即時通或現已關閉的MSN。
在2012年，一隻Skype蠕蟲病毒利用短網址來快速地散播，這網址會指向一個惡意檔案，執行後會讓電腦加入「Botnet傀儡殭屍網路」。
在2014年出現了「ACH通知」詐騙郵件，造成一特定gl短網址被大量點擊；這連結會指向一個內藏惡意檔案的ZIP檔。

該注意的是，短網址雖不像那些會實際攻擊系統的勒索病毒 Ransomware (勒索軟體/綁架病毒)、間諜軟體或其他惡意軟體造成那麼多的問題。然而，短網址服務卻是個推手或是安全鏈的脆弱環節不只是因為缺乏透明度，而是越來越造成實際的問題。

暴力破解連到雲端服務的短網址

一年多前，Cornell Tech的研究人員注意到OneDrive和Google地圖有時僅用六個隨機字元來產生bit.ly連結。這代表可能組合的總數僅約略超過20億 – 人類不可能去嘗試所有的組合，但如果有一組強大的CPU就可以辦到。

「有著足夠多的電腦，你可以掃描整個可能範圍，」Cornell Tech電腦專家Vitaly Shmatikov告訴WIRED。「你只要隨機產生網址，看看會連到哪裡。」

許多連結都用在私人用途 – 例如，用來取得放在雲端的個人文件，但實際上沒有那麼的私密，該研究小組產生數百萬可能的 OneDrive bit.ly網址，發現可以真正取得好幾千份檔案。繼續閱讀

Cerber 勒索病毒鎖定 Office 365

2016 年 07 月 01 日2016 年 07 月 18 日趨勢科技 TrendMicro

專門鎖定 Office 365 使用者的 Cerber 勒索病毒 Ransomware (勒索軟體/綁架病毒)會暗藏在 Microsoft Word 巨集當中，因此傳統的資安技術很難加以偵測而且，就算使用者已被訓練成對執行檔或壓縮檔保持警戒，也很可能不小心開啟其 Word 檔案，尤其當人才招募主管看到一封假冒應徵者履歷的電子郵件時更容易上當。2015 年，趨勢科技已見到巨集惡意程式數量大幅攀升。