作者: 趨勢科技 TrendMicro

企業如何對抗勒索軟體?請使用趨勢科技端點解決方案

趨勢科技 TrendMicro

勒索軟體 Ransomware 是一種嘗試加密你重要資料檔案的惡意軟體，並且會要求付錢來換取解密金鑰 ,無論是大小企業都得面對這日益嚴重問題。事實上，加密勒索軟體 ,是使用先進技術來避免被發現的勒索軟體 , 近幾個月來的勒索軟體 Ransomware相關攻擊一直在持續加溫。趨勢科技主動式雲端截毒服務  Smart Protection Network全球威脅情報網路可說是一路目睹了加密勒索軟體 Ransomware的崛起。從 2013 年起，我們所偵測到的傳統勒索軟體與加密勒索軟體的比例，已從過去的80/20 演變至今日的 20/80。

 

光是備份還不夠

針對勒索軟體 Ransomware的完整防禦中必須包含好的備份策略。但即使你可以快速地利用雲端備份來重新復原系統，還是無法避免產生運作中斷。最好是在勒索軟體影響資料前先加以發現和消除。

 [延伸閱讀：你付錢了嗎?別讓檔案當肉票!勒索軟體常見問題集       ]

特徵碼比對的限制

特徵碼比對技術仍是趨勢科技端點防禦的核心要素之一，每月封鎖了超過14億筆。特徵碼比對是打擊已知惡意軟體非常高效能的作法。然而，在進階惡意軟體（包括加密勒索軟體 Ransomware）的時代，光是特徵碼比對並無法完全保護你。

OfficeScan防護勒索軟體能力

近幾年來， 趨勢科技 OfficeScan™ 已經不單單是使用特徵碼比對技術，還運用行為監測、記憶體檢查等新一代技術來偵測惡意軟體。OfficeScan V11 SP1加強了這些技術，再加入針對勒索軟體的新功能。趨勢科技 OfficeScan™ 現在具備以下這些防護勒索軟體 Ransomware功能：

  • 使用雲端及本地端白名單來將誤判降至最低，以免影響已知的好程序（process）。
  • 透過現有的預防/偵測層來封鎖已知惡意軟體（在檔案層級使用特徵碼比對，或是在解開封裝/記憶體檢查時使用較小的片段比對）。
  • 將發現的未知物件與趨勢科技主動式雲端截毒服務SPN( Smart Protection Network)的全球威脅情報資料進行關聯以加強風險評估。如果物件是SPN所未知或很少看到，就會被標記為更加可疑。
  • 使用行為監測技術來發現異常或惡意活動模式以偵測隱匿惡意軟體活動。OfficeScan會特別檢視加密或修改檔案的未知程序（process）, 以更即時發現加密勒索軟體。此外，我們也不停地更新行為偵測規則來強化勒索軟體的偵測率。
  • 迅速終止勒索軟體程序（process）和隔離受影響的端點，大幅減少資料損失並減少/阻止勒索軟體蔓延。
  • 注意：趨勢科技用這些新的先進功能來強化端點防護以回應這些勒索軟體攻擊。（到這裡下載OfficeScan V11 SP1及Worry-Free Standard/Advanced V9.0 SP2的最新防護勒索軟體更新。）

繼續閱讀

DROWN SSLv2出現漏洞，三分之一的HTTPS伺服器陷入危險

趨勢科技 TrendMicro

一個「新」而重要的漏洞被發現了，會影響到 HTTPS及有使用 SSL/TLS的服務。這個漏洞存在於SSLv2協定中，影響所有使用的程式。研究人員將此攻擊稱為DROWN，「Decrypting RSA using Obsolete and Weakened eNcryption（即利用過時和弱加密來解密RSA）」的縮寫。此攻擊讓攻擊者可以讀取或竊取透過「安全」連線送出的資訊。目前還沒有已知的真實攻擊發生。

DROWN和其他SSLv2問題在最近的安全通報中使用下列CVE編號：

  • 跨協定攻擊使用SSLv2的TLS（DROWN）（CVE-2016-0800）
  • SSLv2不會封鎖停用的加密（CVE-2015-3197）
  • 使用分治法（Divide and conquer）找出SSLv2的會話金鑰（session key）（CVE-2016-0703）

SSLv2被認為是過時的協定（可以追溯到1995年2月）。已經不再被建議使用在任何工作環境中。然而，許多伺服器仍然因為向下相容的關係而支援SSLv2。伺服器管理員希望確保自己的服務可以盡可能地提供給更多使用者；他們希望確保使用者在連到伺服器時（即便是用過時的系統），可以存取所有可用的服務。

要進行DROWN攻擊，攻擊者必須能夠進行中間人（MITM）攻擊，並且可以對目標伺服器進行多次SSLv2連線。如果攻擊者對伺服器進行多個SSLv2連線，就可以使用暴力破解法找出會話金鑰。一旦找到金鑰，就可以解密被擷取的網路流量。

如果滿足底下兩個條件中的任何一個，伺服器就可能受到DROWN攻擊影響：

  1. 支援SSLv2請求
  2. 其私密金鑰被用在其他允許SSLv2連線的伺服器上，即便是用較新的SSL/TLS協定版本

提出DROWN的研究者聲稱，有17%的HTTPS伺服器仍然允許SSLv2連線。因此，如果能夠進行中間人（MITM）攻擊，攻擊者可以用SSLv2連線來試探伺服器（受害者電腦不會用此發送連線），找出會話金鑰，用它來解密（甚至是TLS流量）。

考慮到重複使用金鑰的狀況，有另外16%的HTTPS伺服器會受到影響，所以有三分之一的HTTPS伺服器都有危險。此外，如果其他服務（如SMTP、POP等）也在這些伺服器上共用同一把金鑰，它們也會有危險。

研究人員已經在GitHub上發表掃描程式，它會發送SSLv2請求到給定端口並等待回應；以此測試漏洞是否存在。這並非指這伺服器已經真的被攻擊了。

 

圖1、DROWN偵測工具展示（點入以放大）

 

解決辦法

要修復此漏洞相當簡單：如同OpenSSL的建議一樣，伺服器管理員需要確保在任何地方都不再支援SSLv2。SSLv2已經過時，有許多已知漏洞，今日已經不該再使用。此外，伺服器的私鑰不該被重複使用，特別是過去曾經支援過SSLv2的伺服器。

OpenSSL 1.0.2的使用者應該升級到1.0.2g。OpenSSL 1.0.1的使用者應該升級到1.0.1s。更舊版本的OpenSSL使用者應該升級到這兩版本的其中一個。

Deep Security客戶可以使用下列DPI規則下來檢查環境中是否有SSLv2被使用：

  • 1005321 – Detected SSLv2 Request

在SSL/TLS 中有其他弱點會讓攻擊更加容易，特別是還在使用出口等級加密（export grade cipher）的話。底下規則可以幫忙偵測和解決這類風險：

 

  • 1006561 – Identified Usage Of TLS/SSL EXPORT Cipher Suite In Response
  • 1006485 – SSL RSA Downgrade Vulnerability
  • 1006562 – Identified Usage Of TLS/SSL EXPORT Cipher Suite In Request

 

＠原文出處：DROWN SSLv2 Vulnerability Rears Ugly Head, Puts One-Third of HTTPS Servers At Risk

打開 Word 檔也會中勒索軟體!!新加密勒索病毒 Locky,偽裝發票,誘騙下載

趨勢科技 TrendMicro

如果你近日接到一封看似發票的信件主旨:ATTN: Invoice J-98223146 ,請當心不要任意開啟其所附的 Word 檔,這是新型的勒索軟體 Ransomware (勒索病毒/綁架病毒)，它利用使用者對 Microsoft Word 檔比較沒有戒心的心態，企圖透過惡意巨集加以運行。

這是一個使用較少見方法進行散播的新勒索軟體 Ransomware (勒索病毒/綁架病毒):「Locky」,透過Word文件內的惡意巨集來滲透入系統。雖然勒索軟體較少出現利用巨集攻擊，但類似的散播方式可以找到知名的惡意銀行軟體DRIDEX，它也使用類似的攻擊方式。

Locky透過電子郵件進入受害者電腦，偽裝成發票並附上帶有惡意巨集的Word文件。根據研究人員表示，其相關內容如下:

 

郵件主旨：

ATTN: Invoice J-98223146

內文：

「Please see the attached invoice (Microsoft Word Document) and remit payment according to the terms listed at the bottom of the invoice.

（詳見隨附發票（Microsoft Word文件），並且根據發票底部所列出品項匯出付款。）」

開啟巨集才能檢視文件檔 ? 啟用巨集勒索軟體即開始暗中加密

一旦受害者不疑有他的開啟 Word檔檢視時會出現亂碼, 同時會看到以下要求啟用巨集才能正確檢視的訊息:「Enable macro if the data encoding is incorrect（如果資料編碼不正確就啟用巨集）。」事實上,巨集一旦被啟用，則開始暗中下載勒索軟體感染加密受害用戶的檔案

Locky的惡意執行檔下載自網路伺服器。一旦安裝，便會開始尋找可用的硬碟（包括網路硬碟）並加密檔案，如文件、圖片、音樂、影片、壓縮檔、資料庫和其他網頁應用程式相關檔案。加密的檔案將被重新命名，並加上「.locky」副檔名。就跟其他勒索軟體一樣，每個被加密資料夾中會附上各種語言的勒索訊息會。該訊息引導受害者到Tor網路來用比特幣（Bitcoin）（0.5 BTC）付錢。

 

[延伸閱讀：勒索軟體如何運作以及該如何保護自己]

Palo Alto Networks的研究人員已經紀錄了446,000條跟此新勒索軟體 Ransomware相關的連線，其中一半以上（54%）影響美國的受害者。趨勢科技將此勒索軟體偵測為RANSOM_LOCKY.A。除了美國以外，也出現在全球各地，包括日本、德國、法國、義大利、英國、墨西哥、西班牙、以色列和印度。 繼續閱讀

【勒索病毒常見問題集】光是備份夠嗎? 開啟 word 附件會中招嗎?

趨勢科技 TrendMicro

在勒索病毒（Ransomware）把網友當搖錢樹的今日，幾乎每個犯罪分子都想來分一杯羹。甚至有犯罪集團販售勒索病毒DIY套件，專門提供沒有技術能力的新手，根據自己的需求來設定勒索細節。
在「勒索病毒成為黑色產業金雞母的三個關鍵:無需特殊技能、低風險、高報酬」這文章中我們了解勒索病毒可以說讓犯罪集團賺翻了，那麼，您該如何確保自己不會成為另一棵搖錢樹?

 

【檢測你對勒索病毒的了解程度】 【常見問題】

勒索病毒 Ransomware (勒索病毒/綁架病毒)散播超過十年,第一個版本早在2005年在俄羅斯現身, 有些冒充警察的勒索病毒會宣稱受害人違反法律，進而鎖住系統,顯示繳交罰款的勒索頁面，甚至播放聲音檔,催促繳款。RANSOM_Cerbera加密勒索病毒則用電腦語音播放：
「注意！注意！注意！」「你的文件、照片、資料庫和其他重要檔案都已經被加密！」(以下為英文播放案例)

2013年出現一個特別麻煩的勒索病毒-當時被稱為史上最狠毒的勒索病毒:「Cryptolocker」。它會加密重要的檔案，只有當你支付贖金後才提供解密方法。至此,加密勒索病毒開始大行其道，相關攻擊一直在持續加溫。趨勢科技主動式雲端截毒服務 Smart Protection Network全球威脅情報網路可說是一路目睹了加密勒索病毒 Ransomware的崛起。從 2013 年起，我們所偵測到的傳統勒索病毒與加密勒索病毒的比例，已從過去的80/20 演變至今日的 20/80,甚至還從一般電腦發展到Android系統上。起初加密勒索病毒主要鎖定歐美，到了2015年，勒索病毒開始出現簡中介面，臺灣爆發災情,受害者包含企業和個人。

【檢測你對勒索病毒的了解程度】 【常見問題】

從以下三點可以看到勒索病毒事業愈做愈大了:
1.成立技術支援團隊，全天候 7 天 24 小時提供付款電話支援服務
2.提供網路聊天的方式即時協助受害者進行付款流程
3.架設網站，提供免費試用解密工具…看完整報導

勒索病毒藏在郵件,藏在載點,藏在中獎通知,藏在冒充主管的郵件裡,藏在廣告裡…只要你上網,就是它的目標,受害使用者經常在不知不覺中，透過背景程式被偷偷下載安裝了勒索病毒。
不給錢就鎖檔,勒索病毒 Ransomware連 FBI 也沒轍?! 利用以下題目檢測一下你對勒索病毒的了解有多少?
□ 下面哪一項不是勒索病毒主要的感染途徑
A) 網路廣告
B) 被駭客入侵的網站
C) 隨身碟
D) 惡意郵件

★PC-cillin 雲端版已有增加對勒索病毒 Ransomware加密行為的防護機制，可預防檔案被勒索病毒惡意加密

提醒您,備份可以降低感染勒索病毒損失,但不是預防的方法喔!預防感染勒索病毒,除了定期更新軟體,只打開信任的郵件/連結外,平時最好安裝有針對網路釣魚及勒索病毒加強防禦的防毒軟體,可大幅降低感染風險。

假使您也不幸成了受害者，請保持冷靜，最好向外尋求協助，但不要支付贖金。如 趨勢科技 PC-cillin 的「勒索剋星」可為您的寶貴檔案提供多一層防護。》立即免費下載試用

PC-cillin 防詐防毒、守護個資,支援Windows11 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用

趨勢科技PC-cillin雲端版 ，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

繼續閱讀

「Shrouded Crossbow」攻擊行動的駭客開發出UNIX 平台的 BIFROSE 惡意程式

趨勢科技 TrendMicro

趨勢科技最近遇到了一個針對 UNIX 以及「類 UNIX」系統所開發的 BIFROSE 惡意程式變種。這是由 Shrouded Crossbow (暗弩) 攻擊行動背後的同一批駭客所為，這批駭客同時也開發了 KIVARS 和 KIVARS x64 等其他 BIFROSE 變種。以 UNIX 為基礎的作業系統一般都出現在伺服器及工作站，但也出現在行動裝置。由於這些伺服器及裝置通常含有相當機密的資料，因此 UNIX 版本的 BIFROSE 可說是一項嚴重威脅。

技術實力

Shrouded Crossbow 幕後的犯罪集團一直在持續更新 BIFROSE 惡意程式來配合其攻擊行動。有些受害者甚至同時感染了 Windows 和 UNIX 兩種版本的 BIFROSE。過去，Shrouded Crossbow 曾利用 BIFROSE 來攻擊民營企業、政府機關以及政府外包商，也曾攻擊消費性電子、電腦、醫療、金融等產業。 繼續閱讀