害怕下一波勒索病毒找上你?六招未雨綢繆

網路犯罪者把勒索病毒當作金雞母,近期 Google 研究顯示,在過去兩年內,網路勒索者想方設法從受害者身上撈到超過 2,500 萬美元。其他估值則顯示企業和網民單在 2016 年內就繳出了 10 億美元。

無論最終數值為何,從五月在全球各地爆發的 WannaCry(想哭)勒索蠕蟲 可看出,如今勒索病毒的威脅已是防不勝防。

那我們又該如何讓最珍貴的資料維持安全無虞?

新型的勒索病毒2016年出現 752%大幅成長

勒索病毒 Ransomware (勒索軟體/綁架病毒)是一種惡意軟體,會鎖住電腦讓受害者無法使用,或許會凍結螢幕畫面,但更常見的是將所有檔案加密,讓檔案變得無法讀取或存取。這種所謂的「加密勒索病毒」會要求使用者以比特幣或其他類似的貨幣來支付贖金,以獲得解密金鑰,重新取回檔案的存取權限。此金鑰所需的費用可能為幾百美元不等,但也有可能竄高到將近 1,000 美元,而且無法保證付款後就能取回資料。

勒索病毒的威脅其實早已存在約有十年之久,只是近幾年才開始爆發。趨勢科技發現,新型的勒索病毒單是去年就出現 752% 的大幅成長。壞消息是,在網路犯罪黑市販售的現成套件讓罪犯輕輕鬆鬆就能下手,無需專業技術知識也可以犯罪。以往他們的犯罪範圍鎖定在醫院學校廣播電台上,甚至舊金山城市鐵路也曾淪為目標。每個人都有可能遭受威脅。

試想,假如明天要登入電腦的時候,卻發現駭客迅雷不及掩耳地鎖住了您的電腦,還把鑰匙拿走了,會是什麼景況?最珍貴的家人照片、影片、工作文件、稅務資料和其他財務資訊可能就此永遠消失。

幸運的是,只需採取幾個謹慎步驟,就能大幅降低遭到攻擊的機會。

勒索病毒防不勝防:該如何保護我的資料?六招未雨綢繆!

有好幾種方式會致使電腦暴露在勒索病毒的威脅之下。若造訪遭入侵的網站,便可能會意外下載到勒索病毒,網站或許看起來合法正派,在廣告之中卻可能潛藏著惡意軟體。勒索病毒也會躲在其他惡意軟體背後一起入侵,或是藏在網路釣魚郵件和垃圾郵件的附件、連結裡。

預防是最好的應對方式,因為一旦勒索病毒本身感染了裝置,可能會無法移除。大家都知道,沒有一種「萬靈丹」能保證 100% 免受這類威脅影響。因此趨勢科技採取的做法是,以跨世代的多層防護作為基礎,提供豐富的安全控制功能,專為遏止經由漏洞潛入的惡意攻擊所設計。最新的強化功能在於機器學習,能在未知的惡意軟體變種造成任何傷害前,先發現其蹤跡並加以封鎖。

以下為必須牢記的六個關鍵要點: 繼續閱讀

勒索病毒 Locky 結盟 FakeGlobe 聯手出擊,垃圾郵件危險情勢升高

九月初,趨勢科技偵測到數量相當可觀的垃圾郵件活動,專門散播 Locky 勒索病毒最新變種。Locky 是一個相當知名的勒索病毒 Ransomware (勒索軟體/綁架病毒),首次發現於 2016 年初,然而它至今仍在持續演進,並經由多種不同的管道散布,尤其是透過垃圾郵件。我們仔細分析了近期垃圾郵件行動當中所蒐集到的樣本之後發現,網路犯罪集團使用了相當複雜精密的散布技巧,受害者遍布全球 70 多個國家。

在本文介紹的垃圾郵件行動中,歹徒交錯使用了兩種勒索病毒:Locky 和 FakeGlobe。他們會根據使用者點選郵件內惡意連結的時間來決定要提供 Locky 還是 FakeGlobe。因此使用者有可能重複感染兩種勒索病毒。

全球分布狀況與垃圾郵件行動分析

Figure 1 heatmap

圖 1:第一波垃圾郵件分布情況。

Figure 2 spam message sent

圖 2:第一波垃圾郵件樣本。

此樣本肆虐最嚴重的地區為日本、中國和美國;另有 45% 的數量分散全球其他 70 多個國家,這波垃圾郵件的高峰期大約在 2017 年 9 月 4 日上午 10 點左右 (UTC+4)。這段期間,我們總共大約攔截了 298,000 封垃圾郵件。 繼續閱讀

目標式勒索:「客製化」勒索病毒Defray,最愛的四個產業

勒索病毒最愛的醫療保健、教育、製造及科技組織

到處肆虐的勒索病毒 Ransomware (勒索軟體/綁架病毒)一般是以「亂槍打鳥」的方法感染,新興勒索病毒 Defray (由趨勢科技偵測到的 RANSOM_DEFRAY.ARANSOM_DEFRAY.B) 則鎖定特定攻擊目標。報告指出,Defray 散播者利用量身訂製的社交工程(social engineering )手法,將目標鎖定在勒索病毒最愛的醫療保健、教育、製造及科技組織,特別是醫療保健業

defray ransom

Defray 冒充「醫院 IT 管理者」,寄送病患報告

Defray 和大多數的勒索病毒一樣,透過網路釣魚(Phishing)電子郵件散播,它會嘗試強迫受害者下載惡意檔案。2016 年趨勢科技報告指出電子郵件是最常見的進入點,有 79% 勒索病毒來自垃圾郵件。

Defray冒充「醫院 IT 管理者」偽裝寄送病患報告的網路釣魚電子郵件。趨勢科技也發現有些網路釣魚郵件,偽裝成一家英國的水族公司,要求收件者報價或訂購產品,而惡意檔案上附有「官方」標誌。這些郵件的針對性及細節清楚顯示,攻擊者努力讓攻擊目標相信其真實性,而量身訂製的誘餌,顯示攻擊者正在鎖定更具體的攻擊目標。 繼續閱讀

磁碟加密勒索病毒 HDDCryptor 變種, 根據感染規模來調整受害者的贖金

磁碟加密勒索病毒HDDCryptor的變種(趨勢科技偵測為RANSOM_HDDCRYPTOR.AUSE據報在巴西和沙烏地阿拉伯感染了許多受害者。它跟2016年11月攻擊舊金山市政交通局(SFMTA)的磁碟加密惡意軟體是同一個家族,當時迫使公共交通系統手動分配路線,並打開票閘以防止運作停擺。

HDDCryptor(也被稱為Mamba)在去年9月首次出現。它可以加密透過SMB分享的網路資源,包括網路磁碟、資料夾、檔案、印表機和序列埠。它惡意使用一些免費軟體、開放原始碼軟體和商用軟體來搞亂磁碟及掛載的SMB磁碟,並且用修改過的開機引導程式(bootloader)覆寫主開機記錄(MBR),進而鎖住受感染電腦的硬碟。受感染系統重新啟動後會顯示勒贖通知而非正常的登入畫面。

[延伸閱讀:勒索病毒造成藍色當機畫面:HDDCryptor使用商業工具來加密網路分享和鎖住硬碟 ]

 

它的感染載體讓人聯想到其他家族(如CrysisErebus Linux勒索病毒),會利用漏洞攻擊來在植入並執行惡意軟體前先取得管理員權限。到了11月下旬,HDDCryptor更新使用了更加精簡的加密程序及防沙箱和反除錯功能,更能夠去躲避防毒和其他偵測技術。

[延伸閱讀:<勒索病毒> 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定(RDP)散播]

 

HDDCryptor修改受感染系統的MBR以顯示勒贖通知

 

開放原始碼磁碟加密軟體DiskCryptor的憑證和簽章,它是被HDDCryptor利用的工具之一 繼續閱讀

 “你的文件被加密了…帯好錢來聯繫我”簡中版勒索病毒 SLocker 模仿WannaCry 向錢看

趨勢科技的研究人員發現一個新變種SLocker會在Android上模仿WannaCry(想哭)加密勒索病毒介面。這被偵測為ANDROIDOS_SLOCKER.OPSCB的新SLocker行動勒索病毒的特點是會利用中國社群網路QQ的功能,還會持續鎖住螢幕。

SLocker是在7月被首度偵測和分析的Android檔案加密勒索病毒,會模仿WannaCry的介面。隨然中國警方已經逮捕遭指控的勒索病毒作者,但其他的 SLocker 操作者顯然仍未受影響,持續發佈新變種。

 

偽裝遊戲作弊工具,討論熱門手遊的QQ聊天群組成毒窟

受害者大多是從討論熱門手遊“王者榮耀”的QQ聊天群組感染這行動勒索病毒,這也是之前版本的傳染媒介。它會偽裝成遊戲作弊工具,使用名稱“錢來了”或“王者榮耀修改器”來作偽裝。這遊戲在中國非常受歡迎,有兩億的註冊使用者

病毒樣本被封裝成“com.android.admin.hongyan”(hongyan就是“紅顏”)和“com.android.admin.huanmie”(huanmie就是“幻滅”)。這兩個詞常被用在中國小說中,在青少年中很普及。

SLocker 中文簡體字勒索訊息自問自答寫著:

  • 發生了什麼?
    》你的文件被我加密了,解密的話帯好錢來聯繫我喔!
  • 除了付款有其破解方法嗎?
    》幾乎是沒有的,除非找我付款解密

先前的版本,還很狂妄地說:沒有我們的解密服務,就算老天爺來了也不能恢復這些文檔…

還要受害者注意語氣,沒錢不要來騷擾

SLocker 中文簡體字勒索訊息自問自答寫著: 發生了什麼? 》你的文件被我加密了,解密的話帯好錢來聯繫我喔! 除了付款有其破解方法嗎? 》幾乎是沒有的,除非找我付款解密
SLocker 中文簡體字勒索訊息

 

加密檔案螢幕截圖
加密檔案螢幕截圖

 

新變種的附加功能: 將受害者導向一個討論製作勒索病毒賺錢的QQ論壇

除了圖形介面(也有些設計變動)和可以在假工具執行時變更手機桌布外,這個新變種SLocker和之前版本並沒有其他相似之處。跟ANDROIDOS_SLOCKER.OPST不同,新變種使用Android整合開發環境(AIDE),這是可以直接在Android上開發Android應用程式的軟體。要注意的是,使用AIDE可以讓勒索病毒操作者更加容易製作Android軟體(APK),這樣的便利性會吸引新手來開發自己的病毒變種。 繼續閱讀