作者: 趨勢科技 TrendMicro

未來學（FuTuRology）：醫療科技可能致殘?!

趨勢科技 TrendMicro

 

未來學（FuTuRology）：當心可能真會致殘的醫療科技

我們現在來看看未來科技水晶球內會出現什麼。這是「未來學（FuTuRology）」計畫的第三篇，來自趨勢科技前瞻性威脅研究（FTR）團隊預測熱門科技未來的部落格系列文章。

在前面的兩篇裡，我們介紹了我們對未來技術威脅環境的專案，並開始描繪醫療保健產業在未來幾年會變成什麼樣子。

第一部：一窺逼近熱門技術的威脅

第二部：穿戴式裝置和智慧型醫療設備，資料驅動醫療未來的零件

今天我們想要預測的是關於其他醫療科技在更遠的未來會帶給攻擊者什麼樣的機會或是對醫療使用者帶來什麼威脅。

  • 3D掃描和列印

因為硬體一年比一年便宜也讓此項技術迅速地成為主流。到了某一天可能有辦法對四肢及身體剖面進行足夠精準的掃描，讓醫生可以3D列印個人化的義肢，從臨時用來打石膏到永久性治療的肢體更換。我們所談論的是大規模客製化仿生科技的誕生。我們在這一代看到了跟其他人在網路上分享私密照片所帶來的影響。如果3D掃描變得更加可行，掃描檔案會比今日的2D照片更被網路犯罪販子當作目標，用來進行敲詐勒索。

  • 實驗室晶片（Lab-on-a-Chip）藥物

這令人興奮的領域在未來有出現更多酷東西嗎？被稱為「驚奇的縮小實驗室」或實驗室晶片（Lab-on-a-Chip）藥物如何？這些藥片或貼片可以自動提供所需的正確劑量。可能是利用來自外部感應器或雲端演算法診斷產生的身體參數。這病人看起來需要這個藥物10毫克？馬上就來！

我相信要判斷不同的藥物成分和劑量有其技術難度。一旦這些被克服，而這裝置上市了，攻擊者攔截那些藥物參數可能是會致命的。即使只是延遲給藥也可能夠糟糕的了。這可能成為未來的終極不付費就死的勒索軟體 Ransomware。阻斷醫療服務攻擊呢，是不是有可能？

  • 智慧型服裝

我們不只是在說帶有健身感應器和各種噱頭的T恤（最近的確出現過類似的東西），而是可能會更廣泛地出現在未來的東西。外骨骼如何？不，我們不會很快就看到亞德曼金屬骨骼或是伸縮的爪子。我們所談論的是讓受損的身體可以活動的設備，因為有了伺服馬達（servo motor），可以幫助肌肉萎縮或癱瘓的人進行物理上的活動。有聽過嗎？這些已經被開發用在軍事用途上，有助於攜帶更多重量或在戰場上吸收更多衝擊力。隨著3D掃描和列印設備越來越進步也更加便宜，讓一般疾病也負擔得起的治療方式變得更加可能。運動愛好者，尤其是極限運動者，也可以用智慧型服裝作為護具。

  • 機器人看護

說到機器人或安裝在身體上的外骨骼，我們可能很快就會看到更多的機器人看護。機器人當護理人員助理並非無法想像。醫療設備在本質上已經變得越來越自動化，因為所帶來的高效率可以讓投資充分回收。這將讓機器人手術應用在那些高度自動化的手術上變得更為可行，外科醫生可以給出確切指示而機器人可以準確的按照設定好的程式執行。這些已經被應用在某些領域上，隨著技術變得更加準確且更加便宜能夠讓它更為普及。理論上，駭客可以連上機器人導致實體上的傷害，但在現實中這不太可能發生，大多只是科幻小說中的內容。對於那些駭入網路、逆向工程韌體和控制機器人所能做到的事情，可以更輕易地利用現實中的傳統方法造成。但這可以很好地和物聯網（IoT ,Internet of Things）或聯網設備駭客攻擊的題目連結。這裡的想法是只要有連接網路的東西就可能被攻擊。再一次地，作為目標的可能性和設備種類有關係。我不會去討論細節，但無論是否可能遭受攻擊，有較高風險的設備顯然需要更多的防禦。一部聯網汽車需要比聯網烤麵包機有更多的保護。這同樣適用於任何會身體連結或直接影響人體的醫療裝置。

  • 資料視覺化和分析

有了此一領域的最新進展，醫生可能可以透過擴增實境強化來視覺化核磁共振成像（MRI）或X光斷層成像（X-ray CT）產生的病患3D掃描成像資料。視覺化技術類似於Oculus Riff，可用來深入病患內臟，充分了解他們的狀態，給出更準確的診斷，仔細檢視資料並規劃重要手術。我不知道我該為醫生感到高興或為這遠景感到恐懼。

很顯然地，現在技術的狀態和發展會為所有的人類領域帶來新玩意。醫療領域也不例外。然而也為這產業增加更容易被攻擊的風險及可能帶來危及生命的後果。醫療科技需要想在前頭。開發者需要從一開始就建立一定程度的安全性，因為在這個領域中，即使是偶然或意外的出錯都可能會真的致殘。

 

＠原文出處：FuTuRology: Watch Out for Literally Crippling Healthcare Technologies |作者：David Sancho（資深威脅研究員）

 

 

《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。

▼ 歡迎加入趨勢科技社群網站▼

好友人數

 

【推薦】防毒軟體大評比: 惡意程式防禦力 PC- cillin雲端版榮獲第一名!

【推薦】PC-cillin 雲端版 榮獲世界著名防毒評鑑機構高度評比

 

Windows10Banner-540x90v5

 

趨勢科技PC-cillin雲端版 ，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

趨勢科技PC-cillin雲端版 ，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

 

中小企業該如何防禦加密勒索軟體威脅?

趨勢科技 TrendMicro

勒索軟體 Ransomware一波一波持續不斷，尤其是檔案加密勒贖軟體，例如：CryptoLocker,對網路使用者來說是個越來越顯嚴重的犯罪問題 – 當然也包括中小企業。

Protection 勒索軟體 保護 安全 一般

你可能在之前就聽說過這類型的惡意軟體，還是先複習一下，它會透過內嵌連結的勒索軟體 Ransomware來誘騙使用者連到看似真正銀行或政府機構網站的假網頁來下載勒索軟體。

當你進行著一般常見的動作，像是輸入驗證碼（CAPTCHA，一種防止機器人的程序）時也在不知不覺中下載惡意軟體到系統內，勒索軟體 Ransomware會立刻加密你的檔案讓你無法使用，然後要求你支付贖金（通常是用比特幣）來將檔案解密。

簡言之，如同Daniel Dun在加密勒索軟體說明中所提到：「它們綁架了資料，向技術弱勢而求助無門的一般民眾勒索錢財。」

 

避免勒索軟體的最佳方法

備份重要檔案是防範勒索軟體 Ransomware的重要策略一環，以防萬一這出現在你或你的員工身上。為了避免加密勒索軟體 Ransomware所帶來的時間浪費和損害狀況，最好的方法是透過像趨勢科技【Worry-Free Pro 中小企業全方位即時雲端防毒服務】這樣的解決方案加以防護。

多年來，趨勢科技一直在加強我們的防護措施，不僅僅是用特徵碼比對的惡意軟體偵測，雖然我們還是每個月用這技術阻擋了超過14億次的惡意檔案。今日趨勢科技採用加強的行為監視技術來在惡意軟體損害我們客戶的檔案前先加以偵測、防止和清除。 繼續閱讀

Google Play 上的兩款遊戲可將 Android 裝置解鎖

趨勢科技 TrendMicro
圖 1：Google Play 上的 RetroTetris 惡意遊戲。

Android 惡意程式最近也蔓延到遊戲當中。趨勢科技發現兩個 Google Play 上的惡意遊戲可以將Android 裝置解鎖 (root)。如果您對 Brain Test 和 RetroTetris 這兩個遊戲有印象的話，那麼趕快檢查一下自己的裝置看看。
RetroTetris 可支援的 Android 版本從 2.3 Gingrebread 起，而 Brain Test 可支援的版本則是從 2.2 Froyo 起。Brain Test 遊戲已在 9 月 24 日從 Google Play 下架。至於 RetroTetris，我們已將問題通報給 Google Play 的資安團隊，目前正在等候回音。

RetroTetris
RetroTetris 偽裝成熱門經典遊戲 Tetris 的復刻版。根據趨勢科技估計，它大約感染了 500 至 1,000 台 Android 裝置，絕大多數位於中國。

它首度現身 Google Play 的日期是 8 月 21 日。不過這款遊戲在官方商店以外的地方也找得到。根據我們進一步的監控資料，以下非官方應用程式商店也曾出現它的蹤跡 (當然還不只這些)：

  • Appszoom：https://cn.{BLOCKED}om.com/android-game/retrotetris-ppwst.html
  • 豌豆荚：https://www.{BLOCKED}jia.com/apps/com.antdao.tetris
  • 应用宝：https://{BLOCKED}d.myapp.com/myapp/detail.htm?apkName=com.antdao.tetris
  • 360Market：https://{BLOCKED}u.360.cn/detail/index/soft_id/2911263
圖 2：從網路上安裝惡意 App 的程式碼。

這個遊戲會發送指令到 RootGenius SDK 的 startRootRunScript 功能。此 SDK 會進一步從網路上下載漏洞攻擊套件，視 Android 版本和其他條件而定。這些漏洞攻擊套件可讓程式取得裝置的管理員 (root) 權限。

 

Rootkit CVE 漏洞編號
FramaRoot CVE-2013-6282
TowelRoot CVE-2014-3153
GiefRoot CVE-2014-7911 和 CVE-2014-4322
PingPongRoot CVE-2015-3636

表 1：RetroTetris 從網路上下載的 Rootkit 攻擊套件和所攻擊的漏洞

圖 3：惡意工具與惡意遊戲的程式碼有諸多相似之處。

經過進一步的分析，我們找到了一個與 RetroTetris 相關的網站 (shuame.com)，裡面提供了兩套可解鎖 Android 裝置的工具。其中一個工具的程式碼與這款遊戲的程式碼很像，因此我們判定架設該網站的人應該與 RetroTetris 的作者有相當淵源。

Brain Test
Brain Test 假冒成一個腦力測試的遊戲，包括讓您的「左腦」和「右腦」互相比較，您必須在一分鐘內解出問題。聽起來是不是很有挑戰性？這就是程式作者 8 月 8 日在 Google Play 推出該遊戲 (安裝套件名稱：com.mile.brain) 時的誘餌，隨後又升級至一個含有奇虎 (Qihoo) Android 包裝程式的版本。
Google 在 8 月 26 日將第一個版本從商店下架，但作者又在 9 月 10 日發布了另一個版本 (安裝套件名稱：com.zmhitlte.brain)，這次使用的是百度包裝程式。此程式又被 Google 逮到，並於六天之後，也就是 9 月 16 日將它下架。不過，作者又再次嘗試將 App 名稱改成「Brain Test HD」(安裝套件名稱也改成：com.fjsc.brainhd)。此版本同樣在 9 月 24 日遭到 Google Play 下架。
該遊戲一旦進入裝置，就會再下載並安裝其他惡意應用程式，並且會將裝置解鎖 (root)，讓它能夠執行任何惡意程式碼。它在 9 月 11 至 25 日這段期間大約感染了 10,000 多台裝置。這些裝置大多集中在印度、菲律賓、印尼、俄羅斯和台灣。我們相信，即使這個惡意程式已經從 Google Play 下架，但應該還是有些存在於受害者的裝置中。

圖 4：Brain Test 惡意遊戲在 Android 裝置上的圖示。

Brain Test 會連上某個網站 (s.psserviceonline.com ) 來進行一些惡意活動。此外，我們也發現另有 385 個未在 Google Play 上架的惡意程式也會連上同一個網站，以下列舉幾個範例：
• com.{BLOCKED}e.mp3.music
• com.as.{BLOCKED}b.downloader
• com.gl.{BLOCKED}e.wallpaper
• com.{BLOCKED}ot.master
• com.sex.{BLOCKED}on.superman
• com.sex.{BLOCKED}on.xman
• com.{BLOCKED}d.save.battery
• com.{BLOCKED}c.sms

解決之道和偵測資訊
趨勢科技已經能夠保護客戶不受這兩項威脅的危害。Android 裝置使用者在從各種來源下載 App 的時候都應特別小心謹慎，不論 Google Play 商店和非官方應用程式商店都一樣。此外，您也可以安裝一套行動裝置防護軟體，如趨勢科技行動安全防護 (TMMS) ，就能藉由行動裝置應用程式信譽評等服務來偵測 RetroTetris 和 Brain Test 的 Rootkit 行為。這套防護可偵測那些蒐集及可能竊取私人資訊的行為並即時加以攔截。
以下是此次相關威脅的 SHA1 雜湊碼：
RetroTetris
• ae041578acbf41d1ed0ef5393296a28cea24663a
• 6f3192b73d03bb0c1fcdfeffafc7826da12fde5a
在 shuame.com 上偵測到的惡意程式：
• AndroidOS_ShuaMe.A,
• AndroidOS_ShuaMe.HRX
• AndroidOS_ShuaMe.HRXA
• AndroidOS_ShuaMe.HRXB
• AndroidOS_ShuaMe.HRXC
• AndroidOS_ShuaMe.OPS
• AndroidOS_ShuaMe.OPSA
• AndroidOS_ShuaMe.OPSB
• AndroidOS_ShuaMe.OPSC
• AndroidOS_ShuaMe.OPSD
• AndroidOS_ShuaMe.OPSE
Brain Test
• bfef4bcc1ee7759a7ccbbcabd9d7eb934a193216
• daf0b9a8ad003e2a10a6216b7f5827114a108188
• AndroidOS_IDownloader.A
• AndroidOS_FakeInst.A

原文出處：Two Games Released in Google Play Can Root Android Devices作者： Wish Wu 和 Ecular Xu

540x90 line 《現在加入趨勢科技LINE@,留言即刻輸入 888 看本月好友禮 》

 

《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。

▼ 歡迎加入趨勢科技社群網站▼

好友人數

 

【推薦】防毒軟體大評比: 惡意程式防禦力 PC- cillin雲端版榮獲第一名!

【推薦】PC-cillin 雲端版 榮獲世界著名防毒評鑑機構高度評比

 

Windows10Banner-540x90v5

 

趨勢科技PC-cillin雲端版 ，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

趨勢科技PC-cillin雲端版 ，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

 

最新「Ghost Push」變種宛若幽靈,暗中威脅Android 用戶,同一作者發行逾 600 惡意應用程式

趨勢科技 TrendMicro

Ghost Push 背後很可能是一個有組織的網路犯罪集團，因為他們對於惡意程式產業非常熟悉。除了 Ghost Push 之外，該集團到目前為止總共發行了 658 個非重複的惡意應用程式 (共 1,259 個不同版本)，皆透過非官方應用程式商店流傳。其中，有一個惡意程式感染了 100,000 多個裝置；有兩個感染了 10,000 多個裝置；有七個感染了 1,000 多個裝置。

萬聖節還沒到，但 Android (安卓)使用者已經開始遭到幽靈騷擾，也就是 Ghost Push 惡意程式可以取得手機最高權限,並且下載有害的廣告和應用程式。它經常包裝在非官方應用程式商店下載的 App 中。Ghost Push可監控任何可能通知使用者的執行程序，因此可肆無忌憚地從事惡意活動。

Ghost Push 惡意行徑還包含:強制關閉手機 Wi-Fi 功能，改用行動數據連線來下載惡意程式、在螢幕開啟時啟動應用程式和廣告、竊取裝置上的個人資訊、更新已安裝的惡意應用程式等等。

手機 mobile

根據趨勢科技對 Ghost Push 的深入調查，其近期變種較先前版本更進化，會利用下列方式來讓它更難被偵測和移除：

  • 將其 APK 和 Shellcode (漏洞攻擊程式碼) 加密。
  • 直接執行惡意的 DEX 檔案 (Android 執行檔) 而不產生通知。
  • 加入了保護機制來監控其執行程序是否正常執行。
  • 將惡意程式的 .APK 檔案 (Android 應用程式安裝包) 重新命名。
  • 啟動新的系統活動。

目前網路上流傳的 Ghost Push 變種大約有 20 多個，以下是幾個已知會散布這些變種的網址：

  • {blocked}.{blocked}dn.com /testapk/[sample name].apk
  • {blocked}.{blocked}ecdn.com/testapk/[sample name].apk
  • {blocked}.{blocked}dn.com/testapk/[sample name].apk
  • {blocked}.{blocked}n.com:80/testapk/[sample name].apk

Ghost Push 從今年 4 月起即活躍至今，但 9 月份出現的變種數量明顯高於前幾個月。

圖 1：Ghost Push Android 惡意程式變種數量變化 (2015 年 4 月至今)。
圖 1：Ghost Push Android 惡意程式變種數量變化 (2015 年 4 月至今)。

繼續閱讀

< Targeted attack >「Cuckoo Miner」侵占合法電郵,攻擊銀行機構

趨勢科技 TrendMicro

一般我們在分析一項威脅時，都會將其惡意程式當成元凶或主要對象來分析。然而，研究其他相關的元件卻可以看到威脅的全貌，反而能比單獨研究二進位程式碼掌握更多的細節。

唯有將目光放遠，超越惡意檔案，才能看出一群原本不相干的網路釣魚（Phishing）郵件，其實都是同一起肆虐全球銀行和金融機構的攻擊行動。駭客利用其他銀行的電子郵件帳號來發送網路釣魚（Phishing）郵件到他們鎖定的銀行，企圖進入該銀行的電腦，進而加以遠端遙控。我們將這起攻擊行動稱為「Cuckoo Miner」(杜鵑鳥礦工)。因為駭客侵占合法電子郵件信箱的手法，很像杜鵑鳥欺騙別的鳥來養大它們的雛鳥、進而鳩佔鵲巢的方式很像。

PHISHING 網路釣魚 網路銀行 木馬

除了攻擊行動本身的資料之外，我們也發現這起行動和其他攻擊有所關聯： HawkEye、CARBANAK 以及  GamaPOS。

Cuckoo Miner 攻擊行動的第一步

想像一下以下情境：某家大型金融機構的出納櫃台人員 Bob 收到了一封電子郵件。這封電子郵件乍看之下一切正常，內文只有一行，接著就是另一家銀行的簽名資料，並且附上一個 Microsoft Word 文件附件檔案，叫做「ammendment.doc」。


圖 1：「垃圾」電子郵件。

Bob 開啟了這份 Word 文件，裡面寫道：「Hey….」 Bob 看了一頭霧水，索性關掉 Microsoft Word 文件並刪除這封郵件，接著繼續查看其他郵件。但他卻不曉得，光是開啟這份 Microsoft Word 文件，他就已經讓他的電腦 (以及整個分行) 的門戶洞開。

Bob 的情況並非特殊案例，這其實是一起大型的針對性攻擊/鎖定目標攻擊(Targeted attack )。

趨勢科技主動式雲端截毒服務  Smart Protection Network全球情報威脅網路在今年 8 月 4 日偵測到至少有 17 個國家 (包括印度、瑞士、美國等等) 境內的電子郵件伺服器 (不論在企業內或在雲端) 所屬的銀行和金融機構員工都收到了同樣的電子郵件。這些受害的機構皆位於歐洲、中東、非洲 (EMEA) 以及亞太地區 (APAC)。這些電子郵件只針對一群特定的收件人，而且只在該日發送以避免被察覺。


圖 2：受害伺服器分布地理位置。

使用多重 RAT 遠端存取工具

該行動使用的 Microsoft Word 文件會攻擊 CVE-2015-1770  漏洞，進而在系統內植入另一個檔案，該檔案會另外啟動一個「svchost.exe」執行程序。 但這個「svchost.exe」事實上是一個遠端存取工具 (RAT) 叫做「Utility Warrior」。


圖 3：svchost.exe。

不過，駭客還不光使用 Utility Warrior 這個 RAT 工具，他們在為期數個月的攻擊行動當中接連使用了多個 RAT 工具，最早可追溯至 2015 年 1 月，而且各工具的使用期間大多彼此重疊。


圖 4：不同期間所使用的 RAT 工具。

一旦  RAT 工具成功和幕後操縱伺服器取得聯繫，駭客就能自由操縱受感染的電腦，他們可透過 RAT 工具查看系統上有哪些資源、安裝了哪些程式、過濾端點裝置上的資料，此外，還可以從端點裝置直接下載資訊。

從駭客所使用的 RAT 工具非常廣泛就能看出，惡意程式作者在駭客圈內非常活躍，而駭客們彼此之間的關係也非常密切。此外我們也觀察到，駭客很樂意嘗試新的 RAT 版本，並且很快就能將新版 RAT 工具融入他們的攻擊行動當中。

重複使用的憑證以及與 CARBANAK 的淵源

此攻擊行動絕大多數的 RAT 工具使用的電子憑證都是簽發給一個名為「ELVIK OOO」的機構，而且有多個憑證是不斷重複使用。理論上，憑證中的序號是由憑證簽發機構所核發，而且 每個憑證都有自己的序號。


圖 5：憑證範例。

還有一件值得注意的是，我們也曾見過一個 Anunak (也就是 CARBANAK)  攻擊行動的樣本也是使用這個憑證來簽署。然而更重要的是其中含有「arablab」字樣：


圖 6：Arablab 字樣。

從我們擷取到的封包內容可看到「 ArabLab0  」字樣緊跟著一串16 進位碼：「 e4fd2f290fde5395 」，這其實就是一台殭屍電腦識別碼 (BOT ID)，也就是：「 ArabLab0e4fd2f290fde5395」。

這個「Botnet傀儡殭屍網路」識別碼讓我們想起我們在  2014 年 6 月的一項研究發現。我們發現「arablab」是一位使用 Citadel 和 Zeus 來攻擊銀行的駭客。此外，值得一提的是，「arablab」也會利用 Microsoft Office 文件漏洞  CVE-2010-3333  來攻擊某些特定人士，並且從事奈及利亞 (419) 詐騙。儘管攻擊不同，但目標是一樣的，那就是：盜取錢財。 繼續閱讀