面對勒索病毒,醫療產業表示準備好了,但…

在年初的《資安預測準備度調查》結果顯示:醫療產業對勒索病毒的準備度最好,但之後卻出現了病人被迫轉院,醫院改採紙本作業等多則醫療產業受到勒索病毒侵襲的嚴重個案…..

每年,趨勢科技的技術長 (CTO) Raimund Genes 都會和研究人員以及來自全球的資安專家面對面坐下來,針對未來一年的資安情勢提出一些預測。

今年,我們決定調查一下大家對今年預測的情勢做了多少防範的準備。從一月起,趨勢科技便開始進行一項有關今年各項資安預測準備度的網路問卷調查

目前我們已分析完今年 1 月至 5 月所收到的問卷,並且從中發現了不少有趣的結果。同時,我們也根據受訪者所處的地區和產業歸納出一些結論。

所以,這份報告供了一些值得參考的訊息。

Raimund 之前所做的預測之一就是:「2016 年將成為網路勒索之年」,就當前的勒索病毒 Ransomware (勒索軟體/綁架病毒)危機看來,這項預測可說是完全獲得印證。此外,從受訪者的回答以及近期所發生的一些事件,也能給我們不少啟示。

 

在因勒索病毒侵襲上新聞之前,醫療產業:我們已做好準備防禦網路勒索

就這次的問卷調查來看,各產業受訪者對於網路勒索問題的準備度以醫療產業表現最好。下表顯示各產業受訪者在「網路勒索」問題上回答「準備度最為不足」的比例:

網路勒索
1 通訊/媒體 32%
2 銀行、金融、保險 22%
3 教育 21%
4 其他 (餐飲、快速消費品、房地產、材料) 20%
5 公共事業、交通運輸、能源、電信 19%
6 科技 17%
7 零售 17%
8 政府機關 16%
9 醫療 6%
10 製造 0%

然而,我們卻在新聞媒體上多次看到醫療產業受到勒索病毒 Ransomware侵襲的嚴重個案,甚至付出高額贖金。

延伸閱讀:
刪除備份,逼迫就範!! 新勒索軟體 SAMSAM ,攻擊伺服器漏洞,鎖定醫院
Locky 勒索軟體迫使醫院緊急將所有電腦關機,改用紙本作業

我們該如何解釋這準備度與現實情況的差異?很簡單:面對勒索病毒,其實我們的準備並不如自己想像中那麼充分。

我們問卷調查的方式是請受訪者評量自己的資安準備度,因此受訪者的回答代表他們對自己的認知。

 

cloudsec

繼續閱讀

勒索病毒:是你親手把檔案變成肉票!

那些看似尋常的網路行為,竟會讓自己成為檔案被加密的幕後推手?!

在看到勒索病毒加密訊息前,你到底做了什麼事?很多人費盡的回想,都找不到頭緒,以下四個案例可以說明那些看似尋常的網路行為,為何會讓自己成為檔案被加密的幕後推手。

案例一:「 我只是偶爾上 FB,新聞網站,早上一開機,檔案全被鎖住了

Ransomware 20160712-FB

近日台灣大量傳出災情的 CryptXXX(RANSOM_Waltrix)勒索病毒,主要利用Flash/SilverLight/IE的漏洞進行攻擊,據受害者反映,瀏覽新聞網站、入口網站以及文章常在 Facebook 臉書上被分享的一些內容農場網站之後,開始出現感染勒索病毒的症狀。

我們一再提醒大家如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。不要以為官方或大型網站就比較安全,曾幾何時網頁廣告成勒索病毒散播溫床,紐約時報、BBCMSN 皆曾中招。台灣也傳出相關案例。


案例二:「我沒有亂開網頁,印象裡有跳出一個程式說要更新
,我按『確定』, 就中招了

Ransomware 20160712-1

當你買保險時.你可能會逐字仔細閱讀,但在網路上按下”我確定”之前,你花多少時間確認? 根據趨勢科技的調查,有近五成的網友僅花10 秒的時間閱讀隱私條款後按下我同意。

雖然我們一再提醒大家要適時更新作業系統和應用程式,但也得小心勒索病毒也會假冒官方發送假的更新通知。

案例三:「我打開一個看似發票通知的 word 附件,連網路硬碟都被加密了

Ransomware 20160712-2

繼續閱讀

Jigsaw 變種勒索訊息 (資料來源:BleepingComputer)

新 Jigsaw 奪魂鋸加密勒索病毒變種獅子大開口,要求高達5,000美元的比特幣贖金

Jigsaw 奪魂鋸加密勒索病毒 Ransomware (勒索軟體/綁架病毒)又出現新的變種 (趨勢科技命名為

RANSOM_JIGSAW.F116FN),這次採用了匿名者 (Anonymous) 駭客團體的主題背景。新的 Jigsaw 變種比前一代更變本加厲,將原本 150 美元的贖金一下子提高到 $5,000 美元 (以比特幣支付),且加密後的檔案副檔名改成「.epic」。此外,勒索訊息當中還表示將蒐集受害者的帳號密碼與電子郵件和即時通訊內容,並且威脅將發送一份給受害者的所有聯絡人,不過這項能力並未獲得證實,很可能只是一種恐嚇伎倆。

另一個之前出現過的 Jigsaw 變種還提供了公開聊天平台的帳號讓受害者可以和歹徒聯絡並討價還價,有趣的是,歹徒並無法確切知道受害者是何時感染的,因為其「倒數計時」是根據受害裝置上 Cookie 的記錄,如果 Cookie 被刪除了,倒數計時將回復到 24 小時,所以當下的贖金是多少,其實歹徒只能仰賴受害者誠實告知。

Jigsaw 加密勒索病毒 (趨勢科技命名為 RANSOM_JIGSAW.A) 首次出現於 2016 年 4 月,Jigsaw 借用了恐怖電影《奪魂鋸》(Saw) 的手法,不但將使用者的檔案鎖住,而且會每小時 (或是在程式重新啟動時) 刪除一批檔案,用意在製造受害者心理上的恐懼和壓力,迫使受害者付錢,因為,時間拖得越久,每批刪除的檔案數量就會增加。


PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制,可預防檔案被勒索軟體惡意加密

Windows10Banner-540x90v5

趨勢科技PC-cillin雲端版 ,榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦,採用全球獨家趨勢科技「主動式雲端截毒技術」,以領先業界平均 50 倍的速度防禦惡意威脅!即刻免費下載


繼續閱讀

勒索病毒的攻擊媒介了無新意,為何能繞過傳統的安全解決方案?

為何使用者會自己動手啟用內嵌在惡意附件文件內的巨集?
為何 CryptoWall 偏好早上5點到9點間發釣魚信; TorrentLocker喜歡在下午1點到7點間發信
為何勒索病毒發送的網路釣魚發信不用殭屍網路,而改用被駭郵件伺服器?
新聞網站,雲端服務如何成為勒索病毒散播溫床?
為何勒索病毒設定惡意網域存活期間僅一小時? 

 

勒索病毒過去半年變種數量超過過去兩年

除了要瞭解勒索病毒加密以外的策略和技術外,了解它們如何進入環境也相同的重要。趨勢科技最近的分析顯示大多數勒索病毒 Ransomware (勒索軟體/綁架病毒)家族可以在暴露層(exposure layer)加以阻止 – 網頁和電子郵件,事實上,從2016年1月到5月,趨勢科技已經封鎖66,00萬多次勒索病毒相關的垃圾郵件(SPAM)、惡意網址和威脅。

有越來越多網路犯罪分子利用勒索病毒作為武器,因為其有利可圖;僅在過去的六個月,就有超過50個新家族出現,而2014到2015年加起來也只有49個。在最近幾年,讓勒索病毒成功的一個重要因素是其勒索的技巧,主要是利用目標對失去自己電腦掌控的恐懼,網路犯罪分子不斷發展他們的技術 – 從簡單的鎖定使用者螢幕、假造聯邦執法單位警告,到實際去動到資料。

 

許多關於勒索病毒 Ransomware 討論集中在檔案部分,但往往忽略了散播機制,主要是因為沒有創新性,勒索病毒的幕後黑手只是利用萬無一失的電子郵件和網頁策略,雖然簡單,但這些策略大多會讓使用者不易察覺,且這樣的策略可以繞過傳統的安全解決方案。

在本篇文章中,我們會仔細檢視勒索病毒常用的攻擊媒介,以及我們如何在它們抵達之前減少其造成的風險。

並不創新的垃圾郵件做法:社交工程

讓我們來看看勒索病毒所用的垃圾郵件策略及它如何能夠躲過垃圾郵件過濾程式。在一般情況下,勒索病毒相關的垃圾郵件包含惡意附件檔,可能是巨集、JavaScript等形式,這些是下載真正勒索病毒的下載程式。一個例子是CryptoLocker,它有惡意附件檔(通常是UPATRE變種)會下載ZeuS / ZBOT,這個資料竊取惡意軟體接著會下載並在系統執行CryptoLocker。

但網路犯罪分子並非就此停住。有些加密勒索家族會加上另外一層 – 巨集,一種用來繞過沙箱技術的老策略,會要求使用者手動啟用內嵌在惡意附件文件內的巨集來感染系統,在這裡,社交工程social engineering誘餌和對人心的了解起了關鍵的作用。 繼續閱讀

作賊喊抓賊!加密勒索病毒竟說自己是受害者

最近,勒索病毒 Ransomware (勒索軟體/綁架病毒)的行為成了大家討論的重點,例如:GOOPIC 給予的贖金支付期限特別長、RAA 會偷取密碼、最新的 JIGSAW 變種則提供了線上聊天支援,而這些還只是六月份出現的案例而已。不過,在這些新的行為當中,最特殊的還是MIRCOP 加密勒索病毒。

MIRCOP 加密勒索病毒 (趨勢科技命名為 RANSOM_MIRCOP.A) 會將一切怪罪到受害者身上,並且還不提供如何支付贖金的指示,事實上,它顯然假設受害者已經知道該如何「歸還」款項。

圖 1:MIRCOP 的勒贖訊息。

此處的重點在於「歸還」這件事,就整個情況看來,受害者似乎心知肚明該將贖金支付給誰,引用「蓋伊·福克斯」面具頭像的勒索訊息似乎暗示受害者「偷了」某知名駭客激進團體的東西,並且威脅受害者如不歸還這筆金額,將採取進一步行動。

編按:蓋伊·福克斯面具是根據蓋伊·福克斯的面容加以風格化而描繪成的一種肖像。這位火藥陰謀計劃中最著名的成員曾於1605年企圖在倫敦炸毀上議院但未成功。插畫家大衛·勞埃德將蓋伊·福克斯的臉部肖像設計成有著特大的笑容、透紅的雙頰、開開往上翹的八字鬍、以及下巴上有著細細尖尖垂直鬍鬚樣子的風格。1982年所出版的《V怪客》漫畫以及2006年所改編的同名電影都將這樣風格的肖像用作為故事情節的主要元素,使得該肖像已然成為各式各樣抗議活動的象徵。自其在網路論壇上出現之後,網路駭客組織團體「匿名者」便在2008年的佔領運動「Chanology 行動」中使用這種風格的面具肖像,也曾在世界各地其他的反政府、反體制的示威遊行中使用過,使得該面具成為眾所周知匿名者組織的象徵符號。
以上來自維基百科: 蓋伊·福克斯面具

繼續閱讀