專發動 DDoS 攻擊的Mirai 殭屍網路再出擊,用 Windows木馬擴大地盤!

趨勢科技 TrendMicro

去年年底，以 Linux 類系統為目標的 Mirai 殭屍病毒 (趨勢科技命名為 ELF_MIRAI) 造成多起相當轟動的分散式阻斷服務攻擊 (DDoS)攻擊，讓我們見識到物聯網有多麼脆弱。

最初的 Mirai 殭屍病毒是在 2016 年 8 月發現，專門攻擊採用 Linux 韌體的 IoT 裝置，例如：路由器、監視攝影機、數位監視錄影機 (DVR)、印表機等等。病毒會隨機選擇一個 IP 位址，然後試圖用一些預設的管理帳號和密碼來看看能不能登入裝置，它所嘗試的連接埠 (和通訊協定) 有：7547 和 5555 (TCP/UDP)、22 (SSH) 以及 23 (Telnet)。隨後在 2016 年 10 月，該病毒的原始程式碼開始在網路上流傳，攻擊案例也開始攀升。各種變種開始攻擊各大知名網站，如：Netflix、Reddit、Twitter、AirBnB，其中最大的案例之一就是德國電信 (Deutsche Telekom) 約有 900,000 台家用路由器遭殃。

 

最近，Mirai 又再次登上媒體版面，這一次它挾著新 Windows 木馬程式的威力，進一步擴大地盤。

去年我們就預測，像 Mirai 這類專門發動 DDoS 攻擊的惡意程式今年勢必增加。不過，這個新的木馬程式只是用來散布 Mirai 殭屍病毒的工具，而非另一個殭屍病毒。在 2015、2016 年，Mirai 是利用暴力破解方式和殭屍程式不斷掃瞄所有 IP 位址來發掘潛在的受害者。此次發現的 Windows 木馬程式 (趨勢科技命名為  BKDR_MIRAI.A) 主要是用來幫 Mirai 搜尋可攻擊的目標，讓 Mirai 殭屍病毒散布得更廣。

以 Windows 為跳板,尋找適合納入殭屍網路的目標

此 Windows 木馬程式會連上幕後操縱 (C&C) 伺服器來接收要掃瞄的 IP 位址範圍。當該程式成功入侵目標裝置，就會檢查裝置使用的是什麼作業系統。如果是 Linux，就會在裝置內植入 Mirai 病毒，讓這台裝置也變成殭屍。如果是 Windows，就將木馬程式複製一份到該裝置上，然後繼續尋找其他 Linux 目標。因此這個木馬程式會植入目標裝置惡意程式有 Linux 和 Windows 兩種版本。

圖 1：Windows 木馬程式當中負責掃瞄連接埠的程式碼。

繼續閱讀

網路銀行存款人間蒸發? 原來是家用路由器出現安全漏洞

趨勢科技 TrendMicro

2016 年，巴西的Ｙ因為遇到資料竊取而損失約191美元。在發現之際，Y就立刻聯絡 IT 技術人員來找出原因。技術人員一開始發現是Y瀏覽了一個假網站。但因為所有瀏覽網路的設備都沒有發現惡意軟體，他接著查看了家用路由器的設定。發現異常的地方：即便家用路由器沒有將任何遠端管理接口暴露到網路上，DNS設定仍然遭到修改。為了解決這問題，IT技術人員重置並且重新設定了家用路由器，防止網路犯罪分子再度進行銀行轉帳。

在另一個案例中，X在2016年1月發現自己的帳戶少了約955美元。她的家用路由器也感染了惡意DNS變更惡意軟體。不過網路犯罪分子並沒有去影響銀行網站，而是將她重新導到銀行所使用第三方網站（例如 Google Adsense 和 JQuery）的偽造頁面。

 

路由器常常都使用不安全的設定，使得它們容易遭受惡意軟體攻擊，就如同上面所提到的真實案例。原因可能是路由器的作業系統、韌體或網頁應用程式存在著安全漏洞，讓攻擊者可以輕易用來作為入侵家庭網路的入口。事實上，網路犯罪分子會使用一些工具和網站來尋找脆弱的路由器並取得漏洞攻擊碼。以下是此類網站的例子： 繼續閱讀

揭開專門監視知名政治家和企業家的 「EyePyramid 」惡意程式神秘面紗

趨勢科技 TrendMicro

 

我們在這篇文章首次討論兩名被稱為「Occhionero兄弟」的義大利人被逮捕並指控利用惡意軟體和特製的魚叉式釣魚攻擊（SPEAR PHISHING）來監視知名政治家和企業家。這個案子被稱為「EyePyramid」，名稱來自研究過程所發現的網域名稱和目錄路徑。

義大利通訊社AGI在1月11日中午公開了法庭命令。本文提供更多關於此案例的詳細資訊以對此攻擊活動有更加完整和深入的了解。

 

分析範圍

趨勢科技已經分析了近250個不同的EyePryramid相關樣本。在我們進行初步分析後，大約有十幾個可疑樣本被上傳到VirusTotal並標記為「#eyepyramid」。我們認為這些樣本是「假標記」，因為這些樣本跟其他樣本不同，無法跟EyePyramid建立肯定的關聯。

 

被針對的電子郵件帳號

部分樣本顯示出攻擊者將目標放在許多網域的電子郵件帳號。帳號憑證和這些帳號的郵件都被竊取，以下是被鎖定電子郵件帳號的網域：

 

被鎖定的網域
@alice.it
@aol.com
@att.net
@badoo.com
@bellsouth.net
@bluewin.ch
@btinternet.com
@comcast.net
@cox.net
@cyh.com.tr
@earthlink.net
@eim.ae
@email.com
@email.it
@emirates.net.ae
@excite.it
@facebook.com
@facebookmail.com
@fastweb.it
@fastwebmail.it
@fastwebnet.it
@free.fr		 @gmail.com
@gmail.it
@gmx.de
@gmx.net
@googlegroups.com
@googlemail.com
@groupama.it
@groups.facebook.com
@gvt.net.br
@hanmail.net
@hinet.net
@hotmail.co.uk
@hotmail.com
@hotmail.fr
@hotmail.it
@infinito.it
@interbusiness.it
@interfree.it
@inwind.it
@iol.it
@jazztel.es
@jumpy.it		 @katamail.com
@laposte.net
@legalmail.it
@libero.it
@live.com
@live.it
@lycos.com
@lycos.it
@mac.com
@mail.bakeca.it
@mail.com
@mail.ru
@mail.vodafone.it
@mail.wind.it
@mclink.it
@me.com
@msn.com
@mtnl.net.in
@nate.com
@netscape.net
@netzero.com		 @orange.fr
@otenet.gr
@poczta.onet.pl
@poste.it
@proxad.net
@rediffmail.com
@rocketmail.com
@runbox.com
@saudi.net.sa
@sbcglobal.net
@skynet.be
@supereva.it
@sympatico.ca
@t-online.de
@tele2.it
@verizon.net
@virgilio.it
@vodafone.com
@vodafone.it
@vsnl.net.in		 @wanadoo.fr
@web.de
@yahoo.ca
@yahoo.co.in
@yahoo.co.jp
@yahoo.co.uk
@yahoo.com
@yahoo.com.ar
@yahoo.com.br
@yahoo.com.mx
@yahoo.de
@yahoo.es
@yahoo.fr
@yahoo.it
@yahoogroups.com
@ymail.com

 

攻擊計畫

這波攻擊有著明顯的攻擊前準備，用意在製作有效的魚叉式釣魚攻擊（SPEAR PHISHING），取得目標的信任。攻擊者從一份電子郵件帳號列表開始 – 來自另外的入侵活動，或是來自用相同惡意軟體的其他案例。這些帳號屬於最終受害者所信任的組織或個人。

利用這些電子郵件帳號當作寄件者，將附加惡意軟體原本的副檔名（.exe）加以變更，攻擊者設法以直接或間接的方式感染重點受害者的電腦。

當在電腦上執行惡意軟體時，它會自動更新自己，竊取符合上述列表的電子郵件帳號相關資訊，並透過HTTP/HTTPS將收集的資訊傳送到資料取回電子郵件地址或C&C伺服器。同時將這些電子郵件帳號加到攻擊者所用的已入侵帳號列表，讓這些帳號可以用來將惡意軟體散播給其他受害者。

繼續閱讀

沒有伴的情人節都做些什麼?網路追劇;偷窺舊情人 FB感情狀況;試探分手前共享帳密是否還可登入…

趨勢科技 TrendMicro

”如果情人節這天只剩網路與你同在”,多數人選擇”網路追劇”度過漫漫長夜!

如果情人節這天只剩網路與你同在,你準備如何度過漫漫長夜?根據趨勢科技數位生活小組做的網路調查發現，截自本文截稿為止第一名為: “網路追劇消磨時間”佔 22%; 其次為”瘋狂網購,自己給自己情人節禮物 ”,佔 20%,第三名為: “ 玩線上遊戲”,佔 25%。

提醒您別遇到這樣掃興的事:

“最近我同事只是追劇而已就中招,整個電腦資料全毀….”

fans-1

去年也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了，原來是中了Cerber　勒索病毒 Ransomware，並被要求支付約台幣1.7 萬的比特幣（Bitcoin）才可解鎖,更慘的是用公司的電腦 ! 很多網友給的建議跟 FBI 建議的一樣:” 付錢了事 “

提醒您:如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載（隱藏式下載、偷渡式下載、強迫下載,網頁掛馬）攻擊,瀏覽惡意網頁或惡意廣告就會中毒。

7% 的人會偷窺舊情人或暗戀對象的 FB感情狀況;2%的人會試探分手前共享帳密使否還可登入

有趣的是仍有 7%的人,會到舊情人 FB ,偷窺她/他(們)的感情狀況或是到暗戀對象的 FB ,靜觀其變(尤其是”感情狀態”是否有所變化)。有少數人(2%) 會試試看跟前任分手前共用的電郵密碼,臉書登入資訊是不是否還可登入。曾經有網路市場研究公司調查發現，超過半數（56%）的情侶相信，共享帳號密碼是給予對方承諾的最佳方式。趨勢科技提醒網友,密碼和情人一樣都是獨一無二,切忌共用。也提醒您別和 Facebook 創辦人一樣用萬用密碼！五招讓帳密更安全

《趣味調查 》”如果情人節這天只剩網路與你同在,你準備如何度過漫漫長夜?”調查統計

  1. 網路追劇消磨時間22%
  2. 瘋狂網購,尤其是情人節特價網站,自己給自己情人節禮物20%
  3. 玩線上遊戲,管它今夕是何夕15%
  4. 下載療傷情歌應景10%
  5. 到舊情人 FB ,偷窺她/他(們)的感情狀況7%
  6. 到暗戀對象的 FB ,靜觀其變(尤其是”感情狀態”是否有所變化)7%
  7. 利用手機交友 APP ,尋找同為天涯淪落人 6%
  8. 到算命網站,推算桃花何時開4%
  9. 下載 A 片,自己一個人偷偷看3%
  10. 試試看跟前任分手前共用的電郵密碼,臉書登入資訊是不是還可以登入? 2%
  11. 到舊情人 FB 放話留言表達不快 1%

AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！即刻免費下載

這張圖片的 alt 屬性值為空，它的檔案名稱為 Windows10Banner-540x90v5.gif

⊙延伸閱讀:

我們分手吧!情人節網路詐騙~情人節花束,威而鋼,情人晚餐,紛紛夾帶病毒現身網路

網路交友詐騙（Catfishing）:愛情騙子藏在電腦後面的劇本,老梗居多,但還是有人老是被騙

《點擊劫持（clickjacking）》攻擊想更換Facebook情人節專屬布景嗎?小心上網被監視


《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。

▼ 歡迎加入趨勢科技社群網站▼

好友人數

有欺騙性質的廣告？Facebook將暫停中國區的工具類APP廣告！

趨勢科技TrendMicro

昨日(2017年2月8日)中午12點知名社群網路Facebook將暂停所有中國區工具類APP廣告。

Facebook已用郵件通知廣告代理商，並表示由於近日中國區工具類APP多有廣告違規的情況，因此決定先暫停這部分的廣告，恢復時間未定。郵件中，Facebook直接點名清理類、電池類，並要求代理公司主動暫停這兩類的廣告。報導中指出起工具類APP廣告暫停投放的部分已知的公司包括：北京獵豹移動網路科技、360 Mobile Security Limited、Baidu（Hong Kong）Limited—USD等……。

延伸閱讀>>
反查號碼APP曝光30億個資 雅虎警告: 立即移除這些危險APP!
什麼！7億安卓裝置受監控 個資通通流回中國 繼續閱讀