企業成勒索病毒的金礦:Cerber是如何加密資料庫檔案?

或許是為了讓Cerber開發者及其同夥可以賺到最多的錢,這隻勒索病毒 Ransomware (勒索軟體/綁架病毒)增加了對企業造成更大威脅的動作:加密資料庫檔案。這些組織資料的儲藏庫讓企業儲存、檢索、排序、分析和管理資料。有效使用就能夠助於維持組織效率,所以拿這些關鍵資料作人質無疑可以影響公司業務,觸及了底線。

作為提供服務給網路犯罪新手的勒索病毒,Cerber經歷過無數次的改版。它會利用更多技巧,包括整合DDoS元件、使用雙重壓縮的Windows腳本檔案以及利用雲端生產力平台,甚至與資料竊取木馬聯手犯案。

Cerber開發者對下游抽取40%的佣金,光是今年7月就賺進近20萬美元。

勒索病毒的不斷更新反映出其開發者的活躍程度及下游如何將其當作是有利可圖的生意。比方說,前一個版本在一天內就更新到4.1.5。Cerber開發者對下游抽取40%的佣金,光是今年7月就賺進近20萬美元。

 圖1、與其他變種相比,Cerber 4.1.5要求比較少的贖金。
圖1、與其他變種相比,Cerber 4.1.5要求比較少的贖金。

 

為了讓受害者即刻付贖,資料庫檔案成綁匪肉票

加密資料庫檔案並非Cerber獨有的行為。2016上半年所出現的家族像rypJOKER(RANSOM_CRYPJOKER.A)、SURPRISE(RANSOM_SURPRISE.A)、PowerWareRANSOM_POWERWARE.A)和Emper(Ransom_EMPER.A)等都將資料庫相關副檔名加入加密列表。包括了dBASE(.dbf)、Microsoft Access(.accdb)、Ability Database(.mdb)和OpenOffice(.odb)等檔案。想想看資料庫檔案對於企業來說有多麼重要,開發者讓它們成為Cerber的加密檔案類型可以說是為了讓受害者更急切與願意付錢的手段。

自動避開俄羅斯等語系

Cerber 4.1.0、4.1.4和4.1.5就跟其它變種(Ransom_CERBER.CADRansom_CERBER.A)一樣,設計成會避開某些語系的設備和系統。它使用API – GetKeyboardLayoutList來取得語言設定,勒索病毒偵測到下列語系就會終止自己:俄羅斯、烏克蘭、白俄羅斯、塔吉克語、亞美尼亞、阿澤里語、格魯吉亞語、哈薩克語、克里吉斯斯拉夫語、土庫曼語、烏茲別克語拉丁語、韃靼語、羅馬尼亞摩爾多瓦語、俄羅斯摩爾多瓦語、阿塞里斯拉夫語和烏茲別克斯拉夫語。趨勢科技從今年3月到11月中在美國、台灣、德國、日本、澳大利亞、中國、法國、義大利、加拿大和韓國所觀察到的大部分Cerber 樣本都能夠看到此一行為。

圖2、夾帶Cerber的垃圾郵件樣本
圖2、夾帶Cerber的垃圾郵件樣本

繼續閱讀

感染勒索病毒的四個主要症狀與緊急措施 

jigsaw-fb

2016 年已開啟了網路犯罪集團探索未知攻擊領域和攻擊面的大門,以影響企業營運及消費者資安甚鉅的網路勒索為例,趨勢科技團隊統計截至今年第三季為止,全球網路勒索總攻擊次數已超過 1.8 億次,台灣受害排名則高居全球第 16,受攻擊總數逼近 300 萬大關1 ,FBI 最新數據更指出光是單一勒索病毒變種每天就能入侵大約  100,000  台電腦2

Locky 先盜用Facebook帳號,再以私訊假冒好友分享偽造的圖片

近日傳出勒索病毒駭人新手法,先盜用Facebook帳號,再以私訊假冒好友分享偽造的圖片,誘拐被害者下載惡意瀏覽器外掛,再暗中植入惡名昭彰的勒索病毒 Locky。

提到 Locky ,不得不提到年初的這個案例:Locky 勒索軟體迫使醫院緊急將所有電腦關機,改用紙本作業,四月在台灣有傳出大量散播案例,它利用一封看似發票的信件主旨,加上使用者對 Microsoft Word 檔比較沒有防備的心態,造成不少台灣民眾檔案被綁架。詳情請看:從勒索軟體 Locky 加速散播,看巨集惡意軟體新伎倆

它的變種藉著改良版的漏洞攻擊套件散播,專門攻擊本地端安裝的 Revive 和 OpenX 開放原始碼廣告伺服器,而且台灣是遭攻擊排行榜第一名 !

Bizarro Sundown 攻擊分布情況 (依國家)。

追劇竟成悲劇! Cerber 勒索病毒透過惡意廣告散播,台灣已成重災區

許多人喜歡網路追劇,提醒您別遇到這樣掃興的事:

“最近我同事只是追劇而已就中招,整個電腦資料全毀….”

fans-1

這並不是個案,無獨有偶的是近日也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了,原來是中了Cerber 勒索軟體 Ransomware,並被要求支付約台幣1.7 萬的比特幣Bitcoin才可解鎖,更慘的是用公司的電腦 ! 很多網友給的建議跟 FBI 建議的一樣:” 付錢了事 “

提醒您:如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載(隱藏式下載、偷渡式下載、強迫下載,網頁掛馬)攻擊,瀏覽惡意網頁或惡意廣告就會中毒。

到底感染勒索病毒時會出現什麼症狀?在第一時間該如何緊急處理?我們來重點複習一下:

感染勒索病毒的四個主要症狀 

感染勒索病毒時,勒索病毒會連線到C&C伺服器下載加密金鑰並且開始加密電腦中的檔案,然後在電腦上放置Ransom Note檔案(支付贖金的說明檔案)。因此,當下列症狀出現時,就有可能就是遭到勒索病毒感染:

  1. 出現不明對外連線
  2. 各目錄下開始出現奇怪副檔名的檔案,例如:.crypt、.ECC、.AAA、.XXX、.ZZZ等等
  3. 突然出現很多 Ransom Note檔案(支付贖金的說明檔案)或捷徑,通常是.txt檔或是.html檔,如下圖:
  4. 在瀏覽器工具列發現奇怪的捷徑,如下圖:

繼續閱讀

玖壹壹奪熱門音樂影片冠軍 YouTube年度回顧出爐啦!

稍早於台灣時間清晨,YouTube悄悄地上傳2016年的回顧影片了!一點開影片便可聽到小賈斯汀「對不起」的前奏,廢話不多說,先看影片吧~

YouTube年度回顧影片(YouTube Rewind)於2010年初登場,原先只是根據觀看次數、喜歡人數、分享次數、搜尋次數、改編、混音重組及回應的次數評比出當年度知名影片,再加以剪輯而成。然而在2012年時,YouTube改變方針,決定邀請知名YouTuber(YouTube頻道主)演出搞笑片段!

p22012年度回顧影片,江南style 繼續閱讀

迎接智慧家庭的到來:物聯網 (IoT) 的普及與安全責任

將來有一天,一切開關按鍵都將消失。人們再也不需透過遙控器來轉台,或者透過開關來關燈。這些裝置都將按照其設計的功能自動運作,完全不需使用者操作:不需拍手、不需語音指令、也不需在空中畫手勢。它們將擁有某種程度的自主性,因此不需人為介入。這將是無可避免、非常接近、且非常真實的未來。智慧科技已經來臨,而且只會越來越聰明。

iot1

人們在討論這些科技及物聯網 (IoT) 時通常會以這些裝置和基礎架構是否自動化來作為它是否「智慧」的標準,但其實光自動化還不算。

首先,任何歸類在物聯網之下的裝置都必須超越其最原始的基本功能。它必須要能像個人電腦一樣接收、處理、傳送數位資訊。要達到這點,它必須具備第二項條件,那就是:連線能力。裝置必須能夠連上網際網路,甚至要能和附近的其他智慧裝置溝通。

比方說,智慧家庭中的自動化窗簾會在日出時自動打開,此時將觸動室內的智慧型燈泡自動熄滅。這樣的連動不但可以引入自然光,讓室內明亮,而且可以節省能源。另一個裝置之間彼此溝通的例子是,每當電話鈴聲響起時,智慧型電視就自動調低音量,讓使用者更容易聽到電話鈴聲。

 

自動化與連線能力既是物聯網的動力,也是阻力。

家庭物聯網必將崛起

物聯網的發展已停滯多年,因為使用者發現智慧型裝置並不實用。而且這些獨特的裝置生產成本很高,因此價格居高不下。幾年前,它們可說是奢侈品,而非必需品。而且,不是每個國家都有適當的基礎建設讓人人都能連上網際網路。因此,早期的採用者皆是科技狂熱者,而且要負擔得起物聯網裝置,又要位於能夠發揮這類裝置效益的地區。

然而,物換星移,市場的風向早已轉變。現在,人們對智慧型裝置開始趨之若鶩,一方面為了追求生活上的便利,一方面也為了追求個人的生活享受。這一點,業界早已留意。

市場的風向早已轉變。現在,人們對智慧型裝置開始趨之若鶩,一方面為了追求生活上的便利,一方面也為了追求個人的生活享受。這一點,業界早已留意。

 

那些市值動輒數十億的美國矽谷科技公司,競相追逐創新,因此推出各式各樣的物聯網裝置供大眾選擇。所有企業,不論規模大小,只要是漠視這股趨勢變化者,終將被市場所遺忘。這令人聯想到當年的手機巨擘正是因為未能抓住消費者對智慧型手機的需求趨勢,最後消失在地平線上。

2018 年,全球將有超過十億個連網裝置

市場研究顧問機構 Gartner 甚至預言,至 2018 年,全球將有超過十億個連網裝置,而這數字還只包括智慧家庭而已。另外十億個裝置預料將出現在智慧商業建築,其餘的十億個裝置則將分布各種不同產業,如:醫療、交通運輸以及其他推動智慧城市運作的產業。

日本德國兩個國家的都會區都已開始擁抱智慧型家庭浪潮。在這些地區,物聯網已經深深融入人們的生活當中,成為日常必需品。

在通勤量極大的日本大都會地區,通勤族可藉由家庭自動化來善用通勤的時間並節省能源。例如,配備智慧廚房家電的公寓可在主人踏入公寓門口的同時已準備好美味的料理。

在老年人口龐大的德國,許多人都選擇配戴健康監視器。當發生緊急狀況時 (如心臟病發),裝置就能自動呼叫緊急救援。因此,這類監視器確實可以救人一命。

負起家庭物聯網的安全責任

家庭物聯網的普及終將使得市場競爭更加激烈。然而,缺乏統一的監理機構來制定這些裝置的功能與安全規範,長期下來將衍生許多安全問題。

那麼,問題是:誰應負起物聯網的安全責任。

 

物聯網的版圖正在不斷演變。隨著物聯網走出家庭、進入城市,使用者的主導權將大為削弱。

 

是不是該由物聯網的使用者來承擔?就目前而言,答案似乎如此。因為,使用者能自由選擇要在家中導入哪些裝置。他們可以在家中安裝一套智慧型家庭娛樂系統,並完全掌握每次使用時裝置會將哪些資訊傳送給廠商。使用者永遠必須在個人的隱私和安全、以及生活的舒適與滿意之間做出取捨。

但物聯網的版圖正在不斷演變。隨著物聯網走出家庭、進入城市,使用者的主導權將大為削弱。

一個很好的例子就是,新的智慧型公寓已經開始配備物聯網裝置,如:監視保全攝影機或緊急情況感應器。這些公寓的住戶將被迫必須接受一定程度的監視。想像一下,假使未來所有新蓋的大樓,不論公家或私人住宅,都必須安裝這些物聯網裝置會是什麼情況。

一旦智慧科技廣泛應用在公共建築或交通工具,使用者將完全無法掌握自己的隱私和個人安全。如此一來,安全的重擔將從使用者移轉到物聯網裝置的生產者。那麼,廠商應該先預見哪些危險才能保護其使用者和其企業本身,防範可能發生的災難?

我們將在本部落格繼續探討有關這方面的問題。

原文出處:Securing Smart Homes

攻擊舊金山市交通局的勒索病毒HDDCryptor 變種:小更新仍造成大威脅

自從在今年九月第一次寫到關於HDDCryptor的發現,趨勢科技就一直緊密追踪此一勒索病毒Ransomware(勒索軟體/綁架病毒)的演變。它在上個禮拜出現了一個新版本。根據分析,這新變種在最近被用來攻擊舊金山市交通局(SFMTA)。系統被入侵後,所有的電子售票機都出現了「停止服務」或是「捷運(地鐵)免費」的訊息。

⊙延伸閱讀: 勒索病毒造成藍色當機畫面:HDDCryptor使用商業工具來加密網路分享和鎖住硬碟

此次攻擊就跟我們在HDDCryptor的其他版本所看到的一樣,勒索病毒會植入一些工具來加密整個磁碟,同時會加密掛載的網路磁碟。趨勢科技認為此次攻擊並沒有用漏洞攻擊套件和自動安裝工具來入侵感染受害者。而是先透過針對性攻擊/鎖定目標攻擊(Targeted attack )或攻擊漏洞等作法取得對機器的存取能力,接著再手動執行惡意軟體。儘管我們沒有詳細資料去解釋這攻擊如何涵蓋SFMTA內的2000台機器,但很有可能是透過管理權限在所有設備上設定排程任務來達成。

繼續閱讀