企業資安 - 資安趨勢部落格

駭客將聊天平台當成幕後操縱管道：企業該如何自保?

2017 年 09 月 01 日2017 年 08 月 24 日趨勢科技 TrendMicro

聊天平台已經成為企業營運的重要工具，也是企業與客戶溝通的重要管道。有了這類平台，員工幾乎不論身在何處都能彼此溝通，此外，也讓公司多了一個可以和產品愛用者接觸的管道。

人們到底有多愛聊天平台？根據 Inc. 的統計，42% 的客戶偏愛透過即時聊天與企業通訊，勝過其他方式。此外，有 92% 的人在用過企業的即時聊天功能之後感到滿意。不僅如此，員工之間也越來越依賴聊天功能，根據 VentureBeat 的資料，Slack熱門聊天平台去年每天都有超過 3 百萬名活躍用戶，充分顯示聊天平台對今日企業員工的重要性。

然而，隨著聊天通訊技術越來越受企業和消費者的青睞，卻也吸引了歹徒的覬覦。

趨勢科技研究指出駭客可能利用聊天平台

「趨勢科技研究人員開始研究駭客可能如何利用熱門聊天平台。」

最近，趨勢科技研究人員開始研究駭客如何利用熱門聊天平台。

研究人員解釋：「聊天平台讓使用者透過 API 將自己的應用程式與該平台整合，但有一件事情我們必須先搞清楚：這樣的功能是否可能遭網路犯罪集團所利用？畢竟我們已經看過太多合法服務和應用程式遭歹徒用於從事不法用途的案例。」

像 Slack 和 Discord 這兩個聊天平台就提供了整合功能來方便使用者不須離開聊天平台就能使用第三方應用程式。透過這種方式，使用者就能一邊保持通訊、一邊檢視行事曆通知或檢視追蹤報告。不過，研究人員也發現，這項實用的功能很可能引來駭客滲透與入侵的風險。繼續閱讀

短短 6天之內海撈 70 萬美元 !重大網路釣魚頻傳,FBI 發出警告

2017 年 08 月 30 日2017 年 08 月 30 日趨勢科技 TrendMicro

從近期重大攻擊事件,看網路釣魚手法

儘管網路釣魚（Phishing）相對於今日媒體上經常看到的精密攻擊似乎已經過時，但它仍是一項持續不斷的威脅。歹徒依然能夠透過一些新的手法來竊取企業的重要資料、珍貴資產，甚至破壞營運基礎架構。

7月初全球第四大數位貨幣交易所 Bithumb 的一位員工遭駭，歹徒偷走了一批聯絡人電話、電子郵件地址等等，接著，歹徒利用偷來的資訊發動一波網路釣魚攻擊，但卻使用以往罕見的手法。同樣地，數位貨幣 Ethereum (乙太幣) 的用戶也在同月遭到攻擊。根據報導，駭客藉由網路釣魚手法在短短 6天之內海撈了 70 萬美元。

除了數位貨幣之外，美國能源機構與關鍵基礎架構也遭到持續性網路釣魚攻擊。其嚴重程度甚至引起美國聯邦調查局 (FBI) 和國土安全部 (Homeland Security) 的關注，並發出警告通知各機關嚴加防範。根據媒體報導，這些網路釣魚電子郵件使用了一項罕見的技巧來蒐集受害者資訊。

趨勢科技為了協助使用者了解並防範這些新的威脅，以下將詳細介紹最近幾次攻擊所用的手法和技巧：

陳年伎倆:語音釣魚,導致南韓數位貨幣交易所損失超過數十億韓元

傳統的網路釣魚詐騙都是假冒知名機構的名義發出電子郵寄，接著，不是誘騙受害者輸入帳號密碼，就是將受害者重導至惡意網站。但前面提到的 Bithumb 攻擊案例卻用了一個陳年的老技巧：語音釣魚 (vishing)。歹徒利用從 Bithumb 員工偷來的資料，假冒成 Bithumb 高階主管打電話給受害者，謊稱受害者的帳戶遭駭客入侵，要求受害者提供密碼和其他重要的帳戶安全資訊。根據媒體報導，受害者損失超過數十億韓元 (該交易所位於南韓)。

語音釣魚不像網路釣魚那樣大家耳熟能詳，而且它比其他詐騙手法更加仰賴社交工程技巧，因此，歹徒能否得逞全看他是否露出破綻，是否能完全掌控受害者的心理。在該案例中，歹徒從 Bithumb 偷到的資訊或許是他們的成功關鍵，因為歹徒在撥打電話時，已明確掌握受害者帳戶的詳細資訊，因此會讓人覺得相當可信，且不易露出破綻。

小眾網路論壇釣大魚: 假冒論壇管理員名義，通知論壇成員檢查自己的帳戶,騙帳號密碼 繼續閱讀

冒充業務和財務部門的電子郵件,夾帶後門程式攻擊企業

2017 年 08 月 29 日2017 年 08 月 24 日趨勢科技 TrendMicro

一起針對企業的惡意電子郵件攻擊活動利用漏洞攻擊結合Windows元件來植入新後門，讓攻擊者可以接管中毒系統。攻擊者利用各種合法Windows元件來執行惡意腳本; 這也讓偵測和封鎖變得更具困難，尤其是對使用白名單的解決方案來說。

趨勢科技在一個月內已經觀察到至少五波攻擊，每一波都會寄送數份惡意電子郵件給目標。受影響產業為金融機構（包括銀行）和礦業公司。值得注意的是，攻擊者在每波攻擊時都會利用多種手法來寄送電子郵件給每個目標。

這起攻擊的相關惡意動態連結函式庫（DLL）樣本最早在2017年6月6日被上傳到VirusTotal，這跟我們在6月的最後一周和7月27日間看到一連串的電子郵件攻擊的時間點相近。

推測這起攻擊應該仍在進行中,少量散播和社交工程誘餌的特定性顯示出這可能是起魚叉式釣魚攻擊（SPEAR PHISHING）攻擊活動。

圖1、惡意電子郵件活動的攻擊鏈

圖2、送給一個目標的不同惡意電子郵件（時間順序為自左向右，順時針方向）

繼續閱讀

ShadowPad 後門程式藏匿在伺服器管理軟體中

2017 年 08 月 26 日2017 年 08 月 24 日趨勢科技 TrendMicro

安全研究人員在美國與南韓公司 NetSarang 的伺服器管理產品內發現強大的後門程式:ShadowPad（趨勢科技偵測為BKDR_SHADOWPAD.A），它能夠下載並執行其他惡意軟體及竊取資料。

受影響的組織包括金融機構、能源和製藥等產業

NetSarang產品包括管理網路、伺服器和系統管理工作站的軟體。受影響的組織包括了金融機構（如銀行）、能源和製藥等產業。

根據研究人員的分析，ShadowPad每隔8小時連到攻擊者所控制的特定網域來傳送中毒系統上的資料。它也被設計成會每月連到不同的網域。如果傳送給攻擊者的資料引起興趣，則命令與控制（C&C）伺服器會去觸發後門程式來送入更多的惡意程式。

ShadowPad的惡意程式碼被注入到一個動態連結函式庫（DLL）檔案nssock2.dll，在7月17日出現在NetSarang網站上，至今仍未被發現。另外值得注意的是ShadowPad的隱蔽程度，包括了加密層數，並且具備分級機制來阻止後門程式啟動，除非C&C伺服器發送特定封包到中毒系統。

NetSarang已經承認了此一事件，並且開始實施對策，他們告訴Ars Technica：“我們建立了一個全新且獨立的基礎設施網路，所有要被放入此新基礎設施網路的設備都會先重新格式化。接著接受檢查，加入白名單，再逐次加入新的基礎設施網路。這過程將需要經歷幾個星期的時間，但我們需要確保這樣的入侵事件不會再在NetSarang發生。“

合法軟體被惡意濫用不止一樁:

會計軟體被利用散佈Petya勒索病毒,Mac勒索病毒內嵌到BitTorrent客戶端 繼續閱讀

《實測》有可能找到公司高層主管在線上交友網站上的相應帳戶嗎?

2017 年 08 月 21 日2017 年 08 月 21 日趨勢科技 TrendMicro

太多人太熱衷於分享過多但不必要的敏感資訊，而這些敏感資訊就像是給攻擊者的寶藏

從線上交友網站個人檔案收集到的企業資訊數量，高得嚇人。有些交友網站需要連接 Facebook 帳戶才能使用，有些則只需要電子郵件地址即可設立帳戶。以 Tinder 為例，它會在未經使用者認可的情況下，擷取使用者在 Facebook 上的資訊，然後顯示在 Tinder 的使用者資料上。這些資訊在 Facebook 上有可能是設定為私密資料，卻就這樣曝露在其他使用者、惡意攻擊者等人的眼前。

線上交友軟體透露過多的敏感資訊,也提供攻擊者素材

現在有越來越多的人使用線上交友尋找對象，但線上交友會對企業造成威脅嗎？使用者本身透露的資訊種類及資訊量，例如個人資料、工作場所、經常前往與居住的地點等，對於尋找對象的人而言是很有用的資訊，但同時攻擊者也會利用這些資訊，做為入侵組織的起點。

為了證實這項風險，趨勢科技研究了多個線上交友網站，初步包括先請回答以下問題：

假定有一個已知的目標 (例如公司高層主管、IT 部門主管、公職人員)，是否有可能找到他們在交友網站上的相應帳戶 (假設他們有這樣的帳戶)？
針對線上交友網站上的特定帳戶，是否有可能追蹤到他們在其他社群網站的資料，例如 Facebook、LinkedIn 或企業網頁？

不幸的是，以上答案皆為「是」。

Honeyprofile	誘騙用個人檔案
Profile matching (physical attributes, job information, tec.)	個人檔案匹配 (外表特徵、工作資訊等)
Location profiling	地點分析
Target’s real-word social media profile	目標現實生活的社群媒體個人檔案
Open Source Intelligence profiling	公開來源情報分析
Target’s only dating network profile	目標的線上交友網站個人檔案

圖 1 我們如何追蹤可能目標的線上交友及現實生活/社群媒體個人檔案

駭客也可在線上交友網站,找到特定個人檔案之外的相應身分

在幾乎所有的線上交友網站上，我們發現如果要尋找一個已知在該網站註冊的目標，是非常容易的事。這並沒有什麼好奇怪的，因為線上交友網站可讓使用者運用各種條件來過濾對象，例如年齡、地點、教育程度、職業、薪資，當然還有外表特徵，例如身高與髮色，除了 Grindr 之外，因為此網站要求提供的個人資訊較少。

地點是非常有用的資訊，因為利用 Android 模擬器，可將 GPS 位置設定在地球上的任何地方，將所在地點設定在目標企業的地址，然後將匹配對象的半徑範圍盡可能縮小。

相反的，我們可以透過典型的公開來源情報 (OSINT) 分析，找到特定個人檔案在線上交友網站之外的相應身分。同樣的，這一點也不讓人感到驚訝，許多人太熱衷於分享過多但不必要的敏感資訊，而這些敏感資訊就像是給攻擊者的寶藏。其實有份研究指出，運用手機上的交友應用程式進行三角測量，就能找到持有人的實際所在位置。

在找到目標的位置並連結目標的真實身分後，攻擊者要做的只剩下利用這些管道。我們對此進行測試，在我們的測試帳戶之間傳送內含已知惡意網站連結的訊息，而這些訊息都正常地發送出去，未被標記為惡意訊息。

只要利用一點社交工程，很容易就能欺騙使用者點擊連結。攻擊者發送的連結可能是常見的網路釣魚網站，例如偽裝的交友應用程式或網站，如果受害者的密碼在多處重複使用，攻擊者就能侵入個人的生活圈。攻擊者也可能使用攻擊套件，但大多數人是在手機上使用交友應用程式，因此入侵難度較高。一旦成功入侵目標，攻擊者可嘗試劫持更多電腦，最終入侵受害者的工作及其企業網路。

接受交友就會被鎖定攻擊？

這種攻擊理論上可行，但實際上真的有發生過嗎？是的，真的有。今年初發生在以色列軍隊的鎖定攻擊，就是利用社群網站的個人檔案做為攻擊進入點。網路愛情詐騙不是什麼新鮮事，但線上交友網站上究竟發生過多少類似事件？

我們用假帳戶設立「誘騙用個人檔案」以進一步探索。將研究範圍縮小至 Tinder、Plenty of Fish、OKCupid 以及 Jdate，選擇這些網站的理由，是根據顯示的個人資訊量、互動的方式，以及無需支付初始費用。

然後，我們建立涵蓋不同地區及產業領域的個人檔案。大多數交友應用程式會限制搜尋區域，而且對象必須也接受你或給你按「讚」才能進行匹配，這表示我們也必須給真人持有的個人檔案按「讚」。於是就出現了一些有趣的情況：我們晚上在家陪伴家人時，得給搜尋範圍內每個新出現的個人檔案按「讚」(是的，我們的配偶都能諒解)。

我們也為研究訂定了幾項規則，就是不輕易答應交往，但保持開放交友心態：