挖礦病毒/挖礦惡意程式/採礦惡意程式 – 第 7 頁

駭客威力強！三招教你化解病毒危機

2018 年 11 月 23 日2019 年 04 月 30 日趨勢科技TrendMicro

電影《猛毒》在台開出票房紅盤，片中「共生體」（Symbiote）是來自外太空的外星種族，必須寄宿在生命體上與宿主共同生存，好像近年來討論度極高的「挖礦病毒」，駭客透過此病毒使用戶的電腦癱瘓，電腦不知不覺愈跑愈慢，耗電量增加，甚至系統不時當機，與猛毒中「共生體」逐漸侵蝕宿主身體機能一樣，使得宿主漸漸衰弱，電影女主角利用它的弱點，使用核磁共振迫使它脫離宿主男主角湯姆哈迪的身體。因此，對付令人聞風喪膽的挖礦病毒，有效利用防毒軟體的「多層式防禦」，瀏覽網頁時隨時阻擋惡意廣告或疑似被包裝成「flash」的挖礦病毒，透過機器學習技術且大量分析病毒樣本以事先防禦病毒入侵，避免電腦遭受無妄之災！

▲韓國電影《屍殺列車》中的鹿感染了神秘病毒，被車撞倒後死而復生。（圖／車庫娛樂提供）

韓國電影「屍速列車」在台掀起票房熱潮外，美國影集「陰屍路」早在2010年就風靡全球，奠定了「Zombie」歷史的收視定位，更嚴格來說，這部影集創造了一個橫空出世的名詞「Walking dead」，如同去年讓人聽到就想哭的勒索病毒(Wannacry)，知名影評人「左撇子的電影博物館」就曾於文章分析「殭屍其實是一種病」，眼尖的觀眾在知名電影「屍速列車」片頭可能就發現一頭鹿被神秘病毒感染後，被車撞倒卻死而復生，之後病毒蔓延到人類身上，在列車上進行人屍大戰，劇情震撼。繼續閱讀

挖礦病毒隱身術再進化,利用 Windows Installer 躲避偵測

2018 年 11 月 21 日2018 年 11 月 13 日趨勢科技 TrendMicro

虛擬貨幣挖礦病毒的驚人成長不只是因為它能夠賺錢的潛力，也因為它可以待在系統內不被發現，特別使用了各種混淆技術。對許多駭客來說，讓惡意軟體保持隱形而難以被偵測是必須面對的課題，以趨勢科技發現新的挖礦病毒: Coinminer.Win32.MALXMR.TIAOODAM為例,它便會使用多種混淆和封裝新技術。

安裝行為

圖1、惡意軟體感染鏈

繼續閱讀

挖礦惡意程式攻擊 Linux 系統,並利用 Rootkit 自我隱藏

2018 年 11 月 19 日2018 年 11 月 16 日趨勢科技 TrendMicro

隨著虛擬加密貨幣越來越熱門，網路犯罪集團不意外地正積極開發、微調各種虛擬加密貨幣挖礦惡意程式。事實上，這類威脅是趨勢科技最常一直偵測到的惡意程式，而且各種平台和裝置皆有。

最近我們發現一個新的挖礦( coinmining )惡意程式 (趨勢科技命名為 Coinminer.Linux.KORKERDS.AB) 專門攻擊 Linux 系統，而且會利用某個 Rootkit (Rootkit.Linux.KORKERDS.AA) 來隱藏其惡意執行程序，讓監控工具看不到其執行程序。這一點會讓偵測工作變得更困難，因為被感染的系統只會看到效能變差，但卻看不出是誰在消耗資源。除此之外，該惡意程式還可以更新或升級自己的程式和組態設定檔案。

值得注意的一點是，在 Unix 以及類 Unix 系統 (如 Linux) 的檔案權限設定方式下，只要是具備執行權限的檔案都能執行。我們推測，這個虛擬加密貨幣挖礦惡意程式的感染途徑是經由惡意的第三方/非官方或受感染的外掛程式 (如：媒體串流軟體)。當使用者安裝這類外掛程式時，就等於提供它系統管理權限，如果是已經被駭的應用程式，惡意程式就能以應用程式所擁有的權限來執行。這樣的感染方式並非罕見，因為其他 Linux 虛擬加密貨幣挖礦惡意程式也是利用這樣的途徑入侵。

【延伸閱讀:Unix：會徹底改變勒索病毒遊戲規則嗎？】

圖 1：虛擬加密貨幣惡意程式的感染過程。
繼續閱讀

設定不當的容器被用來散播挖礦病毒

2018 年 11 月 14 日2018 年 11 月 07 日趨勢科技 TrendMicro

趨勢科技最近發現有設定不當導致API端口暴露的Docker遭到惡意利用的案例。有惡意活動會掃描開放端口2375/TCP和2376/TCP，這些是Docker引擎服務（dockerd）所使用的端口。攻擊者接著將虛擬貨幣挖礦病毒（趨勢科技偵測為Coinminer.SH.MALXMR.ATNE）散布到這些設定不當的系統。

Docker會在作業系統層級實現虛擬化 – 也稱為容器化（containerization）。Docker API能夠讓遠端使用者像本地端用戶那樣地控制Docker映像。建議不要開放能夠讓外部存取的API端口，因為這會讓駭客有機會利用此不當設定進行惡意活動。

Docker引擎本身並沒有遭到攻擊，Docker企業版本也沒有受到影響。我們是在Docker社群版本看到這些少見的惡意行為。事實上，Docker技術提供讓使用者可以啟用及設定的安全功能來保護容器和工作負載。Docker也提供了防護Docker社群和企業版本的工具、文件和指南。當然，兩者的安全最佳實作都會要求不要開放這些端口。比方說建議運行商業應用程式的企業使用商業用的Docker企業版，能夠提供精確、基於角色的存取控制設定，必須經過身份認證才能使用API。

在我們的研究中，Docker API端口暴露是使用者設定不當的結果，因為我們發現這不當設定是在管理員層級手動設定的。實際上，因為設定不當而讓自身暴露於威脅中並非新鮮事，而這對企業來說也可能是得長期面對的挑戰。事實上，我們透過Shodan搜尋發現有許多人的Docker主機設定不當，特別是在中國。而同時還有美國、法國、德國、新加坡、荷蘭、英國、日本、印度和愛爾蘭也出現設定不當的Docker主機。大多數暴露的系統都是運行Linux作業系統。有意思的是Linux上的服務需要手動設定，而在Windows上直到17.0.5-win8都不是如此，出於安全理由而禁止服務暴露。雖然不當設定廣泛地在各版本都有發生，但根據Shodan的搜尋結果顯示超過一半有此問題的主機運行的是18.06.1-ce版本，這是相對較新的Docker版本。