網路銀行 - 資安趨勢部落格

2014年第二季資安綜合報告：網路銀行與行動惡意軟體持續發威

2014 年 08 月 25 日2014 年 08 月 25 日趨勢科技 TrendMicro

在2014年4月到6月出現的各種資安事件，從資料外洩和DDoS攻擊到惡意軟體進化及對隱私的威脅，在在強調了企業需要打造更具策略性的回應機制來處理及預測安全威脅。

這一季內有許多種威脅事件。重大的漏洞問題 – Heartbleed心淌血漏洞，出現在被廣泛應用的加密程式庫OpenSSL。看到了高科技公司及連鎖餐廳輪流成為資料外洩事件的受害者。看到了微軟停止支援後最後一次提供Windows XP修補程式。看到了美國和歐洲司法系統所做出的幾個影響今後如何處理和保護資料的重大決定。

威脅情勢的其他部分繼續成為更大的問題。無論是網路銀行惡意軟體或行動惡意軟體都持續地影響許多使用者：

圖1：網路銀行惡意軟體偵測數量

日本地區本季網路銀行惡意程式數量大增，因為該地區在五月份偵測到大量的 VAWTRAK
變種。在本季之前，該惡意程式並未被視為網路銀行惡意程式，但其近期的變種已增加了竊取銀行登入帳號密碼和信用卡資訊的功能。
此外，有關 Emmental 行動(「不留痕跡」的惡意程式，專門鎖定行動網路銀行使用者)的研究也顯示電腦和行動裝置的威脅如何搭配得天衣無縫，讓網路銀行惡意程式偵測數量

網路銀行使用者損失慘重。策劃該行動的網路犯罪集團，專門鎖定使用簡訊傳送連線階段雙重認證密碼的銀行。該行動使用了在地化的垃圾郵件、非常駐的惡意程式、惡意網域名稱服務 (DNS) 伺服器、網路釣魚頁面、 Android 惡意程式、幕後操縱伺服器、還有真正的後端伺服器，整起行動相當複雜。

圖2：行動惡意軟體的累積威脅數量

第二季勒索軟體 Ransomware在本季持續散布並不斷進化，衍生出專門攻擊 Android 平台的 ANDROIDOS_ LOCKER.A 惡意程式，該程式的介面會霸占未鎖定的螢幕，而且會防止使用者將它解除安裝。此外，從 ANDROIDOS_LOCKER.HBT 也可看出行動裝置勒索程式學了不少電腦惡意程式的技巧，包括透過 Tor 洋蔥路由器與幕後操縱 (C&C) 伺服器通訊。受感染的裝置將被要求支付大約 30 美元的贖金來解除裝置鎖定。若不願支付贖金，則必須冒著行動裝置資料全被銷毀的風險。

此外，假防毒軟體又回來了，這次是以名為「Virus Shield」的 App 程式在 Google
Play™ 商店上架販售。假 App 程式 ANDROIDOS_FAKEAV.B 在一週內累積 10,000 次下載，甚至登上熱門付費程式排行榜。

繼續閱讀

網路銀行所面臨的挑戰：當使用者被誘騙在手機上安裝惡意軟體….

2014 年 08 月 08 日2014 年 08 月 05 日趨勢科技 TrendMicro

歐洲網路犯罪份子和他們用來在全球34間銀行吸錢的迂迴手法已經被揭露了。這起前所未見，會破解多因子認證的跨平台攻擊（電腦和手機） – Emmental行動專注於進階技巧來繞過各金融單位增強的身份認證機制。這些單位似乎已經提供帳戶額外的保護。

首先，全球的金融機構應該被鼓勵而不是被指責，因為他們努力地實施了多因子認證（MFA）。大多數的消費者只希望能夠輕鬆地按一個鈕就能夠完成交易。從歷史的角度看，多因子認證一直是簡化網路銀行使用者體驗的限制之一。值得說明的是，這一切的惡意活動都發生在銀行自身的範圍外，完全是因為操控了受害者的設備。銀行現在必須檢視他們的網路和行動銀行身份驗證機制，假設有多個使用者設備出現問題？這不是個簡單的任務。繼續閱讀

「不留痕跡」的惡意程式，專門鎖定行動網路銀行使用者

2014 年 07 月 31 日2015 年 09 月 15 日趨勢科技 TrendMicro

惡意 Android App 攔截銀行傳送密碼，專門破解連線階段密碼安全機制

趨勢科技發現了一個名為「Operation Emmental」(愛曼托行動) 的網路犯罪行動，專門攻擊網路銀行。當銀行及客戶利用手機簡訊 (SMS) 進行雙重認證時，駭客趁機竊取銀行客戶的登入帳號密碼並攔截簡訊，進而完全掌控帳戶。這項在奧地利、瑞典、瑞士相當盛行的犯罪行動目前已現身日本，因而使得亞太地區遭受類似攻擊的風險升高。

在這項攻擊行動當中，歹徒會先假冒知名銀行的名義散發垃圾郵件給使用者，引誘缺乏戒心的使用者點選一個惡意的連結或附件檔案，讓使用者的電腦感染一個特殊的惡意程式。有別於一般網路銀行惡意程式，此惡意程式會修改受感染電腦的網域名稱伺服器 (DNS) 組態設定，將DNS 設定指向歹徒掌控的DNS伺服器，然後再將惡意程式本身刪除，因此便不留痕跡，無法偵查。這雖然只是一個小小的修改，但對受害者的影響卻非常深遠。

惡意 Android App 程式會偽裝成銀行連線階段密碼產生器。但事實上，它卻會攔截銀行所送出的密碼，並且將它轉傳到歹徒的幕後操縱 (C&C) 伺服器或歹徒的行動電話號碼。也就是說，網路犯罪者不僅透過網路釣魚（Phishing）網站取得了受害者的銀行登入帳號和密碼，現在更取得了網路交易所需的連線階段密碼。如此，犯罪集團便能完全掌控受害者的銀行帳戶。

您網路銀行帳號的防護很可能就像瑞士埃文達乳酪 (Swiss Emmental) 一樣千瘡百孔、充滿漏洞。長久以來，銀行一直試圖防止犯罪集團將黑手伸入您的網路帳號當中。密碼、PIN 碼、座標卡、交易認證碼 (TAN)、連線階段密碼等等，全都是用來防止銀行詐騙的措施。最近，趨勢科技發現一個專門破解連線階段密碼安全機制的網路犯罪行動，以下說明該行動的犯案手法。

該犯罪集團的目標是那些透過簡訊發送連線階段密碼到客戶手機的銀行。這是一種將客戶手機當成第二認證管道的雙重認證機制。當使用者要登入網路銀行網站時，銀行會利用簡訊傳送一串數字到使用者手機。使用者必須將這串數字，連同原本的使用者名稱和密碼，一起輸入到網站來進行網路交易。目前有某些奧地利、瑞典、瑞士及其他歐洲國家的銀行在使用這套機制。

網路犯罪者會先發送假冒購物網站的電子郵件給這些國家的使用者。若使用者點選了其中的惡意連結或附件檔案，其電腦就會被惡意程式感染。到這裡，一切都像典型的攻擊，沒什麼特殊之處。

不過，接下來就很有意思。使用者的電腦其實也不算受到感染，總之，不像一般的銀行惡意程式那樣。惡意程式只會修改系統的組態設定，然後就將自己刪除。這招反偵測手法如何？雖然只是小小的改變…. 但影響卻非常深遠。

其運作方式如下：使用者電腦的 DNS 設定將被指向一個由網路犯罪者所掌控的國外伺服器。惡意程式在系統上安裝了一個惡意的 SSL 根憑證，如此一來，系統就會自動信任歹徒的惡意 HTTPS 伺服器，不讓使用者看到安全警告訊息。

圖 1：電腦感染 Emmental 行動惡意程式之後的雙重認證流程繼續閱讀

網路銀行惡意程式新手法:使用 Tor 洋蔥路由器來隱藏幕後操縱 (C&C) 通訊，並躲避偵測

2014 年 07 月 23 日2014 年 07 月 11 日趨勢科技 TrendMicro

網路銀行惡意程式作者又再度創新，在原本的技巧之外又增加了許多手法。最值得注意的是新的 ZeuS/ZBOT 變種出現了 64 位元版本，會使用 Tor 洋蔥路由器來隱藏幕後操縱 (C&C) 通訊，並且躲避惡意程式防護軟體的偵測。此外，我們也看到一個只能在特定日期執行但其他時候會當掉的 ZeuS/ZBOT 垃圾郵件附件。

在控制台 (CPL) 惡意程式方面，我們發現一個只會影響拉丁美洲使用者的 BANLOAD 變種，其判斷方式是透過使用者防護軟體的外掛程式。此外，還有另一個變種會利用根本不存在的 WhatsApp 桌面用戶端程式來引誘使用者，進而散布。更糟的是，當它執行時還會下載一個 BANKER 變種到已受感染的電腦上。

儘管出現新的手法，網路銀行惡意程式基本上仍沒有改變。他們在某些國家依然非常普遍，如美國 (23%)、日本 (10%) 和印度 (9%)，而且隨著網際網路使用者與線上交易的穩定成長，這些程式也越來越多。事實上，網路銀行惡意程式的數量在第一季成長了 3%，從 2013 年第一季的 113,000 個成長至 116,000 個。

「隨著線上竊盜的執法行動日益嚴格，網路犯罪者已開始增加額外的匿名化措施來保障其身分安全以避免遭到逮捕。因此，Tor 和幕後操縱 (C&C) 通道的運用，可讓他們擁有更大的匿名性，更不易被資訊安全軟體所偵測及破獲。」