《CloudSec會後報導》趨勢科技獨創洋蔥式資安應變處理策略,有效降低APT入侵風險

趨勢科技 TrendMicro

台灣已經成為亞太區遭受APT攻擊次數前三名的國家，企業若能藉由趨勢科技APT攻擊研究中心、資安事件調查團隊的協助，強化資安壁壘，即可將APT攻擊帶來的傷害降到最低，讓企業得以保有長遠的競爭優勢。

趨勢科技獨創洋蔥式資安應變處理策略 有效降低 APT入侵風險

2013年初南韓政府、金融單位遭受北韓駭客以APT手法惡意入侵，導致上千台個人電腦被癱瘓、重要資料被竊；多數人對前述攻擊事件記憶依然深刻之際，全美第二大零售商Target又在2013年底被駭客以APT手法攻陷，成功竊取1億1000萬筆資料，不僅讓該公司營收大幅降低，事後更得面臨高達80件集體法律訴訟案。

從上述多項資安事件可以發現，駭客已經從過去漫無目標式的隨意攻擊，轉為有組織、計畫性的惡意入侵，成為企業揮之不去的夢魘。因此趨勢科技特別在2014年8月12日舉辦CLOUDSEC 2014 企業資安高峰論壇，會中除邀請多位資安專家與會，詳細剖析APT攻擊流程及企業面臨的資安困境，也更進一步介紹趨勢科技對抗APT攻擊的策略與相關解決方案。

趨勢科技台灣暨香港區總經理洪偉淦說，根據IANS Survey公司的研究報告顯示，現今有超過50％資安事件屬於精準式攻擊，證明駭客為讓攻擊更有效率，已揚棄過去亂槍打鳥的手法，改以事前詳細分析、找出網路漏洞，再進一步植入多種惡意程式，最終達成竊取重要機密資料的目的。

傳統防護工具落伍 無法阻擋APT手法

近年來APT攻擊事件暴增，除肇因於駭客行動模式，從過去單打獨鬥走向團體戰，使得攻擊手法愈來愈複雜之外，以專門販售惡意程式為主的地下經濟猖獗，也是造成資安事件頻傳的主要原因。統計資料顯示，有超過 75% APT攻擊事件源自於駭客組織販售的攻擊套件，使用者只需要具備基本程式基礎，即可針對尚未完成漏洞修補的網站或企業發動攻擊，成功入侵公司內部的重要主機。 繼續閱讀

《 IoT 物聯網安全趨勢》保障萬物聯網的安全，新舊網路安全威脅都需留意

趨勢科技 TrendMicro

物聯網（IoT ,Internet of Things） 是目前正逐漸興起的無線連網裝置生態體系的一個統稱，如恆溫系統、汽車、擴增實境眼鏡都涵蓋在內。對科技業者來說這是一個龐大的商機，對網路犯罪集團來說也是一大攻擊目標。在 2014 年美國消費電子展 (Consumer Electronic Show) 上，Cisco 執行長 John Chambers 大膽預估 IoT在未來五年之內將發展成一個 19 兆美元的市場，這樣的說法一點也不誇張。市場研究機構 McKinsey 預測，到了 2025 年，IoT 的應用將創造高達 33 兆美元的經濟活動，而 Gartner 也認為至 2020 年其預期效應將高達 2 兆美元左右。然而，隨著廠商和大眾對 IoT 逐漸熟悉，人們是否已準備面對這更智慧的連網基礎架構所帶來的風險？

正當 IoT科技攻城略地的同時，安全的考量已退居第二
物聯網（IoT）的時代已經來臨，只是消費者可能還無感覺，因為一些最典型應用目前仍訴求在特定的利基市場。例如，今年 CES 的攤位上四處可見各種內建感應器的健康/健身手環與記錄器，仿佛就是 Nike+ Fuelband 與 Jawbone Up 的翻版。這些裝置獲得了大量的媒體關注，但卻未能像智慧型手機和平板一樣引起大眾普遍認同。根據 ABC News 的報導，市場研究網站 NerdWallet 估計健身記錄器的市場大約在 8,500萬美元 (2013 年) 之譜，僅占今日數十億美元手機市場的微小部分。

然而，科技大廠卻認為物聯網（IoT）裝置很快就會引起消費者的興趣並投下大筆賭注，Google 就是一例。該公司最近併購了 Nest 這家專門生產連網恆溫系統的公司，進一步鞏固自己在物聯網（IoT） 硬體的地位。此外，雖然 Google Glass 抬頭顯示器目前不論在商業上或文化上都還是個不成氣候的產品，但其無所不在的媒體與連網體驗很可能刺激 Facebook 併購專門開發遊戲虛擬實境頭盔的 Oculus 公司。正當廠商忙著爭奪 IoE 版圖並尋找下一個主要運算平台的同時，安全的考量卻因商業利益而退居第二。

趨勢科技研究人員 Robert McArdle 指出，擴增實境 (AR) 很可能在 2014 年開始邁入主流市場，部分原因是其適用的情境不適合使用手機，其次就是 Oculus Rift 虛擬實境頭窺的創新技術，以及網路犯罪者過去一向喜歡鎖定遊戲玩家的趨勢。最近，針對《英雄聯盟》遊戲伺服器的分散式阻斷服務攻擊以及 2011 年發生的 Sony PlayStation Network 資料外洩事件，都證明了這類風險的存在，而 AR 和 IoE 的時代來臨將開啟全新的漏洞。

McArdle 表示：「擴增實境最適用的領域就是身歷其境式體驗，而這正是 Google Glass 和 SpaceGlasses 這類穿戴式科技派上用場的地方。這類裝置在技術上或心理上都可能遭到一些獨特的攻擊。舉例來說，這些裝置的使用者基本上就像是頭上戴了一台相機四處走動一般。專門開發網路銀行惡意程式的歹徒不難發現這是一個偷取銀行帳號密碼的絕佳工具。」

這類將桌上型電腦與行動裝置惡意程式技術移植到 IoT 裝置的威脅，已經迫在眼前。若消費者對物聯網（IoT）裝置興趣缺缺，將使得惡意程式的攻擊目標有限，因而不值得網路犯罪集團投入太多資源來破解 AR 頭窺或智慧型手錶。不過，物聯網（IoT） 還有一些較不鮮光亮麗的領域已經開始遭到攻擊，並且出現一些未來可能招致更多問題的漏洞。

VoIP 網路電話與路由器漏洞
網路基礎架構是 IoT 的骨幹，隨著越來越多裝置開始連上 IP 網路，除了端點裝置本身之外，路由器和交換器的安全性將變得更加重要。

儘管 Cisco 大力股吹 IoT 的未來潛力，但這家網路大廠也不得不針對其多款熱門無線區域網路控制器釋出安全性更新。在更新之前，這些裝置很可能遭歹徒入侵，進而利用其網路發動 DDoS 攻擊或取得管理權限。另外，最近出現的 Moon Worm 威脅，上個月也讓許多舊款 Linksys 路由器使用者頭痛不已。這項威脅利用了一個可略過認證機制的漏洞來取得路由器控制權，並且會自我複製。 繼續閱讀

安裝社群網站外掛,導致漏洞攻擊,日本、台灣相繼傳出災情

趨勢科技 TrendMicro

在過去幾個禮拜裡，一個被稱為 FlashPack 的漏洞攻擊包一直在攻擊日本的使用者。為了要感染使用者，這漏洞攻擊包並不依賴於垃圾郵件或被駭網站：相對地，它採用了被駭的網站外掛。

使用這外掛的網站所有者是為了加上社群媒體分享按鈕到自己的網站上。網站所有者所要做的就只是在自己的網站設計模版中加入幾行JavaScript程式碼。這程式碼會在外掛網站上免費提供。

加入的腳本會增加如下版面到網站上：

 

圖1、新增的分享按鈕

 

要做到這一點，首頁上的一個JavaScript檔案會被載入。光是這樣就該發出警訊：這代表網站所有者在非其控制的情況下載入來自外部伺服器的腳本。如果它載入的腳本來自受信任網站，如Google、Facebook或其他知名網站是一回事；但載入無名伺服器網站上的腳本又是另外一回事。

而事實證明，這腳本被用於惡意目的。在某些網站上並非執行原有的外掛腳本，而是將使用者重新導向FlashPack的腳本，像這樣：

 

GET https://{add-on domain}/s.js HTTP/1.1

User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.13) Gecko/20101203 Firefox/3.6.13

Accept: */*

Accept-Language: en-us,en;q=0.5

Accept-Encoding: gzip,deflate

Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7

Keep-Alive: 115

Connection: keep-alive

Referer: {victimized website}

Host: {add-on domain}

 

上述文字是對外掛腳本的HTTP請求，網址部分被處理過。下面是伺服器的回應：

 

HTTP/1.1 302 Found

Date: Thu, 14 Aug 2014 02:39:45 GMT

Server: Apache/2.2.26 (Unix) mod_ssl/2.2.26 OpenSSL/0.9.8e-fips-rhel5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635

Location: {exploit kit URL}

Content-Length: 386

Connection: close

Content-Type: text/html; charset=iso-8859-1

 

要注意的是，直接載入s.js只會載入「正確」的外掛腳本。如果在Referer標頭發現一個在日本的知名免費部落格網站，則會觸發該漏洞攻擊包。這漏洞攻擊包對目標使用者進行多項Flash漏洞攻擊；其中有一個被用來攻擊的是二月所修補的Flash漏洞（CVE-2014-0497）。我們已經看到有TROJ_CARBERP.YUG被下載到受影響系統上。

這次攻擊本身大量地針對了日本使用者。至少有約66,000名使用者遭受這波攻擊，其中有超過87％來自日本。漏洞攻擊包網頁被代管在捷克、荷蘭和俄羅斯的伺服器。

 

圖2、各國被攻擊數量

繼續閱讀

七個APT 攻擊跡象

趨勢科技 TrendMicro

APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)/目標攻擊被設計來在目標網路裡躲避現有的管理政策和解決方案，因此要偵測它們是一大挑戰。正如我們在之前關於APT 攻擊常見五個誤解的文章中所強調過的，沒有放諸四海皆準的解決方案可以用來對付它；企業需要在所需要的地方都放置感應器好加以防護，同時IT也要有足夠的設備來識別網路的異常情況，並採取相應的措施。

apt

然而，要及早發現異常狀況，IT管理者需要知道首先要看到什麼。由於攻擊通常會設計成只有很少或幾乎沒有痕跡可循，重要的是要知道哪裡可以找到入侵的可能指標。在這篇文章中，我們將列出IT管理者所需要密切監視的網路部分以發覺任何入侵的跡象。

一.檢查被注入的DNS記錄

攻擊者經常會篡改DNS記錄以確保到他們的C&C連線不會被封鎖。IT管理者可以檢查記錄中可能被攻擊者注入的跡象如下：

  1. 未知網域加入IP地址如127.0.0.1、127.0.0.2、255.255.255.254、255.255.255.255、0.0.0.0和1.1.1.1。這些IP地址通常被攻擊者用來保留給尚未使用的C&C
  2. 最近註冊的未知網域，像是3天前（可以透過whois來判斷）
  3. 看起來像是隨機字元的網域（例如：aeeqvsfmtstjztqwlrqknoffmozu.com或zxcmpfwqwgqnbldzhdqsrqt.com）
  4. 出現模仿知名網域的網域名稱（例如：microsoft-dot.com或goooogle.com）

 

二.稽核登入失敗/不規則的帳號

一旦攻擊者能夠進入網路和建立與其C＆C的通訊，下一步通常是在網路內橫向移動。攻擊者會去找出Active Directory、郵件或檔案伺服器，並攻擊伺服器漏洞來加以存取。然而，因為管理者會修補並防護重要伺服器的漏洞，攻擊者可能會嘗試暴力破解管理者帳號。對於IT管理者來說，登入記錄是此一行為最好的參考資料。檢查失敗的登入嘗試，以及在不尋常時間內的成功登入，可以顯示攻擊者試圖在網路內移動。

三.研究安全解決方案的警報

有時候，安全解決方案會標示看來無害的工具為可疑，而使用者會忽略這警報，因為該檔案可能對使用者來說很熟悉或無害。然而，我們在許多案例中發現出現警報意味著網路中有攻擊者。攻擊者可能使用惡意設計的駭客工具，甚至是來自Sysinternals套件的合法工具像是PsExec等來執行系統或網路檢查作業。有些安全解決方案會標示這些非惡意工具，如果它們並非預先安裝在使用者電腦裡。IT管理者必須問，為什麼使用者會使用這些工具，如果沒有充分的理由，IT管理者可能撞見了攻擊者的橫向移動。

四.檢查是否有奇怪的大檔案

在系統內發現未知的大檔案需要加以檢查，因為裏面可能包含了從網路中竊取的資料。攻擊者通常在將檔案取出前會先儲存在目標系統內，往往透過「看起來正常」的檔案名稱和檔案類型來加以隱藏。IT管理者可以透過檔案管理程式來檢查。  繼續閱讀

廣告軟體利用Windows 9 開發者預覽版進行誘騙

趨勢科技 TrendMicro

趨勢科技發現一則正在利用關於今年九月會推出Windows 9開發者預覽版的傳言。該威脅利用了熱門搜尋引擎上關鍵字，像是Windows 9、free（免費）、leak（流出）和download（下載）。

這騙局跟一個看起來像是提供尚未發表Windows作業系統免費下載的惡意網站有關。

圖1、提供Windows 9免費下載的部落格

 

點下「立即下載」按鈕的使用者會被重新導向一檔案代管服務 – Turbobit.net的下載網頁。提供免費下載的檔案大小有5.11 GB。

圖2、Turbobit下載網頁

 

進行下載的使用者會被帶到另外一個網頁，提示使用者安裝一個影片檔案下載管理程式。 

圖3、通知使用者下載VideoPerformanceSetup.exe

繼續閱讀