惡意 PDF 閃避技術分析

在許多漏洞攻擊包裡,惡意PDF檔案是用來感染使用者以帶入各種惡意檔案的最常見威脅之一。自然地,安全廠商會投資在正確偵測這些檔案的努力上 – 而惡意作者也會投資在閃避這些廠商的偵測上。

PDF

透過主動式雲端截毒技術的回饋資料,我們研究了幾種今日常見用在PDF漏洞攻擊的技術。這篇文章會介紹這些技術。對於這些技術的瞭解則有助於加強趨勢科技偵測這些漏洞的能力。

 

常見的JavaScript閃避技術

大多數PDF漏洞攻擊碼都會使用某種形式的內嵌JavaScript。正因為如此,常見的JavaScript閃避和模糊處理技術也會被用在這裡。例如:字符串替換、try-catch 例外,fromCharCode迴圈都可以用在PDF檔案。

下面的程式碼片段顯示一些被使用的技術:

 

惡意PDF分析閃避技術

圖一、常見被使用的JavaScript閃避/混淆處理技術

 

這個特定的漏洞攻擊碼針對CVE-2010-0188

 

編碼內容和函數名稱的INFO物件

這類型的混淆處理將加密過的程式碼存到部分INFO物件(如標題、主題、作者等)。可以用JavaScript來提取和解碼加密過的惡意程式碼。

在此樣本裡,INFO物件的標題/建立者欄位很詭異。建立者欄位是非常長的字串,用無數驚嘆號來斷開。

惡意PDF分析閃避技術

 

圖二、INFO物件內的編碼過程式碼

繼續閱讀

給IT管理員的 6 個網路安全建議

趨勢科技在過去所紀錄的攻擊事件證實了駭客所共用的一個策略:找出弱點並加以攻擊。不管是紐約時報或是亞洲的小公司,起始點都是透過弱點而入侵。這個弱點可能是關於技術(有漏洞的軟體)或非技術(沒有警覺的員工)。

認識駭客(Hacker),Cracker(破壞者),激進駭客(Hacktivist)網路犯罪份子(Cybercriminal),白帽(White Hat),黑帽(Black Hat),灰帽(Grey Hat)

這個發現強調了要有全面性的防禦來對抗這類攻擊。如同趨勢科技的研究人員 – Jim Gogolinski在之前的報告裡提過,企業對於針對性攻擊並非束手無策。然而,建立堅強的防禦策略需要資源,以及組織本身的大力配合。

特別是駭客攻擊,確保公司網路安全需要主動和被動性的安全策略。下面是一些可以幫助IT管理員的建議,確保他們的公司網站安全。

 

主動式步驟來對抗駭客攻擊

  1. 實施可以定期測試和部署更新的計畫,尤其是安全更新。
  2. 檢查所有端點和伺服器上安裝的軟體,確保在最新狀態。
  3. 確認每個地方都有部署安全軟體(而且在使用中)。也要設定好來偵測和預防攻擊的各個階段,同時也要監控網路、硬碟和記憶體內所出現的各種狀況。
  4. 流程和標準作業程序(SOP)在建立時要考慮到安全性。這不只是適用於員工,還包括合作夥伴、承包商和客戶。
  5. 調查任何異常的網路和系統行為。攻擊通常都以偵察開始,這類可疑的活動可能是攻擊的第一個跡象。
  6. 持續和所有必要單位(不只是IT團隊)規劃和審查你的事件回應程序。Jim也在他之前的報告裡討論到如何實施這些程序 – 「如何讓社交工程訓練有效果?

 

被攻擊時怎麼辦

過去有些攻擊會被「公布」。攻擊細節 – 像是何時會發生、目標是誰 – 都會事先向公眾宣布。在這種情況下,企業最重要的是要確保所有的主動防禦措施(如上面所列的)都有到位,並且對於網路和日誌檔都維持高等級的警覺程度。

布的行動,以及它們公開出來的戰術、工具和程序都是評估和改進現實防禦對策的難得機會。趁此機會來訓練員工、流程和技術去識別針對性攻擊的跡象,不管是已公開還是隱藏的行動。

然而,不管公布的攻擊是否會帶來更多的風險,重要的是企業要有自己的防禦計畫。最終會證明,確保網路安全的成本跟被入侵成功相較起來是微不足道的。

 

@原文出處:Security Strategies Against Hacking Attacks

還不是趨勢科技粉絲嗎?想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚加入粉絲,各種粉絲專屬驚奇好禮,不定期放送中

按<這裡>下載 2013台灣進階持續性威脅白皮書APT 攻擊

 

中國地下市場之旅

過去幾年來,有許多網路犯罪分子待在中國地下市場。在標題為「不只是線上遊戲犯罪:重新檢視中國的地下市場」的研究報告裡,我們提供了中國地下市場當前狀態的一些詳情。趨勢科技在去年開始研究這個地下產業,這份簡報是這些努力的成果。
中國地下經濟

收集關於中國地下市場的知識並不特別困難,但的確也是有些挑戰。成就這地下經濟的網站和市場並不公開於大眾面前,而是藏身於論壇和QQ聊天群內。雖然有許多地下經濟組織都是透過地下論壇,但使用QQ聊天群是中國的特產。這些網站都使用自己的行話來命名和描述他們的團體,但熟悉他們行話的網路犯罪分子可以輕易地找到想要的東西。

在某些方面,中國的地下市場跟其他正當合法的經濟市場一樣:它提供各式各樣的產品和服務,以及不同的價格區段。所提供的服務包括:

  • 分散式阻斷服務(DDoS)套件和伺服器
  • 遠端存取工具(RAT)
  • 逃避偵測服務
  • 淪陷代管主機
  • 網路釣魚(Phishing)工具包
  • 竊盜使用者資料
  • 網頁指令層(Webshell)


在這些交易底下,有著一個強大和健全的生態系,網路犯罪分子可以用不同的價格購買他們所選擇的產品。

以阻斷服務攻擊為例,網路犯罪分子可以選擇租用專用伺服器來產生更大規模的攻擊。比較低階的Atom伺服器一個月是599元人民幣(98.50美元),更為強大的Xeon伺服器加上1Gb/s連線的月費可以到2100元人民幣(345美元)。 繼續閱讀

也是[牛奶]駭人, 輸入[牛奶] 竟然出現色情頁面!

近日發生的牛奶駭人食安問題,成為熱門關鍵字,想必很多父母很著急,以下這篇之前發表過的文章,再次提醒大家當發生大新聞時,你可能會急著到網路上找尋更多相關消息。但這同時也是網路犯罪分子上工的時候。 他們會建立假網站讓人們點擊、下載或開啟檔案,但實際上夾帶惡意軟體,可能用來偷看上網習慣,或在電腦裡開後門以及竊取個人資料。

iskf

撇開食安問題不談,現代父母除了關心小朋友的課業與健康之外,家長是否知道在網路上光是輸入「 milk(牛奶)」這個字眼,竟出現「 Sex(性)」、「Porn(色情)」等兒童不宜字眼!

孩子上網搜尋資料已是準備課業的一部份,透過搜尋引擎找資料的同時,與搜尋主題無關的內容卻也出現在視窗中等著孩童來點選觀看,影響所及不僅僅是讓孩子接觸觸到不當的內容,更讓家中電腦曝露在駭客入侵的風險之下:

要「牛奶」,給「腥羶」-最平凡的字彙,竟有另人臉紅的搜尋結果
在網路上搜尋最平凡的詞彙卻產生令人不堪入目的結果,其中不僅充斥各類色情網頁,更有夾帶惡意程式的色情圖片在其中。趨勢科技發現不僅造訪賭博網站或成人網站會受到網頁威脅攻擊,輸入一般性查尋的詞彙,所出現的連結更有出現令人傻眼的內容,例如輸入「 milk(牛奶)」這個字眼,竟出現「 Sex(性)」、Porn(色情)」等兒童不宜字眼。一旦好奇點選,更有被潛藏其中的惡意程式入侵之危險。

近日牛奶食安成為大家關心的議題,大家更要提高警覺,2011 年四月這則新聞陸網友受不了下載《肉蒲團》全遭駭 ,小編藉此跟大家分享一下在本部落格常提到的名詞認識Black SEO( 搜尋引擎毒化)。 話說許多大陸網友要趁「五一假期」組團赴港、台觀賞《3D肉蒲團之極樂寶鑑》(因為大陸沒上映),擋得住電影上演卻檔不住大陸網友在網路上熱搜,不過在下載一個「完整版下載」的檔案時卻慘遭木馬程式入侵,導致電腦中毒。報導說估計約有十萬網友受到「肉蒲團的木馬程式」入侵。

另外還有一則台灣相關新聞「電器維修官網是山寨版?」不少消費者抱怨 大公司維修客服態度差,價格又亂報,後來才發現網路上很多維修官網都是假的,包裝聲寶,日立,奇異等家電公司有都有仿冒官網,導致消費者對於無辜的公司抱怨不斷。<點我看更多>

同場加映:孩子的偶像,可能成心靈殺手
現在孩子早熟,小學生也有自己崇拜的偶像,但名人也是病毒或是間諜軟體的最愛,過去病毒藉著試聽周杰倫與孫燕姿新歌 MP3為餌,讓學生下載後成為散播病毒的工具; 而以蔡依林為主題的病毒則以”蔡依林的裸照”來引吸粉絲點選而導致電腦中的執行檔被刪除。當然色情也不會放過名人的八卦,”劉德華同性戀被偷拍”、”好萊塢明星布來德比特走光圖”、”貝克漢召妓照片”等都是被病毒利用的例子。

之前李安的得獎作品「色戒」被病毒也曾被以「迴紋針床戲一刀未剪版」影片為餌,一旦點選觀看,即在彈指間被下載木馬程式,慘遭個人網路拍賣帳號、線上遊戲虛擬寶物被盜等損失。

爸媽真是冏很大,該怎麼辦呢?請參考保護兒童上網安全,PC-cillin 雲端版助父母一臂之力

 

 

 

✅防毒防詐✅守護帳密✅VPN安心串流✅阻絕惡意✅安心蝦拚
PC-cillin 讓你的『指指點點』可以開心又安心點!

【一下指就掉入詐騙陷阱?PC-cillin讓你安心點 】PC-cillin不只防毒也防詐騙 ✓手機✓電腦✓平板,跨平台防護3到位➔ 》即刻免費下載試用
FB IG Youtube LINE 官網

他們回來了:深層網路市場 (Deep Web Marketplaces)重新上線

雖然絲路(Silk Road)地下市場的營運者 – Ross Ulbricht還在紐約受審,新版本的深層網路網站(deep web site )– 絲路2.0( Silk Road 2.0)已經推出。這公告是經由Twitter上的帳號「恐怖海盜羅伯特」所宣布,這是Ulbricht涉嫌經營網站時所用的化名。

他們回來了:深層網路市場 (Deep Web Marketplaces)重新上線

圖一、Twitter上公佈新絲路

 

新網站上有個模仿聯邦調查局扣押舊絲路網站的登錄頁面。

他們回來了:深層網路市場 (Deep Web Marketplaces)重新上線

圖二、新網站的登錄頁面

 

根據這新的首頁,新絲路為使用者提供了額外選項來使用PGP密鑰,確保他們的通訊安全。

他們回來了:深層網路市場 (Deep Web Marketplaces)重新上線

圖三、絲路首頁

繼續閱讀