免費的Windows 8啟動程式?請先三思

邪惡伎倆透過免費或折扣的口號來吸引人一向都非常有效,因為人們都喜歡便宜。更何況,如果是個常常聽到過的產品,像是Windows 8。

趨勢科技在去年報導過一些假Windows 8序號產生器,偽Windows 8防毒軟體,以及在這產品推出時出現的網路釣魚郵件。雖然它已經推出好幾個月了,但我們還是發現有些網路壞蛋繼續利用這個Windows 8來吸引使用者上鉤。不過他們這次提供的是Windows 8啟動程式,利用了微軟提供升級Windows 8限定優惠折扣的消息。

根據趨勢科技的研究,有好幾個網站使用Windows 8作為關鍵字。聲稱提供免費的Windows 8啟動程式,但實際上是假貨(趨勢科技偵測為HKTL_KEYGEN)。

 圖一、提供偽Windows 8啟動程式的網站截圖
圖一、提供偽Windows 8啟動程式的網站截圖

趨勢科技所監視的其他網站也有提供免費的Windows 8啟動程式,號稱為「Windows 8 Activator Loader Extreme Edition 2013」。

圖二、提供流氓Windows 8啟動程式的網站

繼續閱讀

< APT 目標攻擊 >美國能源部成為受害者:14台伺服器和20台工作站入侵,數百名員工的個人資料被讀取

作者:Rik Ferguson

 

圖片來自Flickr上的IndigoValley

經過上週所發生針對「紐約時報」、「華爾街日報」和「華盛頓郵報」的攻擊之後。另一個令人震驚的新受害者出現了 – 「美國能源部」,負責美國核武軍火庫的美國國家核能安全管理局所屬的單位,也成為了被入侵的受害者。

CN APT attck

根據美國華盛頓自由燈塔(Free Beacon)的一份報告,官員已經證實有十四台伺服器和廿台工作站在攻擊中被入侵。

在目前這早期階段,還沒有太多攻擊細節被官方所釋出,並沒有辦法去做出什麼結論,但就我們所知道的部分已經令人感到非常擔憂了。華盛頓自由燈塔(Free Beacon)的報告指出:「他們認為這起複雜的滲透攻擊並不只是竊取個人資料。有跡象顯示,攻擊者帶有其他目的,可能包括計劃進一步去存取機密和其他敏感資料。」這說明在這起攻擊中沒有機密資料被存取。已經被證實的是有數百名員工的個人資料被讀取。

 

APT攻擊/目標攻擊特質:用多次行動組成攻擊活動

如果這次攻擊的意圖和間諜活動有關,這也是目前最有可能的原因,那攻擊者是不大可能因為一次失敗就放棄的。現代攻擊的特質就是會用多次行動組成攻擊活動,而不會是單獨的攻擊。即使沒有機密資料被存取(而這是「仍在調查中」,我懷疑這結論為何可以如此肯定),已經確認被讀取過的資料還是非常的寶貴,可以用來建立未來的目標攻擊,去針對那些能源部和國家核能安全管理局等知名目標的員工。

許多國家都一直投資最先進的技術用作國際間諜目的,而且還會繼續下去,這應該並不奇怪。所以政府和企業也應該為自己的員工和國民公民利用類似的尖端科技去加密敏感資料,以及監控重要網路以即時掌握可疑的行為。攻擊一個如此高風險的組織不會只是次簡單的行動而已。

 衡量傳統防毒技術的有效性:能否偵測客製化目標攻擊?

當熱門媒體在提到有關入侵的故事時,都放大了安裝在受害者組織上的防毒解決方案並沒有找出攻擊者所使用的惡意檔案。而這也是問題之一,當組織遇到先進的目標攻擊時,還繼續依賴著單一層面的安全防護,往往是設計用來解決完全不同的問題。 繼續閱讀

小心保護線上隱私

越來越多人會在網路上處理各種個人事務(像是網路購物和使用網路銀行)。你一定會想知道,到底有多少你的資訊可以在網路上被看到。網路跟我們的日常生活已經結合的如此緊密,網路犯罪份子也會用更新、更有創意的方式來打破我們在網路上的隱私。

一切都跟廣告有關

因為網際網路用途的大量增加,也讓網路公司很有興趣去追蹤大家都在網路上做些什麼。好讓這些公司可以據此來行銷產品和服務,多數人也都可以在社群網站、新聞部落格、線上娛樂頻道看到。事實上,網路廣告已經是大多數網站的金錢來源。

在2010年,Google披露了他們96%的收入來自廣告(放在自身網站或使用其廣告業務的網站上)。而社群網路巨頭Facebook的全球廣告收入也預估會在2011年上升104%,來到38億美元。

因為一些廣告服務供應商(像是Google AdSenseYahoo! Advertising Solutions)都提供客製化廣告的服務,你應該會發現服務供應商和廣告商是可以追踪你的線上活動的。廣告商會想辦法去收集資訊,比方說從你去過的網站和你填寫的線上個人資料中得知。


客製化廣告:
仙丹還是毒藥?

大部分網站的廣告需求都是經由第三方廣告網路來管理。線上廣告或是廣告網路是中介廣告商和希望提供廣告的網站所有者間的橋樑,廣告網路使用集中伺服器去提供對的廣告給對的網站訪客,也會在網路上監看著使用者的活動。

廣告網路還可以讓第三方公司透過使用者的網頁瀏覽記錄來觀察他們的線上活動,進而了解他們的喜好。雖然對某些人來說,將使用者與可能引起他們興趣的網路廣告做配對不是什麼問題,但也有些人覺得這是種對隱私的侵犯。對多數賣家來說是很方便跟有用,但對於他們所監看的人來說卻是在侵犯隱私。

要在瀏覽網頁時保護個人隱私,牢記下面的秘訣:

  • 定期刪除CookieCookies存放了網站相關資訊,所以有可能被網路犯罪分子所竊取利用。刪除Cookie有一個缺點,就是每當你再次訪問網站時,都會要求你重新輸入帳號名稱和密碼。
  • 使用隱私瀏覽:瀏覽器提供這種特殊模式好讓你的網路活動得以保密,不被窺探。選擇隱私瀏覽會使用新的瀏覽器視窗,並且會在你關閉視窗時刪除所有的歷史記錄和cookie。但是要注意的是,如果你的視窗還是開著,並不保證可以保持匿名,會讓廣告商仍然可以追踪到你。
  • 使用網路廣告促進會(NAI的選擇退出(Opt-out)工具。這個工具讓你可以選擇退出客製化廣告的目標。身為促進網路廣告自我節制的組織,網路廣告促進會(Network Advertising Initiative,NAI)讓你可以選擇不接受其成員公司的廣告行銷。因此,你可以不再被這些會量身打造廣告,但被你所封鎖的廣告公司所打擾。

過度分享的陷阱

當廣告網路需要根據你的網站偏好和使用模式來猜測你會感興趣的內容時,社群媒體已經擁有了所有的資訊,他們只需要你自己不停的提供給他們。感謝社群媒體整合了多個網站,社群網站可以很簡單的找到你的好惡。

也因此,社群媒體「採礦」快速地成為業界的標準做法,尤其是對那些保險和人力資源(HR)公司來說。比方說,他們會監看社群媒體好找到可能的詐騙案子,特別是根據報導,這些詐騙案每年會讓保險業損失大約三千萬美元。

被貼到社群網站的內容,現在也會被拿來在法庭聽證會上作為證據。像是在離婚過程中,會利用上傳到Facebook的照片來證明丈夫的不忠。

重新定義「隱私

大部分得歸功給今天的年輕人,在網路上保持使用者資料機密已經結束了。新一代的年輕社群媒體玩家對於保護和分享資訊有著不同的態度,他們樂意對各方提供個人資料。在短短幾年之內,具有隱私意識的人將成為少數。而這將是廣告業者,或者更糟的是 – 攻擊者的美好未來。

要將米蘭達宣告(Miranda Rights)的內容銘記在心 – 「你所說的一切,都可能成為對你不利的證據」,這代表你在網路上發表任何事情前都要先三思。避免分享太多,尤其是當你還不清楚如何設好你在社群網站上的隱私設定。想知道更多小技巧,來參考Facebook隱私設定:

Facebook 隱私設定-1(應用程式和廣告設定)

Facebook隱私設定-2(標籤,打卡與個人檔案能見度)

Facebook隱私設定-3(不是朋友也能”訂閱”及五個例外規則)

一個應用程式值得冒險嗎?

當越來越多使用者下載應用程式到他們的行動設備上時,安全和隱私也變成了更為嚴重的問題。智慧型手機已經成為駭客愛好的惡意軟體平台。

我們已經看到有應用程式用遊戲當幌子來監視使用者。也因此你要養成習慣,在安裝應用程式前先檢查它所要求的權限。許多應用程式都是透過廣告獲利,這代表著它們有著一樣的廣告網路隱私問題。 繼續閱讀

從紐約時報APT攻擊裡所學到的教訓

作者:趨勢科技Christopher Budd

紐約時報發表他們從四個月前就開始遭受APT進階持續性威脅 (Advanced Persistent Threat, APT)。該報告還提供出一定程度的細節,這其實是相當少見的,任何對資訊安全和防範APT攻擊有興趣的人都應該花點時間來讀完紐約時報全部的故事

從紐約時報APT攻擊裡所學到的教訓

紐約時報還做了一件事,就是指出了他們有安裝安全產品,但是這些產品未能阻止攻擊。他們甚至將這安全廠商列名出來,讓人覺得他們將矛頭指向該美國安全廠商。紐約時報的故事和安全廠商的反應似乎都暗示集中在基於病毒碼(特徵碼)的端點安全防護方案。

有了這些資訊以及我們對這攻擊的所知訊息,我們可以學到一些教訓,關於要怎樣如何才能充分保護網路環境以對抗APT進階持續性威脅 (Advanced Persistent Threat, APT)

 鎖定特定對象電子郵件帳號,進而存取 53 名員工個人電腦

本部落格分享過這篇:《APT進階持續性威脅~主要目標攻擊侵入點:eMail》63%產品規劃藍圖 ,76%預算計畫經由 email 傳送,紐約時報陳述攻擊的進入點也是透過針對特定對象的電子郵件帳號(大概是透過適當的開放情報收集所確認得來)。獲得控制權後,他們利用帶有特定目的的惡意軟體來建立命令和控制(C&C)通訊點。接著,開始橫向移動,先偷取企業內所有員工的密碼(透過針對網域控制(DC)伺服器的攻擊),並用來存取其他系統(包括53名員工的個人電腦,其中大多數不屬於紐約時報編輯部)。
關於APT 攻擊常用的三種電子郵件掩護潛入技巧,請參考:《這裡》含多則中英文信件樣本

45個客製化惡意軟體潛伏部署,但廠商沒有偵測到

他們說從這起攻擊中所學到的教訓是,有45個客製化惡意軟體被部署,但安全廠商未被偵測。該報告接著說明沒有重要資料被竊取,因為這次攻擊被及早的發現。調查人員也在監控這起攻擊,以了解需要做些什麼來防護網路。

以病毒碼(特徵碼)為基礎的防護,無法全面主動監控

對於像是這樣複雜的攻擊來說,很明顯地,傳統基於病毒碼(特徵碼)的端點安全防護是不夠的。攻擊者可以製作並測試出多面向的目標攻擊以特別用來閃避這些產品的偵測。他們是整體安全防護的一個重要部分,但必須包含在更整體的防護策略中,包括啟發式偵測、動態信譽評比服務和主動式網路監控。

以客製化防禦對抗針對性攻擊

如我上面所說,我們不確定紐約時報用了哪些產品以及如何部署。但是,我們可以觀察這起攻擊所提供的細節,去了解攻擊者這些天做了哪些事情,從而確認怎樣的防護策略會最有效果。答案很顯然是設計用來對抗進階威脅的主動式、多層次安全防禦:現在需要客製化的防禦去對抗針對性的攻擊。如趨勢科技Deep Discovery,便可以防禦目標攻擊繼續閱讀

APT 駭客工具解密

趨勢科技2013安全預測中,我們提到惡意軟體會逐漸地演變,不會有太多顯著地變化。這可以從APT進階持續性威脅 (Advanced Persistent Threat, APT)使用一些(合法)駭客工具中看得出來。

attack

這為什麼是個問題呢?駭客工具是種灰色軟體,並不一定會被防毒軟體防毒軟體所偵測,或因為道德法律考量讓他們不這樣做。不幸的是,這意味著在APT進階持續性威脅 (Advanced Persistent Threat, APT)鑑識調查裡更難發覺它。此外,它也讓攻擊者省下自己開發工具的麻煩。常見到的駭客工具有:

密碼回復工具 – 用來將應用程式或作業系統存放在本地硬碟或註冊表內的密碼或密碼雜湊值取出的工具。通常被用來複製或偽造使用者帳號以取得管理者權限。雜湊值注入(Pass-the-hash)是種常見的方式讓攻擊者透過偷來的密碼雜湊值取得管理者權限。

  • 使用者帳號複製工具 – 當攻擊者取得密碼後,用來複製使用者帳號的工具。一旦取得足夠權限,攻擊者就可以繞過系統的安全措施,執行惡意企圖。
  • 檔案操作工具– 用來操作檔案(複製、刪除、修改時間標記、搜尋特定檔案)的工具。它被用來修改存取過檔案的時間標記或刪除特定組件以掩飾入侵的痕跡。它也可以讓攻擊者透過副檔名搜尋所需要的關鍵文件。
  • 排程工具– 用來關閉或建立排程的軟體。這可以讓攻擊者透過關閉軟體更新排程以降低受感染系統的安全性。同樣地,也可以做為惡意用途。例如,攻擊者可以建立排程以在特定時間自動竊取檔案。
  • FTP工具 – 用來執行FTP傳輸的工具,像是將檔案上傳到特定FTP站台。因為在網路上的FTP傳輸看起來比較不那麼可疑,有些APT(進階持續性威脅)幕後黑手會偏好將竊取來的資料上傳到遠端FTP站台,而不是上傳到C&C伺服器。要特別指出的是,有好幾個合法的FTP應用程式也被網路犯罪份子所用。
  • 資料壓縮工具– 這些工具本身並非惡意,也不被視為入侵用的工具。在大多數情況下,這些都是合法的檔案壓縮工具,像是WinRAR,只是被攻擊者用來將多個偷來的檔案加以壓縮合併。這可以在資料竊取階段,幫攻擊者將偷來的文件合成一個單一檔案上傳。在少數情況下,我們也看到這些應用程式被組合設定來壓縮預先定義好的一組檔案。

要如何判斷APT(進階持續性威脅)使用這些駭客工具?

我們已經看到要如何使用這些工具在APT進階持續性威脅 (Advanced Persistent Threat, APT)中取得管理者權限,並且收集關鍵文件。那麼IT管理員和進階使用者該如何利用這資訊來判斷有使用這些工具的APT進階持續性威脅 (Advanced Persistent Threat, APT)繼續閱讀