資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

四個舊瓶裝新酒的惡意攻擊

2013 年 04 月 02 日2013 年 03 月 25 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Gelo Abendan

在趨勢科技對今年的資安預測裡，我們的技術長Raimund Gene曾經預測過傳統的惡意軟體會逐漸地進化，而非產生新威脅。惡意軟體作者將更著重於改善工具，以及如何去組織攻擊。

特別是我們將會看到他們發展某些隱形戰術來避免被資安研究人員或廠商所發現。一個很好的例子就是黑洞漏洞攻擊包（BHEK）2.0版本的釋出，這是對我們之前成功地封鎖黑洞漏洞攻擊包的反擊。

在過去幾天裡，趨勢科技注意到下列一連串的事件，舊惡意軟體變種用著某些威脅手法來企圖防止被偵測。

啟動睡眠功能避免被偵測的惡意軟體:
某些版本的Kelihos（偵測為BKDR_KELIHOS.NAP）最近開始出現。有報告指出這個Kelihos變種會啟用SleepEx功能。利用這種睡眠功能，惡意軟體會在特定時間內呈現非活動狀態，這可以避免被自動偵測捕捉到它的惡意行為。Kelihos和額外的睡眠功能都不是新的威脅手法，但是當它們組合在一起就成為使用者應該小心的潛在威脅。
木馬使用Adobe簽章的憑證和警察勒索軟體使用假數位簽章:
一個被偵測為TROJ_BANKER.JBR的銀行惡意軟體被發現帶有DigiCert所發行的有效數位簽章。這個帶有上述數位簽章的惡意軟體偽裝成PDF檔案，可能是要誘騙使用者去誤認為這是個正常檔案的社交工程陷阱( Social Engineering)伎倆。在一般情況下，數位簽證可以保證程式和檔案的正當性。因此當使用者碰到這種簽章過的惡意軟體，就有可能會加以執行。不幸的是，數位簽章被濫用是之前就已經報導過的。惡名昭彰的Stuxnet和FLAME等攻擊就被回報過使用一樣的伎倆。就在去年，趨勢科技也報導過有木馬使用Adobe簽章的憑證和警察勒索軟體 Ransomware體使用假數位簽章。
繼續閱讀

超過 4000 個針對行動裝置平台潛在的網路釣魚風險

2013 年 04 月 01 日2013 年 04 月 01 日趨勢科技 TrendMicro

趨勢科技警告：偵測發現超過4000個針對行動裝置平台潛在的網路釣魚風險

趨勢科技6步驟　保你不上駭客鉤

【2013 年 4 月 1 日 台北訊】全球消費性數位資訊安全領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 公布最新2012年行動裝置網路釣魚威脅研究報告中發現，有超過 4,000 個網路釣魚網址是專門針對行動裝置而設計，顯示智慧型手機與平板電腦等行動裝置已成為駭客網路釣魚攻擊的鎖定目標。

根據最近一項研究顯示[1]，美國使用者每 5 人就有 4 人會使用智慧型手機上網購物；更有 52% 的使用者會透過行動裝置來瀏覽網站[2]，也有 39% 會上社交網站或部落格。趨勢科技全球病毒防治中心 TrendLabs 研究員 Paul Oliveria 指出：「行動裝置的方便性，讓使用者逐漸改變行動裝置的使用習慣。網路犯罪者也利用這股消費新趨勢設計網路釣魚活動，假冒正常網站來誘騙使用者提供敏感的個人資訊，希望擷取更多個資，進而牟利。」

趨勢科技也發現，在 2012 年當中，有四成三針對行動裝置網路釣魚網址都是假冒知名的銀行或金融機構網站，例如：英國 Barclays 銀行；而其中的 PayPal 和 eBay 則為最常被假冒的電子商務與購物網站。一旦使用者受騙，在釣魚網站上提供帳號和密碼，歹徒就會暗中進行金融交易，或使用受害者的帳號購物，輕則金錢損失，重則可能帳號被冒用從事不法行為。
繼續閱讀

雲端運算風險分擔模型

2013 年 04 月 01 日2013 年 03 月 25 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Jonathan Gershater

我常常會覺得有些人很奇怪，會開快車衝去機場還一邊講著手機，結果坐上飛機後卻開始祈禱著不會墜機。難道他們不知道想要安全抵達目的地，自己也承擔部分的責任嗎？

趨勢科技在討論新支付卡產業資料安全標準（PCI DSS）雲端運算準則的網路研討會中提醒到，雖然雲端服務可以有效地轉移掉資料中心的負擔，但不代表你的安全責任也是。（錯過這和Amazon和Accuvant一起的熱門網路研討會？點入這裡看重播）。

當組織在自己的資料中心內管理應用程式，他們控制也負責實體、網路和應用程式的安全。當組織將應用程式放入雲端環境時，他們也不能完全免除對自己應用程式安全性的責任，想要兩手一攤的說：「放到雲端服務上了，雲端服務供應商要負責。」因此就有了「責任分擔」或「風險分擔」的概念出現。公共雲供應商和雲端用戶需要共同對雲端應用程式的安全負責。

AWS（亞馬遜網路服務系統）詳述了雲端供應商和客戶所必須負的責任。

公共雲供應商（如AWS），通常會提供下列服務：

防護外圍網路和資料中心
外圍網路防火牆
備援和高可用性儲存裝置（S3），資料庫和網路基礎設施
故障轉移（亞馬遜主機可用區域（Amazon availability zones））

你（雲端用戶）要負責：

身份管理和存取控制。AWS用戶可以利用AWS基於角色的存取控制來確保存取AWS虛擬主機的人只擁有符合自己角色的權限。例如，管理者可以獲得存取AWS虛擬主機的所有權限，稽核人員可能只有查看設定或日誌檔的權限。此外，使用者要保管好用來連線到AWS虛擬主機的AWS存取和秘密金鑰，只有被允許存取虛擬主機的使用者擁有適當的金鑰。
加密運輸過程和磁碟上的敏感資訊。客戶需要用SSL加密所有通訊，並且加密AWS卷宗/磁碟。這可以確保任何網路通信被截獲或卷宗/磁碟被未經授權者存取時，資料是安全的，不能被讀取。
在AWS虛擬主機上的入侵偵測和防火牆。客戶應該在AWS虛擬主機上安裝防火牆和入侵偵測。客戶可以控制防火牆和入侵偵測規則。這些規則甚至可以依照AWS虛擬主機上所安裝的作業系統和應用程式來加以自動佈署。
確保應用程式和作業系統都安裝了修補程式並且更新到最新。雖然大多數應用程式和作業系統都有自動更新服務，但往往都會造成停機時間，讓使用者和服務產生中斷。為了減少這樣的干擾，同時減少資料外洩，入侵偵測系統可以防禦想要攻擊軟體漏洞的駭客攻擊。
繼續閱讀

《APT 攻擊》南韓 DarkSeoul 大規模 APT 攻擊事件事件 FAQ

2013 年 03 月 29 日2013 年 04 月 29 日趨勢科技 TrendMicro

: 南韓遭駭客攻擊事件,引發中外媒體大量報導(圖為壹電視報導)

• 2013 年 3 月 20 日在韓國發生什麼?
在 3 月 20 日下午，多家韓國民間企業遭受數次攻擊，業務運作嚴重中斷。此次事件的開始是受害企業內部數台電腦黑屏，網路凍結，造成電腦無法使用。
*本事件有一說為南韓 DarkSeoul 大規模APT攻擊事件)

4月中事件調查出爐，報導說北韓至少策畫了8個月來主導這次攻擊，成功潛入韓國金融機構1千5百次來部署攻擊程式，受駭電腦總數達4萬8千臺,這次攻擊路徑涉及韓國25個地點、海外24個地點，部分地點與北韓之前發動網路攻擊所使用的地址相同。駭客所植入的惡意程式總共有76種，其中9種具有破壞性，其餘惡意程式僅負責監視與入侵之用,相關報導:
韓國320駭客事件調查出爐，北韓花8個月潛入企業千次部署攻擊

• 誰在此次攻擊事件中受到影響?

數家韓國媒體與金融機構的網路受到影響，尤其是媒體，據報導他們的業務運作受到嚴重中斷，要完全恢復至少需要4至5天。

• 攻擊者的意圖為何?

目前還不知道攻擊者的動機，但是攻擊造成的影響是終端正常業務運作，表明了這是一次破壞行動。如果不知道攻擊者的真面目，很難去判定此次攻擊的意圖為何。

• 攻擊活動如何開始? 相關的惡意軟體如何入侵?

一封偽裝成三月份信用卡交易紀錄的郵件被送給被害者，該郵件包含兩個附件，一個是無害的 card.jpg，另一個是惡意的 .rar 文件，文件名寫著「您的帳戶交易歷史」

• 此次攻擊事件的感染途徑為何?

附件的 .rar 文件是一個 downloader，它會連接數個惡意 IP 地址並下載 9 個文件。企業內部的中央更新管理伺服器也遭受入侵而被植入惡意程序，更新管理機制讓這個惡意程序能夠相當快速地散播到所有連接此伺服器的電腦。該惡意程序會新增數個組件，其中包含一個 MBR (主開機記錄，Master Boot Record) 修改器。

• 在終端電腦上發生什麼?

這個 MBR 修改器，經趨勢科技偵測分析，定名為 TROJ_KILLMBR.SM 惡意程序。該惡意程序被設定在 2013 年 3 月 20 日執行，在這個時間之前，它只是安靜地存在系統之中。當設定的時間到達之後，TROJ_KILLMBR.SM 覆蓋MBR並且自動重啟系統，讓此次破壞行動能夠生效。它並且利用保存的登入訊息嘗試連接 SunOS、AIX、HP-UX 與其他 Linux 伺服器，然後刪除服務器上的 MBR 與文件。

對於Windows Vista 或是更新的版本，它會搜尋所有固定或移動硬碟中文件夾裡的全部文件，用重複的單詞去覆蓋文件，然後刪除這些文件與文件夾。在根目錄的文件是最後被覆蓋的。對於比 Windows Vista 舊的操作系統，它會覆蓋所有固定或移動硬碟的開機引導紀錄 (boot record)。

• 在 3 月 20 日之前有沒有對於此事攻擊事件的提前預警?

在一個趨勢科技的客戶環境中，我們能夠判斷至少在一天前，也就是 3 月 19 日，他們就已經遭遇了這個威脅。然而藉由趨勢科技威脅發現設備 DDI 的協助，他們能夠提早知道並且採取防禦措施。

• 趨勢科技對於此次攻擊事件提供什麼保護?

趨勢科技 DDI 利用偵測到相關郵件中的惡意附件，啟發式偵測名稱為 HEUR_NAMETRICK.B，我們也提供特徵碼去查殺 MBR 修改器，同時我們能夠偵測此次攻擊相關的所有 URL 與垃圾郵件。

• 趨勢科技客戶在此次事件中有受到影響嗎?

趨勢科技 DDI 能夠利用啟發式偵測與沙盒分析提示與此次攻擊相關郵件中的惡意附件。由於 DDI 提供的訊息，客戶能夠提早採取預防措施，防止威脅影響他們的系統。

面對 APT 攻擊企業該怎麼辦呢? 這是我們的建議

• 確保重要主機的防護及安全

。駭客企圖利用具有中控管理的程式來散播惡意程式，所以包含防毒軟體、資產管理、軟體派送及 AD 等等，因此做好主機保護很重要。

。程式本身也必須做好防護，以免成為攻擊的管道。繼續閱讀

從Facebook、Twitter、Microsoft和Apple遭到水坑攻擊談Mac OS平台安全

2013 年 03 月 29 日2013 年 03 月 27 日 Trend Labs 趨勢科技全球技術支援與研發中心

隨著越來越多的個人資訊會提供給Facebook、Twitter、Microsoft和Apple，他們的員工也成為更加誘人的目標。攻擊者知道這些員工還有其他許多可能的高價值目標是Mac使用者，並會據此來制定攻擊計劃。

作者：Jonathan Leopando

最近，我們看到了許多科技業知名品牌（如Facebook、Twitter、Microsoft和Apple）都遭到水坑（Watering hole）。這些受影響公司的員工瀏覽了受歡迎的iOS開發論壇，因為它被入侵淪陷了，所以也讓使用者遭受當時仍未知的Java漏洞攻擊。

毫無疑問地，Java首當其衝地被認為要為此事件負責。The Verge的一個頭條新聞甚至要對Java「消失」。類似想法已經出現在許多安全專家的腦海裡，不管他們是不是會公開地說出來。

但…Java並不是唯一的問題。所有受影響的系統都是Mac（這很自然，因為是針對iOS開發者的論壇）。現在的重點都一直放在是如何攻擊（Java），而非目標（Mac）上。

攻擊者會嘗試去攻擊目標所使用的平台，不管是哪一種。在整個作業系統的市場裡，Apple的市佔率仍然比較低，但在某些圈子（如矽谷）的比例則高得多。而這些被鎖定的目標恰恰就是因為是Mac電腦的使用者而變得不再安全。攻擊者會客製化他們的攻擊以符合他們目標的狀況。在這起事件裡，攻擊者顯然是要透過水坑（Watering hole）攻擊來針對iOS開發者，這也說明了這起攻擊有過相當程度的規劃。

去年的Flashback事件強調了Mac使用者也有遭受惡意軟體攻擊的風險，而這起事件讓人了解到Mac使用者也會成為精心設計的目標攻擊(APT-進階持續性滲透攻擊)對象。Java只是這次攻擊的載體，但Mac使用者已經不再比其他使用者更加免疫於社交工程( Social Engineering)攻擊。

隨著越來越多的個人資訊會提供給這些網路公司，他們的員工也成為更加誘人的目標。攻擊者知道這些員工還有其他許多可能的高價值目標是Mac使用者，並會據此來制定攻擊計劃。

使用者可以透過跨平台防護的PC-cillin 2013雲端版來防護Mac OS平台上所有已知的威脅影響。

＠原文出處：Barking Up The Wrong Tree

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚