登入憑證網路釣魚,網路間諜集團滲透企業基礎架構的跳板

Posted on 2017 年 06 月 08 日2017 年 06 月 16 日 by Trend Labs 趨勢科技全球技術支援與研發中心

拼字和文法上的錯誤、看似不尋常的網址，瀏覽器上沒有顯示加密連線的圖案，這些都是使用者分辨網路釣魚詐騙的蛛絲馬跡。不過像 Pawn Storm 這類專業網路駭客，通常擁有充沛的資源和豐富的經驗，因此不會犯下這種明顯的錯誤。不僅如此，他們會想出一些非常聰明的社交工程（social engineering ）技巧來避人耳目。這些專業駭客所散發的網路釣魚郵件，不論使用哪一種語言，其文字都非常完美且流暢，而且能夠輕易躲過垃圾郵件過濾或其他資安軟體的掃瞄。基本上，登入憑證網路釣魚詐騙已經成為歹徒非常有效且危險的工具，可能導致企業敏感資料遭駭客外洩或損毀，甚至被拿來向企業勒索。

Pawn Storm 又名：Sednit5、Fancy Bear、APT28、Sofacy 以及 STRONTIUM8，這些名字聽起來很像 Instagram 帳號、機密間諜行動，或是剛剛通過的法案，但其實他們都是指同一個網路間諜集團。該集團為了達到目的，通常會從各種不同角度、利用各種不同手法來攻擊同一目標，其攻擊技巧經常屢試不爽，尤其是網路釣魚（Phishing）攻擊。

Pawn Storm頻繁利用不同的網路釣魚手法來騙取帳號登入資訊，趨勢科技的研究報告:「網路間諜與網路宣傳：檢視 Pawn Storm 過去兩年來的活動」介紹了三種該團體愛用的攻擊招術： Continue reading “登入憑證網路釣魚,網路間諜集團滲透企業基礎架構的跳板”

從駭客角度看資安: 四個來自網路犯罪集團的令人訝異的發現

Posted on 2017 年 05 月 31 日2017 年 05 月 16 日 by Trend Labs 趨勢科技全球技術支援與研發中心

今日企業對於網路資安絕對不能心存僥倖，因為只要被駭客找到一個小小破口，就可能危及企業存亡。不過在企業強化駭客防禦的同時，其實不妨從另一個角度看看駭客對資安防護有何看法。

澳洲資訊分析軟體公司 Nuix 在 2016 年拉斯維加斯舉行的 DEFCON 駭客大會上做了一份名為「 The Black Report」(黑色報告) 的調查。這份調查的對象不是企業決策者、IT 主管或資安系統管理員，而是駭客。

全新觀點

這份調查令資安界耳目一新，因為絕大多數的研究都是以 IT 人員為對象，當然這也很重要，但若能從駭客的角度來看待資安這件事，倒也是個不錯的觀點。

除了訪問網路駭客之外，The Black Report 還訪問了專門從事滲透測試工作的人員。根據其中一位測試人員表示，他們所做的事情，基本上與駭客無異，只不過他們的工作是合法的。這份問卷調查總共訪問了 70 位駭客與滲透測試人員 (後者亦稱為「白帽駭客」)。

以前曾經當過駭客、但目前擔任 Rhino Security Labs 評估總監的 Hector Monsegur 接受 TechTarget 的訪問時表示，這類調查絕對有其必要，因為這樣能夠發掘一些不論對個人或企業都有所幫助的資安細節。

「駭客通常能在短短的 24 小時內強行入侵。」

Monsegur 向 TechTarget 表示：「能夠發掘 [駭客和滲透測試] 人員的想法以及他們突破資安防線的經驗，是不錯的第一步。縱然 DEFCON、Black Hat、HackInTheBox 等等的研討會提供了不錯的管道讓研究人員發表漏洞相關的資訊、方法與技巧，但事實上，絕大多數人根本不知如何取得這些內容，甚至不知道這些內容存在。」

四個來自網路犯罪集團的令人訝異的發現

這種另類研究還有一項好處是有機會看看駭客的想法與 IT 專業人士及其他企業受害者的想法有何落差。

Nuix 資安長 Chris Pogue 表示：「了解歹徒的想法和作法相當重要，防守的一方越能掌握狀況，就越能做好準備。」

我們發現某些觀點和大家以往對網路資安策略的想法互相牴觸，以下是一些令人訝異的研究發現：

入侵所需的時間越來越短：一項最令人訝異的數據是，今日駭客入侵目標系統所需的時間相當短。根據 Nuix 指出，企業大約要過了 250 至 300 天之後才會發覺自己發生資料外洩，但是駭客通常能在短短的 24 小時內強行入侵並偷走資料。事實上，這項調查還發現，大約有三分之一受害企業從未發現自己受到攻擊。Pogue 總結說：「企業必須從人員和技術雙重管道下手，來提升資料外洩的偵測和矯正能力。」
某些傳統的防護已經失效：這項調查也發現，儘管一般人都信賴像防火牆和防毒產品這類傳統的防護技術，但駭客表示這些防護幾乎不影響他們的攻擊速度。所幸，端點防護證實還能夠發揮阻礙駭客的效果。
駭客並非每次都使用相同的伎倆：一般人認為駭客一旦發現某項伎倆得逞，就會持續使用相同的攻擊方法，但其實不然。該調查發現，50% 以上的網路駭客在面對每個新的目標時都會更換手法。這表示駭客有可能使用我們從未見過的方法，因此那些針對過去攻擊手法的防護根本阻擋不了新式的攻擊。此外，這也會讓企業遭到零時差漏洞攻擊的機會增加。
漏洞攻擊套件並不如專家想像的那樣受到歡迎：同樣令研究人員訝異的一點是，漏洞攻擊套件並非歹徒用來策動攻擊的首選工具。事實上，多數的駭客 (72%) 都是利用社交工程技巧先蒐集情報再策動攻擊，僅有 3% 的攻擊會使用商用軟體工具和漏洞攻擊套件。絕大部分駭客偏愛開放原始碼工具 (60%) 或客製化工具 (21%)。

Continue reading “從駭客角度看資安: 四個來自網路犯罪集團的令人訝異的發現 “

企業如何對抗頑強的 CERBER 勒索病毒變種?

Posted on 2017 年 05 月 31 日2017 年 05 月 25 日 by Trend Labs 趨勢科技全球技術支援與研發中心

勒索病毒 Ransomware (勒索軟體/綁架病毒)在2016年相當地猖獗，出現大規模的攻擊活動及各種能夠對抗安全措施的新變種。在2016年年底，Locky和 CERBER勒索病毒家族似乎在市場佔有率方面遇上頻頸。但這隨著 CERBER 發展出新的躲避偵測能力而有所改變。根據 Security Intelligence的報導，CERBER在2017年的市場佔有率達到70%，並且在第一季末上升至90%。相較之下，Locky在2017年第一季只剩下2%的佔有率。

CERBER已經展現其躲避安全軟體偵測的成功，為了犯罪活動而加以優化。新CERBER變種也開始會繞過機器學習工具，不過趨勢科技也站在解決這些問題的最前端。事實上，趨勢科技最近發表了一份報告秀出CERBER迄今為止的演變及如何維護安全性的進階解決方案。隨著CERBER持續對企業造成威脅，了解如何防範新變種及解決目前漏洞變得相當重要。

CERBER的快速變形讓其躲避偵測

就跟大多數惡意軟體一樣，CERBER透過垃圾郵件、漏洞攻擊套件及其他感染途徑散播。當接收者點入連結或開啟郵件時，程式會在背景被偷偷下載，開始加密檔案。但CERBER與許多其他勒索病毒不同。它不僅會重新命名目標副檔名和檔案名稱；微軟指出它也會選擇感染的資料夾。比方說，CERBER會避開系統資料夾，但會加密共享網路及本機磁碟上，進而讓感染擴散。

CERBER還經常進行升級，以「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS)的形式賣給網路犯罪分子。這些修改使其很難被鎖定。在2016年，伺服器每15秒鐘改變一次CERBER，每次都產生新的哈希（Hash）。根據SecurityWeek，解決方案需要偵測這些哈希（Hash）來識別惡意軟體，但CERBER的快速變形技術讓其躲避偵測。這技巧是讓CERBER能夠繼續保持神祕並且讓新變種成功抵禦安全措施的關鍵。 Continue reading “企業如何對抗頑強的 CERBER 勒索病毒變種?”

Linux 很安全…對吧？安全不代表沒有漏洞!

Posted on 2017 年 05 月 24 日2017 年 05 月 09 日 by Trend Labs 趨勢科技全球技術支援與研發中心

「Linux 伺服器沒有惡意程式威脅，它不就是為了安全而打造的嗎？」

「Linux 伺服器既安全又可靠，為何我們還需要什麼資安防護？」

「我不曉得網路上有什麼威脅，但我沒聽說過任何有關 Linux 伺服器遭受攻擊的重大事件。」

若您也同意上述的看法，那麼您跟很多人一樣。人們普遍認為 Linux 伺服器的安全性比 Windows 伺服器更好，漏洞也更少。儘管這樣的看法並非全然錯誤，但也不是完全正確。不過，若您真的相信這樣的說法，那您的企業可能就危險了。

安全不代表沒有漏洞

隨著越來越多企業伺服器開始移轉到雲端上，主機端的網路防護就顯得更加重要，因為雲端工作負載必須在自身周圍築起一道防線來防衛自己。而且別忘了，工作負載還包括 Linux 上執行的應用程式，因此不能只考慮到作業系統就好。

採用一套主機式入侵防護 (IPS) 可有效防止核心作業系統「以及」應用程式的漏洞遭到攻擊。最近 Apache Struts-2 出現的問題就是一個可從網路發動攻擊的漏洞最佳範例，此外還有之前的 Heartbleed、Shellshock 等等。不僅如此，就算是多年前的舊漏洞 (如 Heartbleed)，也可能因為應用程式和伺服器仍尚未修補而造成危險。根據 Shodan 最近所做的一項調查，全球目前仍有 18 萬台以上的伺服器含有Heartbleed 漏洞！

若您的網站伺服器使用的正是 Linux 作業系統 (根據 W3Techs 的調查至少有 37% 的網站伺服器是使用 Linux)，那麼您需要一套漏洞防護來防範 Apache、Nginx 等等的漏洞。

Continue reading “Linux 很安全…對吧？安全不代表沒有漏洞! “

四個行動裝置可能威脅企業的情況

Posted on 2017 年 05 月 22 日2017 年 05 月 23 日 by Trend Labs 趨勢科技全球技術支援與研發中心

多年前，行動電話、筆記型電腦、個人數位助理 (PDA) 等行動裝置在企業環境當中盛行了數十年。然而，隨著 Apple 的智慧型手機的推出，沒多久，企業員工就人手一台自己購買或公司配發的智慧型手機，而企業行動化的樣貌也徹底改觀。

儘管行動裝置管理領域多年來已有長足的進展，但仍有一些尚待解決的問題。例如，許多企業的資安措施多年來未曾更新，但駭客的技巧和手法卻不斷日新月異。

根據 2016 年 Ponemon Institute 針對企業資安人員所做的一份調查，67% 的受訪者表示其企業肯定或很可能已經發生資料外洩。此外，有 64% 的受訪者承認其企業在敏感資訊的防護方面缺乏戒心，有 63% 對於哪些公司資料可以儲存在員工行動裝置缺乏明確規範。

有四種情況，行動裝置很可能威脅企業並洩漏敏感資料：

1.使用者未能落實企業政策

員工是網路攻擊最大的外洩管道之一。儘管員工並非心懷惡意，但員工若未確實遵守公司或產業規範，就很可能讓公司大門敞開並引來駭客。根據 2016 年 Ponemon Institute 針對「全球 2000 大」(Global 2000) 企業所做的一份調查，67% 的受訪者表示其公司肯定或很可能已經因為使用行動裝置而發生資料外洩。此外，有 64% 的受訪者承認其企業在敏感資訊的防護方面缺乏戒心，有 63% 對於哪些公司資料可以儲存在員工行動裝置缺乏明確規範。

某些智慧型手機用戶並未使用鎖定畫面或者使用者驗證。

即使企業已經制定了良好的規範，但使用者若未能落實，還是會讓企業陷於資料外洩的風險當中。根據 2017 年 Pew Research Center 的一份報告指出，有些智慧型手機用戶並未養成一些簡單的良好習慣，例如隨時保持裝置更新，或是啟用裝置的使用者驗證功能。事實上，28% 的智慧型手機用戶未使用鎖定螢幕，40% 的用戶只有在覺得方便的時候才會更新裝置。這些懶惰的習慣，會讓不肖人士很容易掌握裝置並取得敏感資訊。

2.應用程式與裝置漏洞

Continue reading “四個行動裝置可能威脅企業的情況”

面對 WannaCry/Wcry 勒索病毒，IT 系統管理員該做些什麼?

Posted on 2017 年 05 月 17 日2017 年 06 月 19 日 by Trend Labs 趨勢科技全球技術支援與研發中心

WannaCry 勒索病毒竟有個「關閉開關」,可讓該病毒就算已經進入電腦也不會執行?!

IT 系統管理員針對三種不同情況該採取什麼步驟：

o 電腦處於睡眠模式

o 電腦已被「喚醒」

o 惡意檔案或元件已進入系統當中

WannaCry(想哭)勒索病毒/勒索蠕蟲的疫情或許哀鴻遍野，但仍有一絲曙光：勒索病毒當中有一個「關閉開關」可讓該病毒就算已經進入電腦也不會執行。

若上週末 WannaCry 病毒肆虐時，您的電腦正處於睡眠狀態，那麼您的電腦有很大的機會可以躲過 WannaCry 這次的災情。但萬一您的電腦已經醒來呢？簡單來說，您還是有機會避免勒索病毒加密您的檔案。其實，這是 IT 系統管理員和資安人員修補、更新系統的大好機會，既能防止 WannaCry，又能防範未來可能出現的類似威脅。

您可採取以下步驟來檢查您的系統和網路是否在週末期間遭到該病毒攻擊。

[延伸閱讀： 趨勢科技最新的 WannaCry 防護更新]

原本處於睡眠狀態的電腦不會被感染，因此立刻修補漏洞就能防範。

根據趨勢科技的模擬分析，WannaCry 勒索病毒無法攻擊正處於睡眠狀態的電腦，就算其 TCP 連接埠 445 已開放且系統漏洞仍未修補也不會有事。

WannaCry 勒索病毒在感染及散布過程當中必須連上其攻擊的電腦。因此，如果電腦正處於睡眠狀態，病毒就無法連上電腦。此時，病毒會繼續嘗試下一個 IP 位址，看看能不能連上其他電腦。

換句話說，IT 系統管理員可趁機趕快修補 WannaCry 所攻擊的漏洞，就能盡量遏止感染。

[資安部落格文章： WannaCry/Wcry 勒索病毒技術層面分析]

當電腦「醒來」的時候會發生什麼事？

Continue reading “面對 WannaCry/Wcry 勒索病毒，IT 系統管理員該做些什麼?”

< WannaCry 勒索病毒 > 60 天前已修正的問題,怎麼還會肆虐全球呢？-「為何不修補就好？」事情沒您想像的簡單!

Posted on 2017 年 05 月 17 日2017 年 05 月 17 日 by Trend Labs 趨勢科技全球技術支援與研發中心

「WannaCry(想哭)勒索病毒/勒索蠕蟲」所利用的漏洞，是美國國安局 (NSA) 遭到外流的某項工具所攻擊的漏洞，同樣情況的還有另一個叫做「EwokFrenzy」的漏洞。EwokFrenzy 在 ZDI 資料庫中登記的漏洞編號為 ZDI-07-011，這是 10 年前的事了。難道這意味著該漏洞在廠商已經修正 10 年之後還有效嗎？看起來似乎如此。而這也是我們 20 多年來一直呼籲大家定期修補系統並做好備份的重要原因。

Zero Day Initiative (ZDI) 漏洞懸賞計畫機構對於修補漏洞的看法或許和大多數人不同。通常，我們會收到研究人員的第一手通報，然後我們會在內部驗證漏洞是否為真。接著，我們會通報給廠商。最後，當廠商釋出修補更新之後，我們會發布漏洞的一些詳細資訊。這些修補更新就是防範網路攻擊最好的方法。但最近，一個 Microsoft 在 2017 年 3 月即已修正的漏洞被一個叫做「Wanna」、「WannaCry(想哭)勒索病毒/勒索蠕蟲」或「Wcry」的勒索病毒所攻擊，使得全球都傳出災情。

怎麼會有 60 天前就已修正的問題會在全球造成這麼大的災情呢？人們為什麼不安裝修補更新呢？有時候，修補工作並不如您想像的容易，尤其對大型企業。

第一步：前置工作

要建立一套完整的修補作業，企業首先必須掌握自己所有的資產。而這項工作聽起來容易，做起來卻相當困難。企業可選擇採用開放原始碼軟體或商用軟體工具來搜尋並登記其網路上的所有系統和裝置。就算他們用的是免費軟體，安裝建置仍需耗費成本。一旦企業找出所有需要保護的資產，接下來他們必須建立一套明確的流程來更新這些裝置，並且留下清楚的記錄。此時不光只有工作站和伺服器必須更新，一些網路裝置 (如路由器和交換器) 也要保持更新。所以，企業必須決定：是否該採用一套自動化系統？或是由系統管理員逐一到每台裝置上進行更新？由於早期的安全更新通常需要重新開機，或者可能打斷業務流程，因此，何時套用更新就很重要。此外，留下修補的記錄可以確保企業整體修補版本的一致性。

「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很”想哭”嗎? 談WannaCry 勒索病毒和更新修補的現實問題

Posted on 2017 年 05 月 17 日2017 年 05 月 17 日 by Trend Labs 趨勢科技全球技術支援與研發中心

2017年至今被標記為重大的漏洞有637個而且還在增加中，這比2016年（共回報1057個）的速度更快，而且這些數字僅僅是用於遠端攻擊的漏洞！這些並不一定都會影響你的企業，但現實是你每個月都要面臨嚴重漏洞。

旁觀者的直覺反應是「為什麼他們沒有修補自己的系統？」就跟數位世界內的大多數問題一樣，這並沒有看上去那麼簡單。雖然責怪受害者很容易，但這波勒索活動真正凸顯出了防禦方所面臨的根本難處。

WannaCry攻擊活動使用的是已公開近 60天的已知漏洞。不幸的是，我們將會在未來,持續看到該漏洞被攻擊。

[編者按：關於趨勢科技產品與 WannaCry 相關的最新資訊，請參閱。]

作者：Mark Nunnikhoven（趨勢科技雲端研究副總）

2017年5月12日出現的 WannaCry勒索病毒被精心設計來充分利用今日大型企業所最常見的安全難題。從基本的網路釣魚開始，此變種利用最近的漏洞（CVE-2017-0144/MS17-010）在脆弱的內部網路散播，肆虐於大型組織。

來看看這則紐約時報的貼文，他們用我的資料作出一張很酷的動態地圖

– MalwareTech（@MalwareTechBlog）2017年5月13日

這並非最新的零時差漏洞，修補程式MS17-010在攻擊（或持續性攻擊）前59天就已經發布。今日安全社群所面臨的難題之一是如何在大量業務活動內有效的溝通網路安全。

馬上更新修補程式,不要再拖了 !

安全社群的共識是，更新修補是你的第一道防線。儘管如此，組織需要花上100天或更久來部署修補程式的狀況並不少見。為什麼？原因很複雜。但大致可歸結到一個事實，就是IT對業務運作很重要。任何中斷都令人沮喪和代價高昂。

從使用者的角度來看，「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很想哭嗎?持續進行更新很累人也妨礙到了工作。更糟的是更新後無法預期應用程式會發生什麼事。

Continue reading “「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很”想哭”嗎? 談WannaCry 勒索病毒和更新修補的現實問題”

企業如何在報稅季,避免 BEC 變臉詐騙?

Posted on 2017 年 05 月 02 日2017 年 06 月 02 日 by Trend Labs 趨勢科技全球技術支援與研發中心

隨著企業和員工準備繳稅申報，網路犯罪分子也同樣地加緊努力來竊取所需資訊，一年比一年更加精明。

報稅期間 BEC 變臉詐騙恐出現另一波高峰

變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)詐騙事件自2016年以來就不斷地爬升，報稅期間也讓這類事件出現另一波高峰，讓美國國稅局（IRS）對企業們發出這些高危險性攻擊的警告。

BEC詐騙的手法很簡單，都圍繞在一件事上 – 入侵商業電子郵件帳戶好進行網路釣魚詐騙，將未經授權的資金轉到世界各地的人頭帳戶。不過，執行這種特殊騙局的網路犯罪分子在攻擊目標前必須先進行大量的研究。需要對目標公司、員工運作情況及員工人際關係有深刻的了解後才能有效地達到預期的效果。

對於針對退稅的 BEC 詐騙，詐騙分子偽裝成執行長，向財務或人力資源部門索取員工薪資單等資料。一旦成功，這些資料就會被攻擊者用來從預設目標那竊取退稅。

延伸閱讀:趨勢科技最近發表了一份西非網路犯罪分子大量利用這類威脅的報告。

Continue reading “企業如何在報稅季,避免 BEC 變臉詐騙?”

行動電話如何變成企業威脅?

Posted on 2017 年 04 月 24 日2017 年 04 月 13 日 by Trend Labs 趨勢科技全球技術支援與研發中心

在去年，手機的數目已經超過了全世界的總人口數。在美國手機用戶的數量超過了傳統室內電話用戶，而且有一半的人只用手機通訊。在現代的智慧化城市裡，無線建築正逐漸成為一般家庭、工廠和公司的新建設標準。有線電話遲早有一天會消失。

儘管電話詐騙聽似古老的駭客技術，電話（特別是手機）對使用者和企業來說仍然很重要。就像企業電子郵件帳號會成為魚叉式釣魚攻擊（SPEAR PHISHING）的目標一樣，公司電話現在也會成為網路犯罪分子社交工程（social engineering ）攻擊的目標。

比方說，使用者在不知不覺中給出自己的公司電話號碼（如在社群網站上），讓詐騙分子可以輕易地這些地方入手來收集所需的電話號碼。這些人接著用社交工程攻擊來躲過一般網路和電子郵件所具備的保護機制。

雖然電話阻斷服務攻擊及自動撥號攻擊是已知且被認為只是擾人的事情，行動電話出現更加複雜的攻擊，主要是在手動及社交工程電話的方式。趨勢科技前瞻性威脅研究（FTR）團隊（與紐約大學、新加坡管理大學和喬治亞理工學院合作）最近部署了一套行動電話蜜罐系統（mobipot）來研究行動電話威脅和網路犯罪生態系統。我們不僅想知道這些攻擊怎麼進行，還有網路犯罪組織的方式。

Mobipot用honeycard（由研究人員管控的SIM卡，會記錄電話和訊息形式的攻擊）配置。這些honeycard的號碼透過多種方式來送給可能的攻擊者，包括執行手機病毒來洩露儲存在測試手機上聯絡人的號碼。

圖一介紹了Mobipot的架構，圖二則秀出其硬體。