南韓 - 資安趨勢部落格

中國「延邊幫」以行動裝置惡意程式偷走南韓網銀用戶數百萬美元

2015 年 02 月 25 日2015 年 02 月 16 日趨勢科技 TrendMicro

趨勢科技發表了一份有關中國網路犯罪集團「延邊幫」(Yanbian Gang) 的研究報告，該集團專門利用行動裝置惡意程式將南韓銀行帳戶使用者的存款轉出。從 2013 年起，該集團每天從受害帳戶偷取高達 1,600 美元的韓元。

這份調查報告是我們連續監控網路威脅情勢所獲得的結果。我們一直嚴密監控最新的威脅發展情勢，而中國地下市場在這方面特別活躍。尤其，我們在中國地下市場發現許多行動裝置威脅。

歹徒做案工具

這個外界稱為「延邊幫」的犯罪集團從 2013 年至今已從受害者銀行帳戶盜取了數百萬美元，該集團專門利用各種 Android 惡意程式來犯罪。

假銀行 App 程式：根據我們的研究發現，有五家南韓銀行的 App 程式遭到假冒，分別為：KB Kookmin Bank、NH Bank、Hana Bank、Shinhan Bank 以及 Woori Bank。這些假 App 程式會竊取使用者資訊和登入資訊。此外，這些假冒程式還會移除正牌的 App 程式進而加以取代。也因此能夠在不被察覺的情況下取得受害者的帳戶登入資訊，進而盜取帳戶內的存款。
挾持銀行連線階段的 App 程式：這類程式會利用目標銀行的圖示來讓銀行客戶誤以為它們是正牌 App 程式。假冒的 App 程式介面會記住使用者輸入的所有資訊，包括：帳號、使用者名稱、密碼以及其他身分識別資訊 (PII)。
假冒的熱門 App 程式：「延邊幫」還會製作一些熱門 Android App 程式的假冒版本，例如 Google Play、Google 搜尋以及 Adobe® Flash® Player，還有一些色情網站的 App 程式。這些假 App 程式會下載和安裝其他惡意程式、刪除檔案和資料夾、記錄文字簡訊、拍攝照片、竊取檔案等等，端視其開發者的意圖而定。

繼續閱讀

知名熱門遊戲App 破解版夾帶病毒, 從南韓蔓延至中國,已感染超過兩萬手機,中國使用者也遭受威脅

2014 年 11 月 14 日2014 年 11 月 14 日趨勢科技 TrendMicro

最近有報導指出，南韓第三方應用程式商店所提供的某些 App 程式已使得 20,000 多支智慧型手機感染了惡意程式。值得注意的是，這些 App 程式都沒有在 Google 官方的 Google Play 商店上架。

此攻擊所用的 App 程式就是趨勢科技所偵測到的 ANDROIDOS_KRBOT.HRX 惡意程式，我們決定進一步深入追查這些感染案例。

揪出幕後黑手

趨勢科技發現，此攻擊幕後的網路犯罪集團經常活躍於散布盜版 App 程式的網路地下論壇，這類程式最常見的是知名熱門遊戲的App 破解版。歹徒專門蒐集各種破解版 App 程式，然後將它們重新包裝，加入自己的惡意程式碼，然後再流傳到網路上。

他們會透過各種 BT 下載網站、網路論壇以及各式各樣的第三方 App 程式商店來流傳。

圖 1：盜版 App 程式在地下論壇上的貼文。

圖 2：盜版 App 程式利用 Google Drive 為集散地。

圖 3：盜版 App 程式刊登在 BT 網站上。

惡意 App 程式一旦執行，就會啟動一個背景服務來連上預先設定好的電子郵件伺服器。繼續閱讀

南韓渡輪沉沒事件,遭殭屍網路利用,會讓你的電腦進入休眠狀態

2014 年 04 月 28 日2014 年 04 月 28 日趨勢科技 TrendMicro

一艘名為「歲月號」(Sewol) 的渡輪在南韓南方海域翻覆。儘管全球都還在關注此次悲劇的最新發展，網路犯罪者卻早已開始蠢動。

就在事件傳遍全球的數小時後，我們已見到多個利用這項新聞的垃圾郵件。在趨勢科技所蒐集到的樣本中，歹徒並未使用這次的新聞為誘餌，而是將新聞附在訊息當中。

圖 1：垃圾郵件訊息

注意，垃圾郵件的主要部分並未提到任何有關船難事件的支字片語。反而是將船難事件的消息附在郵件內容的下方。這種在郵件當中隨機夾帶當下熱門事件或新聞快報的作法，是垃圾郵件散發者躲避垃圾郵件過濾的一種手法。

郵件一旦躲過垃圾郵件過濾，您就只剩垃圾郵件防護軟體與您自身的判斷來保護您。請注意，上圖當中的垃圾郵件附了一個法院出庭通知的附件檔案。一旦您不小心開啟了這個附件，您的電腦就會感染後門程式。因為我們在進一步分析這個樣本之後發現其附件檔案是一個後門程式，也就是趨勢科技偵測到的 BKDR_KULUOZ.SMAL。此後門程式可讓歹徒從遠端下達一些指令，例如更新惡意程式版本、下載並執行檔案、讓電腦進入閒置或睡眠。

KULUOZ 目前已知是經由 Asprox 殭屍網路散布。KULUOZ 會下載其他的惡意程式，如假防毒軟體 FAKEAV 與 ZACCESS，也會在您的電腦上安裝 Asprox「Botnet傀儡殭屍網路」的元件，將您的電腦變成垃圾郵件散播來源。經過深入的分析顯示，這個 KULUOZ 變種是 Asprox 殭屍網路的一環。

諸如此類的事件，儘管不幸，卻是讓垃圾郵件散發者與網路犯罪者更加茁壯的養分。網路犯罪者經常利用剛發生即時事件，因為他們知道民眾有知的需求。在這樣的情況下，人們更容易急著開啟電子郵件或點選任意連結。

儘管趨勢科技的產品隨時都會攔截這類電子郵件，並且防止惡意附件檔案執行，但最安全的防護還是您自己的判斷力。您可以仔細觀察郵件的寄件人、標題和訊息內容來判斷是否為垃圾郵件。絕大部分的垃圾郵件都會使用假的電子郵件地址，並運用一些誘人的標題和/或內容。仔細分辨垃圾郵件能為您省下許多時間和煩惱，同時也維護電腦和資料的安全。

@原文來源:南韓渡輪沉沒事件變成垃圾郵件的利用工具 (News of South Korea Ferry Used for Spam Evasion) | 作者：Maria Manly (垃圾郵件防護研究工程師)

趨勢科技PC-cillin 2014雲端版獨家【Facebook隱私權監測】,手機‬、平板、電腦全方衛！即刻免費下載

◎ 歡迎加入趨勢科技社群網站

近千萬人下載的南韓知名網銀 APP,遭Android 的 Master Key 漏洞攻擊

2013 年 08 月 12 日2013 年 10 月 07 日趨勢科技 TrendMicro

本月稍早，我們在部落格上說明了 Android 的 Master Key (金鑰) 漏洞，此漏洞可讓網路犯罪者將使用者裝置上所安裝的正常 App 程式「更新」為暗藏其惡意程式碼的版本。自從該漏洞出現以來，趨勢科技即一直密切觀察是否有任何利用此漏洞的威脅，現在我們發現了一個這樣的程式，其目標是南韓 NH Bank 網路銀行的 App 程式。

NH Nonghyup Bank (農協銀行) 是南韓最大的金融機構之一，其網路銀行 App 程式在行動裝置用戶之間使用頗為廣泛，目前安裝次數已達 500 萬至 1,000 萬之間。

歹徒看上該程式的熱門程度，在第三方 App 程式下載網站上提供了一份更新程式供人下載。當然，這份更新是惡意程式。此程式利用了 Android 的 Master Key 漏洞，在 App 程式內插入了一個惡意檔案，將它「木馬化」。

案藏惡意程式碼的「classes.dex」檔案比正常的版本小，只有 205 KB。

網路犯罪者也製作了一個該銀行 App 程式的木馬化版本，目的是要在使用者裝置尚未安裝該程式時派上用場。惡意的 App 程式在執行時會顯示一個假冒的頁面，要求使用者輸入帳號資訊。

木馬化的銀行 App 程式執行時會顯示的頁面。

一旦使用者輸入資料並確認，資料就會傳送至歹徒操控的遠端惡意伺服器。繼續閱讀

韓戰 63 周年, 南韓青瓦台官網遭駭 ,雲端儲存服務軟體成駭客工具

2013 年 06 月 26 日2013 年 09 月 04 日趨勢科技 TrendMicro

藉自動更新系統散佈惡意程式 建立殭屍大軍,企業及政府請盡快建置重要主機異動監控機制

【2013年06月26日 台北訊】南韓最高政治中心青瓦台網站於昨日爆發網站遭受駭客攻擊，導致網頁被置換並關閉事件，引起全球矚目。根據趨勢科技全球病毒防治中心Trend Labs的最新研究發現，韓國雲端儲存服務軟體「SimDisk 」伺服器在此波攻擊中疑似遭駭客攻擊並置入檔名為「SimDiskup exe.」的惡意程式，其透過自動更新系統散佈至使用者端，試圖造成大量的感染，成為受駭客控制的網路「殭屍大軍」，進一步發動DDoS 攻擊試圖癱瘓政府網站。

南韓青瓦臺官網 — 韓國總統府青瓦台的官網於6月25日上午8時30分許遭到駭客攻擊後,有段時間然無法正常訪問，寫著“系統繁忙正在緊急維護”的字樣

根據趨勢科技Trend Labs最新分析發現，駭客攻擊韓國雲端儲存服務廠商「SimDisk」的伺服器並取得控制權後，即置換「SimDisk exe.」執行檔，並透過自動更新系統散佈一隻名為「SimDiskup exe.」的惡意程式至使用者端，一旦更新下載完成，此裝置將遭惡意程式感染，該惡意程式會連回特定網址接收指令，並下載另一隻名為DDOS_DIDKR.A的惡意程式，以培養網路「殭屍大軍」，並運用這些受感染裝置針對政府網站發動DDoS攻擊，癱瘓目標網站。

繼續閱讀