《電腦病毒30演變史》首部曲－從1986年的大腦病毒到1996年的 Taiwan No.1文件巨集病毒

2018 年 09 月 06 日2018 年 12 月 22 日趨勢科技 TrendMicro

1988 年趨勢科技成立之初,你知道當年出現的病毒,是靠磁碟片傳播的嗎?
今年(2018年)趨勢科技成立滿 30 年,我們一同回顧 30年病毒演變史。

你可能從去年的 WannCry (想哭)勒索病毒大爆發,才聽過勒索病毒,但你知道史上第一個勒索病毒,可能比你還年長嗎?

你知道為何在 1997 年前的每年 3 月 6 日,電腦用戶就會神經緊繃地幫電腦開機?

又或是高齡已達 32 歲,每逢13 號星期五發病的黑色星期五病毒, 現在是否建在,有比它更黑心的對手嗎?

我們將分期為大家介紹《1988-2018 資安威脅演變史》中,造成全球重大損失的病毒與攻擊手法事蹟

1986 年第一隻感染個人電腦的病毒: BRAIN 大腦病毒

僅透過 5.25 英吋的磁碟片傳播的防盜拷病毒

電腦病毒的老祖宗，得從 1983 年說起，在那個時代有一位美國南加大的學生曾在 UNIX 系統下寫了一支會引起系統當機的程式，並以論文方式大力發表，在當時引起不小的震撼。
後來在隸屬美國電話電報公司的貝爾實驗室中，有一群寫程式的工程師，以撰寫吃掉他人程式的方式彼此消遣，但是並沒有流傳到外面。真正造成電腦使用者害怕的是 1987 年誕生的大腦病毒，它才算是電腦病毒的老祖宗。BRAIN大腦病毒，是第一隻感染 IBM 個人電腦也是首隻被媒體大量報導的病毒。大腦病毒誕生，原本只是為防止別人盜用軟體程式，沒想到卻被竄改成為具有破壞性的病毒程式，使得電腦使用者從此籠罩在電腦病毒的陰影下。

創造BRAIN大腦病毒的是一對來自巴基斯坦兩兄弟─Basit與Amjad。當時兩兄弟只有17歲和24歲共同經營一間電腦軟體公司，為了追蹤有多少人非法盜用他們開發的心臟監控系統，在軟體中加入一項新功能,會跳出一則警告訊息:「Beware of this VIRUS…. Contact us for vaccination…(小心！這是病毒，快聯絡我們拿解藥)」，訊息中也留了聯絡電話,以確認用戶的使用身分是否合法。但後來發展的變種會吃掉硬碟空間。

後來一些有心人士將大腦病毒發揚光大，把它改寫成有強大殺傷力的變種病毒，而且不斷的衍生毒子毒孫。

1987年黑色星期五誕生:「We hope we haven’t inconvenienced you」

黑色星期五，這是個被西方社會認為是不幸、不吉利的日子。據英國《每日郵報》報導，黑色星期五當天發生的交通事故比平日高出個百分點。繼續閱讀

新巨集病毒利用五種常用桌面捷徑,散布後門程式

2018 年 07 月 09 日2018 年 07 月 12 日趨勢科技 TrendMicro

新巨集病毒會竄改受害電腦的特定桌面捷徑，用以下載後門程式。趨勢科技在一封包含圖片檔的文件中發現這隻巨集病毒,當使用者依照要求執行巨集以開啟整份文件後，該病毒就會尋找 Skype、Google Chrome、Mozilla Firefox、Opera 以及 Internet Explorer 等五種桌面捷徑，加以感染並取代指向的連結。

當惡意程式執行完畢之後，它會將捷徑還原成原本的狀態，並開啟原本對應的應用程式，使其看起來神不知鬼不覺,藉以降低用戶警覺性。接下來，惡意程式會開始運用其下載的檔案。駭客並未自行開發工具，而是下載網路上常見的工具，例如各式各樣的 Windows 工具、WinRAR 及 Ammyy Admin 等等來蒐集系統上的資訊並經由 SMTP 傳回給歹徒。

趨勢科技在分析過程當中也發現，某些下載的檔案目前已有變更或更新，這表示惡意程式作者仍在開發該程式，呼籲電腦用戶當心威力進化的新變種。

PC-cillin 雲端版防範勒索保護個資 ✓手機✓電腦✓平板，跨平台防護３到位 ➔ 即刻免費下載試用

儘管巨集病毒存在已有數十年歷史，但網路犯罪集團仍不斷持續利用惡意巨集來散布惡意程式，只不過今日的方法更有創意，也更有效率。最近一起歹徒利用惡意巨集的案例採用了一種較為迂迴的作法，該巨集會先搜尋使用者系統上是否有特定的桌面捷徑，然後將捷徑指向其下載的惡意程式。當使用者點選被篡改的桌面捷徑時，就會執行下載的惡意程式。

儘管駭客使用的巨集和所下載的惡意程式並不複雜，但這套運用方法卻相當值得注意，因為看來似乎還會有後續發展。

圖 1：惡意程式感染過程。

惡意文件

歹徒攻擊一開始是使用一個惡意文件，該文件的內容為俄羅斯文，並含有一張房屋的照片。內容會指示使用者啟用巨集功能來檢視完整文件。繼續閱讀

從勒索軟體 Locky 加速散播,看巨集惡意軟體新伎倆

2016 年 04 月 06 日2016 年 04 月 07 日趨勢科技 TrendMicro

巨集惡意軟體使用新手法，利用表單儲存程式碼

巨集惡意軟體會捲土重來並持續流行可能有幾個原因，其中之一是它們繞過傳統防惡意軟體解決方案及沙箱技術的能力。另一個原因是它們會不斷地改善攻擊方式：就在最近，我們看到相關巨集惡意軟體及最新的 Locky勒索軟體會用巨集內的表單物件來混淆惡意程式碼。這種做法可以進一步地讓攻擊者得以隱藏在目標網路或系統內執行的惡意活動。

編按:勒索軟體 Locky 近日在台灣有加速散播的趨勢,它利用使用者對 Microsoft Word 檔比較沒有防備的心態，造成不少台灣民眾檔案被綁架。如果你近日接到一封看似發票的信件主旨:ATTN: Invoice J-98223146 ,請當心不要任意開啟其所附的 Word 檔

PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制，可預防檔案被勒索軟體惡意加密

趨勢科技PC-cillin雲端版，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

使用表單（就像應用程式介面的文字方塊），攻擊者會用巨集表內的腳本來產生並執行惡意程式。跟之前的巨集惡意軟體一樣，這也需要使用者手動啟用巨集以觸發執行。但這種新做法需要能夠存取儲存在表單中的shellcode。雖然這種做法被認為比典型技術更困難，但並不一定會影響其安裝。

繼續閱讀

“煩請確認請款單…”巨集病毒假借公司會議紀錄、內部資料或請款單企圖闖關

2016 年 01 月 06 日2016 年 02 月 24 日趨勢科技 TrendMicro

《小廣和小明的資安大小事》清井弟不顧小廣提醒,蠢蠢欲動想打開附件的原因,居然是….

巨集病毒捲土重來,當心Word/Excel 附檔夾帶非法巨集

輕井君所收到的是打開附檔就會感染病毒的攻擊郵件。駭客鎖定特定的企業及組織作為目標，寄出的郵件夾帶了偽裝成公司會議紀錄、內部資料或請款單等的病毒檔案。讓企業員工在沒有防備的狀況下誤開啟了病毒郵件。這一類的手法已日新月異越來越高明。繼續閱讀

巨集威脅和勒索軟體的里程碑：檢視電子郵件威脅環境

2015 年 09 月 15 日2015 年 09 月 09 日趨勢科技 TrendMicro

對網路犯罪來說,電子郵件是門大生意。

在2014年，每天有1963億封電子郵件在收發。在這之中，有1087億封是商業郵件。每天電子郵件大發送的數量，吸引網路犯罪分子會利用電子郵件攻擊大型企業。而這些攻擊可能導致數百萬美元的損失跟資料竊盜。根據報導，Home Depot外洩事件造成該公司6200萬美元的損失，而Target資料外洩事件造成2億2900萬的損失。

但這並不代表企業是唯一容易遭受電子郵件攻擊的對象。根據趨勢科技在上半年度的觀察，電子郵件威脅在找尋受害對象時是一視同仁的。

今年上半年在垃圾郵件(SPAM)威脅環境有兩個趨勢。首先是巨集病毒相關垃圾郵件(SPAM)持續上升。第二是大量出現透過垃圾郵件寄送的勒索軟體 Ransomware攻擊。

舊玩意新花樣

在今年的前幾個月，趨勢科技注意到巨集垃圾郵件的威脅顯著地增加。這些垃圾郵件(SPAM)夾帶著.DOC、.DOCM、.XLS和.XLSM等Microsoft Office副檔名的附加檔案。在下圖一中整理出我們每月所見的惡意軟體相關垃圾郵件。雖然UPATRE（紅色）仍然是首要的垃圾郵件類型，我們可以看到巨集垃圾郵件（綠色）在許多月份都有所增加。

我們也看到一些包含PDF附件的電子郵件。這些附件實際上嵌入了.DOC文件。該.DOC文件包含執行後會下載惡意.EXE檔案的巨集。

繼續閱讀