標籤: 目標式攻擊

20 年來持續肆虐企業的長青木馬病毒:Zloader

趨勢科技 TrendMicro

 

Zloader Campaigns at a Glance Infographic
ZBOT 木馬程式 (亦稱為 Zeus) 一直是過去 20 年來最多產、也最長青的惡意程式家族之一。此家族在 2006 年首次現身，但其原始程式碼卻在 2011 年遭到外流，進而衍生出大量的新變種，在接下來幾年當中不斷肆虐企業機構。

近期最值得關注的一個 ZBOT 變種是 Zloader，此變種最初以 Silent Night  之名出現於 2019 年，隨後便從一個資訊竊取程式進化成一個多用途惡意程式植入器，駭客用它來安裝和執行其他惡意程式，如：Cobalt Strike、DarkSide 與 Ryuk。除此之外，它還具備其他能力，例如為駭客提供遠端存取，以及安裝外掛程式來執行其他動作。

Zloader 可經由多種方式散布，例如：經由電子郵件，或經由其他惡意程式和駭客工具所下載。企業機構和一般使用者若想避免感染 Zloader 或其他經由類似散播技巧的惡意程式，最基本也是最可靠的一種方法就是養成良好的電子郵件資安習慣，包括：避免下載郵件附件檔案，或點選郵件內看似可疑或毫不相干的連結。

Zloader 多樣化的功能使得它成為熱門又有效的網路攻擊工具，任何駭客都願意花錢購買它。這一點我們在過去的攻擊行動當中已見識過，有些攻擊行動還會利用一些最新的新聞事件 (如 Covid-19 新冠肺炎(COVID-19)疫情)，所以未來肯定還有其他駭客也會在攻擊中使用它。

企業機構可採用一些強大的資安解決方案和服務來防範  Zloader 所帶來的衝擊。趨勢科技的 Trend Micro Vision One™ 可提供強大的原生 XDR 功能來串連電子郵件、端點、伺服器、雲端工作負載、網路等防護層，提供更全方位的背景資訊與可視性，讓資安人員掌握駭客整起攻擊的所有事件，並從單一位置調查及回應事件。

除此之外，也可採用 Trend Micro™ Managed XDR 這類託管式資安服務，讓經驗豐富的網路資安專業人員，藉由單一、強大的偵測、分析、回應來源，為您提供專家威脅監控與交叉關聯分析。除了專業能力之外，更搭配人工智慧 (AI) 最佳化的趨勢科技解決方案，與全球威脅情報。

繼續閱讀

網路商店管理者一打開網路訂單,就觸發惡意攻擊腳本-Water Pamola意圖竊取信用卡

趨勢科技 TrendMicro

Water Pamola對許多目標網路商店都下了帶有內嵌XSS腳本的訂單。一旦網路商店帶有這種XSS漏洞，當網路商店管理者在管理後台打開訂單時就會載入惡意腳本。
該腳本執行的惡意行為包括頁面擷取、帳密網路釣魚、Web Shell感染和惡意軟體派送。這波活動的目標可能是竊取信用卡資料, 類似入侵數千家網路商店的Magecart盜卡組織惡意活動。

從2019年開始，趨勢科技就一直在追踪被稱為Water Pamola的威脅活動。這活動最初是利用夾帶惡意附件的垃圾郵件來入侵日本、澳洲和歐洲國家的網路商店。

但是從2020年初起，我們注意到Water Pamola活動發生了一些變化。現在的受害者主要出現在日本。根據最新的監測資料，攻擊不再透過垃圾郵件發動。而是當管理者在網路商店管理後台查看客戶訂單時，就會觸發惡意腳本執行。

圖1. Water Pamola攻擊鏈
圖1. Water Pamola攻擊鏈
繼續閱讀

Carbanak 與 FIN7 兩大網路犯罪集團攻擊技巧

趨勢科技 TrendMicro

Carbanak 和 FIN7 如何發動攻擊？以下分析這兩個以利益為動機並專門鎖定銀行、零售業者與其他企業目標的駭客集團常用的一些技巧。

持續監控網路犯罪集團最新動態是資安研究人員和執法單位防治網路犯罪的工作內容之一。 Carbanak 與 FIN7 是當今以利益為動機的兩大網路犯罪集團。雖然有些研究機構會將這兩大集團歸為同一個，但像 MITRE  將他們分成兩個集團，即使它們都使用 Carbanak 後門程式 來發動攻擊。不過，這些團體不僅使用 Carbanak 後門程式，也使用其他類型的惡意程式，如 PoS 惡意程式  Pillowmint 以及另一個據稱應該是用來取代 Carbanak 的惡意程式 Tirion。

除此之外，MITRE 也點出了這兩大集團的主要攻擊目標：Carbanak 主要攻擊銀行機構，FIN7 則是專門攻擊食品、醫療與零售業。

今年的 MITRE Engenuity ATT&CK Evaluations 測試結果在本週出爐，今年的測試主要模擬  Carbanak 和 FIN7 的攻擊，本文也說明了趨勢科技解決方案如何解決這些威脅。

為了提供有關 Carbanak 和 FIN7 攻擊事件的更多背景資訊，我們整理了過去有關這兩大集團的一些研究報告，而 MITRE 也列舉了這兩大集團的 ATT&CK 手法與技巧  (總共 65 項techniques，涵蓋 11 項tactics)。

Carbanak 和 FIN7 如何發動攻擊？


根據我們對 過去另一起相關攻擊的研究顯示，駭客習慣利用 魚叉式網路釣魚來入侵系統。一旦駭入系統之後，再透過 Windows 內建的動態資料交換 (DDE) 功能與合法的雲端服務來散播勒索病毒，或建立幕後操縱 (C&C) 通訊。

繼續閱讀

逐步拆解 MITRE ATT&CK 測試

趨勢科技 TrendMicro

請閱讀今年的 MITRE Engenuity ATT&CK Evaluations 報告，該測試模擬當今兩大駭客集團 Carbanak 和 FIN7 的攻擊技巧來測試資安解決方案偵測及攔截進階持續性滲透攻擊 (APT) 與目標式攻擊的能力。

MITRE ATT&CK® 知識庫是一項極端珍貴的資源，可促進網路資安產業的整體進步與標準化。它為駭客攻擊方法提供了一種標準化的分析框架以及一套描述駭客攻擊行為的共通語言。

雖然 MITRE Engenuity 的測試結果並不提供任何分數、排名或評等，卻能讓企業清楚看見廠商如何協助客戶偵測駭客的攻擊，若再對照 ATT&CK 框架就能了解攻擊的完整過程。

資安團隊可利用 MITRE ATT&CK 框架來描述事件，有助於跨部會溝通資安問題。此外，MITRE ATT&CK 框架還可讓資安團隊更清楚掌握資安可視性，檢查企業的資安是否存在漏洞，了解自己有哪些地方可能遭到攻擊。然後再看各家廠商的測試結果，找出最能解決這些漏洞的產品。可視性的提升也能讓企業查看自己的防護是否有重疊的地方，進而做出適當調整讓成本最佳化。

儘管 MITRE ATT&CK 有這麼多好處，但它提供的是相當濃縮的資訊，而且不易理解和閱讀，所以我們才想要逐一拆解一下這份報告給大家看。

在我們深入討論每一階段的分析和重點之前，讀者首先需要了解今年模擬的攻擊情境。MITRE Engenuity ATT&CK Evaluations 測試基本上是模擬特定駭客團體的真實進階持續性滲透攻擊 (APT) 技巧與流程。今年的測試特別仿照當今擁有類似手法的兩大駭客集團：Carbanak (第一天) 和 FIN7 (第二天)，全程共包含 174 項攻擊步驟。

MITRE Engenuity ATT&CK Evaluations 測試的是資安解決方案能否偵測到進行中的目標式攻擊。換句話說，有別於傳統測試，MITRE Engenuity 的重點在於資安產品能否偵測到駭客已經進到企業裡面。不過今年又多了一項選擇性測試，是針對產品能否攔截/防止攻擊，藉此驗證產品在偵測持續性威脅並從中攔截以防止損害進一步擴大的能力。

突破防線：誘騙目標上當

繼續閱讀

開放原始碼軟體如何變成木馬程式？如何成目標式攻擊武器?

趨勢科技 TrendMicro

開放原始碼軟體如何變成木馬程式？我們又該如何偵測這類程式？要回答這些問題，讓我們來看一下最近我們針對這類檔案所做的一份研究。

木馬化的開放原始碼軟體很不容易被發掘，因為它們看起來就跟正常的軟體一樣，所以這類程式毫不起眼，因此特別適合用於目標式攻擊。但其實若深入追查，還是可以看到一些可疑的行為，並揭發它的不肖意圖。

研究過程


趨勢科技在分析一起資安事件時發現了一個名為「notepad.exe」的檔案相當可疑。因為，大家都知道 notepad.exe 是 Windows 系統內建的「筆記本」程式，而有些惡意程式作者就是喜歡偽裝成這類程式來躲避偵測。

Fig-1-Telemetry-Data
圖 1：監測資料顯示某個名為「notepad.exe」的檔案相當可疑。

這個 notepad.exe 檔案是經由 ntoskrnl.exe (Windows NT 作業系統核心執行檔) 進入系統。它很可能是經由 ntoskrnl.exe 的漏洞或是網路共用資料夾進入系統，不過根據我們得到的監測資料顯示比較可能是後者。接著，我們又利用根源分析 (Root Cause Analysis，簡稱 RCA) 發現，這個不肖的 notepad.exe 檔案會呼叫以下幾個工具來執行一些可疑動作：

繼續閱讀