勒索病毒把網友當搖錢樹? 三步驟保護自己!

在勒索病毒(Ransomware)把網友當搖錢樹的今日,幾乎每個犯罪分子都想來分一杯羹。甚至有犯罪集團販售勒索病毒DIY套件,專門提供沒有技術能力的新手,根據自己的需求來設定勒索細節。

Locky 先盜用Facebook帳號,再以私訊假冒好友分享偽造的圖片

容易讓網友掉以輕心的駭人手法,包含:先盜用Facebook帳號,再以私訊假冒好友分享偽造的圖片,誘拐被害者下載惡意瀏覽器外掛,再暗中植入惡名昭彰的勒索病毒 Locky。

提到 Locky ,不得不提到這個案例:Locky 勒索軟體迫使醫院緊急將所有電腦關機,改用紙本作業,去年四月在台灣有傳出大量散播案例,它利用一封看似發票的信件主旨,加上使用者對 Microsoft Word 檔比較沒有防備的心態,造成不少台灣民眾檔案被綁架。詳情請看:從勒索軟體 Locky 加速散播,看巨集惡意軟體新伎倆

它的變種藉著改良版的漏洞攻擊套件散播,專門攻擊本地端安裝的 Revive 和 OpenX 開放原始碼廣告伺服器,而且台灣是遭攻擊排行榜第一名 !

Bizarro Sundown 攻擊分布情況 (依國家)。

 

 

追劇竟成悲劇! Cerber 勒索病毒透過惡意廣告散播,台灣已成重災區

許多人喜歡網路追劇,提醒您別遇到這樣掃興的事:

“最近我同事只是追劇而已就中招,整個電腦資料全毀…."

fans-1

別讓勒索病毒當搖錢樹,三步驟保護自己!

在「勒索病毒成為黑色產業金雞母的三個關鍵:無需特殊技能、低風險、高報酬這文章中我們了解勒索病毒可以說讓犯罪集團賺翻了,那麼,您該如何確保自己不會成為另一棵搖錢樹?

以下是您可以做的三個步驟:

1.       備份、備份、再備份

2.       盡速修補系統漏洞

3.       建立重要的資安防護

層層的防禦不僅能提升您的防護,而且只需多花一點點投資。

第一道防護:備份、備份、再備份
有了備份,歹徒就失去籌碼,你只需清除感染,修補系統漏洞 (也就是找出歹徒入侵的管道),危機就能解除。

 勒索病毒 Ransomware (勒索軟體/綁架病毒)經常被拿來和真實世界的犯罪相比,因為這樣比較容易理解。但請記住,兩者之間存在著一項根本的差異:數位資料是可以輕易被複製的。

這使得兩種犯罪在機制上有明顯的差異。在真實世界,歹徒若挾持了某樣東西向您勒索,那表示東西已經不在您手上。當您支付贖金,歹徒可能會物歸原主,也可能拿到錢就音訊全無。

在數位世界裡,歹徒的作法則是將您的資料加密,讓您無法存取資料,直到您付錢為止…如果歹徒佛心來著。

當勒索病毒感染了某個系統時,會將系統上能找到的資料全部加密。基本上,這等於讓您無法存取資料,接著就能要脅您支付贖金。但如果您有另一份備份資料,情勢將完全改觀。

完善的備份措施是防範勒索病毒的首要步驟。有了備份,歹徒就失去籌碼,你只需清除感染,修補系統漏洞 (也就是找出歹徒入侵的管道),危機就能解除。

不要再碰運氣,或是總是說等有空再做備份,立刻將所有資料妥善備份到本地端和雲端。而且,是的,不論個人或大型企業機構都該這麼做。

一旦有了完善的備份,您就必須定期進行復原測試,因為備份資料要能復原才能發揮作用。

第二道防護:盡速修補系統漏洞,開啟自動更新,現在就做!

軟體本來就非常複雜,因此有問題是正常的,所以才會不斷有更新。這些更新通常會修補一些歹徒可能利用的系統漏洞。 Continue reading “勒索病毒把網友當搖錢樹? 三步驟保護自己!"

備份不能算防禦 ! 當勒索集團找上門時,你的企業準備好了嗎?

2016 年,趨勢科技與 ISMG 合作,針對金融、醫療與政府機構進行了一項問卷調查,以期更了解他們在勒索病毒方面所面臨的挑戰。調查的結果有些令我們訝異,有些則和我們在 2016 一整年看到的情況大致相符。

大多數網路犯罪集團都會在攻擊當中運用到勒索病毒,而且幾乎所有的漏洞攻擊套件都會散布勒索病毒

我們都知道,勒索病毒 Ransomware (勒索軟體/綁架病毒)已成為今日企業的一大頭痛問題,而 2016 年當中也出現了多起重大案例。根據趨勢科技發現,新勒索病毒家族的數量較去年成長了 748% ( 2015 年僅 29 個,2016 年竄升至 246 個),顯然這項犯罪手法在網路犯罪集團之間已掀起一股旋風。絕大多數網路犯罪集團現在都會在攻擊當中運用到勒索病毒,而且幾乎所有的漏洞攻擊套件都會散布勒索病毒。可知勒索病毒已成為企業機構的一大威脅,也因此我們才想進一步了解這項威脅對企業機構和政府機關有何影響。讓我們一起來看看這項調查發現了什麼。

超過 53% 的企業機關都曾經成為勒索病毒的受害者;有 15% 的受訪者不曉得自己是否曾經受害

首先,過去一年當中有超過 53% 的企業機關都曾經成為勒索病毒的受害者。此外我們也發現,有 15% 的受訪者不曉得自己是否曾經受害。若依產業來看,我們發現金融業的防護似乎做得較好,因為金融業只有 33% 曾經受害,但政府機關則有 67% 曾經受害。這一點在我們的意料之內,因為金融機構在資安上的支出通常大於政府機關。有 75% 的受訪者表示,勒索病毒攻擊在過去一年似乎稍微或大幅增加,這與我們的研究結果以及我們在客戶端看到的情況一致,讓我們更確定犯罪集團現在比以往更常利用這項威脅。

大約每五家企業機關就有一家表示每個月會遇到 50 次以上的攻擊,而每個月至少遇到 5 次以上攻擊的則高達42%

其次一項特別引起我們注意的是受訪者遭受攻擊的次數。調查顯示,大約每五家企業機關就有一家表示每個月會遇到 50 次以上的攻擊,而每個月至少遇到 5 次以上攻擊的則高達42%。這突顯出一項眾多企業所面臨的重大挑戰:企業必須成功偵測並攔截每一次的攻擊,但歹徒卻只需成功一次就能得逞。另一項企業所面臨的威脅:針對性攻擊,也是同樣情況。我們現在越來越常看到歹徒在日常攻擊行動當中採用類似的手法。 Continue reading “備份不能算防禦 ! 當勒索集團找上門時,你的企業準備好了嗎?"

企業成勒索病毒的金礦:Cerber是如何加密資料庫檔案?

或許是為了讓Cerber開發者及其同夥可以賺到最多的錢,這隻勒索病毒 Ransomware (勒索軟體/綁架病毒)增加了對企業造成更大威脅的動作:加密資料庫檔案。這些組織資料的儲藏庫讓企業儲存、檢索、排序、分析和管理資料。有效使用就能夠助於維持組織效率,所以拿這些關鍵資料作人質無疑可以影響公司業務,觸及了底線。

作為提供服務給網路犯罪新手的勒索病毒,Cerber經歷過無數次的改版。它會利用更多技巧,包括整合DDoS元件、使用雙重壓縮的Windows腳本檔案以及利用雲端生產力平台,甚至與資料竊取木馬聯手犯案。

Cerber開發者對下游抽取40%的佣金,光是今年7月就賺進近20萬美元。

勒索病毒的不斷更新反映出其開發者的活躍程度及下游如何將其當作是有利可圖的生意。比方說,前一個版本在一天內就更新到4.1.5。Cerber開發者對下游抽取40%的佣金,光是今年7月就賺進近20萬美元。

 圖1、與其他變種相比,Cerber 4.1.5要求比較少的贖金。
圖1、與其他變種相比,Cerber 4.1.5要求比較少的贖金。

 

為了讓受害者即刻付贖,資料庫檔案成綁匪肉票

加密資料庫檔案並非Cerber獨有的行為。2016上半年所出現的家族像rypJOKER(RANSOM_CRYPJOKER.A)、SURPRISE(RANSOM_SURPRISE.A)、PowerWareRANSOM_POWERWARE.A)和Emper(Ransom_EMPER.A)等都將資料庫相關副檔名加入加密列表。包括了dBASE(.dbf)、Microsoft Access(.accdb)、Ability Database(.mdb)和OpenOffice(.odb)等檔案。想想看資料庫檔案對於企業來說有多麼重要,開發者讓它們成為Cerber的加密檔案類型可以說是為了讓受害者更急切與願意付錢的手段。

自動避開俄羅斯等語系

Cerber 4.1.0、4.1.4和4.1.5就跟其它變種(Ransom_CERBER.CADRansom_CERBER.A)一樣,設計成會避開某些語系的設備和系統。它使用API – GetKeyboardLayoutList來取得語言設定,勒索病毒偵測到下列語系就會終止自己:俄羅斯、烏克蘭、白俄羅斯、塔吉克語、亞美尼亞、阿澤里語、格魯吉亞語、哈薩克語、克里吉斯斯拉夫語、土庫曼語、烏茲別克語拉丁語、韃靼語、羅馬尼亞摩爾多瓦語、俄羅斯摩爾多瓦語、阿塞里斯拉夫語和烏茲別克斯拉夫語。趨勢科技從今年3月到11月中在美國、台灣、德國、日本、澳大利亞、中國、法國、義大利、加拿大和韓國所觀察到的大部分Cerber 樣本都能夠看到此一行為。

圖2、夾帶Cerber的垃圾郵件樣本
圖2、夾帶Cerber的垃圾郵件樣本

Continue reading “企業成勒索病毒的金礦:Cerber是如何加密資料庫檔案?"

五個網路 NG 行為,最容易幫詐騙集團爭取年終獎金

趨勢科技曾經做過一個【勒索病毒搞什麼鬼?趣味調查】,多數人對勒索病毒的心態是選擇「等碰到了再說,現在沒想那麼多」

以下是一般人對勒索病毒的心態排行:

  1. 等碰到了再說,現在沒想那麼多
  2. 我平常有備份,沒在怕
  3. 就算檔案被加密也沒關係,反正裏頭沒什麼重要東西,重灌就好
  4. 我都沒有亂點網頁或連結,沒在怕
  5. 我不會那麼倒楣碰到勒索病毒

看來多數人是抱著碰運氣的僥倖心態,不過小編要提醒大家:沒有亂點網頁或連結,並不保證有免疫力,因為瀏覽合法的官方網站也會中毒!?一次看懂勒索病毒四個地雷,還有開啟 WORD 附件也會中招!當然備份是一定要有的好習慣,請記得遵守 3-2-1 原則。

別讓你的血汗錢,成詐騙集團年終獎金

也許正因為這種心態,使得勒索病毒威脅一再得逞。利字當頭一切向錢看,也使得勒索病毒的攻擊更加針對性,比如迫使醫院改用紙本作業,甚至病人不得不轉院;加密勒索病毒還看準警察局缺少IT專業人士,一再挑戰執法單位,迫使美國小鎮警察局支付贖金;最不可思議的是,台灣還發生了一例攻擊城隍廟內部文書處理系統的案例。

美國聯邦調查局 (FBI) 在九月曾經發出一份資安通告,呼籲受害者出面報案,好讓他們能夠「更全面掌握當前的威脅情勢以及使用者的受害情況。」這份通告指出,光是單一勒索病毒變種每天就可感染高達 100,000 台電腦。再對照另一項資訊:趨勢科技光在今年上半年就發現了 79 個新的勒索病毒家族,這數字較 2015 年一整年的數量成長了 179%。

根據趨勢科技接獲的案例回報顯示,今年第一季感染勒索病毒 Ransomware的受害企業當中,近三成是重複感染,未經修補伺服器的安全漏洞形成防護空窗。有 IT 專業人員的企業都如此了,那麼個人用戶更得確實做好防護,許多經驗顯示乖乖付費,從此被當肥羊 ,別讓你的血汗錢,成詐騙集團加菜金!

99% 的勒索病毒都是透過電子郵件或網站連結進行散播攻擊

phishing7

根據趨勢科技 Trend Labs 報告發現:99% 的勒索病毒都是透過電子郵件或網站連結進行散播攻擊。每天有100 次掉進駭客陷阱的風險!臺北市某公司會計人員收到一封標題為「免費抽iphone 」的電子郵件,一打開"中獎名單"附檔,電腦中的檔案立刻被勒索病毒攻擊!「你的檔案已被加密,支付 600 美金索取解鎖金鑰, 96 小時後贖金加倍,倒數計時開始 !!」

今年五月美國電子商務巨擘 Amazon 的使用者陸續接到通知,請他們小心提防大規模網路釣魚(Phishing)詐騙。估計有 3,000 萬封,甚至另有估計一億封假冒該網站名義所發出Amazon.com 訂單出貨通知的垃圾郵件,寄件人地址為「auto-shipping@amazon.com」,主旨為「Your Amazon.com Order Has Dispatched (#code)」(您的 Amazon.com 訂單已出貨 (#編號))。

該郵件內文為空白,僅附上一個 Microsoft Word 文件,這個 Word 文件的內容也是空的,但卻含有一些原本用來將常用操作自動化的巨集程式碼。許多受害者收到這個惡意檔案的使用者當看到畫面上要求啟用巨集以閱讀文件內容時,通常會不自覺地照做,因此就會從某個網站下載Locky 勒索病毒到電腦。

避開 5 個 NG網路習慣,遠離網路釣魚以假亂真

以下一些案例,教大家如何避開幾個 NG網路習慣,讓這些外表難以辨的網路詐騙份子,尤其是網路釣魚,離你愈遠愈好。

alert1NG行為1:打字太快,不小心按到其他的鍵
alert1NG行為2:以為 Google ,Yahoo 等搜尋引擎找到的都是真的
alert1NG行為3:收到知名機構或是執法集團的警告信瞬間驚呆了!
alert1NG行為4:只要收到好康通知,滑鼠就失去理智了!
alert1NG行為5:管不住好奇心,滑鼠總愛追根究底 Continue reading “五個網路 NG 行為,最容易幫詐騙集團爭取年終獎金"

盤點 2016 年六大勒索病毒

光是在2016年上半年,新出現的勒索病毒家族數量就成長了172%。趨勢科技封鎖了超過1億次的勒索病毒攻擊。以下列出2016年惡名昭彰的六隻勒索病毒:

1.JIGSAW:《奪魂鋸》殺人魔現身勒索軟體:「I want to play a game with you….」
2. CERBER:會說話的加密勒索軟體,台灣是攻擊目標
3. MICROP: V怪客現身,假冒海關所用的貨物進出口表格,誘騙使用者啟用巨集
4.Crysis: 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定(RDP)散播
5. CryLocker: 打包中毒系統資料後,用 PNG圖檔上傳 Imgur 相簿
6.Stampado: 每六個小時就會有一個隨機檔案被永久刪除,96小時後解密金鑰就會永遠消失

 

1.JIGSAW:《奪魂鋸》殺人魔現身勒索軟體:I want to play a game with you….

 「 YOU ARE A PORN ADDICT.STOP WATCHING SO MUCH PORN. NOW YOU HAVE TO PAY(你整天沉迷色情網站,別再看這麼多色情影片了。現在你必須付出代價)這是新的加密勒索軟體JIGSAW 的勒索訊息之一

 為了讓受害者掏錢,加密勒索軟體 Ransomware紛紛出奇招。「JIGSAW」(電動線鋸)勒索病毒家族,讓人聯想到Saw《奪魂鋸》這部恐怖電影。JIGSAW 利用受害者擔心自己的檔案被永久刪除的心態,每小時會提高一次刪除檔案數量及贖金,以逼迫受害者因焦急而支付贖金。


延伸閱讀:《奪魂鋸》殺人魔化身勒索軟體 JIGSAW:重新開機,刪除 1,000 個檔案;未在 72 小時內付款,刪除所有加密檔案

 

2. CERBER:會說話的加密勒索病毒,台灣是攻擊目標

 

「注意!注意!注意!」
「你的文件、照片、資料庫和其他重要檔案都已經被加密!」

“Attention! Attention! Attention!”

“Your documents, photos, databases and other important files have been encrypted!”

雖然Cerber有好幾個變種,最原先的版本最嚇人 – 會用語音來告訴受害者已經中毒了,以下是音頻檔案:

Cerber是2016年最惡名昭彰也最流行的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族。它具備多種攻擊策略,包括利用雲端平台Windows腳本,還會加入非勒索病毒行為像是分散式阻斷服務攻擊。它會流行的原因之一可能是它經常被作為服務買賣(勒索軟體即服務也就是RaaS)。

有粉絲在趨勢科技粉絲頁留言:

“最近我同事只是追劇而已就中招,整個電腦資料全毀…."

 

這並不是個案,無獨有偶的是近日也有網友在論壇上求助,說想利用連假在網路上看電影,電影看完了,電腦裡所有檔案卻都打不開了,原來是中了Cerber 勒索病毒。

趨勢科技資深技術顧問簡勝財表示,Cerber 除了透過郵件大量散播之外,最近也開始透過惡意廣告進行攻擊,而且衍生出變種。

兩個重要提醒:

提醒用戶除了"三不三要"之外(如下圖),還有兩個防範 Cerber 勒索病毒的建議:

1.更新作業系統或應用程式的修補程式,例如Flash/IE等

2.部分變種會透過email寄送office文件檔案,開啟文件時會要求開啟巨集的功能. 若收到這類信件或附檔.請不要任意開啟巨集以避免中毒

延伸閱讀: Cerber勒索病毒新變種大量散播中,台灣是主要攻擊目標,避免中招,兩個重要提醒!

 

AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外,更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能,跨平台跨裝置全面保護消費者遠離威脅!!即刻免費下載
AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外,更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能,跨平台跨裝置全面保護消費者遠離威脅!!即刻免費下載

 

3. MICROP: V怪客現身,假冒海關所用的貨物進出口表格,誘騙使用者啟用巨集

這個帶嘲諷的勒索病毒將責任歸咎於受害者,並假設他們知道如何付錢。此外,這有V怪客的圖檔也夠讓人驚嚇了 – 因為勒贖金額將近29,000美元! Continue reading “盤點 2016 年六大勒索病毒"

勒索病毒的快速致富模式: Encryptor RaaS 的”事業夥伴”只要會設定比特幣錢包ID,不需技術能力

2015年7月,一個名為「Encryptor RaaS」(趨勢科技偵測為RANSOM_CRYPRAAS.SM)的新勒索病毒即服務(Ransomware-as-a-Service)浮出檯面,想複製像ToxORX Locker的快速致富模式。這起新”服務”似乎是匹黑馬:跨平台,吸引人的價格,而且讓新手罪犯的進入門檻更低。它對一般用戶和企業都造成相當大的威脅,因為Encryptor RaaS可以對會員提供客製化服務。

Encryptor RaaS作者替從事勒索病毒事業的會員們,建立只能透過TOR網路存取的完整網路控制面板,讓他們可以管理勒索病毒受害者的系統。和其他競爭者比較起來(如Cerber,開發者抽取40%的佣金),Encryptor RaaS的訂價相當具有吸引力。會員只需投入至少5%的收入散播勒索病毒,當然,為了躲避追查,比特幣(Bitcoin) 是首選交易貨幣。

早在2016年3月,趨勢科技就注意到Encryptor RaaS作者竭盡所能地不讓自己被偵測露出馬腳。包括使用有效憑證來簽章勒索病毒,同時也不斷地利用反防毒服務和加密服務。

但非常突然的這個”服務”在四個月後突然關閉了。好處是,少了一個勒索病毒需要擔心。壞處是, 開發者決定刪除主要金鑰,受害者再也無法回復他們被加密的檔案。是什麼讓Encryptor RaaS突然崩落?

資安趨勢 勒索病毒 ransomware

犯罪手法: :勒索病毒”事業夥伴”只需要知道如何設定比特幣錢包ID,並不需要其他技術專長

Encryptor RaaS會在表層網路和黑暗網路(Dark Web)的論壇內進行宣傳。惡意分子只需透過Tor網站來聯絡開發者表示興趣。除了需要知道如何設定比特幣錢包ID來連結將要散播的勒索病毒外,並不需要其他技術專長。他們還會取得一個「客戶ID」,所以每個檔案都有唯一的「所有者」。會員可以指定贖金金額,並選擇使用哪些方法來散播定製的惡意軟體。 Continue reading “勒索病毒的快速致富模式: Encryptor RaaS 的”事業夥伴”只要會設定比特幣錢包ID,不需技術能力"

《資安漫畫 》瀏覽合法的官方網站也會中毒!?一次看懂勒索病毒四個地雷

「只要不點入可疑網站就不會中毒」?!

tm_logo

Q:瀏覽合法的官方網站也會感染上勒索病毒!?
A:是的,如果電腦有軟體的修補程式沒有更新的話,遇到「Drive by download」路過式下載攻擊,瀏覽惡意網頁或惡意廣告就會中毒,台灣也傳出相關案例。
Q:Cerber勒索病毒透過惡意廣告散播,主要集中在台灣,只要不點擊廣告就不會中招?
A:惡意廣告是勒索病毒傳播的主要途徑之一,大多數人對於惡意廣告有著很大的誤解,就是要有點擊的動作才會受到危害,事實上,惡意廣告的攻擊並不需要使用者的點擊,只要瀏覽器或裝置顯示出惡意廣告,使用者就會受到攻擊。
Q:網路追劇也有可能遇到勒索病毒嗎?
A:很多網友因為在網路追劇中毒,因為有些廣告會在影片播放前顯示,網路犯罪集團會經由這類廣告來散布惡意程式。這就是所謂的「惡意廣告」,除了勒索病毒,它們也利用軟體漏洞在系統暗中植入一些可竊取帳號密碼、銀行資訊和個人資料的惡意程式。
Q:CryptXXX勒索病毒受害者回報瀏覽過內容農場網站後出現中毒症狀,所以大型網站比較安全嗎?
A:在台灣傳出大量災情的 CryptXXX(RANSOM_Waltrix)勒索病毒主要利用Flash/SilverLight/IE的漏洞進行攻擊,據受害者反映,瀏覽新聞網站、入口網站以及文章常在 Facebook 臉書上被分享的一些內容農場網站之後,開始出現感染勒索病毒的情況。許多高知名度的網站,因為他們的廣告網路在不知情下成為網路犯罪市場的幫兇。報導指出網頁廣告成勒索軟體散播溫床,紐約時報、BBC、MSN 皆中招,文中指出”攻擊者透過廣告聯盟及軟體漏洞,透過大型網站如《紐約時報》、BBC 、MSN 等的廣告,藉此安裝勒索病毒。
趨勢科技建議:
若作業系統或是應用程式有提供修補程式或更新程式,應該要盡快更新,並使用防毒軟體,如此一來就能大幅度地減少威脅。
Copyright © 2016 Trend Micro Incorporated. All rights reserved.

PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外,更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能,跨平台跨裝置全面保護消費者遠離威脅!!即刻免費下載

 

Windows10Banner-540x90v5

 

《 想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位,勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端,讓你不會錯過任何更新。
*手機版直接前往專頁首頁,下拉追蹤中,就能將粉絲專頁設定搶先看。

 

▼ 歡迎加入趨勢科技社群網站▼

好友人數

從RAR到JavaScript:勒索病毒所使用郵件附件檔的變化

為什麼關鍵是要在閘道阻止勒索病毒 Ransomware (勒索軟體/綁架病毒)?因為電子郵件是勒索病毒最常使用的進入點。根據我們的分析,有71%的勒索病毒透過電子郵件散播。使用垃圾郵件並不是什麼新鮮事,勒索病毒作者持續使用這種感染途徑是因為這是已經經過考驗的做法。也是針對潛在受害者(大型企業和中小型企業)的有效途徑,因為他們通常將電子郵件用在通訊和日常運作上。2016年上半年,我們觀察到網路犯罪分子利用像JavaScript、VBScript和Office巨集文件等檔案類型來躲避傳統的安全解決方案。有些可以直接用來編寫惡意軟體。事實上,作為安全預防措施,微軟預設是關閉巨集功能。

在本文中,我們會研究各種電子郵件附件檔及勒索病毒使用這些檔案類型的變化。

 

檢視電子郵件附件檔

趨勢科技在上半年已經封鎖和偵測8,000萬次的勒索病毒威脅;其中有58%來自電子郵件附件檔。縱觀今年,我們看到Locky的攻擊活動及其不斷地變更電子郵件附件檔來更大量地散播。根據我們的監控,某些檔案類型在電子郵件附件檔中變多就是因為Locky。

在今年的前兩個月,我們注意到垃圾郵件使用.DOC檔案出現高峰。DRIDEX,一種以使用巨集聞名的網路銀行威脅,在那時據報會散播Locky勒索病毒。從三月到四月,我們看到使用.RAR附件檔的高峰,這也歸因於Locky的攻擊活動。

 

圖1、企業遭受勒索病毒攻擊的風險,因為他們是會使用巨集功能之生產力應用程式的重度使用者。

 

從六月到八月,Locky運作者轉而使用JavaScript附件檔。不過這類型的附件檔也會下載其他勒索病毒,像是CryptoWall 3.0TeslaCrypt 4.0。我們還注意到Locky使用VBScript附件檔,可能是因為容易進行混淆來躲避偵測。七月中至八月,我們開始看到Locky垃圾郵件活動使用Windows腳本檔案(WSF),這可以解釋WSF為何成為最常用在病毒威脅的附件檔類型第二名。 Continue reading “從RAR到JavaScript:勒索病毒所使用郵件附件檔的變化"

<勒索病毒> 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定(RDP)散播

勒索病毒 Crysis會注入木馬程式到重新導向或連接的設備,如印表機和路由器,以便讓攻擊者能夠重新進入和感染系統,即便已經將惡意軟體從中毒電腦中移除。這也說明了為什麼不建議支付贖金,因為看來只能解決一時的問題。

Crysis勒索病毒可以結合RSA和AES的加密演算法來加密185種類型的檔案,使用 vssadmin來刪除備份,並且修改註冊表來使得在每次啟動時都會自動執行。

 

今年二月出現的勒索病毒 Ransomware (勒索軟體/綁架病毒) RANSOM_CRYSIS.A,現在會透過暴力破解遠端桌面協定(RDP)散播,目前澳洲和紐西蘭的企業傳出疫情。

在今年六月初曾經報導過Crysis想接手TeslaCrypt所留下的市場(因為TeslaCrypt作者決定結束業務),並且追上勒索病毒界中流行的Locky。Crysis主要透過垃圾郵件散播,可能是帶有雙重副檔名的木馬化病毒附加檔案(將惡意軟體偽裝成非執行檔的一種手法),或是連到受感染網站,網路服務也可能會散播合法軟體的可疑安裝檔。現在它也會將暴力破解攻擊遠端桌面協定作為其感染途徑之一。

Windows遠端存取工具所具備的資源重新導向功能讓使用者可以方便的存取、處理和使用本地磁碟的檔案、印表機、剪貼簿和可移除設備等資源。使用暴力破解攻擊遠端桌面協定的Crysis,利用來源電腦的重新導向磁碟,執行勒索病毒。

圖1、透過RDP暴力破解攻擊的Crysis感染流程示意

 

RDP是內建在Windows作業系統的功能,可以讓使用者透過網路來連接另外一台電腦。RDP常會被針對性攻擊/鎖定目標攻擊(Targeted attack )利用來取回資料,竊來的資料可以放到網路地下市場販賣,還可以將劫持的系統整合到「Botnet傀儡殭屍網路」內來發動進一步的惡意攻擊。 Continue reading “< 索病毒> 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定(RDP)散播"

如何阻止勒索病毒滲透企業網路和在內部蔓延?

這是探討勒索病毒 Ransomware (勒索軟體/綁架病毒)四部曲中的第三部。這個系列文章會探討勒索病毒用來攻擊使用者和企業的各種技術。同時也說明了,如果想減少勒索病毒所帶來的風險,最好的辦法是在企業網路的各個部位實施多層次防護 – 閘道、端點、網路和伺服器。

可以到這裡閱讀之前的文章:

勒索病毒 Ransomware (勒索軟體/綁架病毒)已經成為影響數百萬使用者並且掠取數百萬美元的嚴重問題。本系列之前的文章探討勒索病毒進入系統的方式及加密的行為。在本篇文章中,我們將研究勒索病毒如何使用網路及可能的解決方法。

檢視網路連線相當有用,因為網路活動是企業內部惡意活動進行的指標。反之,如果企業對網路沒有適當的能見度,就可能因為未受管理的設備(它們不一定受到閘道安全軟體的保護)或可信任設備來的未經授權連線而造成勒索病毒的感染。

受感染的企業內部電腦在勒索病毒攻擊中可能扮演兩種角色:

  • 成為通訊中繼站
  • 變成病毒擴散到其他系統和伺服器的幫兇

 

角色#1:命令和控制(C&C

對勒索病毒來說,網路最重要的用途是連接攻擊者的命令與控制(C&C)伺服器,因為勒索病毒通常需要這連線來取得加密檔案用的金鑰。

金鑰會由C&C伺服器送到中毒電腦用來加密目標檔案。如果連線建立完成,多數勒索病毒會從C&C伺服器取得公共金鑰,並用它來加密目標檔案。對應的私鑰會一直留在攻擊者那邊。公鑰可以隨時加以改變,而不會在惡意程式碼中發現任何金鑰。

如果無法建立與C&C伺服器的連線會發生什麼事?大多數勒索病毒(像是CryptoWall)不會去加密任何檔案。不過也有些變種可以自己進行加密的動作。一個例子是CrypXXX,在程式碼中內嵌了預設金鑰。Cerber變種通常會在本機產生金鑰,讓安全研究人員比較容易進行逆向工程,並替使用者製造解密工具來回復加密檔案。新的變種偏好使用來自C&C伺服器的金鑰,讓使用固定金鑰的解密工具無用武之地。

角色#2:擴散

勒索病毒還可以在企業內部透過網路分享散播。當勒索病毒在中毒系統上執行時,多數都會加密本機磁碟和網路磁碟上的檔案。結果就是病毒會更快地在企業內部散播,結果本來只是單機的中毒問題,造成讓整個企業都停擺的後果。

如前所述,勒索病毒也能夠經由未授權的連線來侵入網路。比方說,Cryisis勒索病毒會利用遠端桌面協定(RDP)的暴力破解攻擊。在2016年3月,Surprise勒索病毒據報會使用偷來的TeamViewer登錄憑證來感染系統。

Continue reading “如何阻止勒索病毒滲透企業網路和在內部蔓延?"