標籤: 網路間諜

用在網路間諜活動的Rootkit ：LoJax UEFI

趨勢科技 TrendMicro

安全研究人員發現了一個統一可延伸韌體介面(UEFI)的Rootkit，這個rootkit命名為LoJax(趨勢科技偵測名稱為BKDR_FALOJAK.USOMON 以及Backdoor.Win32.FALOJAK.AA)被用來執行網路間諜活動。這個rootkit包含其他會修改系統韌體的工具病感染惡意程式。

研究人員表示，這個網路間諜活動所設計的LoJax rootkit主要目標是巴爾幹地區的組織以及中歐和東歐的國家。

LoJax被用來在系統上建立惡意程式，並且在電腦開機時會自動執行，LoJax影響了UEFI，UEFI是作業系統連接到韌體的介面。因此即使重新安裝作業系統或是置換硬碟，LoJax仍會保留在UEFI中。

[閱讀：利用Mac OS X中的漏洞的概念驗證顯示可能會對Mac的UEFI進行攻擊]

 

當電腦受感染之後，駭客便可以遠端存取這台電腦，並安裝或執行其他惡意程式。安全研究人員表示，這個惡意程式也可以用來追縱電腦所在的位置以及系統所有者。

研究人員分析的LoJax樣本發現，其中的網域用也被用於Sednit後門的C＆C通信，而Sednit後門正是用於網絡間諜活動的後門程式。

[入門：保護網絡免於目標式的攻擊]

 

LoJax並不是出現在網路上的第一支UEFI rootkit。事實上，在2015年，Hacking Team組織使用一個UEFI/basic input/output system (BIOS)的rootkit使得惡意工具程式(遠端遙控系統)可以安裝在目標系統上。

就如同Hacking Team的UEFI/BIOS rootkit，Lojax包含了多個工具用以存取或修改電腦的UEFI或BIOS設定。這些工具包含下列功能：

  • 收集並匯出系統的設定至文字檔(text)。
  • 讀取電腦上UEFI / BIOS所在的序列周邊介面（SPI）的記憶體內容，並存成檔案(如同韌體的映像檔)
  • 透過嵌入的惡意UEFI模組安裝rootkit至儲存的映像檔中，然後將修改後的映像檔寫回至SPI 快閃記憶體中。

研究人員也發現若SPI快閃記憶體的寫入功能被關閉的話，它就會利用舊的弱點(CVE-2014-8273) 。

[2018上半年資安總評：硬體上出現的嚴重漏洞更難修補]

 

完全刪除UEFI中的LoJax牽涉到重新刷新SPI快閃記憶體，這需要非常專業的知識（亦即須確保韌體和主機板的相容性）。

另一方面，使用者可以啟用安全開機(Secure Boot)以防範Lojax，這是一種安全機制，可確保使用由原始設備製造商有效簽章的軟體啟動系統。安全開機功能可以偵測並阻擋遭竄改的Loader、作業系統檔案以及其他軟體。適用於大多數現代PC（Windows 8及更新版本的作業系統）。由於LoJax沒有有效的數位簽章，因此啟用安全開機可以阻擋Lojax。 Microsoft也有關於設定安全開機的指南可供參考。

企業應該遵循安全的最佳範例：保持端點電腦以及韌體的修補及更新，採用最低的必要權限開放原則，以及建立具備縱深防禦的安全防護以阻擋惡意威脅－從端點，網路，伺服器以及閘道進行多層次的防護。

 

趨勢科技的解決方案

趨勢科技趨勢科技HYPERLINK “https://t.rend.tw/?i=Mzc4MQ”Deep Security解決方案提供偵測防護，深層的分析。可針對現今隱密的惡意程式以及目標式攻擊提供即時且主動的防護。Deep Security提供全面的防禦，藉由特別開發的過濾引擎保護企業免於目標式的攻擊以及進階的威脅，客製化的沙箱，以及整個攻擊生命週期的關聯性分析技術，即使沒有掃描引擎或病毒碼更新，也可以偵測威脅。趨勢科技端點解決方案例如趨勢科技 Smart Protection Suites  以及 Worry-Free Business Security，藉由偵測惡意程式以及阻擋所有相關的惡意連結可提供使用者和企業有效的安全防護。

 

◎原文來源: LoJax UEFI Rootkit Used in Cyberespionage

 

Blackgear網路間諜活動再度出現，利用社群媒體進行C&C連線

趨勢科技 TrendMicro

Blackgear（也稱為Topgear和Comnie）網路間諜活動早在2008年就已經出現（根據駭客所使用的Protux後門程式）。它的目標是日本、韓國和台灣的組織，對公家機關、電信業及其他高科技產業進行攻擊。像在2016年，我們就發現它使用各種惡意工具（最著名的是Elirks後門程式）攻擊日本的組織。Blackgear有著高度的組織性，而且自行開發所用的工具，我們從其最新攻擊可以發現這些工具都已經被改進過。

Blackgear的特色是它躲避偵測的能力，會利用部落格、微網誌和社群媒體來隱藏其命令與控制（C&C）設定。不同於將C&C資訊嵌入惡意軟體而容易被封鎖的作法，它的作法讓Blackgear可以根據需要來快速變更C&C伺服器。讓它能夠延長駐留在系統內的時間好進行進一步的橫向移動。

 

分析了Blackgear最新攻擊活動所使用的Marade下載器（趨勢科技偵測為TSPY_MARADE.ZTBC）和Protux（BKDR_PROTUX.ZTBC），我們在部落格和社群媒體找到加密過的設定（參見圖1）。這可能表示這些惡意軟體是由同一個團體開發。

圖1、Marade發在Facebook上的加密過設定 繼續閱讀

孔夫子(Confucius)駭客集團,假談網路戀愛,真竊個資

趨勢科技 TrendMicro

網路交友詐騙圖的不是為了騙財騙色,這次是竊個資!不安裝指定的網路聊天軟體,立刻永久停止對話!

 

愛情騙局在網路上並不稀奇，網路交友詐騙（catfisher）以及西非網路犯罪分子都利用受害者的感情來詐騙金錢。但奇怪的是很少看到（也可能是很少被報出來）這手法被用在網路間諜活動。

 

 

趨勢科技在研究Patchwork網路間諜活動時偶然發現了Confucius（孔夫子）駭客集團，並且注意到有數個相似之處。比方說，他們的客製化惡意軟體內有相似的程式碼。Confucius駭客集團針對南亞各國的一些特定目標，如軍人和商人等。

Patchwork和Confucius是同一個組織嗎？後門程式的命令確實彼此類似。設定檔也具有相似的結構，而且這兩個組織使用的基礎設施也有所重疊。但我們認定它們為不同的組織，可能屬於同個社群，但有不同的目標和操作手法。Patchwork比較直截了當，主要是進行惡意軟體攻擊，而Confucius的手法則更加細膩，重度地依賴社交工程。

聊天軟體帶有後門程式,默默蒐集簡訊等個資

在探索Confucius的基礎設施時，趨勢科技看到提供Windows和Android版本聊天軟體的網站，很可能是其前身Simple Chat Point的改版：Secret Chat Point和Tweety Chat。

儘管這聊天軟體確實具備聊天功能（雖然通訊並非匿名，如同所宣傳的那樣），但它們還帶有後門程式和檔案竊取能力，只要送入關鍵字就會觸發：收集所有的簡訊、聯絡人和帳號。Tweety Chat的Android版本也可以錄音。其最新版本可以讓設備靜音（關閉響鈴和振動），並且同步通話記錄和簡訊。

我們進一步測試了Tweety Chat，可以看出他們所感興趣的目標：驗證電子郵件的通訊地址郵遞區號屬於首都時，在登錄時也會出現在Tweety Chat的一個聊天頻道。

圖1：Tweety Chat介面（上）及顯示它所竊取檔案類型的程式碼（下）

 

網路間諜:不安裝 Tweety Chat聊天軟體,竟無預警分手!

繼續閱讀

網路間諜集團以紐約恐攻事件當誘餌

趨勢科技 TrendMicro

Pawn Storm  攻擊行動 (亦稱為 Fancy Bear、APT28、Sofacy、STRONTIUM) 又登上媒體版面 ，資安研究人員再次揭露該集團最新的網路間諜行動。該集團最近的魚叉式網路釣魚行動使用的是暗藏惡意程式的 Word 文件，並利用前不久 (10 月 31 日) 紐約發生的恐攻事件為社交工程誘餌。

根據報導指出，駭客利用了 Microsoft Office 的動態資料交換 (Dynamic Data Exchange，簡稱 DDE) 機制來開啟一個命令提示字元視窗並執行 PowerShell 指令去下載及執行一個用來分析受害者電腦的程式。如果受害者電腦對他們有價值，就進一步植入一個後門程式 (X-Agent 或 Sedreco)。

[TrendLabs 資訊安全情報部落格：REDBALDKNIGHT/BRONZE BULTER 網路間諜集團的「Daserf」後門程式開始採用圖像隱碼術]

DDE 是一種讓不同應用程式之間彼此分享、交換資料的機制。但駭客卻利用它來開啟命令提示字元視窗，或者執行惡意程式碼，不再仰賴巨集功能。雖然這並非什麼新的技巧，但這種利用 DDE 機制的手法確實越來越受網路間諜集團以及 整天想著賺錢的網路駭客關注。就連 Locky 勒索病毒和其長期共犯  Necurs 殭屍網路 最近也開始使用這項技巧。

[延伸閱讀：網路間諜集團 Turla 在 G20 工作小組高峰會前發動一波行動]

然而除了 DDE 逐漸受到青睞之外，近期也出現了大量的網路間諜及網路宣傳活動。例如，美國外交關係協會 (Council on Foreign Relations，簡稱 CFR) 今年至目前為止就 遭遇了 26 次不同的攻擊行動。事實上，光過去幾個星期就有多個駭客團體利用各地的政局發展來發動攻勢，其中包括：

  • Keyboy：同樣也是利用 DDE 在系統植入資訊竊取程式。
  • Sowbug：專門攻擊南美和東南亞的外交使節團與外交政策機構。
  • OceanLotus/APT32：曾在東南亞國家協會 (ASEAN) 高峰會招開前夕展開攻擊行動。
  • ChessMaster：曾開發出新的工具和技巧來讓其活動更加隱密。
  • BlackOasis：使用一個 Adobe Flash 軟體的零時差漏洞來散發間諜程式，專門鎖定中東政治人物和聯合國官員。

[資安基礎觀念：越來越多利用 PowerShell 相關威脅該如何防範?]

對企業機構而言，這些案例都突顯出邊界防禦的重要：從閘道、網路、伺服器到端點裝置，因為沒有任何平台能夠倖免於攻擊。以下是一些能夠大幅縮小企業攻擊面的縱深防禦措施： 繼續閱讀

解析專攻擊日本的ChessMaster 網路間諜行動

趨勢科技 TrendMicro

蒐集情報、社交工程誘餌、攻擊系統漏洞、在企業網路內部橫向移動，駭客有各式各樣的針對性攻擊工具可以利用。而且這些工具就像西洋棋的棋子一樣，各有不同用途。

就以 ChessMaster (西洋棋大師) 攻擊行動為例，這是一個專門以日本學術機關、科技公司、媒體機構、託管式服務供應商以及政府機關為目標的網路間諜行動。它派出的小兵就是挾帶誘餌文件的魚叉式釣魚攻擊（SPEAR PHISHING）郵件。不過，趨勢科技也發現了一些蛛絲馬跡顯示，ChessMaster 跟 APT 10 有所關連 (後者亦稱為 menuPass、POTASSIUM、Stone Panda、Red Apollo 及 CVNX)。

ChessMaster 網路間諜行動的名稱取自其主要後門程式內部資源區段的名稱「ChChes」，趨勢科技將它命名為 「BKDR_CHCHES」。

此攻擊行動獨特之處在於其使用的工具和技巧：

  • 惡意的捷徑 (LNK) 檔案與 PowerShell 工具。該捷徑檔會執行「命令提示字元」程式去下載一個 PowerShell 腳本，此腳本會直接在系統上植入或載入 ChChes，第二種方法也就是所謂無檔案式攻擊。
  • 自我解壓縮檔案 (SFX)。此壓縮檔會解出一個執行檔 (EXE)、一個動態連結程式庫 (DLL) 和一個二進位檔 (.BIN)。解開之後，惡意程式碼會被注入到一個正常的執行程序當中 (透過 DLL 挾持技巧)。ChessMaster 將此技巧進一步發揚光大，利用載入時期動態連結技巧來呼叫惡意 DLL 內的函式。
  • 執行時期包裝程式。在整個間諜行動當中，ChChes 使用了三個檔案包裝程式來將自己加密編碼以躲避偵測。第一個不具備加密功能，但含有各種載入程式碼。第二個具備 XOR 加密技巧 (用以反制模擬分析)。第三個在 XOR 之上又增加了 AES 加密。這些程式的組譯日期彼此重疊，可見 ChChes 的作者不斷地在改進並微調其惡意程式。
  • 第二階段惡意程式。歹徒會在系統上植入更多惡意程式，以便能持續躲藏在系統當中。這些其實都是 ChChes 的變種，其程式進入點皆相同，但加密和幕後操縱 (C&C) 通訊卻不盡相同。
  • 駭客工具。ChessMaster 會利用合法的電子郵件以及駭客專為其攻擊行動而修改而來的瀏覽器密碼復原擷取工具。這些工具能在使用者忘記密碼時救回密碼，因此也可讓駭客用來擷取密碼。有了這項資訊之後，就能從事橫向移動與進一步攻擊。
  • TinyX。這是 PlugX 的衍生版本，只不過少了增加新功能的能力。TinyX 是經由魚叉式網路釣魚郵件挾帶並散布。
  • RedLeaves。這是一個第二階段後門程式，其運作方式類似 Trochilus 這個開放原始碼無檔案式遠端遙控木馬程式 (RAT)，後者賦予歹徒在已感染系統上進行橫向移動的能力。RedLeaves 的功能衍生自 PlugX。今年四月，一個名為「himawari (向日葵的日文)」的 RedLeaves 變種現身，在當時具備了躲避 YARA 偵測規則的能力。

 

ChessMaster 和 APT 10 其實同屬一個網路間諜行動。
APT 10/menuPass 是一個網路間諜集團，其攻擊行動名為「Operation Cloud Hopper」，專門攻擊鎖定目標的中介機構，也就是代管式服務供應商 (MSP)。其最知名的是非常會善用各種專門竊取資訊的後門程式與漏洞攻擊套件，再配合詭計多端的手法，從各種魚叉式網路釣魚郵件到各種攻擊與感染途徑。此外還會使用合法或開放原始碼的遠端遙控工具來竊取資訊。

這聽起來是否有點熟悉？這是因為 ChessMaster 和 APT 10 似乎同屬一個網路間諜行動。下圖進一步詳細說明兩者的攻擊流程：


圖 1：ChessMaster 與 APT 10 的攻擊流程。

我們一開始是發現 ChChes 盯上了某個遭到 APT 10/menuPass 長期攻擊的目標。然而，當我們取得並分析了越來越多 ChChes 的樣本之後卻發現，兩者的攻擊模式幾乎如出一轍：專用的檔案包裝程式、相同的攻擊目標、共用的 C&C 基礎架構。

例如，ChChes 的檔案包裝程式與 menuPass 舊版的 PlugX 很像。此外，從 DNS 記錄也可看出，其某些 C&C 伺服器和網域對應到的 IP 位址根本是同一個，或者位於同一個子網路 (subnet) 之內。所以，他們背後到底是否為同一集團？從種種相似性來看的確如此。而這樣情況以前也發生過，例如 BlackTech 網路間諜行動就是一個例子。 繼續閱讀