開放原始碼軟體如何變成木馬程式？我們又該如何偵測這類程式？要回答這些問題，讓我們來看一下最近我們針對這類檔案所做的一份研究。
木馬化的開放原始碼軟體很不容易被發掘，因為它們看起來就跟正常的軟體一樣，所以這類程式毫不起眼，因此特別適合用於目標式攻擊。但其實若深入追查，還是可以看到一些可疑的行為，並揭發它的不肖意圖。
趨勢科技在分析一起資安事件時發現了一個名為「notepad.exe」的檔案相當可疑。因為，大家都知道 notepad.exe 是 Windows 系統內建的「筆記本」程式，而有些惡意程式作者就是喜歡偽裝成這類程式來躲避偵測。
這個 notepad.exe 檔案是經由 ntoskrnl.exe (Windows NT 作業系統核心執行檔) 進入系統。它很可能是經由 ntoskrnl.exe 的漏洞或是網路共用資料夾進入系統，不過根據我們得到的監測資料顯示比較可能是後者。接著，我們又利用根源分析 (Root Cause Analysis，簡稱 RCA) 發現，這個不肖的 notepad.exe 檔案會呼叫以下幾個工具來執行一些可疑動作：
繼續閱讀或許是因為許多政府機關在受害之後都願意支付贖金，所以勒索病毒犯罪集團 2019 年才會更密集地攻擊政府單位。 另外,去年有超過 700 家醫療機構遭到勒索病毒攻擊
勒索病毒受害者不僅要應付資料被加密的問題，還要面對資料可能外洩的災難。會自動將受害者的檔案複製到該集團伺服器的「Maze」, 刻意從它們竊取到的 32 GB 資料中釋出 2 GB ，以駁斥媒體宣稱他們只不過偷了幾個檔案而已。
REvil 勒索病毒則經由已遭駭的第三方軟體發動總贖金高達 250 萬美元的聯合攻擊行動
美國聯邦調查局 (FBI) 對於是否該支付贖金，仍維持堅定的否定立場。該局的網路犯罪調查部門引述一個案例指出，受害者原本是希望能支付贖金來取得解密金鑰，沒想到收到的金鑰卻反而讓所有的資料被清得一 乾二淨。
2019 年，勒索病毒犯罪集團改懸易轍，開始針對特定的機構進行攻擊，試圖入侵其關鍵資產、系統和服務 來獲取龐大利潤。策略的轉變促使他們採取一些新奇的技巧來讓他們迅速在受害者的網路內流竄，盡可能散布更多惡意程式。過去一年當中一項值得注意的駭客技巧就是入侵一些鮮少遭到攻擊的企業資源，例如：網域控制器 (Domain Controller) 和 Active Directory 目錄服務，目的是為了造成企業更嚴重的營運中斷，進而迫使企業乖乖就範，讓他們予取予求。
企業至今依然不斷遭受針對性攻擊的襲擊，原因就在於駭客暗中入侵企業網路邊境的精密手法和工具一直不斷向上提升，那麼，您該如何確保自身安全？
儘管今日已有不少進階的資安技術，但針對性目標攻擊( Targeted Attack)對企業來說仍是一項嚴重的威脅。許多企業至今依然不斷遭受針對性攻擊的襲擊，原因就在於駭客暗中入侵企業網路邊境的精密手法和工具一直不斷向上提升。事實上，根據 Accenture 和 Ponemon Institute 所做的一項 2019 年調查指出，平均每家公司因駭客精密攻擊而導致的網路犯罪損失已從 2017 年的 1,170 萬美元上升至 2018 年的 1,300 萬美元。
所幸，除了建置網路資安解決方案之外，企業還可配合一些最佳資安實務原則來進一步提升防禦，如此就能防範針對性攻擊，避免招致災難性的後果。以下是三項能夠防止您網路遭到針對性攻擊的資安建議：
網路基礎架構通常相當複雜，涵蓋了重重的使用者、工作站、伺服器及其他連網裝置。複雜的網路對資安團隊將是一項艱難挑戰，不論在網路的掌握或存取管理方面。因此，強烈建議企業將網路依照部門、地點、安全層級等等，井然有序地細分成較小的單位。
繼續閱讀幾年前，金融時報發生了一起差點釀成悲劇的攻擊。駭客 (事後證明是敘利亞網軍) 利用一個事先入侵的電子郵件帳號，在金融時報內部發送網路釣魚郵件，進一步取得了更多電子郵件帳號的登入憑證。當 IT 人員發現這起內部網路釣魚攻擊時，立刻透過郵件通知所有使用者，並附上一個連結讓使用者更改密碼。問題是，駭客也看到了 IT 人員的這封信，因此又重發了一次該信，但是將連結改成指向駭客架設好的網路釣魚網站。這下子駭客順利取得了所有他們想要的系統帳號密碼，不過最後，駭客覺得金融時報只是個小咖，因此轉而攻擊其他媒體機構。
案例一：竊取高達 87GB敏感資料的 EyePyramid,被誤認是國家級駭客的想發財兄妹檔!
案例二：內部 Office 365 登入憑證網路釣魚,詐財匯款得逞
案例三：駭客修改金融時報IT 人員發送給內部的密碼修改連結,差點釀成悲劇
今日資安人員日益擔心的一項問題就是「來自內部」的網路釣魚（Phishing）攻擊，也就是由企業機構內部同仁所寄來的網路釣魚郵件。內部網路釣魚郵件通常是駭客多個攻擊步驟的環節之一，駭客通常先讓使用者裝置感染惡意程式，以便掌控使用者的電子郵件信箱，或取得使用者的帳號密碼。接著，歹徒再利用這個郵件帳號在企業內部發送網路釣魚郵件以從事針對性攻擊，進而竊取企業資訊或從事勒索。除此之外，變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)也經常利用這類郵件來促使財務部門匯款。由於寄件者是內部的同仁，因此收件者很容易不疑有詐。
今年稍早遭到起訴的「Eye Pyramid」犯罪集團，多年來成功竊取了不少資料。他們最愛使用的技巧就是夾帶惡意附件的網路釣魚郵件，他們會先入侵一位使用者的帳號，然後再利用該帳號來入侵另一名使用者的帳號。其電子郵件附件所夾帶的惡意程式會蒐集使用者的資料，並將資料傳送給駭客，其中也包括電子郵件地址，因此他們就能尋找下一個攻擊目標。歹徒用這方法入侵了 100 多個電子郵件網域以及 18,000 個電子郵件帳號。如此龐大的規模看似是政府撐腰的駭客集團所為，但其實只是一位義大利核子工程師和他妹妹而已，兩人單純只是想靠竊取資料發財而已。
2015 年，在攻擊者取得 SWIFT 金融網路的資金交易代碼之後，一家厄瓜多銀行損失 1,200 萬美元。隔年，另有一起牽涉 SWIFT 的網路洗劫案例，造成孟加拉中央銀行損失 8,100 萬美元。同樣在 2016 年，一家越南銀行成功防止一起類似的攻擊事件，阻止攻擊者移轉 113 萬美元到攻擊者帳戶中。
我們將這一系列新的攻擊分類為商業流程入侵 (BPC)，主謀偷偷修改關鍵流程及系統，以進行看似正常卻未經授權的操作。那麼 BPC 是如何運作？BPC 的獨特之處在哪，與商務電子郵件入侵或稱為變臉詐騙 (BEC) 或目標式攻擊有何相似之處？企業又要如何找出 BPC？
BEC變臉詐騙的五種類型
BPC 及 BEC 擁有同樣的最終目標 (即經濟利益)，但兩者僅有這點相似。
BEC 是極度仰賴社交工程（social engineering ）策略的詐欺手段，誘騙受害者移轉資金到詐欺犯名下帳戶。在 BEC 中，攻擊者通常假扮成與金融或電匯付款業務相關的執行長或任何高階主管。根據 FBI 指出，BEC 有下列五種類型：
[請參閱：商務電子郵件入侵(變臉詐騙)是如何運作？]
BPC的三種類型
另一方面，BPC 則是更為複雜的攻擊，其中牽涉修改程序，產生與原先預期的不同結果。這往往能讓攻擊者獲得極高的經濟利益。根據趨勢科技所觀察到的案例，BPC 有下列三種類型：
[請參閱：商業流程入侵(BPC)的種類及個別案例]
鎖定目標攻擊及 BPC: 都能無限期留在網路中，而不被偵測到
針對性攻擊/鎖定目標攻擊(Targeted attack )及 BPC 間僅有一線之隔，兩者皆使用相同工具、技術及元件，且能在不受偵測的狀況下，滲透並留存於目標網路當中。兩者都能無限期留在網路中，而不被偵測到。然而，鎖定目標式攻擊的主要目的是滲透到公司中最重要的資產 (商業機密、智慧財產等)，以進行商業間諜或破壞行為。另一方面，BPC 的詐欺犯主要是為取得不法利益。BPC 可能也會使用與鎖定目標式攻擊相同的手法，如情報收集、橫向移動，到維護和資料滲透等。
