在網路犯罪的世界裡，俄羅斯網路犯罪地下市場早已是全球最精密、最有影響力的生態系之一。這裡不僅有高度專業化的駭客、先進的攻擊工具，還有嚴密的合作文化，讓網路犯罪不斷推陳出新，影響範圍遍及全球。全球網路犯罪生態正經歷一場重大變革。其中，俄羅斯網路犯罪地下市場與中文網路犯罪圈的合作日益緊密，這不僅擴大了威脅範圍，也使攻擊手法更加多元、隱蔽。
俄烏衝突等地緣政治事件，改變了駭客集團的攻擊目標與運作方式。以往駭客會刻意避開俄羅斯地區，但現在這些地區也成為攻擊目標。此外，網路犯罪已不再侷限於單一地區，跨國合作讓駭客能更靈活地規避執法，並擴大攻擊目標範圍。俄羅斯網路犯罪與中文網路犯罪論壇上，雙方開始交換漏洞資訊、攻擊工具、目標名單等資源，甚至共同策劃攻擊行動。
【2024年2月23日，台北訊】全球網路資安領導廠商趨勢科技(東京證券交易所股票代碼：4704)今天表示該公司最近協助全球執法機關破獲專以勒索病毒服務(RaaS)模式運作的超大型勒索集團LockBit，並斬斷了他們未來繼續經營惡意軟體生意的命脈。趨勢科技透過臥底滲透的方式並搶先在該集團完成惡意程式產品測試之前，協助遏止該集團即將發佈的惡意程式產品，同時為客戶部署了偵測及防護機制。
負責與美國聯邦調查局(FBI)及英國國家犯罪局(NCA)合作的趨勢科技網路犯罪研究團隊協理Robert McArdle表示：「我們很榮幸我們的威脅情報能在這項合作任務中對全球執法機關發揮獨一無二的價值，讓世界變得更安全。」
趨勢科技一直在持續追蹤 CopperStealer 駭客集團的最新發展，這次它利用一個惡意的 Chromium 瀏覽器擴充功能來竊取虛擬加密貨幣和使用者錢包的帳號資訊。
我們曾經發布一些有關 CopperStealer 駭客集團的分析，指出他們會透過瀏覽器資訊竊取器、瀏覽器廣告擴充功能或是遠端桌面來散播惡意程式。最近我們在追蹤他們的最新動態時發現，該集團正利用一個可產生和竊取 API 金鑰的惡意瀏覽器擴充功能，在被感染的電腦上趁著使用者登入一些主流虛擬加密貨幣交易所網站時，竊取 API 金鑰。有了 API 金鑰，擴充功能就可以使用者的名義執行虛擬加密貨幣交易，將虛擬加密貨幣從使用者的錢包發送到駭客的錢包。
如同先前的作法，這個新的惡意元件同樣也是經由假盜版軟體網站散播。此元件散播時通常會包含一個植入器和一個瀏覽器資訊竊取器，並與其他不相干的惡意程式打包在一起，接著再壓縮成一個密碼保護的壓縮檔，從今年 7 月開始在網路上散播。
此元件在第一階段使用了我們先前一篇貼文中提到的同一個加密器，接著在第二階段中，解密後的 DLL 使用了 Ultimate Packer Executables (UPX) 來壓縮。在經過解密和解壓縮之後，我們發現一個名為「CRX」的資源目錄，裡面含有一個 7-Zip 壓縮檔。這是惡意的 Chrome 瀏覽器擴充功能經常使用的包裝方式。
圖 1：名為 CRX 的擴充功能安裝程式內含一個 7-Zip 壓縮檔。
壓縮檔內含一個 JSON 格式的設定檔，以及另一個 7-Zip 壓縮檔，裡面是擴充功能安裝程式本身的程式碼。
擴充功能安裝程式首先會修改 Chromium 瀏覽器的「User Data」目錄下的「 Preferences」和「 Secure Preferences」兩個檔案。 Preferences 是一個 JSON 格式檔案，內含個別使用者設定。擴充功能安裝程式會關閉瀏覽器通知。
另外，Secure Preferences 也是一個 JSON 格式檔案，內含新安裝擴充功能的設定。由於是新安裝的擴充功能，所以「 crx.json」檔案的內容會被插入這個 Secure Preferences 設定檔中。此外，新安裝的擴充功能也會被加入系統登錄中的擴充功能安裝允許清單。
接著，「crx.7z 」壓縮檔會解開到擴充功能目錄「<User Data\Default\Extension>」之下。最後，瀏覽器會重新啟動，好讓新安裝的擴充功能啟用。根據我們的分析，此惡意元件會攻擊下列以 Chromium 為基礎所開發出來的瀏覽器：
同時，我們也發現安裝在受害者瀏覽器的惡意擴充功能包含兩個不同的擴充功能識別碼 (ID)，但這兩個都沒列在官方的 Chrome Web Store 上：
擴充功能安裝好後，我們將在 「 chrome://extensions/」看到以下這個新安裝的惡意擴充功能。
擴充功能的 manifest 文件定義了兩個 JavaScript 腳本。其中，背景腳本的檔名為「 background.js」，它會在擴充功能本身內部執行，而且只執行一份。另一個是內容腳本，檔名為「 content.js」，它會在 coinbase.com 環境 (context) 內執行，這一點從擴充功能的 manifest 文件中可以看到。
腳本加密編碼
這兩個 JavaScript 腳本都經過多道加密編碼手續。第一道加密編碼會將所有的字串拆成較小的字串，並儲存成單一陣列，存取此陣列時要呼叫多個使用十六進位字元命名的函式，並輸入 5 個十六進位整數作為參數。
第二道加密編碼會將所有字串、邏輯運算子 (+, -, *, /)、函式呼叫等等，插入一個物件陣列當中。每個物件含有一個隨機字串作為名稱，以及一個字串或函式作為數值。在我們分析的樣本中，「 _0x1f27e3[‘PFPYr’]」對應到字串「set」，而「 _0x1f27e3[‘LYLfc’](0,1) 」則對應到邏輯運算敘述「0!=1」。
以上兩道加密編碼都能使用客製的自動化腳本來解開。
藉由分析這個腳本，我們就可以看出駭客如何竊取合法虛擬加密貨幣錢包使用者的帳戶資訊。當此擴充功能啟動時，背景腳本會發出兩個網路請求。第一個是 GET 請求，目標網址為「 http://<C&C server>/traffic/chrome」，這可能是作為統計用途。第二個是 POST 請求，目標網址為「 http:// <C&C server>/traffic/domain」，請求中的資料包含一份虛擬加密貨幣網站的網域清單 (根據受害電腦上的 cookie)：
接下來，擴充功能會定義一個陣列，裡面存放駭客的各種虛擬加密貨幣位址和 Token：
針對 ETH (乙太幣) 位址，該腳本當中寫死了大約 170 個額外的 ERC20 Token。隨後，擴充功能啟動 onMessage 監聽器 (listener) 來監聽擴充功能處理程序或內容腳本所發送的訊息。此訊息使用的是 JSON 格式，其中一個數值的名稱為「method」(方法)。背景腳本會監聽以下方法：
這個方法會試圖從 Chrome 的本機儲存讀取 API 金鑰 (apiKey) 與 API 機密 (apiSecret)，如果這些金鑰/機密之前曾經儲存在本機上的話。這些參數用於以下步驟：
交易請求回傳的結果也會傳送給 C&C 伺服器：http://<C&C server>/traffic/step。
這個訊息是從內容腳本所收到，內容含有一個雙重認證 (2FA) 碼作為其中一個參數。此認證碼用來開啟一個新的對話視窗以產生 API 金鑰。通常，當您在 Coinbase API 設定中點選「+New API Key」(新增 API 金鑰) 時，您會看到一個雙重認證要求，如果您輸入的認證碼正確，就會出現這個對話視窗。
在產生新 API 金鑰的第二個步驟中，您必須選擇錢包及權限。惡意擴充功能會要求您提供所有可用帳戶的所有權限。
接著，您必須再輸入一個認證碼，然後會出現一個表單顯示新產生的 API 金鑰。如果成功，背景腳本接著會從「API key details」表單擷取這兩個 API 金鑰 (API Key 和 API Secret)，將它們儲存到 Chromium 瀏覽器的本機儲存以供後續使用，並傳送至幕後操縱伺服器： http://<C&C server>/traffic/step。如果 API 認證不成功，就會發送「retryApi」訊息給內容腳本。
我們進一步分析了內容腳本當中負責竊取受害者雙重認證密碼的程式碼。內容腳本當中含有一系列語言的訊息，包括下列語言：
每個訊息都包含標題、說明以及針對手機和認證器的錯誤訊息。
舉例來說，以下是針對手機的英文訊息：
以下是針對認證器的英文訊息：
內容腳本一開始會先發送請求至「 /api/v3/brokerage/user_configuration」來看看使用者是否已經登入。接著，內容腳本會發送一個「homeStart」訊息給背景腳本，並開始利用 onMessage 來監聽含有「method」屬性的訊息，如同背景腳本的作法一樣。如果收到的訊息「method」屬性等於「okApi」，就會隱藏認證碼載入器並移除對話視窗。如果收到的訊息「method」屬性等於「errorApi」，就會建立一個對話視窗。
這個對話視窗上含有幾個輸入方塊，並且會監聽 oninput 事件。當每個輸入方塊都填入數字時，這些數字會拼湊在一起並寫入「tfa」變數 (雙重認證碼) 並當成「createApi」訊息的參數，發送至背景腳本。然後也會顯示認證碼載入器。
對話視窗有 6 個輸入方塊可輸入 6 位數，這是在使用認證器的情況。如果受害者使用的是手機簡訊認證，那麼認證碼會是 7 位數，此時對話視窗會出現 7 個輸入方塊。這部分的邏輯是寫在對話視窗的程式碼內。如果收到的訊息「method」屬性等於「retryApi」，那程式碼會刪除所有已輸入的數字，並以紅色顯示錯誤訊息。
CopperStealer 犯罪集團短期內似乎毫無收手的跡象，我們將持續監控他們的一舉一動，看看他們如何攻擊更多不知情的受害者。我們這次在分析惡意擴充功能的行為時，發現這個擴充功能與之前的 CopperStealer 惡意程式有許多相似之處，其中一個就是這個擴充功能與 CopperStealer 都是經由相同的植入器散播，同時也透過前面提到的相同管道。
另一個極為相似的地方是，這個惡意擴充功能的 C&C 伺服器網域與先前版本的 CopperStealer 所用的網域名稱擁有相同格式，應該都是由網域產生演算法 (DGA) 所產生，格式為 16 個十六進位字元組成的字串。不僅如此，兩者的 C&C 伺服器也都是使用一個名為「CodeIgniter」的 PHP 程式框架所建立。這些就是 CopperStealer 惡意程式與此擴充功能背後的開發及經營者可能有所關聯的線索。
企業和一般使用者應養成從官方平台下載軟體、應用程式及更新的習慣，就能防範 CopperStealer 這類惡意程式的威脅和風險。建議您的團隊最好讓資安解決方案隨時保持更新，以確保它們能妥善保護系統，偵測並防範各種可能的攻擊和感染。
如需完整的入侵指標 (IoC)，請參閱 這份文件。
原文出處： CopperStealer Distributes Malicious Chromium-based Browser Extension to Steal Cryptocurrencies 作者：Jaromir Horejsi 與 Joseph C Chen
隨著網路攻擊成為有力組織進攻武器庫內的常用手段，一個向潛在客戶提供網路攻擊服務、工具甚至培訓的產業已然發展起來。
主要業務仍是網路間諜和資料竊取的 Void Balaur是產能最高的網路傭兵之一，該組織的會在地下論壇或Probiv等網站販賣關於個人的高度敏感資料，對世界各地不同的部門和產業都發動過攻擊。
自2015年以來就一直活躍的Void Balaur主要從事網路間諜活動和資料竊盜，將竊取的資訊出售給任何願意付錢的人。在我們調查Void Balaur的活動時，發現該組織攻擊了超過3,500名受害者，其中有些人甚至持續地反覆遭受攻擊。
什麼是 「網路傭兵（cybermercenary）」?
隨著網路攻擊成為有力組織進攻武器庫內的常用手段，一個向潛在客戶提供網路攻擊服務、工具甚至培訓的產業已然發展起來。這產業內的主要參與者之一就是所謂的「網路傭兵（cybermercenary）」 – 顧名思義，這些人或團體為政府、犯罪組織甚至企業等客戶提供不同類型的網路產品和服務並收取費用。理論上，這些網路傭兵可用於非惡意目的，如幫助政府打擊恐怖主義和有組織犯罪。但事實是，他們的服務最終被用於針對客戶對手的攻擊。
網路犯罪分子們有著各種不同的動機：例如，有些駭客是為了進行破壞性政治攻擊，有些則可能更傾向於進行網路間諜活動或收集目標受害者資訊。當然，金錢仍是個強大的網路犯罪誘因 – 甚至可能是最常見的動機。有些網路犯罪份子（如勒索病毒 犯罪組織）能直接從網路攻擊中獲利。但有些人則更願意成為「網路傭兵（cybermercenary）」，出售服務給任何願意付錢的人。
Void Balaur是產能最高的網路傭兵之一，這是個講俄語的駭客組織，對世界各地不同的部門和產業都發動過攻擊。雖然Void Balaur提供各式各樣的服務，但該組織的主要業務仍是網路間諜和資料竊取，會在地下論壇或Probiv等網站販賣關於個人的高度敏感資料。
趨勢科技隨時都在監控網路資安威脅情勢的發展，透過這樣的過程，我們就能進一步了解歹徒幕後的運作。這次我們深入追查了某個不知名的駭客集團與 Confucius、 Patchwork 及 Bahamut 等集團之間的可能關聯，看看他們之間有何相似之處。我們暫時將這個不知名的集團稱為「Urpage」。
Urpage 之所以引起我們注意，在於它攻擊的目標為一個烏爾都語與阿拉伯語專用的文書處理程式，叫做「InPage」。此外，歹徒也使用了一個 Delphi 後門元件 (這一點和 Confucius 及 Patchwork 相似)，並且使用了一個和 Bahamut 類似的惡意程式，正是這樣才會讓人覺得 Urpage 與上述幾個知名駭客團體有所關聯。在我們之前的一篇文章當中，我們已探討過 Confucius 和 Patchwork 之間共通的 Delphi 元件。也稍微提到 Urpage 和兩者之間有所關聯。這一次我們將深入研究 Urpage 與這幾個團體有何共通之處。
假冒網站
Bahamut 與 Urpage 之間的關聯，最明顯的就是後者有多個 Android 應用程式樣本的程式碼與 Bahamut 的程式相同，但卻連接至 Urpage 的幕後操縱 (C&C) 網站。而且某些 C&C 網站同時也是網路釣魚網站，專門引誘使用者下載這些應用程式。歹徒建立這些假冒網站來介紹這些應用程式並提供連結讓使用者至 Google Play 商店下載，例如「pikrpro.eu」這個惡意網站就是一例，見下圖：
還有另一個網站也是模仿得跟原本的網站很像，只有在標誌和頁面上方的選項稍有不同。當然，假冒網站當中的連結都已經換成指向惡意 Android 應用程式的網址。