標籤: LNK

資料偷竊軟體攻擊以色列醫院

趨勢科技 TrendMicro

捷徑（LNK）檔越來越被網路犯罪分子所愛用。趨勢科技已經看到許多威脅利用惡意LNK檔案：從知名的勒索病毒家族、常用於針對性攻擊的後門程式，以及銀行木馬，一直到垃圾郵件，甚至是針對LNK本身漏洞的攻擊碼。這些惡意威脅通常會利用合法工具讓情況變得更嚴重，如濫用PowerShell或是腳本自動化工具AutoIt。所以當我們在以色列醫院偵測到有資料竊取程式利用LNK檔也就絲毫不奇怪了。

醫療機構被認為是網路犯罪分子的搖錢樹，因為具備了利潤豐厚的來源 – 擁有可以在地下市場貨幣化的個人身份資料。經過初步調查顯示，任何瀏覽器相關資訊（如登錄憑證）都可以被偷走，這對可以用瀏覽器操作的管理系統和應用程式來說相當重要。

趨勢科技看到它試圖進入系統和區域網路內的分享資料夾。另一個值得注意的是，它結合了蠕蟲的散播能力以及隱身能力。

趨勢科技分析仍在進行中，當我們找到關於此威脅的詳細資訊將會持續更新本篇文章。下面是目前所知的資訊：

透過蠕蟲散播。惡意軟體的初步分析顯示會透過蠕蟲散播。它將自己（包括捷徑檔、非惡意可執行檔AutoIt，以及惡意AutoIt腳本）複製到中毒系統的根目錄 – C:\WinddowsUpdated\<file copy>。

偽裝成Windows更新。該捷徑檔偽裝成瀏覽器和Windows更新程式，網頁3D製作工具，並鏈結到系統的下載和遊戲資料夾。 繼續閱讀

資安威脅趨勢：攻擊者使用 LNK 檔案下載惡意軟體

趨勢科技 TrendMicro

PowerShell 是微軟的多用途命令列和 shell 腳本語言，可以與許多技術整合並且互動。它可以默默地在背景執行，無須執行檔就能夠取得系統資訊。換言之，這是對威脅者相當具有吸引力的工具。有許多網路犯罪分子惡意使用 PowerShell 的知名案例：像是2016年3月的 PowerWare勒索病毒，和2016年4月的新Fareit惡意軟體 變種。因為這看起來是正在上升的趨勢，安全管理員對於如何防止PowerShell腳本造成損害也變得更加熟悉。

不過網路犯罪分子找到另一種方法來執行PowerShell腳本 – Windows LNK（LNK）。使用者常常可以看到的LNK檔案就是捷徑，出現在桌面和開始選單。事實上，LNK檔早在2013年就被用作攻擊載體。而在2017年初，我們注意到有木馬下載程式利用.zip包含.zip來掩飾一個會帶來Locky勒索病毒的LNK檔案。

現在，我們看見越來越多攻擊使用惡意 LNK 檔來利用正常應用程式（如PowerShell）下載惡意軟體或其他惡意檔案。為了說明LNK 的上升使用趨勢，請看看一個LNK 惡意軟體（趨勢科技偵測為LNK_DLOADR.*）如何從2017年一月開始一路飛升。這上升幅度顯示出這樣的方法正在成為流行：

圖1、4個月間的LNK_DLOADR偵測數量

 

最近的 LNK-PowerShell和 ChChes攻擊

 

在2016年10月，我們看到攻擊者利用LNK加上PowerShell和BKDR_ChChes來對日本政府機構和學術單位進行針對性攻擊。攻擊中使用了偽裝成假.jpg檔案的惡意PowerShell檔案。

圖2、在2016年十月針對日本目標的攻擊

 

我們在2017年一月注意到一個駭客集團 APT10（也稱為MenuPass、POTASSIUM、Stone Panda、Red Apollo和CVNX）在一波大規模魚叉式釣魚攻擊（SPEAR PHISHING）使用類似手法。在此起攻擊中，LNK 檔案執行cmd.exe來下載一個隱藏了惡意 PowerShell 腳本的假.jpg檔案。 繼續閱讀