PlugX - 資安趨勢部落格

PlugX惡意軟體出現在官方版本的英雄聯盟和流亡黯道

2015 年 01 月 21 日2015 年 01 月 21 日趨勢科技 TrendMicro

台灣的資訊安全大會 – 台灣駭客年會（HITCON）上發表了一起針對多款線上遊戲的攻擊。兩款熱門線上遊戲的官方版本被發現有問題，會下載惡意軟體到系統上。HITCON和趨勢科技合作提供了清除工具給這波攻擊的潛在受害者。趨勢科技接著和受到影響的遊戲供應商合作來解決這起事件。

有問題的官方版本

被用在這波攻擊的遊戲是線上遊戲 – 英雄聯盟（LoL）和流亡黯道（Path of Exile）。遠端存取木馬（RAT）PlugX的變種出現在這些遊戲的官方版本，而且顯然地是針對於亞洲特定國家的使用者。

感染鏈經由下載合法安裝程式或更新遊戲而觸發。有問題的遊戲啟動程式會植入三個檔案：

合法遊戲啟動程式
用合法啟動程式來蓋掉有問題版本的「清理程式」
安裝PlugX檔案的植入程式

清理程式可以視為是一種掩飾惡意活動痕跡的作法。到最後，受害者只會看到兩個惡意檔案，NtUserEx.dll和NtUserEx.dat（都被偵測為BKDR_PLUGX.ZTBL-EC）。

PlugX允許遠端攻擊者在未經使用者許可或授權下執行惡意和資料竊取行為。PlugX變種往往會針對合法的應用程式，所以利用這些遊戲並不算是新手法。一個比較大的分別是這個PlugX變種會建立自己的自動啟動服務，而非利用合法應用程式的服務。

仔細檢查會發現「Cooper」字串出現在惡意軟體內。而在另一起APT攻擊活動中，「Lee Cooper」這名字被用來註冊命令與控制（C&C）伺服器，這顯示這兩起攻擊活動背後可能是相同的團體。

圖1、「Cooper」字串可以在惡意軟體中找到

同時檢查其憑證，我們注意到可疑檔案的雜湊值是有效的，意味著有用「簽章工具」來配對有問題檔案的雜湊值。而在另一方面，合法的遊戲啟動程式則帶有無效的數位簽章。

追查源頭

這些有問題的官方版本可以追查到Garena，這是一家亞洲的線上遊戲代理商。Garena和Riot Games、S2 Games和藝電等遊戲廠商有合作關係，所以對某些遊戲有獨家發行權。

在一份官方說明中，Garena說道「電腦和修補程式伺服器受到了木馬程式感染。結果造成所有英雄聯盟和流亡黯道的遊戲程式受到感染」。

臺灣和新加坡所受的影響最大

根據分析，似乎只有臺灣版本的英雄聯盟和流亡黯道受到影響。趨勢科技主動式雲端截毒服務 Smart Protection Network的反饋資料也支持這項發現。然而，我們也看到來自其他亞洲國家（如泰國、馬來西亞和香港）的受害者。

圖3、受影響的國家

繼續閱讀

八種駭客用來竊取企業資料的後門程式技巧(內有白皮書)

2014 年 10 月 22 日2015 年 01 月 08 日趨勢科技 TrendMicro

八種駭客用來竊取企業資料的後門程式技巧

後門程式可讓駭客從任何網路遙控缺乏防護的電腦，包括公共網路、家用網路或辦公室網路。透過一些所謂的後門程式技巧 (也就是後門程式所做的工作)，駭客就能暗中下令電腦竊聽使用者線上聊天內容、連上受感染的網站、複製密碼等等。

當 IT 系統管理員在電腦系統上發現後門程式時，很可能歹徒早已暗中蒐集有關其網路的重要資訊。此外，也代表駭客早已準備進入鎖定目標攻擊流程的第三階段，也就是建立其幕後操縱 (C&C) 通訊。若照這樣繼續發展下去，駭客最後將偷到一些可讓他們販賣或用於其他惡意用途的資訊。

下載完整的研究報告：鎖定目標攻擊所使用的後門程式技巧 (Backdoor Use in Targeted Attacks)

延伸閱讀：幾可亂真的 UPS 快遞電子郵件暗藏後門

為此，趨勢科技研究人員特別觀察駭客使用後門程式來操控目標網路的方式，截至目前為止，我們發現駭客最常使用的後門程式技巧有八項：

將後門程式綁定某個通訊埠。

若網路上沒有架設防火牆，駭客就能輕易透過電腦的某個通訊埠來進行後門通訊，也就是連接埠綁定。一旦後門程式綁定某個連接埠，駭客就能自由地與該電腦通訊，進而輕易加以掌控。

透過後門程式穿越防火牆。

若網路上架設了防火牆，駭客可利用反向連線的技巧來通訊。駭客會修改後門程式來檢查可用及沒有保護的連接埠以進行通訊。如此，後門程式就能穿越防火牆和防護軟體的封鎖。一旦後門程式找到一個可用的連接埠，就能連回駭客的幕後操縱 (C&C) 伺服器。

後門程式檢查可用的連線以傳輸檔案。

通常，駭客還會利用後門程式來搜尋可用的連線，以躲避入侵防護系統 (IDS) 的偵測。駭客一旦找到可用連線，就能經由後門程式暫時連上系統並進行其他惡意活動，例如傳輸檔案。

後門程式透過社群網路連上幕後操縱伺服器。

繼續閱讀

針對性攻擊/鎖定目標攻擊(Targeted attack ) 所用的後門技術

2014 年 09 月 03 日2015 年 12 月 11 日趨勢科技 TrendMicro

後門程式是針對性攻擊/鎖定目標攻擊(Targeted attack ) 重要組成部分，因為它們讓外部的攻擊者可以去控制任何已經入侵的電腦。這讓攻擊者可以收集資料，並且在目標組織內做橫向移動。

我們對各種針對性攻擊/鎖定目標攻擊(Targeted attack ) 進行的調查顯示，後門程式會利用各種不同戰術來進行自己的行為，以及保持不被網路管理者或安全產品發現。隨著時間的過去，這些技術已經發展成更加複雜以防範網路管理者。

最初，攻擊者所需要做的只是連上一台已入侵電腦的開放TCP/IP端口。然而，因為防火牆變得更加普遍，其它技術也變成必需。技術繼續發展，變成是由客戶端來初始連線到伺服器，因為早期封鎖對外流量比較少見。

隨著時間過去，各種防禦也越來越加進步，所以會使用其他的技術。比方說，公開的部落格也可以成為某種指揮和控制（C＆C）伺服器：

圖1、用作指揮和控制伺服器的部落格（點入以看大圖）

繼續閱讀

具備時間炸彈的PlugX遠端存取工具,利用Dropbox更新指揮與控制設定

2014 年 06 月 25 日2015 年 01 月 07 日趨勢科技 TrendMicro

監視網路流量是IT管理員用來判斷網路內是否有進行中之APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊的方法之一。遠端存取工具（或稱RAT）常見於針對性攻擊活動，用來建立指揮與控制（C&C）通訊。儘管這些遠端存取工具（如Gh0st、PoisonIvy、Hupigon和PlugX等等）都有已知的網路特徵且可被偵測，惡意份子還是能夠有效地將這些工具用在針對性攻擊中。

趨勢科技在五月發現攻擊台灣政府機構的APT攻擊。在此波攻擊中，惡意份子所用的PlugX遠端存取工具會利用Dropbox來下載C&C設定。Dropbox被濫用就非新聞，之前就有攻擊利用此一平台來放置惡意軟體。然而，在我們所分析過的APT攻擊裡，還是第一次看到利用Dropbox來更新C&C設定。

在過去幾周內，趨勢科技報導過其他威脅（像是Cryptolocker和UPATRE）會利用此公共儲存平台以擴散惡意活動。我們所取得的樣品由趨勢科技偵測為BKDR_PLUGX.ZTBF-A和TROJ_PLUGX.ZTBF-A。

當BKDR_PLUGX.ZTBF-A被執行，它會執行各種來自遠端使用者的指令，包括記錄按鍵、進行端口映射、遠端Shell等，進而導致後續的攻擊階段。在一般情況下，遠端shell讓攻擊者可以在受感染系統上執行任何指令以破壞安全防護。

這後門程式也會連到特定網址以取得其C&C設定。使用Dropbox有助於在網路中掩蓋其惡意流量，因為這是個用來儲存檔案和文件的正常網站。我們也發現這惡意軟體有個觸發日期為2014年5月5日，代表它從該日開始運行。可能這樣做也可以讓使用者不會馬上懷疑其系統上有任何惡意活動。

這是個第二型的PlugX變種，具備第一型之後的新功能和修改。其中一個改變是使用「XV」作為標頭，而非之前的MZ/PE標頭。這可能是種反鑑識技術，因為它一開始載入「XV」所以二進位檔不會運行，除非XV換成MZ/PE。此外，它還具備來自攻擊者的認證碼，在此案例中是20140513。不過，PlugX的一個共同特點是用普通應用程式載入惡意DLL的預載技術。這惡意DLL接著會載入包含主要行為的加密組件。此外，它會攻擊某些防毒產品。繼續閱讀

< APT 攻擊 > 利用微軟Word零時差漏洞,鎖定台灣政府機構發動攻擊(含社交工程信件樣本)

2014 年 05 月 21 日2015 年 01 月 08 日趨勢科技 TrendMicro

漏洞，特別是零時差漏洞，經常會被惡意份子用作目標攻擊的起始點。影響微軟Word的零時差（在當時）漏洞（CVE-2014-1761）就是一個例子。在三月所發佈的資安通報裡，微軟自己承認該漏洞被用在「有限的目標攻擊」裡。微軟因此在其四月的週二修補程式裡修補了此一漏洞。

然而，出現修補程式並不會嚇阻惡意份子去利用此漏洞。趨勢科技還是看到有APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊在他們的攻擊活動裡利用此一漏洞。

Taidoor連線:偽裝台灣政府部門和教育單位發出全國民調, 服貿議題被操作

我們看到了兩起針對台灣政府部門和一個教育單位的攻擊。第一起攻擊使用夾帶惡意附件檔的電子郵件，此郵件偽裝成來自政府員工。附件檔標題偽裝成一份全國性民調來增加說服力。此附件其實是被偵測為TROJ_ARTIEF.ZTBD-R的漏洞攻擊程式。它會產生被偵測為BKDR_SIMBOTDRP.ZTBD-R的檔案，接著再產生兩個檔案 – TROJ_SIMBOTLDR.ZTBD-R和TROJ_SIMBOTENC.ZTBD-R。這兩個檔案最後會導致被偵測為BKDR_SIMBOT.SMC的最終結果。

第二起APT攻擊的教育單位也是在台灣。此波攻擊利用電子郵件附加檔案來取得對收件者電腦和網路的存取能力。這封電子郵件討論了服貿議題，而附件檔和一個工作專案有些關係。跟第一個案例類似，此附件檔也是被偵測為TROJ_ARTIEF.ZTBD-PB的漏洞攻擊程式。它會產生一個被偵測為BKDR_SIMBOT.ZTBD-PB的後門程式。一旦執行，此一惡意軟體可以執行指令來搜尋欲竊取的檔案、取出檔案以獲利以及進行橫向移動。