PowerShell - 資安趨勢部落格

還在使用老舊軟體和這 61 組弱密碼? 挖礦病毒利用多重攻擊手法自中國擴散至台灣、日本等亞洲企業

2019 年 04 月 16 日2019 年 04 月 16 日趨勢科技 TrendMicro

趨勢科技偵測到一個惡意軟體: Trojan.PS1.LUDICROUZ.A用多種感染方式,擴散門羅幣挖礦程式到更多的系統和伺服器。該挖礦病毒在今年初現身中國，原先的感染方式是用弱密碼及pass-the-hash（傳遞雜湊）技術,還有經由Windows管理工具與公開原始碼進行暴力破解攻擊，。在日本發現的這起新案例會用EternalBlue(永恆之藍) 漏洞攻擊及PowerShell來入侵系統並躲避偵測。

看起來攻擊者正在將此殭屍網路擴展到其他國家；趨勢科技發現在台灣、日本、香港、越南、印度及澳洲都發現了此威脅。

趨勢科技發現這個惡意軟體非常複雜，專門設計成感染更多的電腦，而且可以不會馬上被偵測到。它會利用電腦系統和資料庫的弱密碼，針對企業可能仍在使用的老舊軟體，使用會在記憶體內下載和執行組件的PowerShell腳本，攻擊未修補的漏洞以及使用Windows的啟動資料夾和任務排程進行安裝。

鑑於PowerShell的日漸普及加上有越來越多公開可用的開放程式碼，可以預期會看到更加複雜的惡意軟體。雖然收集系統資訊並送回C&C與直接竊取個人身份資料相比可能顯得微不足道，但系統資訊對機器來說是獨一無二的，可以用來追蹤識別使用者及其活動。

呼籲企業儘早更新系統, 使用複雜密碼, 並應用可以從閘道到端點主動封鎖這些威脅和惡意網址的多層次保護系統。

主要散播方式是利用弱密碼登入連接網路的其他電腦

這個惡意軟體（趨勢科技偵測為Trojan.PS1.LUDICROUZ.A）的主要散播方式是利用弱密碼登入連接網路的其他電腦。它不會直接將自己複製到連接的系統，而是透過遠端命令來變更中毒電腦的防火牆和端口轉發設定，建立排程來下載並執行更新的惡意軟體。下載的PowerShell腳本會執行：

繼續閱讀

專門攻擊企業系統的 PowerGhost 無檔案式惡意程式

2018 年 08 月 03 日2018 年 08 月 02 日趨勢科技 TrendMicro

根據資安研究人員指出，日前出現了一個無檔案式虛擬加密貨幣挖礦惡意程式，專門攻擊企業的伺服器和電腦。這個名為 PowerGhost 的惡意程式 (趨勢科技命名為 TROJ_BLUTEAL.D、DDOS_NITOL.SMC 和 Coinminer_CryptoNight.SM-WIN64) 會運用 Powershell 腳本執行工具和 EternalBlue 漏洞攻擊來暗中將自己散布到企業網路上的電腦和伺服器。此外，此惡意程式還能讓駭客發動分散式阻斷服務攻擊 (DDoS)攻擊。

PowerGhost 會使用正常的軟體工具，例如 Windows Management Instrumentation (WMI)，並且利用加密編碼的 Powershell 腳本來感染系統，腳本內含有挖礦程式的核心程式碼與模組。此腳本會下載挖礦程式「mimikatz」以及用來啟動挖礦程式的程式庫「msvcp120.dll」和「msvcr120.dll」，還有 EternalBlue 漏洞攻擊程式碼 (shellcode) 以及一個 Reflective PE 注入模組 (用來從記憶體內直接執行程式)。繼續閱讀

濫用 PowerShell 的無檔案病毒興起

2017 年 07 月 04 日2017 年 06 月 29 日趨勢科技 TrendMicro

網路犯罪分子越來越常利用系統內建工具或服務來散播惡意軟體,原因是方便、有效和隱蔽。舉例來說，利用這些合法工具可以讓威脅活動混在正常的網路流量或IT/系統管理工作內,也讓這些惡意威脅能夠留下較少的痕跡，使得偵測更加困難。無檔案病毒就是其中一個例子。

無檔案病毒意味著沒有檔案被寫入或下載至受感染機器的本地磁碟執行。相對地，它們會在系統的記憶體內執行，或駐留在系統註冊表內以取得持久性。在典型的無檔案病毒感染中，有效載荷可以被注入現有應用程式/軟體的記憶體內，或透過白名單內的應用程式（如PowerShell）來執行腳本。

即便它們不是基於檔案（或可執行檔）的威脅，我們知道它們確實在外活動著，因為此類技術已經常地被使用在針對性攻擊/鎖定目標攻擊(Targeted attack )中。無檔案病毒最可被察覺的是網路蹤跡，像是命令與控制（C&C）連線，和其他留在中毒系統內的惡意程式碼。不幸的是無檔案病毒也可以在公開的專案計畫中取到，甚至在網路地下市場作為產品（或服務）提供。無檔案病毒也是如Angler等漏洞攻擊的主要功能之一。舉例來說，網路犯罪集團Lurk利用自己所開發的漏洞攻擊套件來透過無檔案病毒從金融機構竊取超過4,500萬美元。

[延伸閱讀：無檔案勒索病毒技術全貌 – UIWIX]

惡意PowerShell腳本是許多無檔案病毒的關鍵要素。Windows PowerShell是內建基於.NET框架的命令列Shell，提供使用者存取作業系統（OS）服務的介面，也是能夠建立腳本的程式語言。PowerShell主要用來自動化系統管理工作，像是檢視系統內所有的USB設備、磁碟和服務，排程工作並在背景執行，或是終止程序（就像是工作管理員）。PowerShell也可以讓管理員無縫管理系統和伺服器及軟體或服務所運行環境的設定。繼續閱讀

資安威脅趨勢：攻擊者使用 LNK 檔案下載惡意軟體

2017 年 05 月 26 日2017 年 06 月 12 日趨勢科技 TrendMicro

PowerShell 是微軟的多用途命令列和 shell 腳本語言，可以與許多技術整合並且互動。它可以默默地在背景執行，無須執行檔就能夠取得系統資訊。換言之，這是對威脅者相當具有吸引力的工具。有許多網路犯罪分子惡意使用 PowerShell 的知名案例：像是2016年3月的 PowerWare勒索病毒，和2016年4月的新Fareit惡意軟體變種。因為這看起來是正在上升的趨勢，安全管理員對於如何防止PowerShell腳本造成損害也變得更加熟悉。

不過網路犯罪分子找到另一種方法來執行PowerShell腳本 – Windows LNK（LNK）。使用者常常可以看到的LNK檔案就是捷徑，出現在桌面和開始選單。事實上，LNK檔早在2013年就被用作攻擊載體。而在2017年初，我們注意到有木馬下載程式利用.zip包含.zip來掩飾一個會帶來Locky勒索病毒的LNK檔案。

現在，我們看見越來越多攻擊使用惡意 LNK 檔來利用正常應用程式（如PowerShell）下載惡意軟體或其他惡意檔案。為了說明LNK 的上升使用趨勢，請看看一個LNK 惡意軟體（趨勢科技偵測為LNK_DLOADR.*）如何從2017年一月開始一路飛升。這上升幅度顯示出這樣的方法正在成為流行：

圖1、4個月間的LNK_DLOADR偵測數量

最近的 LNK-PowerShell和 ChChes攻擊

在2016年10月，我們看到攻擊者利用LNK加上PowerShell和BKDR_ChChes來對日本政府機構和學術單位進行針對性攻擊。攻擊中使用了偽裝成假.jpg檔案的惡意PowerShell檔案。

圖2、在2016年十月針對日本目標的攻擊

我們在2017年一月注意到一個駭客集團 APT10（也稱為MenuPass、POTASSIUM、Stone Panda、Red Apollo和CVNX）在一波大規模魚叉式釣魚攻擊（SPEAR PHISHING）使用類似手法。在此起攻擊中，LNK 檔案執行cmd.exe來下載一個隱藏了惡意 PowerShell 腳本的假.jpg檔案。繼續閱讀

針對 Word 和 Excel 檔案的病毒家族CRIGENT,利用Windows PowerShell執行惡意行為

2014 年 04 月 18 日2014 年 04 月 10 日趨勢科技 TrendMicro

利用Windows PowerShell感染 Word和 Excel檔案

惡意軟體已經針對 Word和 Excel檔案有好一段日子了，但趨勢科技最近看到一個新的惡意軟體家族 – CRIGENT（也被稱為「Power Worm」）帶來了一些新的技術。（趨勢科技將這些檔案偵測為W97M_CRIGENT.JER和X97M_CRIGENT.A。）

最引人注意的並不是建立或包含可執行程式碼，而是 CRIGENT 利用Windows PowerShell來執行其程序。PowerShell是一個功能強大的互動式 shell/腳本工具，可用在Windows的所有現行版本上（而且從Windows 7開始內建）；該惡意軟體會透過PowerShell腳本來進行所有行為。因為IT管理員通常會找的是惡意二進位檔而可能會忽略掉它，因為使用這種技術的惡意軟體並不常見。

到達及其他組件

這種威脅會透過一個受感染的Word或Excel文件到達，可能是由其他惡意軟體所植入，或是經由使用者下載/存取。一旦打開，它會馬上從兩個著名的網路匿名專案下載另外兩個組件：Tor 網路以及Polipo，一個個人網頁快取/代理伺服器。

攻擊者會去掩飾這兩個檔案（經由變更它們的檔名），並且隱藏DNS記錄來掩蓋這些檔案的來源。這些檔案放在正常的雲端檔案儲存服務上（在此案例中是Dropbox和OneDrive）。這些檔案的網址被隱藏在DNS記錄中。這是如何做到的？

他會存取兩個不同網域的DNS記錄，並且在每個網域內建立一個子網域。不過他沒有將子網域對應到任何特定的IP地址。相反地，他儲存文字在DNS記錄中，再特別去查詢TXT記錄。（為了逃避本地端的DNS攔截，他會直接查詢Google的公共DNS伺服器），Windows內執行的命令是：