標籤: RAT

鎖定航太工業的垃圾郵件攻擊,散播跨平台遠端存取木馬 Adwind

趨勢科技 TrendMicro

JAVA_ADWIND是一個跨平台 DIY 專用遠端存取木馬程式(RAT)，可在任何安裝有 Java 軟體的系統上執行，因此涵蓋了 Windows、Mac OSX、Linux 以及 Android。最近出現了一個專門散布該惡意程式的垃圾郵件攻擊行動，但這次其主要目標是航太工業，而受害最嚴重的國家是瑞士、烏克蘭、奧地利和美國。該程式的惡意行為包括：竊取使用者憑證、側錄鍵盤輸入內容、拍照或抓取螢幕畫面、錄影或擷取影片，以及將資料外傳。

基本上，網路犯罪集團都是機會主義者。那個作業系統開始熱門，他們就會開發出對應的工具和攻擊技巧，藉此網羅更多受害者。這就是惡意程式為何希望能夠跨越各種不同平台。而且，若能再配合某種商業模式來將惡意程式賣給其他犯罪分子的話，效益就更高。

眼前就有一個案例：Adwind/jRAT (趨勢科技命名為：JAVA_ADWIND)。這是一個跨平台遠端存取木馬程式 (RAT)，可在任何安裝有 Java 軟體的系統上執行，因此涵蓋了 Windows、Mac OSX、Linux 以及 Android。

最近出現了一個專門散布該惡意程式的垃圾郵件攻擊行動，但這次其主要目標是航太工業，而受害最嚴重的國家是瑞士、烏克蘭、奧地利和美國。

Adwind 幕後集團現正活躍
這起垃圾郵件攻擊正好呼應了趨勢科技對 JAVA_ADWIND 長期監控的研究結果。事實上，此惡意程式的偵測數量從今年初便持續穩定成長：從一月份的 5,286 增加至六月份的 117,649。另一點值得注意的是，JAVA_ADWIND 的偵測數量從五月至六月一下子暴增 107%，顯示犯罪集團正積極地散播該程式。

Adwind/jRAT 的惡意行為包括：竊取使用者憑證、側錄鍵盤輸入內容、拍照或抓取螢幕畫面、錄影或擷取影片，以及將資料外傳。Adwind 之前的版本大多用來攻擊銀行和丹麥企業，甚至會收編受感染的裝置來納入「Botnet傀儡殭屍網路」網路當中。

Adwind 身為一個跨平台 DIY 專用遠端存取木馬程式，它其實還有許多別名：jRAT、Universal Remote Control Multi-Platform (UNRECOM)、AlienSpy、Frutas 以及 JSocket。2014 年，趨勢科技曾經發現一個修改過的 Android 版 Adwind/jRAT，增加了數位貨幣採礦功能。而且由於它採用服務的經營方式，因此我們可以看到許多其他網路犯罪集團所開發的客製化版本與專屬功能。


圖 1：JAVA_ADWIND 從 2017 年 1 月至 6 月的偵測量。 繼續閱讀

MajikPOS 攻擊手法結合了銷售櫃台系統 (PoS) 惡意程式與遠端存取木馬程式 (RAT)

趨勢科技 TrendMicro

趨勢科技發現了一個新的 銷售櫃台系統 (PoS) 惡意程式品種：MajikPOS (趨勢科技命名為：TSPY_MAJIKPOS.A)，和許多其他 PoS 惡意程式一樣是專為竊取資訊而設計，但其模組化的執行方式卻相當獨特。我們估計 MajikPOS 的第一個感染案例應該出現在 2017 年 1 月 28 日左右。

雖然其他的 PoS 惡意程式，如：FastPOS (新版)、Gorynych 及  ModPOS  也採用了元件化的設計來分擔各種不同功能 (如鍵盤側錄)，但 MajikPOS 的模組化方式稍有不同。MajikPOS 只需再從伺服器下載另一個元件就有能力擷取系統記憶體 (RAM) 內的資料。

MajikPOS 是根據歹徒所使用的幕後操縱 (C&C) 面板而命名，該面板是用來發送指令並傳送竊取到的資料。MajikPOS 幕後的駭客在攻擊時結合了 PoS 惡意程式和遠端遙控木馬程式 (RAT)，可造成嚴重的傷害。從 MajikPOS 可看出歹徒的手法越來越複雜，讓傳統的防禦顯得毫無招架之力。

入侵點與攻擊過程

趨勢科技從 Smart Protection Network™ 所得到的資料可以判斷出歹徒使用什麼方法從遠端存取受害者的端點，那就是：Virtual Network Computing (VNC) 和 Remote Desktop Protocol (RDP) 兩種遠端支援工具，不過歹徒還必須猜出受害者的遠端帳號密碼，然後再搭配先前安裝在系統上的 RAT 工具。 繼續閱讀

認識電腦病毒:什麼是木馬（Trojan）?遠端存取木馬（RAT）?

趨勢科技 TrendMicro

 為什麼到處都是木馬，我要如何阻止他們？

想要在網路上保持安全、不受傷害可能是個艱難的任務。網絡上有許多很棒的東西，不過同樣地，對初學者來說也可能是個地雷區，充斥著網路釣魚（Phishing）詐騙、垃圾郵件(SPAM)和惡意軟體。

在資訊安全產業中，我們可能難以避免地去使用一些難懂的術語。你可能已經在一些新聞報導裡聽過木馬程式，如果他們詳細的介紹網路攻擊。因此，讓我們用白話來介紹，來看看最常見的威脅之一：木馬（Trojan）。

所以它跟蠕蟲（Worm）一樣嗎？或病毒（Virus）？嗯，不完全是

他們都是惡意軟體的一種，或說是惡意程式。但是和病毒或蠕蟲不同，木馬並不進行自我複製。簡單的說，它們是偽裝成無害軟體的惡意程式，這個詞源自於經典的特洛伊戰爭故事，一群希臘士兵藏在一個巨大的木馬以進入特洛伊城，然後跳出來大肆攻擊敵人。

而在電腦世界裡，木馬是種惡意軟體，透過電子郵件或惡意網頁來偷偷地進入並安裝在你的電腦上。一旦進入後，惡意軟體就可以做各種壞事了。

什麼是遠端存取木馬（RAT）？

有些木馬程式被稱為遠端存取木馬（RAT），設計用來遠端操縱使用者的電腦，讓駭客可以完全控制。有些則可能有不同的目的，像是竊取個人資料，側錄鍵盤，甚至將受害者電腦作為殭屍網路/傀儡網路 Botnet的一部分。

P2P和社群媒體攻擊

不幸的是，木馬攻擊已經變得越來越普遍。在網路上就可以買到工具包，像是黑洞漏洞攻擊包（Blackhole Exploit Kit），讓壞蛋們只需要具備有限的技術能力，就可以幫他們把製造和發動惡意軟體最難的部份做掉。通常木馬會偽裝成看似正常的檔案夾帶在不請自來的電子郵件中，不然就是被隱藏在被入侵的一般網站上，或偽裝成一般檔案放在P2P網站，甚至潛伏在社群網站上的連結裡。

繼續閱讀

PlugX：客製化的遠端存取工具, 針對臺灣在內特定目標發動 APT 攻擊

趨勢科技 TrendMicro

2012年早些時候，一種被稱為Plugx（也被稱為 Korplug）的新型遠端存取工具（RAT）出現在真實世界中。PlugX，據報被用在有限的APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊裡，是專門為此類攻擊而客製化的遠端存取工具例子。

使用此新工具背後的想法很簡單：更少的可識性也更讓安全研究人員難以捉摸。然而，這並不代表這起攻擊是新的。趨勢科技的監測顯示使用 PlugX 的攻擊活動（至少）可以追朔至2008年2月。

該攻擊活動使用 Poison Ivy遠端存取工具，據報會針對在日本、中國和臺灣的特定使用者。這攻擊活動也是今年早些時候所發表的一起大型協同攻擊的一部分。關於它的起源，我們注意到PlugX主要散布到政府相關組織和一個位於日本的特定公司。

跟之前的Poison Ivy攻擊活動類似，它是透過魚叉式釣魚郵件的附件檔到達，可能是壓縮過的檔案或特製的文件檔來攻擊 Adobe Acrobat Reader或微軟 Office 的漏洞。我們還發現一起針對韓國網路公司和美國工程公司的 PlugX 案例。

 

Poison Ivy和PLUGX C&C伺服器：花開並蒂的關係

在我們的監視期間，我們最初看到一個PlugX變種會連到名為{封鎖}eo.flower-show.org的命令與控制（C&C）伺服器。根據歷史資料，我們確認這是個惡名昭彰的已知Poison Ivy C&C。使用{封鎖}eo.flower-show.org所解析出的IP地址，我們可以對應到數個C&C網域。這些C&C似乎都被Poison Ivy和PlugX變種所使用。

下面的關係圖顯示解析出的IP位址、C&C網域、遠端存取工具變種和這些遠端存取工具散播日期間的關係。注意到關於舊變種，我們使用的看見它們出現的最早日期。

 

在上圖中，我們可以看到雖然這起攻擊活動現在使用新的PlugX遠端存取工具，同時也還在繼續散播相對較久也更穩定的Poison Ivy變種。因為它的變體會植入除錯日誌到%System Root%\Documents and Settings\All Users\SxSbug.log，我們也懷疑PlugX可能仍在測試階段。此日誌檔記錄遠端存取工具程式碼內的可能錯誤，可能在之後上傳到攻擊者的C&C伺服器以作稽核用。

 

雖然為APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊開發客製化遠端存取工具並非新鮮事，我們可以看到PlugX的幕後黑手已經開始散佈其仍在測試中的遠端存取工具。這些惡意份子自2008年就已經存在，他們可能已經到達某種程度。很可能是在利用目標機器來改進他們的遠端存取木馬，以用在未來更加麻煩的攻擊活動中。

不幸的是，測試版遠端存取工具程式碼中的錯誤可能為攻擊者和任何被針對的組織導致意想不到的後果。例如，被存取的檔案可能非預期的損壞，造成大量的資料遺失。

趨勢科技的使用者受到主動式雲端截毒服務  Smart Protection Network的保護。特別是檔案信譽評比服務會偵測並刪除PlugX（BKDR_PLUGX和TROJ_PLUGX）和Poison Ivy（BDKR_POISON）變種。網頁信譽評比和電子郵件信譽評比服務會封鎖上述C&C和相關電子郵件。

 

 

＠原文出處：PlugX: New Tool For a Not So New Campaign作者：Roland Dela Paz（威脅研究員）