SSL - 資安趨勢部落格

分析惡意程式所用的 SSL/TLS 憑證

2021 年 11 月 24 日2021 年 11 月 04 日趨勢科技 TrendMicro

近年來，惡意程式越來越常使用加密來隱藏其網路流量。其實這也很正常，因為一般正常的網路流量也越來越常採用加密連線。Google 在其透明度報告 (Transparency Report) 中指出，目前經由 Google Chrome 瀏覽器所產生的網路流量，絕大部分都經由 HTTPS 加密連線。本文詳細分析惡意程式所使用的 SSL/TLS 憑證。

過去六年以來，我們看到一般惡意程式與目標式攻擊惡意程式大量運用了加密連線。這不僅是為了躲避偵測，更是為了融入一般正常的加密流量。除了惡意程式之外，一些駭客工具平台，如：Cobalt Strike、Metasploit 及 Core Impact 也都使用加密流量。許多案例甚至採用了 SSL/TLS 所使用的 X.509 憑證。

趨勢科技在一篇技術摘要「惡意程式幕後操縱 (C&C) 通訊採用 SSL/TLS 憑證的現況」(The State of SSL/TLS Certificate Usage in Malware C&C Communications) 當中詳細分析了各種惡意程式家族所用的憑證。我們指出了這些憑證的一些特性以及我們觀察到的現象，還有如何迅速偵測這些憑證的技巧。要想盡可能及早攔截惡意程式，最重要的關鍵就是在憑證層次偵測惡意程式的 C&C 通訊流量，尤其是在無法透過代理器 (Proxy) 來進行解密的情況下。

繼續閱讀

對抗腰間肉,也要睜大眼-衝動購賣網路減肥食品前,請先看清楚…

2016 年 02 月 03 日2016 年 02 月 04 日趨勢科技 TrendMicro

《小廣和小明的資安大小事》食慾暴增的冬天，小明的裙子也有些緊了…

這姊妹倆到底在吵什麼?逼得小明還要秀出腰間肉呢?

在網路上輸入資訊時請先確認是否為官方網址

現今網路商店及網路銀行的使用十分的普及，大家經常會在網路上進行個人資訊 / 密碼、信用卡等的資訊交換。同時，個人資料在通訊過程中被竊取，或將用戶誘導至惡意網站後，再利用不正當手段取得資訊及金錢，這類的犯罪手法在現今的網路上亦隨處潛藏著。繼續閱讀

Android惡意軟體利用SSL來躲避偵測

2014 年 10 月 14 日2014 年 10 月 15 日趨勢科技 TrendMicro

安全套接層協議（SSL）和它的後繼者傳輸層安全協議（TLS）都是設計來提供客戶端和伺服器之間有著安全加密的連線。為了進一步地進行身份驗證和加密，伺服器必須提供憑證。通過這過程，伺服器可以直接有效地證明其身份。

使用 SSL 連線，雙方可以確保通訊的有效性和安全性。這對某些服務來說非常有用，像是網路銀行、電子郵件、社群網路，它們需要建立安全通道來交換客戶端和伺服器間的資訊。

不幸的是，這項技術也成為了兩面刃。Android 惡意軟體現在會利用 SSL 來隱藏自身行為並且逃避偵測。

使用 SSL 伺服器

SSL伺服器已經成為Android惡意軟體的目標。惡意軟體可以使用下列三種之一的伺服器。

1.不知名自行管理伺服器 – 要使用不知名的自行管理SSL伺服器，惡意軟體作者需要建立自己的TrustManager（可以決定接受憑證）和 SSLSocket讓其惡意應用程式信任該伺服器憑證。建立自己的TrustManager和SSLSocker是必要的，因為惡意軟體伺服器憑證通常並沒有預設包含在Android作業系統中。這樣做通常需要更多的精力：當伺服器或網域變更時（通常是為了應對防毒偵測），SSL連線在驗證過程中可能會失敗。惡意軟體作者必須更新憑證和客戶端應用程式以重新建立連線。此外，使用自行簽發的憑證和固定的伺服器會被資安公司輕易而快速地偵測。所以只有少數惡意軟體利用這種方式也就並不令人驚訝。繼續閱讀

目標攻擊活動隱匿在SSL通訊背後

2013 年 05 月 07 日2013 年 09 月 17 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Nart Villeneuve（資深威脅研究員）

使用加密通訊像是SSL，加上巧妙地利用新聞事件作為社交工程陷阱( Social Engineering)的誘餌，就是滲透入侵跟持久隱匿在目標網路的完美組合。

目標攻擊沒過多久就開始利用波士頓馬拉松事件作為誘餌，誘騙使用者去開啟惡意附件檔案。我們發現有封電子郵件帶有惡意附件，檔名為「The Prayer.DOC」，敦促收件者為這慘劇的受害者祈禱。

上述附件檔案（MD5：5863fb691dd5b3002c040fc7c535800f，被偵測為TROJ_MDROP.ATP），會攻擊漏洞CVE-2012-0158，將惡意執行檔 – 「IEXPLORER.EXE」（MD5：74a8269dd80d41f7c81e0323719c883c）植入目標電腦內。

這惡意軟體被偵測為TROJ_NAIKON.A，透過SSL（端口443）連到網域 – gnorthpoint.eicp.net，之前解析為IP – 220.165.218.39，現在解析為IP – 50.117.115.89。

它的憑證內填入的是假資訊，包括身份：「donc」，和組織：「abc」。