Urpage 與 Bahamut、Confucius 及 Patchwork 等駭客集團的關聯性

趨勢科技 TrendMicro

趨勢科技隨時都在監控網路資安威脅情勢的發展，透過這樣的過程，我們就能進一步了解歹徒幕後的運作。這次我們深入追查了某個不知名的駭客集團與 Confucius、 Patchwork 及 Bahamut 等集團之間的可能關聯，看看他們之間有何相似之處。我們暫時將這個不知名的集團稱為「Urpage」。

Urpage 之所以引起我們注意，在於它攻擊的目標為一個烏爾都語與阿拉伯語專用的文書處理程式，叫做「InPage」。此外，歹徒也使用了一個 Delphi 後門元件 (這一點和 Confucius 及 Patchwork 相似)，並且使用了一個和 Bahamut 類似的惡意程式，正是這樣才會讓人覺得 Urpage 與上述幾個知名駭客團體有所關聯。在我們之前的一篇文章當中，我們已探討過 Confucius 和 Patchwork 之間共通的 Delphi 元件。也稍微提到 Urpage 和兩者之間有所關聯。這一次我們將深入研究 Urpage 與這幾個團體有何共通之處。

與 Bahamut 的關聯性

假冒網站

Bahamut 與 Urpage 之間的關聯，最明顯的就是後者有多個 Android 應用程式樣本的程式碼與 Bahamut 的程式相同，但卻連接至 Urpage 的幕後操縱 (C&C) 網站。而且某些 C&C 網站同時也是網路釣魚網站，專門引誘使用者下載這些應用程式。歹徒建立這些假冒網站來介紹這些應用程式並提供連結讓使用者至 Google Play 商店下載，例如「pikrpro.eu」這個惡意網站就是一例，見下圖：

還有另一個網站也是模仿得跟原本的網站很像，只有在標誌和頁面上方的選項稍有不同。當然，假冒網站當中的連結都已經換成指向惡意 Android 應用程式的網址。

繼續閱讀

薪資匯款帳號變成駭客銀行帳戶?!美國大學員工被竊逾600萬美元

趨勢科技 TrendMicro

美國司法部公告了一名奈及利亞公民因涉嫌合謀詐欺、電腦詐騙及嚴重身份竊盜而被定罪，他企圖用網路釣魚(Phishing)騙局來從數家美國大學的員工竊取超過600萬美元。

經過在喬治亞州亞特蘭大為期三天的審判之後，被告被判有罪，並將於2018年10月22日服刑。他的同黨在1月被判處三年零三個月的監禁。

他們從馬來西亞吉隆坡進行這起詐騙行動，發送了釣魚郵件給大學員工。在取得大學員工的帳號密碼後，他們將薪資單的匯款資訊變更為自己利用愛情詐騙（romance scam）取得的銀行帳戶。接著再將偷來的錢匯到國外。除了竊取薪資外，他們還進行假退稅申報，使用了從大學員工帳號所取得的W-2表(美國報稅表工資與稅務說明書,類似台灣的扣繳憑單)。

向錢看!金融惡意軟體:銀行木馬,勒索軟體不斷開發”新市場”

網路釣魚的力量

網路釣魚仍是最常見的網路犯罪技術。趨勢科技在最近偵測到一起網路釣魚詐騙，向目標受害者發送了超過13,000封的網路釣魚郵件。這波郵件活動使用了HTML附件檔。主要目標是加拿大皇家銀行的加州客戶。

網路釣魚也是變臉詐騙攻擊或稱為商務電子郵件入侵，簡稱 BEC)的主要組成部分，聯邦調查局稱這種詐騙造成了120億美元的損失，受害者遍佈各種規模的組織及個人。在6月，一群位在以色列從企業竊取1800萬歐元的BEC詐騙首腦在經過兩年的調查後落網。

 

防範網路釣魚和BEC詐騙

資安意識和適當的教育訓練可以協助個人和組織識別網路釣魚詐騙來避免成為這類攻擊的犧牲品。部署正確的安全解決方案 – 傳統防禦加上人工智慧（AI）和機器學習先進技術有助於強化對各種網路威脅的防禦。

趨勢科技的郵件安全產品使用了人工智慧（AI）和機器學習來增強對BEC詐騙、電子郵件帳號入侵（EAC）、網路釣魚和其他進階威脅的整體網路防禦。趨勢科技的防BEC詐騙技術結合了資安專家的知識與自我學習的數學模型，透過檢查行為因素和電子郵件意圖來識別假電子郵件。

新的寫作風格（Writing Style）DNA會利用AI基於過去電子郵件的寫作風格來識別使用者的DNA，將其與可疑的假郵件進行比較來偵測造假郵件。這功能最適用在使用入侵合法郵件帳號的BEC詐騙攻擊。當一封郵件疑似要欺騙使用者時，會將寫作風格與訓練過的AI模型進行比較，並發送警告給被冒用的寄件者、收件者和IT部門。從2018年6月開始，趨勢科技Cloud App Security for Microsoft Office 365和ScanMail Suite for Microsoft Exchange已經使用了此項新技術。

趨勢科技還推出了FraudBuster，它會分析電子郵件、簡訊及聊天訊息內容來判斷這是否可能是詐騙。如果使用者對訊息內容有任何疑問，建議使用這項免費工具來進行檢查。Fraudbuster還會提供收到詐騙訊息後該如何做的建議。它的目的是為了保護使用者免於落入愛情或稅務等詐騙的陷阱。

 

@原文出處：Phishing for Payroll: Nigerian National Convicted for Attempted Stealing of $6M+ via Phishing

《資安漫畫 》更換新的智慧型手機有哪些要注意的事項?

趨勢科技 TrendMicro

 

☝Google帳號及Apple ID的設定

開啟智慧型手機電源，完成語言及Wi-Fi等的設定後，在Android裝置上會被要求輸入Google帳號，iPhone手機則是必須輸入登錄Apple ID帳號以便確認。使用Google帳號及Apple ID帳號時，Google及Apple為了提供消費者各項的服務會要求輸入帳號及密碼。

已持有Google帳號及Apple ID帳號的用戶，可延續使用此帳號，但在此為防止帳號被不肖第三方盜用,設定密碼是很重要的。使用社群網站服務時，必須使用經過本人認證的帳號及密碼來進行登錄，一旦在多數的社群網站服務上使用同一組密碼或易被猜測的傻瓜密碼，被破解的危險性增高。在裝置上使用帳號來登錄時，請務必設定一組讓難以推測的密碼。

參考： 不駭怕? 英國國會議員與他人共用帳密是常態!

密碼安全提示問題竟讓小廣吃味了!

資安漫畫 密碼安全提示 21

 

☝社群網站隱私設定

一旦拿到智慧型手機，每位用戶幾乎都會迫不及待地想使用Facebook Instagram、Twitter、LINE等SNS的社群網站。開始使用社群網站時必須留意的就是隱私權的設定了。為了不被其他不肖人士窺探個資請進行適當的隱私權設定，及限制個人自我簡介及貼文的公開對象。 繼續閱讀

《電腦病毒30演變史》2000年史上最毒的電子情書: 「ILOVEYOU」我愛你病毒全球大告白

趨勢科技 TrendMicro

1988 年趨勢科技成立之初,你知道當年出現的病毒,是靠 5.25 英吋的磁碟片傳播的嗎?
今年(2018年)趨勢科技成立滿 30 年,我們一同回顧 30年病毒演變史。
我們將分期為大家介紹《1988-2018 資安威脅演變史 》中,造成全球重大損失的病毒與攻擊手法事蹟
本期介紹的是傳播速度比梅莉莎病毒快上數倍，破壞力更為強大的-LOVELETTER(情書)/I LOVE YOU(我愛你) 病毒

每年 5月 20 日是網路告白日,同樣選擇在 5 月告白的還有一口氣同時向上百萬人進行全球大告白的「ILOVEYOU」(我愛你)病毒。

1999年Mellisa 梅麗莎病毒擴散全球花了四天時間,2000 年同樣以電子郵件散播的「ILOVEYOU」(我愛你)病毒只花了四小時
「如果月底前，我仍無法獲得一份穩定的工作，我就要釋放出第三種病毒，把硬碟中所有資料夾殺得片甲不留。」來自菲利賓,史上最毒情書-I LOVE YOU病毒作者曾撂下這樣狠話

2000年5月 4日趨勢科技晚間發佈一級病毒警訊，「ILOVEYOU」病毒病毒透過電子郵件，迅速地在全球各地擴散。這隻由 VB Script程式語言所撰寫的病毒，傳播途徑類似1999年3月釀成巨災的梅莉莎病毒，主要透過一封信件標題為 「ILOVEYOU」的電子郵件散播，附加檔案為 “LOVE-LETTER-FOR-YOU.txt.vbs” (獻給你的情書),因此也被稱為「LOVELETTER」情書病毒或愛情蟲病毒,該病毒可說是早期使用社交工程（social engineering ）手法得逞的經典案例。電腦使用者一旦執行附加檔案，病毒會經由被感染者 Outlook 通訊錄的名單發出自動信件，藉以連鎖性的大規模散播，造成企業 mail server癱瘓。病毒發作時，會感染並覆寫附檔名為：*.mp3, *.vbs, *.jpg, *.jpeg, *.hta, *.vbe, *.js, *.jse….等十種檔案格式；檔案遭到覆寫後，附檔名會改為 *.vbs 。

看起來是 .TXT 文件檔,怎麼會中毒?

該病毒的附檔名是 LOVE-LETTER-FOR-YOU.TXT.vbs 。但是 Windows 會將第二個檔名隱藏起來，所以使用者看起來會以為是一般的 .TXT 文件檔。

2000年5月4日上午趨勢科技首先接獲歐洲客戶的求救訊息，之後，德國分公司在二小時內湧進了數百通的求援電話，其中包括了政府機關與工商單位，並有數家大型ISP公司遭受此病毒的感染，業務服務陷入停擺。4日下午，病毒透過 email，在極短的時間內即擴散至台灣，有數家與國外業務往來密切的大型企業傳出災情，mail server瞬間被灌爆，網路陷入癱瘓。「ILOVEYOU」病毒與Melissa ( 梅莉莎 )病毒的最大差異在於，梅莉莎病毒只會對通訊錄的前50個名單發出垃圾郵件，而 ” 「ILOVEYOU」病毒是向所有的通訊錄名單發出自動信件，其傳播的速度比梅莉莎病毒快上數倍，破壞力更為強大。

繼續閱讀

利用機器學習(Machine Learning)協助識別網頁竄改（Web Defacement）

趨勢科技 TrendMicro

網頁竄改（web defacement） – 一種明顯改變網頁外觀的攻擊，特別在政治事件後會被駭客用來表達自己的政治立場。我們在進行許多研究時都會遇到。我們在之前的一篇文章裡探討了常見的網頁竄改活動，並在另一篇文章中強調了我們資安研究工具內的機器學習(Machine Learning)能夠協助電腦緊急應變小組（CERT/電腦資安事件應變小組（CSIRT）及網站管理員為此類攻擊做好準備。後者是出自我們最新報告「找出網頁竄改活動：使用DefPloreX-NG從竄改網頁取得深入了解」內的分析結果。在這裡我們會闡述為什麼機器學習能夠協助我們更好地分析理解駭客如何運作及組織起來。

 

利用DefPloreX-NG機器學習技術來幫忙

我們在2017年推出了DefPloreX，這是個可以用在大規模電子犯罪鑑識的機器學習工具。而今年，我們推出了DefPloreX-NG，這個版本整合了強化的機器學習演算法及新的視覺化範本。我們在最新的網頁竄改報告中實際地利用了DefPloreX-NG來分析19年來1,300萬份的網頁竄改記錄。資安分析師和研究人員也可以用它來即時識別正在進行的網頁竄改活動，甚至是新或未知的攻擊活動。增強且具備更多功能的工具組能夠更有效地從原始遭竄改網站過濾出可操作的情報。它可以自動識別和追蹤網頁竄改攻擊活動，為每起攻擊活動加上有意義的標籤。此外，它還可以更加輕鬆地排序和搜尋網站，像根據攻擊者或駭客組織、動機、內容或宣傳類型、頂級網域（TLD）、遭竄改網站類別（媒體等）等等標籤。這些很大程度地是經由機器學習的幫忙。

 

 

圖1、使用DefPloreX-NG自動分析遭竄改網頁

繼續閱讀