|
電腦、網(wǎng)絡(luò)與盜竊 卡巴斯基實(shí)驗(yàn)室
電腦已成為我們?nèi)粘Ｉ蠲懿豢煞值囊徊糠?。以電腦儲(chǔ)存資料的使用者與機(jī)構(gòu)日益增加，而資料正是一種財(cái)產(chǎn)。雖然大部分的人都很關(guān)心他們?cè)诂F(xiàn)實(shí)生活中的財(cái)產(chǎn)，但是對(duì)于虛擬世界的財(cái)產(chǎn)則往往等閑視之。
使用者大多未能警覺到，也許正有人在打他們的主意。他們?nèi)砸粠樵傅匾詾樽约旱碾娔X上沒有吸引網(wǎng)絡(luò)罪犯地東西，因此他們無(wú)需畏懼惡意軟件。本文將由反面的角度，亦即，由網(wǎng)絡(luò)罪犯的觀點(diǎn)，來(lái)看待這項(xiàng)議題。
近年來(lái)，由于新技術(shù)的發(fā)明與應(yīng)用，網(wǎng)絡(luò)犯罪已歷經(jīng)了相當(dāng)程度的演化。時(shí)至今日，網(wǎng)絡(luò)犯罪已不再是業(yè)余的個(gè)人所為；此種犯罪已成為有利可圖的行業(yè)，并由高度組織化的團(tuán)體所經(jīng)營(yíng)。
據(jù)各方面估計(jì)，在2005年間，網(wǎng)絡(luò)犯罪已獲利數(shù)百億甚至數(shù)千億美金，而此金額遠(yuǎn)超過整個(gè)反病毒界的收益，當(dāng)然，這些錢并不簡(jiǎn)單是靠攻擊使用者與機(jī)構(gòu)所賺來(lái)的，但此類攻擊卻是網(wǎng)絡(luò)罪犯收入的一大部分的來(lái)源。
本報(bào)告包括兩個(gè)部分，第一部分將探討針對(duì)使用者的攻擊，第二部分將討論針對(duì)機(jī)構(gòu)所的攻擊，第一部分附帶分析何種虛擬財(cái)產(chǎn)容易遭到網(wǎng)絡(luò)罪犯的覬覦，以及用來(lái)獲取使用者資料的手法。
盜竊
盜竊的目標(biāo)是什么？
網(wǎng)絡(luò)盜竊對(duì)于哪種虛擬財(cái)產(chǎn)感興趣？
根據(jù)卡巴斯基實(shí)驗(yàn)室分析專家針對(duì)惡意程序的研究顯示，有四類虛擬財(cái)產(chǎn)最常遭竊。但再此亦強(qiáng)調(diào)，網(wǎng)絡(luò)騙徒所偷取的資訊并非僅限于下述項(xiàng)目。使用者最常遭竊的資訊包括：
只要您在電腦上儲(chǔ)存了任何上述的資訊，您的資料對(duì)于網(wǎng)絡(luò)罪犯而言便具有吸引力。
稍候我們將于文中說明這些資料為何會(huì)被竊取，以及資料一旦遭竊后的下場(chǎng)(請(qǐng)參閱“資料遭竊后的用途”一節(jié))。次節(jié)為資訊竊取手法的概觀。
竊取的手法
在大多數(shù)的案例中，網(wǎng)絡(luò)罪犯利用專門的惡意程序或“社交工程”方法來(lái)竊取資料。這兩種方法的結(jié)合則能增加其效力。
首先，讓我們來(lái)看看用以窺視使用者動(dòng)作（例如，記錄使用者按下的所有按鍵），或在使用者檔案或系統(tǒng)登錄檔中搜索特定資料的惡意程序。這類惡意程序所收集到的資料，最終將送至惡意程序的寫作者或使用者手中，任其為所欲為。
卡巴斯基實(shí)驗(yàn)室將這類程序歸類為木馬間諜程序或木馬－PSW程序。下圖顯示此類程序的各種變形在總數(shù)上的成長(zhǎng)：
圖 1. 用以竊取資料的惡意程序在數(shù)量上的增長(zhǎng)
間諜程序會(huì)經(jīng)數(shù)種媒介來(lái)到受害者的電腦上：使用者訪問的惡意網(wǎng)站、電子郵件、網(wǎng)絡(luò)聊天室、訊息看板、即時(shí)訊息程序等。在大部分的案例中，“社交工程”方法會(huì)與惡意程序一同并用，讓使用者按照網(wǎng)絡(luò)罪犯的指示進(jìn)行操作。其中一例為Trojan-PSW.Win32.LdPinch的變形，這是一種常見的木馬程序，用于竊取即時(shí)訊息應(yīng)用程序、信箱、FTP資源的密碼，以及其他的資訊。在進(jìn)入電腦后，惡意程序會(huì)發(fā)送類似一下的訊息：
看看這個(gè)
〈惡意程序的鏈接〉
大多數(shù)的收訊人都會(huì)按下鏈接，然后啟動(dòng)木馬程序。這是因?yàn)榇蠖鄶?shù)人都依賴ICQ送來(lái)的訊息，毫不懷疑地相信那是朋友送來(lái)地鏈接。這正是木馬程序散布地方式――在感染了您的朋友的電腦以后，木馬程序?qū)?huì)自身發(fā)送至該名朋友的聯(lián)絡(luò)人清單中所有地址，同時(shí)將竊取來(lái)的資料傅送給木馬程序的寫作者。
如今，即使是不熟練的病毒寫作者，也能寫出這類程序并結(jié)合“社交工程”方法使用，這類現(xiàn)象相當(dāng)值得憂心。參見下例：該程序是由英語(yǔ)不太靈光的人所寫作的－Trojan-Spy.Win32.Agent.ih。啟動(dòng)后木馬程序會(huì)顯示下圖中的對(duì)話視窗：
圖 2. 由 Trojan-Spy.Win32.Agent.ih 所顯示的對(duì)話視窗
使用者被要求付1美元以繼續(xù)使用網(wǎng)際網(wǎng)絡(luò)服務(wù)――這是典型的“社交工程”手法：
程序所進(jìn)行的第一件事，就是讓使用者毫無(wú)選擇地輸入其信用卡資料。因?yàn)闆]有其他的選項(xiàng)，乖乖聽話的使用者會(huì)按下“Pay credit card”（以信用卡付費(fèi)）。接著便會(huì)顯示如圖所示的對(duì)話框；
圖 3. 由 Trojan-Spy.Win32.Agent.ih 所顯示的信用卡資訊對(duì)話框
當(dāng)然，使用者就算填完所有欄位，按下“Pay 1 $」(付1元)，也不會(huì)真的扣款。然而信用卡資訊卻會(huì)通過電子郵件寄送至網(wǎng)絡(luò)罪犯處。
“社交工程”手法也常獨(dú)立于惡意程序外作業(yè)，特別是在網(wǎng)絡(luò)釣魚攻擊中（亦即針對(duì)提供網(wǎng)絡(luò)金融服務(wù)的銀行所屬顧客而進(jìn)行的攻擊）。使用者會(huì)收到看似銀行寄來(lái)的電子郵件。此類郵件會(huì)宣稱顧客的帳戶已遭凍結(jié)（這當(dāng)然與事實(shí)相違），顧客需進(jìn)入郵件中的鏈接并輸入其賬號(hào)詳細(xì)資料以使帳戶解凍。連接經(jīng)特殊設(shè)計(jì)，看來(lái)會(huì)與銀行的網(wǎng)站地址十分相象。事實(shí)上，卻會(huì)連接至網(wǎng)絡(luò)罪犯的網(wǎng)站中。如果輸入了帳戶的詳細(xì)資料，網(wǎng)絡(luò)罪犯便能使用該帳戶。圖4是網(wǎng)絡(luò)釣魚電子郵件的范例。
圖 4. 針對(duì)花期銀行顧客的網(wǎng)絡(luò)釣魚郵件
類似的郵件也會(huì)借各種其他組織與機(jī)構(gòu)的名義送出，例如支援服務(wù)、社會(huì)服務(wù)等等。
然而，網(wǎng)絡(luò)罪犯不只對(duì)信用卡資訊有興趣。他們也想獲得受害者電腦中的電子郵件地址。要如何竊取這些地址呢？由卡巴斯基實(shí)驗(yàn)室歸類為“垃圾郵件工具”的惡意程序在此扮演者中要的角色。這些程序會(huì)掃描受害者電腦中的電子郵件地址，而取得的地址會(huì)立即根據(jù)預(yù)先定義的條件進(jìn)行篩選，例如設(shè)定為忽略那些明顯屬于犯病毒公司的地址。接著這些搜集到的地址便會(huì)發(fā)送至惡意程序?qū)懽髡?使用者手中。
此外，尚有其他將木馬程序植入使用者電腦中的方法，其中有些方法相當(dāng)無(wú)恥。曾有案例顯示，網(wǎng)絡(luò)罪犯會(huì)付錢讓網(wǎng)站擁有者在前往訪問網(wǎng)站的使用者電腦中載入惡意程序。
iframeDOLLARS.biz便是此類案例的范例之一：該網(wǎng)站會(huì)向網(wǎng)站管理員提供“伙伴方案”，其中牽涉到在網(wǎng)站中放置攻擊碼，如此惡意程序便會(huì)下載至訪問網(wǎng)站者的電腦中。（使用者當(dāng)然不知道這件事）。這些“伙伴”沒造成1000筆感染便可獲得61美元。
資料遭竊后的用途 勿庸置疑，竊取資料的主要?jiǎng)訖C(jī)就是為了賺錢。所有遭竊的資訊，到最后不是轉(zhuǎn)賣給他人，便是直接用來(lái)操作帳戶，并以此獲得資金。然而誰(shuí)需要信用卡資料與電子郵件地址呢？
資料盜竊只是第一步，接下來(lái)，網(wǎng)絡(luò)犯罪必須從帳戶里提領(lǐng)現(xiàn)金，或販?zhǔn)凼占降馁Y訊，如果攻擊行動(dòng)收到用來(lái)存取網(wǎng)絡(luò)銀行系統(tǒng)或電子付款系統(tǒng)的詳細(xì)資料，即可透過以下各種方式來(lái)獲取金錢：通過一連串的電子匯兌處轉(zhuǎn)換電子貨幣（亦即來(lái)自某付款系統(tǒng)的金錢）的種類、使用其他網(wǎng)絡(luò)罪犯所提供的類似服務(wù)，或在網(wǎng)上商店購(gòu)買貨物。
在許多案例中，洗錢對(duì)網(wǎng)絡(luò)罪犯來(lái)說是整起犯罪事件里最危險(xiǎn)的階段，因?yàn)樗麄儽仨毺峁┛梢蕴峁┍孀R(shí)的資訊，例如貨物的收件地址，銀行帳戶號(hào)碼等等。為解決此問題，他們會(huì)雇傭在俄國(guó)網(wǎng)絡(luò)罪犯黑話中稱為（騾子）或（車手）的個(gè)人。（車手）用于執(zhí)行例行性的工作，避免網(wǎng)絡(luò)罪犯在收取金錢和貨物時(shí)讓自身曝光。（車手）本身不知道他們工作的真正性質(zhì)為何。他們通常是國(guó)際性的公司透過求職網(wǎng)站所雇傭。（車手）甚至還可能擁有簽名蓋印的合約，看來(lái)完全合法。然而，（車手）一旦就逮，且遭執(zhí)法機(jī)關(guān)詢問時(shí)，通常無(wú)法提供與其雇主相關(guān)的有效資訊。其合約與銀行詳細(xì)資料總是假造的，企業(yè)網(wǎng)站。以及上頭用來(lái)聯(lián)絡(luò)（車手）的電話號(hào)碼、郵政地址也是一樣。
目前網(wǎng)絡(luò)犯罪體系已經(jīng)成熟，網(wǎng)絡(luò)罪犯不再需要自己去找（車手）。在俄國(guó)網(wǎng)絡(luò)罪犯黑話中稱為（車手教練）的人，會(huì)為他們提供人手。當(dāng)然，這串犯罪鏈中每一個(gè)提供服務(wù)的環(huán)節(jié)都要抽取傭金。但網(wǎng)絡(luò)罪犯認(rèn)為花錢買多一份安全是值得的，這主要是因?yàn)榛ǖ腻X原本就不是他們自己賺的。
至于竊取到的電子郵件地址，則能以好價(jià)錢賣給垃圾郵件寄送者，將來(lái)用作大規(guī)模寄發(fā)垃圾郵件之用。
關(guān)于網(wǎng)絡(luò)游戲的方面。一般的玩家也許會(huì)相當(dāng)關(guān)注自己的游戲賬號(hào)所可能發(fā)生的事故。玩家經(jīng)常用電子貨幣購(gòu)買虛擬的武器、法術(shù)、防具或其他事物。過去也存在虛擬資源以現(xiàn)實(shí)世界中數(shù)千美元的成交案例。網(wǎng)絡(luò)犯罪能獲取這些財(cái)富，而無(wú)須為其付出，然后能賤價(jià)轉(zhuǎn)賣。這解釋了用以竊取網(wǎng)絡(luò)游戲虛擬財(cái)產(chǎn)的惡意程式何以越來(lái)越盛行。舉知名游戲（傳奇）為例，截至2006年7月底，用以竊取該游戲密碼的惡意程式，其已知變種數(shù)量就超過1300種。更甚者，最近我們的分析師已開始發(fā)現(xiàn)不僅至于攻擊單一游戲，而是能夠同時(shí)攻擊數(shù)種游戲的惡意程式。
詐騙
詐騙是讓使用者心甘情愿付錢的手法。在大多數(shù)案例中，詐騙都利用人性貪小便宜的弱點(diǎn)。商業(yè)事務(wù)不斷朝向嶄新的領(lǐng)域發(fā)展；越來(lái)越多的貨物與服務(wù)皆可在網(wǎng)絡(luò)上獲得，每天都有新的促銷活動(dòng)上市。
罪犯也緊隨著合法商務(wù)搶進(jìn)網(wǎng)絡(luò)世界，如今正上演著現(xiàn)實(shí)世界詐騙事件的網(wǎng)絡(luò)版本。這類騙局的原則，是以合法廠商低上許多的價(jià)格提供貨物，藉以吸引買家和顧客。下方圖5顯示的，是某家屬于此類型的俄國(guó)電子商店網(wǎng)頁(yè)的部分畫面：
圖 5. 詐騙網(wǎng)站上的低價(jià)筆記本電腦
如圖5所示，這些價(jià)格低的令人難以置信。如此的低價(jià)位應(yīng)該會(huì)引起使用者懷疑，并且讓他們?cè)龠@類網(wǎng)站上購(gòu)物前三思。為了避免此問題，網(wǎng)絡(luò)罪犯可能會(huì)打著以下的借口：
這類解釋當(dāng)然是極度有問題的。然而，許多人卻選擇相信這些解釋：他們以為，如果賣家不必為貨物付錢，他們就能便宜販賣貨物。 在訂購(gòu)時(shí)，顧客會(huì)被要求付首付，有時(shí)甚至要預(yù)先全額付費(fèi)。一旦付款后，很自然地、網(wǎng)絡(luò)罪犯地電話號(hào)碼或電子郵件地址就不會(huì)再有任何回應(yīng)。而賣家當(dāng)然也沒辦法把錢拿回來(lái)。這種騙局會(huì)在不同地環(huán)節(jié)上變化。例如在俄國(guó)，網(wǎng)上購(gòu)買地貨物通常會(huì)由專門遞送快遞地信差送達(dá)。在本案中，網(wǎng)絡(luò)罪犯可能借口說因?yàn)樾挪畛Ｋ图經(jīng)]有訂購(gòu)貨物地地址，但是電子商店店主依然要支付信差費(fèi)用，因而要求預(yù)付運(yùn)費(fèi)。結(jié)果網(wǎng)絡(luò)罪犯會(huì)收到運(yùn)費(fèi)，而顧客什么也拿不到。
假網(wǎng)上商店并非使用者面臨地唯一陷阱。在現(xiàn)實(shí)生活中發(fā)生地所有詐騙案，在網(wǎng)絡(luò)世界中都會(huì)有相對(duì)地翻版。還有一種網(wǎng)絡(luò)詐騙案地例子，就是引誘使用者以相當(dāng)吸引人的報(bào)酬率進(jìn)行投資的“投資計(jì)劃案”――報(bào)酬率高的讓人難以抗拒。圖6是這類“投資”網(wǎng)站的部分畫面：
圖 6. 詐騙的“投資”網(wǎng)站
它所提供的利率當(dāng)然不需要多加置評(píng)。盡管這類騙局有著荒唐可笑的本質(zhì)，仍然有人會(huì)相信這種“投資計(jì)劃案”，進(jìn)行投資，然后白白喪失金錢。
這份清單可說是無(wú)窮無(wú)盡：新型的假電子貨幣匯兌網(wǎng)站，新型的網(wǎng)絡(luò)老鼠會(huì)（跟現(xiàn)實(shí)世界中的老鼠會(huì)詐騙相似）、宣稱某種特殊秘密電子錢包可以讓收到金額變成兩倍或三倍的垃圾信件，以及其他類似的騙局，不論何時(shí)總是不斷涌現(xiàn)。如前述所言，這些詐騙都是利用人性貪小便宜的弱點(diǎn)。
勒索
在2006年，一種危險(xiǎn)的趨勢(shì)逐漸浮上水面：網(wǎng)絡(luò)勒索案件正在俄國(guó)以及其他獨(dú)立國(guó)協(xié)國(guó)家迅速蔓延。新型的木馬程序Trojan.Win32.Krotten于2006年1月出現(xiàn)；這套木馬程序能修改受害者電腦的系統(tǒng)登錄檔，讓使用者無(wú)法使用電腦。電腦重新開機(jī)以后，Krotten會(huì)顯示訊息，要求轉(zhuǎn)帳25 Hrivnia（烏克蘭貨幣，此金額相當(dāng)于5美元）至程序作者的銀行帳戶中，電腦就會(huì)恢復(fù)正常。且備電腦素養(yǎng)的使用者能夠自力將修改的項(xiàng)目恢復(fù)原狀，或者借由重新安裝作業(yè)系統(tǒng)，擺脫該惡意程序。然而，其他大多數(shù)為了用來(lái)勒索而設(shè)計(jì)的惡意程序系列，則沒那么容易擺脫，通常“付不付錢”的問題都是以肯定詞來(lái)回答的。
Krotten 會(huì)偽裝成生動(dòng)視聽的程序，宣稱提供免費(fèi)VoIP、免費(fèi)上網(wǎng)、免費(fèi)使用蜂巢式網(wǎng)絡(luò)等功能，并通過網(wǎng)絡(luò)聊天室與訊息看板傳播。
2006年1月25日，繼Trojan.Win32.Krotten之后，Virus.Win32.GpCode的第一種變體也出現(xiàn)了。這套惡意程序會(huì)大量寄送，并將硬盤上儲(chǔ)存的資料檔案加密，讓使用者無(wú)法解密。使用者必須付費(fèi)，資料才能解密。存有加密資料的資料夾皆出現(xiàn)readme.txt檔案，內(nèi)容為：
Some files are coded by RSA method. (部分檔案已通過RSA 方法編碼。) To buy decoder mail: xxxxxxx@yandex.ru這個(gè)已經(jīng)被反垃圾郵件程序保護(hù)，您需要啟動(dòng) (如需購(gòu)買解碼程序，郵寄至： xxxxxxx@yandex.ru這個(gè)已經(jīng)被反垃圾郵件程序保護(hù)，您需要啟動(dòng)) with subject: RSA 5 68251593176899861 (主旨為：RSA 5 68251593176899861)
程序作者雖然宣稱是以PSA演算法執(zhí)行加密，但事實(shí)上卻使用了標(biāo)準(zhǔn)的對(duì)稱式加密方法。還原資料的工作因此較為簡(jiǎn)單。
在短短的6個(gè)月過程種，GpCode已有相當(dāng)程度的發(fā)展，使用了不同的、更為復(fù)雜的加密演算法。此程序的不同變種針對(duì)資料解密所要求的贖金也各有不同：價(jià)格由30美元至70美元不等。這些程序都還只是開端。勒索用途的程序系列總數(shù)今年來(lái)已攀升(Daideneg, Schoolboys, Cryzip, MayArchive 與其他種類相繼出現(xiàn))，程序所影響的地理范圍也漸漸擴(kuò)大。迄本年度中時(shí)，已在英國(guó)、德國(guó)以及其他國(guó)家發(fā)現(xiàn)此類惡意程序。
然而，其他勒索方法仍如同之前一般廣泛的運(yùn)用。其中一例是針對(duì)21歲的英國(guó)學(xué)生Alex Tew的攻擊，這位學(xué)生建立網(wǎng)站，販賣由數(shù)個(gè)象素大小的無(wú)數(shù)方塊群所組成的廣告空間。Tew計(jì)劃要用這項(xiàng)不尋常的創(chuàng)意在四個(gè)月內(nèi)賺進(jìn)一百萬(wàn)元。網(wǎng)絡(luò)罪犯要求這位成功的學(xué)生付出一大筆錢，并威脅如果不付錢就要對(duì)他的網(wǎng)站發(fā)動(dòng)DDoS攻擊。在收到威脅的三天后，這個(gè)學(xué)生的網(wǎng)站便受到DDoS（分散式阻斷服務(wù)）攻擊。為了他的信譽(yù)，他拒絕付款。但是為何勒索與敲詐行為在網(wǎng)絡(luò)罪犯簡(jiǎn)如此盛行呢？答案很簡(jiǎn)單：受害人本身助長(zhǎng)了此等犯罪行為，他們?cè)敢馇陀谌魏我螅米屗麄兪セ蚴軗p的資料還原。
如何避免淪為網(wǎng)絡(luò)罪犯的受害者
讀者可能認(rèn)為這篇文章用意在恐嚇使用者，并且作出結(jié)論，只有反病毒程序能保護(hù)他們的資料。但事實(shí)上，如果網(wǎng)際網(wǎng)絡(luò)使用者不采取基本的預(yù)防措施，沒有任何的反病毒解決方案能夠救得了他們。以下是能夠協(xié)助您避免輕易淪為網(wǎng)絡(luò)罪犯受害者的建議事項(xiàng)清單：
|
|
|
來(lái)自： 本來(lái)無(wú)一事 > 《I T》
