close

勒索軟件的威脅在新一年有增無減,Unwire.pro 一直有報導勒索軟件的相關消息,並提醒使用者要提供安全意識,收到來歷不明的電郵不要輕易點擊其中附帶的連結。然而勒索軟件的入侵方式可謂層出不窮,令人防不勝防。

近日網絡上又出現了新型的攻擊方式,利用使用者對 Microsoft Word 檔沒有戒心,開啟文字檔時要求啟用巨集才能正確檢視亂碼內容,實質是暗中下載勒索軟件感染加密用戶的檔案,儼如 90 年代流行的巨集病毒。

spam

 

勒索軟件暗藏 Word 檔巨集 偽裝商業電郵欺騙用戶下載

新的攻擊方式仿效以往勒索軟件利用電子郵件欺騙用戶的方法,不過更為高明。這些電子郵件會偽裝成公司之間的商業電郵往來,未必會附帶可疑的網絡連結,反而是提供名為商業發票或貨品清單等 Microsoft Word 或 Excel 格式的資料檔案,讓用戶降低戒心下載。Email

當用戶不疑有詐開啟檔案檢視時,就會發現文檔內的大部分資料均顯示為亂碼,同時亦會看到 Enable macro if the data encoding is incorrect 類似的訊息,提醒用戶啟用檔案內包含的巨集內容才能看到資料,但實質上是讓用戶下載運行勒索軟件。

image001-640x340

一旦用戶選擇啟用巨集,就會從遠端伺服器中下載名為 Locky 的勒索軟件並自動執行,然後快速感染並加密用戶電腦中近乎所有格式的檔案,甚至連儲存在網絡服務中的檔案亦未能倖免,並將所有加密的檔案置換成 .locky 的檔案格式。

當完成加密後,勒索軟件就會提醒用戶所有檔案已被加密,並指引用戶如何使用 Tor 瀏覽器連接攻擊者的網站及告知用戶如何交付贖金,目前 Locky 會要求受害者支付 0.5 到 2 個 Bitcoin(約 208 至 800 美元價值)換取解密鑰匙。

Ran

情況儼如 90 年代中期,黑客利用 Microsoft Office 內的 Visual Basic for Applications (VBA) 程式語言可以存取系統函數並支援文件開啟時自動執行巨集的特性,編寫巨集病毒一樣。不過經過了接近二十年的時間,巨集病毒已轉變成殺傷力更大的勒索軟件。

 

Locky 翻譯多國語言版本 快速蔓延多個國家受影響

Locky 勒索軟件最先被安全研究人員 Kevin Beaumont 和 BleepingComputer 的 Larry Abrahms 發現,同時亦發現該勒索軟件具有感染加密網絡備份檔案的能力。Stats

根據 Kevin Beaumont 的追查,發現 Locky 正在網絡上迅速擴散並造成頗大的影響,他更估計 Locky 在 3 天時間內已感染了超過 100,000 個新的終端節點,共計影響約 250,000 部電腦,受影響的用戶遍布德國、荷蘭、波蘭、美國、墨西哥、阿根廷等多個國家。而在 Google 的相關的搜尋趨勢急增亦證明了 Locky 正快速蔓延。

值得一提的是,雖然目前受影響的多為美洲及歐洲國家,不過 Locky 正積極翻譯成多種語言版本,其中就包括日語版。可見蔓延到亞洲地區只是時間的問題,不論是個人用戶還是企業都應提高對類似攻擊方式的警惕,同時亦可參考早前 Unwire.pro 針對勒索軟件應對策略的專題文章中的建議,及早防範,避免重要資料的損失。

1-0IQ0b4VNxwzbi5ONeg4B2A

 

Source: Medium  Thehackernews

 

Tags : Lockyransomwaresecurity
Ken Li

The author Ken Li

世事洞明皆學問,人情練達即文章。