ASRC 2019 年電子郵件安全趨勢回顧

根據ASRC 研究中心 (Asia Spam-message Research Center) 與中華數位科技的觀察，2019 年垃圾郵件與病毒郵件的數量呈現均勻分布，但是相較於 2018 年，數量稍有成長。郵件量爆發、詐騙郵件與釣魚攻擊在 2019 年第四季消費旺季時達到全年高峰；BEC詐騙郵件的數量雖然降低，並不表示 BEC 詐騙的風險跟著下降了，相反的，BEC 詐騙郵件顯得更有策略性。CVE-2014-4114、CVE-2018-0802、CVE-2017-11882這三個 Microsoft Office 文件漏洞利用全年可見；2019 第一季被揭露的 WinRAR 漏洞 (包含CVE-2018-20250、CVE-2018-20251、CVE-2018-20252與CVE-2018-20253)，皆被用於APT攻擊或是滲透測試、紅隊演練。

BEC 詐騙郵件數量減少，不代表風險跟著降低
2019年 BEC 詐騙與 419 詐騙郵件總量相較 2018 年的總量下降；雖然 BEC 詐騙郵件下降的幅度高於 419 詐騙，並不表示 BEC 詐騙的風險跟著下降了。相反的，BEC 詐騙郵件顯得更有策略性，駭客不會過早介入商談中的交易，也減少接觸不必要收到 BEC 郵件的人員，以提高 BEC 詐騙的成功機率。

信任來源飽受挑戰，熟知的網域連結、熟人的郵件都可能隱藏惡意攻擊
電子郵件的可信度不斷的受到挑戰，在 BEC 事件頻傳的情況下，對於郵件中提及異常的變更事項，都需要特別留意，尤其是匯款帳號變更，一定要透過電子郵件以外的管道再次進行確認。
其次，需要特別注意的是在電子郵件內的超連結。並非超連結帶有可信賴的網域名稱就不會有威脅，也不是所有惡意的超連結都必然會下載惡意程式，或需要被攻擊者配合輸入帳號密碼相關資料，畢竟，並非所有人使用網路服務都會隨手登出。在 2017 年開始出現釣魚郵件結合 Google OAuth，就是企圖蒙騙收信人透過點擊一個共享文件的連結，授與攻擊者存取 Google App 的權限，如今類似的手法也開始出現在 Office 365。
最後，白名單一定要慎用，看似來自熟知的同事、供應商的郵件，也有可能隱藏惡意攻擊。供應鏈攻擊是國家級資助的 APT 攻擊常用的手段。攻擊者的主要目標可能具備了很高的警戒意識與防護能力，因此攻擊者可從主要目標的合作對象下手，之後再透過主要目標對合作對象的信任，直接穿過各種防護措施進行攻擊。

合法域名空間遭到濫用的實例

釣魚郵件與詐騙郵件氾濫，在第四季消費旺季達到高峰
2019 年帶有惡意連結的電子郵件數量，約是 2018 年的 2.8 倍。釣魚郵件為了取信收件者點擊，多半會使用一些在地化用語及社交工程的手法。由於釣魚郵件主要目的是騙取網路服務的帳號密碼或其他機敏資料，因此多半在點擊之後，會透過瀏覽器連往一個收集這些機敏資料的釣魚網站或釣魚表單，再誘騙受害者輸入其機敏資料。
瀏覽器的開發商也注意到類似的問題，於是紛紛在網址列加入了檢查與提醒的功能，希望能藉此保護使用者。然而攻擊者也改變了做法，在電子郵件中直接夾入一個惡意的靜態 HTML 頁面，誘騙收信人填入機敏資料，但是這個頁面透過瀏覽器打開時，網址列顯示的是本地端的儲存位址而非遠端的釣魚網站。當收信人填完資料按下送出後，瀏覽器即以 POST 搭配加密連線的方式，將機敏資料送往釣魚網站，這樣的釣魚手段能略過多數的瀏覽器保護措施。這類型的攻擊郵件，在 2019 年第四季消費採購高峰期大量出現。

惡意的靜態HTML釣魚檔案

Office 文件漏洞經典穩定，駭客依舊愛用
經典穩定的 Office 文件檔漏洞，一直是攻擊者愛用的武器之一。除了作業人員、防毒軟體對文件型檔案的警覺性較低外，許多人所使用的 Office 不會經常性的更新。據 ASRC 統計，2018 年最常見的郵件漏洞利用攻擊為 OLE 漏洞 (CVE-2014-4114) 與方程式漏洞 (CVE-2017-11882)。2019 年，CVE-2014-4114 仍持續被利用，且在第三季爆發相當大量的攻擊樣本，主要目標產業為電子、食品、醫療相關產業；CVE-2018-0802 則做為 CVE-2017-11882 其後續的衍生變形攻擊持續存在。2020 年初甫被披露的 CVE-2020-0674 及其後續影響力，也需持續關注。

2020年將是5G基礎建設部署、成熟加速的一年，隨著整體網速的加快，行動應用服務將更趨複雜化，因此，個人資訊遭到刺探、洩資的速度與規模、攻擊的速度及頻率，都會跟著大幅提高；而惡意程式也可以不必再拘泥檔案大小的限制，更可朝向功能完備的方向作發展；加上量子電腦、雲端運算的推波助瀾，資安事故的發生與危害程度可能是過去難以想像的。電子郵件仍會是網路攻擊重要的入侵管道，單純的帳號密碼防護力漸趨薄弱，多因素驗證已是勢在必行。以適當的安全作業流程搭配郵件安全防禦設備，減少人員接觸問題郵件的機會才能有效避免攻擊事件的發生。中華數位 SPAM SQR 及其 ADM 進階防禦機制，可協助企業攔截各種新型態攻擊郵件，歡迎來電申請免費試用 02-2543-2000。

>> ASRC 2019 年電子郵件安全回顧完整報告

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於中華數位科技 Softnext Technologies Corp.
創立於2000年8月。
秉持著【We Secure Your Content】的服務理念，以提供企業資訊應用管理服務及打造資訊內容安全防護為宗旨。專精於提供網路應用服務技術，根據市場需求推出多款資訊內容安全的解決方案及應用服務，能夠協助企業透過符合資安管理規範並遵循法規的方式進行資訊內容安全管理，以維護員工的生產力、提升企業經營績效。

關於 ASRC 垃圾訊息研究中心
ASRC 垃圾訊息研究中心 (Asia Spam-message Research Center)，長期與中華數位科技合作，致力於全球垃圾郵件、惡意郵件、網路攻擊事件等相關研究事宜，並運用相關數據統計、調查、趨勢分析、學術研究、跨業交流、研討活動..等方式，促成產官學界共同致力於淨化網際網路之電子郵件使用環境。更多資訊請參考 www.asrc-global.com 。

ESET Research dissects Guildma: Most impactful and YouTube-abusing Latin American banking trojan

BRATISLAVA, PRAGUE – In the latest installment about Latin American banking trojans, ESET researchers take a deep look at the most impactful and advanced banking trojan we have seen in this series and in the region: Guildma. This malware is specifically targeting banking institutions and attempts to steal credentials for email accounts, e-shops and streaming services in Brazil. It affects at least 10 times as many victims as other Latin American banking trojans that ESET Research has analyzed. During its peak – a massive campaign in 2019 – ESET recorded up to 50,000 attacks per day. Guildma spreads exclusively via spam emails with malicious attachments.

In one of its latest versions, Guildma employs a new way of distributing command and control servers, abusing YouTube and Facebook profiles. However, the authors stopped using Facebook almost immediately and, at least at this time, are relying fully on YouTube.

“Guildma uses very innovative methods of execution and sophisticated attack techniques. The actual attack is orchestrated by its C&C server. This gives the authors greater flexibility to react to countermeasures implemented by the targeted banks,” explains Robert Šuman, the ESET researcher leading the team analyzing Guildma.

Guildma boasts a backdoor with multiple functionalities, including taking screenshots, capturing keystrokes, emulating keyboard and mouse, blocking shortcuts (such as disabling Alt + F4 to make it harder to get rid of fake windows it may display), downloading and executing files, and/or rebooting the machine. In addition, Guildma is very modular and currently consists of at least 10 modules. The malware uses tools already present on the machine and reuses its own techniques. “New techniques are added every once in a while, but for the most part, the developers seem to simply reuse techniques from older versions,” says Šuman.

In one of the earlier 2019 versions, Guildma added the capability to target institutions (mainly banks) outside of Brazil. Despite that, over the past 14 months, ESET has not observed any international campaigns outside Brazil. The attackers went as far as to block any downloads from non-Brazilian IP addresses.

Guildma campaigns were ramping up slowly until a massive campaign in August 2019, when ESET Research recorded up to 50,000 samples per day. This campaign went on for almost two months and accounted for more than double the amount of detections seen in the 10 months prior.

First-stage Guildma detections since July 2019

First-stage Guildma detections since July 2019

The trojan has seemingly gone through many versions during its development, but there was usually very little development between versions due to its clunky architecture.

Distribution chain of Guildma in the latest version analyzed by ESET (150)

Guildma shares several prevailing characteristics of Latin American banking trojans. For more technical details, read the blog post Guildma: The devil drives electric on WeLiveSecurity. Make sure to follow ESET Research on Twitter for the latest news from ESET Research. 

 

About Version 2 Digital

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products.

Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

About ESET
For 30 years, ESET® has been developing industry-leading IT security software and services for businesses and consumers worldwide. With solutions ranging from endpoint security to encryption and two-factor authentication, ESET’s high-performing, easy-to-use products give individuals and businesses the peace of mind to enjoy the full potential of their technology. ESET unobtrusively protects and monitors 24/7, updating defenses in real time to keep users safe and businesses running without interruption. Evolving threats require an evolving IT security company. Backed by R&D facilities worldwide, ESET became the first IT security company to earn 100 Virus Bulletin VB100 awards, identifying every single “in-the-wild” malware without interruption since 2003.

對資料夾多一層保護，X-FORT特殊軟體安控：資料夾防護

公司內檔案，也無時無刻面臨巨大風險

X-FORT訴求保護機密檔案，防堵有心人士在未經授權的情況下，將檔案帶離開公司。但近年來勒索病毒猖獗，檔案除了外洩外，還大幅增加在內部被破壞或勒索的風險。

勒索病毒主要目的在於讓使用者的電腦檔案加密，並要求支付贖金才能復原檔案，遭受攻擊的使用者，為了救回電腦裡重要的資料，只能付錢給駭客，或接受檔案無法使用的損失。

「趨勢科技」報告指出，2017年勒索病毒共造成全球企業損失50億美元。到2018年，台積電仍遭受 WannaCry 病毒入侵，動員上百名工程師努力數天才陸續恢復運轉。

2019年10月，台灣醫院大規模遭受到勒索病毒攻擊，共66家單位受害，造成多家醫院重要檔案被加密。部分醫院透漏，遭受攻擊後只剩EXE、DLL等系統程序沒被加密，其他檔案通通被加密。甚至，有些醫院的備份系統也被加密，導致根本無法復原。如何強化電腦安全防護和落實妥善的備份，都是急需關注的重點。

避免檔案被破壞的難處

當勒索病毒透過管道進入企業的電腦中，會對使用者電腦進行檔案加密，亦可能擴散到伺服器的資料庫或檔案伺服器，將這些伺服器上的重要檔案全部加密。

勒索病毒主要還是靠防毒軟體防堵，但因其有效的獲利模式，讓勒索病毒有持續改版、研究躲避防毒軟體偵測的強大動力。因此F-Secure公司的資安研究總監Mikko Hypponen認為：「對付勒索病毒，最好的對策還是備份」。
雖備份的重要性IT都非常清楚，但仍有不足部分：

1. 即便不斷宣導，User定期備份的比例偏低
2. 雖有備份軟體可輔助，但免費版本通常沒有中控台機制，IT需逐台手動設定，因此只用來保護少數機敏系統或主管電腦。
3. 若想導入企業版備份軟體，會增加採購費用和導入負擔。多安裝一套備份用戶端，也會增加使用者電腦的效能負擔
4. 當筆電離開公司時，無法時時刻刻備份到Server。當筆電在外遭受勒索病毒攻擊時，整台電腦連同備份檔案一併被加密時，也難以挽救。

保護檔案，需要再加多一層防護

X-FORT資料夾防護(軟體安控模組)提供應用程式白名單(文件防駭)控管功能，可以透過設定應用程式白名單，允許可以存取特定資料夾的應用程式。此名單外的應用程式均無法存取該資料夾，可有效防止勒索病毒對重要資料的攻擊，增加一層資料夾的防護罩。

舉例來說，若只允許Word、Excel、PowerPoint等程式存取此資料夾，當使用者嘗試使用檔案總管去開啟受保護的資料夾，則會跳出存取被拒的資訊，相同的，當未知的惡意程式要存取此資料夾時，也會直接被阻擋。

不幸感染時，爭取緊急對應的黃金時間

當內部不幸感染時，需立即發動斷網、關機、緊急宣導、清查感染源頭等一連串緊急對策。為了防止癱瘓全公司運作，以及爭取IT修復漏洞和復原的對應時間。

X-FORT亦可阻擋已知的勒索病毒加密副檔名，作為防堵擴散的緊急對應手段。在特定的資料夾路徑下限制指定的副檔名(檔案鎖定)，則此資料夾內符合的副檔名將無法被異動檔名、修改內容和新增相同副檔名的檔案。同樣的，也可以在此新增勒索病毒的副檔名，以確保被勒索病毒攻擊時，資料夾內檔案不會被加密。

X-FORT強化資安縱深防禦

面對未知的威脅，內部網路隨時有被入侵的風險。除了技術手段，公司內部資安宣導，也是非常重要的預防手段，提醒使用者不瀏覽未知網頁、影片或音樂，定期更新作業系統的Hotfix。搭配防毒軟體和定期備份重要檔案，再增加X-FORT資料夾和副檔名層級的防護機制，可確實提升公司重要檔案的安全性及可用性。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於精品科技
精品科技(FineArt Technology) 成立於1989年，由交大實驗室中，一群志同道合的學長學弟所組合而成的團隊，為一家專業的軟體研發公司。從國內第一套中文桌上排版系統開始，到投入手寫辨識領域，憑藉著程式最小、速度最快、辨識最準等優異特性，獲得許多國際大廠的合作與肯定。歷經二十個寒暑，精品科技所推出的產品，無不廣受客戶好評。

疫情災難環境中，企業營運下的資安對策

企業準備好了嗎?


伴隨疫情瞬息萬變與不確定性，「提前佈署」讓公司正常營運，或因需要員工居家上班，甚至全面性施行在家遠距上班。應該是高層、IT、資安、管理、稽核要慎重思考的重要工作。以公司營運來說，都不樂見到本項對策的正式啟用，更期盼可以平安常態工作。但「勿恃敵之不來」，是更主動積極策略。

「零信任」設計敏感性資料、應用和設備的訪問執行採取嚴格設計。包含以身分為中心(例如：AD或是LDAP)的動態存取控制，都視為不可信網路環境。即便以身分為中心，通過動態存取控制技術，以至細微性的應用、介面、資料為核心保護物件，遵循最小許可原則，構築端到端的邏輯身分防護疆界。其優點(1) 在IT治理上，是增強資訊系統與端點裝置的安全性；(2) 在企業管理上，強化安全環境和降低可被攻擊竊取力道。

舉凡：員工旅外歸來政府法規辦理外，是否可以遠距上班，如何確保資料與系統安全；面試對象可否進入辦公區面試，相關檢疫對策流程如何設計更為安全；各部門是否分群分時段上班，或是放寬員工與員工辦公位置的距離；上班擠電車/捷運，讓員工採用彈性時段上班，避開壅塞感染風險；辦公室消毒作業以及空調消毒開啟連動設計；若有員工上班發現發燒咳嗽的因應流程；在家遠距上班時，公司總線路頻寬負載需足夠；VPN連線數與VPN設備CPU負載壓力測試，以及在家上班資安安全管控與DLP管制政策，甚至上班時間記錄…等。有好多事項需要預作規劃及準備。

不同企業類型、管控嚴謹度差異、營運作業模式，不易有百分百適用的通則，以下提供給企業參考使用。

建立一個普遍適用的「災害管理計畫與施行細則」

長遠考量建立公司固定標準災害管理計畫與施行細則，可以與ISO27001風險管理進行搭配施行，本文著重在施行細則層面上，做為可以落實可行的執行對策。針對特殊重大災害，建立公司營運作業穩定的可行性方案，滿足台灣與國外據點，可以分成兩大管理與四個階段進行處置。

一是危機管理(Crisis Management)

針對公司內外環境發生事件當下的處置，由公司各階層與事件領域專家組成，獲得管理階層認可，且符合災害當下需求期待。由公司內部的應變人員處置，制定緊急應變措施。

二是後果管理(Consequence Management)

針對災害產生後果進行準備。在家工作、事件處置、交通方式、人員就醫自主管理、生產出貨方式…等。所以後果管理需利用全公司資源進行必要風險調度。訂出更多後果管理的項目，在平時加以準備與測試。

最終達成目標，就是公司平時有整備，才能迅速調集公司資源，應付突發災害，達成全災害管理（all hazards approach）的目標。

四個階段分別是：

– 第一階段災害初發時期

高層進行相關會議，建立災害控管小組，針對現況討論各項可能的後果進行預測分析，並作出決策方向，依據「災害管理計畫與施行細則」提出相對對策與適用性修改，挹注可靠備用配套方案與資源，搭配國家法令進行合規作業。小組成員高階主管與各部門主管組成，建立疏散避難相關資訊通知與運作流程，盤整演練相關設備器械、防護裝備、醫療耗材、資安管控措施、備援資料、情境演練測試，並確立其有效性與可靠度，尤其是疾病或是外出返回建立分區隔離設計，或是在家遠距上班。

– 第二階段災害發展時期

成立緊急應變中心（Emergency Operations Center, EOC），進行整合各單位之間的需求，進行基礎且必要防護手段、落實管控設計、啟用相關避險機制。若是疾病須建立分區隔離(公司隔離、在家隔離、人員上班距離)設計，建立緊急通訊機制以及相對應DLP政策，例如LINE@、Teams、Sky for Business…相關群組。

– 第三階段災害擴大時期

高層進行相關會議，針對現況討論各項可能的後果進行預測分析，並作出決策方向，確認後持續挹注可靠備用配套方案與資源，搭配國家法令進行合規作業。常規性稽核分析員工作業資安政策，進行必要修訂或放寬處置。讓在家遠距上班，取得資安與營運需求的平衡。

– 第四階段災害進入結束時期

確立各項災損狀態，包含人力盤點、設備、網絡、備援系統與資料歸戶返回。並進行環境整備作業，網路電力檢修分析外，更重要是消毒清潔工作環境以及空調清洗…等。進行心理輔導高層信心會議，回歸常態運作。若有人力折損，必要慰勞及輔導外，安全將外放資料轉回到公司…等。最後確定災害結束解散緊急應變中心（Emergency Operations Center, EOC）

施行計畫必須驗證各項資源工作

在此各家公司以及災害事件皆有所差異，所以在「驗證各項資源工作」層面上，以下列舉一些驗證檢核事項供參考：

– 網路與設備環境：光纖頻寬品質、網路頻寬負載、資安設備與應域性統相容性問題、VPN連線評估、防火牆政策變更開放、確保資訊系統的持續運作不中斷、遠距工作操作、線上會議、即時通訊、遠端辦公行為監控、

– 電話：辦公室分機轉接手機、傳真機傳真轉換成網路傳真

– 工作方式：職務代理、網路會議機制與演練、開機與遠端桌面政策或是使用虛擬桌面系統

– 作業流程：工作型態分類管控、生產作業調整、出貨作業調整、財務薪資作業與銀行簽核確認作業、人力減少的配置

– 環境：環境空調清潔消毒、人員位置間隔調整

– 其他：疫情與災情監控及通報機制、規劃作業方式調整後與利害關係人的溝通

– 在家辦公資源驗證與修正改善

例如VPN Client 連線數與計算，要保留可能緩衝連線及資源。針對不同群組建立VPN連線管控政策。為了確保VPN連線後網路品質，有效限制資安防火牆政策，以零信任資安論述，建立起資安管制手段。例如VPN建立連線後，限定只能RDP連線回到該個人工作電腦搭配DLP進行安全性管控。

其優點是有DLP管制電腦被遠端桌面情況下，可以獲得更安全管制手段外，資料也無法拖拉到在家的電腦，可以有效提高資料安全保護。對於機敏性系統的存取，將限縮其權限，再定時稽核盤點。

要掌握大樓電信機房到辦公樓層的光纖使用狀態，現有光纖頻寬是否充裕，面對大量員工遠距上班，應注意其壓力測試值。繪製VPN連線分配示意圖並注意外部網路流量負載峰值。進行外部驗證VPN登入後與各系統相容性及可用性，例如非Web base系統或SVN系統屬於公司內控系統，必須驗證遠端登入後作業順暢，以及銀行流程驗證等。進而建立VPN 驗證測試檢核表。公司員工IT能力本來就有所差異，所以必須進行必要教育訓練工作，以及資安使用管制規範。如果使用Office 365 teams作為會議系統，也必須注意相關資安管控設計。 



關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

關於精品科技
精品科技(FineArt Technology) 成立於1989年，由交大實驗室中，一群志同道合的學長學弟所組合而成的團隊，為一家專業的軟體研發公司。從國內第一套中文桌上排版系統開始，到投入手寫辨識領域，憑藉著程式最小、速度最快、辨識最準等優異特性，獲得許多國際大廠的合作與肯定。歷經二十個寒暑，精品科技所推出的產品，無不廣受客戶好評。