趨勢科技 TrendLabs 報告：2003年度病毒回顧與 2004 網路安全趨勢

謹防垃圾郵件搭上e-mail蠕蟲順風車，引發網路攻擊

資料提供：TrendLabs 　編輯整理: 陳清芳／趨勢科技亞太地區行銷部主筆

2003經過了 Slammer、Blast、Sobig、 Mimail的輪番攪局，病毒等惡性程式卻沒有打算放年假。無恐不入的威脅在網際網路閘道、伺服器或家用電腦前虎視眈眈，年關將近使用者仍需要對他們的數位資産保持高度的警覺性，以免一年的辛勞付諸流水。相信多數企業已經備有安全方案，但是它們真正能抵擋得住一波波的惡意攻擊嗎？系統管理者該選擇哪些安全方案？他們又該如何在有限預算範圍內，把錢花在刀口上？以下這份來自網路防毒及內容安全專家趨勢科技（Trend Micro）的「2003年網路事件分析與趨勢」報告，值得你詳細參考。

垃圾郵件的比例，已經攀升至49％，高出預測值25％將近一倍

一年前的今天，趨勢科技預測2003年 e-mail蠕蟲，將”疫”發不可收拾，成爲網路攻擊主流。事實證明，透過e-mail 群發的蠕蟲果真成爲惡意程式首選的犯罪工具，趨勢科技全球防病毒研究暨技術支援中心－TrendLabs 預測 2004年， e-mail 仍會是蠕蟲必備的特快車。根據包含 IDC 在內的多個公正機構調查顯示，2003 年截至 1 0月爲止，垃圾郵件的比例，已經攀升至49％，高出預測值25％將近一倍，趨勢科技表示，如何避免垃圾郵件搭上蠕蟲順風車，變本加厲引發多重網路攻擊，將是 2004 年 IT 部門的頭號安全任務。

偽裝等發信來源的「社會工程學」手法，在病毒攻擊行動中擔任要角

表一爲2001-2003年趨勢科技全球防病毒研究暨技術支援中心－TrendLabs所發佈的重大病毒警戒次數表，三年來經由e-mail 散佈的病毒數量幾乎都呈現一枝獨秀的居高不下狀況。其中有一個有趣的對比現像是，藉著 e-mail 附件散播的檔案型病毒，卻大幅減少，主要原因是因爲此類病毒可以透過檔案型態過濾加以攔阻，相對的其他也以 e-mail 爲媒介的惡意攻擊，卻依然可以穿透企業重重防護，滋生蔓延。如Sobig佯裝比爾蓋茲、微軟與雅虎技術部門的e-mail 警告信；Mimail僞裝信用卡付款機制廠商、和假藉徵求反兒童色情連署，實則 DOS 攻擊反垃圾郵件組織。2003年多次登上月感染冠軍的 Lovgate ，則爲自受害者信箱搜尋最近的信件，並且一一回信，而收件者誤以爲自己寄出的信得到回覆，其實是病毒找上門了。這種操控電腦使用者而非電腦本身的手法被稱爲「社會工程學」（social engineering）。在許多案例當中，它是駭客作案的關鍵，而且在病毒攻擊行動中擔任要角。

每一次的重大病毒爆發事件，都具有 Internet 蠕蟲大量擴散的特質

表一.來源: Trend Micro World Malware Tracking Center趨勢科技全球病毒即時監控中心

從病毒發展史上來看， Internet 起飛之前，傳統經由磁片爲感染媒介的病毒，受病毒感染的檔案一旦儲存在共用的區域，病毒會一個檔案一個檔案地感染，直到更新病毒碼的防毒軟體偵測了這個病毒予以清除，或是病毒出現了一些奇怪的訊息（如：救護車在螢幕下方飛馳而過、「星期天幹嘛這麽拼命！」的字眼），甚至是産生破壞行爲（刪除檔案、格式化硬碟等），電腦使用者才會發現蹊蹺。所以當年米開朗基羅從臺灣傳染至美國可得花上數周的時間。

今日藉由e-mail大量散播的病毒，佔用了頻寬、中斷了地球兩端的數位連線，惡性程式撰寫者還不斷地鑽研新的方法，讓惡性程式傳播更快更遠。趨勢科技 TrendLabds發現， 在2001-2003 年期間，每一次的重大病毒爆發事件，都具有 Internet 蠕蟲大量擴散的特質。

下表更進一步的資料顯示病毒型態的消長，描述語言（ Script）和巨集( Marco)已逐漸失去作用，2002年描述語言（ Script）病毒還以極低比例的姿態出現，到2003 年就已經完全銷聲匿迹了。

表 2. 來源: Trend Micro World Malware Tracking Center趨勢科技全球病毒即時監控中心

下表你可以發現，《Virus Bulletin》雜誌追蹤過去三年全球各企業遭遇的病毒型態比例，與趨勢科技的統計資料吻合。

表 3. 來源: Virus Bulletin (http://www.virusbtn.com)

即時通信軟件，為駭客開啟方便之門 ;e-mail讓病毒彈指間繞著地球轉

趨勢科技 TrendLabs 表示，另外一個感染趨勢是，在 2002 年初次被作爲病毒傳播途徑的即時通訊軟件 Internet relay chat (IRC)，在 2003 年再度被大肆利用，而且成爲惡性程式傳播的特快車。一個值得管理者留意的案例是，有一個大型企業飽受一個衆所周知的後門程式侵擾，令系統管理者困惑的是該木馬程式沒有任何網路蠕蟲的能力，卻可以在網路上大量傳播。直到發現幾個員工利用公司網路連線至某個聊天室，才真相大白。趨勢科技提醒，開放使用 ICQ 與 MSN Messenger 的企業亦需留意，在爲員工開方便之門時，別爲病毒駭客也開啓企業後門。

表4,來源: Trend Micro World Malware Tracking Center趨勢科技全球病毒即時監控中心

利用系統漏洞大量繁殖惡性程式，已經成爲病毒撰寫者的惡習癖好，駭客試煉身手的遊樂園，包含Microsoft Internet Information Service (IIS) 和 Apache等網站伺服器、Microsoft SQL Server資料庫等等。而最普遍的駭客必備基本功，當屬於不用執行 e-mail 附件，光預覽就會中毒的招數。儘管利用郵件大量散播的病毒事件，因爲更完善的郵件過濾功能，而逐漸衰退中，但當它與社會工程學（social engineering）結合時，仍然是惡性程式彈指間繞著地球跑的快速快捷方式。另外一個駭客們的標準配備是，共用或分享資料夾成爲有難同當的毒窟。 (見表 4)

表5. 來源: Trend Micro World Malware Tracking Center趨勢科技全球病毒即時監控中心

2003網路安全事件總結

「多重攻擊（blended threat）」已經成爲惡性程式利用各種管道，同時攻擊網路的代名詞。當管理者決定依據上表的病毒攻擊手法，擬定反擊策略時，必須注意這些惡性程式會採用哪種方式，藉以保障自己滲透入企業時，仍有機會存活。

趨勢科技綜觀2003 的網路安全事件，歸納出以下幾點結論：

1. e-mail 攻無不克：如表一和表五所示，大部分蠕蟲使用 e-mail 大量繁殖感染，其中並有一部份使用社會工程學（ social engineering），誘惑使用者 Click 滑鼠，啟動惡性程式的攻擊行爲，讓使用者自己對自己宣戰。

2. 病毒反監控：如表五所示，病毒自我保護能力已經提升，它們借著自我壓縮和加密，反除害蟲（anti-debugging）、解除防毒防火等功能，讓自己更加複雜，也增加僥倖苟活的機率。

3. 駭客嗜吃臭蟲大餐：系統漏洞和軟體臭蟲，已經形成安全保護網上的一個顯而易見污點，而這卻也是駭客和病毒撰寫者難以抵擋的誘惑。

4. DOS 動彈不得：Denial-of-Service 阻斷式服務攻擊，是2003 年顯而易見的主流攻擊手法。在 2002 年也一度成爲主流，所不同的是，當時是以Unix 平臺爲主要攻擊目標，而今已轉向爲數衆多的Windows 平臺。

5. 系統後門洞開：系統後門將讓駭客有機會再度光臨和帶來更多意外的災難，假設被入侵者的網路許可權愈高，那麽風險指數就相對增高。除了少數安全廠商外，市面上封鎖駭客入侵Port 的解決方案乏善可陳，多數系統管理者只得安裝軟體廠商公佈的修正程式，以避免系統門戶洞開。

6. 間諜程式不請自來：在 Internet 上以一個含有ActiveX程式碼的簡單連結，就可以讓許多人毫無警覺地下載間諜程式，甚至自動安裝。而一般沒有反間諜程式的防毒軟體和內容過濾軟體並無法給無知的使用者任何警訊。

7. 惡性程式跟你同步上工：愈來愈多的惡性程式有自我檢查的功能，彷佛它們在自己的程式碼裏安裝監視器一般，一旦受害者啟動電腦，便會同步啟動病毒。甚至還能在受害者開機啟動個人電腦防毒軟體、個人防火牆和防木馬程式時，同步讓這些保護措施廢功，毫無作用可言。

8. e-mail沒有附件，照毒不誤：過去教育使用者別開啓來路不明附件的方法，已經不能全面防禦 e-mail 病毒了。因爲只要稍稍運用社會工程學（social engineering），就可以避免含有病毒的附件在 e-mail 進入的第一道關口：閘道，被攔截搜身。冒充微軟技術部門發修正程式(Sobig)、假裝提倡遏止兒童色情光碟蔓延（ Mimail），就足以讓使用者自己陷自己（還有人手永遠不夠的 IT 部門）於兵荒馬亂的地步。

9. 發病毒信不求人：病毒撰寫者不再依靠Microsoft 的MAPI 郵件應用程式介面發病毒信，它們用自己的 SMTP發信，繞道而行，可以降低被防毒軟體偵測的風險。

預測 2004 網路攻擊趨勢

根據這些 2003 年病毒的觀察，趨勢科技全球防病毒研究暨技術支援中心－TrendLabs預測2004 年，網路攻擊的趨勢如下：

§ 多重入侵，亂箭齊發：多重入侵的網路攻擊依然會成爲必備標準配備。

§ 病毒反監控：惡性程式將會繼續於病毒程式碼中，設法讓防毒軟體、個人防火牆、反木馬軟體等監控程式，無法發揮預期的作用。

§ 網站藏風險：於e-mail 上放個簡單的連結，就可能使員工連上含有惡意程式網站，並帶回木馬等程式。企業需借著網站過濾軟體，或至少制訂員工上網規章，避免員工連結至含有惡意程式的網站，導致企業環境暴露在風險當中。

§ 即時通訊便利與危機：爲了更有效率的溝通，即時訊息傳送軟體，如 P2P 、 IRC 將持續被愛用者及駭客使用。

§ 垃圾郵件攀升至49％:在 2002 年各種預估報告都顯示，在 2007 年時每 4 封信當中就會一封是垃圾郵件。然而由Nucleus Research、 AmikaNow!、 IDC 和 New York Time等公正單位的實際調查資料顯示，截至 2003 年10 月爲止，垃圾郵件比例已經從預估的 25% 攀升至 49%，也就是說將近每兩封信就有一封是垃圾郵件，而且預估每年將會持續成長7% 。

2004網路安全應對方案

§ 安全夥伴服務要到家：系統管理者必須慎選評估安全廠商，是否有能力即時地修補安全漏洞和持續提供可信賴的服務。爲何趨勢科技總是能領先業界？主要關鍵在於，趨勢科技總比對手早 30 分鐘做好解毒方案。趨勢科技能在病毒爆發的那一刻充分發揮平日累積的實力，因此能在病毒爆發的那一刻，以先知般直覺保障網路安全。

§ 中央控管有效率：當企業成長到一定規模，中央集中控管將益形重要，不但可避免防毒軟體在終端機被卸載，也可使得更新維護更爲容易。在選擇中央控管方案時，得仔細評估整體效率，包括産品結構有使用彈性嗎？産品是否可與目前的網路管理工具結合？能否提供完整的産品線？如果企業的電腦系統成長，是否依然能防止病毒的入侵？趨勢科技的TMCM-Trend Micro Control Manager 為企業網路的防毒策略，提供了強大的集中控管能力。因為可以從單一地點來進行軟體的管理、監控和部署，所以公司企業能夠更有效地管理整個企業的防毒策略。Control Manager 的設計旨在能夠快速部署、積極防制，主動遏止新病毒，這對於減少大量郵寄病毒的危害以及降低技術支援成本均大有幫助。

　

§ 閘道防堵最關鍵：過濾e-mail附件方式依然可以發揮攔截多數企圖夾毒闖關的病毒。而於閘道（gateway）把關，設置防毒軟體，攔截企圖進入企業網路的病毒檔案，是最有效率的方法。

· 空窗期有效隔離災區：在網路攻擊頻傳情況下，系統管理者需要更好的管理工具，讓他們能夠將網域做區段式的隔離。比如在病毒疫情爆發時，趨勢科技 EPS 提供下載的病毒爆發防範服務 OPS（ Outbreak Prevention Service）可以在第一時間內快速隔離高度風險區和受感染區，預防災情在病毒碼公佈之前的空窗期破窗而入。.

· 災後系統迅速還原：災後清除與復原仍將是一個重要的議題。讓企業可以在有限的時間與人力資源下，讓他們的系統盡速恢復原貌。趨勢科技的損害清除服務DCS-Damage Cleanup Service，即可有效避免木馬程式殘存在系統內。

· 過濾垃圾郵件需兼具防毒功能：垃圾郵件防治軟體最高偵測率爲95%，但若5%中含有一隻 Sobig 漏網之毒， e-mail 瘟疫就會再度蔓延。所以必須備有含有防毒功能的整合性的 Gateway 方案，才能阻絕多重式的網路攻擊。趨勢科技以閘道Gateway 伺服器與郵件伺服器防毒軟體的市場佔有率領先全球優勢，推出了強化防堵病毒並新增過濾垃圾郵件功能的 InterScan Messaging Security Suite(IMSS)。IMSS可以快速反應各種突發狀況，將安全威脅圍堵在 Internet 閘道端，並可大幅降低45％的企業總體成本。

更多資訊，請訪問: www.trendmicro.com

2003 年主要網路安全事件列表：

月份	主要事件
一月	378 byte 的 Slammer釀大禍：Slammer利用 SQL Server資料庫漏洞，每秒鐘最多可以製造50 Mb的封包光是發作的頭五天，就造成全球10億美元的損失。除了將頻寬塞爆外，大量的資料也影響電腦的效能，當時數十萬線上遊戲玩家，尚未互相較勁，就被匿民的駭客給限制行動了。
二月	Lovgate 幫親友團回信：Lovgate假冒收件者，自動幫發件人回信。假設你發出一封主旨爲"please review my report”的信給老王，如果老王很不幸的中了 Lovgate，那麽Lovegate會自動幫老王回信，接著你會收到一封幾可亂真老王”親筆”回覆信"Re:please review my report”，包含主旨與原始內容，大多數的人都會上當，因爲看不出一點破綻。該病毒分別於 6 月、10 月、11月、12月四度奪魁”每月毒王”。
三月	有“戰爭”沒有”性”：美伊戰爭激戰，網絡烽火亦蔓延，「戰爭」取代「性」成為最常搜尋字眼，並出現多個戰爭相關病毒
四月	垃圾郵件疫外攪局：SARS 全球發燒，網絡交易空前熱絡，充滿商業意圖的垃圾郵件以抗煞之名攪局
六月	駭客覬覦交易錢線： Bugbear熊熊蟲垂涎全球1200 家銀行密碼，美國國土安全部發出警告駭客僞裝中國工商銀行密碼確認通知，騙取用戶機密資料
七月	MyLife假冒巨星發信：MyLife以「拉丁天後Shakira夏奇拉」和「Julia Roberts茱莉亞蘿伯茲」兩位名人的名字爲主旨，透過Outlook電子郵件的方式，迅速在全球各地擴散。由於其 eMail內文顯示有Mcafee (爲一防毒軟體廠商)字樣，其用意爲讓使用者認爲此信件已由防毒軟體掃描確認無毒，讓使用者掉以輕心而執行。
八月	年度頭號病毒 Blast :8 月中旬爆發了繼 CodRed以來最嚴重的漏洞攻擊型病毒- Blast。接著在一周內，一隻可以自動下載攻擊波的修正程式，卻形成另一波感染高峰，甚至導致加拿大等航空公司，部分班機被迫延後或取消。
八月	Sobig 病毒，史上傳播最快 email 蠕蟲： Sobig於 Blast 爆發期間，出現變種來攪局，且如其名的形成的郵件流量宛若龐然大物，拖垮包含麻省理工學院（MIT）的電子郵件系統， eMail 伺服器宛如垃圾山，公司網路運作幾乎停擺。
十月	WORM_ARRET.A 從 Google 等管道蒐集受害者 eMail：這個Win32蠕蟲有 3 個蒐集受害者eMail的方式包含：Windows通訊錄、NET Messenger 聯絡人與Google (www.google.com) 搜尋字串結果。
十一月	MIMAIL 針對反垃圾郵件網站發動癱瘓攻擊：變種高達 10 餘種，會議提醒 eMail、暗藏春色照片、聲援反兒童色情，都是MIMAIL病毒的詭計。
十二月	Blast 變種-Nachi 攻擊自動提款機：12月初一家美國自動取款機製造商 Diebold 揭露名為 Nachi 的電腦病毒，侵入其所生產的自動取款機，導致取款機被迫關閉。又稱Welchia的Nachi病蟲，並不是新病毒，趨勢科技早在 8 月將其列為 Blast 變種，在 Blast 肆虐期間它會先移除先前已受感染電腦上的Blast，再試圖安裝更新檔。

[ Top ]