「深網中隱匿的惡意程式橫行…分析手法、事先阻斷威脅」

2024.09.21. 公正經濟 — 深網偵測專門企業 PotatoNet 最近公開了惡意深網案例分析結果，指出惡意程式正利用深網進行散布。

惡意程式已不再是 IT 專家的專利。即使是程式設計初學者，只要具備幾項工具，也能輕鬆製作並散布惡意程式。隨著網路犯罪日益普及，其規模與影響力也呈指數級增長。

大量惡意程式可在深網中發現。

深網是指一般搜尋引擎無法存取的網路隱藏區域，與黑暗網有所區別。此外，與黑暗網不同，被用於網路攻擊的惡意深網可透過一般方式以網頁瀏覽器存取，因此使用者只要點擊就能下載惡意程式。

惡意攻擊者正利用深網散布惡意程式。隱匿的惡意程式通常不會顯露於外，也無法透過與一般正常網站連結的連結發現。

為確認此事實，PotatoNet 最近分析了惡意深網案例。

首先分析的惡意深網網站是「https://e***s.ro」。

連上該網站時，會顯示沒有內容的空白頁面。然而，原始碼中包含多個偽裝成問卷調查的釣魚網站連結。透過 display:none 設定，將釣魚連結隱藏起來，使其不顯示。這些釣魚連結會反覆出現又消失，並在某個時刻被啟用。

在偽裝成空白頁面的網站中，存在深網惡意程式。傳遞給使用者的 URL 會自動下載惡意程式。對下載的「ord.exe」或「kin.exe」等檔案進行惡意程式分析結果顯示，這些程式會在使用者 PC 上嘗試提升權限，並竊取 PC 詳細資訊等敏感資料。這是利用所收集的資訊控制系統的木馬程式（Trojan/Win32.Formbook）類型。

接下來分析的惡意深網網站是「https://file*****.vercel.app」。

該網站利用名為 Vercel 的託管服務營運。主頁面顯示「404 錯誤」，無法輸出網頁，因此無法確認網站內部內容。

該網站的深網中存在「windows.exe」惡意程式，此惡意程式會執行惡意酬載，並透過混淆及使用者活動偵測來繞過防毒軟體偵測。此外，它還會收集 PC 詳細資訊並竊取敏感資料。這是透過加密通道接收命令以控制系統的木馬程式（trojan/lummastealer）類型。

該惡意程式被認為是利用了 Vercel 的免費託管服務。免費託管服務提供了無需負擔成本、可從多個 IP 位址及不同位置持續發動攻擊的環境。因此，對於不要求徹底身分驗證的託管服務，攻擊者可以在保持匿名的狀態下散布惡意程式。

分析的兩個網站都是深網惡意程式的散布地，也可能被利用為 C&C 伺服器。

PotatoNet 表示：「深網不像一般網路那麼容易追蹤，因此惡意程式的偵測與阻斷更加困難。如同上述分析案例，為了追蹤並阻斷隱藏在深網中的惡意程式，需要精密的資安策略與細密的注意。資安專家應針對深網中隱藏的惡意程式持續監控並制定應對措施。關注惡意程式祕密散布的新途徑，並分析在深網活動的攻擊者模式至關重要。透過強化資安與預防措施，事先阻斷這些威脅是必要的。」