國防部近期發現第二代USB Worm惡意程式攻擊模式？

2008 年 10 月 25 日 – 16:04:01

看到這樣標題，一定想了解到底是什麼東東呢？我也是一樣，但很失望。軍方高層的觀念都這樣了，還能做資訊戰嗎？連www.baidu.com都不知道勒！還第二代USB WORM勒！

國防部近期發現第二代USB Worm惡意程式攻擊模式，當使用者將USB儲存媒體插入已受感染的電腦後，惡意程式將對該儲存媒體執行攻擊，除可能將該USB儲存媒體植入 Autorun.inf以及Notepad.exe等惡意程式外，亦可能於惡意程式偵測到該USB儲存媒體存有資料夾時，將該資料夾強制隱藏，並產生與原資料夾名稱相同的惡意程式。國防部通資次長室指出，當使用者將已遭第二代USB Worm惡意程式攻擊的USB儲存媒體插入其它乾淨的電腦後，將造成此乾淨的電腦遭惡意程式植入，並於C:\INDOWS\ystem32目錄下隨機產生不同檔名之資料夾及惡意程式；且惡意程式植入後主動對外連線至網址www.baidu.com，經解析其IP為201.108.22.8，恐遭有心人士趁機而入。

針對第二代USB Worm駭客模式，通次室特地說明該技術為利用第一代Autorun.inf機制啟動惡意程式，進一步利用使用者在USB儲存媒體內所儲存的資料夾，藉由將原始資料夾隱藏後，並產生與原資料夾名稱相同之惡意程式，即便受害電腦已將Autorun功能關閉，導致攻擊失效，惟仍可誘使USB儲存媒體之使用者點擊該偽冒的資料夾名稱而導致攻擊成功。

不僅如此，倘若移動式儲存媒體內存有資料夾，惡意程式會將「原資料夾」修改為隱藏屬性的資料夾以隱藏該資料夾；並於USB儲存媒體內建立與原資料夾相同名稱之惡意程式，並偽裝成資料夾形態圖示，以誘使使用者點選。屆時使用者如未將資料夾選項中「隱藏已知檔案類型附檔名」勾除、及未選取「顯示所有檔案和資料夾」則容易點選與資料夾檔名相同惡意程式，將被誘使啟動惡意程式。

在防制作為部分，通次室強調，該惡意程式經賽門鐵克、趨勢防毒軟體檢測後尚無法查殺，官兵應確遵資安規定，將資料夾選項中「隱藏已知檔案類型附檔名」、「隱藏保護的作業系統檔案(建議使用)」勾除，並選擇「顯示所有檔案和資料夾」，隨時注意USB儲存媒體是否存在以資料夾名稱偽裝之惡意程式，並注意電腦有無異常對外連線；至於網路管理員應將www.baidu.com網域名稱以及IP 201.108.22.8列入防火牆黑名單中，全面防制駭客入侵。（記者鄭惠鴻輯）

新聞來源：青年日報

1. 「查殺」，軍方也用這名詞啊，被同化了嗎？

2. 你們不知道USB惡意程式其中一項功能，就是關閉檔案總管的隱藏功能嗎？

3. 將www.baidu.com和201.108.22.8列入防火牆黑名單中，可以全面防制駭客入侵，不錯的想法。

  1. “國防部近期發現第二代USB Worm惡意程式攻擊模式？” 目前有 22 迴響

  2. 它的新聞稿是經過軍方核准後才發的.
    其實..roger不能怪他們,軍方的系統一向是"封閉式"的主官意識領導,雖然現在充斥著所謂專業專工的宣傳,但也是落人口實的在欺瞞大眾而己,哪個單位主官管懂這些的?那些官位只是升官和歷練的跳板而己
    再則建議軍方;除百度外應該將以下的部份也列入防火牆黑名單中,以真正達到全面防駭機制的弱點:
    72.14.235.104 、 203.84.202.164 、61.219.38.89
    最好是連網路線也拔掉,這樣就不會一演再演所謂資安外洩事件.這是我衷心的建議

    By 天罣 on 2008 年 10 月 25 日 - 21:53:44

  3. 查殺？
    這用語好像是大陸的…

    By 路人甲 on 2008 年 10 月 26 日 - 11:16:53

  4. 這個不太能說是下屬問題
    因為長官的觀念都有問題了
    你說下屬做的長官會認同嗎
    只能說～長官沒事多看看IN雜誌
    或是常上大砲看看也不錯喔

    By 大頭 on 2008 年 10 月 27 日 - 07:59:05

  5. 看到「青年日報」發出這樣沒水準的東西，真的很令人生氣！
    那些主管真的該再教育，底下的人亂寫一通，這樣就放行，搞什麼飛機？！

    軍方說要管制USB，管！管到天邊去啦！
    再喊一百年，也不見貫徹！鐵的紀律…講了火就來了！

    許多機密單位都做到實體隔離，別說國防部沒有或不需要實體隔離！最好軍方再說用防火牆擋這些IP，說這些話的主官(管)該拖去軍法審判，因為實體隔離的網路還連得出去，那些主官(管)就該抓去槍斃！

    封閉網路都會中毒，哈~管制…笑死人！

    By 哥布拉 on 2008 年 10 月 27 日 - 08:47:27

  6. 先不管軍方有多"專業"

    這類的隨身碟病毒似乎是真的有慢慢變多的趨勢
    多小心就是了。

    By 威廉華勒斯 on 2008 年 10 月 27 日 - 11:03:25

  7. 台灣霉體妓者也一個樣 真悲哀

    By AA on 2008 年 10 月 27 日 - 21:07:58

  8. 1. 「查殺」，軍方也用這名詞啊，被同化了嗎？
    →這名詞已經在門裡講很久了，只是登報被大家知道了罷了…

    2. 你們不知道USB惡意程式其中一項功能，就是關閉檔案總管的隱藏功能嗎？
    →通次室應該還不知moutpoint2的權限問題吧，只知道用完要format，傳檔要用離線檢疫…mygod，夠了…

    3. 將www.baidu.com和201.108.22.8列入防火牆黑名單中，可以全面防制駭客入侵，不錯的想法。
    →只要是查到的不明連線IP，就要求所屬加入防火牆黑名單中，可以全面防制駭客入侵…YA…

    By 2h1q1n on 2008 年 10 月 27 日 - 23:59:45

  9. 百度(www.baidu.com)不是對岸最大的搜尋引擎嗎？

    By Tsunglin on 2008 年 10 月 28 日 - 09:00:31

  10. 是啊。

    By Roger on 2008 年 10 月 28 日 - 12:08:50

  11. 其實軍方資安很勁的
    這一篇是軍事戰術中的裝趴示弱

    By tamamaXGL on 2008 年 10 月 28 日 - 23:46:02

  12. 哈哈。看热闹

    By greysign on 2008 年 10 月 29 日 - 11:02:26

  13. 查殺一詞，笑笑就好！
    但此案例中，還有另一個重點：
    「移動式儲存媒體內存有資料夾，惡意程式會將「原資料夾」修改為隱藏屬性的資料夾以隱藏該資料夾；並於USB儲存媒體內建立與原資料夾相同名稱之惡意程式(註:.exe檔)，並偽裝成資料夾形態圖示，以誘使使用者點選。」

    這應該才是問題的重點，縱使Disable Autorun.inf之執行，但還是有可能誤執行惡意程式執行檔，而導致電腦遭USB中的惡意程式感染。

    不知是否有更好的解決方案？

    By 五色鳥 on 2008 年 10 月 29 日 - 15:18:52

  14. CC…這個就看看就了唄…
    反正通次室某處長，也就是這樣了…
    更何況底下的人…
    這點砲哥心裡也知道吧…

    By 2h1q1n on 2008 年 10 月 29 日 - 23:01:46

  15. 回覆「五色鳥」：目前沒有，一般使用者看運氣好不好囉。

    By Roger on 2008 年 10 月 30 日 - 09:48:14

  16. 其實看到這一則新聞及回應，覺得這不過是個看熱鬧與看門道的問題，同意五色鳥的看法，重點在於對USB儲存媒體的攻擊，有了不同於Autorun的做法，如何發現新的攻擊方式，讓USER了解如何防範，這不就是資安人最大的責任嗎??無論如何，發現任何的攻擊行為與手法並公諸於世，這不也是砲哥要開講的初衷嗎??怎麼這好像在進行人的攻擊??而不是對惡意程式的作戰ㄋ，哈哈，隨性就好，技術公開，大家進步，給辛苦的人拍拍手拉。

    By Noname on 2008 年 11 月 11 日 - 21:26:05

  17. 看大家的意見，多數都在嘲笑國防部的資安人員。

    小弟覺得因為此篇報導的記者或許不是 IT 專業人士。也可能是軍方的資安人員沒有各位強

    但是嘲笑不是個做好資安的好方法。
    各位也許很厲害很行，但問題在於多數台灣人在資安方面並不行。

    看各位嘲笑的言語，似乎你們有很好的解決方案

    各位可以提出各位的服務單位都是怎麼做防範的
    讓大家可以參考，而不是打屁說笑話，讓台灣很多不是很了解資安的人員都可以做好資安

    那麼大砲的黑名單就不會長那麼快了

    By Jackal on 2008 年 11 月 14 日 - 15:44:11

  18. jackal你好:
    我想你大概誤解我們的用意了.在這裡我先說明一下.
    你仔細看樓上的大大們有哪位指向資管或資安人員!應該沒有才對.
    誰是該單位主管?誰在發佈前有將新聞稿經過資訊人員校稿?甚至軍方的資訊主管是專業專職嗎?(這點我都很質疑)
    我們很清楚資安人員是個吃力不討好的工作,畢竟在台灣目前還沒將資安真正定位於專業,有專業又不一定是真專業!也因此才有這篇被人抨擊的新聞出來不是嗎?!
    要防範USB WORM不是把防範或解決方法貼出來,是自己要去查找已經有的解決資料,真要提出來的是新的攻擊方式,是不是這樣呢!
    我想很多大大都跟我一樣,非常敬重在資安領域或工作的人,因為他們在替某些網站或公司擦屁股,USER又臨死都學不會….
    另外,各家的SOP自有其因公司性質或個人所學有所不同,你可以查找一下大砲所有的留言,看能否找到有幾個人說出他們的防範之道!基本的東西要是都不想去弄懂…那多說也無益,只剩砲轟了,不是嗎?
    我們不是沒遇過不懂的人員,遇到不懂的我們一樣熱心的教(可能你沒看到!)但我們至少有個立場;虛心請教,熱心回覆.對於一心只想得到答案而不對自己環境更深去瞭解的….就…有空不要連絡…..^O^
    nice day

    By 天罣 on 2008 年 11 月 15 日 - 00:03:12

  19. 這個站的站長還在嗎？我在網路商店買了東西，過了一週都沒人聯絡，email也沒人回

    By Jun on 2008 年 11 月 15 日 - 08:07:31

  20. 軍中的資安哦！

    我是覺得主導資安的通次室那位長官很變態而已，其他的大家該說的都說了。

    軍中的資安沒有所謂的專業可言，前段時間更可笑，在國軍網路那種封閉式網路，要求每部電腦都要裝上 WTP，沒連上趨勢伺服器的 WTP 有用嗎？

    總之，軍中的資安在高層長官中就和軍中其他業務一樣，不需要什麼專業性，反正長官說的就是對的，只不過現在國軍重視資安到變態的程度罷了，誰負責到資安誰就準備倒大楣。

    By Ken on 2008 年 11 月 16 日 - 15:42:37

  21. 令人想到之前的手機
    我看這隨身碟會繼手機後再淪陷
    官大學問大
    上有政策
    下有對策啦
    當過兵的都知道

    By abcd6968 on 2008 年 11 月 17 日 - 03:32:47

  22. 大家還是要正面一點.
    據我所知雖然很多上層是向大家所說的一樣.
    但是大家也都了解.如果有當過兵的就知道.
    很多事情是事與願違.
    有能力沒權力.有權力沒能力.
    努力的人很多.大家可以多提出好方法.說不定哪天那些高層看到這些文章會效用也說不定.
    畢竟大家都是同一個國家的.
    不要像水果日報一樣.等著看好戲而已.

    By 路過 on 2009 年 02 月 12 日 - 22:12:53

  23. [Windows]-E
    開啟 [檔案總管]
    左方保有 [資料夾]數狀圖
    不是 [資料夾]型態 左方就不會出現
    切換目錄 一率由左方 [資料夾]去切
    快速方便又不會中標!! (針對這篇提到的‵標‵)

    上述 指 正常乾淨系統而言!!
    "已經"中標的…
    手動更改 「隱藏已知檔案類型附檔名」、「隱藏保護的作業系統檔案(建議使用)」和 「顯示所有檔案和資料夾」
    等等 設定 可能都是做白功!!

    By 543 on 2010 年 12 月 22 日 - 00:05:13

請在此留下您的意見

大砲開講 is proudly powered by WordPress Entries (RSS) and Comments (RSS).