2014惡意軟體攻擊管道，駭客集團犯罪模式解析，你電腦其實不值得被入侵

駭客行為已改變

首先，我們早已受夠那些軟體廠商的吹捧之詞，「網路購物要小心，避免信用卡資料外洩」、「臉書帳號隱私要設定好，避免被人家看光光」、「我們的安全軟體有1024bit加密系統，甚至連超級電腦都無法破解！！」。我只能說這些都是先嚇唬你再賣軟體給你的手法，事實上根本不會有人想看你跟你男朋友的親密合照（除非你是名人）。

現今駭客挑選攻擊目標比較像是逐水草而居，當瞄準特定網路、電腦想攻擊時，通常都會先試探性的研究這個網路、電腦的安全性到哪裡，如果計算下來不符時間成本，便會轉頭向下一個目標攻擊。而現今的駭客的背後大多也都有特定的組織或是國家機構贊助，為了特定目的攻擊特定的對象，你的電腦裡就算有36招，招招精彩的照片也不管你。

以近期的幾次大攻擊來說，EMC（專門致力於資料儲存、數據分析、訊息安全等資有關資料方面的服務公司）的RSA安全部門職員點了某封釣魚信，導致部分電腦受到後門程式感染，密碼以及敏感文件遭到竊取。前陣子PlayStation Network也遭駭客入侵，幾乎所有有關使用者的相關資料皆被盜取一空，雖然目前看來被竊者似乎沒有什麼損失，但就長遠來看這些資料是非常好用的，諸如不良的行銷公司或是其他犯罪機構可是虎視眈眈的想付錢購買。

駭客與怪客（Hacker V.S. Cracker）

駭客原本在英文的語意中，指的是那些對於電腦程式相當理解，喜歡寫程式或是挑出系統毛病並修補或增強的程式設計師，怪客才是那些比較惡意，未經他人與許進入系統搞破壞的人，但經社會上世俗媒體的長期錯誤引用，使得駭客＝壞人的認知深植大眾心中，本文也以大家比較熟悉的駭客一詞指稱那些惡意破壞或竊取資料的人士，但希望大家心中依然還是要記得這兩者最原始的意義並不相同。

現今駭客不再由1個人單打獨鬥，而是具有更強烈的4種特徵：更多資源、更深的技術背景、金援無缺、組織化，過去那種自行破解公司網路竊得機密資訊的方式早已不流行，而是找尋特定機密資訊，並利用此機密資訊達成另外1種目的。

駭客攻擊週期與攻擊四大階段

基本上現今的入侵方式循序漸進可分為4個階段：感染、持續、通訊、操作。感染各位讀者相當熟悉，就是釣魚郵件、注入攻擊、軟體漏洞、下載惡意程式等動作，現今的感染途徑也不見得需要送1個惡意檔案到你的電腦上，諸如1個暗藏掩碼攻擊的網址就能讓你電腦的洞戶大開，所以大家常常會觀看的社群網站或通訊軟體便是很好的攻擊機會。

持續指的就是這些遭到感染的電腦網路們能夠維持被感染的狀態，如果惡意程式只在記憶體裡存活，重開機之後不就白搭了嗎？因此rootkit或是能夠修改開機順序的bootkit惡意程式就是為此誕生，確保能夠生生不息的常駐在被感染的電腦。Android第一隻bootkit惡意程式也已經被發現（Android.Oldboot.1.origin），他能夠在開機時比作業系統更早載入，替換掉正常的libgooglekernel.so和GoogleKernel.apk，之後便會自動安裝功能更為繁瑣的執行檔，利用libgooglekernel.so所提供的函式庫向遠端的代理伺服器下載指令，之後你的資料就不斷的被洩露出去，廣告也不停的來，唯一的解決方法就是整台機器重新刷機。

惡意軟體需要遠端指令

上文文末也帶出了通訊這個概念，因為惡意軟體通常僅是戰鬥前的先行部屬，本身很少已經寫入攻擊指令，而是必須向外界的伺服器溝通，才能知道接下來需要做什麼事。當然道行高的駭客絕對不會把伺服器設為自己的電腦，會以遠端遙控的方式操縱別台已經受感染的電腦指揮。這傳遞指令的動作當然也不能被電腦使用者所發現，所以會利用加密方式傳遞，或是利用proxy代理伺服器作為跳板，更狠的就是直接取代掉你的DNS伺服器，讓你傻傻呆呆的以為去了正常的網站。

操作就已經是最後的階段了，當受感染電腦受到指令後，會去尋找電腦內特定的資訊，或是使用key logger記錄使用者操作電腦的指令，亦或是受感染的電腦再去感染其他台電腦。駭客可以直接和惡意程式溝通，或是以某個特定爆發點取代，譬如哪天網頁上出現「外星人攻擊地球了！」字樣，惡意程式就開始攻擊，類似先前賓拉登放出影片透過身體細微動作或特定關鍵字指揮。

▲駭客的攻擊4週期。

下一頁：社交媒體的隱憂、軟體辨識時間差