【资安周报第29期】勒索软件横行之怪现象，连金融业也沦陷
使用者一旦被勒索软件绑架，加密电脑中的档案时，就得设法支付赎金以取得解密金钥，但问题是，有更多时候就算付钱取得私钥，加密的档案也不见得可以完全被解开。（此为示意图）
iThome
如果要说，今年台湾民众资安意识有那么一点点提升的原因，跟勒索软件的横行一定脱离不了关系。
以往，不论资安专家讲的多么口沫横飞，台湾政府遭受多严重的APT（进阶持续性威胁）攻击，或者是大量民众个资外泄，让骇客能用资料拼图手法进一步损害民众利益，甚至是多严重的商业诈骗等，都很难让民众体会资安威胁到底有多严重。
但是，勒索软件不一样，能带给民众血淋淋真实的痛感，甚至让民众因此而意识到，原来资安跟你我是息息相关的。最近几乎每个人或多或少都有听到，身边有朋友因为不小心，导致电脑中的资料遭勒索软件加密了，可能是小孩照片，或公司重要档案，因遭加密而无法读取，造成了不同程度的实质损失。因为受骇对象就是你我身边的亲朋好友，每个人损失的几乎都是日常生活中，最常用、最重要的资料，被骇的感受也因此特别深刻。
除了一般民众受害，甚至连台湾某银行业者的台湾分行及海外分行分行主管的电脑，从去年开始至今多次遭勒索软件绑架档案，连该银行资讯部门高阶主管都受害。连台湾最重视资安的金融业都遭勒索软件攻击，更可证明，台湾已沦为勒索软件之岛了。
恶意网站加上没有更新的电脑，扩大勒索软件加密电脑档案危害程度
许多人受害都是因为浏览一些不安全的网站，像是一些中国网站、色情网站或者是一些免费下载网站的网站，也会有人因为看到一些“抽奖”问卷，被利诱填写问卷的同时，使用者无意之间就在背景程式中下载了这些恶意的勒索软件。
除了浏览不当的网站页面外，造成更严重伤害的其实是，使用者浏览正常的网站，却因为网站被转址到恶意的网址后，使用者无意间就下载了恶意了勒索软件在电脑中，假若相关的电脑系统或应用程序没有更新到最新版时，就可能因此触发勒索软件的执行。
让人最无奈的关键在于，这些看似正常却大量散布勒索软件的网站，有很多因为是许多行业和民众经常使用的必要网站，资讯部门同仁甚至不敢封锁该网址，间接加深勒索软件蔓延的速度和危害的程度。
目前也已经证明，恶意网址其实是造成台湾勒索软件横行一个很关键的因素，据了解，从今年一月～三月左右，钜亨网的网站被植入恶意程式；其他像是股票行情网站StockQ也同样被植入恶意程式；住房网从今年一月～四月，也有上百人因为浏览该网站，被导到恶意网址而被植入勒索软件。
虽然目前这些网站都已经默默修复，但在受害期间，因为这些网站有其必要性，但却因为外界都不知道该网站是散布勒索软件的“间接凶手之一”，都可能扩大受害的使用者人数和范围。据了解，也有多次遭到勒索软件危害的银行业者，最终不得不采用封锁使用者浏览上述网站的方式，以减低勒索软件的危害。
此外，今年六月初，因为台湾雅虎奇摩网站的网络广告播放平台中，所播放的网络广告被植入恶意连结，导致只要刚好浏览雅虎奇摩首页且正好轮播到恶意网络广告，而且使用者的电脑Adobe Flash并没有更新到最新版时，就可能因此中标，电脑档案就可能因此被勒索软件加密。
台湾这一波因为雅虎奇摩网站的恶意网络广告，而遭到CrypZ勒索软件加密档案危害者众，虽然没有详细的受害者统计数据，但引述一位资安业者的参考数据，先前每天大约有500封～600封左右的电子邮件是勒索软件相关的求助信件，现在则减少到每天大约50封左右。
台湾最重视资安的银行业，也成为这波勒索软件的受害者
整体勒索软件受害的灾情看样子减轻不少，但每个人受害的威胁程度却没有因此减少，更有甚者，台湾也传出有某银行业，包括台湾分行以及海外分行的行员电脑，从去年开始，每个月至少传出1～2次有行员电脑，陆续遭到勒索软件加密档案的灾情，甚至于，还有同一名分行主管的笔记型电脑，更是多次被勒索染体绑架，整台电脑的档案都被加密。
对于金管会银行局而言，勒索软件并不在该单位主要检查稽核的项目中，即便被查到有该项事实，顶多只是记一个小缺失而已，银行不痛不痒之外，甚至于，也传出该银行资讯部门最后选择直接将电脑重灌的这种最省事的解决方式。
金融业其实是台湾最重视资讯安全的重点产业之一，不仅多半有配置相关的资安人员，也愿意投资相对应的资源在资安防护上。但从这个例子看来，银行看来对于防范勒索软件的威胁是束手无策，对银行而言，多年的资安防护体系，则活生生被勒索软件打穿，甚至于，连资讯部门的高阶主管电脑也都受害，也让人对于银行业如何轻忽勒索软件威胁，感到不寒而栗。
除了银行业外，也有听闻传统产业面对勒索软件的怪现象。有某传统产业的老板，因为想要随时知道公司的营运资料，所以老板自己在家里有一台跟公司即时同步的档案服务器，只要公司营运资料有任何更新，不刻间，老板家中的档案服务器也会有最新版本的资料。
传产老板家中和公司电脑的营运资料，同步被勒索软件加密
只不过，某一天，老板的特别助理发现，老板的电脑跑起来特别慢，说时迟、那时快，原来老板的电脑已经中了勒索软件，正在把老板家中的电脑进行加密中；更惨的事情是，因为老板的档案服务器和公司的档案服务器是同步的，当勒索软件加密完老板家中的电脑资料后，连公司电脑的资料也都同步被加密了。
夸张行径不只如此，中了勒索软件后，总共有超过13万个档案被加密，因为这些资料都非常重要，老板要求资讯主管找专家来解密，而资安专家在老板家中的电脑进行数位鉴识和解密的过程中，则被要求要穿上类似无尘衣的装扮，担心资安专家在鉴识和解密的过程中，会有灰尘不小心破坏被加密档案的完整性而无法解密、无法复原。
据该名资安专家说法，在解密一个多星期的时间，目前大概只有大约3～4万个档案被解开，这些可以被解开的档案，是很幸运，在老板特助发现老板电脑不对时，立即拔网络线、关电脑，只被加密一次的档案，还有解开的机会；其他近十万个档案，甚至出现被双重加密的档案，是无法被解开的。
资安专家也指出，因为这次损失的营运资料是非常重要的资料，受害的老板在第一时间，就已经要求他老婆付赎金，大约折合新台币五十多万元，但是取得档案解密的私钥后，并无法把档案完全解开，也没有办法和骇客有进一步的联系，只好设法另请高明提供解密的协助。
高科技制造业釜底抽薪，评估半年对外连线全数改用Chrome浏览器
从许多勒索软件受害者的经验中，发现共通的使用情况都是使用微软的IE浏览器，往往会再加上没有更新到最新版的Adobe Flash应用程序，双管齐下，距离电脑被勒索软件锁定加密的时间也不远了。
因为在微软XP操作系统中，IE只能更新到IE 8；而在微软Windows 7操作系统中，IE只能更新到IE 11；至于，号称最安全的微软浏览器Edge则只存在Windows 10操作系统中。对于微软公司而言，汰换老旧、不安全的操作系统和不安全的浏览器，原本就是理所当然的事情；但对使用者而言，这其实就是微软无法回避的原罪。
对于许多使用者而言，在微软的操作系统中，使用微软内建的IE浏览器已经是天经地义的事情，至于浏览器有没有更新、操作系统有没有更新，甚至于，应用程序有没有更新，对很多使用者而言，都已经是超出他们可以理解的概念。加上，有许多使用者并没有良好的电脑使用习惯，所有的按键都没有详读显示视窗的说明内容，一路只有下一步、下一步的按键选项，即便微软操作系统有提供类似UAC的软件安装时的防护机制，会先询问使用者，是否确认安装该应用程序时，面对这样的使用者行为，再多次的询问都是失效的。
因此，对于微软而言，操作系统内建的各种浏览器，尤其是IE浏览器，为了便利使用者，尊重使用者可以启用ActiveX，在IE浏览器中使用Adobe Flash应用程序。但对于许多麻瓜的电脑使用者而言，根本无法理解启用ActiveX的同时，也意味着，使用者已经自行判断要承担使用该应用程序所带来的风险。
我们当然可以“理解”微软公司尊重使用者的前提，尤其在台湾，不能使用Adobe Flash应用程序时，就表示苹果日报网站中的很多影片就不能看了，这对一般使用者而言，才是浏览器好用与否的判断依据。
但“不能理解”的地方在于，微软公司为什么要将判断安全性与否的问题，丢回给技术麻瓜的使用者身上。像是Google推出的Chrome浏览器，根本已经预设禁止使用Adobe Flash应用程序，若使用者确定要使用该应用程序，必须自行安装其他插件（Add On），当使用者有这个安装插件的过程时，对于坚持使用结果当然就是“使用者自负”。
也因为勒索软件的中标都与微软IE浏览器以及Adobe Flash应用程序息息相关，便有资安专家表示，在新竹科学园区中，已有某间员工大约4万名左右的某知名高科技制造业者，经过去年下半年的评估后，在去年底已经正式导入，所有员工对外进行网络连线时，一律都强制改用Chrome浏览器，而IE浏览器在浏览内网资料时，仍然可以顺利使用。
根据该名资安专家的说法，这间高科技制造业只是改用浏览器而已，整体资安系统警告的讯息量就已经大幅降低，也提升资安部门判断公司资安风险的效率。
从这个经验判断，微软操作系统的使用者，如果可以在今年7月29日前，可以免费升级到微软Windows 10操作系统的使用者，都应该尽速升级到目前微软最安全的操作系统以及使用微软最安全的浏览器；但如果因为种种因素而无法升级时，禁止使用不安全的IE浏览器，改用其他预设禁用Adobe Flash应用程序的浏览器时，其实是保护使用者避免被勒索软件绑架的第一步。
上周（6/19～6/25）重要资安事件回顾：
※苹果在WWDC没说的事：iOS 10核心不再加密
※调查：安全防护不足，逾半五百大网站可能沦为电子邮件诈骗帮凶
※新版Docker产品战略大升级，三大亮点：内建容器调度、预设启用资安、还要支援公云
※The DAO专案遭骇客盗走360万个以太币，价值暴跌逾40%
※IBM联手飞机网络服务供应商Gogo，采用乱流侦测算法加强飞行安全
