基本概念

想像有一天接到一封電話，網路技術人員告訴你網路遭到駭客入侵，客戶的敏感資訊正在被竊取，於是你開始調查日誌檔案並檢查被入侵的主機。你使用防毒軟體掃描這些主機並尋找惡意程式，發現了名為 TROJ.snapAK 的木馬程式。你刪除了該檔案試圖避免更多災難，並且建立 IDS 特徵碼偵測確保沒有其他機器受到感染。隨後你修補了攻擊者可能利用的入侵漏洞，以防類似事件再次發生。但是幾天後網路技術人員再次表示敏感資訊仍在被竊取，又有更多機器遭到感染，而防毒軟體也沒有足夠的保護來隔離威脅，於是你開始感到束手無策......

──Practical Malware Analysis

以上可能是各家公司都會真實發生的情境，惡意程式在電腦入侵及資安事件中扮演著重要的角色，任何對使用者、電腦或網路進行惡意行為的軟體都可以算是惡意程式，因此了解惡意程式如何運作、如何偵測、如何防範與排除便是非常重要的工作。

以去年的 T5 Camp 題目來舉例，攻擊者寄送了一份看起來像是求職文件的檔案 Safety Manager JD.jse 誘騙使用者點擊，而其中實際上蘊含惡意程式，這樣透過郵件釣魚下放惡意程式的事件往往層出不窮。

種類

現在我們對惡意程式有了基本的概念，而不同的惡意程式又可以根據他的行為與特徵分為許多種類，不過，同一隻惡意程式有可以分別屬於數種不同的惡意程式，例如同時是木馬程式又會建立殭屍網路，而在 VirusTotal 上也可以看到不同的資安廠商對於同一隻惡意程式的判斷名稱都不一樣。以下列出幾種常見的惡意程式分類。

病毒 Virus

病毒是惡意程式的一種，它會將自己附加到正常檔案或應用程式上，趁受感染的檔案被分享或開啟時進行散播。它一旦啟動之後，就能進行複製，並且損毀或刪除資料、拖慢系統效能，或是竊取資訊。

蠕蟲 Worm

蠕蟲是一種會自我複製的惡意程式，它能在電腦與網路之間擴散而不需要隨附在其他程式身上。他們會攻擊軟體漏洞或利用社交工程技巧來滲透系統。有別於病毒，蠕蟲不需依靠使用者採取任何行動就能自行散播。

木馬程式 Trojan

木馬程式 (或稱為特洛伊木馬) 是一種假扮成正常軟體、但卻含暗藏惡意檔案的程式。有別於蠕蟲或病毒，木馬程式不會自我複製，而是得靠誘騙的方式讓使用者將它們下載並執行。它一旦啟動，就會開啟後門、竊取登入憑證，或者安裝勒索病毒。

勒索病毒 Ransomware

勒索病毒是一種會將使用者的系統鎖住或將其檔案加密的惡意程式，使用者必須支付贖金 (通常使用虛擬加密貨幣) 來解開系統或檔案。它通常經由網路釣魚郵件、惡意附件檔案或漏洞攻擊套件散播。一旦啟動，它就會掃描系統來尋找重要資料，並使用高強度的加密方法將資料加密。

恐嚇軟體 Scareware

恐嚇軟體會讓使用者誤以為自己的裝置已經遭到感染，促使他們購買假防毒軟體，或者付費取得不必要的服務。它會使用嚇人的彈出視窗、假警報，或是騙人的掃描畫面來製造急迫性和恐慌。而這些警告都是假的，如果使用者真的遵照其中的指示操作，通常會讓系統真的安裝了其他惡意程式。

鍵盤側錄程式 Keylogger

鍵盤側錄程式是一種惡意程式或監視工具，專門設計用來暗中記錄裝置上的每一個按鍵動作。它們會擷取一些敏感資訊，例如：使用者名稱、密碼、信用卡卡號，以及私人訊息，而使用者通常渾然不知。鍵盤側錄程式可經由網路釣魚攻擊、惡意下載，或是隨同其他惡意程式一起散播。

結語

我們今天認識了惡意程式的樣貌，所以現在我們已經知道我們的敵人長甚麼樣子、會做甚麼事，接下來，我們就要開始來分析他！

【溫馨小提醒】請先不要把惡意程式直接下載到電腦本機來執行

本日參考資料

• Practical Malware Analysis (Chapter 0)
• https://www.trendmicro.com/zh_tw/what-is/cyber-attack/malware.html

本日貓味