文/何維涓 | 2019-01-25發表

AWS推出安全連接內部網站服務WorkLink，讓員工透過移動裝置在安全情況下，連接公司內部網站和應用，不需透過VPN或定製的瀏覽器，終端使用者只要下載AWS的WorkLink應用程式，就能連接管理員授權的內部網站，AWS是透過自家的運算和網路基礎架構，傳送無暫存但是功能健全的網頁，提供終端使用者使用，收費方式為每個活躍使用者每月5美元。

AWS認為，現在許多員工需要在外工作，但缺乏方便的連接內網管道，現有的解決方案需要管理員部署VPN，再搭配移動裝置管理軟體，來配置終端使用者的存取權限，而對使用者而言，連接的過程相當麻煩，每次登入都需要一次性密碼和定製的瀏覽器，而降低了工作效率。WorkLink應用程式可以省去企業在防火牆外，為了建立安全連線的建置和維護工作，此外，WorkLink服務也減少了資料遺失或失竊的風險，因為網站內容無法在終端裝置儲存或是暫存。

WorkLink服務的核心是由AWS雲端託管的安全網路瀏覽器，將網頁內容轉換為以可縮放矢量圖形（Scalable Vector Graphics，SVG）表示的完全可互動式圖像，保留了滑動、點擊等常見手勢的互動，WorkLink接收到連線請求後，會將該圖像傳送到終端使用者裝置，使用者關閉頁面後，不會有任何資料留在終端裝置中。

目前WorkLink服務先於北美和歐洲推出，今年會陸續擴展至更多區域，支援iOS 12以上的版本，幾周後將會支援Android 6以上的版本，瀏覽器目前支援Safari，接下來幾周將支援Chrome。

資料來源：免VPN，AWS發布安全連接內部網站服務WorkLink

最近有兩隻令人矚目的勒索病毒,繼媒體報導專瞄準大企業,半年獲利近400萬美元的 Ryuk 勒索病毒後,新一波的勒索病毒MongoLock變種更狠, 會直接刪除特定目錄內的檔案, 中毒電腦在離線後仍會繼續刪除檔案，讓檔案無法回復。甚至會格式化並格式化可用的備份磁碟。

趨勢科技一直在關注新一波的MongoLock勒索病毒攻擊，這波攻擊會在感染時刪除檔案而非進行加密，並且會進一步掃描可用資料夾和磁碟來進行檔案刪除。此波勒索病毒從2018年12月開始出現，會要求受害者在24小時內支付0.1比特幣來取回據稱保存在駭客伺服器內的檔案。我們的監控資料偵測到200多個樣本，台灣、香港、韓國、英國、美國、阿根廷、加拿大和德國,是中毒數量最高的地區。趨勢科技的機器學習(Machine learning,ML)和行為偵測技術能夠主動地封鎖此勒索病毒。

與一般先加密的勒索病毒不同，直接刪除重要資料，備份硬碟，再發勒贖通知

2018年9月的MongoLock攻擊也是針對安全設定較弱的資料庫。此外，我們發現這勒索病毒被放在PythonAnywhere上，這是基於Python的線上整合開發環境（IDE）和網頁託管服務。連到hxxp://update.pythonanywhere.com/d會下載可執行檔 （update.exe），同時連到hxxp://update.pythonanywhere.com將使用者導到中文編寫的遊戲網站模擬頁面（PythonAnywhere已經了移除此網站）。駭客會經常地更改網站上的勒索病毒,使用hxxp://{user-defined}.pythonanywhere.com的主機可能都容易被濫用。

與一般看到的勒索病毒加密行為不同，此變種會刪除在磁碟A和D內找到的重要資料並將勒贖通知加入資料庫。

圖1、MongoLock留在中毒資料庫的勒贖通知。

勒索病毒會掃描和移除「 文件 」、「 桌面 」、 「 最近 」、「 我的最愛 」、「
音樂 」、「 影片 」和「 資源回收筒 」等特定資料夾內的檔案，並格式化可用的備份磁碟。根據勒贖通知，被刪除檔案的副本會用加密的HTTPS協定上傳到一個網址，我們追蹤電子郵件找到託管在ToR網路內的命令與控制（C&C）伺服器。中毒電腦在離線後仍會繼續刪除檔案，讓檔案無法回復。我們透過沙箱分析沒有發現資料庫掃描和搜尋的跡象，這可能代表資料刪除只針對特定目錄內找到的實體檔案。

勒索病毒持續覬覦能夠獲取最大利潤的產業

在最近的Ryuk勒索病毒攻擊據報讓美國主要報紙印刷業務停擺之後，我們繼續地關注並調查此攻擊活動。我們懷疑網路犯罪分子仍在研究能夠獲取最大利潤的產業，建議企業該重新審視並確保自己部署了該有的安全政策和軟體。建議管理者檢查線上資料庫和伺服器設定以做好防護。為了抵​​禦此威脅：

• 更新你的系統和軟體來避免成為讓網路犯罪分子可用的進入點或感染管道。
• 實作3-2-1 備份原則。
• 使用能夠掃描和封鎖惡意網址的多層次安全解決方案。

趨勢科技解決方案

趨勢科技的XGen安全防護為資料中心、雲端環境、網路和端點，提供能夠對抗各類威脅的跨世代威脅防禦技術。它融合了高保真機器學習(Machine learning,ML)與其他偵測技術和全球威脅情報，能夠全面性地抵禦進階惡意軟體。精準、最佳化、環環相扣的XGen防護技術驅動著趨勢科技一系列的防護解決方案：Hybrid Cloud Security（混合式雲端防護），User Protection（使用者防護）和Network Defense（內網防護）。

入侵指標

惡意網域/網址：

• Hxxp://update.pythonanywhere.com/d（病毒載體）
• Hxxps://s.rapid7.xyz / 104.27.178.191（C&C）

@原文出處：Ransomware MongoLock Immediately Deletes Files, Formats Backup Drives

資料來源：勒索病毒MongoLock變種不加密，直接刪除檔案，再格式化備份磁碟,台灣列為重大感染區