賽門鐵克：白皮書揭露金融木馬的世界

截至2013年，全球金融機構與各類網絡攻擊的鬥爭已經有十年的歷史瞭，然而由於時代變遷，“金融木馬的世界”已經發展成為一個繁榮的產業，而過去很多的傳統安全防護技術對於現代的金融木馬無法發揮作用。雖然越來越多的機構也開始采取諸如chipTAN（類似U盾）這樣強有力的安全措施，但采用率是緩慢的，因此這也為攻擊者提供瞭可乘之機。

為瞭更加細致的揭示和分析2013年針對金融行業的木馬攻擊，賽門鐵克於近日發佈瞭《2013年揭露金融木馬的世界》白皮書，白皮書分析瞭2013年金融木馬攻擊的特點和趨勢，包括八個最活躍也最復雜的金融木馬，它們有針對性的攻擊瞭全球1400多個金融機構及數以百萬計的電腦設備。

本期白皮書的主要發現如下：

在2013年的前三個季度，金融木馬的數量增長瞭三倍。

2013年，全球有超過1400個金融機構被金融木馬攻擊。在上述金融機構中，排名前15位的遭受金融木馬攻擊的次數占總數的50%。

被金融木馬攻擊最多的金融機構集中在美國，占據全球總數的71.5%。此外，全球有來自88個國傢和地區的金融機構成為攻擊目標，且目標范圍正在向中東、非洲和亞洲地區蔓延。

2013年金融木馬的兩種主要攻擊策略為：“集中式攻擊”和“廣泛式攻擊”。

除瞭傳統的網上銀行外，一些新的機構類型也成為被攻擊的對象，例如單一歐元支付區（SEPA）在歐洲的信貸轉移等。此外，比特幣也成為攻擊者的目標。

揭示八個在2013年最活躍、也最復雜的金融木馬

本期報告重點分析瞭活躍在2013年的八個最常見也最復雜的金融木馬，它們分別是Zeus，Gameover，Spyeye，Bebloh，Shylock，Tilon，Mebrot和Cridex，這些現代金融木馬都非常靈活，並且能夠在一系列交易服務中生成欺詐性交易。這些金融木馬有許多不同的特征，但MITB（Man-in-the-browser）是這些金融木馬都會采用的一種技術，通常MITB組件會收集和操縱在Web頁面上的必填字段，從而執行欺詐性交易。一系列諸如此類技術的結合決定瞭欺詐性交易的成功率。

金融木馬攻擊正在向新的目標市場轉移

同時，攻擊者也在不斷進入新的市場，擴大業務，尋找新的目標，如中東、非洲和亞洲這些地區已逐漸成為攻擊目標。那些擁有龐大人口和富有居民的地區更吸引攻擊者註意，如沙特阿拉伯、阿聯酋、香港和日本在最近也受到很多攻擊。此外，網絡罪犯也在探索新的機構類型，為瞭追求最大回報率，攻擊者針對高額度和高價值的金融交易服務展開攻擊，如單一歐元支付區（SEPA）在歐洲的信貸轉移等。金融機構的管理者需要采取積極的措施以確保足夠的安全機制，從而應對此類針對性攻擊。

針對網上銀行及移動設備的攻擊

目前許多金融機構已經開始使用智能手機等移動設備作為用戶身份驗證的口令，手機上的TAN技術(mTAN)已成為非常受歡迎的一種形式。mTAN會發送一條短信到客戶註的冊電話號碼，消息包含一個授權代碼和經常提到的一些交易細節從而完成驗證的目的。為瞭規避這一保護措施，惡意攻擊者已經開始添加移動設備的木馬插件。通過社會工程學手段，攻擊者可以誘騙用戶在他們的移動設備上安裝木馬，一旦安裝成功，該木馬就可以將收到的任何代碼及信息轉發給攻擊者。此外，有些攻擊者還會在一些第三方的軟件商店發佈欺詐性的一次性密碼發生器作為某種移動設備應用程序，一旦安裝成功，這類惡意軟件就會提示用戶輸入他們的帳戶密碼，這也為攻擊者提供瞭他們需要的信息從而進行針對性攻擊。

比特幣市場的繁榮也引起攻擊者的註意

作為一種分散的數字貨幣，比特幣市場在2013年得到瞭極大的發展，尤其是在2013年11月比特幣的兌換率超過1000美元之後，越來越多的人對它產生瞭興趣，當然這也激發瞭網絡犯罪者的欲望。在過去的幾年中，惡意軟件作者開發瞭各種木馬，專門針對比特幣錢包。由於很少有人使用在線錢包或網上交易賬戶存儲他們的比特幣，大多數攻擊者將目標主要集中在本地存儲文件的離線錢包，目前這類服務已成為一個目標。也有一些攻擊者已經開始使用金融木馬盜取密碼來訪問在線比特幣錢包，也有報道稱，有一些針對性攻擊襲擊瞭比特幣交易平臺，攻擊者已成功偷走瞭價值數百萬美元的比特幣。我們預計，攻擊者對於這個數字貨幣市場的興趣將進一步增長，尤其是在比特幣的價值不斷增加、而在線交易平臺的安全防范仍較弱的這一時期。

2014年，對於全球金融機構來說，需要全面審視當前的業務流程和IT部署，避免出現安全防護的漏洞，強大的安全防護措施能夠幫助抵禦金融木馬攻擊，並使得攻擊者知難而退。但是，除瞭部署強大而全面的安全防護技術之外，對終端用戶進行網絡威脅風險教育也至關重要。因為，終端用戶是網上交易流程中最薄弱的環節，即使是目前最強的技術也難以完全抵禦利用社會工程學發起的攻擊。金融機構需要開放風險培訓並持續提醒用戶要註意防范那些可能遇到的安全問題。隨著越來越多的用戶采用網上銀行取代傳統的線下銀行或電話銀行業務，銀行首先必須確保用戶感受到安全。不可否認，金融機構建立完善且充分的保護措施還需要花一定時間，而在此之前，網絡罪犯將會繼續有針對性的攻擊金融機構和相關用戶，並造成每年數百萬美元的財產損失。

---

Orignal From: 賽門鐵克：白皮書揭露金融木馬的世界