本中心很高興為你帶來2015年第一季度的「香港保安觀察報告」。

現今有很多「隱形」殭屍電腦， 在使用者還不知道的情況下，被攻擊者入侵及控制。這些電腦上的數據可能每天都被盜取及暴露，而電腦則被利用進行各種的犯罪活動。

香港保安觀察報告旨在提高公眾對香港被入侵電腦狀況的「能見度」，以便公眾可以做更好資訊保安的決策。

報告提供在香港被發現曾經遭受或參與各類型網絡攻擊活動的電腦的數據，包括網頁塗改，釣魚網站，惡意程式寄存，殭屍網絡控制中心(C&C)或殭屍電腦等。香港的電腦的定義，是處於香港網絡內，或其主機名稱的頂級域名是「.hk」或「.香港」的電腦。

報告概要

本報告是2015年第一季季度報告。

在2015年第一季，有關香港的唯一的網絡攻擊數據共有10,936個。數據經IFAS¹ 系統由19個來源²收集。它們並不是來自HKCERT 所收到的事故報告。

圖1 – 安全事件趨勢³

本季度安全事件的總數承接2014年第四季度的下降趨勢，減少了12%或1501宗。

與伺服器有關的安全事

與伺服器有關的安全事件有: 惡意程式寄存、釣魚網站和網頁塗改。以下為其趨勢和分佈:

圖2 –與伺服器有關的安全事件的趨勢和分佈⁴

有關伺服器的安全事件的數量在2015年第一季輕微減少了6%。

本季網頁塗改攻擊和惡意程式寄存的數量分別下降了2%及51%。惟釣魚網站攻擊大幅增加55.8%。

釣魚網站事件的攻擊是由於唯一網址/IP比的上升。本季的數字(14.11)幾乎是去年四季平均數字(7.48)的兩倍。

此數字的急速上升反映寄存在每個IP地址的唯一網址有所上升。實際上，有關事件的IP地址數量出現了下降。

殭屍網絡相關的安全事件

殭屍網絡相關的安全事件可以分為兩類：

• 殭屍網絡控制中心(C&C) 安全事件 — 涉及少數擁有較強能力的電腦，向殭屍電腦發送指令。受影響的主要是伺服器。
• 殭屍電腦安全事件 — 涉及到大量的電腦，它們接收來自殭屍網絡控制中心(C&C) 的指令。受影響的主要是家用電腦。

殭屍網絡控制中心安全事件

以下將是殭屍網絡控制中心(C&C)安全事件的趨勢:

圖3 – 殭屍網絡控制中心(C&C)安全事件的趨勢

殭屍網絡控制中心的數字在本季有所上升。

本季有4 個殭屍網絡控制中心的報告。其中一個被確定為Zeus的殭屍網絡控制中心，另外三個是IRC殭屍網絡控制中心。

殭屍電腦安全事件

以下為殭屍電腦安全事件的趨勢:

圖4 - 殭屍電腦安全事件的趨勢

殭屍電腦安全事件承接自2014年第三季度的下降趨勢，在本季度繼續減少。

在2015年第一季，香港的殭屍電腦感染的數字減少了17.9%。十大殭屍網絡當中，八個的感染數目都出現了雙位數的下跌(10%至32%)。可是Gamarue殭屍網絡的數字卻大幅上升了208%。

上季的三大殭屍網絡Conficker, Zeus 及ZeroAccess的下跌趨勢持續。當中，ZeroAccess的跌幅最大。有關數字下跌了32%或569宗。同期，上季的第四大殭屍網絡Virut的感染數字繼續上升。它的數字上升了5%，並在本季取代了ZeroAccess成為本港第三大殭屍網絡。這是ZeroAccess首次跌出三甲。

可是，研究人員 發現ZeroAccess在寂靜了六個月後，現已重新啟動。ZeroAccess在2013年遠比現在壯大。當年Symantec的保安研究員在該網絡的P2P溝通機制中發現一個漏洞，他們藉此漏洞在2013年7月發現並清除了大量殭屍電腦。執法人員及其他保安供應商在同年12月再發動了另一場針對ZeroAccess的行動。該殭屍網絡的營運者幾經掙扎後終於放棄，自2014年7月起寂靜至本年初。

ZeroAccess自本年1月15日重新活躍，開始發放點擊詐騙範本予殭屍電腦。雖然殭屍網絡營運者已有超過一年沒有感染新電腦，但它的重新啟動證明營運者正重新投入精力。雖然我們暫未發現ZeroAccess的感染數字開始上升，但我們會加倍留意。 

第八大殭屍網絡，Gamarue，是另一個引起我們注意的殭屍網絡。它的數字在本季上升了兩倍至52宗，是自2013年第二季以來的記錄新高。研究人員 發現殭屍網絡營運者採取了新的方法去擴散殭屍網絡 -- 透過微軟Word檔案巨集 。當受害者打開惡意檔案(通常透過垃圾電郵發放)時，檔案內容會提示受害者啟用巨集。一旦受害者聽從指示，檔案巨集便會執行多階段解碼和程式執行來感染受害者電腦。

Gamarue會竊取敏感資料，允許黑客遙距控制目標系統，並能進一步以其他惡意程式感染電腦。要避免受到感染，HKCERT促請電腦用戶不要開啟可疑郵件內的附件，並不要在不明來歷的微軟Office檔案中啟用巨集。

自2013年6月，本中心一直有跟進接收到的保安事件，並主動接觸本地互聯網供應商以清除殭屍網絡。現在殭屍網絡的清除行動仍在進行中，針對的是幾個主要的殭屍網絡家族，包括Pushdo, Citadel, ZeroAccess及GameOver Zeus。

自2013年6月，本中心一直有跟進接收到的保安事件，並主動接觸本地互聯網供應商以清除殭屍網絡。現在殭屍網絡的清除行動仍在進行中，針對的是幾個主要的殭屍網絡家族，包括Pushdo, Citadel, ZeroAccess及GameOver Zeus。

本中心促請市民大眾參與殭屍網絡清除行動，確保自己的電腦沒有被惡意程式感染及控制。

為己為人，請保持網絡世界潔淨。

下載報告

< 請按此 下載香港保安觀察報告 >

¹ Information Feed Analysis System (IFAS) 是HKCERT 建立的系統，用作收集有關香港的環球保安資訊來源中有關香港的保安數據作分析之用

² 參照附錄1 - 資料來源

³ 數字曾被調整以排除未被確定的網頁塗改事件

⁴ 數字曾被調整以排除未被確定的網頁塗改事件