本中心很高興為你帶來2016年第一季度的「香港保安觀察報告」。

現今有很多「隱形」殭屍電腦， 在使用者還不知道的情況下，被攻擊者入侵及控制。這些電腦上的數據可能每天都被盜取及暴露，而電腦則被利用進行各種的犯罪活動。

香港保安觀察報告旨在提高公眾對香港被入侵電腦狀況的「能見度」，以便公眾可以做更好資訊保安的決策。

報告提供在香港被發現曾經遭受或參與各類型網絡攻擊活動的電腦的數據，包括網頁塗改，釣魚網站，惡意程式寄存，殭屍網絡控制中心(C&C)或殭屍電腦等。香港的電腦的定義，是處於香港網絡內，或其主機名稱的頂級域名是「.hk」或「.香港」的電腦。

報告概要

本報告是2016年第一季季度報告。

在2016年第一季，有關香港的唯一的網絡攻擊數據共有35,100個。數據經IFAS¹ 系統由19個來源²收集。它們並不是來自HKCERT 所收到的事故報告。

圖1 – 安全事件趨勢³

本季度安全事件大幅上升117%或81,956宗，增長主要來自惡意程式寄存事件。

與伺服器有關的安全事

與伺服器有關的安全事件有: 惡意程式寄存、釣魚網站和網頁塗改。以下為其趨勢和分佈:

圖2 –與伺服器有關的安全事件的趨勢和分佈⁴

有關伺服器的安全事件的數量在2016年第一季從10,514宗上升至31,269宗(197%)。

本季，網頁塗改事件及釣魚網站事件分別增加34%及4.7%；惡意程式寄存事件更大幅增加超過三倍，達至破記錄的26,630宗，該數字超越過去任何一季的總事件數字。

此異常高企之數字是來自數宗正當網站的大型入侵事件。頭四大寄存了惡意程式的網站皆是屬於正當的內地網站，他們共寄存了大約九千個惡意程式唯一網址，佔總數三分之一。該四個網站當中，三個使用了舊版本的軟件，攻擊者很可能利用這些舊軟件的漏洞以入侵網站。

HKCERT一直強調更新的重要。保持系統更新能有效防止者利用已知漏洞的攻擊。

殭屍網絡相關的安全事件

殭屍網絡相關的安全事件可以分為兩類：

• 殭屍網絡控制中心(C&C) 安全事件 — 涉及少數擁有較強能力的電腦，向殭屍電腦發送指令。受影響的主要是伺服器。
• 殭屍電腦安全事件 — 涉及到大量的電腦，它們接收來自殭屍網絡控制中心(C&C) 的指令。受影響的主要是家用電腦。

殭屍網絡控制中心安全事件

以下將是殭屍網絡控制中心(C&C)安全事件的趨勢:

圖3 – 殭屍網絡控制中心(C&C)安全事件的趨勢

殭屍網絡控制中心的數字在本季有所下降。

本季有3 個殭屍網絡控制中心的報告。皆是IRC殭屍網絡控制中心。

殭屍電腦安全事件

以下為殭屍電腦安全事件的趨勢:

圖4 - 殭屍電腦安全事件的趨勢

殭屍電腦安全事件的數字在本季大幅減少。上季第二大殭屍網絡，Bamital於本季從香港網絡中消失，導致殭屍電腦的數字大跌。可是，第八大殭屍網絡，Bedep持續增長。

研究員發現Bedep與惡名昭彰的Angler漏洞攻擊包(Angler Exploit Kit)之間有很強的關連。

漏洞攻擊包是一套用作在受害者電腦上載並執行惡意程式碼的軟件系統。當受害者的瀏覽器被引導至寄存了漏洞攻擊包的網站，漏洞攻擊包會嘗試利用保安漏洞令受害電腦感染惡意程式。整個感染過程對電腦用戶完全透明，並不需要用戶執行任何動作。Angler是其中一個最流行的漏洞攻擊包，它最先出現在2013年末，然後在地下市場快速增長至今。

研究員Angler負載的惡意軟件中，三分之二是不同種類的勒索軟件，其餘的主要是Bedep。
由於漏洞攻擊包依賴已知漏洞作出攻擊，為免成為漏洞攻擊包的受害者，用戶應保持所有軟件更新，包括瀏覽器及操作系統，減低被攻擊的風險。另外，用戶亦須安裝保安軟件，例如防毒軟件或入侵預防系統，以阻擋部份攻擊模式。 

自2013年6月，本中心一直有跟進接收到的保安事件，並主動接觸本地互聯網供應商以清除殭屍網絡。現在殭屍網絡的清除行動仍在進行中，針對的是幾個主要的殭屍網絡家族，包括Pushdo, Citadel, ZeroAccess, GameOver Zeus及Ramnit。

本中心促請市民大眾參與殭屍網絡清除行動，確保自己的電腦沒有被惡意程式感染及控制。

為己為人，請保持網絡世界潔淨。

下載報告

< 請按此 下載香港保安觀察報告 >

¹ Information Feed Analysis System (IFAS) 是HKCERT 建立的系統，用作收集有關香港的環球保安資訊來源中有關香港的保安數據作分析之用

² 參照附錄1 - 資料來源

³ 數字曾被調整以排除未被確定的網頁塗改事件

⁴ 數字曾被調整以排除未被確定的網頁塗改事件