本中心很高興為你帶來2017年第二季度的「香港保安觀察報告」。

現今有很多「隱形」殭屍電腦， 在使用者還不知道的情況下，被攻擊者入侵及控制。這些電腦上的數據可能每天都被盜取及暴露，而電腦則被利用進行各種的犯罪活動。

香港保安觀察報告旨在提高公眾對香港被入侵電腦狀況的「能見度」，以便公眾可以做更好資訊保安的決策。

報告提供在香港被發現曾經遭受或參與各類型網絡攻擊活動的電腦的數據，包括網頁塗改，釣魚網站，惡意程式寄存，殭屍網絡控制中心(C&C)或殭屍電腦等。香港的電腦的定義，是處於香港網絡內，或其主機名稱的頂級域名是「.hk」或「.香港」的電腦。

報告概要

本報告是2017年第二季季度報告。

在 2017 年第二季，有關香港的唯一的網絡攻擊數據共有 9,042 個。數據經IFAS¹ 系統由19個來源²收集。它們並不是來自 HKCERT 所收到的事故報告。

圖1 – 安全事件趨勢

2017 年第二季度的安全事件總數下降了 41% 或 6,323 宗。跌幅是由於與伺服器有關的 安全事件及彊屍網絡感染均有明顯下降而造成。

與伺服器有關的安全事

與伺服器有關的安全事件有: 惡意程式寄存、釣魚網站和網頁塗改。以下為其趨勢和分佈:

 圖2 –與伺服器有關的安全事件的趨勢和分佈

本季度有關伺服器的安全事件的數量由 8,451 宗大幅減少至 4,015 宗(跌幅為 52%)。網頁塗改事件的數量下跌了 39%，而惡意程式寄存事件則下跌了 55%。與上一季度比較，釣魚網站事件更減少了 79%，達至記錄以來最低的 428 宗。

雖然網頁塗改事件有明顯減少，但是其 URL/IP 比卻相對地低，反映出在報告時間有頗多的伺服器受到入侵的狀況 (參閱第11頁圖6)。釣魚網站事件亦有相同情況 (參閱第13頁圖8)。

殭屍網絡相關的安全事件

殭屍網絡相關的安全事件可以分為兩類：

• 殭屍網絡控制中心(C&C) 安全事件 — 涉及少數擁有較強能力的電腦，向殭屍電腦發送指令。受影響的主要是伺服器。
• 殭屍電腦安全事件 — 涉及到大量的電腦，它們接收來自殭屍網絡控制中心(C&C) 的指令。受影響的主要是家用電腦。

殭屍網絡控制中心安全事件

以下將是殭屍網絡控制中心(C&C)安全事件的趨勢:

圖3 – 殭屍網絡控制中心(C&C)安全事件的趨勢

殭屍網絡控制中心的數字在本季減少至 2 個。它們都被確定為 IRC 殭屍網絡控制中心。

殭屍電腦安全事件

以下為殭屍電腦安全事件的趨勢:

圖4 - 殭屍電腦安全事件的趨勢

殭屍電腦安全事件在本年的第二季度下降了 27%。位列榜首的是 WannaCry 勒索軟件。自 5 月 12 日於全球爆發後，連接其殭屍網絡的最大唯一 IP 地址數量在本季度內有 1566 個；而 2014 年發現的 Ghost Push 惡意程式亦躋身香港主要的殭屍網絡之中。

WannaCry

勒索軟件是一種會加密受害人的檔案，並要求受害人繳付贖金以復原檔案的惡意程式。
這款名為 WannaCry 的變種擁有電腦蠕蟲的特性，是第一款利用微軟視窗 SMB 漏洞(EternalBlue 和 DoublePulsar)，能在家用或辦公室網絡散佈，並感染更多裝置的新型勒索軟件。它會掃瞄沒有修補的主機上的 TCP 139 和445 埠，一旦發現這些埠有開啟，便會對目標進行加密及擴散。

Ghost Push

Ghost Push 是一款發現於 2014 年的 Android 惡意程式家族。它主要是透過用戶安裝非來自 Google Play 商店的應用程式來感染 Android 裝置。安裝後，它會嘗試獲取根權限及下載其他惡意應用程式。在去年十二月，一款針對 Google 服務的手機惡意程式 - Gooligan - 正是 Ghost Push 的變種。

自2013年6月，本中心一直有跟進接收到的保安事件，並主動接觸本地互聯網供應商以清除殭屍網絡。現在殭屍網絡的清除行動仍在進行中，針對的是幾個主要的殭屍網絡家族，包括WannaCry, Avalanche, XCode Ghost, Pushdo, Citadel, Mumblehard, Ramnit, ZeroAccess 及 GameOver Zeus。

本中心促請市民大眾參與殭屍網絡清除行動，確保自己的電腦沒有被惡意程式感染及控制。

為己為人，請保持網絡世界潔淨。

下載報告

< 請按此 下載香港保安觀察報告 >

¹ Information Feed Analysis System (IFAS) 是HKCERT 建立的系統，用作收集有關香港的環球保安資訊來源中有關香港的保安數據作分析之用

² 參照附錄1 - 資料來源