什麼是木馬程式？類型與預防

隨著技術的進步，企業正拓展至新的領域。此外，組織的這些擴張也帶來了各種不同的網路威脅升級途徑。在所有威脅中，木馬攻擊是最惡意且最棘手的對手。這些攻擊的名稱源自古希臘神話中的攻擊；它們偽裝成合法的軟體或檔案，讓潛在受害者主動將其引入系統。一旦進入其中，它們便可能造成嚴重破壞；它們可以竊取敏感資料、中斷服務，或授予外部人員未經授權的存取權限。

本文將深入探討木馬程式攻擊、其歷史、不同類型，以及對企業與個人造成的災難性影響。我們將了解這些攻擊如何運作、您如何偵測它們，以及更重要的是，您如何防止它們滲透您的系統。

此外，我們也將討論在攻擊成功的不幸情境下可採取的事件回應策略。在本詳細指南結束時，您將能充分理解、辨識並保護自己免受使用木馬程式手法的攻擊，而這也會自然提升您整體的網路安全態勢。

什麼是木馬程式攻擊？

木馬程式攻擊是一種惡意軟體程式，對大多數目標而言會偽裝成合法軟體，進而誘使使用者在其裝置上安裝惡意軟體。與蠕蟲或病毒不同，木馬程式不會自我複製。相反地，它們會暗中結合社交工程手法進行散布，通常偽裝成實用應用程式、誘人的下載內容，甚至是看似無害的電子郵件附件。

木馬程式的歷史

「木馬程式」一詞源自古希臘特洛伊戰爭的神話，其中希臘人送給特洛伊城一匹木馬，並在其中秘密藏匿精銳部隊。雖然這個概念最早可追溯至電腦科學家 Daniel J. Edwards 在 1974 年提出的理論，但直到 1980 年代末與 1990 年代初，木馬程式攻擊才真正成為現實且嚴重的威脅。

在歷史上最具代表性且最廣為人知的木馬程式攻擊之一，是 1989 年的 AIDS Trojan。它將自己偽裝成與 AIDS 相關的教育程式，卻會加密受害者電腦中的檔案，並要求支付費用才能解密。這為後續的勒索軟體攻擊奠定了基礎，展示了惡意軟體不僅能未經授權進入系統，還能藉此勒索使用者。

木馬程式攻擊的影響

木馬程式攻擊的後果，對個人與組織而言都可能極具破壞性。以下是攻擊可能造成的一些後果：

1. 資料竊取：從系統中竊取敏感資訊，包括登入密碼、財務資料與個人資訊，後續可能導致詐欺或身分盜用。
2. 財務損失：企業可能因竊盜、勒索，或與系統復原及品牌聲譽管理相關的支出而遭受直接財務損失。
3. 營運中斷：木馬程式可能破壞關鍵系統、刪除檔案，或使電腦無法運作，進而不可避免地造成令人挫折的長時間停機與生產力損失。
4. 品牌價值與消費者信心流失：成為木馬程式受害者的組織，其品牌可能受損，或其在客戶心中的可信度下降，甚至失去原有承諾或整體信任。
5. 合規違規：在受監管產業中，此類攻擊很可能導致資料外洩，進而違反資料保護法規，並可能面臨高額罰款及／或法律訴訟。
6. 進一步的惡意軟體感染：木馬程式可作為其他類型惡意軟體的通道，最終可能演變成更嚴重的情況，並升級為整個網路範圍的感染。

木馬程式對其目標具有深遠影響；因此，了解這類威脅非常重要，並需要採取嚴格的安全措施來避免或防止其發生。

木馬程式攻擊的類型

木馬程式攻擊有多種形式，每一種都旨在利用不同弱點，以達成特定的惡意目的。了解這些類型將有助於組織據此做好防禦準備。以下是一些常見的木馬程式攻擊類型：

• 網路釣魚木馬程式：

網路釣魚木馬程式是木馬攻擊中最常見且破壞性最大的類型。這類惡意軟體通常會透過電子郵件或假冒網頁傳送，偽裝成來自使用者銀行或社群網路的真實通訊，甚至如今還會假冒成同學，以欺騙使用者分享其機密資訊，包括身分證字號、密碼或銀行資料。根據使用者對網路釣魚木馬的反應方式不同，它可能會安裝更多惡意軟體、記錄鍵盤輸入，或讓攻擊者取得遠端存取權限。這些攻擊隨著時間而演變；它們已不再只是誘騙你交出個人資訊的手法，甚至還能進一步繞過雙因素驗證以攔截你的簡訊驗證。

• 遠端存取木馬程式 (RATs)：

RATs對遭受攻擊的系統提供攻擊者不受限制的控制權。一般而言，RAT 的運作方式是在安裝後，於系統中為攻擊者建立後門。此類存取之後可能被用於資料外洩、鍵盤側錄或擷取螢幕畫面以監控使用者活動，甚至將受感染的機器納入更大型 botnet 的一部分，用於發動 DDoS 攻擊。RAT 最常透過電子郵件附件、惡意下載，或作為更大型惡意軟體套件的一部分進行散布。它們能夠長時間潛伏於表面之下的特性，使其特別危險，讓攻擊者得以隨時間蒐集敏感資訊，或在最有利的時機發動攻擊。

• 銀行木馬程式：

銀行木馬在鎖定銀行與金融機構客戶方面已變得非常具針對性。它們大多使用多種高階網頁注入技術，最終會改變真實且合法的銀行網站外觀，顯示偽造頁面，藉此竊取客戶帳戶的登入憑證及其他敏感資訊。進階銀行木馬也可能能夠即時執行詐欺交易，例如，甚至在顯示使用者仍位於合法帳戶中或擁有合法帳戶時也是如此。

這些木馬程式也可能具備停用安全軟體的能力，使其特別難以偵測與移除。銀行木馬程式背後的財務動機使其成為持續性的威脅，網路犯罪分子不斷演進其手法，以繞過安全措施並利用金融系統中的新弱點。

惡意軟體中的木馬程式病毒

雖然從技術上來說，木馬程式並不是病毒，因為它們不會自我複製，但「木馬程式病毒」已成為口語上用來描述任何採用類似木馬欺騙手法之惡意軟體的說法。在更廣泛的惡意軟體脈絡中，木馬程式在多種攻擊策略中占有重要地位。

最常見的木馬惡意軟體類型：

1. 後門木馬程式：這類惡意軟體會在受感染系統中建立後門，讓攻擊者可透過隱藏入口進行遠端存取。因此，此類攻擊可在不引起注意的情況下進行，也就是說，不會被電腦上既有的安全措施偵測到。這些後門可被用來進一步安裝惡意程式、竊取資料，或秘密操控系統。
2. 下載器木馬程式：顧名思義，其目的基本上是在受感染主機上下載額外的惡意軟體。大多數情況下，它們會作為初始入侵點，為攻擊者展開更複雜的攻擊活動，因為它們通常可以部署多種不同威脅。
3. 資訊竊取木馬程式：這類惡意軟體主要鎖定受感染系統中的敏感資訊。它們可能針對特定資訊，例如密碼、信用卡號，甚至加密貨幣錢包資訊。在這種情況下，執行資訊竊取木馬程式最常用的技術是鍵盤側錄與螢幕擷取。
4. DDoS 木馬程式：這類木馬程式會將遭入侵的電腦變成「殭屍」。接著可對其進行遠端控制，使其參與對目標伺服器或網路發動的DDoS attack。攻擊者可利用多個受感染主機，以流量淹沒目標伺服器或網路。因此可能造成資源壅塞。
5. 假防毒木馬程式：假防毒木馬會偽裝成合法的防毒應用程式，多半產生假的警示來欺騙使用者購買不必要的軟體或洩露敏感資訊。它們甚至可能停用真正的安全程式，使系統暴露於其他威脅之下。

木馬攻擊的知名案例

有數起木馬攻擊因造成廣泛損害或具高度複雜性而聲名大噪：

1. Zeus：於 2007 年被發現，是影響力極高的銀行木馬之一；蔓延至數百萬台電腦，竊取了大量金融資料。由於它是模組化惡意軟體，因此可頻繁更新、改變其形式，並因此在多年內影響 IT 領域。
2. Emotet：最初被設計為用於銀行目的的木馬，Emotet 已發展成多用途的惡意軟體散布平台，傳播速度快且力道強，同時因為為各類惡意行為者提供了散布其訊息的理想環境而聞名。
3. Rakhni Trojan：這確實是用途最多樣的惡意軟體之一。它只需依據系統情況，將勒索軟體、加密貨幣挖礦程式或間諜軟體植入目標系統即可。
4. Gh0st RAT：這種 RAT 因被用於針對政府與企業的定向攻擊而惡名昭彰。它讓攻擊者能完全控制受感染的機器，並進行大規模資料外洩與間諜活動。
5. CryptoLocker：雖然主要被歸類為勒索軟體，CryptoLocker 在初始感染階段也會採用類似木馬的手法，進一步模糊了複雜入侵情境中各類惡意軟體之間的界線。

木馬如何運作？

現在，為了了解如何建立對木馬攻擊的有效防禦，需要先掌握其運作方式的背景知識。雖然具體技術在多個方面有所不同，但大多數木馬攻擊模式會在不同層面反覆出現：

1. 散布： 大多數時候，木馬會透過看似非常合法的管道散布，例如電子郵件附件、來自遭入侵網站的軟體下載，甚至是遭到竄改的合法軟體。此步驟中另一個重要因素是 社交工程，攻擊者藉此構造看似極為可信的情境，誘使終端使用者下載並執行木馬。
2. 安裝： 一旦使用者執行，該程式便會自動安裝到系統中。這有時會涉及建立隱藏檔案或修改系統設定，以便木馬自動執行並維持不被偵測。有些進階木馬甚至會利用系統弱點，在安裝時提升至高權限層級。
3. 啟用： 安裝後，木馬會透過投放其酬載行為來準備開始運作。這可能包含許多事情，例如聯繫 C2 伺服器、開始蒐集資料，或利用眾多手法之一建立回連途徑，然後轉為靜默並保持休眠，直到所有條件都成熟為止。
4. 執行惡意活動： 之後，木馬會根據其存取類型執行預定活動——資料竊取、遠端存取、安全軟體阻斷，或下載惡意軟體。
5. 持續性： 相當多的木馬會採用各種方法，讓自己在系統重新開機或遭嘗試刪除後仍能留存在系統中。這可能表現為操控系統啟動程序、加入排程工作，或使用 rootkit 技術來掩人耳目。
6. 傳播： 木馬不像病毒那樣會自我複製。然而，有些木馬確實具備傳播到網路上其他系統的能力，或利用受感染使用者通訊錄中的地址寄送副本，例如透過帶有受感染附件的電子郵件通知受害者通訊錄中的所有聯絡人，並利用網路弱點進行擴散。

這就是木馬之所以能如此有效的原因：能將這類技術流程與社交工程結合，使其成為網路世界中的強大威脅。

如何偵測木馬攻擊

木馬攻擊因其設計上具有欺騙性而非常難以偵測；然而，仍有一系列跡象與方法可用來識別感染：

系統中木馬病毒的跡象

1. 無法解釋的系統變慢： 木馬常會消耗系統資源，進而導致效能下降。
2. 異常的網路活動： 無法解釋的網路流量激增，可能表示木馬正在與 C&C 伺服器回傳通訊或外洩資料。
3. 異常的應用程式行為： 經常當機或整體行為異常的應用程式，可能是受到木馬干擾所致。
4. 意外的彈出視窗或錯誤訊息： 有些木馬會產生假的警示或錯誤訊息，作為其社交工程手法的一部分。
5. 檔案遺失或遭修改： 木馬可能刪除、加密或修改受感染系統上的檔案。
6. 安全軟體遭停用： 這是大多數木馬的典型行為；它們會試圖停用防毒軟體與防火牆，以維持活動狀態。
7. 未經授權的系統變更： 若某個應用程式突然出現在啟動清單中，或系統設定出現未經授權的變更，可能表示已感染木馬。
8. 異常的外寄電子郵件： 如果您的電子郵件帳戶似乎會自行傳送訊息，這可能表示有木馬程式正在利用您的帳戶進行散播。

識別木馬惡意軟體的最佳解決方案

一般工具雖然可以偵測木馬類型的惡意軟體，但較新的解決方案，例如 SentinelOne 的 Singularity™ Platform，則可針對此類威脅提供完整防護。

Singularity™ Platform 採用 AI 驅動分析進行即時威脅偵測與回應，使其在面對高度複雜的木馬攻擊時特別有效。以下是讓 SentinelOne 在識別木馬惡意軟體方面具備高度成效的一些最顯著功能：

1. 行為式 AI： 此功能會監控程序與檔案的行為，因此能根據木馬的行動來偵測它們，而非採用傳統的基於特徵碼的偵測方法。
2. 回應： 一旦偵測到威脅，Singularity™ Platform 就會隔離受影響的系統，以防止木馬擴散。
3. Deep Visibility： 透過平台層級提供的詳細鑑識資料，可清楚呈現木馬攻擊的確切擴散邊界及其對系統造成的影響。
4. 跨平台防護： 關鍵在於 Singularity™ 能夠跨所有不同的作業系統平台提供防護，而這種廣泛防護在木馬攻擊多個平台時尤其重要。它也能非常快速地更新並適應新的木馬變種與攻擊技術。

像 SentinelOne 的 Singularity™ Platform 這類解決方案，可在這些威脅持續演變的同時，藉助先進的 AI 與機器學習技術提供強大的攻擊防護。

如何防止木馬攻擊

防範木馬攻擊通常應結合技術措施與使用者知識。以下是一些應納入系統防護計畫的關鍵策略：

避免木馬的最佳實務：

1. 謹慎處理電子郵件附件： 不要開啟來自不熟悉來源的電子郵件附件。即使您認識寄件者，任何非預期的附件在開啟前也應先徹底掃描。
2. 驗證下載來源： 絕對不要從未授權／不受信任的來源下載任何內容。尤其要提防需付費軟體的「免費」版本，因為這些通常是木馬的載體。
3. 保持系統更新： 定期更新您的作業系統、應用程式與安全軟體，以修補木馬可能利用的已知弱點。
4. 驗證： 為每個帳戶使用強式且唯一的密碼，並在可用時啟用多重要素驗證。
5. 分割網路： 在組織層級應進行網路分割，因為如此一來，若某個系統受到影響並感染木馬，損害範圍將可受到限制。
6. 實施最小權限原則： 根據使用者角色，將其權限限制在必要範圍內，從而限制木馬可能造成的損害。
7. 定期備份： 保留關鍵資訊的最新備份。如此一來，可降低木馬造成的資料遺失或加密所帶來的影響。
8. 員工訓練： 使用者需要了解與木馬相關的風險，以及如何偵測任何可能的危險。此外，定期進行網路安全意識訓練也是一項關鍵措施。

防毒軟體在防止木馬攻擊中的角色

傳統防毒軟體在阻止木馬攻擊方面仍可能發揮作用，但面對現代威脅，仍需要更先進的解決方案。在這方面，具備端點偵測與回應系統的次世代防毒，例如透過 Singularity™ Platform 部署的 SentinelOne，可提供廣泛的防護：

1. 行為分析： NGAV 並非採用傳統的基於特徵碼偵測方法，而是使用行為分析來識別木馬相關的可疑活動，即使它是未知變種也能偵測。
2. 即時防護： 先進解決方案會持續監控系統，並針對可能發生的木馬攻擊提供即時防護。
3. 自動化回應： 一旦偵測到木馬，這些系統便可隔離受影響的系統並啟動補救程序。
4. 整合威脅情報： 先進的安全解決方案有助於防範木馬最新的策略與作案手法。

定期軟體更新的重要性

定期更新軟體之所以對預防或避免木馬攻擊非常有幫助且重要，原因有以下幾點：

1. 漏洞修補： 修補程式套件通常會隨更新一併提供，用於修復木馬程式可能傾向利用的已知漏洞。
2. 安全性增強： 軟體更新可帶來新的安全功能，提供某種額外保護，以防範木馬程式及其他威脅。
3. 提升偵測能力： 新的木馬變種與攻擊技術會納入安全軟體更新中內建的強化偵測能力。
4. 系統穩定性： 所有例行更新通常都有助於提升系統整體穩定性；因此，系統將能更妥善承受潛伏的木馬感染。
5. 合規性： 讓軟體保持最新狀態幾乎可視為一項合規要求，組織應當重視此事，以確保安全並避免其他可能的法規問題。

將此類預防策略與先進安全解決方案整合，並定期更新，將可大幅降低組織遭受木馬攻擊的可能性。

事件回應：木馬攻擊後該怎麼做

即使已針對預防木馬攻擊進行最佳規劃與實作，仍應具備明確定義的事件回應程序，以說明在該類情況下應採取的措施。以下是正確回應的流程：

1. 隔離： 應立即將受感染系統與網路隔離，防止木馬擴散或連線至控制伺服器。這可能只需要採取簡單措施，例如拔除網路線或關閉 Wi-Fi 連線。
2. 識別： 使用進階安全工具，例如 SentinelOne’s Singularity™ Platform，以識別此次入侵所涉及的確切木馬及其影響後果。這可提供有關攻擊、入侵點、受影響系統以及可能外洩資料的深入鑑識細節。
3. 遏制： 一旦確認受影響範圍，即應執行此步驟。可透過進一步隔離系統、變更密碼及撤銷存取權杖來完成。最終目標是防止進一步損害發生，並阻止目前正在進行的任何惡意活動。
4. 根除： 必須從受感染系統中清除木馬及其相關惡意軟體。這通常涉及使用專門工具，在某些情況下還需對系統進行完整重新映像，以確保惡意軟體的每一個位元與位元組都被徹底移除。
5. 復原： 還原系統與資料的乾淨備份。事實上，此子步驟凸顯了定期建立安全備份的重要性，而這應被視為整體安全策略的一部分。所有還原的系統在重新連線至網路之前，都應完成全面更新並妥善防護。
6. 學習： 對事件進行詳細檢查，以了解木馬如何取得系統存取權以及造成了哪些影響。利用這些經驗強化您的安全性，以防止未來再次發生相同事件。
7. 通知： 若因木馬導致資料外洩，且資料保護法規要求通報，則應通知相關利害關係人、客戶與合作夥伴。
8. 持續監控： 即使完全復原後，也應持續加強對自身系統的監控。某些複雜的木馬可能已埋下潛伏元件，之後會再次啟動；因此，攻擊發生後的持續觀察非常重要。
9. 強化您的安全態勢： 利用從事件中獲得的經驗來強化整體安全態勢。這可能包括檢視安全政策、部署新的技術控制措施，或加強員工資安意識計畫。

透過採取這些步驟並善用當前與未來的先進安全解決方案，組織將能有效建立對抗木馬的能力，降低影響，並為未來威脅建立更完善的韌性機制。

結論

總而言之，木馬攻擊是對個人與組織資訊安全最危險的威脅之一。它們利用偽裝成合法軟體的能力，以及高度進階的社交工程手法來利用受害者。從網路釣魚木馬到遠端存取工具與銀行惡意軟體，這些威脅可能導致資料遺失、金錢遭竊，以及受害者面臨眾多營運問題。

然而，遵循本概述中所述的步驟，便有可能大幅降低遭遇此類負面事件的風險。特別是，採用多層式策略，結合預防工具，例如 SentinelOne’s Singularity™ Platform，並遵循避免可疑內容、安裝更新、強化驗證及提升使用者能力等基本原則，將有助於防止此類不幸事件發生在重視這些措施的人身上。