MyDoom 已成為最具破壞性的電腦病毒,估計損失達380億美元(台幣1兆1千4百萬元)。儘管現在已經過了它的全盛時期,&nbsp;MyDoom&nbsp;仍繼續存在於網路威脅領域。像在2017年,Palo Alto Networks 特別在<a href="https://unit42.paloaltonetworks.com/unit42-emea-bi-monthly-threat-reports-united-kingdom-germany-france/">雙月度威脅報告</a>中紀錄&nbsp;MyDoom&nbsp;在EMEA(中東和非洲)地區的活動。<p>MyDoom 在過去幾年相對來說保持著一致性,平均大概1.1%的電子郵件中會發現惡意軟體附件。我們每個月都會持續紀錄成千上萬的 MyDoom 樣本。絕大多數 MyDoom 電子郵件位址來自中國,而美國則排在第二位。這些電子郵件被發送到全世界,主要針對高科技,批發和零售,醫療保健,教育和製造業。</p>
<h3>MyDoom活動:2015年至2018年</h3>
<p>雖然沒有其他惡意軟體系列那麼突出,但近年來我們發現前後表現一致的 MyDoom 樣本。MyDoom 的傳播方法是透過電子郵件使用 <a href="https://tools.ietf.org/html/rfc5321">SMTP</a>。我們將包含 MyDoom 附件的電子郵件與包含其他惡意軟體附件的電子郵件進行比較。從2015年至2018年的四年期間,平均每1.1%的惡意電子郵件中包含 MyDoom。在同一時期查看各個單一惡意軟體樣本時, MyDoom 平均佔所有惡意軟體也高達21.4%。</p>
<p>為什麼 MyDoom 電子郵件的百分比遠低於 MyDoom 附件的百分比?因為許多惡意電子郵件,都會透過活動訊息挾帶相同的惡意樣本給成千上萬的收件人。MyDoom 是多態性的,這會導致在我們發現的每封電子郵件中有著不同的散列檔案。因此,雖然電子郵件的數量相對較少,但與通過電子郵件散播的其他惡意軟體相比,樣本數量相對較高。表1包含2015年至2018年的統計數據。</p>
<table style="height: 307px;" border="1" width="689" cellspacing="0" cellpadding="0">
<tbody>
<tr>
<td style="width: 86.265625px;" valign="top">
<p><strong>年份</strong></p>
</td>
<td style="width: 103.65625px;" valign="top">
<p><strong> MyDoom </strong><strong>電子郵件</strong></p>
</td>
<td style="width: 107.21875px;" valign="top">
<p><strong>包含惡意軟體的電子郵件總數</strong></p>
</td>
<td style="width: 93.984375px;" valign="top">
<p><strong> MyDoom </strong><strong>電子郵件的百分比</strong></p>
</td>
<td style="width: 93.984375px;" valign="top">
<p><strong> MyDoom </strong><strong>樣本</strong></p>
</td>
<td style="width: 93.984375px;" valign="top">
<p><strong>惡意軟體總樣本</strong></p>
</td>
<td style="width: 93.984375px;" valign="top">
<p><strong> MyDoom </strong><strong>樣本的百分比</strong></p>
</td>
</tr>
<tr>
<td style="width: 86.265625px;" valign="top">
<p>2015</p>
</td>
<td style="width: 103.65625px;" valign="top">
<p>574,674</p>
</td>
<td style="width: 107.21875px;" valign="top">
<p style="text-align: center;">27,599,631</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>2.1%</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>87,119</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>615,386</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>14.2%</p>
</td>
</tr>
<tr>
<td style="width: 86.265625px;" valign="top">
<p>2016</p>
</td>
<td style="width: 103.65625px;" valign="top">
<p>589,107</p>
</td>
<td style="width: 107.21875px;" valign="top">
<p>77,575,376</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>0.8%</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>142,659</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>960,517</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>14.9%</p>
</td>
</tr>
<tr>
<td style="width: 86.265625px;" valign="top">
<p>2017</p>
</td>
<td style="width: 103.65625px;" valign="top">
<p>309,978</p>
</td>
<td style="width: 107.21875px;" valign="top">
<p>79,599,864</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>0.4%</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>95,115</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>340,433</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>27.9%</p>
</td>
</tr>
<tr>
<td style="width: 86.265625px;" valign="top">
<p>2018</p>
</td>
<td style="width: 103.65625px;" valign="top">
<p>663,212</p>
</td>
<td style="width: 107.21875px;" valign="top">
<p>64,919,295</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>1.0%</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>150,075</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>528,306</p>
</td>
<td style="width: 93.984375px;" valign="top">
<p>28.4%</p>
</td>
</tr>
</tbody>
</table>
<p align="center">▲表1. 2015年至2018年的 MyDoom 統計數據。<em> </em></p>
<p align="center"><img style="display: block;" src="https://cdn1.techbang.com/system/images/524040/original/f688f9589b0c6a8f8016a857c696dfd4.jpg?1565093725" alt="2015年MyDoom活躍程度。 "><label class="caption" style="width: 600px; display: block; text-align: left; margin-top: 5px; margin-bottom: 1rem; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2015年 MyDoom 活躍程度。(左:2015包含惡意軟體的電子郵件總數;右:2015惡意軟體樣本)</label></p>
<p align="center"><img style="display: block;" src="https://cdn2.techbang.com/system/images/524041/original/521095cf2d393d22a5804187dcbbc128.jpg?1565093725" alt="2016年MyDoom活躍程度。"><label class="caption" style="width: 600px; display: block; text-align: left; margin-top: 5px; margin-bottom: 1rem; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2016年 MyDoom 活躍程度。(左:2016包含惡意軟體的電子郵件總數;右:2016惡意軟體樣本)</label></p>
<p align="center"><img style="display: block;" src="https://cdn1.techbang.com/system/images/524042/original/73611b8083230687504299701d992f3e.jpg?1565093726" alt="2017年MyDoom活躍程度。 "><label class="caption" style="width: 600px; display: block; text-align: left; margin-top: 5px; margin-bottom: 1rem; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2017年 MyDoom 活躍程度。(左:2017包含惡意軟體的電子郵件總數;右:2017惡意軟體樣本)</label></p>
<p align="center"><img style="display: block; margin-left: auto; margin-right: auto;" src="https://cdn0.techbang.com/system/images/524043/original/055cd93ea05eb02976d4f29c316995e0.jpg?1565093726" alt="2018年MyDoom活躍程度。"><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2018年 MyDoom 活躍程度。(左:2018包含惡意軟體的電子郵件總數;右:2018惡意軟體樣本)</label></p>
<h3>MyDoom 活動:2019年</h3>
<p>與2018整年相比,MyDoom 在2019年前六個月的活動顯示出相似的平均值,電子郵件和惡意軟體樣本的比例略高。詳細資訊請參見表2。</p>
<table style="height: 179px;" border="1" width="691" cellspacing="0" cellpadding="0">
<tbody>
<tr>
<td style="width: 87.484375px;" valign="top">
<p><strong>年份</strong></p>
</td>
<td style="width: 103.78125px;" valign="top">
<p><strong> MyDoom </strong><strong>電子郵件</strong></p>
</td>
<td style="width: 107.359375px;" valign="top">
<p><strong>包含惡意軟體的電子郵件總數</strong></p>
</td>
<td style="width: 94.109375px;" valign="top">
<p><strong> MyDoom </strong><strong>電子郵件的百分比</strong></p>
</td>
<td style="width: 94.109375px;" valign="top">
<p><strong> MyDoom </strong><strong>樣本</strong></p>
</td>
<td style="width: 94.109375px;" valign="top">
<p><strong>惡意軟體總樣本</strong></p>
</td>
<td style="width: 94.109375px;" valign="top">
<p><strong> MyDoom </strong><strong>樣本的百分比</strong></p>
</td>
</tr>
<tr>
<td style="width: 87.484375px;" valign="top">
<p><strong>1</strong><strong>月至</strong><strong>6</strong><strong>月</strong></p>
<p> 2019</p>
</td>
<td style="width: 103.78125px;" valign="top">
<p>465,896</p>
</td>
<td style="width: 107.359375px;" valign="top">
<p>41,002,585</p>
</td>
<td style="width: 94.109375px;" valign="top">
<p>1.1%</p>
</td>
<td style="width: 94.109375px;" valign="top">
<p>92,932</p>
</td>
<td style="width: 94.109375px;" valign="top">
<p>302,820</p>
</td>
<td style="width: 94.109375px;" valign="top">
<p>30.1%</p>
</td>
</tr>
</tbody>
</table>
<p style="text-align: center;" align="center">▲表2. 2019年前六個月的 MyDoom 統計數據。 </p>
<p align="center"><img src="https://cdn0.techbang.com/system/images/524044/original/9279d3b757c66e2b33b8055fadf59af9.jpg?1565093727" alt="圖5. 2019年前六個月的MyDoom活躍程度。"><br><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2019年前六個月的 MyDoom 活躍程度。(左:2019年1月至6月包含惡意軟體的電子郵件總數;右:惡意軟體樣本)</label></p>
<p>574 MyDoom 樣本出現超過一個月,因此下表3中的 MyDoom 惡意軟體樣本總數與上表中六個月內 MyDoom 樣本總數不同。</p>
<table style="height: 378px;" border="1" width="690" cellspacing="0" cellpadding="0">
<tbody>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center"><strong>月份</strong></p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center"><strong> MyDoom </strong><strong>電子郵件</strong></p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center"><strong> MyDoom </strong><strong>惡意軟體樣本</strong></p>
</td>
</tr>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center">2019/1月</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">54,371</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">14,441</p>
</td>
</tr>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center">2019 /2月</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">47,748</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">11,566</p>
</td>
</tr>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center">2019/3月</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">80,537</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">18,789</p>
</td>
</tr>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center">2019/4月</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">92,049</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">17,278</p>
</td>
</tr>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center">2019 /5月</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">113,037</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">15,586</p>
</td>
</tr>
<tr>
<td style="width: 227.34375px;" valign="top">
<p align="center">2019/6月</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">78,154</p>
</td>
<td style="width: 227.34375px;" valign="top">
<p align="center">15,846</p>
</td>
</tr>
</tbody>
</table>
<p align="center">▲表3. 2019年前六個月的 MyDoom 月度統計數據。</p>
<p align="center"><img style="display: block;" src="https://cdn1.techbang.com/system/images/524045/original/02210fb8ef5a763195511479cb5fdd06.jpg?1565093727" alt=" 繪製2019年1月至6月MyDoom活動的圖表。"><label class="caption" style="width: 600px; display: block; text-align: left; margin-top: 5px; margin-bottom: 1rem; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0;"><span style="color: #2382c5; padding-right: 5px;"> ▲</span> 2019年1月至6月推送 MyDoom 的電子郵件數量</label></p>
<p>這些電子郵件來自哪裡?我們在2019年前六個月看到的十大國家的位址是:</p>
<ul>
<li>
<!--[endif]-->中國:349,454封電子郵件</li>
<li>
<!--[endif]-->美國:18,590封電子郵件</li>
<li>
<!--[endif]-->英國:10,151封電子郵件</li>
<li>
<!--[endif]-->越南:4,426封電子郵件</li>
<li>
<!--[endif]-->南韓:2,575封電子郵件</li>
<li>
<!--[endif]-->西班牙:2,154封電子郵件</li>
<li>
<!--[endif]-->俄羅斯:1,007封電子郵件</li>
<li>
<!--[endif]-->印度:657封電子郵件</li>
<li>
<!--[endif]-->台灣:536封電子郵件</li>
<li>
<!--[endif]-->哈薩克:388封電子郵件 </li>
</ul>
<p>目標國家比來源國更加多樣化和均勻分佈。十大目標國家是:</p>
<ul>
<li>
<!--[endif]-->中國:72,713封電子郵件</li>
<li>
<!--[endif]-->美國:56,135封電子郵件</li>
<li>
<!--[endif]-->台灣:5,628封電子郵件</li>
<li>
<!--[endif]-->德國:5,503封電子郵件</li>
<li>
<!--[endif]-->日本:5,105封電子郵件</li>
<li>
<!--[endif]-->新加坡:3,097封電子郵件</li>
<li>
<!--[endif]-->南韓:1,892封電子郵件</li>
<li>
<!--[endif]-->羅馬尼亞:1,651封電子郵件</li>
<li>
<!--[endif]-->澳洲:1,295封電子郵件</li>
<li>
<!--[endif]-->英國:1,187封電子郵件</li>
</ul>
<p>在此期間,前十大垂直行業是:</p>
<ul>
<li>
<!--[endif]-->高科技:212,641封電子郵件</li>
<li>
<!--[endif]-->批發和零售:84,996封電子郵件</li>
<li>
<!--[endif]-->醫療保健:49,782封電子郵件</li>
<li>
<!--[endif]-->教育:37,961封電子郵件</li>
<li>
<!--[endif]-->製造業:32,429封電子郵件</li>
<li>
<!--[endif]-->專業和法律服務:19,401封電子郵件</li>
<li>
<!--[endif]-->電信:4,125封電子郵件</li>
<li>
<!--[endif]-->財務:2,259封電子郵件</li>
<li>
<!--[endif]-->運輸和物流:1,595封電子郵件</li>
<li>
<!--[endif]-->保險:796封電子郵件</li>
</ul>
<p>這些結果偏向我們的客戶群。但是,這些數據表明中國和美國是大多數 MyDoom 電子郵件的來源國亦是排名最高的重點目標國家。 </p>
<h3>MyDoom的特徵</h3>
<p>MyDoom 發行版已有多年的類似特徵。在2019年2月,<a href="https://threatvector.cylance.com/en_us/home/cylance-vs-mydoom-email-worm.html">Cylance 分析了一個 MyDoom 樣本</a>,現今的 MyDoom 樣本遵循類似的特徵。發送 MyDoom 的電子郵件時常被偽裝成報告稱電子郵件未成功發送,其中主旨為:</p>
<ul>
<li>
<!--[endif]-->傳送失敗</li>
<li>
<!--[endif]-->關於您電子郵件的傳送報告</li>
<li>
<!--[endif]-->郵件系統錯誤– 退回郵件</li>
<li>
<!--[endif]-->可能無法發送消息</li>
<li>
<!--[endif]-->退回郵件:數據格式錯誤</li>
<li>
<!--[endif]-->退回郵件:詳見文字報告 </li>
</ul>
<p>但是,我們還經常在郵件主題中看到夾帶隨機字母的 MyDoom 電子郵件。MyDoom 電子郵件還使用其他主旨,如:</p>
<ul>
<li>
<!--[endif]-->再次點擊我,寶貝</li>
<li>
<!--[endif]-->你好</li>
<li>
<!--[endif]-->嗨</li>
<li>
<!--[endif]-->對我的朋友說嗨</li>
</ul>
<p><img style="display: block; margin-left: auto; margin-right: auto;" src="https://cdn2.techbang.com/system/images/524048/original/dcde48de2ae8eaf46642f28d6b81f78c.jpg?1565093728" alt="MyDoom 2019年依然活躍 台灣受到威脅全球第三"><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2019年7月發布的 MyDoom 電子郵件範例(1/3)。</label></p>
<p align="center"><img style="display: block; margin-left: auto; margin-right: auto;" src="https://cdn0.techbang.com/system/images/524049/original/95269cd788d55d58f8053c6c516f0b5f.jpg?1565093729" alt="MyDoom 2019年依然活躍 台灣受到威脅全球第三"><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2019年7月發布的 MyDoom 電子郵件範例(2/3)。</label></p>
<p align="center"><img style="display: block; margin-left: auto; margin-right: auto;" src="https://cdn1.techbang.com/system/images/524050/original/68dc4500c93cadd8df53fd3bbd3fa32d.jpg?1565093729" alt="MyDoom 2019年依然活躍 台灣受到威脅全球第三"><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span> 2019年7月發布的 MyDoom 電子郵件範例(3/3)。</label></p>
<p>這些 MyDoom 電子郵件的附件是可執行檔,或者是包含可執行檔的 zip 存檔。MyDoom 惡意軟體將受感染的 Windows 主機變為惡意設備,然後將 MyDoom 電子郵件發送到各種電子郵件位址。即使受感染的 Windows 主機沒有郵件客戶端,也會發生這種情況。MyDoom 的另一個特徵是嘗試通過 TCP 埠1042連接 IP 位址。 </p>
<p><img style="display: block; margin-left: auto; margin-right: auto;" src="https://cdn2.techbang.com/system/images/524054/original/6b9875839b8fa0545ed6c1442df8ec63.jpg?1565094424" alt="圖11. 2019年7月15日來自感染 MyDoom 的主機的電子郵件流量。"><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>2019年7月15日來自感染 MyDoom 的主機的電子郵件流量。</label></p>
<p><img style="display: block; margin-left: auto; margin-right: auto;" src="https://cdn2.techbang.com/system/images/524055/original/07a11b9bbfb6b387e9d2e306d24dc915.jpg?1565094425" alt="通過 TCP 埠1042從感染 MyDoom 的主機嘗試連接。"><label class="caption" style="width: 600px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: 5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>通過 TCP 埠1042從感染 MyDoom 的主機嘗試連接<wbr></wbr>。</label></p>
<p>一個有Windows 7的主機, MyDoom 在用戶的 AppData \ Local \ Temp 目錄中製作了自己的副本lsass.exe,但惡意軟體在Windows註冊表中沒有持久化一個具有 Windows XP 的主機, MyDoom 可執行檔在C:\ Windows \ lsass.exe 中自行複製,並通過HKEY_LOCAL_MACHINE配置單元中的 Windows 註冊表保持持久性,並在 SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run 中使用名為Traybar的密鑰如下圖所示。</p>
<p align="center"><img style="display: block;" src="https://cdn0.techbang.com/system/images/524053/original/929d094cde789e999836aeb4e1f2846e.png?1565093731" alt="MyDoom 2019年依然活躍 台灣受到威脅全球第三"><label class="caption" style="width: 600px; display: block; text-align: left; margin-top: 5px; margin-bottom: 1rem; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span> MyDoom 在Windows XP主機上持久存在。</label></p>
<h3>結論</h3>
<p>MyDoom 雖然在2004年首次出現,但是今天仍然活躍,也證明了它最初的破壞性。多年以來除了看到許多的基礎設施被感染,Palo Alto Networks持續觀察 MyDoom 在現今的威脅領域裡,雖然惡意軟體電子郵件包含 MyDoom 的總數減少,但此惡意軟體仍然存在。 </p>
<p>根據我們的數據,MyDoom 感染的基礎設施位於中國的IP位址,而美國則排在第二位。中國和美國都是 MyDoom 電子郵件的主要接收者,而發送仍然是全球性的,並且針對許多其他國家。高科技是最大的目標行業。 </p><a href="https://www.facebook.com/TKbang">加入T客邦Facebook粉絲團</a><img src="http://feeds.feedburner.com/~r/techbang/~4/NmiqBtFdZFo" height="1" width="1" alt=""/>