一種與 Emmental 攻擊行動手法類似的新形網路銀行惡意程式正肆虐日本，這就是趨勢科技所偵測到的 TROJ_WERDLOD 木馬程式，此一新的惡意程式從2014 年 12 月肆虐至今，已確定的受害者數量超過 400。
Internet Explorer 和 Google Chrome 兩種瀏覽器都會使用這項系統設定。Mozilla Firefox 則有自己的設定 (儲存在一個名為 pref.js 的檔案中)，不過惡意程式也不放過這項設定。
這個 proxy.pac 檔案是一個經過特殊編碼的檔案，解密後的內容如圖 3 所示。從內容當中可以發現某些網域的流量會被重導至惡意的 Proxy 伺服器，內容當中列了 26 個日本的網域，其中包括多家網路銀行在內。基於這項原因，我們認為這項攻擊是針對日本的使用者而來。
將網路流量重導至惡意的 Proxy 伺服器，可讓網路犯罪集團進行所謂的中間人 (MITM) 攻擊。不過，網路銀行會使用 SSL/TLS 來將流量加密。因此若 Proxy 伺服器將流量解密，會在端點裝置上出現 SSL 錯誤，因而讓使用者察覺異狀。
為了避免這樣的情況，TROJ_WERDLOD 便將自己的根憑證加入系統信任的根憑證清單。該憑證偽裝成某個受信任的知名根憑證簽發機構 (Root CA)，但其簽章與正牌的簽章不符。
正常來說，當系統在看到假的憑證要加入信任的根憑證清單時會發出安全警告訊息。不過，TROJ_WERDLOD 會自動幫使用者按錯誤訊息上的「是」按鈕，因此就能安裝這個假憑證而不引起使用者注意。
這就是為何歹徒能夠攻擊其鎖定的網路銀行網站。歹徒鎖定的網站都列在其下載的 proxy.pac 當中。凡是前往這些網站的流量都會被重導至惡意的 Proxy。
惡意的 Proxy 會利用中間人攻擊來侵入使用者與網站之間的安全連線。在正常情況下，這會造成 SSL 錯誤，因為 Proxy 使用的假 SSL 憑證會被視為無效。但是，因為系統當中已經將這個假憑證加入信任的根憑證清單，因此系統不會發出任何錯誤訊息。接著歹徒就能攔截任何傳送至銀行網站的帳號登入資訊，或者，歹徒也可能顯示一個假的網站給使用者看，並要求使用者輸入帳號登入資訊。
SSL/TLS 原本應該是有能力防範 MITM 攻擊的，但此案例當中，歹徒的惡意根憑證讓原本的安全機制完全破功，使用者因而陷入攻擊的危險當中。
電子郵件附件檔案長久以來一直是大家所知的重要感染途徑。我們建議使用者不要輕易開啟電子郵件附件，除非是預期會收到的檔案。
許多金融機構已經開始採用延伸驗證 (Extended Validation，簡稱 EV) 憑證。這類憑證的審核機制比一般的 SSL 伺服器憑證更加嚴格，例如需檢查簽發者是否有註冊，或者簽發者是否可以連繫得到。
EV 憑證較傳統的網域驗證 (Domain Validation) 憑證更為可靠，因為任何人只要能證明自己擁有一個網域就能取得網域驗證憑證。當伺服器使用的是正確無誤的 EV 憑證時，瀏覽器的網址列當中會變成綠色，如下圖所示：
目前已在使用 SSL/TLS 連線來進行網站登入的企業，皆應該改採 EV 憑證。企業採用 EV 憑證事實上也可「教育」客戶有關中間人攻擊的問題，進而提升雙方彼此的交易安全。
正如我們先前所提到，採用惡意憑證搭配 Proxy 伺服器的手法在之前的 Emmental 攻擊行動當中已出現過。該攻擊還使用了假的行動裝置 App 來攔截網路銀行所發出的認證簡訊。因此，此惡意程式未來也很可能出現同樣的行為，儘管日本的銀行目前很少使用簡訊認證。
要將感染此惡意程式的電腦還原至正常狀態，請採取以下步驟來清除惡意程式並還原兩項系統設定。
在 Windows 和 Firefox 當中移除 Proxy 自動設定 (pac)，或者將此設定還原成先前原本的狀態 (例如 ISP 或系統管理員提供的設定)。
清除 TROJ_WERDLOD 在 Windows 和 Firefox 上安裝的惡意根憑證。(請參閱 Microsoft和 Mozilla 所提供的說明。)惡意根憑證的數位簽章如下：
趨勢科技的用戶端防護產品，如趨勢科技 PC-cillin、OfficeScan 以及 Worry-Free Business Security 皆已內含可偵測這類威脅的行為監控能力。此外，還有檔案信譽評等可偵測所有此攻擊中出現的惡意程式，包括 TROJ_WERDLOD 在內。另外，電子郵件信譽評等可攔截來自可疑使用者的電子郵件和惡意郵件。閘道端的郵件防護產品，可藉由內容過濾來擋掉含有執行檔附件的電子郵件。最後，還有網站信譽評等可防止相關後門程式連上惡意網站與幕後歹徒通訊。
以下是這項攻擊相關的雜湊碼：