2012年目標攻擊/ APT 攻擊回顧

作者:Nart Villeneuve(趨勢科技資深威脅研究員)

經過了整個2012年,我們研究了各式各樣的目標攻擊,包括好幾個APT進階持續性威脅 (Advanced Persistent Threat, APT)攻擊活動(像LuckyCatIxeshe),也更新了一些已經運行一段時間的攻擊活動(像Lurid/Enfal和Taidoor)。資安社群在今年有許多關於目標攻擊的精采研究發表,我將這些有意思的研究集結起來,分成六個我認為可以代表2012年目標攻擊趨勢的主題:

 

  • 目標和工具 –
    雖然在2011年,目標攻擊幾乎就等同於APT進階持續性威脅 (Advanced Persistent Threat, APT)。在2012年出現了各式各樣的攻擊,特別是在中東地區,包括沙烏地阿拉伯的ShamoonMahdi攻擊活動GAUSSWiper/Flame,這些都被卡巴斯基所記錄起來。還有一些攻擊和中東地區衝突有關,最顯著的是敘利亞以色列和巴勒斯坦(參考Norman的研究分析)。APT活動在2012年仍然是個重大的問題,Dell SecureWorks發表了一份集結各種APT活動的報告,還有關於MirageSinDigoo的報告來闡述問題的影響範圍。彭博社發表了一系列關於「Comment Crew」的文章,詳細介紹了APT攻擊活動的廣度和影響。還有針對俄羅斯台灣韓國越南印度和日本的活動也相當活躍。除了目標地理位置的擴張之外,我們也看到了所針對技術的擴展,包括Android行動設備和Mac平台。來自Citizen Lab的Seth Hardy在SecTor上作了一場很棒的演講,介紹了今年所新興的各種Mac相關遠端存取木馬(RAT)(SabPubMacControlIMULER/RevirDokster)。雖然我們在過去看過智慧卡的相關攻擊,不過感謝來自Sykipot和AlienVault的精采分析,提供蓄意用智慧卡做目標攻擊的技術細節。
  • 隱匿性和持久性 –
    這些是主要的趨勢之一,根據Mandiant在2012年的文件,APT活動之所以不只是惡意軟體,正因為確保持久存取會使用正常應用程式(例如VPN)。此外,雖然許多進行中的APT攻擊活動所用的惡意軟體可以經由網路流量分析而偵測,微軟發現一個舊惡意軟體組件會在NDIS(網路驅動程式介面規範)層建立一個隱蔽的後門,讓偵測變得更加困難。除了隱身在網路層,我們也看到在某些案例中,出現有數位簽章的惡意軟體讓檔案系統層級的偵測變得更加困難。有數位簽章的惡意軟體當然不是新伎倆,還有個大量被用在目標攻擊上的遠端存取木馬(被稱為PlugX),使用一種DLL搜尋路徑劫持(這技術本身也不是新的)。
    另一個出現在Mandiant報告中的HiKit工具也會利用DLL搜尋路徑隱藏在檔案系統層級,同時會在網路層竊聽進入流量(像是早期的遠端存取木馬),而非只是對外連接到命令和控制伺服器。Flame惡意軟體則會利用MD5碰撞攻擊劫持Windows Update功能來散播。將隱匿性及持久性帶到另一個境界。
  • 社交工程陷阱( Social Engineering) 
    毫無意外地,魚叉式網路釣魚郵件仍然是目標攻擊主要用來傳遞惡意軟體的機制。但其他技術,像是「Watering Hole」攻擊也讓人極為注目。Shadowserver發表了被他們稱之為「策略性網站入侵(Strategic Web Compromises)」的研究分析,利用了Java和Flash的漏洞攻擊碼,而RSA報告中所提到的VOHO攻擊活動,也使用了相同的技術。但在2012年,另一個有趣的社交工程伎倆就是利用安全廠商對惡意軟體的分析做為誘餌,來傳播惡意軟體。不過,魚叉式網路釣魚郵件和淪陷網站並不是唯一的攻擊途徑。即時通(被認為用在針對Google的Aurora攻擊)也提供了另一條攻擊路線。Skype也被報導提到用在敘利亞衝突的DarkComet RAT攻擊內。
  • 攻擊是最好的防禦 –
    在2012年,有個新興資安公司 – Crowdstrike提出了「攻擊是最好的防禦」概念,雖然這概念常被狹隘地理解為「駭回去」,但我卻想從David Dittrich所謂的「 主動回應連續(Active Response Continuum)」背景下來理解這件事。有各種戰術可以應用,滲透,強迫下線(不管是通過技術手段回報濫用行為策反點名和羞辱法律機制和執法單位合作)或是欺敵行動,好來進行反擊,而不是只能「駭回去」。這些都是經常用來對付犯罪份子的行動,但也可以應用在這裡。在一定程度上,針對基礎設施的攻擊,通常都是國家默許或國家資助的。所以這些措施以外的反擊作法也很吸引人,因為有國家資助的案例通常是不適用於法律途徑的,所以我們也開始看到這樣的行動出現。在2012年的一個案例中,CERT-GOV-GE不僅取得存取「Georbot」殭屍網路命令和控制伺服器的能力,還誘使殭屍網路運營者去偷取一個惡意檔案。執行之後,就讓CERT-GOV-GE可以遠端錄下運營者的影像。
  • 「超限」武器交易 
    這個備受爭議的話題 – 販賣零時差漏洞攻擊碼搭配的惡意軟體,在2012年已經是個公開的祕密。美國公民自由聯盟的Christopher Soghoian在VB2012大會上用這題目做了主題演講。除了會買賣漏洞和攻擊碼之外,也有惡意軟體的交易是在政府授意下。Morgan Marguis-Boire發表了被稱為FinFisher的產品(也可用來偵查智慧型手機)是如何被英國政府散播的相關資料。還有被義大利公司所散播的後門程式,據報導是被政府用來監控異議份子。另外Dell SecureWorks的Joe Stewart發現「一個由位在某亞洲國家(非中國)的私營電腦安全公司所經營的龐大網路間諜活動針對國外軍事單位」,進一步說明了問題的嚴重程度。
  • 資料銷毀 –
    雖然目標攻擊通常是為了間諜活動目的,但有時它們也會有破壞性行為(看看Stuxnet)。在2012年,卡巴斯基的報告中提到一個被稱為Wiper的例子會去破壞資料,還有Shamoon(參考Seculert的分析)會針對中東的石油公司並摧毀資料,這惡意軟體被認為用來破壞沙烏地阿拉伯和卡達成千上萬的電腦。而這樣的間諜破壞行為可能還會繼續下去

 

2012年是個目標攻擊肆虐的一年,我認為2013年也將會非常精采,甚至可能更加嚴重。很快地,我就會發表我對2013年目標攻擊的預測,敬請期待!

 

@原文出處:The Trends in Targeted Attacks of 2012

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚

◎延伸閱讀

什麼是 APT進階持續性威脅 (Advanced Persistent Threat, APT)?

《APT 攻擊》退信和讀取回條自動回覆的風險

APT 攻擊者偏好的DDOS 分散式阻斷服務攻擊與密碼擷取工具,自我更新更厲”駭”

木馬專門竊取圖檔/影像檔案,得手資料傳送遠端 FTP,可能為APT 攻擊布局

《APT進階持續性威脅~主要目標攻擊侵入點:eMail》63%產品規劃藍圖 ,76%預算計畫經由 email 傳送

《APT進階持續性威脅》APT 攻擊常用的三種電子郵件掩護潛入技巧(含多則中英文信件樣本)

淺談APT進階持續性威脅 (Advanced Persistent Threat, APT)~含中文社交工程郵件案例

《APT 威脅》神不知鬼不覺的APT攻擊 — 多則APT 真實案件分享(含網路釣魚信件樣本)

《趨勢專家談雲端運算》目標攻擊在Web 3.0的演變

《Java 零時差漏洞攻擊》Nitro攻擊活動和Java零時差攻擊

「李宗瑞影片,趕快下載呦!」從公僕誤開測試信,看好奇心所付出的資安代價(含APT 目標式電子郵件攻擊實際案例)

進階持續性威脅LURID: 入侵了61個國家1465台電腦,包含外交等單位

《 APT 進階持續性滲透攻擊》BKDR_POISON 未來將出現更多挑戰

APT 進階持續性滲透攻擊研究報告10個懶人包

從實體到雲端,重重風險怎把關 ?

惡意PowerPoint文件夾帶漏洞攻擊及後門程式

[圖表] APT攻擊的 5 個迷思與挑戰

< APT 目標攻擊 >知名韓國企業收到量身訂製的社交工程信件,員工開啟後遭遠端控制竊取個資

<APT進階持續性威脅>經由Email 發送的"員工滿意度調查"PDF檔案含SYKIPOT,展開目標攻擊行動

《APT攻擊 》另一起電子郵件目標攻擊利用研究單位做掩護

《APT 攻擊》下載藏文輸入法至Apple iOS,竟引狼入室

《APT /MAC 攻擊》另一起和西藏相關的攻擊活動針對Windows和Mac系統

微軟控告殭屍網路ZeuS、SpyEye和Ice IX幕後黑手

APT 攻擊

 

◎即刻加入趨勢科技社群網站,精彩不漏網