在趨勢科技的2013安全預測中，我們提到惡意軟體會逐漸地演變，不會有太多顯著地變化。這可以從APT進階持續性威脅 (Advanced Persistent Threat, APT)使用一些（合法）駭客工具中看得出來。

這為什麼是個問題呢？駭客工具是種灰色軟體，並不一定會被防毒軟體防毒軟體所偵測，或因為道德法律考量讓他們不這樣做。不幸的是，這意味著在APT進階持續性威脅 (Advanced Persistent Threat, APT)鑑識調查裡更難發覺它。此外，它也讓攻擊者省下自己開發工具的麻煩。常見到的駭客工具有：

密碼回復工具 – 用來將應用程式或作業系統存放在本地硬碟或註冊表內的密碼或密碼雜湊值取出的工具。通常被用來複製或偽造使用者帳號以取得管理者權限。雜湊值注入（Pass-the-hash）是種常見的方式讓攻擊者透過偷來的密碼雜湊值取得管理者權限。

• 使用者帳號複製工具 – 當攻擊者取得密碼後，用來複製使用者帳號的工具。一旦取得足夠權限，攻擊者就可以繞過系統的安全措施，執行惡意企圖。
• 檔案操作工具– 用來操作檔案（複製、刪除、修改時間標記、搜尋特定檔案）的工具。它被用來修改存取過檔案的時間標記或刪除特定組件以掩飾入侵的痕跡。它也可以讓攻擊者透過副檔名搜尋所需要的關鍵文件。
• 排程工具– 用來關閉或建立排程的軟體。這可以讓攻擊者透過關閉軟體更新排程以降低受感染系統的安全性。同樣地，也可以做為惡意用途。例如，攻擊者可以建立排程以在特定時間自動竊取檔案。
• FTP工具 – 用來執行FTP傳輸的工具，像是將檔案上傳到特定FTP站台。因為在網路上的FTP傳輸看起來比較不那麼可疑，有些APT（進階持續性威脅）幕後黑手會偏好將竊取來的資料上傳到遠端FTP站台，而不是上傳到C＆C伺服器。要特別指出的是，有好幾個合法的FTP應用程式也被網路犯罪份子所用。
• 資料壓縮工具– 這些工具本身並非惡意，也不被視為入侵用的工具。在大多數情況下，這些都是合法的檔案壓縮工具，像是WinRAR，只是被攻擊者用來將多個偷來的檔案加以壓縮合併。這可以在資料竊取階段，幫攻擊者將偷來的文件合成一個單一檔案上傳。在少數情況下，我們也看到這些應用程式被組合設定來壓縮預先定義好的一組檔案。

要如何判斷APT（進階持續性威脅）使用這些駭客工具？

我們已經看到要如何使用這些工具在APT進階持續性威脅 (Advanced Persistent Threat, APT)中取得管理者權限，並且收集關鍵文件。那麼IT管理員和進階使用者該如何利用這資訊來判斷有使用這些工具的APT進階持續性威脅 (Advanced Persistent Threat, APT)？ 繼續閱讀