APT / APT攻擊 / APT 進階持續性威脅/ Advanced Persistent Threat - 資安趨勢部落格

索尼影視（Sony Pictures）企業網路遭受重大攻擊：為何你需要領先APT 目標攻擊一步

2014 年 12 月 04 日2014 年 12 月 16 日趨勢科技 TrendMicro

處理攻擊、入侵和資料竊取問題是目前許多組織要面對的工作之一。這類威脅就像是組織固定會面對的問題，而不正確防禦策略所帶來的後果將會很快地顯現出來。

索尼影視（Sony Pictures）最近的攻擊事件突顯出這個問題。在11月下旬，該公司企業網路被自稱為和平守護者（#GoP）的團體所入侵。一張首先發表在Reddit的圖檔表示此圖被秀在每一位員工的電腦上，帶來駭客們的訊息，要求他們的「需求需要得到滿足」。

駭客聲稱他們擁有數個包含機密員工資料的ZIP檔案，包括姓名、個人檔案、薪資和生日。其他據稱被竊的資料是主演索尼影視（Sony Pictures）電影明星的個人資料。

五部尚未發表的完整長度影片也被洩露到各個檔案分享網站。

索尼影視（Sony Pictures）對此事件的反應也值得強調。對於這類高層級攻擊的典型反應是要讓組織可以適當地調查現有攻擊並將對組織的日常運作影響減至最低。然而，現有關於此次攻擊的報告顯示他們的反應是禁用整個企業網路。不僅嚴重地影響日常營運，也讓調查任何攻擊變得更加困難。

一般來說，攻擊企業網路被認為是對竊取金錢或資訊有興趣。這次攻擊提醒了IT管理員某些攻擊主要是被設計來破壞目標組織的運作 – 實際上，就是駭客主義的呈現。組織必須考慮到這一點並相對應地來保護自己的網路。

＠原文出處：Sony Pictures Corporate Network Hit by Major Attack: Why You Need to Stay Ahead of Targeted Attacks

對索尼被攻擊事件的報導隨著我們看到更多發展而繼續下去。這裡是跟此事件有關的文章列表：

分析美國聯邦調查局警訊背後的破壞性惡意軟體 – 分析美國聯邦調查局（FBI）關於警告美國企業的報告中所提到的「破壞性」惡意軟體
索尼影視（Sony Pictures）被駭：我們知道什麼和你該知道什麼 –索尼影視（Sony Pictures）受駭時間表
< 索尼影業被駭事件 > GOP 駭客組織給Sony Pictures員工的警告與 WIPALL 惡意軟體變種分析

APT 目標攻擊：不要再以為只有大咖會被攻擊

2014 年 11 月 24 日2015 年 04 月 08 日趨勢科技 TrendMicro

花一分鐘想想「APT攻擊/目標攻擊」。

當你想到它們時，你認為誰會是這類攻擊的目標？

也許你會想到大國的政府機構。像是美國國防部。

或許你第一個會想到的是國際金融巨擘，像是JP Morgan。

我敢說你不會想到一間小型或是中型企業會成為這類複雜攻擊的目標。

你應該要想到的。

因為在趨勢科技最新的研究報告 – 「Predator Pain和Limitless攻擊工具」裡，趨勢科技的研究人員秀出那些被磨練和精製以用來對付世界各國政府和國際金融公司的針對性攻擊工具，現在如何被網路犯罪分子用在攻擊中小型企業。

使用相對便宜的現成惡意軟體和公開資訊，攻擊者可以利用相同的魚叉式釣魚技術來將目標瞄準較小、較不複雜也較少防護組織內的人員。

當市場力量讓針對性攻擊變得更加便宜和更加容易進行，網路犯罪分子正在擴大著潛在受害者的數量。攻擊者現在不需要花上百萬美元來讓攻擊成功，以好好地回收投資成本：現在只要花上幾千美元來攻擊許多較小的目標，也能達到一樣的效果。

中小型組織還有其他的弱點。首先是很多都還在用Windows XP，即便微軟已經結束對它的安全支援超過七個月了。隨著日子一天天過去，Windows XP只會變得更脆弱，面對更多攻擊，也成為一個更容易得手的攻擊對象。第二，這類組織通常缺乏專門的內部安全知識或專長。

這次研究要傳遞的訊息是，惡意軟體和戰略的研究進展已經到一定地步，攻擊者可以將針對性攻擊技術加上垃圾郵件和網路釣魚攻擊打包成為工具箱的一部份。

如果你是中小型的企業，你不能指望免於這類型的攻擊。除了要確保員工的安全教育，中小型組織應該要找到結合郵件安全和終端防護的組合方案。如同這項研究所顯示，這些帶來更佳安全性的作法對每個人來說都至關重要，不僅僅是那些典型的大咖組織。

＠原文出處：Targeted Attacks: Not just for “too big to fail” any more

變更密碼和移除惡意軟體並不足以化解 APT 目標攻擊

2014 年 11 月 19 日2014 年 11 月 19 日趨勢科技 TrendMicro

說到APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊，攻擊者並非無所不知。他們需要在早期階段收集資料來了解目標，他們會從各種情報來源收集資料，像是Google、Whois、Twitter和Facebook。他們可能會收集電子郵件地址、IP位址範圍和連絡人列表等資料。然後將其來製造釣魚郵件的誘餌，最終可以讓他們滲透入目標組織的網路。

一旦進入，攻擊者會開始橫向移動階段。在此階段，攻擊者會進行端口掃描、服務掃描、網路拓撲映射、密碼嗅探、鍵盤記錄和安全政策滲透測試。目標是找到更加機密的資料以及更加隱密的存取方式。

橫向移動讓攻擊者可以取得對自己有利的資料。他們現在知道了有哪些安全弱點、防火牆規則設定缺陷和錯誤的安全設備部署。他們現在也擁有了最新的網路拓撲、密碼設定和安全性政策。繼續閱讀

假 Outlook Web Access 登入頁面為餌,鎖定美國國防產業

2014 年 11 月 04 日2014 年 11 月 05 日趨勢科技 TrendMicro

在趨勢科技最近所發表的報告：「Operation Pawn Storm行動」裡，我們提到這個攻擊行動用了三種攻擊手法。在本文中，我們會探討第三種：網路釣魚（Phishing）郵件將受害者導到假的Outlook Web Access登入網頁。

很顯而易見的是，這種做法簡單而有效，並且重複使用。透過一行簡單的 Javascript 程式碼，數百萬的Outlook Web Access（OWA）使用者就可能會成為狡詐但簡單的網路釣魚（Phishing）攻擊受害者。這裡並沒有用到漏洞來進行攻擊。只有使用JavaScript的功能、微軟 OWA 的預覽窗格和兩個錯誤的近似網域。我們已經看到這網路釣魚攻擊被用來針對美國國防產業像 Academi（過去稱為 Blackwater）、SAIC 和 OSCE 等公司。

它如何運作

為了要針對國防產業公司 Academi，攻擊者註冊了兩個近似正常網域的網域名稱：

tolonevvs[點]com（真正的新聞網域是：tolonews.com（關於阿富汗的新聞網站）
academl[點]com（真正的公司網域是：academi.com）

連到近似網域的連結透過魚叉式網路釣魚郵件寄到Academi – 只寄送給可能會想收到來自tolonews.com電子郵件通知的少數員工。

當目標透過 Microsoft Outlook Web Access 的預覽窗格打開電子郵件並點入這些錯誤的近似網域，就會打開新頁籤來載入正常的新聞網站。從攻擊目標的角度來看，他們的瀏覽器會如下所示：

繼續閱讀

Sandworm 鎖定使用SCADA 企業,展開目標攻擊

2014 年 10 月 24 日2016 年 01 月 25 日趨勢科技 TrendMicro

10 月 14 日，網路上出現一則有關 Sandworm team (沙蟲小隊) 駭客團體的報導。在初步研究過相關的惡意程式樣本和網域之後，趨勢科技很快就發現該團體的主要對象應該是使用 SCADA (監控與資料擷取) 系統的企業，尤其專門鎖定奇異公司智慧型平台 CIMPLICITY HMI 解決方案套裝軟體的使用者。我們發現該團體使用 .cim 和 .bcl 檔案為攻擊工具，兩者都是 CIMPLICITY 軟體所使用的檔案。另一項證明其專門鎖定 CIMPILICITY 的證據是，其惡意程式會透過 %CIMPATH% 這個環境變數找到 CIMPLICITY 在目標系統上的安裝目錄，然後將其檔案複製到該目錄內。