APT / APT攻擊 / APT 進階持續性威脅/ Advanced Persistent Threat - 資安趨勢部落格

< APT 攻擊 > 利用微軟Word零時差漏洞,鎖定台灣政府機構發動攻擊(含社交工程信件樣本)

2014 年 05 月 21 日2015 年 01 月 08 日趨勢科技 TrendMicro

漏洞，特別是零時差漏洞，經常會被惡意份子用作目標攻擊的起始點。影響微軟Word的零時差（在當時）漏洞（CVE-2014-1761）就是一個例子。在三月所發佈的資安通報裡，微軟自己承認該漏洞被用在「有限的目標攻擊」裡。微軟因此在其四月的週二修補程式裡修補了此一漏洞。

然而，出現修補程式並不會嚇阻惡意份子去利用此漏洞。趨勢科技還是看到有APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊在他們的攻擊活動裡利用此一漏洞。

Taidoor連線:偽裝台灣政府部門和教育單位發出全國民調, 服貿議題被操作

我們看到了兩起針對台灣政府部門和一個教育單位的攻擊。第一起攻擊使用夾帶惡意附件檔的電子郵件，此郵件偽裝成來自政府員工。附件檔標題偽裝成一份全國性民調來增加說服力。此附件其實是被偵測為TROJ_ARTIEF.ZTBD-R的漏洞攻擊程式。它會產生被偵測為BKDR_SIMBOTDRP.ZTBD-R的檔案，接著再產生兩個檔案 – TROJ_SIMBOTLDR.ZTBD-R和TROJ_SIMBOTENC.ZTBD-R。這兩個檔案最後會導致被偵測為BKDR_SIMBOT.SMC的最終結果。

第二起APT攻擊的教育單位也是在台灣。此波攻擊利用電子郵件附加檔案來取得對收件者電腦和網路的存取能力。這封電子郵件討論了服貿議題，而附件檔和一個工作專案有些關係。跟第一個案例類似，此附件檔也是被偵測為TROJ_ARTIEF.ZTBD-PB的漏洞攻擊程式。它會產生一個被偵測為BKDR_SIMBOT.ZTBD-PB的後門程式。一旦執行，此一惡意軟體可以執行指令來搜尋欲竊取的檔案、取出檔案以獲利以及進行橫向移動。

我們已經確定這兩個攻擊跟Taidoor有關（一個自2009年就開始活躍的攻擊活動），因為網路流量結構類似。上述攻擊和之前的攻擊活動有著相同的特性，不管是目標、社交工程（social engineering ）誘餌以及使用（零時差漏洞）的技術。

後續的PlugX:偽裝成來自台灣某出版社的新書列表

另一起我們看到利用CVE-2014-1761的攻擊針對在台灣的郵件服務。就跟其他攻擊一樣，此一攻擊利用電子郵件附加檔案來進入網路。電子郵件附加檔案偽裝成來自一出版社的新書列表。這樣做是為了引起收件者的興趣。

此附件檔其實是偵測為TROJ_ARTIEF.ZTBD-A的漏洞攻擊程式，會產生被偵測為TROJ_PLUGXDRP.ZTBD的PlugX惡意軟體。它會產生被偵測為BKDR_PLUGX.ZTBD的惡意程式，此程式可以進行廣泛的資料竊取行為，包括：

複製，移動，重新命名，刪除檔案
建立目錄
建立文件
列舉檔案
執行檔案
取得磁碟資訊
取得檔案資訊
打開和修改檔案
記錄鍵盤活動和執行中視窗
列舉TCP和UDP連線
列舉網路資源
設定TCP連線狀態
鎖住工作站
登出使用者繼續閱讀

餅乾怪獸和APT攻擊

2014 年 05 月 02 日2014 年 04 月 25 日趨勢科技 TrendMicro

正如我的母親未能發現和防止餅乾竊賊，因為她只監視廚房椅子、衣櫃門或烤箱門的開啟。建立起有效防禦目標攻擊與APT攻擊的重點之一就是必須監控廣泛的攻擊表面。就是這麼簡單，餅乾竊賊有著貪婪的慾望和頑強的堅持，那些想入侵你的網路並竊取你資料的人也是，你只要那邊不注意，那麼「餅乾」就會從那裡消失。

作者：Bob Corson

最近有個想法閃過我的腦中，我小時候常有過的回憶和現在的目標攻擊與APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)有許多相似之處。這是個遲來的懺悔，不過當我還是小孩子的時候，我常會去偷吃媽媽剛烤好的餅乾。＜希望我的母親不會看到這一篇＞

回想起來，我記得我有著瘋狗般的毅力驅動著我，想要一嚐新鮮的花生醬、巧克力片或燕麥餅乾來滿足我的味蕾。也因此，我想到許多方法來拿到餅乾。我不會在這列出所有的方法，因為我太太也是個烘焙高手，所以我可不希望她知道我所有的招數。但說回我的童年，這裡是一些孩子們會嘗試和真正可以拿到餅乾的方式：

站在廚房的椅子上好拿到被禁止的餅乾罐
用掃帚或拖把桿來將餅乾罐移到櫥櫃邊緣…將它弄倒…拿出幾塊餅乾…將罐子推正，然後用相同的掃帚或拖把桿將它弄回原處（來自經驗的警告聲音：記得要弄掉從罐子掉到櫥櫃上的任何碎屑…還有地板上的）
偷偷去拿剛烤好，等著放冷的餅乾
l 還有很多…很多…很多。

現在回歸正題，這跟目標攻擊與APT攻擊有何關係？嗯，讓我驚訝的是，我的母親變得對監控聲響非常熟練 – 移動廚房椅子的聲音，我用掃帚柄打開櫥櫃門時的吱吱作響，當我試著偷偷去拿還溫熱餅乾時的烤箱門開啟聲。此外，她善於監測曾出現過的「餅乾攻擊手法」 – 當我想用不同的路線來偷拿餅乾時。而且有著獵犬般的警覺性，可以看出當我想用「社交工程陷阱( Social Engineering)」手法，一邊用著「我愛你媽媽」的熱情擁抱，同時伸出一隻手在她背後去偷拿餅乾。

繼續閱讀

Heartbleed漏洞提供了APT 攻擊者新武器!!

2014 年 04 月 25 日2014 年 04 月 24 日趨勢科技 TrendMicro

只要等待受影響的網站進行更新，接著變更再自己的密碼就沒事了 ?
錯了，Heartbleed漏洞比心血管疾病還要致命一千倍。

Heartbleed漏洞，這是個因為被廣泛使用OpenSSL加密程式庫內的編碼錯誤所造成的漏洞。該漏洞在過去幾天內佔領了所有新聞的頭條，這是理所當然的，因為其對消費者和企業的資訊安全都帶來巨大的風險。

因為它主要的涵蓋範圍可能會讓你認為，只要等待受影響的網站進行更新，接著變更再自己的密碼就沒事了。錯了，Heartbleed漏洞比心血管疾病還要致命一千倍。它的的確確是到目前為止影響最廣的立即風險，這是因為可能受到此漏洞影響的人數，因為受影響網頁伺服器所會暴露的敏感資料（可能包括了密碼和session cookie）。即便是第一波的修補完成，剩餘的風險還是相當巨大。

OpenSSL並不只限於網頁伺服器在用，電子郵件協定、聊天協定和安全虛擬私有網路服務也都有用到。它也可以在世界各地的大量網路和安全產品內找到，所以要解決的路還很長。許多廠商已經開始調查其產品和服務是否存在會受此漏洞影響的OpenSSL版本，而確認受到影響的產品列表還在持續成長中。這注定會是開放給針對性攻擊的季節。繼續閱讀

服貿議題成社交工程信件誘餌!!台灣爆發大規模APT威脅！近20家經濟相關機構成目標

2014 年 04 月 11 日2014 年 04 月 11 日趨勢科技 TrendMicro

趨勢科技第一時間攔截零時差攻擊

呼籲政府及企業儘速修補程式並進行APT 防護檢測

【2014年4月11日台北訊】全球雲端資安領導廠商趨勢科技，今日針對最新一波重大APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)事件發出警訊！根據趨勢科技APT調查小組第一時間的攔截報告，發現國際性駭客組織透過微軟RTF程式漏洞，針對台灣經濟相關的政府部會及企業，進行首波大規模目標性零時差攻擊！駭客利用主旨為與服貿等熱門議題有關的社交信件，夾帶後門程式以操控受害電腦，目前已知影響近20家台灣相關政府單位與企業！趨勢科技呼籲用戶，應儘快更新微軟MS14-017重大弱點修補，並立即進行APT資安防護檢測。

趨勢科技技術總監戴燊表示：「趨勢科技於昨(10)日發現，有駭客使用國際駭客組織慣用的惡意程式，利用微軟的RTF程式漏洞，專門針對台灣用戶的電腦進行零時差攻擊。駭客利用被感染電腦做跳板，發送以熱門新聞議題（例如服貿）為主旨的社交電子郵件，給台灣經濟相關的各政府單位及組織，信件夾帶後門程式HEUR_RTFEXP.A及HEUR_RTFMALFORM，用戶一旦開啟即被植入，駭客將可取得受害電腦的操控權為所欲為，例如竊取資密資料等。」

微軟公司在3/24日公佈此項RTF 弱點，趨勢科技APT解決方案於當天即偵測並攔載到惡意程式樣本，成功協助台灣與全球客戶在第一時間防禦此波APT威脅。趨勢科技更進一步發現，為了規避資安防護產品的偵測，駭客組織透過一個日本的網站為攻擊中繼站，以增加偵測的難度，但趨勢科技網頁信譽評等服務( Web reputation service, WRS）早已將此網站封鎖。

繼續閱讀

趨勢科技 Deep Discovery 榮獲 NSS Labs評比第一

2014 年 04 月 07 日2014 年 04 月 07 日趨勢科技 TrendMicro

NSS Labs:趨勢科技 Deep Discovery ,整體入侵偵測率第一名+零誤判
是高效益的完整解決方案

雖然有許多安全廠商都在談論著要如何去偵測目目標攻擊和APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)，但趨勢科技並不只是空談或炒作話題。我們現在也得到了證明。在NSS Labs所公佈的入侵外洩偵測設備報告裡，趨勢科技的Deep Discovery 3.5在整體入侵外洩偵測評比中，拿到了全部六家廠商裡的最高等級表現。同時趨勢科技在擁有成本上也是排名第二低。最重要的是，根據這些結果，Deep Discovery被NSS Lab列為「推薦」給尋求入侵外洩偵測設備的公司。

有趣的是，趨勢科技的單一Deep Discovery設備在評比中還勝過競爭對手合併了兩種產品的結果，進一步確認了其卓越的創新和效能表現。而且Deep Discovery沒有出現任何誤報，在偵測電子郵件惡意軟體和漏洞攻擊碼的表現上也達到了100％。加上低擁有成本的好處，我們相信，對於入侵外洩偵測，趨勢科技是最值得信賴的廠商。

NSS Labs是廣受資訊安全專業人員尊敬的來源，並提供公正的第三方資源來鑑別市場上最佳的安全解決方案。這個獨立的第三方測試實驗室，在入侵防禦系統(IPS)測試領域具有極高聲望與專業性，也扮演全世界最大的獨立性安全實驗室之維運者角色。隨著APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)不斷攀升，NSS Labs 的報告為客戶提供了一份公正的第三方資源，證明在合理的作業成本下，Deep Discovery是最有效的威脅偵測解決方案。

隨著 Deep Discovery 3.6在2014年1月發布，趨勢科技技又再一次地實踐了我們的承諾，讓全球性組織可以面對針對性攻擊和進階威脅所帶來的衝擊，解決日益嚴峻的挑戰。結合我們所有設備、產品和解決方案所提供的全面性防護，讓我們可以提供聰明而簡單的安全性，讓全世界的數位資訊交換更加安全。

NSS Labs是一個獨立的第三方測試實驗室，在入侵防禦系統(IPS)測試領域具有極高聲望與專業性，也扮演全世界最大的獨立性安全實驗室之維運者角色。隨著進階威脅與鎖定目標攻擊不斷攀升，NSS Labs 的報告為客戶提供了一份公正的第三方資源，證明在合理的作業成本下，Deep Discovery 是最有效的威脅偵測解決方案。在NSS Security Value Map™ and Comparative Analysis 報告中，評估了六家全球資訊安全廠商的威脅偵測硬體裝置 (appliance)，其中趨勢科技的Deep Discovery以 99.1% 的偵測率，讓 NSS Labs 給予了「推薦」的評價。此外，Deep Discovery 更交出了「零誤判」的優異成績，並且在「電子郵件惡意程式」與「漏洞攻擊防護」方面達到 100% 的偵測率！

此外，趨勢科技單一裝置的卓越效能，亦提供了絕佳的成本效益，是趨勢科技另一項與眾不同之處。Deep Discovery 的整體持有成本，比所有受測產品的平均值低了 25%。

不僅如此，Deep Discovery 領先的威脅偵測率，也獲得全球數百家民間和政府機構的肯定，這些機構從該產品 2012 年推出以來即深深仰賴其能力，美國第二大高級酒類及含酒精飲料經銷商 Republic National Distributing Company 即是一例。

Republic National Distributing Company 公司 IT 基礎架構總監 John Dickson 指出：「Deep Discovery 在我們網路上運作的前二個月就偵測並攔截了 WAN 上其他安全防護所未偵測到的 5,000 次匿名事件。這每一事件都有可能演變成重大的疫情，例如：Conficker。趨勢科技證明了其技術確實卓越，絕無虛假。」

想了解更多關於Deep Discovery的資訊，請到:

https://www.trendmicro.tw/tw/enterprise/security-risk-management/deep-discovery/

＠原文出處：Trend Micro Deep Discovery Earns Top Breach Detection Score in NSS Labs Testing 作者：Bob Corson