認識 APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)

什麼是 APT?簡單的說就是針對特定組織所作的複雜且多方位的網路攻擊。

認識 APT

以往駭客發動的APT攻擊雖然以政府為主,但從2010年開始企業成為駭客鎖定竊取情資的受駭者越來越多,2011年幾個世界性的組織在目標攻擊下淪陷,付出了昂貴的成本。RSA和Sony是 2011年最大的兩個APT攻擊 (Advanced Persistent Threat)的目標。幾個世界性的組織在目標攻擊下淪陷,付出了昂貴的成本。他們失去了數百萬客戶的資料,光是完成修復就花費了鉅資。

APT 攻擊的特色:

【鎖定特定目標】針對特定政府或企業,長期間進行有計劃性、組織性竊取情資行為,可能持續幾天,幾週,幾個月,甚至更長的時間。

【假冒信件】針對被鎖定對象寄送幾可亂真的社交工程惡意郵件,如冒充長官的來信,取得在電腦植入惡意程式的第一個機會。

【低調且緩慢】為了進行長期潛伏,惡意程式入侵後,具有自我隱藏能力避免被偵測,伺機竊取管理者帳號、密碼。

客製化惡意元件】攻擊者除了使用現成的惡意程式外亦使用客制化的惡意元件。

安裝遠端控制工具】攻擊者建立一個類似殭屍網路/傀儡網路 Botnet 的遠端控制架構攻擊者會定期傳送有潛在價值文件的副本給命令和控制伺服器(C&C Server)審查。

傳送情資】將過濾後的敏感機密資料,利用加密方式外傳

 APT 進階持續性滲透攻擊 (Advanced Persistent Threat, APT)可能持續幾天,幾週,幾個月,甚至更長的時間。APT攻擊可以從蒐集情報開始,這可能會持續一段時間。它可能包含技術和人員情報蒐集。情報收集工作可以塑造出後期的攻擊,這可能很快速或持續一段時間。

例如,試圖竊取商業機密可能需要幾個月有關安全協定,應用程式弱點和文件位置的情報收集,但當計畫完成之後,只需要一次幾分鐘的執行時間就可以了。在其他情況下,攻擊可能會持續較長的時間。例如,成功部署Rootkit在伺服器後,攻擊者可能會定期傳送有潛在價值文件的副本給命令和控制伺服器(C&C Server)進行審查。

——————————————————————————————-

企業面對不斷演變的資安威脅環境。其中一項最大的挑戰就是APT進階持續性滲透攻擊(Advanced Persistent Threats, APT,它是針對特定組織所作出複雜且多方位的攻擊。要減輕APT的風險需要比傳統的多層次防禦更先進的作法,包括即時威脅管理。本綱要系列介紹APT的性質,它們對企業所構成的風險,以及如何去封鎖、偵測並遏制APT和其他新威脅的技術。我們先從實務面來評估APT的性質,大綱如下:

  • 今天APT的性質
  • 不斷變化的資安威脅環境
  • APT的要素
  • 不斷變化的企業運作,讓問題更加複雜
  • 評估控制和減輕APT風險的可能性

 很顯然地,資安威脅環境變得越來越具有挑戰性。對於資訊系統進行攻擊的動機和方法正在發生變化。有決心有毅力的攻擊者正運用著多種手段去打破安全控制。企業需要透過多種安全控管來做應對,包括即時監控和快速遏制措施。

 今天的APT

APT是針對一個特定組織所作的複雜且多方位的網路攻擊。不管是就攻擊者所使用的技術還是他們對於目標內部的了解來看,這種攻擊是非常先進的。APT可能會採取多種手段,像是惡意軟體,弱點掃描,針對性入侵和利用惡意內部人員去破壞安全措施。

 

APT是長期且多階段的攻擊 

APT攻擊的早期階段可能集中在收集關於網路設定和伺服器作業系統的的詳細資訊,接著,精力會放在安裝Rootkit或其他惡意軟體去取得控制權或是跟命令與控制伺服器(C&C Server)建立連線。再下來的攻擊可能集中在複製機密或是敏感數據來竊取知識產權。

重要的是要明白,APT不是一種新的攻擊手法,也不是可以藉由阻止或破壞一次攻擊就讓問題消失。APT可以被視為更像是一個網路攻擊活動而不是單一類型的威脅;可以想成是進行中的過程。防毒程式可能會阻止APT攻擊所使用的惡意軟體,但並不意味著停止攻擊。就其性質而言,一個APT是一段持續的攻擊。如果一個戰術行不通,就會再嘗試另外一個。實際上,我們不應該只去思考單一對策,或只是在多層次安全策略上增加更多防禦層,相反的,我們應該思考將其他例子中可能用來攔截、偵測和遏制的各種方式都組合起來。現在,很合理的我們會想問,要如何做到這一點? 繼續閱讀

《 APT 進階持續性滲透攻擊》BKDR_POISON 未來將出現更多挑戰

去年,資訊安全廠商接獲一連關於「Nitro Attack」 此 APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)通報。它所採用的後門程式為 PoisonIvy,亦稱 BKDR_POISON。網路上可以找到此後門程式的產生器。當時,資訊安全場商已採取反制措施來協助客戶對抗這項威脅並防範未來類似的感染。但是,從最近發現的一些匿蹤機制來看,對抗該惡意程式的戰鬥尚未結束。

趨勢科技第一次分析這個惡意下載程式時,原本以為它沒有什麼驚人之處。它是一個由 Visual Basic 編譯出來的執行檔案,所做的事情不過就是透過 HTTP GET 來開啟某個 HTML 網頁。

APT 攻擊-BKDR_POISON:未來將出現更多挑戰
APT 攻擊-BKDR_POISON:未來將出現更多挑戰

趨勢科技透過瀏覽器連上該網頁時,表面上看起來也是一個無害的網頁,但是經過詳細解碼之後裡面卻大有文章。

如同微軟所指出,此惡意下載程式有別於其他程式。它不會下載二進位檔案來執行,但它會執行已下載檔案當中看似無害的一些代碼。要達成此目的,惡意程式會將文字內容轉成可執行的程式碼,然後呼叫 DllFunctionCall 來執行。

BKDR_POISON:未來將出現更多挑戰

而它所執行的程式碼其實就是 BKDR_POISON 惡意程式家族的變種,此惡意程式家族涉及了去年多起鎖定特定目標攻擊。

BKDR_POISON 背景簡介

BKDR_POISON 惡意程式家族亦稱為 PoisonIvy (毒藤),已經在網路上肆瘧多年。原因是它的產生器很容易使用,而且可從其網站免費下載。其自動啟用機制以及 mutex 和惡意檔案名稱皆可透過產生器輕易設定,因此,每一個產生出來的樣本,其行為可能不盡相同。

BKDR_POISON 的後門程式功能包括:鍵盤側錄、聲音/影像側錄、畫面擷取、處理程序和服務管理,檔案存取或上傳、以及其他等等。簡而言之,它基本上可讓其使用者完全存取受感染的系統。

此外,BKDR_POISON 也很容易整合至其他惡意程式,因為其後門程式產生器也提供了選項讓使用者產生一段 shellcode 攻擊程式碼,而非完整的執行檔。

在前述的 Nitro Attack 惡意下載程式案例中,一旦它執行了 BKDR_POISON 的 shellcode,就能因而繼承其後門程式特性。

由於 shellcode 不像獨立的二進位執行檔可單獨偵測並分析,它必須和繼承其特性的執行檔一併分析才看得出端倪。因此,資訊安全研究人員若沒有拿到配對的 shellcode 和執行檔 (例如,執行檔經過加密或隱藏),那麼很可能就不會偵測到 shellcode。

繼續閱讀

《木馬專偷 Word, Excel 文件檔,得手後放雲端》受駭IP 遍佈150 國,含政府、學術界和企業網路

趨勢科技最近看到有惡意軟體會從中毒使用者的電腦裡收集微軟WordExcel文件檔,然後上傳到網路硬碟sendspace.comSendspace是一個網路分享空間,提供了檔案代管功能,讓使用者可以「發送、接收、追蹤和分享你的大檔案。」

Sendspace最近曾被用來存放偷來的資料,但並不是透過惡意軟體自動完成。根據去年底的報告,駭客利用Sendspace來處理跟上傳偷來的資料。 

但這是第一次,趨勢科技看到有惡意軟體會將竊取的資料上傳到檔案代管與傳送網站。 

這次的惡意軟體攻擊是從一個被偵測為TROJ_DOFOIL.GE的檔案 – Fedex_Invoice.exe開始。

 為了要讓使用者受到感染,一個用社交工程陷阱偽裝成聯邦快遞貨運通知的電子郵件大量寄給目標的受害者。

 《木馬偷個資放雲端公共空間》假冒 FedEx快遞通知信內含木馬下載器,竊取受害者Word和Excel文件後上傳至Sendspace ,受駭IP 遍佈150 國,含政府、學術界和企業網路

 一旦執行了這個檔案,TROJ_DOFOIL.GE會下載並執行TSPY_SPCESEND.A。這個下載器同時也會在感染的電腦上安裝其他惡意程式,包括了從BestAV結盟網路來的假防毒軟體變種,和從Yamba網路來的FakeHDD變種。

 另外,這一個木馬下載器還跟TSPY_SPCESEND.A共用相同的C&C伺服器。這也強烈地顯示出,做出文件竊取sendspace木馬的犯罪份子,同時也涉及了按成交計費(Pay-Per-Sell,PPS)的地下經濟。

 TSPY_SPCESEND.A是一個「拿了就走(grab and go)」木馬程式,它會在中毒電腦的本機硬碟裡搜尋微軟Word Excel 文件檔。收集到的檔案會被壓縮起來存放到使用者的暫存資料夾裡,並且利用隨機產生的密碼加密。下圖是一個文件收集壓縮檔的範例:

《木馬偷個資放雲端公共空間》假冒 FedEx快遞通知信內含木馬下載器,竊取受害者Word和Excel文件後上傳至Sendspace ,受駭IP 遍佈150 國,含政府、學術界和企業網路

產生壓縮檔之後,TSPY_SPCESEND.A會將它送到Sendspace.com

 

《木馬偷個資放雲端公共空間》假冒 FedEx快遞通知信內含木馬下載器,竊取受害者Word和Excel文件後上傳至Sendspace ,受駭IP 遍佈150 國,含政府、學術界和企業網路

繼續閱讀

APT 進階持續性滲透攻擊研究報告10個懶人包

作者:趨勢科技Nart Villeneuve (資深威脅研究員)

 

2011年,我相信你已經聽說過RSA被入侵了,而且偷走RSA Secure ID的相關資料,然後用在後續的攻擊事件裡。除了RSA之外,還有許多其他類似的受害者。你可能也聽說過ShadyRAT,它證明了殭屍網路/傀儡網路 Botnet可以有多麼長壽,還有NitroNight Dragon顯示出有些攻擊者的目標會鎖定在特定產業上。

 

你大概也看過趨勢科技關於Lurid攻擊的研究報告,它說明了攻擊者對非美國的目標也是有興趣的。而更重要的是,這樣的事件應該被視為「系列攻擊」,而非獨立事件。

 

但還有些了不起的APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)相關研究可能是你所不知道的。這是我個人所排出的前11名:

部落格「Contagio Dump」和「Targeted Email Attacks」:Mila ParkourLotta Danielsson-Murphy已經在這方面發表過許多相關的研究報告。我們通常拿得到惡意程式碼做進一步的分析,但社交工程陷阱所用的電子郵件內容卻不容易拿到。這些部落格在目標攻擊的領域裡有許多獨特的見解。

 

 

1.      部落格CyberESICyberESI的團隊發表過一些變種龐大惡意軟體家族的詳細分析報告(是真的非常詳細)。在我看來,他們的分析報告為這方面的逆向工程設立了標準。

 

2.      HtranJoe StewartsHtran方面的研究成果被ShadyRAT研究報告的光芒給掩蓋了,但我認為這是今年最具有創新性的一份研究報告,因為它著眼在根本問題,尋找攻擊來源IP以找出幕後攻擊者的實際位置。

 

3.      透過對系列攻擊的分析來啟動智慧型電腦網路防禦系統」:HutchinsCloppertAmin說明如何追蹤一次攻擊的多個階段,並將多次事件串成一次「系列攻擊」。這是任何想要追蹤APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)的人都不可不看的報告。

 

4.      1.php: 這份來自Zscaler的報告,對一次特定的系列攻擊及所用的命令與控制基礎架構(CC)做出徹底的解構和分析,並且在結論裡提出了確實可行的防禦方法。另外,它對於在這方面的資訊披露也提出了相當獨到的見解。

 

5.      APT解密在亞洲Xecure在今年的黑帽大會上展示他們對惡意軟體以共同屬性作群集分類的研究。我真的很喜歡他們在群集分類上所下的功夫,還有他們所提出的名詞「NAPT(非進階持續性威脅)」。 繼續閱讀

後門程式針對國際人權組織

趨勢科技已經找到證據確認被入侵網站的人權組織並不是唯一的攻擊目標。

前面所提的這個網站會出現內建框架(iframe)將使用者導到另一個位在巴西的被駭網站。這個網站會執行一個被偵測為JAVA_DLOAD.ZZC的惡意Java程式。JAVA_DLOAD.ZZC會利用Java漏洞CVE-2011-3544來安裝TROJ_PPOINTER.SM,而這木馬程式會再產生出BKDR_PPOINTER.SM。接著BKDR_PPOINTER.SM會連到特定網址來收送來自攻擊者的命令。它也能夠收集中毒系統內的特定資訊。

根據趨勢科技的調查,這最先被報導出來的受駭單位看來只是攻擊的目標之一,而這攻擊本身可以辨認出不同的攻擊目標。我們研究了相關的檔案和網址,發現有關人權組織的字串出現在被駭巴西網站的檔案和資料夾名稱內:

  • hxxp://{BLOCKED}.com.br/cgi-bin/ai/ai.html
  • hxxp://{BLOCKED}.com.br/cgi-bin/ai/ai.jar

此外,從上述網址所取得的檔案程式碼也顯示這是針對這人權組織所特製的攻擊程式,因為程式碼內有出現相關的字串:

趨勢科技研究了這些蛛絲馬跡,發現在同一被駭網站上的其他資料夾和檔案使用不同的字串。這很有力地證明還存在著其他的目標。

  • hxxp://{BLOCKED}.com.br/cgi-bin/hk/hk.html
  • hxxp://{BLOCKED}.com.br/cgi-bin/hk/hk.jar
  • hxxp://{BLOCKED}.com.br/cgi-bin/so/so.html
  • hxxp://{BLOCKED}.com.br/cgi-bin/so/so.jar
  • hxxp://{BLOCKED}.com.br/cgi-bin/OM/om.html
  • hxxp://{BLOCKED}.com.br/cgi-bin/OM/om.jar

從這些網址所取得的檔案也出現了特定的字串在程式碼內,就跟前面我們所提到的AI例子一樣。這些惡意檔案現在也都被偵測為JAVA_DLOAD.ZZC和BKDR_PPOINTER.SM。

趨勢科技主動式雲端截毒服務  Smart Protection Network可以針對這類型的攻擊提供防護。另外,Deep Security 和OfficeScan加上Intrusion Defense Firewall(IDF )外掛程式可以用規則「Oracle Java SE Rhino Script
Engine Remote Code Execution Vulnerability
」來保護使用者不被漏洞攻擊。同時,當網路流量中出現BKDR_PPOINTER.SM取得並送出資訊的行為時,威脅偵測系統(Threat
Discovery Appliance,TDA)會將它偵測為HTTP_REQUEST_PPOINTER

在過去幾個月內,這個被入侵的人權組織首頁至少被被當成目標好幾次了,顯示網路犯罪份子是多麼堅定的針對這網站的經常訪客。在撰寫本文時,這網站已經將惡意程式碼給清除了。對於這些有特定主旨的網站來說,因為網站訪客多半是特定族群的使用者或團體,也就容易變成針對性攻擊的目標。所以網站擁有者在面對攻擊時也要跟公司企業一樣謹慎。

@原文出處:NGOs Targeted with Backdoors作者:Erika Mendoza(威脅反應工程師)

【嘻小編伴手禮~迷你麻將組雙重送】送給新春看臉書正妹,滑鼠不爆衝的PC-cillin 2012快過年囉,嘻小編準備了伴手禮要送大家,可以放在口袋帶著走的【迷你麻將組】,春節期間小玩一下,聯絡親友感情,真不賴~

祝福大家全年不當機,平安一整年!

雙重送活動一:複製留言輕鬆抽,參加辦法,按這裡