分類: 駭客(Hacker)

深入檢視北韓的網際網路

趨勢科技 TrendMicro

北韓常被認為是單向的網際網路：駭客對外攻擊，沒有東西可以進去。各種事件如2014年的 Sony影業被駭以及一連串的全球性銀行網路劫案都被報導是來自北韓駭客所為。一部分的公開證據是因為網路連線來自北韓IP地址。該國被認為嚴格地掌控網際網路，所以有人可能認為這樣的網路內系統不會被入侵。但外國犯罪集團用來發送垃圾郵件的殭屍網路怎麼能夠在北韓活躍一年多呢？北韓電腦是否也可能遭受一般的惡意軟體感染？分配給北韓的IP地址空間是否都被用在該國？這些問題的答案對於將攻擊歸因給北韓駭客有什麼影響？

本文會總結我們對進出北韓網路流量所進行研究的發現。它檢視了這包含1024個IP地址的網段。北韓也使用國外的基礎設施。我們同時發現註冊為北韓使用的一些IP地址實際是由虛擬專用網路（VPN）服務商所使用，顯然是想欺騙Geo IP服務將外國的網路基礎設施標記為北韓。

我們會介紹來自該國垃圾郵件殭屍網路的垃圾郵件活動，對北韓網站的DDoS攻擊和它們與真實世界事件的關連，以及北韓網站所經常出現的水坑攻擊。就像是我們之前關於北韓發動針對性攻擊的部落格文章，我們的目標是揭開常見迷思的真面貌。

 

北韓的網際網路

北韓網際網路空間是經由中國上游服務商連到網際網路的4組Class C IP範圍（總共1024個IP地址）。從2017年10月1日開始，一家俄羅斯公司提供相同IP範圍第二條路徑。因為某些歷史原因，北韓有額外使用一組分配給中國聯通的Class C IP地址（256個IP）。該國也可能透過衛星網路連到網際網路。許多電信商都有提供此服務，但我們不知道到底有誰被允許使用衛星網路。

有數個IP範圍看似由北韓使用，如果你相信Geo IP定位服務以及Whois註冊資料來的IP地址資料。

IP網段 IP數量 Whois註冊國家 GeoIP 真正國家 附註
175.45.176.0/22 1,024 北韓 北韓 北韓 分配給平壤的Star Joint Venture Co., Ltd.
210.52.109.0/24 256 中國 中國 中國 借自中國聯通
5.62.56.160/30 4 北韓 北韓 捷克 “PoP North Korea” – 由VPN服務商HMA使用
5.62.61.64/30 4 北韓 蒙古 捷克 “PoP North Korea”  – 由VPN服務商HMA使用
45.42.151.0/24 256 北韓 北韓 N/A Manpo ISP (Roya hosting)
46.36.203.81 1 北韓 北韓 荷蘭 VPN服務商 “IAPS Security Services”
46.36.203.82/30 4 北韓 北韓 荷蘭 VPN服務商 “IAPS Security Services”
57.73.224.0/19 8192 北韓 北韓 N/A SITA-Orange
88.151.117.0/24 256 北韓 俄羅斯 俄羅斯 LLC “Golden Internet”
172.97.82.128/25 128 北韓 北韓 美國 “North Korea Cloud”  – 由VPN服務商HMA使用
185.56.163.144/28 16 北韓 北韓 盧森堡 VPN服務

表1、與北韓有關的IP範圍

 

有些虛擬專用網路（VPN）服務商聲稱擁有在北韓的出口節點（如例1、 例2）。這表示這些VPN服務的客戶可以選擇經由北韓出口節點瀏覽。這看起來是讓願意嚐鮮的使用者從北韓角度來體驗網際網路的奇特機會。但據我們所知，VPN服務商的說法並不正確。“北韓”出口節點實體位置是位於像盧森堡、捷克和美國的西方國家。該VPN服務商讓Geo IP服務相信他們有一台電腦伺服器在北韓，可能是將北韓國家代碼輸入到特定IP地址範圍的公共Whois資料。雖然VPN服務商可能會覺得這是個無傷大雅的行銷噱頭，但會讓依賴Geo IP服務的系統管理員在檢視系統上攻擊相關日誌檔時下了錯誤的結論。

Figure 1. HMA VPN service says it has an exit node in North Korea, but in reality the exit node is in Czech Republic.

圖1、HMA VPN服務表示它們有一個出口節點在北韓，但實際上這出口節點位在捷克。

繼續閱讀

認識駭客（Hacker），Cracker（破壞者），激進駭客（Hacktivist）網路犯罪份子（Cybercriminal）,白帽（White Hat）,黑帽（Black Hat）,灰帽（Grey Hat）

趨勢科技 TrendMicro

作者：趨勢科技 Vic Hargrave

 認識駭客（Hacker），Cracker（破壞者），激進駭客（Hacktivist）網路犯罪份子（Cybercriminal）,白帽（White Hat）,黑帽（Black Hat）,灰帽（Grey Hat）這些日子，資訊新聞媒體或多或少會將駭客（Hacker）或網路犯罪份子（Cybercriminal）這兩個詞交替使用。雖然它們的含義有重疊的地方，但是還是會對讀者產生誤導。因為它們在不同的文章裡代表的意思並不完全一樣。

 網路犯罪份子（Cybercriminal）顧名思義就是利用電腦技術來犯罪的人，他所做的事情是會被起訴的。這通常都牽扯到非法存取一個或多個電腦系統去竊取資訊或讓它們無法運作，或是兩者都有，出發點可能是因為惡意企圖或是為了錢。侵入電腦系統跟駭客有關，所以網路犯罪份子也被視為是駭客的一種。

 但也有駭客在合法的情況下做類似的事情，所以你不能直接將駭客跟犯罪活動畫上等號。

 白帽與黑帽

 在資安產業裡，白帽（White Hat）和黑帽（Black Hat）駭客之間是有所區別的。組織會僱用白帽駭客，有時也稱為道德駭客，去試探和入侵他們的電腦系統以確認這些系統的安全性，並提出建議以提高安全程度。他們通常會充分披露他們的研究成果，以便讓整個資安社群都能從他們所收集的資料中獲益。白帽黑客的行為是合法的，因為他們有取得客戶的許可。

 另一方面，黑帽駭客則是犯罪分子，他們的出發點是惡意的。在未經邀請下，他們就侵入受害者的電腦系統只為了獲取自己的利益。

 有一陣子黑帽駭客被稱為Cracker（破壞者），因為他們侵入電腦系統的行為就好像是銀行搶匪破壞保險箱一樣。但我有好一段時間沒聽到Cracker這個詞，看來是已經過時了。

 我必須說，就算是黑帽（Black Hat）這個詞也可能會帶來誤解。有一個重要的年度資安大會就叫做Black Hat，參加的都是資安專家或是學生，他們大部分都是白帽駭客，主要是來了解學習資安產業內最新的趨勢跟工具。

 

現在到激進駭客（Hacktivist）

 最近這幾年，有一群新的駭客出現，就是所謂的激進駭客（Hacktivist），他們主要是為了表達抗議而入侵電腦網路和系統。你可能聽說過一個秘密組織 – Anonymous。這群駭客會去癱瘓他們所抗議企業或政府的電腦系統。

 激進駭客並沒辦法簡單的被歸類於白帽或黑帽。跟白帽或黑帽駭客們不同，激進駭客的出發點是政治動機而非金錢。他們認為某些組織跟自己的理念不合，所以覺得應該要去對他們的電腦網路發動攻擊。

 看你認不認同激進駭客的想法，會決定你將他們當成白帽還是是黑帽。在2011年10月，Anonymous癱瘓了40個兒童色情網站，並且公開了超過1500個經常光顧這些網站的訪客名字。

 但是該集團也攻擊了舊金山灣區捷運系統（BART）的電腦，並在網路上公開超過2000名捷運乘客的個人資料。這是為了報復捷運當局關閉手機服務，以防止人們聚集去抗議警察在捷運上射擊的行為。Anonymous對BART的行為是否有意見並不重要。但他們未經正當程序就對捷運當局採取行動並且洩漏個人資料，也讓夾在中間的乘客成為不幸的犧牲品。

 灰色地帶

 在一定程度上，激進駭客模糊了白帽和黑帽駭客間的界線。他們經常和非法行動有關，但是就如同Anonymous一樣，他們的某些行動也是好的。所以我會將激進駭客放在另外一個分類，稱為灰帽（Grey Hat）。 繼續閱讀