2012年目標攻擊/ APT 攻擊回顧

作者：Nart Villeneuve（趨勢科技資深威脅研究員）

經過了整個2012年，我們研究了各式各樣的目標攻擊，包括好幾個APT進階持續性威脅 (Advanced Persistent Threat, APT)攻擊活動（像LuckyCat和Ixeshe），也更新了一些已經運行一段時間的攻擊活動（像Lurid/Enfal和 Taidoor）。資安社群在今年有許多關於目標攻擊的精采研究發表，我將這些有意思的研究集結起來，分成六個我認為可以代表2012年目標攻擊趨勢的主題：

目標和工具 –
雖然在2011年，目標攻擊幾乎就等同於APT進階持續性威脅 (Advanced Persistent Threat, APT)。在2012年出現了各式各樣的攻擊，特別是在中東地區，包括沙烏地阿拉伯的Shamoon，Mahdi攻擊活動，GAUSS和Wiper/Flame，這些都被卡巴斯基所記錄起來。還有一些攻擊和中東地區衝突有關，最顯著的是敘利亞、以色列和巴勒斯坦（參考Norman的研究分析）。APT活動在2012年仍然是個重大的問題，Dell SecureWorks發表了一份集結各種APT活動的報告，還有關於Mirage和SinDigoo的報告來闡述問題的影響範圍。彭博社發表了一系列關於「Comment Crew」的文章，詳細介紹了APT攻擊活動的廣度和影響。還有針對俄羅斯、台灣、韓國、越南、印度和日本的活動也相當活躍。除了目標地理位置的擴張之外，我們也看到了所針對技術的擴展，包括Android行動設備和Mac平台。來自Citizen Lab的Seth Hardy在SecTor上作了一場很棒的演講，介紹了今年所新興的各種Mac相關遠端存取木馬（RAT）（SabPub、MacControl、IMULER/Revir和Dokster）。雖然我們在過去看過智慧卡的相關攻擊，不過感謝來自Sykipot和AlienVault的精采分析，提供蓄意用智慧卡做目標攻擊的技術細節。
隱匿性和持久性 –
這些是主要的趨勢之一，根據Mandiant在2012年的文件，APT活動之所以不只是惡意軟體，正因為確保持久存取會使用正常應用程式（例如VPN）。此外，雖然許多進行中的APT攻擊活動所用的惡意軟體可以經由網路流量分析而偵測，微軟發現一個舊惡意軟體組件會在NDIS（網路驅動程式介面規範）層建立一個隱蔽的後門，讓偵測變得更加困難。除了隱身在網路層，我們也看到在某些案例中，出現有數位簽章的惡意軟體讓檔案系統層級的偵測變得更加困難。有數位簽章的惡意軟體當然不是新伎倆，還有個大量被用在目標攻擊上的遠端存取木馬（被稱為PlugX），使用一種DLL搜尋路徑劫持（這技術本身也不是新的）。
另一個出現在Mandiant報告中的HiKit工具也會利用DLL搜尋路徑隱藏在檔案系統層級，同時會在網路層竊聽進入流量（像是早期的遠端存取木馬），而非只是對外連接到命令和控制伺服器。Flame惡意軟體則會利用MD5碰撞攻擊，劫持Windows Update功能來散播。將隱匿性及持久性帶到另一個境界。
社交工程陷阱( Social Engineering) –
毫無意外地，魚叉式網路釣魚郵件仍然是目標攻擊主要用來傳遞惡意軟體的機制。但其他技術，像是「Watering Hole」攻擊也讓人極為注目。Shadowserver發表了被他們稱之為「策略性網站入侵（Strategic Web Compromises）」的研究分析，利用了Java和Flash的漏洞攻擊碼，而RSA報告中所提到的VOHO攻擊活動，也使用了相同的技術。但在2012年，另一個有趣的社交工程伎倆就是利用安全廠商對惡意軟體的分析做為誘餌，來傳播惡意軟體。不過，魚叉式網路釣魚郵件和淪陷網站並不是唯一的攻擊途徑。即時通（被認為用在針對Google的Aurora攻擊）也提供了另一條攻擊路線。Skype也被報導提到用在敘利亞衝突的DarkComet RAT攻擊內。
攻擊是最好的防禦 –
在2012年，有個新興資安公司 – Crowdstrike提出了「攻擊是最好的防禦」概念，雖然這概念常被狹隘地理解為「駭回去」，但我卻想從David Dittrich所謂的「主動回應連續（Active Response Continuum）」背景下來理解這件事。有各種戰術可以應用，滲透，強迫下線（不管是通過技術手段、回報濫用行為、策反、點名和羞辱、法律機制或和執法單位合作）或是欺敵行動，好來進行反擊，而不是只能「駭回去」。這些都是經常用來對付犯罪份子的行動，但也可以應用在這裡。在一定程度上，針對基礎設施的攻擊，通常都是國家默許或國家資助的。所以這些措施以外的反擊作法也很吸引人，因為有國家資助的案例通常是不適用於法律途徑的，所以我們也開始看到這樣的行動出現。在2012年的一個案例中，CERT-GOV-GE不僅取得存取「Georbot」殭屍網路命令和控制伺服器的能力，還誘使殭屍網路運營者去偷取一個惡意檔案。執行之後，就讓CERT-GOV-GE可以遠端錄下運營者的影像。
「超限」武器交易 –
這個備受爭議的話題 – 販賣零時差漏洞攻擊碼及搭配的惡意軟體，在2012年已經是個公開的祕密。美國公民自由聯盟的Christopher Soghoian在VB2012大會上用這題目做了主題演講。除了會買賣漏洞和攻擊碼之外，也有惡意軟體的交易是在政府授意下。Morgan Marguis-Boire發表了被稱為FinFisher的產品（也可用來偵查智慧型手機）是如何被英國政府散播的相關資料。還有被義大利公司所散播的後門程式，據報導是被政府用來監控異議份子。另外Dell SecureWorks的Joe Stewart發現「一個由位在某亞洲國家（非中國）的私營電腦安全公司所經營的龐大網路間諜活動針對國外軍事單位」，進一步說明了問題的嚴重程度。
資料銷毀 –
雖然目標攻擊通常是為了間諜活動目的，但有時它們也會有破壞性行為（看看Stuxnet）。在2012年，卡巴斯基的報告中提到一個被稱為Wiper的例子會去破壞資料，還有Shamoon（參考Seculert的分析）會針對中東的石油公司並摧毀資料，這惡意軟體被認為用來破壞沙烏地阿拉伯和卡達成千上萬的電腦。而這樣的間諜破壞行為可能還會繼續下去。