趨勢科技最近介紹了些APT攻擊工具以及如何去識別出它們。我們這些威脅研究人員工作的一部分就是去調查APT攻擊裡的各種角色以及他們所使用的工具，才能更佳地保護我們的使用者。本篇文章要更進一步去探討APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)內所使用的各種工具，和他們用這些工具做些什麼。
這些工具被如何使用
雖然有許多人認為這些工具是被用在攻擊最開始的入侵階段，但這並非本文章的重點。我會專注在入侵成功後的各階段所要用的工具。下圖說明了這些工具在傳統APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)生命週期裡所扮演的角色。
第一步：攻擊者發送惡意軟體給受害者。這可以用許多種方式達成 – 電子郵件內的惡意附加檔案、隨身碟或是被入侵淪陷的網站都有可能。 繼續閱讀
就今年教宗選舉及教宗就職的新聞熱潮來看，網路犯罪者趁此機會發動攻擊一點也不令人意外。最近趨勢科技發現了許多以新任教宗方濟 (Pope Francis) 為主旨的垃圾郵件(SPAM)。
這些電子郵件利用新任教宗以及天主教庭引起的一些爭議來吸引收件人的好奇心。為了讓使用者相信這些郵件的真實性，它們還假冒了 CNN 的名義。以下是某個電子郵件的擷取畫面：
值得注意的事，郵件的內容原本應該是關於教宗「方濟」才對，但下面這封垃圾郵件卻稱新任教宗為「本篤」(也就是前任教宗的名字)。
郵件內附的連結會將使用者導到已遭 Blackhole Exploit Kit (BHEK) 漏洞攻擊套件感染的網站。Blackhole Exploit Kit 已廣泛用於散布各種惡意程式，包括：
趨勢科技研究部門發現，南韓同時遭到多種攻擊肆虐，而惡意軟體攻擊正是其中之一。攻擊者鎖定執行 Microsoft Windows、IBM AIX、Oracle Solaris 和 Hewlett-Packard HP-UX 版 UNIX 的系統，展開攻擊。
*本事件也有一說為南韓 DarkSeoul 大規模APT攻擊事件)這些攻擊一開始先寄送魚叉式網路釣魚電子郵件，偽裝成三月份的信用卡帳單明細，電子郵件包含兩個附件，而攻擊便是透過這些附件啟動。Deep Discovery 網路偵測和自訂沙盒分析會對電子郵件進行偵測，識別出惡意軟體，找出攻擊者所使用的外部指令和控制站點。
我們稍早看到了針對南韓的破壞 MBR 之APT攻擊。目前已經對這整起攻擊有了全盤的認識，如何用兩個不同的情境了解整起攻擊，以及為何會造成如此大的損害。最後是我們如何利用趨勢科技 Deep Discover Inspector(DDI)和其他解決方案來保護使用者。
偽造的銀行通知帶來惡意下載程式
在三月十九日，我們看到這起攻擊的第一個跡象，南韓許多單位收到帶有惡意附件檔的垃圾郵件(SPAM)，加上聲稱是每月信用卡帳單的資訊。這封郵件偽裝成來自銀行。附件檔其實是個惡意下載程式，會從多個不同網址下載檔案。為了要引隱藏惡意行為，會顯示出一個假網站。
就在這個階段， Deep Discover Inspector(DDI) 透過ATSE（進階威脅掃描引擎）來智慧化的偵測惡意附件檔以保護我們的客戶。接著 Deep Discover Inspector(DDI)會利用沙箱技術來執行附件檔，用以生成網址列表，好立即封鎖這些攻擊。在這個階段所發現的網址會被封鎖。 Deep Discover Inspector(DDI)所提供的資訊加上IT管理者快速的反應就可以確保我們的客戶能夠受到及時的防護。
下面截圖顯示警告訊息：
木馬 MBR 抹除事件
不過大多數報導都專注在MBR抹除程式。它讓許多屬於南韓各單位的電腦進入癱瘓狀態。這MBR抹除程式最先被植入到Windows系統內。被設定到三月廿日下午二點之前都是休眠狀態。一旦到了上述時間，這惡意軟體就會被啟動。它會終止某些進程，搜索以下應用程式所儲存的遠端連線：mRemote和SecureCRT，利用所儲存的憑證來登錄到遠端Unix伺服器：對於AIX，HP-UX和Solaris伺服器，它會抹除其MBR。如果無法抹除MBR，就會刪除/kernel/、/usr/、/etc/、/home/等目錄下的檔案。 繼續閱讀
3 月 20 日當天，南韓三家大型銀行和兩家最大電視台因為遭到目標式攻擊而陷入癱瘓，造成許多南韓人無法從 ATM 提款，電視台人員無法作業。
【2013 年03月21日 台北訊】駭客針對南韓主要銀行、媒體，以及個人電腦發動大規模攻擊，截至目前為止，趨勢科技已經發現多重攻擊。駭客主要針對南韓主要銀行與媒體的補丁更新伺服器（patch management server）佈署惡意程式，造成受攻擊企業內部的電腦全面無法開機，作業被迫停擺；另一攻擊則針對南韓的企業網站，有的網站遭攻擊停擺，有的網站則是使用者造訪該網站都會被導向位於海外的假網站，並被要求提供許多個人資訊；此外，駭客並針對個人用戶發動電子郵件釣魚攻擊，假冒南韓銀行交易記錄名義，誘騙使用者下載內含木馬程式TROJ_KILLMBR.SM的執行檔，使用者電腦開機區遭到覆蓋，導致使用者無法開機。
趨勢科技內部偵測到的針對企業內部的目標攻擊，目前已知受影響的企業主要為銀行以及媒體。這波攻擊以企業補丁更新伺服器（Patch Management Server）為標的，駭客成功入侵受害企業的補丁更新伺服器佈署惡意程式，該惡意程式會隨著企業員工電腦定期下載補丁(Patch) 而散佈至企業內部，造成企業內部電腦全面停擺，無法進行作業。
另一個攻擊則針對企業網站進行攻擊，目前已知南韓知名企業網站遭到入侵，並恐有被植入不明惡意程式之可能。除了企業之外，駭客並針對銀行使用者展開一波社交工程陷阱( Social Engineering)郵件攻擊。駭客透過一封假冒南韓銀行的信件，信件內容表示為使用者的交易記錄，要求使用者打開附件，附件內容其實為一個執行檔，一旦使用者下載執行後，將被下載一個名為TROJ_KILLMBR.SM的惡意程式，電腦開機區的所有資訊將被覆蓋，導致電腦無法開機。 繼續閱讀
作者：Erica Benton
在這些日子裡，當我們談論到消費化趨勢時，注重的往往是設備方面，就是自帶設備（BYOD）裡的「設備」。但企業員工已經在工作場合裡使用消費性產品很長一段時間了 – 只要想想過去超過五年間，來自Yahoo、Google或其他公司大受歡迎的即時通或電子郵件產品。感謝雲端運算和強大的智慧型手機、平板電腦普及，自帶應用程式（Bring Your Own Apps，BYOA）的趨勢真正往前邁出一大步，IT也要更加的了解和加以管理。
現在熱門的消費性線上應用程式有著巨大的服務需求，包括線上儲存和檔案共享（Dropbox）、部落格（WordPress和Blogger）、電話（Skype）、社群媒體和參與（Twitter、Facebook、HootSuite）和協同合作（Huddle和Yammer）。但問題跟自帶設備一樣，這些未經批准的工具基本上都是偷偷地進入企業專案，只是臨時性的解決方案。它們的確是可以節省許多時間，讓使用者可以在家工作，直觀而能夠提高生產力的工具，但同時也會對組織帶來額外的風險。
這些風險主要來自於一個事實，就是這些應用程式大多數並不是設計給企業環境所用，沒有提供相關的安全政策和控制。他們主要提供給一般消費者，這可能會帶來資料隱私問題，如果將企業敏感資料放在第三方伺服器上。
雖然許多網路公司會嚴格審查和控制自己資料中心的安全性，但是如何挑選這些供應商也該是IT主管一開始就必須參與的。而且還有些其他的風險可能產生，如果雲端供應商倒閉或是被買走，或有員工帶著他們的私人網路帳號離職，那麼這些企業資料會發生什麼事？