資訊分享如此的氾濫，想要了解攻擊者從某特定目標可以獲得多少資訊，和哪些資訊可以被用來攻擊是幾乎不可能的。

作者：Martin Roesler（威脅研究總監）

我們的產業從目標攻擊裡所學到的大部分事情幾乎都透過最艱苦的方式：通過對成功攻擊的分析。至今的成果也只是讓我們了解到自身對於目前所處的「戰場」有多麼陌生，以及這陌生是如何讓產業無法理解在面對這種攻擊時需要做什麼。但為什麼會這樣呢？攻擊者真的佔得上風嗎？很不幸的，答案是肯定的。

攻擊者不公平的優勢

簡單地說，攻擊者有著更高一層的掌控能力以及更充沛的資源。他們可以決定威脅的本質 – 如何以及什麼時候去進行攻擊。他們可以使用網路上所找得到的許多種工具，包括正當的網路服務。更重要的是，他們可以獲得所想要攻擊對象的情報 –他們可以對目標做研究並找尋資料，讓入侵滲透變得更加簡單而幾乎無法偵測。

當攻擊者可以利用這種靈活性時，他們的攻擊對象，在另一方面卻面臨著許多限制，自己都已經快管不好自己了。隨著消費化和行動運算的興起，對公司來說，想要確認自己的網路範圍都已經是件難事了，更別說還要去保護它。他們所能做的就是盡可能利用可用的策略，對網路所能做的控管以及對員工的教育訓練了。

對掌控的錯誤感覺

身為需要負起防護責任的人，最危險的就是假設我們了解攻擊者要如何去進行攻擊。真相是，我們並不真的了解攻擊是如何發生的。特別是像現在，資訊分享是如此的氾濫，想要了解攻擊者從某特定目標可以獲得多少資訊，和哪些資訊可以被用來攻擊是幾乎不可能的。

所以當我聽到以偏概全的說目標攻擊總是透過電子郵件時，總是讓我覺得惱怒。這會誤導使用者，也幫了資安防衛者倒忙。電子郵件可能在某些攻擊裡被用來作為接觸受害者的載體，但攻擊並不總是需要從那開始。就像我之前所說的，攻擊者決定了攻擊的本質，他們所採取的策略通常是根據他們對目標的偵察結果而定。是根據對目標的熟悉程度來讓攻擊生效，因為他們掌握著目標的行為和弱點，不管是數位或實體。攻擊者可能會實際到達目標家裡，這會產生跟數位攻擊相同甚至更大的結果。

繼續閱讀

在趨勢科技的2013安全預測中，我們提到惡意軟體會逐漸地演變，不會有太多顯著地變化。這可以從APT進階持續性威脅 (Advanced Persistent Threat, APT)使用一些（合法）駭客工具中看得出來。

這為什麼是個問題呢？駭客工具是種灰色軟體，並不一定會被防毒軟體防毒軟體所偵測，或因為道德法律考量讓他們不這樣做。不幸的是，這意味著在APT進階持續性威脅 (Advanced Persistent Threat, APT)鑑識調查裡更難發覺它。此外，它也讓攻擊者省下自己開發工具的麻煩。常見到的駭客工具有：

密碼回復工具 – 用來將應用程式或作業系統存放在本地硬碟或註冊表內的密碼或密碼雜湊值取出的工具。通常被用來複製或偽造使用者帳號以取得管理者權限。雜湊值注入（Pass-the-hash）是種常見的方式讓攻擊者透過偷來的密碼雜湊值取得管理者權限。

• 使用者帳號複製工具 – 當攻擊者取得密碼後，用來複製使用者帳號的工具。一旦取得足夠權限，攻擊者就可以繞過系統的安全措施，執行惡意企圖。
• 檔案操作工具– 用來操作檔案（複製、刪除、修改時間標記、搜尋特定檔案）的工具。它被用來修改存取過檔案的時間標記或刪除特定組件以掩飾入侵的痕跡。它也可以讓攻擊者透過副檔名搜尋所需要的關鍵文件。
• 排程工具– 用來關閉或建立排程的軟體。這可以讓攻擊者透過關閉軟體更新排程以降低受感染系統的安全性。同樣地，也可以做為惡意用途。例如，攻擊者可以建立排程以在特定時間自動竊取檔案。
• FTP工具 – 用來執行FTP傳輸的工具，像是將檔案上傳到特定FTP站台。因為在網路上的FTP傳輸看起來比較不那麼可疑，有些APT（進階持續性威脅）幕後黑手會偏好將竊取來的資料上傳到遠端FTP站台，而不是上傳到C＆C伺服器。要特別指出的是，有好幾個合法的FTP應用程式也被網路犯罪份子所用。
• 資料壓縮工具– 這些工具本身並非惡意，也不被視為入侵用的工具。在大多數情況下，這些都是合法的檔案壓縮工具，像是WinRAR，只是被攻擊者用來將多個偷來的檔案加以壓縮合併。這可以在資料竊取階段，幫攻擊者將偷來的文件合成一個單一檔案上傳。在少數情況下，我們也看到這些應用程式被組合設定來壓縮預先定義好的一組檔案。

要如何判斷APT（進階持續性威脅）使用這些駭客工具？

我們已經看到要如何使用這些工具在APT進階持續性威脅 (Advanced Persistent Threat, APT)中取得管理者權限，並且收集關鍵文件。那麼IT管理員和進階使用者該如何利用這資訊來判斷有使用這些工具的APT進階持續性威脅 (Advanced Persistent Threat, APT)？ 繼續閱讀