APT攻擊 - 資安趨勢部落格

《APT 威脅》神不知鬼不覺的APT攻擊 — 多則APT 真實案件分享(含網路釣魚信件樣本)

2012 年 09 月 20 日2012 年 09 月 20 日趨勢科技 TrendMicro

我們現在面臨著一個不斷演變的資安威脅環境。從一開始為了用來吹噓而攻擊或是用阻斷式攻擊（ DoS ）來切斷流行網站的服務，到現在是為了經濟利益而攻擊。攻擊者透過詐騙或竊取知識產權直接獲取利益，或進行大規模資料竊取等等。除了攻擊的動機與目的的轉變外，攻擊手法也有所改變。在這樣的環境中，最大的挑戰就是APT進階持續性威脅 (Advanced Persistent Threat, APT)：

APT — Advanced Persistent Threat ，一般稱為進階持續性威脅，是針對特定組織進行複雜且多方位的攻擊。APT 不似從前的一般惡意程式攻擊：缺乏嚴格掌控；不限定目標地亂槍打鳥。APT 會花費較長的時間規劃、執行：偵查、蒐集資料；發掘目標的安全漏洞或弱點。

近兩年來遭受 APT 攻擊的著名案例：

· 2010 年 1 月 — Google：
在一起名為「極光行動」的事件中， Google 遭受 APT 攻擊。
當時一位 Google 員工點了即時通訊訊息中的一個連結，接著就連上了一個惡意網站，
不知不覺下載了惡意程式，開啟了接下來的一連串APT 事件。
在此事件中，攻擊者成功滲透 Google 伺服器，竊取部分智慧財產以及重要人士帳戶資料。

「極光行動」常用像這樣的軟體更新下載程式作為誘餌。

· 2010 年 7 月 — 西門子：
Stuxnet 是世界上第一隻攻擊西門子 SIMATIC WinCC 與 PCS 7 系統的蠕蟲病毒，
主要攻擊目標為發電廠或煉油廠等等的自動化生產與控制系統（ SCADA ）。
Stuxnet 藉由微軟 MS10-046 Windows 系統漏洞散佈，
其目的在於取得 WinCC SQL Server 登入 SQL 資料庫的權限。

· 2011 年 3 月 — Comodo：
數位簽章遭竊，憑證遭到破解，使得許多使用者及網站暴露於危險之中。

· 2011 年 3 月 – RSA：
歹徒寄了兩封標題為「 2011 Recruitment Plan 」（ 2011 年度徵才計畫）的信件給員工。
這兩封信件實為網路釣魚（Phishing），引發了後續的資料外洩事件。
Rsa01
RSA APT 事件中的網路釣魚（Phishing）
繼續閱讀

[圖表] APT攻擊的 5 個迷思與挑戰

2012 年 06 月 28 日2015 年 05 月 29 日趨勢科技 TrendMicro

一般的資安解決方案可以對抗進階APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)嗎？ APT是特別設計用來從組織內部蒐集特定檔案的嗎？資料外洩事件是APT造成的嗎？今天IT團隊所面臨的挑戰是如何保護他們的網路來對抗APT – 人所發起的電腦入侵攻擊會積極的找尋並攻陷目標。為了幫助企業制訂對抗APT的策略，趨勢科技TrendLab準備了資料圖表來說明入侵的各個階段。

通過分析攻擊的各階段，IT團隊可以了解對自己網路發動攻擊會用到的戰術和運作。這種分析有助於建立本地威脅智慧 – 利用對特定網路所發動攻擊的緊密知識和觀察所發展的內部威脅資料。這是消除由相同攻擊者所發動之攻擊的關鍵。我們的研究人員所確認的階段是情報收集、進入點、命令和控制（C＆C）通訊、橫向擴展、資產/資料發掘和資料竊取。

在現實狀況下要處理APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)A各階段的攻擊比一般的網路攻擊要更加困難。比方說，在資產發掘階段，攻擊者已經進到網路內部來找出哪些資產具有價值好加以攻擊。資料外洩防護（DLP）策略可以防止存取機密資料。然而，根據一項調查顯示，雖然公司的機密資訊佔全部資料的三分之二，但是大概只編列了一半的資安預算來加以保護。

更多詳情都會在這資料圖表內加以描述，「找出APT的全貌」。

找出APT的全貌

APT（進階持續性威脅）是攻擊者針對鎖定的公司和資源。通常會用目標員工的社交工程攻擊開啟一連串攻擊的開端

APT攻擊的六個階段

獲取目標IT環境和組織架構的重要資訊

情報收集

31%的雇主會懲處將公司機密資料貼到社群網站上的員工

進入點

利用電子郵件、即時通、社群網路或是應用程式弱點找到進入目標網路的大門

一項研究指出，87%的組織會點社交工程攻擊誘餌所帶來的連結,這些連結都是精心設計的社交工程誘餌

命令與控制 : C&C 通訊

APT攻擊活動首先在目標網路中找出放有敏感資訊的重要電腦

主要的APT攻擊活動利用網頁通訊協定來與C&C伺服器通訊,確認入侵成功的電腦和C&C伺服器間保持通訊

繼續閱讀

APT 攻擊文章懶人包

2012 年 06 月 22 日2013 年 04 月 15 日趨勢科技 TrendMicro

影片說明:APT 攻擊駭客攻擊手法模擬~社交工程攻擊(Social Engineer)過程重現

影片說明:APT 攻擊真實案例改編

淺談APT進階持續性威脅 (Advanced Persistent Threat, APT)~含中文社交工程郵件案例

《APT 攻擊》南韓爆發史上最大駭客攻擊企業及個人用戶電腦皆停擺

《APT 攻擊》韓國網路攻擊事件 FAQ
《APT 攻擊》趨勢科技Deep Discovery 成功協助南韓客戶抵抗駭客多重攻擊
 APT 攻擊者偏好的DDOS 分散式阻斷服務攻擊與密碼擷取工具，自我更新更厲”駭”

《APT進階持續性威脅~主要目標攻擊侵入點:eMail》63%產品規劃藍圖 ,76%預算計畫經由 email 傳送

木馬專門竊取圖檔/影像檔案,得手資料傳送遠端 FTP,可能為APT 攻擊布局

「李宗瑞影片，趕快下載呦！」從公僕誤開測試信,看好奇心所付出的資安代價(含APT 目標式電子郵件攻擊實際案例)

《APT 威脅》神不知鬼不覺的APT攻擊 — 多則APT 真實案件分享(含網路釣魚信件樣本)
[圖表] APT攻擊的 5 個迷思與挑戰惡意PowerPoint文件夾帶漏洞攻擊及後門程式

進階持續性威脅LURID: 入侵了61個國家1465台電腦,包含外交等單位

《 APT 進階持續性滲透攻擊》BKDR_POISON 未來將出現更多挑戰

APT 進階持續性滲透攻擊研究報告10個懶人包

＜APT進階持續性威脅＞經由Email 發送的＂員工滿意度調查＂PDF檔案含SYKIPOT，展開目標攻擊行動

< APT 目標攻擊 >知名韓國企業收到量身訂製的社交工程信件,員工開啟後遭遠端控制竊取個資

《APT攻擊》另一起電子郵件目標攻擊利用研究單位做掩護

《APT 攻擊》下載藏文輸入法至Apple iOS,竟引狼入室

《APT /MAC 攻擊》另一起和西藏相關的攻擊活動針對Windows和Mac系統

微軟控告殭屍網路ZeuS、SpyEye和Ice IX幕後黑手

時代變了 Mac使用者現在也會遭受目標攻擊

雲端安全和APT防禦是同一件事嗎？

《 APT 進階持續性滲透攻擊》16 封不能點的目標攻擊信件

傳統安全策略已經不再足以保護企業

《 APT 進階持續性滲透攻擊》病毒也愛林來瘋!!目標攻擊以林書豪傳奇故事為餌,安裝後門程式

《 APT 進階持續性滲透攻擊》BKDR_POISON 未來將出現更多挑戰

《木馬專偷 Word, Excel 文件檔,得手後放雲端》受駭IP 遍佈150 國,含政府、學術界和企業網路

APT 進階持續性滲透攻擊研究報告10個懶人包

後門程式針對國際人權組織

趨勢科技發表2012資安關鍵十二大預測

2011 金毒獎【得獎名單】與【得獎理由】

＜APT進階持續性威脅＞經由Email 發送的＂員工滿意度調查＂PDF檔案含SYKIPOT，展開目標攻擊行動

什麼是 APT？簡單的說就是針對特定組織所作的複雜且多方位的網路攻擊。

認識 APT

以往駭客發動的APT攻擊雖然以政府為主，但從2010年開始企業成為駭客鎖定竊取情資的受駭者越來越多，2011年幾個世界性的組織在目標攻擊下淪陷，付出了昂貴的成本。RSA和Sony是 2011年最大的兩個APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)的目標。幾個世界性的組織在目標攻擊下淪陷，付出了昂貴的成本。他們失去了數百萬客戶的資料，光是完成修復就花費了鉅資。

APT 攻擊的特色:

【鎖定特定目標】針對特定政府或企業，長期間進行有計劃性、組織性竊取情資行為,可能持續幾天，幾週，幾個月，甚至更長的時間。

【假冒信件】針對被鎖定對象寄送幾可亂真的社交工程惡意郵件，如冒充長官的來信,取得在電腦植入惡意程式的第一個機會。

【低調且緩慢】為了進行長期潛伏,惡意程式入侵後,具有自我隱藏能力避免被偵測,伺機竊取管理者帳號、密碼。

【客製化惡意元件】攻擊者除了使用現成的惡意程式外亦使用客制化的惡意元件。

【安裝遠端控制工具】攻擊者建立一個類似殭屍網路/傀儡網路 Botnet 的遠端控制架構攻擊者會定期傳送有潛在價值文件的副本給命令和控制伺服器（C&C Server）審查。

【傳送情資】將過濾後的敏感機密資料，利用加密方式外傳

APT 進階持續性滲透攻擊 (Advanced Persistent Threat, APT)可能持續幾天，幾週，幾個月，甚至更長的時間。APT攻擊可以從蒐集情報開始，這可能會持續一段時間。它可能包含技術和人員情報蒐集。情報收集工作可以塑造出後期的攻擊，這可能很快速或持續一段時間。

例如，試圖竊取商業機密可能需要幾個月有關安全協定，應用程式弱點和文件位置的情報收集，但當計畫完成之後，只需要一次幾分鐘的執行時間就可以了。在其他情況下，攻擊可能會持續較長的時間。例如，成功部署Rootkit在伺服器後，攻擊者可能會定期傳送有潛在價值文件的副本給命令和控制伺服器（C&C Server）進行審查。

【如何避免APT 進階性持續威脅攻擊?】

趨勢科技建議民眾應：