apt 攻擊 - 資安趨勢部落格

APT 攻擊者偏好的DDOS 分散式阻斷服務攻擊與密碼擷取工具，自我更新更厲”駭”

2012 年 12 月 03 日2016 年 11 月 07 日趨勢科技 TrendMicro

APT 攻擊者偏好的DDOS 分散式阻斷服務攻擊與密碼擷取工具，自我更新更厲”駭”

BKDR_ADDNEW 惡意程式 (也就是地下網路上所稱的「DaRK DDoSseR」) 是一個可從事 DDOS 分散式阻斷服務攻擊的工具，同時又具備了密碼竊取能力、瀏覽檔案、擷取畫面、啟動麥克風或啟動網路攝影機等能力。該工具的售價大約 30 美元，已經出現好幾年了。

某些感染 BKDR_ADDNEW 程式的電腦後來也感染了 Gh0st RAT 惡意程式。儘管 Gh0st RAT 曾經出現在許多鎖定目標攻擊，但此工具及其多個變種一直為 APT攻擊/進階持續性威脅 (Advanced Persistent Threat, APT)者與網路犯罪者所廣泛採用。

在執行時，BKDR_ADDNEW 會連線至一個 TCP 連接埠來接收遠端犯罪者的指令 (我們分析過一些使用連接埠443, 3176 和 3085 的樣本，但其預設連接埠為 3175)。
可能接收到的一些指令包括：下載檔案、竊取 Mozilla Firefox 密碼、顯示 DNS 資訊以及傳送應用程式權限等等。此外，它還能發動阻斷服務 (DOS) 攻擊。

就趨勢科技的調查所知，BKDR_ADDNEW 內建了讓歹徒「更新」惡繼續閱讀

木馬專門竊取圖檔/影像檔案,得手資料傳送遠端 FTP,可能為APT 攻擊布局

2012 年 11 月 08 日2012 年 11 月 06 日趨勢科技 TrendMicro

最近似乎出現了一種新形態的資料竊取：趨勢科技發現了一個專門從感染裝置上竊取影像檔案的惡意程式TSPY_PIXSTEAL.A，此間諜木馬會將檔案傳送至某個遠端 FTP 伺服器。

TSPY_PIXSTEAL.A會開啟一個隱藏的指令列視窗，然後複製所有的 .JPG、.JPEG 及 .DMP 檔案。前二種檔案 (.JPG 及 .JPEG) 是一般常用的影像格式，而 .DMP 檔案則是系統的記憶體傾印檔，內含某次系統當機時的記憶體內容。

下圖顯示 TSPY_PIXSTEAL.A 將感染電腦 C、D、E 磁碟上的影像檔案複製到 C:\ 。

APT 威脅攻擊 — TSPY_PIXSTEAL.A 將感染電腦 C、D、E 磁碟上的影像檔案複製到 C:\

<apt 威脅/攻擊 >複製完成之後，木馬會連線至某個 FTP 伺服器，並且將前 20,000 個檔案上傳至該伺服器 — 複製完成之後，木馬會連線至某個 FTP 伺服器，並且將前 20,000 個檔案上傳至該伺服器

複製完成之後，它就會連線至某個 FTP 伺服器，並且將前 20,000 個檔案上傳至該伺服器。這樣的作法儘管看起來費力，但如果歹徒成功竊取到有用的資訊，其報酬將相當可觀。一直以來，資訊竊盜的形態大多侷限於文字，因此這個惡意程式對使用者來說，是一項新的風險。因為使用者通常也會用照片來保存資訊，不論是個人或工作相關資訊，這使得資訊外洩的風險變得很高。歹徒蒐集到的相片可用於身分詐騙、恐嚇，甚至用於未來鎖定目標攻擊,對鎖定機構展開APT進階持續性威脅 (Advanced Persistent Threat, APT)。繼續閱讀

《APT進階持續性威脅~主要目標攻擊侵入點:eMail》63%產品規劃藍圖 ,76%預算計畫經由 email 傳送

2012 年 10 月 29 日2012 年 10 月 22 日趨勢科技 TrendMicro

企業電子郵件流量預計會在2016年底達到1430億封

在最近幾年間，因為企業有網頁應用程式、社群媒體和消費化應用的出現，提升了商務溝通的能力。但電子郵件仍然是主要用來交換重要商業資訊的媒介。企業的電子郵件流量佔了今日全球流量的大部分。根據一項研究顯示，企業電子郵件流量預計會在2016年底達到1430億封。^註1

有73％的企業表示他們透過公司電子郵件來傳送高度機密的資料

商務溝通透過電子郵件既快速又簡單，在大多數情況下只要有網路就可以了。它可以放入足夠長度的內容，也可以用正式的格式來做資料交換。電子郵件也被認同是法律文件。

電子郵件被認為是關鍵的資訊服務。^註2 員工會認為這在工作流程中是必要的，所以零電子郵件的政策難以被落實。^註3 研究顯示，有73％的企業表示他們透過公司電子郵件來傳送高度機密的資料。^註4 有些關鍵文件包括客戶資料、產品設計，企業策略和銷售報價等等。

經由電子郵件寄送的重要資訊類別:

敏感的賠償問題 47%
併購活動 33%
可能的資遣和組織重組 45%
產品規劃藍圖 63%
預算計畫 76%

來源：PhoneFactor

電子郵件附加檔案

商務人士經常會在電子郵件內附加檔案，已經成為正常商務通訊的一部分。

微軟Word檔案：Windows 已經被企業廣泛的採用。因此，唯一和作業系統完全相容的微軟Office套件也非常的普及。^註5
PDF檔案：組織會使用PDF檔案，因為它支援多個平台，可以很容易地散布、歸檔和儲存。根據研究顯示，有90％的企業將掃描文件儲存成PDF檔案。而89％的受訪者表示，他們正在把微軟Word檔案轉成PDF檔案。^註⁶

毫無疑問的，攻擊者已經了解到利用電子郵件在目標攻擊活動裡散播攻擊工具是非常有效的作法。

目標攻擊進入點

目標攻擊或APT進階持續性威脅 (Advanced Persistent Threat, APT)是指一種威脅類型，可以長時間潛伏在網路或系統內來達到它們的目的（通常是竊取資料）而不被偵測到。

目標攻擊的幕後黑手會先利用開放的資料來源做研究，做出有效的社交工程陷阱( Social Engineering)誘餌。既然電子郵件是最常被使用的商務溝通模式，惡意威脅份子通常會經由這媒介來帶入漏洞攻擊。這些漏洞攻擊之後會下載更多的惡意軟體。

以下影片(10:22)有看似熟人寄發信件,點擊後卻引發攻擊的多則實際案例
標題包含:”看了這個文章多活 10 年”,”新年度行政機關行事曆”

繼續閱讀

《APT進階持續性威脅》APT 攻擊常用的三種電子郵件掩護潛入技巧(含多則中英文信件樣本)

2012 年 10 月 24 日2012 年 10 月 31 日趨勢科技 TrendMicro

「李宗瑞影片，趕快下載呦！」政府單位以這測試信,導致 996 名員工好奇點閱「中招」，點閱員工分十梯上2小時的資訊安全課程。在本部落格提到的這篇文章中, 69％的人每週都碰到網路釣魚,25% 高階員工被釣得逞。

老闆來信要你馬上回辦公室,開還是不開?

以下這個的寄信來源者是” Boss”老闆大人，開宗明義在標題寫著”get back to my office for more details”.(預知詳情請儘速回來到我辦公室)：

“Please read the attached letter and get back to my office for more details to proceed further”，要收件人先開info.zip 的附件，當心喔，我們一再提醒不要輕易開啟附件。經趨勢科技專家分析，解壓縮後出現 info.exe執行檔，果然是隻病毒。

有時候我們真的很難對以下這樣看似”好意”的電子郵件產生懷疑的心態,尤其寄件者來自高階主管,這就是 APT攻擊 (Advanced Persistent Threat, APT) 者,可以得逞的第一步驟,取得在電腦植入惡意程式的第一個機會。。

APT 目標攻擊中文社交工程信件樣本

APT進階持續性威脅 (Advanced Persistent Threat, APT)和目標攻擊通常會利用社交工程陷阱( Social Engineering)電子郵件作為進入目標網路的手段（註）。考慮到一般企業員工在每個工作天平均所傳送41 封和接收100封的電子郵件數量，以及製造社交工程陷阱( Social Engineering)電子郵件的容易度，企業應該要重新檢視如何確保這類型商務溝通的安全措施了。

過去的目標攻擊可以看到幾種不同類型的社交工程陷阱( Social Engineering)技術。例如：

利用常見網頁郵件服務的帳號來發送這些電子郵件
請參考:目標攻擊：Gmail 繁體中文網路釣魚信件
利用所之前入侵獲得的電子郵件帳號來發送
偽裝成特定部門或高階主管的電子郵件地址
比如經由Email 發送的＂員工滿意度調查＂附件PDF檔案含目標攻擊病毒

以下這個來自中文社交工程郵件一文中的案例,附件“企劃rcs.doc “看起來像文件檔,其實真正的檔名是”企劃cod.scr”這個螢幕保護程式駭客插了控制碼 ,讓它顯示從後顯示到前,點下去就啟動執行檔, 更讓平日對執行檔有警戒心的收件者,也無招架能力。

這些電子郵件通常會夾帶漏洞攻擊用檔案來針對常見軟體的漏洞以入侵受害者的電腦。一旦入侵成功，就會在網路裡繼續進行進階持續性威脅攻擊的其他階段。

對企業而言，尤其是負責保護網路的資安單位，需要更加了解攻擊者多麼輕易地就能夠利用電子郵件，因為電子郵件是用來做商務溝通最常見的形式。TrendLabs推出入門書 – 「你的商業通訊安全嗎？」和資料圖表 – 「掩護潛入：經由員工信箱的目標攻擊」，這兩者都介紹到電子郵件在進階持續性威脅攻擊活動裡扮演多麼危險的角色。點擊下面縮圖來下載文件：

發展並利用外部和本地威脅情報是啟動進階持續性威脅防禦策略的關鍵。Threat Intelligence Resource（威脅情報資源）提供資訊、系統和網路管理者關於進階持續性威脅最新最可靠的研究和分析。進入這頁面來瀏覽最即時的內容，讓你能夠了解目標攻擊的最新發展。

註：並不是說所有的APT進階持續性威脅 (Advanced Persistent Threat, APT)都是透過電子郵件到達，這類威脅肯定會想辦法利用許多種的進入點。

•每天的電子郵件流量有超過60%屬於企業用途

•一般企業員工平均每天會寄送41封和接收100封的電子郵件。

•收到的郵件中有16%是垃圾郵件

•在2012年，每日的企業電子郵件流量高達890億封

繼續閱讀

淺談APT進階持續性威脅 (Advanced Persistent Threat, APT)~含中文社交工程郵件案例

2012 年 09 月 19 日2012 年 10 月 26 日趨勢科技 TrendMicro

APT進階持續性威脅 (Advanced Persistent Threat, APT) 主要是針對特定組織所做的複雜且多方位的網路攻擊．

過去所發生過的大規模病毒攻擊事件，往往是有人藉由所謂的0-day弱點，在未發布修正程式的空窗期將惡意程式大量散播，短時間內就能癱瘓企業網路與主機，並造成難以估計的損失．不過一旦發布了修補程式後，這類型的病毒便很難繼續進行攻擊．

為什麼我們要特別注意APT進階持續性威脅 (Advanced Persistent Threat, APT)?因為所謂的APT進階持續性威脅 (Advanced Persistent Threat, APT)並不像上述說的病毒類型是短時間的大量攻擊，這類型的病毒往往長時間的潛伏在企業內部，先從蒐集情報開始，找尋適合攻擊的目標或跳板，最後再藉由這些目標對內部重要的主機發動攻擊．

根據統計，APT進階持續性威脅 (Advanced Persistent Threat, APT)主要活動的前三大地區為台灣、美國與香港，受害比例最高的是台灣，整體而言亞洲是遭受APT攻擊最主要的地區．

以下是近年來知名的APT進階持續性威脅 (Advanced Persistent Threat, APT)事件

2010年7月Stuxnet USB蠕蟲病毒攻擊西門子系統
2010年1月極光行動(Operation Aurora)攻擊Google Mail
2011年5月Comodo的數位簽章被竊
2011年4月Sony PSN個資外洩

相關圖闢請看文末 註:近兩年來遭受 APT 攻擊的著名案例：

由基本面來看，符合下列三項特點，我們就認為這攻擊是APT進階持續性威脅 (Advanced Persistent Threat, APT)：

出於經濟利益或競爭優勢
一個長期持續的攻擊
針對一個特定的公司，組織或平台

所以企業與政府通常是APT進階持續性威脅 (Advanced Persistent Threat, APT)的目標，要注意APT進階持續性威脅 (Advanced Persistent Threat, APT)是長期且多階段的攻擊，早期階段可能集中在收集關於網路設定和伺服器作業系統的的詳細資訊，可能透過SQL Injection攻擊突破外網Web伺服器主機，接著，受駭的Web伺服器作為跳板，對內網其他主機或用戶端進行情報蒐集．安裝Rootkit或其他惡意軟體去取得控制權或是跟命令與控制伺服器（C&C Server）建立連線。再下來的攻擊可能集中在複製機密或是敏感數據來竊取知識產權。

APT進階持續性威脅 (Advanced Persistent Threat, APT)的主要行為：目標式攻擊郵件

在APT進階持續性威脅 (Advanced Persistent Threat, APT)的活動中，最主要的就是透過郵件進行滲透式的攻擊，主要有三種類型

釣魚郵件：竊取使用者的帳號與密碼
惡意的指令碼：蒐集使用者電腦的環境資訊
安裝惡意程式(例如Botnet或rootkit)

APT進階持續性威脅 (Advanced Persistent Threat, APT)的攻擊郵件通常是以文件類型的檔案作為附件，例如Microsoft Office文件或是PDF檔，與一般認知的病毒郵件有著極大的差異，這類型的APT進階持續性威脅 (Advanced Persistent Threat, APT)攻擊郵件通常與使用者平時收發的郵件無太大的相異之處，容易降低使用者的戒心，以下便是APT進階持續性威脅 (Advanced Persistent Threat, APT)郵件的樣本：

APT不是一種新的攻擊手法，也不是可以藉由阻止或破壞一次攻擊就讓問題消失。APT可以被視為更像是一個網路攻擊活動而不是單一類型的威脅；可以想成是進行中的過程。防毒軟體可能可以阻止APT攻擊所使用的惡意程式，但並不意味著停止攻擊。就其性質而言，一個APT是一段持續的攻擊。如果一個戰術行不通，就會再嘗試另外一個。實際上，我們不應該只去思考單一對策，或只是在多層次安全策略上增加更多防禦層，相反的，我們應該思考將其他例子中可能用來攔截、偵測和遏制的各種方式都組合起來。

從實務面來看，在可預見的未來，APT將會一直與我們同在是很合理的假設。APT是長期的過程導向攻擊，是攻擊者動機和攻擊手段改變下的產物。我們應該繼續部署攔截對策。防毒軟體，加密，弱點掃描和上修正程式（Patch）都是很好的做法。但是這些還不足以去應付APT，所以我們應該假設會被攻擊成功。在會被攻擊成功的前提下，我們必須即時的監控網路流量和電腦上的活動，包括隔離被入侵的設備，關閉伺服器和收集資料以作鑑識分析之用。萬一攻擊發生了，能夠儘快偵測到攻擊和遏制它所造成的影響才是最主要的目的。

註:近兩年來遭受 APT 攻擊的著名案例：

· 2010 年 1 月 — Google：
在一起名為「極光行動」的事件中， Google 遭受 APT 攻擊。
當時一位 Google 員工點了即時通訊訊息中的一個連結，接著就連上了一個惡意網站，
不知不覺下載了惡意程式，開啟了接下來的一連串APT 事件。
在此事件中，攻擊者成功滲透 Google 伺服器，竊取部分智慧財產以及重要人士帳戶資料。

「極光行動」常用像這樣的軟體更新下載程式作為誘餌。

· 2010 年 7 月 — 西門子：
Stuxnet 是世界上第一隻攻擊西門子 SIMATIC WinCC 與 PCS 7 系統的蠕蟲病毒，
主要攻擊目標為發電廠或煉油廠等等的自動化生產與控制系統（ SCADA ）。
Stuxnet 藉由微軟 MS10-046 Windows 系統漏洞散佈，
其目的在於取得 WinCC SQL Server 登入 SQL 資料庫的權限。

· 2011 年 3 月 — Comodo：
數位簽章遭竊，憑證遭到破解，使得許多使用者及網站暴露於危險之中。

· 2011 年 3 月 – RSA：
歹徒寄了兩封標題為「 2011 Recruitment Plan 」（ 2011 年度徵才計畫）的信件給員工。
這兩封信件實為網路釣魚（Phishing），引發了後續的資料外洩事件。�
Rsa01
RSA APT 事件中的網路釣魚（Phishing）�

· 2011 年 4 月 — 洛克希德馬丁：
在 RSA 遭到攻擊後隔月，駭客以從 RSA 竊得的 SecureID 通過身分認證，侵入武器製造商洛克希德馬丁。