APT攻擊/APT 進階持續性威脅/Advanced Persistent Threat - 資安趨勢部落格

餅乾怪獸和APT攻擊

2014 年 05 月 02 日2014 年 04 月 25 日趨勢科技 TrendMicro

正如我的母親未能發現和防止餅乾竊賊，因為她只監視廚房椅子、衣櫃門或烤箱門的開啟。建立起有效防禦目標攻擊與APT攻擊的重點之一就是必須監控廣泛的攻擊表面。就是這麼簡單，餅乾竊賊有著貪婪的慾望和頑強的堅持，那些想入侵你的網路並竊取你資料的人也是，你只要那邊不注意，那麼「餅乾」就會從那裡消失。

作者：Bob Corson

最近有個想法閃過我的腦中，我小時候常有過的回憶和現在的目標攻擊與APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)有許多相似之處。這是個遲來的懺悔，不過當我還是小孩子的時候，我常會去偷吃媽媽剛烤好的餅乾。＜希望我的母親不會看到這一篇＞

回想起來，我記得我有著瘋狗般的毅力驅動著我，想要一嚐新鮮的花生醬、巧克力片或燕麥餅乾來滿足我的味蕾。也因此，我想到許多方法來拿到餅乾。我不會在這列出所有的方法，因為我太太也是個烘焙高手，所以我可不希望她知道我所有的招數。但說回我的童年，這裡是一些孩子們會嘗試和真正可以拿到餅乾的方式：

站在廚房的椅子上好拿到被禁止的餅乾罐
用掃帚或拖把桿來將餅乾罐移到櫥櫃邊緣…將它弄倒…拿出幾塊餅乾…將罐子推正，然後用相同的掃帚或拖把桿將它弄回原處（來自經驗的警告聲音：記得要弄掉從罐子掉到櫥櫃上的任何碎屑…還有地板上的）
偷偷去拿剛烤好，等著放冷的餅乾
l 還有很多…很多…很多。

現在回歸正題，這跟目標攻擊與APT攻擊有何關係？嗯，讓我驚訝的是，我的母親變得對監控聲響非常熟練 – 移動廚房椅子的聲音，我用掃帚柄打開櫥櫃門時的吱吱作響，當我試著偷偷去拿還溫熱餅乾時的烤箱門開啟聲。此外，她善於監測曾出現過的「餅乾攻擊手法」 – 當我想用不同的路線來偷拿餅乾時。而且有著獵犬般的警覺性，可以看出當我想用「社交工程陷阱( Social Engineering)」手法，一邊用著「我愛你媽媽」的熱情擁抱，同時伸出一隻手在她背後去偷拿餅乾。

繼續閱讀

91％的APT 目標攻擊用魚叉式網路釣魚攻擊手法

2013 年 04 月 23 日2013 年 04 月 16 日 Trend Labs 趨勢科技全球技術支援與研發中心

一封假冒銀行交易的網路釣魚信件,導致南韓爆發史上最大駭客攻擊,這就是APT 目標攻擊最愛採用魚叉式網路釣魚攻擊手法。魚叉式網路釣魚針對的是公司內部的個人或團體。電子郵件會包含目標對象的相關資訊，想辦法盡可能看起來真實。在大多數情況下，這些郵件不包含惡意軟體。因此它們通常可以通過大多數垃圾郵件和網路釣魚過濾軟體。

作者：Vic Hargrave

網路釣魚在網際網路的威脅環境裡是種始終存在的危險。在我的部落格文章 – 對抗釣魚郵件中，我提到了你可以如何做來對抗傳統的網路釣魚（Phishing）。傳統指的是，這些郵件利用社交工程技術來讓你點入郵件裡通往惡意網站的連結，你可能會被要求輸入有價值的個人資料 – 信用卡號碼、帳號登錄資料等等。

正如我之前所指出的，這些攻擊很容易偵測。大多數瀏覽器和電子郵件客戶端都提供某種程度的保護。當然，像PC-cillin 2013雲端版這樣的安全解決方案也在封鎖已知惡意網站，打擊網路釣魚（Phishing）方面做了很好的工作。

但在過去一年裡，趨勢科技威脅研究人員觀察到，魚叉式網路釣魚（Phishing）的趨勢正在上升。根據趨勢科技安全報告 – 「魚叉式網路釣魚郵件：APT攻擊最愛用的誘餌」，它在二〇一二年二月到九月間所收集的資料顯示，有91％的目標攻擊用到魚叉式網路釣魚攻擊手法，誘騙受害者打開惡意檔案或網站。

魚叉式網路釣魚看起來像什麼

和傳統撒下大網，希望達到受害者數量最大化的網路釣魚（Phishing）不同，魚叉式網路釣魚針對的是公司內部的個人或團體。電子郵件會包含目標對象的相關資訊，想辦法盡可能看起來真實。在大多數情況下，這些郵件不包含惡意軟體或我之前提過的網路釣魚郵件品質。因此它們通常可以通過大多數垃圾郵件和網路釣魚過濾軟體。

如果你在安全或業務相關部落格上讀過魚叉式網路釣魚（Phishing），可能會讓你認為這種攻擊只限於公司內部的人。但趨趨勢科技的垃圾郵件(SPAM)威脅研究員 – Jon Oliver跟我分享了一些魚叉式網路釣魚（Phishing）的有趣案例，將會讓你有新的想法。第一個是來自Verizon的通知郵件，第二個似乎是來自美國國稅局的通知。

這些郵件看起來很像真的，不是嗎？國稅局那封簡直讓人嚇壞了。很多人會被騙去點入這些偽造郵件內的連結，但這樣做的後果比以前更可怕。隨著越來越多惡意攻擊套件在網路犯罪地下世界內流通和使用（像是黑洞漏洞攻擊包），只需要一指點入魚叉式網路釣魚郵件內的一個連結，你的瀏覽器就會載入惡意軟體，進而危害到你的電腦。

繼續閱讀

解密 PlugX 能力

2012 年 09 月 17 日2015 年 01 月 07 日趨勢科技 TrendMicro

在我們之前的文章裡，趨勢科技報導了被稱為PlugX的新品種遠端存取工具（RAT），它被用在Poison Ivy相關的APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊中。乍一看，這個遠端存取工具似乎只是個簡單的工具，具備有限的遠端存取能力。然而，進一步分析PlugX會發現它有更多微妙之處。

在典型的攻擊中，PlugX通常具備三個組成部分，即：

一個正常檔案
一個可以由正常檔案載入的惡意DLL
一個包含惡意程式碼，可以由DLL載入的二進位檔案。

攻擊是由包含惡意附件檔的釣魚郵件所開始，通常是壓縮過或精心製造的文件檔，可以攻擊 Adobe Acrobat Reader或微軟Office（特別是 CVE-2010-3333）的漏洞。在此案例中，它透過特製文件檔到達（偵測為TROJ_ARTIEF.LWO）。這個木馬程式會植入並執行BKDR_PLUGX.SME，它接著會植入以下檔案：

所有使用者的%User Profile%\Gf\NvSmart.exe – 一個正常的NVIDIA檔案（NVIDIA Smart Maximise Helper Host）