惡意郵件利用西藏事件作誘餌來進行目標攻擊
就是這些信,讓日印藏被駭
1.印度軍事企業收到1封關於導彈防衛系統
2.西藏運動組織收到有關自焚的新聞
3.日本企業在311地震後收到關於輻射觀測報告。
相關報導:日印藏網諜活動 陸駭客有關聯
趨勢科技最近分析了一連串利用熱門社會政治議題來發送給特定使用者的電子郵件。其中一個跟德國總理對在西藏拉薩的抗議活動所做的發言有關。寄件者欄位顯示這封信來自澳洲西藏委員會（ATC，Australian Tibet Council）裡的重要人物。不過這封電子郵件當然是偽造的，電子郵件地址也是剛剛才建立用來假冒ATC人員。它還包含了一份聲稱跟發言相關的DOC檔案。一旦下載這個被偵測為TROJ_ARTIEF.AE的檔案，它會攻擊微軟Word的一個漏洞（CVE-2010-3333），接著產生被偵測為TSPY_MARADE.AA的檔案。一旦TSPY_MARADE.AA被執行起來，就會收集網路和系統資訊，再將這些偷來的資料上傳到惡意網站。
是時候讓企業將他們原有的安全策略揉掉丟進垃圾桶了，因為傳統保護企業資料的方法已經不再足夠有效了。越來越多前所未見、更加複雜的攻擊會突破企業網路的防護，也突顯了現代化做法和新方案的必要性。
總而言之，由於對網際網路的依賴越來越重，舊的資料安全做法已經失去效用。網路犯罪分子已經大規模的轉移到網頁上，利用著每一個可能的漏洞。
根據最近一份來自資訊安全論壇（Information Security Forum，ISF）的報告，上述變化對許多組織都有嚴重的影響。
「企業領導人看到了網路所帶來的龐大商機和好處，能夠去增加創新能力、協作能力、生產力、競爭力跟顧客參與。他們會繼續想辦法去利用這些機會。」ISF執行長 – Michael de Crespigny說道：「但是很多人並沒有準確地去判斷風險與報酬的關係，沒有準備好去接受可能的壞處，也不了解這些好處其實也伴隨著重大的風險。」
每當有名人的訊息，像是惠尼休斯頓的死訊出現在新聞上，我們就會看到Black SEO黑帽搜尋引擎優化（BlackHat SEO）攻擊或其他網路犯罪活動利用這些消息來散佈惡意軟體。但最近有個目標攻擊吸引了我們的注意。這次被用來當做誘餌的是林書豪，NBA的明星，他在紐約尼克隊的出色表現引起了國際的關注。他最近出現在時代雜誌的封面上，標題就是簡單的「Linsanity（林來瘋）」。
一個被趨勢科技偵測為TROJ_ARTIEF.LN，檔名為「The incredible story of Jeremy Lin the NBA new superstar.doc（NBA超級新星林書豪令人難以相信的故事）」的惡意文件開始蔓延。它利用微軟Office的一個漏洞（CVE-2010-3333）將惡意軟體放入目標的電腦上。這個惡意軟體被趨勢科技偵測為BKDR_MECIV.LN。一旦弱點攻擊成功，就會打開一份乾淨的文件，好讓目標不去懷疑有任何惡意行為的發生。趨勢科技表示近年APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)越來越頻繁。當目標收到一封電子郵件，誘導受害目標打開附加檔案。這個攻擊者所附加的檔案包含了惡意程式碼，可以去攻擊常用軟體的漏洞。攻擊者在惡意軟體裡嵌入了一個獨特的識別特徵以供監視,這樣就可以讓攻擊者獲得電腦的控制權，並且取得資料。攻擊者可能會接著去入侵目標所處的整個網路，而且通常可以保持長時間的控制受害者的電腦。最終，攻擊者會找到並且取得受害者所處的網路內部的敏感資料。
這次攻擊事實上是趨勢科技去年所報告入侵了61個國家1465台電腦,包含外交等單位的LURID攻擊活動（通常也被稱為Enfal）的一部分。它的受害者主要出現在東歐和中亞。而林來瘋攻擊則持續了這一攻勢。
趨勢科技解譯了被送回殭屍網路/傀儡網路 Botnet指揮和控制伺服器的資訊：
[host name]:[mac address]
[ip address]
windows xp
1252:0409
tt
tb0216
n
n
n
2.14
這個資訊包含了主機名稱、MAC地址和受害者的IP地址，還有作業系統跟語系設定。此外它還包含了攻擊代碼「tb0216」，好讓攻擊者可以追蹤他們的攻擊活動。在這次的案例中，攻擊代碼包括了攻擊日期「0216」和「tb」。
和趨勢科技對LURID攻擊的報告所指出的一樣，這次攻擊還針對了前蘇聯的國家。在2012年2月8日，趨勢科技發現了另一起攻擊針對東歐的政府辦公室。
什麼是 APT？簡單的說就是針對特定組織所作的複雜且多方位的網路攻擊。
認識 APT
以往駭客發動的APT攻擊雖然以政府為主，但從2010年開始企業成為駭客鎖定竊取情資的受駭者越來越多，2011年幾個世界性的組織在目標攻擊下淪陷，付出了昂貴的成本。RSA和Sony是 2011年最大的兩個APT攻擊 (Advanced Persistent Threat)的目標。幾個世界性的組織在目標攻擊下淪陷，付出了昂貴的成本。他們失去了數百萬客戶的資料，光是完成修復就花費了鉅資。
APT 攻擊的特色:
【鎖定特定目標】針對特定政府或企業，長期間進行有計劃性、組織性竊取情資行為,可能持續幾天，幾週，幾個月，甚至更長的時間。
【假冒信件】針對被鎖定對象寄送幾可亂真的社交工程惡意郵件，如冒充長官的來信,取得在電腦植入惡意程式的第一個機會。
【低調且緩慢】為了進行長期潛伏,惡意程式入侵後,具有自我隱藏能力避免被偵測,伺機竊取管理者帳號、密碼。
【客製化惡意元件】攻擊者除了使用現成的惡意程式外亦使用客制化的惡意元件。
【安裝遠端控制工具】攻擊者建立一個類似殭屍網路/傀儡網路 Botnet 的遠端控制架構攻擊者會定期傳送有潛在價值文件的副本給命令和控制伺服器（C&C Server）審查。
【傳送情資】將過濾後的敏感機密資料，利用加密方式外傳
APT 進階持續性滲透攻擊 (Advanced Persistent Threat, APT)可能持續幾天，幾週，幾個月，甚至更長的時間。APT攻擊可以從蒐集情報開始，這可能會持續一段時間。它可能包含技術和人員情報蒐集。情報收集工作可以塑造出後期的攻擊，這可能很快速或持續一段時間。
例如，試圖竊取商業機密可能需要幾個月有關安全協定，應用程式弱點和文件位置的情報收集，但當計畫完成之後，只需要一次幾分鐘的執行時間就可以了。在其他情況下，攻擊可能會持續較長的時間。例如，成功部署Rootkit在伺服器後，攻擊者可能會定期傳送有潛在價值文件的副本給命令和控制伺服器（C&C Server）進行審查。
——————————————————————————————-
企業面對不斷演變的資安威脅環境。其中一項最大的挑戰就是APT進階持續性滲透攻擊（Advanced Persistent Threats, APT），它是針對特定組織所作出複雜且多方位的攻擊。要減輕APT的風險需要比傳統的多層次防禦更先進的作法，包括即時威脅管理。本綱要系列介紹APT的性質，它們對企業所構成的風險，以及如何去封鎖、偵測並遏制APT和其他新威脅的技術。我們先從實務面來評估APT的性質，大綱如下：
很顯然地，資安威脅環境變得越來越具有挑戰性。對於資訊系統進行攻擊的動機和方法正在發生變化。有決心有毅力的攻擊者正運用著多種手段去打破安全控制。企業需要透過多種安全控管來做應對，包括即時監控和快速遏制措施。
今天的APT
APT是針對一個特定組織所作的複雜且多方位的網路攻擊。不管是就攻擊者所使用的技術還是他們對於目標內部的了解來看，這種攻擊是非常先進的。APT可能會採取多種手段，像是惡意軟體，弱點掃描，針對性入侵和利用惡意內部人員去破壞安全措施。
APT是長期且多階段的攻擊
APT攻擊的早期階段可能集中在收集關於網路設定和伺服器作業系統的的詳細資訊，接著，精力會放在安裝Rootkit或其他惡意軟體去取得控制權或是跟命令與控制伺服器（C&C Server）建立連線。再下來的攻擊可能集中在複製機密或是敏感數據來竊取知識產權。
重要的是要明白，APT不是一種新的攻擊手法，也不是可以藉由阻止或破壞一次攻擊就讓問題消失。APT可以被視為更像是一個網路攻擊活動而不是單一類型的威脅;可以想成是進行中的過程。防毒程式可能會阻止APT攻擊所使用的惡意軟體，但並不意味著停止攻擊。就其性質而言，一個APT是一段持續的攻擊。如果一個戰術行不通，就會再嘗試另外一個。實際上，我們不應該只去思考單一對策，或只是在多層次安全策略上增加更多防禦層，相反的，我們應該思考將其他例子中可能用來攔截、偵測和遏制的各種方式都組合起來。現在，很合理的我們會想問，要如何做到這一點？ 繼續閱讀
去年，資訊安全廠商接獲一連關於「Nitro Attack」 此 APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)通報。它所採用的後門程式為 PoisonIvy，亦稱 BKDR_POISON。網路上可以找到此後門程式的產生器。當時，資訊安全場商已採取反制措施來協助客戶對抗這項威脅並防範未來類似的感染。但是，從最近發現的一些匿蹤機制來看，對抗該惡意程式的戰鬥尚未結束。
當趨勢科技第一次分析這個惡意下載程式時，原本以為它沒有什麼驚人之處。它是一個由 Visual Basic 編譯出來的執行檔案，所做的事情不過就是透過 HTTP GET 來開啟某個 HTML 網頁。
當趨勢科技透過瀏覽器連上該網頁時，表面上看起來也是一個無害的網頁，但是經過詳細解碼之後裡面卻大有文章。
如同微軟所指出，此惡意下載程式有別於其他程式。它不會下載二進位檔案來執行，但它會執行已下載檔案當中看似無害的一些代碼。要達成此目的，惡意程式會將文字內容轉成可執行的程式碼，然後呼叫 DllFunctionCall 來執行。
而它所執行的程式碼其實就是 BKDR_POISON 惡意程式家族的變種，此惡意程式家族涉及了去年多起鎖定特定目標攻擊。
BKDR_POISON 背景簡介
BKDR_POISON 惡意程式家族亦稱為 PoisonIvy (毒藤)，已經在網路上肆瘧多年。原因是它的產生器很容易使用，而且可從其網站免費下載。其自動啟用機制以及 mutex 和惡意檔案名稱皆可透過產生器輕易設定，因此，每一個產生出來的樣本，其行為可能不盡相同。
BKDR_POISON 的後門程式功能包括：鍵盤側錄、聲音/影像側錄、畫面擷取、處理程序和服務管理，檔案存取或上傳、以及其他等等。簡而言之，它基本上可讓其使用者完全存取受感染的系統。
此外，BKDR_POISON 也很容易整合至其他惡意程式，因為其後門程式產生器也提供了選項讓使用者產生一段 shellcode 攻擊程式碼，而非完整的執行檔。
在前述的 Nitro Attack 惡意下載程式案例中，一旦它執行了 BKDR_POISON 的 shellcode，就能因而繼承其後門程式特性。
由於 shellcode 不像獨立的二進位執行檔可單獨偵測並分析，它必須和繼承其特性的執行檔一併分析才看得出端倪。因此，資訊安全研究人員若沒有拿到配對的 shellcode 和執行檔 (例如，執行檔經過加密或隱藏)，那麼很可能就不會偵測到 shellcode。