標籤: APT

APT 進階持續性滲透攻擊研究報告10個懶人包

趨勢科技 TrendMicro 56 筆留言

作者：趨勢科技Nart Villeneuve （資深威脅研究員）

 

在2011年，我相信你已經聽說過RSA被入侵了，而且偷走RSA Secure ID的相關資料，然後用在後續的攻擊事件裡。除了RSA之外，還有許多其他類似的受害者。你可能也聽說過ShadyRAT，它證明了殭屍網路/傀儡網路 Botnet可以有多麼長壽，還有Nitro和Night Dragon顯示出有些攻擊者的目標會鎖定在特定產業上。

 

你大概也看過趨勢科技關於Lurid攻擊的研究報告，它說明了攻擊者對非美國的目標也是有興趣的。而更重要的是，這樣的事件應該被視為「系列攻擊」，而非獨立事件。

 

但還有些了不起的APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)相關研究可能是你所不知道的。這是我個人所排出的前11名：

部落格「Contagio Dump」和「Targeted Email Attacks」：Mila Parkour和Lotta Danielsson-Murphy已經在這方面發表過許多相關的研究報告。我們通常拿得到惡意程式碼做進一步的分析，但社交工程陷阱所用的電子郵件內容卻不容易拿到。這些部落格在目標攻擊的領域裡有許多獨特的見解。

 

 

1.      部落格CyberESI：CyberESI的團隊發表過一些變種龐大惡意軟體家族的詳細分析報告（是真的非常詳細）。在我看來，他們的分析報告為這方面的逆向工程設立了標準。

 

2.      Htran：Joe Stewarts在Htran方面的研究成果被ShadyRAT研究報告的光芒給掩蓋了，但我認為這是今年最具有創新性的一份研究報告，因為它著眼在根本問題，尋找攻擊來源IP以找出幕後攻擊者的實際位置。

 

3.      「透過對系列攻擊的分析來啟動智慧型電腦網路防禦系統」：Hutchins，Cloppert和Amin說明如何追蹤一次攻擊的多個階段，並將多次事件串成一次「系列攻擊」。這是任何想要追蹤APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)的人都不可不看的報告。

 

4.      「1.php」: 這份來自Zscaler的報告，對一次特定的系列攻擊及所用的命令與控制基礎架構（C＆C）做出徹底的解構和分析，並且在結論裡提出了確實可行的防禦方法。另外，它對於在這方面的資訊披露也提出了相當獨到的見解。

 

5.      APT解密在亞洲：Xecure在今年的黑帽大會上展示他們對惡意軟體以共同屬性作群集分類的研究。我真的很喜歡他們在群集分類上所下的功夫，還有他們所提出的名詞「NAPT（非進階持續性威脅）」。 繼續閱讀

趨勢科技發表2012資安關鍵十二大預測

趨勢科技 TrendMicro

 

企業高敏度資料與行動資安防護備受注目

APT、 BYOD、Mobile apps則成資安三大關鍵戰場

 【2012 年 1 月 4 日，台北訊】全球雲端資訊安全領導廠商趨勢科技(東京證券交易所股票代碼：4704) 今日發表新年度企業展望，並針對2012資安市場發布「資安關鍵十二大預測」(12 Threat Predictions for 2012)。趨勢科技2011年在雲端資安布局已有顯著成效，不僅在個人消費性及企業資安市場榮登雲端資安市占率第一名的寶座，在行動裝置安全亦有完整的布局。而針對2012年的整體威脅上，預測中指出資料安全保護已成為資安的關鍵主戰場，不論個人或企業皆須跳脫傳統單純防毒思維，進一步思考防護私密資料的重要性。

 趨勢科技台灣及香港區總經理洪偉淦表示：「隨著智慧型手機市場日益擴大以及平板電腦的銷售量不斷提升，行動資安已是消費者不容忽視的重點議題。因此行動安全將是趨勢科技2012年消費性資安防護的頭號重點。」另一方面，透過社交工程手法展開攻擊以竊取個資牟利亦為消費者需持續防範的駭客手法。

 而在企業端方面，趨勢科技特別指出由於企業建構虛擬化環境逐漸普及，並伴隨使用行動裝置的普及率升高，在使用雲端資訊流存取的快速及方便之時，如何建立有效保護資料的安全架構將為IT 系統管理員最迫切的挑戰。洪偉淦進一步說明：「在2011年網路犯罪者對大型企業的客製化APT攻擊 (Advanced Persistent Threat , APT) 已有數起案例，預期今年將會越演越烈，而擁有機密資料的中小企業也將成為APT攻擊的目標，中小企業主不可不防。。而隨著個資法施行細則於2011年11月上路，趨勢科技也將盡全力協助企業客戶做好周全防護！」

 

資料是駭客的目的 也是資訊安全架構的防護重心

趨勢科技同步提出「2012 關鍵12 資安威脅預測」報告，主要分為IT趨勢預測、行動運算、威脅情勢，以及資料外洩與資安事件等四大面向。

 

  • IT趨勢預測：實體、虛擬與雲端等系統的保護工程日趨複雜將是IT人員的最大挑戰

雖然針對虛擬機器 (VM) 與雲端服務攻擊的專門手法已存在，但網路犯罪者在攻擊虛擬或雲

端平台時，多數仍採用傳統實體攻擊手法，因為虛擬和雲端平台易被攻擊卻更難防護，採用

虛擬與雲端此纇新技術的同時，如何妥切保護公司機密資料是IT人員的最大挑戰。

  • IT趨勢預測：資安與資料外洩事件將迫使全球企業在2012年正視使用者個人裝置 (BYOD)盛行， 對資訊安全維護的挑戰

個人裝置 (Bring-Your-Own-Device，簡稱 BYOD) 的時代已經來臨。隨著更多企業資料透過這

些裝置來存取或儲存，IT人員無法管理這些裝置，或是這些裝置未受到充分保護，恐導致資

料外洩的事件不斷增加，預期2012企業將被迫重視個人裝置的管理，尋找資料保護最佳的因

應之道。

  • 行動運算：行動裝置應用程式(Mobile APPs)的安全漏洞，將成為網路犯罪者竊取資料的管道

在2011年以前行動裝置平台的威脅大多是以惡意程式的型態出現。趨勢科技預料從2012年起，網路犯罪者將鎖定正常的行動裝置應用程式，尋找可能導致資料外洩的安全漏洞，進行個資竊取的不法行為。

  • 資料外洩與資安事件：駭客團體數量將持續增加，對擁有高度敏感資料的企業是更大威脅

2011 年 ，Anonymous 和 LulzSec 等駭客團體突然竄起，專門鎖定個別企業及個人發動含有政

治意圖的攻擊行動。趨勢科技預測這類團體在 2012 年將更活躍，並透過更高的技巧滲透企業

內部，以躲避 IT 人員和執法機關偵查，達成其攻擊目的。

  • APT攻擊將加劇且愈趨頻繁，中小企業成為駭客鎖定攻擊之目標

2011年政府與大型企業遭受進階持續性威脅（Advanced Persistent Threat, APT）攻擊時有所聞，最大的威脅與挑戰在於駭客透過社交工程手法突破資安防線，藉以滲透並擴大攻擊範圍，竊取機密資訊。趨勢科技提醒APT攻擊將不斷的進化，擁有重要智慧財產權與掌握客戶個資的中小企業也與大型企業同樣面臨資訊安全危機。 繼續閱讀

2011 金毒獎【得獎名單】與【得獎理由】

趨勢科技 TrendMicro

趨勢科技公佈的 2011 年「金毒獎」，這項趣味性的獎項，提供網友輕鬆認識網路毒駭的新趨勢。現在直接來看”金毒獎”名單: 

  

獎項 得獎者 得獎理由： 歷年參考案例
導演獎 APT-進階持續性滲透攻擊 遠端指揮若定,行騙各大機構,長期臥底,暗度陳倉,偷渡機密資料,顯少失手 專偷商業機密的Nitro 目標攻擊背後的意義進階持續性威脅LURID: 入侵了61個國家1465台電腦,包含外交等單位現在是在駭什麼？從近日Sony 花旗等大公司被駭談駭客史 
女主角獎 災難詐騙 演技楚楚動人, 賺人熱淚 ,善款黑心殺手 <黑心騙愛心>日本大地震惡意臉書專頁地震防災守則之一:別被搜尋結果下毒了海地賑災捐款出現網路詐騙
男主角獎 假防毒軟體 虛情假意,賣力演出, 歷久不衰 假Facebook 密碼更新通知信，內有”假掃瞄，真騙錢”木馬假防毒軟體聲稱是Windows自動化更新,可安裝Windows XP的更新
人氣獎 社群網路詐騙 交遊廣闊,人氣製造機(=犯罪集散地)  “紀念賈伯斯,蘋果決定贈送1000 台 iPad,是臉書詐騙 !看看誰最常看你的 Facebook個人檔案？ 日本大地震黑心詐騙紛出籠,假新聞,假募款,假臉書分享… 
觀眾票選最佳影片 社交工程陷阱 一切都是觀眾自己的選擇
(一個巴掌拍不響 好奇心比駭客工具更省事)		 不要再點選 COSTCO 卡片了是騙局 lady Gaga的臉書和 Twitter 被駭,駭客張貼送 ipad 的連結超過 10 萬人點選拍賣網站的 iPhone 4S 新年特價超便宜?!拆穿假購物網站的四個破綻
最佳替身演員 惡意關鍵字搜尋結果
Black SEO黑帽搜尋引擎優化		 張冠李戴
每一筆意外的搜尋結果 都可能導致電腦出生入死		 個人資料沒有企業資料有吸引力？使用搜尋引擎，當心一下”指”就個資外洩
Google 閱讀器出現冒牌貨，荼毒社交網站用戶
不只上網找[免費防毒]會遇到假毒軟體!!
最上版面獎 資料外洩 免費上頭條
版面殺手有兩種：春光外洩、資料外洩。前者是B咖女星常用的招數，後者是企業最不想要的曝光方式。		 SK Comms 資料外洩事件使南韓當地企業開始提高其安全預算
Epsilon 資料外洩事件後,談個人 email 電子郵件安全從全球最大e-mail行銷公司遭駭談受害者的因應之道 
最佳女配角 不明連結 戲份不多 但保證搶版面
(短一行連結不佔版面，卻會駭到你)		 賓拉登死去活來? 賓拉登處決影片?小心夾帶惡意連結散播車禍現場影片惡意連結
最佳男配角 就業詐騙  低調不搶戲份,幕後”閱”人無數 忠實呈現求職者身分, 個資準確度百分百,錢途無量 不景氣找工作當心偽造的就業網站
行腳節目獎 手機病毒 一手掌握,病毒帶著走 日本色情業者利用行動條碼（QR Code）誘騙付費Android智慧型手機的惡意程式，半年內增加14.1倍Android木馬應用程式 :木馬幫你手機申購加值服務Android app 惡意程式：愛情測試、電子書閱讀器、GPS 定位追蹤等應用程式夾帶病毒
 

  繼續閱讀

＜APT進階持續性威脅＞經由Email 發送的＂員工滿意度調查＂PDF檔案含SYKIPOT，展開目標攻擊行動

趨勢科技 TrendMicro
 

 又有一起APT進階持續性威脅（Advanced Persistent Threats, APT）（註）

上禮拜所報導的Adobe Reader零時差漏洞（CVE-2011-2462）已經被用在從11月開始的目標攻擊。惡意PDF檔案經由電子郵件發送給目標，而郵件內文還會引誘目標去打開看似員工滿意度調查的惡意附件檔。一旦開啟之後，惡意軟體BKDR_SYKIPOT.B就會被安裝到目標的電腦上。已知的受害目標包括美國國防工業和政府部門。

              APT 進階性持續威脅:目標攻擊常用媒介之給員工的信件

目標攻擊通常是有組織有計劃的攻擊行動。這攻擊行動是從對各個目標做一連串攻擊開始，然後持續一段時間，並不是各自獨立的「破壞搶奪」攻擊。雖然每個單一事件的資料可能都不完整，但時間久了，我們也就能把每塊拼圖給組合起來（攻擊媒介、惡意軟體、工具、基礎網路架構、目標），就會對一次的攻擊行動有了全盤的了解。

 Sykipot攻擊行動在這幾年來已經有了許多名稱，它的歷史可以被追溯到2007年，甚至是2006年。

 一次跟這次類似的攻擊發生在2011年9月，它利用美國政府醫療給付文件做誘餌。而這次攻擊利用了Adobe Reader的零時差漏洞（CVE-2010-2883）。在2010年3月，則是利用Internet Explorer 6的零時差漏洞。所以在過去兩年內就用了三次零時差攻擊。

 其他的攻擊還發生在2009年9月，利用漏洞CVE-2009–3957加上跟國防會議有關的資料，和使用一個著名的智囊團身份當做誘餌。在2009年8月，另外一次針對政府員工的攻擊用應急應變管理的劇情跟聯邦緊急事務管理總署（Federal Emergency Management Agency，FEMA）的身分當做誘餌。而這次攻擊裡所使用的命令和控制（Command and Control，C＆C）伺服器也被用在2008年的攻擊裡。

 最後，則是發生在2007年2月的攻擊，它利用惡意Microsoft Excel檔案漏洞（CVE-2007-0671）來植入惡意軟體，這惡意軟體的功能跟BKDR_SYKIPOT.B很像，所以也很有可能是它的前身。而這次攻擊中所使用的C＆C伺服器的歷史則可以追溯到2006年。  繼續閱讀

什麼是 APT 攻擊/進階持續性威脅 (Advanced Persistent Threat, APT)？

趨勢科技 TrendMicro

什麼是 APT？簡單的說就是針對特定組織所作的複雜且多方位的網路攻擊。

APT 進階持續性滲透攻擊(Advanced Persistent Threat, APT)可能持續幾天，幾週，幾個月，甚至更長的時間。APT攻擊可以從蒐集情報開始，這可能會持續一段時間。它可能包含技術和人員情報蒐集。情報收集工作可以塑造出後期的攻擊，這可能很快速或持續一段時間。

例如，試圖竊取商業機密可能需要幾個月有關安全協定，應用程式弱點和文件位置的情報收集，但當計畫完成之後，只需要一次幾分鐘的執行時間就可以了。在其他情況下，攻擊可能會持續較長的時間。例如，成功部署Rootkit在伺服器後，攻擊者可能會定期傳送有潛在價值文件的副本給命令和控制伺服器（C&C Server）進行審查。

本片為APT 攻擊(Advanced Persistent Threats) 真實案例改編,為了全方面了解目標攻擊對象,駭客鎖定目標攻擊者的財務狀況、 社交活動等細節,還要列出所有部們和員工名單,甚至要知道員工會不會在網路上討論老闆。當然網路的邊界防禦措施和對外的網路連線系統,是必要的調查條件。

 —————————————————————————————–

 企業面對不斷演變的資安威脅環境。其中一項最大的挑戰就是APT進階持續性滲透攻擊（Advanced Persistent Threats, APT）它是針對特定組織所作出複雜且多方位的攻擊。要減輕APT的風險需要比傳統的多層次防禦更先進的作法，包括即時威脅管理。本綱要系列介紹APT的性質，它們對企業所構成的風險，以及如何去封鎖、偵測並遏制APT和其他新威脅的技術。我們先從實務面來評估APT的性質，大綱如下：

  •  今天APT的性質
  • 不斷變化的資安威脅環境
  •  APT的要素
  •  不斷變化的企業運作，讓問題更加複雜
  • 評估控制和減輕APT風險的可能性

很顯然地，資安威脅環境變得越來越具有挑戰性。對於資訊系統進行攻擊的動機和方法正在發生變化。有決心有毅力的攻擊者正運用著多種手段去打破安全控制。企業需要透過多種安全控管來做應對，包括即時監控和快速遏制措施。

今天的APT

APT是針對一個特定組織所作的複雜且多方位的網路攻擊。不管是就攻擊者所使用的技術還是他們對於目標內部的了解來看，這種攻擊是非常先進的。APT可能會採取多種手段，像是惡意軟體，弱點掃描，針對性入侵和利用惡意內部人員去破壞安全措施。

APT是長期且多階段的攻擊。

APT攻擊的早期階段可能集中在收集關於網路設定和伺服器作業系統的的詳細資訊，接著，精力會放在安裝Rootkit或其他惡意軟體去取得控制權或是跟命令與控制伺服器（C&C Server）建立連線。再下來的攻擊可能集中在複製機密或是敏感數據來竊取知識產權。

  重要的是要明白，APT不是一種新的攻擊手法，也不是可以藉由阻止或破壞一次攻擊就讓問題消失。APT可以被視為更像是一個網路攻擊活動而不是單一類型的威脅;可以想成是進行中的過程。防毒程式可能會阻止APT攻擊所使用的惡意軟體，但並不意味著停止攻擊。就其性質而言，一個APT是一段持續的攻擊。如果一個戰術行不通，就會再嘗試另外一個。實際上，我們不應該只去思考單一對策，或只是在多層次安全策略上增加更多防禦層，相反的，我們應該思考將其他例子中可能用來攔截、偵測和遏制的各種方式都組合起來。現在，很合理的我們會想問，要如何做到這一點？

繼續閱讀