目標攻擊 - 資安趨勢部落格

什麼是魚叉式網路釣魚 (Spear Phishing )？

2016 年 01 月 04 日2022 年 06 月 06 日趨勢科技 TrendMicro

一起鎖定某跨國企業法務部門三名員工的「魚叉式網路釣魚(Spear Phishing)」郵件能逞嗎?

針對性攻擊要能成功，很重要的一點是歹徒必須根據受害者的防禦機制而調整及改進其攻擊方法,其中包含「魚叉式網路釣魚(Spear Phishing)」

魚叉式網路釣魚通常鎖定特定個人或某機構的特定員工及其社群媒體帳號 (如 Twitter、Facebook 和 LinkedIn)，它們會精心製作出很有說服力的電子郵件內容，並且在電子郵件當中挾帶可造成感染的附件檔案和連結。一旦開啟檔案或連結，就會執行惡意程式或將使用者導向某個網站。接下來，駭客就能建立其祕密通訊網路，然後朝攻擊的下一階段邁進。

》魚叉式網路釣魚 (Spear Phishing )是勒索軟體 Ransomware攻擊企業的主要手法

》醫療保險公司 Anthem Inc. 大規模資料外洩的主因:魚叉式網路釣魚 (Spear Phishing )

》南韓爆發最大駭客攻擊事件因魚叉式網路釣魚 (Spear Phishing )而起

》91％的APT 目標攻擊來自:魚叉式網路釣魚 (Spear Phishing )

檢視「防範魚叉式網路釣魚：保護電子郵件如何能夠防止針對性攻擊」

2015年稍早，醫療保險公司 Anthem Inc. 發出聲明表示自己發生了一起大規模的資料外洩，導致 8,000 萬名客戶受到影響。根據媒體報導，駭客經由一項精密的針對性攻擊/鎖定目標攻擊(Targeted attack ) 取得了進入 Anthem 公司 IT 系統的權限，進而竊取系統上儲存的個人資料。有些人對於企業資料外洩事件或許略知一二，但很少有人知道實際發生的經過以及網路犯罪集團所用的手法。

在所謂的「針對性攻擊/鎖定目標攻擊(Targeted attack ) 」當中，駭客必須擁有相當高的專業技能以及充裕的資源來進行這類長期的計謀。針對性攻擊要能成功，很重要的一點是歹徒必須根據受害者的防禦機制而調整及改進其攻擊方法。

駭客會利用各種最新時事、業務相關內容，以及攻擊目標可能有興趣的資訊來從事社交工程（social engineering ）攻擊。此外，後門程式、零時差或軟體漏洞攻擊、水坑式攻擊、魚叉式網路釣魚等等，也是歹徒經常用來竊取資訊的技巧。

雖然一般的網路釣魚（Phishing）和魚叉式網路釣魚所使用的技巧類似，但兩者之間還是有所差別。網路釣魚基本上是一種針對大量目標的亂槍打鳥式攻擊，但魚叉式網路釣魚則是專門針對特定目標。兩者的差異在於，一般的網路釣魚（Phishing）相對單純，歹徒一旦偷到受害人的資料 (如網路銀行登入資訊)，就算達到目的。但對於魚叉式網路釣魚來說，取得登入資訊或個人資訊通常只是攻擊的開端，這是歹徒進入目標網路的手段，只能算是的跳板而已針對性攻擊/鎖定目標攻擊(Targeted attack ) 。

何謂魚叉式網路釣魚攻擊？

前面提到，魚叉式網路釣魚是專門針對特定對象的網路釣魚（Phishing），其對象通常是某個機構，其最終目標是取得機密資訊，其技巧則包括：假冒他人名義、使用迷人的誘餌、避開安全機制 (如電子郵件過濾及防毒) 等等。預算和一般網路釣魚（Phishing）的都會誘騙目標對象開啟郵件中的附件檔案或點選郵件中的連結。繼續閱讀

針對性攻擊/鎖定目標攻擊(Targeted attack ): 了解你要面對什麼樣的攻擊 !!

2015 年 10 月 29 日2015 年 11 月 03 日趨勢科技 TrendMicro

幾年前如果公司發生資安事件，系統管理員或是中階主管將被追究責任甚至解僱。現在是資訊長和資訊安全長會因為資料外洩事件而被解僱。公司現在認真看待這件事是好事，但如果你是資訊長或資訊安全長，這對你來說可能就不大妙了。

每當人們想到「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）和針對性攻擊/鎖定目標攻擊(Targeted attack )，都不禁要問：是誰做的？他們想要什麼？雖然這些問題都很有意思，我們認為更重要的是要問：關於攻擊者的哪些資訊可以更好的幫助企業保護自己？

讓我們從網路管理者捍衛自己組織的觀點來看這件事情。如果有人想確認誰是攻擊自己組織的幕後黑手，第一步或許會用IP地址來嘗試鎖定攻擊者的位置。但是，就好比追查攻擊追到位在韓國的網頁伺服器。有什麼理由說服我們攻擊者並沒有同時入侵了這伺服器？是什麼讓你認為網站負責人會配合你進行調查？

在複雜的攻擊中，常常可以看到攻擊者從一台被入侵機器連到另一台。你可以嘗試盡可能的追查下去，但幾乎很難追查到關於攻擊者的蛛絲馬跡。我們真的沒辦法取得像情報單位那樣多關於攻擊者的資料。我們可以使用開放的資料庫但有其極限。有時攻擊者會犯錯 – 在這時候我們可以討論他們是誰，他們針對誰等等。但如果你需要防護組織，就不能指望這一點。

了解你要面對什麼樣的攻擊

這不是說你該完全忽略誰在攻擊你。而是不管他們是誰，更加重要的是他們會做什麼。比方說，如果有人用任何腳本小子(script kiddie)都可以從網路上取得的工具來攻擊你，這可能並非嚴重的威脅。如果有人用新的漏洞和精心設計的惡意軟體來攻擊你，那就要注意了。繼續閱讀

< APT 攻擊 > ” 有本事就來抓我啊~” 駭客平均躲藏天數 205 天

2015 年 08 月 07 日2015 年 08 月 10 日趨勢科技 TrendMicro

APT 駭客如何在你周圍四處遊走而不被發現

曾經遭遇資料外洩駭客事件的企業，通常都有一個同樣的疑惑：「駭客是如何在我的環境當中長期躲藏而不被發現？」根據 Mandiant 的一份報告，在所有資料外洩事件當中，駭客平均躲藏的天數是 205 天。每一起資料外洩駭客事件背後都有一位或多位主謀，而且現在越來越難逮到這位幕後的主謀。

APT攻擊駭客團體特別擅長隱匿行蹤

在所有駭客攻擊當中，最有能力在企業網路內部四處躲藏及遊走的，應該是「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）。這些攻擊之所以被稱為「進階」，是因為駭客運用了零時差漏洞；之所以能夠「持續滲透」，是因為駭客有著強烈的動機。其高超的技巧，對全球的企業來說都是一項嚴重威脅。這些APT攻擊駭客團體就如同一般的犯罪集團一樣，有著組織性犯罪的特質，而且特別擅長隱匿行蹤。

他們有統一的指揮管道，而且要擒拿這些行動背後的首腦相當困難，尤其是當他們躲藏在國外的時候。事實上，許多政治取向的APT攻擊團體通常都有政府在背後支援，而這些政府當然不可能配合執行違反其意志的政策。即使我們可以從攻擊行動所使用的網址來追溯到某個地區，但該網址註冊的 DNS 和 IP 服務廠商通常也不願配合國外的執法機關，因為他們向來聽命於當地政府。正因如此，那些由政府在背後撐腰的駭客，就能一再發動惡意攻擊而不會遭到任何懲罰。在低風險、高報酬的條件下，他們會不斷從過去的失敗當中記取教訓，因此每一次都比上一次的行動更加小心謹慎。

APT攻擊共有六個階段，每一階段由一組專門的駭客負責

有一點很重要是我們必須知道的，企業網路內的橫向移動只是APT攻擊的其中一個階段而已。事實上，典型的APT攻擊共有六個階段：(1) 情報蒐集、(2) 突破防線、(3) 幕後操縱 (C&C)、(4) 橫向移動、(5) 搜尋資產、(6) 資料外傳。有組織的APT攻擊團體通常會將工作依照行動階段來分工合作，每一階段由一組專門的駭客負責，並有其獨特的工具和技巧。這樣的作法在大型犯罪集團已行之有年，目前也開始運用到網路犯罪領域。

人們通常會過於執著在技術上的細節，而忘了其實 APT攻擊團體跟傳統非電腦犯罪的專業集團有許多相似之處。就以持槍搶劫銀行的例子來說，不同的搶匪會依據個人的專長而分別擔任不同的工作，藉此提高行動的速度和效率。同樣的策略應用到 APT攻擊，其效果甚至更好，因為這樣可以讓不同階段之間彼此不互相重疊，如此一來，系統管理員在事後分析網路時就無法察覺其不同階段之間的關聯。雖然APT攻擊行動的每一個階段都是達成最後目標的關鍵，但仍有些階段所占的比重較高。

駭客會在整個網路上設置多個不同的後門，以便能夠輕易進出目標網路

第四階段的橫向移動需要隱密和觀察的技巧。這階段需要同時具備社交工程（social engineering ）技巧與駭客能力，才能在目標環境當中迅速移動而不被察覺。橫向移動對於安排最後資料外傳階段的布局至關重要。不斷地在不同端點裝置之間移動，可以讓駭客完整掃瞄整個網路，並且找到最珍貴的資料。此外，這個階段通常需要一直不斷重覆，因此，駭客會在整個網路上設置多個不同的後門，以便能夠輕易進出目標網路，必要時進一步竊取更多資料。

企業通常會有系統管理員和資安軟體來持續監控內送及外送網路流量，因此，歹徒的 C&C 機制必須融入目標網路才行。想要暗藏在網路流量當中偷偷進出企業，歹徒必須結合惡意程式、駭客技能以及進階社交工程技巧。歹徒不只要知道如何駭入，還要知道何時駭入。大型的犯罪集團會在發動攻擊之前，先對目標進行長期的觀察和研究。為了使 C&C 伺服器不讓人起疑，駭客通常會使用一般常見的 IT 工具，如「PSExec」(一個用來取代 telnet 的遠端執行工具) 來執行其檔案，並在企業的營業時間連上 C&C 伺服器，如此，其網路連線才不會讓人起疑。除此之外，駭客還會利用惡意程式來將其連線偽裝成 HTTP 或 HTTPS 通訊以隱藏其行動，因為系統管理員不可能有時間檢查每一個觀察到流量，而資安軟體通常也無法偵測零時差攻擊。繼續閱讀

< 病毒警訊 > 針對銀行及金融機構的目標式攻擊—Carbanak的防護策略

2015 年 02 月 25 日2015 年 02 月 26 日趨勢科技 TrendMicro

趨勢科技於上週稍早收到一份最新的目標式攻擊報告（攻擊活動命名為Carbanak），此波攻擊事件主要針對銀行，使駭客能夠滲透公司網路修改銀行相關紀錄從而竊取高額鉅款。根據報告指出，攻擊者能夠滲透100間位於不同國家的銀行，包括：俄羅斯、德國、中國、烏克蘭、美國。

Carbanak攻擊事件讓我們重新檢視銀行業所面臨的威脅，此類型的威脅雖然不會以釣魚信件或是網銀惡意程式直接攻擊使用者，但是仍然十分危險。銀行本身的內部網路十分複雜，但卻握有十分重要的資料，因此成為網路攻擊的絕佳目標。

下面我們列出了部分Carbanak攻擊手法：

寄送魚叉式網路釣魚信件給員工，信件內含漏洞CVE-2012-0158、CVE-2013-3906、CVE- 2014-1761，或是在信件內夾帶惡意CPL檔案。
不論是攻擊漏洞或是直接執行惡意CPL檔案，都會植入Carbanak惡意程式到作業系統中。Carbanak本身是一個後門程式，可以執行各種指令，包括：鍵盤側錄程式、擷取螢幕快照、檢查某些特定銀行應用程式（例如銀行轉帳軟體）。
駭客透過遠端管理工具利用Carbanak在內網中流竄直到找到可進行銀行交易的目標電腦為止，一旦成功入侵目標電腦，透過錄影方式記錄受害者銀行的交易流程，待竊取到所需資訊後，駭客即可進行銀行交易竊取金錢而不被發現。

繼續閱讀