APT攻擊 - 資安趨勢部落格

APT 攻擊藉由惡意PDF攻擊程式碼大量增加中

2013 年 06 月 25 日2019 年 03 月 13 日 Trend Labs 趨勢科技全球技術支援與研發中心

在2012年裡，我們看到了各式各樣的APT攻擊活動利用Microsoft Word的漏洞 – CVE-2012-0158。這是一種轉變，之前最常被利用的Word漏洞是CVE-2010-3333。雖然我們還是繼續看到CVE-2012-0158被大量的使用，不過我們也注意到惡名昭彰的「MiniDuke」攻擊所製造針對Adobe Reader漏洞 – CVE-2013-0640的攻擊程式碼使用量的增加。這些惡意PDF檔案所植入的惡意軟體和MiniDuke並無關聯，但卻和正在進行中的APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)活動有關。

Zegost

趨勢科技所發現的一組惡意PDF檔案，藏有上述漏洞攻擊碼的誘餌文章使用的是越南文，檔案名稱也是相同的語言。

這些PDF檔案內嵌著和MiniDuke攻擊活動所使用類似的JavaScript程式碼。相似之處包括了類似的函數和變數名稱。

使用Didier Steven的PDFiD工具來分析這PDF檔案，顯示出這兩個PDF檔案非常相似。雖然並非完全相同，但兩者之間的相似之處是難以否認的。有意思的地方是「/Javascript」、「/OpenAction」和「/Page」。這些地方代表著有JavaScript出現，有某種自動行為出現和頁碼。這三個項目可以幫我們確認MiniDuke和Zegost的相似之處。

繼續閱讀

《總經理看資安趨勢》被APT攻擊後，該怎麼辦？

2013 年 05 月 21 日2013 年 05 月 21 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者:洪偉淦趨勢科技台灣暨香港區總經理

假使企業發現遭受APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)，如何因應？不久前恰好有一份相關的統計報告出爐，歸納最常見處理方式不外下面三種，第一種是「強化傳統資安解決方案」，就現有防護工具進行全面補強；其次是將受害電腦予以Format，也就是「毀屍滅跡」；甚至有人索性「放任不管」，因缺乏專業知識，不知如何下手，只好置之不理。

綜觀上述三種方式，除了「放任不管」明顯不值得鼓勵外，另兩種做法亦存在盲點。首先，APT攻擊與一般威脅的最大不同之處，在於它是針對特定目標量身訂做的攻擊，傳統方案無法偵測其蹤影，所以「強化傳統資安解決方案」效用不大。其次，APT攻擊通常依循著攻擊、控制、擴散等步驟，企業必須瞭解其發展至哪一個階段，方知已造成或潛在的傷害有多大，才有助於對症下藥，如今好不容易有線索可還原事件原貌，卻急於「毀屍滅跡」，殊為可惜，因為那些被Format的標的，可能只是冰山一角，恐存在更多漏網之魚。

持平而論，APT是持續性的滲透攻擊，完整的防禦機制理應包含工具、流程，以及APT攻擊專家介入協助，三者缺一不可。也就是說，企業在部署偵測、分析、欄截、鑑識等APT專用解決方案之餘，另須搭配事件反應處理流程IR Process（Incident Response Process），輔以APT攻擊專家針對攻擊型態深入剖析，才足以洞察事件全貌。一方面將分析結果回饋到防禦機制，持續發揮偵查之效，遏止新的攻擊入侵，另一方面產製真正有效的解藥，針對潛伏在企業的APT暗樁，進行大規模清除。繼續閱讀

《總經理看資安趨勢》用客製化防禦對付APT 攻擊

2013 年 05 月 15 日2013 年 05 月 15 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者:洪偉淦趨勢科技台灣暨香港區總經理

過去企業最關注的資安威脅，往往是全球病毒爆發事件，但從2011年起，焦點則轉向APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)，因為就連資安把關嚴密的大型企業，都能被 APT突穿防線而渾然不知，顯見此類攻擊確實可怕，難怪舉世為之震驚。

APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)是客製化的目標式攻擊，處心積慮就是要透滲攻擊目標，所以面對防毒軟體、防火牆或入侵防禦系統等傳統資安防線，早已深諳閃避之道，也擅長運用社交工程郵件以假亂真，讓員工在不疑有他的情況下，淪為駭客的禁臠，企業那怕做再多宣導與訓練，終將防不勝防。

企業如何因應APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)？第一步即是調整心態，先假設自己已遭攻擊，然後一方面積極提高被攻擊的門檻，避免持續遭到滲透，二方面設法早期發現、儘速處理。針對「發現」與「處理」，企業亦應有所體認，面對客製化攻擊，唯有運用客製化防禦才能順利反制，莫再倚賴一體適用的工具，只因這些工具根本無效；此時企業可與資安廠商合作將因應新型攻擊的反應機制和流程在企業內部建立，方可做到客製化的防禦。

要滿足上述目標，少不得需要工具輔助。所以近年來，奠基於沙箱模擬分析技術的APT解決方案，一一現身於市場，以協助用戶揪出惡意檔案，並據此求助防毒軟體廠商，儘速清理禍害。這類方案確實擁有一定價值，但亦存在若干盲點。沙箱模擬是必要的分析工具，但單靠此一技術難以抑止實際攻擊。首先，高達九成APT攻擊，皆以社交工程郵件為先遣部隊，企業需考慮如何在第一時間阻擋社交工程電子郵件進入內部，以減少後續災害控制的成本。單一沙箱模擬技術在時效及效能難以符合實際需求。繼續閱讀

APT 攻擊防禦:阻撓，干擾，閃避

2013 年 05 月 10 日2013 年 09 月 17 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Rik Ferguson

APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)和目標攻擊的重點大部分都會和Lockheed Martin的網路擊殺鏈（killchain）有關，它其實是來自美國傳統的軍事目標攻擊週期（F2T2EA） – 搜尋（find）、定位（fix）、追蹤（track）、瞄準（target）、接戰（engage）、評估（assess）。網路擊殺鏈包含了七個階段：偵察（Reconnaissance）、武器化（Weaponization）、派送（Delivery）、漏洞攻擊（Exploitation）、安裝（Installation）、命令與控制（C2）和在目標內的行動。

重要的是要記住，網路擊殺鏈並沒有提到防禦方法，它只是詳述了攻擊者如何去入侵對象所採取的步驟。它是以一連串攻擊行為的觀點，而非研究各事件好了解如何阻擾、干擾或閃避持續不斷的入侵攻擊嘗試。主動反擊（Offense）必須要通知防禦方，目的是終止攻擊者繼續或完成攻擊的能力。

針對目標攻擊的主動式防禦必須要能夠使用攻擊者的長處去對付他們。雖然有個明顯不對等的地方，就是快速反應的攻擊者沒有必要去尊重法律或遵守遊戲規則。在攻擊活動時，橫跨所有階段所持續進行的分析活動，可以確認關鍵指標和重複的地方。這些標記可以讓防禦方將反應點從被動的漏洞攻擊後階段，向前推移到更主動的武器化和派送階段，甚至是偵察階段。

成功的關鍵是要能夠分析和關連大量的攻擊資料。識別出攻擊模式，代表以後攻擊者所使用的新攻擊指標可以被拿來更新防禦和消除方式。入侵的初始階段可能會在受害者網路內被偵測出指揮和命令（C&C）流量，或是被偵測到入侵後植入的惡意軟體，分析出可行動的情報可以用來發展更加主動的防禦措施。攻擊者在入侵活動裡所使用的基礎設施或漏洞攻擊碼，往往也會被重複用在APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)的後期階段，或用在攻擊其他受害組織上。建立出攻擊模型可以找出使用在安裝階段的漏洞攻擊碼，進而進行修補或更新入侵防禦技術。而在派送階段對攻擊流量的識別可以用來更新ACL（存取控制列表），防火牆和其他攔截技術，讓組織防禦可以從後期進化到早期偵測和消除。

最近針對幾個韓國公司的攻擊為這防禦模式做出有力的例子。在三月十九日，我們看到了這起攻擊的首個跡象。韓國組織收到包含惡意附件的垃圾郵件。附件會從多個不同網址下載九個檔案，利用假網站來掩蓋惡意活動。

繼續閱讀

目標攻擊活動隱匿在SSL通訊背後

2013 年 05 月 07 日2013 年 09 月 17 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Nart Villeneuve（資深威脅研究員）

使用加密通訊像是SSL，加上巧妙地利用新聞事件作為社交工程陷阱( Social Engineering)的誘餌，就是滲透入侵跟持久隱匿在目標網路的完美組合。

目標攻擊沒過多久就開始利用波士頓馬拉松事件作為誘餌，誘騙使用者去開啟惡意附件檔案。我們發現有封電子郵件帶有惡意附件，檔名為「The Prayer.DOC」，敦促收件者為這慘劇的受害者祈禱。

上述附件檔案（MD5：5863fb691dd5b3002c040fc7c535800f，被偵測為TROJ_MDROP.ATP），會攻擊漏洞CVE-2012-0158，將惡意執行檔 – 「IEXPLORER.EXE」（MD5：74a8269dd80d41f7c81e0323719c883c）植入目標電腦內。

這惡意軟體被偵測為TROJ_NAIKON.A，透過SSL（端口443）連到網域 – gnorthpoint.eicp.net，之前解析為IP – 220.165.218.39，現在解析為IP – 50.117.115.89。

它的憑證內填入的是假資訊，包括身份：「donc」，和組織：「abc」。