apt 攻擊 - 資安趨勢部落格

調查偵測命令和控制伺服器

2015 年 04 月 10 日2015 年 04 月 06 日趨勢科技 TrendMicro

想了解整體威脅環境可以從各種來源來收集資料。其中一種有用的做法是檢視命令和控制（C&C）伺服器的各種活動，像是用在殭屍網路、針對性攻擊，或是用在攻擊更廣泛目標的一般使用者。

我們可以結合各種威脅情報來源，包括了趨勢科技的主動式雲端截毒技術，進而一窺C&C伺服器的活動。（這些都可以在全球殭屍網路地圖上即時顯示）。以下的發現呈現出我們在整個2014年所收集的資料。我們可以看到C&C伺服器位置、端點位置，以及使用這些伺服器的惡意軟體家族。

那我們可以從這些數字中學到什麼？以及IT專業人士能夠幫忙減輕這類威脅嗎？

惡意軟體使用更多方法來確保伺服器通訊暢通

我們評量了最常用的惡意軟體家族，根據和這些惡意軟體家族相關的命令和控制伺服器數量來加以衡量。在所有的C&C伺服器活動中，以下是最常見的惡意軟體家族：

CRILOCK
RODECAP
ZEUS
FAKEAV
BLADABINDI

而在APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊中，這是最常見的惡意軟體家族：

DARKCOMET
XTREME
NJRAT
GHOSTRAT
START

從這些數字中可以看出一些趨勢：

像CRILOCK這樣利用網域生成演算法（DGA）的惡意軟體家族是很好的代表，凸顯出它們的普及程度。儘管其行為有所差異（加密勒索軟體或資料竊取），但是DGA很受歡迎，因為攻擊者只需要額外的少許精力就可以讓封鎖惡意網域變得更加困難。
受駭網站也是常見的C&C伺服器。ZeuS/ZBOT和RODECAP都會利用受駭網站作為C&C伺服器，而且它們兩個惡意軟體家族都會廣泛地利用此種特殊做法。
同樣地，免費網路代管服務供應商和動態IP重新導向服務也常被一些惡意軟體家族利用，像是NJRAT和DarkComet。
許多最初被用在針對性攻擊的遠端存取工具（RAT）現在也用在各種網路犯罪攻擊中。這顯示出這些遠端存取工具的供應量增加，以及註冊和設立C&C網域的低進入門檻。

綜合起來，這些發展顯示出攻擊者如何採用更多技術來試圖混淆其控制下的C&C伺服器。好讓對這些攻擊的鑑識分析變得更加困難，使得進行偵測和找出源頭產生問題。

伺服器所在位置

攻擊者企圖去混淆攻擊，讓透過C&C伺服器來找出攻擊幕後黑手變得十分困難。結果就是，想要只靠C&C伺服器位置來找出源頭並不可靠。必須獲得進一步的威脅情報才能夠真正做出結論。

我們對C&C伺服器位置的調查結果也反映了這一點：大多數C&C伺服器並非位在被視為網路犯罪避風港的國家。相反地，它們反映了廣泛的網路狀況：擁有豐富基礎設施去代管任何類型服務的國家深受網路犯罪份子歡迎。

表1、C&C伺服器位置（所有C&C活動）

表2、C&C伺服器位置（只包括針對性攻擊）

繼續閱讀

2015 台灣資訊安全大會- 4/2(四)上午09:40 趨勢科技專家分享:重大資料竊案，現場忠實呈現

2015 年 04 月 01 日2015 年 04 月 07 日趨勢科技 TrendMicro

趨勢科技資安核心技術部門資深協理明天 4/2(四)上午09:40 將出席2015 台灣資訊安全大會,分享的主題是”重大資料竊案，現場忠實呈現”

若您還只是聚焦在APT攻擊，您的企業還是暴露在很大的風險之中。因為寶貴的資料才是駭客不斷改變竊取手段的動力。趨勢科技資安核心技術部門資深協理張裕敏，將從企業、銀行到政府，剖析還原2013 ~ 2015 國內外重大駭客竊取資料的真實案例和手法精采呈現；透過實際案例為您的企業做最完整的防禦規劃。請勿錯過,精彩議程!

地點:台北市國際會議中心 – 台北市信義路五段 1 號

時間: 4/2(四)上午09:40

以下為趨勢科技業務部協理楊肇謙今日在活動現場接受訪談, 談 APT攻擊

現場活動:

現場趨勢攤位填寫完整活動問券, 可以換可口可樂一瓶 , 再抽 7-11 商品卡 (200元)
到趨勢科技Facebook 粉絲頁按讚，經現場攤位工作人員確定，即可獲得3M 標籤螢光筆一隻。 (不指定顏色，數量有限送完為止)。

繼續閱讀

Arid Viper攻擊行動：繞過鐵穹防禦系統

2015 年 03 月 18 日2015 年 03 月 23 日趨勢科技 TrendMicro

在趨勢科技的這篇研究報告裡，發掘了兩起跟阿拉伯有強烈關係的攻擊行動，可能位在加薩走廊。第一起是Arid Viper行動，對五個以色列組織（政府、運輸/基礎設施、軍事、學術和運輸）及一個總部在科威特的組織進行了極具針對性的網路攻擊。這起攻擊行動背後的惡意份子顯示出用精密手段來攻擊關鍵目標以取得敏感機密資料的能力，據信自2013年中就一直運作至今。

Arid Viper 行動利用色情影片,展開魚叉式網路釣魚（Phishing）攻擊五個以色列組織（涵蓋政府、運輸、基礎設施、軍事和學術單位）及一個科威特組織。「它所針對的專業人士可能會因為在工作上收到不當內容而羞於去回報此事件，」趨勢科技威脅研究人員在最近的 Arid Viper發現報告中表示。

在監視其所連接的C&C基礎設施（放在德國）時，趨勢科技的研究人員發現了另一起攻擊活動，這是由埃及駭客主導的Advtravel行動。我們的調查結果顯示這些埃及駭客似乎對存放在受害者電腦中的圖片特別感興趣。我們推測他們在找尋非法或有問題的圖片以用來進行勒索。跟 Arid Viper行動的幕後黑手不同，Advtravel行動幕後集團的動機並非金錢或間諜活動。有趣的是，當我們檢查 advtravel[點]info時，攻擊者的伺服器目錄結構完全的對外開放。這讓我們相信 Advtravel背後的攻擊者技術能力較差，而且並非那麼有目的的在攻擊其他埃及人。繼續閱讀

索尼影視（Sony Pictures）被駭始末

2014 年 12 月 15 日2014 年 12 月 18 日趨勢科技 TrendMicro

索尼高層的薪資資料

索尼員工的個人資料

好萊塢明星的聯絡資料與旅行用的別名

上述資料已經被署名#GOP( Guardians of Peace)的駭客公諸於世

索尼所製作《名嘴出任務》（The Interview）內容描寫了刺殺北韓領袖金正恩的情節，外界推測索尼很可能是因為此片而惹來北韓的報復。但北韓政府已經否認，而索尼與FBI迄今仍未確認公布攻擊來源。

一個索尼影視（Sony Pictures）遭受到毀滅性駭客攻擊的禮拜，一連串外洩的內部文件和試算表將公司員工和高層人員的資料公諸在外。根據一開始的報導，索尼在收到威脅訊息（骷顱頭圖案出現在他們的電腦螢幕上）後關閉了整個企業網路。訊息來自一個自稱為「Guardians of Peace（和平守護者，#GOP）」的駭客團體，警告說這只是個開始，他們會持續到要求被滿足為止。在新聞爆發出這起駭客事件後不久，開始有許多人認為是曾經用過「wiper」惡意軟體的北韓參與此事件。

[更多資訊：駭客如何將警告性桌布放入索尼公司電腦？到趨勢科技部落格閱讀分析美國聯邦調查局警訊背後的「破壞性」惡意軟體]

跟大多數入侵外洩事件一樣，我們會隨著時間過去而瞭解更多關於入侵事件的性質，進行中的調查提供了一些可靠的細節，而大多數關於駭客攻擊的頭條新聞都集中在是誰做的而非被取走了什麼。同時，研究人員也已經確認發起攻擊的破壞性惡意軟體。從安全角度來看，最重要的是要記錄此一事件的各個方面和緊急而相應地作出反應。關於此次攻擊，我們已經整理出關鍵日期和事件來提供發生何事，什麼被偷及誰是幕後黑手的概述。

11月25日 –首篇關於索尼影視（Sony Pictures）企業網路被駭事件報導

11月28日 – 科技新聞網站 Re/code報導北韓被調查是否與此攻擊有關

11月29日 – 未發行電影的試映片,出現在檔案分享網站上

12月1日 – 索尼影視（Sony Pictures ）高階主管薪資遭曝光

12月2日 – 索尼員工的個人資料以及其他公司內部文件（更多酬勞細節、姓名、出生日期、社會安全號碼等資訊）被公開。

12月2日 – 美國聯邦調查局發出破壞性惡意軟體警告

12月3日 – Re/code聲稱北韓正式被點名為攻擊幕後黑手

12月5日 – – Sony Pictures員工收到威脅郵件，若不支持駭客行動全家都會有危險！中文報導

12月6日 – 北韓發表聲明，稱這次攻擊彰顯了「正義」，但否認參與

12月 10 日-好萊塢明星遭池魚之殃，個人資料被公布(中文報導)

12 月 15 日-索尼要求媒體別再公布外洩文件,並銷毀副本(中文報導)

繼續閱讀