APT - 資安趨勢部落格

< APT 攻擊>專門從事經濟和政治間諜的Pawn Storm活動激增

2015 年 05 月 07 日2015 年 10 月 14 日趨勢科技 TrendMicro

Pawn Storm活動激增，鎖定北大西洋公約組織 (NATO) 與美國白宮

一直長期活躍的 Pawn Storm「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）行動在新的一年突然爆炸性成長，導入了新的基礎架構，同時也開始鎖定北大西洋公約組織 (NATO) 會員國，甚至是美國白宮。這是根據趨勢科技持續研究其背後駭客團體所得到的最新情報，同時也是我們眾所周知的 2014 年 10 月份 Pawn Storm 研究報告的後續補充。

Pawn Storm 攻擊行動：背景

Pawn Storm 是一項專門從事經濟和政治間諜活動的攻擊行動，其目標相當廣泛，包括：軍事、政府、國防產業、媒體等等。

該團體是一群處心積慮的駭客，至少從 2007 年開始即活躍至今，其犯案模式非常固定。我們為所取的名稱，是根據歹徒聯合搭配多種工具和手法來襲擊單一目標的作法，與西洋棋中的 Pawn Storm (小兵聯合攻擊) 策略如出一轍。

該團體運用了三種非常容易辨別的攻擊手法。第一種是發送含有惡意 Microsoft® Office 文件的網路釣魚郵件，文件當中暗藏專門竊取資料的 SEDNIT/Sofacy 惡意程式；第二種是在波蘭政府的一些網站上植入某些漏洞攻擊程式，讓瀏覽者感染前述的惡意程式；最後一種則是利用網路釣魚電子郵件來將使用者重導至假冒的 Microsoft Outlook Web Access (OWA) 登入網頁。

Pawn Storm 主要攻擊對象為美國及其盟邦的軍事單位、政府機關和媒體機構。我們判斷該團體也曾攻擊俄羅斯異議團體以及那些和克里姆林宮作對的團體，此外，烏克蘭激進團體與軍事單位也在攻擊之列。因此有人揣測該團體可能跟俄羅斯政府有所關聯。

今年二月，趨勢科技觀察到 Pawn Storm 又有新的動作，並發現一個專門攻擊 Apple 使用者的 iOS 間諜程式。

繼續閱讀

< APT 攻擊 >電腦螢幕後的敵人了解你的企業、網路、防禦措施、員工….還有更多

2015 年 05 月 06 日2015 年 04 月 27 日趨勢科技 TrendMicro

你的潛在敵人了解你的企業、你的網路、你的防禦措施、你的員工、你的供應鏈以及任何與你組織有互動相關的點。你會問，為什麼要做到如此透徹？這是要了找出最好的方法去躲避你的防禦措施，拿到你的資料，取回接著從中獲利。

作者：Bob Corson

對付　APT攻擊/目標攻擊， 必須偵測看不見的東西

如果你還沒有嘗試過「APT目標攻擊遊戲」，記得去試試。在最近，一直在我腦海中激盪思考的題目，就好似上圖中兩個物品跟目標攻擊的關係。不過，我希望經過幾段文章之後，你會得出以下結論：那些想進行「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）的人不會照著預期的規則走。想贏得這場「遊戲」，你必須要能夠偵測某些你原本看不見的東西。

現在，讓我們開始。在進行「APT目標攻擊遊戲」後，很有機會你會進行到最後跟Ferguson先生握手，你有什麼結論、意見和想法呢？我的話，是加強了我已經思考一段時間的想法，可以由上圖的物件來表示。繼續閱讀

< APT 攻擊 >趨勢科技發佈進階持續性滲透攻擊(APT)趨勢報告

2015 年 04 月 30 日2015 年 04 月 30 日趨勢科技 TrendMicro

APT手法持續突破政府機關、軟硬體公司、消費性電子製造商成目標

【2015年4月30日台北訊】全球雲端安全領導廠商趨勢科技發佈最新進階持續性滲透攻擊(APT)發展趨勢：2014 年度報告。根據報告指出，過去一年，進階持續性滲透攻擊(簡稱 APT) 技巧不斷翻新，威脅變得更為多元複雜，而情報蒐集與竊取資料是所有APT的共通目的。趨勢科技呼籲，政府、企業皆需全面了解最新APT發展情勢以調整防禦策略，降低遭遇攻擊的風險。

趨勢科技資深技術顧問簡勝財指出：「由於其高破壞性與高成功率，讓網路犯罪集團越來越常採用APT的攻擊技巧。要反制這類攻擊，企業必須隨時保持警戒，並且採取有效的解決方案來因應不斷演變的網路安全情勢。建議企業必須建立一套客製化防禦，運用進階威脅偵測技術與共享的威脅情報來偵測、分析、回應一般標準資安解決方案所無法偵測的攻擊。」

根據報告預測，APT目前依然難以防範，其不著痕跡的攻擊方式讓有心人士蒐集情報、竊取機密資料的軌跡無法立即偵測，且技巧和手法皆不斷翻新。APT已成為全球問題，網路犯罪者最愛的目標不再僅侷限於美國、俄羅斯與中國。依據趨勢科技於 2014 年所監控的案例，澳洲、巴西、中國、埃及和德國是APT幕後操縱(C&C)伺服器分布最多的前五大國家，台灣也名列前十五名之一。雖然，政府機關依然是此類攻擊最愛的對象，不過趨勢科技也發現，軟硬體公司、消費性電子產品製造商以及醫療照護機構遭到APT的次數也突然攀升。

繼續閱讀

APT 攻擊有何變化?政府機關依然是APT 攻擊最愛,台灣列入熱門目標

2015 年 04 月 28 日2015 年 04 月 30 日趨勢科技 TrendMicro

2014 年是「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）手法更加精進的一年。隨著越來越多企業升級到新版的 Windows 作業系統，我們發現有些攻擊行動也開始採用更多的 64 位元惡意程式。這類 64 位元惡意程式的範例包括：HAVEX (一種 RAT 遠端存取木馬程式，用於專門針對工業控制系統的攻擊) 以及 WIPALL (Sony Pictures 遭駭事件的主角)。

隨著歹徒轉進新的 Windows 版本，他們也開始在攻擊當中利用一些正常的工具和功能。Windows PowerShell® 就是一個例子，這是 Windows 7 開始提供的一個功能，可讓系統管理員不需透過圖形使用者介面 (GUI) 就能操作系統的一些功能。歹徒使用 PowerShell 指令來下載惡意檔案，並且越過檔案執行管制原則來執行下載的惡意檔案。

此外，還有一個文件漏洞攻擊範本 TROJ_MDROP.TRX 也出現在多起APT攻擊當中。此漏洞攻擊範本很可能已在地下市場上販售及散布，因為它曾出現在多項攻擊行動當中。歹徒只需修改這個漏洞攻擊範本來配合其目的即可。

根據趨勢科技的資料，.RTF 和 .DOC 檔案是最常被使用的電子郵件附件檔案，這很可能是因為 Microsoft Word® 在任何企業及機構都會用到。

圖 1：2014 年鎖定APT 攻擊最常用的電子郵件附件檔案類型

攻擊所使用的新舊漏洞

2014 年的鎖定APT 攻擊使用了多個零時差漏洞。例如，兩個針對 CVE-2014-1761 漏洞的 Taidoor 相關零時差漏洞攻擊，襲擊了台灣的一些政府機關和某個教育機構，其修補空窗期維持了 15 天。攻擊新的漏洞比攻擊舊的漏洞效果更好，因為廠商尚未釋出修補程式。零時差漏洞經常讓廠商及一般受害者手忙腳亂。

然而，歹徒並未因為使用新的漏洞就放棄利用舊的漏洞。事實上，攻擊舊的漏洞可以收到固定的成效，而且歹徒只需利用一些可輕易買到且經過長期驗證的漏洞攻擊工具即可。

儘管 MS12-027資訊安全公告已修正了 CVE-2012-0158 漏洞，但此漏洞仍是駭客的最愛。不但如此，它還是 2014 上半年鎖定APT 攻擊最常利用的漏洞。最有名的例子就是 PLEAD 和 Pawn Storm，這兩項攻擊行動都是利用這個漏洞來滲透目標網路。

全球問題

政府機關依然是 2014 年鎖定APT 攻擊最愛的對象。不過在下半年，軟硬體公司、消費性電子產品製造商以及醫療照護機構遭到鎖定APT 攻擊的次數也突然竄升。

此外，我們也統計了與幕後操縱伺服器通訊的受害目標在全球的分布狀況。如以下地圖中的熱區顯示，美國、俄羅斯和中國不再是歹徒唯一的最愛，其他熱門的目標還有台灣、南韓、法國與德國。

圖 2：2014 年與鎖定APT 攻擊幕後操縱伺服器通訊最多的國家 (點一下影像可放大檢視)

跟上威脅的腳步

有鑑於鎖定APT 攻擊數量不斷增加、發動攻擊的困難度不斷下降、防禦的困難度不斷上升，網路安全人員最重要的是從預防到偵測的心態轉變。也就是說，企業必須接受APT 攻擊勢必攻陷其網路的事實，因此，任何黑名單的機制都將無法遏止有心的駭客。

建立威脅情報是對抗鎖定APT 攻擊的重要關鍵。透過外界的各種報告以及內部的歷史記錄和即時監控資料來了解歹徒所用的工具、技倆及手法，能有助於建立強大的入侵指標 (Indicators of Compromise，簡稱 IoC) 資料庫，這將成為企業採取行動的基礎。但企業不應僅止於了解這類攻擊，還應建立及訓練一些事件應變團隊，並且教育員工、合作夥伴以及上下游廠商認識社交工程技巧與資訊安全的概念，以降低鎖定APT 攻擊的相關風險。

如需詳細的說明，請參閱我們的鎖定APT 攻擊趨勢：2014 年度報告。

原文出處： https://blog.trendmicro.com/trendlabs-security-intelligence/how-targeted-attacks-changed-in-2014/

< APT >企業資料是網絡罪犯的金礦 ,新型APT 目標攻擊手法威脅網絡安全

2015 年 04 月 22 日2015 年 04 月 23 日趨勢科技 TrendMicro

檢視APT 攻擊趨勢：2014 年度報告

「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）(以下簡稱APT)是一種專門以竊取目標系統上的資料為主的威脅。APT攻擊包含六個階段：情報蒐集、突破防線、幕後操縱 (C&C)、橫向移動、搜尋資產/資料、資料外傳。有別於一般的認知，這些階段並非單向線性執行的，而是各階段不斷重複且並行重疊的。同樣地，資料外傳的動作也不會只有一次，其幕後操縱通訊和橫向移動則是整個行動當中一直持續在進行。最後，鎖定目標攻擊會進入一個維護階段，此時駭客會執行某些動作來讓資安人員的因應措施以及其他駭客企圖霸占的行為無法成功。

這份年度報告討論了趨勢科技在 2014 年當中所分析的APT案例，以及所監控的相關幕後操縱伺服器。此外，這份報告也詳細討論了趨勢科技所調查過的攻擊行動，以及我們對APT攻擊手法、技巧與程序發展趨勢的觀察：

鎖定目標攻擊行動很難找到幕後的黑手和犯罪集團。

歹徒會盡可能不在目標網路內留下可追溯的痕跡，因此很難找到其幕後的黑手。2014 年，我們發現一些由政府在背後支援以及非政府支援的攻擊，後者的案例如 Arid Viper 和 Pitty Tiger。根據趨勢科技網路安全長 Tom Kellermann 指出，有越來越多的網路犯罪者利用毀滅性攻擊來宣揚其激進主義或者反制資安應變措施。

圖 1：APT攻擊行動的各個階段

除了外部攻擊之外，企業可能還得面對內賊的威脅，如去年的 Amtrak 資料外洩事件，該案洩漏了將近 20 年的旅客個人身分識別資訊 (PII)。

圖 2：歹徒的身分和動機

環境的特殊性不一定能防止歹徒的覬覦。

除了鎖定一般商用及熱門的軟體與工具之外，歹徒也會利用一些特殊領域的應用程式、作業系統及環境來發動攻擊，其中一個例子就是利用奇異公司智慧型平台 (GE Intelligent Platform) CIMPLICITY 軟體的攻擊。Apple 的裝置也成了歹徒滲透目標網路、進而從事間諜活動的工具，例如 Pawn Storm 攻擊行動。