針對性目標攻擊(Target attack )

企業資安: 一次搞懂 BPC、BEC及 Targeted attack

2017 年 08 月 02 日2017 年 07 月 24 日趨勢科技 TrendMicro

商業流程入侵(BPC)、商務電子郵件入侵(BEC)及目標式攻擊：有什麼差異？

2015 年，在攻擊者取得 SWIFT 金融網路的資金交易代碼之後，一家厄瓜多銀行損失 1,200 萬美元。隔年，另有一起牽涉 SWIFT 的網路洗劫案例，造成孟加拉中央銀行損失 8,100 萬美元。同樣在 2016 年，一家越南銀行成功防止一起類似的攻擊事件，阻止攻擊者移轉 113 萬美元到攻擊者帳戶中。

我們將這一系列新的攻擊分類為商業流程入侵 (BPC)，主謀偷偷修改關鍵流程及系統，以進行看似正常卻未經授權的操作。那麼 BPC 是如何運作？BPC 的獨特之處在哪，與商務電子郵件入侵或稱為變臉詐騙 (BEC) 或目標式攻擊有何相似之處？企業又要如何找出 BPC？

BEC變臉詐騙的五種類型

BPC 及 BEC 擁有同樣的最終目標 (即經濟利益)，但兩者僅有這點相似。

BEC 是極度仰賴社交工程（social engineering ）策略的詐欺手段，誘騙受害者移轉資金到詐欺犯名下帳戶。在 BEC 中，攻擊者通常假扮成與金融或電匯付款業務相關的執行長或任何高階主管。根據 FBI 指出，BEC 有下列五種類型：

偽造發票收據
執行長詐欺
帳戶入侵
偽裝律師
資料竊取

[請參閱：商務電子郵件入侵(變臉詐騙)是如何運作？]

BPC的三種類型

另一方面，BPC 則是更為複雜的攻擊，其中牽涉修改程序，產生與原先預期的不同結果。這往往能讓攻擊者獲得極高的經濟利益。根據趨勢科技所觀察到的案例，BPC 有下列三種類型：

聲東擊西
冒用身分
五鬼搬運

[請參閱：商業流程入侵(BPC)的種類及個別案例]

鎖定目標攻擊及 BPC: 都能無限期留在網路中，而不被偵測到

針對性攻擊/鎖定目標攻擊(Targeted attack )及 BPC 間僅有一線之隔，兩者皆使用相同工具、技術及元件，且能在不受偵測的狀況下，滲透並留存於目標網路當中。兩者都能無限期留在網路中，而不被偵測到。然而，鎖定目標式攻擊的主要目的是滲透到公司中最重要的資產 (商業機密、智慧財產等)，以進行商業間諜或破壞行為。另一方面，BPC 的詐欺犯主要是為取得不法利益。BPC 可能也會使用與鎖定目標式攻擊相同的手法，如情報收集、橫向移動，到維護和資料滲透等。

圖 1BPC、BEC 及目標式攻擊之間的差異與相似之處 — 圖 1BPC、BEC 及鎖定目標式攻擊之間的差異與相似之處

繼續閱讀

針對性攻擊/鎖定目標攻擊(Targeted attack ): 了解你要面對什麼樣的攻擊 !!

2015 年 10 月 29 日2015 年 11 月 03 日趨勢科技 TrendMicro

幾年前如果公司發生資安事件，系統管理員或是中階主管將被追究責任甚至解僱。現在是資訊長和資訊安全長會因為資料外洩事件而被解僱。公司現在認真看待這件事是好事，但如果你是資訊長或資訊安全長，這對你來說可能就不大妙了。

每當人們想到「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）和針對性攻擊/鎖定目標攻擊(Targeted attack )，都不禁要問：是誰做的？他們想要什麼？雖然這些問題都很有意思，我們認為更重要的是要問：關於攻擊者的哪些資訊可以更好的幫助企業保護自己？

讓我們從網路管理者捍衛自己組織的觀點來看這件事情。如果有人想確認誰是攻擊自己組織的幕後黑手，第一步或許會用IP地址來嘗試鎖定攻擊者的位置。但是，就好比追查攻擊追到位在韓國的網頁伺服器。有什麼理由說服我們攻擊者並沒有同時入侵了這伺服器？是什麼讓你認為網站負責人會配合你進行調查？

在複雜的攻擊中，常常可以看到攻擊者從一台被入侵機器連到另一台。你可以嘗試盡可能的追查下去，但幾乎很難追查到關於攻擊者的蛛絲馬跡。我們真的沒辦法取得像情報單位那樣多關於攻擊者的資料。我們可以使用開放的資料庫但有其極限。有時攻擊者會犯錯 – 在這時候我們可以討論他們是誰，他們針對誰等等。但如果你需要防護組織，就不能指望這一點。

了解你要面對什麼樣的攻擊

這不是說你該完全忽略誰在攻擊你。而是不管他們是誰，更加重要的是他們會做什麼。比方說，如果有人用任何腳本小子(script kiddie)都可以從網路上取得的工具來攻擊你，這可能並非嚴重的威脅。如果有人用新的漏洞和精心設計的惡意軟體來攻擊你，那就要注意了。繼續閱讀

< CTO 觀點 >針對性攻擊/鎖定目標攻擊(Targeted attack )與進階持續性滲透攻擊 (ATP) 有何差異？

2015 年 10 月 26 日2015 年 10 月 26 日趨勢科技 TrendMicro

作者：Raimund Genes (趨勢科技技術長，CTO)

前不久我上了由 Bill Murphy 主持的 RedZone Podcast 節目，談論到有關「針對性攻擊/鎖定目標攻擊(Targeted attack )」和「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）」之間有何差異 (當然還有其他主題)。這是一個過去我經常談到的一個話題，也是一個我經常在各種會議上被問到的問題。讓我來解釋一下我的意思。

APT攻擊一詞，大約是十年前從美國軍方流傳出來的一個用語。它有相當明確的定義，意指那些由國家所發動的攻擊。這些攻擊當然不會明確張揚其幕後的主使者。其程式碼也不會告訴你是哪個情報單位或國家所為。要追溯某項攻擊確切的幕後主使國家有其困難：畢竟，駭客很可能會透過重重的跳板來隱藏其真正的源頭。

不過，在大多數情況下，當我們在檢視某個 APT攻擊所用的程式碼時可以發現，這些程式都擁有相當完整的設計。它們不像是由一小群個人所開發，反倒像背後有一整個開發團隊。此外，我們也無法在地下犯罪網路上找到這些程式的藍本，意思是：不論是誰所開發，這些都是他們自己的創作。

這一切所需的代價不斐。想想看您需要多少資源才能養得起這些開發人員。看看 Hacking Team 資料外洩的例子，他們的產品在全球各國販售的價格在數十萬美元之譜。想像一下，若是一個國家要培養自己的「駭客團隊」要付出比這價格高出多少的代價。

然而，大多數人「並不」需要擔心 APT攻擊的問題。除非您是某個政府機構或國防承包商的 IT 系統管理員，否則您大概不會需要擔心APT攻擊威脅。您「真正」需要擔心的是資料外洩和針對性目標攻擊(Target attack )。

「針對性攻擊/鎖定目標攻擊(Targeted attack )」與 APT攻擊截然不同，它們不是由國家所發動，而是由全世界各個角落的駭客所為。他們的動機五花八門，包括：竊取資訊、從事信用卡詐騙、或者單純只是在您的企業內搞破壞。他們所用的工具基本上都能在地下市集上以合理的價格買到。其真正「精密」之處在於這些攻擊所用的社交工程技巧。繼續閱讀

針對性目標攻擊 (Targeted attack ):Shadow Force 挾持 DLL 程式庫攻擊南韓媒體

2015 年 09 月 08 日2015 年 10 月 13 日趨勢科技 TrendMicro

生意人怎麼會對新聞媒體會有興趣？這是我們最近在調查一樁南韓媒體遭到針對性目標攻擊(Targeted attack )攻擊的案例時心中的疑惑。

Shadow Force 是一個新的後門程式，它會取代某個 Windows 系統服務所呼叫的 DLL 程式庫。此後門程式一旦進入系統，駭客就能利用其他工具進一步製造更多安全漏洞或是造成損害。趨勢科技在今年五月份的一篇部落格文章當中已討論過這類後門程式攻擊。

攻擊開始時機

這項攻擊展開的時機是在 Windows 作業系統啟動 Microsoft Distributed Transaction Coordinator (Microsoft 分散式交易協調器，簡稱 MSDTC) 服務的時候，此服務在作業系統中負責協調橫跨多個資源管理程式 (如：資料庫、訊息佇列、檔案系統) 之間的作業。若目標電腦已加入網域，當 MSDTC 服務啟動時就會檢查系統登錄中是否有設定其相關程式庫 (DLL)。

圖 1：MSDTC 服務的外掛 DLL 程式庫。

更確切一點，MSDTC 服務當中的 MTxOCI 元件會透過系統登錄來找尋三個 DLL 程式庫：oci.dll、SQLLib80.dll 和 xa80.dll。一般來說，電腦上通常不會有 oci.dll，但此處駭客故意製作了一個後門程式並將它取名為「oci.dll」，然後放在系統資料夾「%SystemRoot%\system32\」當中。一旦將 oci.dll 放到適當位置之後，駭客就會利用一道遠端指令來終止 MSDTC 服務 (taskkill /im msdtc.exe /f)，讓 MSDTC 自行重新啟動。但這一次，當該服務啟動時，就會找到駭客所放置的 oci.dll。而當服務呼叫這個 DLL 時，就會啟動 Shadow Force。