在本系列的最後一篇，我們將詳細探討 APT33 駭客集團並提供我們專家團隊的一些資安建議。
石油天然氣產業依舊是駭客集團的主要目標，駭客的目的是要造成營運中斷並帶來損害。上一篇 (中篇) 我們討論了各種可能衝擊石油天然氣產業的威脅，包括：勒索病毒(勒索軟體,Ransomware)、DNS 通道和零時差漏洞攻擊(zero-day attack)。接下來，在本系列的最後一篇，我們將探討 APT33 駭客集團這個被視為許多石油產業及相關供應鏈遭到魚叉式網路釣魚 (Spear Phishing )攻擊背後的元凶。最後，我們將提出一些有助於石油天然氣公司強化網路資安架構的建議。
四月初國外安全媒體爭相報導,一個大型的跨國網路攻擊,由英國國家網絡安全中心（NCSC）等單位公布的資安研究報告，指出以發動「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱 APT攻擊）惡名昭彰的中國駭客集團 APT10,正入侵全球企業並竊取機密資訊。
向來以魚叉式釣魚攻擊（SPEAR PHISHING）來攻擊目標企業或政府機關的 APT10，這波攻擊從供應鏈入手,藉由滲透 IT代管服務供應商（Managed IT Service Providers，MSPs）間接入侵目標攻擊的對象，該攻擊行動被命名為「Cloud Hopper」。
攻擊行動一旦入侵一家MSP，就可能獲得數千家的潛在攻擊對象，根據趨勢科技的初步分析和偵測顯示，這項攻擊行動至少使用了 70 種不同的後門程式家族和木馬程式。
本文將分享為了持續躲在受感染的系統當中，駭客做了哪些布局?
為避免 IT 系統管理員起疑,APT10 駭客組織用了哪些障眼法?
資安研究人員最近發現了一波影響範圍極廣的網路間諜行動，其背後是一個名為「APT10」的駭客集團 (又名：MenuPass、POTASSIUM、Stone Panda、Red Apollo 或 CVNX)。駭客瞄準的目標為 IT 代管服務廠商 (Managed Service Provider，簡稱 MSP)，但這只不過是個跳板，其真正目標為 MSP 客戶的智慧資產和商業機密。以下整理了有關這項最新威脅企業該知道的訊息以及該如何防範。
該攻擊行動原本的受害目標主要是北美、歐洲、南韓及亞洲的企業機構，但最近也蔓延到以下地區的 MSP：英國、美國、日本、加拿大、巴西、法國、瑞士、挪威、芬蘭、瑞典、南非、印度、泰國、南韓以及澳洲。 繼續閱讀
曾經遭遇資料外洩駭客事件的企業，通常都有一個同樣的疑惑：「駭客是如何在我的環境當中長期躲藏而不被發現？」根據 Mandiant 的一份報告，在所有資料外洩事件當中，駭客平均躲藏的天數是 205 天。每一起資料外洩駭客事件背後都有一位或多位主謀，而且現在越來越難逮到這位幕後的主謀。
APT攻擊駭客團體特別擅長隱匿行蹤
在所有駭客攻擊當中，最有能力在企業網路內部四處躲藏及遊走的，應該是「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）。這些攻擊之所以被稱為「進階」，是因為駭客運用了零時差漏洞；之所以能夠「持續滲透」，是因為駭客有著強烈的動機。其高超的技巧，對全球的企業來說都是一項嚴重威脅。這些APT攻擊駭客團體就如同一般的犯罪集團一樣，有著組織性犯罪的特質，而且特別擅長隱匿行蹤。
他們有統一的指揮管道，而且要擒拿這些行動背後的首腦相當困難，尤其是當他們躲藏在國外的時候。事實上，許多政治取向的APT攻擊團體通常都有政府在背後支援，而這些政府當然不可能配合執行違反其意志的政策。即使我們可以從攻擊行動所使用的網址來追溯到某個地區，但該網址註冊的 DNS 和 IP 服務廠商通常也不願配合國外的執法機關，因為他們向來聽命於當地政府。正因如此，那些由政府在背後撐腰的駭客，就能一再發動惡意攻擊而不會遭到任何懲罰。在低風險、高報酬的條件下，他們會不斷從過去的失敗當中記取教訓，因此每一次都比上一次的行動更加小心謹慎。
APT攻擊共有六個階段，每一階段由一組專門的駭客負責
有一點很重要是我們必須知道的，企業網路內的橫向移動只是APT攻擊的其中一個階段而已。事實上，典型的APT攻擊共有六個階段：(1) 情報蒐集、(2) 突破防線、(3) 幕後操縱 (C&C)、(4) 橫向移動、(5) 搜尋資產、(6) 資料外傳。有組織的APT攻擊團體通常會將工作依照行動階段來分工合作，每一階段由一組專門的駭客負責，並有其獨特的工具和技巧。這樣的作法在大型犯罪集團已行之有年，目前也開始運用到網路犯罪領域。
人們通常會過於執著在技術上的細節，而忘了其實 APT攻擊團體跟傳統非電腦犯罪的專業集團有許多相似之處。就以持槍搶劫銀行的例子來說，不同的搶匪會依據個人的專長而分別擔任不同的工作，藉此提高行動的速度和效率。同樣的策略應用到 APT攻擊，其效果甚至更好，因為這樣可以讓不同階段之間彼此不互相重疊，如此一來，系統管理員在事後分析網路時就無法察覺其不同階段之間的關聯。雖然APT攻擊行動的每一個階段都是達成最後目標的關鍵，但仍有些階段所占的比重較高。
駭客會在整個網路上設置多個不同的後門，以便能夠輕易進出目標網路
第四階段的橫向移動需要隱密和觀察的技巧。這階段需要同時具備社交工程（social engineering ）技巧與駭客能力，才能在目標環境當中迅速移動而不被察覺。橫向移動對於安排最後資料外傳階段的布局至關重要。不斷地在不同端點裝置之間移動，可以讓駭客完整掃瞄整個網路，並且找到最珍貴的資料。此外，這個階段通常需要一直不斷重覆，因此，駭客會在整個網路上設置多個不同的後門，以便能夠輕易進出目標網路，必要時進一步竊取更多資料。
企業通常會有系統管理員和資安軟體來持續監控內送及外送網路流量，因此，歹徒的 C&C 機制必須融入目標網路才行。想要暗藏在網路流量當中偷偷進出企業，歹徒必須結合惡意程式、駭客技能以及進階社交工程技巧。歹徒不只要知道如何駭入，還要知道何時駭入。大型的犯罪集團會在發動攻擊之前，先對目標進行長期的觀察和研究。為了使 C&C 伺服器不讓人起疑，駭客通常會使用一般常見的 IT 工具，如「PSExec」(一個用來取代 telnet 的遠端執行工具) 來執行其檔案，並在企業的營業時間連上 C&C 伺服器，如此，其網路連線才不會讓人起疑。除此之外，駭客還會利用惡意程式來將其連線偽裝成 HTTP 或 HTTPS 通訊以隱藏其行動，因為系統管理員不可能有時間檢查每一個觀察到流量，而資安軟體通常也無法偵測零時差攻擊。 繼續閱讀
如同任何分析評比一樣，NSS Labs 最新一份入侵偵測系統 (Breach Detection System，簡稱 BDS) 評比測試所提供的並不只有分數、偵測率及整體持有成本 (TCO) 等數據而已。經由透明公開的評比測試，不論現有客戶、合作夥伴、潛在客戶，或是產業和金融分析師，都能獲得公正公開的參考資訊。
簡單講，NSS Labs 最新的 BDS 測試呈現的是：
|
|
NSS Labs BDS 這類公開測試很單純地卸下了產品的神秘面紗，為決策者提供更可靠的參考依據。任何需要採購入侵偵測系統的人，都能經由這樣的分析來形成自己的想法，並且擬定一套策略來因應 APT 的挑戰。
大家都同意，對付APT攻擊並無所謂的萬靈丹。在這樣的情況下，最好的作法就是根據您網路的實際狀況來評估及挑選一套適合您的解決方案。
比方說，能在 NSS Labs 之類的產業測試當中取得優異成績，就是偵測能力和解決方案價值的重要指標。不過，當您在將某家產品列入候選名單之前，您務必要了解測試的背景。也就是說，NSS Labs 測試結果僅代表當時的狀況，同時也取決於測試方法所蒐集到的進階惡意程式類型與攻擊手法。正因如此，我們很高興 NSS Labs 採取了一種開放、透明的測試程序從網路上蒐集實際的攻擊樣本，因為這些都是傳統或當今防毒技術無法立即偵測的。
很榮幸趨勢科技連續第二年榮獲「推薦」(Recommended) 的評價，而且是所有 NSS Labs 推薦的入侵偵測系統當中整體分數最高、最有成效的解決方案。
持續提供效能優異而穩健的解決方案，是我們對客戶的承諾，也是一切行動的基石。NSS Labs 的 BDS 測試結果證明我們已經履行了承諾，而我們的整個團隊也都為這樣的成果感到驕傲。
如需更多有關為何您應該將趨勢科技 Deep Discovery 列入考慮，以及美國芝加哥 Rush University Medical Center 醫療中心如何發揮該產品的動態偵測能力，請看這裡。
原文出處： Just the Facts – The Truth About Industry Tests作者：Bob Corson
▍想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 ▍
《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。