騰訊安全《2018年高級(jí)持續(xù)性威脅研究報(bào)告》發(fā)布 揭秘四大主流攻擊技術(shù)

　　網(wǎng)絡(luò)安全圈內(nèi)流傳著這樣一句話:世界上只有兩種大型企業(yè),一種是知道已經(jīng)被黑客入侵的企業(yè),另一種則是被入侵卻渾然不知的企業(yè)。盡管不少人認(rèn)為,這樣的言論未免言過(guò)其實(shí),但不可否認(rèn)的是,以高級(jí)可持續(xù)性攻擊活動(dòng)(下稱“APT攻擊”)為代表的高級(jí)新型攻擊,正在沖擊著企業(yè)安全防線,作惡團(tuán)伙暗中潛伏,伺機(jī)發(fā)起攻擊竊取機(jī)密數(shù)據(jù)、破壞生產(chǎn)系統(tǒng)。整個(gè)2018年全球范圍內(nèi)的APT攻擊逐漸呈現(xiàn)高發(fā)態(tài)勢(shì)。

　　在此背景下,騰訊安全近日正式對(duì)外發(fā)布《2018年高級(jí)持續(xù)性威脅研究報(bào)告》(以下簡(jiǎn)稱《報(bào)告》),針對(duì)全球各大安全團(tuán)隊(duì)的安全研究報(bào)告進(jìn)行研究,并提取了相關(guān)的指標(biāo)進(jìn)行持續(xù)的分析和跟蹤工作,全面剖析全球范圍內(nèi)APT組織分布及攻擊技術(shù),同時(shí)還對(duì)四大攻擊技術(shù)趨勢(shì)進(jìn)行預(yù)測(cè),對(duì)網(wǎng)絡(luò)信息安全行業(yè)發(fā)展具有參考意義。

　　APT全球攻擊事件頻發(fā) 中國(guó)成跨國(guó)APT組織重點(diǎn)攻擊目標(biāo)

　　APT攻擊的本質(zhì)是針對(duì)性攻擊,常用于國(guó)家間的網(wǎng)絡(luò)攻擊,主要通過(guò)向目標(biāo)計(jì)算機(jī)投放特種木馬(俗稱“特馬”),以此竊取國(guó)家機(jī)密信息和重要企業(yè)的核心商業(yè)信息、破壞網(wǎng)絡(luò)基礎(chǔ)設(shè)施等,具有相當(dāng)強(qiáng)烈的政治、經(jīng)濟(jì)目的。APT的攻擊手法,在于隱匿自己,針對(duì)特定對(duì)象,長(zhǎng)期、有計(jì)劃性和組織性地竊取數(shù)據(jù),屬于“網(wǎng)絡(luò)間諜”行為。近年來(lái),APT攻擊對(duì)企業(yè)業(yè)務(wù)的正常運(yùn)轉(zhuǎn)構(gòu)成了不小的威脅,并最終殃及普通網(wǎng)民。如2018年12月某APT組織對(duì)驅(qū)動(dòng)人生公司發(fā)動(dòng)的定向攻擊,挾持其升級(jí)通道大規(guī)模安裝和傳播云控木馬,進(jìn)而在受感染機(jī)器上挖礦牟利。

　　《報(bào)告》顯示,在2018年全年,全球共計(jì)35個(gè)安全機(jī)構(gòu)發(fā)布了206篇APT相關(guān)的研究報(bào)告,涉及高達(dá)58個(gè)APT組織。從被攻擊地區(qū)分布來(lái)看,東亞和東南亞都遙遙領(lǐng)先于世界其他地區(qū)。而歐洲和北美則保持精英化的狀態(tài),雖然攻擊組織不多,但是都是實(shí)力雄厚的攻擊組織。

　　(圖:全球被攻擊地區(qū)分布)

　　隨著中國(guó)在全球化進(jìn)程中影響力的不斷提升,政府、企業(yè)及民間機(jī)構(gòu)與世界各國(guó)聯(lián)系的更加密切,我國(guó)已逐漸成為跨國(guó)APT組織的重點(diǎn)攻擊目標(biāo),也是實(shí)際遭受攻擊最嚴(yán)重的國(guó)家之一。整個(gè)2018年,騰訊安全監(jiān)測(cè)到針對(duì)國(guó)內(nèi)目標(biāo)發(fā)動(dòng)的境內(nèi)外APT組織至少有7個(gè),且均處于高度活躍狀態(tài)。海蓮花、黑店、白象、蔓靈花、藍(lán)寶菇等APT組織長(zhǎng)期針對(duì)中國(guó)敏感機(jī)構(gòu)和行業(yè)發(fā)動(dòng)攻擊。從行業(yè)分布來(lái)看,政府、能源、軍工等基礎(chǔ)設(shè)施是重要的攻擊目標(biāo)。地域分布上,遼寧、北京和廣東是國(guó)內(nèi)受APT攻擊最多的地區(qū)。

　　(圖:國(guó)內(nèi)被攻擊地域分布)

　　目前,針對(duì)國(guó)內(nèi)發(fā)動(dòng)的APT攻擊活動(dòng)日益增多,給國(guó)家有關(guān)部門、企業(yè)機(jī)構(gòu)以及各大高校帶來(lái)了較為嚴(yán)峻的挑戰(zhàn)。對(duì)此,《報(bào)告》提醒各大機(jī)關(guān)、企業(yè)以及個(gè)人用戶,及時(shí)修補(bǔ)系統(tǒng)補(bǔ)丁和重要軟件的補(bǔ)丁,全面提升網(wǎng)絡(luò)安全意識(shí),不要打開(kāi)來(lái)歷不明的郵件附件內(nèi)容,同時(shí)不要輕易啟用Office的宏代碼功能。

　　APT攻擊技術(shù)全面升級(jí) 四大攻擊手段將成未來(lái)發(fā)展趨勢(shì)

　　在2018過(guò)去一年發(fā)生的APT攻擊事件中,不斷出現(xiàn)新的攻擊模式和技術(shù)的組合,給當(dāng)前的信息安全環(huán)境帶來(lái)了越來(lái)越多的挑戰(zhàn)。

　　《報(bào)告》指出,魚(yú)叉攻擊、水坑攻擊以及遠(yuǎn)程可執(zhí)行漏洞和密碼爆破攻擊三大攻擊手段依然是APT攻擊的最主要方式。魚(yú)叉攻擊使用魚(yú)叉結(jié)合社工類的方式,投遞帶有惡意文件的附件,誘使被攻擊者打開(kāi)。從曝光的APT攻擊活動(dòng)看,2018年使用魚(yú)叉攻擊的APT活動(dòng)比例超過(guò)95%;同時(shí)APT組織還會(huì)在目標(biāo)用戶必經(jīng)之地設(shè)置“水坑”進(jìn)行“守株待兔”。其中,海蓮花、socketplayer等組織均使用過(guò)該攻擊方式。除了魚(yú)叉和水坑攻擊,利用遠(yuǎn)程可執(zhí)行漏洞和服務(wù)器口令爆破進(jìn)行攻擊,也成為了一種可選的攻擊方式。

　　(圖:水坑攻擊示例文件)

　　不僅如此,APT攻擊者還開(kāi)始采取更為高端的攻擊技巧,對(duì)普通網(wǎng)絡(luò)黑產(chǎn)從業(yè)者起到教科書(shū)般的“指導(dǎo)示范”作用�！秷�(bào)告》預(yù)測(cè),Fileless攻擊(無(wú)文件攻擊)、將通信的C&C服務(wù)器存放在公開(kāi)的社交網(wǎng)站上、使用公開(kāi)或者開(kāi)源工具、多平臺(tái)攻擊和跨平臺(tái)攻擊將成未來(lái)APT攻擊技術(shù)的主要發(fā)展趨勢(shì)。

　　(圖:Fileless攻擊示例文件)

　　以Fileless攻擊為例,隨著各安全廠商對(duì)PE文件的檢測(cè)和防御能力不斷增強(qiáng),APT攻擊者越來(lái)越多地開(kāi)始使用無(wú)PE文件落地的攻擊方式進(jìn)行攻擊。目前海蓮花、MuddyWater等攻擊組織都擅長(zhǎng)使用該方式進(jìn)行攻擊。

　　除了PC端和移動(dòng)端,路由器平臺(tái)也成為了APT組織的攻擊對(duì)象,如VPNFilter目前已攻擊了10多個(gè)國(guó)家的至少50萬(wàn)臺(tái)路由器設(shè)備。

　　安全挑戰(zhàn)升級(jí) 技術(shù)創(chuàng)新驅(qū)動(dòng)網(wǎng)絡(luò)安全行業(yè)發(fā)展

　　縱觀時(shí)下網(wǎng)絡(luò)安全環(huán)境,越來(lái)越多的政府機(jī)構(gòu)和全球化企業(yè)在安全控管上投入了巨大的人力和物力,但APT組織仍能滲透進(jìn)而得逞。如何應(yīng)對(duì)不斷呈現(xiàn)出以跨國(guó)界、跨領(lǐng)域、攻擊手法升級(jí)為主要特征的APT攻擊無(wú)疑成為亟待解決的問(wèn)題。

　　目前來(lái)看,傳統(tǒng)的“單兵作戰(zhàn)”防御方式勢(shì)必?zé)o法與APT組織抗衡。為此,騰訊安全推出御界高級(jí)威脅檢測(cè)體系,這是基于騰訊安全反病毒實(shí)驗(yàn)室的安全能力、依托騰訊在云端的海量數(shù)據(jù),研發(fā)出的獨(dú)特威脅情報(bào)和惡意檢測(cè)模型系統(tǒng)。在終端防御方面,騰訊安全推出的御點(diǎn)終端安全管理系統(tǒng),將百億量級(jí)云查殺病毒庫(kù)、引擎庫(kù)以及騰訊TAV殺毒引擎、系統(tǒng)修復(fù)引擎應(yīng)用到企業(yè)內(nèi)部,可有效防御企業(yè)內(nèi)網(wǎng)終端的病毒木馬攻擊。

　　(圖:騰訊御界高級(jí)威脅檢測(cè)體系)

　　綜合整個(gè)《報(bào)告》不難看出,APT攻擊已呈愈演愈烈之勢(shì),但以騰訊安全為代表的安全研究團(tuán)隊(duì)正通過(guò)一系列的產(chǎn)品和技術(shù),對(duì)抗APT攻擊等高科技違法犯罪行為,隨時(shí)應(yīng)對(duì)各種不同程度的網(wǎng)絡(luò)風(fēng)險(xiǎn)和攻擊,持續(xù)為政府、企業(yè)等組織以及廣大網(wǎng)友的信息安全保駕護(hù)航。