騰訊安全《2018年高級持續(xù)性威脅研究報(bào)告》發(fā)布 揭秘四大主流攻擊技術(shù)

　　網(wǎng)絡(luò)安全圈內(nèi)流傳著這樣一句話:世界上只有兩種大型企業(yè),一種是知道已經(jīng)被黑客入侵的企業(yè),另一種則是被入侵卻渾然不知的企業(yè)。盡管不少人認(rèn)為,這樣的言論未免言過其實(shí),但不可否認(rèn)的是,以高級可持續(xù)性攻擊活動(下稱“APT攻擊”)為代表的高級新型攻擊,正在沖擊著企業(yè)安全防線,作惡團(tuán)伙暗中潛伏,伺機(jī)發(fā)起攻擊竊取機(jī)密數(shù)據(jù)、破壞生產(chǎn)系統(tǒng)。整個2018年全球范圍內(nèi)的APT攻擊逐漸呈現(xiàn)高發(fā)態(tài)勢。

　　在此背景下,騰訊安全近日正式對外發(fā)布《2018年高級持續(xù)性威脅研究報(bào)告》(以下簡稱《報(bào)告》),針對全球各大安全團(tuán)隊(duì)的安全研究報(bào)告進(jìn)行研究,并提取了相關(guān)的指標(biāo)進(jìn)行持續(xù)的分析和跟蹤工作,全面剖析全球范圍內(nèi)APT組織分布及攻擊技術(shù),同時還對四大攻擊技術(shù)趨勢進(jìn)行預(yù)測,對網(wǎng)絡(luò)信息安全行業(yè)發(fā)展具有參考意義。

　　APT全球攻擊事件頻發(fā) 中國成跨國APT組織重點(diǎn)攻擊目標(biāo)

　　APT攻擊的本質(zhì)是針對性攻擊,常用于國家間的網(wǎng)絡(luò)攻擊,主要通過向目標(biāo)計(jì)算機(jī)投放特種木馬(俗稱“特馬”),以此竊取國家機(jī)密信息和重要企業(yè)的核心商業(yè)信息、破壞網(wǎng)絡(luò)基礎(chǔ)設(shè)施等,具有相當(dāng)強(qiáng)烈的政治、經(jīng)濟(jì)目的。APT的攻擊手法,在于隱匿自己,針對特定對象,長期、有計(jì)劃性和組織性地竊取數(shù)據(jù),屬于“網(wǎng)絡(luò)間諜”行為。近年來,APT攻擊對企業(yè)業(yè)務(wù)的正常運(yùn)轉(zhuǎn)構(gòu)成了不小的威脅,并最終殃及普通網(wǎng)民。如2018年12月某APT組織對驅(qū)動人生公司發(fā)動的定向攻擊,挾持其升級通道大規(guī)模安裝和傳播云控木馬,進(jìn)而在受感染機(jī)器上挖礦牟利。

　　《報(bào)告》顯示,在2018年全年,全球共計(jì)35個安全機(jī)構(gòu)發(fā)布了206篇APT相關(guān)的研究報(bào)告,涉及高達(dá)58個APT組織。從被攻擊地區(qū)分布來看,東亞和東南亞都遙遙領(lǐng)先于世界其他地區(qū)。而歐洲和北美則保持精英化的狀態(tài),雖然攻擊組織不多,但是都是實(shí)力雄厚的攻擊組織。

　　(圖:全球被攻擊地區(qū)分布)

　　隨著中國在全球化進(jìn)程中影響力的不斷提升,政府、企業(yè)及民間機(jī)構(gòu)與世界各國聯(lián)系的更加密切,我國已逐漸成為跨國APT組織的重點(diǎn)攻擊目標(biāo),也是實(shí)際遭受攻擊最嚴(yán)重的國家之一。整個2018年,騰訊安全監(jiān)測到針對國內(nèi)目標(biāo)發(fā)動的境內(nèi)外APT組織至少有7個,且均處于高度活躍狀態(tài)。海蓮花、黑店、白象、蔓靈花、藍(lán)寶菇等APT組織長期針對中國敏感機(jī)構(gòu)和行業(yè)發(fā)動攻擊。從行業(yè)分布來看,政府、能源、軍工等基礎(chǔ)設(shè)施是重要的攻擊目標(biāo)。地域分布上,遼寧、北京和廣東是國內(nèi)受APT攻擊最多的地區(qū)。

　　(圖:國內(nèi)被攻擊地域分布)

　　目前,針對國內(nèi)發(fā)動的APT攻擊活動日益增多,給國家有關(guān)部門、企業(yè)機(jī)構(gòu)以及各大高校帶來了較為嚴(yán)峻的挑戰(zhàn)。對此,《報(bào)告》提醒各大機(jī)關(guān)、企業(yè)以及個人用戶,及時修補(bǔ)系統(tǒng)補(bǔ)丁和重要軟件的補(bǔ)丁,全面提升網(wǎng)絡(luò)安全意識,不要打開來歷不明的郵件附件內(nèi)容,同時不要輕易啟用Office的宏代碼功能。

　　APT攻擊技術(shù)全面升級 四大攻擊手段將成未來發(fā)展趨勢

　　在2018過去一年發(fā)生的APT攻擊事件中,不斷出現(xiàn)新的攻擊模式和技術(shù)的組合,給當(dāng)前的信息安全環(huán)境帶來了越來越多的挑戰(zhàn)。

　　《報(bào)告》指出,魚叉攻擊、水坑攻擊以及遠(yuǎn)程可執(zhí)行漏洞和密碼爆破攻擊三大攻擊手段依然是APT攻擊的最主要方式。魚叉攻擊使用魚叉結(jié)合社工類的方式,投遞帶有惡意文件的附件,誘使被攻擊者打開。從曝光的APT攻擊活動看,2018年使用魚叉攻擊的APT活動比例超過95%;同時APT組織還會在目標(biāo)用戶必經(jīng)之地設(shè)置“水坑”進(jìn)行“守株待兔”。其中,海蓮花、socketplayer等組織均使用過該攻擊方式。除了魚叉和水坑攻擊,利用遠(yuǎn)程可執(zhí)行漏洞和服務(wù)器口令爆破進(jìn)行攻擊,也成為了一種可選的攻擊方式。

　　(圖:水坑攻擊示例文件)

　　不僅如此,APT攻擊者還開始采取更為高端的攻擊技巧,對普通網(wǎng)絡(luò)黑產(chǎn)從業(yè)者起到教科書般的“指導(dǎo)示范”作用。《報(bào)告》預(yù)測,Fileless攻擊(無文件攻擊)、將通信的C&C服務(wù)器存放在公開的社交網(wǎng)站上、使用公開或者開源工具、多平臺攻擊和跨平臺攻擊將成未來APT攻擊技術(shù)的主要發(fā)展趨勢。

　　(圖:Fileless攻擊示例文件)

　　以Fileless攻擊為例,隨著各安全廠商對PE文件的檢測和防御能力不斷增強(qiáng),APT攻擊者越來越多地開始使用無PE文件落地的攻擊方式進(jìn)行攻擊。目前海蓮花、MuddyWater等攻擊組織都擅長使用該方式進(jìn)行攻擊。

　　除了PC端和移動端,路由器平臺也成為了APT組織的攻擊對象,如VPNFilter目前已攻擊了10多個國家的至少50萬臺路由器設(shè)備。

　　安全挑戰(zhàn)升級 技術(shù)創(chuàng)新驅(qū)動網(wǎng)絡(luò)安全行業(yè)發(fā)展

　　縱觀時下網(wǎng)絡(luò)安全環(huán)境,越來越多的政府機(jī)構(gòu)和全球化企業(yè)在安全控管上投入了巨大的人力和物力,但APT組織仍能滲透進(jìn)而得逞。如何應(yīng)對不斷呈現(xiàn)出以跨國界、跨領(lǐng)域、攻擊手法升級為主要特征的APT攻擊無疑成為亟待解決的問題。

　　目前來看,傳統(tǒng)的“單兵作戰(zhàn)”防御方式勢必?zé)o法與APT組織抗衡。為此,騰訊安全推出御界高級威脅檢測體系,這是基于騰訊安全反病毒實(shí)驗(yàn)室的安全能力、依托騰訊在云端的海量數(shù)據(jù),研發(fā)出的獨(dú)特威脅情報(bào)和惡意檢測模型系統(tǒng)。在終端防御方面,騰訊安全推出的御點(diǎn)終端安全管理系統(tǒng),將百億量級云查殺病毒庫、引擎庫以及騰訊TAV殺毒引擎、系統(tǒng)修復(fù)引擎應(yīng)用到企業(yè)內(nèi)部,可有效防御企業(yè)內(nèi)網(wǎng)終端的病毒木馬攻擊。

　　(圖:騰訊御界高級威脅檢測體系)

　　綜合整個《報(bào)告》不難看出,APT攻擊已呈愈演愈烈之勢,但以騰訊安全為代表的安全研究團(tuán)隊(duì)正通過一系列的產(chǎn)品和技術(shù),對抗APT攻擊等高科技違法犯罪行為,隨時應(yīng)對各種不同程度的網(wǎng)絡(luò)風(fēng)險(xiǎn)和攻擊,持續(xù)為政府、企業(yè)等組織以及廣大網(wǎng)友的信息安全保駕護(hù)航。