搜索

[15240] 2020-04-11_M-Trends2020报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-11_M-Trends2020报告 M - T r e n d s   2 0 2 0 报 告 K r i s t o n   F r e e B u f   2 0 2 0 - 0 4 - 1 1 1 5 年 来 年 来 F i r e E y e 每 天 都 在 检 测 和 响 应 网 络 攻 击 ， 每 天 都 在 检 测 和 响 应 网 络 攻 击 ，   M - T r e n d s   2 0 2 0 是 为 网 络 安 全 社 区 提 供 一 线 安 全 信 息 报 告 的 第 是 为 网 络 安 全 社 区 提 供 一 线 安 全 信 息 报 告 的 第 1 1 年 。 年 。 未 来 威 胁 分 析 未 来 威 胁 分 析 2 0 2 0 M - T r e n d s 中 的 变 化 趋 势 和 最 新 观 察 结 果 包 括 ： 攻 击 者 将 跨 多 种 操 作 系 统 和 设 备 类 型 以 及 本 地 和 云 体 系 结 构 进 行 攻 击 。 随 着 时 间 的 推 移 ， 更 多 的 攻 击 者 可 以 在 更 多 不 同 的 环 境 中 做 更 多 的 事 情 。 A P T 4 1 组 织 攻 击 威 胁 ， 该 小 组 至 少 可 以 追 溯 到 2 0 1 2 年 ， 当 时 他 们 主 要 是 针 对 视 频 游 戏 行 业 。 F i r e E y e 今 年 观 察 到 的 所 有 恶 意 软 件 中 ， 以 前 未 知 的 占 4 1 ％ 。 研 发 人 员 正 在 创 新 技 术 （ 可 能 是 为 了 逃 避 检 测 技 术 ） ， 不 仅 仅 是 对 现 有 恶 意 软 件 更 新 。 以 经 济 利 益 为 目 标 的 网 络 犯 罪 分 子 将 勒 索 软 件 作 为 其 次 要 收 入 来 源 。 网 络 犯 罪 分 子 也 在 外 包 任 务 ， 以 更 快 地 从 中 获 利 。 为 了 扩 大 获 利 方 式 ， 已 经 观 察 到 针 对 公 司 奖 励 系 统 窃 取 礼 品 卡 ， 然 后 将 这 些 礼 品 卡 转 售 或 用 于 直 接 购 买 。 数 据 分 析 数 据 分 析 报 告 统 计 数 据 基 于 F i r e E y e   M a n d i a n t 对 2 0 1 8 年 1 0 月 1 日 至 2 0 1 9 年 9 月 3 0 日 之 间 的 攻 击 活 动 调 查 。 内 部 检 测 到 的 威 胁 比 例 下 降 了 1 2 个 百 分 点 ， 这 是 自 2 0 1 1 年 以 来 该 指 标 的 最 大 降 幅 。 四 年 来 ， 外 部 威 胁 首 次 超 过 内 部 。 这 种 转 变 可 能 是 由 于 多 种 因 素 引 起 的 ， 例 如 网 络 安 全 供 应 商 和 执 法 部 门 的 通 报 ， 网 络 安 全 行 业 的 持 续 扩 展 ， 公 共 披 露 规 范 更 合 规 。 数 据 统 计 如 下 ： 来 源 分 析 来 源 分 析 威 胁 来 源 分 析 （ 内 部 与 外 部 ） 不 同 地 区 威 胁 来 源 分 析 不 同 地 区 1 8 - 1 9 年 威 胁 来 源 分 析 驻 留 时 间 驻 留 时 间 组 织 能 够 更 快 地 找 到 并 遏 制 攻 击 者 。 去 年 所 有 驻 留 时 间 都 有 所 改 善 ， 内 部 发 现 事 件 从 5 0 天 缩 短 到 3 0 天 。 在 2 0 1 9 年 有 4 1 ％ 的 驻 留 时 间 为 3 0 天 或 更 短 ， 去 年 为 3 1 ％ 。 1 2 ％ 的 驻 留 时 间 超 过 7 0 0 天 ， 与 上 一 年 相 同 。 这 些 趋 势 可 能 是 由 于 攻 击 者 研 发 的 检 测 程 序 ， 以 及 行 为 变 化 。 破 坏 性 攻 击 （ 例 如 勒 索 软 件 和 加 密 货 币 矿 工 ） 持 续 增 加 ， 其 驻 留 时 间 通 常 比 其 他 攻 击 类 型 短 。
在 美 洲 驻 留 时 间 中 位 数 呈 下 降 趋 势 ， 分 析 回 顾 美 洲 驻 留 时 间 不 超 过 1 4 天 的 事 件 调 查 ， 4 3 % 涉 及 勒 索 软 件 等 破 坏 性 攻 击 。 研 究 人 员 还 观 察 到 多 次 破 坏 性 攻 击 的 驻 留 时 间 远 高 于 总 体 中 值 。 美 洲 平 均 驻 留 时 间 减 少 的 其 他 原 因 包 括 内 部 探 测 （ 占 3 0 % ） ， 有 效 的 外 部 通 报 （ 占 2 7 % ） 。 亚 太 地 区 2 0 1 9 年 的 平 均 时 间 从 上 年 的 2 0 4 天 减 少 到 5 4 天 。 统 计 数 据 中 有 大 量 勒 索 软 件 ， 停 留 时 间 为 零 天 。 如 果 没 有 这 些 勒 索 软 件 ， 亚 太 地 区 的 平 均 时 间 为 9 4 天 ， 仍 比 上 一 年 有 所 改 善 ， 但 更 能 反 映 该 地 区 真 实 趋 势 。 2 0 1 9 年 调 查 中 ， 有 1 0 % 时 间 超 过 3 年 ， 亚 太 地 区 报 告 的 最 长 时 间 为 2 8 5 4 天 ， 接 近 8 年 。 与 过 去 几 年 一 样 ， 攻 击 者 在 亚 太 地 区 目 标 中 保 持 长 时 间 访 问 权 限 。 欧 洲 、 中 东 和 非 洲 的 时 间 明 显 减 少 ， 目 前 总 体 上 与 全 球 平 均 数 保 持 一 致 。 虽 然 已 经 取 得 了 显 著 的 改 进 ， 但 仍 有 攻 击 者 在 目 标 中 长 时 间 未 被 发 现 。 与 去 年 相 比 ， 外 部 通 报 的 数 量 超 过 了 内 部 检 测 。 目 标 行 业 目 标 行 业
过 去 一 年 中 发 现 ： 7 % 的 攻 击 源 于 或 使 用 了 有 漏 洞 的 第 三 方 访 问 1 5 % 有 多 个 攻 击 者 不 到 1 % 的 攻 击 涉 及 内 部 人 员 2 2 % 的 数 据 盗 窃 是 知 识 产 权 窃 取 或 间 谍 活 动 2 9 % 的 人 有 可 能 获 得 直 接 的 经 济 利 益 。 包 括 勒 索 ， 赎 金 ， 偷 卡 ， 非 法 传 输 这 些 有 针 对 性 的 攻 击 中 有 3 % 是 为 了 转 售 在 入 侵 中 获 得 的 访 问 权 限 4 % 创 建 攻 击 体 系 结 构 进 一 步 渗 透 3 1 % 的 企 业 组 织 在 1 2 个 月 内 再 次 受 到 攻 击 威 胁 组 织 威 胁 组 织 威 胁 来 自 已 建 立 的 组 织 活 动 ， 以 及 去 年 出 现 的 数 百 个 新 的 威 胁 组 织 。 来 自 六 个 不 同 国 家 的 1 0 个 金 融 威 胁 集 团 （ F I N ） 和 1 7 个 A P T 集 团 （ 占 所 有 已 知 A P T 集 团 的 4 4 % ） 。 恶 意 软 件 恶 意 软 件 2 0 1 9 年 观 察 到 超 过 5 0 0 个 新 的 恶 意 软 件 家 族 。 这 些 新 恶 意 软 件 中 的 大 多 数 影 响 了 W i n d o w s 或 多 个 平 台 。
技 术 分 析 技 术 分 析 M I T R E   A T T & C K   F r a m e w o r k
A P T 4 1 A P T 4 1 是 一 个 多 产 的 网 络 威 胁 组 织 ， 该 小 组 的 活 动 可 以 追 溯 到 2 0 1 2 年 ， 当 时 A P T 4 1 主 要 针 对 视 频 游 戏 行 业 。 A P T 4 1 进 行 供 应 链 攻 击 ， 够 将 恶 意 代 码 注 入 合 法 文 件 中 。 攻 击 影 响 了 许 多 组 织 和 个 人 ， 但 是 A P T 4 1 仅 对 一 部 分 受 害 者 进 行 了 后 续 活 动 ， 表 明 A P T 4 1 只 对 特 定 目 标 感 兴 趣 。 根 据 早 期 观 察 到 的 活 动 以 及 A P T 4 1 对 视 频 游 戏 行 业 的 关 注 ， 该 组 织 很 可 能 是 出 于 经 济 利 益 或 业 余 爱 好 发 起 的 攻 击 活 动 。 之 后 该 组 织 瞄 准 高 等 教 育 ， 电 信 ， 旅 行 服 务 和 新 闻 / 媒 体 公 司 。 该 组 织 最 新 活 动 包 括 定 位 通 话 记 录 信 息 和 S M S 数 据 。 安 全 分 析 安 全 分 析 恶 意 软 件 家 族 恶 意 软 件 家 族 作 为 一 个 家 族 ， 不 需 要 代 码 是 1 0 0 ％ 相 同 的 ， 家 族 成 员 之 间 的 差 异 与 配 置 ， 命 令 控 制 ， 地 址 和 功 能 有 关 。 根 据 功 能 和 恶 意 软 件 的 演 变 方 式 ， 会 识 别 并 跟 踪 恶 意 软 件 家 族 中 的 子 组 或 子 家 族 。 2 0 1 8 年 1 0 月 至 2 0 1 9 年 9 月 期 间 ， 研 究 人 员 遇 到 了 1 8 6 个 恶 意 软 件 家 族 ， 数 以 万 计 的 恶 意 软 件 样 本 。 今 年 出 现 的 恶 意 软 件 家 族 中 有 4 1 ％ 第 一 次 发 现 。 确 定 的 样 本 中 有 7 0 ％ 属 于 五 个 最 常 出 现 的 家 族 之 一 ， 这 些 家 族 基 于 开 源 工 具 开 发 的 。 在 此 报 告 期 观 察 到 的 恶 意 软 件 中 ， 有 2 3 ％ 可 公 开 获 得 ， 并 被 一 系 列 攻 击 者 使 用 。 绝 大 多 数 恶 意 软 件 是 以 提 高 权 限 ， 横 向 移 动 为 目 的 。
类 别 类 别 根 据 恶 意 软 件 样 本 的 功 能 和 行 为 给 它 们 分 类 。 每 个 文 件 仅 属 于 一 个 类 别 。 文 件 类 型 文 件 类 型 恶 意 软 件 的 文 件 格 式 或 文 件 结 构 可 能 表 明 攻 击 者 针 对 的 体 系 结 构 或 操 作 系 统 。 大 多 数 样 本 都 是 可 执 行 （ P E ） 文 件 ， 其 余 部 分 包 括 脚 本 ， W e b S h e l l 和 . N E T 恶 意 软 件 。 可 访 问 性 可 访 问 性 恶 意 软 件 可 访 问 性 标 记 为 可 获 得 或 私 有 。 可 获 得 指 该 样 本 可 通 过 开 放 源 访 问 获 得 ， 或 在 地 下 论 坛 上 获 得 。 私 有 指 不 容 易 找 到 或 是 封 闭 源 。 混 淆 混 淆 脚 本 被 混 淆 或 打 包 以 阻 碍 分 析 ， 尤 其 是 通 过 自 动 化 系 统 进 行 分 析 。 例 如 ， W e b S h e l l 可 以 更 改 变 量 和 函 数 名 称 ， 控 制 流 和 字 符 串 编 码 。 可 执 行 文 件 使 用 打 包 技 术 来 减 小 其 有 效 负 载 或 阻 止 分 析 。
新 家 族 新 家 族 研 究 人 员 过 去 一 年 中 发 现 新 恶 意 软 件 家 族 占 4 1 ％ 。 T O P 家 族 家 族 在 2 0 1 9 年 分 析 了 1 8 6 个 恶 意 软 件 家 族 的 数 以 万 计 的 恶 意 软 件 变 体 ， 7 0 ％ 的 变 体 属 于 五 个 恶 意 软 件 家 族 ， 分 别 是 B E A C O N 、 E M P I R E 、 T R I C K B O T 、 S H O R T B E N C H 、 Q A K B O T 。 勒 索 软 件 货 币 化 勒 索 软 件 货 币 化 勒 索 软 件 攻 击 货 币 化 促 进 了 勒 索 软 件 案 件 的 增 加 ， 2 0 1 9 年 发 现 针 对 敏 感 信 息 的 攻 击 者 转 向 利 用 访 问 权 获 利 。 F I N 6 攻 击 者 使 用 域 管 理 员 凭 据 运 行 包 含 p s e x e c 命 令 的 批 处 理 文 件 ， 连 接 到 远 程 服 务 器 并 部 署 L o c k e r G o g a 。 批 处 理 脚 本 （ 如 下 图 ） 将 L o c k e r G o g a 作 为 服 务 执 行 ， 攻 击 者 试 图 伪 装 成 合 法 的 W i n d o w s 服 务 。 攻 击 者 使 用 的 批 处 理 文 件 名 为 “   x a a . b a t ” ， “   x a b . b a t ” ， “   x a c . b a t ” 等 。 U N C 1 7 3 3 在 2 0 1 9 年 ， U N C 1 7 3 3 瞄 准 了 一 家 零 售 商 ， 并 试 图 从 P O S 中 获 取 支 付 卡 信 息 。 攻 击 者 利 用 S h a r e P o i n t 服 务 器 C V E - 2 0 1 9 - 0 6 0 4 漏 洞 进 行 攻 击 。 在 侦 察 和 横 向 移 动 后 ， 攻 击 者 从 系 统 中 收 集 凭 据 来 获 得 域 管 理 员 特 权 ， 从 P O S 中 获 取 支 付 卡 信 息 。 攻 击 者 部 署 了 T R I N I T Y 和 W E T L I N K 以 从 P O S 系 统 的 内 存 中 获 取 支 付 卡 信 息 。 攻 击 者 使 用 了 C o b a l t   S t r i k e 后 门 来 加 载 未 知 的 勒 索 软 件 变 体 。 恶 意 软 件 服 务 恶 意 软 件 服 务 恶 意 活 动 常 见 环 节 ， 市 场 产 品 以 及 相 关 问 题 趋 势 如 下 图 。 s t a r t   c o p y   s v c h o s t . e x e   1 0 . 1 . 1 . 1 c $ w i n d o w s t e m p s t a r t   p s e x e c . e x e   1 0 . 1 . 1 . 1   - u   d o m a i n d o m a i n a d m i n   - p   “ p a s s w o r d ”   - d   - h   - r   m s t d c   - s   - a c c e p t e u l a   - n o b a n n e r   c : w i n d o w s t e m p s v c h o s t . e x e
市 场 与 价 格 ： 平 均 支 付 价 格 ： 网 络 犯 罪 分 子 提 供 工 具 或 服 务 提 高 他 们 获 利 的 速 度 ： 攻 击 者 可 购 买 恶 意 软 件 ， 被 盗 的 支 付 卡 数 据 以 及 受 害 者 网 络 。 内 部 威 胁 内 部 威 胁 在 过 去 的 一 年 中 ， 恶 意 内 部 人 员 破 坏 了 关 键 业 务 系 统 ， 泄 露 了 机 密 数 据 ， 员 工 被 勒 索 等 。 一 些 内 部 人 员 参 与 了 经 济 间 谍 活 动 。 恶 意 内 部 人 员 有 第 三 方 承 包 商 ， 现 有 员 工 和 以 前 的 员 工 。 他 们 的 真 正 目 标 包 括 跟 踪 ， 勒 索 ， 盗 窃 和 破 坏 知 识 产 权 。 内 部 人 员 通 常 会 采 取 措 施 隐 藏 其 恶 意 活 动 ， 即 使 发 现 了 他 们 的 恶 意 活 动 ， 内 部 人 员 仍 会 采 取 措 施 转 移 罪 责 。 在 2 0 1 9 年 发 现 了 四 种 内 部 威 胁 类 型 ， 勒 索 ， 经 济 间 谍 ， 资 产 破 坏 ， 工 作 场 所 跟 踪 等 。 勒 索 勒 索 研 究 人 员 发 现 越 来 越 多 的 内 部 人 参 与 了 勒 索 计 划 。 多 数 情 况 下 内 部 人 员 通 过 公 开 发 布 被 盗 数 据 来 勒 索 他 们 的 组 织 。 赎 金 常 要 求 为 数 字 货 币 （ 例 如 比 特 币 ） 付 款 。 大 多 数 勒 索 案 件 中 攻 击 者 向 公 司 高 管 发 送 电 子 邮 件 ， 指 出 某 些 敏 感 数 据 被 盗 ， 提 供 被 盗 数 据 证 明 ， 并 给 出 付 款 信 息 。 当 有 勒 索 需 事 件 发 生 时 必 须 查 清 ： 数 据 是 否 来 自 组 织 内 部 ？ 是 否 有 入 侵 证 据 ， 数 据 是 否 被 盗 ？ 是 否 使 用 了 合 法 的 凭 证 来 访 问 数 据 ？ 如 果 是 ， 这 些 凭 证 是 否 被 威 胁 者 窃 取 或 由 员 工 使 用 ？ 经 济 间 谍 经 济 间 谍 专 家 观 察 到 内 部 人 员 进 行 了 大 量 的 知 识 产 权 研 究 盗 窃 案 。 资 产 破 坏 资 产 破 坏 在 一 起 事 件 中 攻 击 者 表 示 可 以 访 问 内 部 网 络 ， 并 且 能 够 造 成 系 统 中 断 。 分 析 师 发 现 安 全 系 统 的 中 断 是 内 部 人 员 恶 意 操 作 的 结 果 ， 内 部 人 员 使 用 该 根 帐 户 删 除 了 几 个 关 键 的 操 作 系 统 文 件 ， 从 而 导 致 安 全 服 务 不 可 用 。 工 作 场 所 跟 踪 工 作 场 所 跟 踪 在 一 个 案 例 中 ， 警 报 指 示 员 工 正 在 尝 试 将 敏 感 客 户 文 件 复 制 到 U S B 驱 动 器 ， 进 一 步 的 分 析 表 明 ， 该 员 工 在 多 年 的 时 间 内 可 以 访 问 其 他 3 0 多 个 用 户 帐 户 。 员 工 使 用 此 帐 户 访 问 权 限 来 查 看 员 工 个 人 信 息 。 该 员 工 还 对 几 名 女 性 员 工 进 行 了 网 络 跟 踪 行 为 ， 阅 读 他 们 的 电 子 邮 件 ， 获 取 他 们 的 个 人 用 户 帐 户 凭 据 并 收 集 了 他 们 的 照 片 。 调 查 还 发 现 了 员 工 主 目 录 备 份 中 的 其 他 跟 踪 材 料 。 全 世 界 的 组 织 都 在 投 入 更 多 的 资 源 来 检 测 和 保 护 其 最 重 要 的 资 产 ， 防 止 恶 意 内 部 人 员 的 攻 击 。 但 在 许 多 情 况 下 ， 这 些 投 资 是 在 发 生 恶 意 事 件 之 后 进 行 的 。 内 部 人 员 背 叛 组 织 信 任 的 影 响 对 组 织 自 身 是 灾 难 性 的 ， 预 计 这 种 趋 势 将 持 续 到 2 0 2 0 年 及 以 后 。 云 安 全 云 安 全
多 数 A m a z o n   W e b   S e r v i c e s （ A W S ） 入 侵 都 是 以 泄 露 凭 证 开 始 的 。 在 一 起 事 件 响 应 案 例 中 ， A W S 访 问 密 钥 被 从 G i t H u b 存 储 库 中 窃 取 并 用 于 访 问 受 害 者 的 A W S 环 境 ： 第 一 阶 段 ： 将 G i t H u b 存 储 库 作 为 目 标 ， 攻 击 者 最 初 获 得 了 受 害 者 的 G i t H u b 代 码 存 储 库 的 凭 据 ， 该 凭 据 不 受 M F A 的 保 护 。 一 旦 攻 击 者 能 够 使 用 已 知 帐 户 访 问 G i t H u b 存 储 库 ， 则 将 通 过 搜 索 提 交 历 史 记 录 来 获 取 I A M 用 户 访 问 密 钥 。 I A M 用 户 访 问 密 钥 可 与 受 害 人 A W S 服 务 交 互 并 生 成 长 期 凭 证 。 第 二 阶 段 ： 攻 击 者 获 得 I A M 访 问 密 钥 后 ， 他 们 便 能 够 使 用 A W S   C L I 从 虚 拟 服 务 器 访 问 受 害 者 的 A W S 环 境 。 然 后 攻 击 者 利 用 A W S   C L I 与 A W S 环 境 进 行 交 互 。 第 三 阶 段 ： 攻 击 者 没 有 找 到 感 兴 趣 的 信 息 后 ， 为 新 的 I A M 用 户 账 户 配 置 了 A W S 管 理 控 制 台 和 编 程 访 问 权 限 ， 他 们 不 再 需 要 依 赖 从 G i t H u b 存 储 库 获 取 的 访 问 密 钥 。 创 建 E B S 卷 快 照 ， 创 建 一 个 E C 2 实 例 ， 安 装 快 照 并 将 现 有 的 安 全 策 略 附 加 到 E C 2 实 例 ， 允 许 开 放 2 2 端 口 。 然 后 ， 攻 击 者 将 受 害 者 的 A W S   R e l a t i o n a l   D a t a b a s e   S e r v i c e （ R D S ） 作 为 目 标 。 总 结 总 结 威 胁 形 势 不 断 变 化 的 同 时 ， 观 察 到 了 新 的 恶 意 软 件 家 族 ， 许 多 攻 击 者 都 是 多 年 来 常 见 的 对 象 ， 这 些 威 胁 和 活 动 永 远 不 会 停 止 。 看 到 攻 击 者 目 标 扩 展 ， 新 的 攻 击 方 法 产 生 ， 入 侵 活 动 和 威 胁 活 动 的 多 样 化 货 币 化 。 这 就 要 求 事 件 响 应 者 应 对 更 多 熟 悉 和 不 熟 悉 的 场 景 做 好 准 备 ， 检 测 到 攻 击 并 更 快 地 做 出 响 应 。 2 0 1 9 年 的 全 球 平 均 驻 留 时 间 为 5 6 天 ， 不 到 两 个 月 ， 越 来 越 多 的 组 织 自 行 确 定 了 问 题 所 在 。 许 多 统 计 数 据 表 明 ， 行 业 和 组 织 都 在 网 络 方 面 越 来 越 好 安 全 性 。 可 以 肯 定 的 是 ， 如 果 安 全 人 员 没 有 得 到 适 当 的 培 训 ， 安 全 投 资 将 无 法 达 到 预 期 的 效 果 。 通 过 与 现 实 世 界 的 攻 击 者 对 抗 ， 安 全 团 队 可 以 评 估 自 己 检 测 和 响 应 主 动 攻 击 的 能 力 。 应 急 准 备 评 估 和 事 故 应 急 响 应 练 习 也 有 助 于 提 高 防 范 能 力 。 这 些 练 习 使 参 与 者 知 道 在 典 型 的 入 侵 场 景 下 需 要 采 取 什 么 措 施 。 * 参 考 来 源 ： 参 考 来 源 ： f i r e e y e ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理