搜索

[16828] 2021-05-25_攻击者隐藏踪迹的5种方式

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-05-25_攻击者隐藏踪迹的5种方式 攻 击 者 隐 藏 踪 迹 的 5 种 方 式 晶 颜 1 2 3   F r e e B u f   2 0 2 1 - 0 5 - 2 5 从 受 信 任 的 渗 透 测 试 工 具 到 从 受 信 任 的 渗 透 测 试 工 具 到 L O L B I N （ （ l i v i n g - o f f - t h e - l a n d   b i n a r i e s ） ， 攻 击 者 正 在 通 过 滥 用 受 信 任 的 平 台 和 协 ） ， 攻 击 者 正 在 通 过 滥 用 受 信 任 的 平 台 和 协 议 来 逃 避 安 全 检 测 。 议 来 逃 避 安 全 检 测 。 C I S O 们 拥 有 一 系 列 不 断 升 级 的 工 具 来 帮 助 其 发 现 和 阻 止 恶 意 活 动 ， 例 如 网 络 监 视 工 具 、 病 毒 扫 描 程 序 、 软 件 组 成 分 析 （ S C A ） 工 具 、 数 字 取 证 和 事 件 响 应 （ D F I R ） 解 决 方 案 等 等 。 但 是 ， 要 知 道 ， 网 络 安 全 本 质 上 是 攻 防 之 间 的 持 续 之 战 ， 在 防 御 者 不 断 完 善 自 身 技 能 和 工 具 的 同 时 ， 攻 击 者 也 在 不 断 提 出 新 的 挑 战 。 一 些 老 式 技 术 ， 例 如 隐 写 术 （ s t e g a n o g r a p h y ） — — 一 种 将 包 含 恶 意 有 效 负 载 的 信 息 隐 藏 在 其 他 良 性 文 件 （ 如 图 像 ） 中 的 技 术 — — 正 在 发 展 ， 从 而 带 来 了 新 的 可 能 性 。 例 如 ， 最 近 有 研 究 人 员 证 明 ， 甚 至 T w i t t e r 也 无 法 幸 免 于 隐 写 术 ， 该 平 台 上 的 图 像 可 能 会 被 滥 用 以 在 其 中 压 缩 多 达 3 M B 的 Z I P 档 案 。 更 糟 糕 的 现 实 是 ， 除 了 使 用 混 淆 、 隐 写 术 以 及 恶 意 软 件 打 包 技 术 之 外 ， 如 今 的 威 胁 行 为 者 还 经 常 利 用 合 法 服 务 、 平 台 、 协 议 和 工 具 来 开 展 活 动 。 这 使 他 们 能 够 渗 透 进 对 人 类 分 析 人 员 和 机 器 而 言 都 看 似 “ 干 净 ” 的 流 量 或 活 动 之 中 。 以 下 是 如 今 网 络 犯 罪 分 子 用 来 掩 盖 其 踪 迹 的 5 种 常 见 策 略 ： 滥 用 不 会 发 出 警 报 的 受 信 任 平 台 滥 用 不 会 发 出 警 报 的 受 信 任 平 台 这 是 安 全 专 家 在 2 0 2 0 年 就 已 经 发 现 的 一 个 普 遍 现 象 ， 且 一 直 持 续 到 了 今 年 。 从 渗 透 测 试 服 务 和 工 具 （ 例 如 C o b a l t   S t r i k e 和 N g r o k ） 到 已 建 立 的 开 源 代 码 生 态 系 统 （ 如 G i t H u b ） ， 再 到 图 像 和 文 本 网 站 （ 如 I m g u r 和 P a s t e b i n ） ， 攻 击 者 在 过 去 几 年 中 已 将 目 标 锁 定 为 广 泛 的 受 信 任 平 台 。 通 常 来 说 ， N g r o k 的 受 众 大 多 为 道 德 黑 客 ， 他 们 会 利 用 该 服 务 收 集 数 据 或 为 入 站 连 接 建 立 模 拟 隧 道 ， 作 为 漏 洞 赏 金 练 习 或 渗 透 测 试 活 动 的 一 部 分 。 但 如 今 ， 越 来 越 多 的 恶 意 行 为 者 却 在 滥 用 N g r o k 直 接 安 装 僵 尸 网 络 恶 意 软 件 ， 或 将 合 法 的 通 信 服 务 连 接 到 恶 意 服 务 器 。 在 最 近 的 示 例 中 ， S A N S 研 究 所 的 X a v i e r   M e r t e n s 发 现 了 一 个 用 P y t h o n 编 写 的 此 类 恶 意
软 件 样 本 ， 其 中 包 含 b a s e 6 4 编 码 的 代 码 ， 以 便 在 使 用 N g r o k 的 受 感 染 系 统 上 植 入 后 门 。 由 于 N g r o k 受 到 广 泛 信 任 ， 因 此 远 程 攻 击 者 可 以 通 过 N g r o k 隧 道 连 接 到 受 感 染 的 系 统 ， 而 该 隧 道 可 能 会 绕 过 公 司 防 火 墙 或 N A T 保 护 。 除 此 之 外 ， G i t H u b 也 被 滥 用 来 将 恶 意 软 件 从 O c t o p u s   S c a n n e r 托 管 到 G i t p a s t e - 1 2 。 最 近 ， 研 究 人 员 发 现 ， 一 种 新 的 恶 意 软 件 使 用 带 有 宏 的 W o r d 文 档 从 G i t H u b 下 载 P o w e r S h e l l 脚 本 。 这 个 P o w e r S h e l l 脚 本 进 一 步 从 图 像 托 管 服 务 I m g u r 下 载 合 法 的 图 像 文 件 ， 以 解 码 W i n d o w s 系 统 上 的 C o b a l t   S t r i k e 脚 本 。 C o b a l t   S t r i k e 是 一 种 流 行 的 渗 透 测 试 框 架 ， 用 于 模 拟 先 进 的 现 实 世 界 网 络 攻 击 ， 但 像 任 何 安 全 软 件 产 品 一 样 ， 它 同 样 可 能 会 遭 到 攻 击 者 的 滥 用 。 同 样 地 ， 开 发 人 员 所 依 赖 的 自 动 化 工 具 也 无 法 幸 免 。 4 月 ， 攻 击 者 在 一 次 自 动 攻 击 中 滥 用 了 G i t H u b   A c t i o n s 来 攻 击 数 百 个 存 储 库 ， 该 攻 击 使 用 G i t H u b 的 服 务 器 和 资 源 进 行 加 密 货 币 挖 掘 。 据 悉 ， G i t H u b   A c t i o n s   是   G i t H u b   U n i v e r s e   开 发 者 大 会 上 发 布 的 一 款 被 G i t h u b 系 统 主 管 S a m   L a m b e r t 称 为 “ 再 次 改 变 软 件 开 发 ” 的 重 磅 功 能 ， 支 持   C I / C D   并 对 开 源 项 目 免 费 ， 让 开 发 者 能 在   G i t H u b   服 务 器 上 直 接 执 行 和 测 试 代 码 ， 帮 助 开 发 者 和 企 业 实 现 所 有 软 件 工 作 流 程 的 自 动 化 。 这 些 示 例 无 一 不 在 证 实 ， 攻 击 者 已 经 发 现 了 利 用 众 多 防 火 墙 和 安 全 监 视 工 具 可 能 无 法 阻 止 的 合 法 平 台 的 巨 大 价 值 。 利 用 品 牌 价 值 、 声 誉 或 知 名 度 进 行 上 游 攻 击 利 用 品 牌 价 值 、 声 誉 或 知 名 度 进 行 上 游 攻 击 在 最 近 的 S o l a r W i n d s 漏 洞 之 后 ， 软 件 供 应 链 安 全 问 题 可 能 已 经 引 起 了 公 众 的 广 泛 关 注 ， 但 实 际 上 ， 这 些 攻 击 已 经 上 升 了 一 段 时 间 。 无 论 是 误 植 域 名 （ t y p o s q u a t t i n g ） 、 品 牌 劫 持 （ b r a n d j a c k i n g ） 或 是 依 赖 混 乱 （ d e p e n d e n c y   c o n f u s i o n ， 最 初 是 作 为 概 念 验 证 研 究 被 发 现 ， 后 来 被 滥 用 为 恶 意 目 的 ） ， “ 上 游 ” 攻 击 都 滥 用 了 已 知 合 作 伙 伴 生 态 系 统 内 的 信 任 ， 并 利 用 了 品 牌 或 软 件 组 件 的 知 名 度 或 声 誉 。 攻 击 者 旨 在 将 恶 意 代 码 向 上 游 推 送 到 与 品 牌 相 关 联 的 受 信 任 代 码 库 ， 然 后 将 其 下 游 分 发 到 最 终 目 标 ： 该 品 牌 的 合 作 伙 伴 、 客 户 或 用 户 等 。 要 知 道 ， 任 何 面 向 所 有 人 开 放 的 系 统 ， 同 样 地 也 会 向 攻 击 者 开 放 。 因 此 ， 许 多 供 应 链 攻 击 都 是 针 对 开 源 生 态 系 统 的 ， 而 其 中 一 些 已 经 懈 怠 于 进 行 验 证 ， 并 坚 持 “ 向 所 有 人 开 放 ” 的 原 则 。 但 是 ， 商 业 组 织 也 会 由 此 受 到 攻 击 影 响 。 最 近 ， 软 件 审 计 平 台 C o d e c o v 遭 黑 客 入 侵 。 调 查 发 现 ， 攻 击 从 1 月 3 1 日 就 开 始 进 行 ， 但 第 一 个 客 户 发 现 不 对 劲 时 已 经 是 4 月 1 日 ， 这 表 示 被 入 侵 的 软 件 在 长 达 数 月 时 间 里 正 常 流 通 ， 而 C o d e c o v 一 直 被 行 业 内 多 家 公 司 用 来 测 试 代 码 错 误 和 漏 洞 ， 其 客 户 包 括 了 消 费 品 集 团 宝 洁 公 司 、 网 络 托 管 公 司 G o D a d d y   I n c 、 澳 大 利 亚 软 件 公 司 A t l a s s i a n   C o r p o r a t i o n   P L C 在 内 的 2 9 , 0 0 0 多 家 企 业 ， 所 以 潜 在 受 害 者 规 模 可 想 而 知 。 据 悉 ， 在 此 次 攻 击 中 ， 黑 客 利 用 C o d e c o v 的 D o c k e r 映 像 创 建 过 程 中 出 现 的 错 误 ， 非 法 获 得 了 其 B a s h   U p l o a d e r 脚 本 的 访 问 权 限 并 且 进 行 了 修 改 。 而 这 意 味 着 攻 击 者 很 有 可 能 导 出 存 储 在 C o d e c o v 用 户 的 持 续 集 成 ( C I ) 环 境 中 的 信 息 ， 最 后 将 信 息 发 送 到 C o d e c o v 基 础 架 构 之 外 的 第 三 方 服 务 器 。 防 范 供 应 链 攻 击 需 要 从 多 个 方 面 进 行 努 力 。 软 件 提 供 商 将 需 要 加 大 投 资 以 确 保 其 开 发 版 本 的 安 全 。 基 于 A I 和 M L 的 d e v o p s 解 决 方 案 能 够 自 动 检 测 和 阻 止 可 疑 软 件 组 件 ， 可 以 帮 助 防 止 域 名 抢 注 、 品 牌 劫 持 和 依 赖 混 乱 攻 击 。 此 外 ， 随 着 越 来 越 多 的 公 司 采 用 K u b e r n e t e s 或 D o c k e r 容 器 来 部 署 其 应 用 程 序 ， 具 有 内 置 W e b 应 用 程 序 防 火 墙 ， 并 能 够 及 早 发 现 简 单 的 错 误 配 置 错 误 的 容 器 安 全 解 决 方 案 ， 可 以 帮 助 防 止 更 大 的 妥 协 。 通 过 难 以 追 踪 的 方 式 向 加 密 货 币 支 付 转 移 通 过 难 以 追 踪 的 方 式 向 加 密 货 币 支 付 转 移 鉴 于 其 分 散 化 和 注 重 隐 私 的 设 计 ， 暗 网 市 场 卖 家 和 勒 索 软 件 运 营 商 经 常 使 用 加 密 货 币 进 行 支 付 。 然 而 ， 尽 管 并 非 由 政 府 中 央 银 行 铸 造 或 控 制 ， 但 加 密 货 币 仍 然 缺 乏 与 现 金 相 同 的 匿 名 性 。 因 此 ， 网 络 犯 罪 分 子 开 始 不 断 寻 找 在 账 户 间 转 移 资 金 的 创 新 方 法 ， 而 且 确 实 被 他 们 找 到 了 。
最 近 ， 与 2 0 1 6 年 B i t f i n e x 黑 客 事 件 相 关 的 价 值 7 . 6 亿 美 元 的 比 特 币 正 在 通 过 多 个 较 小 的 交 易 被 转 移 到 新 帐 户 中 ， 交 易 金 额 从 1   B T C 到 1 , 2 0 0   B T C 不 等 。 不 过 ， 加 密 货 币 并 非 隐 藏 钱 迹 万 无 一 失 的 方 法 。 就 在 2 0 2 0 年 美 国 总 统 大 选 之 夜 ， 美 国 政 府 清 空 了 一 个 1 0 亿 美 元 的 比 特 币 钱 包 ， 其 中 包 含 与 最 臭 名 昭 著 的 暗 网 市 场 “ 丝 绸 之 路 ” 相 关 的 资 金 ， 而 该 市 场 本 身 已 在 2 0 1 3 年 被 关 闭 。 诸 如 M o n e r o （ X M R ） 和 Z c a s h （ Z E C ） 之 类 的 其 他 一 些 加 密 货 币 ， 具 有 比 比 特 币 更 匿 名 的 匿 名 交 易 保 护 功 能 。 随 着 攻 击 者 不 断 寻 找 隐 藏 其 踪 迹 的 更 好 方 法 ， 犯 罪 分 子 和 调 查 人 员 之 间 的 较 量 无 疑 将 在 这 方 面 继 续 。 使 用 通 用 渠 道 和 协 议 使 用 通 用 渠 道 和 协 议 像 受 信 任 的 平 台 和 品 牌 一 样 ， 合 法 应 用 程 序 所 使 用 的 加 密 通 道 、 端 口 和 协 议 也 为 攻 击 者 提 供 了 另 一 种 掩 盖 其 足 迹 的 方 法 。 例 如 ， H T T P S 是 当 今 W e b 上 最 为 普 遍 且 不 可 缺 少 的 协 议 ， 因 此 ， 在 公 司 环 境 中 很 难 禁 用 端 口 4 4 3 （ 由 H T T P S   /   S S L 使 用 ） 。 然 而 ， D o H （ D N S   O v e r   H T T P S ， 一 种 用 于 解 决 域 名 的 协 议 ） 也 使 用 端 口 4 4 3 ， 并 且 已 被 恶 意 软 件 开 发 者 滥 用 来 将 其 命 令 和 控 制 （ C 2 ） 命 令 传 输 到 受 感 染 的 系 统 。 2 0 1 9 年 ， N e t w o r k   S e c u r i t y   研 究 人 员 发 现 了 首 个 利 用 D o H 协 议 的 恶 意 软 件 ， 它 就 是 基 于 L u a 编 程 语 言 的 G o d l u a ， 通 过 使 用 D o H ， 该 恶 意 软 件 可 以 通 过 加 密 的 H T T P S 连 接 隐 藏 其 D N S 流 量 ， 从 而 允 许 G o d l u a 逃 避 被 动 D N S 监 控 。 此 外 ， 这 种 情 况 还 带 来 了 两 个 问 题 。 首 先 ， 通 过 滥 用 H T T P S 或 D o H 之 类 的 通 用 协 议 ， 攻 击 者 享 有 与 合 法 用 户 相 同 的 端 到 端 加 密 通 道 的 隐 私 优 势 。 其 次 ， 这 给 网 络 管 理 员 带 来 了 挑 战 。 阻 止 任 何 形 式 的 D N S 本 身 都 是 一 个 挑 战 ， 但 是 现 在 ， 由 于 D N S 请 求 和 响 应 都 通 过 H T T P S 进 行 了 加 密 ， 因 此 对 于 安 全 专 业 人 员 来 说 ， 从 经 由 网 络 传 入 和 传 出 的 许 多 H T T P S 请 求 中 拦 截 、 筛 选 和 分 析 可 疑 流 量 就 变 得 很 麻 烦 。 最 近 ， 研 究 人 员 A l e x   B i r s a n 证 实 ， 通 过 依 赖 性 混 乱 （ d e p e n d e n c y   c o n f u s i o n ） 技 术 可 以 成 功 入 侵 超 过 3 5 家 大 型 技 术 公 司 ， 包 括 微 软 、 苹 果 、 特 斯 拉 、 P a y P a l 、 Y e l p 等 。 而 此 举 ， 也 让 其 顺 利 获 得 两 家 公 司 价 值 3 万 美 元 的 漏 洞 悬 赏 。 据 B i r s a n 介 绍 ， 通 过 使 用 D N S （ 端 口 5 3 ） 窃 取 基 本 信 息 ， 能 够 最 大 程 度 地 提 高 成 功 率 。 而 之 所 以 选 择 D N S ， 是 因 为 由 于 性 能 要 求 和 合 法 的 D N S 使 用 ， 公 司 防 火 墙 极 有 可 能 不 阻 止 D N S 流 量 。 使 用 签 名 的 二 进 制 文 件 运 行 混 淆 的 恶 意 软 件 使 用 签 名 的 二 进 制 文 件 运 行 混 淆 的 恶 意 软 件 使 用 L O L B I N 的 无 文 件 恶 意 软 件 仍 然 是 一 种 有 效 的 逃 避 技 术 。 L O L B I N 是 指 合 法 的 、 经 过 数 字 签 名 的 可 执 行 文 件 ， 例 如 M i c r o s o f t 签 署 的 W i n d o w s 可 执 行 文 件 ， 攻 击 者 可 能 会 滥 用 这 些 可 执 行 文 件 来 以 更 高 的 特 权 启 动 恶 意 代 码 ， 或 者 逃 避 端 点 安 全 产 品 （ 例 如 防 病 毒 软 件 ） 。 上 个 月 ， M i c r o s o f t 分 享 了 一 些 针 对 该 方 法 的 防 御 技 术 指 南 ， 企 业 可 以 采 用 这 些 建 议 来 防 止 攻 击 者 滥 用 M i c r o s o f t 的 A z u r e   L O L B I N 。 尽 管 混 淆 的 恶 意 软 件 、 运 行 时 压 缩 器 （ ( R u n t i m e   P a c k e r ） 、 V M 逃 避 或 在 图 像 中 隐 藏 恶 意 有 效 负 载 是 高 级 威 胁 惯 用 的 已 知 逃 避 技 术 ， 但 其 真 正 的 力 量 来 自 绕 过 安 全 产 品 或 逃 避 “ 雷 达 ” 检 测 。 当 有 效 负 载 在 某 种 程 度 上 与 受 信 任 的 软 件 组 件 、 协 议 、 通 道 、 服 务 或 平 台 相 结 合 时 ， 这 些 攻 击 场 景 都 将 成 为 可 能 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理