搜索

[20364] 2020-08-20_浅谈网络攻击追踪溯源

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-20_浅谈网络攻击追踪溯源 浅 谈 网 络 攻 击 追 踪 溯 源 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 2 0 以 下 文 章 来 源 于 雷 石 安 全 实 验 室   ， 作 者 雷 石 安 全 实 验 室 网 络 攻 击 追 踪 溯 源 网 络 攻 击 追 踪 溯 源 序 序 随 着 网 络 技 术 的 不 断 发 展 ， 信 息 安 全 已 经 成 为 社 会 越 来 越 重 视 的 问 题 ， 一 些 不 法 分 子 利 用 网 络 漏 洞 窃 取 用 户 的 重 要 信 息 。 攻 击 者 会 向 目 标 主 机 发 送 特 定 的 攻 击 数 据 包 或 执 行 恶 意 行 为 。 如 果 能 追 踪 这 些 攻 击 数 据 包 的 来 源 ， 定 位 攻 击 者 的 真 实 位 置 ， 受 害 主 机 不 但 可 以 采 用 应 对 措 施 ， 如 在 合 适 位 置 过 滤 攻 击 数 据 包 ， 而 且 可 以 对 攻 击 者 采 取 法 律 手 段 。 而 网 络 攻 击 追 踪 溯 源 利 用 各 种 手 段 追 踪 网 络 攻 击 的 发 起 者 。 相 关 技 术 提 供 了 定 位 攻 击 源 和 攻 击 路 径 ， 针 对 性 反 制 或 抑 制 网 络 攻 击 ， 以 及 网 络 取 证 能 力 ， 其 在 网 络 安 全 领 域 具 有 非 常 重 要 的 价 值 。   关 于 关 于 A P T 攻 击 攻 击 谈 到 网 络 攻 击 追 踪 溯 源 ， 绕 不 开 的 便 是 A P T 攻 击 ， 近 年 来 披 露 针 对 我 国 的 A P T 组 织 便 有 数 个 之 多 ， 窃 取 大 量 企 业 和 政 府 的 重 要 信 息 资 产 ， 对 信 息 系 统 可 用 性 、 可 靠 性 构 成 极 大 挑 战 的 信 息 安 全 威 胁 。 A P T 攻 击 ， 即 高 级 可 持 续 威 胁 攻 击 , 也 称 为 定 向 威 胁 攻 击 ， 指 某 组 织 对 特 定 对 象 展 开 的 持 续 有 效 的 攻 击 活 动 。 这 种 攻 击 活 动 具 有 极 强 的 隐 蔽 性 和 针 对 性 , 通 常 会 运 用 受 感 染 的 各 种 介 质 、 供 应 链 和 社 会 工 程 学 等 多 种 手 段 实 施 先 进 的 、 持 久 的 且 有 效 的 威 胁 和 攻 击 ， 常 见 的 攻 击 方 式 有 鱼 叉 攻 击 和 水 坑 攻 击 。 A P T 攻 击 从 攻 击 开 始 到 达 成 目 的 ， 有 的 甚 至 可 能 潜 伏 长 达 数 年 。 雷 石 安 全 实 验 室 雷 石 安 全 实 验 室   . 雷 石 安 全 实 验 室 以 团 队 公 众 号 为 平 台 向 安 全 工 作 者 不 定 期 分 享 渗 透 、 A P T 、 企 业 安 全 建 设 等 新 鲜 干 货 ， 团 队 公 众 号 致 力 于 成 为 一 个 实 用 干 货 分 享 型 公 众 号 。
鱼 叉 攻 击 和 水 坑 攻 击 的 基 本 流 程 鱼 叉 攻 击 鱼 叉 攻 击 鱼 叉 式 网 络 钓 鱼 攻 击 分 为 两 个 阶 段 ： 第 一 个 为 诱 导 阶 段 ， 攻 击 者 建 立 钓 鱼 基 础 设 施 ， 通 过 假 冒 合 法 网 站 或 者 在 访 问 量 高 的 网 站 托 管 钓 鱼 网 站 ， 再 基 于 对 攻 击 者 喜 好 、 工 作 等 的 调 查 制 作 诱 饵 ， 以 易 受 信 任 的 身 份 编 辑 携 带 钓 鱼 网 站 链 接 或 者 附 件 的 电 子 邮 件 ， 发 送 诱 饵 给 攻 击 目 标 。 第 二 阶 段 为 利 用 阶 段 ， 获 取 目 标 信 任 后 ， 利 用 收 信 人 执 行 危 险 操 作 ， 如 输 入 个 人 信 息 或 者 下 载 恶 意 软 件 等 ， 利 用 用 户 隐 私 获 得 非 法 利 益 。 如 海 莲 花 （ A P T - C - 0 0 ） 、 双 尾 蝎 （ A P T - C - 2 3 ） 等 组 织 。 水 坑 攻 击 水 坑 攻 击 水 坑 攻 击 时 一 种 看 似 简 单 但 成 功 率 较 高 的 网 络 攻 击 方 式 。 攻 击 目 标 多 为 特 定 的 团 体 （ 组 织 、 行 业 、 地 区 等 ） 。 攻 击 者 首 先 通 过 猜 测 （ 或 观 察 ） 确 定 这 组 目 标 经 常 访 问 的 网 站 ， 然 后 入 侵 其 中
一 个 或 多 个 网 站 ， 植 入 恶 意 软 件 。 在 目 标 访 问 该 网 站 时 ， 会 被 重 定 向 到 恶 意 网 址 或 触 发 恶 意 软 件 执 行 ， 导 致 该 组 目 标 中 部 分 成 员 甚 至 全 部 成 员 被 感 染 。 按 照 这 个 思 路 ， 水 坑 攻 击 其 实 也 可 以 算 是 鱼 叉 式 钓 鱼 的 一 种 延 伸 。 如 黄 金 鼠 组 织 （ A P T - C - 2 7 ） 、 美 人 鱼 行 动 （ A P T - C - 0 7 ） 等 。 攻 击 溯 源 攻 击 溯 源 下 面 以 《 如 何 通 过 一 封 恶 意 邮 件 追 踪 幕 后 黑 客 组 织 》 为 案 例 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 W z _ m i 8 d e w d 5 n i c B D K W 3 u Q 进 行 攻 击 溯 源 分 析 。 信 息 收 集 信 息 收 集 分 析 邮 件 的 内 容 ， 找 出 钓 鱼 网 站 链 接 、 I P 、 网 站 的 服 务 商 等 信 息 。 钓 鱼 网 站 渗 透 钓 鱼 网 站 渗 透 访 问 钓 鱼 网 站 ， 对 网 站 进 行 端 口 扫 描 、 漏 洞 检 测 等 手 段 对 网 站 进 行 渗 透 操 作 （ 渗 透 过 程 不 赘 述 ） ， 在 得 到 权 限 后 查 看 钓 鱼 文 件 目 录 ， 对 日 志 进 行 分 析 ， 使 用 D 盾 、 微 步 等 对 网 站 文 件 进 行 扫 描 ， 识 别 恶 意 文 件 。 恶 意 文 件 特 征 提 取 恶 意 文 件 特 征 提 取 特 征 提 取 是 溯 源 分 析 过 程 的 基 础 ， 具 有 同 源 性 的 恶 意 代 码 是 通 过 它 们 的 共 有 特 征 与 其 他 代 码 区 分 开 来 的 。 所 提 取 的 特 征 既 要 反 映 出 恶 意 代 码 的 本 质 和 具 有 同 源 性 恶 意 代 码 之 间 的 相 似 性 ， 又 要 满 足 提 取 的 有 效 性 。
依 据 溯 源 目 的 ， 溯 源 特 征 提 取 包 括 溯 源 家 族 的 特 征 提 取 和 溯 源 作 者 的 特 征 提 取 。 同 源 分 析 同 源 分 析 恶 意 代 码 分 析 是 检 测 和 防 范 恶 意 代 码 的 重 要 基 础 。 在 反 病 毒 领 域 的 实 际 应 用 中 ， 除 了 分 析 恶 意 代 码 的 各 种 外 部 表 现 ， 还 关 心 恶 意 代 码 在 同 源 演 化 方 面 的 内 在 特 性 ， 包 括 恶 意 代 码 从 何 而 来 、 如 何 发 展 变 化 以 及 相 互 之 间 的 关 系 等 。 目 前 仅 有 少 量 专 门 针 对 恶 意 代 码 同 源 与 演 化 分 析 技 术 的 研 究 。 对 恶 意 程 序 进 行 反 汇 编 之 后 ， 从 命 令 序 列 、 字 符 串 序 列 提 取 出 一 段 特 征 码 作 为 特 征 ， 提 取 筛 选 出 相 同 的 特 征 码 ， 挑 选 一 些 加 密 算 法 代 码 作 为 特 征 码 ， 可 以 使 用 B i n d i f f 来 比 较 已 有 样 本 相 似 的 代 码 片 段 ， 找 到 相 似 度 较 高 且 不 是 系 统 A P I 的 函 数 。 优 先 选 取 B l o c k s 数 较 多 、 匹 配 指 令 数 较 多 的 函 数 ， 降 低 误 报 的 几 率 ， 分 析 时 。 除 此 之 外 ， 也 可 以 使 用 一 些 自 动 化 提 取 y a r a 规 则 的 工 具 可 以 使 用 ， 比 如 y a r g e n ： h t t p s : / / g i t h u b . c o m / N e o 2 3 x 0 / y a r G e n 。 提 取 出 来 的 恶 意 程 序 的 特 征 码 ， 可 以 在 V T 上 进 行 关 联 ， 来 追 踪 相 似 攻 击 组 件 。 V i r u s t o t a l 的 使 用 的 使 用 V i r u s T o t a l ， 是 一 个 提 供 免 费 的 可 疑 文 件 分 析 服 务 的 网 站 ， 可 以 通 过 多 种 反 病 毒 引 擎 扫 描 文 件 使 用 多 种 反 病 毒 引 擎 对 您 所 上 传 的 文 件 进 行 检 测 , 以 判 断 文 件 是 否 被 病 毒 , 蠕 虫 , 木 马 , 以 及 各 类 恶 意 软 件 感 染 。 V i r u s T o t a l 每 1 5 分 钟 更 新 一 次 病 毒 资 料 库 ， 可 以 实 时 提 供 最 新 的 反 病 毒 引 擎 以 检 测 出 大 部 分 可 能 的 威 胁 。 同 时 可 以 筛 选 出 相 同 的 特 征 码 片 段 样 本 ， 在 搜 索 框 搜 索 之 后 可 以 对 比 往 期 相 关 样 本 本 的 活 跃 ， 打 开 详 细 信 息 可 以 查 看 是 什 么 组 织 开 发 并 使 用 的 攻 击 组 件 ， 通 过 这 种 方 式 可 以 关 联 出 该 组 织 所 使 用 的 攻 击 组 件 。 最 后 将 y a r a 规 则 添 加 到 h u n t i n g 中 ， 一 旦 v i r u s t o t a l 捕 获 到 新 的 样 本 符 合 这 条 规 则 ， 就 会 立 刻 通 知 我 们 。 查 询 攻 击 者 查 询 攻 击 者 I P 地 址 地 址 可 以 通 过 查 看 哪 些 I P 访 问 了 后 门 并 统 计 次 数 。 根 据 后 门 文 件 名 ， 匹 配 A p a c h e 访 问 日 志 得 到 攻 击 者 的 代 理 I P 和 U s e r   A g e n t 。
受 害 者 身 份 识 别 受 害 者 身 份 识 别 通 过 日 志 匹 配 邮 箱 并 去 重 得 到 受 害 者 邮 箱 地 址 ， 再 通 过 搜 索 引 擎 对 受 害 者 邮 箱 进 行 身 份 识 别 。 渗 透 邮 件 发 送 网 站 渗 透 邮 件 发 送 网 站 访 邮 件 发 送 网 站 ， 对 网 站 进 行 端 口 扫 描 、 漏 洞 检 测 等 手 段 对 网 站 进 行 渗 透 操 作 （ 渗 透 过 程 不 赘 述 ） ， 得 到 s h e l l 后 访 问 文 件 和 数 据 库 。 目 标 目 标 追 踪 追 踪 根 据 泄 露 日 志 、 文 件 等 进 行 追 踪 ， 追 踪 黑 客 组 织 名 称 。 根 据 后 门 文 件 名 ， 匹 配 A p a c h e 访 问 日 志 ， 寻 找 攻 击 者 代 理 I P 和 U s e r   A g e n t 。 总 总   结 结 本 文 基 于 对 A P T 攻 击 的 概 述 ， 分 析 了 鱼 叉 式 和 水 坑 式 的 结 构 和 溯 源 ， 面 对 大 规 模 网 络 环 境 下 网 络 攻 击 的 追 踪 溯 源 , 的 网 络 规 模 、 复 杂 性 和 攻 击 手 段 的 复 杂 性 ,   需 要 综 合 多 种 方 法 。 目 前 的 攻 击 溯 源 还 不 够 完 善 ， 随 着 国 家 信 息 安 全 战 略 的 提 出 ,   国 内 外 各 大 高 校 研 究 所 都 已 经 积 极 的 投 入 人 力 物 力 对 网 络 追 踪 溯 源 进 行 研 究 ,   相 信 在 不 远 的 将 来 网 络 攻 击 追 踪 溯 源 这 类 技 术 会 更 加 完 善 。 e n d

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理