搜索

[3500] 2017-01-30_【连载】2016年中国网络空间安全年报（七）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-01-30_【连载】2016年中国网络空间安全年报（七） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 七 ） 安 恒 信 息   E 安 全   2 0 1 7 - 0 1 - 3 0 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 一 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 二 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 三 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 四 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 五 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 六 ） 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 年 中 国 网 络 空 间 安 全 年 报 4 .     网 络 空 间 中 的 网 络 空 间 中 的 A P T 威 胁 分 析 威 胁 分 析 美 国 F i r e E y e 火 眼 公 司 曾 发 布 2 0 1 3 年 度 A P T 攻 击 报 告 ( A d v a n c e d   T h r e a t   R e p o r t ) ， 在 每 天 分 析 1 0 0 个 安 全 攻 击 事 件 的 基 础 上 ， 对 1 5 9 个 与 A P T 相 关 的 恶 意 软 件 家 族 进 行 整 理 ， 在 几 乎 世 界 上 的 每 个 角 落 都 发 现 过 恶 意 软 件 的 服 务 器 ， 并 且 攻 击 行 为 愈 演 愈 烈 。 下 文 从 安 恒 A P T 云 端 的 海 量 攻 击 样 本 中 ， 对 A P T 的 攻 击 特 点 与 事 件 进 行 分 析 ， 其 中 木 马 程 序 成 为 了 A P T 攻 击 常 用 工 具 ， 黑 客 通 常 采 用 恶 意 木 马 进 行 终 端 信 息 搜 集 与 回 联 控 制 ， 为 了 深 入 说 明 A P T 攻 击 的 典 型 行 为 ， 下 文 从 互 联 网 、 金 融 行 业 、 政 府 行 业 与 教 育 行 业 中 选 取 了 典 型 攻 击 事 例 进 行 分 析 ， 可 了 解 各 行 业 面 临 的 A P T 攻 击 共 性 与 差 异 点 。 4 . 1 .   A P T 攻 击 特 点 分 析 攻 击 特 点 分 析 A P T （ 高 级 持 续 性 威 胁 ） 的 特 点 主 要 体 现 在 A P T 在 发 动 攻 击 之 前 需 要 对 攻 击 对 象 的 业 务 流 程 和 目 标 系 统 进 行 精 确 的 情 报 收 集 ， 典 型 的 攻 击 过 程 与 途 径 如 下 所 示 : A P T 的 攻 击 过 程 如 下 ：
图   4 - 1   典 型 A P T 攻 击 过 程 A P T 攻 击 的 典 型 途 径 如 下 ： 图   4 - 2   A P T 攻 击 典 型 途 径 4 . 1 . 1 .   攻 击 样 本 以 木 马 程 序 为 主 攻 击 样 本 以 木 马 程 序 为 主 当 前 A P T 攻 击 主 要 是 利 用 恶 意 代 码 作 为 攻 击 载 体 ， 根 据 在 安 恒 A P T 云 端 统 计 到 的 数 万 次 恶 意 代 码 的 攻 击 中 ， 利 用 木 马 程 序 进 行 攻 击 的 方 式 占 比 达 到 6 6 % ， 明 确 是 以 建 立 C & C 回 传 通 道 为 目 标 ， 攻 击 过 程 中 采 用 方 式 结 合 了 邮 件 社 工 、 已 知 漏 洞 利 用 、 0 D A Y 攻 击 等 多 种 方 式 。 图   4 - 3   恶 意 代 码 占 比 其 中 木 马 程 序 的 类 型 有 B a c k d o o r ， T r o j a n ， R o o t K i t ， P a c k e d ， E x p l o i t 等 类 型 ， 分 别 占 比 情 况 如 下 ：
图   4 - 4   木 马 程 序 分 类 4 . 1 . 2 .     木 马 程 序 主 要 恶 意 行 为 木 马 程 序 主 要 恶 意 行 为 T O P 1 0 通 过 沙 箱 分 析 技 术 对 恶 意 代 码 的 行 为 进 行 分 析 ， 发 现 恶 意 木 马 程 序 的 行 为 通 常 以 收 集 计 算 机 信 息 、 从 资 源 段 释 放 文 件 并 运 行 、 创 建 网 络 套 接 字 连 接 、 枚 举 局 域 网 资 源 , 用 于 收 集 信 息 等 恶 意 行 为 为 主 ， 主 要 包 含 恶 意 行 为 T O P 1 0 如 下 ： 图   4 - 5   典 型 恶 意 行 为   T O P 1 0 4 . 2 .     各 行 业 均 有 出 现 各 行 业 均 有 出 现 A P T 针 对 性 攻 击 事 件 针 对 性 攻 击 事 件 安 恒 通 过 A P T 云 端 对 持 续 一 年 的 对 各 种 恶 意 代 码 传 播 行 为 监 控 ， 发 现 了 大 量 的 具 有 “ 针 对 性 的 ” 高 级 威 胁 ， 这 些 威 胁 往 往 都 具 有 明 确 的 目 标 指 向 ， 在 发 起 攻 击 时 采 用 了 复 杂 的 技 术 手 段 ， 甚 至 会 通 过 各 种 渠 道 收 集 目 标 方 的 内 部 员 工 信 息 ， 结 合 社 会 工 程 学 的 方 式 来 增 强 攻 击 产 生 的 效 果 ， 以 下 为 选 取 的 几 起 典 型 的 攻 击 事 件 分 析 ： 4 . 2 . 1 .     来 自 北 美 的 来 自 北 美 的 “ 天 猫 天 猫 ” A P T 攻 击 事 件 分 析 攻 击 事 件 分 析
根 据 安 恒 A P T 云 端 在 对 来 自 北 美 的 流 量 监 控 的 过 程 中 ， 发 现 一 封 来 自 美 国 的 可 疑 邮 件 ， 该 邮 件 的 主 题 是 《 您 收 到 的 优 惠 券 》 ， 发 件 人 名 称 显 示 为 天 猫 。 但 进 一 步 对 发 件 人 的 邮 箱 链 接 分 析 ， 发 现 实 际 发 件 人 邮 箱 并 非 来 自 阿 里 巴 巴 ， 通 过 对 邮 箱 服 务 器 所 属 区 域 分 析 ， 发 现 服 务 器 位 于 美 国 。 图   4 - 6   “ 天 猫 ” 邮 件 样 例 另 外 ， 该 邮 件 还 附 带 了 一 个 附 件 ， 附 件 是 压 缩 包 格 式 ， 里 面 包 含 的 样 本 实 际 类 型 为 e x e 。 根 据 A P T 沙 箱 分 析 报 告 显 示 ， 该 e x e 样 本 的 主 要 行 为 有 ： 图   4 - 7   E X E 样 本 行 为 因 此 ， 基 本 判 断 为 恶 意 附 件 ， 且 明 确 为 精 心 构 造 的 结 合 邮 件 社 工 的 黑 客 攻 击 行 为 。 进 一 步 分 析 其 详 细 可 疑 行 为 ， 发 现 其 关 键 目 标 为 建 立 加 密 回 传 通 道 、 收 集 用 户 信 息 、 向 外 发 送 盗 取 数 据 。 根 据 安 恒 A P T 沙 箱 报 告 可 自 动 分 析 其 行 为 过 程 图 ： 图   4 - 8   “ 天 猫 ” 附 件 样 本 动 态 行 为 过 程 其 中 关 键 的 恶 意 行 为 有 释 放 恶 意 文 件 行 为 ， 即 在 打 开 的 过 程 中 还 会 进 一 步 释 放 两 个 其 他 恶 意 文 件 ， 用 于 执 行 后 删 除 文 件 和 拷 贝 覆 盖 文 件 。 进 一 步 对 其 网 络 行 为 分 析 ， 发 现 其 建 立 回 传 通 道 的 关 键 服 务 器 两 个 I P 分 别 指 向 北 美 地 区 的 墨 西 哥 和 中 东 的 阿 联 酋 。
图   4 - 9   “ 天 猫 “ 附 件 样 本 网 络 行 为 与 进 程 行 为 黑 客 通 过 这 两 个 回 连 服 务 器 ， 建 立 控 制 通 道 ， 向 外 回 传 数 据 ， 因 此 初 步 判 断 其 攻 击 源 和 回 连 服 务 器 都 指 向 了 北 美 地 区 。 事 件 总 结 和 应 对 方 案 事 件 总 结 和 应 对 方 案 根 据 安 恒 A P T 云 端 近 半 年 监 控 到 的 数 据 ， 发 现 来 自 同 一 区 域 的 攻 击 多 达 数 万 次 ， 其 最 终 攻 击 目 的 都 是 以 获 取 权 限 和 控 制 为 主 ， 攻 击 具 有 极 强 的 隐 蔽 性 、 针 对 性 和 持 续 性 ， 常 规 基 于 杀 毒 软 件 、 防 火 墙 的 安 全 防 护 能 力 不 再 适 用 ， 加 强 预 警 意 识 和 提 高 防 范 能 力 ， 尤 其 是 针 对 邮 件 威 胁 的 安 全 预 警 和 防 护 体 系 ！ 4 . 2 . 2 .     针 对 金 融 行 业 的 针 对 金 融 行 业 的 A P T 攻 击 样 本 分 析 攻 击 样 本 分 析 W o r m . W i n 3 2 . O n l i n e P a y 是 一 个 利 用 合 法 程 序 来 加 载 自 身 的 蠕 虫 病 毒 ， 攻 击 过 程 复 杂 且 具 有 非 常 强 的 感 染 性 ， 在 攻 击 过 程 中 具 有 明 确 的 指 向 性 ， 是 以 银 行 、 在 线 支 付 等 金 融 类 平 台 做 为 攻 击 目 标 ， 一 旦 攻 击 成 功 会 快 速 向 局 域 网 其 他 主 机 进 行 传 播 和 感 染 ， 危 害 极 大 。 它 会 在 被 感 染 的 机 器 上 劫 持 网 络 支 付 行 为 从 而 盗 取 用 户 财 产 ， 它 能 够 通 过 可 移 动 磁 盘 和 局 域 网 进 行 传 播 并 且 具 备 感 染 多 种 类 型 文 件 的 功 能 。 W o r m . W i n 3 2 . O n l i n e P a y 具 备 下 列 功 能 ：
1 .   劫 持 被 感 染 计 算 机 上 的 网 络 支 付 行 为 到 攻 击 者 指 定 的 第 三 方 平 台 上 购 买 虚 拟 财 产 ， 它 能 够 劫 持 用 户 在 下 列 网 上 银 行 的 支 付 行 为 ： ·   中 国 建 设 银 行   ·   支 付 宝 支 付   ·   支 付 宝 快 捷 支 付 ·   中 国 工 商 银 行 ·   中 国 农 业 银 行 ·   招 商 银 行 ·   兴 业 银 行 ·   平 安 银 行 ·   中 国 民 生 银 行 ·   中 国 银 行 ·   上 海 浦 东 发 展 银 行 ·   中 国 光 大 银 行 ·   中 信 银 行 ·   中 国 邮 政 储 蓄 银 行 2 .   回 连 到 指 定 服 务 器 ， 从 以 下 服 务 器 下 载 攻 击 者 指 定 的 文 件 ： ·   h t t p : / / 1 9 7 3 6 2 3 2 6 5 a . j v n i u . g e s h o u . o r g / 1 1 . r a r ·   h t t p : / / 1 9 7 3 6 2 3 2 6 5 a . j v n i u . g e s h o u . o r g / 9 . r a r ·   h t t p : / / 1 9 7 3 6 2 3 2 6 5 a . j v n i u . g e s h o u . o r g / 1 0 . r a r ·   h t t p : / / w w w . d y 2 0 0 4 . c o m / m s n / m m . e x e 3 .   通 过 可 移 动 磁 盘 以 及 局 域 网 进 行 传 播 ， 采 用 以 下 传 播 方 式 ： ·   可 移 动 磁 盘 ·   局 域 网 传 播 4 .   感 染 . e x e ， . h t m ， . h t m l ， . a s p ， . a s p x ， . r a r 类 型 的 文 件 ， 然 后 再 将 被 感 染 文 件 作 为 载 体 向 外 传 播 。 4 . 2 . 3 .     针 对 政 府 行 业 的 针 对 政 府 行 业 的 A P T 攻 击 样 本 分 析 攻 击 样 本 分 析 安 恒 A P T 威 胁 分 析 设 备 在 某 政 府 用 户 网 络 中 发 现 了 一 个 A P T 攻 击 样 本 ， 这 是 一 个 由 E n c a p s u l a t e d P o s t S c r i p t   ( E P S )   f i l t e r 模 块 ( 3 2 b i t 下 模 块 为 E P S I M P 3 2 . F L T ) 中 一 个 U s e r - A f t e r - F r e e 漏 洞 所 构 造 的 利 用 样 本 。 该 样 本 可 在 多 种 环 境 下 触 发 成 功 ， 使 攻 击 成 功 率 大 大 增 强 。 且 该 样 本 中 的 R O P 技 巧 使 用 了 一 种 较 新 的 方 法 ， 该 方 法 可 以 绕 过 E M E T 等 防 护 软 件 的 检 测 ， 攻 击 具 有 极 强 的 指 向 性 和 隐 蔽 性 ， 属 于 典 型 的 针 对 性 的 A P T 攻 击 。 其 漏 洞 成 因 及 利 用 分 析 ： 其 漏 洞 成 因 及 利 用 分 析 ： 当 E P S 在 处 理 字 典 类 型 ( d i c t ) 的 c o p y 操 作 时 ， 会 将 接 受 拷 贝 方 的 键 值 对 条 目 全 部 删 除 ， 然 后 再 重 新 分 配 一 个 进 行 数 据 拷 贝 ( 正 常 情 况 下 在 字 典 拷 贝 时 只 对 要 拷 贝 的 元 素 进 行 操 作 ， 而 不 影 响 其 它 元 素 ) 。
S h e l l c o d e 的 功 能 主 要 为 释 放 一 个 D L L 并 加 载 执 行 。 溢 出 成 功 后 会 释 放 一 个 恶 意 的 d l l 文 件 。 图   4 - 1 0   样 本 的 行 为 过 程 该 d l l 文 件 在 前 台 打 开 伪 装 的 原 文 件 名 d o c ， 并 显 示 “ 文 件 毁 损 严 重 无 法 正 常 开 启 ” 及 大 量 乱 码 ， 迷 惑 用 户 掩 盖 入 侵 痕 迹 。 其 实 它 在 后 台 尝 试 下 载 黑 客 特 定 的 远 程 后 门 模 块 ， 经 过 解 密 和 手 动 内 存 加 载 ， 减 少 安 全 软 件 报 警 机 率 及 磁 盘 文 件 残 留 。 该 后 门 模 块 短 小 精 悍 ， 但 功 能 强 大 。 支 持 I E 浏 览 器 注 入 、 H T T P 中 间 人 攻 击 、 本 地 磁 盘 文 件 读 写 操 作 、 键 盘 记 录 、 屏 幕 获 取 、 局 域 网 资 源 操 作 、 网 络 状 态 及 端 口 映 射 、 注 册 表 / 进 程 / 服 务 等 系 统 操 作 、 远 程 s h e l l 命 令 和 文 件 执 行 、 屏 幕 锁 定 、 重 启 注 销 关 机 、 消 息 框 弹 窗 等 黑 客 指 令 和 模 块 。 该 漏 洞 及 利 用 样 本 的 威 胁 程 度 非 常 高 ， 可 以 在 多 种 环 境 下 成 功 利 用 ， 并 且 其 构 造 的 R O P 链 及 s h e l l c o d e 能 够 绕 过 多 款 安 全 性 增 强 工 具 的 检 测 。 所 以 需 要 做 好 预 警 和 防 范 工 作 。 4 . 2 . 4 .     针 对 教 育 行 业 的 黑 客 攻 击 事 件 分 析 针 对 教 育 行 业 的 黑 客 攻 击 事 件 分 析 通 过 A P T 产 品 在 对 某 高 校 网 络 流 量 监 控 的 过 程 中 ， 发 现 内 网 经 常 莫 名 出 现 异 常 ， 网 络 经 常 性 出 现 短 时 间 瘫 痪 ， 官 网 也 时 常 出 现 无 法 访 问 。 该 事 件 引 起 技 术 人 员 的 重 视 ， 立 即 安 排 人 员 现 场 进 行 调 查 、 取 证 和 分 析 。 通 过 对 A P T 设 备 日 志 关 联 分 析 ， 迅 速 发 现 内 网 一 台 可 疑 主 机 1 9 2 . 1 6 8 . X . X ， 这 个 i p 会 从 几 个 U R L 地 址 下 载 l i n u x 的 异 常 流 量 攻 击 和 控 制 工 具 。 图   4 - 1 1   可 疑 外 连 行 为 打 开 其 中 一 个 恶 意 u r l ：
图   4 - 1 2   样 本 的 某 外 连 站 点 可 以 发 现 大 量 恶 意 的 程 序 存 在 上 面 ， 使 用 I D A 打 开 恶 意 的 j s o n . d l l 看 见 大 量 恶 意 的 指 令 ， 可 以 控 制 被 黑 “ 肉 机 ” 发 起 D D o S 攻 击 ， 包 含 应 用 层 和 网 络 层 各 种 D D o S 攻 击 指 令 。 在 浏 览 器 打 开 该 可 疑 主 机   h t t p : / / 1 9 2 . 1 6 8 . X . X 发 现 是 一 台 网 站 服 务 器 ， 基 本 可 以 判 断 是 该 服 务 器 被 入 侵 ， 并 且 已 经 植 入 了 远 程 恶 意 控 制 程 序 ， 已 经 被 控 制 为 “ 肉 机 ” ， 会 从 内 部 向 外 发 起 异 常 的 流 量 型 攻 击 和 资 源 占 用 型 攻 击 ， 在 对 外 部 发 起 攻 击 的 同 时 也 会 影 响 到 内 网 网 络 设 备 和 防 火 墙 的 正 常 工 作 。 未 完 待 续 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理