搜索

[3503] 2017-01-31_【连载】2016年中国网络空间安全年报（八）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2017-01-31_【连载】2016年中国网络空间安全年报（八） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 八 ） 安 恒 信 息   E 安 全   2 0 1 7 - 0 1 - 3 1 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 一 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 二 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 三 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 四 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 五 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 六 ） 【 连 载 】 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 （ 七 ） 2 0 1 6 年 中 国 网 络 空 间 安 全 年 报 年 中 国 网 络 空 间 安 全 年 报 4 . 3     C & C 服 务 器 分 布 情 况 分 析 服 务 器 分 布 情 况 分 析 C & C 服 务 器 ， 其 全 称 为 c o m m a n d   a n d   c o n t r o l   s e r v e r 。 攻 击 者 通 过 各 种 途 径 传 播 恶 意 代 码 程 序 感 染 互 联 网 上 的 大 量 主 机 ， 而 被 感 染 的 主 机 将 通 过 一 个 控 制 信 道 接 收 攻 击 者 的 指 令 。 C & C 服 务 器 通 常 是 被 黑 客 利 用 建 立 控 制 通 道 ， 对 被 攻 击 方 实 施 控 制 的 重 要 跳 板 。 本 节 通 过 对 A P T 云 端 中 2 0 1 6 年 互 联 网 上 传 播 恶 意 代 码 程 序 的 C & C   I P / U R L 进 行 分 析 ， 发 现 大 量 了 仍 然 在 活 跃 的 C & C 服 务 器 。 4 . 3 . 1   大 多 大 多 C & C 服 务 器 活 跃 时 间 较 短 服 务 器 活 跃 时 间 较 短 根 据 安 恒 对 截 止 到 2 0 1 6 年 1 2 月 捕 获 到 的 C & C   I P / U R L 分 析 ， 发 现 目 前 仍 然 在 活 跃 的 C & C 服 务 器 占 比 达 到 了 9 % ， 说 明 还 有 大 量 的 C & C 服 务 器 仍 然 在 被 控 制 。 其 中 9 1 % 的 C & C 服 务 器 在 黑 客 使 用 后 关 闭 或 转 移 ， 以 防 止 被 追 踪 。
▲   图   4 ‑ 1 3   C & C 活 跃 度 分 析 4 . 3 . 2   大 量 大 量 C & C 分 布 在 欧 洲 与 北 美 地 区 分 布 在 欧 洲 与 北 美 地 区 对 目 前 仍 然 活 跃 的 C & C   I P / U R L 所 属 区 域 分 布 进 行 分 析 ， 发 现 位 于 欧 洲 和 北 美 地 区 的 相 对 较 多 ， 占 到 总 数 的 5 0 % 以 上 ， 意 味 着 这 些 区 域 曾 对 我 国 发 起 了 大 量 的 攻 击 ， 并 且 服 务 器 依 然 在 攻 击 使 用 中 。 ▲   图   4 ‑ 1 4   C & C 分 布 区 域 4 . 4   A P T 高 级 持 续 威 胁 对 抗 技 术 思 路 高 级 持 续 威 胁 对 抗 技 术 思 路 4 . 4 . 1   A P T 对 抗 逃 逸 技 术 对 抗 逃 逸 技 术 G a r t n e r 在 2 0 1 3 年 将 A P T 检 测 技 术 主 要 分 为 5 种 ， 即 网 络 流 量 分 析 、 网 络 取 证 、 负 载 分 析 、 终 端 行 为 分 析 、 终 端 取 证 。 其 中 负 载 分 析 主 要 是 指 通 过 沙 盒 对 样 本 进 行 更 深 层 次 的 分 析 以 发 现 依 靠 简 单 特 征 无 法 发 现 的 高 级 威 胁 ， 但 在 对 恶 意 样 本 分 析 的 过 程 中 ， 发 现 越 来 越 多 的 逃 逸 和 对 抗 样 本 ， 这 些 样 本 在 对 抗 沙 箱 检 测 的 过 程 中 先 会 对 虚 拟 机 环 境 进 行 识 别 ， 以 便 采 取 休 眠 、 隐 藏 行 为 等 进 一 步 的 对 抗 逃 逸 沙 箱 检 测 ：
▲   图   4 ‑ 1 5   沙 箱 对 抗 逃 逸 技 术 因 此 ： 反 逃 逸 对 抗 技 术 必 须 要 尽 可 能 的 涵 盖 更 多 的 逃 逸 场 景 ： 通 过 增 加 对 特 殊 文 件 的 隐 藏 可 对 抗 文 件 检 测 ， 对 抗 针 对 虚 拟 机 的 辅 助 工 具 的 检 测 和 针 对 沙 箱 的 文 件 的 路 径 是 否 包 含 特 殊 的 字 符 串 的 检 测 。 通 过 增 加 对 特 殊 键 值 的 隐 藏 可 对 抗 注 册 表 检 测 ， 如 操 作 系 统 中 增 加 的 特 殊 信 息 。 通 过 指 令 插 桩 对 抗 特 殊 指 令 检 测 ， 对 抗 C P U 指 令 检 测 硬 件 信 息 。 C P U 指 令 ， 如 ： C P U I D ， L I D T ， L G D T ,   R D T S C 等 。 4 . 4 . 2   云 端 情 报 分 析 技 术 云 端 情 报 分 析 技 术 G a r t n e r 认 为 ， 威 胁 情 报 是 一 种 基 于 证 据 的 知 识 ， 包 括 了 情 境 、 机 制 、 指 标 、 隐 含 和 实 际 可 行 的 建 议 。 威 胁 情 报 是 应 对 A P T （ 高 级 持 续 威 胁 ） 重 要 的 支 撑 。 当 前 ， 云 端 已 经 成 为 威 胁 情 报 典 型 的 应 用 场 景 ， 基 于 云 端 一 方 面 可 以 实 现 统 一 威 胁 管 理 ， 分 析 当 前 的 安 全 威 胁 态 势 ， 感 知 最 新 的 安 全 威 胁 动 向 。 另 一 方 面 可 以 实 现 更 为 高 级 的 分 析 能 力 ， 依 托 机 器 学 习 和 高 级 人 工 协 助 分 析 ， 可 以 协 助 准 确 定 位 各 种 高 级 威 胁 。 依 托 云 端 分 析 最 新 的 安 全 威 胁 ， 并 快 速 共 享 各 种 未 知 威 胁 数 据 到 各 个 节 点 ， 实 现 全 网 整 体 联 动 分 析 安 全 威 胁 。 ▲   图   4 ‑ 1 6   基 于 云 端 的 情 报 分 析 技 术
基 于 云 端 情 报 可 以 提 供 的 能 力 ， 包 含 各 种 样 本 威 胁 指 数 ， 传 播 次 数 ， 病 毒 检 测 、 静 态 检 测 和 动 态 检 测 结 果 ， 接 受 云 端 僵 尸 主 机 、 最 新 A P T 事 件 信 息 等 威 胁 情 报 信 息 。 4 . 4 . 3   样 本 同 源 性 分 析 技 术 样 本 同 源 性 分 析 技 术 样 本 同 源 性 分 析 技 术 是 对 A P T 事 件 追 踪 关 键 的 一 个 环 节 ， 恶 意 代 码 与 正 常 程 序 的 区 别 在 于 其 运 行 后 会 对 计 算 机 及 网 络 系 统 产 生 危 害 。 因 此 ， 除 了 与 正 常 程 序 相 近 的 行 为 操 作 之 外 ， 对 于 可 能 会 对 系 统 产 生 危 害 的 恶 意 行 为 应 给 与 重 点 关 注 。 恶 意 代 码 的 行 为 特 征 包 修 改 注 册 表 行 为 、 敏 感 路 径 操 作 行 为 、 进 程 行 为 、 溢 出 行 为 、 隐 藏 自 身 不 被 发 现 、 破 坏 系 统 关 键 功 能 等 。 除 此 之 外 ， 还 会 根 据 自 身 特 点 产 生 一 些 功 能 行 为 ， 如 勒 索 病 毒 通 常 都 具 有 如 下 行 为 ： ▲   图   4 ‑ 1 7   勒 索 病 毒 行 为 这 些 行 为 往 往 依 赖 操 作 系 统 的 函 数 调 用 ， 并 读 取 、 修 改 、 操 作 系 统 的 相 关 资 源 对 象 ， 如 文 件 、 进 程 、 网 络 、 注 册 表 。 因 此 ， 一 个 恶 意 代 码 的 恶 意 行 为 产 生 不 是 单 一 的 ， 必 定 有 相 关 的 行 为 关 联 ， 由 一 系 列 的 函 数 调 用 及 控 制 流 程 最 终 产 生 ， 产 生 的 行 为 操 作 过 程 也 代 表 了 恶 意 代 码 作 者 的 实 现 思 路 ， 相 同 的 函 数 调 用 图 及 控 制 流 程 图 是 判 断 同 源 性 的 重 要 依 据 。 ▲   图   4 ‑ 1 8   勒 索 病 毒 行 为 调 用 过 程 以 下 是 样 本 同 源 性 分 析 的 具 体 思 路 ： 通 过 沙 箱 可 以 提 取 所 有 样 本 的 具 体 恶 意 行 为 ， 而 其 中 一 些 样 本 是 具 有 相 应 的 规 律 的 ， 尤 其
是 出 自 相 同 的 黑 客 组 织 ， 这 些 同 源 的 恶 意 代 码 在 具 体 的 行 为 操 作 上 有 着 相 同 或 相 似 的 片 段 ， 如 函 数 的 调 用 、 自 定 义 的 加 解 密 函 数 等 ， 其 实 现 的 功 能 或 相 同 或 相 近 ， 如 在 D u q u 和 s t u x n e t 这 两 类 被 认 为 是 共 同 对 伊 朗 核 电 站 基 础 设 施 发 动 攻 击 的 恶 意 代 码 中 ， 他 们 的 关 键 功 能 代 码 ： 如 d l l 注 入 、 R P C 服 务 ， 有 着 高 度 的 一 致 性 ， 另 外 在 反 跟 踪 调 试 的 技 术 和 判 定 系 统 状 态 的 技 术 上 也 极 为 相 似 ， 因 此 ， 同 源 恶 意 代 码 由 于 其 实 施 的 功 能 或 相 近 或 相 似 ， 出 去 编 译 器 自 动 产 生 的 代 码 外 ， 其 行 为 操 作 的 恶 意 代 码 片 段 非 常 类 似 ， 这 是 判 定 同 源 性 的 重 要 因 素 。 5   互 联 网 勒 索 病 毒 事 件 专 题 分 析 互 联 网 勒 索 病 毒 事 件 专 题 分 析 2 0 1 6 年 世 界 各 地 出 现 了 多 起 知 名 的 勒 索 病 毒 ， 其 主 要 以 邮 件 和 恶 链 木 马 的 形 式 进 行 传 播 。 勒 索 病 毒 文 件 一 旦 进 入 本 地 ， 就 会 自 动 运 行 ， 同 时 删 除 勒 索 软 件 样 本 ， 以 躲 避 查 杀 和 分 析 。 接 下 来 ， 勒 索 病 毒 利 用 本 地 的 互 联 网 访 问 权 限 连 接 至 黑 客 的 C & C 服 务 器 ， 进 而 上 传 本 机 信 息 并 下 载 加 密 公 钥 。 然 后 ， 利 用 系 统 内 部 的 加 密 处 理 ， 是 一 种 不 可 逆 的 加 密 ， 除 了 病 毒 开 发 者 本 人 ， 其 他 人 是 不 可 能 解 密 的 。 加 密 完 成 后 ， 还 会 在 桌 面 等 明 显 位 置 生 成 勒 索 提 示 文 件 ， 指 导 用 户 去 缴 纳 赎 金 。 且 变 种 类 型 非 常 快 ， 对 常 规 的 杀 毒 软 件 都 具 有 免 疫 性 。 攻 击 的 样 本 以 j s 、 v b s 、 压 缩 包 等 类 型 为 主 ， 隐 蔽 性 极 强 ， 对 常 规 依 靠 特 征 检 测 的 安 全 产 品 是 一 个 极 大 的 挑 战 。 经 过 分 析 ， 该 类 型 病 毒 的 规 律 如 下 ： 1 .   该 类 型 病 毒 的 针 对 目 标 性 极 强 ， 主 要 以 邮 件 为 传 播 方 式 ； 2 .   勒 索 病 毒 文 件 一 旦 被 用 户 点 击 打 开 ， 会 利 用 连 接 至 黑 客 的 C & C 服 务 器 ， 进 而 上 传 本 机 信 息 并 下 载 加 密 公 钥 。 然 后 ， 将 加 密 公 钥 写 入 到 注 册 表 中 ， 遍 历 本 地 所 有 磁 盘 中 的 O f f i c e 文 档 、 图 片 等 文 件 ， 对 这 些 文 件 进 行 格 式 篡 改 和 加 密 ； 加 密 完 成 后 ， 还 会 在 桌 面 等 明 显 位 置 生 成 勒 索 提 示 文 件 ， 指 导 用 户 去 缴 纳 赎 金 ； 3 .   该 类 型 病 毒 可 以 导 致 重 要 文 件 无 法 读 取 ， 关 键 数 据 被 损 坏 ， 给 用 户 的 正 常 工 作 带 来 了 极 为 严 重 的 影 响 。 5 . 1   勒 索 病 毒 传 播 方 式 以 邮 件 为 主 勒 索 病 毒 传 播 方 式 以 邮 件 为 主 2 0 1 6 年 安 恒 A P T 云 端 共 监 控 到 勒 索 病 毒 的 传 播 次 数 达 到 1 4 2 , 4 6 7 次 ， 其 中 利 用 邮 件 传 播 的 占 比 达 到 9 9 % 以 上 ， 个 别 会 通 过 社 交 网 站 和 聊 天 工 具 传 播 ， 攻 击 样 本 通 常 为 z i p 、 j s 、 e x e 、 v b s 、 j s e 、 r a r 、 w s f 等 类 型 。 其 分 别 占 比 情 况 如 下 ：
▲   图   5 ‑ 1   勒 索 病 毒 分 类 5 . 2   勒 索 病 毒 以 遍 历 文 件 与 加 密 行 为 为 主 勒 索 病 毒 以 遍 历 文 件 与 加 密 行 为 为 主 通 过 沙 箱 分 析 技 术 ， 可 以 对 勒 索 病 毒 精 准 分 类 判 断 ， 通 过 沙 箱 取 样 分 析 并 提 取 其 中 的 关 键 行 为 ， 包 括 进 程 行 为 、 文 件 行 为 、 网 络 行 为 等 信 息 ， 其 中 的 典 型 恶 意 行 为 排 序 如 下 ： ▲   图   5 ‑ 2   勒 索 病 毒 行 为 特 点 T O P 1 0 5 . 3   新 型 勒 索 病 毒 变 异 快 流 程 更 复 杂 新 型 勒 索 病 毒 变 异 快 流 程 更 复 杂 勒 索 病 毒 通 常 变 异 速 度 非 常 快 ， 对 杀 毒 软 件 、 防 毒 墙 等 传 统 安 全 防 护 是 极 大 的 挑 战 ， 根 据 对 勒 索 病 毒 变 异 的 特 点 分 析 ， 变 异 后 的 勒 索 病 毒 运 行 流 程 复 杂 ， 且 针 对 关 键 数 据 以 加 密 函 数 的 方 式 进 行 隐 藏 ， 该 样 本 再 通 过 自 身 的 解 密 函 数 解 密 出 网 址 ， 通 过 H T T P   G E T   请 求 访 问 加 密 数 据 ， 保 存 加 密 数 据 到 T E M P 目 录 ， 然 后 通 过 解 密 函 数 解 密 出 数 据 保 存 为 D L L ， 然 后 再 运 行 D L L   ( 即 勒 索 者 主 体 ) 。 该 D L L 样 本 才 是 导 致 对 数 据 加 密 的 关 键 主 体 ， 且 该 主 体 无 需 联 网 下 载 秘 钥 即 可 实 现 对 文 件 加 密 。  
▲   图   5 ‑ 3   勒 索 病 毒 执 行 过 程 在 沙 箱 分 析 过 程 中 发 现 了 新 型 勒 索 病 毒 样 本 具 备 大 量 的 反 调 试 行 为 ， 用 于 对 抗 调 试 器 的 分 析 。 5 . 4   勒 索 病 毒 应 对 技 术 勒 索 病 毒 应 对 技 术 基 于 勒 索 病 毒 的 特 点 ， 应 对 勒 索 病 毒 需 要 采 用 基 于 行 为 分 析 的 机 制 ， 通 过 沙 箱 虚 拟 分 析 技 术 ， 对 网 络 中 传 输 的 样 本 先 进 行 运 行 分 析 ， 捕 获 其 动 态 行 为 、 网 络 行 为 、 进 程 行 为 、 文 件 行 为 、 注 册 表 行 为 等 关 键 信 息 ， 识 别 其 中 可 疑 的 勒 索 病 毒 特 点 ， 快 速 对 网 络 中 传 输 的 勒 索 病 毒 样 本 进 行 预 警 ， 及 时 通 知 被 攻 击 方 提 高 安 全 防 范 意 识 ， 防 止 出 现 被 感 染 的 情 况 。 同 时 ， 基 于 云 端 提 供 的 更 为 深 层 的 威 胁 分 析 服 务 ， 可 以 实 现 高 级 的 安 全 预 警 和 情 报 共 享 ， 依 托 于 云 端 的 海 量 数 据 、 高 级 的 机 器 学 习 和 大 数 据 分 析 能 力 ， 可 及 时 共 享 最 新 的 安 全 威 胁 情 报 ， 提 供 更 为 精 准 的 威 胁 分 析 能 力 。 未 完 待 续 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理