搜索

[4462] 2017-10-24_“无文件攻击”：企业需要知道的五大知识点

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-10-24_“无文件攻击”：企业需要知道的五大知识点 “ 无 文 件 攻 击 ” ： 企 业 需 要 知 道 的 五 大 知 识 点 原 创   E 小 编   E 安 全   2 0 1 7 - 1 0 - 2 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 0 月 2 4 日 讯   自 今 年 5 月 W a n n a C r y   勒 索 软 件 在 全 球 范 围 内 爆 发 以 来 ， 陆 续 出 现 E q u i f a x 遭 遇 大 规 模 数 据 泄 露 事 件 等 等 ， 网 络 安 全 形 势 相 当 紧 迫 ， 企 业 在 投 资 新 政 策 及 安 全 产 品 方 面 压 力 倍 增 。 然 而 ， 即 便 增 加 安 全 预 算 ， 仍 有 众 多 企 业 担 心 现 有 技 术 不 能 跟 上 快 速 变 化 的 威 胁 形 势 。 企 业 尤 其 担 心 越 来 越 多 攻 击 会 取 得 企 业 系 统 访 问 权 ， 偷 偷 感 染 系 统 ， 而 无 需 下 载 恶 意 程 序 或 留 下 明 显 的 踪 迹 ， 这 就 是 所 谓 的 “ 无 文 件 攻 击 ” 。 “ 无 文 件 攻 击 ” 也 被 称 为 “ 非 恶 意 软 件 攻 击 ” 。 这 类 攻 击 的 行 动 底 线 在 于 利 用 受 害 者 企 业 的 受 信 任 软 件 和 系 统 工 具 躲 避 检 测 。 此 类 攻 击 很 快 便 成 为 I T 和 安 全 专 家 亟 待 解 决 的 首 要 威 胁 。 企 业 高 层 应 了 解 以 下 五 大 关 键 知 识 点 ： 企 业 高 层 应 了 解 以 下 五 大 关 键 知 识 点 ： 1 、 、 “ 无 文 件 无 文 件 ” 攻 击 主 要 利 用 传 统 端 点 安 全 缺 点 攻 击 主 要 利 用 传 统 端 点 安 全 缺 点 传 统 意 义 上 讲 ， 网 络 攻 击 涉 及 恶 意 软 件 ， 攻 击 者 利 用 恶 意 软 件 访 问 受 害 者 的 电 脑 （ 通 常 会 利 用 软 件 漏 洞 或 诱 骗 受 害 者 下 载 文 件 等 ） ， 其 后 安 装 具 有 破 坏 性 的 可 执 行 文 件 （ P a y l o a d ） 实 施 攻 击 。 从 攻 击 者 的 角 度 来 看 ， 这 种 方 法 的 问 题 在 于 易 被 反 病 毒 解 决 方 案 检 测 。 若 不 安 装 恶 意 文 件 ， 攻 击 者 可 轻 易 绕 过 这 些 安 全 解 决 方 案 ， 攻 击 者 只 需 劫 持 其 它 合 法 的 系 统 工 具 和 受 信 任 的 应 用 程 序 从 事 非 法 活 动 。 2 . 有 大 量 有 大 量 “ 无 文 件 无 文 件 ” 技 术 可 供 攻 击 者 使 用 技 术 可 供 攻 击 者 使 用
高 层 次 的 攻 击 可 分 为 两 大 主 要 阶 段 ： 初 始 攻 击 阶 段 （ 获 得 目 标 系 统 的 访 问 权 ） 和 漏 洞 利 用 后 实 施 的 攻 击 活 动 （ 攻 击 者 进 入 系 统 后 实 施 的 活 动 ） 。 攻 击 者 可 在 这 两 个 阶 段 利 用 “ 无 文 件 ” 技 术 完 成 目 标 ， 以 此 可 躲 避 传 统 、 甚 至 下 一 代 机 器 学 习 反 病 毒 软 件 。 为 了 取 得 初 始 访 问 权 ， 攻 击 者 会 利 用 漏 洞 利 用 ， 例 如 ， 攻 击 者 在 E q u i f a x 数 据 泄 露 案 例 中 利 用 未 修 复 的 A p a c h e   S t r u t s 漏 洞 执 行 恶 意 命 令 。 常 用 的 “ 无 文 件 ” 技 术 是 利 用 存 在 缺 陷 的 应 用 程 序 ， 并 将 代 码 注 入 正 常 的 系 统 进 程 ， 从 而 获 得 访 问 权 ， 并 在 目 标 设 备 执 行 命 令 ， 而 不 会 被 察 觉 。 一 旦 完 成 初 始 攻 击 ， 攻 击 者 便 可 滥 用 强 大 的 系 统 管 理 工 具 （ 例 如 P o w e r S h e l l 、 P s E x e c 和 W M I ） 继 续 躲 避 检 测 。 由 于 具 有 合 法 用 例 ， 攻 击 者 便 可 隐 藏 在 “ 光 天 化 日 之 下 ” 提 权 ， 在 网 络 中 横 向 活 动 ， 并 修 改 注 册 表 保 持 持 久 性 。 3 . “ 无 文 件 无 文 件 ” 攻 击 有 时 会 借 助 文 件 实 施 攻 击 攻 击 有 时 会 借 助 文 件 实 施 攻 击 人 们 往 往 对 “ 无 文 件 ” 攻 击 存 在 误 解 ， 认 为 它 不 会 涉 及 文 件 。 然 而 事 实 并 非 如 此 ， 此 类 攻 击 通 常 会 在 初 始 攻 击 阶 段 利 用 文 件 ， 最 大 的 不 同 之 处 在 于 这 些 文 件 并 非 恶 意 可 执 行 文 件 ， 而 是 诸 如 M i c r o s o f t   O f f i c e 文 档 之 类 的 文 件 。 传 统 端 点 安 全 面 临 的 挑 战 是 ， 这 些 文 件 本 身 并 不 具 有 恶 意 功 能 ， 因 此 安 全 扫 描 就 如 形 同 虚 设 ， 这 样 一 来 ， 这 些 文 件 便 成 了 发 起 攻 击 的 完 美 工 具 。 例 如 ， 攻 击 者 开 始 可 能 会 诱 骗 企 业 员 工 打 开 钓 鱼 电 子 邮 件 中 的 W o r d 文 档 ， 而 受 害 员 工 可 能 会 无 意 激 活 其 中 的 宏 或 脚 本 ， 而 宏 或 脚 本 随 后 会 启 用 P o w e r S h e l l 。 此 后 ， 攻 击 者 便 会 使 用 P o w e r S h e l l 直 接 执 行 内 存 中 的 恶 意 代 码 ， 从 而 使 攻 击 走 向 “ 无 文 件 ” 之 路 。 由 于 此 类 攻 击 的 组 件 并 不 是 恶 意 的 ， 因 此 安 全 解 决 方 案 需 具 备 能 力 观 察 攻 击 的 行 为 链 运 作 方 式 ， 并 识 别 来 自 其 它 合 法 程 序 的 攻 击 链 何 时 发 动 攻 击 。
4 .   “ 无 文 件 无 文 件 ” 攻 击 越 来 越 多 攻 击 越 来 越 多 事 实 上 ， “ 无 文 件 攻 击 ” 技 术 已 存 在 一 段 时 间 。 例 如 ，   2 1 世 纪 初 就 出 现 了 内 存 漏 洞 利 用 ： C o d e   R e d 和 S Q L   S l a m m e r 蠕 虫 。 然 而 ， 创 建 并 广 泛 传 播 易 于 使 用 的 攻 击 工 具 和 漏 洞 利 用 工 具 使 得 “ 无 文 件 ” 攻 击 更 为 普 遍 ， 尤 其 M e t a s p l o i t 和 P o w e r S p l o i t 这 类 渗 透 测 试 框 架 易 被 滥 用 ， 因 为 它 们 提 供 现 成 的 “ 无 文 件 ” 漏 洞 利 用 可 用 来 实 施 任 何 攻 击 。 因 此 ， 此 类 技 术 不 止 限 于 技 术 高 超 的 黑 客 和 国 家 型 间 谍 组 织 ， 普 通 网 络 犯 罪 分 子 也 逐 渐 利 用 大 量 “ 无 文 件 ” 技 术 攻 击 企 业 。 “ S A N S   2 0 1 7 威 胁 形 势 调 查 ” 显 示 ， 近 三 分 之 一 的 被 调 查 企 业 报 告 遭 遇 过 “ 无 文 件 ” 攻 击 。 5 .   如 何 阻 止 如 何 阻 止 “ 无 文 件 无 文 件 ” 攻 击 ？ 攻 击 ？ 虽 然 “ 无 文 件 ” 技 术 善 于 躲 避 检 测 ， 但 仍 有 办 法 降 低 风 险 。 首 先 ， 企 业 应 禁 用 不 常 用 的 管 理 工 具 。 或 至 少 限 制 权 限 和 功 能 。 由 于 众 多 “ 无 文 件 ” 技 术 依 赖 P o w e r S h e l l ， 企 业 应 考 虑 禁 用 或 限 制 它 的 功 能 。 同 样 ， 禁 用 O f f i c e 宏 能 消 除 “ 无 文 件 ” 攻 击 的 最 常 用 发 起 点 。 企 业 应 及 时 修 复 操 作 系 统 和 应 用 程 序 ， 修 复 不 可 行 的 情 况 下 ， 企 业 应 隔 离 这 些 系 统 防 止 潜 在 攻 击 扩 散 。 企 业 I T 部 门 应 识 别 端 点 上 的 恶 意 活 动 和 行 为 ， 以 此 检 测 并 阻 止 “ 无 文 件 ” 攻 击 。 目 前 已 有 新 的 端 点 解 决 方 案 可 实 时 阻 止 “ 无 文 件 ” 攻 击 ， I T 及 安 全 高 管 应 研 究 新 端 点 解 决 方 案 ， 选 择 最 适 合 的 安 全 解 决 方 案 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 5 7 4 3 5 0 6 6 3 . s h t m l 相 关 阅 读 ： 中 国 黑 客 被 指 与 西 方 航 空 航 天 公 司 遭 R A T 入 侵 有 关 航 空 航 天 领 域 须 小 心 跨 平 台 恶 意 软 件 A d w i n d   R A T 如 何 利 用 U 盘 传 送 恶 意 软 件 实 施 无 文 件 攻 击 亚 洲 多 国 黑 客 利 用 无 文 件 方 法 传 播 R A T C C l e a n e r 被 感 染 事 件 与 中 国 黑 客 组 织 A P T 1 7 有 关 ？ 解 密 黑 客 组 织 F I N 7 ： 加 速 创 新 ， 不 断 变 换 技 术 如 何 利 用 U 盘 传 送 恶 意 软 件 实 施 无 文 件 攻 击
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理