搜索

[2700] 2016-03-21_APT攻击手段升级放出各种烟幕弹以混淆视听

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2016-03-21_APT攻击手段升级放出各种烟幕弹以混淆视听 A P T 攻 击 手 段 升 级   放 出 各 种 烟 幕 弹 以 混 淆 视 听 E 安 全   2 0 1 6 - 0 3 - 2 1 每 一 份 A P T 调 查 报 告 的 出 炉 都 包 含 着 令 人 头 痛 的 难 题 。 就 在 近 日 ， 路 透 社 发 布 的 一 份 报 告 更 是 将 某 起 针 对 美 国 企 业 的 勒 索 攻 击 活 动 同 某 政 府 支 持 下 的 黑 客 集 团 联 系 在 一 起 。 不 过 大 部 分 报 告 并 没 有 提 供 确 切 证 据 ， 而 且 需 要 强 调 的 是 ， 技 术 痕 迹 很 容 易 被 伪 造 或 者 进 行 故 意 诱 导 技 术 痕 迹 很 容 易 被 伪 造 或 者 进 行 故 意 诱 导 。 上 周 三 于 温 哥 华 召 开 的 C a n S e c W e s t   2 0 1 6 大 会 上 ， 卡 巴 斯 基 实 验 室 研 究 员 B r i a n   B a r t h o l o m e w 与 J u a n   A n d r e s   G u e r r e r o - S a a d e 就 确 认 称 ， 最 近 正 有 越 来 越 多 伪 造 标 记 行 为 被 网 络 犯 罪 调 查 人 员 及 恶 意 软 件 研 究 人 员 所 发 现 。 “ 人 们 利 用 多 种 指 标 判 断 攻 击 归 属 ， 例 如 时 间 戳 或 者 语 言 字 符 串 ， ” G u e r r e r o - S a a d e 表 示 。 “ 不 过 需 要 强 调 的 是 ， 目 前 已 经 出 现 了 能 够 对 此 类 指 标 进 行 篡 改 与 滥 用 的 方 法 。 因 此 我 们 无 法 轻 易 判 断 攻 击 来 源 ， 因 为 攻 击 者 们 已 经 抢 先 一 步 对 此 进 行 伪 造 。 ” 目 前 众 多 A P T 活 动 已 经 与 以 色 列 、 俄 罗 斯 、 朝 鲜 、 美 国 以 及 中 东 地 区 之 具 体 利 益 联 系 起 来 ， 而 实 际 目 标 的 选 定 则 出 于 各 相 关 集 团 的 战 术 考 量 及 恶 意 软 件 储 备 。 大 部 分 归 属 判 断 工 作 基 于 代 码 内 的 线 索 。 举 例 来 说 ， 我 们 可 以 根 据 统 一 编 译 时 间 来 判 断 恶 意 人 士 的 工 作 日 周 期 ， 并 将 其 与 世 界 时 区 相 对 照 。 不 过 这 一 切 并 不 能 阻 止 攻 击 者 进 行 内 部 时 间 设 定 以 混 淆 我 们 的 判 断 ， 或 者 在 恶 意 代 码 当 中 添 加 包 含 众 多 语 言 的 字 符 串 ， 这 一 切 都 让 阻 遏 其 活 动 的 分 析 手 段 变 得 无 技 可 施 。
举 例 来 说 ， 崛 起 于 2 0 1 4 年 年 末 的 C l o u d A t l a s   A P T 攻 击 集 团 就 曾 使 用 过 一 年 前 卡 巴 斯 基 实 验 室 曾 在 R e d   O c t o b e r 集 团 使 用 过 的 鱼 叉 式 钓 鱼 技 术 手 段 ， 其 依 赖 于 同 样 的 漏 洞 ， 甚 至 选 定 了 部 分 与 R e d   O c t o b e r 完 全 相 同 的 攻 击 目 标 。 “ 他 们 的 很 多 行 为 让 研 究 人 员 摸 不 着 头 脑 ， ” B a r t h o l o m e w 表 示 ， 并 指 出 该 集 团 曾 向 俄 罗 斯 目 标 发 送 西 班 牙 语 文 件 ， 甚 至 曾 在 指 向 黑 莓 移 动 设 备 的 恶 意 代 码 中 使 用 阿 拉 伯 语 字 符 串 ， 并 在 A n d r o i d 恶 意 软 件 中 使 用 印 地 文 字 。 “ 他 们 的 指 挥 与 控 制 基 础 设 施 所 使 用 的 路 由 器 位 于 韩 国 ， 有 时 候 还 会 部 署 来 自 中 国 的 恶 意 软 件 。 ” 而 以 拉 撒 路 集 团 为 代 表 （ 其 曾 利 用 破 坏 性 恶 意 软 件 清 除 索 尼 影 视 的 内 部 数 据 ） 的 其 它 黑 客 组 织 还 曾 尝 试 将 自 身 活 动 巡 视 给 其 它 黑 客 主 义 团 体 ， 从 而 将 分 析 人 员 误 导 至 错 误 的 方 向 。 “ 其 理 由 显 然 不 难 理 解 ， ” B a r t h o l o m e w 表 示 ， 并 指 出 S o f a c y   A P T 集 团 就 曾 经 在 指 向 北 约 盟 国 、 乌 克 兰 以 及 其 它 东 欧 国 家 的 攻 击 活 动 中 使 用 不 同 的 签 名 及 属 性 。 “ 所 有 这 一 切 都 能 够 帮 助 该 集 团 争 取 到 更 多 时 间 ， 从 而 掩 盖 自 己 的 行 踪 。 ” 虽 然 攻 击 来 源 的 确 定 往 往 能 够 成 为 爆 炸 性 新 闻 ， 但 政 府 与 军 方 调 查 人 员 对 此 类 结 论 的 兴 趣 往 往 比 企 业 更 大 — — 后 者 的 关 注 后 者 的 关 注 重 点 更 倾 向 于 将 攻 击 者 赶 出 自 身 网 络 ， 同 时 恢 复 丢 失 数 据 或 者 知 识 产 权 重 点 更 倾 向 于 将 攻 击 者 赶 出 自 身 网 络 ， 同 时 恢 复 丢 失 数 据 或 者 知 识 产 权 。 政 府 方 面 需 要 更 为 准 确 的 属 性 信 息 ， ” G u e r r e r o - S a a d e 解 释 称 。 “ 由 于 直 接 后 果 涉 及 制 裁 或 者 起 诉 ， 因 此 政 府 需 要 更 为 深 入 地 了 解 事 实 真 相 。 ” “ 在 私 营 企 业 当 中 ， 虽 然 技 术 人 员 也 会 尝 试 找 出 根 源 ， 但 实 际 上 其 并 不 需 要 如 此 深 入 的 属 性 调 查 。 谈 起 来 确 实 很 酷 ， 但 企 业 只 需 要 实 现 国 家 层 面 的 归 属 判 断 ， 特 别 是 与 其 存 在 贸 易 往 来 的 国 家 。 具 体 来 讲 ， 只 专 注 于 国 别 与 动 机 。 ” 另 外 ， 政 府 方 面 还 拥 有 更 强 大 的 视 野 与 资 源 ， 私 营 企 业 在 这 方 面 绝 对 无 法 与 之 匹 敌 。 但 遗 憾 的 是 ， 政 府 往 往 不 愿 共 享 攻 政 府 往 往 不 愿 共 享 攻 击 情 报 ， 这 使 得 供 应 商 、 学 术 以 及 研 究 组 织 往 往 只 能 在 击 情 报 ， 这 使 得 供 应 商 、 学 术 以 及 研 究 组 织 往 往 只 能 在 A P T 报 告 当 中 利 用 时 间 戳 、 基 础 设 施 、 恶 意 软 件 家 族 以 及 密 报 告 当 中 利 用 时 间 戳 、 基 础 设 施 、 恶 意 软 件 家 族 以 及 密 码 判 断 其 来 源 码 判 断 其 来 源 — — 而 这 些 都 有 可 能 被 伪 造 或 者 加 以 调 整 而 这 些 都 有 可 能 被 伪 造 或 者 加 以 调 整 ， B a r t h o l o m e w 这 样 告 诉 我 们 。 “ 如 果 大 家 偏 离 了 轨 道 ， 那 么 进 一 步 研 究 只 会 浪 费 时 间 与 精 力 。 这 样 的 挣 扎 不 会 带 来 任 何 有 价 值 的 结 果 ， ” B a r t h o l o m e w 在 谈 到 归 属 判 断 时 指 出 。 “ 这 是 个 没 有 尽 头 的 复 杂 洞 穴 ， 一 步 走 错 则 将 离 目 标 越 来 越 远 。 ” E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p
E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理