“有本事就来抓我呀!”企业发现APT攻击平均需要205天

近日,一份关于APT攻击的报告显示,在所有数据泄漏事件当中,黑客平均潜伏的天数长达 205 天。受害企业通常都有一个同样的疑惑:“黑客是如何在我的网络中长期躲藏而不被发现?”。亚信安全通过对APT攻击长期的追踪发现,黑客往往会精心选择隐匿行踪的技巧,而且擅长通过有组织的行动将攻击分散开来,以躲避查杀。针对APT攻击的特征,亚信安全建议企业用户持续监察网络内的异常流量,并格外小心“图片”和“文档”中的黑色代码。

APT攻击黑客团体特别擅长隐匿行踪

hacker

在所有黑客攻击行为当中,最有能力在企业网络内部四处隐藏及游走的,就应该是APT攻击。黑客团体有着组织性犯罪的显著特征,而且特别擅长隐匿行踪,他们通常会运用“零时差”漏洞进入网络。其盗取的核心机密数据能够在地下黑市为其换得高额回报,巨大的诱惑让他们长期潜伏下来,并且持续渗透。

黑客团体的成员之间,有着统一的指挥通道并且分工明确,要缉拿这些行动背后的首脑相当困难,尤其是当他们躲藏在国外的时候。事实上,许多APT攻击团体通常都有政府在背后支持。还有,即使我们可以从攻击行动所使用的网址来追溯到某个地区,但该网址注册的 DNS 和 IP 服务厂商通常也不愿配合国外的执法机关。正因如此,那些由政府在背后撑腰的黑客,就能一再发动恶意攻击而不会遭到任何惩罚。严重的是,这些黑客团体还会被一些投机取巧、恶意竞争的企业,甚至是恐怖组织雇佣。在低风险、高报酬的条件下,他们会不断从过去的失败当中吸取教训,并且每一次都比上一次的行动更加小心谨慎。

“如果我们还不能建立起有效的APT攻击防御架构,任何一个组织都可能遇到数据泄漏的危险。管理员必须要熟悉黑客窃取数据的方法,掌握APT攻击各个阶段的特点,并且能够针对APT攻击链条建立有效的抑制点,在互联网入口、内部交换层,都要配备更智能的过滤和分析机制,因为黑客正在把APT攻击代码写进看似正常的图片和文档中。”亚信安全APT治理专家徐江明提醒:“企业用户一定要关注APT攻击的变化。我们的工程师已经发现了更糟糕的状况,地下市场上随处可见的恶意程序,以及卷土重来的宏病毒已经被APT攻击者广泛采用。”

APT攻击“武器”正在升级

亚信安全的研究人员发现,当前地下市场上最精密的恶意软件之一就是 Stegoloader,它可以将 C&C 通信隐藏在图片当中。大多数的系统管理员都会被这样的技巧所骗,因为他们习惯上只会在安全网关上拦截可以执行文件并进行分析,不会拦截图片文件。但这些图片一旦进入目标网络之后,恶意软件就会帮助黑客发挥“横向移动”的能力。另外,Stegoloader采用了模块化的设计可让它在不同类型的终端之间移动,并且迅速发掘可窃取的数据类型及数量,进而判断是否值得花时间来发动进一步攻击。大多数的安全专家都认为 Stegoloader 是一种高级黑客用来从事长期攻击行动的工具。

能够骗过管理员和用户的另外一个伎俩就是Office文档,而这也是宏病毒藏身的地方。上世纪末最恶名昭彰的梅丽莎病毒(Melissa)出现之后,宏病毒貌似离开了人们的视线。但是,现在宏病毒强势回归,并成为了APT攻击的惯用工具。例如:2014年出现的数据窃取软件ZeuS,它通过启用宏的Microsoft Word文件来进行散播。在同年11月还发现了DRIDEX(一个针对网络银行用户的数据窃取软件)采用相同的感染策略。紧随其后的是ROVNIX、VAWTRAK、BARTALEX这些后门恶意软件,黑客还加上自己的防御手段,他们或是对启用宏的文件加上密码保护来防止防毒软件的查杀,或是开辟新方法来通过宏恶意软件感染用户。

找出APT攻击的藏身之处

APT攻击共有六个阶段,这包括:情报收集、单点突破、命令与控制(C&C 通信)、横向移动、资产/资料发掘、资料窃取。在黑客团体常常分工明确,每一阶段由一组专门的黑客负责。另外,需要注意的不仅是在“单点突破”这个阶段的恶意代码,黑客在第四阶段的“横向移动”对于最后资料窃取阶段的布局也至关重要。不断地在不同终端之间移动,可以让黑客完整扫描整个网络,并且找到最珍贵的数据。

发现APT攻击者在企业内部的藏身之处有一定的难度,但不是说企业就束手无策。相反,企业必须不断提升自己的安全防护,并随时掌握整个企业网络的情况。亚信安全服务器深度安全防护系统(Deep Security)产品可提供 360度全方位掌握来侦测 APT,防范黑客窃取企业敏感信息。在今日的大环境下,黑客入侵已经是无可避免的事,因此尽可能降低黑客潜伏的时间,并且妥善保护核心的数字资产,这才是最重要的。

上一篇:IT 管理进入 DT 时代锐捷RIIL Insight驾驭你的 IT

下一篇:Juniper:承诺删除产品固件代码中存在的后门