FireEye遭APT攻擊?!針對企業的APT攻擊是如何發生的?

2020-12-20 安芯網盾

本周二，全球領先的APT防禦企業FireEye透露其系統遭到APT攻擊。作為最早提出APT-1報告的安全廠商，FireEye多次通過報告的形式，針對地區網絡發展、國家網絡戰略、新型APT組織等發聲。該公司表示，黑客利用「新穎技術」竊取了滲透測試工具包，而這可能會在全球範圍內引發新的攻擊。

（圖片來源於網絡）

APT事件並不是新鮮事，就在本月歐盟某國家外交部計算機被發現植入後門，長達5年的APT攻擊行動揭秘。在過去的幾年中，網絡攻擊的數量和複雜性一直在不斷提升，APT攻擊事件的普遍性預示著更不可估計的威脅，現在正是檢測系統是否遭到網絡攻擊的好時機。

了解APT攻擊

對於任何公司而言，保護自己免受攻擊的最佳方法是了解攻擊的運作方式。APT攻擊指的是高級可持續威脅攻擊,也稱為定向威脅攻擊，指某組織對特定對象展開的持續有效的攻擊活動。

典型的APT攻擊通常分為五個階段：

1、初始訪問：APT攻擊者獲得對目標網絡的訪問權限。這是通過網絡釣魚電子郵件，惡意附件或應用程式漏洞來完成的。攻擊者的目標是使用此訪問權限將惡意軟體植入網絡。在此初始階段，網絡受到威脅，但尚未被破壞。

2、惡意軟體部署：植入到系統中的惡意軟體探針可檢測網絡漏洞。它與外部命令和控制（CnC）伺服器通信，以獲取有關如何利用這些漏洞並接收其他惡意軟體的指導。

3、訪問擴展：惡意軟體檢測其他漏洞，這些漏洞可用於在無法訪問現有入口點時查找新入口點。即使安全措施禁用了入口點，這也可以確保攻擊繼續進行。

4、文件探索：在此階段，攻擊者已經建立了可靠的長期網絡訪問。惡意軟體會尋找用戶憑證和敏感數據文件等。

5、數據收集和傳輸：惡意軟體將敏感數據存儲在登錄伺服器上。然後，數據被洩漏到外部伺服器。此時，目標網絡已被破壞。攻擊者將掩蓋自己的足跡，使網絡受到威脅，並在下一次攻擊時重複該過程。

遭受APT攻擊的跡象

即使APT攻擊使用複雜的手段來隱藏活動，也有一些跡象可以幫助識別APT攻擊，如下所示：

1、意外的登錄：在辦公時間之外意外登錄到伺服器可能表明一項APT攻擊正在發生。攻擊者入侵網絡的方法之一是使用其竊取的憑據。攻擊者可能在不同的時區工作，或者嘗試在夜間工作，以減少發現其活動的機會。

2、檢測到的後門木馬數量增加：如果網絡安全工具檢測到的後門木馬數量比平時多，則可能是由於APT攻擊所致。APT攻擊者會安裝後門木馬程序，以確保即使更改了登錄憑據也可以繼續訪問受感染的設備。

3、魚叉式網絡釣魚電子郵件的增加：查找包含只能由入侵者獲取的文檔的魚叉式網絡釣魚電子郵件。這些電子郵件可能會被發送給高級管理人員，以便攻擊者訪問他們的電腦或受限制的數據。

4、無法解釋的數據轉換：APT攻擊策略的一部分是將他們要竊取的數據複製到網絡中的另一個位置，並僅在確信無法檢測到時才將其傳輸到網絡之外。它可以是伺服器到伺服器，伺服器到客戶端或網絡到網絡的信息流。

如何預防APT攻擊？

APT攻擊非常複雜，但是可以通過採取安全措施來進行防禦。以下有幾個方法：

1、提高預防網絡釣魚意識，網絡釣魚詐騙常常被用作APT攻擊的切入點。企業應該對員工進行培訓，以識別網絡釣魚企圖以及遇到的網絡釣魚行為。

2、APT攻擊常常利用應用程式漏洞，通過確保所有應用程式都已更新了最新的安全補丁，可以減少此類漏洞的風險。

3、當前的APT 攻擊愈演愈烈，攻擊手段更加先進、持久、有效，而攻擊者在入侵實施階段往往會用到內存攻擊、無文件攻擊等先進攻擊手段，原因是這些攻擊手段相較於其他手段更容易成功。那麼內存保護具備運行時安全防護能力，提供漏洞防禦、數據保護、威脅防禦三大防禦能力，當攻擊者利用新型攻擊方式，或利用系統、應用漏洞繞過傳統防護手段，將惡意代碼悄無聲息地植入到內存時，內存保護系統會對其進行實時監測與攔截，從而保護客戶數據安全及業務連續性。

參考文獻

[1]https://medium.com/@eddies_47682/apt-attacks-101-what-they-are-and-how-they-work-393c09f55eae

[2]https://www.darkreading.com/how-cyberattacks-work-/a/d-id/1339300

[3]https://threatpost.com/fireeye-cyberattack-red-team-security-tools/162056/

相關焦點

  • 淺談APT攻擊的檢測與防禦
    從針對Google等公司的極光行動(2009年)、Stuxnet病毒攻擊事件(2010年)到McAfee公司公布的針對西方能源公司的夜龍行動(2011)、RSA SecureID遭竊取事件(2011年)，以及近期的針對韓國金融和政府機構的遭受的網絡攻擊(2013年)，相信大家對「APT攻擊」這個概念並不陌生，那麼什麼是APT攻擊，我們該如何進行正確的認識
  • 三分鐘教你看懂APT攻擊
    什麼是APT攻擊顧名思義，APT（高級持久威脅）首先具有強大的隱蔽能力。它針對特定對象，並有計劃，有組織和長期地竊取數據。目的是竊取核心信息並收集情報，是一種蓄謀已久「惡意商業間諜威脅」。其次，APT攻擊具有很高的針對性。在觸發攻擊之前，通常有必要收集有關用戶業務流程和目標系統使用情況的大量準確信息。情報收集的過程更是社工藝術的完美展現。當然，它針對各種類型的受攻擊環境0day收集更是必不可少的環節。
  • 每天名言:A man apt to promise is apt to forget.
    新東方網>英語>英語學習>口語>每日一句英語>正文每天名言：A man apt to promise is apt to forget.
  • MuddyWater(汙水)APT組織再次針對土耳其相關部門發起定向攻擊
    近日，騰訊御見威脅情報中心監控到 MuddyWater（汙水） APT組織再度 利用宏文檔進行載荷投遞，通過搜尋引擎查詢發現，該組織利用的宏文檔中嵌有「mersin emniyet müdürlüü」關鍵字的圖標文件，初步推斷是針對土耳其相關部門發起的一次定向攻擊。
  • 2020年第三季度APT攻擊趨勢分析(下)
    今年5月，卡巴斯基就阻止了一次針對一家韓國公司的惡意Internet Explorer腳本攻擊。分析顯示，該攻擊使用了以前不知道的全鏈攻擊，包括兩個零日攻擊：針對Internet Explorer的遠程代碼執行攻擊和針對Windows的權限提升攻擊。
  • 鄂爾多斯蒙泰集團成功收購德國apt集團!
    近日，鄂爾多斯蒙泰集團有限公司成功收購德國apt集團100%股權，成為apt集團控股股東。收購後，蒙泰集團將依靠apt集團現有的管理團隊進行日常運營，充分發揮各自的優勢，實現合作共贏。apt集團是歐洲最大鋁合金生產及深加工企業之一，公司員工數約1000人，年銷售額近3億歐元，作為歐洲鋁工業領域的頂尖企業，apt集團專注於高性能鋁合金型材生產及表面處理，產業鏈涵蓋鋁合金研發、擠壓型材生產、鋁深加工、鋁產品表面處理、系統集成組裝等，為建材、運輸、工業和汽車領域
  • 使用 ZoomEye 尋找 APT 攻擊的蛛絲馬跡
    www.zoomeye.org/doc#history-ip-search 這裡可以使用的是ZoomEye SDK https://github.com/knownsec/ZoomEye 另外需要強調說明下的是：ZoomEye線上的數據是覆蓋更新的模式，也就是說第2次掃描如果沒有掃描到數據就不會覆蓋更新數據，ZoomEye上的數據會保留第1次掃描獲取到的banner數據，這個機制在這種惡意攻擊溯源裡其實有著很好的場景契合點：
  • 警惕新型APT移動端跨越攻擊 360支招手機安防
    圖一：黃金鼠主要攻擊區域所謂「黃金鼠」，是360追日團隊追蹤的一個APT組織APT-C-27。APT在這裡指的是APT攻擊，即高級持續性威脅（advanced persistent threat）的縮寫，它一般是利用先進的攻擊手段，針對特定組織或國家等高價值目標實施攻擊，可以對一國的國家安全構成極其嚴重的威脅。
  • APT組織StrongPity攻擊土耳其和敘利亞
    1 APT組織StrongPity攻擊土耳其和敘利亞Bitdefender研究人員最近發現APT組織StrongPity一直針對土耳其和敘利亞的受害者。StrongPity利用水坑攻擊策略有選擇地感染受害者，使用木馬化的流行工具，包括文件存檔器、文件恢復程序、遠程連接應用程式、實用程序甚至安全軟體，並部署了三層C＆C基礎設施以阻止被分析。
  • 紅帽的 ​Ceph 和 Inktank 代碼庫遭到黑客攻擊
    紅帽公司聲稱，Ceph 社區項目和 Inktank 下載網站上周遭到黑客攻擊，一些代碼可能受到了損壞。上周紅帽遭到了一次非常令其不快的意外事件。
  • 迎戰APT高級威脅攻擊,360安全衛士主防7.0震撼上線!
    近年來，隨著數位化轉型的加劇，針對軍政機構、醫院、企事業單位甚至個人的APT攻擊可謂「比肩並起」。在此背景下，傳統網絡安全防護理念和策略遠不足以應對此類高頻度、大規模、高級別的APT網絡攻擊。如何鍛造自身「銅牆鐵壁」，守護政企單位乃至個人的安全根基，成為當前數字時代的新命題。
  • 360證實越南黑客組織竊取我國抗疫情報 APT攻擊危害加劇
    DoNews 5月7日消息（記者 趙晉傑）網絡安全企業360本周四發布消息稱，該公司的技術研究團隊，近期證實有黑客組織在不斷嘗試竊取我國醫療衛生行業的相關機密。通過360安全大腦多次監測、追蹤到的證據分析證明，該組織被鎖定為越南黑客組織APT32(海蓮花OceanLotus)。
  • APT「商業化」倒逼企業威脅模型變革
    但是，隨著APT工具技術的產品化和「民主化」，以及「APT即服務」的商業化和規模化，APT這種過去針對高價值目標的高成本低頻次攻擊，門檻大幅降低，正呈現泛濫趨勢，很多過去沒有將APT納入威脅模型的用戶，例如中小企業，如今也正成為APT攻擊的目標。這意味著大量企業和機構都應當根據APT的最新發展趨勢重新修訂其威脅模型。也許，針對網絡犯罪的「攻擊上雲」趨勢，最佳防禦策略正是「安全上雲」。
  • 主攻APT防護領域,「東巽科技」提供網絡攻擊檢測、分析完整產品線
    36氪日前接觸到的一家初創安全企業——東巽科技，成立於2010年，專注於APT防禦技術的研究與應用，是國內第一批APT廠商之一。APT，英文全稱為Advanced Persistent Threat，即高級持續性威脅，本質上是指某組織對特定目標進行長期、持續性的網絡攻擊活動，常具有強烈的政治、經濟目的。
  • 臺灣公營企業網絡受黑客攻擊,官員聲稱是針對蔡英文就職典禮
    臺媒報導，臺灣「中油」、臺塑化陸續傳出遭惡意程序攻擊，安全單位官員今天說，黑客近來針對基礎建設系統、高科技產業等展開攻擊，不排除是針對「5·20」蔡英文就職典禮前的測試性攻擊，安全團隊、資安部門全面提高警覺。
  • 安全公司FireEye武器洩漏事件分析
    FireEye客戶從美國聯邦、州、地方政府，到國際企業都有，甚至與美國國土安全部也有合作關係。該公司並未透露入侵在什麼時間發生，具體攻擊者是誰，僅指透露攻擊團隊由一個擁有頂尖入侵能力的國家所資助。
  • 國內首現公有雲遊戲APT攻擊事件,騰訊安全助力構築遊戲安全防護體系
    近日，騰訊安全威脅情報中心追蹤捕獲了一例專門針對遊戲行業公有雲資產的APT攻擊。攻擊組織藉助公有雲主機系統的木馬植入，實現在該遊戲公司雲主機系統的長期潛伏，可在遊戲公司無感知的情況下，實施資產盜取、遊戲私服創建等惡意行為，嚴重影響受害企業的數據及財產安全。目前，騰訊安全已在第一時間向該遊戲公司發布了木馬入侵告警，並密切關注後續攻擊動向。
  • Dropping Elephant:一個利用普通工具攻擊的網絡組織
    很快，我們就發現一個可能是來自印度的網絡犯罪組織正在亞洲地區大肆進行網絡間諜攻擊行動。受攻擊目標主要為多個同中國和中國國際事務有關的外交和政府機構。儘管攻擊者只配備了較舊的漏洞利用程序和普通的攻擊工具，但他們還是針對多個高級目標進行了攻擊，包括一些西方國家機構。
  • 看電影學單詞:連刷6個大片例句掌握6級詞彙apt
    apt是大學六級程度的詞彙，算是有一定難度，不過在日常生活中應用頗多。它第一個含義是「恰當的」。有的時候，apt也會做「適當」講——跟suitable、right意思差不多（見視頻：例句3——《星際迷航》）。apt第二個詞義是易於…的/傾向於……的，或「可能會（經常做某事）的」。
  • 「汙水」(MuddyWater)APT組織C2工具MuddyC3淺析
    之前在Shells.Systems看到過一篇關於C2工具MuddyC3的分析文章，抱著學習的態度，來對該工具的工作原理進行學習，並從中汲取知識，窺探一線攻擊組織的攻擊手法