淺談APT的技術(shù)、設(shè)計及內(nèi)部工作機制

責(zé)任編輯:editor005

作者:趙長林

2015-06-16 13:52:37

摘自:TechTarget中國

APT(高級持續(xù)性威脅)是黑客以竊取核心資料為目的,針對企業(yè)發(fā)動的網(wǎng)絡(luò)攻擊和侵襲行為。文章將不同的攻擊階段與特定攻擊關(guān)聯(lián)起來,看攻擊者如何滲透企業(yè),獲取其內(nèi)部數(shù)據(jù)、業(yè)務(wù)秘密、敏感的業(yè)務(wù)信息等。

APT(高級持續(xù)性威脅)是黑客以竊取核心資料為目的,針對企業(yè)發(fā)動的網(wǎng)絡(luò)攻擊和侵襲行為。本文將探討APT的技術(shù)、設(shè)計及內(nèi)部工作機制。此外,文章將不同的攻擊階段與特定攻擊關(guān)聯(lián)起來,看攻擊者如何滲透企業(yè),獲取其內(nèi)部數(shù)據(jù)、業(yè)務(wù)秘密、敏感的業(yè)務(wù)信息等。

淺談APT的技術(shù)、設(shè)計及內(nèi)部工作機制

APT的目標(biāo)是訪問企業(yè)網(wǎng)絡(luò)、獲取數(shù)據(jù),并長期地秘密監(jiān)視目標(biāo)計算機系統(tǒng)。許多研究人員認(rèn)為,所謂的“高級”是指攻擊者借助惡意軟件和已知漏洞等技術(shù),利用內(nèi)部系統(tǒng)的漏洞。而“連續(xù)”意味著外部的命令和控制系統(tǒng)持續(xù)不斷地監(jiān)視特定目標(biāo),并竊取數(shù)據(jù)。

APT使得到授權(quán)者獲得了網(wǎng)絡(luò)的訪問,并通過建立后門而可以長期訪問網(wǎng)絡(luò),并不斷地收集數(shù)據(jù)和向外發(fā)送知識產(chǎn)權(quán)等機密數(shù)據(jù)。

APT變得日益復(fù)雜。它通過繞過或摧毀傳統(tǒng)的安全措施而制造成本高昂的數(shù)據(jù)泄露事件。甚至在成功完成其使命后,APT仍賊心不死,繼續(xù)駐留,進一步收集信息。而且,這種威脅很難檢測和清除,因為它看起來并不象是惡意軟件,卻深入到企業(yè)的計算系統(tǒng)中。此外,APT的設(shè)計者和發(fā)動者為逃避檢測還會不斷地改變其代碼,從而持續(xù)地監(jiān)視和指引其活動。

零日漏洞和網(wǎng)絡(luò)攻擊

許多APT與零日漏洞一直有千絲萬縷的聯(lián)系,它往往利用零日漏洞對企業(yè)實施攻擊。去年,曾出現(xiàn)過一種可以利用IE的零日漏洞的攻擊,攻擊者將釣魚郵件發(fā)送給在國防、航天、能源、研究機構(gòu)中的目標(biāo)人員。這些釣魚郵件包含一個可以指向惡意網(wǎng)站(此網(wǎng)站管理著利用零日漏洞的代碼)的連接。

釣魚郵件的發(fā)送者還會將更多的消息發(fā)送給更廣泛的目標(biāo),試圖在補丁可用之前感染盡可能多的終端。攻擊者還會更新其電子郵件的模板和主題,保持其伎倆的“新鮮”,并借以逃避企業(yè)已經(jīng)部署的垃圾郵件檢測規(guī)則的檢查。

深入解剖APT

攻擊者對APT中的每一步可謂用心良苦,精心計劃和研究,其中的步驟包括:構(gòu)建企業(yè)IT基礎(chǔ)架構(gòu)的內(nèi)部設(shè)計圖、惡意軟件工程、社交工程攻擊、難以檢測的數(shù)據(jù)泄露等。

1.目標(biāo)選擇

高級持續(xù)威脅的首要一步是選擇目標(biāo)企業(yè),然后通過企業(yè)網(wǎng)站、雇員簡歷、網(wǎng)站數(shù)據(jù)等,查找公司使用的可能存在漏洞的(或易于攻擊的)軟件和基礎(chǔ)架構(gòu)。還有的攻擊者會尋找“意外的受害者”,比如,黑客瘋狂查找Wi-Fi網(wǎng)絡(luò)有漏洞的企業(yè),并發(fā)現(xiàn)其攻擊目標(biāo)。

2.信息收集

知彼知己,百戰(zhàn)不殆。攻擊者全面地研究攻擊目標(biāo)的配置信息,構(gòu)建其IT系統(tǒng)的內(nèi)部設(shè)計圖,并查找可利用的漏洞,進行全面滲透。他會搜集關(guān)于網(wǎng)站、網(wǎng)絡(luò)拓?fù)?、域、?nèi)部DNS和DHCP服務(wù)器、內(nèi)部IP地址的范圍以及任何可利用其漏洞的端口或服務(wù)的細(xì)節(jié)。根據(jù)目標(biāo)不同,該過程可能會花費不同的時間。大型企業(yè)可能在安全方面進行更多投資,并建立多層防御。知識即力量,攻擊者獲得的目標(biāo)網(wǎng)站的信息越多,他實施滲透和部署惡意軟件的成功機率就越大。

3.確定侵入點

在收集了發(fā)動攻擊的足夠信息后,攻擊者會縮小其利用漏洞的入侵范圍,并研究目標(biāo)企業(yè)的安全方案的防御機制,了解企業(yè)可能擁有的攻擊簽名。在多數(shù)情況下,攻擊者會向目標(biāo)公司的雇員發(fā)送郵件,誘騙其打開惡意附件,或單擊一個偽造的URL,希望利用常見軟件(如Java或微軟的辦公軟件)中的零日漏洞,交付其惡意代碼。當(dāng)然,攻擊者還可以利用雇員使用的任何軟件的零日漏洞。

4.將惡意軟件植入到被控制的機器上

在攻擊者利用了雇員機器的漏洞之后,就會將惡意代碼植入到機器上,安裝后門,實現(xiàn)對機器的完全訪問,例如,攻擊者最常安裝的就是遠(yuǎn)程管理工具。這些遠(yuǎn)程管理工具是以反向連接模式建立的,其目的就是允許從外部控制雇員電腦或服務(wù)器,即這些工具從位于中心的命令和控制服務(wù)器接受命令,然后執(zhí)行命令,而不是遠(yuǎn)程得到命令。這種連接方法使其更難以檢測,因為雇員的機器是主動與命令和控制服務(wù)器通信而不是相反。

5.提升特權(quán)

攻擊者首先從受到損害的雇員電腦或用戶那里獲得訪問憑據(jù),然后對目標(biāo)系統(tǒng)中的非管理用戶執(zhí)行特權(quán)提升,進而訪問關(guān)鍵的重要目標(biāo)(其中包括IT和非IT的特定服務(wù)器管理員)。

為獲得登錄憑據(jù),攻擊者會使用鍵盤記錄器、ARP欺騙、鉤子工具等。鉤子工具基本上都可以劫持與口令認(rèn)證有關(guān)的功能,而ARP欺騙工具會監(jiān)聽數(shù)據(jù)包中兩個或多個系統(tǒng)之間的會話。例如中,Pwdump就是從Windows注冊表中獲得口令哈希的另一個工具。此外,攻擊者還可以利用其它的工具,如WCE(Windows憑據(jù)編輯器)、Mapiget、 Lslsass、 Gsecdump、 CacheDump等。

攻擊者還可以利用一種稱為“哈希傳遞”的技術(shù),其中涉及使用哈希而不是明文口令,目的是為了進行身份驗證并取得更高級的訪問。攻擊者還可以利用蠻力攻擊,即通過預(yù)定義的口令簡單地猜測口令。

6.命令和控制通信

在進入目標(biāo)企業(yè)之后,APT一般還會通過被感染系統(tǒng)和攻擊者的“遠(yuǎn)程命令和控制”通信來進行遠(yuǎn)程配合。在整個攻擊過程中,攻擊者還會使用這個通道來打開并操縱后門網(wǎng)絡(luò)的訪問,其目標(biāo)是發(fā)現(xiàn)并泄露其需要的數(shù)據(jù)。

命令和控制通信與僵尸網(wǎng)絡(luò)的通信不一樣,后者有海量的通信量到達成千上萬的僵尸電腦,而前者的通信量很少,這使其更難以被發(fā)現(xiàn)。攻擊者還可以通過不斷地變換IP地址、通過代理服務(wù)器重定向通信等手段來使其無法被檢測到。命令和控制通信與正常的Web通信混合在一起,使用或欺騙合法的應(yīng)用或網(wǎng)站,如果沒有高級的本地網(wǎng)絡(luò)監(jiān)視,這種內(nèi)部命令和控制通信服務(wù)器是無法被檢測到的。

7.橫向遷移

如果攻擊者認(rèn)為自己可以在環(huán)境中駐留而不被檢測到,就會繼續(xù)以秘密方式存在。如果他們認(rèn)為自己面臨著被檢測到的風(fēng)險,“狡兔三窟”,就會快速移動。橫向遷移往往伴隨著與偵察、憑據(jù)竊取、滲透其它計算機等有關(guān)的活動。

遠(yuǎn)程控制工具可以使攻擊者訪問網(wǎng)絡(luò)中的其它桌面,并在其它系統(tǒng)上實施諸如執(zhí)行程序、制定計劃任務(wù)、管理數(shù)據(jù)的收集等操作。用于此目的的工具和技術(shù)包括遠(yuǎn)程桌面工具、PsExec、WMI等。攻擊者通過這些操作和工具可以進一步訪問包含機密信息的企業(yè)服務(wù)器。

8.資源的發(fā)現(xiàn)和保持

有些技術(shù)(如端口掃描和網(wǎng)絡(luò)分析)可用于確認(rèn)重要的保存機密數(shù)據(jù)的服務(wù)器和服務(wù)。這種活動中的有些工具包括netstat(一個通過活動連接和開放端口而獲得網(wǎng)絡(luò)連接信息的命令行工具)。這類工具可用于確認(rèn)正在運行的服務(wù),或者被控制的計算機能夠訪問的內(nèi)部服務(wù)器。端口掃描工具可以檢查開放的網(wǎng)絡(luò)端口,使攻擊者能夠在受控制的系統(tǒng)和攻擊者系統(tǒng)之間的建立一個隧道連接。端口掃描工具(如ZXPortMap和 ZXProxy 等)可用于創(chuàng)建隧道連接并繞過防火墻的保護。

9.數(shù)據(jù)偷運

也就是將敏感數(shù)據(jù)從被攻擊的網(wǎng)絡(luò)非法傳輸?shù)接晒粽呖刂频耐獠肯到y(tǒng)。在發(fā)現(xiàn)有價值的數(shù)據(jù)后,APT攻擊者往往要將數(shù)據(jù)收集到一個文檔中,然后壓縮并加密該文檔。此操作可以使其隱藏內(nèi)容,防止遭受深度的數(shù)據(jù)包檢查和DLP技術(shù)的檢測和阻止,下一步驟就是要將數(shù)據(jù)從受害系統(tǒng)偷運出去。

由于數(shù)據(jù)看似正常在進出企業(yè)網(wǎng)絡(luò),數(shù)據(jù)的偷運非常類似于正常的網(wǎng)絡(luò)通信,這就使得IT安全團隊對偷運數(shù)據(jù)的檢測非常困難。在攻擊者收集了敏感信息后,數(shù)據(jù)就被傳輸?shù)揭慌_內(nèi)部的臨時服務(wù)器,并進行壓縮和加密,然后傳輸?shù)接晒粽呖刂频耐獠?。攻擊者使用的工具包括多種類型,如Lz77用于進行壓縮以便于偷運數(shù)據(jù),ZXProxy可用于重定向HTTP或HTTPS連接,LSB-Steganography可以將將文件嵌入到鏡像中,ZXPortMap(通信重定向工具,幫助攻擊者制造連接源頭的混亂),還有ZXHttpServer(一種易于部署的小巧的HTTP服務(wù)器)。所有這些工具都被復(fù)制到被控制的電腦上。

10.消滅罪證

在攻擊者完成其目標(biāo)后,就要關(guān)心如何消除其秘密操作的蹤跡。但攻擊者經(jīng)常會留下后門,借以多次進入系統(tǒng)并竊取機密數(shù)據(jù)。

如果攻擊目標(biāo)有了新的客戶記錄或最新的業(yè)務(wù)計劃,對攻擊者來說將有很大的吸引力,其數(shù)據(jù)偷運過程也會持續(xù)更長的時間。

最后,攻擊者會停手,其原因往往是他完成了目標(biāo),或者受害者發(fā)現(xiàn)并切斷了攻擊。在竊取數(shù)據(jù)后,APT攻擊者會出賣數(shù)據(jù)、威脅被攻擊的公司、要求受害者支付贖金等。

結(jié)論

針對性攻擊可以成功地繞過傳統(tǒng)的安全防御,而許多IT專業(yè)人士相信其企業(yè)已經(jīng)成為了靶子。如今的APT采取了一種難以檢測的低姿態(tài)的慢速方法,但其成功的可能性卻更高了。攻擊者只需欺騙一個雇員打開一個利用零日漏洞的惡意軟件,就不僅可以訪問雇員的電腦,還有可能訪問整個公司的網(wǎng)絡(luò)。

由上文的分析可以看出,應(yīng)對APT的強健防御機制必須擁有深度的檢測和分析功能。最后強調(diào)三點:網(wǎng)絡(luò)管理者必須實施應(yīng)用程序的白名單功能,防止惡意軟件在雇員電腦上的安裝和使用。企業(yè)還必須利用SIEM工具來分析網(wǎng)絡(luò)日志,如果將來發(fā)生了數(shù)據(jù)泄露,管理員還可以借助工具進行取證分析。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號