高級持續(xù)性威脅（APT）團伙Platinum一直濫用Windows的熱修復功能來攻擊南亞和東南亞的政府組織和機構。這個APT團伙利用這個功能（Windows Server 2003中推出）將惡意代碼注入到正在運行的進程中。那么，這些熱修復攻擊的工作原理是什么，我們應該如何應對？

Nick Lewis：高級持續(xù)性威脅（APT）團伙歷來喜歡利用零日漏洞和內置工具作為其攻擊手段。熱修復是Windows 2003中推出的安全功能之一。Windows Defender高級威脅狩獵隊檢測到名為Platinum的APT團伙正在利用這個功能，當熱修復不起作用時，他們似乎還可使用其他技術來注入惡意代碼。

Windows熱修復是微軟為了減少服務器需要重新啟動次數(shù)推出的功能。它的工作原理是通過已修復的代碼在內存運行可執(zhí)行文件，以便使用已更新的代碼，替代存在漏洞的代碼。熱修復功能目前存在于Linux和UNIX以及Windows中。它用于確保高可用性，當核心操作系統(tǒng)進程需要修復時，不需要重新啟動系統(tǒng)。由于操作系統(tǒng)會被修改，熱修復需要作為管理員執(zhí)行這些操作，但攻擊團伙發(fā)現(xiàn)一種方法利用熱修復隱藏他們的攻擊。

企業(yè)可通過保護核心操作系統(tǒng)安全以及管理員訪問權限來抵御熱修復攻擊，例如Platinum團伙的攻擊。Windows 2012還沒有被報告包含不安全的熱修復功能，所以更新服務器到新版本可能是不錯的選擇。當對服務器的初步檢查沒有發(fā)現(xiàn)攻擊指標時，針對APT的標準網(wǎng)絡監(jiān)控也可幫助發(fā)現(xiàn)受感染的服務器，同時，還有必要部署分層防御--包括監(jiān)控網(wǎng)絡。