本文链接网址:http://blog.csdn.net/qq1084283172/article/details/45690529 一.事件回放 网络管理员在服务器上通过网络监控软件检测到,有程序在不断向外发包,并且ip地址显示国外的区域,经过相关安全工程师的分析和定位,最确定是微软操作系统上的Power Shell程序出现异常.发现的这个Power Shell程序和微软操作系统上的Power Shell程序不同,出现异常的这个Power Shell会不断的向外发包.经过该安全工程师的分析和反编…

1.前言 在2016年左右研究人员发现一个与东南亚和中国南海问题的APT攻击,该APT攻击利用MS Offcie系列漏洞通过钓鱼邮件的形式欺骗受害者点击木马.以美国在内的各国政府和公司为目标发送了大量的恶意代码样本 . 其中木马上线的方式是利用了白名单网站的方式.攻击者将控制端的IP地址加密后发表文章到开放有博客.论坛的合法网站上.利用这类网站的RSS订阅服务作为受控主机访问的地址, 受害者的主机会读取RSS订阅中留存有攻击者C2加密信息的帖子地址将攻击者的C2信息解密后建立网络连接. 这种白名…

趋势科技以前在2013年下半年度目标攻击综合报告里指出,发现了好几起APT攻击-高级持续性渗透攻击 (Advanced Persistent Threat, APT) /目标攻击相关的攻击活动. 趋势科技眼下正在监视一起专门针对行政单位的攻击活动. 趋势科技将这起特定攻击活动命名为PLEAD.来自于其相关恶意软件所发出后门指令的字母. 此次攻击活动的进入点是通过电子邮件.在PLEAD攻击活动里,攻击者利用RTLO(从右至左覆盖)技术来欺骗目标收件者将被解开的档案误认成非运行档. (编按:比方将文…

今天早上,我们捕获到一个利用wps 2012/2013 0day针对中国政府部门的钓鱼邮件定向攻击事件. 邮件发件人以2014中国经济形势解析高层报告组委会 标题发出,附件为包含wps2012 0day的攻击文件,目前为止该攻击文件没有杀毒软件可以查杀. 一旦使用WPS 2012 打开文件攻击成功,会释放打开一个迷惑性的正常文件 2014中国经济形势解析高层报告会.doc,并且释放运行 win32_453B.dll_,IE7.EXE_,hostfix.bat_. 目前不确认该0day是否跟前端时…

0x00 APT的历史起源背景 APT这个词汇最早起源于:2005年英国和美国的CERT组织发布了关于有针对性的社交工程电子邮件,放弃特洛伊木马以泄露敏感信息的第一个警告,尽管没有使用“APT”这个名字.但 “先进的持续威胁”一词被广泛引用,2006年的美国空军Greg Rattray上校经常被引用为创造该术语的个人.后来,在Stuxnet震网事件就是专门针对伊朗的核计划的黑客攻击就是一个APT攻击例子.在计算机安全领域以及越来越多的媒体中,APT这个术语几乎总是用来指向针对政府,公司和政治活动…

APT攻击作为一种高效.精确的网络攻击方式,在近几年被频繁用于各种网络攻击事件之中,并迅速成为企业信息安全最大的威胁之一. 近日,飞塔中国首席技术顾问X在谈及APT攻击时表示,随着云计算的不断发展普及,APT攻击将向云计算平台聚焦:“数据和计算越来越集中化,以往针对个人的分散式攻击变得越来越没有效率,黑客一定会聚焦于云计算平台,施以专注.专业的APT攻击,以期获取最大量.最核心的机密数据,从而造成最大的破坏,或获得最大的利益.” X认为,APT攻击具有较强的隐蔽性.专业性.持续性,黑客通过社交工…

前言 最近一直在考虑如何结合kill chain检测APT攻击.出发点是因为尽管APT是一种特殊.高级攻击手段,但是它还是会具有攻击的common feature,只要可以把握住共同特征,就能进行检测.而kill chain就是个非常好的common feature描述. 在预研期间看到了一些觉得比较好的工作,这里和各位师傅一起分享下.如题所述,这篇文章是介绍如何如kill-chain的角度检测APT攻击的一个方案,其特点解决了三个痛点:1.在于针对大数据量的问题引入Pearson相关检验来减少…

前言 APT防御的重要性毋庸讳言,为了帮助各位师傅在防御方面建立一个总体认识,本文会将APT防御方法分为三类,分别是:监控.检测和缓解技术,并分别进行梳理,介绍分析代表性技术.这一篇分析现有的监控技术. APT 这里不谈APT概念,就是分享两张最近看到的觉得描述APT非常契合的图. 如果我们把APT分成6个攻击阶段的话,一种经典的划分方式如下   或者也可以画成金字塔   这里我们假设攻击目标位于金字塔的顶端,侧面表示攻击进化的环境(如物理平面.用户平面.网络平面.应用平面等).金字塔平面依赖于…

随着企业对IT的依赖越来越强,APT攻击可能会成为一种恶意打击竞争对手的手段.目前,APT攻击目标主要有政治和经济目的两大类.而出于经济目的而进行的APT攻击可以获取竞争对手的商业信息,也可使用竞争对手的IT系统陷入瘫痪,因此任何企业都可能会成为目标,也是目前众多企业面临的最严峻的网络安全威胁之一. “和传统攻击方式相对,APT下的是一盘更大的棋.”近日,梭子鱼技术总监贾玉彬在接受记者采访时如是说道,“APT攻击不仅仅使用技术手段,更多的是结合非技术手段,例如通过社交网络获得被攻击目标内部关键人…

APT攻击就像一个孩子,你通过各种方式窃取他们的大脑要拿出饼干,为了防止恶意攻击,过失作为母亲未能发现和防止饼干盗窃贼如.于她仅仅监视厨房椅子.衣柜门或烤箱门的开启.建立起有效防御目标攻击与APT攻击的重点之中的一个是必须监控广泛的攻击范围.饼干窃贼有着贪婪的欲望和顽强的坚持,那些想入侵你的网络并窃取你资料的人也是,你仅仅要那边稍不注意,那么"饼干"就会从那里消失. 小孩子经常会去偷吃妈妈刚烤好的饼干,这个回顾和如今的目标攻击与APT-高级持续性渗透攻击 (Advanced Persi…