卡巴斯基揭示最新網絡間諜攻擊趨勢
責編：cnetsec ｜2015-04-15 10:47:28近幾年，網絡間諜攻擊事件時有發生。而背后有國家和政府支持的網絡間諜攻擊行動更是演變得愈發復雜，其攻擊者可利用復雜的模塊化工具針對精心挑選的用戶發動攻擊；同時，還能夠利用先進的技術躲避有效的檢測系統。卡巴斯基實驗室在針對Careto和Regin以及其他網絡間諜攻擊行動的研究過程中，首先注意到這類攻擊所使用的策略趨勢，之后又在對EuqationDrug分析中確認了上述最新趨勢。
據了解，EquationDrug是Equation網絡攻擊組織所開發的一款主要的網絡間諜攻擊平臺。這一平臺的應用已經超過10年，而且其正在逐步被先進的GrayFish平臺所取代。
卡巴斯基實驗室安全專家發現，隨著安全行業在揭露高級可持續性威脅（APT）組織方面取得越來越多的成績，很多非常復雜的網絡間諜攻擊者開始注重增加惡意平臺的模塊數量，從而減少惡意工具的可見性，提高其隱蔽性。
現在，最新的攻擊平臺包括很多插件模塊，可根據攻擊目標和目標信息選擇和執行多種不同的功能?？ò退够鶎嶒炇翌A計EuqationDrug包含116種不同的插件。
卡巴斯基實驗室全球研究和分析團隊總監CostinRaiu進一步解釋說：“得到政府支持的攻擊者試圖創造一種更為穩定、隱身、可靠和通用的網絡間諜工具。他們想要創造一種能夠包含這類代碼的架構，并且可以在實時系統上進行定制，提供一種可靠的以加密形式存儲組件和數據的手段，而不同用戶則無法訪問其中的數據。這一架構的復雜性使其有別于傳統的網絡罪犯，因為傳統的網絡罪犯注重開發能夠直接獲取經濟利益的惡意功能?！?/p>
這類背后得到國家和政府支持的攻擊者在攻擊策略方面不用于傳統的網絡罪犯。就攻擊規模而言，傳統的網絡罪犯會大規模地傳播包含惡意附件的郵件，或者感染網站。而得到國家和政府支持的攻擊者則傾向于進行高度針對性的和精確的攻擊，每次攻擊僅感染小部分精挑細選的用戶。
不僅如此，二者所獨有的特點也截然不同。傳統的網絡罪犯經常會重復使用那些公開的源代碼，例如知名的Zeus或Carberp木馬。而受到國家和政府支持的攻擊者通常會打造自己獨特的可定制惡意軟件，甚至還會在惡意軟件中設置限制措施，避免其被解密或在非攻擊目標上運行。
此外，二者采取不同的攻擊策略實施數據竊取。傳統的網絡罪犯通常會盡可能多的感染用戶。由于他們沒有時間和足夠的存儲空間檢查并分析所有受感染的計算機中所存儲的數據類型和運行的軟件類型，傳統的網絡罪犯會將這些盜取到的數據進行轉移，并保存其中具有潛在價值的數據。因此，他們會在惡意軟件中植入多種盜號程序，僅竊取重要的數據，如賬號密碼和信用卡信息。但是，這類行為很容易引起用戶計算機上所安裝的安全軟件的注意。與之相比，得到國家和政府支持的攻擊者則具有足夠的資源，能夠存儲任意多的數據。為了不被安全軟件所察覺，他們會盡量避免感染隨機用戶，而是依靠通用的遠程系統管理工具，從受感染計算機上拷貝需要的數據。但是，這種大規模的數據傳輸行為，可能會拖慢網絡連接速度，從而引起用戶的懷疑。
CostinRaiu總結說：“雖然EquationDrug這種強大的網絡間諜平臺并沒有在惡意軟件的核心集成標準數據竊取功能，這似乎很不尋常。但是，其答案往往是攻擊者希望針對不同的受害者定制攻擊。只有在攻擊者決定監控受害者，并且確保計算機上的安全軟件被關閉后，才會將相關插件上傳至受害者的計算機，實時監控其對話或行為。我們認為，模塊化和定制性將成為未來受到國家和政府支持的攻擊的獨有特征?！?/p>
卡巴斯基實驗室針對家庭和企業用戶的產品均能成功攔截Euqation組織利用惡意軟件進行的攻擊。而這主要歸功于卡巴斯基實驗室的自動漏洞入侵防護技術。該技術能夠檢測和攔截惡意軟件利用未知漏洞進行攻擊。根據推測，Equation平臺中所使用的Fanny蠕蟲應該編譯于2008年7月，而卡巴斯基實驗室的自動漏洞入侵防護系統早在2008年12月就第一次檢測到該蠕蟲，并將其加入了黑名單。