2023年 AI APT可持续攻击的调查研究报告-CSDN博客

本文链接：https://blog.csdn.net/weixin_33193047/article/details/139966588

总览

随着网络技术的不断发展，网络安全威胁也日益严峻。高级持续性威胁（APT）攻击以其目标明确、手段多样、隐蔽性强等特点，成为网络安全领域的重要挑战。本文分析2023年当前 APT 攻击的主要特点、活跃组织、攻击趋势以及漏洞利用情况，并提出相应的安全建议，帮助大家了解 APT 攻击，提升网络安全防护能力。

一、APT 攻击的主要特点

目标明确，针对性强： APT 攻击者通常针对特定的组织或个人，进行长时间、有计划的攻击，旨在窃取敏感数据、破坏关键基础设施或获取经济利益。
- 目标选择：攻击者会根据受害者的行业、组织规模、资产价值、信息敏感性等因素，选择攻击目标。例如，政府机构通常掌握着重要的国家机密，金融行业则拥有大量的金融数据，因此成为 APT 攻击的热门目标。
- 攻击目标类型：攻击目标类型包括政府机构、国防军事、金融商贸、教育科研、能源交通、医疗健康等。其中，政府机构和军事部门是最常见的攻击目标，因为这些部门掌握着重要的国家机密和军事信息。
攻击手段多样，技术先进： APT 攻击者利用钓鱼邮件、恶意软件、0day 漏洞、供应链攻击等手段，并不断更新攻击技术和工具，以绕过安全防御。
- 钓鱼邮件：钓鱼邮件是 APT 攻击中最常见的手段之一，攻击者通过发送看似正常的邮件，诱骗受害者点击恶意链接或下载恶意附件，从而控制受害者的计算机。
- 恶意软件：恶意软件是 APT 攻击的重要工具，攻击者会使用各种恶意软件，例如木马、后门、勒索软件等，窃取受害者的敏感数据，或控制受害者的计算机。
- 0day 漏洞： 0day 漏洞是指尚未被公开或修复的软件漏洞，攻击者会利用 0day 漏洞进行攻击，以绕过安全防御。
- 供应链攻击：供应链攻击是指攻击者通过攻击软件供应商的供应链，将恶意软件植入到软件中，然后通过软件分发到受害者，从而控制受害者。例如，2023 年 3 月 29 日，涉及 3CXDesktopApp 音视频会议软件的供应链攻击事件，就是由 Lazarus 组织发起的。
隐蔽性强，难以检测： APT 攻击者通常采用隐蔽的攻击手法，例如社会工程学、恶意软件伪装、横向移动等，以隐藏攻击痕迹，避免被检测。
- 社会工程学：社会工程学是指利用人类的弱点进行攻击，例如欺骗、诱骗等，以获取敏感信息或控制受害者的计算机。
- 恶意软件伪装：恶意软件伪装是指将恶意软件伪装成正常的软件，例如将木马伪装成办公软件、杀毒软件等，以诱骗受害者下载和运行。
- 横向移动：横向移动是指攻击者入侵受害者的计算机后，会尝试获取更高的权限，或入侵其他计算机，以扩大攻击范围。
攻击范围广，影响深远： APT 攻击往往造成严重的后果，例如数据泄露、系统瘫痪、经济损失等，对受害者造成长期的影响。例如，2017 年 WannaCry 勒索软件攻击，导致全球数十万台计算机感染，造成巨大的经济损失。

（一）攻击目标

APT 攻击者通常针对特定组织或个人，例如政府机构、军事部门、金融企业、科研机构等，这些组织或个人掌握着重要的国家机密、商业秘密或科研数据。

（二）攻击手段

钓鱼邮件：通过发送看似正常的邮件，诱骗受害者点击恶意链接或下载恶意附件，从而控制受害者的计算机。
恶意软件：将木马、后门、勒索软件等恶意软件植入到受害者的计算机中，窃取敏感数据或控制受害者的计算机。
0day 漏洞：利用尚未被公开或修复的软件漏洞，绕过安全防御，入侵受害者的计算机。
供应链攻击：通过攻击软件供应商的供应链，将恶意软件植入到软件中，然后通过软件分发到受害者，从而控制受害者。

（三）攻击特点

目标明确：攻击者针对特定组织或个人进行攻击，攻击目标明确。
手段多样：攻击者利用多种手段进行攻击，攻击手法复杂。
隐蔽性强：攻击者采用隐蔽的攻击手法，避免被检测。
持续时间长：攻击者会长期潜伏在目标网络中，持续获取信息或造成破坏。

二、APT 攻击的活跃组织

二、活跃的 APT 组织

东亚地区：
- Lazarus：
  - 攻击目标：金融机构、虚拟货币交易所、卫星通信接收器和调制解调器等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、供应链攻击等手段。
  - 技术特点：攻击手法复杂，具备高超的技术水平，不断更新攻击技术和工具。
- Kimsuky：
  - 攻击目标：政府、科技、媒体、医疗、能源等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：擅长利用社会工程学手段进行攻击，并根据时事热点制作诱饵，攻击手法隐蔽。
- APT37：
  - 攻击目标：政府、军事、企业等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、0day 漏洞等手段。
  - 技术特点：擅长利用 0day 漏洞，并具备漏洞利用开发的技术，攻击方式复杂，不断改进工具和技战术流程。
- APT43：
  - 攻击目标：政府、教育、研究和智库等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、网络犯罪活动等手段。
  - 技术特点：攻击目标明确，攻击手法复杂，并通过网络犯罪活动筹集资金。
东南亚地区：
- 海莲花：
  - 攻击目标：政府、科研院所、媒体、企业等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、供应链攻击等手段。
  - 技术特点：攻击目标广泛，攻击手法多样，具备高超的技术水平。
- Saaiwc（DarkPink）：
  - 攻击目标：政府、军事、教育机构、宗教和非营利组织等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标广泛，攻击手法多样，具备高超的技术水平。
南亚地区：
- 蔓灵花：
  - 攻击目标：政府、电力、军工业等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标明确，攻击手法多样。
- 肚脑虫：
  - 攻击目标：政府、军事、商务领域等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标明确，攻击手法多样。
- 透明部落：
  - 攻击目标：政府、军队、激进分子、民间社会等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标广泛，攻击手法多样。
- SideCopy：
  - 攻击目标：政府、军队、军事等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标明确，攻击手法多样。
- 响尾蛇：
  - 攻击目标：政府、外交机构、军事、高等教育机构等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标明确，攻击手法多样。
- 摩诃草：
  - 攻击目标：政府、军事、电力、工业、外交、经济等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标广泛，攻击手法多样。
- 幼象（CNC）：
  - 攻击目标：政府、科研机构、教育机构等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、社会工程学等手段。
  - 技术特点：攻击目标明确，攻击手法多样。
东欧地区：
- APT28：
  - 攻击目标：政府、军事、安全组织等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、0day 漏洞等手段。
  - 技术特点：攻击手法复杂，具备高超的技术水平，攻击目标广泛。
- APT29：
  - 攻击目标：政府、机构、外交部门等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、0day 漏洞等手段。
  - 技术特点：攻击目标明确，攻击手法复杂，攻击目标广泛。
- Turla：
  - 攻击目标：政府、大使馆、军事、教育、研究、制药公司等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、0day 漏洞等手段。
  - 技术特点：攻击手法复杂，具备高超的技术水平，攻击目标广泛。
- Sandworm：
  - 攻击目标：政府、媒体、能源、工业控制系统等领域。
  - 攻击手段：利用钓鱼邮件、恶意软件、0day 漏洞等手段。
  - 技术特点：攻击目标明确，攻击手法复杂，

三、APT 攻击的趋势

APT 攻击并非一成不变，而是随着技术发展和安全防御的提升，不断演变和进化。以下是一些 APT 攻击的趋势：

移动端攻击增多：随着移动设备的普及，移动端攻击成为 APT 攻击的新趋势。攻击者利用 0day 漏洞、恶意应用等手段，窃取手机用户的敏感数据，并进行远程监控。
网络设备成为攻击目标：路由器、防火墙等网络设备成为 APT 攻击的重要目标。攻击者利用网络设备中的漏洞，建立 C2 服务器，并进行横向移动。
勒索团伙利用 0day 漏洞：勒索团伙开始利用 0day 漏洞进行攻击，例如 Magniber 和 Nokoyawa 团伙。
攻击技术更加复杂： APT 攻击者不断改进攻击技术和工具，例如使用恶意软件伪装、横向移动、自动化攻击平台等，以绕过安全防御。

四、0day 漏洞的利用

2023 年上半年，0day 漏洞的利用情况有所上升，攻击者利用 0day 漏洞进行攻击，例如：

Outlook 漏洞 CVE-2023-23397：攻击者通过发送带有特定 MAPI 属性的邮件，窃取受害者 NTLM Hash。
iOS 系统中 iMessage 信息服务的 0-Click 0day 漏洞：攻击者无需任何用户交互，即可利用该漏洞窃取手机用户的敏感数据。
Barracuda Networks ESG 设备中的 0day 漏洞 CVE-2023-2868：攻击者利用该漏洞获取目标设备的代码执行权限，并部署恶意软件。