[转]近年APT组织常用的攻击漏洞

最新推荐文章于 2024-09-29 06:30:00 发布
最新推荐文章于 2024-09-29 06:30:00 发布
阅读量1.9k 收藏 9
点赞数
分类专栏： 安全 APT 文章标签： APT 安全
安全 同时被 2 个专栏收录
79 篇文章 6 订阅
订阅专栏
APT
2 篇文章 1 订阅
订阅专栏

原文地址：https://www.freebuf.com/vuls/175280.html

0×00前言

APT攻击（Advanced Persistent Threat，高级持续性威胁）是利用当下先进的攻击手法对特定目标进行长期持续性的网络攻击。APT攻击的高级体现在于精确的信息收集、高度的隐蔽性、以及使用各种复杂的网络基础设施、应用程序漏洞对对目标进行的精准打击。攻击人员的攻击形式更为高级和先进，称为网络空间领域最高级别的安全对抗。

2018美国RSA信息安全大会美国国家安全局技术总监戴夫·霍格(Dave Hogue)表示：“在漏洞公布的24小时内，就会被武器化并用来对付我们。”公开表明，各大黑客组织也喜爱公开的安全漏洞武器化。从以前各大组织喜爱的CVE-2012-0158，到如今每个分析报告都能见到的CVE-2017-0199、CVE-2017-11882 ，这些公开的漏洞都被各APT用得如火如荼。选择开源低廉的代码作为渗透工具，可避免昂贵的成本与复杂的操作，选择公开漏洞也许是一种进攻趋势，也是一种避免被发现的手段。

为了能够为让安全人员更加全面的了解全球APT的攻击动态，以及各大组织经常使用的攻击漏洞；参考了全球各类APT研究报告和研究成果，对各大漏洞进行了一个梳理和汇总，很多内容都来自网上公开报告，取其精华后加上自身理解归纳再还于网上，让知识得到传递，让网络安全得到长期的发展。 

APT攻击 18.08.37.png

0×01攻击方式

APT组织常用的攻击手法有：鱼叉式网络钓鱼、水坑攻击、路过式下载攻击、社会工程学、即时通讯工具、社交网络等，在各大分析报告中出现最多的还是鱼叉式网络钓鱼、水坑攻击、路过式下载攻击手法、社会工程学，维基百科对攻击手法的描述如下：

鱼叉式网络钓鱼（Spear phishing）指一种源于亚洲与东欧，只针对特定目标进行攻击的网络钓鱼攻击。当进行攻击的骇客锁定目标后，会以电子邮件的方式，假冒该公司或组织的名义寄发难以辨真伪之档案，诱使员工进一步登录其账号密码，使攻击者可以以此借机安装特洛伊木马或其他间谍软件，窃取机密；或于员工时常浏览之网页中置入病毒自动下载器，并持续更新受感染系统内之变种病毒，使使用者穷于应付。

水坑攻击（Watering hole）是一种计算机入侵手法，其针对的目标多为特定的团体（组织、行业、地区等）。攻击者首先通过猜测（或观察）确定这组目标经常访问的网站，并入侵其中一个或多个，植入恶意软件，最后，达到感染该组目标中部分成员的目的。

路过式下载（Drive-by download）在用户不知道的情况下下载间谍软件、计算机病毒或者任何恶意软件。路过式下载可能发生在用户访问一个网站、阅读一封电子邮件、或者点击一个欺骗性弹出式窗口的时候。例如，用户误以为这个弹出式窗口是自己的计算机提示错误的窗口或者以为这是一个正常的弹出式广告，因此点击了这个窗口。

社会工程学：在计算机科学中，社会工程学指的是通过与他人的合法地交流，来使其心理受到影响，做出某些动作或者是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。在英美普通法系中，这一行为一般是被认作侵犯隐私权的。

360发布的《摩诃草APT组织大揭秘》报告中，发现了摩诃草近年来大量使用即时通讯工具（主要是腾讯的QQ聊天工具）和社交网络（Facebook）进行载荷投递的攻击方式；即时通讯工具以发送二进制可执行程序为主，这类程序主要伪造成MP4格式的视频文件；社交网络（Facebook）的载荷投递一般是分为：SNS蠕虫、放置二进制格式可执行恶意程序或文档型漏洞文件。

0×02常用漏洞

1、Office漏洞

Office漏洞依然是大部分APT组织最喜爱的漏洞，Office在个人办公电脑使用量大，对针对性目标是最佳的外网入口，效果也是最直接的。

CVE编号 漏洞类型使用组织
CVE-2009-2496堆损耗远程代码执行漏洞，又称作 “Office Web 组件堆损耗漏洞 “丰收行动
CVE-2010-3333RTF分析器堆栈溢出漏洞，又称”RTF栈缓冲区溢出漏洞”　
CVE-2012-0158Microsoft Windows Common Controls ActiveX控件远程代码执行漏洞，栈内存拷贝溢出漏洞，又称“MSCOMCTL.OCX RCE漏洞”摩诃草
蔓灵花
白象
Rotten Tomato
CVE-2013-3906Microsoft Graphics组件处理特制的TIFF图形时存在远程代码执行漏洞摩诃草
白象
CVE-2014-1761Microsoft Word RTF文件解析错误代码执行漏洞摩诃草
Pitty Tiger
白象
Rotten Tomato
CVE-2014-4114 OLE包管理INF 任意代码执行漏洞摩诃草
白象
CVE-2015-1641RTF解析中的类型混淆漏洞 MONSOON
摩诃草
白象
奇幻熊
Rotten Tomato
丰收行动
CVE-2015-2545EPS图形文件任意执行代码Rotten Tomato
CVE-2015-2546 UAF（释放后重用）漏洞　
CVE-2016-7193RTF文件解析漏洞，可远程执行任意代码　
CVE-2017-0199首个Microsoft Office RTF漏洞暗黑客栈
CVE-2017-0261EPS中的UAF漏洞摩诃草
白象
Turla 
CVE-2017-0262EPS中的类型混淆漏洞摩诃草
白象
CVE-2017-11826OOXML解析器类型混淆漏洞 东亚某组织
CVE-2017-11882“噩梦公式”公式编辑器中的栈溢出漏洞，可远程代码执行白象
响尾蛇
寄生兽
摩诃草
人面马
黑凤梨
CVE-2017-8464解析快捷方式时存在远程执行任意代码的高危漏洞　
CVE-2017-8570OLE对象中的逻辑漏洞 (CVE-2017-0199的补丁绕过)，“沙虫”二代漏洞白象
寄生兽
摩诃草
CVE-2017-8759.NET Framework中的逻辑漏洞　
CVE-2018-0802“噩梦公式二代”利用office内嵌的公式编辑器EQNEDT32.EXE发起攻击黑凤梨
CVE-2018-0798 Microsoft Office远程内存破坏漏洞　
CVE-2018-8174利用浏览器0day漏洞的新型Office文档攻击　

2、Adobe 系漏洞

Adobe系列包括Adobe Reader、Acrobat、Flash Player，Flash Player因为其跨平台，使用广泛，一直也受到各大APT组织的关注。

CVE编号 漏洞类型影响版本使用组织
CVE-2007-5659Adobe Acrobat/Reader PDF文件 多个缓冲区溢出漏洞Adobe Acrobat 8
Adobe Reader 8
Adobe Reader 7		丰收行动
CVE-2008-2992Adobe Reader util.printf() JavaScript函数栈溢出漏洞Adobe Acrobat < 8.1.3
Adobe Reader < 8.1.3		丰收行动
CVE-2009-0927Adobe Acrobat和Reader Collab getIcon() JavaScript方式栈溢出漏洞Adobe Acrobat 9
Adobe Acrobat 8
Adobe Acrobat 7.0
Adobe Reader 9
Adobe Reader 8
Adobe Reader 7		丰收行动
CVE-2009-4324Adobe Reader和Acrobat newplayer() JavaScript方式内存破坏漏洞Adobe Acrobat <= 9.2
Adobe Reader <= 9.2		丰收行动
CVE-2010-0188Adobe Reader和Acrobat TIFF图像处理缓冲区溢出漏洞Adobe Acrobat < 9.3.1
Adobe Acrobat < 8.2.1
Adobe Reader < 9.3.1
Adobe Reader < 8.2.1		丰收行动
CVE-2010-3653Adobe Shockwave Player Director文件rcsL块解析内存破坏漏洞Adobe Shockwave Player 11.5.8.612丰收行动
CVE-2012-0773Adobe Flash Player / AIR  NetStream类任意代码执行或拒绝服务漏洞Adobe Flash Player 11.x
Adobe AIR 3.x		The mask
CVE-2013-0640Adobe Acrobat和Reader远程代码执行漏洞Adobe Acrobat 9.x
Adobe Acrobat 11.x
Adobe Acrobat 10.x
Adobe Reader 9.x
Adobe Reader 11.x
Adobe Reader 10.x		丰收行动
    
CVE-2014-0497Adobe Flash Player远程代码执行漏洞Adobe Flash Player 12.x
Adobe Flash Player 11.x		暗黑客栈
CVE-2015-5119Adobe Flash Player ActionScript 3 ByteArray释放后重用远程漏洞Adobe Flash Player <= 18.0.0.194
Adobe Flash Player <= 18.0.0.194
Adobe Flash Player Extended Support Release 13.x
Adobe Flash Player Extended Support Release 13.0.0.296
Adobe Flash Player for Linux 11.x
Adobe Flash Player for Linux 11.2.202.468		蓝白蚁
Hacking Team
CVE-2015-8651Adobe Flash Player整数溢出漏洞Adobe Flash Player < 18.0.0.324
Adobe Flash Player < 11.2.202.559
Adobe Flash Player 20.x-20.0.0.267
Adobe Flash Player 19.x
Adobe AIR < 20.0.0.233		暗黑客栈
CVE-2016-0984Adobe Flash远程代码执行漏洞Adobe Flash Player before 18.0.0.329 and 19.x and 20.x before 20.0.0.306BlackOasis
CVE-2016-4117Adobe Flash Player 任意代码执行漏洞Adobe Flash Player <= 21.0.0.226奇幻熊
CVE-2016-7855Adobe Flash Player 释放后重利用远程代码执行漏洞Adobe Flash Player <= 23.0.0.185
Adobe Flash Player <= 11.2.202.637		　
CVE-2017-11292类型混淆漏洞导致的远程代码执行Adobe Flash Player Desktop Runtime
Adobe Flash Player for Google Chrome
Adobe Flash Player for Microsoft Edge and Internet Explorer 11
Adobe Flash Player Desktop Runtime		黑色绿洲
Lazarus
CVE-2018-4878Adobe Flash Player释放后重利用远程代码执行漏洞Adobe Flash Player <= 28.0.0.137Lazarus

3、IE漏洞

浏览器是用户接入互联网的门户，IE浏览器是Windows系统的默认浏览器，IE浏览器漏洞的使用一直也受各大组织喜爱。

CVE编号 漏洞类型影响版本使用组织
CVE-2010-0806Microsoft IE畸形对象操作内存破坏漏洞Microsoft Internet Explorer 7.0
Microsoft Internet Explorer 6.0 SP1
Microsoft Internet Explorer 6.0		丰收行动
CVE-2010-3962Microsoft IE CSS标签解析远程代码执行漏洞Microsoft Internet Explorer 8.0
Microsoft Internet Explorer 7.0
Microsoft Internet Explorer 6.0		丰收行动
CVE-2012-4792Microsoft IE mshtml!CButton对象释放后重用代码执行漏洞Internet Explorer 6Internet Explorer 7Internet Explorer 8摩诃草
CVE-2014-0322Microsoft Internet Explorer释放后重用远程代码执行漏洞Microsoft Internet Explorer 10Pitty Tiger
CVE-2016-7279Microsoft Internet Explorer/Edge远程内存破坏漏洞Microsoft Edge　
CVE-2017-8618Microsoft Internet Explorer远程代码执行漏洞Microsoft Internet Explorer 9
Microsoft Internet Explorer 11
Microsoft Internet Explorer 10		　
CVE-2018-0978Microsoft Internet Explorer远程内存破坏漏洞Microsoft Internet Explorer 9-11　
CVE-2018-8113Microsoft Internet Explorer安全限制绕过漏洞Microsoft Internet Explorer 11　
CVE-2018-8178Microsoft Internet Explorer/Edge 远程内存破坏漏洞Microsoft Edge
Microsoft ChakraCore		　

0×03总结

工欲善其事，必先利其器！0day宛如窈窕淑女，只可远观，不可随意撒网式的使用；好用的Nday才是网络安全人员的手中利器，普遍的APT组织都会把好用的Nday漏洞纳入他们的“武器库”。当然，道高一尺，魔高一丈！也许还有好多故事还在发生着！

参考资料：

http://www.freebuf.com/articles/security-management/111166.html

http://www.antiy.cn/baogao/304.html

http://www.freebuf.com/vuls/153085.html

http://www.freebuf.com/articles/network/164511.html

http://www.freebuf.com/articles/paper/172628.html

http://www.freebuf.com/articles/paper/169444.html

http://www.freebuf.com/articles/paper/160880.html

http://www.freebuf.com/column/159865.html

http://www.freebuf.com/articles/network/93474.html

http://www.freebuf.com/vuls/157694.html

http://www.freebuf.com/articles/network/167254.html

http://www.freebuf.com/articles/paper/111557.html

http://www.freebuf.com/articles/system/115612.html

http://www.freebuf.com/articles/network/108637.html

http://bobao.360.cn/learning/detail/4020.html

http://www.freebuf.com/articles/network/163435.html

http://www.freebuf.com/articles/network/168121.html

xian_wwq
关注
专栏目录
[网络安全自学篇] 七十四.APT攻击检测溯源与常见APT组织的攻击案例
杨秀璋的专栏
05-11 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了WannaCry蠕虫的传播机制，带领大家详细阅读源代码。这篇文章将分享APT攻击检测溯源与常见APT组织的攻击案例，并介绍防御措施。希望文章对您有所帮助~...
APT攻击与防范
悦分享
07-04 3193
当今，网络系统面临着越来越严重的安全挑战，在众多的安全挑战中，一种具有组织性、特定目标以及长时间持续性的新型网络攻击日益猖獗，国际上常称之为 APT（Advanced Persistent Threat高级持续性威胁）攻击。美国国家标准技术研究所（NIST）对APT的定义为：攻击装掌握先进的专业知识和有效的资源，通过多种攻击途径（如：网络、物理设施和欺骗等），在特定组织的信息技术基础设施建立并转移立足点，以窃取机密信息，破坏或阻碍任务、程序或组织的关键系统，或者驻留在组织内部网络，进行后续攻击。APT攻击是
APT组织常用攻击手法的梳理思维导图
10-24
整理了一下最近2年内一些APT常用的攻击手法，汇聚成了一个简单的思维导图用于后续的学习参考。
第64篇：史上最严重的APT供应链攻击事件,借助Solarwinds攻击欧美的流程图梳理和分析（上篇）...
ABC_123的博客
06-10 4282
Part1 前言大家好，我是ABC_123，公众号正式更名为”希潭实验室”，敬请关注。本期分享一个堪称史上影响最大、危害最大的供应链攻击APT案例——Solarwinds供应链攻击事件，SolarWinds的旗下有数万家客户公司，包括了”财富美国500强“企业、美国所有前十大电信业者、美军所有五大部队、美国国务院、国家安全局，以及美国总统办公室，美国多家顶级网络安全公司等，最终有大约1万8千家...
网络空间安全基础（四）
最新发布
萌新一枚
09-29 1159
2010年6月，白俄罗斯的一家安全公司VirusBlokAda受邀为一些伊朗客户检查系统，调查他们电脑的死机和重启问题。摩诃草组织主要针对中国、巴基斯坦等亚洲地区国家进行网络间谍活动，其中以窃取敏感信息为主，相关攻击活动最早可以追溯到2009年11月，至今还非常活跃。当震网病毒进入台新的计算机，都会检查日期，如果晚于这个日期，病毒就会停下来，放弃感染；利用微软Vindows SMB协议漏洞，远程控制系统只要目标系统接入互联网/局域网，就可能受到攻击，目前影响XP~Vindows8系统。
网站安全攻防：十大常见漏洞及其防范对策
weixin_43263566的博客
05-13 9921
TOP 10 漏洞（介绍、原理、检测方式、修复方案）
2019 年各地移动 APT事件总结
m0_73803866的博客
09-25 472
2019 年世界依旧不太平，在表面平静的背后是暗流涌动。大规模军事冲突 不会发生的当下，因利益，政治，宗教等问题依然会有局部战争。其中尤其以中 东问题最为突出，更多关于 APT组织的相关信息，请关注奇安信威胁情报中心， 红雨滴团队 GitHub 的 APT_Digital_Weapon资料库： https://github.com/RedDrip7/APT_Digital_Weapon下面我们盘点 2019 年移动端 APT攻击事件。KONNIAPT组织KONNI团队可能来源东亚地区。
APT漏洞利用利器工具
06-27
APT通常由具有高度组织和技术能力的攻击者使用，旨在长期、秘密地侵入目标网络，窃取敏感信息或进行其他恶意活动。这类工具集成了多种攻击技术，包括但不限于社会工程学、零日漏洞利用、持久化机制等。 描述中的...
「APT攻击」安全漏洞 - （安全技术资料共1份）.zip
02-05
【标题】 "APT攻击"是高级持续性威胁（Advanced Persistent Threat）的缩写，它是一种由高度组织和有针对性的攻击者发起的网络攻击形式。这些攻击通常针对特定的组织或个人，目标是长期潜伏在系统中，悄无声息地窃取...
APT组织百科全书.rar
02-22
1. **高度专业化**：APT组织通常拥有专业化的技能和资源，包括网络渗透、社会工程学、漏洞利用等。 2. **长期持续**：APT攻击不是一次性事件，而是长期潜伏，持续监视和窃取目标信息。 3. **针对性强**：APT攻击的...
2019年国际APT组织情况汇总
maoguan121的博客
10-13 525
2012 年 4 月起至今，某境外黑客组织对中国政府、科研院所、海事机构、海域建设、 航运企业等相关重要领域展开了有组织、有计划、有针对性的长时间不间断攻击。该组织 主要通过鱼叉攻击和水坑攻击等方法，配合多种社会工程学手段进行渗透，向境内特定目 标人群传播免杀木马程序，秘密控制部分政府人员、外包商和行业专家的电脑系统，窃取 系统中相关领域的机密资料。根据该组织的某些攻击特点，奇安信公司将其命名为 OceanLotus（海莲花）。在 2017 年的监测中，海莲花仍处于活跃状态，同时在不断的更新 攻击手法。
近5年典型的的APT攻击事件
热门推荐
煮酒闲谈
08-08 2万+
APT攻击 APT攻击是近几年来出现的一种高级攻击，具有难检测、持续时间长和攻击目标明确等特征。 本文中，整理了近年来比较典型的几个APT攻击，并其攻击过程做了分析 （为了加深自己对APT攻击的理解和学习） Google极光攻击 2010年的Google Aurora(极光)攻击是一个十分著名的APT攻击。Google的一名雇员点击即时消息中的一条恶意链接，引发了一系列事件导致这个搜
社会工程学与APT攻击之——常用APT攻击方式
温柔小薛的博客
04-23 1175
APT攻击方式 主要就是一些挂马的小工具（本来不想发的，内容没多少但是有些敏感，使用相对也很简单，对攻击者来讲门槛真的很低啊） 图片伪造挂马制作 工具： KilerRat exe_to Resource hack（可以做到修改程序页面等许多信息） peid查壳工具 什么是程序的壳？ 为了保护源代码，不被破解，对程序加的保护措施 分为加密壳 压缩壳 flash钓鱼 一般用kali 但是这种方式已经逐...
黑客泄露APT 34组织工具、成员信息，扬言更多秘密将持续曝光
systemino的博客
04-19 749
网络安全世界，黑吃黑的情况并不少见。2017年，Shadow Brokers入侵了美国NSA下属黑客组织Equation Group，下载了大量工具在网上售卖，永恒之蓝工具包就是其中之一，这也直接导致了后来的 WannaCry 事件。 近期，有匿名黑客开始泄露伊朗间谍组织APT 34（OilRig 或者 HelixKitten） 所使用的黑客工具，甚至还包括团队成员及受害者数据信息等等。虽然...
社会工程学与APT攻击之——简介与敏感信息收集
温柔小薛的博客
04-21 1353
简介与敏感信息收集 想起了道哥名言，人才是最大的漏洞，今天儿终于学到传说中非常神奇的社工了，之前看的电影中其实有很多取材于真实的手段，比如针对垃圾处理不完全进行复原破解利用； 平时也看过很多社工的案例，护网行动中也有比较出名的事件，感觉专注于社工相关的职业好像比较少，大多数都用在商业间谍（团队），或者作为攻破不了的时候另辟蹊径吧，咱也不知道，咱也不敢问。 介绍与敏感信息收集 社会工程学是什么？ ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值