Websense公司安然研究主管Alex Watson往年在研究了來自Windows弊端陳述(WER)的1600萬解體陳述后，發(fā)現(xiàn)了操縱零日縫隙倡議的高級(jí)延續(xù)性威脅(APT)。
你比來發(fā)現(xiàn)了針對(duì)移動(dòng)收集運(yùn)營商和當(dāng)局機(jī)構(gòu)的針對(duì)性報(bào)復(fù)打擊，你是若何發(fā)現(xiàn)的?
我們那時(shí)正在試圖研究若何檢測威脅的標(biāo)題問題，例如侵進(jìn)企業(yè)收集的有針對(duì)性報(bào)復(fù)打擊。此刻擺設(shè)的收集安然系統(tǒng)主如果基于來自供給商的額外信息和基于簽名的防御。這意味著，此刻的安然系統(tǒng)可以或許很好地發(fā)現(xiàn)已知威脅，但在過往一年我們所看到的的例子中，收集犯法組織很愿意破鈔需要的資本和事務(wù)來避免PF、防火墻或防病毒系統(tǒng)的檢測。
你若何操縱Windows弊端陳述(WER)來發(fā)現(xiàn)之前未知的威脅?
微軟操縱這些陳述來優(yōu)先排序縫隙修復(fù)，和肯定利用法度是不是故障，而我們操縱這些解體陳述來發(fā)現(xiàn)延續(xù)報(bào)復(fù)打擊、縫隙操縱勾當(dāng)、代碼或注進(jìn)報(bào)復(fù)打擊。當(dāng)你插進(jìn)USB設(shè)備設(shè)備到你的電腦，陳述會(huì)發(fā)送到微軟，此中具體介紹你的電腦，但大年夜大都企業(yè)都沒成心想到這些陳述被發(fā)出往。
你測試了哪些縫隙操縱?
我們進(jìn)行了一些案例研究，以切磋我們?nèi)艉尾倏v異常勾當(dāng)來發(fā)現(xiàn)已知報(bào)復(fù)打擊。我們查看了過往一年中最風(fēng)行的報(bào)復(fù)打擊之一，即CVE-2013-3893(很是強(qiáng)大年夜的IE縫隙操縱，被用于臺(tái)灣和日本的針對(duì)性報(bào)復(fù)打擊中)，我們看到這個(gè)縫隙被用于針對(duì)高價(jià)值組織，但他們利用的根本舉措措施、shell代碼和恍惚手藝并沒有達(dá)到實(shí)際縫隙操縱的程度，這讓我們思疑這是獨(dú)一操縱這個(gè)縫隙的群體。
你若何描述這類報(bào)復(fù)打擊?
這是一種有針對(duì)性的報(bào)復(fù)打擊，報(bào)復(fù)打擊者起首發(fā)送電子郵件到企業(yè)內(nèi)選定的人群。我們假定是15小我，這些利用法度中起碼有一個(gè)會(huì)呈現(xiàn)故障，從而呈現(xiàn)我們可以或許檢測的法度解體，而其他可能會(huì)成功。我們逆向了這些縫隙操縱，發(fā)現(xiàn)體味體點(diǎn)，并為解體陳述成立了指紋(在縫隙操縱掉敗的環(huán)境下)。
但是，我們搜刮了4個(gè)月內(nèi)的1600萬份陳述，最后發(fā)現(xiàn)來自四個(gè)不合企業(yè)的五份陳述合適我們的指紋。我們查看了這些企業(yè)，出格是此中兩個(gè)(移動(dòng)收集運(yùn)營商和當(dāng)局機(jī)構(gòu))是高價(jià)值方針。他們都有Houdini H-Worm(長途拜候木馬)。
你發(fā)現(xiàn)了其他報(bào)復(fù)打擊嗎?
我們還匯集了來自發(fā)賣點(diǎn)(POS)利用法度的利用解體陳述，例如POSRAM歹意軟件針對(duì)的利用法度。對(duì)這些解體日記信息的闡發(fā)顯示，報(bào)復(fù)打擊者可能向其pos.exe利用法度注進(jìn)了代碼，這近似于其他POS歹意軟件利用的載體。假定你從利用法度開辟人員來看這個(gè)標(biāo)題問題，這是很是糟的解體，因?yàn)檫@是他人的代碼，而不是你本身的代碼。
從安然角度來看，這讓我們相信可能呈現(xiàn)代碼注進(jìn)報(bào)復(fù)打擊。是以，假定有歹意產(chǎn)品對(duì)準(zhǔn)你的POS利用法度，而這個(gè)歹意法度解體了，那么，它可能很快會(huì)讓你的收集解體。
安然企業(yè)應(yīng)若何應(yīng)對(duì)這些報(bào)復(fù)打擊?
跟著報(bào)復(fù)打擊者進(jìn)步其進(jìn)侵手藝，安然行業(yè)需要擺脫基于簽名的防御，添加更多環(huán)繞異常勾當(dāng)和收集行動(dòng)的諜報(bào)監(jiān)控系統(tǒng)。