360-2017年中国高级持续性威胁研究报告（网络安全）-2018.2.26-43页-2mb

2017年中国高级持续性威胁（APT）研究报告总结

核心内容

2017年，APT攻击在全球范围内持续高发，涉及多个国家和行业领域。美国在APT研究领域占据主导地位，研究机构数量和研究报告数量均远超其他国家。中国排名全球第二，有4个机构发布了18篇APT研究报告，涉及8个APT组织，其中360威胁情报中心贡献了11篇。全球APT攻击主要集中在欧美、东亚和中东三大地区，且攻击目标多为政府、能源、金融等关键领域。

主要观点

• APT研究分布：美国拥有24个研究机构，发布47篇研究报告，中国4个机构发布18篇。
• 攻击目标国家：美国、中国、沙特阿拉伯、韩国、以色列、土耳其、日本、法国、俄罗斯、德国、西班牙、巴基斯坦和英国为2017年APT攻击的主要目标国。
• 攻击领域：政府（50%）、能源（25%）、金融、国防、互联网、航空航天、媒体、电信、医疗、化工为APT组织关注的主要领域。
• 网络武器民用化：NSA和CIA的网络武器库泄露，如方程式组织和“7号军火库”，使得攻击技术向民用领域扩散，威胁显著增加。
• APT与大国博弈：APT行动与国家间政治摩擦、地缘政治影响、外交指责、敏感时期报告发布、国家智库攻击等密切相关。
• 攻击技术趋势：Office 0day漏洞成焦点，恶意代码复杂性增强，移动端攻击增加，金融行业攻击多样化，APT影响已扩展至普通用户。

关键信息

全球APT研究情况

• 2017年全球共发布104份APT研究报告，涉及36个APT组织。
• 美国在APT研究方面遥遥领先，中国排名第二，俄罗斯第三。
• 攻击目标国家包括美国、中国、沙特阿拉伯、韩国、以色列、土耳其等，攻击领域涵盖政府、能源、金融等。

针对中国的APT攻击

• 截至2017年底，38个APT组织针对中国境内目标发动攻击，其中至少6个处于高度活跃状态。
• 攻击影响范围广泛，覆盖中国31个省级行政区，影响超万台电脑。
• 主要攻击方式包括鱼叉邮件、水坑攻击、社会工程学等。

针对三大地区的APT攻击

• 欧美地区：APT28攻击法国大选、欧洲酒店行业、借纽约恐袭事件进行攻击。
• 东亚地区：海莲花攻击中国、韩国、日本等国家，Lazarus攻击韩国三星手机用户。
• 中东地区：APT34攻击中东政府，BlackOasis利用Adobe漏洞传播FinSpy，双尾蝎攻击巴以地区，黄金鼠攻击叙利亚。

APT攻击技术发展

• APT28：使用多种漏洞（如EPS、Flash、内核漏洞）和工具（如Seduploader、DealersChoice）进行攻击。
• 海莲花：攻击手法复杂，使用多种木马（如Tester、Encryptor、Cloudrunner），攻击目标高度定制化，利用DGA算法隐藏C2服务器。
• Lazarus：攻击韩国三星手机用户，使用定制应用伪装成合法软件，通过水坑攻击进行渗透。
• 双尾蝎：同时攻击Windows和Android平台，收集用户信息，攻击范围覆盖中东。
• 黄金鼠：攻击叙利亚，使用聊天软件等伪装方式，收集多种情报信息。

网络军火民用化

• 2017年，NSA和CIA的网络武器库被泄露，包括永恒之蓝等漏洞利用工具。
• 这些工具被黑客组织如影子经纪人公开售卖，导致攻击手段更加多样化和隐蔽。
• 永恒之蓝漏洞在2017年3月被微软修复，但其广泛使用使得WannaCry勒索病毒在5月爆发，影响全球150多个国家。

总结

2017年APT攻击呈现出明显的地域集中性和行业聚焦性，主要针对政府、能源、金融等关键领域。美国在APT研究和攻击活动上占据主导地位，而中国则在研究方面表现强劲。APT攻击与国家间政治摩擦、地缘政治影响等密切相关，且攻击技术不断演化，Office 0day漏洞成为攻击焦点，恶意代码复杂性增强，移动端攻击增加，网络军火民用化趋势明显，给网络安全带来巨大挑战。