360研究院-2020全球高级持续性威胁APT研究报告_95页_5mb

2020年全球高级持续性威胁（APT）研究报告总结

核心内容

2020年，全球高级持续性威胁（APT）攻击活动异常活跃，中国仍然是APT攻击的主要受害者。攻击不仅针对政府、教育和国防军工等传统领域，还扩展到IT供应商、医疗行业和数字货币领域。全球范围内，供应链攻击成为APT组织的新主流战术，尤其是SolarWinds的供应链攻击（“落鹰行动”）被认为是全球史上最严重的攻击事件。此外，疫情背景下，远程办公基础设施成为APT攻击的新目标，钓鱼邮件和恶意软件的传播方式也更加多样化和隐蔽。

主要观点

• 针对中国的APT攻击持续上升：2020年，360安全大脑监测到3000多次对中国的国家级网络攻击，其中13个组织针对中国发起攻击，包括首次披露的魔鼠、蓝色魔眼和旺刺等组织。
• 全球威胁态势加剧：疫情对APT攻击的影响显著，攻击活动围绕疫情话题展开，远程办公成为新的攻击突破口，同时全球供应链攻击频发，尤其在IT供应商和医疗行业。
• 物联网设备成为新战备资源：APT组织开始利用物联网设备构建僵尸网络，用于发起大规模DDOS攻击和提供跳板代理资源。
• 技战术多样化与隐蔽性增强：攻击者广泛使用0day漏洞、恶意宏、钓鱼邮件、伪装安全插件等方式进行攻击，同时结合多种语言编写攻击组件，提升攻击的隐蔽性和持久性。
• APT组织活动更加频繁和复杂：多个APT组织在2020年表现出更强的活动性，如海莲花、Darkhotel、Lazarus、响尾蛇、CNC等，其中部分组织还涉足移动平台和数字货币行业。

关键信息

2020年攻击态势总结

• 攻击频次显著上升：南亚、东南亚和东亚地区的APT组织最为活跃，攻击频次和范围几乎是去年的一倍。
• 攻击范围拓展：除了医疗行业，APT组织还针对IT供应商、教育、政府和数字货币行业展开攻击。
• 远程办公成为攻击重点：3亿多用户使用远程办公，成为APT攻击的“众矢之的”。Darkhotel和魔鼠等组织利用漏洞攻击远程办公相关的基础设施。
• 物联网设备被广泛利用：APT组织通过物联网设备构建僵尸网络，利用其计算能力和带宽资源发起大规模攻击。

2020年攻击技战术总结

• 十大ATT&CK核心技战术：包括利用0day漏洞、恶意宏、钓鱼邮件、远程控制、横向移动等。
• 0day漏洞攻击活跃：但随着供应链攻击的兴起，APT组织对0day漏洞的使用更加谨慎。
• 恶意软件多样化：攻击者使用多种语言（如C、Go、Python）编写后门程序，并利用伪装安全模块、钓鱼链接等方式进行攻击。
• 恶意通信流量混合趋势：正常与恶意通信流量混合，增加安全检测难度。
• 命令控制技术变化：APT组织在命令控制技术上不断演变，如使用DGA（Domain Generation Algorithm）和云服务进行通信。

2021年APT趋势预测

• 针对中国的攻击可能增加：预计2021年针对中国的国家级网络攻击组织数量和攻击活跃程度将超过2020年。
• 疫情相关攻击持续活跃：围绕疫情话题的攻击将持续，尤其是针对医疗行业和远程办公基础设施。
• 供应链攻击成为主流：以供应商为核心目标的攻击将更加频繁。
• 政治与经济热点成为攻击目标：APT组织将继续围绕政治、经济等热点领域进行网络间谍活动。
• 未知APT组织增加：未来将出现更多未知APT组织，其归属和攻击意图需要长期研判。
• 勒索攻击增多：意图破坏和窃密的针对性勒索攻击将不断出现。

附录信息

• 360安全大脑：用于监控和分析APT攻击活动，提供全面的安全数据支持。
• 研究机构：包括360高级威胁研究院、360烽火实验室等。
• 参考链接：包含多个APT攻击案例和技术分析的详细报告。

APT组织概述

总结

2020年，APT攻击活动在全球范围内持续上升，尤其是针对中国的攻击。疫情对APT攻击的影响显著，远程办公和供应链攻击成为新的攻击趋势。物联网设备被广泛利用，APT组织技战术不断进化，攻击方式更加隐蔽。未来，针对中国的攻击可能进一步加剧，需要加强安全防护和监测能力。