安恒威胁情报中心-2020年度高级威胁态势研究报告-2020.12-30页_20mb

高级威胁态势研究报告（2020年度）总结

核心内容概览

2020年全球网络安全环境持续面临高级威胁（APT）的挑战，多个境外黑客组织针对中国及周边国家进行网络攻击。新冠疫情、地缘政治冲突、重大国际活动等成为攻击的诱饵主题，攻击手段更加多样化，包括利用漏洞、钓鱼邮件、恶意软件等。美国、俄罗斯、印度等国家的攻击组织尤为活跃，且攻击目标集中于政府、金融、军工、医疗和数字货币行业。

主要观点与关键信息

攻击组织与活动情况

• 主要攻击组织：包括Lazarus、响尾蛇（SideWinder）、蔓灵花（BITTER）、白象（PatchWork）、海莲花（OceanLotus）、毒云藤（APT-C-01）、DarkHotel、Kimsuky、StrongPity、MuddyWater、Hades、Domino、DarkCaption等。
• 攻击活动特点：
  • 多数攻击组织具有国家背景，如Lazarus疑似来自朝鲜，响尾蛇疑似与印度有关。
  • 攻击手段包括鱼叉式攻击、水坑攻击、供应链攻击、模板注入、恶意宏代码等。
  • 攻击目标多为政府机构、科研单位、能源企业、军工单位、医疗行业及数字货币交易所。

攻击行业分布

• 政府：攻击事件占比 $30.3%$，是主要目标之一。
• 金融：占比 $12.6%$，受关注程度较高。
• 军工：占比 $10.4%$，是重点攻击领域。
• 医疗：受疫情影响，攻击事件占比上升至第四位。
• 数字货币交易所：攻击热度持续上升，成为新兴目标。

攻击来源地分布

• 美国：攻击资产来源占比 $29.9%$，居全球首位。
• 中国境内（含港台）：占比 $9.2%$，排在第二位。
• 荷兰、德国、俄罗斯、法国、新加坡、加拿大、韩国、英国：分别排在三至十位。

攻击技术与趋势

• 漏洞利用：如CVE-2020-0674、CVE-2017-0261、CVE-2019-0808等。
• 在野漏洞利用：模板注入技术搭配漏洞使用，攻击频率明显上升。
• 浏览器利用：出现Oday或Nday的在野利用情况。
• 攻击手法：包括鱼叉式攻击、水坑攻击、供应链攻击、隔离网络攻击等。
• 新型攻击形式：如“APT即服务”模式、黑灰产攻击、钓鱼邮件等。

2021年攻击态势预测

• 软件供应链：将成为攻击重点突破口。
• 数据源完整性与可信性：攻击者将更加关注。
• 隔离网络攻击：将不断加强。
• 浏览器漏洞：尤其是Chrome漏洞将被持续利用。
• 国产软件漏洞：在国产化趋势下，攻击事件将增加。
• 医疗与数字货币行业：将持续受到关注。
• “APT即服务”：可能形成新的攻击体系。

防御建议

• 加强供应链安全：对第三方软件进行严格审查，防止恶意代码植入。
• 提升漏洞管理：及时修补已知漏洞，防范零日攻击。
• 加强钓鱼邮件防范：提高员工对钓鱼邮件的识别能力。
• 提升系统安全：特别是对Windows、Linux、MacOS等平台的防护。
• 强化数据安全：确保数据源的完整性和可信性。
• 部署高级威胁检测工具：如基于Yara、Snort、OpenLOC等的检测规则。
• 关注新型攻击形式：如“APT即服务”、“白加黑”等。

关键攻击案例

• 响尾蛇组织：利用“一带一路”、“中印边境冲突”等话题发起攻击，使用模板注入和双星漏洞。
• 蔓灵花组织：使用多种诱饵形式，如CHM文档、伪装可执行文件，攻击政府和科研机构。
• 海莲花组织：利用“新冠疫情”和“H5N1禽流感”等主题，攻击中国和越南相关机构。
• Lazarus组织：针对数字货币行业，使用多种漏洞进行攻击。
• 毒云藤组织：通过钓鱼邮件和伪装文档，攻击国内科技和政府机构。
• DarkCaption组织：疑似与地缘政治媒体情报有关，通过钓鱼邮件攻击爱沙尼亚。
• FireEye被攻击事件：美国网络安全公司FireEye遭APT攻击，导致红队工具外泄，攻击者疑似为俄罗斯对外情报局。

附录与机构介绍

• 安恒威胁情报中心：提供高级威胁分析和情报服务。
• 猎影实验室：专注于网络安全研究，分析攻击手法与趋势。
• 安恒信息：提供网络安全解决方案，包括威胁情报、安全产品等。

以上总结涵盖了2020年全球高级威胁态势的全面分析，提供了攻击组织、行业分布、技术趋势、预测及防御建议等内容，旨在帮助读者更好地理解当前网络安全环境面临的挑战。