奇安信：全球高级持续性威胁（APT）2023年中报告_68页_15mb

全球高级持续性威胁(APT)2023年上半年综合分析

趋势总体概述

2023年上半年，全球APT攻击呈现以下特点：

1. 政府部门和国防军事领域仍是首要攻击目标，占比分别为30%和16%，其他高发行业包括教育、科研、金融、医疗等
2. 0day漏洞利用事件显著增加，数量接近30个，受影响产品主要来自微软、谷歌、苹果三家厂商
3. 移动平台攻击增多，尤其是苹果iOS系统在上半年遭遇史上最高水平的国家级APT攻击
4. 勒索团伙也开始利用0day漏洞，网络犯罪组织的专业化程度不断提高
5. 供应链攻击成为新型威胁，多个安全事件显示APT组织开始针对软件供应链环节发起攻击

中国境内威胁态势

1. 重点受害行业：

   • 政府部门占比33%
   • 能源行业占比15%
   • 科研教育占比12%
   • 金融商贸占比11%
   • 科技行业占比7%

2. 高活跃攻击组织：

   • 毒云藤：控制国内IP数量27%
   • 海莲花：控制15%
   • Winnti：控制14%
   • 蔓灵花：控制8%
   • APT-Q-27：控制7%

3. 地域分布：

   • 广东省受攻击情况最突出
   • 北京、上海、浙江等经济发达地区位列第二梯队
   • 中国香港地区也成为重点攻击目标

全球热点威胁态势

1. 亚太地区：

   • 印度、巴基斯坦、中国等国成为重点关注目标
   • 海莲花、毒云藤等组织频繁活动

2. 东欧地区：

   • 乌克兰成为主要攻击目标
   • 游戏擦除类攻击显著增多

3. 南亚地区：

   • 蔓灵花、肚脑虫、透明部落等组织持续活跃
   • 攻击目标主要为政府、军事、能源等部门

漏洞利用特点

1. Chrome/Safari浏览器成为主要攻击载体，占所有漏洞近80%

   • Chrome提权漏洞占比53%
   • Safari漏洞占比18%

2. 重要系统更新前后的漏洞利用情况：

   • 在微软更新Outlook后，CVE-2023-23397被黑利用
   • 苹果iMessage漏洞CVE-2023-23247被国家级APT组织利用

3. 特殊攻击案例：

   • 勒索团伙Magniber利用0day绕过SmartScreen
   • 勒索团伙Nokoyawa利用CVE-2023-28252提权

组织技术特征

1. 海莲花：

   • 攻击目标从供应链扩展到香港地区资产
   • 使用Ligolo-ng隧道工具进行内网漫游

2. 新型攻击特点：

   • 网络攻击变得多元化、高阶化
   • 攻击深度增强，从切入点到数据窃取的链条更加完善
   • 攻击目标从政府延伸至军工、能源、教育等多个领域