2018年-360研究报告_2017年中国高级持续性威胁研究报告_43页_3mb

报告摘要

2017年全球APT攻击与研究呈现出显著的地域集中性和行业聚焦性，APT组织对政府、能源、金融等关键领域进行大规模攻击，并与国际政治和地缘局势紧密相关。中国作为全球第二大的APT攻击目标国，其境内受到多个APT组织的攻击，攻击活动具有高度的针对性和持续性。

全球APT研究态势：
- 美国在APT研究领域处于领先地位，共有24个研究机构发布47篇相关报告。
- 中国排名第二，有4个机构发布18篇研究报告，涉及8个APT组织。
- 360威胁情报中心在2017年发布了11篇APT相关报告，是其中最活跃的研究机构之一。
APT攻击目标国与领域：
- 受攻击最多的国家依次为：美国、中国、沙特阿拉伯、韩国、以色列、土耳其、日本、法国、俄罗斯、德国、西班牙、巴基斯坦和英国。
- 攻击领域中，政府占50%，能源占25%，其余为金融、国防、互联网、航空航天、媒体、电信、医疗和化工等。
APT攻击技术趋势：
- Office 0day漏洞成为攻击焦点。
- 恶意代码复杂性显著增强。
- 移动端安全问题日益凸显。
- 针对金融行业的攻击手段多样化。
- APT攻击已影响到普通用户。
APT与大国博弈：
- APT行动与国家间政治摩擦密切相关，如双尾蝎、黄金鼠和摩诃草等组织在2017年的攻击活动。
- APT对地缘政治的影响显著，如APT28对法国大选的干扰。
- 指责他国APT活动成为外交手段，如英美指责朝鲜制造WannaCry。
- 敏感时期发布APT报告，如APEC前披露海莲花相关信息。
- 针对国家智库的攻击显著增多，如CSIS被入侵。

攻击中国的APT组织：
- 截至2017年底，共有38个APT组织对中国的境内目标发动攻击，其中至少6个处于高度活跃状态。
- 攻击范围覆盖全国31个省级行政区，影响超过万台电脑。
主要攻击手法：
- 鱼叉邮件和水坑攻击是主要手段。
- 利用Office 0day漏洞、Flash漏洞、DDE技术等进行攻击。
典型案例：
- 海莲花（APT-C-00）：攻击手法包括鱼叉邮件、水坑攻击，使用定制木马，攻击目标包括政府、科研机构等，攻击方式从本地向云控转变，对抗性增强。
- APT28：攻击范围广泛，包括法国大选、欧洲酒店行业、CyCon参会人员等，利用多种漏洞，如CVE-2017-0262、EternalBlue等，攻击手段多样化。

欧美地区：
- APT28：针对法国大选、欧洲酒店行业、CyCon安全会议等，利用EPS、Flash漏洞等进行攻击。
- 其他攻击：如针对美国政府和航空航天机构的攻击。
东亚地区：
- 海莲花：针对中国、韩国、日本等，攻击方式以鱼叉邮件和水坑攻击为主。
- Lazarus：针对韩国三星手机用户，通过伪装成圣经应用等进行攻击。
中东地区：
- APT34：攻击中东政府，利用CVE-2017-11882等漏洞。
- BlackOasis：利用Adobe Flash漏洞传播FinSpy。
- 双尾蝎组织（APT-C-23）：攻击巴以两国，覆盖Windows和Android平台。
- 黄金鼠组织（APT-C-27）：攻击叙利亚，通过水坑攻击和社工手段渗透。

网络武器库泄露：
- 2017年，网络武器库主要来源于NSA旗下的方程式组织和CIA直属的网络情报中心。
- 永恒之蓝（WannaCry）等病毒利用NSA的漏洞，造成全球大规模攻击。
影响与风险：
- 网络武器的泄露使普通黑客和网络犯罪分子也能利用高级攻击工具。
- 增加了APT攻击的隐蔽性和复杂性，对网络安全构成严重威胁。

Office 0day漏洞：
- 2017年多个Office 0day漏洞被APT组织利用，如CVE-2017-0261、CVE-2017-0262等。
- 漏洞类型包括逻辑漏洞、内存破坏型漏洞等。
攻击手段多样化：
- 利用DDE技术、恶意宏、VBA脚本等进行攻击。
- 针对移动端和PC端的攻击技术不断发展，如Android后门程序具备定位、短信拦截等功能。