全球高级持续性威胁（APT）2019年上半年研究报告_58页_6mb

报告摘要

本报告由腾讯安全御见威胁情报中心发布，分析了2019年上半年全球APT攻击的形势，重点探讨了中国面临的APT威胁及其来源，同时对国际APT攻击趋势进行了总结。报告指出APT攻击具有高度政治和经济动机，攻击方式日益复杂且向民生和移动端扩散，攻击组织与地缘政治局势密切相关。

主要攻击来源：
- 东亚方向：DarkHotel、Group123（APT37）、Lazarus、穷奇（毒云藤）
- 东南亚方向：海莲花（APT32、OceanLotus）
- 南亚方向：BITTER（蔓灵花）、白象、Gorgon Group
- 其他方向：方程式
攻击特征：
- 攻击方式：电子邮件钓鱼、漏洞利用、木马投递、持久化攻击、内网渗透等。
- 常用工具：特马、RAT、C2通信、数据加密等。
- 攻击目标：政府、国企、金融机构、科研机构、外贸企业等。
- 攻击技术：通过替换正常文件、混淆代码、利用漏洞、自启动、隐蔽通信等。
典型案例：
- DarkHotel：使用寄生兽木马攻击外贸公司，通过替换正常文件实现隐蔽攻击。
- Group123（APT37）：使用鱼叉钓鱼邮件，利用Nday/Oday漏洞进行攻击。
- 海莲花（APT32）：使用“白加黑”技术，攻击目标广泛，包括政府部门、金融机构等。
- 穷奇（毒云藤）：攻击频次和范围有所下降，但仍使用CVE-2018-20250漏洞投递RAT木马。
- BITTER（蔓灵花）：攻击外交、军工、核能企业，技术未有明显更新。
- 白象：攻击巴基斯坦政府机构和科研单位，使用badnews后门，C2配置频繁更新。
- Gorgon Group：攻击全球外贸人士，使用公开的商用RAT木马，如Azorult RAT。

主要攻击区域：
- 东亚地区：Group123、Lazarus、Hermit、Kimsuky等。
- 南亚地区：BITTER、白象、Donot、TransparentTribe等。
- 中东地区：MuddyWater、APT34等。
- 欧洲地区：APT28、Turla、Gamaredon等。
攻击特征：
- 技术手段：使用多种木马、钓鱼邮件、漏洞利用、隐蔽通信等。
- 攻击目标：政府、军事、经济等关键基础设施。
- 攻击趋势：技术更新频繁，攻击手段多样化，部分组织的C2配置被泄露，攻击活动更加隐蔽。
典型案例：
- MuddyWater：攻击中东及前苏联国家，使用模糊显示的诱饵文件，泄露C2服务端代码。
- APT34：使用公开的商用RAT木马，攻击目标包括中国网站，泄露工具包和webshell。
- Gamaredon：攻击乌克兰政府和军事单位，使用钓鱼邮件和诱饵文件，技术手段复杂。