過去三個月，高級可持續(xù)性威脅活動的主要浪潮是由供應(yīng)鏈攻擊和零日漏洞驅(qū)動的。SolarWind公司用于監(jiān)控IT基礎(chǔ)設(shè)施的Orion IT軟件被入侵，導致18,000多個客戶網(wǎng)絡(luò)被安裝了一個定制后門，而Microsoft Exchange Server中的一個漏洞導致歐洲、俄羅斯和美國出現(xiàn)了一系列新的攻擊活動。這些是卡巴斯基第一季度APT報告中最重要的發(fā)現(xiàn)。
高級威脅行為者仍在不斷改變他們的策略，磨礪他們所使用的工具集，發(fā)起新的攻擊浪潮。因此，為了讓用戶和組織了解他們所面臨的威脅，卡巴斯基全球研究和分析團隊（GReAT）提供了關(guān)于高級持續(xù)性威脅領(lǐng)域最重要發(fā)展情況的季度報告。在過去的這個季度，他們注意到兩波主要的攻擊活動。
第一波攻擊活動是由SolarWinds入侵事件引起的，該IT管理服務(wù)提供商用于監(jiān)控IT基礎(chǔ)設(shè)施的Orion IT軟件被入侵。這導致一種被稱為Sunburst的定制后門被安裝到了超過18,000個客戶網(wǎng)絡(luò)上。受害者中包括許多北美、歐洲、中東和亞洲的大型企業(yè)和政府機構(gòu)。
經(jīng)過仔細檢查該后門，卡巴斯基研究人員注意到它與之前發(fā)現(xiàn)的被稱為Kazuar的后門有相似之處，而這種后門最早于2017年被發(fā)現(xiàn)，而且與臭名昭著的Turla APT組織有關(guān)。這意味著Kazuar和Sunburst幕后的攻擊者可能有所關(guān)聯(lián)。
第二波攻擊活動是由Microsoft Exchange Server的零日漏洞造成的，目前這個漏洞已經(jīng)得到修補。3月初，一個被稱為HAFNIUM的新的APT行為者被發(fā)現(xiàn)利用這些漏洞發(fā)起了一系列“受限制和針對性的攻擊”。在3月的第一周，大約有1,400臺服務(wù)器遭到漏洞利用被攻擊，其中大多數(shù)服務(wù)器都位于歐洲和美國。考慮到一些服務(wù)器多次成為攻擊目標，看上去似乎有多個組織在利用這些漏洞實施攻擊。事實上，到3月中旬，卡巴斯基發(fā)現(xiàn)另一起利用相同漏洞并針對俄羅斯的攻擊。這次的攻擊行動似乎與HAFNIUM有一些關(guān)聯(lián)，還與卡巴斯基之前調(diào)查的一些已知攻擊集群活動存在聯(lián)系。
臭名昭著的APT組織Lazarus也被報告發(fā)起了新的攻擊活動集群，這些攻擊也利用了零日漏洞。這一次，該組織使用社交工程手段說服安全研究人員下載受感染的Visual Studio項目文件或引誘受害者進入其博客，然后安裝一種Chrome漏洞利用程序。這些誘餌經(jīng)常圍繞著零日漏洞。第一波攻擊發(fā)生在1月，第二波發(fā)生在3月，而且這些攻擊還伴隨著一波假冒的社交媒體賬戶和假冒公司，目的是更有效地欺騙受害者。
經(jīng)過仔細檢查，卡巴斯基研究人員注意到，該攻擊活動中使用的惡意軟件與ThreatNeedle是一致的。ThreatNeedle是Lazarus開發(fā)的一款后門程序，在2020年年中被發(fā)現(xiàn)用來針對國防工業(yè)進行攻擊。
另一波有趣的零日漏洞攻擊行動被稱為TurtlePower，這些攻擊主要針對巴基斯坦和中國的政府實體以及電信機構(gòu)，據(jù)稱這些攻擊活動與BitterAPT組織有關(guān)。這個目前已經(jīng)得到修補的漏洞的起源似乎與“Moses”有關(guān)，Moses是一個代理組織，在過去兩年開發(fā)了至少五個漏洞利用程序，其中有些漏洞利用程序被BitterAPT和DarkHotel所利用。
“上季度最大的收獲可能是了解了成功的供應(yīng)鏈攻擊的破壞性可以有多大。要完全了解SolarWinds的全部攻擊范圍，可能還需要幾個月。好消息是，整個安全社區(qū)現(xiàn)在都在討論這些類型的攻擊——以及我們應(yīng)當如何做來應(yīng)對它們。前三個月的形勢也提醒我們盡快為設(shè)備打補丁的重要性。零日漏洞仍將是APT組織攻擊受害者最常見和最有效的方式，甚至通過令人驚訝的非常有創(chuàng)意的方式進行，正如Lazarus最近的攻擊行動所顯示的那樣，”全球研究和分析團隊（GReAT）高級安全研究員Ariel Jungheit評論說。
第一季度APT趨勢報告總結(jié)了卡巴斯基威脅情報服務(wù)訂閱客戶專享的威脅情報報告的結(jié)果，其中還包括感染跡象（IOC）數(shù)據(jù)和YARA規(guī)則，以幫助安全人員進行取證分析和惡意軟件追蹤。更多詳情，請聯(lián)系：intelreports@kaspersky.com
要了解更多有關(guān)第一季度APT威脅形勢詳情，請訪問Securelist.
為了保護你的企業(yè)免受高級可持續(xù)威脅活動的影響，卡巴斯基專家建議：
盡管安裝針對最新漏洞的補丁程序。一旦下載和安裝補丁，威脅行為者就無法再利用這些漏洞進行攻擊。
對組織的IT基礎(chǔ)設(shè)施進行定期安全審計，以發(fā)現(xiàn)安全缺口和包含漏洞的系統(tǒng)。
端點保護解決方案中的漏洞和補丁管理功能可以大大簡化IT安全管理人員的任務(wù)。
安裝反APT和EDR解決方案，開啟威脅發(fā)現(xiàn)和檢測功能以及事件調(diào)查和修復(fù)功能。為您的SOC團隊提供最新的威脅情報，并定期為他們提供專業(yè)培訓。上述所有服務(wù)都可以通過卡巴斯基專家安全框架獲取。
關(guān)于卡巴斯基
卡巴斯基是一家成立于1997年的全球網(wǎng)絡(luò)安全和數(shù)字隱私公司。卡巴斯基不斷將深度威脅情報和安全技術(shù)轉(zhuǎn)化成最新的安全解決方案和服務(wù)，為全球的企業(yè)、關(guān)鍵基礎(chǔ)設(shè)施、政府和消費者提供安全保護。公司提供全面的安全產(chǎn)品組合，包括領(lǐng)先的端點保護解決方案以及多種針對性的安全解決方案和服務(wù)，全面抵御復(fù)雜的和不斷演化的數(shù)字威脅。全球有超過4億用戶使用卡巴斯基技術(shù)保護自己，我們還幫助全球240,000家企業(yè)客戶保護最重要的東西。要了解更多詳情，請訪問www.kaspersky.com.
