Sofacy APT的目标转向亚洲

我们从2011年开始一直密切关注Sofacy,对该威胁攻击组织采用的手段和策略十分熟悉。2017年,该组织的主要变化是攻击范围扩大,年初鱼叉式网络钓鱼攻击地主要是北约诸国,到第二季度已经扩大到中东和亚洲国家,甚至更远的国家。

卡巴斯基实验室监控、报告并防御的威胁攻击者数量众多,有些在国际上赫赫有名,有时在新闻中被特别报道。不管威胁攻击者说的是哪国语,我们都有责任了解和调查并为客户提供相应的防御措施。

其中一个最活跃的威胁攻击者是一个讲俄语的高级持续威胁(APT)组织,名叫Sofacy,又被称为APT28、Fancy Bear和Tsar Team。该组织以鱼叉式网络钓鱼活动和网络间谍活动而臭名远扬。2017年,该组织的攻击重点发生转移,值得在此一提。

我们从2011年开始一直密切关注Sofacy,对该威胁攻击组织采用的手段和策略十分熟悉。2017年,该组织的主要变化是攻击范围扩大,年初鱼叉式网络钓鱼攻击地主要是北约诸国,到第二季度已经扩大到中东和亚洲国家,甚至更远的国家。早些时候,Sofacy还曾把奥运会、世界反运动禁药机构(WADA)和国际体育仲裁院(CAS)作为攻击目标。

Sofacy针对不同的目标情况运用不同的工具。例如,2017年初,该组织发动了一场名为”经销商选择”的攻击活动,主要针对全球的军事机构和外交机构(以北约各国和乌克兰为主);后来,攻击者又运用了另外两种工具(我们称之为Zebrocy和SPLM),针对不同领域的公司(包括科学和工程中心以及新闻服务在内)发动攻击。Zebrocy和SPLM去年已经有了大幅修改,SPLM(也称为Chopsticks)逐渐实现模块化,并采用了加密通信。

常见的感染伎俩一开始是发送含有脚本文件的鱼叉式网络钓鱼信件,通过该脚本可下载有效负载。Sofacy以发现和利用零日漏洞来提供有效负载而闻名。威胁攻击者有着高水平的操作安全性,非常重视隐藏自己恶意软件的行踪 – 当然,这也让调查该恶意软件困难重重。

对于Sofacy等高度复杂的针对性攻击活动,进行彻底的事件调查至关重要。通过调查,可以确定犯罪分子要寻找的信息,了解他们的动机,检测是否有任何睡眠植入程序的存在。

为此,您的安全系统不仅需要高级防御解决方案,还需要终端检测和响应系统。这样的系统可以在早期阶段检测到威胁,并帮助分析攻击事件发生前的事件。技术娴熟的专家也不会因此受到伤害。我们提供的解决方案是威胁管理和防御平台,该平台融合了卡巴斯基反针对性攻击、卡巴斯基安全网络以及专家服务。

您可以在 Securelist上找到关于2017年更多威胁攻击者活动的信息,包括技术细节。此外,今年年初,我们的研究人员发现Sofacy行为发和生了一些有趣的转变,这个将在SAS 2018大会上重点讨论。如果你对APT感兴趣并想构建相应的防御措施,别忘了获得一张大会的门票 – 或者至少在SAS期间经常来看看我们的博客。

提示

爱与隐私

个人空间的界限在恋爱关系中特别容易模糊。在本文中,我们将谈谈过度的”信息亲密度”可能导致的问题。