刪刪節(jié)瘦肉丁概念概念解什么是APT－什么是APT－已有定 DellAPT的APT的本質(zhì)－針對(duì)性攻 擇弱的非針對(duì)性的攻 不顧強(qiáng)弱的針對(duì)性攻 APT基于目高級(jí)高級(jí)、持續(xù)的來(lái) 針對(duì)性攻擊－元需非機(jī)會(huì)性的攻擊達(dá)成目標(biāo)不取決目標(biāo)的強(qiáng)弱，非對(duì)稱的優(yōu)勢(shì)0day暫時(shí)無(wú)能力上的優(yōu)勢(shì)，持續(xù)的跟蹤等待對(duì)手犯未及時(shí)修補(bǔ)的nday、持續(xù)挖掘的弱現(xiàn)狀現(xiàn)狀分CrowdStrike的CrowdStrike的獵已知APT活動(dòng)最早活動(dòng)時(shí)5020012004200520072008200920102011201220132014已知APT活動(dòng)最早活動(dòng)時(shí)5020012004200520072008200920102011201220132014LockheedMartin的KillChain偵察跟蹤ReconnaissanceLockheedMartin的KillChain偵察跟蹤Reconnaissance武器構(gòu)建WeaponizationLMKillChain—突防利用ExploitationLMKillChain—突防利用Exploitation安裝植入（Installation通信控制（CommandandControlAPT的漏洞利用-APT的漏洞利用-常用常用漏洞細(xì) MicrosoftVisualBasicWindowsCommonControls MicrosoftRTFoverridetable結(jié)構(gòu)內(nèi)存越界漏 MicrosoftRTFDrawing對(duì)象溢出漏 可穩(wěn)定利用的緩沖區(qū)溢出漏洞，利用方式與CVE-2012-0158類 OracleJavaSECVE-2012-1723遠(yuǎn)程代碼執(zhí)行漏 MicrosoftIECButton釋放后重用漏洞 OracleJava2D組件遠(yuǎn)程代碼執(zhí)行漏 穩(wěn)定利用的漏洞可用于水坑攻APTAPT攻擊的進(jìn)入方式- 魚叉郵件（Spear 惡意附件：Office、PDF文檔漏洞的利用、欺騙性的可執(zhí) 釣魚網(wǎng)站的鏈接：IE、Flash、Java漏洞的利用，騙取認(rèn) 通過(guò)Web服務(wù)的漏洞利用：IE、Flash、Java漏 合法軟件捆綁木 偽應(yīng)用程序升級(jí)更新 漏洞利用，物理接觸，高度定 第一個(gè)被發(fā)現(xiàn)用來(lái)對(duì)第一個(gè)被發(fā)現(xiàn)用來(lái)對(duì)非常高端，使用了40day漏 RedRedDarkDark 銀行的破壞性APT 活動(dòng)時(shí)間為20092013在最終破壞之前已經(jīng) 歸屬分析定位到 來(lái)自印度的APT活 惡意代碼高度復(fù)雜，攻擊政府、科研和大EnergeticEnergetic CrouchingYeti 主要涉及能源行 與RedOctober組織有相似性，可能同一組 注冊(cè)了大量CC域影響1004000影響10040002005方程方程 極端的隱秘和龐 已知的U 已知最早活動(dòng)時(shí)2001 揭露揭露實(shí)分析分析揭露的關(guān)鍵環(huán)線索線索獲來(lái)來(lái)關(guān)注APT線索線索識(shí) 很多時(shí)候樣本就在那兒，就看有沒(méi)有能力識(shí)線索線索篩線線索篩查沙箱沙箱行為分關(guān)聯(lián)關(guān)聯(lián)分關(guān)聯(lián)關(guān)聯(lián)分析-關(guān)聯(lián)關(guān)聯(lián)分析-基于KillChain的關(guān)聯(lián)Actionson特定互惡意代初始啟域名注社會(huì)工持續(xù)啟域名使加解密偽裝正域名命特定功UIP所在對(duì)抗分基于KillChain的關(guān)聯(lián)Actionson特定互惡意代初始啟域名注社會(huì)工持續(xù)啟域名使加解密偽裝正域名命特定功UIP所在對(duì)抗分源碼工特定數(shù)語(yǔ)言編特定數(shù)字簽組件組SSL證特別的Chain上的Chain上的關(guān)聯(lián)實(shí) （Lockheed基于程基于程序流程的關(guān) 相隔一年多編譯的兩個(gè)樣本NSTAR和HTTPTroy，幾乎基于字串相似的關(guān) 基于字串相似的關(guān) Hangover2與基于基于相同Key的關(guān) Dark基于基于組件組織架構(gòu)的關(guān) Duqu和歸屬歸屬分檢查檢查 樣本來(lái)源、指向目 Whois記 語(yǔ)言配臵和使 工作時(shí) 反制和漏洞利 工具使Whois記Whois記 語(yǔ)言配語(yǔ)言配置和使 TheDeser