《2021年度高级威胁研究报告》-APT攻击防范好似定制化的钓鱼邮件

近日，绿盟科技伏影深入研究所联合CNCERT网络人身安全突发事件高效率国内工程深入研究中所心刊发《2021历年来高级别危害调查份文件》（以下简写《份文件》）。《份文件》不仅概括了APT炮击高效率转型和全面性炮击借以,还分别针对伏影深入研究所谈及的国内外APT炮击大型活动展开了详细分析，概括了2021历年来APT炮击大型活动的相似性，并根据分析结果提出了数据分析和遏止建议。

APT炮击遏止要当心“功能强大化的钓鱼投递”

各国内级APT民间组织的炮击大型活动主要围绕功能强大化的钓鱼投递展开时，最终通过其中所的各类蓄意管和PDF达成炮击借以。被广泛可用的蓄意管和子类包括XML、对话框PDF、htmlPDF等。

经过多年转型，钓鱼XML特别高效率已经成熟，蓄意弘、正确性利用、机制不作为等三类常见炮击借助于必需。

为了充分利用上述主流的炮击方式以及扩张自身炮击并不需要，2021年，APT民间组织引入并凌空了多种新型炮击高效率，包括新型0day正确性、新型观念工程学方式、新型相似性背后方式等。

新型0day正确性

2021上半年，Lazarus民间组织在一次炮击大型活动中所可用了编号为CVE-2021-26411的IE 0day正确性。在特别炮击流程中所，CVE-2021-26411正确性应对了shellcode执行者、提权、进程驻留等多个全面性的问题，使炮击符合极强的破坏性。情报表明，该正确性在被谈及后受到了广泛非议，并被融合至在野利用甚至其他新型APT民间组织的炮击大型活动当中所。

新型观念工程学方式

一种基于网络媒体运营的借以筛选与钓鱼方式被Lazarus民间组织市场推广可用，并被Charming Kitten等其他APT民间组织借鉴。Lazarus民间组织炮击者制作了多个伪造的人身安全深入研究者社交帖子并展开持续运营，通过刊发所谓的正确性深入研究信息吸引非议。随后，通过一对一的社交互动引诱这些借以接收带毒PDF并运行，借助于精密的定向窃密炮击。

新型相似性背后方式

一种结合类DGA域名与DNS tunneling的流量背后高效率，给UNC2452民间组织的SunBurst木马共享了完美的诬蔑人造卫星并不需要。这种基于DNS信道的特殊的通信方式成功绕过了所有受害者的验证护甲机制，帮助UNC2452炮击者借助于了长达9个年底的供应链炮击大型活动。

政府部门、卫生防疫行政部门成为APT全面性炮击借以

目前，国内级APT民间组织基本上一直以地缘自由派上的敌对势力作为主要炮击借以，并全面性渗透在当前星期六内并不需要对地区形势导致巨大影响的行政部门和配套，这些全面性借以包括政府部门、卫生防疫行政部门和次长部门等。

此外，为保证不断增长的炮击并不需要需求，APT民间组织开始炮击人身安全深入研究医护人员，设法给予0day正确性和渗透物件等，丰富多彩自己的炮击伎俩。

份文件App

格外多格外详细的APT炮击事件介绍以及对于APT炮击大型活动的遏止建议，可核对《2021历年来高级别危害调查份文件》。

在绿盟科技社会公众号后台仍要“高级别危害深入研究”可给予AppURL，在绿盟科技官方网站社会公众号中所点击【绿盟新歌】-【绿盟书橱】可同样阅读。