過去三個月，高級可持續(xù)性威脅活動的主要浪潮是由供應鏈攻擊和零日漏洞驅動的。SolarWind公司用于監(jiān)控IT基礎設施的Orion IT軟件被入侵，導致18,000多個客戶網絡被安裝了一個定制后門，而Microsoft Exchange Server中的一個漏洞導致歐洲、俄羅斯和美國出現(xiàn)了一系列新的攻擊活動。這些是卡巴斯基第一季度APT報告中最重要的發(fā)現(xiàn)。

高級威脅行為者仍在不斷改變他們的策略，磨礪他們所使用的工具集，發(fā)起新的攻擊浪潮。因此，為了讓用戶和組織了解他們所面臨的威脅，卡巴斯基全球研究和分析團隊（GReAT）提供了關于高級持續(xù)性威脅領域最重要發(fā)展情況的季度報告。在過去的這個季度，他們注意到兩波主要的攻擊活動。

第一波攻擊活動是由SolarWinds入侵事件引起的，該IT管理服務提供商用于監(jiān)控IT基礎設施的Orion IT軟件被入侵。這導致一種被稱為Sunburst的定制后門被安裝到了超過18,000個客戶網絡上。受害者中包括許多北美、歐洲、中東和亞洲的大型企業(yè)和政府機構。

經過仔細檢查該后門，卡巴斯基研究人員注意到它與之前發(fā)現(xiàn)的被稱為Kazuar的后門有相似之處，而這種后門最早于2017年被發(fā)現(xiàn)，而且與臭名昭著的Turla APT組織有關。這意味著Kazuar和Sunburst幕后的攻擊者可能有所關聯(lián)。

第二波攻擊活動是由Microsoft Exchange Server的零日漏洞造成的，目前這個漏洞已經得到修補。3月初，一個被稱為HAFNIUM的新的APT行為者被發(fā)現(xiàn)利用這些漏洞發(fā)起了一系列“受限制和針對性的攻擊”。在3月的第一周，大約有1,400臺服務器遭到漏洞利用被攻擊，其中大多數(shù)服務器都位于歐洲和美國。考慮到一些服務器多次成為攻擊目標，看上去似乎有多個組織在利用這些漏洞實施攻擊。事實上，到3月中旬，卡巴斯基發(fā)現(xiàn)另一起利用相同漏洞并針對俄羅斯的攻擊。這次的攻擊行動似乎與HAFNIUM有一些關聯(lián)，還與卡巴斯基之前調查的一些已知攻擊集群活動存在聯(lián)系。

臭名昭著的APT組織Lazarus也被報告發(fā)起了新的攻擊活動集群，這些攻擊也利用了零日漏洞。這一次，該組織使用社交工程手段說服安全研究人員下載受感染的Visual Studio項目文件或引誘受害者進入其博客，然后安裝一種Chrome漏洞利用程序。這些誘餌經常圍繞著零日漏洞。第一波攻擊發(fā)生在1月，第二波發(fā)生在3月，而且這些攻擊還伴隨著一波假冒的社交媒體賬戶和假冒公司，目的是更有效地欺騙受害者。

經過仔細檢查，卡巴斯基研究人員注意到，該攻擊活動中使用的惡意軟件與ThreatNeedle是一致的。ThreatNeedle是Lazarus開發(fā)的一款后門程序，在2020年年中被發(fā)現(xiàn)用來針對國防工業(yè)進行攻擊。

另一波有趣的零日漏洞攻擊行動被稱為TurtlePower，這些攻擊主要針對巴基斯坦和中國的政府實體以及電信機構，據稱這些攻擊活動與BitterAPT組織有關。這個目前已經得到修補的漏洞的起源似乎與“Moses”有關，Moses是一個代理組織，在過去兩年開發(fā)了至少五個漏洞利用程序，其中有些漏洞利用程序被BitterAPT和DarkHotel所利用。

“上季度最大的收獲可能是了解了成功的供應鏈攻擊的破壞性可以有多大。要完全了解SolarWinds的全部攻擊范圍，可能還需要幾個月。好消息是，整個安全社區(qū)現(xiàn)在都在討論這些類型的攻擊——以及我們應當如何做來應對它們。前三個月的形勢也提醒我們盡快為設備打補丁的重要性。零日漏洞仍將是APT組織攻擊受害者最常見和最有效的方式，甚至通過令人驚訝的非常有創(chuàng)意的方式進行，正如Lazarus最近的攻擊行動所顯示的那樣，”全球研究和分析團隊（GReAT）高級安全研究員Ariel Jungheit評論說。

第一季度APT趨勢報告總結了卡巴斯基威脅情報服務訂閱客戶專享的威脅情報報告的結果，其中還包括感染跡象（IOC）數(shù)據和YARA規(guī)則，以幫助安全人員進行取證分析和惡意軟件追蹤。更多詳情，請聯(lián)系：intelreports@kaspersky.com

要了解更多有關第一季度APT威脅形勢詳情，請訪問Securelist.

為了保護你的企業(yè)免受高級可持續(xù)威脅活動的影響，卡巴斯基專家建議：

盡管安裝針對最新漏洞的補丁程序。一旦下載和安裝補丁，威脅行為者就無法再利用這些漏洞進行攻擊。

對組織的IT基礎設施進行定期安全審計，以發(fā)現(xiàn)安全缺口和包含漏洞的系統(tǒng)。

端點保護解決方案中的漏洞和補丁管理功能可以大大簡化IT安全管理人員的任務。

安裝反APT和EDR解決方案，開啟威脅發(fā)現(xiàn)和檢測功能以及事件調查和修復功能。為您的SOC團隊提供最新的威脅情報，并定期為他們提供專業(yè)培訓。上述所有服務都可以通過卡巴斯基專家安全框架獲取。

關于卡巴斯基

卡巴斯基是一家成立于1997年的全球網絡安全和數(shù)字隱私公司。卡巴斯基不斷將深度威脅情報和安全技術轉化成最新的安全解決方案和服務，為全球的企業(yè)、關鍵基礎設施、政府和消費者提供安全保護。公司提供全面的安全產品組合，包括領先的端點保護解決方案以及多種針對性的安全解決方案和服務，全面抵御復雜的和不斷演化的數(shù)字威脅。全球有超過4億用戶使用卡巴斯基技術保護自己，我們還幫助全球240,000家企業(yè)客戶保護最重要的東西。要了解更多詳情，請訪問www.kaspersky.com.