有人的地方就有江湖。。。。。。。。武侠江湖中有侠客、剑� ？？？？？？？�； ；；； ；； ；清静江湖内有黑客、红客、灰客、极客……总之，，，，，，，一个“客”字，，，，，，，就带出了江湖神秘而又炫酷的味道。。。。。。。。
不会代码、没有神技的小编靠着娴熟的叨法，，，，，，，大胆自封了一个名号——
第4叨
我用12个字母，，，，，，，围观了APT运动的所有细节
2018年，，，，，，，一种伪装成邮箱登录页面的垂纶网站，，，，，，，最先频仍进入意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心的视野。。。。。。。。
说句着实话，，，，，，，垂纶邮件作为最为古老的攻击方法之一，，，，，，，各人早已司空见惯，，，，，，，收到之后或许就一笑以蔽之，，，，，，，转眼就抛诸九霄云外。。。。。。。。� ？？？？？？？啥淌奔淠诩嗖獾酱笞谙嗨频拇孤谟始�，，，，，，，照旧引起了剖析师们的注重。。。。。。。。
通太过析垂纶网站的源代码发明，，，，，，，当受害者输入自己的账号邮箱后，，，，，，，该垂纶网站并不以窃取邮箱账户为主要目的，，，，，，，而是会将受害者会见页面的时间和目今使用的IP地点，，，，，，，一同发送到攻击者效劳器。。。。。。。。
履历富厚的剖析师们敏锐地意识到，，，，，，，和寻常偷取账户的垂纶邮件攻击差别的是，，，，，，，这或许是一次有预谋、有组织的情报搜集运动，，，，，，，很可能是为了后续的入侵“踩点”。。。。。。。。
在浏览器地点栏中输入ti.qianxin.com共计12个英文字母后，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心就此揭开了“毒云藤”APT组织一次全心谋划的APT攻击运动的神秘面纱。。。。。。。。
“平安格勒”战争
从外貌上，，，，，，，ti.qianxin.com是意昂体育-科技赋能场景,让娱乐更有趣!的一个二级域名，，，，，，，但它事实是什么？ ？？？？？？？为什么可以围观APT运动的细节？ ？？？？？？？要知道，，，，，，，若是不是通过它寻根究底，，，，，，，这次APT攻击可能就从眼皮子底下溜走了。。。。。。。。在介（广）绍（告）之前，，，，，，，先回首一小段电视剧。。。。。。。。
《亮剑》这部电视剧里，，，，，，，有一集讲述了自力团团长李云龙冲冠一怒为朱颜的故事。。。。。。。。
图片泉源：电视剧《亮剑(2006年版)》
在358团炸毁山本特工队的汽车之后，，，，，，，李云龙短时间内集结了近万人的武装实力，，，，，，，将偷袭赵家峪、挟制秀芹的山本一伙，，，，，，，围在了平安县城里。。。。。。。。
作为日驻晋第一军司令官筱冢义男的心头肉，，，，，，，山本特工队三军淹没是他绝不允许的。。。。。。。。于是在接到山本的求援电报后，，，，，，，筱冢义男一刻都不敢延伸，，，，，，，随即向平安县派遣援兵。。。。。。。。一时间，，，，，，，来自太原、水泉、远古等地的日军均掉臂一切向平安支援。。。。。。。。
这样一来，，，，，，，本就敌、我、顽势力犬牙交织的晋西北，，，，，，，一下子乱成了一锅粥。。。。。。。。
不过，，，，，，，由于李云龙的作战行动并没有向上级汇报，，，，，，，八路军总部却一直蒙在鼓里。。。。。。。。幸亏总部的侦探员顺遂监听到了日军的电台，，，，，，，并获取了一条主要的情报信息——仇人重复提到了平安县。。。。。。。。正在认真研究作战地图的总部首长，，，，，，，一下子就明确了过来，，，，，，，所有战斗皆围绕此地打响，，，，，，，并判断是李云龙在搞什么大行动。。。。。。。。
形势豁然爽朗。。。。。。。。
放眼其时的中国国界，，，，，，，平安县城只是一个芝麻巨细的据点，，，，，，，若是不是山本特工队来到这里，，，，，，，或许八路军、晋绥军、中央军甚至日军，，，，，，，都不会注重到这个地方的保存。。。。。。。。� ？？？？？？？傻敝富釉卑盐破桨蚕厮隹恼秸谧髡降赝忌媳晔境隼粗�，，，，，，，却折射出了抗日战争后期，，，，，，，中国军民由战略相持阶段，，，，，，，转入战略抨击阶段的画卷。。。。。。。。
网络资源与钻石模子
在网络空间，，，，，，，也有无数个这样看起来并不起眼的地方，，，，，，，从外貌上看，，，，，，，它可能是邮箱、域名或者IP地点等，，，，，，，从而标记出网络空间的详细位置，，，，，，，我们习惯把这些元素叫做网络资源。。。。。。。。
在平时，，，，，，，这些网络资源之间相安无事，，，，，，，甚至“晤面”之后还会打个招呼：好比我在某网站注册一个会员，，，，，，，治理员邮箱没准会给我发一封验证邮件。。。。。。。。� ？？？？？？？梢坏┍⑼绻セ�，，，，，，，它们之间也会乱成“一锅粥”：我可能在不知情的情形下就会见了一个恶意域名，，，，，，，治理员发给我的也可能是一封全心伪造的垂纶邮件。。。。。。。。
“或许这样一封垂纶邮件的背后，，，，，，，就是一次策划细密的网络渗透运动。。。。。。。。”意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心认真人汪列军说。。。。。。。。
为了资助清静剖析师们完整的形貌一次网络攻击，，，，，，，有人在2013年提出了入侵剖析钻石模子，，，，，，，用于把敌手（攻击者）、受害人、能力（攻击者使用的攻击代码或者恶意工具）以及基础设施（指向效劳器的IP地点和域名等网络资源）这四类要害元素以一定的关系给关联起来。。。。。。。。
至于为什么叫钻石模子，，，，，，，你看下面这张图像不像钻石？ ？？？？？？？
举个例子。。。。。。。。在李云龙率部攻打平安县城这段故事中，，，，，，，从太原、远古等地开来的日军援兵就是攻击者，，，，，，，平安县城就是他们的支援目的，，，，，，，太原、远古这些增兵的地方就是网络资源，，，，，，，而步队番号、数目、交通工具、火力配备情形等等就是能力。。。。。。。。
八路军总部以平安县城这条情报为基础，，，，，，，把所有围绕此地睁开的战争，，，，，，，绘制成了一张作战态势图，，，，，，，继而下达了下一步作战下令：联系一切能联系上的步队，，，，，，，不吝一切价钱阻敌支援。。。。。。。。就算要枪毙李云龙，，，，，，，也得等打完仗再说。。。。。。。。
搞网络清静的又何尝不是在接触。。。。。。。。并且这个仗是打的那么悄无声息，，，，，，，没有震耳欲聋的枪炮声，，，，，，，甚至在攻击者到手后的很长一段时间后，，，，，，，才会发明防地已经被对方攻破了。。。。。。。。
由此可见，，，，，，，第一时间掌握敌手的动向何等主要。。。。。。。。
想要掌握敌手的攻击态势，，，，，，，基于网络资源举行威胁情报关联剖析，，，，，，，是最常用也是最有用的手段，，，，，，，由于你能清晰地看到仇人从那里来，，，，，，，要到那里去。。。。。。。。
而所谓威胁情报，，，，，，，简朴来说就是一切和敌手相关，，，，，，，能够为清静决议提供支持的知识。。。。。。。。（有兴趣可以看看《网络空间的隐藏战线：一场情报转达的“生死时速”》点击问题即可跳转）
其中，，，，，，，攻击者使用的特定IP、域名、邮箱、社交账号等等网络资源，，，，，，，就是威胁情报泉源的主力。。。。。。。。
网络资源之以是应用最为普遍，，，，，，，最主要的是在于其消除不确定的能力。。。。。。。。尤其是域名，，，，，，，在特定的时间内，，，，，，，只会被特定的攻击者使用。。。。。。。。相比之下，，，，，，，只管某些APT组织（如蔓灵花等）早期使用的特种木马也有很强的特征，，，，，，，但大大都时间，，，，，，，单靠样本特征并禁止易判断它究竟归属谁人APT组织。。。。。。。。
照旧举这个例子。。。。。。。。
假设从太原偏向的日军援兵为了疑惑八路军打援步队，，，，，，，换上了八路军的衣服向平安偏向开进，，，，，，，途中被我军侦探员发明，，，，，，，行动可疑。。。。。。。。若是侦探员只是发明这伙人齐刷刷的装备日军制式步枪三八大盖，，，，，，，并不可完全消除不确定性，，，，，，，由于在对日作战历程中，，，，，，，八路军也大宗缴获并使用这种步枪； ；；； ；； ；但若是发明这伙人是从太原出发前往平安偏向的，，，，，，，那效果就纷歧样了。。。。。。。。其时，，，，，，，太原属于日占区，，，，，，，绝不可能驻扎八路军。。。。。。。。
除了这个缘故原由之外，，，，，，，相比其他类型的数据，，，，，，，网络资源的网络，，，，，，，可能越发容易一些。。。。。。。。
细节决议一切
话说回来，，，，，，，APT运动的关联剖析并没有什么高深莫测的手法，，，，，，，也没有什么特别的捷径，，，，，，，要害在于数据网络能力。。。。。。。。只有数据足够完整，，，，，，，才有可能掌握APT运动的所有细节。。。。。。。。若是你能掌握所有攻击者使用的IP地点、域名、邮箱、社交账号、恶意代码以及这些信息之间的关系，，，，，，，那么攻击者的所有动向将一目了然。。。。。。。。说细节决议一切，，，，，，，一点都不为过。。。。。。。。
若是在李云龙攻打平安县城的时间，，，，，，，八路军方面并没有获得远古方面日军前来支援的这个细节，，，，，，，没有派兵阻击，，，，，，，导致远古偏向的日军实时赶到平安城下，，，，，，，自力团立马将碰面临两面夹击的逆境，，，，，，，甚至导致整个行动功亏一篑。。。。。。。。
那么问题来了，，，，，，，怎么才华获得这些信息。。。。。。。。众所周知，，，，，，，APT组织都喜欢玩捉迷藏的游戏，，，，，，，你想发明他们，，，，，，，总得费点功夫。。。。。。。。
提及来着实很容易，，，，，，，网络这些信息主要有两种要领：
第一种是“别人告诉你”，，，，，，，也就是通过网络果真的APT运动报告或者威胁情报共享的方法，，，，，，，获取APT组织的名字、使用的IP地点、域名whois或者恶意代码这些信息； ；；； ；； ；除此之外，，，，，，，组织还可以购置一些商业威胁情报。。。。。。。。
需要强调的是，，，，，，，万万不要忽略果真信息的主要性，，，，，，，基于开源威胁情报举行APT组织追踪，，，，，，，同样是一个很是主要的要领。。。。。。。。并且，，，，，，，现在没有一个平台有能力网络APT剖析所需的所有基础数据，，，，，，，以是多平台团结使用相互参照增补是合理的做法。。。。。。。。
第二种是“自己告诉自己”，，，，，，，也就是依赖工具（如EDR、沙箱、DNS剖析工具等），，，，，，，纪录应用程序的网络行为，，，，，，，包括和会见了哪些IP地点等。。。。。。。。
但着实这两种要领可以归结成一种要领，，，，，，，无论是别人的照旧自己的，，，，，，，都是依赖工具的纪录。。。。。。。。
“以是，，，，，，，APT的关联剖析，，，，，，，需要海量的历史数据积累和强盛的信息网络和手艺平台支持。。。。。。。。”汪列军说。。。。。。。。
没有金刚钻，，，，，，，还真揽不了这个瓷器活。。。。。。。。
提及信息网络能力，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!照旧有几样能拿得脱手的“绝活”。。。。。。。。
第一，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!天眼。。。。。。。。作为一款高级威胁检测和清静态势感知的产品，，，，，，，天眼拥有强盛的全包存储能力，，，，，，，能够将网络上视野规模内的TCP会话纪录、邮件运动、DNS交互、URL会见、文件下载都能够纪录并存储下来。。。。。。。。
第二，，，，，，，红雨滴云沙箱。。。。。。。。它能够基于QOWL反病毒引擎和文件深度扫描系统，，，，，，，对可疑文件举行深度动态扫描，，，，，，，并把文件的所有行为如建设历程、注册表以及毗连外网IP等都纪录并存储下来。。。。。。。。
第三，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!清静DNS。。。。。。。。它能为用户提供DNS剖析效劳，，，，，，，并判断所剖析的域名以及对应的IP地点是否保存威胁。。。。。。。。仅2021年6月，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!清静DNS已对公众提供域名剖析效劳570亿次，，，，，，，剖析域名近2亿，，，，，，，阻挡威胁域名请求1800万次，，，，，，，涉及威胁域名15万。。。。。。。。
至于其他的绝活，，，，，，，这里就纷歧一枚举了。。。。。。。。
“甜蜜的懊恼”
——自动化剖析工具不可或缺
关于APT运动剖析来说，，，，，，，没有数据网络渠道自然是万万不可的，，，，，，，可是当你网络到的数据太多，，，，，，，虽然能看到很是多的APT运动细节，，，，，，，可是同样会带来“甜蜜的懊恼”：看不过来了（脑补一下拼图游戏，，，，，，，10000个碎片起的那种）。。。。。。。。不过，，，，，，，在最最先的时间，，，，，，，并不是所有的信息都一股脑摆在剖析师的眼前。。。。。。。。APT运动的关联剖析，，，，，，，往往是从一小撮信息最先的，，，，，，，需要通过一直的关联拓展，，，，，，，最终形成一块完整的拼图。。。。。。。。有果真统计显示，，，，，，，绝大大都的恶意软件会使用DNS协议，，，，，，，好比回连一个以Domain/URL泛起在互联网上的的C2地点、使用一个Domain/URL作为投递地点（挂马、垂纶等等）。。。。。。。。以是，，，，，，，当剖析师使用EDR或者沙箱捕获了一个恶意软件之后，，，，，，，很或许率能够通过DNS剖析纪录，，，，，，，追踪到该软件外连的域名，，，，，，，再继续该域名举行whois盘问，，，，，，，找出域名注册信息，，，，，，，同时关联到其他相关的域名，，，，，，，而这些相关的域名又可以通过DNS剖析信息，，，，，，，追踪到更多尚未被捕获的恶意软件……最终将所有攻击运动查个水落石出。。。。。。。。
举个很是形象的例子：当你发明一张桌子的时间，，，，，，，你可以通过手艺手段找到这张桌子的主人是谁； ；；； ；； ；再通过询问主人，，，，，，，发明他不但有其他桌子，，，，，，，尚有不少椅子，，，，，，，并且这些桌子和椅子都有谁用过。。。。。。。。
由于需要同时跟踪大宗的数据，，，，，，，一个自动化的基于规则或模子的工具平台是必需的。。。。。。。。它能够把这些数据，，，，，，，凭证一定的规则给关联起来。。。。。。。。
在浏览器地点栏输入ti.qianxin.com这12个英文字母后，，，，，，，你就可以会见到这样一款工具——意昂体育-科技赋能场景,让娱乐更有趣!Alpha威胁剖析平台。。。。。。。。
汪列军说，，，，，，，该平台搜集了全球数百个威胁情报源和意昂体育-科技赋能场景,让娱乐更有趣!多个清静研究团队的APT事务发明、跟踪效果，，，，，，，提供基于情报实时、精准发明要害威胁的能力。。。。。。。。
回到文章开头谁人APT攻击的案例。。。。。。。。在提取到垂纶域名之后，，，，，，，剖析师们很快在Alpha威胁剖析平台上查到了它的whois信息，，，，，，，治理员邮箱一目了然，，，，，，，并且其相关域名有10个。。。。。。。。
让剖析师们惊喜的是，，，，，，，在所有相关的域名中，，，，，，，除了已知的恶意域名之外，，，，，，，还发明了一个新的恶意域名。。。。。。。。
Alpha威胁剖析平台的恶意域名标签显示，，，，，，，这些已知域名来自毒云藤组织。。。。。。。。
……
经由一系列的关联剖析，，，，，，，所有的细节一目了然。。。。。。。。
有趣的是，，，，，，，当剖析师将此次攻击者投递的木马，，，，，，，与之前追踪的毒云藤组织的恶意软件的代码比照后发明，，，，，，，二者出奇的一致，，，，，，，垂纶页面也大致相同，，，，，，，能看出来是统一个团伙开发的。。。。。。。。
“你知道吗？ ？？？？？？？用这12个英文字母，，，，，，，我们已经围观了凌驾46个APT团伙的种种运动姿势，，，，，，，其中13个是我们首先发明并围观的，，，，，，，并且一连宣布了凌驾90篇APT组织的跟踪报告。。。。。。。。”汪列军说。。。。。。。。
本期叨主：魏开元清静圈“首席编剧”，，，，，，，写点小故事还原网络攻防一线的明枪冷箭
连忙拨打
京公网安备11000002002064号