安天對(duì)這一系列針對(duì)中國(guó)教育、科研、軍事等領(lǐng)域的攻擊行動(dòng)，進(jìn)行了近四年時(shí)間的持續(xù)監(jiān)測(cè)、捕獲、跟蹤、分析，并發(fā)布本報(bào)告。在安天過(guò)去多次的會(huì)議報(bào)告中如《APT的線索、關(guān)聯(lián)與樣本集度量》、《A2PT與“準(zhǔn)APT”事件中的攻擊武器》中，曾對(duì)其 “第一攻擊波”做過(guò)較為詳細(xì)的介紹，稱(chēng)之為輕量級(jí)的APT攻擊，但令人扼腕的是，這種輕量級(jí)的攻擊，對(duì)中國(guó)的信息系統(tǒng)依然形成了有效侵害。而從第二攻擊波中，可以看到其攻擊能力水平的快速成長(zhǎng)，以及帶來(lái)的更全面的威脅。

白象一代攻擊特點(diǎn)

　　2012年——2013年，安天陸續(xù)捕獲了來(lái)自白象組織的多次載荷投放，此后依托關(guān)聯(lián)信息同源分析，找到了數(shù)百個(gè)樣本，這些樣本多數(shù)投放的目標(biāo)是巴基斯坦，少數(shù)則針對(duì)中國(guó)的高等院校和其他機(jī)構(gòu)。隨后安天逐步對(duì)其進(jìn)行了披露，并在2014年完成報(bào)告《白象的舞步——HangOver攻擊事件回顧及部分樣本分析》。

　　為區(qū)分兩個(gè)不同的攻擊波，安天將2012——2013年高度活躍的這組攻擊稱(chēng)為 “白象一代”。“白象一代”投放了至少近千個(gè)不同HASH的PE樣本，使用了超過(guò)500個(gè)C&C域名地址；其開(kāi)發(fā)人員較多，開(kāi)發(fā)團(tuán)隊(duì)技能混雜，樣本使用了VC、VB、。net、Autoit等多種環(huán)境開(kāi)發(fā)編譯；同時(shí)其未使用復(fù)雜的加密算法，也未發(fā)現(xiàn)使用0day漏洞和1day的漏洞，而更多的是采用被部分中國(guó)安全研究者稱(chēng)為“亂扔EXE”的簡(jiǎn)易社會(huì)工程學(xué)——魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)攻擊。PE免殺處理是該攻擊組織所使用的主要技巧，這也是使這組攻擊中的PE載荷數(shù)量很大的原因之一。根據(jù)以上情況安天把這組攻擊劃分為輕量級(jí)APT攻擊，即缺乏足夠的0day儲(chǔ)備，很少使用0day；二進(jìn)制載荷編碼質(zhì)量非常低下；嚴(yán)重依賴(lài)網(wǎng)絡(luò)投放；沒(méi)有采用必要的Rootkit手段；缺少必要的持久化能力；主要針對(duì)Windows系統(tǒng)平臺(tái)作業(yè)的APT。

白象二代攻擊特點(diǎn)

　　2015年年底，安天又發(fā)現(xiàn)一組來(lái)自“西南方向”的攻擊在進(jìn)一步活躍，主要目標(biāo)依然是中國(guó)和巴基斯坦，通過(guò)安天監(jiān)控預(yù)警體系分析可以發(fā)現(xiàn)，中國(guó)的受攻擊者主要為教育、軍事、科研等領(lǐng)域。而且此次攻擊已擺脫了“白象一代”雜亂無(wú)章的攻擊手法，整體攻擊行動(dòng)顯得更加“正規(guī)化”和“流程化”，安天將這組攻擊稱(chēng)為“白象二代”。

　　“白象二代”普遍使用了具有極高社工構(gòu)造技巧的魚(yú)叉式釣魚(yú)郵件進(jìn)行定向投放，至少使用了CVE-2014-4114和CVE-2015-1641等三個(gè)漏洞；其在傳播層上不再單純采用附件而轉(zhuǎn)為下載鏈接、部分漏洞利用采取了反檢測(cè)技術(shù)對(duì)抗；其相關(guān)載荷的HASH數(shù)量則明顯減少，其中使用了通過(guò)Autoit腳本語(yǔ)言和疑似由商業(yè)攻擊平臺(tái)MSF生成的ShellCode；同時(shí)其初步具備了更為清晰的遠(yuǎn)程控制的指令體系。從整體上來(lái)看，“白象二代”相比“白象一代”的技術(shù)手段更為高級(jí)，其攻擊行動(dòng)在整體性和技術(shù)能力上的提升，可能帶來(lái)攻擊成功率上的提升。而其采用的更加暴力和野蠻的投放方式，使其攻擊次數(shù)和影響范圍遠(yuǎn)遠(yuǎn)比“白象一代”更大。”

　　APT防御需要信息化基本環(huán)節(jié)和安全能力的共同完善在過(guò)去數(shù)年間，中國(guó)的信息系統(tǒng)和用戶(hù)遭遇了來(lái)自多方的網(wǎng)絡(luò)入侵的持續(xù)考驗(yàn)，從安天針對(duì)“白象”的分析可以看到，來(lái)自地緣利益競(jìng)合國(guó)家與地區(qū)的網(wǎng)絡(luò)攻擊，將是中國(guó)信息化的重大風(fēng)險(xiǎn)和挑戰(zhàn)。同時(shí)，“白象”系列攻擊也反映出了我國(guó)在網(wǎng)絡(luò)安全防御上的種種不足。

　　首先可以看到中國(guó)在信息化發(fā)展上的不足，在“白象二代”組織所投放的目標(biāo)電子郵箱當(dāng)中，其中很大比例是免費(fèi)個(gè)人郵箱，而國(guó)內(nèi)免費(fèi)信箱的安全狀況已高度不容樂(lè)觀。在啟動(dòng)信息高速公路建設(shè)二十年后，國(guó)內(nèi)依然沒(méi)有對(duì)官方機(jī)構(gòu)和政務(wù)人員實(shí)現(xiàn)有效的安全電子郵件服務(wù)的覆蓋。

　　其次，還能看到中國(guó)大量基礎(chǔ)的信息安全環(huán)節(jié)和產(chǎn)品能力還不到位，“白象一代”曾被安天定性為輕量級(jí)APT攻擊，但卻成功入侵了中國(guó)的高等學(xué)府。“白象二代”組織盡管在手法上有很大提高，但亦未見(jiàn)其具備0day儲(chǔ)備，其所使用的三個(gè)漏洞，在為“白象組織”使用時(shí)，微軟已經(jīng)將其修補(bǔ)，而其中兩個(gè)并未經(jīng)過(guò)免殺處理。而類(lèi)似這樣的攻擊依然能夠大行其道，也是當(dāng)前補(bǔ)丁、系統(tǒng)加固等基礎(chǔ)安全環(huán)節(jié)不到位、產(chǎn)品能力不足的體現(xiàn)。

　　反APT是一種綜合的體系較量，要求對(duì)抗攻擊者在人員、機(jī)構(gòu)、裝備、工程體系方面的綜合投入，是一場(chǎng)成本較量。要求對(duì)抗攻擊者具有堅(jiān)定、持續(xù)的攻擊意志，既要有曝光對(duì)手的勇銳，也要有戍邊十載、不為人知的意志與沉穩(wěn)。說(shuō)到底大國(guó)防御力，由設(shè)計(jì)所引導(dǎo)、以產(chǎn)業(yè)為基礎(chǔ)、與投入相輔相成，但最終其真實(shí)水平，要在與攻擊者和窺探者的真實(shí)對(duì)壘中來(lái)檢驗(yàn)。