调查显示,77%的Rootkit用于间谍目的
2021-11-09 12:23:27 Author: www.freebuf.com(查看原文) 阅读量:25 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

全球网络安全公司Positive Technologies发布了一份新的调查报告,对过去10年臭名昭著的恶意软件——Rootkit进行了详尽分析。

Rootkit虽不是最常见的恶意软件类型,但根据过去发生的一些重大攻击事件表明,Rootkit一般都和木马、后门等其他恶意程序结合使用,起到拦截网络流量、监视用户、窃取登录凭据或劫持资源以执行DDoS攻击的作用,并对这些活动进行隐藏。

最主要目标为政府机构

研究发现,大部分Rootkit被APT(Advanced Persistent Threat,高级可持续威胁攻击)组织或出于经济动机的犯罪分子使用,其支出超过了成本,最常见的目标是政府和研究机构,77%的Rootkit被网络犯罪分子用于收集数据等间谍目的。

根据案例分析,44%的攻击针对政府部门,38%科研单位。这些机构的数据对网络犯罪分子往往具有重要价值。除此之外,电信、制造业、金融机构也是名列前茅。而56%的攻击被犯罪分子用来针对个人,包括高级官员、外交官等。

受攻击最多的 5 个行业(按 rootkit 攻击的份额)

而在动机方面,31%是出于经济利益,只有15%试图利用受害者的基础设施进行后续攻击。

Positive Technologies的安全分析师Yana Yurakova认为,Rootkit非常难以开发,尤其是运行在内核模式下。因此,它们要么由有强大技术实力的APT组织开发,要么由有财力的个人或组织在灰色市场上购买。

定制化的rootkit

该研究还发现,暗网论坛主要是用户级Rootkit的销售宣传地,这些用户级Rootkit通常用于大规模攻击。根据该报告,现成的Rootkit成本从45000美元到100000美元不等,具体取决于操作模式、目标操作系统、使用条款(如可租用的时间)以及一些附加功能,如远程访问、隐藏相关文件、进程及网络活动。

在某些情况下,开发人员会根据买方的需要提供定制的Rootkit。67%的宣传广告显示Rootkit倾向为Windows“量身定制”。这与研究结果相吻合,在分析的样本组中,为Windows系统制作的Rootkit占了69%。

各操作系统的的 rootkit 的份额,Windows占比69%

“尽管开发此类程序存在困难,但每年我们都会看到新版本的rootkit出现,其运行机制与已知恶意软件的运行机制不同。”Positive Technologies Expert Security Center (PT ESC)恶意软件检测主管Alexey Vishnyakov表示。“这表明网络犯罪分子仍在开发伪装恶意活动的工具,并提供绕过安全检查的新技术——新版本的Windows出现,恶意软件开发人员立即为其创建rootkit。我们预计Rootkit将继续被组织严密的APT组织使用,这意味着它不再只是为了破坏数据和获取经济利益,而是为了隐藏复杂的有针对性的攻击,这些攻击可能会给组织带来不可估量的后果,如直接禁用掉核电站、电网等关键单位的基础设施,以及政治上的间谍活动。”

可见,Rootkit的主要威胁仍将是掩盖那些复杂的、有针对性的攻击。为此,Positive Technologies 建议使用端点恶意软件检测工具和解决方案,例如PT Sandbox,它可以在安装和操作期间识别恶意软件。Rootkit 扫描程序、系统完整性检查和异常网络流量分析也将有助于检测Rootkit。

参考来源:

https://www.helpnetsecurity.com/2021/11/05/rootkits-espionage/

https://www.ptsecurity.com/ww-en/about/news/positive-technologies-report-examines-the-evolution-and-current-threat-of-rootkits/


文章来源: https://www.freebuf.com/news/304123.html
如有侵权请联系:admin#unsafe.sh