科技 technology
您现在所在的位置首页 > 科技 > APT组织档案馆|2021年度APT组织活动态势分析

新闻

发布三份重要研报!第三届数字信任大会成功召开 发布三份重要研报!第三届数字信任大会成功召开

构建AI驱动的数字信任新生态、探索数据治理和伦理的新实践、推动产学研一体化合作新机制……6月15日,第三...

  • 拥抱春天,品味精彩人生,开启五一假期之旅!

    春日繁花盛景不可辜负,现在的北京春和景明,春花竞相绽放,“踏青赏花”成为市民旅游出行和社交讨论热点;赏花景区、出行的选择更加丰富,多样化赏花模式“吹暖”春日旅游热潮。 清凉谷景区 密云清凉谷景区的山桃...

  • 家佳康安心守护,国家队运动员年夜饭不简单

    【2024年2月2日,北京】家佳康从2019年开始成为“体育·训练局国家队运动员备战报保障产品”,一直为运动健儿们提供安全、健康的肉食保障。正值2024巴黎奥运会备战周期,家佳康携手国家体育总局训练局在农历小年送上...

  • 营销与经营深度一体,巨量引擎助力品牌撬动全渠道增长

    过去十年,中国企业在数字营销上的投入快速增长。根据eMarketer的数据,2023年国内数字广告的投入将达到1361亿美元,增长14.8%。数字营销已经成为品牌方最大的经营成本之一。面对如此巨大的投入,品牌方的管理层...

  • 中国智慧工程研究会智慧女性教育工作委员会筹委会...

    为提高女性的综合素质,提升女性智慧才能,推动女性教育事业发展,做好智慧女性教育和服务工作,2023年12月7日,中国智慧工程研究会智慧女性教育工作委员会筹委会第一次会议在北京会议中心正式举行,出席中国智慧...

  • 故宫博物院与周大福珠宝集团 战略合作签约仪式在京...

    12月5日上午,故宫博物院与周大福珠宝集团战略合作签约仪式在故宫博物院故宫文化资产数字化应用研究所举行。文化和旅游部党组成员、故宫博物院院长王旭东,国际儒学联合会常务副会长、原文化部副部长丁伟,国际儒...

商业

凯德广场·金牛发布首份商业白皮书 献礼凯德入华三十载 凯德广场·金牛发布首份商业白皮书 献礼凯德入华三十载

2024年5月24日,凯德广场·金牛面向市场首次发布单体商业项目发展白皮书。金牛区商务局、金牛坝科技服务...

  • 天坛精板闪耀2024天津国际家居博览会

    2024年5月17日,备受瞩目的2024天津国际家居博览会迎来了一场家居行业的盛事——“经典板材,天坛之选--暨天坛精板官宣推介会”。此次推介会不仅吸引了众多业内人士和消费者的目光,更得到了行业领导及业内同仁的高度关...

  • 金隅天坛家具闪耀天津家居博览会 引领以旧焕新新风尚

    2024年5月16日至19日,天津国际家居博览会在天津国家会展中心如火如荼地举行。金隅天坛家具以“时空臻享,焕美天坛”为主题,携旗下众多品牌亮相展会。 金隅天坛家具的展区设计灵感源自中国传统的庭园建筑,巧妙地将...

  • 牧高笛MOBI GARDEN亮相2024世界品牌莫干山大会,持...

    ​   2024年5月10日,浙江德清——近日,由新华通讯社、中国品牌建设促进会指导,新华社品牌工作办公室、中国国家品牌网主办的2024世界品牌莫干山大会系列活动于浙江省湖州市德清县盛大开启,牧高笛M...

  • 中国品牌高质量发展,昆仑山矿泉水以卓越品质助力...

    十年寻水,以梦启航,昆仑山致力于让更多国人喝上高品质矿泉水,为推动中国矿泉水品牌走向世界接续奋斗。第八个中国品牌日来临,随着消费者对生活品质的提高与健康需求提升,品牌引领地位日益提升,昆仑山矿泉水坚守昆...

  • 越秀北京|香山樾 2024年,北京值得入手的豪宅选品

    01 俯仰香山 盛世之上的时代经纬 香山别墅区位处西山,集萃国脉、文脉、福脉等于一身,汇聚顶阶城市资源。周边颐和园、静宜园、静明园、畅春园、圆明园等五大园囿,浸润六百年皇家审美,香山公园、森林...

APT组织档案馆|2021年度APT组织活动态势分析

发布时间:2022/02/12 科技 浏览:132

近日,绿盟科技联合广州大学网络空间先进技术研究院联合发布2021年《APT组织情报研究年鉴》,该年鉴借助网络空间威胁建模知识图谱和大数据复合语义追踪技术,对全球372个APT组织知识进行了知识图谱归因建档,形成APT组织档案馆,并对APT组织活动进行大数据追踪,从而对2021年度新增和活跃的攻击组织的攻击活动态势进行分析。目前该年鉴所涉及的相关情报和技术已经应用在绿盟科技的威胁情报平台(NTIP)和UTS、IDS、IPS等多个产品中,并支撑网络安全检查以及重大活动保障等活动,取得了非常不错的成绩。

本文为《APT组织情报研究年鉴》精华解读系列文章之一,本篇主要介绍年鉴中提到的绿盟科技2021年基于爬虫框架和知识图谱自然语言处理技术,从全球100多个开源情报源新采集到的APT组织(新增APT组织)和被监测到有活跃迹象的APT组织的总体态势情况,以及在年鉴中呈现的APT组织信息情况。

一.  宏观态势

基于绿盟科技云端服务2020年9月至2021年9月数据,从情报新增以及活跃监控发现的120个APT组织,可以总结出整个APT宏观态势具有如下特征:

 亚洲是APT组织重点关注的区域,共22个国家遭受超过54次APT组织发起的攻击活动。其中中国(包括中国台湾和中国香港)就遭受12个组织的攻击,并且集中于政府、国防领域,从总体上看APT组织主要的意图仍以间谍活动、敏感信息窃取为主。

 APT攻击的伪装技术的发展导致APT归因的复杂性增大,从而使得对APT组织的归因结果并不准确;已发布的APT报告显示,归因于我国的APT组织数量逐年增高,2021年新增的63个APT组织中有9个被国外研究机构归因于我国,有4个归因于俄罗斯,但是同期,归因为美国的组织却只有1个。随着伪装技术的发展(比如ATT&CK战术(tactic)中TA0005就是“防御规避”,技术(technique)中T1036就叫做“伪装”),越来越多的伪装嫁祸使得难以从技术角度进行APT的归因。被伪装嫁祸的典型是朝鲜Lazarus Group,2021年一共披露了70份相关报告,新增IOC(IP:12,域名:324,邮箱:10,链接:410,哈希:1129,漏洞:5)数量远超正常。从应急和分析结果来看,攻击我国的APT组织经常伪装模仿APT32海莲花的战术战法。从这个方面也说明我们需要加强传统上攻击目标不是中国的APT组织的防护并提升归因相关研究的国际影响力。

 供应链攻击开始成为APT组织的常用攻击手段,由于大部分的企业没有对供应链攻击做好充足的准备,导致类似案例均造成比较大的影响。如SolarWinds供应链攻击事件中根据官方提供的客户清单,影响超过98个企业,波及政府、咨询、技术、电信石油和天然气等行业;另一起针对BigNox的NoxPlayer模拟器供应链攻击更是影响全球超过1.5亿的用户。

 以经济利益为主要攻击意图的APT组织占比逐渐提高,新发现的63个组织中有14个以此为活动目标,主要的表现形式为勒索、挖矿,比较新型的获益形式则是出售受害目标单位的访问权限,如UNC1945组织和TA547组织,这类组织在获取受害单位权限前后表现出截然不同的攻击技术手段以及攻击意图的差别。

 恶意软件即服务(MaaS)在APT组织中逐渐流行,除了降低APT组织攻击成本之外还加大了攻击者归因的难度。以TA系列组织为例包括:TA569、TA800、TA577、TA551、TA570等,在初始阶段使用Trick、Dridex、Qbot、IcedID、ZLoader、Ursnif等恶意软件感染尽可能多的受害单位,第二阶段才分发WastedLocker、Ryuk、Egregor、Maze、Sodinokibi、ProLock等勒索软件实现其攻击意图。

二.  新增APT组织

基于聚合的博客、公众号等180个情报源,2020年10月至2021年9月期间,绿盟科技新增采集APT组织63个,从309个增长至372个,数量增长了约20%,平均每个月新增APT组织约5个,如下图所示:

APT组织情报新增趋势

从APT组织地理归属上看,41个(约占65%)APT组织未能进行有效的国家归因,归因于中国和俄罗斯的APT组织最多,分别为9个和4个,需注意的是,目前APT组织的国家归因复杂性非常高,部分报告披露的归因证据其实并不充分,存在误判和嫁祸的可能性。APT地理组织分布如下图所示

APT组织地理分布

可归因至确切国家的APT组织共22个,且主要分布在亚洲(共15个,占68%),其次分布在欧洲和非洲,分别为6个和1个。

APT组织地理分布(去除未知)

三.  活跃APT组织

基于绿盟科技云端上下文感知计算的APT组织追踪技术,2020年10月至2021年9月期间,共监测发现57个APT组织的活跃线索,平均每个月活跃组织约19个。其中从2020年12月至2021年2月这三个月期间APT组织极为活跃,三个月平均活跃组织将近30个。

APT组织活跃态势

监测的57个APT组织中,最为活跃的10个组织分别为:TA505、Lazarus Group、MUMMY SPIDER、Viceroy Tiger、APT37、Sofacy、Mirage、OrangeWorm、TeamSpy Crew、Kimsuky,活跃月份均超过六个月。其中TA505和Lazarus Group在过去一年每个月均发现活跃线索,其次是MUMMY SPIDER和Viceroy Tiger,仅一个月没有监测到其攻击活动。

APT组织活跃月份数

四.  APT组织图鉴介绍

在年鉴中,我们将2021年新增采集到的63个APT组织和活跃的56个APT组织按照绿盟科技构建的APT组织档案馆结构进行了统计性的呈现,以APT32(海莲花)为例:

6.jpg

7.jpg

1644570919117932.png

在表格右上方是按照钻石模型对APT组织进行各个维度的统计信息呈现,表格最下方这是呈现该APT组织在绿盟科技云端APT知识图谱中进行图可视化的情况,展现了该组织关联的各类威胁知识的情况。图鉴中所有APT组织均按照上表格式进行呈现,表格主体部分主要描述了APT组织名字、别名;历史上攻击的目标国家、行业;APT组织首次发现时间、最近活跃时间;动机和描述信息。

详细的分析内容和攻击组织信息可以直接参考完整的《APT组织情报研究年鉴》