Virus Bulletin 2023 议题慢递

Virus Bulletin 也是老牌会议，从 1991 年就开始举办，历经三十余载。2023 年的 VB 是在英国伦敦举办的，为期三天。各国各公司的安全专家齐聚一堂，分享对全球威胁的理解与发现。

若是通过本文的介绍，或者是查看官网议程安排后，对其中某些议题感兴趣的话，就可以在官网下载议题对应的材料进行扩展阅读。（PS：笔者根据自身的认知局限与好恶为部分议题打了推荐查看的星级，不代表对议题实际内容高下的评判，只是为部分时间宝贵的读者再节约些时间，这部分议题相对来说可能更加值得一看。例如趋势科技讲针对 Electron 的定向攻击，去年趋势科技已经在各种会议上讲过不知道多少次了，就不在这里再介绍了。）

构建网络安全 AI 数据集⭐⭐⭐

由于人工智能训练需要大量、高质量的数据，个体和私营部门又存在数据局限，韩国互联网安全局（KISA）旨在从政府层面建立开放 AI 数据集尽量避免因数据缺乏阻碍技术创新。

2018 年 12 月，韩国互联网安全局依托韩国应急响应中心（KrCERT/CC）建立网络安全大数据中心。该部门旨在与私营部门共享信息，加强私营部门的能力，提高应对入侵的能力。2018 年成立时，网络安全大数据中心拥有 1.9 亿条 IoC 数据。2021 年，网络安全大数据中心启动网络安全 AI 数据集建设。数据集中融合入侵事件、恶意软件、存在漏洞的源代码、IoC、攻击组织、威胁类型等数据，共计 14 亿条。

韩国互联网安全局（KISA）对网络安全 AI 数据集的远景规划如下所示：

安全领域此前也有 AI 数据集，像微软和 Kaggle 的 Big-2015、Elastic 的 EMBER 和 Sophos 的 SOREL-20，但标记恶意与否和实际应用还存在很远的差距。目前已经整理的数据集如下所示：

采用“人工+智能“的方式构建数据集，构建过程如下所示：

从各种渠道收集种子信息，例如 APT 组织、僵尸网络、勒索软件家族、社会热点问题等。

再基于种子信息进行多维信息关联：

不同文件类型提取的元数据字段，如下所示：

网络侧元数据的信息如下所示：

多类数据都涉及规范化，以威胁类型和 TTP 为例：

数据集已经涵盖 24 种文件类型，如 APK、iOS、ELF、PDF、DOC、EXE 和 DLL。数据集的量已经很大：

为了支撑数据集用户建模使用，数据集提供了各种特征数据：

和已有数据集比较，具体如下所示：

通过历史数据也许可以看出未来威胁的趋势：

数据集使用示例如下所示，有三家公司参加了实验，分别用于 EDR、UTM 和反垃圾邮件系统。

攻击组织识别的验证结果如下所示：

攻击 TTP 识别的验证结果如下所示：

大象舞步永不停歇⭐⭐⭐

这是来自卡巴斯基的议题，介绍来自印度方向的 APT 组织 Dropping Elephant（后用国内常用叫法：摩诃草/白象），过去的一年该组织异常活跃。研究人员发现，该组织会开发大量测试样本文件来测试检测逃避情况，不同样本的编译间隔时间只有几分钟。为避免攻击者故意诱导，卡巴斯基检查了样本文件的编译时间与检测时间，大体上是吻合的，所有分析人员认为编译时间戳是可靠的。

从上图可以看出 2021 年 10 月，该组织发起了一波十分密集的攻击。从 24 小时（GMT）划分来看毫无头绪：

但如果按照印度方向修正时区为GMT+5，就能发现稳定的规律：“攻击者在 9:00 开始工作、13:00 开始午餐、18:30 左右停止工作“。国家级 APT 组织都不加班加点搞窃密，竟然还按点上下班。

”其实我对你是有些失望的，当初给你定级 APT 是高于你的实际技术水平的。我是希望日后你能够拼一把，快速成长起来的。APT 这个层级，不是光搞搞窃密就可以的，需要有体系化思考的能力。你开发的后门，它的价值点在哪里？是否做够了混淆和反检测，形成了核心竞争力？你开发的恶意软件，和世界上其他 APT 组织的差异化在哪里？你的攻击 TTP，是否沉淀了一套可复用的方法论？为什么这个密是你来窃，其他 APT 组织不能窃吗？我希望看到你的思考，而不仅仅是进度“。印度情报机构说不定策反几个高 P 去主导恶意软件开发，如果一年后该组织的水平一日千里，那国家安全部门要引起重视（不是。

分析过程中发现攻击者使用了新证书，研究人员认为多半是冒充合法网站通过合法渠道申请，或者是直接从合法公司窃取的证书。通过证书，卡巴斯基发现了更多的样本文件。其使用到的攻击基础设施如下所示：

APT 37 的安卓武器库⭐⭐⭐

APT 37（又名 Scarcruft）被认为是朝鲜黑客组织，自从 2016 年来一直保持活跃。典型的恶意 App 如下所示：

对于攻击方式的内容，感兴趣的研究人员可以去查看原文。值得注意的是，Scarcruft 组织使用诸多手段加强了针对中国的攻击，例如：

Scarcruft 在各国使用 Firebase 进行消息传递，唯独在中国为应对中国制造的移动设备转而使用 Pushy 维持稳定攻击。

Clugin会特定窃取来自微信的数据。

攻击者安装 VPN 应用程序绕过 GFW，安装能处理中文的翻译应用程序。

另外一些值得注意的点，攻击者使用三星 Galaxy Core Mini 4G 手机进行测试。图像的元数据表明制造商是平壤，可能是朝鲜自己制造的智能手机。

基于意图的电子邮件账户失陷检测⭐⭐

BEC 诈骗中，攻击者经常利用失陷的电子邮件账户发送钓鱼邮件。2022 年，IC3 一共接到 21832 起有关 BEC 诈骗的报告，总计造成了 27 亿美元的损失。

检测失陷电子邮件账户有以下几种方式：

利用算法分析Office 365 的日志，通过分析 UserId、UserAgent、ClientIp、Operation 等数据检测登录异常发现失陷账户。
利用 XDR 与回溯性判定进行检测。电子邮件发送给最终用户后如果确定为恶意将会从邮箱撤回，在 XDR 平台中检查收件人是否已经提交凭据，确认电子邮件账户是否失陷。
基于意图进行检测。基于发件人的行为和电子邮件的特征，检测电子邮件账户是否失陷。

基于意图检测的基本架构如下所示：

首先使用基于意图的预过滤器进行扫描，对 BEC 诈骗常用的高频词汇进行启发式匹配。示意如下所示：

通过预过滤器将 2000 万封电子邮件筛选出 4000 封，再提取所有 URL 中域名和证书。如果域名位于 TOP 1M 中，则认为是良性的。那些创建不到六个月、一年内过期、没有 Name Server、没有 whois 服务器的，则是很可疑的。URL 本身，是否存在重定向、是否使用 URL 缩短服务、是否为文件共享服务或者云服务（Google Forms、Google Draws、DocuSign、JotForm、Square等）也是高度可疑特征。

拉取发件人过去 90 天的历史邮件发送记录，计算诸多特征。当天电子邮件发送量：

计算抄送、密件抄送和收件人列表，查看发送到唯一新收件人的数量。

解析X-Originating-IP 或 X-MS-Exchange-Organization-OriginalClientIPAddress 来获取原始客户端 IP 地址，利用 Too Fast Too Soon 算法/GMM 聚类算法确认 IP 是否存在异常。

最后通过关联引擎进行综合判断：

信息窃密程序的生态系统⭐⭐

信息窃密程序（Stealer）已经越来越普及，随着恶意软件即服务（MaaS）的蓬勃发展，该种类恶意软件的威胁日益增长。不仅是普通的攻击者在使用，APT 组织如 Sandworm 也使用 Rhadamanthys 进行攻击。

信息窃密程序有一些基本概念，如下所示：

Traffer：将用户流量重定向到攻击者，进行恶意软件分发。
Build：生成具有唯一标识符的窃密程序，信息回传到攻击者的Telegram 账户。
Crypter：对恶意软件进行加密，逃避安全检测。
Installs：引诱用户下载恶意软件。
Logs parsing：查看日志并识别感兴趣的内容。
Logs processing：分析日志的过程。
Knock time：恶意软件执行成功的概率。
911：指定感染链。

恶意软件即服务（MaaS）在网络犯罪生态系统中已经演变成为高度专业化的生意，买卖双方各司其职。

以恶意软件即服务（MaaS）模式售卖的典型信息窃密程序，如下所示：

典型的 Traffer 组织架构如下所示：

911 感染链：

SEO 投毒感染链：

分析人员跟踪新兴信息窃密程序的方法如下所示：

根据 URL 相似结构/状态码和标题不一致等特征跟踪全网活跃的 C&C 服务器，仅一个月就快速攀升到 40 台服务器在线。

Web 3 中 IPFS 的威胁⭐⭐

2015 年，去中心化点对点文件共享系统 IPFS 横空出世。关于 IPFS 的具体内容不加赘述，与 Web 3 有关的内容相当庞杂。此处只聚焦于 IPFS 威胁：

IPFS 网络钓鱼通过将 IPFS 网关 URL 嵌入电子邮件中，目前还没有发现对 ipfs:// 或 ipns:// 的使用。主要是由于浏览器尚未支持，一旦主流浏览器正式支持，犯罪分子很可能会迅速启用。
在 IPFS 上部署恶意软件会难以被清除，而且如果沙盒没有针对 IPFS 做特别监控很有可能绕过所有安全检测措施。

根据 Weizenbaum Institue 发布的 IPFS 网络统计数据，大概 1.6 万个节点在线。

分析人员跟踪 IPFS 网关的使用情况如下所示：

IPNS网关的使用情况如下所示：

尽管流量不大使用情况不多，网络钓鱼一直在稳步增长：

Turla 和 Sandworm的无文件攻击⭐⭐

Turla 和 Sandworm 的攻击细节不多加介绍，演讲者提到了关于无文件攻击本身倒是值得一说。无文件威胁一共分为三类：① 不存在任何文件写入 ② 不直接写入文件但而可能会间接使用文件 ③ 通过文件实现持久化。

最早的无文件威胁是 1981 年的 Elk Cloner，针对 AppleⅡ 电脑感染引导区。

1986 年的 Brain，针对 IBM 电脑感染引导区并将磁盘名称更改为© Brain。

2003 年的 Slammer 蠕虫，利用 MS SQL Server 2003 的漏洞进行攻击。恶意软件只留存在计算机内存中，并不复制到硬盘上。仅仅 10 分钟，全球超过 12 万台计算机就被感染。

大规模检测 C&C 框架⭐

VMware 开发了名为 C2F2 的 C&C 检测框架，提供插件化的方式扩展支持各种 C&C 框架。业界此前对 C&C 的检测集中在通信模式与特定的签名上，网络犯罪分子开始转向使用不太知名的框架进行 C&C 通信，或者通过各种混淆方式逃避检测。VMware 期望通过大规模数据集，利用机器学习分析 C&C 框架通信。

保持活跃的 C&C 框架就超过 120 个，SANS Institute 从 2020 年开始维护名为 C2 Matrix 的清单。研究人员从中选出了 10 个典型的 C&C 框架，如下所示：

利用这 10 个框架生成了 9950 个恶意样本，另外收集了 1980 个良性样本和 1026 个恶意样本。

利用深度学习进行分类，恶意检测准确度为 98%、恶意分类准确度超过 99%。

安全 USB 设备真的安全吗？⭐

议题由卡巴斯基带来，研究人员发现针对亚太地区政府进行持续攻击的黑客组织，但截至目前尚未有效归因。该组织攻击技术十分精湛，甚至能够对硬件加密的安全 USB 设备进行攻击。硬件加密的 USB 设备存在受保护的分区，该分区只能通过名为 UTetris.exe 的定制化软件才能访问。软件存储在 USB 设备的未加密分区中，其需要用户输入密码才能访问。攻击者持续开发了多个复杂恶意软件，攻击也持续了多年：

其传播方式很容易理解，但相关恶意软件其实相当隐蔽且复杂。

攻击者对目标 USB 设备非常熟悉，了解 USB 设备的默认密码、最大密码尝试次数（默认为 10 次）以及 USB 驱动器受保护分区的特定偏移量。

攻击者技巧高超，深谋远虑。不仅使用 SCSI 命令与 USB 设备进行低级通信，还通过 USB 设备进行自我复制并完成隔离系统的数据传入传出。

RedStinger：俄乌冲突中的新 APT 组织⭐

研究人员在俄乌冲突时发现了一个针对乌克兰进行定向攻击的 APT 组织，该组织最早在 2016 年就已经崭露头角。

尽管诱饵都是乌东地区的相关话题，但研究人员发现的受害者位于乌克兰中部。其中还有军事机构中的受害者，尽管只持续了数小时，很有可能是乌克兰军方发现了入侵行为。而另一名关键基础设施的受害者，则一直处于长期监控下。

分析人员还发现了名为 TstSCR 和 TstVM 的受害者，应该是攻击者进行测试留下的痕迹。从屏幕截图来看，攻击者操作系统为英语令研究人员感到奇怪。

攻击者使用 Visual Studio 进行恶意软件开发，源码泄露了一些内外部使用的 IP 地址与密码等。

暗网论坛不会永远隐身⭐

2022 年 1 月 31 日，RaidForums 的运营者在英国被捕。随后，许多 RaidForums 用户迁移到了 Breached 论坛。但 2023 年，Breached 论坛的运营者也在美国纽约被捕。

Flashpoint 研究发现暗网论坛有属于自己的生命周期：最初创建时会进行促销活动以吸引用户，随着活跃用户激增论坛会继续扩大运营规模，最后面临着被关闭的命运。

2021 年开始，暗网论坛的帖子数量急剧增长。