主要發(fā)現(xiàn)
2016年，網(wǎng)絡(luò)攻擊事件層出不窮。賽門鐵克發(fā)現(xiàn)，針對(duì)大型金融機(jī)構(gòu)與企業(yè)的攻擊數(shù)量出現(xiàn)急速增長(zhǎng)。在2016年，38%的金融威脅主要針對(duì)大型企業(yè)，Ramnit，Bebloh以及Zeus三大金融威脅家族主導(dǎo)了全球86%的金融木馬攻擊事件。日本、中國(guó)以及印度成為遭遇金融木馬攻擊的主要國(guó)家。不僅如此，APT組織正在將金融惡意程序用于更多的一般性攻擊。
隨著智能手機(jī)等移動(dòng)設(shè)備逐漸成為人們生活中不可或缺的工具，以及越來(lái)越多的交易認(rèn)證需要通過(guò)移動(dòng)客戶端及短信完成，賽門鐵克發(fā)現(xiàn)，針對(duì)移動(dòng)端的攻擊呈現(xiàn)出增長(zhǎng)趨勢(shì)，為了竊取用戶的身份憑證，至少170個(gè)應(yīng)用程序成為手機(jī)銀行惡意軟件的攻擊目標(biāo)。
消費(fèi)者與金融機(jī)構(gòu)所面臨的常見(jiàn)金融威脅
更多針對(duì)性攻擊將金融機(jī)構(gòu)作為目標(biāo)
盡管大多數(shù)網(wǎng)絡(luò)攻擊更加趨于針對(duì)任意目標(biāo)，并且通常以發(fā)起大規(guī)模攻擊為主，但在2016年，部分復(fù)雜性攻擊已將目標(biāo)從消費(fèi)者轉(zhuǎn)向金融機(jī)構(gòu)。賽門鐵克發(fā)現(xiàn)，2016年針對(duì)企業(yè)與金融機(jī)構(gòu)的攻擊數(shù)量出現(xiàn)明顯的上升。其中，針對(duì)環(huán)球銀行金融電信協(xié)會(huì)（SWIFT）會(huì)員的多起超大金額網(wǎng)絡(luò)搶劫案件引發(fā)了全球的關(guān)注。
2016年初，孟加拉銀行搶劫案成為金融攻擊中最典型的事件之一。該攻擊利用 “BandWift” 入侵了擁有SWIFT網(wǎng)絡(luò)訪問(wèn)權(quán)限的計(jì)算機(jī)，共造成8,100萬(wàn)美元的損失。賽門鐵克的調(diào)研表示，此次攻擊也是首次擁有明顯跡象表明民族國(guó)家參與金融網(wǎng)絡(luò)犯罪的案例，例如Lazarus攻擊組織。
在2016年，另一場(chǎng)針對(duì)全球金融機(jī)構(gòu)的網(wǎng)絡(luò)犯罪活動(dòng)中，名為“Trojan.Odinaff”的惡意程序遭到曝光。利用“Odinaff”程序的攻擊十分復(fù)雜并且需要大量手動(dòng)操作，這需要攻擊者能夠熟練地將一系列輕量級(jí)后門與專用工具部署于目標(biāo)計(jì)算機(jī)中。由此可以證明，該系列攻擊背后的網(wǎng)絡(luò)攻擊組織擁有專業(yè)的技術(shù)背景。在“Odinaff”攻擊中，攻擊者再次利用了銀行的安全漏洞入侵內(nèi)部網(wǎng)絡(luò)，并感染能夠訪問(wèn)SWIFT網(wǎng)絡(luò)的計(jì)算機(jī)與應(yīng)用，但SWIFT網(wǎng)絡(luò)自身并未受到攻擊與入侵。
以上攻擊案例均對(duì)國(guó)際金融系統(tǒng)的內(nèi)部工作流程進(jìn)行入侵，此類復(fù)雜性攻擊往往需要更長(zhǎng)時(shí)間去計(jì)劃及實(shí)施，成功率也相對(duì)較低，但一旦成功，網(wǎng)絡(luò)攻擊者便能夠獲得極高的利潤(rùn)。也正因如此，金融搶劫對(duì)于攻擊組織而言具有強(qiáng)烈的吸引力。值得一提的是，復(fù)雜性攻擊中所使用的技術(shù)，曾主要用于高級(jí)針對(duì)性攻擊。
實(shí)施攻擊所需的資源、知識(shí)和耐心，以及純粹為了博取名聲的原因都表明了，網(wǎng)絡(luò)犯罪已經(jīng)進(jìn)入了一個(gè)新的時(shí)代。
利用社交工程成為金融威脅的主要攻擊手段
在針對(duì)金融行業(yè)的攻擊中，沙箱躲避、無(wú)文件攻擊以及源代碼合并是網(wǎng)絡(luò)攻擊者所使用的主要攻擊策略。2016年，20%的惡意軟件能夠檢測(cè)并分辨虛擬機(jī)環(huán)境。與此同時(shí)，無(wú)文件（Fileless）的攻擊方式也越發(fā)得到攻擊者的青睞。
重新定向，Webinjects以及遠(yuǎn)程訪問(wèn)則成為2016年的主要攻擊手段。值得提出的是，由于越來(lái)越多的安全工具能夠檢測(cè)并阻止Webinjects，賽門鐵克去年觀察到，使用重定向攻擊代替本地入侵（inject）成為金融攻擊的主要趨勢(shì)之一。攻擊者會(huì)利用惡意軟件將網(wǎng)頁(yè)重新定向至遠(yuǎn)程站點(diǎn)，并在遠(yuǎn)程服務(wù)器中進(jìn)行流量替換及詐騙。賽門鐵克甚至發(fā)現(xiàn)傳統(tǒng)DNS重定向攻擊也開(kāi)始死灰復(fù)燃。
當(dāng)下，社交工程在大多數(shù)網(wǎng)絡(luò)攻擊中發(fā)揮了重要作用，這也包括針對(duì)金融行業(yè)的攻擊。無(wú)論是在入侵階段，還在是后期的多方認(rèn)證階段，攻擊者甚至無(wú)需任何惡意程序，只需要利用社交工程手段便可實(shí)現(xiàn)攻擊。其中，商務(wù)電郵詐騙（BEC）便是去年利用社交工程的主要詐騙手段。攻擊者通過(guò)向企業(yè)的財(cái)務(wù)部門發(fā)送電子郵件，以說(shuō)服其進(jìn)行轉(zhuǎn)賬付款。此外，賽門鐵克還觀察到，一些網(wǎng)絡(luò)釣魚(yú)郵件使用了個(gè)性化名稱，和其他從數(shù)據(jù)泄露中獲得信息，使其更加具有欺騙性，增加攻擊成功幾率。
針對(duì)ATM取款機(jī)、POS終端的攻擊并未消失，移動(dòng)終端成為下一個(gè)重要目標(biāo)
在2016年，針對(duì)ATM取款機(jī)和POS終端的攻擊數(shù)量持續(xù)增加。盡管ATM惡意軟件在10年前便已出現(xiàn)，但即便是現(xiàn)在，它們?nèi)耘f是十分有效的手段。面向ATM機(jī)的攻擊涉及不同層次的復(fù)雜程度，但值得一提的是，如今攻擊者甚至無(wú)需物理訪問(wèn)，同樣能夠?qū)TM取款機(jī)與POS終端發(fā)起攻擊。
2016年11月，F(xiàn)BI發(fā)出警告，Buhtrap攻擊組織能夠在不對(duì)ATM機(jī)進(jìn)行物理篡改的情況下，成功入侵金融機(jī)構(gòu)的內(nèi)部網(wǎng)絡(luò)，并向ATM取款機(jī)發(fā)布執(zhí)行命令，隨后成功獲取大量現(xiàn)金。臺(tái)灣警方預(yù)計(jì)，該攻擊造成超過(guò)3億美元的損失。此外，攻擊者同樣使用釣魚(yú)郵件以及其他惡意軟件對(duì)受感染的計(jì)算機(jī)進(jìn)行遠(yuǎn)程控制，隨后實(shí)施攻擊。2016年8月，一家POS終端軟件供應(yīng)商的網(wǎng)頁(yè)遭遇攻擊者入侵。報(bào)道稱，攻擊者利用盜取的信息，能夠?qū)Χ嗉伊闶凵趟褂玫腜OS終端進(jìn)行遠(yuǎn)程訪問(wèn)。
過(guò)去幾年中，針對(duì)移動(dòng)端的金融威脅變得愈發(fā)普遍。在2016年，賽門鐵克共監(jiān)測(cè)到720萬(wàn)個(gè)移動(dòng)端惡意軟件，較前一年增長(zhǎng)29%。其中超過(guò)半數(shù)的移動(dòng)惡意軟件與Android. MalDownloader等惡意下載器相關(guān)。這也使得金融威脅成為除惡意發(fā)送收費(fèi)短信應(yīng)用程序與勒索軟件外，第三大最常見(jiàn)的移動(dòng)端威脅類別。
移動(dòng)端的惡意軟件感染方式分為多種。最常見(jiàn)的是利用社交工程，通過(guò)向用戶發(fā)送帶有惡意鏈接的郵件，誤導(dǎo)潛在受害者下載偽裝成合法應(yīng)用的威脅程序。此外，攻擊者正在將合法工具木馬化。攻擊者的另一常用伎倆是通過(guò)反復(fù)彈出 “設(shè)備管理激活” 對(duì)話框，直至用戶授予應(yīng)用管理員權(quán)限，將惡意軟件安裝于設(shè)備中。
值得消費(fèi)者注意的是，惡意應(yīng)用程序如今不僅存在于第三方應(yīng)用商店，即便在Google Play Store的官方應(yīng)用中心，賽門鐵克也同樣發(fā)現(xiàn)受感染的應(yīng)用程序。
賽門鐵克安全保護(hù)
采用多層安全防御能夠最大程度降低受到攻擊的可能性。因此，賽門鐵克建議企業(yè)和金融機(jī)構(gòu)從三個(gè)方面抵御金融威脅攻擊：
- 抵御 - 在攻擊發(fā)生前，攔截可能的安全威脅入侵、感染或破壞
- 控制 - 攻擊發(fā)生過(guò)程中，限制感染的傳播范圍
- 響應(yīng) - 遭遇攻擊后，通過(guò)事件響應(yīng)流程對(duì)攻擊進(jìn)行分析，以提高企業(yè)的防護(hù)能力
目前，抵御攻擊的最有效方式便是在受到攻擊之前進(jìn)行充分的安全防護(hù)。電子郵件和受到感染的網(wǎng)頁(yè)是感染惡意程序的主要途徑，因此，企業(yè)需要采取強(qiáng)大的安全保護(hù)措施降低感染風(fēng)險(xiǎn)。
消費(fèi)者可采取以下措施，降低遭遇網(wǎng)絡(luò)金融攻擊的風(fēng)險(xiǎn)：
- 在進(jìn)行網(wǎng)上銀行交易可疑郵件時(shí)，時(shí)刻保持警惕；
- 及時(shí)更新系統(tǒng)，確保安全軟件處于最新版本；
- 采用高級(jí)賬戶安全功能，盡可能使用雙重認(rèn)證或開(kāi)啟登錄告知功能；
- 對(duì)所有賬戶使用高強(qiáng)度密碼；
- 在完成使用后，及時(shí)登出賬戶；
- 定期查看銀行賬單；
- 對(duì)任何試圖要求用戶啟用宏的微軟Office附件保持警惕；
賽門鐵克與諾頓產(chǎn)品能夠通過(guò)高級(jí)機(jī)器學(xué)習(xí)、文件信譽(yù)評(píng)級(jí)、行為監(jiān)測(cè)等方式幫助企業(yè)與消費(fèi)者抵御金融木馬的攻擊。此外，賽門鐵克能夠?qū)σ韵绿囟抉R進(jìn)行主動(dòng)通用監(jiān)測(cè)：
- Trojan.Bebloh <https://ae.norton.com/security_response/writeup.jsp?docid=2011-041411-0912-99>
- Trojan.Snifula <https://ae.norton.com/security_response/writeup.jsp?docid=2013-112803-2524-99>
- Trojan.Zbot <https://ae.norton.com/security_response/writeup.jsp?docid=2010-011016-3514-99>
- W32.Ramnit <https://www.symantec.com/security_response/writeup.jsp?docid=2010-011922-2056-99>
- W32.Cridex <https://www.symantec.com/security_response/writeup.jsp?docid=2012-012103-0840-99>
- Infostealer.Boyapki.E <https://www.symantec.com/security_response/writeup.jsp?docid=2016-042510-1857-99>
如需了解更多關(guān)于金融威脅的信息，可閱讀第22期《互聯(lián)網(wǎng)安全威脅報(bào)告》特別報(bào)告--《金融威脅2017》 <https://www.symantec.com/content/dam/symantec/docs/security-center/white-papers/istr-financial-threats-review-2017-en.pdf>
關(guān)于賽門鐵克：
賽門鐵克公司（納斯達(dá)克：SYMC）是全球領(lǐng)先的網(wǎng)絡(luò)安全企業(yè)，旨在幫助個(gè)人、企業(yè)和政府機(jī)構(gòu)保護(hù)無(wú)處不在的重要數(shù)據(jù)安全。全球企業(yè)都青睞選用賽門鐵克的戰(zhàn)略性集成式解決方案，在端點(diǎn)、云和基礎(chǔ)架構(gòu)抵御復(fù)雜攻擊。同時(shí)，全球 5000 多萬(wàn)的個(gè)人和家庭也在使用賽門鐵克的 Norton 和 LifeLock 產(chǎn)品，保護(hù)家庭各類聯(lián)網(wǎng)設(shè)備安全，暢享無(wú)憂數(shù)字生活。賽門鐵克經(jīng)營(yíng)在全球規(guī)模數(shù)一數(shù)二的威脅情報(bào)網(wǎng)絡(luò)，能夠發(fā)現(xiàn)和抵御最高級(jí)威脅。
