黑客越來越狡猾 文檔成攻擊利用新載體
攻擊帶有敏感信息的系統(tǒng)，從而實施偷竊或謀利的行為已經(jīng)不是什么新鮮事兒了。事實上，由于現(xiàn)代網(wǎng)絡(luò)社會中數(shù)據(jù)類信息的傳輸十分簡便，而各種系統(tǒng)也進一步被融合在一起，所以這種網(wǎng)絡(luò)犯罪行為也是意料之中。我們將持續(xù)觀望這種新趨勢涉及到這類攻擊所利用的載體。
政府、企業(yè)等都頻繁使用文檔。文檔形式多種多樣（PDF、DOC、XLS），許多人都可以對這些文檔進行編輯和演示。可是在網(wǎng)絡(luò)罪犯眼中，哪里有數(shù)據(jù)傳輸，哪里就有機可乘。
當(dāng)合法的文檔文件被替換成包含惡意數(shù)據(jù)序列的文件時就會發(fā)生文檔中毒。當(dāng)閱讀軟件打開文檔文件時，系統(tǒng)會彈出一些你始料不及的信息來運行惡意代碼。
必須為閱讀軟件量身打造才能成功執(zhí)行這樣的攻擊。例如，如果對Adobe Reader有用的攻擊不一定適用于Foxit閱讀器，反之亦然。同理，對某一特定版本閱讀器有效地攻擊不一定對其后的閱讀器版本有效，因為攻擊所利用的漏洞可能在隨后的版本中得到了修補。
文檔中毒攻擊已經(jīng)出現(xiàn)一段時間了。現(xiàn)在來看，這種攻擊的主要不同點在于攻擊者可利用的攻擊技巧與日俱增。由于程序員設(shè)置了大量的阻礙，現(xiàn)在要想成功實施攻擊比十年前還是難了很多。例如，微軟Windows 7的數(shù)據(jù)執(zhí)行保護和地址空間布局隨機化等技術(shù)就可以阻止傳統(tǒng)型攻擊。軟件漏洞的修補也會暴露出新的安全問題。
這里有兩點需要提一下：
第一，補丁管理不能按需進行。應(yīng)該及時安裝能修復(fù)安全漏洞的軟件補丁，因為這樣可以防范于未然，不給黑客可乘之機。再者，從以往的案例來看，大多數(shù)攻擊之所以能得逞，也正是因為用戶沒有及時安裝補丁——Conficker就是力證。
第二，即便現(xiàn)在的黑客的攻擊難度增大，但是可供黑客下手的資源也比原來多了很多。這意味著，雖然黑客實施攻擊要面對的挑戰(zhàn)更復(fù)雜，但是他們在網(wǎng)絡(luò)這塊所耗費的精力卻減少了，因為他們可以利用一個由人，工具和電腦組成的網(wǎng)絡(luò)幫助自己創(chuàng)建和實施攻擊。
典型的中毒文檔攻擊以兩種方式出現(xiàn)：地毯式和目標(biāo)式。地毯式攻擊沒有指定的攻擊對象，這類攻擊旨在感染一切可能被感染的用戶。而這種攻擊一般是通過傳播大量帶有有毒文檔的垃圾郵件來實施。目標(biāo)式攻擊是一種更為有效地攻擊方式，這種方式有一個或多個指定的攻擊對象。這些攻擊通常是通過一些看似安全可靠，接收對象對信件詳情熟悉的郵件實施的。結(jié)果，用戶就有可能因此打開文檔，從而執(zhí)行惡意代碼。
一旦有毒文檔被打開，閱讀軟件就會開始執(zhí)行惡意代碼，這些代碼會往用戶電腦釋放大量信息?，F(xiàn)在，最常見的負載是僵尸程序和木馬程序。在這種情況下，它會先安裝一個僵尸代理。然后，它會向攻擊者報告并下載惡意軟件——通常是下載一個遠程管理工具。遠程管理工具實際是一種合法工具，管理員可以靠它對被感染的電腦進行遠程訪問。遺憾的是，現(xiàn)在許多這類工具都沒有發(fā)揮其有利的一面。這類遠程管理工具可以讓攻擊者下載文件，截取屏幕，啟用網(wǎng)絡(luò)攝像頭和音頻資源等。名為GhostNet的進程就曾用這種方式攻擊過政府電腦。
往后，我們肯定會看到更多使用文檔進行目標(biāo)式攻擊的案例，因為基于文檔的漏洞通常都沒有被覆蓋。我們將在社交網(wǎng)絡(luò)上看到更多此類攻擊，因為這些社交網(wǎng)絡(luò)非常適合進行目標(biāo)式文檔攻擊。為防范這些攻擊，我們建議使用適當(dāng)?shù)难a丁和識別管理服務(wù)。
【編輯推薦】
