什么是高级持续性威胁（APT）？

信息收集

攻击者选定目标后，首先要做的就是收集所有跟目标有关的情报信息。这些情报可能是目标的组织架构、办公地点、产品及服务、员工通信录、管理层邮箱地址、高层领导会议日程、门户网站目录结构、内部网络架构、已部署的网络安全设备、对外开放端口、企业员工使用的办公OS和邮件系统、公司web服务器的使用的系统和版本等等。

外部渗透

1. 信息收集完成后，就要考虑如何渗透到组织内部。从钓鱼邮件、web服务器还是U盘入手？如果是钓鱼邮件，利用哪种客户端软件的零日漏洞？如果是web服务器，目标用户最常去的网站有哪些？
2. 渗透手段确定后，下一步则需要制作特定的恶意软件。通常，攻击者所在组织会有专门的一拨人从事零日漏洞的挖掘和利用，他们也会密切关注一些漏洞报告平台上的最新公告，利用这种公开或半公开披露的漏洞原理以及可能的POC代码来进一步制作自己的趁手武器，例如带有恶意代码的pdf文件或office文件。这种恶意代码被称作shellcode，往往短小精悍，采用代码混淆、加壳、加密等反侦测手段，并在投递之前用各种最新的防病毒软件检测一遍，以期在投递到目标网络之后尽可能不被发现。
3. 恶意软件制作好，下一步是把它投递到目标网络内。常用的手法包括邮件的附件、网站（挂马）、U盘等。
   • 对于钓鱼邮件攻击，黑客务必要精心构造一封足以乱真的邮件内容，邮件标题、邮件内容、附件的名称和类型，都要让收件者放松警惕，产生兴趣，最终打开邮件附件或邮件正文中的URL链接。例如2020 年结合疫情热点发送钓鱼邮件或制作诱饵文件，成为了全球高级持续性威胁的普遍趋势。
   • 对于网站（挂马），要根据攻击目标的兴趣爱好，选择一个合适的网站下手，这个网站必须存在可被利用的零日漏洞，然后对网站展开渗透和攻击，攻破后放上一个能自动在后台进行下载的脚本，让访问该网页的目标用户在不知不觉中就把含有恶意软件下载到本地，同时利用浏览器漏洞来安装执行。
   • 而使用U盘载体来投递恶意软件的攻击行为，一般需要近距离的接触。当攻击目标不在internet上，不连接外网时，是一种手段。

命令控制

当目标用户使用含有漏洞的客户端程序或浏览器打开带有恶意代码的文件时，就会被恶意代码击中漏洞，下载并安装恶意软件，恶意软件通常是一个体积很小的远程控制工具，业内简称为RAT（即Remote Administration Tool，或Remote Access Trojan），用于与控制服务器建立C&C信道。恶意程序一般还会提升权限或添加管理员用户，把自己设置为开机启动，甚至在后台悄悄关闭或修改主机防火墙设置，以让自己尽可能不被发现。

内部扩散

同一个组织机构内部的办公主机往往都是相同的系统、类似的应用软件环境，因此很大程度上具备相同的漏洞，攻陷一台内网主机后，恶意程序会横向扩散到子网内其他主机或纵向扩散到企业内部服务器。由于RAT具备键盘记录和屏幕录像功能，因此很容易获取用户的域密码、邮箱密码及各类服务器密码。

数据泄露

聪明的黑客在攻击的每一步过程中都通过匿名网络、加密通信、清除痕迹等手段来自我保护，在机密信息外发的过程中，也会采用各种技术手段来避免被网络安全设备发现。一方面化整为零，将机密信息打散、加密或混淆，避免DLP设备通过关键字扫描发现泄密；另一方面会限制发送的速率，以尽量不超过各类安全设备的检测阈值。

Google Aurora极光攻击

Google Aurora极光攻击是由一个有组织的网络犯罪团伙精心策划的有针对性的网络攻击，攻击团队向Google发送了一条带有恶意连接的消息，当Google员工点击了这条恶意连接时，会自动向攻击者的C&C Server（Command and Control Server）发送一个指令，并下载远程控制木马到电脑上，成为“肉鸡”，再利用内网渗透、暴力破解等方式获取服务器的管理员权限，员工电脑被远程控制长达数月之久，其被窃取的资料数不胜数，造成不可估量的损失。

震网攻击

2010年，“震网”病毒成功攻击了Y国工厂的离心机，仅仅2个月，报废离心机约1000台。据报道，“震网”是由多个国家发起的针对Y国设施的定向网络攻击事件， 但一个编程错误使蠕虫扩散到了其它不支持的操作系统上，才导致其在2010年6月被捕获。

“震网”利用了7个漏洞，其中4个是零日漏洞。由于攻击目标不在Internet上，不连接外网，初期“震网”是经由特工之手将U盘插入目标系统或网络的。“震网”还应用了非常多的隐身、伪装、欺骗手法，例如，它的漏洞利用程序瞄准的是系统内核级别，以此逃脱反病毒软件的扫描，实现“隐身”；它会仔细跟踪自身在计算机上占用的处理器资源情况，只有在确定震网所占用资源不会拖慢计算机速度时才会将其释放，以免被发现，它还盗用了两家公司的数字签名，数字签名是程序的合法证明，公司一般会对数字签名进行额外的安全防护。

SolarWinds供应链事件

2020年12月网络安全公司 FireEye披露其公司购置的网管软件厂商SolarWinds相关软件中存在后门，该后门通过HTTP与第三方服务器进行通信。SolarWinds对全球客户展开排查，经排查发现，多家大公司均被攻击者通过该软件作为入口而成功渗透。此外，多个政府机构也可能已经沦陷；世界500强企业中，也有超过9成受到影响；全球至少30万家大型政企机构受到影响。