黑客越來越狡猾 文檔成攻擊利用新載體
攻擊帶有敏感信息的系統，從而實施偷竊或謀利的行為已經不是什么新鮮事兒了。事實上，由于現代網絡社會中數據類信息的傳輸十分簡便，而各種系統也進一步被融合在一起，所以這種網絡犯罪行為也是意料之中。我們將持續觀望這種新趨勢涉及到這類攻擊所利用的載體。
政府、企業等都頻繁使用文檔。文檔形式多種多樣（PDF、DOC、XLS），許多人都可以對這些文檔進行編輯和演示。可是在網絡罪犯眼中，哪里有數據傳輸，哪里就有機可乘。
當合法的文檔文件被替換成包含惡意數據序列的文件時就會發生文檔中毒。當閱讀軟件打開文檔文件時，系統會彈出一些你始料不及的信息來運行惡意代碼。
必須為閱讀軟件量身打造才能成功執行這樣的攻擊。例如，如果對Adobe Reader有用的攻擊不一定適用于Foxit閱讀器，反之亦然。同理，對某一特定版本閱讀器有效地攻擊不一定對其后的閱讀器版本有效，因為攻擊所利用的漏洞可能在隨后的版本中得到了修補。
文檔中毒攻擊已經出現一段時間了。現在來看，這種攻擊的主要不同點在于攻擊者可利用的攻擊技巧與日俱增。由于程序員設置了大量的阻礙，現在要想成功實施攻擊比十年前還是難了很多。例如，微軟Windows 7的數據執行保護和地址空間布局隨機化等技術就可以阻止傳統型攻擊。軟件漏洞的修補也會暴露出新的安全問題。
這里有兩點需要提一下：
第一，補丁管理不能按需進行。應該及時安裝能修復安全漏洞的軟件補丁，因為這樣可以防范于未然，不給黑客可乘之機。再者，從以往的案例來看，大多數攻擊之所以能得逞，也正是因為用戶沒有及時安裝補丁——Conficker就是力證。
第二，即便現在的黑客的攻擊難度增大，但是可供黑客下手的資源也比原來多了很多。這意味著，雖然黑客實施攻擊要面對的挑戰更復雜，但是他們在網絡這塊所耗費的精力卻減少了，因為他們可以利用一個由人，工具和電腦組成的網絡幫助自己創建和實施攻擊。
典型的中毒文檔攻擊以兩種方式出現：地毯式和目標式。地毯式攻擊沒有指定的攻擊對象，這類攻擊旨在感染一切可能被感染的用戶。而這種攻擊一般是通過傳播大量帶有有毒文檔的垃圾郵件來實施。目標式攻擊是一種更為有效地攻擊方式，這種方式有一個或多個指定的攻擊對象。這些攻擊通常是通過一些看似安全可靠，接收對象對信件詳情熟悉的郵件實施的。結果，用戶就有可能因此打開文檔，從而執行惡意代碼。
一旦有毒文檔被打開，閱讀軟件就會開始執行惡意代碼，這些代碼會往用戶電腦釋放大量信息。現在，最常見的負載是僵尸程序和木馬程序。在這種情況下，它會先安裝一個僵尸代理。然后，它會向攻擊者報告并下載惡意軟件——通常是下載一個遠程管理工具。遠程管理工具實際是一種合法工具，管理員可以靠它對被感染的電腦進行遠程訪問。遺憾的是，現在許多這類工具都沒有發揮其有利的一面。這類遠程管理工具可以讓攻擊者下載文件，截取屏幕，啟用網絡攝像頭和音頻資源等。名為GhostNet的進程就曾用這種方式攻擊過政府電腦。
往后，我們肯定會看到更多使用文檔進行目標式攻擊的案例，因為基于文檔的漏洞通常都沒有被覆蓋。我們將在社交網絡上看到更多此類攻擊，因為這些社交網絡非常適合進行目標式文檔攻擊。為防范這些攻擊，我們建議使用適當的補丁和識別管理服務。
【編輯推薦】
