建站
咨詢
售后
建站咨詢
新聞中心
長(zhǎng)期以來(lái)，那些手套上鑲著半打零日漏洞寶石，頭上頂著三個(gè)博士帽的的國(guó)家級(jí)黑客，被認(rèn)為是網(wǎng)絡(luò)空間最為危險(xiǎn)的物種。
成都網(wǎng)站建設(shè)哪家好，找成都創(chuàng)新互聯(lián)公司！專注于網(wǎng)頁(yè)設(shè)計(jì)、成都網(wǎng)站建設(shè)、微信開(kāi)發(fā)、小程序制作、集團(tuán)成都企業(yè)網(wǎng)站定制等服務(wù)項(xiàng)目。核心團(tuán)隊(duì)均擁有互聯(lián)網(wǎng)行業(yè)多年經(jīng)驗(yàn)，服務(wù)眾多知名企業(yè)客戶；涵蓋的客戶類型包括：成都濕噴機(jī)等眾多領(lǐng)域，積累了大量豐富的經(jīng)驗(yàn)，同時(shí)也獲得了客戶的一致稱贊！
但是 2020 年信息安全領(lǐng)域最危險(xiǎn)的，也許不是西伯利亞虎這樣的珍稀野生動(dòng)物，而是滿地亂跑傳播鼠疫的草原旱獺。因?yàn)楹诳徒缯诹餍?“低科技“ 攻擊，通過(guò)一些廉價(jià)甚至免費(fèi)的社工手段和工具，給個(gè)人、企業(yè)甚至國(guó)家造成重大損失。
低科技攻擊的最大 “優(yōu)點(diǎn)” 就是成本低廉。如今網(wǎng)絡(luò)釣魚(yú)即服務(wù) (PaaS) 市場(chǎng)一片繁榮景象，五花八門(mén)的全套網(wǎng)絡(luò)釣魚(yú)套件也是唾手可得，“投入少見(jiàn)效快” 的 DNS 放大攻擊已占近一半的 DDoS 流量，黑帽 SEO 和 ASO 長(zhǎng)盛不衰，甚至高大上的 APT 攻擊也開(kāi)始流行使用免費(fèi)的開(kāi)源工具和惡意軟件。
在暗網(wǎng)中，網(wǎng)絡(luò)釣魚(yú)工具包半賣半送，貴的不到 300 美元，工具包內(nèi)容齊全，通常包括 HTML，PHD 文件、圖像等搭建釣魚(yú)站點(diǎn)的 “建材”。這些快速搭建的釣魚(yú)站點(diǎn)可以 “高仿” 任何一個(gè)大品牌(例如工商銀行、百度網(wǎng)盤(pán)、微軟、Adobe、LinkedIn等)的合法登錄頁(yè)面。隨機(jī)化生成器會(huì)創(chuàng)建多個(gè) URL，即使一個(gè) URL 被列入黑名單，其他 URL 仍然能發(fā)揮作用。絕大多數(shù)釣魚(yú)站點(diǎn)的存續(xù)時(shí)間只有 24 小時(shí)，打一槍換個(gè)地方，難以追查。
以下，安全牛列舉幾種 “低科技“ 攻擊方式，提請(qǐng)注意防范：
一張紙質(zhì)邀請(qǐng)函繞過(guò)全世界最先進(jìn)的防火墻
煞費(fèi)苦心地設(shè)計(jì)一個(gè)重要會(huì)議的高仿釣魚(yú)網(wǎng)站，然后發(fā)送釣魚(yú)電子郵件 “投餌” 這種套路已經(jīng)被玩爛了，而且越來(lái)越難以穿透現(xiàn)代化網(wǎng)絡(luò)安全深度防御體系的層層關(guān)卡。
那么，一封給那些愛(ài)慕虛榮的公司高管發(fā)送重要會(huì)議的精美紙質(zhì)邀請(qǐng)函呢?紙質(zhì)邀請(qǐng)函不但能繞過(guò) “第N代防火墻”，還能繞過(guò)秘書(shū)的人肉防火墻，直達(dá)總裁辦公桌。當(dāng)然，為了方便領(lǐng)導(dǎo)參會(huì)，邀請(qǐng)函末尾肯定會(huì)附上一個(gè) “貼心” 的二維碼。
郵件標(biāo)題：經(jīng)部門(mén)領(lǐng)導(dǎo)反復(fù)研究，決定給你補(bǔ)發(fā)30萬(wàn)年終獎(jiǎng)
有一種野蠻的釣魚(yú)方式叫：魚(yú)叉式釣魚(yú)，命中率極高而且每年都會(huì)涌現(xiàn)一些讓人拍大腿的騷操作。
例如攻擊者先發(fā)送郵件到公司的 HR 或者財(cái)務(wù)部門(mén)，通過(guò)回信獲得公司的郵件樣式。然后代表公司財(cái)務(wù)給你發(fā)送一封讓你無(wú)法拒絕的郵件(例如上面杜撰的標(biāo)題)。
還有一些釣魚(yú)工作者甚至?xí)喊l(fā)公司相關(guān)部門(mén)的郵件列表，通過(guò) “正在休假” 的自動(dòng)回復(fù)篩選出離崗員工，假扮這些員工給目標(biāo)員工發(fā)信(可能通過(guò)個(gè)人郵箱或者 “二級(jí)賬戶”)。對(duì)于那些較為警惕不肯輕易打開(kāi)附件的員工，釣魚(yú)者還會(huì)換個(gè)攻擊姿勢(shì)，設(shè)置 “搜索引擎陷阱”，用預(yù)先 SEO 優(yōu)化過(guò)的惡意軟件頁(yè)面蹲守上網(wǎng)核查信息的員工。
“1個(gè)小時(shí)內(nèi)必須打款!” 能模仿高管語(yǔ)調(diào)的深度偽造語(yǔ)音
今年三月份，一家英國(guó)能源公司的首席執(zhí)行官在德國(guó)母公司老板的電話催促下，向黑客賬戶匯去 243,000 美元，不幸成為全球第一個(gè)深度偽造 BEC 攻擊的受害者，堪稱深度學(xué)習(xí)武器化的標(biāo)志性事件。攻擊者使用的深度偽造軟件不僅可以模仿聲音，還可以模仿音調(diào)，標(biāo)點(diǎn)符號(hào)停頓和老板的德語(yǔ)口音。但這只是 2020 年大規(guī)模深度偽造+BEC 郵件攻擊的開(kāi)始，據(jù)《華盛頓郵報(bào)》報(bào)道，網(wǎng)絡(luò)安全公司賽門(mén)鐵克透露至少已經(jīng)發(fā)生了三起類似的深度欺詐性語(yǔ)音欺詐案件。
正如牛津大學(xué)未來(lái)人類研究所的報(bào)告《人工智能的惡意使用》所指出的那樣，人工智能的新進(jìn)展不僅擴(kuò)大了現(xiàn)有威脅，而且創(chuàng)造了新威脅。更糟糕的是，AI 的武器化和民主化大大降低了深度偽造技術(shù)的使用門(mén)檻和獲取成本，網(wǎng)絡(luò)犯罪分子壓根無(wú)需掌握精深的人工智能技術(shù)。
例如，下載一個(gè)語(yǔ)音偽造工具，只需要五秒鐘聲音素材就可以偽造任何一個(gè)人的語(yǔ)音。
會(huì)飛的 “大菠蘿”：無(wú)人機(jī)攻擊
一提到無(wú)人機(jī)攻擊，我們首先想到的是無(wú)人機(jī)的武器化，例如今年一月份的也門(mén)刺殺事件和 9 月份沙特阿拉伯油田遭遇胡塞武裝的武器化無(wú)人機(jī)攻擊，此外，早些年伊斯蘭國(guó)用大疆無(wú)人機(jī)+羽毛球自制的無(wú)人機(jī)投彈器，這些都屬于物理攻擊。
無(wú)人機(jī)發(fā)起的數(shù)字攻擊主要是竊聽(tīng)、偵察、無(wú)線電劫持、WiFi 嗅探等，而且攻擊成本和難度都很低。2016 年，以色列的研究人員在一座辦公大樓附近操縱無(wú)人機(jī)，利用 ZigBee 無(wú)線電協(xié)議中的缺陷，入侵了大樓內(nèi)的智能燈泡。
另外，在 2019 年影響力較大的一次智能電視破解事件中，安全分析人員動(dòng)用了一個(gè)廉價(jià)無(wú)人機(jī)來(lái)實(shí)施對(duì)智能電視的劫持和利用，甚至可以讓智能電視通知智能音箱刷單購(gòu)物。
對(duì)于一些物理隔離或者有嚴(yán)格數(shù)據(jù)風(fēng)險(xiǎn)管控的機(jī)構(gòu)來(lái)說(shuō)，無(wú)人機(jī)也是一個(gè)潛在的數(shù)據(jù)漏點(diǎn)。針對(duì)日益增長(zhǎng)的無(wú)人機(jī)空中威脅，IEEE 還專門(mén)發(fā)布了一篇題為《無(wú)人機(jī)黑客：物聯(lián)網(wǎng)的安全和隱私威脅》的報(bào)告討論此事。
其實(shí)，只要在無(wú)人機(jī)上搭載一個(gè)樹(shù)莓派或者 “大菠蘿”(一種公開(kāi)售賣的 WiFi 數(shù)據(jù)包嗅探工具)，就可以變成 “黑客無(wú)人機(jī)”，借助這些 “黑客無(wú)人機(jī)” 輕松 “前往” 那些一般到不了的地方——比如高樓的會(huì)議室、“安全” 園區(qū)深處的建筑等等。黑客不僅可以利用無(wú)人機(jī)到各種地方，更可以利用遠(yuǎn)程操作來(lái)減少自己在現(xiàn)場(chǎng)被人贓俱獲的可能。
兵器譜排名第一的大殺器：VEC(企業(yè)電子郵件泄露)
2019 年末，豐田子公司(豐田紡織)因外部電子郵件攻擊導(dǎo)致 3,700 萬(wàn)美元損失，另一家目前尚未披露具體名字的美國(guó)大公司則因企業(yè)電子郵件攻擊損失了 5,000 萬(wàn)美元。
到 2020 年，企業(yè)電子郵件泄露 (VEC) 的商務(wù)電子郵件泄露 (BEC) 將成為針對(duì)企業(yè)的最主要的電子郵件欺詐攻擊手段。
網(wǎng)絡(luò)犯罪集團(tuán)發(fā)起的 VEC 攻擊會(huì)劫持公司電子郵件帳戶，監(jiān)視通信，然后假冒該帳戶的合法所有者，最終達(dá)到欺騙整個(gè)上下游供應(yīng)鏈企業(yè)的目的。
在安全牛此前報(bào)道過(guò)的，目前仍在進(jìn)行中的 “江南工業(yè)風(fēng)” 釣魚(yú)郵件攻擊中，中招的韓國(guó)、日本和中國(guó)化工企業(yè)收到了來(lái)自供應(yīng)鏈上游或者下游企業(yè)的非常專業(yè)的招投標(biāo)郵件(上圖：郵件附件是極為專業(yè)逼真的設(shè)計(jì)圖和報(bào)價(jià)單)。
根據(jù) FinCEN 的報(bào)告，傳統(tǒng)的商務(wù)郵件攻擊平均可以給攻擊者帶來(lái) 50,000 美元的凈收入，而一次成功的 VEC 攻擊的凈收入平均為 12.5 萬(wàn)美元。而發(fā)動(dòng)這些進(jìn)攻的黑客，使用的往往是免費(fèi)的 APT 工具和 “過(guò)期” 的惡意軟件。
- IEEE《無(wú)人機(jī)黑客：物聯(lián)網(wǎng)的安全和隱私威脅》報(bào)告地址：https://ieeexplore.ieee.org/document/8658279
- 牛津大學(xué)未來(lái)人類研究所《人工智能的惡意使用》地址：https://arxiv.org/ftp/arxiv/papers/1802/1802.07228.pdf
創(chuàng)新互聯(lián)成都網(wǎng)站建設(shè)公司，為上千家企業(yè)和品牌提供網(wǎng)站建站、定制網(wǎng)站設(shè)計(jì)、網(wǎng)站制作、網(wǎng)站策劃服務(wù);公司秉持一絲不茍、精益求精的態(tài)度,創(chuàng)新互聯(lián)深信，為您創(chuàng)造更多價(jià)值的同時(shí)，亦是成就我們（cdcxhl.com）的品牌品質(zhì)。
戳這里，看該作者更多好文
網(wǎng)站標(biāo)題：2020年流行“低科技”攻擊
鏈接URL：http://www.dlmjj.cn/article/djddses.html
