2023APT趋势洞察报告.docx

2023APT趋势

洞察报告

2023APTTRENDSINSIGHTREPORTS

千里目-深瞻情报实验室

录目

录

前言 01

主要观点 02

摘要 02

漏洞利用视角 03

0day漏洞利用趋势 04

已披露的各APT组织0day漏洞利用情况 06

攻击技巧视角 09

BYOVD等驱动滥用的相关攻击技巧 10

高隐藏型内核态Rootkit 13

白宿主进程恶意代码执行 16

供应链投毒攻击 18

AI引入的增强网络攻击 19

攻击事件视角：无孔不入的APT 20

高校科研行业定向钓鱼 21

“卷王”银狐日新月异的攻击手法 28

瞄准高性能集群进行的定向计算资源窃取 30

供应链投毒事件频发，沦为“肉鸡”防不胜防 31

边界设备成为攻击者青睐的攻击入口 35

隐蔽的移动设备攻击战线 36

地缘视角下的全球APT组织 38

南亚 39

东亚 46

欧洲 50

中东 54

北美 56

未知 60

APT防御视角：如何构建可靠的防御体系 62

APT防御体系框架 63

人员安全意识培训 66

资产管理和保护 67

网域管理与安全设施部署 68

建立研发供应链安全机制 69

附1:深信服智安全风险监测平台APT组织画像平台73附2:深信服千里目安全技术中心深瞻情报实验室 75建立安全运营中心

附1:深信服智安全风险监测平台APT组织画像平台73

附2:深信服千里目安全技术中心深瞻情报实验室 75

前言

2023年，深信服千里目安全技术中心深瞻情报实验室（以下简称“深瞻情报实验室”）对全球范围内的多个APT组织和网络犯罪团伙进行了长期跟踪和分析。从中，我们见证了APT组织攻击手段的持续迭代升级、攻击图景的不断扩张以及组织结构的不断分化重组。当前，APT已是网络空间中社会影响最广、防御难度最高的斗争形态，其危害性不容忽视。

政治和经济形势的变化正在推动APT威胁快速演变。与此同时，网络黑产犯罪团伙大行其道，高级技术层出不穷，与APT的技术界限逐渐模糊。据监测，已经发生多起针对大型计算资源的定向挖矿以及目标明确的定向勒索，攻击者使用的手法和技巧与一些常规APT组织几乎无异。然而，企业或组织的安全建设往往难以应对这种高水平的网络攻击威胁。高级的网络攻击不再遥不可及，经济、科技、民生发展行业建立起有效的APT防御体系迫在眉睫。

在APT组织利用0day漏洞方面，我们监测到的0day漏洞数量达到了历史最高，其中移动端漏洞比例大幅增加，但PC端漏洞比重仍然位居第一，随着移动互联网已经渗透到人们生活、工作的各个领域，攻击者的目光也开始转向移动互联网，个人也将更直接地面向复杂危险的网络恶意活动。

APT组织和网络犯罪团伙对社区前沿攻击技术的变化十分敏感，擅长在短时间内将最新技术或工具应用在攻击行动上。近年来，DLL劫持、高隐藏Rootkit、BYOVD等攻击技术在实战中越来越常见。与此同时，针对安全防护软件的绕过或致盲也大幅增加，安全产品的自身防护和有效性也面临前所未有的挑战。

回顾2023年披露的APT事件，国家背景的窃密攻击和渗透仍然在APT事件中占据最大比重。以经济为目的的定向勒索也开始涉及新的行业和地区。与此同时，一些以大型计算资源为攻击目的的攻击者也非常活跃，通过滥用计算资源从中牟取暴利。一些网络犯罪团伙也将网络攻击和诈骗结合，通过高欺骗性的手法造成大量受害者中招和传播，高级的网络攻击逐渐和个人息息相关。

基于2023年跟踪的APT组织动向以及事件响应溯源，深瞻情报实验室将从漏洞利用视角、攻击技巧视角、攻击事件视角、全球APT组织视角以及APT攻击防御视角五个视角详细阐述本年度APT趋势洞察。

本报告除明确注明来源以外，数据均来自深信服千里目安全技术中心深瞻情报实验室，目的仅为帮助客户及时了解中国或其他地区APT威胁的最新动态和发展，仅供参考。

本报告中所含内容乃一般性信息，不应被视为任何意义上的决策意见或依据，任何深信服科技股份有限公司的关联机构、附属机构（统称为“深信服股份”）并不因此构成提供任何专业建议或服务。

01 2023APT趋势洞察报告

主要观点

主要观点

APT组织攻击手段的正持续迭代升级、攻击图景不断扩张、组织结构不断分化重组；网络黑产犯罪团伙大行其道，高级技术层出不穷，与APT的技术界限逐渐模糊；APT组织利用0day漏洞数量达到了历史最高，其中移动端漏洞激增；

APT组织和网络犯罪团伙对社区前沿攻击技术的变化十分敏感，擅长在短时间内将最新技术或工具应用在攻击行动上；国家背景的窃密攻击和渗透仍然在APT事件中占据最大比重，但以经