2018年10月21日星期日

黑客来去十年多, 所有网络攻击都是源自同一个系统

今年八月,加拿大多伦多大学研究室Citizen Lab又再次公布资安报告,取名为“似曾相识”。报告中揭露了最新的黑客攻击与过去的行动如何牵连。十年过去,针对藏人的黑客攻击就算变形,却从未停止。德国之声采访到研究室的主任以及资安专家为读者整体回顾。

2018年,藏人非政府组织、记者、藏人行政中央纷纷收到电子邮件。

寄件人是tibetanparliament@yahoo.com,意思是藏人国会。 内容是分享文化活动、倡议行动或是政府公告,邮件附带一份Microsoft PowerPoint 档案。

如果是流亡藏人,看到这样的邮件地址就很可能会点开。 如此一来,就踏进了黑客设下的圈套。

黑客利用社群网站上搜集来的公开信息,或是过去窃取来的内部消息做成信件内容,博取用户的信任。 用户下载附件之后,可以正常的阅览文件内容,丝豪察觉不出异状。 但是事实上,“后门程序”已经暗地启动,不但让黑客窃取数据,也为黑客日后的攻击打开一个通道,让他绕过一般的安全性凭证,取得数据,甚至实时远端控制。

但长期追踪资安问题的加拿大多伦多大学研究室Citizen Lab对这种手法并不陌生。

例如经典案例2009年的“鬼网”,便是一宗大规模网络攻击案件,庞大而手法缜密:至少1,295人受害,扩及103个国家。 当中,外交单位、新闻媒体、非政府组织等“高价值的目标”占比高达三成,流亡藏人与达赖喇嘛私人办公室也包含在内。

达赖喇嘛的私人办公室也曾经遭到黑客入侵。传闻这与他的出访行程多次遭到取消有关。

Citizen Lab从开发者数据库有关的信息(PDB)发现2018年的行动与2013年的“钥匙男孩”(KeyBoy)以及2015年的“热带骑兵”(Tropic Trooper) 很可能系出同源。 另外,该行动发送恶意文件的电子信箱,与2016年名为“国会行动”的攻击当中所使用的信箱是同一个。

这也就是说,以年份排序,2013钥匙男孩发动,2015改名为热带骑兵,2016转型为国会行动,2018又改造并以新型态现身。 所有网络攻击都是源自同一个系统。

“恶意程式瞄准流亡藏人进行攻击,已经超过十年。 ”Citizen Lab 的研究室主任Masashi Nishihata告诉德国之声:“这种行动和一般商业性的信息犯罪不同,它不是要取得财务上的利益。 背后驱使他的是政治动机。 目标是要监视社群的活动、联络、以及动员情况。 ”

“这些行动不只是造成知识产权或是财务上的损失,而是直接影响到个人、家属甚至整个社群的人身安全。 ”

Nishihata 表示,用电子邮件传送挟带恶意软件的档案曾经是黑客攻击最常见的手法。 但是,从2016年开始,他们观察到攻击手法开始有所转变:恶意软件逐渐减少,更多的使用“钓鱼网页”。

“钓鱼网页”是黑客仿造知名网站的页面,引诱用户在假网页上输入账户密码,藉此窃取个人资料。 “西藏人,以及大部分的社运人士,跟我们大多数人一样,依赖一般的商用平台进行沟通联络。 ”Nishihata 说,“这种手法比设计一个恶意软件便宜,而且一样可以取得重要信息,足以扼杀社会运动或是造成实质伤害。”

幕后主使---
假如每次的事件都是一个点,多次揭露形成一个面,那么布置这个天罗地网的,究竟是谁?

想要找到幕后主使,第一个方法是直接分析恶意软件的程序代码,寻找与开发者有关的信息。

2009年“鬼网”中,攻击者的域名大多注册在同一个人名下,而且位在中国(cn)。 近一步跟着木马程序沿线寻找控制端的IP地址,在中国海南。

到了2016年的“国会行动”虽然改变了写法,让研究人员没办法在程序代码中找到像“鬼网”那样的域名,然而,还是找得到核心的控制端服务器(C&C 服务器)位在中国。

但是,就算这些线索指向中国,这两种方法都没办法断定“中国”就是幕后主使。

Fedora Organization的资安专家Tenzin Chokden说,现在藏人的危机意识有逐渐提高

“技术上,幕后主使的地点非常难追踪。 举例来说,发动攻击的计算机可能位于台湾,但是他取得数据之后,可以把数据送到任何一个国家,可能是香港,可能是美国。 ”Fedora Project 的信息专家Tenzin Chokden 接受德国之声访问表示:“IP地址的地点没有办法代表幕后主使的地点。 ”

那么,不同行动的受害者是否具有共通点? 能不能从受害者反推犯案动机,进而找到谁有嫌疑?

主导研究的Nishihata表示,综合多次调查,可以发现黑客感兴趣的目标不只是藏人族群,而是更广的群体。 不同群体之间的共通点,就是他们若被攻击,中国都可以从中获得政治利益:维吾尔族、法轮功信徒、西藏人,或是东南亚或南亚的政府机关。

但是Nishihata拒绝明指幕后是谁:“除了受害者之间的共通点之外,幕后主使如何挑选目标并不清楚。 行动是否有特定人士赞助、数据最终由谁接收,也没有办法确定。 ”

像流亡藏人这种弱势族群,很少为数位软件及时做升级

也因为幕后主使难以定位,大部分的资安团体都转向加强防御措施,以及对大众传播资讯自保的方式。

Chokden说,一般人不需要学会写程序就可以做好防御:“作为平民老百姓,只要对信息安全多一点警觉,不要随意打开来路不明的信件,就可以有效降低中毒机率。 ”

他形容,一个团体里面只要有一个人的安全意识不够,就会成为团体容易被攻陷。 黑客可以透过这个人对团体里的其他人进行攻击,间接取得数据。 “所以,就算很多人都说自己没有什么秘密,我们还是应该要为了他人着想,而提高警觉。 ”

Nishihata与他感想雷同。他介绍了Citizen Lab创建的教育大众信息知识的平台 Net Alert ,也推荐按照 Security Planner 的步骤实施简易的防御措施。 但是,他也感叹,“用户改变行为模式是漫长的过程,但黑客改变攻击模式却只在一夜之间。 ”

罗法/杨威廉(发自台北)--德国之声

没有评论 :

发表评论

评论