FireEye 實驗室新報告直擊捲土重來的 Poison Ivy 遠端存取木馬程式

FireEye 實驗室新報告直擊捲土重來的 Poison Ivy 遠端存取木馬程式
FireEye發布開放式原始碼解決方案協助偵測存在使用者系統內的病毒
【台北訊，2013 年8月27日】最新型網路攻擊防護領導廠商FireEye®公司發表《Poison Ivy：損害評估與解決之道》分析報告，內容指出Poison Ivy遠端存取木馬程式 (RAT)有死灰復燃的跡象，極具破壞力並獲得許多駭客青睞的Poison Ivy出現至今已有八年之久，曾有數十家財星一千大企業遭受該病毒攻擊。FireEye也在此份報告中發布了一系列免費的Calamine工具，協助企業偵測Poison Ivy病毒。
「雖然遠端存取程式通常被認為是駭客新手的學步車，」FireEye威脅情報部門經理Darien Kindlund表示。「但若因此而輕忽其嚴重性，將可能造成損失慘重的後果。儘管RAT以駭客新手的入門工具著稱，但在複雜的網路攻擊中仍扮演重要角色，同時也是許多網路攻擊組織使用的工具。目前，我們已經看到數以百計攻擊知名企業的案例是使用Poison Ivy。」
Poison Ivy已被用於許多重大的惡意軟體攻擊事件中，其中最有名的莫過於2011年的RSA SecurID資安事件。同年，Poison Ivy也對化工廠、政府單位、國防設備公司與人權組織發動Nitro攻擊。
FireEye報告也列出了目前使用Poison Ivy且持續由單一國家(nation-state)支援的威脅發動者，包括：
•        admin@338：此攻擊發生於2008年，主要是以金融服務業為對象。FireEye發現同時電信業者、政府單位與國防設備公司也遭受相同的攻擊。
•        th3bug：此攻擊首度出現於2009年。FireEye發現此攻擊以許多產業、中小學與醫療機構為對象。
•        menuPass：同樣首度出現於2009年。FireEye研究指出此攻擊以美國和海外國防承包商為對象。
透過Calamine套件，安全人員將可辨識出Poison Ivy的攻擊指標，包括駭客的Poison Ivy Mutex、密碼、用以識別資料外漏與病毒逐步接近的解碼指令與流量控制，以及Poison Ivy惡意軟體攻擊的時程。FireEye此份報告也說明Calamine如何將這些指標與其他攻擊因素建立聯結。
在調查多宗具相同特性的攻擊事件時，這些資料對鑑定事件關聯性特別有用。將這些細部資料與廣泛的情報資訊加以統整，將有助於揪出攻擊的幕後黑手，並改善IT安全性。
關於FireEye
新世代網路攻擊防護領導先鋒FireEye®，秉持著防護企業免於網路攻擊的使命。網路威脅日趨複雜，並可輕易突破新世代防火牆、入侵防禦系統、防毒軟體與安全閘道等傳統特徵碼的安全防禦機制，對企業網路造成重大損害。FireEye平台提供即時、動態的威脅防護，不用簽名就能為企業組織提供包括網路、電子郵件和檔案在內各種主要威脅以及在攻擊生命週期的個別階段進行保護。FireEye平台核心為虛擬執行引擎，搭配動態威脅情報網路，即時幫助企業辨識與封鎖各種網路攻擊，包括Web、電子郵件、行動裝置與檔案型網路攻擊，以達到保護企業資產的目標。FireEye平台已部署於全球40多個國家，並獲得1,000多個客戶與合作夥伴的採用。其中有超過100家的財星500大企業已採用此平台。