锁定政府高官APT攻击程式，将Google硬盘变骇客窃资后门

在2014年有一支锁定台湾政府跨部门、中高阶主管的APT恶意程式PLEAD，日前在台湾资安研究团队Team T5恶意程式网络威胁分析研究员Charles Li 和Zha0的揭露下发现，这只恶意程式其利用同时间安装的后门程式GD Rat将电脑内新增的文件资料，上传到Google硬盘，而机关和企业资安人员，几乎无从阻挡；骇客也利用家用路由器作为攻击跳板。

后门程式将电脑文件上传Google硬盘

PLEAD恶意程式目前只有趋势科技在2014年对外揭露相关资讯，这也是一支骇客专门锁定台湾政府进行APT攻击的恶意程式，受骇者除了跨部门机关外，许多中高阶公务人员都在受骇范围之内。

但Charles Li表示，该团队针对受骇单位进行的资安事件调查（IR）结果显示，早在2011年开始，台湾政府部门就已经被植入PLEAD恶意程式，从被植入到资安人员对外揭露这样的攻击行为，长达4年以上。

Charles Li进一步解释，PLEAD是一个直接用Shellcode开发的恶意程式，为了不让防毒软件侦测到该恶意程式的存在，会使用混淆编码手法隐藏后门程式，除了同时使用多个后门程式渗透内部网络外，也会使用RTLO（右至左书写的Unicode 指令字元）技巧。

他也观察到，许多受骇电脑植入PLEAD恶意程式之后，在差不多的时间点，还会同时出现另外一支后门程式GD Rat，会自动上传受骇电脑中每天新产生的文件到Google网络硬盘。他表示，因为连上Google 网络硬盘所有传输内容都是加密，网管人员不可能阻挡这类的合法网络连线，除非该公司全面禁用相关的云端服务。

Zha0则指出，骇客攻击企业内网时，会先观察使用者内网使用哪些软件，尤其会锁定使用哪些厂牌的防毒软件，就可以知道有没有漏洞可以利用。另外，他说，骇客常锁定的工具就是资产管理软件，这种一次可以派送多种更新程式的软件具有很高的使用者权限，骇客一旦发现漏洞，就可以借此派送后门程式到使用者的电脑。

PLEAD是锁定台湾跨部门政府机关和中高阶公务人员的APT恶意程式，台湾资安研究团队Team T5发现，早在2011年，PLEAD就已经植入台湾政府机关中了。（图片来源／Team T5）

利用家用路由器作为攻击跳板，更难被网管工具侦测到

不过，PLEAD在2014年被发现时，也观察到攻击台湾的IP都是来自台湾的动态IP，许多资安研究人员对此一直是百思不得其解。

直到今年3月，Charles Li和团队成员分析一个新的PLEAD恶意程式样本中才发现，原来这些动态IP都是来自某间台厂网站，为旗下产品，包括家用路由器在内所申请的动态域名服务，骇客便入侵这些家用路由器作为攻击跳板，让资安和网管人员无法真正阻挡这些攻击来源的动态IP。

Team T5首席执行官蔡松廷则指出，固定IP很容易被网管人员挡掉，但若是动态IP，多数台湾网管人员很难将动态IP加入黑名单中，使用者若要防范家用路由器被骇客滥用，至少要检查相关路由器的网络设定密码是否是强密码，提高使用者的安全性。