网络犯罪分子利用各种技术渗透企业网络。主要的方法是攻陷一个雇员的设备，窃取该员工的访问凭据，然后使用该员工的访问权限来辨识和窃取有价值的信息或直接发起欺诈性金融交易。几个安全厂商发布的年度和定期报告包含了有关网络犯罪方法和趋势的丰富信息，涉及Trusteer的所有博客，Symantec的Internet Security Threat Report，Verizon的Data Breach Investigations Report,，McAfeeThreats Report和Sophos的SecurityThreat Report.
针对员工终端的网络攻击
有些针对企业的攻击是机会主义的（占大型企业遭受的漏洞攻击的35%9），然而其他攻击是有高度目标性的（占大型企业遭受的漏洞攻击的50%10）。以及各种新的目标攻击技术处于中间态（参见下面“wateringhole攻击”中的讨论). 除了新的感染，Trusteer的研究发现，在任何时间点，所有PC中有将近1%感染活跃恶意软件。网络犯罪分子并不缺乏企业目标。
网络钓鱼
对于引诱个人访问已经被攻陷的网站，以及诱骗个人下载受感染的文件来说，网络钓鱼仍然是一个有效的方法。尽管就点击陌生连接和打开可以文件的危险，有持续的警告，那些方法仍然是继续有效的。这并不完全归咎于最终用户：网络犯罪分子已经变得更善于掩饰自己的意图。 网络犯罪分子通常使用高度针对性的、鱼叉式钓鱼消息。利用网络上可用的信息（通过Facebook，LinkedIn，Twitter等等)或从熟悉的个人那里窃取的信息创建的，可以使受害者相信一个电子邮件是合法的。在2012年第一季度和第二季度之间，成功的绕过企业的安全防御的基于邮件的攻击上升到56%。11恶意邮件包含一个恶意文件，一个指向恶意网站的链接，或两者皆有。尽管进了最大的努力来培训和警告员工，网络钓鱼攻击依旧继续取得成功。
Web威胁
基于Web的传播在入侵员工设备方面也是有效的。网络犯罪分子入侵合法的网站，建立专门的网站来托管恶意软件。通过各种手法，包括嵌入在钓鱼邮件中的链接，搜索引擎优化中毒，社交媒体诈骗（例如，Twitter，YouTube），假调查，免费礼品赠送，以及“must-see”视频，将受害者引诱到恶意网站。 一个称为“watering hole”攻击的新技术感染与目标公司、行业或地域相关的受害者。犯罪分子攻陷被认为是迎合特定受众的合法网站。例如，employees of a defense manufacturing plant 位于一个小镇的国防制造工厂的员工可能会乐于访问当地的新闻网站。因此，攻陷这个新闻网站可以使得网络犯罪分子直接发现国防制造工厂的员工。RSA和Symantec近期都发现了严重以来该技术的大规模网络犯罪活动。12，13
托管恶意软件的网站的数量是惊人的。Sophos的报告称每天有30,000个网站被感染，其中的80%是合法的，被入侵的网站。14 （WebSense的数据是82%15)。Symantec在2011年，每天发现9,314恶意代码网站16，McAfee的报告称，在2012年六月，每天发现10,000新恶意代码网站。当一个最终用户简单的浏览网页的时候，他的设备将被感染的可能性比以往任何时候都高。
利用系统中的漏洞
在网络犯罪分子诱骗受害者打开一个恶意邮件的文件附件或访问一个受感染的网站，网络犯罪序列中下一个步骤是用恶意软件感染终端。在发现和利用系统漏洞，以便用恶意软件感染雇员的终端设备并同时躲避安全控制手段方面，网络犯罪分子已经高度熟练。企业每星期平均收到643个成功绕过企业安全防线的，基于web的感染事件。18 毫不奇怪的是，近期的调查表明74%的IT和安全专家相信他们的端点安全（他们的笔记本电脑和台式机）是无效的。19
软件漏洞
漏洞是指由于设计上的缺陷或编码错误而导致的软件代码弱点。它使得攻击者可以危及底层系统。 Open Source Vulnerability Database在2011年对基于web的系统，应用程序和计算工具的6,843个漏洞进行了分类（Symantec利用DeepSight漏洞数据库上报了4,989个新漏洞20）。虽然，与2010年相比，漏洞的数量下降了19%，高危漏洞的数量一直在上升，现在占据所有上报的漏洞的24%。高危漏洞是指那些会允许对底层系统的根级别的入侵。 软件漏洞使得网络犯罪分子可以绕过阻止未授权文件安装的安全控制（嵌入在操作系统中或第三方提供安全应用提供的）。微软报告称，在2011年上半年披露的漏洞中应用程序漏洞占70%。剩下的漏洞大致是操作系统和浏览器各占一半。请注意，浏览器和浏览器组件漏洞并不包含在应用软件漏洞的计数中。
漏洞利用
漏洞利用是指一段代码，该代码被设计来利用软件漏洞传输一个会被系统的限制阻挡住的负载（恶意软件）。为了对抗这种威胁，软件供应商疯狂的工作，通过给漏洞打补丁来阻止这些漏洞利用。IBM报告显示，在2011年，所有已知漏洞的11%有公开可用的漏洞利用代码22。将近91%的漏洞在被公开披露出来的同一天打上了补丁23。剩余中的大部分在几周内被打上了补丁。 但是，补丁的可用性不能确保它被安装在最终用户的设备上。最终用户或管理员必须不断的与典型用户设备上使用的各种软件程序的新补丁的信息同步。采用不一致的补丁导致将近2.7%的微软程序和6.5%的第三方程序在任何给定的时间里保持没有打补丁的状态。24 在乘以数百万用户，这些数字表明，众多的人经常遭遇网络犯罪分子的漏洞利用。
虽然，打补丁的统计数据可能看起来并不令人担忧，但是他们不反映漏洞和漏洞利用的真正的、潜在的生命周期。特别危险的利用未披露的漏洞的零日漏洞攻击。由于零日漏洞攻击利用目标未知的（并因此未打补丁)漏洞，因此对它们几乎没有防御。 许多人错误的认为，零日漏洞所造成的威胁是有限的，因为被披露出来的漏洞被很快的打上了补丁。然而，近期的研究表明，在漏洞被公开披露之前，攻击者经常会长期利用漏洞，这是由于零日漏洞平均会持续至少312天25。也就是说，在任何防护措施就位前，网络犯罪分子能够利用未知系统漏洞来成功的感染终端长达10个月。同样的研究也表明，在漏洞被公开披露后，网络犯罪分子立即增加漏洞利用的次数到2至100,000倍，以便在漏洞被修补好以前尽可能多的感染机器。
对于攻击者来说，发现一个零日漏洞的价值和开发一个漏洞利用程序是有利可图的。一篇最近的Forbes文章探讨了零日漏洞的地下市场 。该市场专门提供最新版本的软件的漏洞（参见图1）。仅仅在微软发布Windows 8的一星期后，法国安全公司Vupen声称，他们有一个可用的黑客程序（对于Internet Explorer 10也是如此)。零日漏洞的价值显示了从网络犯罪中实现的经济收益。
| ADOBE READER | | | MAC OSX | | | ANDROID | | | FLASH或JAVA浏览器插件 | | | MICROSOFT WORD | | | WINDOWS | | | FIREFOX或SAFARI | | | CHROME或INTERNET EXPLORER | | | ISO | |
来源: Forbes, 2012年3月23日 令人不安的是，犯罪分子不必只依赖于开发漏洞利用程序以用于新发现的漏洞。因为用户在安装修补严重漏洞的安全更新方面一直做的不好。在发布一个漏洞补丁后，许多漏洞利用程序还会持续有效达几个月或几年。例如，自一个Microsoft Word更新发布的一年内，有39%的计算机没能安装它。自一个Adobe Flash Player更新发布的一个月内，70% 的计算机没能安装它26。这种滞后使得网络犯罪分析可以在几个月，有时是几年中持续的使用现存的攻击方法来对抗被修补的漏洞。
感染终端
感染一个端点的过程远比简单的直接下载一个恶意软件二进制文件到终端上复杂得多。这个过程通常涉及下载dropper二进制文件来修改设备配置和安全设置，安装一些恶意软件组件，然后访问 最新的犯罪软件套件。该犯罪软件套件安装和更新主要的恶意软件代理。然后，该恶意软件代理定位命令和控制服务器，并与之通信。该服务器管理攻击配置和接收入侵后所获取的信息。这种复杂的方法被设计用来最大限度的躲避安全控制和安装最有力的恶意软件。
网络犯罪分子越来越多的依靠漏洞利用工具包（例如， Blackhole），即主动的扫描一个用户的设备以来寻找各种漏洞，然后安装相应的dropper文件来利用该漏洞。如果它没有发现漏洞，该工具包就什么都不做。Dropper文件是动态创建的，因此大多数反病毒应用程序使用的已知技术（特征和模式匹配）不能发现他们。为了躲避检测，与命令和控制服务器的通信越来越模糊，有时是通过Twitter，Voice over Internet Protocol (VoIP)，或其他开放的通信信道进行的。
与零日利用有关的是零日漏洞恶意软件。零日利用将那些位置的系统漏洞作为目标。零日恶意软件是指那些尚未被确认的、新的恶意软件种族。零日恶意软件有两种形式：零日恶意软件容器（一个以前从来没见过的文件）和零日恶意软件犯罪逻辑（一个从来没见过的恶意软件攻击算法）。基于特征的反病毒应用程序不能检测零日恶意软件容器，因为他们必须将其与之前发现的恶意软件容器匹配。网络犯罪分子很容易就能利用一种称为多态的技术生产出同一个恶意软件容器的数以百万计的新变种。更为危险的是零日恶意软件犯罪逻辑— 新的，之前未见的恶意软件算法。该算法要求网络犯罪团伙进行实际的设计和编码— 一种完全不同级别的工作。
网络犯罪分子还能够通过其他方法感染用户终端。例如，用户越来越多的使用在网站和文件共享站点上发布的非官方的软件。犯罪分子经常将恶意软件嵌入进那些用户很可能通过这些站点访问的盗版软件，电影和音乐文件中。恶意软件已经被发现预装在零售卖场中售卖的计算机上，以及在媒体存储设备中。总之，并不缺少感染终端的方法。
Trusteer最近对大型企业的终端设备的分析证实商业恶意软件的广泛存在（参见图2）。局域网（LAN）安全网络通常显示，每1000台设备就有一台被感染高级恶意软件；如包括你自己的设备（BYOD）/家用电脑，该比例在1:500. 然而，几家大型企业用户在LAN安全网络中的感染比例在1:100。这些数字代表了一个关键的风险水平（假定一个被入侵的设备能够向网络犯罪份子提供破坏性的访问）。 | 
发表于 2015-7-22 16:48
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡