安全預警：留意基于文檔的惡意軟件

　　梭子魚網絡助力您的企業阻斷不斷演變的惡意軟件攻擊

　　梭子魚研究人員發現，近期基于文檔的惡意軟件的使用出現了驚人的新增長。最近的一份電子郵件分析顯示，在過去12個月檢測到的惡意文檔中，有48%來源于文檔。梭子魚已識别了超過30萬份惡意文檔!

　　自2019年初以來，這類基于文檔的攻擊頻率急劇上升。今年第一季度，在所有被檢測到的惡意軟件中，59%來源于文檔，而前一年這一比例為41%。

　　首先，我們來詳細了解一下基于文檔的惡意軟件攻擊和解決方案，以便幫助進行檢測和阻止。

　　下圖為典型帶有惡意軟件的文檔攻擊樣闆

　　網絡罪犯使用電子郵件發送包含惡意軟件的文檔，也稱為惡意軟件。通常情況下，惡意軟件要麼直接隐藏在文檔本身之中，要麼通過嵌入的腳本從外部網站下載。常見的惡意軟件包括病毒、木馬、間諜軟件、蠕蟲和勒索軟件。

　　惡意軟件攻擊的現代框架

　　在數十年依賴于基于标記的方法之後(該方法隻能在标記被導出後才能有效阻止惡意軟件)，安全公司現在考慮惡意軟件檢測時，會問“是什麼使它具有惡意?”，而非“如何檢測我知道具有惡意的内容?”重點是嘗試在一個文檔被标記為有害之前檢測它可能造成危害的指标。

　　一種用于更好理解攻擊的常見模型是網絡殺傷鍊(Cyber Kill Chain)，它是大多數攻擊者破解某個系統時所采取步驟的七階段模型：

　　· 偵察—目标的選擇與研究

　　· 武器化—制造對目标的攻擊，通常使用惡意軟件和/或漏洞

　　· 交付—發動攻擊

　　· 開發—利用攻擊包中提供的漏洞

　　· 安裝—在目标系統中創建持久性駐留

　　· 命令和控制—使用來自網絡外部的持久性駐留

　　· 目标上的行動—達到目标(即攻擊的目的)，往往是洩露數據

　　大多數惡意軟件以垃圾郵件的形式發送到廣泛傳播的電子郵件列表中，這些列表在地下網絡中被出售、交易、聚合和修改。像正在進行的“性勒索詐騙”中使用的組合列表就是這種列表聚合和實際使用的範例。

　　現在攻擊者已經有了潛在的受害者列表，使用社會工程讓用戶打開附加的惡意文檔即可開始惡意軟件運動(殺傷鍊的交付階段)。Microsoft和Adobe文檔類型是最常用的基于文檔的惡意軟件攻擊的載體，包括Word、Excel、PowerPoint、Acrobat和PDF文檔。

　　一旦打開文檔，惡意軟件就會自動安裝，或者使用高度模糊的宏/腳本從外部源下載并安裝惡意軟件。偶爾會使用鍊接或其它可點擊的項目，但這種方法在網絡釣魚攻擊中比惡意軟件攻擊更常見。當惡意文檔被打開時，正在下載并運行的可執行文件表示殺傷鍊中的安裝階段。

　　歸檔文檔和腳本文檔是另外兩種最常見的基于附件的惡意軟件傳播方法。攻擊者經常對文檔擴展名進行欺騙，試圖迷惑用戶并讓他們打開惡意文檔。

　　現代惡意軟件攻擊非常複雜而且分為多層;用于檢測和阻止它們的解決方案也是如此。

　　檢測和阻止惡意軟件攻擊

　　黑名單—随着IP空間越來越有限，垃圾郵件制造者越來越多使用其自己的基礎設施。通常，相同的IP使用足夠長時間後，相對容易便第三方檢測到并将其列入黑名單。即使是被入侵的網站和僵屍網絡，一旦檢測到足夠多的垃圾郵件，也有可能通過阻止IP暫時阻止攻擊。

　　垃圾郵件過濾器/網絡釣魚檢測系統—雖然許多惡意郵件看上去令人信服，但垃圾郵件過濾器、網絡釣魚檢測系統和相關安全軟件可以捕捉到微妙的線索，以幫助阻止潛在的威脅信息和附件進入電子郵件收件箱。

　　惡意軟件檢測—對于附帶有惡意文檔的電子郵件，靜态和動态分析都可以獲取文檔試圖下載并運行可執行文件的指标，而這是任何文檔都不應進行的操作。通常可以使用啟發式或威脅情報系統标記可執行文件的URL。靜态分析檢測到的混淆也可以指示文檔是否可疑。

　　先進的防火牆—如果用戶打開惡意附件或點擊路過式下載的鍊接，能夠進行惡意軟件分析的先進網絡防火牆在可執行文件試圖通過時對其進行标記，從而阻止攻擊。

　　梭子魚郵件安全網關可管理和過濾所有入站和出站電子郵件，保護企業免受因郵件而帶來的網絡威脅，避免數據洩露事件發生。梭子魚郵件安全網關可防禦入站惡意軟件，垃圾郵件，網絡釣魚和DoS攻擊等。同時，梭子魚PhishLine還可提供員工安全意識培訓，增強員工安全防範意識。

　　關于梭子魚網絡

　　梭子魚網絡秉承“複雜IT簡單化”理念，為全球各行業組織提供性能卓越，簡單易用，高效穩定的安全與存儲解決方案。全球超過150,000家組織與機構選擇信賴梭子魚網絡安全與存儲解決方案，梭子魚為用戶提供真正的端到端的安全防護，同時支持硬件，虛拟，雲端以及各類混合的靈活部署模式。梭子魚以客戶為中心的業務模式專注于提供高價值、基于用戶的IT解決方案。