FireEye 實驗室新報告直擊捲土重來的 Poison Ivy 遠端存取木馬程式
【台北訊，2013 年8月27日】最新型網路攻擊防護領導廠商FireEye®公司發表《Poison Ivy：損害評估與解決之道》分析報告，內容指出Poison Ivy遠端存取木馬程式 (RAT)有死灰復燃的跡象，極具破壞力並獲得許多駭客青睞的Poison Ivy出現至今已有八年之久，曾有數十家財星一千大企業遭受該病毒攻擊。FireEye也在此份報告中發布了一系列免費的Calamine工具，協助企業偵測Poison Ivy病毒。
「雖然遠端存取程式通常被認為是駭客新手的學步車，」FireEye威脅情報部門經理Darien Kindlund表示。「但若因此而輕忽其嚴重性，將可能造成損失慘重的後果。儘管RAT以駭客新手的入門工具著稱，但在複雜的網路攻擊中仍扮演重要角色，同時也是許多網路攻擊組織使用的工具。目前，我們已經看到數以百計攻擊知名企業的案例是使用Poison Ivy。」
Poison Ivy已被用於許多重大的惡意軟體攻擊事件中，其中最有名的莫過於2011年的RSA SecurID資安事件。同年，Poison Ivy也對化工廠、政府單位、國防設備公司與人權組織發動Nitro攻擊。
FireEye報告也列出了目前使用Poison Ivy且持續由單一國家(nation-state)支援的威脅發動者，包括：
- admin@338：此攻擊發生於2008年，主要是以金融服務業為對象。FireEye發現同時電信業者、政府單位與國防設備公司也遭受相同的攻擊。
- th3bug：此攻擊首度出現於2009年。FireEye發現此攻擊以許多產業、中小學與醫療機構為對象。
- menuPass：同樣首度出現於2009年。FireEye研究指出此攻擊以美國和海外國防承包商為對象。
透過Calamine套件，安全人員將可辨識出Poison Ivy的攻擊指標，包括駭客的Poison Ivy Mutex、密碼、用以識別資料外漏與病毒逐步接近的解碼指令與流量控制，以及Poison Ivy惡意軟體攻擊的時程。FireEye此份報告也說明Calamine如何將這些指標與其他攻擊因素建立聯結。
在調查多宗具相同特性的攻擊事件時，這些資料對鑑定事件關聯性特別有用。將這些細部資料與廣泛的情報資訊加以統整，將有助於揪出攻擊的幕後黑手，並改善IT安全性。
若要下載完整報告，請按此連結：http://www.fireeye.com/resources/pdfs/fireeye-poison-ivy-report.pdf。
若要參加FireEye實驗室網路研討會，了解Poison Ivy病毒與病毒偵測方式，請按此連結：http://www2.fireeye.com/combatting-poison-ivy-attacks.html。