黑客利用商业基础设施犯罪的6种方式

当谈到网络犯罪基础设施时，当属暗网高光时刻，秘密的犯罪市场、非法洗钱交易和僵尸网络服务等。然而，不仅仅是暗网，那些网络犯罪分子从合法的商业基础设施中也可以获得他们所需要的东西。

对于网络攻击者来说，并不是因为主流供应商比那些以违法为生的人更可靠，而在于当他们在商业基础设施中进行犯罪时，可以躲过检测且看似合法。以下是网络攻击者利用商业基础设施犯罪的一些方式。

一、盗取或合法购买的云服务

犯罪分子可以用合法的途径来购买云服务，然后以不太明显的非法方式来使用。某些情况下，供应商接受比特币或者其他匿名付款。在其他的情况则有可能是经销商、合法企业从云服务供应商那里购买，再将其标记转售给匿名买家。

WhiteHat Security公司安全研究员Bryan Becker提到他曾和一家大型云主机供应商交易过，大概的步骤就是进入一个网站，在网站购买服务，立即获得付款途径。这些网站都是正规的转销商，但是他们是可以用比特币或者加密货币的方式来购买主机的。使用这些服务是合法的，因为有些顾客居住的地方并没有银行。有些转销商或许违反了云供应商的服务条款，但是他们并不违法。

Exabeam公司的首席研究员Jeff Nathan认为，当网络攻击者可以用盗窃的方式时，他们更倾向于不去购买。比如，网络犯罪分子可以访问被盗的有效信用卡，即使需要花费大量的精力去尝试。另一个更好的方式是获得企业账户，大规模的公司可以提供大量的云服务供应商的账户，一旦获取，便可以依托这些进行犯罪活动，制作恶意性或欺骗性网站，协调僵尸网络流量，制作恶意软件下载，短暂地存储被盗数据或者进行网络钓鱼活动。

近期Protegrity安全公司产品研发高级副总裁Dominic Sartorio发现一个有趣的行为——使用亚马逊S3存储段进行犯罪。一般来说，公司遇到的亚马逊存储段问题是在于细节配置，他们会不小心将其设置为公开访问。而这次的犯罪分子则是在存储段上做了手脚。他们使用非法途径进入内部程序，使用具有欺骗性的公司电子邮件地址向企业人员发送看似真实的邮件，提供S3存储段的地址邀请企业人员上传真实的数据。而实际上，犯罪分子已经在这些存储段注入了虚假数据，但企业人员还依然蒙在鼓里。

Sartorio还提及，银行有几种方法可以防止这种情况，一旦得知这种犯罪手法，他们就会采取额外的安全措施。下载云数据安全软件，对数据本身进行保护，比如数据标记，那么犯罪分子对这些数据也就无可奈何了。此外还可以应用数据丢失防护（DLP）技术来监控上传到云端的敏感数据。反网络钓鱼技术也可以发现恶意邮件。

二、盗取的或者未经严格审核的证书颁发机构

当访问网页的时候，用户知道去辨别锁定符号，并且有些浏览器或公司防火墙会完全阻止不安全站点的访问。这个功能依赖于可信证书，证书还可以连接软件，以便让用户知道他们没有遭到病毒入侵。

Edgewise Networks的联合创始人兼CEO Peter Smith认为，证书滥用是一种非常常见的攻击手段。很多使用合法证书的恶意软件，一方面它们可能是因为被盗，而另一方面也有可能是因为未经严格审核就发布了。

Peter建议为了防止这种情况，企业应该确保系统能够有访问最新的证书失效清单权限，并且适时地审核证书发布机构，确保信任供应商没有滥用证书。

三、公共安全研究和揭露

犯罪分子通过商业渠道可以获取大量的网络安全信息和工具。Balbix安全公司创始人兼CEO Gaurav Banga认为，网络犯罪分子和企业的安全专家一样，能够很快地发现漏洞，但是专家需要上报公司，通过协议，所以犯罪分子可以更快地利用漏洞进行攻击。一些安全供应商会发布威胁排行榜，攻击者因此可以猜测出500强企业的防御措施。像VirusTotal和SpamHaus这样的软件往往就会成为一把双刃剑，既对安全人员有利，也有弊。犯罪分子可以利用它们来编写躲过过滤器的病毒和恶意电子邮件。

使用工具的人的复杂性往往才是最出乎意料的，所以首席安全官要提升自己的能力来进行防御。当企业发现漏洞，或许需要几周或者几个月才能作出回应，都应该尽快修复。如果不能立即修补，也应该采取其他的安全措施来降低风险。

四、匿名支付服务

即使是守法市民，也有理由使用匿名支付服务，比如给家人或者朋友送贺卡。人们可以通过很多服务比如Blur和Privay.com来办匿名信用卡。当然，并非所有的商业基础设施供应商接受匿名付款。如果犯罪分子实在需要向供应商支付真钱而不是使用盗取的账户或信用卡，那么一些转销商往往可以代劳。

五、“防弹”代理

“防弹”代理服务，即“智能代理”，用以隐藏用户的地理位置。反之，它也可以保护恶意网站。“防弹”代理的合法目的是用来保护腐败政权中的激进分子，其次是允许用户躲避内容供应商的追踪。事实上，犯罪分子常常使用智能代理来发起攻击。

“防弹”代理服务可以访问成千上万的居民IP地址。安全供应商Cequence Security指出今年5月和7月的住宅“防弹”代理零售业流量增长了800%，而在金融行业也增长了518%，总体上增长了361%。该供应商威胁研究主管Will Glazier提及，有些网络用户因为被蒙蔽而自愿建立这样的网络。或许是因为得到了免费的点对点的VPN服务的承诺，导致他们成为了代理僵尸网络的一部分。

有些网络提供了3200万个代理，不可能所有的都是自愿用户。除去这些，剩下的则往往是由住户IP地址上的任何网络连接设备所导致的，比如，已被感染的计算机、路由器、智能摄像头等。

不法分子可以利用僵尸网络，使用盗取的用户名和密码登录银行，通过无数个带有不同的凭证对的IP地址发送请求，看起来跟普通美国用户没有什么区别。广告点击诈骗以及其他攻击也可以用这种手法。

Glazier还提出了一种防御办法，那就是ISP自己脱离僵尸网络，他们直接向互联网供应商表示已经发现50000个IP地址入侵用户电脑，且它们是同一类型的路由器。或许互联网供应商会更新路由器或者重置它们。而对于防御证书填充和广告点击诈骗的私企来说，最好的办法就是使用行为分析来发现可疑登陆。比如正常的用户不需要在凌晨两点查询其银行账户余额。还有就是登陆的速度，人们不能以一定的速度打字。

六、呼叫转接平台

Protegrity公司的Sartorio表示，如果人们看到和自己号码相似的电话会更容易接听。企业员工也是如此，它们可以轻松识别公司的电话座机。比如Protegrity本身有一个IP语音（VOIP）系统，其中所有电话号码都以相同的区号开头，然后是相同的前三位数字。主要号码发布在公司的网站上，犯罪分子很容易找到。如果有这些电话中心平台，就可以自动配置一个新的电话号码。攻击者将这种服务用于他们的robocalls，试图让公司员工接电话，然后使用社交工程，比如让他们认为他们正在与公司技术支持人员交谈，以此进行信息获取或者其他犯罪活动。

*参考来源：csoonline，Sandra1432编译，转载须注明来自FreeBuf.COM

精彩推荐