移動 APT 威脅情報分析與數據防護

高坤，曾就職於安天移動安全，多年反病毒工作經驗，發現過多起與高級威脅相關的安全事件。
他關注的領域有移動惡意代碼分析、移動高級威脅分析及溯源、惡意代碼自動化分析等。

李梓源，奇安信移動安全研究員，曾就職於安天移動安全，從事移動惡意代碼分析工作多年。
他關注的領域有移動惡意代碼攻防技術、移動高級威脅分析及溯源、移動黑色產業鏈分析、客戶端安全等。

徐雨晴，曾就職於啟明星辰、安天移動安全，專注於情報分析和態勢感知的研究，現為重慶郵電大學計算機科學與技術學院在讀博士。
她參與製定了十餘項***、行業級的網絡標準，並考取了CISSP、CISA、信息系統項目管理師（高級）等多項證書。
現在的研究領域為數據與隱私安全、對抗攻擊與防禦、機器學習等。

第1章APT概述1
1．1 APT及MAPT基本概念1
1．2總體現狀3
1．2．1 APT在PC端的現狀4
1．2．2 APT在移動端的現狀4
1．2．3威脅差異比較6

第2章APT模型7
2．1 APT分析模型7
2．1．1殺傷鏈模型7
2．1．2鑽石模型10
2．1．3 TTP模型11
2．1．4 ATT&CK 12
2．2 APT防護模型：滑動標尺模型20
2．2．1架構安全22
2．2．2被動防禦23
2．2．3主動防禦23
2．2．4威脅情報24
2．2．5進攻性防禦26

第3章公開情報27
3．1公開情報運營27
3．1．1公開情報信息收集27
3．1．2信息整理與清洗31
3．2 APT知識庫建設33
3．3知名APT組織36
3．3 ．1方程式組織37
3．3．2 Vault7 38
3．3．3 APT28 42
3．3．4 Hacking Team 43
3．3．5 NSO Group 45
3．4 APT組織命名方式45

第4章移動惡意代碼概述47
4．1移動平台安全模型47
4．1．1 Android平台安全模型及安全現狀47
4．1．2 iOS平台安全模型及安全現狀49
4．2移動惡意代碼演變史54
4．3常見移動惡意代碼分類55
4．3．1國內行業規範的分類方式56
4．3．2安全廠商的分類方式56
4 ．3．3谷歌的分類方式57
4．4移動惡意代碼的投放方式60
4．5 MAPT中常見的病毒形式67
4．6移動惡意代碼運維建設68
4．6．1 Android平台樣本庫建設68
4．6．2 iOS平台樣本庫建設69

第5章惡意代碼分析實踐77
5．1 Android惡意代碼靜態分析77
5．1．1知名反編譯工具78
5．1．2靜態分析基礎81
5．2 Android惡意代碼動態分析83
5．2．1流量抓包84
5．2．2沙盒監控88
5．2．3基於Hook技術的行為監控分析91
5．3 MAPT中常見的對抗手段107
5．3．1混淆107
5．3．2加密110
5．3．3反射112
5．3．4 so回調113
5．3．5模擬器檢測114
5．3．6動態域名117
5．3． 7提權119
5．3．8竊取系統簽名120
5．3．9新趨勢120

第6章安全大數據挖掘分析125
6．1機器學習在惡意代碼檢測中的應用126
6．1．1基於圖像的色情軟件檢測127
6．1．2基於隨機性的惡意代碼檢測128
6．1．3基於機器學習的未知樣本聚類132
6．2基於OSINT大數據挖掘136
6．2．1公開情報線索碰撞137
6．2．2基於組織攻擊特點建模138
6．3威脅建模139
6．3．1基於樣本庫特種木馬挖掘141
6．3．2高價值受害者挖掘142

第7章威脅分析實踐143
7．1分析目的143
7．2溯源與拓線143
7．2．1樣本同源性擴展144
7．2．2代碼相似性146
7．2．3證書147
7．2．4密鑰和序列碼151
7．2．5遠控指令153
7．2．6特定符號信息154
7．2．7網絡信息158
7．2．8基於公開渠道的樣本檢索164
7．2．9其他情報獲取方式176
7． 3攻擊意圖分析189
7．4組織歸屬分析190

第8章物聯網平台分析191
8．1物聯網平台分析概述191
8．1．1應用層192
8．1．2傳輸層193
8．1．3感知層193
8．2固件分析194
8．2．1固件獲取194
8．2．2固件解析200
8．2．3固件/程序靜態分析216
8．3固件動態調試218
8．3．1物理設備運行調試218
8．3．2程序/固件模擬調試224
8．4藍牙協議分析240
8．5物聯網常見的漏洞254
8．6針對物聯網設備的高級攻擊案例255
8．6．1 Weeping Angel入侵工具255
8．6．2 VPNFilter惡意代碼255

第9章典型MAPT案例分析257
9．1 Operation Arid Viper事件257
9．1．1惡意行為詳細分析258
9．1．2攻擊者畫像還原265
9．1．3事件總結268
9．1．4一些資料268
9．2 Bahamut事件270
9．2．1簡要分析271
9．2．2分析對像說明271
9．2．3數據整理274
9．3海蓮花針對移動端的攻擊276
9．3．1樣本基本信息276
9．3．2樣本分析276
9．3．3拓展分析281
9．4 Pegasus事件283
9．4．1 Pegasus工具概覽284
9．4．2攻擊投放284
9．4．3漏洞利用285
9．4．4惡意代碼分析287
9．4．5小結與思考293

第10章總結295
10．1 MAPT在國際博弈中的作用295
10．2 MAPT的威脅趨勢296
10．3網絡安全現有技術的缺陷297
10．3．1高度依賴特徵297
10．3．2基於已有知識體系298
10．3．3評價體系落伍299
10．3．4攻守不對稱300
10．3．5攻擊工程化和專業化301
10．3．6缺乏關聯能力301
10．3．7對未知威脅缺乏感知302
10．4網絡安全廠商的角色303
10．5 MAPT影響下網絡安全的未來303

附錄1移動威脅戰術305
附錄2移動威脅技術307
附錄3移動威脅矩陣313
附錄4移動威脅攻擊緩解措施315