主要内容
“暗云”木马溯源与追踪
威胁情报溯源与追踪方法论
溯源与追踪成果分享
议题简介：以暗云木马介绍及暗云二代与三代的关联关系为入口，进一步阐述如何对黑客组织进行溯源与追踪，背后的溯源追踪模型的原理是什么。再进一步介绍一些溯源追踪的成果，包括一些具有政府背景的高级APT组织的溯源追踪成果和国内黑产团伙的溯源追踪成果。
【信息安全与威胁情报的溯源与追踪】
信息安全是一个不断演变的领域，其中威胁情报的获取、分析和应用成为了防御网络攻击的关键。"暗云"木马是这一领域的一个典型例子，它展示了恶意软件如何通过复杂的隐蔽手段逃避检测，并进行大规模的DDoS攻击。本篇将深入探讨"暗云"木马的溯源与追踪技术，以及威胁情报在网络安全中的作用。
"暗云"木马自2015年起经历了多次迭代，其主要目的是推广和实施DDoS攻击。它的隐蔽性强，采用内核级技术、合法数字签名、Shellcode以及模块化设计，使得样本取证和分析极具挑战性。此外，其庞大的基础设施，包括多层C&C服务器和各种域名，增加了追踪难度。
威胁情报的溯源与追踪方法论主要分为以下几个步骤：
1. **样本分析能力**：通过多引擎和沙箱技术分析病毒样本，获取关键信息如CC服务器地址、Yara规则和行为签名，这有助于识别家族关系和潜在的攻击行为。
2. **画像沉淀能力**：通过收集和分析样本，形成攻击者的“画像”，包括但不限于域名、IP、Hash值、Passive DNS记录、注册邮箱和注册人信息。
3. **溯源分析能力**：利用关联模型，例如域名、IP、Hash等作为关联因子，结合网络流量和SSL证书信息，建立攻击链路，从而揭示攻击者的活动模式和目标。
4. **监控追踪能力**：持续监控网络活动，通过Yara规则等工具实时检测新样本，及时发现"暗云"木马的新变种和活动，如2016年4月、11月和12月的追踪案例所示。
威胁情报不仅是检测已知攻击，它还能帮助预测未知攻击。通过对历史数据的深度分析，可以识别攻击者的战术、技术和程序（TTP），预测可能的未来行动。例如，通过追踪"暗云"木马的基础设施变化，安全专家可以预判新的攻击行动。
在实际操作中，面对质疑，如为何认为某一攻击事件由特定黑客组织发起，安全分析师会根据收集到的威胁情报，包括攻击者使用的工具、手法、基础设施的关联性，以及攻击目标的特定性，来构建证据链。
对于那些具有政府背景的高级APT组织和国内黑产团伙的溯源追踪成果，通常涉及到更复杂的网络侦察和情报共享。这些成果不仅提升了我们对威胁的理解，也促进了防御策略的改进。
"暗云"木马的案例表明，威胁情报的溯源与追踪是网络安全防护的重要组成部分。通过深入理解恶意软件的行为，我们可以更好地预测和应对未来的威胁，保护网络环境的安全。
