防御和截殺“云中人攻擊”

云中人攻擊

關于云中人攻擊的技術文檔雖然很容易引起人們的興趣，但這種攻擊的過程卻相當簡單。同步云服務的應用程序使用一個同步令牌來訪問正確的賬號和數據。攻擊者通過社交工程攻擊，再結合惡意的電子郵件附件，就可以在目標系統上安裝惡意軟件。在惡意軟件啟動后，就將受害者的同步令牌移動到實際的數據同步文件夾。然后用攻擊者偽造的令牌替換原始令牌。新令牌指向一個攻擊者可以訪問的賬戶。在目標應用下次同步數據文件夾時，目標系統的原始同步令牌就從可被下載的任何地方被復制到攻擊者的云位置，然后再由攻擊者使用。這使得攻擊者可以從任何機器訪問目標系統的云數據。由此還可以使攻擊者將惡意的文件同步到目標系統的本地數據文件夾，然后，再替換受害者信任的常用文件。目標系統上的惡意軟件可以將原始的同步令牌復制回來，然后再在任何時間移除，從而有效地刪除攻擊的多數證據。“云中人攻擊”方法的有很多其它的變種，有些專門針對目標云平臺而定制，有些有更多特性，如安裝一個后門。但是，原理是相同的，再加上同步數據的重要性，這實在是一種非常危險的攻擊方法。

檢測

檢測“云中人攻擊”是非常困難的。針對不同的同步令牌的云服務，都有一個登錄過程。如果沒有圍繞這種登錄事件的進一步的環境，IDS或代理服務器的日志至多會顯示發生了一個看似合法的云同步，而其自身卻不會觸發警告。……