[[173146]]

高級持續性威脅(APT)團伙Platinum一直濫用Windows的熱修復功能來攻擊南亞和東南亞的政府組織和機構。這個APT團伙利用這個功能(Windows Server 2003中推出)將惡意代碼注入到正在運行的進程中。那么，這些熱修復攻擊的工作原理是什么，我們應該如何應對?

Nick Lewis：高級持續性威脅(APT)團伙歷來喜歡利用零日漏洞和內置工具作為其攻擊手段。熱修復是Windows 2003中推出的安全功能之一。Windows Defender高級威脅狩獵隊檢測到名為Platinum的APT團伙正在利用這個功能，當熱修復不起作用時，他們似乎還可使用其他技術來注入惡意代碼。

Windows熱修復是微軟為了減少服務器需要重新啟動次數推出的功能。它的工作原理是通過已修復的代碼在內存運行可執行文件，以便使用已更新的代碼，替代存在漏洞的代碼。熱修復功能目前存在于Linux和UNIX以及Windows中。它用于確保高可用性，當核心操作系統進程需要修復時，不需要重新啟動系統。由于操作系統會被修改，熱修復需要作為管理員執行這些操作，但攻擊團伙發現一種方法利用熱修復隱藏他們的攻擊。

企業可通過保護核心操作系統安全以及管理員訪問權限來抵御熱修復攻擊，例如Platinum團伙的攻擊。Windows 2012還沒有被報告包含不安全的熱修復功能，所以更新服務器到新版本可能是不錯的選擇。當對服務器的初步檢查沒有發現攻擊指標時，針對APT的標準網絡監控也可幫助發現受感染的服務器，同時，還有必要部署分層防御--包括監控網絡。