摘要
近年來網路犯罪份子為了有效地躲避安全機制的檢驗，而不斷地開發惡意程式或是進行變種。近幾年組織、政府機關與企業面臨到最大的威脅為進階式持續性滲透攻擊(Advanced Persistent Threat , APT)，它是常見的網路攻擊型態，攻擊者往往都是相當龐大且有組織的駭客集團，而並非像一般的駭客事件可由單一駭客所為。駭客集團會針對特定的攻擊對象設計一套專屬的攻擊策略，APT的攻擊者往往都會透過長時間且持續性的潛伏及監控，趁使用者稍有疏忽時，進而撈取其所需要的資訊。其背後目的是竊取企業機密資料或是個人資料轉以販售、利用，賺取不法利益。APT與其他一般攻擊最大的不同點在於APT攻擊有能力可以躲避大部分防禦機制，並長時間的潛伏在組織環境內部進行情報搜集與入侵工作，進而塑造出後期的攻擊以達到攻擊的目的。入侵過程中所使用的惡意軟體通常經過偽裝，駭客藉由把呼叫惡意DLL的函式植入正常程式如Juniper、Nsrexecd等原本正常之應用程式中，並把惡意程式隱匿在正常程式DLL根目錄下，因為一般使用者不會特別關注，駭客因此利用作業系統優先載入DLL函式庫檔案的特性，載入這些偽裝成正常程式的惡意程式根目錄。本研究透過檢查檔案簽章以及掃描系統正在執行的Process方式提出一個可以偵測APT惡意攻擊的方法。