通过文件同步服务 黑客可偷偷控制计算机

即便Switcher删除自己或者从内存中清除出去，这种机制也将让攻击者获得对计算机的永久性远程访问权。执行命令、将输出保存到同步文件夹后，攻击者就能删除它，还能删除触发文件，以图掩盖行踪。

如果攻击者寻求的不是偷偷潜伏或获得永久性访问权，另一种可能的攻击场景就是加密用户帐户中的所有文件，索要赎金才能解密文件——近些年来，勒索软件程序采用了这一手法，屡试不爽。

据Imperva的首席技术官Amichai Shulman声称，针对文件同步服务的这些攻击很难被反病毒程序检测出来，因为Switcher并不执行任何可能被解读为恶意软件行为的不寻常活动。

他表示，该程序只由短短10行代码组成，可以读取和写入其他应用程序也修改的文件和注册表键。他补充道，落在后面的WMI任务也很常见，因为另外许多应用程序会因各种原因创建WMI任务。

此外，Switcher甚至可能不存储在磁盘上，为攻击创造条件后会删除自己。

在网络边界处运行的安全产品无法阻止这种流量，因为该流量在默认情况下已加密，由企业组织批准的已知的、合法的文件同步应用程序所生成。

眼下，接受测试的服务没有一个通知用户其帐户从新的位置加以访问，就像一些网站所做的那样。据Imperva的研究人员声称，其中一些服务允许用户查看其帐户的近期活动，这有可能揭露来自非同寻常的位置或IP填的未授权访问，但是出现这种情况时，它们并不实际通过电子邮件来提醒用户。

即便可以检测出这种威胁，恢复正常也问题重重，因为在一些情况下，访问令牌依然有效，即便用户更改了密码。研究人员在将于黑帽安全大会上发布的一份报告中表示，在这种情形下想恢复如初，唯一的办法就是，实际删除帐户，创建一个新帐户。

攻击者已经表示出有兴趣滥用备受信赖的云服务或社交媒体网站，既为了向外泄露数据，又为了夺取指挥与控制权。去年12月，Blue Coat的安全研究人员报告，军队、外交和商界等部门遭到了一起攻击活动，它利用瑞典的一项文件同步服务(名为CloudMe)来夺取指挥与控制权。安全公司FireEye最近报告，一个名叫Hammertoss的俄罗斯网络间谍团伙利用云存储服务，向外泄露众多机构组织的数据。