2021年12月是一年的最后一個(gè)月，我們?cè)谟懻撨@個(gè)話題時(shí)，常常以微軟本月的漏洞情況做個(gè)引子，本次也不例外。先以微軟周二補(bǔ)丁日情況做開(kāi)頭，然后再探討CheckPoint每個(gè)月總結(jié)的惡意軟件Top 10。

微軟在2022年第一期漏洞修復(fù)中對(duì)其生態(tài)系統(tǒng)中 98 個(gè)安全漏洞發(fā)布了安全補(bǔ)丁，涵蓋了微軟一系列產(chǎn)品組合，包括 Microsoft Windows 和 Windows 組件、Exchange Server、Microsoft Office 和 Office 組件、SharePoint Server、.NET Framework、Microsoft Dynamics、開(kāi)源軟件、Windows Hyper-V、Windows Defender、和 Windows 遠(yuǎn)程桌面協(xié)議 (RDP)。

而惡意軟件方面，Trickbot 仍然是最流行的惡意軟件，盡管影響全球抽樣 4% 的組織的比率略低(11 月為 5%)，最近死灰復(fù)燃的 Emotet 從第七位迅速上升到第二位。

而漏洞方面，史詩(shī)級(jí)漏洞Apache Log4j 遠(yuǎn)程代碼執(zhí)行是被利用最多的漏洞，影響了全球抽樣 48.3% 的組織。該漏洞于 12 月 9日首次在 Apache 日志包 Log4j 中被報(bào)告，該包是許多 Internet 服務(wù)和應(yīng)用程序中使用的最流行的 Java 日志庫(kù)，其 GitHub 項(xiàng)目的下載量超過(guò) 400,000。該漏洞引發(fā)了一場(chǎng)網(wǎng)絡(luò)安全行業(yè)地震，在很短的時(shí)間內(nèi)影響了全球近一半的組織。攻擊者能夠利用易受攻擊的應(yīng)用程序在受感染的服務(wù)器上執(zhí)行加密劫持者和其他惡意軟件。到目前為止，大多數(shù)攻擊都集中在以犧牲受害者為代價(jià)使用加密貨幣挖礦上，然而，高級(jí)攻擊者已經(jīng)開(kāi)始采取積極行動(dòng)，并利用對(duì)高質(zhì)量目標(biāo)的破壞。

Log4j 在 12 月是網(wǎng)絡(luò)安全行業(yè)的絕對(duì)頭條新聞，是歷史上最嚴(yán)重的漏洞之一，由于修補(bǔ)復(fù)雜性和利用簡(jiǎn)易性，很可能會(huì)在未來(lái)很多年與我們同在。

教育/研究是全球受攻擊最多的行業(yè)，其次是政府/軍事和 ISP/MSP。Apache Log4j 遠(yuǎn)程執(zhí)行代碼是最常被利用的漏洞，影響了全球抽樣的 48.3% 的組織，其次是Web 服務(wù)器暴露的 Git 存儲(chǔ)庫(kù)信息泄露，影響了全球抽樣 43.8% 的組織。HTTP Headers Remote Code Execution在被利用最多的漏洞列表中仍然位居第三，全球抽樣影響率為 41.5%。

2021年12月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化。

本月，Trickbot是最流行的惡意軟件，影響全球抽樣 4% 的組織，其次是Emotet和Formbook，全球抽樣影響均為 3%。

1. ? Trickbot – Trickbot 是一個(gè)模塊化的僵尸網(wǎng)絡(luò)和銀行木馬，不斷更新新的功能、特性和分發(fā)向量，使 Trickbot 成為一種靈活且可定制的惡意軟件，可以作為多用途活動(dòng)的一部分進(jìn)行分發(fā)。
2. ↑ Emotet – Emotet 是一種先進(jìn)的、自我傳播的模塊化木馬。Emotet 曾經(jīng)被用作銀行木馬，但最近被用作其他惡意軟件或惡意活動(dòng)的分發(fā)者。使用多種方法來(lái)維護(hù)持久性和規(guī)避技術(shù)以避免檢測(cè)。此外，還可以通過(guò)包含惡意附件或鏈接的網(wǎng)絡(luò)釣魚(yú)垃圾郵件進(jìn)行傳播。
3. ↑ Formbook – Formbook 是一個(gè) InfoStealer，從各種 Web 瀏覽器中獲取憑據(jù)，收集屏幕截圖、監(jiān)控和記錄擊鍵，并可以根據(jù)其 C&C 命令下載和執(zhí)行文件。
4. ? Agent Tesla – Agent Tesla 是一種高級(jí) RAT，可用作鍵盤(pán)記錄器和信息竊取程序，能夠監(jiān)控和收集受害者的鍵盤(pán)輸入、系統(tǒng)鍵盤(pán)、截屏以及將憑據(jù)泄露到安裝在受害者機(jī)器上的各種軟件(包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶(hù)端)。
5. ↓ Glupteba – Glupteba 是一個(gè)后門(mén)，逐漸成熟為僵尸網(wǎng)絡(luò)。到 2019 年，它包括一個(gè)通過(guò)公共比特幣列表的 C&C 地址更新機(jī)制、一個(gè)完整的瀏覽器竊取功能和一個(gè)路由器漏洞利用程序。
6. ↓ Remcos – Remcos 是 2016 年首次出現(xiàn)的 RAT。Remcos 通過(guò)附加到垃圾郵件的惡意 Microsoft Office 文檔進(jìn)行傳播，旨在繞過(guò) Microsoft Windows UAC 安全并以高級(jí)權(quán)限執(zhí)行惡意軟件。
7. ↓ XMRig – XMRig 是一款開(kāi)源 CPU 挖礦軟件，用于 Monero 加密貨幣的挖礦過(guò)程，于 2017 年 5 月首次出現(xiàn)在野外。
8. ? Ramnit -Ramnit 是一種銀行木馬，可竊取銀行憑證、FTP 密碼、會(huì)話 cookie 和個(gè)人數(shù)據(jù)。
9. ↑ Dridex – Dridex 是一種針對(duì) Windows 平臺(tái)的銀行木馬，由垃圾郵件活動(dòng)和漏洞利用工具包觀察到，它依賴(lài) WebInjects 攔截銀行憑據(jù)并將其重定向到攻擊者控制的服務(wù)器。Dridex 聯(lián)系遠(yuǎn)程服務(wù)器，發(fā)送有關(guān)受感染系統(tǒng)的信息，還可以下載和執(zhí)行附加模塊以進(jìn)行遠(yuǎn)程控制。
10. ↑ Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)(又名 Trik)，自 2010 年以來(lái)一直在控制超過(guò)一百萬(wàn)受感染的主機(jī)。以通過(guò)垃圾郵件活動(dòng)分發(fā)其他惡意軟件系列以及助長(zhǎng)大規(guī)模垃圾郵件和性勒索活動(dòng)而聞名。

全球受攻擊最多的行業(yè)：

本月，教育/研究是全球受攻擊最多的行業(yè)，其次是政府/軍事和 ISP/MSP。

1. 教育/研究
2. 政府/軍隊(duì)
3. ISP/MSP

12月份漏洞Top10

本月，Apache Log4j 遠(yuǎn)程代碼執(zhí)行”是最常被利用的漏洞，影響了全球抽樣 48.3% 的組織，其次是Web 服務(wù)器暴露的 Git 存儲(chǔ)庫(kù)信息泄露，影響了全球 抽樣43.8% 的組織。HTTP Headers Remote Code Execution在被利用最多的漏洞列表中仍然位居第三，全球抽樣影響率為 41.5%。

1. ↑ Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228) – Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
2. ? Web 服務(wù)器暴露的 Git 存儲(chǔ)庫(kù)信息泄露- Git 存儲(chǔ)庫(kù)中報(bào)告了一個(gè)信息泄露漏洞。成功利用此漏洞可能會(huì)無(wú)意中泄露帳戶(hù)信息。
3. ? HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行(CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756) ——HTTP 標(biāo)頭允許客戶(hù)端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能使用易受攻擊的 HTTP 標(biāo)頭在受害機(jī)器上運(yùn)行任意代碼。
4. ↓ Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598,CVE-2011-2474,CVE-2014-0130,CVE-2014-0780,CVE-2015-0666,CVE-2015-4068,CVE-2015-7254, CVE-2016-4523,CVE-2016-8530,CVE-2017-11512,CVE-2018-3948,CVE-2018-3949,CVE-2019-18952,CVE-2020-5410,CVE-2020-8260) – 那里在不同的 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯(cuò)誤未正確清理目錄遍歷模式的 URL。成功利用允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者泄露或訪問(wèn)易受攻擊的服務(wù)器上的任意文件。
5. ↓ MVPower DVR 遠(yuǎn)程代碼執(zhí)行– MVPower DVR 設(shè)備中存在遠(yuǎn)程代碼執(zhí)行漏洞。遠(yuǎn)程攻擊者可以利用此弱點(diǎn)通過(guò)精心制作的請(qǐng)求在受影響的路由器中執(zhí)行任意代碼。
6. ↓ Dasan GPON 路由器身份驗(yàn)證繞過(guò) (CVE-2018-10561) – Dasan GPON 路由器中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并未經(jīng)授權(quán)訪問(wèn)受影響的系統(tǒng)。
7. ↑ D-LINK 多產(chǎn)品遠(yuǎn)程代碼執(zhí)行 (CVE-2015-2051) - 多個(gè) D-Link 產(chǎn)品中報(bào)告了遠(yuǎn)程代碼執(zhí)行漏洞。成功利用可能導(dǎo)致在易受攻擊的設(shè)備上執(zhí)行任意代碼。
8. ↓ Apache HTTP Server 目錄遍歷 (CVE-2021-41773,CVE-2021-42013) – Apache HTTP Server 中存在目錄遍歷漏洞。成功利用此漏洞可能允許攻擊者訪問(wèn)受影響系統(tǒng)上的任意文件。
9. ↓通過(guò) HTTP 進(jìn)行命令注入 (CVE-2013-6719,CVE-2013-6720) – 報(bào)告了通過(guò) HTTP 的命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功的利用將允許攻擊者在目標(biāo)機(jī)器上執(zhí)行任意代碼。
10. ↑ PHP 復(fù)活節(jié)彩蛋信息披露- PHP 頁(yè)面中報(bào)告了一個(gè)信息披露漏洞。該漏洞是由于 Web 服務(wù)器配置不正確造成的。遠(yuǎn)程攻擊者可以通過(guò)向受影響的 PHP 頁(yè)面發(fā)送特制 URL 來(lái)利用此漏洞。

頂級(jí)移動(dòng)惡意軟件

本月，AlienBot 在最流行的移動(dòng)惡意軟件中排名第一，其次是 xHelper 和 FluBot。

1. AlienBot – AlienBot 惡意軟件系列是用于 Android 設(shè)備的惡意軟件即服務(wù) (MaaS)，它允許遠(yuǎn)程攻擊者首先將惡意代碼注入合法的金融應(yīng)用程序。攻擊者獲得對(duì)受害者帳戶(hù)的訪問(wèn)權(quán)限，并最終完全控制他們的設(shè)備。
2. xHelper – 自 2019 年 3 月以來(lái)在野外出現(xiàn)的惡意應(yīng)用程序，用于下載其他惡意應(yīng)用程序和顯示廣告。該應(yīng)用程序能夠?qū)τ脩?hù)隱藏自己，甚至可以在卸載時(shí)重新安裝。
3. FluBot – FluBot 是一個(gè)通過(guò)網(wǎng)絡(luò)釣魚(yú)短信分發(fā)的 Android 僵尸網(wǎng)絡(luò)，通常冒充物流配送品牌。一旦用戶(hù)單擊消息中的鏈接，F(xiàn)luBot 就會(huì)安裝并訪問(wèn)手機(jī)上的所有敏感信息。