在我們 2023 年 1 月的最新全球威脅指數(shù)中，信息竊取者 Vidar 在品牌劫持事件增加以及在中東和北非發(fā)起大型 njRAT 惡意軟件網(wǎng)絡(luò)釣魚活動(dòng)后重返前十名，位列第七。

1 月，信息竊取者 Vidar 被發(fā)現(xiàn)通過(guò)聲稱與遠(yuǎn)程桌面軟件公司 AnyDesk 有關(guān)聯(lián)的虛假域傳播。該惡意軟件對(duì)各種流行的應(yīng)用程序使用 URL 劫持，將人們重定向到一個(gè)聲稱是官方 AnyDesk 網(wǎng)站的 IP 地址。下載后，該惡意軟件會(huì)偽裝成合法安裝程序以竊取敏感信息，例如登錄憑據(jù)、密碼、加密貨幣錢包數(shù)據(jù)和銀行詳細(xì)信息。

研究人員還發(fā)現(xiàn)了一個(gè)名為 Earth Bogle 的主要活動(dòng)，將 njRAT 惡意軟件發(fā)送到中東和北非的目標(biāo)。攻擊者使用包含地緣政治主題的釣魚郵件，誘使用戶打開(kāi)惡意附件。下載并打開(kāi)后，木馬程序可以感染設(shè)備，使攻擊者可以進(jìn)行大量入侵活動(dòng)以竊取敏感信息。njRAT 在頂級(jí)惡意軟件列表中排名第十，在 2022 年 9 月之后下降。

我們繼續(xù)看到惡意軟件組織使用受信任的品牌來(lái)傳播病毒，目的是竊取個(gè)人身份信息。我們?cè)趺磸?qiáng)調(diào)都不為過(guò)，人們注意他們點(diǎn)擊的鏈接以確保它們是合法的 URL 是多么重要。注意安全掛鎖，它表示最新的 SSL 證書，并注意任何可能表明該網(wǎng)站是惡意的隱藏拼寫錯(cuò)誤。

我們的最新研究還顯示，“Web Server Exposed Git Repository Information Disclosure”仍然是上個(gè)月被利用最多的漏洞，影響了全球 46% 的組織，其次是“HTTP Headers Remote Code Execution”，影響了全球 42% 的組織。“MVPower DVR 遠(yuǎn)程代碼執(zhí)行”以 39% 的全球影響力排名第三。

2023年1月“十惡不赦”

Qbot和Lokibot是上個(gè)月最流行的惡意軟件，對(duì)全球組織的影響分別超過(guò) 6%，其次是AgentTesla，全球影響為 5%。

1. ↑ Qbot – Qbot AKA Qakbot 是一種銀行木馬，于 2008 年首次出現(xiàn)。它旨在竊取用戶的銀行憑證和擊鍵。Qbot 通常通過(guò)垃圾郵件分發(fā)，它采用多種反虛擬機(jī)、反調(diào)試和反沙盒技術(shù)來(lái)阻礙分析和逃避檢測(cè)。
2. ↑ Lokibot – LokiBot 是一種商品信息竊取程序，具有適用于 Windows 和 Android 操作系統(tǒng)的版本，于 2016 年 2 月首次被發(fā)現(xiàn)。它從各種應(yīng)用程序、網(wǎng)絡(luò)瀏覽器、電子郵件客戶端、IT 管理工具（如 PuTTY 等）中獲取憑證。LokiBot 在黑客論壇上出售，據(jù)信其源代碼已泄露，因此出現(xiàn)了許多變體。自 2017 年底以來(lái)，某些 Android 版本的 LokiBot 除了信息竊取功能外還包含勒索軟件功能。
3. ↑AgentTesla – AgentTesla 是一種高級(jí) RAT，充當(dāng)鍵盤記錄器和信息竊取器，能夠監(jiān)視和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截取屏幕截圖，并將憑證泄露到安裝在受害者機(jī)器上的各種軟件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook）。
4. ? Formbook – Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格，它在地下黑客論壇中作為惡意軟件即服務(wù) (MaaS) 進(jìn)行銷售。FormBook 從各種網(wǎng)絡(luò)瀏覽器收集憑證、收集屏幕截圖、監(jiān)控和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
5. ↓ XMRig – XMRig 是一種用于挖掘 Monero 加密貨幣的開(kāi)源 CPU 挖掘軟件。威脅行為者經(jīng)常通過(guò)將其集成到他們的惡意軟件中來(lái)濫用這種開(kāi)源軟件，從而在受害者的設(shè)備上進(jìn)行非法挖掘。
6. ↓ Emotet – Emotet 是一種先進(jìn)的、自我傳播的模塊化木馬。Emotet 曾被用作銀行木馬，現(xiàn)在被用作其他惡意軟件或惡意活動(dòng)的分發(fā)者。它使用多種方法來(lái)保持持久性和規(guī)避技術(shù)以避免被發(fā)現(xiàn)。此外，它還可以通過(guò)包含惡意附件或鏈接的網(wǎng)絡(luò)釣魚垃圾郵件進(jìn)行傳播。
7. ↑Vidar – Vidar 是一個(gè)針對(duì) Windows 操作系統(tǒng)的信息竊取程序。它于 2018 年底首次被發(fā)現(xiàn)，旨在從各種網(wǎng)絡(luò)瀏覽器和數(shù)字錢包中竊取密碼、信用卡數(shù)據(jù)和其他敏感信息。Vidar 在各種在線論壇上出售，并用作惡意軟件投放器以下載 GandCrab 勒索軟件作為其次要有效負(fù)載。
8. ↑ GuLoader – Guloader 是一款自 2019 年 12 月以來(lái)廣泛使用的下載器。GuLoader 首次出現(xiàn)時(shí)用于下載 Parallax RAT，但已應(yīng)用于其他遠(yuǎn)程訪問(wèn)木馬和信息竊取程序，例如 Netwire、FormBook 和 Agent Tesla。
9. ↓ Nanocore – Nanocore 是一種針對(duì) Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問(wèn)木馬，于 2013 年首次在野外被發(fā)現(xiàn)。RAT 的所有版本都包含基本的插件和功能，例如屏幕捕獲、加密貨幣挖礦、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會(huì)話盜竊。
10. ↑ njRAT – njRAT 是一種遠(yuǎn)程訪問(wèn)木馬，主要針對(duì)中東的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問(wèn)受害者的攝像頭、竊取存儲(chǔ)在瀏覽器中的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過(guò)網(wǎng)絡(luò)釣魚攻擊和路過(guò)式下載感染受害者，并在命令和控制服務(wù)器軟件的支持下通過(guò)受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。

全球受攻擊最多的行業(yè)

上個(gè)月，教育/研究仍然是全球受攻擊最嚴(yán)重的行業(yè)，其次是政府/軍隊(duì)，然后是醫(yī)療保健。

1. 教育/研究
2. 政府/軍隊(duì)
3. 衛(wèi)生保健

最常被利用的漏洞

12 月，“ Web Server Exposed Git Repository Information Disclosure ”是最常被利用的漏洞，影響了全球46%的組織，其次是“HTTP Headers Remote Code Execution” ，影響了全球42%的組織?！癕VPower DVR 遠(yuǎn)程代碼執(zhí)行”以39%的全球影響力排名第三。

1. ? Web 服務(wù)器暴露的 Git 存儲(chǔ)庫(kù)信息泄露– Git 存儲(chǔ)庫(kù)中報(bào)告了一個(gè)信息泄露漏洞。成功利用此漏洞可能會(huì)導(dǎo)致無(wú)意中泄露帳戶信息。
2. ↑ HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756） ——HTTP 標(biāo)頭讓客戶端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能會(huì)使用易受攻擊的 HTTP 標(biāo)頭在受害者的機(jī)器上運(yùn)行任意代碼。
3. ↑MVPower DVR 遠(yuǎn)程代碼執(zhí)行——MVPower DVR 設(shè)備中存在遠(yuǎn)程代碼執(zhí)行漏洞。遠(yuǎn)程攻擊者可以利用此弱點(diǎn)通過(guò)精心設(shè)計(jì)的請(qǐng)求在受影響的路由器中執(zhí)行任意代碼。
4. ↓ HTTP 上的命令注入（CVE-2021-43936、CVE-2022-24086） ——已報(bào)告 HTTP 上的命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功的利用將允許攻擊者在目標(biāo)機(jī)器上執(zhí)行任意代碼。
5. ↑ WordPress portable-phpMyAdmin 插件身份驗(yàn)證繞過(guò) (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并獲得對(duì)受影響系統(tǒng)的未授權(quán)訪問(wèn)。
6. ? Dasan GPON 路由器身份驗(yàn)證繞過(guò) (CVE-2018-10561) – Dasan GPON 路由器中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并獲得對(duì)受影響系統(tǒng)的未授權(quán)訪問(wèn)。
7. ? PHP 復(fù)活節(jié)彩蛋信息泄露 – PHP 頁(yè)面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過(guò)向受影響的 PHP 頁(yè)面發(fā)送特制 URL 來(lái)利用此漏洞。
8. ↑ Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228) – Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
9. ↑ OpenSSL TLS DTLS 心跳信息泄露 (CVE-2014-0160,CVE-2014-0346) – OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數(shù)據(jù)包時(shí)出現(xiàn)錯(cuò)誤造成的。攻擊者可以利用此漏洞泄露連接的客戶端或服務(wù)器的內(nèi)存內(nèi)容。
10. ↑ NoneCMS ThinkPHP 遠(yuǎn)程代碼執(zhí)行 (CVE-2018-20062) – NoneCMS ThinkPHP 框架中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。

頂級(jí)移動(dòng)惡意軟件

上個(gè)月，Anubis仍然是最流行的移動(dòng)惡意軟件，其次是Hiddad和AhMyth。

1. Anubis – Anubis 是一種專為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自從最初被發(fā)現(xiàn)以來(lái)，它已經(jīng)獲得了額外的功能，包括遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。已在 Google 商店中提供的數(shù)百種不同應(yīng)用程序中檢測(cè)到它。
2. Hiddad – Hiddad 是一種 Android 惡意軟件，它會(huì)重新打包合法應(yīng)用程序，然后將它們發(fā)布到第三方商店。它的主要功能是顯示廣告，但它也可以訪問(wèn)操作系統(tǒng)內(nèi)置的關(guān)鍵安全細(xì)節(jié)。
3. AhMyth – AhMyth 是一種遠(yuǎn)程訪問(wèn)木馬 (RAT)，于 2017 年被發(fā)現(xiàn)。它通過(guò)可在應(yīng)用商店和各種網(wǎng)站上找到的 Android 應(yīng)用進(jìn)行分發(fā)。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時(shí)，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤記錄、截屏、發(fā)送短信和激活相機(jī)等操作，這些操作通常用于竊取敏感信息。