微軟7月份的周二發(fā)布了更新，以解決其軟件中總共132 個(gè)新的安全漏洞，其中包括 6 個(gè)據(jù)稱(chēng)已被廣泛利用的零日漏洞。在 132 個(gè)漏洞中，有 9 個(gè)漏洞被評(píng)為“嚴(yán)重”，122 個(gè)漏洞的嚴(yán)重程度被評(píng)為“重要”，還有 1 個(gè)漏洞的嚴(yán)重程度評(píng)級(jí)為“無(wú)”。除此之外，這家科技巨頭上月底還修復(fù)了其基于 Chromium 的 Edge 瀏覽器中的八個(gè)缺陷。

回顧過(guò)去一個(gè)月，6月份依然是精彩紛呈。

Qbot 最初于 2008 年作為銀行木馬出現(xiàn)，經(jīng)過(guò)不斷的發(fā)展，獲得了額外的功能，用于竊取密碼、電子郵件和信用卡詳細(xì)信息。它通常通過(guò)垃圾郵件傳播，并采用反虛擬機(jī)、反調(diào)試和反沙箱方法等各種技術(shù)來(lái)阻礙分析并避免檢測(cè)。目前，其主要作用是充當(dāng)其他惡意軟件的加載程序并在目標(biāo)組織中建立存在，作為勒索軟件組織運(yùn)營(yíng)商的墊腳石。

與此同時(shí)，研究人員發(fā)現(xiàn)了一種多產(chǎn)的移動(dòng)惡意軟件，迄今為止已累計(jì)下載 4.21 億次。上個(gè)月，木馬軟件開(kāi)發(fā)工具包 (SDK) SpinOk 首次躋身移動(dòng)惡意軟件家族之首。該惡意軟件被許多流行的應(yīng)用程序用于營(yíng)銷(xiāo)目的，已滲透到非常流行的應(yīng)用程序和游戲中，其中一些可以在 Google Play 商店中找到。SpinOk 惡意軟件能夠從設(shè)備竊取敏感信息并監(jiān)控剪貼板活動(dòng)，對(duì)用戶隱私和安全構(gòu)成嚴(yán)重威脅，凸顯了采取主動(dòng)措施保護(hù)個(gè)人數(shù)據(jù)和移動(dòng)設(shè)備的必要性。它還清楚地提醒我們軟件供應(yīng)鏈攻擊的破壞性潛力。

上個(gè)月還發(fā)起了大規(guī)模勒索軟件活動(dòng)，影響了全球組織。2023 年 5 月，Progress Software Corporation 披露了MOVEit Transfer 和 MOVEit Cloud 中的一個(gè)漏洞(CVE-2023-34362)，該漏洞可能允許未經(jīng)授權(quán)的環(huán)境訪問(wèn)。盡管該漏洞在 48 小時(shí)內(nèi)得到了修復(fù)，但與俄羅斯附屬勒索軟件組織 Clop 相關(guān)的網(wǎng)絡(luò)犯罪分子還是利用了該漏洞，對(duì) MOVEit 用戶發(fā)起了供應(yīng)鏈攻擊。迄今為止，事件發(fā)生后，包括七所美國(guó)大學(xué)在內(nèi)的 108 個(gè)組織已被公開(kāi)列出，并獲得了成百上千條記錄。

MOVEit 漏洞證明 2023 年已經(jīng)成為勒索軟件的重要一年。像 Clop 這樣的知名組織并沒(méi)有采取戰(zhàn)術(shù)感染單個(gè)目標(biāo)，而是通過(guò)利用專(zhuān)業(yè)環(huán)境中廣泛使用的軟件來(lái)提高其行動(dòng)效率。這意味著他們可以在一次攻擊中接觸到數(shù)百名受害者，這強(qiáng)調(diào)了公司實(shí)施多層網(wǎng)絡(luò)安全策略并在漏洞披露時(shí)優(yōu)先修補(bǔ)的重要性。

“Web 服務(wù)器惡意 URL 目錄遍歷”是上個(gè)月最常被利用的漏洞，影響了全球 51% 的組織，其次是“Apache Log4j 遠(yuǎn)程代碼執(zhí)行”，影響了全球 46% 的組織。“HTTP 標(biāo)頭遠(yuǎn)程執(zhí)行代碼”是第三大最常用的漏洞，全球影響率為 44%。

2023年6月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化。

Qbot是上個(gè)月最流行的惡意軟件，影響了全球 7% 的組織，其次是Formbook，影響了全球 4%，Emotet影響了全球 3%。

? Qbot – Qbot 又稱(chēng) Qakbot 是一種多用途惡意軟件，首次出現(xiàn)于 2008 年。它旨在竊取用戶的憑據(jù)、記錄擊鍵、竊取瀏覽器的 cookie、監(jiān)視銀行活動(dòng)以及部署其他惡意軟件。Qbot 通常通過(guò)垃圾郵件進(jìn)行分發(fā)，它采用多種反虛擬機(jī)、反調(diào)試和反沙箱技術(shù)來(lái)阻礙分析和逃避檢測(cè)。

? Formbook – Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格，它在地下黑客論壇中以惡意軟件即服務(wù) (MaaS) 的形式進(jìn)行銷(xiāo)售。FormBook 從各種 Web 瀏覽器獲取憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。

↑ Emotet – Emotet 是一種先進(jìn)的、自我傳播的模塊化木馬。Emotet 曾經(jīng)被用作銀行木馬，最近已成為其他惡意軟件或惡意活動(dòng)的傳播者。它使用多種方法來(lái)維持持久性和逃避技術(shù)來(lái)避免檢測(cè)。此外，它還可以通過(guò)包含惡意附件或鏈接的網(wǎng)絡(luò)釣魚(yú)垃圾郵件進(jìn)行傳播。

? GuLoader – Guloader 是一款自 2019 年 12 月以來(lái)廣泛使用的下載器。當(dāng)它首次出現(xiàn)時(shí)，GuLoader 用于下載 Parallax RAT，但已應(yīng)用于其他遠(yuǎn)程訪問(wèn)木馬和信息竊取程序，例如 Netwire、FormBook 和 Agent Tesla 。

↑ XMRig – XMRig 是用于挖掘 Monero 加密貨幣的開(kāi)源 CPU 挖掘軟件。威脅行為者經(jīng)常濫用這種開(kāi)源軟件，將其集成到他們的惡意軟件中，在受害者的設(shè)備上進(jìn)行非法挖礦。

↓ AgentTesla – AgentTesla 是一種高級(jí) RAT，充當(dāng)鍵盤(pán)記錄器和信息竊取程序，能夠監(jiān)視和收集受害者的鍵盤(pán)輸入、系統(tǒng)鍵盤(pán)、截取屏幕截圖以及竊取受害者計(jì)算機(jī)上安裝的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。

^ Remcos – Remcos 是一種于 2016 年首次出現(xiàn)的 RAT。Remcos 通過(guò)惡意 Microsoft Office 文檔進(jìn)行傳播，這些文檔附加在垃圾郵件中，旨在繞過(guò) Microsoft Windows 的 UAC 安全性并以高級(jí)權(quán)限執(zhí)行惡意軟件。

↑ Nanocore – NanoCore 是一種針對(duì) Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問(wèn)木馬，于 2013 年首次在野外發(fā)現(xiàn)。所有版本的 RAT 都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會(huì)話盜竊。

↓ Lokibot – LokiBot 于 2016 年 2 月首次被發(fā)現(xiàn)，是一種商品信息竊取程序，具有適用于 Windows 和 Android 操作系統(tǒng)的版本。它從各種應(yīng)用程序、Web 瀏覽器、電子郵件客戶端、PuTTY 等 IT 管理工具中收集憑據(jù)。LokiBot 在黑客論壇上出售，據(jù)信其源代碼已被泄露，從而導(dǎo)致出現(xiàn)了眾多變種。自 2017 年底以來(lái)，LokiBot 的某些 Android 版本除了信息竊取功能外還包含勒索軟件功能。

↓ NJRat – NJRat 是一種遠(yuǎn)程訪問(wèn)木馬，主要針對(duì)中東的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問(wèn)受害者的攝像頭、竊取瀏覽器中存儲(chǔ)的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過(guò)網(wǎng)絡(luò)釣魚(yú)攻擊和偷渡式下載感染受害者，并在命令與控制服務(wù)器軟件的支持下通過(guò)受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。

全球受攻擊最多的行業(yè)Top 3

上個(gè)月，教育/研究仍然位居全球最受開(kāi)發(fā)行業(yè)的首位，其次是政府/軍事和醫(yī)療保健。

1. 教育/研究
2. 政府/軍隊(duì)
3. 衛(wèi)生保健

 最常被利用的漏洞

上個(gè)月，“Web 服務(wù)器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球51%的組織，其次是“Apache Log4j 遠(yuǎn)程代碼執(zhí)行”，影響了全球46%的組織?！癏TTP 標(biāo)頭遠(yuǎn)程執(zhí)行代碼”是第三大最常用的漏洞，全球影響率為44%。

1. ? Web 服務(wù)器惡意 URL 目錄遍歷 –不同 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者披露或訪問(wèn)易受攻擊的服務(wù)器上的任意文件。
2. ? Apache Log4j 遠(yuǎn)程執(zhí)行代碼 (CVE-2021-44228) – Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
3. ? HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756） – HTTP 標(biāo)頭允許客戶端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
4. ↑ Dasan GPON 路由器身份驗(yàn)證繞過(guò) (CVE-2018-10561) – Dasan GPON 路由器中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并對(duì)受影響的系統(tǒng)進(jìn)行未經(jīng)授權(quán)的訪問(wèn)。
5. ↓ MVPower CCTV DVR 遠(yuǎn)程執(zhí)行代碼 (CVE-2016-20016) - MVPower CCTV DVR 中存在遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
6. ↑ F5 BIG-IP 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-22986) – F5 BIG-IP 設(shè)備中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
7. ↑ PHP 復(fù)活節(jié)彩蛋信息泄露 (CVE-2015-2051) – PHP 頁(yè)面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過(guò)向受影響的 PHP 頁(yè)面發(fā)送特制 URL 來(lái)利用此漏洞。
8. ? HTTP 命令注入（CVE-2021-43936、CVE-2022-24086） – 已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功利用該漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
9. ↑ WordPress portable-phpMyAdmin 插件身份驗(yàn)證繞過(guò) (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并對(duì)受影響的系統(tǒng)進(jìn)行未經(jīng)授權(quán)的訪問(wèn)。
10. ↓ OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） - 該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數(shù)據(jù)包時(shí)出現(xiàn)錯(cuò)誤造成的。攻擊者可以利用此漏洞泄露所連接的客戶端或服務(wù)器的內(nèi)存內(nèi)容。

移動(dòng)惡意軟件Top 3

上個(gè)月，SpinOk在最流行的移動(dòng)惡意軟件中排名第一，其次是Anubis和AhMyth。

1. SpinOk – SpinOk 是一個(gè)作為間諜軟件運(yùn)行的 Android 軟件模塊。它收集有關(guān)設(shè)備上存儲(chǔ)的文件的信息，并能夠?qū)⑺鼈儌鬏斀o惡意威脅參與者。截至 5 月 23 日，該惡意模塊存在于 100 多個(gè) Android 應(yīng)用程序中，下載量超過(guò) 4.21 億次。
2. Anubis – Anubis 是一種專(zhuān)為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自最初檢測(cè)到以來(lái)，它已獲得了額外的功能，包括遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能、鍵盤(pán)記錄器、錄音功能和各種勒索軟件功能。Google 商店中數(shù)百個(gè)不同的應(yīng)用程序已檢測(cè)到該病毒。
3. AhMyth – AhMyth 是 2017 年發(fā)現(xiàn)的遠(yuǎn)程訪問(wèn)木馬 (RAT)。它通過(guò) Android 應(yīng)用程序分發(fā)，可在應(yīng)用程序商店和各種網(wǎng)站上找到。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時(shí)，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤(pán)記錄、截圖、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。