2023年12月全球威脅指數(shù)顯示，在美國(guó)和國(guó)際執(zhí)法機(jī)構(gòu)于2023年8月的“獵鴨行動(dòng)”中拆除 Qbot 基礎(chǔ)設(shè)施四個(gè)月后，研究人員發(fā)現(xiàn)了 Qbot 的復(fù)活。同時(shí)，JavaScript 下載器 FakeUpdates 躍居第一，教育仍然是受影響最大的全球工業(yè)。

上個(gè)月，Qbot惡意軟件被網(wǎng)絡(luò)犯罪分子用作針對(duì)酒店業(yè)組織的有限規(guī)模網(wǎng)絡(luò)釣魚攻擊的一部分。在此次活動(dòng)中，研究人員發(fā)現(xiàn)黑客冒充 IRS 發(fā)送惡意電子郵件，其中包含 PDF 附件，其中嵌入了鏈接到 Microsoft 安裝程序的 URL。一旦激活，就會(huì)觸發(fā)一個(gè)看不見(jiàn)的 Qbot 版本，該版本利用嵌入式動(dòng)態(tài)鏈接庫(kù) (DLL)。在 8 月份被下架之前，Qbot 在威脅指數(shù)中占據(jù)主導(dǎo)地位，連續(xù) 10 個(gè)月被列為最流行的三大惡意軟件之一。盡管它還沒(méi)有重返榜單，但接下來(lái)的幾個(gè)月將決定它是否會(huì)恢復(fù)以前的惡名。

與此同時(shí)，F(xiàn)akeUpdates 在 2023 年底重新崛起后繼續(xù)上升，以 2% 的全球影響力排名第一。Nanocore 也連續(xù)六個(gè)月保持前五名的位置，12 月排名第三，Ramnit 和 Glupteba 也有新的參賽作品。

在其分發(fā)基礎(chǔ)設(shè)施被拆除不到四個(gè)月后，Qbot 就出現(xiàn)在野外，這提醒我們，雖然我們可以破壞惡意軟件活動(dòng)，但其背后的攻擊者將適應(yīng)新技術(shù)。這就是為什么鼓勵(lì)組織對(duì)端點(diǎn)安全采取預(yù)防性方法，并對(duì)電子郵件的來(lái)源和意圖進(jìn)行盡職調(diào)查。

“Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228) 和“Web 服務(wù)器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球 46% 的組織?！癦yxel ZyWALL 命令注入 (CVE-2023-28771)”緊隨其后，全球影響率為 43%。

2023年12月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化。

FakeUpdates和Formbook是上個(gè)月最流行的惡意軟件，影響了全球2% 的組織，其次是Nanocore，影響了全球1% 的組織。

• ↑ FakeUpdates – FakeUpdates（又名 SocGholish）是一個(gè)用 JavaScript 編寫的下載器。它在啟動(dòng)有效負(fù)載之前將其寫入磁盤。FakeUpdates 可能會(huì)通過(guò)其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）導(dǎo)致進(jìn)一步的危害。
• ↓ Formbook – Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格，它在地下黑客論壇中以惡意軟件即服務(wù) (MaaS) 的形式進(jìn)行銷售。Formbook 從各種 Web 瀏覽器獲取憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
• ↑ Nanocore – Nanocore 是一種針對(duì) Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問(wèn)木馬，于 2013 年首次在野外發(fā)現(xiàn)。所有版本的 RAT 都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會(huì)話盜竊。
• ↓ Remcos – Remcos 是一種于 2016 年首次出現(xiàn)的 RAT。Remcos 通過(guò)惡意 Microsoft Office 文檔進(jìn)行傳播，這些文檔附加在垃圾郵件中，旨在繞過(guò) Microsoft Windows UAC 安全性并以高級(jí)權(quán)限執(zhí)行惡意軟件。
• ↑ AsyncRat – AsyncRat 是一種針對(duì) Windows 平臺(tái)的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令來(lái)下載并執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。
• ↓ AgentTesla – AgentTesla 是一種高級(jí) RAT，充當(dāng)鍵盤記錄器和信息竊取程序，能夠監(jiān)控和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截取屏幕截圖以及竊取受害者計(jì)算機(jī)上安裝的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。
• ^ Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)（又名 Trik），自 2010 年以來(lái)一直活躍，在高峰時(shí)期控制了超過(guò)一百萬(wàn)臺(tái)受感染的主機(jī)。它以通過(guò)垃圾郵件活動(dòng)分發(fā)其他惡意軟件系列以及助長(zhǎng)大規(guī)模垃圾郵件和性勒索活動(dòng)而聞名。
• ↓ NJRat – NJRat 是一種遠(yuǎn)程訪問(wèn)木馬，主要針對(duì)中東的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問(wèn)受害者的攝像頭、竊取瀏覽器中存儲(chǔ)的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過(guò)網(wǎng)絡(luò)釣魚攻擊和偷渡式下載感染受害者，并在命令與控制服務(wù)器軟件的支持下通過(guò)受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。
• ↑ Ramnit – Ramnit 特洛伊木馬是一種能夠泄露敏感數(shù)據(jù)的惡意軟件。此類數(shù)據(jù)可以包括銀行憑證、FTP 密碼、會(huì)話 cookie 和個(gè)人數(shù)據(jù)等任何內(nèi)容。
• ^ Glupteba – 自 2011 年以來(lái)已知，Glupteba 是一個(gè)逐漸成熟為僵尸網(wǎng)絡(luò)的后門。到 2019 年，它包括通過(guò)公共比特幣列表的 C&C 地址更新機(jī)制、集成的瀏覽器竊取程序功能和路由器利用程序。

最常被利用的漏洞 

上個(gè)月，“Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228)”和“Web 服務(wù)器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了 全球46%的組織，其次是“Zyxel ZyWALL 命令注入”(CVE-2023) -28771)”，全球影響力達(dá)43%。

• ↑ Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228) – Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ? Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、 CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –有不同Web服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者披露或訪問(wèn)易受攻擊的服務(wù)器上的任意文件。
• ? Zyxel ZyWALL 命令注入 (CVE-2023-28771) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意操作系統(tǒng)命令。
• ↓通過(guò) HTTP 進(jìn)行命令注入（CVE-2021-43936、CVE-2022-24086） ——已報(bào)告通過(guò) HTTP 進(jìn)行命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功利用該漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
• ↑ PHP 復(fù)活節(jié)彩蛋信息泄露 (CVE-2015-2051) – PHP 頁(yè)面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過(guò)向受影響的 PHP 頁(yè)面發(fā)送特制 URL 來(lái)利用此漏洞。
• ↑ MVPower CCTV DVR 遠(yuǎn)程執(zhí)行代碼 (CVE-2016-20016) - MVPower CCTV DVR 中存在遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ↓ WordPress portable-phpMyAdmin 插件身份驗(yàn)證繞過(guò) (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并對(duì)受影響的系統(tǒng)進(jìn)行未經(jīng)授權(quán)的訪問(wèn)。
• ^ OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） – OpenSSL TLS DTLS 心跳信息泄露 OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數(shù)據(jù)包時(shí)出現(xiàn)錯(cuò)誤造成的。攻擊者可以利用此漏洞泄露所連接的客戶端或服務(wù)器的內(nèi)存內(nèi)容。
• ↓ HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行– HTTP 標(biāo)頭允許客戶端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
• ↑  D-Link 多個(gè)產(chǎn)品遠(yuǎn)程執(zhí)行代碼 (CVE-2015-2051) – 多個(gè) D-Link 產(chǎn)品中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。

熱門移動(dòng)惡意軟件

上個(gè)月，Anubis仍然位居最流行移動(dòng)惡意軟件的首位，其次是AhMyth和Hiddad。

• Anubis – Anubis 是一種專為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自最初檢測(cè)到以來(lái)，它已獲得了額外的功能，包括遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。Google 商店中數(shù)百個(gè)不同的應(yīng)用程序已檢測(cè)到該病毒。
• AhMyth – AhMyth 是 2017 年發(fā)現(xiàn)的遠(yuǎn)程訪問(wèn)木馬 (RAT)。它通過(guò) Android 應(yīng)用程序分發(fā)，可在應(yīng)用程序商店和各種網(wǎng)站上找到。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時(shí)，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤記錄、截圖、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
• Hiddad – Hiddad 是一種 Android 惡意軟件，它會(huì)重新打包合法應(yīng)用程序，然后將其發(fā)布到第三方商店。它的主要功能是展示廣告，但它也可以訪問(wèn)操作系統(tǒng)內(nèi)置的關(guān)鍵安全細(xì)節(jié)。

全球受攻擊最嚴(yán)重的行業(yè)

上個(gè)月，教育/研究仍然是全球最受攻擊的行業(yè)，其次是通信和政府/軍事。

• 教育/研究
• 通訊
• 政府/軍隊(duì)