2024年1月全球威脅指數(shù)中，研究人員發(fā)現(xiàn)了一種名為 VexTrio 的新型普遍流量分發(fā)系統(tǒng) (TDS)，該系統(tǒng)已通過由70,000多個受感染站點(diǎn)組成的網(wǎng)絡(luò)為60多家附屬機(jī)構(gòu)提供了幫助。與此同時，在新推出的指數(shù)排名中，LockBit3 被評為最流行的勒索軟件組，而教育仍然是全球受影響最嚴(yán)重的行業(yè)。

VexTrio 至少從 2017 年開始活躍，與數(shù)十名同事合作，通過復(fù)雜的 TDS 傳播惡意內(nèi)容。VexTrio 使用類似于合法營銷聯(lián)屬網(wǎng)絡(luò)的系統(tǒng)，其活動通常很難被發(fā)現(xiàn)，盡管活躍了六年多，但其運(yùn)營規(guī)模卻基本上未被注意到。這是因?yàn)閹缀鯖]有將其與特定威脅參與者或攻擊鏈聯(lián)系起來，由于廣泛的網(wǎng)絡(luò)和先進(jìn)的操作，使其成為相當(dāng)大的網(wǎng)絡(luò)安全風(fēng)險。

Check Point Software 研究副總裁 Maya Horowitz 表示：“網(wǎng)絡(luò)犯罪分子已經(jīng)從單純的黑客演變?yōu)槠垓_的策劃者，VexTrio 再次提醒人們該行業(yè)已變得多么具有商業(yè)頭腦?！?nbsp;“為了確保安全，個人和組織應(yīng)優(yōu)先考慮定期網(wǎng)絡(luò)安全更新，采用強(qiáng)大的端點(diǎn)保護(hù)，并培養(yǎng)保持警惕的在線實(shí)踐文化。通過保持信息靈通和積極主動，我們可以共同加強(qiáng)防御，抵御新興網(wǎng)絡(luò)威脅帶來的不斷變化的危險?！?/p>

Check Point 索引現(xiàn)在首次根據(jù) 200 多個羞恥網(wǎng)站的活動對最流行的勒索軟件組進(jìn)行了排名。上個月，LockBit3 是最流行的勒索軟件組織，造成了 20% 的已發(fā)布攻擊。他們對一月份的一些重大事件負(fù)責(zé)，包括對三明治連鎖店賽百味和芝加哥圣安東尼醫(yī)院的襲擊。

此外，CPR 還透露，全球最常被利用的漏洞是“HTTP 命令注入”，影響了 44% 的組織，其次是影響 41% 的“Web 服務(wù)器惡意 URL 目錄遍歷”，以及影響全球的“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行” 40%。

2024年1月“十惡不赦”

*箭頭表示與上個月相比的排名變化

Fak eUpdates是本月最流行的惡意軟件，影響了全球 4% 的組織，其次是Qbot，影響了 3%，其次是Formbook，影響了 2%。

• ? F akeUpdates – FakeUpdates（又名 SocGholish）是一個用 JavaScript 編寫的下載器。它在啟動有效負(fù)載之前將其寫入磁盤。FakeUpdates 通過許多其他惡意軟件導(dǎo)致了進(jìn)一步的危害，包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult。
• ↑ Qbot – Qbot 又稱 Qakbot 是一種多用途惡意軟件，首次出現(xiàn)于 2008 年。它旨在竊取用戶的憑據(jù)、記錄擊鍵、竊取瀏覽器的 cookie、監(jiān)視銀行活動以及部署其他惡意軟件。Qbot 通常通過垃圾郵件進(jìn)行分發(fā)，它采用多種反虛擬機(jī)、反調(diào)試和反沙箱技術(shù)來阻礙分析和逃避檢測。從 2022 年開始，它成為最流行的特洛伊木馬之一。
• ↓Formbook – Formbook 是一款針對 Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對較低的價格，它在地下黑客論壇中以惡意軟件即服務(wù) (MaaS) 的形式進(jìn)行銷售。Formbook 從各種 Web 瀏覽器獲取憑據(jù)、收集屏幕截圖、監(jiān)控并記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
• ↓ Nanocore – Nanocore 是一種針對 Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問木馬，于 2013 年首次在野外觀察到。所有版本的 RAT 都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會話盜竊。
• ? AsyncRAT – AsyncRAT 是一種針對 Windows 平臺的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令來下載并執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。
• ↓ Remcos – Remcos 是一種于 2016 年首次出現(xiàn)的 RAT。Remcos 通過惡意 Microsoft Office 文檔進(jìn)行傳播，這些文檔附加在垃圾郵件中，旨在繞過 Microsoft Windows UAC 安全性并以高級權(quán)限執(zhí)行惡意軟件。
• ? Phorpiex – Phorpiex 是一個僵尸網(wǎng)絡(luò)（又名 Trik），自 2010 年以來一直活躍，在高峰期控制了超過一百萬受感染的主機(jī)。它以通過垃圾郵件活動分發(fā)其他惡意軟件系列以及助長大規(guī)模垃圾郵件和性勒索活動而聞名。
• ↑ Ramnit – Ramnit 特洛伊木馬是一種能夠泄露敏感數(shù)據(jù)的惡意軟件。此類數(shù)據(jù)可以包括銀行憑證、FTP 密碼、會話 cookie 和個人數(shù)據(jù)等任何內(nèi)容。
• ↓ NJRat – NJRat 是一種遠(yuǎn)程訪問木馬，主要針對中東的政府機(jī)構(gòu)和組織。該木馬首次出現(xiàn)于 2012 年，具有多種功能：捕獲擊鍵、訪問受害者的攝像頭、竊取瀏覽器中存儲的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過網(wǎng)絡(luò)釣魚攻擊和偷渡式下載感染受害者，并在命令與控制服務(wù)器軟件的支持下通過受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動器進(jìn)行傳播。
• ↓ AgentTesla – AgentTesla 是一種高級 RAT，充當(dāng)鍵盤記錄器和信息竊取程序，能夠監(jiān)控和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截取屏幕截圖以及竊取受害者計(jì)算機(jī)上安裝的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。

最常被利用的漏洞 

上個月，“HTTP 命令注入”是最常被利用的漏洞，影響了全球 44% 的組織，其次是“Web 服務(wù)器惡意 URL 目錄遍歷”，影響了 41%，“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行”影響了全球 40% 。

• ↑ HTTP 命令注入（CVE-2021-43936、CVE-2022-24086） ——已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過向受害者發(fā)送特制請求來利用此問題。成功利用該漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
• ? Web 服務(wù)器惡意 URL 目錄遍歷（CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、 CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –有不同Web服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯誤導(dǎo)致的，該錯誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者披露或訪問易受攻擊的服務(wù)器上的任意文件。
• ↑ HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行– HTTP 標(biāo)頭允許客戶端和服務(wù)器通過 HTTP 請求傳遞附加信息。遠(yuǎn)程攻擊者可能使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
• ↓ Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228) – Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ↑ Apache HTTP Server 目錄遍歷 (CVE-2021-41773) – Apache HTTP Server 中存在目錄遍歷漏洞。成功利用此漏洞可能允許攻擊者訪問受影響系統(tǒng)上的任意文件。
• ↑ TP-Link TL-WR840N/TL-WR841N 身份驗(yàn)證繞過- TP-Link WR840N 和 TL-WR841N 路由器中存在身份驗(yàn)證繞過漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并對受影響的系統(tǒng)進(jìn)行未經(jīng)授權(quán)的訪問。
• ? PHP 復(fù)活節(jié)彩蛋信息泄露 (CVE-2015-2051) – PHP 頁面中報(bào)告了一個信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過向受影響的 PHP 頁面發(fā)送特制 URL 來利用此漏洞。
• ↑ Atlassian Confluence 模板注入 (CVE-2023-22527) – Confluence 是一個基于 Web 的企業(yè) wiki 應(yīng)用程序，使團(tuán)隊(duì)能夠共享業(yè)務(wù)相關(guān)信息。Confluence 是 Atlassian Wiki 的一部分。該應(yīng)用程序可以安裝在組織的內(nèi)部服務(wù)器上，也可以在 Atlassian 服務(wù)器上遠(yuǎn)程使用。
• ^ Muieblackcat PHP Scanner - Muieblackcat 是一款漏洞掃描產(chǎn)品。遠(yuǎn)程攻擊者可以使用 Muieblackcat 來檢測目標(biāo)服務(wù)器上的漏洞。
• ↑ Atlassian Confluence 服務(wù)器任意文件讀取 (CVE-2021-26085) – Atlassian Confluence 服務(wù)器中存在任意文件讀取漏洞。成功利用此漏洞可能允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者訪問和讀取任意文件。

熱門移動惡意軟件

上個月，Anubis仍然位居最流行的移動惡意軟件榜首，其次是AhMyth和Hiddad。

• Anubis – Anubis 是一種專為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自最初檢測到以來，它已獲得了額外的功能，包括遠(yuǎn)程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。Google 商店中數(shù)百個不同的應(yīng)用程序已檢測到該病毒。
• AhMyth – AhMyth 是 2017 年發(fā)現(xiàn)的遠(yuǎn)程訪問木馬 (RAT)。它通過 Android 應(yīng)用程序分發(fā)，可在應(yīng)用程序商店和各種網(wǎng)站上找到。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤記錄、截圖、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
• Hiddad – Hiddad 是一種 Android 惡意軟件，它會重新打包合法應(yīng)用程序，然后將其發(fā)布到第三方商店。它的主要功能是展示廣告，但它也可以訪問操作系統(tǒng)內(nèi)置的關(guān)鍵安全細(xì)節(jié)。

全球受攻擊最嚴(yán)重的行業(yè)

上個月，教育/研究在全球受攻擊行業(yè)中仍然位居首位，其次是政府/軍事和醫(yī)療保健。

• 教育/研究
• 政府/軍隊(duì)
• 衛(wèi)生保健

頂級勒索軟件組

本節(jié)包含來自雙重勒索勒索軟件組織運(yùn)營的近 200 個勒索軟件“恥辱網(wǎng)站”的信息，其中 68 個今年發(fā)布了受害者的姓名和信息。網(wǎng)絡(luò)犯罪分子利用這些網(wǎng)站向不立即支付贖金的受害者施加壓力。這些羞恥網(wǎng)站的數(shù)據(jù)帶有其自身的偏見，但仍然為勒索軟件生態(tài)系統(tǒng)提供了有價值的見解，而勒索軟件生態(tài)系統(tǒng)目前是企業(yè)面臨的第一大風(fēng)險。

上個月，LockBit3是最流行的勒索軟件組織，占已發(fā)布攻擊的 20%，其次是8Base（占 10%）和Akira（占 9%）。

• LockBit3 – LockBit3 是一種勒索軟件，以RaaS模式運(yùn)行，于 2019 年 9 月首次報(bào)告。LockBit3 針對來自不同國家的大型企業(yè)和政府實(shí)體，不針對俄羅斯或獨(dú)立國家聯(lián)合體的個人。
• 8base – 8Base 威脅組織是一個勒索軟件團(tuán)伙，至少自 2022 年 3 月起就一直活躍。由于其活動顯著增加，該團(tuán)伙在 2023 年中期聲名狼藉。據(jù)觀察，該組織使用了多種勒索軟件變體，其中 Phobos 是常見的元素。8Base 的運(yùn)作相當(dāng)復(fù)雜，他們在勒索軟件中使用了先進(jìn)技術(shù)就證明了這一點(diǎn)。該組織的手段包括雙重勒索策略。
• Akira – Akira 勒索軟件于 2023 年初首次報(bào)告，針對 Windows 和 Linux 系統(tǒng)。它使用 CryptGenRandom 和 Chacha 2008 的對稱加密進(jìn)行文件加密，與泄露的 Conti v2 勒索軟件類似。Akira 通過各種方式傳播，包括受感染的電子郵件附件和 VPN 端點(diǎn)中的漏洞。感染后，它會加密數(shù)據(jù)并附加“. akira”擴(kuò)展名的文件名，然后提出勒索信要求支付解密費(fèi)用。