2024 年 3 月全球威脅指數(shù)顯示，研究人員發(fā)現(xiàn)黑客利用虛擬硬盤(pán) (VHD) 文件部署遠(yuǎn)程訪問(wèn)木馬 (RAT) Remcos。與此同時(shí)，盡管執(zhí)法部門(mén)在 2 月份取締了Lockbit3，但 Lockbit3 仍然是 3 月份最流行的勒索軟件組織，盡管其在 200 個(gè) Check Point 監(jiān)控的勒索軟件“恥辱網(wǎng)站”上的頻率從 20% 減少到 12%。

Remcos 是一種已知的惡意軟件，自 2016 年以來(lái)一直在野外出現(xiàn)。這一最新活動(dòng)繞過(guò)了常見(jiàn)的安全措施，使網(wǎng)絡(luò)犯罪分子能夠未經(jīng)授權(quán)訪問(wèn)受害者的設(shè)備。盡管其合法起源是遠(yuǎn)程管理 Windows 系統(tǒng)，但網(wǎng)絡(luò)犯罪分子很快就開(kāi)始利用該工具的能力來(lái)感染設(shè)備、捕獲屏幕截圖、記錄擊鍵并將收集的數(shù)據(jù)傳輸?shù)街付ǖ闹鳈C(jī)服務(wù)器。此外，RAT 具有群發(fā)郵件功能，可以發(fā)起分發(fā)活動(dòng)，總體而言，其各種功能可用于創(chuàng)建僵尸網(wǎng)絡(luò)。上個(gè)月，它在惡意軟件排行榜上的排名從 2 月份的第六位上升到第四位。

攻擊策略的演變凸顯了網(wǎng)絡(luò)犯罪策略的不斷進(jìn)步。這強(qiáng)調(diào)了組織需要優(yōu)先考慮主動(dòng)網(wǎng)絡(luò)安全措施。通過(guò)保持警惕、部署強(qiáng)大的端點(diǎn)保護(hù)并培養(yǎng)網(wǎng)絡(luò)安全意識(shí)文化，我們可以共同加強(qiáng)對(duì)不斷變化的網(wǎng)絡(luò)威脅的防御。

雙重勒索勒索軟件團(tuán)體運(yùn)行的勒索軟件“羞恥網(wǎng)站”。Lockbit3 再次以 12% 的已發(fā)布攻擊排名第一，其次是 Play（占 10%）和 Blackbasta（占 9%）。Blackbasta 首次進(jìn)入前三名，聲稱對(duì)蘇格蘭律師事務(wù)所Scullion Law最近遭受的網(wǎng)絡(luò)攻擊負(fù)責(zé)。

上個(gè)月，最常被利用的漏洞是“Web 服務(wù)器惡意 URL 目錄遍歷”，影響了全球 50% 的組織，緊隨其后的是“HTTP 命令注入”，占 48%，“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行”占 43%。

2024年3月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化

FakeUpdates是上個(gè)月最流行的惡意軟件，對(duì)全球組織的影響達(dá)6%，其次是Qbot ，對(duì)全球影響達(dá)3%， Formbook對(duì)全球影響達(dá)2%。

1. ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個(gè)用 JavaScript 編寫(xiě)的下載器。它在啟動(dòng)有效負(fù)載之前將其寫(xiě)入磁盤(pán)。FakeUpdates 通過(guò)許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）導(dǎo)致進(jìn)一步的危害。
2. ? Qbot – Qbot 又稱 Qakbot 是一種多用途惡意軟件，首次出現(xiàn)于 2008 年。它旨在竊取用戶的憑據(jù)、記錄擊鍵、從瀏覽器竊取 cookie、監(jiān)視銀行活動(dòng)以及部署其他惡意軟件。Qbot 通常通過(guò)垃圾郵件進(jìn)行分發(fā)，它采用多種反虛擬機(jī)、反調(diào)試和反沙箱技術(shù)來(lái)阻礙分析和逃避檢測(cè)。從 2022 年開(kāi)始，它成為最流行的特洛伊木馬之一。
3. ? Formbook – Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格，它在地下黑客論壇中以惡意軟件即服務(wù) (MaaS) 的形式進(jìn)行銷售。Formbook 從各種 Web 瀏覽器獲取憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
4. ^ Remcos – Remcos 是一種于 2016 年首次出現(xiàn)的 RAT。Remcos 通過(guò)附加在垃圾郵件中的惡意 Microsoft Office 文檔進(jìn)行傳播，旨在繞過(guò) Microsoft Windows UAC 安全性并以高級(jí)權(quán)限執(zhí)行惡意軟件。
5. ↑ AgentTesla – AgentTesla 是一種高級(jí) RAT，充當(dāng)鍵盤(pán)記錄器和信息竊取程序，能夠監(jiān)控和收集受害者的鍵盤(pán)輸入、截取屏幕截圖以及竊取受害者計(jì)算機(jī)上安裝的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox）和 Microsoft Outlook 電子郵件客戶端）。
6. ↓ AsyncRat – Asyncrat 是一種針對(duì) Windows 平臺(tái)的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令來(lái)下載并執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。
7. ↑ CloudEyE – CloudEye是一款針對(duì)Windows平臺(tái)的下載器，用于在受害者計(jì)算機(jī)上下載并安裝惡意程序。
8. ↓ Nanocore – NanoCore 是一種針對(duì) Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問(wèn)木馬，于 2013 年首次在野外觀察到。所有版本的 RAT 都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會(huì)話盜竊。
9. ^ NJRat – NJRat 是一種遠(yuǎn)程訪問(wèn)木馬，主要針對(duì)中東的政府機(jī)構(gòu)和組織。該木馬首次出現(xiàn)于 2012 年，具有多種功能：捕獲擊鍵、訪問(wèn)受害者的攝像頭、竊取瀏覽器中存儲(chǔ)的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過(guò)網(wǎng)絡(luò)釣魚(yú)攻擊和偷渡式下載感染受害者，并在命令與控制服務(wù)器軟件的支持下通過(guò)受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。
10. ↓Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)，以通過(guò)垃圾郵件活動(dòng)分發(fā)其他惡意軟件系列以及助長(zhǎng)大規(guī)模性勒索活動(dòng)而聞名。

最常被利用的漏洞 

上個(gè)月，“ Web 服務(wù)器惡意 URL 目錄遍歷”是最容易被利用的漏洞，影響了 全球50%的組織，其次是“HTTP 命令注入”（48%）和“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行”（43%）。

1. ? Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、 CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –有不同Web服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者披露或訪問(wèn)易受攻擊的服務(wù)器上的任意文件。
2. ? HTTP 命令注入（CVE-2021-43936、CVE-2022-24086） – 已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功利用該漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
3. ↑ HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行 ( CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標(biāo)頭允許客戶端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
4. ↓ Zyxel ZyWALL 命令注入 (CVE-2023-28771) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意操作系統(tǒng)命令。
5. ? Apache Struts2 遠(yuǎn)程執(zhí)行代碼 (CVE-2017-5638) – Apache Struts2 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
6. ↑ WordPress portable-phpMyAdmin 插件身份驗(yàn)證繞過(guò) (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗(yàn)證繞過(guò)漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并對(duì)受影響的系統(tǒng)進(jìn)行未經(jīng)授權(quán)的訪問(wèn)。
7. ↓ PHP 彩蛋信息泄露 (CVE-2015-2051) – PHP 頁(yè)面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過(guò)向受影響的 PHP 頁(yè)面發(fā)送特制 URL 來(lái)利用此漏洞。
8. ↑ MVPower CCTV DVR 遠(yuǎn)程執(zhí)行代碼 (CVE-2016-20016) – MVPower CCTV DVR 中存在遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
9. ↑ Dasan GPON 路由器身份驗(yàn)證繞過(guò) (CVE-2012-5469) – PHPUnit 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意命令。
10. ? OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） – OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數(shù)據(jù)包時(shí)出現(xiàn)錯(cuò)誤造成的。攻擊者可以利用此漏洞泄露所連接的客戶端或服務(wù)器的內(nèi)存內(nèi)容。

熱門(mén)移動(dòng)惡意軟件

上個(gè)月，Anubis作為最流行的移動(dòng)惡意軟件排名第一，其次是AhMyth和Cerberus。

1. ? Anubis – Anubis 是一種專為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自最初檢測(cè)到以來(lái)，它已獲得了額外的功能，包括遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能、鍵盤(pán)記錄器、錄音功能和各種勒索軟件功能。Google 商店中數(shù)百個(gè)不同的應(yīng)用程序已檢測(cè)到該病毒。
2. ? AhMyth – AhMyth 是 2017 年發(fā)現(xiàn)的遠(yuǎn)程訪問(wèn)木馬 (RAT)。它通過(guò) Android 應(yīng)用程序分發(fā)，可在應(yīng)用程序商店和各種網(wǎng)站上找到。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時(shí)，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤(pán)記錄、截圖、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
3. ↑ Cerberus – Cerberus 于 2019 年 6 月首次出現(xiàn)，是一種遠(yuǎn)程訪問(wèn)木馬 (RAT)，具有針對(duì) Android 設(shè)備的特定銀行屏幕覆蓋功能。Cerberus 以惡意軟件即服務(wù) (MaaS) 模式運(yùn)營(yíng)，取代了 Anubis 和 Exobot 等已停產(chǎn)的銀行。其功能包括短信控制、按鍵記錄、錄音、位置跟蹤器等。

全球受攻擊最嚴(yán)重的行業(yè)

上個(gè)月，教育/研究在全球受攻擊最嚴(yán)重的行業(yè)中仍然位居榜首，其次是政府/軍事和通信。

• 教育/研究
• 政府/軍隊(duì)
• 通訊

頂級(jí)勒索軟件團(tuán)體

本節(jié)提供來(lái)自雙重勒索勒索軟件團(tuán)體運(yùn)營(yíng)的勒索軟件“恥辱網(wǎng)站”的信息，這些勒索軟件團(tuán)體發(fā)布了受害者的姓名和信息。這些羞恥網(wǎng)站的數(shù)據(jù)帶有其自身的偏見(jiàn)，但仍然為勒索軟件生態(tài)系統(tǒng)提供了有價(jià)值的見(jiàn)解

Lockbit3是上個(gè)月最流行的勒索軟件組織，占已發(fā)布攻擊的12%，其次是Play（占10%）和Blackbasta（占9%）。

• Lockbit3 – LockBit 是一種勒索軟件，以 RaaS 模式運(yùn)行，于 2019 年 9 月首次報(bào)告。LockBit 針對(duì)來(lái)自不同國(guó)家的大型企業(yè)和政府實(shí)體，不針對(duì)俄羅斯或獨(dú)立國(guó)家聯(lián)合體的個(gè)人。盡管由于執(zhí)法行動(dòng)，Lockbit 在 2024 年 2 月經(jīng)歷了嚴(yán)重的服務(wù)中斷，但仍恢復(fù)發(fā)布有關(guān)受害者的信息。
• Play – Play 勒索軟件，也稱為 PlayCrypt，是一種于 2022 年 6 月首次出現(xiàn)的勒索軟件。該勒索軟件針對(duì)北美、南美和歐洲的廣泛企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施，到 2023 年 10 月影響約 300 個(gè)實(shí)體Play 勒索軟件通常通過(guò)受損的有效帳戶或利用未修補(bǔ)的漏洞（例如 Fortinet SSL VPN 中的漏洞）來(lái)訪問(wèn)網(wǎng)絡(luò)。一旦進(jìn)入內(nèi)部，它就會(huì)采用諸如使用 live-off-the-land 二進(jìn)制文件 (LOLBins) 等技術(shù)來(lái)執(zhí)行數(shù)據(jù)泄露和憑證盜竊等任務(wù)。
• Blackbasta – BlackBasta 勒索軟件于 2022 年首次觀察到，并以勒索軟件即服務(wù) (RaaS) 的形式運(yùn)行。其背后的威脅行為者主要針對(duì)組織和個(gè)人，通過(guò)利用 RDP 漏洞和網(wǎng)絡(luò)釣魚(yú)電子郵件來(lái)傳播勒索軟件。