研究人員最近發(fā)現(xiàn) Androxgh0st 攻擊激增，這是一種針對(duì) Windows、Mac 和 Linux 平臺(tái)的木馬，在惡意軟件排行榜中直接躍居第二位。與此同時(shí)，盡管 LockBit3 的流行率有所下降，但仍以微弱優(yōu)勢(shì)保持最大勒索軟件類別的地位。

最新的 2024 年 4 月全球威脅指數(shù)顯示，研究人員發(fā)現(xiàn) Androxgh0st 攻擊的使用顯著增加，該惡意軟件被用作利用僵尸網(wǎng)絡(luò)竊取敏感信息的工具。與此同時(shí)，LockBit3 仍然是 4 月份最流行的勒索軟件組織，盡管其檢測(cè)率自年初以來下降了 55%，其全球影響力從 20% 降至 9%。

自 Androxgh0st 威脅行為者于 2022 年 12 月出現(xiàn)以來，研究人員一直在監(jiān)視該威脅行為者的活動(dòng)。攻擊者利用 CVE-2021-3129 和 CVE-2024-1709 等漏洞部署 Web shell 進(jìn)行遠(yuǎn)程控制，同時(shí)專注于構(gòu)建用于竊取憑據(jù)的僵尸網(wǎng)絡(luò)。FBI 和 CISA 聯(lián)合發(fā)布的網(wǎng)絡(luò)安全咨詢 (CSA) 中指出了這一點(diǎn)。值得注意的是，該惡意軟件操作者與 Adhublika 勒索軟件的分發(fā)有關(guān)。Androxgh0st 參與者表現(xiàn)出傾向于利用 Laravel 應(yīng)用程序中的漏洞來竊取 AWS、SendGrid 和 Twilio 等基于云的服務(wù)的憑證。最近的跡象表明，焦點(diǎn)已轉(zhuǎn)向構(gòu)建僵尸網(wǎng)絡(luò)以進(jìn)行更廣泛的系統(tǒng)利用。

與此同時(shí)，雙重勒索勒索軟件團(tuán)體運(yùn)營的“羞恥網(wǎng)站”的見解，這些網(wǎng)站發(fā)布受害者信息以向不付費(fèi)目標(biāo)施壓。LockBit3 再次以 9% 的已發(fā)布攻擊排名第一，其次是 Play（占 7%）和 8Base（占 6%）。重新進(jìn)入前三名的 8Base 最近聲稱他們滲透了聯(lián)合國 IT 系統(tǒng)并竊取了人力資源和采購信息。雖然 LockBit3 仍然位居第一，但該組織經(jīng)歷了幾次挫折。今年 2 月，該數(shù)據(jù)泄露網(wǎng)站被查獲，作為多機(jī)構(gòu)行動(dòng)“克羅諾斯行動(dòng)”的一部分，而本月，同一國際執(zhí)法機(jī)構(gòu)發(fā)布了新的細(xì)節(jié)，確定了 194 個(gè)使用 LockBit3 的附屬機(jī)構(gòu)，并揭露并制裁了該組織的領(lǐng)導(dǎo)人。團(tuán)體。

研究表明，國際上為破壞 LockBit3 而做出的共同努力似乎取得了成功，自 2024 年初以來，其全球影響減少了 50% 以上。無論最近有何積極進(jìn)展，組織都必須繼續(xù)優(yōu)先考慮網(wǎng)絡(luò)安全，采取主動(dòng)措施并加強(qiáng)網(wǎng)絡(luò)、端點(diǎn)和電子郵件安全。實(shí)施多層防御并建立強(qiáng)大的備份、恢復(fù)程序和事件響應(yīng)計(jì)劃仍然是提高網(wǎng)絡(luò)彈性的關(guān)鍵。

上個(gè)月，全球最常被利用的漏洞是“HTTP 命令注入”和“Web 服務(wù)器惡意 URL 目錄遍歷”，影響了 52% 的組織。其次是“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行”，全球影響率為 45%

2024年4月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化

FakeUpdates是上個(gè)月最流行的惡意軟件，影響了全球6%的組織，其次是Androxgh0st，影響了4%， Qbot影響了3%。

• ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個(gè)用 JavaScript 編寫的下載器。它在啟動(dòng)有效負(fù)載之前將其寫入磁盤。FakeUpdates 通過許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）導(dǎo)致進(jìn)一步的危害。
• ↑ Androxgh0st – Androxgh0st 是一個(gè)針對(duì) Windows、Mac 和 Linux 平臺(tái)的僵尸網(wǎng)絡(luò)。對(duì)于初始感染，Androxgh0st 利用多個(gè)漏洞，特別針對(duì) PHPUnit、Laravel 框架和 Apache Web 服務(wù)器。該惡意軟件竊取敏感信息，例如 Twilio 帳戶信息、SMTP 憑證、AWS 密鑰等。它使用 Laravel 文件來收集所需信息。它有不同的變體，可以掃描不同的信息。
• ↓ Qbot – Qbot 又稱 Qakbot 是一種多用途惡意軟件，首次出現(xiàn)于 2008 年。它旨在竊取用戶的憑據(jù)、記錄擊鍵、竊取瀏覽器的 cookie、監(jiān)視銀行活動(dòng)以及部署其他惡意軟件。Qbot 通常通過垃圾郵件進(jìn)行分發(fā)，它采用多種反虛擬機(jī)、反調(diào)試和反沙箱技術(shù)來阻礙分析和逃避檢測(cè)。從 2022 年開始，它成為最流行的特洛伊木馬之一。
• ↓ FormBook – FormBook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格，它在地下黑客論壇中以惡意軟件即服務(wù) (MaaS) 的形式進(jìn)行銷售。FormBook 從各種 Web 瀏覽器獲取憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
• ↑ CloudEyE – CloudEye是一款針對(duì)Windows平臺(tái)的下載器，用于在受害者計(jì)算機(jī)上下載并安裝惡意程序。
• ^ Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)，以通過垃圾郵件活動(dòng)分發(fā)其他惡意軟件系列以及助長大規(guī)模性勒索活動(dòng)而聞名。
• ↓ AsyncRat – Asyncrat 是一種針對(duì) Windows 平臺(tái)的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令來下載并執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。
• ? Nanocore – NanoCore 是一種針對(duì) Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問木馬，于 2013 年首次被發(fā)現(xiàn)。該 RAT 的所有版本都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會(huì)話盜竊。
• ? NJRat – NJRat 是一種遠(yuǎn)程訪問木馬，主要針對(duì)中東的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問受害者的攝像頭、竊取瀏覽器中存儲(chǔ)的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過網(wǎng)絡(luò)釣魚攻擊和偷渡式下載感染受害者，并在命令與控制服務(wù)器軟件的支持下通過受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。
• ↓ Remcos – Remcos 是一種于 2016 年首次出現(xiàn)的 RAT。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進(jìn)行傳播，旨在繞過 Microsoft Windows UAC 安全性并以高級(jí)權(quán)限執(zhí)行惡意軟件。

最常被利用的漏洞 

上個(gè)月，“ HTTP 命令注入”是最常被利用的漏洞，影響了 全球52%的組織，其次是“Web 服務(wù)器惡意 URL 目錄遍歷”，影響了52%，“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行”影響了全球45%。

• ? HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過向受害者發(fā)送特制請(qǐng)求來利用此問題。成功利用此漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
• ? Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、 CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –有不同Web服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者披露或訪問易受攻擊的服務(wù)器上的任意文件。
• ↑ HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375）- HTTP 標(biāo)頭允許客戶端和服務(wù)器通過 HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
• ↓ Zyxel ZyWALL 命令注入 (CVE-2023-28771) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意操作系統(tǒng)命令。
• ↑ Dasan GPON 路由器身份驗(yàn)證繞過 (CVE-2012-5469) – PHPUnit 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意命令。
• ↓ PHP 彩蛋信息泄露 (CVE-2015-2051) – PHP 頁面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過向受影響的 PHP 頁面發(fā)送特制 URL 來利用此漏洞。
• ? OpenSSL TLS DTLS 心跳信息泄露 (CVE-2014-0160、CVE-2014-0346) – OpenSSL TLS DTLS 心跳信息泄露 OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數(shù)據(jù)包時(shí)出現(xiàn)錯(cuò)誤造成的。攻擊者可以利用此漏洞泄露所連接的客戶端或服務(wù)器的內(nèi)存內(nèi)容。
• ↑ D-Link DNS 命令注入 (CVE-2024-3273) – D-Link DNS 中存在命令注入漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意命令。
• ^ NETGEAR DGN 命令注入 – NETGEAR DGN 中存在命令注入漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ? Apache Struts2 遠(yuǎn)程執(zhí)行代碼 (CVE-2017-5638) – Apache Struts2 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。

熱門移動(dòng)惡意軟件

上個(gè)月，Anubis 在最流行的移動(dòng)惡意軟件中排名第一，其次是AhMyth和Hiddad。

• ? Anubis – Anubis 是一種專為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自最初檢測(cè)到以來，它已獲得了額外的功能，包括遠(yuǎn)程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。Google 商店中數(shù)百個(gè)不同的應(yīng)用程序已檢測(cè)到該病毒。
• ? AhMyth – AhMyth 是 2017 年發(fā)現(xiàn)的遠(yuǎn)程訪問木馬 (RAT)。它通過 Android 應(yīng)用程序分發(fā)，可在應(yīng)用程序商店和各種網(wǎng)站上找到。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時(shí)，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤記錄、截圖、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
• ↑ Hiddad – Hiddad 是一種 Android 惡意軟件，它會(huì)重新打包合法應(yīng)用程序，然后將其發(fā)布到第三方商店。它的主要功能是顯示廣告，但它也可以訪問操作系統(tǒng)內(nèi)置的關(guān)鍵安全詳細(xì)信息。

全球受攻擊最嚴(yán)重的行業(yè)

上個(gè)月，教育/研究在全球受攻擊行業(yè)中仍位居第一，其次是政府/軍事和醫(yī)療保健。

• 教育/研究
• 政府/軍隊(duì)
• 衛(wèi)生保健

主要勒索軟件組織

數(shù)據(jù)基于對(duì)發(fā)布受害者信息的雙重勒索勒索軟件組織運(yùn)營的勒索軟件“恥辱網(wǎng)站”的洞察。 Lockbit3是上個(gè)月最流行的勒索軟件組織，占已發(fā)布攻擊的9% ，其次是Play（占7%）和8Base（占6%）。

• Lockbit3 – LockBit 是一種勒索軟件，以 RaaS 模式運(yùn)行，于 2019 年 9 月首次報(bào)告。LockBit 針對(duì)來自不同國家的大型企業(yè)和政府實(shí)體，不針對(duì)俄羅斯或獨(dú)立國家聯(lián)合體的個(gè)人。盡管由于執(zhí)法行動(dòng)，LockBit3 在 2024 年 2 月經(jīng)歷了嚴(yán)重的中斷，但仍恢復(fù)發(fā)布有關(guān)受害者的信息。
• Play – Play 勒索軟件，也稱為 PlayCrypt，是一種于 2022 年 6 月首次出現(xiàn)的勒索軟件。該勒索軟件針對(duì)北美、南美和歐洲的廣泛企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施，到 2023 年 10 月影響了大約 300 個(gè)實(shí)體。Play 勒索軟件通常通過入侵有效賬戶或利用未修補(bǔ)的漏洞（例如 Fortinet SSL VPN 中的漏洞）來訪問網(wǎng)絡(luò)。一旦進(jìn)入，它就會(huì)采用諸如使用 living-off-the-land 二進(jìn)制文件 (LOLBins) 之類的技術(shù)來執(zhí)行數(shù)據(jù)泄露和憑據(jù)竊取等任務(wù)。
• 8Base – 8Base 威脅組織是一個(gè)勒索軟件團(tuán)伙，自 2022 年 3 月起就一直活躍。由于其活動(dòng)顯著增加，它在 2023 年中期聲名狼藉。據(jù)觀察，該組織使用了多種勒索軟件變體，其中 Phobos 是其中一種常見元素。8Base 的運(yùn)作相當(dāng)復(fù)雜，從他們?cè)诶账鬈浖惺褂玫南冗M(jìn)技術(shù)可以看出。該組織的方法包括雙重勒索策略。