2024 年 5 月全球威脅指數(shù)顯示，研究人員發(fā)現(xiàn)了由 Phorpiex 僵尸網(wǎng)絡(luò)策劃的惡意垃圾郵件活動(dòng)。發(fā)送的數(shù)百萬(wàn)封網(wǎng)絡(luò)釣魚(yú)電子郵件包含 LockBit Black——基于 LockBit3，但與勒索軟件組織無(wú)關(guān)。在無(wú)關(guān)的發(fā)展中，實(shí)際的 LockBit3 勒索軟件即服務(wù) (RaaS) 組織在執(zhí)法部門(mén)在全球范圍內(nèi)取締后短暫中斷后，流行程度激增，占已發(fā)布攻擊的 33%。

Phorpiex 僵尸網(wǎng)絡(luò)的原始運(yùn)營(yíng)商于 2021 年 8 月關(guān)閉并出售源代碼。然而，到 2021 年 12 月，已重新出現(xiàn)，成為一個(gè)名為“Twizt”的新變種，以去中心化的點(diǎn)對(duì)點(diǎn)模式運(yùn)行。今年 4 月，新澤西州網(wǎng)絡(luò)安全和通信集成小組 (NJCCIC)發(fā)現(xiàn)證據(jù)表明，上個(gè)月威脅指數(shù)排名第六的 Phorpiex 僵尸網(wǎng)絡(luò)被用于發(fā)送數(shù)百萬(wàn)封網(wǎng)絡(luò)釣魚(yú)電子郵件，作為 LockBit3 勒索軟件活動(dòng)的一部分。這些電子郵件帶有ZIP 附件，當(dāng)執(zhí)行其中的欺騙性 .doc.scr 文件時(shí)，會(huì)觸發(fā)勒索軟件加密過(guò)程。該活動(dòng)使用了 1,500 多個(gè)唯一 IP 地址，主要來(lái)自哈薩克斯坦、烏茲別克斯坦、伊朗、俄羅斯等國(guó)家。

同時(shí)，這些網(wǎng)站發(fā)布受害者信息以向不付款的目標(biāo)施壓。5 月，LockBit3 再次占據(jù)主導(dǎo)地位，占已發(fā)布攻擊的 33%。緊隨其后的是 Inc. Ransom，占 7%，Play 的檢測(cè)率為 5%。Inc. Ransom 最近聲稱對(duì)一起重大網(wǎng)絡(luò)事件負(fù)責(zé)，該事件擾亂了英國(guó)萊斯特市議會(huì)的公共服務(wù)，據(jù)稱竊取了超過(guò) 3 TB 的數(shù)據(jù)并導(dǎo)致大面積系統(tǒng)關(guān)閉。

雖然執(zhí)法機(jī)構(gòu)通過(guò)揭露 LockBit3 網(wǎng)絡(luò)團(tuán)伙的一名頭目和附屬機(jī)構(gòu)并發(fā)布7,000 多個(gè) LockBit 解密密鑰成功暫時(shí)瓦解了該團(tuán)伙，但這還不足以徹底消除威脅。他們重組并部署新戰(zhàn)術(shù)以繼續(xù)追捕，這并不奇怪。勒索軟件是網(wǎng)絡(luò)犯罪分子使用的最具破壞性的攻擊方法之一。一旦他們滲透到網(wǎng)絡(luò)并提取信息，目標(biāo)的選擇就會(huì)受到限制，特別是如果他們無(wú)力支付贖金要求。這就是為什么組織必須警惕風(fēng)險(xiǎn)并優(yōu)先采取預(yù)防措施的原因。最近美國(guó)方面報(bào)道LockBit3竊取了美聯(lián)儲(chǔ)33TB數(shù)據(jù)，談判過(guò)程中感覺(jué)受到了侮辱，要求更換談判人員：33TB美聯(lián)儲(chǔ)“敏感”信息被竊取，黑客談判失敗要求換掉白癡談判專家。

2024年5月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化。

FakeUpdates是上個(gè)月最為流行的惡意軟件，影響了全球7%的組織，其次是Androxgh0st，全球影響率為5%，以及Qbot，全球影響率為3%。

• ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個(gè)用 JavaScript 編寫(xiě)的下載程序。會(huì)在啟動(dòng)有效載荷之前將其寫(xiě)入磁盤(pán)。FakeUpdates 導(dǎo)致通過(guò)許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進(jìn)一步受到攻擊。
• ? Androxgh0st – Androxgh0st 是一個(gè)針對(duì) Windows、Mac 和 Linux 平臺(tái)的僵尸網(wǎng)絡(luò)。對(duì)于初始感染，Androxgh0st 利用了多個(gè)漏洞，具體針對(duì)的是 PHPUnit、Laravel 框架和 Apache Web 服務(wù)器。該惡意軟件竊取敏感信息，例如 Twilio 賬戶信息、SMTP 憑據(jù)、AWS 密鑰等。它使用 Laravel 文件來(lái)收集所需的信息。它有不同的變體，可以掃描不同的信息。
• ? Qbot – Qbot 又名 Qakbot，是一種多用途惡意軟件，于 2008 年首次出現(xiàn)。它旨在竊取用戶憑據(jù)、記錄擊鍵、從瀏覽器竊取 cookie、監(jiān)視銀行活動(dòng)以及部署其他惡意軟件。Qbot 通常通過(guò)垃圾郵件分發(fā)，采用多種反虛擬機(jī)、反調(diào)試和反沙盒技術(shù)來(lái)阻礙分析和逃避檢測(cè)。從 2022 年開(kāi)始，它成為最流行的木馬之一。
• ↑ CloudEye – CloudEye 是一個(gè)針對(duì) Windows 平臺(tái)的下載器，用于在受害者的計(jì)算機(jī)上下載并安裝惡意程序。
• ↑ Remcos – Remcos 是一種 RAT，于 2016 年首次出現(xiàn)。Remcos 通過(guò)附加在垃圾郵件中的惡意 Microsoft Office 文檔進(jìn)行分發(fā)，旨在繞過(guò) Microsoft Windows UAC 安全保護(hù)并以高級(jí)權(quán)限執(zhí)行惡意軟件。
• ? Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)，以通過(guò)垃圾郵件活動(dòng)傳播其他惡意軟件家族以及助長(zhǎng)大規(guī)模性勒索活動(dòng)而聞名。
• ↑ Glupteba – Glupteba 自 2011 年起為人所知，是一個(gè)逐漸發(fā)展成為僵尸網(wǎng)絡(luò)的后門(mén)。到 2019 年，它包括通過(guò)公共比特幣列表更新 C&C 地址的機(jī)制、一個(gè)集成的瀏覽器竊取程序功能和一個(gè)路由器漏洞利用程序。
• ↓ AsyncRat – AsyncRat 是一種針對(duì) Windows 平臺(tái)的木馬。該惡意軟件會(huì)將目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它會(huì)從服務(wù)器接收命令，下載并執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。
• ↓ Formbook - Formbook 是一款針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。它在地下黑客論壇上以惡意軟件即服務(wù) (MaaS) 的形式銷售，因?yàn)樗哂袕?qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格。Formbook 從各種 Web 瀏覽器收集憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
• ↓ NJRat – NJRat 是一種遠(yuǎn)程訪問(wèn)木馬，主要針對(duì)中東地區(qū)的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問(wèn)受害者的相機(jī)、竊取存儲(chǔ)在瀏覽器中的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過(guò)網(wǎng)絡(luò)釣魚(yú)攻擊和驅(qū)動(dòng)下載感染受害者，并在命令和控制服務(wù)器軟件的支持下通過(guò)受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。

最常被利用的漏洞 

上個(gè)月，“ HTTP 命令注入” 是最容易被利用的漏洞，影響了 全球50%的組織，其次是“Web 服務(wù)器惡意 URL 目錄遍歷”，占47%，然后是“Apache Log4j 遠(yuǎn)程代碼執(zhí)行”，占46%。

• ? HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功利用此漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
• ? Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –不同的 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用該漏洞可讓未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者泄露或訪問(wèn)存在漏洞的服務(wù)器上的任意文件。
• ↑ Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228) – Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ↓ HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行(CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標(biāo)頭允許客戶端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞其他信息。遠(yuǎn)程攻擊者可能會(huì)使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
• ↑ Apache HTTP Server 目錄遍歷 (CVE-2021-41773) – Apache HTTP Server 中存在目錄遍歷漏洞。成功利用此漏洞可使攻擊者訪問(wèn)受影響系統(tǒng)上的任意文件。
• ↑ TP-Link Archer AX21 命令注入 (CVE-2023-1389) – TP-Link Archer AX21 中存在命令注入漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意命令。
• ↑ D-Link 多產(chǎn)品命令注入 (CVE-2024-3272) –多款 D-Link 產(chǎn)品中存在命令注入漏洞。成功利用此漏洞可使遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意命令。
• ↑ MVPower CCTV DVR 遠(yuǎn)程代碼執(zhí)行 (CVE-2016-20016) – MVPower CCTV DVR 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可使遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ↓ Dasan GPON 路由器身份驗(yàn)證繞過(guò) (CVE-2024-3273) – PHPUnit 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意命令。
• ↓ PHP 復(fù)活節(jié)彩蛋信息泄露 (CVE-2015-2051) – PHP 頁(yè)面中已報(bào)告信息泄露漏洞。此漏洞是由于 Web 服務(wù)器配置不正確造成的。遠(yuǎn)程攻擊者可以通過(guò)向受影響的 PHP 頁(yè)面發(fā)送特制 URL 來(lái)利用此漏洞。

熱門(mén)移動(dòng)惡意軟件

上個(gè)月，Anubis作為最流行的移動(dòng)惡意軟件位居榜首，其次是AhMyth和Hydra。

• ? Anubis – Anubis 是一種針對(duì) Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自首次被發(fā)現(xiàn)以來(lái)，它已獲得附加功能，包括遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能、鍵盤(pán)記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數(shù)百種不同應(yīng)用程序中被檢測(cè)到。
• ? AhMyth – AhMyth 是一種遠(yuǎn)程訪問(wèn)木馬 (RAT)，于 2017 年發(fā)現(xiàn)。它通過(guò) Android 應(yīng)用程序進(jìn)行傳播，這些應(yīng)用程序可以在應(yīng)用商店和各種網(wǎng)站上找到。當(dāng)用戶安裝其中一個(gè)受感染的應(yīng)用程序時(shí)，該惡意軟件可以從設(shè)備中收集敏感信息并執(zhí)行鍵盤(pán)記錄、截屏、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
• ↑ Hydra – Hydra 是一種銀行木馬，通過(guò)要求受害者在每次進(jìn)入任何銀行應(yīng)用程序時(shí)啟用危險(xiǎn)權(quán)限和訪問(wèn)權(quán)限來(lái)竊取銀行憑證。

全球最易受攻擊的行業(yè)

上個(gè)月，教育/研究仍然位居全球遭受攻擊的行業(yè)之首，其次是政府/軍事和通信。

• 教育/研究
• 政府/軍隊(duì)
• 通訊

頂級(jí)勒索軟件組織

以下數(shù)據(jù)基于雙重勒索勒索軟件組織運(yùn)營(yíng)的勒索軟件“恥辱網(wǎng)站”的見(jiàn)解，這些網(wǎng)站發(fā)布了受害者信息。LockBit3是上個(gè)月最流行的勒索軟件組織，占已發(fā)布攻擊的33% ，其次是Inc. Ransom（占7%）和Play（占5%）。

• LockBit3 – LockBit 是一種勒索軟件，以 RaaS 模式運(yùn)行，于 2019 年 9 月首次報(bào)告。LockBit 針對(duì)的是各個(gè)國(guó)家的大型企業(yè)和政府實(shí)體，并不針對(duì)俄羅斯或獨(dú)立國(guó)家聯(lián)合體的個(gè)人。盡管由于執(zhí)法行動(dòng)，LockBit 在 2024 年 2 月經(jīng)歷了嚴(yán)重中斷，但現(xiàn)已恢復(fù)發(fā)布有關(guān)其受害者的信息。
• Inc. Ransom – Inc. Ransom 是一種勒索軟件勒索行動(dòng)，于 2023 年 7 月出現(xiàn)，進(jìn)行魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)攻擊并針對(duì)易受攻擊的服務(wù)。該組織的主要目標(biāo)是北美和歐洲的多個(gè)行業(yè)組織，包括醫(yī)療保健、教育和政府。Inc. 勒索軟件負(fù)載支持多個(gè)命令行參數(shù)，并使用多線程方法進(jìn)行部分加密。
• Play –  Play 勒索軟件，也稱為 PlayCrypt，是一種于 2022 年 6 月首次出現(xiàn)的勒索軟件。該勒索軟件針對(duì)北美、南美和歐洲的廣泛企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施，到 2023 年 10 月影響了大約 300 個(gè)實(shí)體。Play 勒索軟件通常通過(guò)入侵有效賬戶或利用未修補(bǔ)的漏洞（例如 Fortinet SSL VPN 中的漏洞）來(lái)訪問(wèn)網(wǎng)絡(luò)。一旦進(jìn)入，它就會(huì)采用諸如使用 living-off-the-land 二進(jìn)制文件 (LOLBins) 之類的技術(shù)來(lái)執(zhí)行數(shù)據(jù)泄露和憑據(jù)竊取等任務(wù)。