最新的 2024 年 6 月全球威脅指數(shù)顯示，勒索軟件排名發(fā)生了重大變化。盡管 6 月份大幅下降，但 LockBit 上個(gè)月重新出現(xiàn)，成為第二大最常見的勒索軟件團(tuán)體，而 RansomHub 則保持了榜首位置。同時(shí)，研究人員發(fā)現(xiàn)了在 CrowdStrike 更新問題之后分發(fā) Remcos 惡意軟件的活動(dòng)，以及一系列新的 FakeUpdates 策略，這些策略再次在 7 月份的惡意軟件排行榜上名列第一。

Windows版CrowdStrike Falcon傳感器出現(xiàn)問題，導(dǎo)致網(wǎng)絡(luò)犯罪分子分發(fā)了一個(gè)名為 crowdstrike-hotfix.zip 的惡意ZIP文件。此文件包含 HijackLoader，隨后激活了 Remcos 惡意軟件，該惡意軟件在7月份的惡意軟件排行榜上排名第七。該活動(dòng)使用西班牙語指令針對(duì)企業(yè)，并涉及創(chuàng)建虛假域名進(jìn)行網(wǎng)絡(luò)釣魚攻擊。

與此同時(shí)，研究人員發(fā)現(xiàn)了一系列使用FakeUpdates的新策略，該病毒連續(xù)一個(gè)月位居惡意軟件排行榜首位。訪問受感染網(wǎng)站的用戶會(huì)遇到虛假的瀏覽器更新提示，從而導(dǎo)致安裝遠(yuǎn)程訪問木馬 (RAT)，例如 AsyncRAT。令人震驚的是，網(wǎng)絡(luò)犯罪分子現(xiàn)在已經(jīng)開始利用 BOINC（一個(gè)用于志愿者計(jì)算的平臺(tái)）來遠(yuǎn)程控制受感染的系統(tǒng)。

網(wǎng)絡(luò)犯罪分子一直在尋找創(chuàng)新的惡意軟件傳播方式，以繞過安全措施并利用漏洞。組織必須采取額外的預(yù)防措施來避免停機(jī)，例如實(shí)施預(yù)防性安全措施并保留離線備份以便更快地恢復(fù)。

2024年7月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化

FakeUpdates是上個(gè)月最為流行的惡意軟件，影響了全球7%的組織，其次是Androxgh0st，全球影響率為5%，以及AgentTesla，全球影響率為3%。

• ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個(gè)用 JavaScript 編寫的下載程序。它會(huì)在啟動(dòng)有效載荷之前將其寫入磁盤。FakeUpdates 導(dǎo)致通過許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進(jìn)一步受到攻擊。
• ? Androxgh0st – Androxgh0st 是一個(gè)針對(duì) Windows、Mac 和 Linux 平臺(tái)的僵尸網(wǎng)絡(luò)。對(duì)于初始感染，Androxgh0st 利用了多個(gè)漏洞，具體針對(duì) PHPUnit、Laravel 框架和 Apache Web 服務(wù)器。該惡意軟件竊取敏感信息，例如 Twilio 帳戶信息、SMTP 憑據(jù)、AWS 密鑰等。它使用 Laravel 文件來收集所需信息。它有不同的變體，可以掃描不同的信息。
• ? AgentTesla – AgentTesla 是一種先進(jìn)的 RAT，可用作鍵盤記錄器和信息竊取程序，能夠監(jiān)視和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截屏以及竊取安裝在受害者機(jī)器上的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。
• ↑ Formbook – Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。它在地下黑客論壇上以惡意軟件即服務(wù) (MaaS) 的形式銷售，因?yàn)樗哂袕?qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格。FormBook 從各種 Web 瀏覽器收集憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
• ↓ Qbot – Qbot 又名 Qakbot，是一種多用途惡意軟件，于 2008 年首次出現(xiàn)。它旨在竊取用戶憑據(jù)、記錄擊鍵、從瀏覽器竊取 cookie、監(jiān)視銀行活動(dòng)以及部署其他惡意軟件。Qbot 通常通過垃圾郵件分發(fā)，采用多種反虛擬機(jī)、反調(diào)試和反沙盒技術(shù)來阻礙分析和逃避檢測(cè)。從 2022 年開始，它成為最流行的木馬之一。
• ? Remcos – Remcos 是一種 RAT，于 2016 年首次出現(xiàn)。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進(jìn)行分發(fā)，旨在繞過 Microsoft Windows UAC 安全保護(hù)并以高級(jí)權(quán)限執(zhí)行惡意軟件。
• ? Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)，以通過垃圾郵件活動(dòng)傳播其他惡意軟件家族以及助長大規(guī)模性勒索活動(dòng)而聞名。
• ↑ Vidar - Vidar 是一種以惡意軟件即服務(wù)形式運(yùn)行的信息竊取惡意軟件，于 2018 年底首次被發(fā)現(xiàn)。該惡意軟件在 Windows 上運(yùn)行，可以從瀏覽器和數(shù)字錢包中收集各種敏感數(shù)據(jù)。此外，該惡意軟件還被用作勒索軟件的下載器。
• ↓ AsyncRat – Asyncrat 是一種針對(duì) Windows 平臺(tái)的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令以下載和執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。
• ↓ NJRat – NJRat 是一種遠(yuǎn)程訪問木馬，主要針對(duì)中東地區(qū)的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問受害者的相機(jī)、竊取存儲(chǔ)在瀏覽器中的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過網(wǎng)絡(luò)釣魚攻擊和驅(qū)動(dòng)下載感染受害者，并在命令和控制服務(wù)器軟件的支持下通過受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。

最常被利用的漏洞 

• ↑ HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過向受害者發(fā)送特制請(qǐng)求來利用此問題。成功利用此漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
• ↑ Zyxel ZyWALL 命令注入 (CVE-2023-28771) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意操作系統(tǒng)命令。
• ? HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行 (CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標(biāo)頭允許客戶端和服務(wù)器通過 HTTP 請(qǐng)求傳遞其他信息。遠(yuǎn)程攻擊者可能會(huì)使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。
• ? Apache HTTP Server 目錄遍歷 (CVE-2021-41773) – Apache HTTP Server 中存在目錄遍歷漏洞。成功利用此漏洞可能允許攻擊者訪問受影響系統(tǒng)上的任意文件。
• ↓ Web 服務(wù)器惡意 URL 目錄遍歷（CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260） -不同的 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用該漏洞可讓未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者泄露或訪問存在漏洞的服務(wù)器上的任意文件。
• ↓ TP-Link Archer AX21 命令注入 (CVE-2023-1389) – TP-Link Archer AX21 中存在命令注入漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意命令。
• ↑ MVPower CCTV DVR 遠(yuǎn)程代碼執(zhí)行 (CVE-2016-20016) – MVPower CCTV DVR 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可使遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。
• ↓ Dasan GPON 路由器身份驗(yàn)證繞過 (CVE-2024-3273) – PHPUnit 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意命令。
• ? PHP 復(fù)活節(jié)彩蛋信息泄露 (CVE-2015-2051) – PHP 頁面中已報(bào)告信息泄露漏洞。此漏洞是由于 Web 服務(wù)器配置不正確造成的。遠(yuǎn)程攻擊者可以通過向受影響的 PHP 頁面發(fā)送特制 URL 來利用此漏洞。
• ↑ NETGEAR DGN 命令注入 - NETGEAR DGN 中存在命令注入漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。

熱門移動(dòng)惡意軟件

上個(gè)月，Joker在最流行的移動(dòng)惡意軟件中排名第一，其次是Anubis和AhMyth。

• ? Joker – Google Play 上的一款安卓間諜軟件，旨在竊取短信、聯(lián)系人列表和設(shè)備信息。此外，該惡意軟件還會(huì)悄悄地讓受害者在廣告網(wǎng)站上獲得高級(jí)服務(wù)。
• ? Anubis – Anubis 是一種針對(duì) Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自首次被發(fā)現(xiàn)以來，它已獲得附加功能，包括遠(yuǎn)程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數(shù)百種不同應(yīng)用程序中被檢測(cè)到。
• ? AhMyth – AhMyth 是一種遠(yuǎn)程訪問木馬 (RAT)，于 2017 年發(fā)現(xiàn)。它通過 Android 應(yīng)用程序進(jìn)行傳播，這些應(yīng)用程序可以在應(yīng)用商店和各種網(wǎng)站上找到。當(dāng)用戶安裝其中一個(gè)受感染的應(yīng)用程序時(shí)，該惡意軟件可以從設(shè)備中收集敏感信息并執(zhí)行鍵盤記錄、截屏、發(fā)送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。

全球最易受攻擊的行業(yè)

上個(gè)月，教育/研究仍然位居全球遭受攻擊的行業(yè)之首，其次是政府/軍事和通信行業(yè)。

• 教育/研究
• 政府/軍隊(duì)
• 通訊

頂級(jí)勒索軟件組織

這些數(shù)據(jù)基于雙重勒索勒索軟件組織運(yùn)營的勒索軟件“恥辱網(wǎng)站”的洞察，這些網(wǎng)站發(fā)布了受害者信息。RansomHub是本月最流行的勒索軟件組織，占已發(fā)布攻擊的11% ，其次是Lockbit3（占8%）和Akira（占6%）。

• RansomHub – RansomHub 是一種勒索軟件即服務(wù) (RaaS) 操作，是之前已知的 Knight 勒索軟件的改名版本。RansomHub于2024年初在地下網(wǎng)絡(luò)犯罪論壇上引人注目，因其針對(duì)各種系統(tǒng)（包括 Windows、macOS、Linux，尤其是 VMware ESXi 環(huán)境）的積極活動(dòng)而迅速聲名狼藉。該惡意軟件以采用復(fù)雜的加密方法而聞名。
• Lockbit3 -  LockBit 是一種勒索軟件，以 RaaS 模式運(yùn)行，于 2019 年 9 月首次報(bào)告。LockBit 的目標(biāo)是各個(gè)國家的大型企業(yè)和政府實(shí)體，并不針對(duì)俄羅斯或獨(dú)立國家聯(lián)合體的個(gè)人。
• Akira – Akira 勒索軟件于 2023 年初首次報(bào)告，針對(duì) Windows 和 Linux 系統(tǒng)。它使用 CryptGenRandom() 和 Chacha 2008 的對(duì)稱加密進(jìn)行文件加密，類似于泄露的 Conti v2 勒索軟件。Akira 通過各種方式傳播，包括受感染的電子郵件附件和 VPN 端點(diǎn)中的漏洞。感染后，它會(huì)加密數(shù)據(jù)并在文件名后附加“.akira”擴(kuò)展名，然后出示勒索信，要求支付解密費(fèi)用。