最新的 2023 年 4 月全球威脅指數(shù)表明，研究人員發(fā)現(xiàn)了通過惡意 PDF 文件分發(fā)的大量 Qbot 惡意垃圾郵件活動(dòng)，這些文件附加到以多種語言顯示的電子郵件中。與此同時(shí)，物聯(lián)網(wǎng) (IoT) 惡意軟件 Mirai 在利用 TP-Link 路由器中的一個(gè)新漏洞后一年內(nèi)首次上榜，而醫(yī)療保健則上升為第二大受攻擊行業(yè)。
(資料圖)
上個(gè)月看到的 Qbot 活動(dòng)涉及一種新的交付方法，即向目標(biāo)發(fā)送一封電子郵件，其中的附件包含受保護(hù)的 PDF 文件。下載這些文件后，Qbot 惡意軟件就會(huì)安裝在設(shè)備上。研究人員發(fā)現(xiàn)了以多種不同語言發(fā)送垃圾郵件的實(shí)例，這意味著組織可以成為全球范圍內(nèi)的目標(biāo)。
上個(gè)月還見證了最流行的物聯(lián)網(wǎng)惡意軟件之一 Mirai 的回歸。研究人員發(fā)現(xiàn)它正在利用一個(gè)新的零日漏洞 CVE-2023-1380 來攻擊 TP-Link 路由器并將它們添加到其僵尸網(wǎng)絡(luò)中，該僵尸網(wǎng)絡(luò)已被用于促進(jìn)一些有記錄以來最具破壞性的分布式 DDoS 攻擊。
受影響的行業(yè)也發(fā)生了變化，醫(yī)療保健在 4 月份超過政府成為第二大受剝削的行業(yè)。對(duì)醫(yī)療機(jī)構(gòu)的襲擊事件已有詳盡記錄，一些國家繼續(xù)面臨不斷的襲擊。例如，網(wǎng)絡(luò)犯罪集團(tuán)美杜莎最近對(duì)澳大利亞的癌癥設(shè)施發(fā)起了攻擊。該行業(yè)仍然是黑客的一個(gè)有利可圖的目標(biāo)，因?yàn)樗顾麄冇锌赡塬@得機(jī)密的患者數(shù)據(jù)和支付信息。它可能會(huì)對(duì)制藥公司產(chǎn)生影響，因?yàn)樗赡軐?dǎo)致有關(guān)臨床試驗(yàn)或新醫(yī)療藥物和設(shè)備的泄漏。
網(wǎng)絡(luò)犯罪分子不斷研究繞過限制的新方法，這些活動(dòng)進(jìn)一步證明了惡意軟件如何適應(yīng)生存。隨著 Qbot 的再次進(jìn)攻，它再次提醒人們擁有全面的網(wǎng)絡(luò)安全的重要性，以及在信任電子郵件的來源和意圖方面的盡職調(diào)查。
“Web 服務(wù)器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球 48% 的組織，其次是“Apache Log4j 遠(yuǎn)程代碼執(zhí)行”，占 44%，“HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行”，全球影響為43%。
2023年4月“十惡不赦”*箭頭表示與上個(gè)月相比排名的變化。
AgentTesla是上個(gè)月最流行的惡意軟件，影響了全球 10% 的組織，其次是Qbot，全球影響為 7%，F(xiàn)ormbook為 6%。
↑ AgentTesla– AgentTesla 是一種高級(jí) RAT，充當(dāng)鍵盤記錄器和信息竊取器，能夠監(jiān)視和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截取屏幕截圖，并將憑證泄露到安裝在受害者機(jī)器上的各種軟件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）?！?Qbot– Qbot AKA Qakbot 是一種銀行木馬，于 2008 年首次出現(xiàn)。它旨在竊取用戶的銀行憑證和擊鍵。Qbot 通常通過垃圾郵件分發(fā)，它采用多種反虛擬機(jī)、反調(diào)試和反沙盒技術(shù)來阻礙分析和逃避檢測(cè)。?Formbook– Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。由于其強(qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格，它在地下黑客論壇中作為惡意軟件即服務(wù) (MaaS) 進(jìn)行銷售。FormBook 從各種網(wǎng)絡(luò)瀏覽器收集憑證、收集屏幕截圖、監(jiān)控和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件?！?Emotet– Emotet 是一種先進(jìn)的、自我傳播的模塊化木馬。Emotet 曾被用作銀行木馬，最近被用作其他惡意軟件或惡意活動(dòng)的分發(fā)者。它使用多種方法來保持持久性和規(guī)避技術(shù)來避免檢測(cè)。此外，它還可以通過包含惡意附件或鏈接的網(wǎng)絡(luò)釣魚垃圾郵件進(jìn)行傳播?！?GuLoader– Guloader 是一款自 2019 年 12 月以來廣泛使用的下載器。GuLoader 首次出現(xiàn)時(shí)用于下載 Parallax RAT，但已應(yīng)用于其他遠(yuǎn)程訪問木馬和信息竊取程序，如 Netwire、FormBook 和 AgentTesla?！?XMRig– XMRig 是用于挖掘 Monero 加密貨幣的開源 CPU 挖掘軟件。威脅行為者經(jīng)常通過將其集成到他們的惡意軟件中來濫用這種開源軟件，從而在受害者的設(shè)備上進(jìn)行非法挖掘?！?Nanocore——NanoCore 是一種針對(duì) Windows 操作系統(tǒng)用戶的遠(yuǎn)程訪問木馬，于 2013 年首次在野外被發(fā)現(xiàn)。RAT 的所有版本都包含基本的插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠(yuǎn)程控制桌面和網(wǎng)絡(luò)攝像頭會(huì)話盜竊?！?Phorpiex –Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)（又名 Trik），自 2010 年以來一直活躍，在其高峰期控制了超過一百萬臺(tái)受感染的主機(jī)。它以通過垃圾郵件活動(dòng)分發(fā)其他惡意軟件系列以及助長(zhǎng)大規(guī)模垃圾郵件和性勒索活動(dòng)而聞名?！?Remcos– Remcos 是一種 RAT，于 2016 年首次出現(xiàn)。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進(jìn)行自我傳播，旨在繞過 Microsoft Windows UAC 安全并以高級(jí)權(quán)限執(zhí)行惡意軟件?！麺irai-Mirai 是一種臭名昭著的物聯(lián)網(wǎng) (IoT) 惡意軟件，它跟蹤易受攻擊的物聯(lián)網(wǎng)設(shè)備，例如網(wǎng)絡(luò)攝像頭、調(diào)制解調(diào)器和路由器，并將它們變成機(jī)器人。僵尸網(wǎng)絡(luò)被其運(yùn)營商用來進(jìn)行大規(guī)模分布式拒絕服務(wù) (DDoS) 攻擊。Mirai 僵尸網(wǎng)絡(luò)于 2016 年 9 月首次出現(xiàn)，并由于一些大規(guī)模攻擊而迅速成為頭條新聞，包括用于使整個(gè)利比里亞國家離線的大規(guī)模 DDoS 攻擊，以及對(duì)互聯(lián)網(wǎng)基礎(chǔ)設(shè)施公司 Dyn 的 DDoS 攻擊，該公司提供了很大一部分美國互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施。全球受攻擊最多的行業(yè)上個(gè)月，教育/研究仍然是全球受攻擊最嚴(yán)重的行業(yè)，其次是醫(yī)療保健和政府/軍事。
教育/研究衛(wèi)生保健政府/軍隊(duì)最常被利用的漏洞上個(gè)月，“Web 服務(wù)器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球48%的組織，其次是“Apache Log4j 遠(yuǎn)程執(zhí)行代碼”，影響了全球44%的組織，“HTTP 標(biāo)頭遠(yuǎn)程執(zhí)行代碼”在全球范圍內(nèi)受到影響43%的影響。
↑ Web 服務(wù)器惡意 URL 目錄遍歷 –在不同的 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器中的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功的利用允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者泄露或訪問易受攻擊的服務(wù)器上的任意文件?！?Apache Log4j 遠(yuǎn)程代碼執(zhí)行 (CVE-2021-44228)– Apache Log4j 中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼?！?HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756）——HTTP 標(biāo)頭讓客戶端和服務(wù)器通過 HTTP 請(qǐng)求傳遞附加信息。遠(yuǎn)程攻擊者可能會(huì)使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼?！?HTTP 上的命令注入（CVE-2021-43936、CVE-2022-24086）——已報(bào)告 HTTP 上的命令注入漏洞。遠(yuǎn)程攻擊者可以通過向受害者發(fā)送特制請(qǐng)求來利用此問題。成功的利用將允許攻擊者在目標(biāo)機(jī)器上執(zhí)行任意代碼?！?MVPower DVR 遠(yuǎn)程代碼執(zhí)行 –MVPower DVR 設(shè)備中存在遠(yuǎn)程代碼執(zhí)行漏洞。遠(yuǎn)程攻擊者可以利用此弱點(diǎn)通過精心設(shè)計(jì)的請(qǐng)求在受影響的路由器中執(zhí)行任意代碼。? PHP 復(fù)活節(jié)彩蛋信息泄露 –PHP 頁面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過向受影響的 PHP 頁面發(fā)送特制 URL 來利用此漏洞?！?OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346）——OpenSSL TLS DTLS 心跳信息泄露OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數(shù)據(jù)包時(shí)出現(xiàn)錯(cuò)誤造成的。攻擊者可以利用此漏洞泄露連接的客戶端或服務(wù)器的內(nèi)存內(nèi)容?！?Dasan GPON 路由器身份驗(yàn)證繞過 (CVE-2018-10561)– Dasan GPON 路由器中存在身份驗(yàn)證繞過漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并獲得對(duì)受影響系統(tǒng)的未授權(quán)訪問?！?D-Link 多個(gè)產(chǎn)品遠(yuǎn)程代碼執(zhí)行 (CVE-2015-2051)– 多個(gè) D-Link 產(chǎn)品中存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用此漏洞可能允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。↓ PHP 復(fù)活節(jié)彩蛋信息泄露 –PHP 頁面中報(bào)告了一個(gè)信息泄露漏洞。該漏洞是由于不正確的 Web 服務(wù)器配置造成的。遠(yuǎn)程攻擊者可以通過向受影響的 PHP 頁面發(fā)送特制 URL 來利用此漏洞。? WordPress portable-phpMyAdmin 插件身份驗(yàn)證繞過 (CVE-2012-5469)– WordPress portable-phpMyAdmin 插件中存在身份驗(yàn)證繞過漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者獲取敏感信息并獲得對(duì)受影響系統(tǒng)的未授權(quán)訪問。頂級(jí)移動(dòng)惡意軟件上個(gè)月，Ahmyth仍然是最流行的移動(dòng)惡意軟件，其次是Anubis和Hiddad。
AhMyth– AhMyth 是一種遠(yuǎn)程訪問木馬 (RAT)，于 2017 年被發(fā)現(xiàn)。它通過可在應(yīng)用商店和各種網(wǎng)站上找到的 Android 應(yīng)用進(jìn)行分發(fā)。當(dāng)用戶安裝這些受感染的應(yīng)用程序之一時(shí)，惡意軟件可以從設(shè)備收集敏感信息并執(zhí)行鍵盤記錄、截屏、發(fā)送短信和激活相機(jī)等操作。Anubis– Anubis 是一種專為 Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自從最初被發(fā)現(xiàn)以來，它已經(jīng)獲得了額外的功能，包括遠(yuǎn)程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。已在 Google 商店中提供的數(shù)百種不同應(yīng)用程序中檢測(cè)到它。Hiddad– Hiddad 是一種 Android 惡意軟件，它會(huì)重新打包合法應(yīng)用程序，然后將它們發(fā)布到第三方商店。它的主要功能是顯示廣告，但它也可以訪問操作系統(tǒng)內(nèi)置的關(guān)鍵安全細(xì)節(jié)。標(biāo)簽：
