本月，研究人員發(fā)現(xiàn)威脅行為者可能使用人工智能開(kāi)發(fā)腳本來(lái)傳播 AsyncRAT 惡意軟件，該惡意軟件目前在最流行的惡意軟件列表中排名第 10。該方法涉及 HTML 走私，其中發(fā)送包含惡意 VBScript 代碼的受密碼保護(hù)的 ZIP 文件以在受害者的設(shè)備上啟動(dòng)感染鏈。結(jié)構(gòu)良好且?guī)в凶⑨尩拇a表明人工智能參與其中。一旦完全執(zhí)行，AsyncRAT 就會(huì)安裝，使攻擊者能夠記錄擊鍵、遠(yuǎn)程控制受感染的設(shè)備并部署其他惡意軟件。這一發(fā)現(xiàn)凸顯了一種日益增長(zhǎng)的趨勢(shì)，即技術(shù)技能有限的網(wǎng)絡(luò)犯罪分子使用人工智能更輕松地創(chuàng)建惡意軟件。

威脅行為者已開(kāi)始利用生成式人工智能作為其攻擊基礎(chǔ)設(shè)施的一部分，這一事實(shí)凸顯了網(wǎng)絡(luò)攻擊策略的不斷演變。網(wǎng)絡(luò)犯罪分子越來(lái)越多地利用現(xiàn)有技術(shù)來(lái)增強(qiáng)其行動(dòng)，因此組織必須實(shí)施主動(dòng)安全策略，包括先進(jìn)的預(yù)防方法和對(duì)其團(tuán)隊(duì)進(jìn)行全面的培訓(xùn)。

本月，Joker 繼續(xù)成為最流行的移動(dòng)惡意軟件，而 RansomHub 仍然是領(lǐng)先的勒索軟件組織，兩者均保持了上個(gè)月的地位。這些發(fā)現(xiàn)凸顯了這些惡意實(shí)體在不斷發(fā)展的網(wǎng)絡(luò)安全格局中構(gòu)成的持續(xù)威脅。

2024年9月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化

FakeUpdates是本月最流行的惡意軟件，影響了全球7% 的組織，其次是Androxgh0st，全球影響率為6%，以及Formbook，全球影響率為4%。

1. ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個(gè)用 JavaScript 編寫(xiě)的下載程序。它會(huì)在啟動(dòng)有效載荷之前將其寫(xiě)入磁盤(pán)。FakeUpdates 導(dǎo)致通過(guò)許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進(jìn)一步受到攻擊。
2. ? Androxgh0st – Androxgh0st 是一個(gè)針對(duì) Windows、Mac 和 Linux 平臺(tái)的僵尸網(wǎng)絡(luò)。對(duì)于初始感染，Androxgh0st 利用了多個(gè)漏洞，具體針對(duì) PHPUnit、Laravel 框架和 Apache Web 服務(wù)器。該惡意軟件竊取敏感信息，例如 Twilio 帳戶(hù)信息、SMTP 憑據(jù)、AWS 密鑰等。它使用 Laravel 文件來(lái)收集所需信息。它有不同的變體，可以掃描不同的信息。
3. ↑ Formbook – Formbook 是一種針對(duì) Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。它在地下黑客論壇上以惡意軟件即服務(wù) (MaaS) 的形式銷(xiāo)售，因?yàn)樗哂袕?qiáng)大的規(guī)避技術(shù)和相對(duì)較低的價(jià)格。FormBook 從各種 Web 瀏覽器收集憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
4. ? Qbot – Qbot 又名 Qakbot，是一種多用途惡意軟件，于 2008 年首次出現(xiàn)。它旨在竊取用戶(hù)憑據(jù)、記錄擊鍵、從瀏覽器竊取 cookie、監(jiān)視銀行活動(dòng)以及部署其他惡意軟件。Qbot 通常通過(guò)垃圾郵件分發(fā)，采用多種反虛擬機(jī)、反調(diào)試和反沙盒技術(shù)來(lái)阻礙分析和逃避檢測(cè)。從 2022 年開(kāi)始，它成為最流行的木馬之一。
5. ? AgentTesla – AgentTesla 是一種先進(jìn)的 RAT，可用作鍵盤(pán)記錄器和信息竊取程序，能夠監(jiān)視和收集受害者的鍵盤(pán)輸入、系統(tǒng)鍵盤(pán)、截屏以及竊取安裝在受害者機(jī)器上的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶(hù)端）。
6. ↓ Phorpiex – Phorpiex 是一個(gè)僵尸網(wǎng)絡(luò)，以通過(guò)垃圾郵件活動(dòng)傳播其他惡意軟件家族以及助長(zhǎng)大規(guī)模性勒索活動(dòng)而聞名。
7. ↑ Vidar - Vidar 是一種以惡意軟件即服務(wù)形式運(yùn)行的信息竊取惡意軟件，于 2018 年底首次被發(fā)現(xiàn)。該惡意軟件在 Windows 上運(yùn)行，可以從瀏覽器和數(shù)字錢(qián)包中收集各種敏感數(shù)據(jù)。此外，該惡意軟件還用作勒索軟件的下載器。
8. ↑ NJRat – NJRat 是一種遠(yuǎn)程訪問(wèn)木馬，主要針對(duì)中東的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問(wèn)受害者的相機(jī)、竊取存儲(chǔ)在瀏覽器中的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過(guò)網(wǎng)絡(luò)釣魚(yú)攻擊和驅(qū)動(dòng)下載感染受害者，并在命令和控制服務(wù)器軟件的支持下通過(guò)受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動(dòng)器進(jìn)行傳播。
9. ↑ Glupteba – Glupteba 自 2011 年起為人所知，是一個(gè)逐漸發(fā)展成為僵尸網(wǎng)絡(luò)的后門(mén)。到 2019 年，它包括通過(guò)公共比特幣列表更新 C&C 地址的機(jī)制、集成的瀏覽器竊取程序功能和路由器漏洞利用程序。
10. ↑ AsyncRat – Asyncrat 是一種針對(duì) Windows 平臺(tái)的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令以下載和執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。

最常被利用的漏洞 

1. ? HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報(bào)告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過(guò)向受害者發(fā)送特制請(qǐng)求來(lái)利用此問(wèn)題。成功利用此漏洞將允許攻擊者在目標(biāo)計(jì)算機(jī)上執(zhí)行任意代碼。
2. ↑ Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –不同的 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器的輸入驗(yàn)證錯(cuò)誤導(dǎo)致的，該錯(cuò)誤未正確清理目錄遍歷模式的 URI。成功利用該漏洞可讓未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者泄露或訪問(wèn)存在漏洞的服務(wù)器上的任意文件。
3. ? HTTP 標(biāo)頭遠(yuǎn)程代碼執(zhí)行 (CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標(biāo)頭允許客戶(hù)端和服務(wù)器通過(guò) HTTP 請(qǐng)求傳遞其他信息。遠(yuǎn)程攻擊者可能會(huì)使用易受攻擊的 HTTP 標(biāo)頭在受害計(jì)算機(jī)上運(yùn)行任意代碼。

熱門(mén)移動(dòng)惡意軟件

本月最流行的移動(dòng)惡意軟件中，Joker位居第一，其次是Anubis和Hiddad。

1. ? Joker – Google Play 上的一款安卓間諜軟件，旨在竊取短信、聯(lián)系人列表和設(shè)備信息。此外，該惡意軟件還會(huì)悄悄地讓受害者在廣告網(wǎng)站上獲得高級(jí)服務(wù)。
2. ? Anubis – Anubis 是一種針對(duì) Android 手機(jī)設(shè)計(jì)的銀行木馬惡意軟件。自首次被發(fā)現(xiàn)以來(lái)，它已獲得附加功能，包括遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能、鍵盤(pán)記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數(shù)百種不同應(yīng)用程序中被檢測(cè)到。
3. ↑ Hiddad – Hiddad 是一種 Android 惡意軟件，它會(huì)重新打包合法應(yīng)用程序，然后將其發(fā)布到第三方商店。它的主要功能是顯示廣告，但它也可以訪問(wèn)操作系統(tǒng)內(nèi)置的關(guān)鍵安全詳細(xì)信息。 

全球最易受攻擊的行業(yè)

本月，教育/研究行業(yè)在全球遭受攻擊的行業(yè)中仍然位居第一，其次是政府/軍事和醫(yī)療保健。

1. 教育/研究
2. 政府/軍隊(duì)
3. 衛(wèi)生保健

頂級(jí)勒索軟件組織

這些數(shù)據(jù)基于雙重勒索勒索軟件組織運(yùn)營(yíng)的勒索軟件“恥辱網(wǎng)站”的洞察，這些網(wǎng)站發(fā)布了受害者信息。RansomHub是本月最流行的勒索軟件組織，占已發(fā)布攻擊的17 % ，其次是Play（占10%）和Qilin（占5%）。

3. RansomHub – RansomHub 是一種勒索軟件即服務(wù) (RaaS) 操作，是之前已知的 Knight 勒索軟件的改名版本。RansomHub 于 2024 年初在地下網(wǎng)絡(luò)犯罪論壇上引人注目，因其針對(duì)各種系統(tǒng)（包括 Windows、macOS、Linux，尤其是 VMware ESXi 環(huán)境）的積極活動(dòng)而迅速聲名狼藉。該惡意軟件以采用復(fù)雜的加密方法而聞名。
4. Play – Play 勒索軟件，也稱(chēng)為 PlayCrypt，是一種于 2022 年 6 月首次出現(xiàn)的勒索軟件。該勒索軟件針對(duì)北美、南美和歐洲的廣泛企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施，到 2023 年 10 月影響了大約 300 個(gè)實(shí)體。Play 勒索軟件通常通過(guò)入侵有效賬戶(hù)或利用未修補(bǔ)的漏洞（例如 Fortinet SSL VPN 中的漏洞）來(lái)訪問(wèn)網(wǎng)絡(luò)。一旦進(jìn)入，它就會(huì)采用諸如使用 living-off-the-land 二進(jìn)制文件 (LOLBins) 之類(lèi)的技術(shù)來(lái)執(zhí)行數(shù)據(jù)泄露和憑據(jù)竊取等任務(wù)。
5. Qilin – Qilin，也稱(chēng)為 Agenda，是一種勒索軟件即服務(wù)犯罪行動(dòng)，它與關(guān)聯(lián)方合作加密和竊取受感染組織的數(shù)據(jù)，隨后索要贖金。此勒索軟件變體于 2022 年 7 月首次被發(fā)現(xiàn)，使用 Golang 開(kāi)發(fā)。Agenda 以針對(duì)大型企業(yè)和高價(jià)值組織而聞名，尤其關(guān)注醫(yī)療保健和教育行業(yè)。Qilin 通常通過(guò)包含惡意鏈接的網(wǎng)絡(luò)釣魚(yú)電子郵件滲透受害者，以建立對(duì)其網(wǎng)絡(luò)的訪問(wèn)權(quán)限并竊取敏感信息。一旦進(jìn)入內(nèi)部，Qilin 通常會(huì)在受害者的基礎(chǔ)設(shè)施中橫向移動(dòng)，尋找要加密的關(guān)鍵數(shù)據(jù)。