2024 年 5 月全球威脅指數顯示，研究人員發現了由 Phorpiex 僵尸網絡策劃的惡意垃圾郵件活動。發送的數百萬封網絡釣魚電子郵件包含 LockBit Black——基于 LockBit3，但與勒索軟件組織無關。在無關的發展中，實際的 LockBit3 勒索軟件即服務 (RaaS) 組織在執法部門在全球范圍內取締后短暫中斷后，流行程度激增，占已發布攻擊的 33%。

Phorpiex 僵尸網絡的原始運營商于 2021 年 8 月關閉并出售源代碼。然而，到 2021 年 12 月，已重新出現，成為一個名為“Twizt”的新變種，以去中心化的點對點模式運行。今年 4 月，新澤西州網絡安全和通信集成小組 (NJCCIC)發現證據表明，上個月威脅指數排名第六的 Phorpiex 僵尸網絡被用于發送數百萬封網絡釣魚電子郵件，作為 LockBit3 勒索軟件活動的一部分。這些電子郵件帶有ZIP 附件，當執行其中的欺騙性 .doc.scr 文件時，會觸發勒索軟件加密過程。該活動使用了 1,500 多個唯一 IP 地址，主要來自哈薩克斯坦、烏茲別克斯坦、伊朗、俄羅斯等國家。

同時，這些網站發布受害者信息以向不付款的目標施壓。5 月，LockBit3 再次占據主導地位，占已發布攻擊的 33%。緊隨其后的是 Inc. Ransom，占 7%，Play 的檢測率為 5%。Inc. Ransom 最近聲稱對一起重大網絡事件負責，該事件擾亂了英國萊斯特市議會的公共服務，據稱竊取了超過 3 TB 的數據并導致大面積系統關閉。

雖然執法機構通過揭露 LockBit3 網絡團伙的一名頭目和附屬機構并發布7,000 多個 LockBit 解密密鑰成功暫時瓦解了該團伙，但這還不足以徹底消除威脅。他們重組并部署新戰術以繼續追捕，這并不奇怪。勒索軟件是網絡犯罪分子使用的最具破壞性的攻擊方法之一。一旦他們滲透到網絡并提取信息，目標的選擇就會受到限制，特別是如果他們無力支付贖金要求。這就是為什么組織必須警惕風險并優先采取預防措施的原因。最近美國方面報道LockBit3竊取了美聯儲33TB數據，談判過程中感覺受到了侮辱，要求更換談判人員：33TB美聯儲“敏感”信息被竊取，黑客談判失敗要求換掉白癡談判專家。

2024年5月“十惡不赦”

*箭頭表示與上個月相比的排名變化。

FakeUpdates是上個月最為流行的惡意軟件，影響了全球7%的組織，其次是Androxgh0st，全球影響率為5%，以及Qbot，全球影響率為3%。

• ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個用 JavaScript 編寫的下載程序。會在啟動有效載荷之前將其寫入磁盤。FakeUpdates 導致通過許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進一步受到攻擊。
• ? Androxgh0st – Androxgh0st 是一個針對 Windows、Mac 和 Linux 平臺的僵尸網絡。對于初始感染，Androxgh0st 利用了多個漏洞，具體針對的是 PHPUnit、Laravel 框架和 Apache Web 服務器。該惡意軟件竊取敏感信息，例如 Twilio 賬戶信息、SMTP 憑據、AWS 密鑰等。它使用 Laravel 文件來收集所需的信息。它有不同的變體，可以掃描不同的信息。
• ? Qbot – Qbot 又名 Qakbot，是一種多用途惡意軟件，于 2008 年首次出現。它旨在竊取用戶憑據、記錄擊鍵、從瀏覽器竊取 cookie、監視銀行活動以及部署其他惡意軟件。Qbot 通常通過垃圾郵件分發，采用多種反虛擬機、反調試和反沙盒技術來阻礙分析和逃避檢測。從 2022 年開始，它成為最流行的木馬之一。
• ↑ CloudEye – CloudEye 是一個針對 Windows 平臺的下載器，用于在受害者的計算機上下載并安裝惡意程序。
• ↑ Remcos – Remcos 是一種 RAT，于 2016 年首次出現。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進行分發，旨在繞過 Microsoft Windows UAC 安全保護并以高級權限執行惡意軟件。
• ? Phorpiex – Phorpiex 是一個僵尸網絡，以通過垃圾郵件活動傳播其他惡意軟件家族以及助長大規模性勒索活動而聞名。
• ↑ Glupteba – Glupteba 自 2011 年起為人所知，是一個逐漸發展成為僵尸網絡的后門。到 2019 年，它包括通過公共比特幣列表更新 C&C 地址的機制、一個集成的瀏覽器竊取程序功能和一個路由器漏洞利用程序。
• ↓ AsyncRat – AsyncRat 是一種針對 Windows 平臺的木馬。該惡意軟件會將目標系統的系統信息發送到遠程服務器。它會從服務器接收命令，下載并執行插件、終止進程、卸載/更新自身以及捕獲受感染系統的屏幕截圖。
• ↓ Formbook - Formbook 是一款針對 Windows 操作系統的信息竊取程序，于 2016 年首次被發現。它在地下黑客論壇上以惡意軟件即服務 (MaaS) 的形式銷售，因為它具有強大的規避技術和相對較低的價格。Formbook 從各種 Web 瀏覽器收集憑據、收集屏幕截圖、監視和記錄擊鍵，并可以根據其 C&C 的命令下載和執行文件。
• ↓ NJRat – NJRat 是一種遠程訪問木馬，主要針對中東地區的政府機構和組織。該木馬于 2012 年首次出現，具有多種功能：捕獲擊鍵、訪問受害者的相機、竊取存儲在瀏覽器中的憑據、上傳和下載文件、執行進程和文件操作以及查看受害者的桌面。NJRat 通過網絡釣魚攻擊和驅動下載感染受害者，并在命令和控制服務器軟件的支持下通過受感染的 USB 密鑰或網絡驅動器進行傳播。

最常被利用的漏洞 

上個月，“ HTTP 命令注入” 是最容易被利用的漏洞，影響了 全球50%的組織，其次是“Web 服務器惡意 URL 目錄遍歷”，占47%，然后是“Apache Log4j 遠程代碼執行”，占46%。

• ? HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報告 HTTP 命令注入漏洞。遠程攻擊者可以通過向受害者發送特制請求來利用此問題。成功利用此漏洞將允許攻擊者在目標計算機上執行任意代碼。
• ? Web 服務器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –不同的 Web 服務器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務器的輸入驗證錯誤導致的，該錯誤未正確清理目錄遍歷模式的 URI。成功利用該漏洞可讓未經身份驗證的遠程攻擊者泄露或訪問存在漏洞的服務器上的任意文件。
• ↑ Apache Log4j 遠程代碼執行 (CVE-2021-44228) – Apache Log4j 中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
• ↓ HTTP 標頭遠程代碼執行(CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標頭允許客戶端和服務器通過 HTTP 請求傳遞其他信息。遠程攻擊者可能會使用易受攻擊的 HTTP 標頭在受害計算機上運行任意代碼。
• ↑ Apache HTTP Server 目錄遍歷 (CVE-2021-41773) – Apache HTTP Server 中存在目錄遍歷漏洞。成功利用此漏洞可使攻擊者訪問受影響系統上的任意文件。
• ↑ TP-Link Archer AX21 命令注入 (CVE-2023-1389) – TP-Link Archer AX21 中存在命令注入漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意命令。
• ↑ D-Link 多產品命令注入 (CVE-2024-3272) –多款 D-Link 產品中存在命令注入漏洞。成功利用此漏洞可使遠程攻擊者在受影響的系統上執行任意命令。
• ↑ MVPower CCTV DVR 遠程代碼執行 (CVE-2016-20016) – MVPower CCTV DVR 中存在遠程代碼執行漏洞。成功利用此漏洞可使遠程攻擊者在受影響的系統上執行任意代碼。
• ↓ Dasan GPON 路由器身份驗證繞過 (CVE-2024-3273) – PHPUnit 中存在命令注入漏洞。成功利用此漏洞將允許遠程攻擊者在受影響的系統中執行任意命令。
• ↓ PHP 復活節彩蛋信息泄露 (CVE-2015-2051) – PHP 頁面中已報告信息泄露漏洞。此漏洞是由于 Web 服務器配置不正確造成的。遠程攻擊者可以通過向受影響的 PHP 頁面發送特制 URL 來利用此漏洞。

熱門移動惡意軟件

上個月，Anubis作為最流行的移動惡意軟件位居榜首，其次是AhMyth和Hydra。

• ? Anubis – Anubis 是一種針對 Android 手機設計的銀行木馬惡意軟件。自首次被發現以來，它已獲得附加功能，包括遠程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數百種不同應用程序中被檢測到。
• ? AhMyth – AhMyth 是一種遠程訪問木馬 (RAT)，于 2017 年發現。它通過 Android 應用程序進行傳播，這些應用程序可以在應用商店和各種網站上找到。當用戶安裝其中一個受感染的應用程序時，該惡意軟件可以從設備中收集敏感信息并執行鍵盤記錄、截屏、發送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
• ↑ Hydra – Hydra 是一種銀行木馬，通過要求受害者在每次進入任何銀行應用程序時啟用危險權限和訪問權限來竊取銀行憑證。

全球最易受攻擊的行業

上個月，教育/研究仍然位居全球遭受攻擊的行業之首，其次是政府/軍事和通信。

• 教育/研究
• 政府/軍隊
• 通訊

頂級勒索軟件組織

以下數據基于雙重勒索勒索軟件組織運營的勒索軟件“恥辱網站”的見解，這些網站發布了受害者信息。LockBit3是上個月最流行的勒索軟件組織，占已發布攻擊的33% ，其次是Inc. Ransom（占7%）和Play（占5%）。

• LockBit3 – LockBit 是一種勒索軟件，以 RaaS 模式運行，于 2019 年 9 月首次報告。LockBit 針對的是各個國家的大型企業和政府實體，并不針對俄羅斯或獨立國家聯合體的個人。盡管由于執法行動，LockBit 在 2024 年 2 月經歷了嚴重中斷，但現已恢復發布有關其受害者的信息。
• Inc. Ransom – Inc. Ransom 是一種勒索軟件勒索行動，于 2023 年 7 月出現，進行魚叉式網絡釣魚攻擊并針對易受攻擊的服務。該組織的主要目標是北美和歐洲的多個行業組織，包括醫療保健、教育和政府。Inc. 勒索軟件負載支持多個命令行參數，并使用多線程方法進行部分加密。
• Play –  Play 勒索軟件，也稱為 PlayCrypt，是一種于 2022 年 6 月首次出現的勒索軟件。該勒索軟件針對北美、南美和歐洲的廣泛企業和關鍵基礎設施，到 2023 年 10 月影響了大約 300 個實體。Play 勒索軟件通常通過入侵有效賬戶或利用未修補的漏洞（例如 Fortinet SSL VPN 中的漏洞）來訪問網絡。一旦進入，它就會采用諸如使用 living-off-the-land 二進制文件 (LOLBins) 之類的技術來執行數據泄露和憑據竊取等任務。