 隨著 2022 年接近尾聲，從測試數(shù)量的角度審視這個動蕩的一年中最令人擔憂的威脅，提供了一個基于威脅的視角，即是什么觸發(fā)了網(wǎng)絡安全團隊檢查他們對特定威脅的脆弱程度。這些是在2022 年 1 月 1 日至 12 月 1 日期間使用Cymulate 安全態(tài)勢管理平臺驗證彈性時經過最多測試的威脅。  1 文殊坂 Manjusaka 發(fā)布日期： 2022 年 8 月 與 Cobalt Strike 和 Sliver 框架（都是為紅隊商業(yè)化生產和設計，但被威脅行為者盜用和濫用）相關，這種新興的攻擊框架有可能被惡意行為者廣泛使用。 Manjusaka 在 Rust 中攜帶 Windows 和 Linux 植入物，并免費提供現(xiàn)成的 C2 服務器，并有可能創(chuàng)建自定義植入物。 地緣政治背景 Manjusaka 從一開始就是為犯罪使用而設計的，2023 年可以定義為犯罪使用的增加，因為它是免費分發(fā)的，并且會減少犯罪對濫用商用模擬和仿真框架的依賴，例如 Cobalt Strike、Sliver、 Ninja、Bruce Ratel C4等 在撰寫本文時，沒有跡象表明曼殊薩卡的創(chuàng)作者是國家贊助的。   2 無力后門 PowerLess Backdoor 發(fā)布日期： 2022 年 2 月 Powerless Backdoor 是今年最流行的與伊朗相關的威脅，旨在避免 PowerShell 檢測。它的功能包括下載瀏覽器信息竊取器和鍵盤記錄器、加密和解密數(shù)據(jù)、執(zhí)行任意命令以及激活終止進程。 地緣政治背景 歸因于伊朗的直接威脅數(shù)量已從 8 個躍升至 17 個，是 2021 年同期的兩倍多。然而，自 9 月 14 日美國財政部外國資產控制辦公室 (OFAC)對伊朗網(wǎng)絡行為者實施制裁以來，它已經大大放緩，從那時起逐漸歸咎于伊朗的一次攻擊。 伊朗當前的政治緊張局勢無疑會影響 2023 年的襲擊頻率，但在現(xiàn)階段，很難評估這些頻率是會增加還是會減少。 3 針對美國各州政府的 APT 41 APT 41 targeting U.S. State Governments 發(fā)布日期： 2022 年 3 月 APT41已經被標記為在 2021 年非?；钴S，在 2022 年沒有放緩的跡象，對 APT41 活動的調查發(fā)現(xiàn)了針對美國州政府的蓄意攻擊活動的證據(jù)。 APT 41 使用偵察工具，例如 Acunetix、Nmap、SQLmap、OneForAll、subdomain3、subDomainsBrute 和 Sublist3r。它還會發(fā)起大量攻擊類型，例如網(wǎng)絡釣魚、水坑攻擊和供應鏈攻擊，并利用各種漏洞初步危害受害者。最近，有人看到他們使用公開可用的工具 SQLmap 作為初始攻擊向量，在網(wǎng)站上執(zhí)行 SQL 注入。 今年 11 月，一個新的子組 Earth Longhi 加入了與 APT 41 相關的綽號列表（ARIUM、Winnti、LEAD、WICKED SPIDER、WICKED PANDA、Blackfly、Suckfly、Winnti Umbrella、Double Dragon）。 地緣政治背景 今年 CISA 標記的另外兩起朝鮮的攻擊事件包括使用 Maui 勒索軟件和加密貨幣盜竊活動。Lazarus 子集團 BlueNoroff 今年似乎已經從加密貨幣專業(yè)領域分支出來，也瞄準與加密貨幣連接的 SWIFT 服務器和銀行。自 2022 年 1 月 1 日以來，Cymulate 將七種直接威脅與 Lazarus 聯(lián)系起來。 5 工業(yè)大亨2 Industroyer2 發(fā)布日期： 2022 年 4 月 由于與俄羅斯的沖突，烏克蘭處于高度戒備狀態(tài)，通過挫敗針對高壓變電站的網(wǎng)絡物理攻擊企圖證明了其有效性。該攻擊被稱為 Industroyer2，以紀念 2016 年的 Industroyer 網(wǎng)絡攻擊，顯然是針對烏克蘭的發(fā)電站，但收效甚微，導致基輔部分地區(qū)的電力中斷約一小時。 Industroyer2 定制目標級別包括針對特定變電站的唯一參數(shù)的靜態(tài)指定可執(zhí)行文件集。 地緣政治背景 不幸的是，烏克蘭在保護其關鍵設施方面的網(wǎng)絡彈性無力抵御動能攻擊，而俄羅斯現(xiàn)在似乎選擇了更傳統(tǒng)的軍事手段來摧毀發(fā)電站和其他民用設施。據(jù)ENISA稱，烏克蘭與俄羅斯沖突的副作用是針對政府、公司和能源、交通、銀行和數(shù)字基礎設施等重要部門的網(wǎng)絡威脅再次出現(xiàn)。 總之，在今年最受關注的五個威脅中，有四個與國家支持的威脅行為者直接相關，第五個背后的威脅行為者不為人知，地緣政治緊張局勢似乎是最緊迫的威脅擔憂的根源對于網(wǎng)絡安全團隊。 由于國家支持的攻擊者通?？梢栽L問大多數(shù)公司無法獲得的網(wǎng)絡資源，因此針對復雜攻擊的先發(fā)制人防御應集中在安全驗證和持續(xù)流程上，重點是識別和關閉上下文安全漏洞。 |
|
|
