利用虛假的 CAPTCHA 頁面來傳播 Lumma Stealer 惡意軟件，該惡意軟件已攀升至月度惡意軟件排行榜第四位。該活動以其全球影響力而著稱，通過兩種主要感染媒介影響多個國家：一種涉及破解的游戲下載 URL，另一種是通過針對 GitHub 用戶的網(wǎng)絡(luò)釣魚電子郵件作為一種創(chuàng)新的攻擊媒介。感染過程會誤導(dǎo)受害者執(zhí)行已復(fù)制到剪貼板的惡意腳本，這表明信息竊取程序越來越普遍，成為網(wǎng)絡(luò)犯罪分子從受感染系統(tǒng)中竊取憑據(jù)和敏感數(shù)據(jù)的有效手段。

在移動惡意軟件領(lǐng)域，新版 Necro 已成為一個重大威脅，在移動惡意軟件中排名第二。Necro 感染了各種流行應(yīng)用程序，包括 Google Play 上的游戲模組，累計用戶超過 1100 萬臺 Android 設(shè)備。該惡意軟件采用混淆技術(shù)來逃避檢測，并利用隱寫術(shù)（即將信息隱藏在另一條消息或物理對象中以避免檢測的做法）來隱藏其有效載荷。一旦激活，它可以在隱形窗口中顯示廣告，與它們互動，甚至讓受害者訂閱付費服務(wù)，突顯了攻擊者用來將其運營貨幣化的不斷發(fā)展的策略。

精明的信息竊取者的崛起凸顯了一個日益嚴(yán)重的現(xiàn)實。網(wǎng)絡(luò)犯罪分子正在不斷改進(jìn)其方法并利用創(chuàng)新的攻擊媒介。組織必須超越傳統(tǒng)防御措施，采取主動和自適應(yīng)的安全措施，預(yù)測新出現(xiàn)的威脅，以有效應(yīng)對這些持續(xù)存在的挑戰(zhàn)。

2024年10月“十惡不赦”

*箭頭表示與上個月相比的排名變化

FakeUpdates是本月最流行的惡意軟件，影響了全球6% 的組織，其次是Androxgh0st，全球影響率為5%，以及AgentTesla，全球影響率為4%。 

1. ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個用 JavaScript 編寫的下載程序。它會在啟動有效載荷之前將其寫入磁盤。FakeUpdates 導(dǎo)致通過許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進(jìn)一步受到攻擊。
   

2. ? Androxgh0st – Androxgh0st 是一個針對 Windows、Mac 和 Linux 平臺的僵尸網(wǎng)絡(luò)。對于初始感染，Androxgh0st 利用了多個漏洞，具體針對 PHPUnit、Laravel 框架和 Apache Web 服務(wù)器。該惡意軟件竊取敏感信息，例如 Twilio 帳戶信息、SMTP 憑據(jù)、AWS 密鑰等。它使用 Laravel 文件來收集所需信息。它有不同的變體，可以掃描不同的信息。

3. ↑ AgentTesla – AgentTesla 是一種先進(jìn)的 RAT，可用作鍵盤記錄器和信息竊取程序，能夠監(jiān)視和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截屏以及竊取安裝在受害者機(jī)器上的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。

4. ↑ Lumma Stealer – Lumma Stealer，也稱為 LummaC2，是一種與俄羅斯有關(guān)的信息竊取惡意軟件，自 2022 年以來一直作為惡意軟件即服務(wù) (MaaS) 平臺運行。該惡意軟件于 2022 年中期被發(fā)現(xiàn)，不斷發(fā)展，并在俄語論壇上積極傳播。作為典型的信息竊取者，LummaC2 專注于從受感染的系統(tǒng)中收集各種數(shù)據(jù)，包括瀏覽器憑據(jù)和加密貨幣賬戶信息。

5. ↓ Formbook - Formbook 是一款針對 Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。它在地下黑客論壇上以惡意軟件即服務(wù) (MaaS) 的形式銷售，因為它具有強(qiáng)大的規(guī)避技術(shù)和相對較低的價格。FormBook 從各種 Web 瀏覽器收集憑據(jù)、收集屏幕截圖、監(jiān)視和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。

6. ↑ NJRat – NJRat 是一種遠(yuǎn)程訪問木馬，主要針對中東的政府機(jī)構(gòu)和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問受害者的相機(jī)、竊取存儲在瀏覽器中的憑據(jù)、上傳和下載文件、執(zhí)行進(jìn)程和文件操作以及查看受害者的桌面。NJRat 通過網(wǎng)絡(luò)釣魚攻擊和驅(qū)動下載感染受害者，并在命令和控制服務(wù)器軟件的支持下通過受感染的 USB 密鑰或網(wǎng)絡(luò)驅(qū)動器進(jìn)行傳播。

7. ↑ AsyncRat – Asyncrat 是一種針對 Windows 平臺的木馬。該惡意軟件將有關(guān)目標(biāo)系統(tǒng)的系統(tǒng)信息發(fā)送到遠(yuǎn)程服務(wù)器。它從服務(wù)器接收命令以下載和執(zhí)行插件、終止進(jìn)程、卸載/更新自身以及捕獲受感染系統(tǒng)的屏幕截圖。

8. ↑ Remcos – Remcos 是一種 RAT，于 2016 年首次出現(xiàn)。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進(jìn)行分發(fā)，旨在繞過 Microsoft Windows UAC 安全保護(hù)并以高級權(quán)限執(zhí)行惡意軟件。

9. ? Glupteba – Glupteba 自 2011 年起為人所知，是一種逐漸發(fā)展成為僵尸網(wǎng)絡(luò)的后門。到 2019 年，它包括通過公共比特幣列表更新 C&C 地址的機(jī)制、集成的瀏覽器竊取程序功能和路由器漏洞利用程序。

10. ↓ Vidar - Vidar 是一種以惡意軟件即服務(wù)形式運行的信息竊取惡意軟件，于 2018 年底首次被發(fā)現(xiàn)。該惡意軟件在 Windows 上運行，可以從瀏覽器和數(shù)字錢包中收集各種敏感數(shù)據(jù)。此外，該惡意軟件還被用作勒索軟件的下載器。

最常被利用的漏洞 

1. ↑ Web 服務(wù)器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –不同的 Web 服務(wù)器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務(wù)器的輸入驗證錯誤導(dǎo)致的，該錯誤未正確清理目錄遍歷模式的 URI。成功利用該漏洞可讓未經(jīng)身份驗證的遠(yuǎn)程攻擊者泄露或訪問存在漏洞的服務(wù)器上的任意文件。

2. ↓ HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報告 HTTP 命令注入漏洞。遠(yuǎn)程攻擊者可以通過向受害者發(fā)送特制請求來利用此問題。成功利用此漏洞將允許攻擊者在目標(biāo)計算機(jī)上執(zhí)行任意代碼。 

3. ↑ Zyxel ZyWALL 命令注入 (CVE-2023-28771 ) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠(yuǎn)程攻擊者在受影響的系統(tǒng)中執(zhí)行任意操作系統(tǒng)命令。

熱門移動惡意軟件

本月最流行的移動惡意軟件中，Joker位居第一，其次是Necro和Anubis。

1. ? Joker – Google Play 上的一款安卓間諜軟件，旨在竊取短信、聯(lián)系人列表和設(shè)備信息。此外，該惡意軟件還會悄悄地讓受害者在廣告網(wǎng)站上獲得高級服務(wù)。

2. ↑ Necro – Necro 是一種 Android 木馬植入程序。它能夠下載其他惡意軟件、顯示侵入性廣告并通過收取付費訂閱費來竊取資金。

3. ↓ Anubis – Anubis 是一種針對 Android 手機(jī)設(shè)計的銀行木馬惡意軟件。自首次被發(fā)現(xiàn)以來，它已獲得附加功能，包括遠(yuǎn)程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數(shù)百種不同應(yīng)用程序中被檢測到。

全球最易受攻擊的行業(yè)

本月，教育/研究仍然位居全球遭受攻擊的行業(yè)第一位，其次是政府/軍事和通信行業(yè)。

1. 教育/研究

2. 政府/軍隊

3. 通訊

頂級勒索軟件組織

這些數(shù)據(jù)基于雙重勒索勒索軟件組織運營的勒索軟件“恥辱網(wǎng)站”的洞察，這些網(wǎng)站發(fā)布了受害者信息。RansomHub是本月最流行的勒索軟件組織，占已發(fā)布攻擊的17 % ，其次是Play（占10%）和Meow（占5%）。

1. RansomHub – RansomHub 是一種勒索軟件即服務(wù) (RaaS) 操作，是之前已知的 Knight 勒索軟件的改名版本。RansomHub 于 2024 年初在地下網(wǎng)絡(luò)犯罪論壇上引人注目，因其針對各種系統(tǒng)（包括 Windows、macOS、Linux，尤其是 VMware ESXi 環(huán)境）的積極活動而迅速聲名狼藉。該惡意軟件以采用復(fù)雜的加密方法而聞名。

2. Play – Play 勒索軟件，也稱為 PlayCrypt，是一種于 2022 年 6 月首次出現(xiàn)的勒索軟件。該勒索軟件針對北美、南美和歐洲的廣泛企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施，到 2023 年 10 月影響了大約 300 個實體。Play 勒索軟件通常通過入侵有效賬戶或利用未修補(bǔ)的漏洞（例如 Fortinet SSL VPN 中的漏洞）來訪問網(wǎng)絡(luò)。一旦進(jìn)入，它就會采用諸如使用 living-off-the-land 二進(jìn)制文件 (LOLBins) 之類的技術(shù)來執(zhí)行數(shù)據(jù)泄露和憑據(jù)竊取等任務(wù)。

3. Meow - Meow 勒索軟件是基于 Conti 勒索軟件的變種，該勒索軟件以加密受感染系統(tǒng)上的各種文件并在其后附加“.MEOW”擴(kuò)展名而聞名。它會留下一個名為“readme.txt”的勒索信，指示受害者通過電子郵件或 Telegram 聯(lián)系攻擊者以協(xié)商贖金。Meow 勒索軟件通過各種媒介傳播，包括不受保護(hù)的 RDP 配置、電子郵件垃圾郵件和惡意下載，并使用 ChaCha20 加密算法鎖定文件（不包括“.exe”和文本文件）。

—END—