2023年12月份惡意軟件之“十惡不赦”排行榜

作者：何威風 2024-03-04 00:03:00

2023年12月全球威脅指數顯示，研究人員發現了 Qbot 的復活。同時，JavaScript 下載器 FakeUpdates 躍居第一，教育仍然是受影響最大的全球工業。

2023年12月全球威脅指數顯示，在美國和國際執法機構于2023年8月的“獵鴨行動”中拆除 Qbot 基礎設施四個月后，研究人員發現了 Qbot 的復活。同時，JavaScript 下載器 FakeUpdates 躍居第一，教育仍然是受影響最大的全球工業。

上個月，Qbot惡意軟件被網絡犯罪分子用作針對酒店業組織的有限規模網絡釣魚攻擊的一部分。在此次活動中，研究人員發現黑客冒充 IRS 發送惡意電子郵件，其中包含 PDF 附件，其中嵌入了鏈接到 Microsoft 安裝程序的 URL。一旦激活，就會觸發一個看不見的 Qbot 版本，該版本利用嵌入式動態鏈接庫 (DLL)。在 8 月份被下架之前，Qbot 在威脅指數中占據主導地位，連續 10 個月被列為最流行的三大惡意軟件之一。盡管它還沒有重返榜單，但接下來的幾個月將決定它是否會恢復以前的惡名。

與此同時，FakeUpdates 在 2023 年底重新崛起后繼續上升，以 2% 的全球影響力排名第一。Nanocore 也連續六個月保持前五名的位置，12 月排名第三，Ramnit 和 Glupteba 也有新的參賽作品。

在其分發基礎設施被拆除不到四個月后，Qbot 就出現在野外，這提醒我們，雖然我們可以破壞惡意軟件活動，但其背后的攻擊者將適應新技術。這就是為什么鼓勵組織對端點安全采取預防性方法，并對電子郵件的來源和意圖進行盡職調查。

“Apache Log4j 遠程代碼執行 (CVE-2021-44228) 和“Web 服務器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球 46% 的組織。“Zyxel ZyWALL 命令注入 (CVE-2023-28771)”緊隨其后，全球影響率為 43%。

2023年12月“十惡不赦”

*箭頭表示與上個月相比的排名變化。

FakeUpdates和Formbook是上個月最流行的惡意軟件，影響了全球2% 的組織，其次是Nanocore，影響了全球1% 的組織。

↑ FakeUpdates – FakeUpdates（又名 SocGholish）是一個用 JavaScript 編寫的下載器。它在啟動有效負載之前將其寫入磁盤。FakeUpdates 可能會通過其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）導致進一步的危害。
↓ Formbook – Formbook 是一種針對 Windows 操作系統的信息竊取程序，于 2016 年首次被發現。由于其強大的規避技術和相對較低的價格，它在地下黑客論壇中以惡意軟件即服務 (MaaS) 的形式進行銷售。Formbook 從各種 Web 瀏覽器獲取憑據、收集屏幕截圖、監視和記錄擊鍵，并可以根據其 C&C 的命令下載和執行文件。
↑ Nanocore – Nanocore 是一種針對 Windows 操作系統用戶的遠程訪問木馬，于 2013 年首次在野外發現。所有版本的 RAT 都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠程控制桌面和網絡攝像頭會話盜竊。
↓ Remcos – Remcos 是一種于 2016 年首次出現的 RAT。Remcos 通過惡意 Microsoft Office 文檔進行傳播，這些文檔附加在垃圾郵件中，旨在繞過 Microsoft Windows UAC 安全性并以高級權限執行惡意軟件。
↑ AsyncRat – AsyncRat 是一種針對 Windows 平臺的木馬。該惡意軟件將有關目標系統的信息發送到遠程服務器。它從服務器接收命令來下載并執行插件、終止進程、卸載/更新自身以及捕獲受感染系統的屏幕截圖。
↓ AgentTesla – AgentTesla 是一種高級 RAT，充當鍵盤記錄器和信息竊取程序，能夠監控和收集受害者的鍵盤輸入、系統鍵盤、截取屏幕截圖以及竊取受害者計算機上安裝的各種軟件的憑據（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。
^ Phorpiex – Phorpiex 是一個僵尸網絡（又名 Trik），自 2010 年以來一直活躍，在高峰時期控制了超過一百萬臺受感染的主機。它以通過垃圾郵件活動分發其他惡意軟件系列以及助長大規模垃圾郵件和性勒索活動而聞名。
↓ NJRat – NJRat 是一種遠程訪問木馬，主要針對中東的政府機構和組織。該木馬于 2012 年首次出現，具有多種功能：捕獲擊鍵、訪問受害者的攝像頭、竊取瀏覽器中存儲的憑據、上傳和下載文件、執行進程和文件操作以及查看受害者的桌面。NJRat 通過網絡釣魚攻擊和偷渡式下載感染受害者，并在命令與控制服務器軟件的支持下通過受感染的 USB 密鑰或網絡驅動器進行傳播。
↑ Ramnit – Ramnit 特洛伊木馬是一種能夠泄露敏感數據的惡意軟件。此類數據可以包括銀行憑證、FTP 密碼、會話 cookie 和個人數據等任何內容。
^ Glupteba – 自 2011 年以來已知，Glupteba 是一個逐漸成熟為僵尸網絡的后門。到 2019 年，它包括通過公共比特幣列表的 C&C 地址更新機制、集成的瀏覽器竊取程序功能和路由器利用程序。

最常被利用的漏洞

上個月，“Apache Log4j 遠程代碼執行 (CVE-2021-44228)”和“Web 服務器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球46%的組織，其次是“Zyxel ZyWALL 命令注入”(CVE-2023) -28771)”，全球影響力達43%。

↑ Apache Log4j 遠程代碼執行 (CVE-2021-44228) – Apache Log4j 中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
? Web 服務器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、 CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –有不同Web服務器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務器中的輸入驗證錯誤導致的，該錯誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經身份驗證的遠程攻擊者披露或訪問易受攻擊的服務器上的任意文件。
? Zyxel ZyWALL 命令注入 (CVE-2023-28771) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠程攻擊者在受影響的系統中執行任意操作系統命令。
↓通過 HTTP 進行命令注入（CVE-2021-43936、CVE-2022-24086） ——已報告通過 HTTP 進行命令注入漏洞。遠程攻擊者可以通過向受害者發送特制請求來利用此問題。成功利用該漏洞將允許攻擊者在目標計算機上執行任意代碼。
↑ PHP 復活節彩蛋信息泄露 (CVE-2015-2051) – PHP 頁面中報告了一個信息泄露漏洞。該漏洞是由于不正確的 Web 服務器配置造成的。遠程攻擊者可以通過向受影響的 PHP 頁面發送特制 URL 來利用此漏洞。
↑ MVPower CCTV DVR 遠程執行代碼 (CVE-2016-20016) - MVPower CCTV DVR 中存在遠程執行代碼漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
↓ WordPress portable-phpMyAdmin 插件身份驗證繞過 (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗證繞過漏洞。成功利用此漏洞將允許遠程攻擊者獲取敏感信息并對受影響的系統進行未經授權的訪問。
^ OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） – OpenSSL TLS DTLS 心跳信息泄露 OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數據包時出現錯誤造成的。攻擊者可以利用此漏洞泄露所連接的客戶端或服務器的內存內容。
↓ HTTP 標頭遠程代碼執行– HTTP 標頭允許客戶端和服務器通過 HTTP 請求傳遞附加信息。遠程攻擊者可能使用易受攻擊的 HTTP 標頭在受害計算機上運行任意代碼。
↑ D-Link 多個產品遠程執行代碼 (CVE-2015-2051) – 多個 D-Link 產品中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。

全球受攻擊最嚴重的行業

上個月，教育/研究仍然是全球最受攻擊的行業，其次是通信和政府/軍事。

教育/研究
通訊
政府/軍隊

責任編輯：趙寧寧來源：祺印說信安

惡意軟件網絡釣魚 w網絡安全

2023年12月份惡意軟件之“十惡不赦”排行榜

2023年12月“十惡不赦”

最常被利用的漏洞

熱門移動惡意軟件

全球受攻擊最嚴重的行業