本月，研究人員發現威脅行為者可能使用人工智能開發腳本來傳播 AsyncRAT 惡意軟件，該惡意軟件目前在最流行的惡意軟件列表中排名第 10。該方法涉及 HTML 走私，其中發送包含惡意 VBScript 代碼的受密碼保護的 ZIP 文件以在受害者的設備上啟動感染鏈。結構良好且帶有注釋的代碼表明人工智能參與其中。一旦完全執行，AsyncRAT 就會安裝，使攻擊者能夠記錄擊鍵、遠程控制受感染的設備并部署其他惡意軟件。這一發現凸顯了一種日益增長的趨勢，即技術技能有限的網絡犯罪分子使用人工智能更輕松地創建惡意軟件。

威脅行為者已開始利用生成式人工智能作為其攻擊基礎設施的一部分，這一事實凸顯了網絡攻擊策略的不斷演變。網絡犯罪分子越來越多地利用現有技術來增強其行動，因此組織必須實施主動安全策略，包括先進的預防方法和對其團隊進行全面的培訓。

本月，Joker 繼續成為最流行的移動惡意軟件，而 RansomHub 仍然是領先的勒索軟件組織，兩者均保持了上個月的地位。這些發現凸顯了這些惡意實體在不斷發展的網絡安全格局中構成的持續威脅。

2024年9月“十惡不赦”

*箭頭表示與上個月相比的排名變化

FakeUpdates是本月最流行的惡意軟件，影響了全球7% 的組織，其次是Androxgh0st，全球影響率為6%，以及Formbook，全球影響率為4%。

1. ? FakeUpdates – FakeUpdates（又名 SocGholish）是一個用 JavaScript 編寫的下載程序。它會在啟動有效載荷之前將其寫入磁盤。FakeUpdates 導致通過許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進一步受到攻擊。
2. ? Androxgh0st – Androxgh0st 是一個針對 Windows、Mac 和 Linux 平臺的僵尸網絡。對于初始感染，Androxgh0st 利用了多個漏洞，具體針對 PHPUnit、Laravel 框架和 Apache Web 服務器。該惡意軟件竊取敏感信息，例如 Twilio 帳戶信息、SMTP 憑據、AWS 密鑰等。它使用 Laravel 文件來收集所需信息。它有不同的變體，可以掃描不同的信息。
3. ↑ Formbook – Formbook 是一種針對 Windows 操作系統的信息竊取程序，于 2016 年首次被發現。它在地下黑客論壇上以惡意軟件即服務 (MaaS) 的形式銷售，因為它具有強大的規避技術和相對較低的價格。FormBook 從各種 Web 瀏覽器收集憑據、收集屏幕截圖、監視和記錄擊鍵，并可以根據其 C&C 的命令下載和執行文件。
4. ? Qbot – Qbot 又名 Qakbot，是一種多用途惡意軟件，于 2008 年首次出現。它旨在竊取用戶憑據、記錄擊鍵、從瀏覽器竊取 cookie、監視銀行活動以及部署其他惡意軟件。Qbot 通常通過垃圾郵件分發，采用多種反虛擬機、反調試和反沙盒技術來阻礙分析和逃避檢測。從 2022 年開始，它成為最流行的木馬之一。
5. ? AgentTesla – AgentTesla 是一種先進的 RAT，可用作鍵盤記錄器和信息竊取程序，能夠監視和收集受害者的鍵盤輸入、系統鍵盤、截屏以及竊取安裝在受害者機器上的各種軟件的憑據（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。
6. ↓ Phorpiex – Phorpiex 是一個僵尸網絡，以通過垃圾郵件活動傳播其他惡意軟件家族以及助長大規模性勒索活動而聞名。
7. ↑ Vidar - Vidar 是一種以惡意軟件即服務形式運行的信息竊取惡意軟件，于 2018 年底首次被發現。該惡意軟件在 Windows 上運行，可以從瀏覽器和數字錢包中收集各種敏感數據。此外，該惡意軟件還用作勒索軟件的下載器。
8. ↑ NJRat – NJRat 是一種遠程訪問木馬，主要針對中東的政府機構和組織。該木馬于 2012 年首次出現，具有多種功能：捕獲擊鍵、訪問受害者的相機、竊取存儲在瀏覽器中的憑據、上傳和下載文件、執行進程和文件操作以及查看受害者的桌面。NJRat 通過網絡釣魚攻擊和驅動下載感染受害者，并在命令和控制服務器軟件的支持下通過受感染的 USB 密鑰或網絡驅動器進行傳播。
9. ↑ Glupteba – Glupteba 自 2011 年起為人所知，是一個逐漸發展成為僵尸網絡的后門。到 2019 年，它包括通過公共比特幣列表更新 C&C 地址的機制、集成的瀏覽器竊取程序功能和路由器漏洞利用程序。
10. ↑ AsyncRat – Asyncrat 是一種針對 Windows 平臺的木馬。該惡意軟件將有關目標系統的系統信息發送到遠程服務器。它從服務器接收命令以下載和執行插件、終止進程、卸載/更新自身以及捕獲受感染系統的屏幕截圖。

最常被利用的漏洞 

1. ? HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報告 HTTP 命令注入漏洞。遠程攻擊者可以通過向受害者發送特制請求來利用此問題。成功利用此漏洞將允許攻擊者在目標計算機上執行任意代碼。
2. ↑ Web 服務器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –不同的 Web 服務器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務器的輸入驗證錯誤導致的，該錯誤未正確清理目錄遍歷模式的 URI。成功利用該漏洞可讓未經身份驗證的遠程攻擊者泄露或訪問存在漏洞的服務器上的任意文件。
3. ? HTTP 標頭遠程代碼執行 (CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標頭允許客戶端和服務器通過 HTTP 請求傳遞其他信息。遠程攻擊者可能會使用易受攻擊的 HTTP 標頭在受害計算機上運行任意代碼。

熱門移動惡意軟件

本月最流行的移動惡意軟件中，Joker位居第一，其次是Anubis和Hiddad。

1. ? Joker – Google Play 上的一款安卓間諜軟件，旨在竊取短信、聯系人列表和設備信息。此外，該惡意軟件還會悄悄地讓受害者在廣告網站上獲得高級服務。
2. ? Anubis – Anubis 是一種針對 Android 手機設計的銀行木馬惡意軟件。自首次被發現以來，它已獲得附加功能，包括遠程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數百種不同應用程序中被檢測到。
3. ↑ Hiddad – Hiddad 是一種 Android 惡意軟件，它會重新打包合法應用程序，然后將其發布到第三方商店。它的主要功能是顯示廣告，但它也可以訪問操作系統內置的關鍵安全詳細信息。 

全球最易受攻擊的行業

本月，教育/研究行業在全球遭受攻擊的行業中仍然位居第一，其次是政府/軍事和醫療保健。

1. 教育/研究
2. 政府/軍隊
3. 衛生保健

頂級勒索軟件組織

這些數據基于雙重勒索勒索軟件組織運營的勒索軟件“恥辱網站”的洞察，這些網站發布了受害者信息。RansomHub是本月最流行的勒索軟件組織，占已發布攻擊的17 % ，其次是Play（占10%）和Qilin（占5%）。

3. RansomHub – RansomHub 是一種勒索軟件即服務 (RaaS) 操作，是之前已知的 Knight 勒索軟件的改名版本。RansomHub 于 2024 年初在地下網絡犯罪論壇上引人注目，因其針對各種系統（包括 Windows、macOS、Linux，尤其是 VMware ESXi 環境）的積極活動而迅速聲名狼藉。該惡意軟件以采用復雜的加密方法而聞名。
4. Play – Play 勒索軟件，也稱為 PlayCrypt，是一種于 2022 年 6 月首次出現的勒索軟件。該勒索軟件針對北美、南美和歐洲的廣泛企業和關鍵基礎設施，到 2023 年 10 月影響了大約 300 個實體。Play 勒索軟件通常通過入侵有效賬戶或利用未修補的漏洞（例如 Fortinet SSL VPN 中的漏洞）來訪問網絡。一旦進入，它就會采用諸如使用 living-off-the-land 二進制文件 (LOLBins) 之類的技術來執行數據泄露和憑據竊取等任務。
5. Qilin – Qilin，也稱為 Agenda，是一種勒索軟件即服務犯罪行動，它與關聯方合作加密和竊取受感染組織的數據，隨后索要贖金。此勒索軟件變體于 2022 年 7 月首次被發現，使用 Golang 開發。Agenda 以針對大型企業和高價值組織而聞名，尤其關注醫療保健和教育行業。Qilin 通常通過包含惡意鏈接的網絡釣魚電子郵件滲透受害者，以建立對其網絡的訪問權限并竊取敏感信息。一旦進入內部，Qilin 通常會在受害者的基礎設施中橫向移動，尋找要加密的關鍵數據。