二月對(duì)于勒索軟件領(lǐng)域最活躍的組織之一——Clop Ransom 組織來(lái)說(shuō)尤其成功。2 月份，該組織在其網(wǎng)站上公布了數(shù)十名受害者名單，這些受害者來(lái)自各個(gè)行業(yè)，包括制造業(yè)、運(yùn)輸業(yè)、IT 和技術(shù)服務(wù)業(yè)，其中幾家大型企業(yè)也受到了影響。該組織一直保持高度活躍，專(zhuān)注于利用 CLEO 漏洞，這是他們利用文件共享軟件零日漏洞的策略的一部分。這種方法使他們能夠進(jìn)行大規(guī)模數(shù)據(jù)泄露和勒索。Clop 的行動(dòng)主要圍繞成功入侵后進(jìn)行大規(guī)模數(shù)據(jù)勒索。值得注意的是，該組織兩年前因其大規(guī)模 MOVEit 攻擊而首次引起廣泛關(guān)注，此次攻擊影響了超過(guò) 2600 個(gè)組織和近 9000 萬(wàn)個(gè)人。

2025年2月“十惡不赦”

*箭頭表示與上個(gè)月相比的排名變化

FakeUpdates 是 2 月份最流行的惡意軟件，緊隨其后的是 Androxgh0st 和 Remcos，它們均影響了全球 3% 的組織。

1. ? FakeUpdates – FakeUpdates，又名 SocGholish，是一種下載器惡意軟件，于 2018 年首次被發(fā)現(xiàn)。它主要通過(guò)在受感染或惡意網(wǎng)站上進(jìn)行路過(guò)式下載進(jìn)行傳播，誘使用戶(hù)安裝虛假的瀏覽器更新。該惡意軟件與俄羅斯黑客組織 Evil Corp 有關(guān)，并經(jīng)常用于在初始感染后投放二次有效載荷。
2. ↑ Androxgh0st – AndroxGh0st 是一款基于 Python 的惡意軟件，主要針對(duì)基于 Laravel PHP 框架構(gòu)建的應(yīng)用程序。它會(huì)掃描暴露的 .env 文件，這些文件通常包含敏感信息，例如 AWS、Twilio、Office 365 和 SendGrid 等服務(wù)的登錄憑據(jù)。該惡意軟件通過(guò)僵尸網(wǎng)絡(luò)運(yùn)行，該僵尸網(wǎng)絡(luò)會(huì)識(shí)別運(yùn)行 Laravel 的網(wǎng)站并提取機(jī)密數(shù)據(jù)。一旦攻擊者獲得訪問(wèn)權(quán)限，他們就可以部署其他惡意軟件、建立后門(mén)連接，并利用云資源進(jìn)行加密貨幣挖礦等活動(dòng)。
3. ? Remcos — Remcos 是一種遠(yuǎn)程訪問(wèn)木馬 (RAT)，于 2016 年首次被發(fā)現(xiàn)。它通常通過(guò)網(wǎng)絡(luò)釣魚(yú)活動(dòng)中的惡意文檔進(jìn)行傳播。該 RAT 旨在繞過(guò) Windows 安全功能，例如用戶(hù)帳戶(hù)控制 (UAC)，從而以提升的權(quán)限執(zhí)行惡意軟件。因此，它成為網(wǎng)絡(luò)犯罪分子的多功能工具。
4. ↑ AsyncRAT – AsyncRAT 是一種針對(duì) Windows 系統(tǒng)的遠(yuǎn)程訪問(wèn)木馬 (RAT)，于 2019 年首次被發(fā)現(xiàn)。它會(huì)將系統(tǒng)信息泄露到命令與控制服務(wù)器，并可以執(zhí)行各種命令，例如下載插件、終止進(jìn)程、截取屏幕截圖以及自我更新。AsyncRAT 通常通過(guò)網(wǎng)絡(luò)釣魚(yú)活動(dòng)進(jìn)行傳播，用于數(shù)據(jù)竊取和系統(tǒng)入侵。
5. ↑ AgentTesla — AgentTesla 是一種高級(jí) RAT（遠(yuǎn)程訪問(wèn)木馬），可充當(dāng)鍵盤(pán)記錄器和密碼竊取程序。AgentTesla 自 2014 年起活躍，可以監(jiān)控和收集受害者的鍵盤(pán)輸入和系統(tǒng)剪貼板、記錄屏幕截圖，并竊取受害者設(shè)備上安裝的各種軟件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶(hù)端）的登錄憑證。AgentTesla 公開(kāi)作為合法 RAT 出售，用戶(hù)許可證費(fèi)用為 15 至 69 美元。
6. ↓ Formbook - Formbook 于 2016 年首次被發(fā)現(xiàn)，是一款主要針對(duì) Windows 系統(tǒng)的信息竊取惡意軟件。該惡意軟件會(huì)從各種 Web 瀏覽器收集憑證、收集屏幕截圖、監(jiān)控和記錄鍵盤(pán)輸入，并下載和執(zhí)行其他有效載荷。該惡意軟件通過(guò)網(wǎng)絡(luò)釣魚(yú)活動(dòng)、惡意電子郵件附件和受感染網(wǎng)站進(jìn)行傳播，通常偽裝成合法文件。
7. ↑ Rilide – Rilide 是一款?lèi)阂鉃g覽器擴(kuò)展程序，主要針對(duì)基于 Chromium 的瀏覽器，例如 Chrome、Edge、Brave 和 Opera。它偽裝成合法的 Google Drive 擴(kuò)展程序，使威脅行為者能夠監(jiān)控瀏覽歷史記錄、截取屏幕截圖，并注入惡意腳本以從加密貨幣交易所提取資金。值得注意的是，Rilide 可以模擬對(duì)話框，誘騙用戶(hù)泄露雙因素身份驗(yàn)證 (2FA) 信息，從而促成未經(jīng)授權(quán)的加密貨幣交易。其傳播方式包括惡意的 Microsoft Publisher 文件和推廣虛假軟件安裝程序的欺騙性 Google 廣告。
8. ↓ Phorpiex – Phorpiex，又名 Trik，是一個(gè)至少自 2010 年以來(lái)就活躍的僵尸網(wǎng)絡(luò)，主要針對(duì) Windows 系統(tǒng)。在巔峰時(shí)期，Phorpiex 控制了超過(guò)一百萬(wàn)臺(tái)受感染的主機(jī)。Phorpiex 因通過(guò)垃圾郵件活動(dòng)傳播其他惡意軟件家族（包括勒索軟件和加密貨幣挖礦軟件）而臭名昭著，并且參與了大規(guī)模的性勒索活動(dòng)。
9. ? Amadey – Amadey 是一個(gè)模塊化僵尸網(wǎng)絡(luò)，出現(xiàn)于 2018 年，主要針對(duì) Windows 系統(tǒng)。它既是信息竊取者，又是惡意軟件加載器，能夠進(jìn)行偵察、數(shù)據(jù)泄露，并部署其他有效載荷，包括銀行木馬和分布式拒絕服務(wù) (DDoS) 工具。Amadey 主要通過(guò) RigEK 和 Fallout EK 等漏洞利用工具包、網(wǎng)絡(luò)釣魚(yú)電子郵件以及 SmokeLoader 等其他惡意軟件進(jìn)行傳播。
10. ↑ Mirai – Mirai 是一種惡意軟件，它會(huì)將運(yùn)行 Linux 的聯(lián)網(wǎng)設(shè)備（尤其是 IP 攝像頭和家用路由器等物聯(lián)網(wǎng) (IoT) 設(shè)備）轉(zhuǎn)變?yōu)檫h(yuǎn)程控制的僵尸網(wǎng)絡(luò)。Mirai 于 2016 年 8 月首次被發(fā)現(xiàn)，因策劃了有記錄以來(lái)的一些最大規(guī)模的 DDoS 攻擊而惡名遠(yuǎn)播，其中包括針對(duì)安全記者 Brian Krebs 和 DNS 提供商 Dyn 網(wǎng)站的攻擊。該惡意軟件通過(guò)掃描互聯(lián)網(wǎng)上仍配置默認(rèn)出廠登錄憑據(jù)的物聯(lián)網(wǎng)設(shè)備進(jìn)行傳播，并利用這些憑據(jù)獲取控制權(quán)。自 2016 年 10 月其源代碼公開(kāi)發(fā)布以來(lái)，已出現(xiàn)眾多變種。

熱門(mén)移動(dòng)惡意軟件

上個(gè)月，Anubis在最流行的移動(dòng)惡意軟件中排名第一，其次是Necro和AhMyth。

1. ? Anubis – Anubis 是一種多功能銀行木馬，起源于 Android 設(shè)備，并已發(fā)展到包含多種高級(jí)功能，例如通過(guò)攔截基于短信的一次性密碼 (OTP) 繞過(guò)多因素身份驗(yàn)證 (MFA)、鍵盤(pán)記錄、錄音以及勒索軟件功能。它通常通過(guò) Google Play 商店中的惡意應(yīng)用進(jìn)行傳播，并已成為最流行的移動(dòng)惡意軟件家族之一。此外，Anubis 還包含遠(yuǎn)程訪問(wèn)木馬 (RAT) 功能，可對(duì)受感染系統(tǒng)進(jìn)行廣泛的監(jiān)視和控制。
2. ↑ Necro – Necro 是一款?lèi)阂?Android 下載程序，它會(huì)根據(jù)其創(chuàng)建者的命令，在受感染的設(shè)備上檢索并執(zhí)行有害組件。它已在 Google Play 上的多款熱門(mén)應(yīng)用以及 Spotify、WhatsApp 和 Minecraft 等非官方平臺(tái)上的應(yīng)用修改版中被發(fā)現(xiàn)。Necro 可以將危險(xiǎn)模塊下載到智能手機(jī)上，從而允許顯示和點(diǎn)擊隱形廣告、下載可執(zhí)行文件以及安裝第三方應(yīng)用等操作。它還可以打開(kāi)隱藏窗口運(yùn)行 JavaScript，從而可能誘使用戶(hù)訂閱不必要的付費(fèi)服務(wù)。此外，Necro 還可以通過(guò)受感染的設(shè)備重新路由互聯(lián)網(wǎng)流量，將其變成網(wǎng)絡(luò)犯罪分子代理僵尸網(wǎng)絡(luò)的一部分。
3. ↓ AhMyth – AhMyth 是一款針對(duì) Android 設(shè)備的遠(yuǎn)程訪問(wèn)木馬 (RAT)，通常偽裝成屏幕錄像機(jī)、游戲或加密貨幣工具等合法應(yīng)用程序。安裝后，它會(huì)獲得大量權(quán)限，在設(shè)備重啟后仍能持續(xù)存在，并竊取敏感信息，例如銀行憑證、加密貨幣錢(qián)包信息、多重身份驗(yàn)證 (MFA) 代碼和密碼。AhMyth 還支持鍵盤(pán)記錄、屏幕截圖、攝像頭和麥克風(fēng)訪問(wèn)以及短信攔截，使其成為數(shù)據(jù)盜竊和其他惡意活動(dòng)的多功能工具。

全球最易受攻擊的行業(yè)

2月份，教育是全球遭受攻擊最多的行業(yè)，其次是電信和政府。

1. 教育
2. 電信
3. 政府

頂級(jí)勒索軟件組織

這些數(shù)據(jù)基于對(duì)雙重勒索軟件組織運(yùn)營(yíng)的勒索軟件“羞辱網(wǎng)站”的洞察，這些網(wǎng)站發(fā)布了受害者信息。2月份，Clop 是最猖獗的勒索軟件組織，占已發(fā)布攻擊總數(shù)的35% ，其次是RansomHub（占11%）和Akira（占6%）。

1. Clop - Clop 是一種勒索軟件，自 2019 年起活躍，針對(duì)全球多個(gè)行業(yè)，包括醫(yī)療保健、金融和制造業(yè)。Clop 源自 CryptoMix，使用 .clop 擴(kuò)展名加密受害者文件，并采用“雙重勒索”策略，威脅受害者若不支付贖金，就泄露被盜數(shù)據(jù)。Clop 采用勒索軟件即服務(wù) (RaaS) 模式，利用漏洞、網(wǎng)絡(luò)釣魚(yú)和其他方法入侵系統(tǒng)，關(guān)閉 Windows Defender 等安全防御措施，并曾與一些備受矚目的攻擊活動(dòng)有關(guān)，例如 2023 年利用 MOVEit 文件傳輸軟件漏洞發(fā)起的攻擊。
2. RansomHub - RansomHub 是一個(gè) RaaS 勒索軟件，是之前已知的 Knight 勒索軟件的改名版本。RansomHub 于 2024 年初在地下網(wǎng)絡(luò)犯罪論壇中活躍起來(lái)，因其針對(duì)各種系統(tǒng)（包括 Windows、macOS、Linux 和 VMware ESXi 環(huán)境）的激進(jìn)攻擊活動(dòng)而迅速聲名狼藉。該惡意軟件以采用復(fù)雜的加密方法而聞名。
3. Akira -  Akira 勒索軟件于 2023 年初首次報(bào)告，主要針對(duì) Windows 和 Linux 系統(tǒng)。它使用 CryptGenRandom() 和 Chacha 2008 進(jìn)行對(duì)稱(chēng)加密，進(jìn)行文件加密，類(lèi)似于已泄露的 Conti v2 勒索軟件。Akira 通過(guò)多種途徑傳播，包括感染電子郵件附件和 VPN 端點(diǎn)漏洞利用。感染后，它會(huì)加密數(shù)據(jù)并在文件名后附加“.akira”擴(kuò)展名，然后發(fā)出勒索信，要求用戶(hù)支付解密費(fèi)用。