2021年12月份惡意軟件之“十惡不赦”排行榜
2021年12月是一年的最后一個月，我們在討論這個話題時，常常以微軟本月的漏洞情況做個引子，本次也不例外。先以微軟周二補丁日情況做開頭，然后再探討CheckPoint每個月總結的惡意軟件Top 10。
微軟在2022年第一期漏洞修復中對其生態系統中 98 個安全漏洞發布了安全補丁，涵蓋了微軟一系列產品組合，包括 Microsoft Windows 和 Windows 組件、Exchange Server、Microsoft Office 和 Office 組件、SharePoint Server、.NET Framework、Microsoft Dynamics、開源軟件、Windows Hyper-V、Windows Defender、和 Windows 遠程桌面協議 (RDP)。
而惡意軟件方面，Trickbot 仍然是最流行的惡意軟件，盡管影響全球抽樣 4% 的組織的比率略低(11 月為 5%)，最近死灰復燃的 Emotet 從第七位迅速上升到第二位。
而漏洞方面，史詩級漏洞Apache Log4j 遠程代碼執行是被利用最多的漏洞，影響了全球抽樣 48.3% 的組織。該漏洞于 12 月 9日首次在 Apache 日志包 Log4j 中被報告，該包是許多 Internet 服務和應用程序中使用的最流行的 Java 日志庫，其 GitHub 項目的下載量超過 400,000。該漏洞引發了一場網絡安全行業地震，在很短的時間內影響了全球近一半的組織。攻擊者能夠利用易受攻擊的應用程序在受感染的服務器上執行加密劫持者和其他惡意軟件。到目前為止，大多數攻擊都集中在以犧牲受害者為代價使用加密貨幣挖礦上，然而，高級攻擊者已經開始采取積極行動，并利用對高質量目標的破壞。
Log4j 在 12 月是網絡安全行業的絕對頭條新聞，是歷史上最嚴重的漏洞之一，由于修補復雜性和利用簡易性，很可能會在未來很多年與我們同在。
教育/研究是全球受攻擊最多的行業，其次是政府/軍事和 ISP/MSP。Apache Log4j 遠程執行代碼是最常被利用的漏洞，影響了全球抽樣的 48.3% 的組織，其次是Web 服務器暴露的 Git 存儲庫信息泄露，影響了全球抽樣 43.8% 的組織。HTTP Headers Remote Code Execution在被利用最多的漏洞列表中仍然位居第三，全球抽樣影響率為 41.5%。
2021年12月“十惡不赦”
*箭頭表示與上個月相比的排名變化。
本月，Trickbot是最流行的惡意軟件，影響全球抽樣 4% 的組織，其次是Emotet和Formbook，全球抽樣影響均為 3%。
- ? Trickbot – Trickbot 是一個模塊化的僵尸網絡和銀行木馬，不斷更新新的功能、特性和分發向量，使 Trickbot 成為一種靈活且可定制的惡意軟件，可以作為多用途活動的一部分進行分發。
- ↑ Emotet – Emotet 是一種先進的、自我傳播的模塊化木馬。Emotet 曾經被用作銀行木馬，但最近被用作其他惡意軟件或惡意活動的分發者。使用多種方法來維護持久性和規避技術以避免檢測。此外，還可以通過包含惡意附件或鏈接的網絡釣魚垃圾郵件進行傳播。
- ↑ Formbook – Formbook 是一個 InfoStealer，從各種 Web 瀏覽器中獲取憑據，收集屏幕截圖、監控和記錄擊鍵，并可以根據其 C&C 命令下載和執行文件。
- ? Agent Tesla – Agent Tesla 是一種高級 RAT，可用作鍵盤記錄器和信息竊取程序，能夠監控和收集受害者的鍵盤輸入、系統鍵盤、截屏以及將憑據泄露到安裝在受害者機器上的各種軟件(包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端)。
- ↓ Glupteba – Glupteba 是一個后門，逐漸成熟為僵尸網絡。到 2019 年，它包括一個通過公共比特幣列表的 C&C 地址更新機制、一個完整的瀏覽器竊取功能和一個路由器漏洞利用程序。
- ↓ Remcos – Remcos 是 2016 年首次出現的 RAT。Remcos 通過附加到垃圾郵件的惡意 Microsoft Office 文檔進行傳播，旨在繞過 Microsoft Windows UAC 安全并以高級權限執行惡意軟件。
- ↓ XMRig – XMRig 是一款開源 CPU 挖礦軟件，用于 Monero 加密貨幣的挖礦過程，于 2017 年 5 月首次出現在野外。
- ? Ramnit -Ramnit 是一種銀行木馬，可竊取銀行憑證、FTP 密碼、會話 cookie 和個人數據。
- ↑ Dridex – Dridex 是一種針對 Windows 平臺的銀行木馬，由垃圾郵件活動和漏洞利用工具包觀察到，它依賴 WebInjects 攔截銀行憑據并將其重定向到攻擊者控制的服務器。Dridex 聯系遠程服務器，發送有關受感染系統的信息，還可以下載和執行附加模塊以進行遠程控制。
- ↑ Phorpiex – Phorpiex 是一個僵尸網絡(又名 Trik)，自 2010 年以來一直在控制超過一百萬受感染的主機。以通過垃圾郵件活動分發其他惡意軟件系列以及助長大規模垃圾郵件和性勒索活動而聞名。
全球受攻擊最多的行業：
本月，教育/研究是全球受攻擊最多的行業，其次是政府/軍事和 ISP/MSP。
- 教育/研究
- 政府/軍隊
- ISP/MSP
12月份漏洞Top10
本月，Apache Log4j 遠程代碼執行”是最常被利用的漏洞，影響了全球抽樣 48.3% 的組織，其次是Web 服務器暴露的 Git 存儲庫信息泄露，影響了全球 抽樣43.8% 的組織。HTTP Headers Remote Code Execution在被利用最多的漏洞列表中仍然位居第三，全球抽樣影響率為 41.5%。
- ↑ Apache Log4j 遠程代碼執行 (CVE-2021-44228) – Apache Log4j 中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
- ? Web 服務器暴露的 Git 存儲庫信息泄露- Git 存儲庫中報告了一個信息泄露漏洞。成功利用此漏洞可能會無意中泄露帳戶信息。
- ? HTTP 標頭遠程代碼執行(CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756) ——HTTP 標頭允許客戶端和服務器通過 HTTP 請求傳遞附加信息。遠程攻擊者可能使用易受攻擊的 HTTP 標頭在受害機器上運行任意代碼。
- ↓ Web 服務器惡意 URL 目錄遍歷 (CVE-2010-4598,CVE-2011-2474,CVE-2014-0130,CVE-2014-0780,CVE-2015-0666,CVE-2015-4068,CVE-2015-7254, CVE-2016-4523,CVE-2016-8530,CVE-2017-11512,CVE-2018-3948,CVE-2018-3949,CVE-2019-18952,CVE-2020-5410,CVE-2020-8260) – 那里在不同的 Web 服務器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務器中的輸入驗證錯誤未正確清理目錄遍歷模式的 URL。成功利用允許未經身份驗證的遠程攻擊者泄露或訪問易受攻擊的服務器上的任意文件。
- ↓ MVPower DVR 遠程代碼執行– MVPower DVR 設備中存在遠程代碼執行漏洞。遠程攻擊者可以利用此弱點通過精心制作的請求在受影響的路由器中執行任意代碼。
- ↓ Dasan GPON 路由器身份驗證繞過 (CVE-2018-10561) – Dasan GPON 路由器中存在身份驗證繞過漏洞。成功利用此漏洞將允許遠程攻擊者獲取敏感信息并未經授權訪問受影響的系統。
- ↑ D-LINK 多產品遠程代碼執行 (CVE-2015-2051) - 多個 D-Link 產品中報告了遠程代碼執行漏洞。成功利用可能導致在易受攻擊的設備上執行任意代碼。
- ↓ Apache HTTP Server 目錄遍歷 (CVE-2021-41773,CVE-2021-42013) – Apache HTTP Server 中存在目錄遍歷漏洞。成功利用此漏洞可能允許攻擊者訪問受影響系統上的任意文件。
- ↓通過 HTTP 進行命令注入 (CVE-2013-6719,CVE-2013-6720) – 報告了通過 HTTP 的命令注入漏洞。遠程攻擊者可以通過向受害者發送特制請求來利用此問題。成功的利用將允許攻擊者在目標機器上執行任意代碼。
- ↑ PHP 復活節彩蛋信息披露- PHP 頁面中報告了一個信息披露漏洞。該漏洞是由于 Web 服務器配置不正確造成的。遠程攻擊者可以通過向受影響的 PHP 頁面發送特制 URL 來利用此漏洞。
頂級移動惡意軟件
本月，AlienBot 在最流行的移動惡意軟件中排名第一，其次是 xHelper 和 FluBot。
- AlienBot – AlienBot 惡意軟件系列是用于 Android 設備的惡意軟件即服務 (MaaS)，它允許遠程攻擊者首先將惡意代碼注入合法的金融應用程序。攻擊者獲得對受害者帳戶的訪問權限，并最終完全控制他們的設備。
- xHelper – 自 2019 年 3 月以來在野外出現的惡意應用程序，用于下載其他惡意應用程序和顯示廣告。該應用程序能夠對用戶隱藏自己，甚至可以在卸載時重新安裝。
- FluBot – FluBot 是一個通過網絡釣魚短信分發的 Android 僵尸網絡，通常冒充物流配送品牌。一旦用戶單擊消息中的鏈接，FluBot 就會安裝并訪問手機上的所有敏感信息。
