最新的 2023 年 4 月全球威脅指數表明，研究人員發現了通過惡意 PDF 文件分發的大量 Qbot 惡意垃圾郵件活動，這些文件附加到以多種語言顯示的電子郵件中。與此同時，物聯網 (IoT) 惡意軟件 Mirai 在利用 TP-Link 路由器中的一個新漏洞后一年內首次上榜，而醫療保健則上升為第二大受攻擊行業。

上個月看到的 Qbot 活動涉及一種新的交付方法，即向目標發送一封電子郵件，其中的附件包含受保護的 PDF 文件。下載這些文件后，Qbot 惡意軟件就會安裝在設備上。研究人員發現了以多種不同語言發送垃圾郵件的實例，這意味著組織可以成為全球范圍內的目標。

上個月還見證了最流行的物聯網惡意軟件之一 Mirai 的回歸。研究人員發現它正在利用一個新的零日漏洞 CVE-2023-1380 來攻擊 TP-Link 路由器并將它們添加到其僵尸網絡中，該僵尸網絡已被用于促進一些有記錄以來最具破壞性的分布式 DDoS 攻擊。

受影響的行業也發生了變化，醫療保健在 4 月份超過政府成為第二大受剝削的行業。對醫療機構的襲擊事件已有詳盡記錄，一些國家繼續面臨不斷的襲擊。例如，網絡犯罪集團美杜莎最近對澳大利亞的癌癥設施發起了攻擊。該行業仍然是黑客的一個有利可圖的目標，因為它使他們有可能獲得機密的患者數據和支付信息。它可能會對制藥公司產生影響，因為它可能導致有關臨床試驗或新醫療藥物和設備的泄漏。

網絡犯罪分子不斷研究繞過限制的新方法，這些活動進一步證明了惡意軟件如何適應生存。隨著 Qbot 的再次進攻，它再次提醒人們擁有全面的網絡安全的重要性，以及在信任電子郵件的來源和意圖方面的盡職調查。

“Web 服務器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球 48% 的組織，其次是“Apache Log4j 遠程代碼執行”，占 44%，“HTTP 標頭遠程代碼執行”，全球影響為43%。

2023年4月“十惡不赦”

*箭頭表示與上個月相比排名的變化。

AgentTesla是上個月最流行的惡意軟件，影響了全球 10% 的組織，其次是Qbot，全球影響為 7%，Formbook為 6%。

1. ↑ AgentTesla – AgentTesla 是一種高級 RAT，充當鍵盤記錄器和信息竊取器，能夠監視和收集受害者的鍵盤輸入、系統鍵盤、截取屏幕截圖，并將憑證泄露到安裝在受害者機器上的各種軟件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。
2. ↓ Qbot – Qbot AKA Qakbot 是一種銀行木馬，于 2008 年首次出現。它旨在竊取用戶的銀行憑證和擊鍵。Qbot 通常通過垃圾郵件分發，它采用多種反虛擬機、反調試和反沙盒技術來阻礙分析和逃避檢測。
3. ? Formbook – Formbook 是一種針對 Windows 操作系統的信息竊取程序，于 2016 年首次被發現。由于其強大的規避技術和相對較低的價格，它在地下黑客論壇中作為惡意軟件即服務 (MaaS) 進行銷售。FormBook 從各種網絡瀏覽器收集憑證、收集屏幕截圖、監控和記錄擊鍵，并可以根據其 C&C 的命令下載和執行文件。
4. ↓ Emotet – Emotet 是一種先進的、自我傳播的模塊化木馬。Emotet 曾被用作銀行木馬，最近被用作其他惡意軟件或惡意活動的分發者。它使用多種方法來保持持久性和規避技術來避免檢測。此外，它還可以通過包含惡意附件或鏈接的網絡釣魚垃圾郵件進行傳播。
5. ↑ GuLoader – Guloader 是一款自 2019 年 12 月以來廣泛使用的下載器。GuLoader 首次出現時用于下載 Parallax RAT，但已應用于其他遠程訪問木馬和信息竊取程序，如 Netwire、FormBook 和 AgentTesla。
6. ↓ XMRig – XMRig 是用于挖掘 Monero 加密貨幣的開源 CPU 挖掘軟件。威脅行為者經常通過將其集成到他們的惡意軟件中來濫用這種開源軟件，從而在受害者的設備上進行非法挖掘。
7. ↑ Nanocore ——NanoCore 是一種針對 Windows 操作系統用戶的遠程訪問木馬，于 2013 年首次在野外被發現。RAT 的所有版本都包含基本的插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠程控制桌面和網絡攝像頭會話盜竊。
8. ↑ Phorpiex – Phorpiex 是一個僵尸網絡（又名 Trik），自 2010 年以來一直活躍，在其高峰期控制了超過一百萬臺受感染的主機。它以通過垃圾郵件活動分發其他惡意軟件系列以及助長大規模垃圾郵件和性勒索活動而聞名。
9. ↓ Remcos – Remcos 是一種 RAT，于 2016 年首次出現。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進行自我傳播，旨在繞過 Microsoft Windows UAC 安全并以高級權限執行惡意軟件。
10. ↑Mirai- Mirai 是一種臭名昭著的物聯網 (IoT) 惡意軟件，它跟蹤易受攻擊的物聯網設備，例如網絡攝像頭、調制解調器和路由器，并將它們變成機器人。僵尸網絡被其運營商用來進行大規模分布式拒絕服務 (DDoS) 攻擊。Mirai 僵尸網絡于 2016 年 9 月首次出現，并由于一些大規模攻擊而迅速成為頭條新聞，包括用于使整個利比里亞國家離線的大規模 DDoS 攻擊，以及對互聯網基礎設施公司 Dyn 的 DDoS 攻擊，該公司提供了很大一部分美國互聯網的基礎設施。

全球受攻擊最多的行業

上個月，教育/研究仍然是全球受攻擊最嚴重的行業，其次是醫療保健和政府/軍事。

1. 教育/研究
2. 衛生保健
3. 政府/軍隊

最常被利用的漏洞

上個月，“Web 服務器惡意 URL 目錄遍歷”是最常被利用的漏洞，影響了全球48%的組織，其次是“Apache Log4j 遠程執行代碼”，影響了全球44%的組織，“HTTP 標頭遠程執行代碼”在全球范圍內受到影響43%的影響。

1. ↑ Web 服務器惡意 URL 目錄遍歷 –在不同的 Web 服務器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務器中的輸入驗證錯誤導致的，該錯誤未正確清理目錄遍歷模式的 URI。成功的利用允許未經身份驗證的遠程攻擊者泄露或訪問易受攻擊的服務器上的任意文件。
2. ↓ Apache Log4j 遠程代碼執行 (CVE-2021-44228) – Apache Log4j 中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
3. ↓ HTTP 標頭遠程代碼執行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756） ——HTTP 標頭讓客戶端和服務器通過 HTTP 請求傳遞附加信息。遠程攻擊者可能會使用易受攻擊的 HTTP 標頭在受害計算機上運行任意代碼。
4. ↑ HTTP 上的命令注入（CVE-2021-43936、CVE-2022-24086） ——已報告 HTTP 上的命令注入漏洞。遠程攻擊者可以通過向受害者發送特制請求來利用此問題。成功的利用將允許攻擊者在目標機器上執行任意代碼。
5. ↓ MVPower DVR 遠程代碼執行 – MVPower DVR 設備中存在遠程代碼執行漏洞。遠程攻擊者可以利用此弱點通過精心設計的請求在受影響的路由器中執行任意代碼。? PHP 復活節彩蛋信息泄露 – PHP 頁面中報告了一個信息泄露漏洞。該漏洞是由于不正確的 Web 服務器配置造成的。遠程攻擊者可以通過向受影響的 PHP 頁面發送特制 URL 來利用此漏洞。
6. ↓ OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） ——OpenSSL TLS DTLS 心跳信息泄露OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數據包時出現錯誤造成的。攻擊者可以利用此漏洞泄露連接的客戶端或服務器的內存內容。
7. ↓ Dasan GPON 路由器身份驗證繞過 (CVE-2018-10561) – Dasan GPON 路由器中存在身份驗證繞過漏洞。成功利用此漏洞將允許遠程攻擊者獲取敏感信息并獲得對受影響系統的未授權訪問。
8. ↑ D-Link 多個產品遠程代碼執行 (CVE-2015-2051) – 多個 D-Link 產品中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
9. ↓ PHP 復活節彩蛋信息泄露 – PHP 頁面中報告了一個信息泄露漏洞。該漏洞是由于不正確的 Web 服務器配置造成的。遠程攻擊者可以通過向受影響的 PHP 頁面發送特制 URL 來利用此漏洞。
10. ? WordPress portable-phpMyAdmin 插件身份驗證繞過 (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗證繞過漏洞。成功利用此漏洞將允許遠程攻擊者獲取敏感信息并獲得對受影響系統的未授權訪問。

頂級移動惡意軟件

上個月，Ahmyth仍然是最流行的移動惡意軟件，其次是Anubis和Hiddad。

1. AhMyth – AhMyth 是一種遠程訪問木馬 (RAT)，于 2017 年被發現。它通過可在應用商店和各種網站上找到的 Android 應用進行分發。當用戶安裝這些受感染的應用程序之一時，惡意軟件可以從設備收集敏感信息并執行鍵盤記錄、截屏、發送短信和激活相機等操作。
2. Anubis – Anubis 是一種專為 Android 手機設計的銀行木馬惡意軟件。自從最初被發現以來，它已經獲得了額外的功能，包括遠程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。已在 Google 商店中提供的數百種不同應用程序中檢測到它。
3. Hiddad – Hiddad 是一種 Android 惡意軟件，它會重新打包合法應用程序，然后將它們發布到第三方商店。它的主要功能是顯示廣告，但它也可以訪問操作系統內置的關鍵安全細節。