GuLoader 是网络犯罪分子用来逃避防病毒检测的最著名的下载程序之一。经过三年多的活动和持续开发，最新版本采用了一种技术来替换合法进程中的代码，使其能够逃避进程监控安全工具的检测。通过使用 VBScript 从云端下载加密的 shellcode，受害者会收到一个不太可疑的文件，从而降低触发警报的可能性。使用加密、原始二进制格式以及与加载程序的分离使有效负载对防病毒软件不可见，从而使威胁参与者能够绕过防病毒保护并利用 Google Drive 进行存储。在某些情况下，这些恶意负载可能会长时间保持活动状态。
上个月还看到 Qbot 和 Anubis 在各自的名单上排名第一。尽管努力通过阻止 Office 文件中的宏来减缓恶意软件的传播，但 Qbot 运营商已迅速调整其传播和交付。近期被曝利用Windows 10写字板程序中的动态链接库（DLL）劫持漏洞感染计算机。
我们经常看到网络犯罪分子利用公众可用的工具来存储和传播恶意软件活动。我们不能再盲目地相信我们使用的服务将是完全安全的，无论来源多么值得信赖。这就是为什么我们需要了解可疑活动是什么样子的原因。除非您确认请求合法且没有恶意，否则请勿透露个人信息或下载附件。
Web 服务器恶意 URL 目录遍历”是最常被利用的漏洞，影响了全球 49% 的组织，其次是Apache Log4j 远程执行代码，影响了全球 45% 的组织。HTTP 标头远程代码执行是第三大最常使用的漏洞，全球影响为 44%。
2023年5月“十恶不赦”
*箭头表示与上个月相比排名的变化。
Qbot是上个月最流行的恶意软件，对全球组织的影响为 6%，其次是Formbook，全球影响为 5%，AgentTesla的全球影响为 3%。
- ↑ Qbot – Qbot AKA Qakbot 是一种多用途恶意软件，首次出现于 2008 年。它旨在窃取用户凭证、记录击键、从浏览器窃取 cookie、监视银行活动以及部署其他恶意软件。Qbot 通常通过垃圾邮件分发，它采用多种反虚拟机、反调试和反沙盒技术来阻碍分析和逃避检测。从 2022 年开始，它成为最流行的木马之一。
- ↑ Formbook – Formbook 是一种针对 Windows 操作系统的信息窃取程序，于 2016 年首次被发现。由于其强大的规避技术和相对较低的价格，它在地下黑客论坛中作为恶意软件即服务 (MaaS) 进行销售。FormBook 从各种网络浏览器收集凭证、收集屏幕截图、监控和记录击键，并可以根据其 C&C 的命令下载和执行文件。
- ↓ AgentTesla – AgentTesla 是一种高级 RAT，充当键盘记录器和信息窃取器，能够监视和收集受害者的键盘输入、系统键盘、截取屏幕截图，并将凭证泄露到安装在受害者机器上的各种软件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 电子邮件客户端）。
- ↑ GuLoader – GuLoader 是一款自 2019 年 12 月以来广泛使用的下载器。GuLoader 首次出现时用于下载 Parallax RAT，但已应用于其他远程访问木马和信息窃取程序，例如 Netwire、FormBook 和 Agent Tesla .
- ↓ Emotet – Emotet 是一种先进的、自我传播的模块化木马。Emotet 曾被用作银行木马，最近被用作其他恶意软件或恶意活动的分发者。它使用多种方法来保持持久性和规避技术来避免检测。此外，它还可以通过包含恶意附件或链接的网络钓鱼垃圾邮件进行传播。
- ↔ XMRig – XMRig 是用于挖掘 Monero 加密货币的开源 CPU 挖掘软件。威胁行为者经常通过将其集成到他们的恶意软件中来滥用这种开源软件，从而在受害者的设备上进行非法挖掘。
- ↑ NJRat – NJRat 是一种远程访问木马，主要针对中东的政府机构和组织。该木马于 2012 年首次出现，具有多种功能：捕获击键、访问受害者的摄像头、窃取存储在浏览器中的凭据、上传和下载文件、执行进程和文件操作以及查看受害者的桌面。NJRat 通过网络钓鱼攻击和路过式下载感染受害者，并在命令和控制服务器软件的支持下通过受感染的 USB 密钥或网络驱动器进行传播。
- ↑ Lokibot – LokiBot 于 2016 年 2 月首次被发现，是一种商品信息窃取程序，具有适用于 Windows 和 Android 操作系统的版本。它从各种应用程序、Web 浏览器、电子邮件客户端、IT 管理工具（如 PuTTY 等）收集凭证。LokiBot 在黑客论坛上出售，据信其源代码已泄露，因此出现了许多变体。自 2017 年底以来，某些 Android 版本的 LokiBot 除了信息窃取功能外还包含勒索软件功能。
- ↓ NanoCore – NanoCore 是一种针对 Windows 操作系统用户的远程访问木马，于 2013 年首次在野外被发现。RAT 的所有版本都包含基本的插件和功能，例如屏幕捕获、加密货币挖掘、远程控制桌面和网络摄像头会话盗窃。
- ↓ Remcos – Remcos 是一种 RAT，于 2016 年首次出现。Remcos 通过附加在垃圾邮件中的恶意 Microsoft Office 文档进行自我传播，旨在绕过 Microsoft Windows UAC 安全并以高级权限执行恶意软件。
全球受攻击最多的行业
上个月，教育/研究仍然是全球最受剥削的行业，其次是政府/军事和医疗保健。
- 教育/研究
- 政府/军队
- 卫生保健
最常被利用的漏洞
上个月，“Web 服务器恶意 URL 目录遍历”是最常被利用的漏洞，影响了全球49%的组织，其次是“Apache Log4j 远程执行代码”，影响了全球45%的组织。“HTTP 标头远程代码执行”是第三大最常使用的漏洞，全球影响为44%。
- ↔ Web 服务器恶意 URL 目录遍历 –在不同的 Web 服务器上存在目录遍历漏洞。该漏洞是由于 Web 服务器中的输入验证错误导致的，该错误未正确清理目录遍历模式的 URI。成功的利用允许未经身份验证的远程攻击者泄露或访问易受攻击的服务器上的任意文件。
- ↔ Apache Log4j 远程代码执行 (CVE-2021-44228) – Apache Log4j 中存在远程代码执行漏洞。成功利用此漏洞可能允许远程攻击者在受影响的系统上执行任意代码。
- ↔ HTTP 标头远程代码执行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756） ——HTTP 标头让客户端和服务器通过 HTTP 请求传递附加信息。远程攻击者可能会使用易受攻击的 HTTP 标头在受害计算机上运行任意代码。
- ↑ MVPower DVR 远程代码执行——MVPower DVR 设备中存在远程代码执行漏洞。远程攻击者可以利用此弱点通过精心设计的请求在受影响的路由器中执行任意代码。
- ↑ Dasan GPON 路由器身份验证绕过 (CVE-2018-10561) – Dasan GPON 路由器中存在身份验证绕过漏洞。成功利用此漏洞将允许远程攻击者获取敏感信息并获得对受影响系统的未授权访问。
- ↑ D-Link 多个产品远程代码执行 (CVE-2015-2051) – 多个 D-Link 产品中存在远程代码执行漏洞。成功利用此漏洞可能允许远程攻击者在受影响的系统上执行任意代码。
- ↓ OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） ——OpenSSL TLS DTLS 心跳信息泄露。该漏洞又名 Heartbleed，是由于处理 TLS/DTLS 心跳数据包时出现错误造成的。攻击者可以利用此漏洞泄露连接的客户端或服务器的内存内容。
- ↓ HTTP 上的命令注入（CVE-2021-43936、CVE-2022-24086） ——已报告 HTTP 上的命令注入漏洞。远程攻击者可以通过向受害者发送特制请求来利用此问题。成功的利用将允许攻击者在目标机器上执行任意代码。
- ↔ PHP 复活节彩蛋信息泄露 (CVE-2015-2051) – PHP 页面中报告了一个信息泄露漏洞。该漏洞是由于不正确的 Web 服务器配置造成的。远程攻击者可以通过向受影响的 PHP 页面发送特制 URL 来利用此漏洞。
- ↑ F5 BIG-IP 远程代码执行 (CVE-2021-22986) – F5 BIG-IP 设备中存在远程代码执行漏洞。成功利用此漏洞可能允许远程攻击者在受影响的系统上执行任意代码。
顶级移动恶意软件
上个月，Anubis升至第一位，成为最流行的移动恶意软件，其次是AhMyth和Hiddad。
- Anubis – Anubis 是一种专为 Android 手机设计的银行木马恶意软件。自从最初被发现以来，它已经获得了额外的功能，包括远程访问木马 (RAT) 功能、键盘记录器、录音功能和各种勒索软件功能。已在 Google 商店中提供的数百种不同应用程序中检测到它。
- AhMyth – AhMyth 是一种远程访问木马 (RAT)，于 2017 年被发现。它通过可在应用商店和各种网站上找到的 Android 应用进行分发。当用户安装这些受感染的应用程序之一时，恶意软件可以从设备收集敏感信息并执行键盘记录、截屏、发送短信和激活相机等操作，这些操作通常用于窃取敏感信息。
- Hiddad – Hiddad 是一种 Android 恶意软件，它会重新打包合法应用程序，然后将它们发布到第三方商店。它的主要功能是显示广告，但它也可以访问操作系统内置的关键安全细节。