以色列安全公司Check Point Research報告了一項名為“Shampoo”的新 ChromeLoader 活動，該活動針對 Chrome 瀏覽器用戶提供加載惡意軟件的虛假廣告。與此同時，通信行業躍升為受影響第二大的行業，超過醫療保健行業

在最新的2023年8月全球威脅指數中，研究人員報告ChromeLoader 惡意軟件的新變種，該變種一直針對 Chrome 瀏覽器用戶，提供加載惡意擴展程序的虛假廣告。與此同時，通信行業成為全球受影響第二大的行業，今年首次將醫療保健行業從榜單上剔除。

ChromeLoader 是一種持久性 Google Chrome 瀏覽器劫持程序，于 2022 年首次發現。它在上個月的頂級惡意軟件家族中排名第 10 ，旨在通過網絡瀏覽器上的虛假廣告秘密安裝不良擴展程序。在“Shampoo”活動中，受害者被欺騙運行 VBScript 文件來安裝惡意 Chrome 擴展程序。安裝后，它們可以收集個人數據并通過不需要的廣告擾亂瀏覽。

8 月，美國FBI 宣布在針對 Qbot（又名 Qakbot）的全球行動中取得重大勝利。在“獵鴨行動”中，聯邦調查局控制了僵尸網絡，從受感染的設備中刪除了惡意軟件，并識別了大量受影響的設備。Qbot 發展成為一種惡意軟件交付服務，用于各種網絡犯罪活動，包括勒索軟件攻擊。它通常通過網絡釣魚活動進行傳播，并與其他威脅行為者合作。盡管它仍然是 8 月份最流行的惡意軟件，但 CPR 確實觀察到其影響在操作后顯著下降。

上個月，通信行業也成為全球受影響最嚴重的行業之一，在 2023 年首次超過醫療保健行業，位居第二。今年該行業的組織面臨網絡攻擊的例子有多個。QBot 的垮臺是打擊網絡犯罪的重大突破。然而，我們不能自滿，因為當一個人倒下時，另一個人最終會崛起來取代它。我們都應該保持警惕，共同努力，并繼續在所有攻擊媒介上保持良好的安全衛生。

“HTTP 標頭遠程代碼執行”是最容易被利用的漏洞，影響了全球 40% 的組織，其次是“HTTP 命令注入”，影響了全球 38% 的組織。“MVPower CCTV DVR 遠程代碼執行”排名第三，全球影響力為 35%。

2023年8月“十惡不赦”

*箭頭表示與上個月相比的排名變化。

Qbot是上個月最流行的惡意軟件，影響了全球5% 的組織，其次是Formbook，影響了4%，最后是Fakeupdates，影響了3%。

1. ? Qbot – Qbot 又稱 Qakbot 是一種多用途惡意軟件，首次出現于 2008 年。它旨在竊取用戶的憑據、記錄擊鍵、竊取瀏覽器的 cookie、監視銀行活動以及部署其他惡意軟件。Qbot 通常通過垃圾郵件進行分發，它采用多種反虛擬機、反調試和反沙箱技術來阻礙分析和逃避檢測。從 2022 年開始，它成為最流行的特洛伊木馬之一。
2. ? Formbook – Formbook 是一種針對 Windows 操作系統的信息竊取程序，于 2016 年首次被發現。由于其強大的規避技術和相對較低的價格，它在地下黑客論壇中以惡意軟件即服務 (MaaS) 的形式進行銷售。FormBook 從各種 Web 瀏覽器獲取憑據、收集屏幕截圖、監視和記錄擊鍵，并可以根據其 C&C 的命令下載和執行文件。
3. ↑ Fakeupdates – Fakeupdates（又名 SocGholish）是一個用 JavaScript 編寫的下載器。它在啟動有效負載之前將其寫入磁盤。虛假更新導致許多其他惡意軟件進一步受到損害，包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult。
4. ↑ Nanocore – NanoCore 是一種針對 Windows 操作系統用戶的遠程訪問木馬，于 2013 年首次在野外觀察到。所有版本的 RAT 都包含基本插件和功能，例如屏幕捕獲、加密貨幣挖掘、遠程控制桌面和網絡攝像頭會話盜竊。
5. ^ NJRat – NJRat 是一種遠程訪問木馬，主要針對中東的政府機構和組織。該木馬首次出現于 2012 年，具有多種功能：捕獲擊鍵、訪問受害者的攝像頭、竊取瀏覽器中存儲的憑據、上傳和下載文件、執行進程和文件操作以及查看受害者的桌面。NJRat 通過網絡釣魚攻擊和偷渡式下載感染受害者，并在命令與控制服務器軟件的支持下通過受感染的 USB 密鑰或網絡驅動器進行傳播。
6. ↓ Remcos – Remcos 是一種于 2016 年首次出現的 RAT。Remcos 通過惡意 Microsoft Office 文檔進行傳播，這些文檔附加在垃圾郵件中，旨在繞過 Microsoft Windows UAC 安全性并以高級權限執行惡意軟件。
7. ↓ Emotet – Emotet 是一種先進的、自我傳播的模塊化木馬。Emotet 曾經被用作銀行木馬，最近被用作其他惡意軟件或惡意活動的傳播者。它使用多種方法來維持持久性和逃避技術來避免檢測。此外，它還可以通過包含惡意附件或鏈接的網絡釣魚垃圾郵件進行傳播。
8. ↑ CloudEye – CloudEye（又名 Guloader）是一款針對 Windows 平臺的下載器，用于在受害者計算機上下載并安裝惡意程序。
9. ^ Mirai – Mirai 是一種臭名昭著的物聯網 (IoT) 惡意軟件，它會跟蹤易受攻擊的物聯網設備，例如網絡攝像頭、調制解調器和路由器，并將其轉變為機器人。該僵尸網絡被其運營商用來進行大規模分布式拒絕服務 (DDoS) 攻擊。Mirai 僵尸網絡于 2016 年 9 月首次出現，并因一些大規模攻擊而迅速成為頭條新聞，其中包括用于使利比里亞整個國家癱瘓的大規模 DDoS 攻擊，以及針對互聯網基礎設施公司 Dyn 的 DDoS 攻擊，該公司提供了很大一部分美國互聯網基礎設施。
10. ↑ ChromeLoader – ChromeLoader（也稱為 Choziosi Loader 和 ChromeBack）是一種持久性瀏覽器劫持者，自 2022 年 1 月以來一直活躍。它最初以 .iso 文件形式投放，可用于泄露用戶的瀏覽器憑據、獲取最近的在線活動和劫持瀏覽器搜索以顯示廣告。該惡意軟件能夠修改受害者的瀏覽器設置并將用戶流量重定向到廣告網站，同時還使用 PowerShell 將自身注入瀏覽器并向其添加惡意擴展。

全球受攻擊最多的行業

上個月，教育/研究在全球受攻擊最嚴重的行業中仍然位居榜首，其次是通信和政府/軍事。

1. 教育/研究
2. 通訊
3. 政府/軍隊

最常被利用的漏洞

上個月，“HTTP 標頭遠程執行代碼”是最常被利用的漏洞，影響了全球40%的組織，其次是“HTTP 命令注入”，影響了全球38%的組織。“MVPower CCTV DVR 遠程執行代碼”是第三大最常用的漏洞，全球影響率為35%。

1. ↑ HTTP 標頭遠程代碼執行（CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756） – HTTP 標頭允許客戶端和服務器通過 HTTP 請求傳遞附加信息。遠程攻擊者可能使用易受攻擊的 HTTP 標頭在受害者的計算機上運行任意代碼。
2. ↑ HTTP 命令注入（CVE-2021-43936、CVE-2022-24086） ——已報告 HTTP 命令注入漏洞。遠程攻擊者可以通過向受害者發送特制請求來利用此問題。成功利用該漏洞將允許攻擊者在目標計算機上執行任意代碼。
3. ↑ MVPower CCTV DVR 遠程執行代碼 (CVE-2016-20016) - MVPower CCTV DVR 中存在遠程執行代碼漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
4. ? Dasan GPON 路由器身份驗證繞過 (CVE-2018-10561) – Dasan GPON 路由器中存在身份驗證繞過漏洞。成功利用此漏洞將允許遠程攻擊者獲取敏感信息并對受影響的系統進行未經授權的訪問。
5. ↑ PHP 復活節彩蛋信息泄露 (CVE-2015-2051) – PHP 頁面中報告了一個信息泄露漏洞。該漏洞是由于不正確的 Web 服務器配置造成的。遠程攻擊者可以通過向受影響的 PHP 頁面發送特制 URL 來利用此漏洞。
6. ↑D-Link 多個產品遠程執行代碼 (CVE-2015-2051) – 多個 D-Link 產品中存在遠程代碼執行漏洞。成功利用此漏洞可能允許遠程攻擊者在受影響的系統上執行任意代碼。
7. ↑PHPUnit 命令注入 (CVE-2017-9841) – PHPUnit 中存在命令注入漏洞。成功利用此漏洞將允許遠程攻擊者在受影響的系統中執行任意命令。
8. ↓ Web 服務器惡意 URL 目錄遍歷 (CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、 CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260) –有不同Web服務器上存在目錄遍歷漏洞。該漏洞是由于 Web 服務器中的輸入驗證錯誤導致的，該錯誤未正確清理目錄遍歷模式的 URI。成功利用此漏洞允許未經身份驗證的遠程攻擊者披露或訪問易受攻擊的服務器上的任意文件。
9. ? WordPress portable-phpMyAdmin 插件身份驗證繞過 (CVE-2012-5469) – WordPress portable-phpMyAdmin 插件中存在身份驗證繞過漏洞。成功利用此漏洞將允許遠程攻擊者獲取敏感信息并對受影響的系統進行未經授權的訪問。
10. ? OpenSSL TLS DTLS 心跳信息泄露（CVE-2014-0160、CVE-2014-0346） – OpenSSL 中存在信息泄露漏洞。該漏洞又名 Heartbleed，是由于處理 TLS/DTLS 心跳數據包時出現錯誤造成的。攻擊者可以利用此漏洞泄露所連接的客戶端或服務器的內存內容。

熱門移動惡意軟件

上個月，Anubis仍然位居最流行移動惡意軟件的榜首，其次是AhMyth和SpinOk。

1. Anubis – Anubis 是一種專為 Android 手機設計的銀行木馬惡意軟件。自最初檢測到以來，它已獲得了額外的功能，包括遠程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。Google 商店中數百個不同的應用程序已檢測到該病毒。
2. AhMyth – AhMyth 是 2017 年發現的遠程訪問木馬 (RAT)。它通過 Android 應用程序分發，可在應用程序商店和各種網站上找到。當用戶安裝這些受感染的應用程序之一時，惡意軟件可以從設備收集敏感信息并執行鍵盤記錄、截圖、發送短信和激活攝像頭等操作，這些操作通常用于竊取敏感信息。
3. SpinOk – SpinOk 是一個作為間諜軟件運行的 Android 軟件模塊。它收集有關設備上存儲的文件的信息，并能夠將它們傳輸給惡意威脅參與者。截至 2023 年 5 月，該惡意模塊存在于 100 多個 Android 應用程序中，下載量超過 4.21 億次。