勒索軟件仍然是一股主導力量，RansomHub 仍是頭號勒索軟件組織。自從 Knight 勒索軟件更名以來，這種勒索軟件即服務 (RaaS) 行動迅速擴張，全球有超過 210 名受害者受到影響。與此同時，Meow 勒索軟件也出現(xiàn)了，它從加密轉向在泄密市場上出售被盜數(shù)據(jù)。

上個月，RansomHub 鞏固了其作為頭號勒索軟件威脅的地位，正如 FBI、CISA、MS-ISAC 和 HHS 的聯(lián)合公告中所述。此 RaaS 操作使用復雜的加密技術積極針對 Windows、macOS、Linux 以及特別是 VMware ESXi 環(huán)境中的系統(tǒng)。

8 月份，Meow 勒索軟件也開始崛起，首次登上勒索軟件排行榜第二名。Meow 最初是泄露的 Conti 勒索軟件的一個變種，現(xiàn)在其重點從加密轉向數(shù)據(jù)提取，將其勒索網站轉變?yōu)閿?shù)據(jù)泄露市場。在這種模式下，被盜數(shù)據(jù)會賣給出價最高的人，這與傳統(tǒng)的勒索軟件勒索手段不同。

RansomHub 成為 8 月份最大的勒索軟件威脅，凸顯了勒索軟件即服務運營日益復雜化。組織需要比以往任何時候都更加警惕。Meow 勒索軟件的興起凸顯了數(shù)據(jù)泄露市場的轉變，標志著勒索軟件運營商的貨幣化方法，其中被盜數(shù)據(jù)越來越多地出售給第三方，而不是簡單地在線發(fā)布。隨著這些威脅的發(fā)展，企業(yè)必須保持警惕，采取主動的安全措施，并不斷增強對日益復雜的攻擊的防御能力”。

2024年8月“十惡不赦”

*箭頭表示與上個月相比的排名變化

FakeUpdates是本月最流行的惡意軟件，影響了全球8%的組織，其次是Androxgh0st，全球影響率為5%，以及Phorpiex，全球影響率為5%。

• ↔ FakeUpdates – FakeUpdates（又名 SocGholish）是一個用 JavaScript 編寫的下載程序。它會在啟動有效載荷之前將其寫入磁盤。FakeUpdates 導致通過許多其他惡意軟件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）進一步受到攻擊。
• ↔ Androxgh0st – Androxgh0st 是一個針對 Windows、Mac 和 Linux 平臺的僵尸網絡。對于初始感染，Androxgh0st 利用了多個漏洞，具體針對 PHPUnit、Laravel 框架和 Apache Web 服務器。該惡意軟件竊取敏感信息，例如 Twilio 帳戶信息、SMTP 憑據(jù)、AWS 密鑰等。它使用 Laravel 文件來收集所需信息。它有不同的變體，可以掃描不同的信息。
• ↑ Phorpiex – Phorpiex 是一個僵尸網絡，以通過垃圾郵件活動傳播其他惡意軟件家族以及助長大規(guī)模性勒索活動而聞名。
• ↑ Qbot – Qbot 又名 Qakbot，是一種多用途惡意軟件，于 2008 年首次出現(xiàn)。它旨在竊取用戶憑據(jù)、記錄擊鍵、從瀏覽器竊取 cookie、監(jiān)視銀行活動以及部署其他惡意軟件。Qbot 通常通過垃圾郵件傳播，采用多種反虛擬機、反調試和反沙盒技術來阻礙分析和逃避檢測。從 2022 年開始，它成為最流行的木馬之一。
• ↓ AgentTesla – AgentTesla 是一種先進的 RAT，可用作鍵盤記錄器和信息竊取程序，能夠監(jiān)視和收集受害者的鍵盤輸入、系統(tǒng)鍵盤、截屏以及竊取安裝在受害者機器上的各種軟件的憑據(jù)（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 電子郵件客戶端）。
• ↓ Formbook - Formbook 是一款針對 Windows 操作系統(tǒng)的信息竊取程序，于 2016 年首次被發(fā)現(xiàn)。它在地下黑客論壇上以惡意軟件即服務 (MaaS) 的形式銷售，因為它具有強大的規(guī)避技術和相對較低的價格。FormBook 從各種 Web 瀏覽器收集憑據(jù)、收集屏幕截圖、監(jiān)控和記錄擊鍵，并可以根據(jù)其 C&C 的命令下載和執(zhí)行文件。
• ↑ CloudEyE – CloudEye 是一個針對 Windows 平臺的下載器，用于在受害者的計算機上下載并安裝惡意程序。
• ↔ Vidar- Vidar 是一種以惡意軟件即服務形式運行的信息竊取惡意軟件，于 2018 年底首次被發(fā)現(xiàn)。該惡意軟件在 Windows 上運行，可以從瀏覽器和數(shù)字錢包中收集各種敏感數(shù)據(jù)。此外，該惡意軟件還被用作勒索軟件的下載器。
• ↓ Remcos – Remcos 是一種 RAT，于 2016 年首次出現(xiàn)。Remcos 通過附加在垃圾郵件中的惡意 Microsoft Office 文檔進行分發(fā)，旨在繞過 Microsoft Windows UAC 安全保護并以高級權限執(zhí)行惡意軟件。
• ↔ NJRat – NJRat 是一種遠程訪問木馬，主要針對中東的政府機構和組織。該木馬于 2012 年首次出現(xiàn)，具有多種功能：捕獲擊鍵、訪問受害者的相機、竊取存儲在瀏覽器中的憑據(jù)、上傳和下載文件、執(zhí)行進程和文件操作以及查看受害者的桌面。NJRat 通過網絡釣魚攻擊和驅動下載感染受害者，并在命令和控制服務器軟件的支持下通過受感染的 USB 密鑰或網絡驅動器進行傳播。

最常被利用的漏洞 

• ↔ HTTP 命令注入 (CVE-2021-43936、CVE-2022-24086) – 已報告 HTTP 命令注入漏洞。遠程攻擊者可以通過向受害者發(fā)送特制請求來利用此問題。成功利用此漏洞將允許攻擊者在目標計算機上執(zhí)行任意代碼。
• ↔ Zyxel ZyWALL 命令注入 (CVE-2023-28771) – Zyxel ZyWALL 中存在命令注入漏洞。成功利用此漏洞將允許遠程攻擊者在受影響的系統(tǒng)中執(zhí)行任意操作系統(tǒng)命令。
• ↔ HTTP 標頭遠程代碼執(zhí)行 (CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-1375) – HTTP 標頭允許客戶端和服務器通過 HTTP 請求傳遞其他信息。遠程攻擊者可能會使用易受攻擊的 HTTP 標頭在受害計算機上運行任意代碼。

熱門移動惡意軟件

本月，Joker在最流行的移動惡意軟件中位居第一，其次是Anubis和Hydra。

• ↔ Joker – Google Play 上的一款安卓間諜軟件，旨在竊取短信、聯(lián)系人列表和設備信息。此外，該惡意軟件還會悄悄地讓受害者在廣告網站上獲得高級服務。
• ↔ Anubis – Anubis 是一種針對 Android 手機設計的銀行木馬惡意軟件。自首次被發(fā)現(xiàn)以來，它已獲得附加功能，包括遠程訪問木馬 (RAT) 功能、鍵盤記錄器、錄音功能和各種勒索軟件功能。它已在 Google 商店中提供的數(shù)百種不同應用程序中被檢測到。
• ↑ Hydra – Hydra 是一種銀行木馬，通過要求受害者在每次進入任何銀行應用程序時啟用危險權限和訪問權限來竊取銀行憑證。

全球最易受攻擊的行業(yè)

本月，教育/研究行業(yè)在全球遭受攻擊的行業(yè)中仍然位居第一，其次是政府/軍事和醫(yī)療保健。

• 教育/研究
• 政府/軍隊
• 衛(wèi)生保健

頂級勒索軟件組織

這些數(shù)據(jù)基于雙重勒索勒索軟件組織運營的勒索軟件“恥辱網站”的洞察，這些網站發(fā)布了受害者信息。RansomHub是本月最猖獗的勒索軟件組織，占已發(fā)布攻擊的15%，其次是Meow（占9%）和Lockbit3（占8%）。

• RansomHub – RansomHub 是一種勒索軟件即服務 (RaaS) 操作，是之前已知的 Knight 勒索軟件的改名版本。RansomHub 于 2024 年初在地下網絡犯罪論壇上引人注目，因其針對各種系統(tǒng)（包括 Windows、macOS、Linux，尤其是 VMware ESXi 環(huán)境）的積極活動而迅速聲名狼藉。該惡意軟件以采用復雜的加密方法而聞名。
• Meow - Meow 勒索軟件是基于 Conti 勒索軟件的變種，該勒索軟件以加密受感染系統(tǒng)上的各種文件并在其后附加“.MEOW”擴展名而聞名。它會留下一個名為“readme.txt”的勒索信，指示受害者通過電子郵件或 Telegram 聯(lián)系攻擊者以協(xié)商贖金。Meow 勒索軟件通過各種媒介傳播，包括不受保護的 RDP 配置、電子郵件垃圾郵件和惡意下載，并使用 ChaCha20 加密算法鎖定文件，但不包括“.exe”和文本文件。
• Lockbit3 -  LockBit 是一種勒索軟件，以 RaaS 模式運行，于 2019 年 9 月首次報告。LockBit 的目標是各個國家的大型企業(yè)和政府實體，并不針對俄羅斯或獨立國家聯(lián)合體的個人。