全球威胁情报报告

SmokeLoader 于 2011 年首次被发现，经历了多次迭代，目前仍是一种突出的威胁，用于将加密矿工、勒索软件、木马甚至销售点 (POS) 恶意软件等各种恶意软件加载到受感染的系统中。这种恶意软件的早期版本以 SmokeLdr 的名称在地下论坛出售，但自 2014 年以来，它只被出售给基于俄罗斯的威胁行为者。2018 年，SmokeLoader 成为首个使用 PROPagate 代码注入技术²的恶意软件。该恶意软件可通过多种攻击载体传播，包括与大规模群发网络钓鱼活动相关的恶意文档。2022 年 7 月，BlackBerry 威胁研究和情报团队观察到SmokeLoader 发布了新版 Amadey Bot。在这次攻击中，SmokeLoader 隐藏在 "破解 "软件（又称 "裂缝"）和流行软件应用程序的密钥生成工具（又称 "keygens"）中。该活动背后的威胁行为者依靠黑帽搜索引擎优化技术³（又称搜索引擎优化中毒）确保其恶意软件网站出现在相关搜索引擎结果的顶部或接近顶部的位置，以诱使寻找破解文件的用户下载并运行恶意可执行文件。

由于某些防病毒解决方案可能会阻止破解版和密钥，一些人在下载这些文件前会故意禁用其安全产品，或忽略检测警报并继续下载。因此，当受害者明确允许下载和执行恶意软件时，即使是广泛检测到的威胁也会感染系统。

Warzone（又名 "圣母颂"）RAT 可在地下和地面论坛上出售。Warzone 的综合功能包括键盘记录、进程操纵、命令执行、密码窃取、网络摄像头访问、反向代理配置，以及支持下载和执行附加文件或恶意软件。

Warzone提供两档价格：初始订阅基本RAT生成器，每月22.95美元；高级版本价格更高。高级版旨在吸引新手威胁行为者，提供rootkit、隐藏进程功能、高级动态 DNS（DDNS）和客户支持等高级功能，订购三个月的价格约为 800 美元。

这种商品恶意软件没有特定的目标，被各种威胁行为者和网络组织使用。上个季度，Warzone 被部署到一个专门针对台湾半导体制造商的活动中，并通过恶意 .RAR 文件附件进行传播。

DarkCrystal（又称 DCRat）于 2018 年首次发布，是目前最便宜的 .NET 后门之一，价格从两个月许可证的 5 美元左右到 "终身 "许可证的 40 美元不等（通常指威胁组织的终身）。 

内嵌的配置文件决定了执行时启用哪些功能，这些功能可能包括但不限于屏幕截图、键盘记录以及从网络浏览器和剪贴板中窃取 cookie 和密码。乌克兰计算机应急小组（CERT-UA）发现⁷DarkCrystal 在俄乌冲突期间以乌克兰为目标。

BlackBasta是一个相对较新的勒索软件集团，以勒索软件即服务（RaaS）的形式运营，于2022年4月首次被发现。它采用双重勒索技术，要求支付赎金解密公司数据，并勒索额外费用以防止数据泄露给公众。

BlackBasta 在攻击中使用Qakbot（又名 Qbot）和 PrintNightmare（CVE-2021-^3452712）漏洞等工具，并使用 ChaCha20 和 RSA-4096 组合加密受害者数据。BlackBasta 的感染链因目标而异，它加密数据的速度比其他勒索软件组更快。BlackBasta 的某些行为与 Conti 小组之前制作的恶意软件类似。

BlackCat勒索软件于 2021 年 11 月首次在野外出现，是首个使用 Rust 编程语言编写的大型勒索软件系列。(正如本报告所详述的，Rust 为威胁行为者提供了更大的灵活性，可以交叉编译针对所有主流操作系统的二进制文件，扩大了潜在目标和系统的覆盖范围）。该组织曾利用 Emotet 僵尸网络发送勒索软件有效载荷。建立立足点后，部署 Cobalt Strike 信标，让威胁者深入目标网络。

黑猫 "自诞生以来一直十分猖獗，以众多知名受害者为目标，并使用双重甚至三重勒索方法。根据联邦调查局 2022 年的一份警告¹³ ，BlackCat 勒索软件的附属组织可能与两个较早的威胁组织有关联：DarkSide 和BlackMatter。2023 年 2 月，BlackCat 在对爱尔兰明斯特科技大学发动攻击后成为头条新闻。

广告软件有时仅被视为一种骚扰，但它的危害性可能要大得多。显示不需要的广告依赖于恶意行为，包括监控用户活动、与服务器通信、下载额外数据或代码。例如，UpdateAgent 木马部署了攻击性广告软件 AdLoad。在本报告所述期间，我们在使用 macOS 设备的客户中阻止了大量 AdLoad 感染。

我们还发现了 Pirrit 广告软件的持续使用。这种恶意软件会在受攻击的机器上下载并启动脚本和额外的马赫对象文件格式（Mach-O）可执行文件，这些文件可用于执行更危险的代码。

Linux 的受欢迎程度持续增长。多达 90% 的公共云服务¹⁴在 Linux 上运行，大量企业正在或计划迁移到云服务。此外，Linux 还常用于物联网 (IoT)。由于 Linux 并非企业常用的桌面操作系统，因此大多数感染都依赖于暴力破解攻击或利用网络和服务器漏洞等技术，而不是鼓励用户打开受感染的附件。因此，依赖 Linux 基础设施的企业需要一个全面的漏洞管理计划来保护其服务器。

在本报告所述期间，BlackBerry 遥测技术发现了多起试图部署加密矿工的 Linux 攻击，这些矿工除了消耗系统资源外，还可以部署其他恶意软件，如允许犯罪分子远程访问系统的后门。

报告所述期间，可针对多个操作系统的跨平台勒索软件也有所增加。例如，新的皇家勒索软件可以针对 Linux 以及 Windows 和 ESXi 系统。

加密矿工利用受害者的 Linux 系统资源挖掘数字加密货币以获取经济利益，这种活动被称为加密劫持¹⁵。BlackBerry 研究人员此前曾检测到使用 Dota3 恶意软件系列¹⁶ 的攻击，该恶意软件攻击使用弱密码的 SSH 服务器，并安装已知的加密矿工^XMRig17。^Sysrv18加密矿工僵尸网络自 2021 年初开始活跃，使用 Go 编程语言编译，可在多个操作系统上执行。Sysrv 试图从 .sh 文件中下载加载器，这表明攻击针对的是 Linux 系统。该僵尸网络有多个漏洞，入侵系统后会使用 XMRig 开采加密货币 Monero。

最近的一次攻击利用了 CVE-2022-^3591419，这是 GLPI（一种开源服务管理软件，通常用于管理服务台和 IT 资产）上的一个漏洞。攻击者试图通过滥用 PwnKit（CVE-2021-⁴⁰³⁴²⁰）来提升权限。在受害者的端点上发现了几个恶意软件实例，包括 XMRig 和一个名为 BillGates 的 DoS 工具。

2023 年 2 月初，网上首次报道³⁸针对未打补丁的 VMware ESXi 服务器的大规模新勒索软件爆发。一些报告指出，该勒索软件仅在运行第一天就加密了数千台服务器。

这款新勒索软件背后的威胁行为者利用了面向互联网的 VMware ESXi 服务器中一个存在两年的漏洞（CVE-2021-^2197440）来进入并部署勒索软件。易受攻击的 ESXi 版本如下：

• ESXi650-202102101-SG 之前的 ESXi 6.5.x 版本
• ESXi670-202102401-SG 之前的 ESXi 6.7.x 版本
• ESXi70U1c-17325551 之前的 ESXi 7.x 版本

勒索软件组件包括一个 ELF 文件加密器和一个 encrypted.sh shell 脚本，旨在协调执行链，包括执行加密器。

执行后，恶意软件会修改 VMX 配置文件的名称，终止任何正在运行的 VMX 进程，并识别和加密扩展名为 .vmx、.vmxf、.vmsd、.nvram 和 .vmdk 的文件。然后，恶意软件删除了原始文件。

接下来，该恶意软件抛出了一张赎金条，索要看似随意的 2.092716 比特币（BTC），在攻击发生时约为 4.8 万美元。根据该说明，如果威胁行为者在三天内不支付赎金，数据就会被公开曝光。

供应商早在两年前的 2021 年 2 月就发布了 CVE-2021-21974 漏洞补丁。这次攻击凸显了最新补丁管理计划的重要性，并表明基于 Linux 的系统很容易受到攻击，而且正日益成为威胁行为者的目标。

2 月中旬，以色列理工学院遭到一种名为 DarkBit 的新型勒索软件的攻击。该威胁行为者似乎具有地缘政治动机，勒索信中包含反政府和反以色列的信息，以及有关当时正在进行的技术裁员的言论。

该勒索软件是用 Golang 编写的，使用未知的感染载体，部署了一个嵌入式配置文件，其中包含恶意软件要遵循的特定参数，包括哪些文件类型不在加密之列、赎金说明以及分割较大文件进行分段加密的指令。

该恶意软件还可以使用命令行选项执行定制的攻击流程，包括可选的多线程，以加快加密程序的速度。执行时，恶意软件会执行以下调用：

- vssadmin.exe delete shadow /all /Quiet

该命令会删除阴影副本，阻碍恢复工作，并在主机上定位目标文件类型，然后用 AES-256 加密，并添加扩展名 .Darkbit。

一张名为 RECOVERY_DARKBIT.txt 的赎金条被放置在所有受影响的目录中，并附有如何支付赎金的说明，赎金设定为 80 BTC，在攻击发生时相当于 1,869,760 美元。该说明指出，如果在 48 小时内不支付赎金，将加收 30% 的罚款，如果在五天内不支付赎金，数据将被泄露。

赎金字条的措辞以及威胁实施者社交媒体和网站上的类似评论表明，这次攻击是由一名心怀不满的员工、一群员工或黑客分子所为。

Blackberry 威胁研究和情报团队最近公布了关于 NewsPenguin 的调查结果，这是一个以前不为人知的威胁行为体，以巴基斯坦的组织为目标，使用定制的网络钓鱼诱饵。

这些诱饵以 2023 年 2 月 10-12 日举行的巴基斯坦国际海事博览会和会议为主题，并包含一个伪装成会议参展商手册的附加武器化 Word 文档。该文档使用远程模板注入技术和嵌入式恶意宏来检索感染链的下一阶段，最终导致最终有效载荷 updates.exe。

这种以前未记录的间谍工具包含大量反分析、反沙箱和信息窃取功能，其中包括

• 检查主机硬盘的大小
• 确定主机内存是否超过 10GB
• 使用 GetTickCount 确定正常运行时间
• 确定是在沙箱还是虚拟机中运行

安装完成后，恶意软件会通过一个 12 个字符的字符串标识符向一个硬编码的 C2 服务器注册被入侵主机。然后，主机就可以接收攻击者发出的一系列内置指令。这些命令包括

• 确定并列出流程和主机信息
• 识别并复制、删除、移动和/或修改主机上的文件和目录
• 执行可移植的可执行文件
• 终止进程（包括自身）
• 上传（渗透）受害者的文件并下载可能包含其他恶意软件的文件

作为一种额外的规避技术，恶意软件在发布命令之间会等待整整五分钟。这可能有助于最大限度地减少与 C2 通信相关的噪音，并帮助它不被安全和检测机制发现。

由于目标活动是由巴基斯坦海军组织的，并侧重于海洋和军事技术，因此这一新的威胁行为者可能出于信息窃取或间谍目的，而非金融目的。我们将继续跟踪和监控该组织的活动。

Gamaredon（又名 ACTINIUM）是一个公开归属于国家支持的俄罗斯 APT 组织，十年来一直以乌克兰个人和实体为目标。

新年伊始，BlackBerry Threat Research and Intelligence 团队公布了关于一个新的 Gamaredon 活动的调查结果，在该活动中，该组织利用流行的消息应用程序 Telegram 作为多阶段执行链的一部分。Telegram 的使用帮助该活动与正常网络流量融为一体，不被发现。

该活动的感染载体是一系列极具针对性的网络钓鱼诱饵，并附有用俄语和乌克兰语编写的武器化文件，这些文件被设计成似乎来自真正的乌克兰政府机构。这些文件采用了远程模板注入技术，如利用 CVE-2017-⁰¹⁹⁹⁴¹，允许通过受感染的 Word 文件执行代码。当恶意文档被打开时，攻击的下一阶段就开始了。

利用地理围栏确保只有拥有乌克兰 IP 地址的目标才会受到影响。如果目标被确认在乌克兰，就会下载一个脚本，连接到一个硬编码的 Telegram 账户，该账户会指向一个新的恶意 IP 地址。每个 Telegram 账户都会定期部署一个新的 IP 地址，以构建一个新的 URL，为下一阶段的有效载荷提供服务。这种结构使该组织能够动态刷新其基础设施，同时又难以被传统安全机制检测到。

我们追踪到了在克里米亚开展活动的一个节点，并确定该节点至少从 2022 年春季开始就一直在活动。

2023 年 2 月下旬，BlackBerry 威胁研究与情报团队目睹了一场新的活动，并在一定程度上确信该活动是南美威胁组织 Blind Eagle (^APT-C-3642) 所为。自 2019 年以来，"盲鹰 "一直很活跃，目标是哥伦比亚、厄瓜多尔、智利和西班牙的行业。

该活动的总体目标是投放和部署 AsyncRAT 商品恶意软件。该组织假冒不同的政府组织，尤其是税务机构。最初的攻击往往始于受害者上当受骗的钓鱼链接，该链接会启动一个精心设计的多部分执行链。

在 "盲鹰 "的活动中，流行社交平台Discord的内容交付网络被滥用来托管恶意软件（许多威胁行为者和网络犯罪团伙已将 Discord 的功能武器化）。

在报告所述期间，LockBit 是最活跃的 RaaS 提供商--仅在 1 月份，165 起已知勒索软件攻击⁴⁴中就有 50 起可归因于 LockBit。值得注意的攻击包括以下几种：

• 2022 年 12 月 18 日，该组织攻击了病童医院（又称 SickKids）。攻击发生两周后，LockBit 声称一名成员违反了他们的规则，攻击了一家医疗机构，并向其道歉，还发布了一个免费的解密器。在这两周内，病人的化验和成像工作被推迟，电话线路被禁用，员工薪资系统被关闭。
• 2022 年 12 月 25 日，该组织对葡萄牙最大的港口之一里斯本港管理局（APL）发动了袭击。
• 2023 年 1 月 27 日，研究人员⁴⁵分享了一个名为 LockBit Green 的新变种的信息。不久后，其他研究人员确定新变种使用了基于孔蒂的泄漏源代码。
• 二月初，勒索软件组织声称是英国皇家邮政（英国跨国邮政服务公司）遭受攻击的幕后黑手，并表示将在其泄漏网站上公布数据。泄漏网站于 2023 年 2 月 23 日上线，截至 2023 年 3 月底，数据仍可公开获取。
  

过去，威胁者经常分发含有受感染宏的^Microsoft®Office 文档，这些宏在受害者打开文档时自动执行。2022 年中期，微软禁用了 Office 宏的自动执行功能，使得这些攻击的成功率降低。因此，威胁行为者寻找新的方法来利用这一流行的办公软件。

在本报告所述期间，使用^Microsoft®OneNote 附件⁴⁶（Office^365®套件中的数字笔记应用程序）传播恶意软件和勒索软件的情况激增。攻击者将包含 Windows 可执行文件、批处理文件、Visual Basic 脚本或 HTML 应用程序文件等有效载荷的 OneNote 附件添加到网络钓鱼和恶意垃圾邮件活动中。

当受害者打开恶意 OneNote 附件时，就会进入感染的下一阶段，即频繁下载和部署普通商品恶意软件。已知滥用 OneNote 附件的威胁行为体包括Agent Tesla、AsyncRAT、IcedID、FormBook、RemcosRAT、RedLine、Qakbot 等。

我们的预测

俄罗斯入侵乌克兰的一个主要特点是对乌克兰军事和民用基础设施进行网络攻击。如果敌对行动继续下去，我们很可能会再次看到这种有针对性的网络攻击模式。

成果：

随着乌克兰冲突的持续，针对该地区数字和物理关键基础设施的攻击也在继续。2022 年 11 月，乌克兰能源部长格尔曼-加卢先科（German Galushchenko）在与欧盟能源部长举行的一次会议⁴⁸中表示，大量民用基础设施遭到破坏或摧毁，攻击仍未停止。

我们的预测

包括针对医院和医疗组织的攻击在内的勒索软件行动仍将继续，尤其是在支持乌克兰或为其提供资金的国家。

成果：

本季度勒索软件攻击仍在继续，但除财务动机外，其他动机尚不明确。著名的 LockBit 勒索软件组织在本报告期内十分活跃，可能共攻击了 1,500 多名受害者。该组织显然毫不犹豫地将目标对准了卫生和医疗机构，受害者包括总部位于美国的医疗保健提供商。

BlackCat 勒索软件运营商的攻击也有所增加，主要针对美国的受害者。此外，在本报告所述期间，ESXiArg 勒索软件影响了数百个易受攻击且未打补丁的系统，令人担忧。

我们的预测

对关键基础设施的网络攻击仍将继续。人工智能不仅可能越来越多地被用于攻击自动化，还可能被用于开发先进的深度伪造攻击。

成果：

关键基础设施始终是出于经济和政治动机的威胁行为者的攻击目标，而在整个威胁环境中，深度伪造的使用已获得了显著的发展。BlackBerry 威胁研究和情报团队观察到复杂的加密货币诈骗，这些诈骗利用深度伪造和类似的伎俩来推广植入恶意软件的破解软件。

随着冲突的持续，针对乌克兰的网络攻击也将继续。乌克兰国家网络保护中心报告称，2022 年全年的网络攻击⁴⁹比前一年增加了近三倍，其中来自俄罗斯 IP 地址的攻击⁵⁰大幅增加了 26%。

2023 年 1 月，ESET 记录了一款名为 SwiftSlicer 的新型恶意软件清除器，该恶意软件归属于臭名昭著的沙虫组织。这款由 Golang 编译的恶意软件是众多清除器中的最新产品⁵¹，一旦部署到目标网络上，就会破坏数据。

由于网络攻击是俄罗斯军事行动中证据确凿的⁵²要素，针对乌克兰的攻击很可能会继续下去。

交互式人工智能聊天机器人^ChatGPT53于 2022 年 11 月在全球发布。2022 年 12 月，第一份关于网络犯罪分子测试并讨论其用于欺诈和创建基本恶意软件的潜力的报告⁵⁴开始发布。2023 年 1 月，研究人员⁵⁵证实 ChatGPT 可帮助编写具有多态功能的复杂恶意代码。

随着 ChatGPT 等人工智能驱动的机器人变得越来越先进和普遍，它们的功能不可避免地会被恶意滥用。要抵御这些日益增长的威胁，需要具备预防和检测能力以及有效的威胁情报。

在本报告所述期间，针对制造业和医疗保健行业的商品恶意软件攻击在我们的遥测数据中占主导地位。这些商品信息窃取程序被用作数据窃取和获取访问凭证的工具，以方便网络入侵。这类访问权经常通过 IAB 服务出售，信息窃取日志也经常在地下市场出售。在许多情况下，成功的入侵会导致后续攻击，如勒索软件的部署，从而扩大初始入侵的影响。

尽管加大了安全力度，但在未来三个月内，针对供应链合作伙伴的网络攻击仍将是一个重大威胁。虽然所有行业都有受到供应链攻击的风险，但制造业因其金融资产、专利和其他知识产权，对有经济动机的威胁行为者和国家支持的行为者来说是一个特别有吸引力的目标。

最近针对汽车行业供应链的勒索软件攻击表明了这些攻击对整个制造业的潜在影响。供应链中断不仅会影响目标公司，还会影响行业价值链中的所有其他组织和系统。

我们预计，供应链攻击将继续发生，而利用 IAB 推动勒索软件部署的情况也将继续发生。