绿盟科技：2020 Botnet趋势报告（54页）.pdf

《绿盟科技：2020 Botnet趋势报告（54页）.pdf》由会员分享，可在线阅读，更多相关《绿盟科技：2020 Botnet趋势报告（54页）.pdf（54页珍藏版）》请在三个皮匠报告上搜索。

1、目前尚无法得知该声明是否为烟雾弹行为，但可见的是，这种由 Maze 发扬光大的勒索与泄露相组合的恶劣运营方式，必将被其他勒索软件所效仿。BitRAT近年来，随着 TinyNuke、Gozi 等 RAT 木马源码的泄露，黑客开发新型 RAT 木马的成本大幅降低。今年，使用了 TinyNuke 核心 hVNC(隐藏式远程桌面)逻辑的 RAT 木马，及 Warzone、BitRAT 等恶意程序在黑客论坛上大行其道，成为恶意邮件攻击者的新宠。第三季度出现的 BitRAT 可谓当前 RAT 木马制作模式的写照。BitRAT 通常使用如表格内脚本执行等较为简单的文档利用方式实现投递，释放层级也较少，并且在

2、投递完成后立即运行。BitRAT 支持的功能较多，包括远程桌面、录像、录音、代理通信、键盘记录、挖矿、进程和文件控制、凭证窃取等。然而，其核心代码主要来自开源项目，比如 hVNC 功能移植自 TinyNuke，录像功能使用了 OpenCV api，录音功能则来自 WAVE 等。参考较早之前出现的 Warzone 木马，今后 BitRAT 可能会增加其攻击链的复杂度，同时迎来一段时间的扩张期。同时以 Warzone 和 BitRAT 为代表，这些全功能的 RAT 木马可能会进入低价厮杀的阶段，作为其载体的恶意邮件数量也会增加。COVID-19 与传统邮件僵尸网络家族Emotet进入 2020 年

3、，Emotet 依然是世界上危害最大的邮件木马程序。伏影实验室经过抽样统计发现，当前的恶意钓鱼邮件中有超过 50% 最终投递了 Emotet 木马。Emotet 家族属于银行木马，出现于 2014 年，主要以垃圾邮件形式传播，感染 Windows 主机后并盗取用户邮箱来获得重要个人财务信息。该木马的主要维护者是一个被称为 Mealybug 的网络犯罪团伙。近年来，Emotet 在多起事件中被发现开始用于传播其他恶意家族，涉及银行木马、DDoS 和勒索等，涉及的木马程序包括 Cridex、IcedID、QakBot、Trickbot、UmbreCrypt、LockerGoga 和 AzoRult

4、 等。不同于其他邮件木马，Emotet 在获取和利用邮件地址资源上更进一步，它可以使用一个独立的模块盗窃受害者主机上 Outlook 邮箱中的邮件地址，从而使用这些窃取到的邮件地址作为新的发件人。这样的方式不但可以获得几乎无限的邮件地址资源，还能够隐藏攻击者的信息，并回避一些邮件地址过滤手段，可谓一举多得。Emotet 使用这种方式构造了一个恶意邮件传播网络，受害者主机作为该网络中的组件互相关联，极大增加了根除的难度。Emotet 邮件传播网络的维护者十分重视诱饵内容的构建。目前已发现的 Emotet 鱼叉邮件，其诱饵形式包括账单、罚单、请柬、通告、工资单等，内容包括信息确认、商务交流、广告宣传等，可谓无所不包。因此，可以想象作为今年最大热点话题的COVID-19 疫情信息给 Emotet 的扩散提供了怎样的便利。即第一季度利用疫情诱饵攻击日本目标之后，Emotet 在三季度之后对攻击链进行了一些改动，更新了文档的图片，并开始大量使用疫情话题制作诱饵文本。伏影实验室发现的借用疫情话题的 Emotet 邮件，主要可以分为伪造疫情相关新闻或通知、借助疫情内容增加邮件真实度的两种类型。