2024-05-14-亚信科技-2024年第一季度安全威胁报告_48页_5mb

报告摘要

本报告由亚信安全应急响应中心发布，旨在全面解析2024年第一季度的网络安全威胁环境。通过分析恶意样本、勒索攻击趋势、特定攻击组织（如“银狐”）的攻击方式以及相关的治理方案，报告提供了对当前网络攻击态势的深入洞察，并为防御策略提供指导。

恶意样本拦截：亚信安全在2024年第一季度共拦截了8,378,240个恶意样本，平均每天拦截9万个。尽管数量较上季度有所减少，但恶意软件类型仍多样且不断演变。
勒索攻击态势：勒索攻击数量为12,603次，其中科威特为全球感染率最高的国家（占比36%），我国制造业为受攻击最严重的行业。
攻击手段多样化：勒索攻击主要通过漏洞利用、钓鱼邮件、即时通信软件、远程访问工具（RAT）等方式实施。
勒索组织持续活跃：多个勒索团伙，如LockBit、TellYouThePass、CACTUS、RA World、Agenda等，均在本季度表现出活跃状态，且攻击手段不断升级。
“银狐”组织持续威胁：该组织通过财税相关钓鱼文件发动定向攻击，采用多种免杀技术，如伪装合法程序、加密载荷、内存加载等，以规避检测。
勒索趋势分析：勒索攻击呈现跨平台、多阶段、双重勒索（加密+数据窃取）等趋势，攻击者不断利用新漏洞和新技术提升攻击效率和隐蔽性。
安全治理方案发布：亚信安全推出多种治理方案，包括“方舟”勒索治理解决方案、新一代终端安全TrustOne、云安全DS、邮件防护DDEI等，旨在实现从源头到终端的全面防护。

勒索团伙	攻击方式	特点
LockBit	利用Web漏洞、RaaS模式	新版本LockBit-NG-Dev使用.NET编程语言并采用多种加密方式
TellYouThePass	利用Web应用漏洞、高危时间差	常见攻击方式为加密并修改文件扩展名为“.locked”
CACTUS	利用FortinetVPN漏洞、内网横向移动	使用7-Zip进行防御规避，删除卷影副本以防止数据恢复
RA World	采用双重勒索策略	利用curve25519和eSTREAM密码hc-128算法进行加密
Agenda	跨平台攻击、使用Rust语言开发	使用间歇性加密方式，利用RMM工具和Cobalt Strike进行部署

攻击方式：
- 通过即时通信软件（如微信、QQ、TG）发送伪装成税务文件的钓鱼链接
- 使用钓鱼邮件诱导用户点击恶意链接
- 通过MSI安装程序释放恶意组件，如GhostRAT、CNM.exe等
攻击流程：
- 受害者双击运行伪装文件
- 恶意代码解密并加载到内存
- 远程控制木马执行非法操作，如提权、数据收集、C2通信等
免杀技术：
- 使用合法程序进行伪装（白加黑）
- 加密载荷，避免静态检测
- 内存加载，避免留下明显痕迹