2021 年 4 月头号恶意软件：在全球勒索软件攻击激增的同时，Dridex 仍然稳居榜首

2021 年 5 月全球领先网络安全解决方案提供商 Check Point ® 软件技术有限公司 （纳斯达克股票代码：CHKP）的威胁情报部门 Check Point Research (CPR) 发布了其 2021 年 4 月最新版《全球威胁指数》报告。研究人员报告称，AgentTesla 首次跃居指数榜单第二位，而 Dridex 老牌木马仍然是最猖獗的恶意软件，从 2 月份第七位跃升至 3 月榜单榜首。

本月，针对 Windows 平台的 Dridex 木马通过 QuickBooks 恶意垃圾邮件攻击活动广泛传播。网络钓鱼电子邮件使用 QuickBooks 品牌，并企图通过虚假付款通知和发票诱骗用户。电子邮件内容要求下载恶意 Microsoft Excel 附件，这可能导致系统感染 Dridex。

该恶意软件通常用作勒索软件攻击感染的第一步，黑客将趁机加密组织数据并要求受害者支付赎金以对其进行解密。这些黑客越来越多地使用双重勒索手段，设法从组织中窃取敏感数据，并威胁受害者支付赎金，否则便将其数据公之于众。CPR 在 3 月报告 称，勒索软件攻击于 2021 年初增加了 57%，并继续呈激增态势，较去年同期增长了 107%。最近，美国一家大型燃料公司 Colonial Pipeline 不幸沦为此类攻击的受害者。2020 年， 据估计， 勒索软件 给全球企业造成了约 200 亿美元的损失，比 2019 年高出近 75%。

AgentTesla 首次跃居头号恶意软件排行榜第二位。它是一种高级 RAT（远程访问木马），自 2014 年以来一直活跃至今，常被用作键盘记录器和密码窃取程序。这一 RAT 不仅能够监控和收集受害者的键盘输入与系统剪贴板，而且还可以记录截图和窃取为受害者设备上安装的各种软件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 电子邮件客户端）输入的证书。本月，AgentTesla 攻击活动有所增加，并通过恶意垃圾邮件传播。电子邮件内容要求下载可能导致系统感染 Agent Tesla 的文件（可以是任何文件类型）。

Check Point 产品威胁情报与研究总监 Maya Horowitz 表示：“当前，全球勒索软件攻击激增，因此本月头号恶意软件与该趋势密切相关不足为怪。全球平均每 10 秒就有一个组织成为勒索软件的受害者。最近，人们纷纷呼吁政府对这一日益加剧的威胁采取更多有力措施，但目前威胁形势仍未见丝毫减弱迹象。所有组织均需警惕风险，并确保全面部署反勒索软件解决方案。此外，对所有员工进行全面培训也至关重要，这样他们才能够掌握所需技能，从而准确识别传播 Dridex 及其他恶意软件的恶意电子邮件类型，因为这是许多勒索软件漏洞攻击伊始。”

CPR 还指出，“Web Server Exposed Git 存储库信息泄露”是最常被利用的漏洞，全球 46% 的组织因此遭殃，其次是“HTTP 标头远程代码执行 (CVE-2020-13756)”，影响了全球 45.5% 的组织。“MVPower DVR 远程代码执行”在最常被利用的漏洞排行榜中位列第三，全球影响范围为 44%。

头号恶意软件家族

* 箭头表示与上月相比的排名变化。

Dridex 仍是本月最活跃的恶意软件，全球 15% 的组织受到波及，其次是 Agent Tesla 和 Trickbot，分别影响了全球 12% 和 8% 的组织。

1. ↔ Dridex - Dridex 是一种针对 Windows 平台的木马，主要通过恶意垃圾邮件附件进行传播。Dridex 不仅能够联系远程服务器，发送有关受感染系统的信息，而且还可以根据命令下载并执行任意模块。Dridex 感染通常是整个公司范围勒索软件攻击的立足点。

2. ↑ Agent Tesla – Agent Tesla 是一种用作键盘记录器和信息窃取程序的高级 RAT，能够监控和收集受害者的键盘输入与系统剪贴板、截图并盗取受害者电脑上安装的各种软件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 电子邮件客户端）的证书。

3. ↑ Trickbot - Trickbot 是一种模块化僵尸网络和银行木马，不断添加新的功能、特性和传播向量。这让它成为一种灵活的可自定义的恶意软件，广泛用于多目的攻击活动。

最常被利用的漏洞

本月，“Web Server Exposed Git 存储库信息泄露”是最常被利用的漏洞，全球 46% 的组织因此遭殃，其次是“HTTP 标头远程代码执行 (CVE-2020-13756)”，影响了全球 45.5% 的组织。“MVPower DVR 远程代码执行”在最常被利用的漏洞排行榜中位列第三，全球影响范围为 44%。

1. ↑ Web Server Exposed Git 存储库信息泄露 - Git 存储库报告的一个信息泄露漏洞。攻击者一旦成功利用该漏洞，便会使用户在无意间造成帐户信息泄露。

2.↓ HTTP 标头远程代码执行 （CVE-2020-10826、CVE-2020-10827、CVE-2020-10828、CVE-2020-13756） - HTTP 标头允许客户端和服务器传递带 HTTP 请求的其他信息。远程攻击者可能会使用存在漏洞的 HTTP 标头在受感染机器上运行任意代码。

3.↓ MVPower DVR 远程代码执行 - 一种存在于 MVPower DVR 设备中的远程代码执行漏洞。远程攻击者可利用此漏洞，通过精心设计的请求在受感染的路由器中执行任意代码。

主要移动恶意软件

本月，xHelper 位列最猖獗的移动恶意软件榜首，其次是 Triada 和 Hiddad。

1. xHelper - 自 2019 年3 月以来开始肆虐的恶意应用，用于下载其他恶意应用并显示恶意广告。该应用能够对用户隐身，并可在卸载后进行自我重新安装。

2. Triada - 一种 Android 模块化后门程序，可为下载的恶意软件提供超级用户权限。

3. Hiddad - Hiddad 是一种 Android 恶意软件，能够对合法应用进行重新打包，然后将其发布到第三方商店。其主要功能是显示广告，但它也可以访问操作系统内置的关键安全细节。

Check Point《全球威胁影响指数》及其《ThreatCloud 路线图》基于 Check Point ThreatCloud 情报数据撰写而成，ThreatCloud 是打击网络犯罪的最大协作网络，可通过全球威胁传感器网络提供威胁数据和攻击趋势。ThreatCloud 数据库每天检查超过 30 亿个网站和 6 亿份文件，每天识别超过 2.5 亿起恶意软件攻击活动。

关于 Check Point Research

Check Point Research 能够为 Check Point Software 客户以及整个情报界提供领先的网络威胁情报。Check Point 研究团队负责收集和分析 ThreatCloud 存储的全球网络攻击数据，以便在防范黑客的同时，确保所有 Check Point 产品都享有最新保护措施。此外，该团队由 100 多名分析师和研究人员组成，能够与其他安全厂商、执法机关及各个计算机安全应急响应组展开合作。

关于 Check Point 软件技术有限公司

Check Point 软件技术有限公司是一家面向全球政府和企业的领先网络安全解决方案提供商。Check Point Infinity 解决方案组合对恶意软件、勒索软件及其他威胁的捕获率处于业界领先水准，可有效保护企业和公共组织免受第五代网络攻击。Infinity 包含三大核心支柱，可跨企业环境提供卓越安全保护和第五代威胁防护：Check Point Harmony（面向远程用户）；Check Point CloudGuard（自动保护云环境）；Check Point Quantum（有效保护网络边界和数据中心）— 所有这一切均通过业界最全面、直观的统一安全管理进行控制。Check Point 为十万多家各种规模的企业提供保护。