《维他命》逐日安全简讯20180911

颁布功夫 2018-09-11
蕴含恶意软件链接的垃圾邮件、用于下载恶意软件的机械人…这些只是僵尸网络的利用场景之一。除了僵尸网络的运营者或客户的设想力 ，没有什么能限杜仔用荷载的选择。它可所以勒索软件、银行木马、恶意矿工、后门 ，等等。例子也很好找 ，好比说Gandcrab和Trik ，或者是Locky和Necurs。每一天我们都拦截到来自分歧类型和家族的僵尸网络的不计其数的文件下载号令。在这里我们展示了2017 H2和2018 H1的僵尸网络活动的分析了局。


钻研步骤


GA黄金甲统计数据中不蕴含僵尸网络下载的更新文件 ，由于这些更新文件的数量因恶意软件的分歧而分歧 ，并且影响了最终的统计了局。我们还排除了下载的配置文件 ，由于它们与文章主题的关系不大。此表 ，我们只推算了唯一文件的数量（通过MD5）。统计了局是基于对150个僵尸网络家族及其变体的超过60000个分歧的C&C服务器的号令进行分析得来。

卡巴斯基尝试室通过Botnet Tracking技术跟踪僵尸网络的活动。该技术是手印拟受习染的机械（bots）以检索僵尸网络的有关运营数据。


2018 H1GA黄金甲bots下载的唯一恶意文件的总数与2017 H2相比降落了14.5%。


GA黄金甲·(中国区)官方网站


2017 H2 – 2018 H1 ，唯一恶意文件的数量


最受迎接的


对bots下载的文件进行分析 ，我们发现了最受迎接的、传布最宽泛的家族。请把稳该列表的前几项其实变动不大。njRAT后门在2017年和2018年都占据了沉要地位。它在bots下载的所有文件中的比例从3.7%增长到了5.2% ，这意味着每20个文件中就至少有一个njRAT后门文件。这种宽泛的传布是由于该恶意软件繁多的版本以及较低的门槛（很容易设置自己的后门）。


GA黄金甲·(中国区)官方网站


2017 H2 – 2018 H1 ，下载量最多的威胁


相当多的情况下 ，僵尸网络被用于分发恶意挖矿软件。2018 H1恶意矿工的占比为4.6% ，远比2017 H2的2.9%要高。
然而 ，犯罪分子对钱币的兴致也没有降落 ，证据就是Top 10列表中的Neutrino.POS和Jimmy。2017 H2 ，Neutrino.POS的占比为4.6%。2018年它的比例有所降落 ，但它的“表亲”Jimmy为银行木马贡献了1.1%的份额。

GA黄金甲·(中国区)官方网站


2017 H2 ，Top 10威胁的散布


在2018 H1 ，Khalesi木马在排行榜上位列第三 ，占所有下载的文件的4.9%。2017年Remcos、BetaBot、Smoke和Panda bots都曾下载该木马 ，但到了2018年只有垃圾邮件僵尸网络Lethic下载了该木马。


另一个值妥贴心的是 ，2018 H1的Top 10中出现了Mail PassView ，它是一个合用于多种邮件客户端的合法的密码复原工具。PassView通过Remcos 后门进行分发 ，它很有可能被用于获取受害者的邮箱密码。


Cutwail、Lethic以及新版Emotet bots也都扎根在Top 10中。


与2017 H2相比 ，今年僵尸网络下载的勒索软件的数量有所上升。只管勒索软件的整体趋向是降落的 ，但僵尸网络运营者依然在持续分发它们。凭据GA黄金甲数据 ，2017年大无数勒索软件都是Smoke bot下载的 ，但在2018年 ，Nitol夺走了第一名。勒索软件GandCrab是2018 Top 10排行榜的新居民。GandCrab出现于2018年 ，随后马上被多个僵尸网络分发 ，其中最为活跃的是僵尸网络Trik。


GA黄金甲·(中国区)官方网站


2018 H1 ，Top 10威胁的散布


在攻击行为方面 ，2017 H2和2018 H1的领头羊都是木马。这些木马拥有各类分歧的能力 ，以至于很难说出它们的“专长”是什么。其中沉要的组成部门是用于窃守信息的银行木马和后门木马。此表 ，由于僵尸网络Lethic的活跃 ，去年最常见的恶意软件蕴含了大量的垃圾邮件机械人。

GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，僵尸网络下载文件的行为散布


最“多面”的


在我们观察到的僵尸网络家族中 ，我们发现了最“多面”的家族 – 即下载的分歧文件数量最多的家族。这种多样性可能受以下几个成分的影响：
·        统一家族的分歧僵尸网络由拥有分歧指标的分歧运营者进行治理。
·        运营者“出租”其僵尸网络 ，允许它们被用于分发恶意软件。
·        僵尸网络扭转了它的“专长”（例如 ，Emotet从银行木马造成了垃圾邮件机械人）。
2018年和2017年一样 ，最“多面”的bots是Hworm、Smoke和BetaBot（别名Neurevt）。


GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，Hworm下载文件的行为散布


GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，Smoke下载文件的行为散布


GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，Betabot下载文件的行为散布


正如上文所提到的 ，隐匿的恶意挖矿软件极度盛行 ，统计数据也证实了这一点。只管下载的恶意软件种类极度多 ，但恶意矿工总是能排在前三。


后门也占据了一个沉要的地位 ，由于它们可以为犯罪分子提供宽泛的选择（从截屏到键盘纪录再到直接节造指标设备）。


最“国际化的”


在节造服务器的地理散布方面 ，Njrat后门不出意表地赢得了“最国际化”大奖 ，它的C&C散布于99个国度之中。它的地理散布情况归因于配置幼我后门的单一水平 ，使得任何人都能够以至少的恶意软件开发知识来创建自己的僵尸网络。

GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，Njrat的C&C服务器的散布


紧随其后的是DarkComet后门和NanoCore RAT。它们别离获得了银牌和铜牌 ，其C&C约散布于80个国度之中。只管NanoCore的创建者被捕 ，但他销售了他个人开发的RAT的源码 ，此刻其他网络犯罪分子在使用它。


GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，DarkComet的C&C服务器的散布

 

GA黄金甲·(中国区)官方网站



2017 H2 – 2018H1 ，NanoCore RAT的C&C服务器的散布


对习染指标的地理散布进行审视 ，另一个后门QRAT进入了GA黄金甲视线。该后门覆盖了最大的领域。2017 H2 ，我们在190个国度检测到该后门的习染贪图。而到了今年 ，QRAT再次增长了两个国度 ，使得总数造成了192。

GA黄金甲·(中国区)官方网站


2017 H2 – 2018H1 ，QRAT的地理散布


这种辽阔的领域归因于SaaS（软件即服务） ，或者说是MaaS（恶意软件即服务） ，能够以30天、90天或一年的分歧模式来采办QRAT分发服务。它的跨平台的性子（Java说话编写）也起到了肯定的作用。


结论


通过拦截僵尸网络的号令 ，我们能够跟踪病毒编写者的最新趋向 ，并为GA黄金甲用户提供最大的�；�。


以下是我们从分析bots下载的文件中发现的重要趋向：
    ·  僵尸网络分发的文件中恶意矿工的比例在增长。这是由于犯罪分子起头将僵尸网络视作恶意挖矿的工具。
    ·  后门持续成为僵尸网络下载文件的大部门。这是由于僵尸网络的运营者热衷于在习染设备上获取最大节造权限。
    ·   droppers的下载数量也在上升 ，批注攻击是多阶段的 ，并且越来越复杂。
    ·  2018年的僵尸网络下载文件中银行木马的比例有所降落 ，但此刻讨论其数字的整体降落还为时过早 ，由于它们常通过droppers进行交付（参考上一条）。
    ·  僵尸网络越来越多地凭据客户的需要进行租赁 ，在好多情况下确定僵尸网络的“专长”已变得极度难题。


申明：本资讯由GA黄金甲维他命安全幼组翻译和整顿