2023 年 6 月头号恶意软件：Qbot 成为 2023 年上半年最猖獗恶意软件

2023 年 7 月 ，网络安全解决方案提供商 Check Point® 软件技术有限公司（纳斯达克股票代码：CHKP）发布了其 2023 年 6 月《全球威胁指数》报告。研究人员发现，木马 Qbot 是 2023 年上半年最猖獗的恶意软件，已有五个月位列榜首。与此同时，移动木马 SpinOk 在上个月被发现后首次登上了恶意软件排行榜首位。该勒索软件在文件共享软件 MOVEIt 暴出零日漏洞后登上新闻头条。

最初于 2008 年作为银行木马现身的 Qbot 经过了持续开发并添新功能，其目的在于窃取用户密码、电子邮件及信用卡信息。它通常通过垃圾邮件传播，并采用反 VM、反调试和反沙盒方法等各种技术来阻碍分析和规避检测。目前，其主要作用是充当其他恶意软件的加载程序，并驻留在目标机构内，作为勒索软件运营组织发起攻击的跳板。

与此同时，研究人员发现了一种传播甚广的移动恶意软件，其累计下载量现已达到 4.21 亿次。上月，木马化软件开发套件 (SDK) SpinOk 首次登上了移动恶意软件榜首。许多热门应用都使用该恶意软件进行营销，因此它已渗入许多热门应用和游戏中，其中一些应用和游戏可从 Google Play 商店下载。SpinOk 恶意软件能够从设备中窃取敏感信息并监控剪贴板活动，对用户隐私和安全构成了严重威胁，再次凸显采取主动措施保护个人数据和移动设备的必要性，并提醒我们软件供应链攻击的破坏性潜力不容小觑。

上个月还爆发了一场波及全球的大规模勒索软件攻击活动。2023 年 5 月，Progress Software Corporation 披露了 MOVEit Transfer 和 MOVEit Cloud 中的一个漏洞 (CVE-2023-34362)，它可能允许未经授权的环境访问。尽管在 48 小时内得到了修补，但包括 7 所美国大学在内的 108 家机构已被证实遭到攻击，数十万份记录遭到窃取。

Check Point 软件技术公司研究副总裁 Maya Horowitz 表示：“MOVEit 漏洞表明，2023 年将又是勒索软件肆虐之年。Clop 等臭名昭著的团伙没有费力去感染单个目标，而是通过利用企业环境中广泛使用的软件来提高其攻击效力。该手段意味着他们可以一次攻击中攻击数百名受害者。这种攻击模式凸显了公司实施多层网络安全战略的重要性，以及在漏洞披露后尽快修补的必要性。”

Check Point Research还指出，“Web 服务器恶意 URL 目录遍历漏洞”是上月最常被利用的漏洞，全球 51% 的企业因此遭殃，其次是“Apache Log4j 远程代码执行”，影响了全球 46% 的机构。“HTTP 标头远程代码执行”是第三大最常被利用的漏洞，全球影响范围为 44%。

头号恶意软件家族

* 箭头表示与上月相比的排名变化。

Qbot 是上个月最猖獗的恶意软件，全球 7% 的机构受到波及，其次是 Formbook 和 Emotet，分别影响了全球 4% 和 3% 的机构。

• ↔ Qbot – Qbot（又名 Qakbot）是一种多用途恶意软件，于 2008 年首次出现，旨在窃取用户凭证、记录击键次数、从浏览器中窃取 cookie、监视用户的银行业务操作，并部署更多恶意软件。Qbot 通常通过垃圾邮件传播，采用多种反 VM、反调试和反沙盒手段来阻碍分析和逃避检测。
• ↔ Formbook – Formbook 是针对 Windows 操作系统的信息窃取程序，于 2016 年首次被发现。由于其强大的规避技术和相对较低的价格，它在地下黑客论坛中作为恶意软件即服务 (MaaS) 进行出售。Formbook 可从各种 Web 浏览器中获取凭证、收集截图、监控和记录击键次数，并按照其 C&C 命令下载和执行文件。
• ↑ Emotet – Emotet 是一种能够自我传播的高级模块化木马。Emotet 曾经被用作银行木马，最近又成为其他恶意软件或恶意攻击的传播程序。它使用多种方法和规避技术来确保持久性和逃避检测。此外，它还可以通过包含恶意附件或链接的网络钓鱼垃圾邮件进行传播。

主要移动恶意软件

上月，SpinOk 跃居最猖獗的移动恶意软件榜首，其次是 Anubis 和 AhMyth。

• SpinOk – SpinOk 是一种用作间谍软件的 Android 软件模块，可收集设备上保存的文件信息，并将其传输给攻击者。截至 5 月 23 日，该恶意模块在 100 多款 Android 应用中均有发现，下载量超过 4.21 亿次。
• Anubis – Anubis 是一种专为 Android 手机设计的银行木马恶意软件。自最初检测到以来，它已经具有一些额外的功能，包括远程访问木马 (RAT) 功能、键盘记录器、录音功能及各种勒索软件特性。在谷歌商店提供的数百款不同应用中均已检测到该银行木马。
• AhMyth – AhMyth 是一种远程访问木马 (RAT)，于 2017 年被发现，可通过应用商店和各种网站上的 Android 应用进行传播。当用户安装这些受感染的应用后，该恶意软件便可从设备收集敏感信息，并执行键盘记录、屏幕截图、发送短信和激活摄像头等操作，这些操作通常用于窃取敏感信息。

Check Point《全球威胁影响指数》及其《ThreatCloud 路线图》基于 Check Point ThreatCloud 情报数据撰写而成。ThreatCloud 提供的实时威胁情报来自于部署在全球网络、端点和移动设备上的数亿个传感器。AI 引擎和 Check Point 软件技术公司情报与研究部门 Check Point Research 的独家研究数据进一步丰富了这些情报内容。