哪些恶意软件交付技术目前受到网络攻击者的青睐?

​跟上电子邮件威胁形势的变化

HP Wolf Security公司日前发布的2022年第二季度威胁洞察报告(提供了对现实世界网络攻击的分析)表明，包含恶意软件(包括LNK文件)的存档文件增加了11%。网络攻击者经常将快捷方式文件放在ZIP电子邮件附件中，以帮助他们避开电子邮件扫描程序的扫描。

该公司的调查还发现了可以在黑客论坛上购买的LNK恶意软件构建器，通过创建武器化的快捷文件并将其传播给受害者，网络犯罪分子可以很容易地转向这种“无宏”代码执行技术。

HP Wolf Security公司的威胁研究团队高级恶意软件分析师Alex Holland说，“企业现在必须采取措施，防范越来越受到网络攻击者青睐的技术，以免在它们变得普遍时让自己的数据对外泄露。我们建议尽可能立即阻止以电子邮件附件形式接收或从Web下载的快捷方式文件。”

除了LNK文件的增加之外，该公司威胁研究团队还强调了网络攻击者采用的以下的恶意软件传递/检测规避技术：

• HTML走私达到临界规模——惠普公司发现了几起网络钓鱼活动，可以利用电子邮件冒充区域邮政服务，或者利用像2023年多哈世博会(将吸引全球300多万名参与者)这样的重大活动，通过HTML走私恶意软件传递。使用这种技术，危险文件可能侵入到企业中，并导致恶意软件感染。
• 网络攻击者利用由Follina CVE-2022-30190零日漏洞创建的漏洞窗口——在该漏洞披露之后，一些威胁参与者利用了微软公司支持诊断工具(MSDT)中最近的零日漏洞(名称为“Follina”)，在补丁可用之前分发QakBot、Agent Tesla和Remcos RAT(远程访问木马)。该漏洞特别危险，因为它允许网络攻击者运行任意代码来部署恶意软件，并且几乎不需要用户交互就可以利用目标机器。
• 新的执行技术将隐藏在文档中的外壳代码传播到SVCReady恶意软件中——HP公司发现了一个新的名为SVCReady的恶意软件系列，该系列以其通过隐藏在Office文档属性中的外壳码这种不同寻常的方式传递到目标计算机上。该恶意软件主要用于在收集系统信息和截图之后将二级恶意软件有效载荷下载到受感染的计算机上，目前仍处于早期开发阶段，在最近几个月已经更新了几次。

调查报告中的其他主要发现还包括：

• HP Wolf Security公司捕获的14%的电子邮件恶意软件绕过了至少一个电子邮件网关扫描程序。
• 威胁攻击者使用593个不同的恶意软件试图攻击企业，而上一季度为545个。
• 电子表格仍然是最主要的恶意文件类型，但威胁研究团队发现存档威胁增加了11%，这表明网络攻击者越来越多地在发送文件之前将文件放在存档文件中，以逃避检测。
• 检测到的恶意软件中有69%是通过电子邮件传递的，而网络下载占17%。
• 最常见的网络钓鱼诱饵是商业交易，例如“订单”、“付款”、“购买”、“请求”和“发票”。

惠普公司个人系统全球安全主管Ian Pratt博士评论说，“网络攻击者正在快速测试新的恶意文件格式或漏洞以绕过检测，因此企业必须为出现的意外情况做好准备。这意味着采取一种架构方法来实现端点安全，例如通过包含电子邮件、浏览器和下载等最常见的攻击向量，从而隔离威胁，无论它们是否能够被检测到。

这将消除各种类型威胁的攻击面，同时也为企业提供了在不中断服务的情况下安全地协调补丁周期所需的时间。”