权威发布！ 开发人员需要关注的 11 种顶级恶意软件

美国网络安全和基础设施安全局（CISA）和澳大利亚网络安全中心（ACSC）进行了一项关于恶意软件的联合网络安全咨询调查，在报告中详细介绍了 2021 年最常见的 11 种恶意软件，包括远程访问木马、银行木马、信息窃取程序和勒索软件。

恶意软件开发人员受益于利润丰厚的网络运营和负面后果风险低，因此在几年内持续支持、改进和分发他们的恶意软件。TrickBot 是唯一被 CISA 及其澳大利亚网络安全行业同时挑选出来的恶意软件，这是一个由一群恶意行为者共同开发和运营的恶意软件，恶意攻击者经常使用它来部署 Conti 勒索软件。FBI 将 Conti 勒索软件描述为“有史以来最昂贵的勒索软件”，同时 CISA 表示 Conti 已经演变成一种高度模块化的多阶段恶意软件。

为了缓解恶意软件相关的威胁和风险，CISA 建议企业保持软件升级至最新版本，防止利用漏洞、实施和执行多因素身份验证、保护和监控远程桌面协议和其他风险服务、保护离线备份并提供用户安全培训和安全意识教育。

Agent Tesla

Agent Tesla 能够从邮件客户端、Web 浏览器和文件传输协议（FTP）服务器窃取数据。该恶意软件还可以捕获屏幕截图、视频和 Windows 剪贴板数据。Agent Tesla 伪装成管理个人电脑的工具，可以在线购买。该软件的开发人员持续添加新功能，包括混淆功能和针对凭据窃取的其他应用程序。

活跃时间 : 2014 年

恶意软件类型：RAT

传播方式：作为网络钓鱼电子邮件中的恶意附件

资源：请见参考链接 1

AZORult

AZORult 用于从受感染的系统中窃取信息。此恶意软件已在黑客论坛上出售，用于窃取浏览器数据、用户凭据和加密货币信息。

活跃时间：2016 年

恶意软件类型：木马

传播方式：网络钓鱼、被攻击的网站、漏洞利用工具包（利用已知软件漏洞的自动化工具包），或通过下载和安装 AZORult

资源：请见参考链接 2

FormBook

FormBook 是在黑客论坛上宣传的信息窃取程序。FormBook 能够记录和捕获浏览器或电子邮件客户端密码，其开发人员继续更新恶意软件以利用最新的常见漏洞和暴露 (CVS)，例如 CVE-2021-40444 Microsoft MSHTML 远程代码执行漏洞。

活跃时间：2016 年

恶意软件类型：木马

传播方式：作为钓鱼邮件的附件

资源：请见参考链接 3

Ursnif

Ursnif 是一种窃取金融信息的银行木马。Ursnif 也被称为 Gozi，多年来已经发展到包括持久性机制、规避沙盒和虚拟机检测，以及搜索磁盘加密软件提取密钥并访问用户隐藏文件的能力，截至 2022 年 7 月，Ursnif 基础设施仍处于活跃状态。

活跃时间：自 2007 年至今

恶意软件类型：木马

传播方式：作为钓鱼邮件的恶意附件

资源：请见参考链接 4

LokiBot

LokiBot 是一种木马恶意软件，用于窃取敏感信息，包括用户凭据、加密货币钱包和其他凭据。2020 LokiBot 变体伪装成游戏安全程序文件。

活跃时间：2015 年

恶意软件类型：木马

传播方式：作为恶意电子邮件附件

资源：请见参考链接 5

MOUSEISLAND

MOUSEISLAND 是一个 Microsoft Word 宏下载器，并通过附在网络钓鱼电子邮件中的受密码保护的 ZIP 传播。MOUSEISLAND 可能是勒索软件攻击的初始阶段。

活跃时间：2019 年

恶意软件类型：宏下载器

传播方式：通常作为电子邮件附件

资源：请参阅链接 6

NanoCore

NanoCore 用于窃取用户隐私信息，包括密码和电子邮件。NanoCore 还可能允许恶意用户激活计算机的网络摄像头来监视受害者。恶意软件开发人员持续开发附加功能，作为可购买的插件或恶意软件工具包，在恶意网络攻击者之间共享。

活跃时间：2013 年

恶意软件类型：RAT

传播方式：在电子邮件中作为恶意 ZIP 文件中的 ISO 磁盘镜像，或在云存储服务上托管恶意 PDF 文档

资源：请参阅链接 7

Qakbot

最初被视为银行木马，Qakbot 的功能已发展到包括执行侦察、横向移动、收集和泄露数据以及交付有效负载。Qakbot 也称为 QBot 或 Pinksllot，本质上是模块化，使恶意网络攻击者能够根据自己的需要对其进行配置。Qakbot 也可用于形成僵尸网络。

活跃时间：2007 年

恶意软件类型：木马

传播方式：通过电子邮件以恶意附件、超链接或嵌入图像的形式

资源：请参阅链接 8

Remcos

Remcos 本身是一种闭源工具，作为用于远程管理和渗透测试的合法软件工具进行销售。Remcos 是 Remote Control and Surveillance 的缩写。在疫情期间，Remco 被恶意网络攻击者利用，进行大规模网络钓鱼活动来窃取个人数据和凭据。恶意攻击者利用 Remcos 在目标系统上安装了一个后门软件，然后使用 Remcos 后门发出命令并获得管理员权限，同时绕过防病毒产品并通过将自身注入 Windows 进程进行运行。

活跃时间： 2016 年

恶意软件类型：RAT

传播方式：在钓鱼邮件中作为恶意附件

资源：请参阅链接 9

TrickBot

TrickBot 恶意软件通常用于形成僵尸网络、启用 Conti 勒索软件或 Ryuk 银行木马的初始访问权限。TrickBot 由一群恶意网络攻击者共同开发和运营，并已演变为高度模块化的多阶段恶意软件。2020 年，网络犯罪分子使用 TrickBot 攻击美国国家医疗保健和公共卫生 (HPH) 部门 ，然后发起勒索软件攻击、泄露数据或破坏医疗保健服务。据悉，TrickBot 的基础设施在 2022 年 7 月仍处于活跃状态。

活跃时间：2016 年

恶意软件类型：木马

传播方式：通过电子邮件作为超链接

资源： 请参阅链接 10

GootLoader

GootLoader 是一个与 GootKit 恶意软件相关的恶意软件加载程序。随着其开发人员更新其功能，GootLoader 已从下载恶意负载的加载程序演变为多负载恶意软件平台。作为加载程序恶意软件，GootLoader 通常是系统入侵的第一阶段。通过利用搜索引擎中毒，GootLoader 的开发人员可能会破坏或创建在搜索引擎结果（例如 Google 搜索结果）中排名靠前的网站。

活动时间：2020 年

恶意软件类型：加载程序

传播方式：在搜索引擎结果排名靠前的受感染网站上下载恶意文件

资源： 请参阅链接 11