浅谈2023年10种新兴威胁趋势和黑客攻击手法

2023年，网络威胁领域呈现出一些新的发展趋势，攻击类型趋于多样化，例如：从MOVEit攻击可以看出勒索攻击者开始抛弃基于加密的勒索软件，转向窃取数据进行勒索；同时，攻击者们还减少了对传统恶意软件的依赖，转向利用远程监控和管理（RMM）等合法工具；此外，为了绕过端点检测和响应（EDR）的防护，基于身份的攻击还在继续激增。

日前，专业网络媒体CRN访谈了Huntress、CrowdStrike、Zscaler、Mandiant、Microsoft和Cisco等多家公司的专业安全研究人员，并整理出当前值得关注的10种新兴威胁趋势和黑客攻击手法，涉及了网络钓鱼和社会工程、数据窃取和勒索以及软件供应链攻击等多个方面。

01

最小破坏性攻击

安全研究人员发现，今天的攻击者更加关注窃取数据和获取利益，因此他们在实施网络攻击时，会尽量避免给受害者带来严重的破坏，因此不再使用大范围加密数据的攻击模式，而是选择最小破坏性的攻击手法。

研究人员甚至发现，一些攻击者在进行攻击的同时，还会将自己重新塑造成一种“安全顾问”的角色。一些勒索软件攻击者在完成勒索攻击后，甚至还推出了“安全顾问服务”，他们会为被攻击的企业提供付费版安全性审计报告，概述如何更有效地保护企业网络系统环境。通过这些方式，攻击者似乎在向受害者表明，他们其实是在“帮助”企业，而不是在搞破坏。

02

新型勒索软件攻击

2023年网络威胁领域的一个新动向是，由于获得了访问泄露源代码和应用构建工具的权限，各大勒索攻击团伙开始不断改进攻击手法和模式，使得新一代勒索软件攻击变得更加复杂和更有针对性。在面对新型勒索软件攻击时，大多数企业组织会处于极度弱势，根本难以招架。美国联邦调查局（FBI）在9月份发出警告，提醒企业组织关注勒索软件威胁出现了两个新趋势，第一个新趋势是威胁组织对同一受害者接连进行多次勒索软件攻击，并且攻击时间挨得很近。这类攻击通常会部署多种不同的勒索软件变体；第二个新趋势是，勒索软件威胁分子在攻击过程中采用新的手法来破坏数据，部署擦除器工具，试图向受害者施压。

03

向受害者更大施压

攻击者们普遍认为，只有向受害企业实施更大的压力，他们才会更好满足自己提出的赎金要求。以勒索犯罪组织Clop为例，该组织实施了今年最大规模勒索攻击之一的MOVEitluo活动。在攻击活动中，Clop一直在尝试不同的方法来发布和推送这些信息。最传统的方式是在开放的互联网上搭建泄密网站，但这类网站很容易被识别和阻止，因此攻击者们开始提供被盗数据种子文件，并采用去中心化的分发系统，这些种子文件更难被删除，而且下载起来更快。

04

为了利益的结盟合作

在最近针对赌场运营商米高梅（MGM）和凯撒娱乐的攻击活动中，研究人员发现了许多令人担忧的因素，攻击者不仅利用社会工程伎俩欺骗了IT服务台，成功获取到非法的访问权限，同时，另一个更加令人不安的动向是，两起攻击事件的背后都有多个攻击组织的合作，包括讲英语的Scattered Spider黑客组织与讲俄语的Alphv勒索软件团伙。Scattered Spider使用了由Alphv提供的BlackCat勒索软件，而Alphv团伙的成员之前隶属DarkSide，该组织是Colonial Pipeline攻击的幕后黑手。欧美的黑客组织与讲俄语的黑客组织结盟合作在之前非常罕见，这或许会促使网络攻击的威胁态势往令人不安的新方向发展。

05

针对虚拟设备的RaaS

据研究人员观察，勒索软件即服务（RaaS）已经将目标移到了VMware流行的ESXi虚拟机管理程序。2023年4月，一个名为MichaelKors的新RaaS团伙为其加盟者提供了针对Windows和ESXi/Linux系统的勒索软件二进制文件。使用专门针对ESXi的RaaS平台成为越来越吸引网络犯罪分子的新目标，原因是这些虚拟设备上缺少安全工具、对ESXi接口缺乏足够的网络分段，同时，大量的ESXi漏洞也让攻击者更容易得手。

06

生成式AI威胁

基于生成式AI的网络攻击是一种非常新的威胁，它们带来了诸多众所周知的安全风险，其中之一是降低了恶意分子的攻击门槛，比如黑客通过使用OpenAI撰写出更逼真的网络钓鱼邮件。

安全研究人员还发现了专门供恶意黑客及其他犯罪分子使用的生成式AI工具，包括WormGPT、FraudGPT和DarkGPT。甚至连ChatGPT本身也可以为黑客提供重要帮助，比如为非英语母语人群改善语法。目前，还没有有效的防护措施来阻止基于生成式AI的攻击威胁。

07

深度伪造工具

深度伪造被视为潜在的安全威胁已有一段时日，它们可以成功地欺骗受害者。这个领域最近的一个动向是出现了为网络钓鱼设计的深度伪造视频制作软件。8月中旬，Mandiant的研究人员在地下论坛看到了宣传这种软件的广告。该软件旨在通过使用深度伪造功能，帮助恶意团伙看起来更加个性化。这是目前发现的首款专为网络钓鱼骗局设计的深度伪造视频技术。

同时，音频深度伪造在2023年也开始兴风作浪，一方面是由于语音克隆软件日益普及。音频深度伪造也被广泛用于转账骗局。这个领域更严重的威胁是，攻击者可能最终能够实现实时语音深度伪造，从而能够以最小的延迟将自己的声音转换成克隆的声音。

08

利用Teams的网络钓鱼

2023年，安全研究人员发现了利用微软Teams的攻击活动。攻击者使用了受攻击的微软365账户进行网络钓鱼攻击，使用Teams消息发送诱饵来引诱用户，并确保多因素身份验证（MFA）提示获得批准，从目标组织窃取凭据。研究人员表示，这个名为Midnight Blizzard的组织很可能在基于Teams的攻击中达成目标。

9月初，Truesec公司调查了另一起使用Teams网络钓鱼邮件分发附件的活动，该活动旨在安装DarkGate Loader恶意软件，而这个恶意软件可用于从事诸多恶意活动（包括部署勒索软件）。

同样在9月份，一个编号为Storm-0324的网络犯罪组织使用开源工具分发攻击载荷时，通过微软Teams聊天发送网络钓鱼诱饵。不过这些攻击与使用Teams的Midnight Blizzard活动无关，它们的目的主要是为了获得初始访问权限以从事恶意活动，比如部署勒索软件。

09

双重供应链攻击

2023年3月，应用广泛的通信软件开发商3CX遭受了一次类似SolarWinds的严重供应链攻击。研究人员调查后发现，与过去的软件供应链攻击相比，3CX攻击的最大特点是双重供应链攻击，因为这是由早期的供应链攻击造成的，攻击者篡改了金融软件公司Trading Technologies分发的软件包，因此，可以认为是一起软件供应链攻击导致了另一起软件供应链攻击。研究人员特别指出，3CX攻击是在几周内而不是在几个月内被发现的，这似乎限制了这起事件给3CX及终端客户造成的影响。

10

升级版应付账款欺诈

应付账款欺诈指攻击者冒充供应商，向目标受害者发送使用自己账号的发票，这不是新骗局。然而，这种威胁目前有了一种更隐蔽的新变体，可以用来实施针对性很强的欺骗。攻击者会通过社会工程进入到受害者的邮件账户并篡改邮件规则，将企业收到的发票转发给自己并删除发票，防止受害者收到真正的发票。在此之后，攻击者就会篡改发票，添加其自己的账号，并再此发送给受害者。

编辑：黄飞