权威发布！开发人员需要关注的11种顶级恶意软件

美国 络安全和基础设施安全局（CISA）和澳大利亚 络安全中心（ACSC）进行了一项关于恶意软件的联合 络安全咨询调查，在 告中详细介绍了2021年最常见的11种恶意软件，包括远程访问木马、银行木马、信息窃取程序和勒索软件。

恶意软件开发人员受益于利润丰厚的 络运营和负面后果风险低，因此在几年内持续支持、改进和分发他们的恶意软件。TrickBot 是唯一被 CISA 及其澳大利亚 络安全行业同时挑选出来的恶意软件，这是一个由一群恶意行为者共同开发和运营的恶意软件，恶意攻击者经常使用它来部署 Conti 勒索软件。FBI 将 Conti 勒索软件描述为“有史以来最昂贵的勒索软件”，同时 CISA 表示 Conti 已经演变成一种高度模块化的多阶段恶意软件。

为了缓解恶意软件相关的威胁和风险，CISA 建议企业保持软件升级至最新版本，防止利用漏洞、实施和执行多因素身份验证、保护和监控远程桌面协议和其他风险服务、保护离线备份并提供用户安全培训和安全意识教育。

Agent Tesla

Agent Tesla 能够从邮件客户端、Web 浏览器和文件传输协议（FTP）服务器窃取数据。该恶意软件还可以捕获屏幕截图、视频和 Windows 剪贴板数据。Agent Tesla 伪装成管理个人电脑的工具，可以在线购买。该软件的开发人员持续添加新功能，包括混淆功能和针对凭据窃取的其他应用程序。

AZORult

AZORult 用于从受感染的系统中窃取信息。此恶意软件已在黑客论坛上出售，用于窃取浏览器数据、用户凭据和加密货币信息。

FormBook

FormBook 是在黑客论坛上宣传的信息窃取程序。FormBook 能够记录和捕获浏览器或电子邮件客户端密码，其开发人员继续更新恶意软件以利用最新的常见漏洞和暴露 (CVS)，例如 CVE-2021-40444 Microsoft MSHTML 远程代码执行漏洞。

Ursnif

Ursnif 是一种窃取金融信息的银行木马。Ursnif 也被称为 Gozi，多年来已经发展到包括持久性机制、规避沙盒和虚拟机检测，以及搜索磁盘加密软件提取密钥并访问用户隐藏文件的能力，截至 2022 年 7 月，Ursnif 基础设施仍处于活跃状态。

LokiBot

LokiBot 是一种木马恶意软件，用于窃取敏感信息，包括用户凭据、加密货币钱包和其他凭据。2020 LokiBot 变体伪装成游戏安全程序文件。

MOUSEISLAND

MOUSEISLAND 是一个 Microsoft Word 宏下载器，并通过附在 络钓鱼电子邮件中的受密码保护的 ZIP 传播。MOUSEISLAND 可能是勒索软件攻击的初始阶段。

NanoCore

NanoCore 用于窃取用户隐私信息，包括密码和电子邮件。NanoCore 还可能允许恶意用户激活计算机的 络摄像头来监视受害者。恶意软件开发人员持续开发附加功能，作为可购买的插件或恶意软件工具包，在恶意 络攻击者之间共享。

Qakbot

最初被视为银行木马，Qakbot 的功能已发展到包括执行侦察、横向移动、收集和泄露数据以及交付有效负载。Qakbot 也称为 QBot 或 Pinksllot，本质上是模块化，使恶意 络攻击者能够根据自己的需要对其进行配置。Qakbot 也可用于形成僵尸 络。

Remcos

Remcos 本身是一种闭源工具，作为用于远程管理和渗透测试的合法软件工具进行销售。Remcos 是 Remote Control and Surveillance 的缩写。在疫情期间，Remco 被恶意 络攻击者利用，进行大规模 络钓鱼活动来窃取个人数据和凭据。恶意攻击者利用 Remcos 在目标系统上安装了一个后门软件，然后使用 Remcos 后门发出命令并获得管理员权限，同时绕过防病毒产品并通过将自身注入 Windows 进程进行运行。

TrickBot

TrickBot 恶意软件通常用于形成僵尸 络、启用 Conti 勒索软件或 Ryuk 银行木马的初始访问权限。TrickBot 由一群恶意 络攻击者共同开发和运营，并已演变为高度模块化的多阶段恶意软件。2020年， 络犯罪分子使用 TrickBot 攻击美国国家医疗保健和公共卫生 (HPH) 部门 ，然后发起勒索软件攻击、泄露数据或破坏医疗保健服务。据悉，TrickBot 的基础设施在2022年7月仍处于活跃状态。

GootLoader

GootLoader 是一个与 GootKit 恶意软件相关的恶意软件加载程序。随着其开发人员更新其功能，GootLoader 已从下载恶意负载的加载程序演变为多负载恶意软件平台。作为加载程序恶意软件，GootLoader 通常是系统入侵的第一阶段。通过利用搜索引擎中毒，GootLoader 的开发人员可能会破坏或创建在搜索引擎结果（例如 Google 搜索结果）中排名靠前的 站。

参考链接：

1. https://attack.mitre.org/versions/v11/software/S0331/
2. https://attack.mitre.org/versions/v11/software/S0344/
3. https://www.hhs.gov/sites/default/files/formbook-malware-phishing-campaigns.pdf
4. https://attack.mitre.org/versions/v11/software/S0386/
5. https://www.cisa.gov/uscert/ncas/alerts/aa20-266a
6. https://www.mandiant.com/resources/melting-unc2198-icedid-to-ransomware-operations
7. https://attack.mitre.org/versions/v11/software/S0336/
8. https://attack.mitre.org/versions/v11/software/S0650/
9. https://attack.mitre.org/versions/v11/software/S0332/

10.https://www.cisa.gov/uscert/ncas/alerts/aa21-076a

11.https://www.cyber.nj.gov/alerts-advisories/gootloader-malware-platform-uses-sophisticated-techniques-to-deliver-malware/