【内容分享】卡巴斯基年度汇报系列(四)-2018年僵尸网络威胁景观
颁布功夫 2019-04-27一、统计数据
2018年卡巴斯基僵尸网络监测技术共监测到15314次攻击，比2017年的20009次削减23.46% 。
此表，2018年39.35%的攻击都是新出现的，即攻击指标和僵尸木马家族都未在2017年出现过 。这种情况与新出现的银行木马（Danabot和BackSwap）有关，也与攻击者试图扭转攻击指标领域有关 。
在攻击的地理散布方面，2017年攻击者的指标覆盖了111个国度；而在2018年则削减至101个国度 。
二、引言
正如媒体所宽泛报路的，Mirai等僵尸网络重要与DDoS攻击有关 。但这只是冰山一角，除了DDoS攻击之表，僵尸网络还可用于窃取用户的信息，如财政数据等 。常见的攻击场景如下：
2. 恶意软件接受C&C的号令，其中蕴含指标匹配规定（例如在线银行服务的URL）等攻击所需的数据 。
3. 接受号令后，恶意软件监测用户的行为并在用户接见指标服务时提议攻击 。
? Web注入
? URL糊弄
? DNS糊弄
? 数据网络（访客统计、接见过的网页数据、屏幕截图）
? 窃取用户痛处
? 窃取银行卡数据
? 代替买卖地址（例如银行转账的收款人）
? 在用户不知情的情况下以用户的名义执行其它操作
这些场景不仅合用于窃取用户的银行账户，也合用于窃取其它服务的账户，下文中将有更多描述 。
三、钻研步骤
卡巴斯基通过僵尸网络监测技术跟踪僵尸网络的行为，这种技术能够仿照受习染的设备并监测攻击者的实时行为 。
通过拦截和分析僵尸网络的配置文件和C&C号令，本汇报涵盖了2017年和2018年僵尸网络监测技术网络到的数据 。
汇报中的攻击指标是从僵尸网络配置文件或C&C号令中提取的URL规定（例如，用于匹配指定在线银行服务URL的规定） 。
C&C号令中蕴含的指标匹配规定示例
汇报中一次单独的攻击是指指标匹配规定和恶意软件家族（及变体）都是唯一的 。其它数据（注入剧本、加密钱币钱包地址代替规定、URL代替规定、沉定向规定、痛处拦截模式等）并未推算在内 。
分析样本中排除了与反恶意软件厂商的资源有关的攻击，由于此类攻击通常采取了肯定的反安全措施（例如阻止下载安全解决规划） 。此表还排除了无法从指标匹配规定中确认攻击指标的攻击，例如，BetaBot的指标是“* bank *” 。
汇报中仅思考了分歧攻击的数量，并未思考分歧僵尸网络家族的攻击总数，由于分歧家族接受C&C号令的频率分歧 。
本汇报涵盖了超过6万个C&C及150个恶意软件家族（及其变体）的分析了局 。
四、攻击指标
首先分析犯罪分子偏心的攻击指标是哪些企业的客户 。
2017年，受攻击指标中占比最大的是金融服务类别（77.44%），这蕴含在线银行服务、聚合银行服务、在线商店以及其它与金融买卖（不蕴含加密钱币）有关的资源 。这一了局在意料之中，由于犯罪分子可直接获得受害者财政资金的接见权，从而潜在收益最大 。
第二名是全球门户网站和社交网络类别（6.15%），其中蕴含搜索引擎、电子邮件服务和社交网络 。搜索引擎在这一类别中的原因是通常其主页提供了邮箱登录表单，这常被犯罪分子利用以窃取用户痛处 。
2018年攻击指标的类别散布
2018年前三名稍有扭转 。金融服务的攻击份额降落了3.51个百分点，至73.93% 。
2018年受攻击金融机构的域名散布地图
2018年僵尸网络攻击者对加密钱币的兴致有所增长：与加密钱币服务（买卖所、钱包等）有关的攻击数量增长了两倍多（增长了4.95个百分点），达7.25% 。
2018年针对加密钱币服务的僵尸木马家族
五、攻击指标的地理散布
请把稳：若是指标匹配规定蕴含一个国度的TLD（顶级域名），则该国度被列入统计数据 。若是该TLD无法匹配一个国度（例如.com），则该指标企业总部地点的国度被列入统计数据 。
2018年攻击指标国度排名的Top10扭转了挨次，该没有扭转成员 。与2017年一样，美国企业的客户成为最常受到攻击的指标 。
|
2017 |
2018 |
|||
|
1 |
美国 |
31.29% |
美国 |
34.84% |
|
2 |
德国 |
11.15% |
英国 |
9.97% |
|
3 |
英国 |
9.20% |
意大利 |
7.46% |
|
4 |
意大利 |
7.52% |
加拿大 |
6.16% |
|
5 |
加拿大 |
6.96% |
德国 |
3.88% |
|
6 |
澳大利亚 |
4.67% |
西班牙 |
3.14% |
|
7 |
法国 |
4.57% |
瑞士 |
3.04% |
|
8 |
西班牙 |
2.87% |
法国 |
3.02% |
|
9 |
中国 |
2.50% |
澳大利亚 |
2.29% |
|
10 |
瑞士 |
2.17% |
中国 |
2.11% |
2017年攻击指标的地理散布
此表，2018年针对澳大利亚企业客户的攻击份额从4.67%降落至2.29% 。险些所有针对澳大利亚的僵尸网络都削减了攻击数字 。例如，2018年银行木马Gozi的所有攻击活动中，针对澳大利亚金融机构的攻击次数险些为0 。但在2017年，超过90%的Gozi攻击都是针对澳大利亚 。
2018年攻击指标的地理散布
但也有坏新闻，很多恶意软件扩大了它们的攻击领域：2018年Trickster（TrickBot）的指标列表新增了不少于11个国度，同时SpyEye 木马和银行木马IcedID 别离增长了超过9个和5个国度 。
不出所料地，针对加密钱币服务用户的攻击最常产生在美国、卢森堡和中国 。这是由于很多加密钱币服务都在这些国度注册 。此表，2018年针对注册在英国、新加坡、爱沙尼亚、韩国和瑞士的服务的攻击数量也大幅增长 。
六、C&C地理散布
本幼节统计了僵尸网络C&C服务器的地理散布有关数据 。
2017年C&C的地理散布
2018年俄罗斯（29.61%）在C&C数量的排名中位列第一，其中超过一半（54%）的C&C中心属于银行木马Panda 。
2018年C&C的地理散布
七、最活跃家族
7.1 BetaBot
2018年BetaBot攻击指标的地理散布
? 地理散布：42个国度
? 受攻击最多的国度：美国（73.60％）、中国（6.35％）、英国（6.11％）
? 受攻击最多的组织类别：金融服务（37.43％）、全球门户网站和社交网络（18.16％）
7.2 Trickster (TrickBot)
重要特点（TrickBot的攻击份额）：
? 地理散布：65个国度
? 受攻击最多的国度：英国（11.02％）、美国（9.34％）、德国（7.99％）
? 受攻击最多的组织类别：金融服务（96.97％）、加密钱币服务（1.72％）
7.3 Panda
重要特点（Panda的攻击份额）：
? 地理散布：33个国度
? 受攻击最多的国度：加拿大（24.89％）、美国（22.93％）、意大利（17.90％）
? 受攻击最多的组织类别：金融服务（80.88％）、加密钱币服务（10.26％）
7.4 SpyEye
重要特点（SpyEye的攻击份额）：
? 地理散布：32个国度
? 受攻击最多的国度：美国（35.01％）、英国（14.38％）、德国（13.57％）
? 受攻击最多的组织类别：金融服务（98.04％）
7.5 Ramnit
重要特点（Ramnit的攻击份额）：
? 地理散布：66个国度
? 受攻击最多的国度：英国（25.70％）、美国（20.12％）、中国（7.78％）
? 受攻击最多的组织类别：金融服务（47.76％）、加密钱币服务（46.83％）
八、结论
? 总体攻击数量上的削减可能批注犯罪分子更偏差于使用覆盖单个组织大量资源的指标匹配规定，并且长功夫维持一致 。
? 绝大无数攻击依然对准金融机构及其客户 。
? 与2017年相比，针对加密钱币服务用户的攻击数量显著增长 。由于越来越多的僵尸网络在针对此类资源进行注入攻击，此类攻击的数量预计还会增长 。
? 新的指标匹配规定在增长 。犯罪分子在针对新的、以前未遭攻击的指标，并且批改旧的匹配规定以覆盖更多网站，从而窃取用户的数据及资金 。
原文链接：https://securelist.com/bots-and-botnets-in-2018/90091/
京公网安备11010802024551号