网络安全威胁2024年度报告

国内威胁态势：广东省受境外 APT 攻击最为突出，其次是浙江、上海、北京、江苏等地。科研教育、信息技术、制造、政府机构是主要受害行业。奇安信红雨滴团队追踪了多个活跃的 APT 和 UTG 组织，包括 DarkHotel、UTG-Q-015、海莲花、伪猎者、虎木槿、蔓灵花、摩诃草等。
全球威胁态势：全球 APT 活动主要针对政府部门、国防军事、金融行业。乌克兰、中国、美国、以色列、韩国是主要受害地区。提及率排名前五的 APT 组织为 Kimsuky、Lazarus、摩诃草、APT28、C-Major。
各地区活跃 APT 组织：东亚地区以 Lazarus、Kimsuky、Konni、APT37、DarkHotel 等组织为主；东南亚地区以海莲花、Saaiwc、Ducktail 等组织为主；南亚地区以 Mysterious Elephant、SideCopy、响尾蛇、透明部落、肚脑虫、魔罗桫等组织为主；中东地区以 APT35、MuddyWater、APT33、双尾蝎、WIRTE 等组织为主；其他地区如南美、北非、欧洲、北美等地区也存在多个活跃的 APT 组织。

全球勒索攻击活动：全球勒索攻击活动频繁，攻击对象覆盖多个平台，包括 Windows、Linux、macOS、FreeBSD 等，VMware ESXi 虚拟化和云环境也成为目标。
攻击手法：攻击者使用多种方式进行初始入侵，包括暴力破解登录密码、网络钓鱼邮件传播恶意软件、利用合法身份凭证、使用社会工程学手段等。
攻击特点：部分勒索攻击以对目标组织的破坏性攻击为目的，甚至涉及国家背景的 APT 组织。攻击团伙之间存在复杂的关系，例如相互合作、共享攻击工具、衍生分支机构等。勒索攻击涉及多种平台和环境，包括 Windows、Linux、macOS、FreeBSD、VMware ESXi 虚拟化和云环境。

活跃黑产团伙：银狐木马黑产团伙、FaCai、GanbRun、DragonRank 是下半年影响国内的活跃互联网黑产团伙。
银狐木马与 UTG-Q-1000：UTG-Q-1000 是使用银狐木马的黑产团伙，其攻击活动与此前多个安全厂商命名的“毒鼠”、“游蛇”、“谷堕大盗”、“索伦”黑产攻击活动存在关联。
FaCai：FaCai 团伙通过钓鱼攻击、搭建虚假软件下载站点等方式传播木马，并使用 GrimResource 攻击技术。
GanbRun：GanbRun 团伙主要通过网络钓鱼邮件发动攻击，诱骗受害者扫描二维码，从而窃取敏感信息或进行挖矿活动。
DragonRank：DragonRank 团伙提供恶意 SEO 服务，通过入侵合法网站并植入恶意软件，提升被推广的第三方网站的搜索引擎排名。

Chrome 漏洞利用：Chrome 浏览器仍是攻击者热衷的浏览器攻击向量，但 Google 安全研究人员的努力使得 2024 年下半年 Chrome 漏洞数量大幅下滑。
边界设备漏洞利用：攻击者将目标转向防火墙、VPN 等边界设备，以较小的攻击成本换来巨大的收益。
PHP CGI 漏洞利用：PHP CGI 漏洞 CVE-2024-4577 被利用，暴露了漏洞补丁修复可能随着计算机技术的发展而失效的问题。
XZ Utils 漏洞利用：XZ Utils 漏洞 CVE-2024-3094 被利用，暴露了开源软件安全性的问题。
Firefox 漏洞利用：Firefox 漏洞 CVE-2024-9680/CVE-2024-49039 被利用，实现了浏览器全链路攻击。
国产软件漏洞利用：WPS 办公软件成为多个攻击组织的目标，多次被利用。
漏洞军火商：漏洞军火商成为 0day 市场背后最大的供应商，增加了安全厂商溯源威胁的实际难度，也降低了攻击团伙的技术要求。
厂商的努力：微软、Google、苹果三家厂商通过不断的努力顶住了自 2021 年爆发的 0day 狂潮，并隐隐有了反攻的趋势。

攻击花样层出不穷，安全对抗持续升级：攻击者积极挖掘新攻击面并更新技战术，恶意软件的快速迭代和跨平台攻击的增加对防御者提出了新的挑战。
AI 于网络威胁中初展锋芒：AI 技术的发展带来了新的攻击手段和挑战，如用 AI 生成的误导信息内容、AI 本身引入的软件漏洞、以及 AI 伪造的有效图片等。
Nday 漏洞投入实际攻击场景的时间开始大幅减少：攻击者加快开发漏洞利用代码（EXP），Nday 漏洞投入实际攻击场景的时间开始大幅减少。
APT 与网络犯罪的界限越发模糊：一些 APT 相关攻击活动开始频繁使用网络犯罪的工具及策略，导致 APT 与网络犯罪二者间的界限越发模糊。