2025年上半年恶意软件与漏洞趋势

核心观点

• 漏洞利用趋势：2025年上半年，披露的漏洞数量同比增长16%，其中161个漏洞被积极利用。Microsoft产品和边缘安全设备是漏洞利用的主要目标，超过一半的漏洞利用活动由国家支持的组织驱动。国家支持的组织利用漏洞进行间谍活动、网络监控和地缘政治目标，而财务动机的群体则利用漏洞进行盗窃和欺诈。
• 恶意软件趋势：远程访问木马（RATs）如XWorm和Remcos在H1 2024年超过了信息窃取器，成为主要的持久访问和数据盗窃工具。勒索软件组织采用了新的附属模型和规避策略，例如ClickFix社会工程学、EDR规避技术和定制有效载荷。移动恶意软件威胁持续增长，Android银行木马采用叠加攻击和NFC中继攻击进行现实世界的欺诈。
• 关键数据：23,667个CVE被发布，其中161个被积极利用。69%的漏洞无需身份验证即可利用，近三分之一启用了远程代码执行（RCE）。Microsoft产品占所有积极利用漏洞的17%，边缘安全设备也占17%。
• 研究结论：威胁格局不仅正在扩大，而且正在碎片化。防御者必须优先修补互联网面向的系统，特别是网关和边缘安全产品，并扩展检测能力，以应对不断变化的威胁。

漏洞利用趋势

• Microsoft成为主要目标：Microsoft产品是积极利用漏洞最多的供应商，其中Windows漏洞占20个。攻击者优先考虑广泛部署的系统中的漏洞，以最大化潜在受害者。
• 边缘安全设备受关注：17%的积极利用漏洞影响边缘安全设备和网关设备，例如SSL VPN和下一代防火墙。这些设备终止VPN、解密流量并在网络之间建立信任，因此成为攻击者的首选目标。
• 国家支持的组织积极参与：近53%的观察到的漏洞利用活动由国家支持的组织驱动，这表明这些威胁具有战略意义，并针对特定行业或高价值系统。
• 漏洞利用方式：151个漏洞被用于部署恶意软件，其中73个与勒索软件部署有关。后门是所有后渗透活动中最常见的恶意软件类型。

恶意软件趋势

• 传统恶意软件卷土重来：Sality和Tofsee等传统恶意软件家族重新出现，表明旧的工具仍然对现代攻击者有用。
• RATs成为主要工具：AsyncRAT、XWorm和Remcos等商品RAT在C2检测中很突出，这表明攻击者更喜欢支持持久访问和数据盗窃的工具。
• 勒索软件组织采用新策略：勒索软件组织采用了新的攻击链策略，例如ClickFix社会工程学、EDR规避技术和定制有效载荷。
• 移动恶意软件持续增长：Insikt Group确定了H1 2025年至少11种新的恶意软件菌株，包括RATs、信息窃取器、间谍软件和RATs。

移动恶意软件

• 不断扩大的威胁格局：移动威胁格局在H1 2025年继续扩大。Insikt Group确定了至少11种新的恶意软件菌株，包括RATs、信息窃取器和间谍软件。
• 攻击者利用多种分发方法：攻击者依赖长期存在的TTPs来交付移动恶意软件，主要是将社会工程学策略（如网络钓鱼和vishing）与虚假下载和品牌仿冒相结合，诱骗受害者安装恶意APK。
• 可访问性服务被滥用：Android恶意软件滥用可访问性服务来窃取敏感信息、拦截短信和推送通知、进行键盘记录、屏幕和音频录制以及基于OCR的图像扫描。
• 无接触支付受到威胁：SuperCard X的 emergence表明，移动恶意软件对无接触支付系统的威胁正在增加。该恶意软件通过诱骗受害者将接触less 卡片轻触受感染的手机来执行NFC中继欺诈。

勒索软件

• 勒索软件格局发生变化：勒索软件格局在H1 2025年继续演变，CL0P在2024年相对平静后回归，并采用了Cleo管理文件传输（MFT）数据盗窃活动。
• 附属模型兴起：勒索软件组织进一步依赖附属模型，为新的参与者提供现成的有效载荷和基础设施，从而降低进入门槛。
• 新的攻击策略：勒索软件组织采用了新的攻击链策略，包括初始访问、防御规避和恶意软件部署。

魔盗软件

• 感染量保持高位：H1 2025年，魔盗软件感染量保持在高位，尽管略有下降，但仍然远高于2024年初的水平。
• 攻击者采用新平台和技术：魔盗软件攻击者继续利用恶意软件套件和策略，并将攻击范围扩展到新的平台，例如WooCommerce。
• 规避检测：魔盗软件攻击者使用更隐蔽的加载方法来规避检测，例如使用Google Tag Manager容器加载虚假CSS文件。

应对措施

• 漏洞利用：使用漏洞情报、攻击面情报、资产和暴露项库存、敏捷补丁管理和强化互联网面向和安全设备。
• 恶意软件入侵：使用狩猎包、EDR启发式和行为分析、应用程序允许列表和脚本控制以及员工教育。
• 魔盗软件攻击：使用支付欺诈情报、定期安全审计和漏洞扫描、内容安全策略（CSP）、第三方集成监控以及执行PCI DSS 4.0要求。