亞信安全：2017年勒索軟體與商業郵件欺騙將繼續蔓延

勒索軟體單年增長62%   物聯網攻擊、商業郵件欺騙（BEC）詐騙等威脅出現新動向

近日，雲與大資料安全的技術領導者亞信安全釋出了最新的安全威脅回顧與預測報告。報告指出，過去的一年是真正的勒索軟體之年，新的勒索軟體家族增長了748％，金融攻擊以及商業電子郵件欺騙（BEC）騙局越來越受歡迎。同時，亞信安全還對未來一年網路安全威脅呈現的新形勢進行預測：勒索軟體的攻擊手法和目標將更加多樣化，物聯網裝置在DDoS攻擊中將發揮重要作用，同時以企業為目標的安全攻擊也將更具威脅。

2016年-全球勒索軟體之年  資料洩漏與網路攻擊花樣翻新

【2015-2016  勒索軟體數量對比圖】

報告指出，在2016年，勒索軟體的泛濫最值得關注，據亞信安全網路監測實驗室統計顯示，2016年度共截獲勒索軟體數量22,144個，同比2015年增加62%。與此同時，勒索家族種類更是呈爆發式增長，其中影響較大的如：數量最龐大的 locky 勒索家族、破壞主開機記錄（MBR）的 PETYA 勒索軟體、不斷更新升級的 Cerber 勒索軟體等。

亞信安全CTO張偉欽指出：“鉅額的贖金收益是勒索軟體在本年度肆掠的直接原因。不法分子常常瞄準的是中小企業使用者、商務人士等高價值目標，因此有較高几率獲得高額贖金。而贖金往往以比特幣進行支付，整個流程難以被追蹤，也讓勒索軟體成為備受網路不法分子歡迎的攻擊方式。此外，勒索軟體新變種不斷產生，這使得傳統基於特徵碼的防護方式效用大減，不法分子可以通過魚叉式釣魚郵件、漏洞利用傳播、軟體捆綁安裝等方式進行廣泛傳播。”

除了勒索軟體，資料洩漏、金融攻擊也在2016年度成為熱點。其中，資料洩露的規模與威脅都有擴大的趨勢，例如2016年發生的 1.54 億美國選民資料被洩露、1.17 億 LinkedIn(領英)使用者資料在暗網被出售等，這些被洩露行為嚴重危害了公民個人隱私與企業的商業利益。而在金融攻擊方面，SWIFT 銀行劫案以及 ATM 病毒也給銀行業帶來巨大的震撼，犯罪份子瞄準 SWIFT 銀行間轉賬系統以及ATM系統的漏洞，對相關銀行實施攻擊和竊取，造成了鉅額資金的損失。

物聯網安全在2016年更是受到了廣泛的關注，家庭安全攝像頭、嬰兒監視器、胰島素泵、心臟起搏器、健身追蹤器、智慧手錶等智慧裝置在帶來便捷的同時也增添了很多安全隱患。尤為值得關注的是，2016年10月，黑客入侵、控制了全世界十多萬臺智慧硬體裝置，組成了殭屍網路，對美國網際網路域名解析服務商 DYN 進行 DDoS 攻擊，釀成了美國東海岸大面積網際網路斷網事件。

移動安全威脅處理數量逼近4000萬  賭博詐騙類網路詐騙爆發式增長

2016 年亞信安全對安卓平臺 APK 檔案的處理數量依舊呈上升趨勢。亞信安全2016年度處理數量已累計高達3,931 萬個，創歷史新高。在2016年，不法分子擅長假冒《Pokemon GO》等熱門手遊或者應用傳播惡意程式，不僅可能竊取使用者的手機號碼、簡訊等機密資訊，甚至還會植入勒索程式，加密手機中的檔案。而除了安卓平臺之外，iOS系統的威脅也不斷凸顯，2016年，蘋果 iOS 系統被曝出存在“三叉戟”0day 漏洞，可導致黑客遠端控制手機，讓使用者資訊在網路攻擊中完全處於開放狀態。

【安卓平臺APK處理數量走勢】

受幾起重大網路欺詐案件的影響，網路欺詐在2016年受到了前所未有的社會關注。2016 年亞信安全反釣魚系統共監測到網路欺詐釣魚網站共 217,072 個，其中金融釣魚網站及通訊類釣魚網站在本年度呈持續遞減趨勢，這與我們國家 2016 年出臺的多項網路安全政策密不可分，但賭博詐騙類的網路欺詐事件卻有了爆發式增長，這顯示網路詐騙的治理之路仍然任重而道遠。

【2016 年度網路詐騙網站數量統計圖】

在2016年度，亞信安全監測發現的廠商漏洞發生了新的變化。其中，蘋果的漏洞增加了188％，而微軟漏洞則減少了47％。此外，網路罪犯還更加傾向利用漏洞工具包等方式來發動更有效率的攻擊。

2017年安全威脅形勢更趨複雜  勒索軟體、物聯網攻擊或將繼續肆虐

亞信安全預測，2017年勒索軟體家族數量將會增長 25%，雖然在數量上增長趨於平穩，但平穩的背後將會推動網路競爭多樣化，觸及更多的潛在受害者和更大的目標。不僅非桌面計算機終端 PoS 系統或者 ATM 將會遭受勒索攻擊，針對工業環境的勒索軟體以及物聯網攻擊也將呈現更大的破壞性。因此，提高勒索軟體檢測技術對於企業來說顯得尤為重要。張偉欽表示：“隨著威脅逐漸多樣化和複雜化，網路罪犯的目標已經從主要針對個人轉移到企業，新的一年這個趨勢不會改變，所以企業應該領先一步，防範潛在的攻擊。”

隨著物聯網在2017年持續普及與發展，物聯網裝置也將在 DDoS 攻擊中扮演更為重要的角色，從而成為黑客重點針對的目標，殭屍網路將不斷的製造“黑色能源”來延續他們的生命週期。同時，企業逐步將物聯網裝置引入工業生產（如製造產業和能源生產），監控和資料採集(CSADA)等系統漏洞的數量將隨著被黑客關注程度的提升而不斷增加，黑客將想方設法利用這些漏洞，工業物聯網裝置系統攻擊將因此更具針對性。

與計劃周密的網路詐騙相比，簡單有效的商務電子郵件詐騙（BEC）卻更易為不法分子帶來豐厚的收益。亞信安全預測 BEC 攻擊，特別是 CEO 欺詐，將在2017年成為網路罪犯的新寵。因其犯罪成本低廉，不需要太多的基礎設施，一旦成功將會獲得巨大經濟利益（一次成功的 BEC 攻擊的平均支付價格一般是 14 萬美元），這對不法分子的誘惑巨大。而且，BEC 攻擊很難被檢測出來，因為其攻擊郵件不包含惡意載體或惡意二進位制檔案, 這對企業的網路安全防範能力構成了巨大的挑戰。

亞信安全預測的2017年安全威脅還包括以下內容：

• 商業流程入侵（BPC）使網路犯罪分子將目標轉向公司薄弱的環節，獲取經濟利益。

• 隨著更多的使用者選擇智慧手機和專業級平板電腦，微軟的 PC 出貨量逐步下降，這讓攻擊者傾向於轉移目標，2016 年，Adobe 在 漏洞發現數量上首次超過微軟，蘋果平臺漏洞也在增長。而在2017年，這一趨勢將繼續發展，Adobe 和蘋果漏洞將超過微軟。

• 由於網站缺乏嚴格的資訊審查，導致虛假網站氾濫、虛假宣傳氾濫，因此網路宣傳在2017年將趨於規範化。

• 《通用資料保護條例》是歐盟對資料隱私要求的回應，其強制政策和業務流程的變化，受影響的公司將會大幅提高行政成本。

• 攻擊者的行為將針對不同國家，不同組織來調整他們工具、策略、流程（TPPs）的能力，亞信安全預計新的不可預估的技術將會在未來的定向攻擊中顯現出來。

企業應該如何應對2017即將呈現的巨大網路威脅，張偉欽表示：“雖然總體來說，2017年的網路安全威脅將會更加‘聰明’，黑客攻擊的廣度和深度都將擴大，攻擊手法也將順應科技潮流而朝多樣化發展。但是，我們的應對策略也將通過構建3C+AI的產品戰略迎接不斷演進的威脅挑戰，3C包括雲安全（Cloud）、APT安全戰略（Cyber），和終端安全戰略（Consumerization），AI即人工智慧，以此來幫助企業使用者保護寶貴的數字資產。”

本文出處：暢享網
本文來自雲棲社群合作伙伴暢享網，瞭解相關資訊可以關注vsharing.com網站。