【汇报分享】卡巴斯基年度汇报系列（三）-2018年金融威胁景观
颁布功夫 2019-04-27一、汇报重点
垂钓攻击:
? 约1/5的垂钓网站攻击与金融垂钓有关。
? 2018年针对支付系统和在线商店的垂钓攻击占比别离为约14%和8.9%，比2017年略有降落（1个百分点）。
? Mac用户遭到的金融垂钓攻击轻微增长，占比约57.6％。
银行木马:
? 遭银行木马攻击的用户中24.1%为企业用户。
? 最常遭银行木马攻击的国度为俄罗斯、德国、印度、越南、意大利、美国和中国。
? Zbot和Gozi仍是传布最宽泛的银行木马家族（占比别离为超过26%和20%），其次是SpyEye （15.6%）。
Android银行木马:
? 三个银行木马家族主导了大无数攻击（约85%）。
? 受攻击用户比例最高的国度为俄罗斯、南非和美国。
二、引言
全球金融行业是犯罪分子的重要收入起源。固然当局和企业一向在投资新的防护技术，但犯罪分子也在致力于绕过它们。这推动了在线银行服务、支付系统、大型银行以及PoS终端等的刷新。
2018年金融行业的威胁景观产生了宽泛的变动，蕴含新的渗入技术、攻击向量以及地理散布的扩大。其中最有趣的或许是人们是若何受到侵害的。随着区块链和加密钱币的盛行，暗盘及白市上出现了很多新的支付伎俩 – 这吸引了犯罪分子确把稳力。
加密钱币是2018年最火热的话题。作为年度之星，它从勒索软件威胁的手中抢走了头条，并将安全社区的眼光转向了新的领域。当有效户急于使用加密钱币进行付款时 – 不用问，注定与犯罪分子有关。这种威胁拥有两种交付方式 – 静默挖矿的恶意软件，或是针对加密钱币基础设施的攻击（钱包、买卖所等）。即便是APT组织（如Roaming Mantis），也会试图挖矿，更不用说PowerGhost等恶意软件（根基上就是一个挖矿工具）。必须提及的是，2018年最为活跃的金融犯罪组织 - Lazarus极大地扩大了指标列表，此刻蕴含银杏注金融科技公司、PoS终端、ATM以及加密钱币买卖所。
在夏季，一个有趣的案例也证了然这一点 – Lazarus被发现使用一个虚伪的装置法式与macOS恶意软件攻击了一个加密钱币买卖所。在这个案例中，犯罪分子创建了看似合法的软件，还实现了合法的职能，但该软件也会上传一个后门。这种类型的攻击 – 供给链攻击 – 成为2018年的另一个重要话题。它也是2018年最有创造性的攻击之一。
然而数月之后，安全社区再一次被震惊：即便是传统的、有经验的金融机构也会受到侵害。12月份卡巴斯基披露了攻击活动DarkVishnya – 这是针对东欧金融机构的一系列新攻击活动。事务响应专家发现，在每一个案例中攻击者都是通过将一个未知的设备偷运进公司大楼来突破企业网络。至少八家银行受到攻击，预估损失达数千万美元。教训很深刻 – 即便在网络安全方面投入巨大，你还是不知路犯罪分子将会若何攻击你。我们都应该维持双倍的警惕。
这一迹象引人忧郁：安全性较高的银行已是如此，新生代的金融科技公司和加密钱币买卖所该若何面对威胁呢 ？此表，无法预计的新攻击步骤应该成为传统金融机构警惕的沉点对象。
另一个令人忧郁的问题是，犯罪分子不再局限于金融服务，而是针对工业企业的财政部门。在这些部门中，数十万美元的支付不会引起太大的疑惑。2018年夏，另一波假装成采购/管帐函件的金融垂钓攻击对准了400多个工业企业。
同样也不应该健忘ATM的安全性，在2018年卡巴斯基发现了6个新的恶意软件家族（这意味着总数已经超过了20个）。最大的威胁与银行内部网络的习染有关，例如FASTCash和ATMJackPot，它们可能导致攻击者接见数千台ATM。除此之表，2018年还出现了一个新的toolkit（我们定名为KoffeyMaker），它能够直接从ATM中取钱。
对于大企业而言，也有一些好新闻 – 2018年警方扣留了驰名犯罪团伙Carbanak/Cobalt和Fin7的多名成员。这些犯罪团伙参加了数十起（或数百起）针对全球金融机构和企业的攻击。
对于中幼型企业（SME），也有很多攻击活动� ？ò退够觳獾蕉嗥鹗酝挤址⒁心韭鞡uhtrap的攻击，这些恶意代码被植入到盛行的新闻网站和论坛中。
对于幼我用户，也没有太多喘息机遇 – 臭名远扬的银行木马仍在对其财帛虎视眈眈� Ｋ伎嫉缴鲜銮榭龅谋涠�，它们对各类职能的扩大也并不令人意表 – 例如Rotexy同时造成了银行木马和勒索软件；部门银行木马增长了挖矿职能；还有一些银行木马开发了新的习染蹊径 – 例如2018年卡巴斯基检测到一个用于窃取用户痛处的罕见Chrome插件。
本汇报是卡巴斯基金融威胁年度汇报系列的一连（前述汇报请参考这里和这里）。汇报涵盖了常见的垂钓威胁以及基于Windows和基于Android的金融恶意软件。
三、垂钓攻击
金融垂钓是犯罪分子赢利的典型方式之一。它投入不大，但却可能获得很高的收益。通过垂钓获取的凭证要么用于窃取资金，要么用于销售。
这种单一又有效的技术极度拥有吸引力。正如卡巴斯基遥测系统显示的，此类攻击活动占近年来所有垂钓攻击的约一半。
图1：2015-2018年金融垂钓攻击占所有垂钓攻击中的比例
2018年，卡巴斯基反垂钓系统共检测到482,465,211个接见垂钓网站的要求。其中44.7%的要求是接见金融垂钓网站的 – 比2017年的检测了局降落了约10%（2017年为53.8%，是有史以来的最高值）。
这种着落与其它类型的垂钓攻击增长有关，但让我们先来关注金融垂钓。
卡巴斯基将以下类此外垂钓网站归类为“金融垂钓” – 银杏注支付系统（如PayPal、Visa、MasterCard和American Express等）、电商及拍卖网站（如亚马逊、苹果商店、Steam、E-bay等）。2018年它们都略有降落：针对银杏注支付系统和电商网站的垂钓攻击份额别离降落了5.3、1.8和约2个百分点。
图2：2018年金融垂钓的类别散布
固然2017年针对支付系统和电商的垂钓攻击挤进前三，但2018年又复原常态：针对全球互联网门户网站的垂钓攻击排在第一位。上图批注第二名之后的垂钓攻击都与金融有关。
我们以为这种变动与Facebook等门户网站的丑闻引爆媒体头条有关。全球互联网门户网站的份额从2016年的24.1%（第二名）着落至2017年的10.9%（第四名），但在2018年又复原至24%。
图3：2016-2018针对全球互联网门户网站的垂钓攻击占比
与此同时，受害者没什么变动 – 最有吸引力的指标依然是顶级国际银杏注主流支付系统、电商、拍卖网站等。
3.1 Mac平台上的金融垂钓攻击
由于恶意软件家族的数量较少，MacOS在网络安全方面一向被以为是较为安全的平台。然而，垂钓攻击与系统关系不大 – 重要是社会工程攻击。据统计，MacOS用户也时时遭到垂钓攻击 – 固然频率较低。
2016年，针对Mac用户的垂钓攻击中31.4%的攻击旨在窃取财政数据，这险些是2017年（55.6%）的一半。2018年这一数字再次轻微增长，达57.6%。这意味着威胁并未消退。
图4：2017年Mac平台金融垂钓攻击的类别散布
图5：2018年Mac平台金融垂钓攻击的类别散布
总而言之，类似于Windows，Mac平台的金融垂钓攻击仍极度固执。
3.2 Mac vs Windows
2017年，一个有趣的事实是在电商垂钓中苹果成为攻击者最常利用的品牌，不仅是在MacOS平台，更是在Windows平台将亚马逊挤至第二名。更有趣的是，2018年Windows平台中苹果仍是第一，但MacOS平台中亚马逊初次夺走第一。
|
Mac |
Windows |
|
Amazon.com: Online Shopping |
Apple |
|
Apple |
eBay |
|
Alibaba Group |
Amazon.com: Online Shopping |
|
eBay |
MercadoLibre |
|
Americanas |
Steam |
|
groupon |
Alibaba Group |
|
Bell Canada |
Americanas |
|
Shopify |
Netflix Inc |
|
Hostway |
Wal-Mart Stores, Inc. |
图6：电商垂钓中最常见的品牌
|
Mac |
Windows |
|
PayPal |
Visa Inc. |
|
Visa Inc. |
PayPal |
|
MasterCard International |
American Express |
|
American Express |
MasterCard International |
|
Skrill Ltd. |
Cielo S.A. |
|
adyen payment system |
qiwi.ru |
|
Authorize.Net |
alipay |
|
qiwi.ru |
Skrill Ltd. |
|
Perfect Money |
Ripple |
图7：支付系统垂钓中最常见的品牌
总体而言，除了MacOS平台中Paypal超过了Mastercard夺走第一之表，情况大体差不多。
上面的表格可作为相利用户的参考列表：表格中列出了犯罪分子在试图窃取用户的银行卡、网银和支付系统痛处时最常利用的品牌/支付系统名称。
3.3 垂钓活动主题
除了传统的垂钓主题之表，2016年和2017年的垂钓假装中还存在一个显著的特点 – 娱乐业。它虽不齐全与金融有关，但犯罪分子仍会窃取用户的账户/痛处。垂钓主题已经不限于传统的在线银杏注支付系统及在线商店。
遭到攻击最多的是播放电影的流媒体服务。
图8：假装成流媒体服务的垂钓网站
图9：假装成游戏平台的垂钓网站
图10：假装成支付平台的垂钓邮件
图11：假装成支付平台的垂钓邮件
当然，这些邮件中的链接只会窃取用户输入的痛处等信息。
这也是最为常见的一种手法 – 通过威胁账户将被停用来恐吓用户。
3.4 不要向陌生人泄露信誉卡信息
由于人道和社交工程的原因，多年来垂钓攻击一向是犯罪分子投机的工具，并成为APT攻击的初始习染蹊径之一。
这警示我们，要始终维持警惕。尤其是在支付时，要再三查抄网站的合法性。当邮件督促你批改密码时，同样要再三查抄它的合法性。
若是不能确定，就不重点击该链接。
四、银行木马
本汇报中的金融恶意软件特指典型的银行木马。这些银行木马旨在窃取用户网银或支付系统的账户痛处及验证码。
在2014年和2015年的降落之后，2016年遭银行木马攻击的用户数量稳步增长，2017年和2018年上半年再次降落。2016年这一数字是1,088,933，而2017年是767,072，降落了约30%。
图12：2016-2018遭银行木马攻击的用户数量变动
4.1 地理散布
图13：2017年受银行木马攻击的用户地理散布
2018年，俄罗斯超过德国成为第一，印度取代中国成为第三，中国跌至第七。整体而言情况较为不变：第一名占1/5左右，“其它”类别或许占40%。
4.2 受攻击用户的类别散布
图15：2017年受攻击用户的类别散布
这相当令人忧郁，由于凭据宝运莱官方网站观察了局，陆续第三年险些五分之一的银行木马攻击是针对企业用户的，并且这一比例还在增长。这一景象背后的原因相当清澈 – 针对幼我消费者的攻击只能获得这幼我的银行或支付账户，而针对企业员工的攻击可获得企业财政资源的接见权限。
图16：2018年受攻击用户的类别散布
受攻击企业用户的份额增长了超过4个百分点。
4.3 重要银行木马
图17：2017年银行木马家族的散布
Gozi的份额增长了超过10个百分点，而Zbot的份额则从44%降落至32.9%。
图18：2018年银行木马家族的散布
2018年见证了重要银行木马们的降落趋向 – Zbot降落至26.4%，Gozi降落至20%多一点。与此同时，“其它”类此外份额也鄙人降。整个威胁领域随着“中产阶级”的职位加强而变得不变。
这对于安全社区而言不是一个好新闻，由于跟踪少数重要银行木马家族显然要比跟踪大量幼而矫捷的攻击者要容易的多。
银行木马RTM尤其引人瞩目，其在2018年的攻击数字曾爆炸式增长� ？ò退够哉飧黾易灏洳脊�，它在2018年攻击的用户数量超过了1.3万 – 而2017年的数字只有2376.
这一迅猛增长似乎将在2019年持续：在2019年的前一个半月，已有超过3万用户受到攻击。这也使得RTM成为最为活跃的银行木马之一。
有趣的是，RTM木马针对的指标不是金融机构自身，而是中幼型企业的财政管帐，尤其偏好IT和司法行业。这种攻击模式切合当前的主流趋向：犯罪分子不再局限于金融机构，而是转向攻击安全投入资金不及的个人部门。RTM木马重要针对俄罗斯的企业，但也可能扩散至全球（不是没有先例）。
凭据卡巴斯基的评估，两年内攻击者提议的违法买卖均匀额度达100万卢布（相当于15104美元）。
五、移动银行木马
之前的汇报中这一章节的数据来自于KSN统计的Android银行木马的数据，但随着新移动安全解决规划和职能的开发，单一产品的统计数据变得有失偏颇，因而2018年的汇报中我们扩大了数据的领域，统计了来自多个移动解决规划的数据。
了局如下：
图19：2016-2018年遭逢Android银行木马攻击的用户数量
2017年情况较为不变，这一数字为515,816。
2018年4月起头受攻击用户的数量急剧增长，数字飙升至1,799,891 – 是去年的三倍。从上图中能够看出，这重要是由于4-6月和7-9月的两个顶峰导致的。
为了分析这种情况产生的原因，卡巴斯基分析了一年来传布最为宽泛的银行木马家族。
2017年的数据如下图所示，重要银行木马家族的散布较为滑润，处于相对平衡的状态。
图20：2017年传布最宽泛的Android银行木马
凭据检测总数统计，2017年Asacub、Faketoken和Hqwar是绝对辅导者。
图21：2017年受Asacub攻击的用户数量
图22：2017年受Faketoken攻击的用户数量
图23：2017年受Hqwar攻击的用户数量
图24：2018年传布最宽泛的Android银行木马
Asacub的份额险些翻番，达60%，之后是Agent（14.28%）和Svpeng（13.31%）。这三者都在2018年出现了爆炸式的增长，尤其是Asacub，其攻击的用户数量从2017年的146,532暴增至1,125,258。
如上图所示，除了5-7月及7-10月的两个顶峰表，Asacub的活动较为不变。
Agent 经历的顶峰较多 – 总体而言，它在2-4月及4-7月之间较为活跃。其攻击散布较为不变，均匀每月约有2万-3万名用户受到攻击。
Svpeng展示了一幅齐全分歧的画面。该恶意软件家族在前半年相当僻静，但在5月份被唤醒，而后在6月份发展到近10万用户受到攻击。在后半年的功夫里，这一数字又徐行降落。
5.1 地理散布
在之前的汇报中，我们通过推算受特定类型的恶意软件攻击的用户数量占该地域用户总数的比例来统计Android银行木马的地理散布。问题在于，由于短信银行的盛行，俄罗斯地域的大无数检测了局都是此类恶意软件。在之前，SMS木马也是如此，但随着监管措施的执行，犯罪分子找到了针对俄罗斯用户的新步骤。
今年我们决定扭转钻研步骤，将受攻击用户的总数代替为该地域内注册的用户总数。
|
澳大利亚 |
1.05% |
|
土库曼斯坦 |
0.82% |
|
俄罗斯 |
0.8% |
|
土耳其 |
0.46% |
|
哈萨克斯坦 |
0.39% |
|
乌兹别克斯坦 |
0.37% |
|
塔吉克斯坦 |
0.3% |
|
波兰 |
0.25% |
|
拉脱维亚 |
0.22% |
|
德国 |
0.22% |
图28：2017年受Android银行木马攻击的用户比例较高的国度Top10
|
俄罗斯 |
2.32% |
|
南非 |
1.27% |
|
美国 |
0.82% |
|
澳大利亚 |
0.71% |
|
亚美尼亚 |
0.51% |
|
波兰 |
0.46% |
|
摩尔多瓦 |
0.44% |
|
吉尔吉斯斯坦 |
0.43% |
|
阿塞拜疆 |
0.43% |
|
格鲁吉亚 |
0.42% |
图29：2018年受Android银行木马攻击的用户比例较高的国度Top10
能够看到，移动恶意软件的确是在增长：Top10国度的均匀习染率有两位数的增长。2018年俄罗斯升至第一名，其次是南非和美国。澳大利亚降至第四，土库曼斯坦则脱离了榜单。
5.2 Android银行木马威胁的重要变动
固然这些数字说了然好多问题，但还有其它步骤能够索求威胁景观的变动和发展。我们选取的重要步骤是分析野表的现实恶意软件。
分析批注，在移动恶意软件方面，2018年可能是网络犯罪冲击最为强烈的一年。2017年在样本数量和受攻击用户数量方面相对平衡，但2018年情况急剧恶化。这种增长的底子原因尚不明显，但罪魁祸首是Asacub和Hqwar木马。2018年银行木马不仅是在规模上引人把稳，在机造上也是如此。其中一个方面是对Android辅助服务（Accessibility Services）越来越多的滥用。另一个方面则是犯罪分子更多地选取了反动态分析（例如反沙箱技术）。
六、结论及建议
2018年犯罪分子不休更新恶意软件中的新职能，并且不休开发新的分发方式和逃避检测技术。他们还扩大了受害者名单，增长了新的机构和行业。这意味着犯罪分子持续从他们的恶意活动中牟利。上述数据批注，该领域涉及垂钓和银行木马的金融诓骗行为仍有很大空间。与此同时，移动恶意软件沉新获得了风险全球用户的力量。
为了预防网络攻击造成的金钱损失，卡巴斯基专家建议采取以下措施：
合用于家庭用户
? 不要打开或保留可疑文件。
? 使用公共Wi-Fi时维持警惕。公共Wi-Fi可能是不成靠的和不安全的，犯罪分子常利用热点窃取用户信息。在线支付或共享财政信息时永不使用热点。
? 网站可能会被犯罪分子用来窃取您的数据。不要在可疑网站或陌生网站上输入信誉卡信息或实现支付。
? 确保使用官方的金融APP，只从官方利用商店下载APP，例如Google Play或iOS App Store。
? 在输入任何痛处之前，再三查抄网站的URL体式和公司名称拼写。
? 选取加密衔接的HTTPS网站要更为安全，HTTP网站可能存在风险。
? 切勿向任何人泄漏密码和PIN码 – 即便是家人、伴侣和银行经理，这只会增长您幼我账户的风险。
? 使用专业的安全解决规划。
? 在所有设备上（蕴含台式机、笔记本和移动设备）利用一样级此外安全性。使用靠得住的安全解决规划存储有价值的数据。
合用于企业用户
? 执行员工网络安全培训，仿照网络垂钓攻击。
? 选取专业的解决规划�；て笠涤始�。
? 确保企业的所有基础设施都得到�；�，从数据中心到一些专用系统（例如ATM）。选取专用解决规划�；TM和POS终端。
? 安全运营中心应从威胁谍报服务相识犯罪分子最新的技术和工具。
? 采用具备先进技术的威胁治理和防御解决规划，以便捕获未知的银行恶意软件并使安全运营团队可能全面相识网络和响应的自动化。
? 为了�；び没�，金融机构应该使用可实时阻止诓骗的安全解决规划。
原文链接：https://securelist.com/financial-cyberthreats-in-2018/89788/
京公网安备11010802024551号