返回顶部
隐藏或显示

新闻动态

News

纯干货 | 网络安全态势洞察报告2019-06

/ 2019-07-15

网络安全状况概述


2019年6月,互联网网络安全状况整体指标平稳,但是有两个重要特征值得关注。

一方面,病毒攻击态势呈上升趋势,整体较上月增加7%。其中挖矿病毒活跃程度增加较多,其病毒攻击的拦截量较5月增加11%,安全防护薄弱的企业是主要受灾对象,教育行业、政企单位的感染程度也有所增加。挖矿病毒的近期活跃程度增加可能与比特币价格持续走高有关。

另一方面,多个严重漏洞披露。Microsoft在官方安全更新公告中一共披露了88个漏洞的相关信息,其中21个获得了“严重”评级,这是微软有史以来漏洞严重程度最高的一次排名。Oracle官方安全公告中披露了高危漏洞(漏洞编号:CVE-2019-2729),WebLogic 远程命令执行漏洞。Adobe Coldfusion公布了Coldfusion软件中存在的一个远程代码执行漏洞(漏洞编号:CVE-2019-7839),漏洞等级严重。Netflix公司已经确定了几个TCP网络FreeBSD 和Linux内核中的漏洞,其中最严重的是Linux 内核中TCP SACK机制远程拒绝服务漏洞。深信服已针对严重漏洞发布了相应预警,及时提醒用户进行补丁升级,做好安全防护措施。

6月,深信服安全云脑累计发现:

  • 恶意攻击19.05亿次,平均每天拦截恶意程序6350万次。

  • 活跃恶意程序29111个,其中感染型病毒5487个,占比18.85%;木马远控病毒13459个,占比46.23%。挖矿病毒种类541个,拦截次数10.46亿次,较5月上升11%,其中WannaMine病毒家族最为活跃。

深信服网站安全监测平台对国内已授权的5661个站点进行漏洞监控,发现:

  • 高危站点2721个,高危漏洞24495个,漏洞类别主要是CSRF跨站请求伪造,占比88%。

  • 监控在线业务6724个,共识别潜在篡改的网站有179个,篡改总发现率高达2.66%。


恶意程序活跃详情


2019年6月,病毒攻击在6月呈现上升态势,病毒拦截量比5月份(17.9亿次)上升近7%,近半年拦截恶意程序数量趋势如下图所示:

2019年6月,深信服安全云脑检测到活跃恶意程序样本29111个,其中木马远控病毒13459个,占比46.23%;蠕虫病毒7461个,占比25.63%;感染型病毒5487个,占比18.85%;勒索病毒632个,占比2.17%;挖矿病毒541个,占比1.86%。

6月总计拦截恶意程序19.05亿次,其中挖矿病毒的拦截量占比54.92%,其次是木马远控病毒(16.24%)、蠕虫病毒(11.29%)、感染型病毒(8.48%)、后门软件(8.04%)、勒索病毒(0.88%)。

1. 勒索病毒活跃状况


2019年6月,共拦截勒索病毒攻击1667万次。其中,WannaCry、GlobeImposter、GandCrab依然是最活跃的几个勒索病毒家族,其中WannaCry家族6月拦截数量803万次,危害依然较大。

从勒索病毒倾向的行业来看,企业政府感染病毒数量占总体的60%,是黑客最主要的攻击对象,具体活跃病毒行业分布如下图所示:

从勒索病毒受灾地域上看,广东地区受感染情况最为严重,其次是浙江省和北京市。

2. 挖矿病毒活跃状况


2019年6月,深信服安全云脑共拦截挖矿病毒10.46亿次,其中最为活跃的挖矿病毒是WannaMineXmrig,特别是WannaMine家族,共拦截4.43亿次。同时监测数据显示,被挖矿病毒感染的地域主要有广东省、北京市、浙江省等地,其中广东省感染量第一。

被挖矿病毒感染的行业分布如下图所示,其中企业受挖矿病毒感染情况最为严重,其次是政府和教育行业。

3. 感染型病毒活跃状况


2019年6月,深信服安全云脑检测并捕获感染型病毒样本5487个,共拦截1.61亿次。其中Virut家族是成为6月攻击态势最为活跃的感染型病毒家族,共被拦截1.04亿次,此家族占了所有感染型病毒拦截数量的64.40%;而排名第二第三的是Sality和Wapomi家族,6月拦截比例分别是为22.18%和4.43%。6月感染型病毒活跃家族TOP榜如下图所示:

在感染型病毒危害地域分布上,广东省(病毒拦截量)位列第一,占TOP10总量的33%,其次为广西壮族自治区和浙江省。

从感染型病毒攻击的行业分布来看,黑客更倾向于使用感染型病毒攻击企业、教育、科研教育等行业。企业、教育、科研教育的拦截数量占感染型病毒拦截总量的67%,具体感染行业分布如下图所示:

4. 木马远控病毒活跃状况


深信服安全云脑本月检测到木马远控病毒样本13459个,共拦截3.09亿次。其中最活跃的木马远控家族是Drivelife,拦截数量达7163万次,其次是Zusy、Siscos。具体分布数据如下图所示:

对木马远控病毒区域拦截量进行分析统计发现,恶意程序拦截量最多的地区为广东省,占TOP10拦截量的24%;其次为北京市(12%)、广西壮族自治区(11%)、浙江省(11%)和山东省(8%)。此外湖南省、四川省、上海市、湖北省、江苏省的木马远控拦截量也排在前列。

行业分布上,企业、教育及政府行业是木马远控病毒的主要攻击对象。

5. 蠕虫病毒活跃状况


2019年6月深信服安全云脑检测到蠕虫病毒样本7461个,共拦截2.15亿次,但通过数据统计分析来看,大多数攻击都是来自于Ramnit、Gamarue、Jenxcus、Dorkbot、Faedevour、Morto、Small家族,这些家族占据了6月全部蠕虫病毒攻击的94%,其中攻击态势最活跃的蠕虫病毒是Ramnit,占蠕虫病毒TOP10总量的50%。

从感染地域上看,广东省地区用户受蠕虫病毒感染程度最为严重,其拦截量占TOP10总量的30%;其次为湖南省(15%)、浙江省(11%)。

从感染行业上看,企业、教育等行业受蠕虫感染程度较为严重。

网络安全攻击趋势分析


深信服全网安全态势感知平台监测到全国32631个IP在6月所受网络攻击总量约为7.7亿次。6月攻击态势较上月有小幅上升。下图为近半年深信服网络安全攻击趋势监测情况:

1. 安全攻击趋势


下面从攻击类型分布和重点漏洞攻击分析2个纬度展示6月现网的攻击趋势:

(1)攻击类型分布

通过对深信服安全云脑日志数据分析可以看到,6月捕获攻击以WebServer漏洞利用、系统漏洞利用、Web扫描、信息泄露、Webshell上传、数据库漏洞利用等分类为主。其中WebServer漏洞利用类型的占比更是高达67.50%,攻击次数达5亿多次;系统漏洞利用类型均占比13.70%。主要攻击种类和比例如下:

(2)重点漏洞攻击分析


通过对深信服安全云脑日志数据分析,针对漏洞的攻击情况筛选出6月攻击利用次数最高的漏洞TOP20。

其中漏洞被利用次数前三的分别是Apache HTTP Server mod_log_config 远程拒绝服务漏洞(保持不变)、NetBIOS名称查询响应漏洞Nginx URI Processing安全绕过漏洞,命中次数分别为423,215,695、29,664,036和29,612,680。较5月均有上升。

2. 高危漏洞攻击趋势跟踪


深信服安全团队对重要软件漏洞进行深入跟踪分析,近年来Java中间件远程代码执行漏洞频发,同时受“永恒之蓝”影响使得Windows SMB、Struts2和Weblogic漏洞成为黑客最受欢迎的漏洞攻击方式。

2019年6月,Windows SMB日志量达千万级,近几月攻击持上升趋势,其中拦截到的(MS17-010)Microsoft Windows SMB Server 远程代码执行漏洞攻击利用日志最多;Struts2系列漏洞本月攻击次数较前几月下降,Weblogic系列漏洞的攻击总体程波动状态,但近三个月较为平缓,本月仅拦截不到二十万攻击日志;PHPCMS系列漏洞攻击次数较上月下降。

Windows SMB 系列漏洞攻击趋势跟踪情况:

Weblogic 系列漏洞攻击趋势跟踪情况:

Struts 2 系列漏洞攻击趋势跟踪情况:

PHPCMS 系列漏洞攻击趋势跟踪情况:

网络安全漏洞分析


1. 全国网站漏洞类型统计


深信服网站安全监测平台6月对国内已授权的8764个站点进行漏洞监控,近一个月内发现的高危站点5237个,高危漏洞149267个,漏洞类别主要是CSRF跨站请求伪造XSS注入信息泄露,总占比83%,详细高危漏洞类型分布如下:

具体比例如下:

2. 篡改情况统计


6月总监控在线业务7260个(去重),共识别潜在篡改的网站有140个(去重),篡改总发现率为19.2%。

其中首页篡改25个,二级页面篡改56个,多级页面篡改36个。

具体分布图如下图所示:

上图可以看出,网站二级篡改为篡改首要插入位置,成为黑客利益输出首选。


近期流行攻击事件及安全漏洞盘点


1. 流行攻击事件


(1)建筑行业出现集中式感染CrySiS勒索病毒

近日,深信服接到多个建筑行业客户反馈,服务器被加密勒索,经过跟踪分析,拿到了相应的样本,确认样本为CrySiS勒索病毒jack变种。截止目前,黑产团队多次通过社会工程、RDP暴力破解等方式有针对性的入侵建筑行业,提醒该行业客户提高警惕。

具体详见:建筑行业出现集中式感染CrySiS勒索病毒

(2)GoldBrute僵尸网络横空出世

近日,当黑客们还在绞尽脑汁地想着如何使用BlueKeep漏洞俘获肉鸡时,一个僵尸网络病毒突然横空出世,对全球1,500,000+个设备进行扫描。该病毒名为GoldBrute,通过传统的RDP爆破方式进行传播,被该病毒感染的主机会受C&C服务器104.156.249.231所操控。

具体详见:GoldBrute僵尸网络横空出世

(3)Bluehero挖矿蠕虫变种空降!

近日,深信服安全团队捕获到Bluehero挖矿蠕虫最