2023年又是全球網絡安全威脅形勢持續嚴峻，在疊加了地緣政治、經濟競爭的因素后，具有政府/組織背景的APT組織屢屢在網絡功空間之中興風作浪，而各種新興技術的應用也催生了大量的新型攻擊者。當新型攻擊者紛至沓來，逐波遞進；舊有的威脅者野心勃勃，不斷優化攻擊方法與策略，全球網絡安全形勢不可避免地向著更糟糕的方向演進。
隨著盤踞于暗網深處的勒索軟件猶如夜魔般蔓延開來，成為全球企業與組織的噩夢；借助AI，社會工程學攻擊越發深入洞察人心，借助“人”這個巨大的安全漏洞輕松繞過安全防護措施；而越來越多的惡意AI大模型，也讓發起網絡攻擊的門檻大大降低，也讓大規模網絡攻擊的實施變得更簡單。
網絡攻擊趨利化和專業化是近年來日漸確定的趨勢。2023年全球的勒索軟件贖金從虛擬貨幣市場追蹤的總金融可能達到8.98億美元，其中僅上半年受害者就向勒索軟件團伙支付了4.49億美元贖金。話不多說，分享一下2023年個人對網絡安全事件的總結，以及哪些安全風險和攻擊威脅值得網安人注意，還請大家指教。
1、數據庫裸奔——下一個是誰
有人疑惑為什么要把它放在第一個位置，其原因是這樣的操作無法原諒。很難想象，在不斷強調網絡安全意識的今天依舊有很多企業的數據庫在互聯網中裸奔——沒有密碼，沒有任何防護措施，人人皆可以訪問。在這些企業之中不乏用戶量達到千萬級別的現象級產品的企業。
在11月，安全研究人員就發現一個名為WeMystic的算命網站，其數據庫就在互聯網上公開，沒有任何保護措施，并直接暴露了該平臺用戶的34GB敏感數據。WeMystic 除了為用戶提供占星術、精神健康和神秘主義等內容外，還有專門的在線商店，售賣天然寶石、脈輪、塔羅牌、手鏈和其他產品。
由于WeMystic 使用 MongoDB 存儲用戶數據。MongoDB是一種基于文檔的分布式數據庫，也是目前應用最為廣泛的NoSQL數據庫之一。但是，WeMystic在使用該數據庫時，竟然沒有任何保護措施，連密碼都沒有，就這樣開放式存在于互聯網中。
10月，媒體也報道了一個類似的案例。安全研究人員發現印度領先的醫療中心Redcliffe Labs 的數據庫無任何保護，其中包含 1200 多萬條記錄。這些數據包括敏感的患者數據，如醫療診斷掃描、測試結果和其他醫療記錄。數據庫總容量為 7TB，包含約 12347297 條記錄。
而Redcliffe Labs 是印度領先的醫療中心之一，提供 3600 多種不同的健康和疾病測試，擁有 250 萬用戶，在印度擁有 2000 多家健康和樣本采集中心。但就是這樣一家醫療巨頭，其安全建設體系竟然也存在如此龐大的漏洞。
出現這樣的問題，安全負責人應該為此負全部責任，安全部門也應該為此付連帶責任。
2、供應鏈漏洞——依舊是巨雷
自2020年SolarWinds供應鏈事件爆發，到2021年年底爆發的Apache Log4j2漏洞事件，軟件供應鏈漏洞屢屢成為網安大事件制造者，與孤立的安全攻擊相比，成功的供應鏈攻擊規模大得大，影響也深遠得多。據Gartner研究預測，到 2025 年，45%的公司將遭受供應鏈攻擊。
11月8日，勒索軟件組織Lockbit利用Citrix Bleed漏洞對工商銀行（ICBC）美國分行 ICBCFS發起攻擊，使得部分系統中斷，但并未波及總行以及其它境內外的附近機構。ICBCFS 是中國工商銀行位于紐約的全資子公司，專門提供全球機構客戶的清算、執行、融資與設施管理服務。據外媒報道，在被攻擊后，工商銀行無法進入其系統，因此暫時拖欠紐約梅隆銀行90億美元的未結算交易，且紐約梅隆銀行是美國公債的唯一結算代理行，導致對其業務造成顯著影響。
事實上，Citrix Bleed漏洞的受害者不止工商銀行美國分行。Lockbit勒索軟件組織利用Citrix Bleed漏洞連環攻擊了包括波音、DP World等大型企業，給全球金融、貨運和關鍵基礎設施運營帶來巨大威脅和損失。
根據日本威脅研究人員Yutaka Sejiyama的調查結果，截至11月中旬，超過10400臺在線暴露的Citrix服務器容易受到Citrix Bleed漏洞利用攻擊。
大多數服務器位于美國（3133臺），其次是德國1228臺、中國733臺、英國558臺、澳大利亞381臺、加拿大309臺、法國301臺、意大利277臺、西班牙252臺、西班牙244臺。荷蘭215家，瑞士215家。Sejiyama通過shodan掃描發現許多國家的大型關鍵基礎設施組織中也存在易受攻擊的服務器，而這些服務器在Citrix Bleed漏洞公開披露整整一個月仍然沒有修補。
3、買通內部人員——社工的舞蹈
顧名思義，內部威脅不涉及第三方，而是涉及內部人員。在這種情況下; 它可能是組織內部了解組織一切的個人。內部威脅有可能造成巨大損失。小型企業中的內部威脅十分猖獗，因為那里的員工可以訪問多個包含數據的帳戶。這種形式的攻擊的原因有很多，可能是貪婪、惡意，甚至是粗心。內部威脅很難預測，因此很棘手。
Hitachi ID 進行的調查顯示，勒索軟件團伙正在最大努力招募目標公司的內部人員，以提供金錢的方式協助進行勒索軟件攻擊。Hitachi ID 對100家大型（超過5000名員工）北美IT公司的調查顯示，有65%的員工收到黑客需要協助建立初始訪問的消息。
大多數情況下，黑客們使用電子郵件或社交媒體來聯系員工，報價20-50萬美元，也有在100萬美元以上。也有一半的勒索軟件團伙甚至在沒有任何內部人員幫助的情況下攻擊了目標公司。這表明，勒索團伙一旦確認攻擊對象，就會想辦法進行滲透，直至達成目的。
此次調查的結果反映出，內部威脅通常在制定網絡安全計劃時被忽視、低估甚至沒有被考慮到。36%的管理者表示，更關注外部威脅，內部威脅不在考慮范圍。內部人員往往更容易獲取內部信任，他們因為各種壓力或金錢誘惑，給黑客及競爭對手提供方便，泄露數據。研究表明，85%的數據泄露事件和內部人員有關。
隨著各類新型網絡攻擊方式的出現，社會工程學不僅沒有衰弱，反而迎來了更大的發展。相比直接攻擊系統的高科技黑客攻擊，社會工程學的攻擊手段更難以發現和防范。這是因為它并不直接攻擊系統，而是通過欺騙或誘導人工作人員，那些正常的系統日志和安全檢查可能完全沒有記錄。
4、深度欺騙——合成的照片與聲音
自從人工智能的概念在《銀翼殺手》和《終結者》等虛構電影中變得更加主流以來，人們就開始質疑這項技術能繼續創造出什么樣的無限可能性。直到現在，在不斷增強的計算機能力和媒體的廣泛關注下，我們才看到人工智能以一種既可怕又令人興奮的方式吸引了全球觀眾。隨著人工智能等技術的日益普及，我們極有可能看到具有破壞性結果的創造性和復雜性攻擊的發生。
10月，肯尼亞媒體報道，有黑客冒充非洲聯盟委員會主席穆薩-法基（Moussa Faki）與多位歐洲領導人進行視頻通話，其中，黑客在通話過程中使用的深度偽造技術引起了廣泛關注。
深度偽造（Deepfake）是今年來發展迅猛的基于人工智能的圖像合成技術，常用于對視頻或照片進行“換臉”，近些年已經在國際上搞了不少“大事”。比如曾有人用奧巴馬的臉罵特朗普是笨蛋，也有人用烏克蘭總統澤連斯基的臉“幫”烏克蘭發表投降聲明。
歐洲官員也不是第一次被Deepfake盯上了，就在去年，包括柏林在內的幾個歐洲大城市的市長也中招過，有人假冒基輔市長與他們通話，用的也是深度偽造技術。這些上當的官員們具體中了什么圈套我們無從得知，但有人猜測，或許是有人想通過這種手段竊取機密信息。
在仍然持續的俄烏沖突中，深度偽造技術就已開始“大顯其手”。2022年3月，澤連斯基和普京分別宣布投降的兩段虛假視頻在推特等社交平臺上瘋傳，雖然視頻本身的偽造技術還顯得有些拙劣，但對這場沖突持對立立場的受眾而言，無疑都是喜聞樂見的結果，從而在一定程度上促成了這些虛假視頻的傳播。
2023年5月，一張由AI生成的美國五角大樓爆炸的圖片又在全球社交平臺上病毒式傳播，甚至導致美國股市應聲下跌。雖然這張照片同樣存在一些肉眼可見的破綻，但對于全世界許多不滿美國的人而言，任何關于美國負面的信息往往會在第一時間對其深信不疑。
此外，AI生成語音詐騙的增加也是一個令人擔憂的現象，并預計會在未來一年出現繼續增長趨勢，給個人和組織帶來重大風險。這些騙局通常涉及社會工程策略，騙子使用心理操縱技術欺騙個人采取特定行動，例如披露個人信息或執行金融交易。AI生成的語音在這方面發揮著至關重要的作用，因為它們可以向受害者灌輸信任和緊迫感，使他們更容易受到操縱。
AI的最新進展極大地提高了AI生成語音的質量。它們現在可以非常逼真地模仿人類的語言模式和細微差別，這使得區分真實和虛假的聲音變得越來越困難。此外，AI語音生成工具的可訪問性和可負擔性也進一步擴大其采用率。即使是沒有技術專長的人也可以很容易地利用這些工具來制造令人信服的人造聲音，從而使騙子有機可施。
5、操縱AI大模型——未來新威脅
大模型安全一直是飽受網安行業的關注與重視。在2023年歐洲黑帽大會上，康奈爾大學的研究人員將展示他們開發的一種攻擊，該攻擊利用圖像和聲音向多模態LLM注入指令，導致模型輸出攻擊者指定的文本和指令。他們的概念驗證攻擊示例針對的是PandaGPT和LLaVa多模態LLM。
研究人員在一篇題為“濫用圖像和聲音進行多模態LLM中的間接指令注入”的論文中寫道：“攻擊者的目標是引導用戶與多模態聊天機器人之間的對話。”為此，攻擊者將提示融入圖像或音頻片段，并操縱用戶詢問聊天機器人有關它的問題。
例如，研究人員將一條指令混合到在線可用的音頻片段中，導致PandaGPT響應攻擊者特定的字符串。如果用戶將音頻片段輸入聊天機器人，并要求描述聲音，模型的響應將指導用戶訪問一個惡意URL。
一個最近的例子是谷歌DeepMind和六所大學的研究人員進行的一項研究，該研究表明，通過簡單地引導ChatGPT重復某些單詞，如“詩歌”和“公司”，可以操縱ChatGPT重復大量其訓練數據——包括敏感和個人身份信息。
5月，德國薩爾蘭大學CISPA亥姆霍茲信息安全中心和Sequire Technology的研究人員發表了一份報告，描述了攻擊者如何通過將隱藏的提示注入模型在響應用戶輸入時可能檢索的數據中來利用LLM模型。研究人員得出結論：“LLM功能的易擴展性通過自然提示可以實現更直接的攻擊策略。
6、網絡釣魚——AI加持
雖然AI被限制“作惡”，但在各路大神的操作下，“越獄”已經不是一件很困難的事情。此外，還有不少專門被用于“網絡犯罪”的AI大模型問世，其中比較有名的“邪惡GPT”版本是WormGPT和FraudGPT，兩者都能快速實現釣魚郵件騙局。
IBM 的一項新研究表明，當前的生成式人工智能 (AI) 模型已經非常擅長編寫看似高度可信的網絡釣魚電子郵件，并且可以為攻擊者節省大量時間。
在IBM針對一家未透明名稱的全球醫療保健公司1600 名員工進行的測試中，各有一半的員工分別收到了來自由真人和AI編寫的釣魚郵件，結果顯示，14% 的員工誤入了真人編寫的釣魚電子郵件并點擊了惡意鏈接，11% 的員工則陷入了由AI大模型編寫的釣魚郵件。
這意味著，在網絡釣魚攻擊領域，AI和真人的差距已經比較小。但在入門容易度/可操作性/成本方面有著天差地別。而且AI大模型正在不斷學習進步，例如WormGPT生成的郵件不僅極具說服力，而且策略十分巧妙，充分展示了其在進行復雜性網絡釣魚和BEC攻擊方面的能力。
現在的生成式AI技術已經能夠完美地排除掉這些傳統釣魚郵件的識別特征。更可怕的是可怕的是，避免語言錯誤只是生成式AI在釣魚郵件上展現的基本技能，更強的欺詐和混淆能力更為致命。
8月，國際安全研究團隊Perception Point與Osterman Research公司聯合發布了名為《人工智能在電子郵件安全中的作用》的報告，揭示了網絡犯罪分子如何利用AI來增加和復雜化電子郵件威脅（如網絡釣魚和BEC攻擊）的驚人趨勢，并指出網絡罪犯正在迅速采用AI工具以推動其利益，而有91.1%的組織稱他們已遭受到了被AI增強的電子郵件攻擊。
7、零日漏洞——武器商的生意
隨著企業安全體系建設日益完善，零日漏洞已經成為黑客/攻擊者手中必不可少的武器之一。2023年，個人感受對于零日漏洞的利用越來越頻繁，且往往出手就是王炸，針對一系列的企業發起網絡攻擊或勒索攻擊。
據Dragos發布的報告顯示，零日漏洞和已知的未修補漏洞是勒索軟件組織2023年三季度高度依賴的最新技術。與2023第二季度相比，Cl0p勒索軟件受害者暴增了340%。這可能是由于Cl0p在操作中使用的MOVEit零日漏洞造成的。Cl0p勒索軟件組織通過大規模MOVEit數據盜竊活動勒索受害者，賺取了近億美元。Dragos預測，在2023年四季度，嘗到甜頭的勒索軟件組織會繼續在其攻擊活動中優先考慮零日漏洞。
零日漏洞利用代碼方面的交易日漸龐大，目標客戶不僅是網絡犯罪分子，還有國家政府和NSO Group之類的公司，NSO在其Pegasus軟件中使用零日漏洞利用代碼，讓客戶可以訪問覬覦的移動設備。
零點擊漏洞利用代碼可以在最終用戶不知情的情況下部署，是最受追捧的工具，但單點擊漏洞（比如顯然由Intellexa兜售的漏洞）也很受歡迎，如果它們可以用來攻擊iOS和安卓等常見的操作系統，那就更吃香了。
據谷歌專門跟蹤主要軟件開發商的新零日問題的Project Zero聲稱，去年發現了 58個零日漏洞。據Project Zero聲稱，今年到目前為止已經有23個被打上補丁的零日漏洞，不過沒有列出那些仍在外面肆虐的漏洞，比如那家匿名組織兜售的漏洞。
8、對邊緣設備的攻擊
威脅形勢正在悄然發生變化，主要集中在經常被忽視的邊緣設備領域。這些不起眼的組件（包括防火墻、路由器、VPN、交換機、多路復用器和網關）正成為高級持續威脅（APT）組織的新陣地。這次的不同之處在于威脅的微妙性；它并非關乎容易預見的物聯網漏洞，而是邊緣設備本身帶來的不太明顯的挑戰。
邊緣設備有其獨特的復雜性。然而，問題在于它們固有的檢測入侵的能力。與傳統的網絡組件不同，它不像連接另一個IDS或IPS那么簡單。從設計上講，通往數字世界的門戶是第一道也是最后一道防線。這使得它們既是目標也是盲點。APT組織不斷發展的策略，加上邊緣設備架構的多樣性，構成了一個巨大的挑戰。在強大的入侵檢測方面，MIPS或ARM等平臺的解決方案仍處于起步階段。在這場持續不斷的“貓鼠大戰”中，這顯然是一個“老鼠”得心應手，而“貓”仍捉摸不透的領域。
9、近源攻擊——攻防演練中興起
這兩年近源攻擊開始越來越流行，并且被認為是突破企業安全防線的有力突擊技術。不同于通過有線網絡進行安全性檢測的傳統方式，近源滲透測試是指測試人員靠近或位于測試目標建筑內部，利用各類無線通信技術、物理接口和智能設備進行滲透測試。近源滲透涉及到的測試對象非常多，包括WiFi、藍牙、RFID、ZigBee、蜂窩、Ethernet等各類物聯網通信技術，甚至包括智能設備的嵌入式安全。
分享部分近年來近源攻擊中攻擊隊常用的工具，防守方可以有的放矢。
- 無線網卡：外接無線網卡主要是用來配合kali破解無線密碼的，現在一般是通過抓握手包然后跑包來破解。還有其他的方式可以通過偽造SSID釣魚等等。
- WIFI 大菠蘿：大菠蘿不是吃的那個玩意，可以說是一個釣魚WiFi。最新版本的大菠蘿功能更強大，其實可以替代上面的外接無線網卡了。大菠蘿可以捕獲握手包并模仿目標AP，甚至可以完全模仿首選網絡，從而實現中間人攻擊。
- EMP干擾器：當前電子設備和電路的工作頻率不斷提高，而工作電壓卻逐漸降低，因此對電磁脈沖（EMP）的敏感性和易損性也不斷增加。同時，電子系統中的集成電路對電磁脈沖比較敏感，往往一個較大的電磁脈沖，就會使集成塊產生誤碼、甚至電子元器件失效或燒毀等。
- 變色龍：變色龍主要有三種使用方法，第一種是隨機化UID進行模糊測試、第二種是支持IC卡的仿真、第三種是存儲多張虛擬化卡。
網絡環境正在不斷變得更加復雜，這是目前為止最為復雜的時期。無論是勒索軟件家族還是國家行為體組織，網絡犯罪分子都在不斷調整策略，以更加智慧、迅捷和協調的方式行動。預計在可預見的將來，這種情況將持續存在。為了擺脫升級的攻擊并在威脅的競爭中取得優勢，各行各業都需要采納一種持久保持警覺、可應對并且適應新威脅的網絡戰略。這是我們在未來一年以確保領先于網絡犯罪分子的方法。
