威脅情報專欄|2020 上半年網絡安全態勢分析
2020-07-20
近日，綠盟科技威脅情報中心（NTI）重磅發布《2020 上半年網絡安全態勢分析》報告。報告對2020年上半年的各類網絡安全態勢進行追蹤和研究，通過聚焦漏洞、惡意軟件、物聯網安全、DDoS攻擊和僵尸網絡方面的安全態勢，全面觀測網絡空間安全局勢，幫助用戶更好地了解和應對各類網絡威脅。
一、 漏洞態勢綜述
2020年上半年綠盟科技安全漏洞庫共收錄1419個漏洞，其中高危漏洞714個，微軟高危漏洞184個。高危漏洞主要分布在Microsoft、Orcale、Adobe、Google、Cisco、IBM、Moxa、Apache等廠商的主要產品中。
圖 1-1 2020上半年漏洞數量統計
二、 惡意軟件態勢綜述
2020年上半年數據與2019年度數據中惡意軟件各類型分布如下圖所示。上半年各惡意軟件類型占比相比去年全年情況有所波動，后門取代挖礦居于首位，占比48.05%；挖礦相較于去年全年的數據比例有大幅下降，蠕蟲活躍程度與去年全年持平，和后門一起占據整體惡意軟件活動的87%。
圖 1-2 惡意軟件類型分類
三、 物聯網安全態勢綜述
2020年上半年有9個值得重點關注的物聯網安全事件：
（1） Ripple20 0day漏洞曝光，掃蕩全球各行業數億臺聯網設備
（2） Netgear數十款路由器產品曝出高危零日漏洞
（3） 一組工控蜜罐招來四個零日攻擊
（4） 嚴重的RCE漏洞影響了數百萬基于OpenWrt的網絡設備
（5） 黑客利用DrayTek設備中的0day漏洞對企業網絡發動攻擊
（6） 黑客劫持了智能門禁系統，并可以對網絡可達的設備發起DDoS攻擊
（7） 數百萬使用LoRaWAN的設備可遭黑客攻擊，LoRaWAN網絡中的節點、網關、服務器均存在比較嚴重的漏洞，其安全防護能力有待提高
（8） 黑客泄露超過50萬臺設備的Telnet憑據
（9） 研究人員發現帶有挖礦功能新僵尸網絡LiquorBot
2020年上半年，漏洞利用平臺Exploit-DB共計出現84個物聯網相關漏洞利用，以Netgear為首的網絡設備廠商為主，我們認為出現這種現象的原因，是網絡設備的頭部廠商通常出售的設備數量多，基數大，研究人員更關注其相關設備。漏洞利用的類型以RCE和DoS為主，其中RCE類漏洞數量最多，占總量的百分之三十五以上。
2020年上半年，綠盟威脅捕獲系統捕獲到來自266632個IP的26998718次訪問請求日志，其中12.98%的訪問請求是對物聯網漏洞進行利用的惡意攻擊行為。攻擊者使用的漏洞大多在Exploit-DB有公開的漏洞利用腳本。受到攻擊者利用最多的漏洞包括D-Link設備漏洞CVE-2015-2051與MVPower DVR漏洞，EDB編號41471。對源IP進行分析，其中159679個IP發起過漏洞利用等惡意行為，占總量的59.89%。從關聯到惡意行為的IP分布在了201個國家和地區，從國家分布情況來看，中國最多，來自中國的惡意IP占所有惡意IP的23.6%。
四、 DDOS攻擊態勢綜述
2020年上半年，我們監控到 DDoS 攻擊次數為21萬次，攻擊總流量11萬Tb。其中，攻擊時長在5分鐘以內的DDoS攻擊占了全部攻擊的67%。從一天24小時攻擊占比來看，什么時候都有可能被攻擊。從每周中DDoS 攻擊活動的分布來看，每天都有可能被攻擊，周三最常被攻擊。SYN Flood是主要的攻擊類型，占總攻擊次數的43.17%。從流量占比來看，UDP Flood發起的攻擊流量占比最高，占比75.5%。
2020上半年持續關注團伙15個，其中IPGang01是在我們監測范圍內規模最大的團伙，包含攻擊源21.7萬個，月度活躍資源13萬，上半年活躍天數164天，期間共對1366個目標IP發起過5.8萬起攻擊事件，累計總攻擊流量1.3萬Tbits。
五、 僵尸網絡及蜜罐態勢綜述
在2020年上半年的DDoS僵尸網絡活動中，主要攻擊來自Mirai和Gafgyt等家族。
上半年的DDoS攻擊手段主要為UDP flood、CC和TCP flood。
上半年僵尸網絡控制端托管的云服務商以Hostwinds、Digital Ocean和OVH為主，預計在下半年不會改變。
上半年檢測到的IoT木馬傳播利用的各類漏洞種類為128種，其中CVE-2017-17215（華為HG532路由器）、CVE-2014-8361（Realtek rtl81xx SDK遠程代碼執行漏洞）和ThinkPHP遠程命令執行漏洞位居前列。
通過綠盟科技的威脅捕獲系統，我們長期監測了一個面向門羅幣挖礦的僵尸網絡。該僵尸網絡通過弱口令爆破入侵主機，以植入僵尸程序的方式獲取控制權限，同時使用下載器下載并執行門羅幣挖礦病毒腳本，實現惡意挖礦。該挖礦僵尸網絡在2020年上半年的整體活躍情況呈增長趨勢，活躍肉雞總量達到20830臺，其中在中國的肉雞最多，達到8304臺，占比40%。開放22端口的肉雞數有13664臺，占比接近所有肉雞的 66%。在已知的資產情報數據中，這些肉雞的主要設備類型是路由器和攝像頭。
