攻击性恶意软件用来隐藏其可见性的方法.
攻击性恶意软件可以从许多不同的角度、标准、策略、方法等进行分类。例如：根据 其隐藏自身可见性的方法类型进行：
（1）网络疫情型恶意软件。 其特点是每秒数百次 主动扫描整个网络/子网。这类恶意软件隐蔽性极低。例如Nimda、Conflicter、Slammer、Code Red 等。它使用数百字节的简单有效载荷，并采用单态技术。它会自动与受感染的设备建立 TCP 连接，并连接到新的潜在受害者，从而传输恶意有效载荷。每个受感染的设备每秒都会对整个子网进行数百次扫描。
（2）网络流行型恶意软件。这类恶意软件的特点是使用预先选定的列表 主动扫描网络/子网的一部分。它比网络流行型恶意软件具有更高的隐蔽性。例如Duqu、Flame 和 Regin。它的特点是有效载荷体积庞大，例如数千字节。其有效载荷利用了多态变形技术。每个受感染的设备都会根据从受感染设备提取的信息优化的列表，随机扫描子网的一部分。
（3） 被动扫描型恶意软件。这类恶意软件在感染过程中具有 高度隐蔽性 。例如 Equation、AdWind 和 Gauss。被动扫描几乎不会留下任何可追踪的扫描异常。它使用数千字节的复杂有效载荷，并采用变形技术。具体情况取决于 机制类型
攻击性恶意软件可以 根据其混淆能力和感染后的变形程度进行分类，根据其变形方法，我们可以识别出：
（1） 具有混淆能力的恶意软件。其混淆方式 混淆 （在代码中间插入数据、违反 ABI约定（调用/返回、堆栈使用、跳转到代码中间、动态生成或修改代码等）、加密和转换代码、混淆数据）、行为混淆（规避（使用不会引起怀疑的代码行为生成器）、结合良性和恶意行为以增加检测和分析的复杂性）、使用反分析技术（检测在虚拟机、模拟器或沙箱中的执行，然后改变其行为）。
（2） 单态恶意软件。 它不会改变形状。
（3） 多态恶意软件。它对恶意软件代码进行加密，使得每个实例独有的“签名”（或字节序列）在不同实例之间发生变化。它会逐代更改加密密钥，从而导致字节序列发生巨大变化。多态恶意软件检测器专注于用于打包/解包的不变部分。它们捕获解包/启动行为（运行时检测）。这包括在解包后扫描恶意软件以定位它。
（4） 变形恶意软件。 它会重写每一代的所有代码。它不需要加密/解密代码，因此基于行为的恶意软件检测技术可能无效。它使用替代的指令序列来实现相同的效果。
（5） 寡态恶意软件。 它使用一组不同的解密器/加载器（与生成无限解密器的多态恶意软件相比，寡态恶意软件生成的解密器数量较少，并且会为每个新受害者随机选择。第一个寡态恶意软件是 Whale）。
根据其来源或出处，攻击性恶意软件可分为两类：
（1） 网络内生恶意软件。其特点是源自或诞生于其他恶意软件内部。
（2） 外源性网络恶意软件。其特点是通过网络种子、网络孢子或复活碎片等方式在外部形成或诞生的。
根据攻击性恶意软件的功能、传播方式和定位方式对其进行分类。.
根据 传播方式、感染方式和位置的不同， 网络攻击中使用的攻击性恶意软件通常具有以下功能/类型：
（1） 蠕虫。 这是一种独立的恶意软件程序（类似于rootkit），无需文件即可自我复制并传播感染。蠕虫通常不需要人为干预即可传播，因为它们的自我复制会在网络中扩散。蠕虫会感染 其他设备，但它不会通过感染其他文件来传播。它会利用各种漏洞（零日漏洞和已知漏洞，例如Log4j漏洞）进行传播。蠕虫的运行结构如下：（A）生成一个随机IP地址。（B）探测该地址。该设备是否存在？如果不存在，则返回步骤（A）。（C）如果存在，则监控是否存在任何易受攻击的服务。如果不存在，则返回步骤（A）。（D）如果存在，则设备已被感染，并继续搜索，返回步骤（A）。 传播的 蠕虫 是 ： “fingerd” （利用“fgets”函数中的缓冲区溢出漏洞；显然，它是网络攻击中最成功的途径）、 “sendmail” （利用sendmail中的“debug”选项来获取“Shell访问权限”）和 “rsh” （利用受信任的设备并破解密码电子邮件蠕虫 和Aliz 利用Microsoft Outlook中的漏洞；当受害者打开受感染的邮件或将鼠标悬停在 “预览”窗口中的邮件上时， 蠕虫文件就会启动。蠕虫可以 通过网络自我复制 ，从而消耗网络带宽，删除系统中的文件，通过电子邮件发送文档，并将其他可执行文件作为有效载荷携带（在受感染的设备/系统（称为僵尸设备/系统）上安装后门，这种设备/系统感染率非常高）。蠕虫病毒的例子包括： MyDoom（造成重大经济损失）、Slammer（出现于2003年）、CodeRed、Sasser和Lovesan/Blaster，它们利用Windows操作系统中的漏洞；以及Ramen和Slapper，它们利用Linux操作系统和应用程序中的漏洞。 两种 漏洞 利用了 蠕虫病毒“Win32/Nimda.A@mm” ：一种是“Web服务器文件夹遍历漏洞”，用于感染ISIS Web服务器；另一种是“MIME标头漏洞”， 可以通过“读取” 或 “预览” 受感染的电子邮件来执行。
（2）病毒。 它需要宿主程序，就像逻辑炸弹和特洛伊木马一样。它是一段代码片段，会附加到其他文件上进行感染。当受感染的程序运行时，病毒会自我复制。病毒的设计目的是自我复制，并通过附加到程序文件等方式，从一个受感染的计算机文件传播到另一个受感染的文件。一些病毒类型包括：宏病毒、引导记录感染器（如果操作系统具有内存保护功能，则不太可能感染）、文件感染器、受感染的电子邮件附件、附加到程序、脚本、库等的病毒。病毒会自我复制并附加到其他非恶意代码上。SoBig -2003 就是一个病毒的例子，它会导致美国佛罗里达州的火车信号管理系统瘫痪。
（3）间谍软件。 这是一种恶意软件，它会在用户不知情或未经用户同意的情况下，悄悄地安装并感染目标系统，收集系统信息。间谍软件的类型包括：键盘记录器（非法记录键盘输入和鼠标移动） 、网络爬虫（非法捕获智能手机、PC、智能电视、联网汽车、物联网/医疗物联网设备等设备上的图像、摄像头视频和麦克风音频）等等。它是一种未经个人或组织同意或知情就收集其信息的恶意软件。间谍软件/网络间谍工具的两个例子是Candiru公司的Pegasus和Sourgum ，它们旨在监视和监控个人、群体、国家乃至整个地球。Pegasus支持多设备和多平台，可在智能手机、平板电脑、PC等设备上运行，操作系统包括iOS、Android、Symbian、Windows、华为、Linux等。Pegasus利用多种网络攻击途径（例如短信、iMessage、漏洞利用、电子邮件、WhatsApp和Telegram等即时通讯应用等），并能捕获各种数据（包括摄像头、麦克风、通讯录、日历、GPS定位、电子邮件、即时通讯、短信、照片和视频、移动应用、信息亭等）。Pegasus会在移动设备上留下“虚假数字足迹”，表明其存在。如果有人试图对其进行审计，它会自动删除。由于使用了代理网络，因此几乎不可能识别出间谍活动方。间谍软件通常包含各种内部功能，例如“信息窃取程序”、“木马程序”等。 “Agent Tesla”和“Formbook ”就是两个间谍软件的例子。
（4） 木马软件。 受害者误以为它是合法程序。它需要宿主程序。 它允许未经授权的后门访问受感染的系统。它使受害者容易遭受多种恶意软件的网络攻击。例如， Peacomm、Trojan.Downloader.Js.Agent.F （一个 JavaScript 文件，以纯文本形式插入指向恶意 JavaScript 和 iframe 的链接，旨在窃取用户信息）、 Trojan.Downloader.JLPK （一种恶意软件，可解密函数并下载更多恶意软件文件）、 Trojan.Exploit.ANPi （一个 Visual Basic 脚本，利用 Web 浏览器中的漏洞下载、保存和执行受感染的文件，旨在窃取用户信息）等等。
（5） 任意代码执行器。 恶意软件通过利用各种漏洞获得控制权，并注入自己的代码，对有权访问的应用程序执行任何操作。
（6） 基于“借力攻击”（LotL）的无文件恶意软件。它利用操作系统中已有的组件、合法安装的软件以及可用的系统功能来执行恶意操作；它无需加载任何新内容。大多数 基于“借力攻击”的恶意软件使用以下工具：（i） PowerShell 是一个 框架 ，提供强大的 Windows 设备管理功能。攻击性恶意软件可以使用 PowerShell 来启动恶意脚本、提升权限、安装 后门 等。（ii） WMI（Windows 管理规范） 是一个用于访问各种 Windows 组件的接口。对于攻击性恶意软件而言， WMI 是一个合适的工具，可用于访问凭据、绕过安全机制（例如防病毒工具和 用户帐户控制 (UAC)）、窃取文件、实现网络横向移动等。（iii） PsExec 是一个远程命令执行工具，攻击性恶意软件使用它来部署恶意代码。（iv） Mimikatz 是一个 Windows 安全扫描工具，用于记录用户凭据。利用 “借力攻击”， 攻击性恶意软件不会留下任何恶意文件的痕迹，因此无法被检测到。 Stuxnet 恶意软件 不使用优化的感染列表。
根据其影响将攻击性恶意软件分为以下几类。.
网络攻击中使用的攻击性恶意软件 可以根据其执行的恶意/反常任务类型进行如下分类：
（1） 勒索软件。这种攻击性恶意软件的功能在于能够进行网络勒索， 使受害者用户无法访问其数据（这是一种针对可用性和潜在机密性的网络攻击；作为应对措施，应 在远离受感染设备的地方执行冗余的分布式备份， 并以非常强大的方式加密数据（文件、文件夹、硬盘驱动器等），例如使用多个嵌套算法）。因为网络攻击者会在底层加密或擦除数据（类似于“擦除”），直到支付赎金（通常以比特币等加密货币支付）。建议保持所有设备和操作系统更新并打好补丁，以最大限度地减少可能被利用的漏洞；除非您了解软件及其功能（这实际上是不可能的），否则不要安装软件或授予管理员/root权限。 勒索软件恶意软件 有： WannaCry、Conti、NotPetya、Cryptolocker-2013、Locky、CryptXXX、REvil/Sodinokibi、TorrentLocker、Jigsaw、Ceber 等。
（2） Doxware恶意软件。这种攻击性恶意软件通过威胁受害者，如果不支付赎金（以比特币、以太坊等加密货币支付），。它是一种针对机密性和可用性的网络攻击。作为应对措施，应实施多层加密，并在安全位置部署冗余备份。
（3） DDoS/DoS 恶意软件（分布式拒绝服务/拒绝服务攻击） 。这类攻击会破坏网络可用性，利用被称为“僵尸网络”的受感染计算机系统群，对网络资源（服务器、网站、应用程序、服务、设备、物联网对象、网络等）发起攻击。受害者的网络资源会被大量消息淹没，导致目标/受害者运行缓慢甚至崩溃，从而使授权用户和系统无法访问。DDoS恶意软件攻击通常是由于多个受感染/受感染的系统（有时称为僵尸网络）协同攻击造成的。针对此类网络攻击的一些缓解方法包括：（i）使用CDN （内容分发网络） ， 它是由分布在全球各地的服务器组成的网络。这些服务器会复制受保护网站的数据。当某个服务器不堪重负或不可用时，CDN 会将流量路由到其他服务器以继续运行 。 (ii) 使用反向代理是一种代理服务器，它代表客户端从一个或多个服务器检索资源。(iii) 使用高可用性代理 (HA 代理) 将请求分配到多个服务器上。这可以平衡潜在的 DDoS 恶意软件网络攻击的负载，防止攻击到达受害用户。其目标是在提供内容的系统/资源和请求该内容的合法客户端之间设置多层防御。针对应用服务器和网络软件发起DDoS攻击的恶意软件 示例包括Mirai家族及其所有变种： Miori、Okane、Echobot、Bashlite、Satori、Omni、Asher等。一些针对物联网设备发起DDoS型网络攻击的恶意软件家族示例包括：Persirai僵尸网络（针对IP摄像头和DVR）、Hajime（针对嵌入式设备）、PsyBot（针对路由器和调制解调器）、Linux.Wifatch（针对嵌入式设备）、Http81（针对IP摄像头）、SohoPharming（针对路由器）、VPNFilter（针对路由器）、Trinity Miner（针对Android操作系统设备）、BrickerBot（针对嵌入式设备）、TheMoon（针对路由器）、Silex（针对嵌入式设备）、Linux.NyaDrop.b（针对基于MIPS的物联网设备）。
（4）后门恶意软件。这种攻击性恶意软件会自行安装并创建一个后门，使其他恶意软件能够根据需要多次访问受感染的设备/计算机并进行远程控制，从而为对受害者的反复网络攻击敞开大门。例如rustock.b和tivserv 。美国国家安全局 (NSA)用于部署后门的工具之一是“双脉冲星”(Double-Pulsar)。
（5） 信息窃取型恶意软件。 这类攻击性恶意软件旨在窃取信息。例如， snifula.b。
（6） 广告软件型恶意软件。 这类攻击性恶意软件利用被篡改的广告/宣传材料进行感染。例如， Borland 广告软件 和 Aurora 广告软件。
（7） 自执行恶意软件。 这类恶意软件能够在无需受害者帮助的情况下自行运行。例如， VBS-Runauto。
（8） 远程访问木马（RAT）。 这种攻击性恶意软件会远程访问受害者的设备。
（9） Trojan.Exploit.SSX。这种恶意恶意软件通过SQL 注入攻击出现在网站上，该攻击会在明文代码中插入一个不可见的iframe 。它可以窃取用户信息。
（10） ICS-OT/BDs-IT中的恶意软件。这些攻击性恶意软件程序在OT/IT环境中运行，例如： Duqu （针对SCADA系统）、 Bad Rabbit （针对乌克兰交通运输系统）、Locker Goga（针对一家挪威铝业公司）、Triton（针对一家沙特阿拉伯石化厂）、Flame、Flamer或SkyWiper（用于间谍活动和定向网络攻击）、BlackEnergy3/Industroyer（针对乌克兰电网和工业控制系统）、Snifula.B（用于窃取信息）、Stuxnet（针对伊朗铀精炼设施）、NotPetya（针对乌克兰组织）、Triton/Trisis（攻击中东、欧洲和北美的石油、天然气和电力网络系统）、PLC-Blaster（针对西门子S7 PLC的蠕虫病毒）、ACAD/Medre.A（针对AutoCAD设计进行工业间谍活动）、Babar、VPNFilter、Conficker（蠕虫病毒）、BlackEnergy （针对网络物理系统；2015年，它曾对能源供应发起网络攻击）（来自乌克兰），Backdoor.Oldrea（针对工业控制系统），DanaBot 和 QakBot（创建僵尸网络），Nymaim、EquationGroup、CryptoWire、Jaff、RapidRansom、Sage 和 Ryuk（勒索软件），Pupy、SoftPLC（针对可编程逻辑控制器），WannaCry（针对工业和IT网络），Shamoon（2012年瘫痪了沙特阿拉伯阿美石油公司的计算机系统）。BlackEnergy恶意 软件会在受害者系统上执行插件，利用“ PsEexc ”工具访问“管理员共享”在本地网络中传播。Cobalt Strike恶意软件可以利用“ Windows管理员共享”（ C$和ADMIN$ ）进行横向移动。一些重大的网络攻击包括： Cloud Hopper攻击、德国联邦议院黑客攻击以及针对禁止化学武器组织的攻击。
（11） OT/ICS/CPS 环境特有的恶意软件。 一些 攻击性恶意软件家族（可对 SCADA、PLC、CPS、Modbus 技术、TCP、CODESYS、OPC UA、访问控制器、Wiegand 协议、时钟数据、Mifare、Desfire 等进行网络攻击）包括： Pipedream/Incontroller（2022 年 4 月，美国网络安全和基础设施安全局 (CISA) 发布了 AA22-103a 警报，指出这是一种新型模块化恶意软件，能够基于 36 种不同的网络攻击技术对各种目标进行网络攻击）、Stuxnet（专为特定行动而设计）、Havex、Industroyer2、Triton/Trisis（专为特定行动而设计）、Blackenergy2、Crashoverride/Industroyer 等。
（12） DNS篡改恶意软件。 它会改变IP地址/L3地址与URL/L5地址之间的映射关系，反之亦然；也就是说，它会篡改用户的DNS服务器配置，将ISP的合法DNS服务器替换为网络攻击者控制的恶意DNS服务器。目前， 最先进的恶意软件 融合了多种功能，例如 蠕虫、病毒、变形恶意软件、间谍软件、拒绝服务攻击等。此外，它还可以更新以获得“新功能”，从而集成新的、更加隐蔽和恶意的运行和行为方式（使用难以检测的网络种子和网络孢子）。
最后考虑因素。.
如今，随着组织和行业的数字化转型，日益受到网络攻击的冲击，而这些攻击必须被有效应对。在网络安全领域，“意识提升”必须 转变为由 提供的认证培训 。这种培训要求所有人员（从最高管理层到最低级别员工）学习并通过严格的考试和评估才能获得认证。我们不能再仅仅实施意识提升计划，而必须将其转化为认证培训。这能够使每个人在各种情况下都能采取恰当的行动，并做出最佳决策，即使在关键和高压环境下也能如此。 根据 WatchGuard 威胁实验室的 ，在 2021 年最后几个月，91.5% 的恶意软件通过加密的 HTTPS。此外，恶意软件还利用 PowerShell 等脚本引擎 绕过安全防护。据 卡巴斯基实验室 ，2021年上半年，三分之一的工业控制系统 ICS （），包括SCADA服务器、数据存储服务器、数据网关、人机界面（HMI）、移动和固定工作站以及工业网络管理设备， 都遭受了通过互联网利用可移动存储介质和受感染电子邮件附件。 联邦 办公室 （BSI）仅在2020年6月至2021年5月底期间就检测到了1.44亿种新的恶意软件变种，比上一年增长了22%。此外，在2021年2月，该
参考。.
- Areitio, J.“信息安全：网络、计算和信息系统”。Cengage Learning-Paraninfo。2021。.
- Areitio, J.“DAIM/MIAD 抵御各种隐蔽网络攻击的新保护和主动防御前景”。Conectrónica 杂志。第 252 期。2022 年 10 月。.
- Rawal, BS, Manogaran, G. 和 Peter, A. “网络安全和身份访问管理”。Springer 出版社。2022 年。.
- Hubbard, DW 和 Seiersen, R.“如何衡量网络安全风险中的任何事物”。John Wiley & Sons Inc. 2022。.
- Smidts, C.、Ray, I.、Zhu, Q.、Vaddi, PK、Zhao, Y.、Huang, L.、Diao, X.、Takibul, R. 和 Pietrykowski, MC，“核电站网络安全威胁与响应模型”。Springer。2022 年。.
- Sipola, T.、Kokkonen, T. 和 Karjalainen, M.，《人工智能与网络安全：理论与应用》。Springer 出版社，2022 年。
作者： Javier Areitio Bertolín 教授，博士 - 网络与系统研究组主任
