勒索軟件攻擊的十二個新漏洞

勒索軟件組織正不斷將新漏洞武器化，根據Ivanti/Securin/Cyware聯合發布的最新報告，2023年第一季度安全研究人員發現了12個與勒索軟件相關的新漏洞，并更新了正在跟蹤的與勒索軟件相關的關鍵指標，為企業的安全團隊提供了寶貴的見解。

勒索軟件漏洞報告的五個關鍵發現：

1.2023年第一季度，有12個新漏洞與勒索軟件相關。

在過去的一個季度中，73%的新勒索軟件漏洞在互聯網和深網/暗網中呈上升趨勢。121個廠商的7444個產品存在易受攻擊的新漏洞，其中微軟以135個勒索軟件相關漏洞位居榜首。

2.有59個漏洞覆蓋完整的MITRE ATT&CK殺傷鏈，其中兩個漏洞是全新的。

覆蓋MITRE ATT&CK殺傷鏈的漏洞使攻擊者能夠端到端地利用它們（從初始訪問到竊取數據），因此極其危險。然而，流行的漏洞掃描器目前無法檢測到其中三個漏洞。

3.流行的漏洞掃描器未檢測到與勒索軟件相關的18個漏洞，使企業面臨重大風險。

4.開源漏洞有所增加，目前有119個與勒索軟件相關的開源漏洞存在于多個供應商和產品中，這是一個非常緊迫的問題，因為開源代碼在許多工具中得到廣泛使用。

5.兩個高級持續威脅(APT)組織最近開始使用勒索軟件作為首選武器，包括DEV-0569和Karakurt，使利用勒索軟件的APT組織總數達到52個。

Securin首席執行官Aaron Sandeen認為，風險每個季度都在升級但安全人才短缺和IT預算緊縮限制了企業應對這些挑戰的能力。

Ivanti首席產品官Srinivas Mukkamala則指出：“IT和安全團隊面臨的最大挑戰之一是確定漏洞的優先級并修復漏洞，尤其是那些與勒索軟件相關的漏洞。”

他還指出：“我們剛開始看到攻擊者使用AI發起攻擊。隨著多態惡意軟件攻擊和攻擊性計算的AI副駕駛技術成為現實，情況只會變得更加復雜和糟糕。雖然尚未在野外發現，但勒索軟件作者使用AI來大規模利用漏洞只是時間問題。”