勒索软件攻击的十二个新漏洞

勒索软件组织正不断将新漏洞武器化，根据Ivanti/Securin/Cyware联合发布的最新报告，2023年第一季度安全研究人员发现了12个与勒索软件相关的新漏洞，并更新了正在跟踪的与勒索软件相关的关键指标，为企业的安全团队提供了宝贵的见解。

勒索软件漏洞报告的五个关键发现：

1.2023年第一季度，有12个新漏洞与勒索软件相关。

在过去的一个季度中，73%的新勒索软件漏洞在互联网和深网/暗网中呈上升趋势。121个厂商的7444个产品存在易受攻击的新漏洞，其中微软以135个勒索软件相关漏洞位居榜首。

2.有59个漏洞覆盖完整的MITRE ATT&CK杀伤链，其中两个漏洞是全新的。

覆盖MITRE ATT&CK杀伤链的漏洞使攻击者能够端到端地利用它们（从初始访问到窃取数据），因此极其危险。然而，流行的漏洞扫描器目前无法检测到其中三个漏洞。

3.流行的漏洞扫描器未检测到与勒索软件相关的18个漏洞，使企业面临重大风险。

4.开源漏洞有所增加，目前有119个与勒索软件相关的开源漏洞存在于多个供应商和产品中，这是一个非常紧迫的问题，因为开源代码在许多工具中得到广泛使用。

5.两个高级持续威胁(APT)组织最近开始使用勒索软件作为首选武器，包括DEV-0569和Karakurt，使利用勒索软件的APT组织总数达到52个。

Securin首席执行官Aaron Sandeen认为，风险每个季度都在升级但安全人才短缺和IT预算紧缩限制了企业应对这些挑战的能力。

Ivanti首席产品官Srinivas Mukkamala则指出：“IT和安全团队面临的最大挑战之一是确定漏洞的优先级并修复漏洞，尤其是那些与勒索软件相关的漏洞。”

他还指出：“我们刚开始看到攻击者使用AI发起攻击。随着多态恶意软件攻击和攻击性计算的AI副驾驶技术成为现实，情况只会变得更加复杂和糟糕。虽然尚未在野外发现，但勒索软件作者使用AI来大规模利用漏洞只是时间问题。”