安天网络行为检测能力升级通告（20240303）

安天长期基于流量侧数据跟踪分析网络攻击活动，识别和捕获恶意网络行为，研发相应的检测机制与方法，积累沉淀形成了安天自主创新的网络行为检测引擎。安天定期发布网络行为检测能力升级通告，帮助客户洞察流量侧的网络安全威胁与近期恶意行为趋势，协助客户及时调整安全应对策略，赋能客户提升网络安全整体水平。

近期，研究人员发现随着网络犯罪分子通过 PDF 传播恶意软件（包括 WikiLoader、Ursnif 和 DarkGate），PDF 威胁呈上升趋势。与同年第一季度相比，2023 年第四季度 PDF 威胁增加了 7%。他指出，以前 PDF 诱饵曾被用来通过网络钓鱼获取受害者的凭据和财务详细信息。现在恶意软件正在通过这些文档传播。研究人员表示，一个值得注意的例子是 WikiLoader 活动使用虚假包裹递送 PDF 来诱骗用户安装 Ursnif 恶意软件。用于加剧攻击的广告工具，并列举多个攻击案例说明具体危害。

同时，研究人员还发现HomuWitch 是一种勒索软件最初出现于 2023 年 7 月。与当前大多数勒索软件病毒不同，HomuWitch 的目标目标是最终用户（个人），而不是机构和公司。它的流行率并不是特别高，所要求的赎金金额也不是很大，这使得该恶意软件迄今为止一直处于相对低调的状态。在调查威胁过程中，研究人员发现了一个漏洞，该漏洞能够为所有 HomuWitch 受害者创建免费解密工具。现在公开共享此工具，以帮助受影响的个人免费解密文件。

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期修改网络攻击行为特征涉及远程代码执行、命令注入等高风险，涉及信息泄露、文件上传等中风险。

本期安天网络行为检测引擎规则库部分更新列表如下：

安天网络行为检测引擎最新规则库版本为Antiy_AVLX_2024030107，建议及时更新安天探海威胁检测系统-网络行为检测引擎规则库（请确认探海系统版本为：6.6.1.2 SP1及以上，旧版本建议先升级至最新版本），安天售后服务热线：400-840-9234。