说到恶意软件，我们简直生活在一个可怕的时代。每天都在听说黑客又突破了满载客户隐私数据的网络。公众对此甚至都麻木了，面对数百万记录被盗，或者公司私密邮件泄露这种事，早已是屡见不鲜。

 

 

　　作为安全从业人员，我们无法全天24小时生活在对看不见敌人的恐惧中防贼。我们可以做的，就是加固我们的堡垒。早期检测可防患于未然，将恶意软件攻击阻挡在造成实质损失之前。大多数攻击，始于2种易于防护的方法之一：社会工程，或是未打补丁的软件。

 

　　但因为黑客努力变得越来越隐秘，恶意软件检测难度也呈指数级增长。比如下面列出的这10种全球最隐秘的恶意软件程序。

 

1. PowerShell恶意软件

 

 

　　微软本意是想让其PowerShell脚本语言，成为一款灵活的Windows和活动目录远程管理工具。它在自动化常规任务和远程控制大量计算机上表现出色。黑客也超爱这个工具，因为恶意使用的时候很难被检测到。

 

　　PowerShell黑客攻击方法，很快就从研究人员的概念验证程序，发展到了网络罪犯的首选工具之一。最近，不涉及PowerShell的企业攻击，甚至都已经很少见了。通常，大多数编码都会很小心地做混淆，防止被检测。

 

市面上有2款流行PowerShell工具包：

　　PowerSploit

　　https://github.com/PowerShellMafia/PowerSploit

 

　　PowerShell Empire

　　https://www.powershellempire.com

 

 

　　这两款软件号称是合法渗透测试工具，但其实也是黑客工具之选。防御方法也不是没有，比如至允许合法签名的脚本，但企业往往直到遭攻击之后才意识到预防措施的存在。

 

2. 新设备或软件中的恶意软件

 

 

　　没人希望新手机/计算机/软件被感染，但有时候新设备/软件就是会被感染。而且主流公司并不自带免疫。全球最流行产品往往也是恶意软件集散地，比如苹果和微软的系列产品。快闪存储卡、USB密钥、网络设备和智能手机都是恶意软件跻身的地方。甚至数字相框也不能幸免。微软曾发现，在中国发售的全新PC中有20%都含有恶意软件。

 

 

　　为什么会这样?有时候是没意识到自己被感染的制造商意外引入了恶意软件。有时候是流氓雇员故意感染产品。有时候是承包商在将设备交回厂商之前加入了恶意软件。无论是哪种途径，最终都是客户开箱拿到个存在漏洞利用的设备。

 

3. 无线路由器中的恶意软件

 

 

　　无线路由器是黑客乐此不疲的攻击前线。这些设备，基本上就是微型计算机，还是可以用定制代码远程更新的那种。而且，很多无线路由器运行的是很容易被利用的代码，或者干脆没改默认口令。黑客长久以来都在利用路由器上的弱安全设置。随着自动搜索互联网找寻受害者的工具的出现，路由器利用变得更加容易了。

 

　　黑客攻击路由器，是为了盗取无线网络上流转的金融信息，或者挪用路由器的处理能力。

 

 

　　将路由器处理能力挪作他用的攻击方式，可令任意脆弱联网设备成为听命攻击者的奴隶。最流行的IoT恶意软件程序Mirai，就被黑客用来奴役大量家庭联网设备发起大规模DDoS攻击。

 

4. 计划任务恶意软件

 

 

　　Windows PC 上运行的大多数微软计划任务，对普罗大众而言都是一个搞不清楚的谜团。随时可能有几十个合法任务在执行，错删一个都有可能造成巨大的问题。但区分哪些任务必须，哪些没必要，哪些又是彻头彻尾的恶意程序，是非常困难且耗时耗力的。

 

　　恶意软件制造者就利用的是这份混乱与困惑。

 

 

　　安装成计划任务的恶意软件，往往能获得高级凭证，这很不好。而更糟的是，该计划任务还会在反恶意软件扫描器清除掉之后重新下载恶意软件。事实上，计划任务感染的最典型症状，就是有无论怎么清除都会长期驻留的流氓程序。如果有超级难删除的恶意软件程序，不妨检查一下计划任务列表。

 

5. 信任数字证书的危害

 

 

　　黑客喜欢利用我们赋予数字证书的额外信任。不幸的是，大多数用户对数字证书理解不够，无法识别出被恶意破坏的那些。操作系统和浏览器正在将信任决策权逐渐从用户手中拿走。

 

　　这有所帮助，但是，作为回应，黑客开始盗取合法的全局信任代码签名证书，并用这些证书签署自己的恶意软件。如此一来，用户就会得到伪装成合法程序或更新的木马，并毫不知情地安装到系统中。

 

 

　　有时候，黑客甚至不是直接偷取，而是复制公司的证书，就像流行Flame恶意软件程序做的那样。专家担心，随着最近针对SHA-1加密散列签名攻击的成功，这些数字签名攻击会有所上升。这也正是专家建议人们尽快升级到SHA-2的最主要原因。

 

6. 网络蠕虫

 

 

　　2003年，SQL Slammer 蠕虫在10分钟之内，感染了10万个未打补丁的SQL实例，保持至今仍未被打破的网络蠕虫快速感染记录。蠕虫曾经绝迹了几年，但如今又卷土重来。最近的WannaCry和Petya勒索软件，就是此类蠕虫的明显例子。

 

　　蠕虫狩猎未打补丁的软件或用户配置错误，比如弱口令，用以攻入下一个受害者的计算机。无论WannaCry还是Petya，都利用了数百万毫无疑心的PC，让无数以为自己受到保护的用户目瞪口呆。

 

 

　　网络蠕虫一直是最可怕的恶意软件程序，因为就像 SQL Slammer 所呈现的，它们快速传播，造成破坏，然后逃离。在人们意识到发生了什么事情之前，伤害已经造成。

 

7. 社交媒体App

 

 

　　当今时代，最隐秘的攻击来自于你的朋友。流程大体如此：你收到朋友突然发来的新潮软件安装推荐，或者邀请你看一段恶搞视频，但其实发来的都是伪装过的恶意程序。一旦运行了该流氓代码，黑客就收割了你的社交媒体账户，开始利用你所有的朋友联系。

 

 

　　这最初的请求其实不是来自于你的朋友，而是来自获取了他账户的那个黑客。黑客会用盗取的账户来收获更多人的账户，偷走金钱，甚或入侵公司网络。黑客高度认知到：很多社交媒体用户用同样的登录名和口令登录他们的公司网络，只需破解一个，便可进入其他。

 

8. 无线中间人

 

 

　　在温馨安静的当地咖啡馆落座，开始收发晨间邮件。你不会怀疑，也不会知道，就在同一家店里，一名黑客已经攫取了你本应受到保护的Web凭证。

 

　　Firesheep(http://codebutler.com/firesheep)就是做这事的最佳工具。黑客和想让高管层认真考虑无线及Web安全的渗透测试员，都喜欢用这款工具。尽管Firesheep已经被其开发者下架了，还有大量其他工具能做同样的事——几乎完全免费，只需等待下载完毕即可使用。

 

 

　　正确配置无线连接，可以消除该威胁，但要找出所有无线连接都被完美防护的计算机还真挺难的。

 

9. 内联键盘记录器

 

 

　　键盘记录器是微型硬件设备，一旦在计算机的键盘和键盘输入连接器之间安装上，就会获取从该键盘输入的任何东西。该方法对智能手机或笔记本电脑无效，但黑客成功在酒店、金融机构和其他公共场所中找到了大量传统PC可供利用。

 

 

　　攻击者可以像普通用户一样坐在电脑前把记录器安装上。记录器很容易隐藏，因为安上记录器的键盘线，通常都放在电脑背后或机柜下面。装好后攻击者就可以离开，等数天之后再过来拿走记录器。然后，回家就可以在里面挖掘口令和其他凭证信息了。

 

10. USB黑客设备

 

 

　　自从USB形态因素的计算机有了足够的存储和处理能力，黑客就对其漏洞利用潜力垂涎三尺了。几十个黑客工具和完整的Linux发行版安装在USB键盘上。不到100美元就能在线买下一个。只需插入受害者电脑，放任上面的黑客脚本大干坏事即可。

 

　　此类流行工具之一，是Hak5的Bash Bunny(https://hakshop.com/products/bash-bunny)。 里面包含了2种攻击模式，用户可用很方便易学的脚本来配置。比如说，一种模式可利用Windows计算机，另一种就利用Mac机。你需要做的全部，仅仅是瞅个没人看着的机会，走到受害者计算机旁，插上该设备，等待几秒，然后带上你的战利品溜掉。或者，你也可以在计算机背面的USB口插上该设备，在受害者网络中长期留有一个难以发现的流氓黑客计算机。