2019年5月，互联网安全状况整体指标相对平稳，但出现了一些影响较大的安全事件。
臭名远扬的勒索软件GandCrab背后的运营团队宣称“赚够了退休的钱，将停止GandCrab的更新”，其价值观影响极其恶劣。同时从深信服捕获的攻击事件来看，勒索病毒仍是主要危害，且勒索攻击者的针对性较强，主要结合社会工程、RDP远程爆破等手段投放病毒，制造行业和医疗行业在5月受灾较为严重。
微软在5月曝出多个安全漏洞，其中最为严重的是RDP（Remote Desktop Protocol，远程桌面服务）远程代码执行漏洞，编号CVE-2019-0708。由于该漏洞影响力和破坏力巨大，一旦被黑客利用，将会造成巨大损失。深信服已经多次提醒用户进行安全更新，做好针对该漏洞的防御措施。
此外，网络安全等级保护制度2.0国家标准正式发布，网络安全由此进入新的发展阶段，等级保护对象范围在传统系统的基础上扩大了云计算、移动互联、物联网、大数据等，网络安全也越来越受到大众关注，同时也将面临新的挑战。
5月，深信服安全云脑累计发现：
深信服漏洞监测平台对国内已授权的5661个站点进行漏洞监控，发现：
2019年5月，病毒攻击结束了近月持续上升的态势，病毒拦截量比4月份下降近8%，近半年拦截恶意程序数量趋势如下图所示：
2019年5月，深信服安全云脑检测到的活跃恶意程序样本有32150个，其中木马远控病毒14324个，占比44.55%，感染型病毒7844个，占比24.4%，蠕虫病毒5813个，占比18.08%，勒索病毒535个，占比1.66%，挖矿病毒455个，占比1.42%。
5月总计拦截恶意程序17.93亿次，其中挖矿病毒的拦截量占比52.42%，其次是木马远控病毒（15.71%）、蠕虫病毒（11.97%）、后门软件（9.8%)、感染型病毒（8.94%）、勒索病毒（1.05%)。
2019年5月，共拦截勒索病毒数量1881万次。其中，WannaCry、RazyCrypt、GandCrab依然是最活跃的勒索病毒家族，其中WannaCry家族本月拦截数量有932万次，危害较大。
从勒索病毒倾向的行业来看，企业和教育感染病毒数量占总体的59%，是黑客最主要的攻击对象，具体活跃病毒行业分布如下图所示：
从勒索病毒受灾地域上看，广东地区受感染情况最为严重，其次是湖南省和浙江省。
2019年5月，深信服安全云脑共拦截挖矿病毒9.40亿次，比四月下降23%，其中最为活跃的挖矿病毒是WannaMine、MinePool、Xmrig，特别是WannaMine家族，共拦截3.29亿次。同时监测数据显示，被挖矿病毒感染的地域主要有广东、北京、浙江等地，其中广东省感染量第一。
被挖矿病毒感染的行业分布如下图所示，其中企业受挖矿病毒感染情况最为严重，感染比例和4月基本持平，其次是政府和教育行业。
2019年5月，深信服安全云脑检测并捕获感染型病毒样本7844个，共拦截1.60亿次。其中Virut家族成为本月攻击态势最为活跃的感染型病毒家族,共被拦截1.02亿次，此家族占了所有感染型病毒拦截数量的63.78%；而排名第二第三的是Sality和Pioneer家族，本月拦截比例分别是为22.32%和4.24%。5月份感染型病毒活跃家族TOP榜如下图所示：
在感染型病毒危害地域分布上，广东省（病毒拦截量）位列第一，占TOP10总量的35%，其次为浙江省和广西壮族自治区。
从感染型病毒攻击的行业分布来看，黑客更倾向于使用感染型病毒攻击企业、教育、政府等行业。企业、教育、政府的拦截数量占拦截总量的69%，具体感染行业分布如下图所示：
深信服安全云脑5月检测到木马远控病毒样本14324个，共拦截2.82亿次，拦截量较4月上升14%。其中最活跃的木马远控家族是Drivelife，拦截数量达6138万次，其次是Injector、Zusy。具体分布数据如下图所示：
对木马远控病毒区域拦截量进行分析统计发现，恶意程序拦截量最多的地区为广东省，占TOP10拦截量的 29%，与4月份基本持平；其次为北京（12%）、浙江（11%）、广西壮族自治区（9%）和湖南（8%）。此外湖北、山东、江苏、四川、上海的木马远控拦截量也排在前列。
行业分布上，企业、教育及政府行业是木马远控病毒的主要攻击对象。
2019年5月深信服安全云脑检测到蠕虫病毒样本5813个，共拦截2.15亿次，但通过数据统计分析来看，大多数攻击都是来自于Ramnit、Gamarue、Jenxcus、Dorkbot、Faedevour、Small家族，这些家族占据了5月全部蠕虫病毒攻击的95%，其中攻击态势最活跃的蠕虫病毒是Ramnit，占蠕虫病毒TOP10总量的51%。
从感染地域上看，广东地区用户受蠕虫病毒感染程度最为严重，其拦截量占TOP10总量的31%；其次为湖南省（16%）、浙江省（10%）。
从感染行业上看，企业、教育等行业受蠕虫感染程度较为严重。
深信服全网安全态势感知平台监测到全国32631个IP在5月所受网络攻击总量约为7亿次。本月攻击态势较4月有小幅上升，下图为近半年深信服网络安全攻击趋势监测情况：
下面从攻击类型分布和重点漏洞攻击分析2个维度展示本月的网络攻击趋势：
（1）攻击类型分布
通过对深信服安全云脑日志数据分析可以看到，5月捕获攻击以WebServer漏洞利用、系统漏洞利用、SQL注入攻击等分类为主。其中WebServer漏洞利用类型的占比更是高达53.30%，攻击次数达3亿多次；系统漏洞利用类型占比15.50%；Web扫描类型的漏洞占比8.60%。
（2）重点漏洞攻击分析
通过对深信服安全云脑日志数据分析,针对漏洞的攻击情况筛选出5月攻击利用漏洞的TOP20。
其中漏洞被利用次数前三的漏洞分别是Apache HTTP Server mod_log_config 远程拒绝服务漏洞、Apache Web Server ETag Header 信息泄露漏洞和NetBIOS名称查询响应漏洞，利用次数分别为285,573,813、29,091,319和24,438,711，较上月均有上升。
深信服安全团队对重要软件漏洞进行深入跟踪分析，近年来Java中间件远程代码执行漏洞频发，同时受永恒之蓝影响使得Windows SMB、Struts2和Weblogic漏洞成为黑客最受欢迎的漏洞攻击方式。
2019年5月，Windows SMB拦截日志量达千万级，近几月攻击持上升趋势，其中拦截到的(MS17-010)Microsoft Windows SMB Server 远程代码执行漏洞攻击利用日志最多；Struts2系列漏洞攻击趋势近几月攻击次数小幅上升，Weblogic系列漏洞的攻击呈现波动状态，本月仅拦截二十万次攻击；PHPCMS系列漏洞攻击次数较上月小幅上升。
（1）Windows SMB 系列漏洞攻击趋势跟踪情况
深信服网站安全监测平台5月对国内已授权的6130个站点进行漏洞监控，发现高危站点3932个，高危漏洞102105个，漏洞类别主要是CSRF跨站请求伪造，信息泄露和XSS注入，总占比79%，详细高危漏洞类型分布如下：
5月总监控在线业务7776个（去重），共识别潜在篡改网站233个（去重），篡改总发现率高达3.06%。
其中首页篡改79个，二级页面篡改132个，多级页面篡改22个，具体分布图如下图所示：
上图可以看出，网站二级篡改为篡改首要插入位置，成为黑客利益输出首选。
（1）绕过杀软！SQL Server Transact-SQL 的无文件攻击姿势
近日，深信服安全团队捕获到一起绕过杀毒软件的无文件攻击事件，被入侵的主机或服务器会被安装Mykings、Mirai、暗云等多种僵尸网络木马及挖矿程序，并且难以彻底清除。经分析排查，该木马通过弱口令爆破SQL Server服务器后，利用sqlserver Transact-SQL存储C#编译恶意代码，通过MSSQL作业定时执行存储过程，在受害主机下载恶意程序。
具体详见:绕过杀软！SQL Server Transact-SQL 的无文件攻击姿势
（2）【安全研究】Domain fronting域名前置网络攻击技术
Domain Fronting基于HTTPS通用规避技术，也被称为域前端网络攻击技术。这是一种用来隐藏Metasploit，Cobalt Strike等团队控制服务器流量，以此来一定程度绕过检查器或防火墙检测的技术，如Amazon ,Google，Akamai 等大型厂商会提供一些域前端技术服务。
具体详见：【安全研究】Domain fronting域名前置网络攻击技术
（3）警惕x3m勒索病毒——CryptON
CryptON勒索病毒最早出现在2017年2月份左右，曾有多家企业遭到攻击，近日深信服安全服务团队接到客户反馈，其主机被加密勒索，加密后缀为x3m。经过跟踪分析，深信服安全团队拿到了相应的样本，确认样本为CryptON勒索病毒的变种版本，并对此勒索病毒样本进行深入的分析。
具体详见:警惕x3m勒索病毒——CryptON
（4）警惕Bizarro Sundown(GreenFlash)漏洞利用工具包传播Seon勒索病毒
近日，国外安全研究人员捕获到一款名为Seon的勒索病毒，并且发现攻击者通过Bizarro Sundown(GreenFlash)漏洞利用工具包进行传播，该漏洞利用工具包常被用于传播各类勒索病毒，如GandCrab、Locky、Hermes等。Seon勒索病毒使用AES算法加密文件，修改文件后缀为 .FIXT，加密完成后弹出hta窗口与用户交互索要赎金。
具体详见:警惕Bizarro Sundown(GreenFlash)漏洞利用工具包传播Seon勒索病毒
（5）准备交赎金？当心Phobos勒索病毒二次加密！
深信服安全团队接到多家企业反馈，其服务器遭到勒索病毒攻击，重要数据被加密。经安全团队专家排查，该病毒是近期较为活跃的一款勒索病毒，通常通过RDP暴力破解和人工投放的方式进行攻击，攻击者成功入侵后，通常会关闭系统的安全软件防护功能，运行勒索病毒，加密后会修改文件后缀为[原文件名]+id[随机字符串]+[邮箱地址].phobos。
具体详见:准备交赎金？当心Phobos勒索病毒二次加密！
（6）新型勒索病毒Attention感染医疗与半导体行业
近日，深信服安全团队检测到一种全新的勒索病毒正在活跃，攻击者针对制造行业、医疗行业等目标，通过社会工程、RDP远程爆破等方式手动投放勒索病毒，且进行加密后会人工删除勒索病毒体和入侵日志。
具体详见:新型勒索病毒Attention感染医疗与半导体行业
（7）GandCrab再爆新变种，警惕DeepBlue变种感染
近日，深信服安全团队跟踪到多起GandCrab勒索病毒最新变种感染事件。由于感染主机桌面屏幕会被设置成为深蓝色，深信服将该变种命名为GandCrab勒索DeepBlue变种。
具体详见：GandCrab再爆新变种，警惕DeepBlue变种感染
（1）【漏洞预警】Remote Desktop Protocol任意代码执行漏洞(CVE-2019-0708)
2019年5月14日，Microsoft在最新的安全更新公告中披露了一则RDP远程代码执行漏洞。通过此漏洞，攻击者无需经过身份验证，只需要使用RDP连接到目标系统并发送特制请求，就可以在目标系统上远程执行代码。
具体详见：【漏洞预警】Remote Desktop Protocol任意代码执行漏洞(CVE-2019-0708)
（2）【漏洞预警】Intel Processor MDS系列漏洞预警
2019年5月14日，Intel官方披露了一系列推测性执行侧信道漏洞，统称为“Microarchitectural Data Sampling”(MDS)。该系列漏洞影响了一大批Intel处理器，漏洞允许攻击者直接窃取CPU缓冲区中的用户级和系统级秘密信息，包括用户秘钥、密码和磁盘加密秘钥等重要信息。
具体详见:【漏洞预警】Intel Processor MDS系列漏洞预警
（3）漏洞预警 | Remote Desktop Protocol任意代码执行漏洞(CVE-2019-0708)
2019年5月14日，Microsoft在最新的安全更新公告中披露了一则RDP远程代码执行漏洞。通过此漏洞，攻击者无需经过身份验证，只需要使用RDP连接到目标系统并发送特制请求，就可以触发漏洞，实现在目标系统上远程执行代码。
具体详见:漏洞预警 | Remote Desktop Protocol任意代码执行漏洞(CVE-2019-0708)
（4）POC已公开！RDP远程代码执行漏洞被利用引发蓝屏
2019年5月31日，深信服安全团队发现公开的CVE-2019-0708的POC已在github上流传，并第一时间进行复现以及分析。经测试，该POC可导致目标主机蓝屏崩溃，特此再次发出预警。
具体详见:POC已公开！RDP远程代码执行漏洞被利用引发蓝屏
黑客入侵的主要目标是存在通用安全漏洞的机器，所以预防病毒入侵的主要手段是发现和修复漏洞，深信服建议用户做好以下防护措施：
1. 杜绝使用弱口令，避免一密多用
系统、应用相关的用户杜绝使用弱口令，同时，应该使用高复杂强度的密码，尽量包含大小写字母、数字、特殊符号等的混合密码，禁止密码重用的情况出现，尽量避免一密多用的情况。
2. 及时更新重要补丁和升级组件
建议关注操作系统和组件重大更新，如永恒之蓝漏洞，使用正确渠道，如微软官网，及时更新对应补丁漏洞或者升级组件。
3. 部署加固软件，关闭非必要端口
服务器上部署安全加固软件，通过限制异常登录行为、开启防爆破功能、防范漏洞利用，同时限制服务器及其他业务服务网可进行访问的网络、主机范围。有效加强访问控制ACL策略，细化策略粒度，按区域按业务严格限制各个网络区域以及服务器之间的访问，采用白名单机制只允许开放特定的业务必要端口，提高系统安全基线，防范黑客入侵。
4. 主动进行安全评估，加强人员安全意识
加强人员安全意识培养，不要随意点击来源不明的邮件附件，不从不明网站下载软件，对来源不明的文件包括邮件附件、上传文件等要先杀毒处理。定期开展对系统、应用以及网络层面的安全评估、渗透测试以及代码审计工作，主动发现目前系统、应用存在的安全隐患。
5. 建立威胁情报分析和对抗体系，有效防护病毒入侵
网络犯罪分子采取的战术策略也在不断演变，其攻击方式和技术更加多样化。对于有效预防和对抗海量威胁，需要选择更强大和更智能的防护体系。深信服下一代安全防护体系（深信服安全云、深信服下一代防火墙AF、深信服安全感知平台SIP、深信服终端检测与响应平台EDR）通过联动云端、网络、终端进行协同响应，建立全面的事前检测预警、事中防御、事后处理的整套安全防护体系。云端持续趋势风险监控与预警、网络侧实时流量检测与防御、终端事后查杀与溯源，深度挖掘用户潜在威胁，立体全方位确保用户网络安全。
