正是由于不法分子經常利用這些話題來進行惡意活動，Unit 42的研究人員密切監測了派拓網絡客戶對熱門話題及與這些話題相關的新注冊域名的關注度，以保護用戶安全。
通過使用谷歌趨勢工具和我們的流量日志發現，用戶對新冠病毒相關話題的關注度爆增，且在2020年1月底、2月底和3月中旬達到高峰。
同時，隨著用戶關注度的上升，從2月到3月，與新冠病毒相關的域名注冊量日均增長656%。在此期間，惡意注冊域名增長569%，包括惡意軟件和網絡釣魚;“高風險”域名注冊增長788%，包括欺詐、非法加密貨幣挖掘，以及與惡意網址有所關聯或涉嫌使用防彈主機托管的域名。
截至3月底，我們已發現116,357個與新冠病毒相關的新注冊域名，其中包括2,022個惡意域名和40,261個“高風險”域名。
我們根據域名的Whois信息、DNS記錄和屏幕截圖(由我們的自動抓取工具收集)對這些域名進行聚類分析，以檢測注冊活動。我們發現，許多域名被惡意注冊并轉售牟利，且其中很大一部分被用于眾所周知的惡意活動，并用于欺詐店鋪銷售短缺商品。
其他惡意濫用新冠病毒熱點的傳統方式還包括：域名托管惡意軟件、釣魚網站、欺詐網站、惡意廣告、加密貨幣挖礦，以及用于提升不法網站搜索排名的黑帽搜索引擎優化(SEO)。我們檢測到，許多使用新注冊域名的網店不僅試圖欺騙用戶，其中還出現了一個尤為卑鄙的域名集群，它利用用戶對新冠病毒的恐懼來進一步恐嚇他們購買其產品。此外，我們還發現了一組以新冠病毒為主題的域名，它們現在使用高風險JavaScript提供托管網頁服務，而這些JavaScript可能隨時會將用戶重定向到惡意內容。
結論
不幸的是，總是會有網絡犯罪分子在人們的恐懼加劇時，在地區、國家和全球事件中試圖傷害人們。當災難性事件發生時，我們一次次地觀察到這種行為，網絡犯罪分子開始圍困受害者。遺憾的是，我們認為這種剝削性行為不會很快消失。
人們應該高度懷疑任何帶有COVID-19主題的電子郵件或新注冊的網站，無論他們聲稱擁有信息、測試工具還是治療方法。應該特別注意檢查域名的合法性和安全性，例如確保域名是合法域名(google [.] com與g00gle [.] com)，并且在瀏覽器的地址欄左側有一個“鎖”的圖標，確保有效的HTTPS連接。
對于任何以COVID-19為主題的電子郵件，都應采取類似的措施—查看發件人的電子郵件地址通常會發現該內容可能不合法，因為收件人可能不知道其內容，拼寫錯誤或長度可疑且帶有隨機出現的字符。
為了保護用戶免受網絡罪犯分子的侵害，Palo Alto Network(派拓網絡)關于URL過濾的最佳建議是禁止訪問“新注冊域名”類別。然而，如果您不能阻止對“新注冊域名”類別的訪問，則我們的建議是對這些網址強制實施SSL解密以提高其可視性，阻止用戶下載諸如PowerShell和可執行文件之類的危險文件類型，應用更嚴格的威脅防護策略，并在訪問新注冊域名時增加日志記錄。我們還建議使用DNS層保護，因為我們知道超過80%的惡意軟件都使用DNS建立C2。
關于全文版中特別提到的威脅和入侵指標(IOC)，在Palo Alto Networks(派拓網絡)技術棧內已采取了以下步驟來確保達到最佳的檢測和預防機制：
· 已對域名、IP地址和網址進行了適當分類。
· 已更新和/或驗證了所有樣本的Wildfire判定。
· 已創建、更新和/或驗證了入侵防御系統簽名。
· 已部署、更新和/或驗證了Cortex XDR檢測。
· 已創建、更新和/或驗證了Autofocus標簽。
由于冠狀病毒爆發的突然性，許多員工正在自我隔離并在家辦公。盡管企業一直通過VPN連接為員工提供安全訪問，但是需要安全訪問的員工數量卻是前所未有的，并且需要額外的資源和容量。
Palo Alto Networks(派拓網絡)的云端安全訪問服務邊緣(SASE)平臺Prisma Access，可為遠程辦公室和移動用戶提供統一的策略實施和安全性，并將隨著業務需求的發展而調整規模。
京公網安備 11010502049343號