分析报告指出，内部威胁活动正在增长，使用提权漏洞是越权活动的重大组成部分。在CrowdStrike公司所记录的内部威胁活动中，55%依赖的是提权漏洞，而余下45%通过下载或滥用攻击性工具引入风险。

恶意的内部人员一般会出于经济利益、怨恨或与上级的不合而针对所在企业。CrowdStrike 公司将并非针对企业的恶意攻击如使用 exp 安装软件或平台安全测试的事件归类为内部威胁。然而，在这些情况下，尽管这些事件并非为了攻击公司，但通常以有风险的方式进行，因此可能会在网络引入可被威胁行动者滥用的威胁或恶意软件。该公司发现，从目标组织机构内部发动的攻击如是恶意性质，则造成的平均成本是64.8万美元，对于非恶意事件而言平均成本是48.5万美元。在2023年这些数字可能更高。

除了带来经济成本外，内部威胁还可能损害品牌形象和声誉。

CrowdStrike 公司解释称，利用提权漏洞获得管理员权限对于很多内部威胁而言至关重要，因为在多数情况下，恶意内鬼以网络环境的低访问权限为起始点。

更高的权限可导致攻击者执行多种操作如下载和安装越权软件、擦除日志、甚至是使用要求管理员权限的工具诊断计算机上的问题。恶意内鬼最常利用的本地提权漏洞如下所示：

如上漏洞均已被纳入CISA的“已知遭利用漏洞分类 (KEV)”中。即使一个系统中已修复这些漏洞，但内鬼也可通过其它方法获得提权，如在以提升后权限运行的应用中的DLL 劫持缺陷、不安全的文件系统权限或服务配置，或BYOVD 攻击等。

CrowdStrike 公司在欧洲发现多起利用CVE-2017-0213的案例，一家零售店员工通过 WhatsApp 下载 exp 来安装uTorrent 并玩游戏，另外一个案例与美国某媒体公司的离职员工有关。一家澳大利亚技术公司的员工尝试获得管理员权限进行调试而造成 PwnKit 漏洞利用。CVE-2015-1701漏洞遭利用的案例是美国一家技术公司的员工尝试绕过现有控制来安装越权 Java 虚拟机。虽然上述这些案例都不可被视作恶意攻击，但它们通过修改设备应当运行的方式或在网络运行恶意或不安全程序的方式引入了风险。

CrowdStrike 公司记录的近一半内部安全事件与非故意的错误有关，如利用测试不受控制、在未获得适当防护措施的情况下执行攻击性工具、下载未经审查的代码等。

流入，CrowdStrike 公司表示，某些事件是由安全专业人员直接在生产工作站而非虚拟机上测试利用和利用包导致的。报告提到，多数攻击活动涉及多种工具如 Metasploit Framework 和 ElevateKit。因不谨慎而被引入的最常见漏洞如下：

在企业网络中引入这些缺陷可导致已经在网络中站稳脚跟的威胁行动者获得更多利用向量，从而增加整体安全风险。然而，更重要的是，威胁行动者创建虚假 PoC 或安全工具在设备上安装恶意软件的情况并不少见。例如，5月份，威胁行动者分发虚假的Windows PoC 利用，通过 Cobalt Strike 设备感染设备。在另外一起攻击活动中，Rapid 7 公司发现威胁行动者发布虚假的 0day 利用 PoC，安装 Windows 和 Linux 恶意软件。在这些场景中，在工作站上安装虚假利用可获得对企业网络的初始访问权限，从而导致网络间谍活动、数据被盗或勒索攻击。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~