信息安全恶意软件一般来说是指应用软件标识符中容许普通使用者出访网络或系统的瑕疵。恶意软件使企业和个人遭遇一连串严重威胁，包括恶意应用软件和账号接手。
他们的恶意软件借助存在大量可能的恶意软件和潜在性不良后果。英国政府的国家恶意软件资料库 (NVD)由常用恶意软件和曝露 (CVE) 条目提供，目前有少于 176,000 个词条。两个不可否认的信息安全恶意软件实例是 CVE-2017-0144 Windows 恶意软件，它为透过 EternalBlue 恶意软件反击 WannaCry 敲诈应用软件关上了正门。另两个恶名昭彰的事例是透过借助数个恶意软件散播的 Mirai 丧尸网络。
除非辨认出恶意软件，开发者一般来说会加速正式发布预览或“插件”。平庸情况下，所有使用者单厢在普通使用者有机会利用该恶意软件之前加装预览。但事实上是，在许多情况下，普通使用者会迅速策动反击以借助未知的软肋。此外，即便正式发布了插件，预览的较慢实施也意味著普通使用者可以在恶意软件被辨认出数月后借助恶意软件。
在这首诗中，我们汇整了进入 2022 年需要注意的主要信息安全恶意软件统计位数数据和信息。
1. 2022年第二季度正式发布的恶意软件少于8000个
NVD 资料库包涵 2022 年第二季度正式发布的 8,051 个恶意软件。这比上年增加了约 25%。假如这些位数保持维持不变，这将标志着自 2021 年正式发布的约 22,000 首诗以来环比有所增长。
2. 七成面向全国外部的 Web 插件恶意软件被指出是信用风险较高的
Edgescan 的 2022 年恶意软件统计位数调查报告分析了 Web 插件恶意软件的潜在性性。它辨认出，面向全国网络的插件中几乎六分之一的恶意软件被指出是信用风险较高或关键性信用风险。假如目标恒定处理新浪网缴付，这一比率将上升至 15%。
3. 保有少于 100 名雇员的组织看到更多信用风险较高或关键性信用风险恶意软件
Edgescan 的 2021 年调查报告根据子公司规模行业龙头了恶意软件的潜在性性。保有 100 名或更慢雇员的较大型子公司中、信用风险较高或严重信用风险恶意软件的比率最高（一共 5%）。保有 10,000 多名雇员的子公司看到的中型和严重信用风险恶意软件的比率最大，而保有 101-1,000 名雇员的中型组织看到的信用风险较高恶意软件的比率最大。
4. 平均修复时间 (MTTR) 约为 58 天
根据 Edgescan，修复面向全国网络的恶意软件的平均时间为 57.5 天。这比前一年的 MTTR 为 60.3 天有所改善。
不过，这因行业而异。例如，公共管理部门的 MTTR 为 92 天，而医疗机构的 MTTR 仅为 44 天。数据显示，受影响的组织越小，恢复的速度就越快。
5. 2021 年最严重的恶意软件是 CVE-2021-44228
CVE-2021-44228 是两个影响 Log4j 的恶意软件，Log4j 是两个用于数千个项目、插件和网站的开源日志库。这个恶意软件容许普通使用者在任何受影响的系统上运行任意标识符，虽然它被迅速修复，但极有可能大量易受反击的插件仍然新浪网。
6. 2020年辨认出的最老恶意软件是21岁
有趣的是，Edgescan 辨认出了两个自 1999 年以来就存在的相当古老的恶意软件：CVE-1999-0517。这会影响简单网络管理协议版本 2 (SNMPv2)，该协议用于管理 IP 网络上的设备和计算机。该恶意软件可以透过猜测的社区字符串容许未经授权的 SNMP 出访。它的基本通用恶意软件评分系统 (CVSS)得分为 7.5，使其成为两个高潜在性性的软肋。
7. 2020 年 1 月辨认出了主要云基础设施中的第两个严重恶意软件
2020 年初，Check Point 研究人员辨认出并调查报告了 Microsoft Azure 基础架构中的严重恶意软件。根据详细介绍该恶意软件的 Check Point 文章，研究人员“想要反驳云基础设施安全的假设。” 这些恶意软件获得了 10.0 的最高 CVSS 分数。9.0-10.0 分的定性潜在性性排名是“关键性”。
这些恶意软件使恶意行为者能够破坏使用相同硬件的使用者的插件和数据。
8. 少于 11% 的恶意软件有严重分数
根据CVE 详细信息，在大约 176,000 个恶意软件中，少于 19,000 个的 CVSS 评分为 9.0-10.0。也就是说，绝大多数（77.5%）的得分在 4.0 到 8.0 之间。
9. 2020 年 75% 的反击使用了至少两年前的恶意软件
根据Check Point 2021 年信息安全调查报告，四分之三的攻击借助了 2017 年或更早调查报告的恶意软件。18% 的反击借助了 2013 年或之前披露的恶意软件，使它们至少存在 7 年之久。
10. Citrix 远程出访恶意软件反击在 2020 年增加了 2,066%
根据 Check Point 的数据，2020 年借助远程出访产品恶意软件的反击数量大幅增加。Citrix 反击数量增加了 20 倍以上，而 Cisco、VPN 和 RDP 反击增加了 41%、610% 和 85%，分别。
11. 31% 的子公司检测到借助应用软件恶意软件的企图
Positive Technologies的2020 年调查报告告诉我们，检测到的严重威胁中有近三分之一涉及应用软件借助尝试。根据调查报告：
“少于一半的尝试涉及 SMBv1 协议实施中的恶意软件 CVE2017-0144。这与恶名昭彰的 WannaCry 敲诈应用软件所借助的恶意软件相同，早在 2017 年就正式发布了两个插件。但普通使用者在搜索过去 3.5 年未预览的计算机时将其保留在他们的武器库中。
12. 84%的子公司网络外围存在信用风险较高恶意软件
Positive Technologies的另一项研究揭示了令人震惊的统计位数数据，即 84% 的子公司在其外部网络上存在信用风险较高恶意软件。它还辨认出，只需加装预览就可以删除其中的一半以上。
13. 少于四分之一的子公司仍然容易受到 WannaCry 的影响
Positive Technologies 还辨认出，26% 的子公司仍然容易受到 WannaCry 敲诈应用软件的反击，因为他们尚未修补它所借助的恶意软件。鉴于 WannaCry 反击在 2021 年第二季度激增，这一点尤其令人担忧。
14. XSS 仍然是两个巨大的严重威胁
Hacker One 研究辨认出，跨站点脚本 ( XSS ) 恶意软件是 2020 年最常用的恶意软件类型，占所有调查报告的 23%。排在前三位的软肋类型是信息泄露 (18%) 和不正确的出访控制 (10%)。
15、赏金猎人最赚钱的行业是电脑应用软件
当谈到赏金猎人的收入最高的行业时，计算机应用软件软肋在相当大的程度上是收入最高的行业。关键性恶意软件的平均赏金支出约为 5,754 美元。电子和半导体行业为每个关键性恶意软件缴付 4,633 美元，加密货币和区块链领域缴付约 4,481 美元。
16. “80% 的公开恶意软件借助是在 CVE 正式发布之前发布的”
Palo Alto Networks 于 2020 年 8 月正式发布的一份调查报告辨认出，80% 的已研究恶意软件借助甚至在相关 CVE 正式发布之前就已公开。也许更令人担忧的是正式发布日期之间的时间长度。平均而言，恶意软件借助在其各自的 CVE 之前 23 天正式发布。如调查报告所述：
“因此，当 CVE 正式正式发布时，很有可能已经存在恶意软件借助——这说明了普通使用者往往比安全专业人员领先一步的另一种方式。”
17. 过去 8 年检测到 28,500 数个 WordPress 恶意软件
自WPScan于 2014 年首次开始跟踪以来，新恶意软件的数量一直在稳步增加。2021年辨认出了 3,000 数个新恶意软件，到 2022 年第二季度，我们已经辨认出了另外 700 个。
18. 2021 年第四季度，66% 的恶意应用软件涉及零日恶意软件
WatchGuard 的网络安全调查报告 – 2021 年第四季度告诉我们，从 2021 年 10 月到 12 月，零日恶意应用软件占所有严重威胁的三分之二。这比上一季度有所下降。
19. 2021 年供应商特定恶意软件数量减少
根据RiskBased Security 的 2021 年终调查报告，IBM 是今年确认恶意软件最多的供应商。然而，值得注意的是，大多数供应商的恶意软件实际上比去年少。例外是 Software in the Public Interest, Inc 和 Fedora 项目，它们出现了小幅增长。
ased security
20. 少于 75% 的插件至少存在两个瑕疵
Veracode 于 2020 年 10 月正式发布的第 11 卷应用软件安全状况调查报告辨认出，少于四分之三 (75.2%) 的插件存在安全恶意软件。也就是说，其中只有 24% 被指出具有高潜在性性瑕疵。
21. 信息泄露恶意软件最为常用
Veracode 还告诉我们，最常用的瑕疵类型是信息泄漏、CRLF 注入（普通使用者注入意外标识符）、密码问题、代码质量和凭据管理。
22. 四分之一的瑕疵在 18 个月后仍然存在
Veracode 的 2021 年调查报告中两个相当惊人的辨认出是，一年半之后，大约 27% 的瑕疵仍然存在。
23. 频繁扫描与更快的修复时间相关
Veracode 确实辨认出定期扫描瑕疵的插件的平均修复时间要快得多。那些每天扫描 260 次以上的人在 62 天内修复了 50% 的瑕疵。对于每天仅运行 1-12 次扫描的插件，该时间延长至 217 天。
24. 自 2010 年以来，谷歌已经缴付了 3500 万美元的恶意软件赏金
Google 的恶意软件奖励计划（一般来说称为恶意软件赏金计划）奖励研究人员辨认出和调查报告子公司应用软件中的恶意软件。自 2010 年以来，它已缴付了3500 万美元。2021 年，来自 62 个国家/地区的 696 名研究人员获得了奖金，最高的单项奖金为 157,000 美元。
25. 微软在一年内缴付了近 1400 万美元的恶意软件赏金。
同样，微软奖励辨认出并调查报告其应用软件错误的研究人员。在 2021 年 7 月的审查中，该子公司调查报告称，在过去 12 个月中，它已缴付了 1360 万美元的恶意软件赏金。这是谷歌在 2019 年缴付的金额的两倍多。一共有 340 名研究人员获得了 20 万美元的最大奖金。
26. 自 2011 年以来，Facebook（现为 Meta）已授予近 7,000 个赏金
Facebook（现称为 Meta）在 2021 年 12 月正式发布的一篇博文告诉我们，自 2011 年开始其恶意软件赏金计划以来，该子公司已收到少于 150,000 份调查报告并颁发了 7,800 份赏金。在撰写调查报告时，2021 年的赏金总额为 230 万美元。已收到约 25,000 份调查报告，并颁发了 800 多项奖金。迄今为止，其最高赏金为 80,000 美元。
27. 60% 的数据泄露涉及未修补的恶意软件
根据 2019 年Ponemon Institute 恶意软件调查：
“60% 的违规受害者表示，他们因未应用插件的未修补未知恶意软件而遭到入侵。” 然而，更高的部分 (62%) 声称他们在违规之前不知道其组织中的恶意软件。
