安全通报 - 信息安全厂家 - 交大 - 西安交大捷普网络科技有限公司

Office 365出现网络钓鱼旗舰店

1、 Office 365出现网络钓鱼近日，一种新形式的钓鱼活动出现在网络中，攻击者会将钓鱼内容伪装成Office365点警告邮件，并告知用户他们的账户中出现异常数量的文件删除。钓鱼攻击以Office365警告内容的形式出现，声称用户已触发中级威胁警报，并告知用户在其账户中发生了大量文件删除行为，诱使用户点击警告框。如果用户点击警告框并，会进入伪造的登录页面，一旦输入账号密码，就会被钓鱼网站获取并保存。随后，登录页面会刷新并将用户重定向至正常登陆页面，以掩盖钓鱼行为。微软提醒用户，Microsoft账户和outlook账户的登录表单只会来自microsoft.com、live.com或outlook.com。如果发现有任何来自其他URL的Microsoft登录表单，请不要使用。相关链接：http://t.cn/Ai9KWpbh 2、未修复的漏洞将影响所有Docker版本所有版本的Docker目前都容易受到“竞态条件”的攻击，这种攻击手段可使攻击者对主机系统上的任何文件都具有读写访问权限，概念验证代码已经发布。该漏洞类似于CVE-2018-15664，它为黑客提供了一个窗口，可以指定的程序开始对资源进行操作之前修改资源路径，归属于时间检查（TOCTOU）类型的错误。相关链接：http://t.cn/Ai9KWgMH3、勒索软件ChaCha利用漏洞工具Fallout传播，根据使用场景勒索不同金额安全研究人员近期发现，ChaCha勒索病毒，也叫Maze勒索病毒，使用漏洞利用工具Fallout,通过钓鱼网站传播，会根据用户使用电脑的场景：家用、服务器或工作站确定勒索金额。相关链接：http://t.cn/Ai9Klupt4、Leicester足球俱乐部官网遭黑客入侵，客户支付信息泄露Leicester足球俱乐部表示其官网https://shop.lcfc.com/遭黑客入...

发布时间: 2019 - 06 - 04

查看详情 >>

Winnti后门爆出Linux版本，与Winnti 2.0 Windows存在相似性旗舰店

1、 Winnti后门爆出Linux版本，与Winnti 2.0 Windows存在相似性Winnti恶意软件系列于2013年由卡巴斯基实验室首次报道。Chronicle研究人员确定了一小部分专为Linux系统设计的Winnti样本，Linux版本的Winnti由两个文件组成：一个主后门和一个用于隐藏其活动的库。与其他版本的Winnti一样，恶意软件的核心组件本身并不为运营商提供独特的功能，而是用于直接从命令和控制服务器处理通信和模块部署。Winnti恶意软件使用多种协议处理出站通信，包括：ICMP，HTTP以及自定义TCP和UDP协议。新版本Winnti（Linux和Windows）具有的功能允许操作员直接启动与受感染主机的连接，而无需需要连接到控制服务器。相关链接：http://t.cn/E9is8Jk 2、垃圾邮件内含重定向URL，传播Trickbot银行木马新变种研究人员通过垃圾邮件中的重定向URL发现了Trickbot银行木马新变种。垃圾邮件使用社交媒体图标，内容为准备好发货的已处理订单，电子邮件中的URL会将用户从Google重定向到Trickbot下载网站，下载包含Visual Basic脚本（VBS）的.zip文件，该脚本是Trickbot下载程序。由于其模块化结构，Trickbot可以根据其下载和安装的模块快速部署新功能。Trickbot使用的模块具有可以轻松交换的独特功能，从而实现定制攻击。相关链接：http://t.cn/E9isrFP3、大疆回应美国土安全部数据质疑，安全性经全球验证“华为事件”的热度丝毫未减，美国似乎又将矛头指向了新的目标——DJI大疆。根据CNN报道的内容，美国国土安全部警告称，中国制造的无人机可以向制造商传输飞行数据，从而可能被政府部门获取。尽管并未指明哪个品牌，但美国和加拿大投入使用的无人机80%来自大疆。甚至在近几...

发布时间: 2019 - 05 - 22

查看详情 >>

网页被篡改跳至赌博平台甘孜州一官方网站遭处罚旗舰店

1、网页被篡改跳至赌博平台甘孜州一官方网站遭处罚2019年3月，南充市南部县公安局网安大队对冯某等人利用“博旅理财”项目进行网络传销启动“一案双查”工作，发现四川蓝海创想科技有限公司在明知“博旅理财”项目涉嫌从事网络传销情况下仍然为其提供技术支持。目前南充市南部县公安局网安大队以涉嫌帮助信息网络犯罪活动罪将蓝海创想科技有限公司负责人卢某、杨某刑事拘留。相关链接：http://t.cn/EKVs3Oi 2、德国网络安全局警告卡巴斯基杀毒软件存在安全缺陷德国网络安全机构BSI就卡巴斯基杀毒软件的安全漏洞发出警告，建议用户尽快安装新补丁。虽然该建议不包括基于该缺陷可能网络攻击的任何详细信息，但BSI警告说，黑客只需向其目标发送包含特制文件的恶意电子邮件，在某些情况下，甚至不需要打开该文件。相关链接：http://t.cn/EKVmOJ4 3、部分服务器网络设备供应商将生产迁出中国因为美国将中国商品关税从 10% 上调到 25%，台湾的服务器、无线网络设备和主板制造商正加紧将生产从中国迁移到东南亚或本土。中国有着完整的产业链，而这条产业链上的许多公司不可能或无力搬到其它地方，因此将生产线迁移出中国意味着需要重新调整产业链，寻找新的配套公司。包括广达、英业达和纬创资通在内的台湾服务器制造商占到了全球服务器供应市场的九成以上。它们已经或正在逐步将生产线搬回台湾或搬到东南亚。相关链接：http://t.cn/EKf7Pyv4、网络挖矿组织Pacha Group与Rocke Group在基于云的加密货币挖矿上激烈竞争Pacha Group是一个网络挖矿组织，这个组织早于2019年2月28日在Intezer的博客里做了介绍，针对这个组织发起的攻击可追溯到2018年9月的对Linux服务器的攻击，并利用了先进的规避和保持持久性的技术。近日Intezer新的研究表明，Pacha G...

发布时间: 2019 - 05 - 14

查看详情 >>

APT组织海莲花（OceanLotus）针对中南半岛国家攻击活动的总结分析旗舰店

1、APT组织海莲花（OceanLotus）针对中南半岛国家攻击活动的总结分析相关研究团队发布了针对近期发现的海莲花组织在中南半岛国家的攻击活动的报告。本报告中研究人员对海莲花组织针对越南国内以及越南周边国家新的攻击利用技术、攻击载荷类型、及相关攻击事件进行了详细的分析和总结。海莲花除了会在Windows平台上进行攻击外，还会针对MacOS平台用户发起攻击，比如使用浏览器更新，Flash安装更新包，字体安装包，伪装成文档实际为安装程序的手段进行攻击。相关链接：http://t.cn/EouPWYU2、双尾蝎（APT-C-23）间谍组织利用新Android恶意软件，针对巴勒斯坦进行攻击双尾蝎（APT-C-23）组织的目标主要集中在中东地区，尤其活跃在巴勒斯坦的领土上。从2016年5月起至今，双尾蝎组织（APT-C-23）对巴勒斯坦教育机构、军事机构等重要领域展开了有组织、有计划、有针对性的长时间不间断攻击。攻击平台主要包括 Windows 与 Android。这次的最近攻击样本通过仿冒Acrobat更新，通过显示含有政治主题的诱饵PDF文件，诱骗用户安装使用；恶意软件主要目的为窃取用户手机信息，并对用户手机进行远程控制，新程序继承了APT-C-23下发控制指令的模式，实现了两种向应用推送消息的方式，FCM和SMS通信。程序运行以后会隐藏自身图标，从而保护自身不被卸载。相关链接：http://t.cn/EouPgHI 3、间谍组织Turla使用新的后门工具LightNeuron，针对微软电子邮件服务器安全公司ESET本周二发布报告称，一个名为Turla APT网络间谍组织已经开发并在使用新的后门工具——LightNeuron，这是第一个针对Microsoft Exchange电子邮件服务器的后门。Turla，也被称为Snake、WhiteBear、Ven...

发布时间: 2019 - 05 - 10

查看详情 >>

GandCrab勒索软件最新活动，采取多种规避技术完善传递机制旗舰店

1、 GandCrab勒索软件新活动，采取多种规避技术完善传递机制近日发现一起针对一家日本跨国公司的GandCrab勒索软件活动。 GandCrab是当前威胁领域中流行的勒索软件之一，主要原因是它遵循勒索软件即服务（RaaS）商业模式。这使得任何网络罪犯都能够通过易于操作的平台来使用GandCrab基础架构，并提供全天候在线支持服务。自2018年初出现以来，它一直在不断发展和完善其传递方法以逃避检测。这些技术包括：1.将网络钓鱼电子邮件和武器化的Office文档组合在一起，以便进入目标计算机。2.一个多阶段无文件感染链，使用VBA代码，WMI对象和JavaScript来删除勒索软件；3.利用二进制文件绕过Windows AppLocker并获取勒索软件有效负载；4.从合法的在线文本共享服务中获取恶意负载，如此次攻击中使用的pastebin.com。相关链接：http://t.cn/EojFOCp 2、 Confluence漏洞CVE-2019-3396被广泛利用，传播挖矿软件KerberodsConfluence是一种广泛使用的协作和规划软件。4月份，观察到其漏洞CVE-2019-3396用来执行恶意攻击。安全提供商Alert Logic还发现了此漏洞被利用传播Gandcrab勒索软件。而研究人员新发现此漏洞还被用于传播一个加密货币挖矿恶意软件，其中还包含一个旨在隐藏其活动的rootkit。此次攻击开始时发送一个远程命令下载shell脚本，然后下载挖矿软件Kerberods和khugepageds，而下载的rookit不仅用来隐藏挖矿过程，还可以隐藏某些文件和网络流量，而且它还具有提高机器CPU利用率的能力。相关链接：http://t.cn/EojF3JI 3、币安称 4000 万美元比特币被盗比特币交易所币安发表声明，黑客在一次大规模攻击中窃取了...

发布时间: 2019 - 05 - 09

查看详情 >>

Rootkit(Scranos)使用有效签名,窃取用户登录凭旗舰店

1、 Rootkit(Scranos)使用有效签名,窃取用户登录凭Bitdefender最近发布研究报告称一个具有有效签名的rootkit（被称为Scranos）正在多个国家进行广泛传播，主要用于窃取用户的登录凭据、支付信息和浏览器历史记录，还可用于在社交网络上传播垃圾信息和广告。Scranos伪装成视频驱动程序，安装后，它可以下载攻击者选择的任何有效负载。具体行为如下：目标包括主流浏览器Chrome，Chromium，Firefox，Opera，Edge，Internet Explorer，百度和Yandex，以及来自Facebook，亚马逊，Airbnb，Steam和Youtube的服务。其使用的证书是DigiCert向上海一家健康管理咨询公司颁发的证书，目前证书仍然有效，攻击者可能是盗用了该证书。Bitdefender研究人员称Scranos Rootkit通过不断发展，已经感染了印度、罗马尼亚、巴西、法国、意大利和印尼等国家的用户。相关链接：http://t.cn/EXr0qUI 2、勒索软件BitPaymer新变体利用PsExec进行传播研究人员发现美国一家制造公司遭到勒索软件BitPaymer新变体的攻击。该变体（Ransom.Win32.BITPAYMER.TGACAJ）利用PsExec进行分发，并在赎金票据和加密文件的扩展名中使用了受害公司的名称。由于攻击者至少需要一个具有管理员权限的帐户才能通过PsExec运行命令，这意味着在勒索软件安装之前攻击者已经通过某种手段获得了管理员权限。相关链接：http://t.cn/EXr0fkk3、针对性邮件钓鱼攻击，利用AutoHotkey引擎执行恶意脚本近日，发现了一种潜在的针对性钓鱼攻击，它利用合法的脚本引擎AutoHotkey和恶意脚本文件。此次攻击采用电子邮件附件进行分发，...

发布时间: 2019 - 04 - 19

查看详情 >>

疑似APT-C-27组织利用WinRAR漏洞，对中东地区发起定向攻击旗舰店

1、疑似APT-C-27组织利用WinRAR漏洞，对中东地区发起定向攻击2019年3月17日，360威胁情报中心截获了一例疑似“黄金鼠”APT组织（APT-C-27）利用WinRAR漏洞（CVE-2018-20250）针对中东地区的定向攻击样本。该恶意ACE压缩包内包含一个以恐怖袭击事件为诱饵的Office Word文档，诱使受害者解压文件，当受害者在本地计算机上通过WinRAR解压该文件后便会触发漏洞，漏洞利用成功后将内置的后门程序（Telegram Desktop.exe）释放到用户计算机启动项目录中，当用户重启或登录系统都会执行该远控木马，从而控制受害者计算机。并且从本次捕获到的相关木马样本（Windows和Android平台）的功能模块、代码逻辑、内置信息语言、目标人群、网络资产等信息都和早前曝光的APT-C-27使用的木马样本信息高度相似。相关链接：http://t.cn/ExTfW6k2、Buhtrap木马家族新攻击活动揭露，针对俄罗斯、白俄罗斯金融机构在2018年底至2019年初，Buhtrap木马家族被发现多次针对俄罗斯、白俄罗斯的攻击活动。该家族的木马主要针对俄罗斯、乌克兰等地的金融目标进行攻击活动，根据Group-IB和ESET的研究结果来看，该恶意文件至少从2014年就开始活跃。攻击使用鱼叉攻击方式，针对特定的目标发送钓鱼邮件，诱饵形式主要有三种，分别是doc文档、js脚本、可执行文件。后续有效荷载主要功能有键盘记录、信息收集、下载执行pe等。虽然我们发现的攻击细节跟之前曝光的Buhtrap恶意软件非常的相似，但是由于Buhtrap的源代码在2016年被泄露，因此暂时无更多的证据证明最近的几次攻击为之前的组织所为。相关链接：http://t.cn/ExTfnk33、Cardinal RAT恶意软件家族新版本被发现，持续攻击金融技术行业Cardinal ...

发布时间: 2019 - 03 - 22

查看详情 >>

刚说想吃“日料”马上首位推荐外卖App在“偷听”你说话吗？旗舰店

1、刚说想吃“日料”马上首位推荐外卖App在“偷听”你说话吗？“我的命，我自己操盘”，这是《窃听风云2》中的经典台词，但现实生活中，我们可能连自己手机的麦克风都操盘不了。你遇到过这样的情况吗？刚说了想吃什么，手机里就蹦出了它的推荐；刚说了要买什么，就出现了广告。饿了么、美团等外卖平台身陷“窃听”风波。相关链接：http://t.cn/ExcDvLv2、外媒：一家健康科技公司正在泄露大量医疗记录和处方一家健康科技公司在安全证书失效导致服务器没有密码后，每天泄漏数千张医生药方、医疗记录和处方。这家名不见经传的软件公司来自加利福尼亚州的Meditab，自称是医院、医生办公室和药房领先的电子医疗记录软件制造商之一。该公司为医疗保健提供商处理电子传真，仍然是将患者文件共享给其他提供商和药房的主要方法。相关链接：http://t.cn/Ex5xhJq3、以色列总理候选人遭伊朗网络间谍攻击，个人数据泄露据色列媒体报道，以色列辛贝特国家安全局（Shin Bet internalsecurity service）称，伊朗网络间谍侵入了总理候选人Benny Gantz的手机，暴露了他的个人数据。伊朗黑客干扰了以色列前军事部长Benny Gantz的竞选活动，Benny Gantz是以色列总理Netanyahu下届选举中的主要竞争者。相关链接：http://t.cn/ExxFuGs4、Play Store发现SimBad恶意软件，1.5亿Android用户成受害者3月17日消息，Check Point的IT安全研究人员发现了一个复杂的恶意软件攻击行动，该行动通过谷歌Play Store在全球范围内针对Android用户进行攻击。到目前为止，已有超过1.5亿用户成为该软件的受害者。相关链接：http://t.cn/ExL5vUN1、【高】Microsoft Edge Chakra脚本引擎内存损坏...

发布时间: 2019 - 03 - 19

查看详情 >>

GandCrab勒索软件冒充公安机关进行鱼叉邮件攻击旗舰店

1、GandCrab勒索软件冒充公安机关进行鱼叉邮件攻击不法分子正在使用GandCrab5.2勒索病毒对我国政府部分政府部门工作人员进行鱼叉邮件攻击。攻击邮件主题为“你必须在3月11日下午3点向警察局报到！”。GandCrab勒索病毒是国内目前活跃的勒索病毒之一，在短时间内进行了多个版本的更新迭代。该病毒在国内擅长使用弱口令爆破，挂马，垃圾邮件传播，该病毒由于使用了RSA+Salsa20的加密方式。无法拿到病毒作者手中私钥常规情况下无法解密。在本次针对我国政府部门的攻击附件中直接包含了exe文件，通过包含空格的超长文件名进行伪装。因此用户对邮件附件应该仔细分辨。相关链接：http://t.cn/EMBmMpQ 2、新POS恶意软件GlitchPOS商业化运作，在犯罪论坛上公开销售Cisco Talos最近发现了一个新的POS恶意软件，攻击者在犯罪软件论坛上销售这些恶意软件。这种恶意软件被称为“GlitchPOS”，据分析该恶意软件的作者Edbitss还开发过DiamondFox L!NK僵尸网络。VisualBasic开发的打包程序可以保护这种恶意软件。从表面上看，它是一款虚假游戏。解码后，可以访问GlitchPOS，这是一个用VisualBasic开发的内存抓取器。恶意软件通过C2服务器接受任务，命令通过C2服务器直接发送的shellcode执行。窃取的数据通过与购买恶意软件用户的控制面板显示。相关链接：http://t.cn/EMBmCct 3、DMSniff恶意软件包含域生成算法，主要攻击中小餐饮娱乐企业最近，Flashpoint的研究人员发现攻击者利用DMSniff恶意软件攻击餐饮娱乐行业的中小型企业。DMSniff还使用域生成算法（DGA）来动态创建命令和控制域列表，这样即使域名被执法部门，技术公司或托管服务提供商删除，恶意软件仍然可以通信和接收命令或共享被盗数据...

发布时间: 2019 - 03 - 15

查看详情 >>

VRVNAC桌面监控携带恶意程序，影响用户包括公安等单位旗舰店

1、VRVNAC桌面监控携带恶意程序，影响用户包括公安等单位近期，发现VRVNAC“桌面监控”软件携带恶意程序，这款被病毒污染的VRVNAC软件广泛应用于公安、气象等行业单位。经分析该恶意代码早在2015年就被该组件携带，至今仍未修正该问题。被感染的网页文件，执行条件比较苛刻（需要IE6浏览器内核渲染，并设置浏览器安全等级为低），所以在实际用户环境中不容易被激活。在构造了上述环境并通过IE浏览器加载该页面激活改病毒后，病毒代码会尝试释放并执行恶意代码，进而感染EXE、DLL、HTML、HTM文件，用于传播自身。相关链接：http://t.cn/EM8UIaR2、挖矿木马病毒PsMiner利用多个高危漏洞进行传播最近，360 Total Security团队截获了一个用Go编写的新蠕虫PsMiner，它使用CVE-2018-1273，CVE-2017-10271，CVE-2015-1427，CVE-2014-3120等高风险漏洞，还有系统弱密码传播，利用漏洞入侵设置ElasticSearch，Hadoop，Redis，Spring，Weblogic，ThinkPHP和SqlServer服务器机器，入侵后使用受害机器挖掘加密货币。在利用漏洞入侵用户设备后，会下载并执行后续病毒模块，并扩散PsMiner漏洞，使用开源挖掘工具Xmrig CPU Miner来挖掘Monroe币。相关链接：http://t.cn/EM8UN443、Ursnif木马新变种，使用新隐身机制并完善其他功能模块自2019年初以来，Cybereason的研究人员一直在观察一个针对日本用户的活动。与之前的活动一样，此次最新攻击始于电子邮件的武器化Office文档附件，恶意文档要求用户启用宏。在检测完目标环境后，会加载Bebloh有效负载，并从C2服务器下载Ursnif木马程序。此次的Ursnif木马新变种使用了新...

发布时间: 2019 - 03 - 14

查看详情 >>

“匿影”挖矿病毒挖取新兴货币，利用网盘作为C2服务器旗舰店

1、“匿影”挖矿病毒挖取新兴货币，利用网盘作为C2服务器近期，有一个挖门罗币和BEAM币的“匿影”挖矿病毒，该病毒打包了方程式攻击工具包，在内网中利用永恒之蓝（Eternalblue）和双脉冲星（DoublePulsar）进行横向传播。不同于以往的僵尸网络，该病毒的C&C服务器，需要通过EmerDNS、Namecoin这类基于区块链的加密货币进行转换，进而得到真实的地址信息，由于这类区块链去中心化、匿名等特点，导致它们无法被某个机构统一关停，危害较大。该病毒关键部分的代码使用了Themida和VMP保护，提高了研究人员逆向分析的难度，所涉及到的域名和服务器均由第三方服务商提供。相关链接：http://t.cn/EMajJXF2、BuleHero病毒又现新变种，增加thinkphp5漏洞利用近期，BuleHero蠕虫病毒最新变种攻击被发现，该变种延续了以往版本的多个漏洞利用攻击方式，新增加了thinkphp5漏洞（CNVD-2018-24942）利用攻击，木马在攻陷的电脑植入挖矿木马挖矿门罗币，同时下载扫描攻击模块对针对局域网以及外网IP进行扩散攻击。同时该木马还利用了永恒之蓝漏洞（MS-17-010）、Apache Struts2远程代码执行漏洞（CVE-2017-5638）、WebLogic WLS组件远程代码执行漏洞（CVE-2017-10271）、Tomcat PUT方式任意文件上传漏洞（CVE-2017-12615）。在攻击过程中还使用了mimikatz搜集登录密码，并利用字典进行远程爆破。相关链接：http://t.cn/EMaYjeu3、委内瑞拉部长宣布该国大规模停电可能由美国网络攻击造成上周，委内瑞拉遭遇了一场灾难大停电，停电袭击了该国23个州中的22个州以及首都加拉加斯。星期六，委内瑞拉通信和信息部长豪尔赫罗德里格斯宣布停电的原因是古里水力发电厂遭受...

发布时间: 2019 - 03 - 12

查看详情 >>

APT组织TransparentTribe多次针对印度政府、军事机构开展鱼叉攻击旗舰店

1、APT组织TransparentTribe多次针对印度政府、军事机构开展鱼叉攻击2019年初，有安全公司检测到了多起针对印度政府部门、军事目标等的攻击活动，诱饵内容包括'印度空袭分裂主义组织'、'联合国军事观察员'等。经过分析关联确认，攻击组织为TransparentTribe APT组织。该组织的攻击采用鱼叉攻击的方式，诱饵主要有两种类型，xls和doc，诱饵内容跟印度相关，攻击基本都是利用office的宏命令来加载恶意程序。恶意软件启动后，会上传本地机器信息并修改注册表加入自启动。随后接受远程指令进行下一步操作，该rat支持超过20多个指令功能，包括截屏，键盘记录，木马跟新，上传文件等功能。doc文件的RAT最终被确认的RAT家族为CrimsonRAT，xls加载的为PeppyRAT。根据关联分析，该组织可能与Gorgon Group有关。相关链接：http://t.cn/EImG3V82、PINCHY SPIDER利用GandCrab勒索病毒瞄准大型企业近日，CrowdStrike 观察到SPIDER分支机构在企业环境中部署GandCrab勒索病毒，GandCrab是由PINCHY SPIDER所开发的勒索软件，他们通过合作计划将勒索软件卖给客户再与之分成。在2月份PINCHY SPIDER发布了GandCrab的5.2版本，它不受早期版本GandCrab开发的解密工具的影响。最近的攻击者通过最初感染主机的被盗凭证，在受害者网络中横向传播，并部署勒索软件。与其他勒索事件不同的是，PINCHY SPIDER通常要求企业单笔支付一定数额的赎金来解锁整个企业。因此可以分析他们通常是有目的性，针对性的选择攻击目标。相关链接：http://t.cn/EImGFFF3、IBM研究团队在多个访客管理系统中发现19个安全漏洞IBM X-Force研...

发布时间: 2018 - 12 - 24

查看详情 >>