每日安全简讯(20230427)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 安天发布报告披露利用XLL投递Qbot木马攻击活动

安天CERT发现了一起利用恶意Microsoft Excel加载项（XLL）文件投递Qbot银行木马的恶意活动。攻击者通过发送垃圾邮件来诱导用户打开附件中的XLL文件，一旦用户安装并激活Microsoft Excel加载项，恶意代码将被执行。随后，恶意代码会在用户主机上进行层层解密，最终释放出Qbot银行木马。Qbot银行木马主要通过垃圾邮件进行传播。该银行木马在执行过程中多次解密，利用加载器加载执行恶意功能躲避反病毒软件的静态查杀，利用计划任务实现自启动，能够在受害主机上获取屏幕截图、收集目标系统信息和获取浏览器Cookie信息等。攻击者还能够利用从用户处窃取的数据实施后续的攻击活动。

https://mp.weixin.qq.com/s/6RbQ6YQihv5d0Qs1DbNz8g

---

2 APT35部署PowerLess后门发动钓鱼攻击

网络安全公司Check Point观察到伊朗民族国家威胁参与体APT35（或Mint Sandstorm，以前称为 Phosphorus）与针对以色列的新一波网络钓鱼攻击有关，该攻击旨在部署名为PowerLess的后门的更新版本。APT35至少从2011年开始活跃，通过利用虚假社交媒体角色、鱼叉式网络钓鱼技术和暴露在Internet上的应用程序中的N-day漏洞来获取初始访问权限并投放各种有效负载（包括勒索软件）。

https://thehackernews.com/2023/04/iranian-hackers-launch-sophisticated.html

---

3 Mirai利用TP-Link路由器漏洞进行传播

Mirai恶意软件僵尸网络正在积极利用跟踪为CVE-2023-1389的TP-Link Archer A21 (AX1800) WiFi路由器漏洞将设备整合到DDoS（分布式拒绝服务）中。该问题是TP-Link Archer AX21路由器Web管理界面的区域设置API中的高危 (CVSS v3: 8.8) 未经身份验证的命令注入漏洞。该漏洞于2023年1月被披露给TP-Link  ，TP-Link在新固件更新中发布了修复程序。在野利用迹象在2023年4 月11日变得明显，现在在全球范围内检测到恶意活动。

https://www.bleepingcomputer.com/news/security/tp-link-archer-wifi-router-flaw-exploited-by-mirai-malware/

---

4 攻击者利用新SLP漏洞放大DDoS攻击

SLP是一种服务发现协议，它使计算机和其他设备可以在局域网中找到服务，例如打印机、文件服务器和其他网络资源。新发现的漏洞被分配了跟踪为CVE-2023-29552（CVSS 评分：8.6），据说影响了2000多个全球组织和超过54000个可通过互联网访问的SLP实体。有关影响服务定位协议 ( SLP )的高严重性安全漏洞的详细信息已经出现，利用此漏洞的攻击者可以利用易受攻击的实例发起高达2200倍的大规模拒绝服务 (DoS) 放大攻击，这可能使其成为有史以来最大的放大攻击之一。

https://thehackernews.com/2023/04/new-slp-vulnerability-could-let.html

---

5 VMware修复Pwn2Own大赛发现的两个漏洞

VMware已发布更新以解决影响其Workstation和Fusion软件的多个安全漏洞，其中最严重的漏洞可能允许本地攻击者实现代码执行，该漏洞被跟踪为CVE-2023-20869（CVSS 评分：9.3），为基于堆栈的缓冲区溢出漏洞，存在于与虚拟机共享主机蓝牙设备的功能中。另外一个为影响相同功能的越界读取漏洞（CVE-2023-20870，CVSS 分数：7.1）。这两个漏洞在温哥华举行的Pwn2Own黑客大赛上，由STAR Labs研究人员证明，研究人员由此获得80000美元的奖励。

https://thehackernews.com/2023/04/vmware-releases-critical-patches-for.html

---

6 标致公司南美用户信息泄露

Stellantis旗下的法国汽车品牌法国标致汽车泄露了南美用户信息，泄露的信息包含：完整的 MySQL 数据库统一资源标识符 (URI)、JSON Web Token (JWT) 密码以及私钥和公钥的位置、指向站点的git存储库链接等。该公司还泄露了访问数据集所需的凭据。攻击者可以使用此数据登录、泄露或修改数据集的内容。

https://securityaffairs.com/145253/security/peugeot-leaks-access-to-user-information-in-south-america.html

---