每日安全简讯(20230915)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员披露Gamaredon组织的基础设施

Gamaredon（也称为 Primitive Bear、Actinium 或 Shuckworm）是一个俄罗斯高级持续威胁 (APT) 组织，至少自 2013 年以来一直活跃，历史上遍及美国和印度次大陆，最近又在乌克兰，包括据报道对乌克兰发动的攻击西方政府实体。Gamaredon 是一个高度好战的威胁组织，他们与其他 APT 组织使用的标准打了就跑的战术不同，它传播严重混淆且具有独特攻击性的持续攻击。该组织利用鱼叉式网络钓鱼和社会工程来传播隐藏在 MS Word 文档中的恶意软件。一旦打开文档并且用户满足一个或多个条件（例如地理位置、设备类型和系统规范），使用 MS Word 可以通过将有效负载托管在从攻击者控制的服务器下载的模板上来对抗静态分析。 Gamaredon 组织最近尝试使用 MS Word 模板从 samiseto[.]ru 域注入恶意软件。

https://www.silentpush.com/blog/from-russia-with-a-71

---

2 APT36组织利用ElizaRAT恶意软件针对印度政府部门发起网络攻击

2023 年 7 月，研究人员发现巴基斯坦高级持续威胁组织 (APT36) 持续进行的新恶意活动。APT36 是一个复杂的网络威胁组织，有在南亚开展有针对性的间谍活动的历史。研究人员观察到 APT36 针对印度政府部门使用了以前未记录的 Windows RAT、新的 Linux 网络间谍实用程序、新的分发机制以及针对 Linux 环境的新攻击向量。 APT36 组织使用的自定义 RAT（称为 ElizaRAT）已合并到该组织工具包中。ElizaRAT 以 .NET 二进制文件形式提供，并通过 Telegram 建立 C2 通信通道，使威胁参与者能够对目标端点进行完全控制。APT36 现在拥有针对印度政府部门基于 Linux 的端点的 Linux 桌面配置文件的创新武器化。

https://www.zscaler.com/blogs/security-research/peek-apt36-s-updated-arsenal

---

3 俄罗斯记者的苹果手机遭到零点击间谍软件的攻击

俄罗斯著名记者兼政府批评者 Galina Timchenko 的 iPhone 遭到了 NSO Group 的 Pegasus 间谍软件的攻击。据说渗透发生在 2023 年 2 月 10 日左右。目前尚不清楚是谁在设备上部署了恶意软件。在感染期间，她的设备定位于 GMT+1 时区，她报告说她在德国柏林。感染后的第二天，她计划与在欧洲的其他俄罗斯独立媒体负责人一起参加一次私人会议，讨论如何应对普京政权的威胁和审查制度。此次泄露是通过一种名为 PWNYOURHOME 的零点击漏洞促成的，该漏洞于 2023 年 4 月曝光，该漏洞结合了 iOS 的 HomeKit 和 iMessage 来破坏BlastDoor 保护。这一调查结果是在 Timchenko 于 2023 年 6 月 23 日收到苹果公司的威胁通知后得出的，该通知称，国家支持的攻击者可能已经瞄准了她的 iPhone。

https://thehackernews.com/2023/09/russian-journalists-iphone-compromised.html

---

4 Mozilla发布补丁以抵御攻击中可被利用的零日漏洞

Mozilla 今天发布了紧急安全更新，以修复在野外被利用的严重零日漏洞，影响其 Firefox 网络浏览器和 Thunderbird 电子邮件客户端。该安全漏洞被追踪为CVE-2023-4863，是由 WebP 代码库 (libwebp) 中的堆缓冲区溢出引起的，其影响范围从崩溃到任意代码执行。打开恶意 WebP 图像可能会导致内容处理中的堆缓冲区溢出。Mozilla 解决了 Firefox 117.0.1、Firefox ESR 115.2.1、Firefox ESR 102.15.1、Thunderbird 102.15.1 和 Thunderbird 115.2.2 中被利用的零日漏洞。

https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/

---

5 攻击者可利用Kubernetes漏洞对Windows端点进行远程攻击

研究人员发现可以利用 Kubernetes 中发现的三个相互关联的高严重性安全漏洞，在集群内的 Windows 端点上以提升的权限实现远程代码执行。这些问题编号为 CVE-2023-3676、CVE-2023-3893 和 CVE-2023-3955，CVSS 分数为 8.8，影响所有具有 Windows 节点的 Kubernetes 环境。该漏洞允许在 Kubernetes 集群内的所有 Windows 端点上以系统权限远程执行代码。要利用此漏洞，攻击者需要在集群上应用恶意 YAML 文件。CVE-2023-3676允许具有应用权限的攻击者注入将在具有 SYSTEM 权限的远程 Windows 计算机上执行的任意代码。

https://thehackernews.com/2023/09/alert-new-kubernetes-vulnerabilities.html

---

6 Rollbar公司披露黑客窃取其访问令牌后导致数据泄露

软件错误跟踪公司 Rollbar 在 8 月初未知攻击者入侵其系统并获得客户访问令牌后，披露了一次数据泄露事件。Rollbar 于 9 月 6 日在审查数据仓库日志时发现了这一安全漏洞，该日志显示服务帐户被用来登录基于云的错误监控平台。一旦进入 Rollbar 的系统，威胁行为者就会在该公司的数据中搜索云凭证和比特币钱包。Rollbar 的后续调查发现，攻击者在 2023 年 8 月 9 日至 8 月11日的三天内访问了其系统。在 Rollbar 的服务器内部，他们访问了敏感的客户信息，包括用户名和电子邮件地址、帐户名称以及项目信息，例如环境名称和服务链接配置。

https://twitter.com/troyhunt/status/1700531521835454502

---