每日安全简讯(20160904)

1、谷歌市场约40款应用感染恶意软件DressCode
2、大量恶意广告活动劫持用户至Neutrino EK网页
3、安全团队揭示百家木马冒领数字签名免杀手法
4、黑客组织泄露亚美尼亚政府服务器敏感数据
5、Inteno路由器漏洞可远程劫持及监听网络流量
6、D-Link路由器固件后门，导致内网域名劫持

【安天CERT】搜集整理（来源：softpedia、securityweek、freebuf、securityaffairs、ibtimes、freebuf）

[20160904]


1、谷歌市场约40款应用感染恶意软件DressCode
【发布厂家：CHECKPOINT】
DressCode本来是众多游戏的统称，他们用来教用户如何穿衣。但是这里是指病毒作者靠这些来隐藏其恶意代码。
研究发现除了这些正式的谷歌商店存在的40款app外，其余的非正式的商店中还有大约400款含有恶意代码的类似app.
感染该病毒后，会将这些设备设置为代理服务器，从而对企业内网发起攻击，同时盗取部分服务器的敏感信息。
这些活动从2016年4月份就已经开始了，大约半年后，是在CHECKPOINT等 安全厂商的帮助下，才开始成功清除的。
根据事后Google的官方统计，DressCode恶意代码感染了大约50万到200万用户，其下载量在10万到50万之间。
含有恶意代码的包名（43个）：
com.dark.kazy.goddess.lp
com.whispering.kazy.spirits.pih
com.shelter.kazy.ghost.jkv
com.forsaken.kazy.game.house
com.dress.up.Musa.Winx.Stella.Tecna.Bloom.Flora
com.dress.up.princess.Apple.White.Raven.Queen.Ashlynn.Ella.Ever.After.High
com.monster.high.Dracubecca.freaky.Fusion.draculaura
com.dress.up.Cerise.Hood.Raven.Queen.Apple.White.Ever.After.Monster.High
com.ever.after.high.Swan.Duchess.barbie.game
com.cute.dressup.anime.waitress
com.rapunzel.naughty.or.nice
guide.slither.skins
clash.royale.guide
guide.lenses.snapchat
com.minecraft.skins.superhero
com.catalogstalkerskinforminecraft_.ncyc
com.applike.robotsskinsforminecraft
com.temalebedew.modgtavformcpe
com.manasoft.skinsforminecraftunique
com.romanseverny.militaryskinsforminecraft
com.temalebedew.animalskinsforminecraft
com.temalebedew.skinsoncartoonsforminecraft
com.str.carmodsforminecraft
com.hairstyles.stepbystep.yyhb
com.str.mapsfnafforminecraft
com.weave.braids.steps.txkw
mech.mod.mcpe
com.applike.animeskinsforminecraftjcxw
com.str.furnituremodforminecraft
com.vladgamerapp.skin.editor.for_.minecraft
ru.sgejko.horror.mv
com.vladgamerapp.skins.for_.minecraft.girls
com.zaharzorkin.cleomodsforgtasailht
com.temalebedew.ponyskins
com.my.first.date.stories
com.gta.mod.minecraft.raccoon
com.applike.hotskinsforminecraft
com.applike.serversforminecraftpe
com.zaharzorkin.pistonsmod
wiki.clash.guide
mobile.strike.guide
prank.calling.app
sonic.dash.guide


2、大量恶意广告活动劫持用户至Neutrino EK网页
【发布厂家：CISCO】
目前虽然这些活动已经停止，但是显然他们还会回来的。不过会变换面目。
其利用的是Adobe Flash的漏洞利用工具包EK，为了防止黑客达到目的，只好建议用户卸载Adobe Flash

3、安全团队揭示百家木马冒领数字签名免杀手法
[CHN]
【发布厂家：腾讯发病毒实验室】
“百家”是个木马集团的名字。


4、黑客组织泄露亚美尼亚政府服务器敏感数据
可能是入侵内部人员造成的信息泄露，而不是控制了整个系统。


5、Inteno路由器漏洞可远程劫持及监听网络流量
【发现厂家：F-SECURE】
该路由器为家用路由器，生成于瑞典。http://inteno.se/Hem.aspx。
这家芬兰的生产厂家看来不是是否配合安全厂商的工作。
当然不止他们一家，我们可以从Shodan上依然可以发现很多类似漏洞，以及利用细节，但是就是依然未修补。


6、D-Link路由器固件后门，导致内网域名劫持
{CHN}


=============================================
点评1：Google商店含有恶意代码的上一个比较大的发现出现在一个月前的8月3日，由大蜘蛛公布。
相关链接可以参考：
[20160803.1]发现155款感染，下载280万次；
[20160802.2]
[20160717.5]
[20160629.2]


点评2：

点评3：人抓了吗？
另外：恐怕不会是第一次，有很多伪造的数字签名未被公布或者发现：
图


点评4：地缘政治纷争的延续。
可以参考背景资料：
http://tieba.baidu.com/p/4457299825
https://www.douban.com/note/158586435/


点评5：供应链安全，不止是一个国内话题。

点评6：与楼上的有相似之处呀。