每日安全简讯(20180825)

1 研究人员发现模块化下载器AdvisorsBot变种

Proofpoint的研究人员近日观察到两起关于收集用户信息的新模块化下载器AdvisorsBot的恶意软件活动，其属于APT组织TA555。在8月8日的第一起活动中，攻击者使用宏来执行PowerShell命令，该命令下载另一个PowerShell脚本。此脚本执行嵌入式shellcode，运行AdvisorsBot而不将其写入磁盘。此恶意软件是用C语言编写的，采用了许多反分析功能。在8月15日第二次活动中，攻击者使用嵌入在PowerShell脚本中的.NET DLL对AdvisorsBot进行重写，此变体称为PoshAdvisor。新变体与AdvisorsBot在URI生成和格式、C＆C响应格式和加密、模块下载和执行功能与系统指纹识别功能相同。与此相关的活动有待进一步观察。


https://www.proofpoint.com/us/th ... -part-2-advisorsbot

---

2 IoT僵尸网络Mirai变种具备跨平台感染能力

赛门铁克发现基于Linux的Mirai IoT恶意软件新变体，支持多平台的感染。Mirai首先在易受攻击的设备上触发shell脚本，shell脚本依次尝试逐个下载和执行各个可执行文件，直到找到符合当前体系结构的二进制文件。二进制文件利用名为Aboriginal Linux的开源项目创建，并且与多个架构和设备兼容，使其可在路由器、IP摄像头、连接设备，甚至是Android设备上执行。当研究人员执行样本时，发现其尝试扫描通过先前随机生成的500000多个IP地址，然后尝试通过端口23发送原始分组数据。


https://www.symantec.com/blogs/t ... -platform-infection

---

3 研究者揭示OpenSSH客户端用户枚举漏洞

NVISO实验室的安全研究人员对OpenSSH客户端中的用户枚举漏洞CVE-2018-15473进行了研究。此漏洞体现在OpenSSH的多个身份验证功能中，在Python PoC脚本中实现。通过向OpenSSH服务器发送格式错误的公钥认证消息，可以确定是否存在特定用户名。如果用户不存在，则将向客户端发送身份验证失败消息。如果用户存在，则无法解析消息将中止通信，连接将关闭而不发回任何消息。这个漏洞存在的原因时在完全解析消息之前，会发生关于用户名不存在的通信。研究人员称通过完全解析消息然后进行通信的反转逻辑，可以修复漏洞。


https://blog.nviso.be/2018/08/21 ... ility-a-close-look/

---

4 Apache Struts存在远程代码执行严重漏洞

安全研究人员在Apache Struts中发现远程代码执行（RCE）漏洞CVE-2018-11776。该漏洞是由于基于Java的开源Web应用程序的Struts开发框架核心中不受信任的用户数据验证不足而产生。根据Struts的配置，攻击者可以在服务器上执行远程代码，在URI查询中发送带有OGNL表达式的恶意HTTP请求时，该查询用于识别例如文档等资源。Apache Struts在其大多数进程中使用OGNL，可以使攻击者轻松地远程执行任意代码。Apache Struts版本2.3到2.3.34和2.5到2.5.16的用户会受到影响。Apache已经发布修复此漏洞的新版本。


https://www.trendmicro.com/vinfo ... nd-in-apache-struts

---

5 Photoshop CC发布关键缺陷的紧急补丁

Adobe发布一个带外安全更新，以解决影响Windows和macOS平台的Adobe Photoshop CC两个关键远程代码执行漏洞。Photoshop CC软件的两个严重的内存损坏漏洞标识为CVE-2018-12810和CVE-2018-12811，允许远程攻击者在目标用户的上下文中执行任意代码。漏洞会影响Adobe Photoshop CC 2018版本19.1.5及更早版本19.x版本，以及Adobe Photoshop CC 2017版本18.1.5及更早版本18.x版本。


https://thehackernews.com/2018/08/adobe-photoshop-update.html

---

6 电信巨头T-Mobile美国服务器遭黑客入侵

电信巨头T-Mobile证实，在8月20日其美国服务器的漏洞导致遭遇黑客入侵，可能泄露多达200万T-Mobile客户部分个人信息，包括客户姓名，帐单邮政编码，电话号码，电子邮件地址，帐号和帐户类型，但没有泄露信用卡号，社会安全号或密码等财务信息。T-Mobile网络安全团队称攻击者通过一个不包含任何财务数据或其它非常敏感的数据的API 设法访问T-Mobile服务器，及时发现并关闭了未经授权捕获某些信息。


https://thehackernews.com/2018/08/t-mobile-hack-breach.html

---