每日安全简讯(20181223)

1 恶意软件SHAMOON幕后推手疑似为APT33

FireEye通过评估表示一系列入侵和试图入侵机器制造业的活动，幕后组织可能为APT33，并且与最近的破坏性SHAMOON攻击有关，但是目前无法独立证实该说法。APT33早期使用公开可用的工具，后期转为定制植入工具以绕过检测。APT33主要使用Outlook和Exchange作为入侵媒介，研究人员观察到其使用的自定义后门程序POWERTON，使用PowerShell编写，支持多种持久性机制，包括WMI和自动运行注册表项。通过TCP/HTTP（S）与C2通信，并利用AES加密与C2之间的通信流量POWERTON通常作为后期后门进行部署，并对多层进行模糊处理。研究人员表示如果目前关于APT33的攻击推测正确，则表明APT33保留了之前曾未观察到的专有技能。


https://www.fireeye.com/blog/thr ... tive-adversary.html

---

2 黑客利用虚假亚马逊订单活动传播Emotet木马

EdgeWave威胁检测中心发现一项新网络钓鱼活动，伪装成合法亚马逊订单，并要求用户确认，邮件使用哥伦比亚一家床品零售商的域。用户点击确认按钮后，下载Word文档，打开后，触发位于印度尼西亚的宏，下载keyandsymbol.exe，其为Emotet银行木马，Emotet将通过在美国休斯顿和兰辛的受感染服务器下载其它组件。Emote会在后台静默运行，进行键盘记录、窃取帐户信息以及在计算机上执行其它活动。


https://www.edgewave.com/phishing/is-that-you-amazon/

---

3 新版Underminer工具包分发Hidden Bee

Malwarebytes研究人员检测到新版本的Underminer漏洞利用工具包。Underminer在过去几个月中利用CVE-2018-8174（Internet Explorer）和CVE-2018-4878（Flash Player版本28.0.0.137）。新版本使用0day漏洞CVE-2018-15982（Flash Player版本31.0.0.153及更早版本），打包和执行最终有效载荷为特有的Hidden Bee。Hidden Bee是一个自定义有效载荷，具有特定模块，缺少典型PE格式的结构，与使用简单的shellcode相比，更难于分析，并且给攻击者更多的灵活性。


https://blog.malwarebytes.com/th ... s-latest-iteration/

---

4 研究者发布用于创建Facebook蠕虫的验证代码

波兰安全研究人员发布了在Facebook分发垃圾邮件的概念验证代码和细节信息。该PoC利用Facebook平台中的一个漏洞，可用于创建功能齐全的Facebook蠕虫。在移动版的Facebook分享对话框/弹出框中，存在一个点击劫持漏洞，攻击者可以通过iframe元素进行利用。研究人员表示该漏洞的核心问题为Facebook忽略了移动共享对话框的“X-Frame-Options”安全标头，这是防止点击劫持攻击的主要保护。目前桌面版本不受此漏洞影响。安全人员已向Facebook报道了该问题，但是Facebook拒绝修补它。


https://www.zdnet.com/article/re ... ting-facebook-worm/

---

5 MacOS中IBM驱动程序存在内核堆栈溢出漏洞

Trustwave报告了MacOS中IBM Trusteer Rapport的驱动程序存在基于内核的漏洞。IBM Trusteer Rapport是一种安全软件，目的是保护机密数据（如帐户凭证），防止被恶意软件和网络钓鱼窃取。该漏洞的根本原因是验证用户在传递给内核驱动程序函数的结构中，由用户提供的元素数量的签名错误，导致在调用字符串拷贝时出现内核堆栈内存损坏问题。目前该漏洞还没有补丁。


https://www.trustwave.com/en-us/ ... -rapport-for-macos/

---

6 美国联邦调查局查获15个DDoS租用服务网站

美国司法部宣布联邦调查局（FBI）查获了15个与DDoS租用服务（DDoS-for-Hire）相关的域名，并指控了运营其中一些服务的三个人。被称为booters或stressers的服务会对美国和美国以外的多领域造成攻击，包括金融机构、大学、互联网服务提供商、政府系统和各种游戏平台。这些服务提供了攻击基础设施和包括比特币在内的各种支付方式的便利，而且成本相对较低。FBI对每项服务进行了测试，验证了每个被查封网站提供的DDoS攻击服务，确定这些类型的服务可能并且已经导致各级网络中断。


https://www.securityweek.com/us- ... -ddos-hire-websites

---