每日安全简讯(20190124)

1 研究人员发现仿冒加拿大eTA网站的钓鱼攻击

Anomali Labs 2019年1月16日检测到两个可疑域名，托管了仿冒加拿大政府电子旅行授权（eTA）应用网站，针对有意申请加拿大电子旅行授权（eTA）的外国公民。用户一旦点击虚假页面的“申请加拿大eTA”或“菜单”按钮，就会被定向到申请界面，要求用户填写个人身份信息，包括姓名、居住地、电话号码、出生日期、护照号码。用户提交后会被链接到第三个网络钓鱼诈骗页面，要求用户填写支付信息，如持卡人姓名、信用卡号、有效期、和账单地址。此外，对申请的个人收取100美元的手续费。根据支付页面源代码，攻击者很有可能使用网络分析组件“Piwik PRO”。研究人员还发现了冒充美国旅行授权电子系统（ESTA）的钓鱼页面。


https://www.anomali.com/blog/phi ... t-foreign-travelers

---

2 研究人员披露与Dharma相似的Phobos勒索软件

自12月中旬以来，研究人员观察到名为Phobos的勒索软件，与Dharma变种在技术和操作有许多相似之处。Phobos和Dharma使用几乎相同文本的赎金票据，但Phobos在顶部和底部添加了“Phobos”字样。此外，加密文件名格式也与Dharma变体相同。与Dharma一样，Phobos利用开放或安全性较差的RDP端口入侵网络感染计算机，加密文件后使用.phobos作为扩展名。研究人员发现Phobos和Dharma代码大部分相同，二者都与CrySiS勒索软件有关。常见的反病毒软件会将Phobos检测为CrySiS。


https://www.coveware.com/blog/ph ... ributed-dharma-crew

---

3 研究人员发布STOP勒索软件.rumba变体解密工具

过去一个月中大量STOP勒索软件通过伪装成破解软件的恶意软件安装程序分发，并且在近几日出现了新变体，新变体在加密文件后使用.rumba作为扩展名，赎金票据名为_openme.txt。恶意软件安装程序伪装成Windows激活工具（如KMSPico、Cubase、Photoshop）、防病毒软件以及许多其他破解软件。研究人员已经发布了该勒索软件的解密工具，受感染的用户提供MAC地址、两个加密文件的链接以及赎金票据中的个人ID即可获得解密帮助。


https://www.bleepingcomputer.com ... by-software-cracks/

---

4 ATLAS管理员帐户遭攻击致服务器脱机近5.5小时

ATLAS是由Grapeshot Games开发并推出的大型多人在线游戏。2019年1月17日，ATLAS管理员的Steam帐户遭到攻击，攻击者登录管理员帐户并修改了服务器设置。Grapeshot Games 在其社区论坛上公布了该事件，表示恶意攻击对官方NA PvP网络产生了影响，该公司用大约五个半小时恢复了网络。2019年1月20日，一些玩家发现ATLAS游戏中的技术漏洞，并使用”PewDiePie”向游戏消息系统发送垃圾邮件。游戏开发者再次撤下他们的服务器删除所有垃圾邮件并修复了技术问题。该游戏公司表示将继续调查，并追究所有涉及账户和公司的责任。


https://cyware.com/news/online-s ... al-exploit-b6398048

---

5 DHS发布紧急指令以对抗近日DNS劫持威胁

美国国土安全部（DHS）1月22日发布了一项紧急指令，要求联邦民事机构确保其互联网域名记录的登录凭证，以避免管理域名系统（DNS）记录的平台遭到网络攻击。至少有六个民事机构域名最近受到恶意DNS活动的影响。一旦被入侵，DNS服务器会将用户重定向到植入恶意软件的网站。紧急指令要求政府部门根据订单向其DNS帐户添加多因素身份验证、更改帐户密码、审核其DNS记录以及监控证书日志，并在10个工作日内完成。该指令明确规定，无论政府部门在何处维护其DNS帐户，最终都将对其域名安全策略负责。


https://www.cyberscoop.com/dhs-dns-directive-government-shutdown/

---

6 在线赌场服务器数据泄漏公开1.08亿条投注信息

一家在线赌场发生数据泄露，暴露超过1.08亿条投注信息，包含有关当前投注、获胜、存取款的信息、支付卡详细信息。泄露的用户数据包括真实姓名、家庭住址、电话号码、电子邮件地址、出生日期、网站用户名、帐户余额、IP地址、浏览器和操作系统详细信息、上次登录信息和播放游戏列表。数据从ElasticSearch服务器泄露，ElasticSearch是一种可移植的高级搜索引擎，公司可以安装这些搜索引擎来改进其网络应用的数据索引和搜索功能。此类服务器通常处理公司最敏感的信息，安装在内部网络上，不在线公开。研究人员还在该服务器上发现kahunacasino.com、azur-casino.com、easybet.com和viproomcasino.net等域名，分析表明这些域名来自同一家公司。


https://www.zdnet.com/article/on ... uding-user-details/

---