每日安全简讯(20190205)

1 PUSIKURAC组织新活动传播Orcus RAT木马

研究人员观察到释放Orcus RAT木马的高度复杂的新攻击活动，研究人员基于恶意软件中的独特字符串，将该攻击组织称为PUSIKURAC。攻击流处理过程如下:持久的VBscript执行PowerShell脚本，下载由ConfuserEx进行模糊处理和加密的.NET可执行文件，该可执行文件为下载程序，由无效的Notepad ++证书签名。然后可执行文件通过劫持事件查看器注册表执行已知的UAC绕过以获得最高权限。具有最高权限的运行的进程将下载合法的以Ramadan（斋月）主题的可口可乐广告视频，其中包含嵌入式.NET Orcus RAT。PUSIKURAC特别关注信息窃取和.NET逃避，在执行攻击之前，通过FreeDns服务注册域名，还利用合法的免费文本存储服务。


https://blog.morphisec.com/new-campaign-delivering-orcus-rat

---

2 安全厂商披露Collection#1幕后黑客为C0rpz

安全厂商披露数据泄露集合Collection #1的幕后黑客为C0rpz。Collection #1是一个1,160,253,228个独特电子邮件地址组合和相应密码的数据泄露集合。包括Clorox在内的多个攻击组织在暗网中分发这些数据，Clorox于2019年1月17日发布了7个url到文件共享服务MEGA上的独立数据库，其中包含三种不同的用户凭证变体：电子邮件地址和密码，用户名和密码以及手机号码和密码。研究人员进一步分析表示，真正的幕后黑客为C0rpz，最早在2019年1月7日发布该数据库。研究人员猜测这些凭证可能被用于网络钓鱼攻击。


https://www.recordedfuture.com/collection-1-data-breach/

---

3 Google Play商店存在多种恶意美颜相机应用

研究人员在Google Play中发现了多款恶意美颜相机应用，它们能够访问可用于恶意目的的远程广告配置服务器。部分应用已经被下载了数百万次，占比最大的下载量来自亚洲，尤其是印度。恶意应用被下载后，会将其图标从应用程序列表中隐藏，使得用户更难以卸载该应用程序。此外，恶意应用使用打包器来防止被分析。当用户解锁设备时，部分恶意应用会推送全屏广告，包括付费应用的恶意广告。恶意应用还会重定向到钓鱼网站，要求用户提供个人信息。另外一部分恶意应用代码使用base64编码两次，提供用户虚假的美化上传图片的功能，但实际上是收集图片用于恶意目的。目前谷歌已将以上恶意应用删除。


https://blog.trendmicro.com/tren ... cts-their-pictures/

---

4 加拿大奥林匹亚金融集团遭受勒索软件攻击

2019年2月2日，加拿大奥林匹亚金融集团有限公司的信息技术系统遭受勒索软件攻击。用于实施攻击的恶意软件加密了存储在奥林匹亚网络上的电子数据，因此无法读取或使用。奥林匹亚目前仍在调查袭击的严重程度，但预计在重建系统的过程中，奥林匹亚的商业运营将在几天内受到不利影响。


http://globenewswire.com/news-re ... e-Cyber-Attack.html

---

5 Oracle VirtualBox中存在网络拒绝服务漏洞

安全团队近日发现了跨平台虚拟化产品Oracle VirtualBox中存在网络拒绝服务（DoS）漏洞，漏洞ID为CVE-2019-2527。此DoS漏洞是由从虚拟机（VM）发送的精心制作的TCP会话引起的，该会话导致主机上的NAT进程崩溃，并且同一NAT网络中的所有VM都将丢失其网络连接。此DoS漏洞影响5.2.26和6.0.4之前的VirtualBox版本。


https://www.fortinet.com/blog/th ... -vulnerability.html

---

6 安全研究：正在日益兴起的Robocall骗局

Robocall是一种电话呼叫方式，其中用户回答并听到的是预先录制的消息。该技术可以帮助各个领域的公民，例如提醒即将到来的飓风，提醒患者预约等等。然而，诈骗者发现利用其廉价且通过可隐藏身份特点，从世界任何地点打电话来进行金钱诈骗，并诱骗用户泄露个人数据。其中“邻居欺骗”是一种常用的方法，诈骗者的号码伪装成让接收者看起来很熟悉以避免怀疑。最近的一项研究中表示，预测在2019年美国接收到的移动电话几乎大部分电话都是欺诈性的。


https://cyware.com/news/ins-and- ... n-the-rise-19cacc71

---