每日安全简讯(20190206)

1 研究人员发现新Linux木马SpeakUp攻击活动

研究人员发现了一项利用Linux服务器植入新后门木马的新攻击活动，该木马被称为SpeakUp。SpeakUp利用六种不同Linux发行版中已知的漏洞，针对东亚和拉丁美洲的服务器，包括AWS托管机器展开攻击，并且逃避了所有安全厂商的检测。攻击活动最初的感染向量使用ThinkPHP漏洞CVE-2018-20062，使用命令注入技术上传服务并执行Perl后门的PHP shell。使用用户代理UA与C2进行通信。SpeakUp配备了名为“i”的python脚本，用于扫描并感染更多Linux服务器，一旦成功利用远程代码执行漏洞，将部署原始ibus脚本。
研究人员通过用户代理关联到名为“zettabithf”论坛用户，其所开发的LiteHTTP僵尸网络与SpeakUp模块相似，字符串重叠，该用户使用俄语。研究人员表示SpeakUp可能与东亚之间存在联系。目前，SpeakUp为挖矿工具XMRig提供对受感染服务器的监听。


https://research.checkpoint.com/ ... kdoor-linux-trojan/

---

2 新恶意Android应用伪装成韩国交通应用插件

移动安全研究团队了解到一种新的恶意Android应用程序伪装成由韩国开发人员开发的交通应用程序系列的插件。该系列共有四个应用程序，其中三个应用程序自2013年起可从Google Play上下载，另一个从2017年左右可从Google Play上下载。每个应用程序都有一个特定版本，将恶意软件释放设备上。用户安装恶意应用程序后，将从被黑客入侵的Web服务器下载额外的有效载荷，其中包括最初获取的恶意插件。恶意插件将在设备上安装木马，试图欺骗用户输入他们的谷歌帐户密码并完全控制该设备。恶意软件使用本机库来接管设备，并删除该库以逃避检测。它使用流行的韩国服务名称Naver、KakaoTalk等。目前，受感染设备的数量非常少，四个应用程序都已从Google Play中删除。


https://securingtomorrow.mcafee. ... ars-of-development/

---

3 超48.5万个Ubiquiti设备被用于DDoS攻击

安全人员发现了Ubiquiti设备正在被利用使用在10001端口上的UDP服务进行DDoS攻击，该问题自18年7月开始存在。攻击者正在向Ubiquiti设备上的10001端口发送56个字节的小数据包，这些数据包反映并将数据包中继到目标的IP地址，并扩展到206字节。研究人员表示通过这种攻击向量进行的DDoS攻击没有造成任何重大中断，但该端口也会影响其它无线网络设备。受影响Ubiquiti设备主要位于巴西、美国、西班牙等。目前相关安全公司已经发布关于该问题的解决方案。


https://www.zdnet.com/article/ov ... able-to-new-attack/

---

4 开源办公套件LibreOffice修复远程脚本缺陷

研究人员发现了存在于开源办公套件LibreOffice和Apache OpenOffice的安全漏洞。通过触发嵌入在ODT（OpenDocument Text）文件中的事件来实现远程代码执行。漏洞ID为CVE-2018-16858。研究人员已经报告了该漏洞，其中LibreOffice已经彻底修复，而OpenOffice仍未修补该漏洞。


https://www.theregister.co.uk/20 ... penoffice_no_patch/

---

5 数字标牌系统TRMS存在任意文件读取漏洞

安全研究人员发现了Tightrope Media Systems数字标牌系统中的几个严重漏洞。漏洞CVE-2018-18929，是由于默认管理员密码未更改，导致攻击者能够访问此系统的Web界面。在获得对Web界面的访问权限后，将导致CVE-2018-14573漏洞，允许攻击者通过RenderingFetch API函数在系统上进行任意文件读取（LFI）。研究人员还发现了另一个漏洞CVE-2018-18931，该漏洞允许攻击者将用户帐户的权限升级为本地管理员，在利用漏洞时需要重新启动系统。


https://www.drewgreen.net/vulner ... a-systems-carousel/

---

6 Huddle House的POS系统遭到恶意软件入侵

美国连锁餐饮店Huddle House表示，攻击者入侵了第三方销售点（PoS）供应商的网络，并使用该供应商的“辅助工具”进行远程访问并在PoS系统上部署恶意软件。该恶意软件旨在从支付卡的磁条中获取信息，包括姓名、卡号、有效期、服务代码和信用卡安全代码。Huddle House表示该攻击可能影响自2017年8月以来的交易，目前已经实施了额外的网络安全措施以防止未来的攻击，该事件正在继续调查中。


https://www.securityweek.com/hud ... payment-card-breach

---