每日安全简讯(20190314)

1 联合国报告称朝鲜黑客与加密货币交换所失窃有关

联合国发布报告对朝鲜黑客攻击加密货币交易所进行了分析。报告表示朝鲜正在利用强大的网络能力筹集资金，并且涉嫌利用多种方法规避制裁，并称朝鲜黑客在2017年1月至2018年9月期间在亚洲破坏了至少五个加密货币交易所，造成5.71亿美元的损失，其中绝大部分损失源于2018年1月在日本Coincheck交易所的攻击。报告指出加密货币交易对于规避制裁尤其有用，因为数字线索难以追踪，并提供了大量洗钱机会。朝鲜则一直否认对国际目标进行网络攻击。发表该文件的“专家小组”由联合国任命的分析员组成，包括中国、法国、俄罗斯、英国和美国。


https://www.cyberscoop.com/un-re ... currency-exchanges/

---

2 安全厂商发布Powload从无文件到隐写术的演变

Powload也是2018年北美地区最普遍的威胁之一，利用各种技术提供有效载荷，例如信息窃取木马Emotet、Bebloh和Ursnif。趋势科技研究人员检测到的Powload以及其在2018年分析的相关事件和样本数量与2017年相比有显著增加。Powload始终通过垃圾邮件传播，但它采用了不同的方式来提供有效载荷，从绕过文件预览模式等缓解措施到使用无文件技术和劫持电子邮件帐户。最近与Powload相关的一些事件中，Powload使用隐写术针对特定国家或地区。垃圾邮件中的附件包含恶意宏代码，文档中的PowerShell会在网上下载图像。然后处理下载的图像以获取隐藏在图像内的代码。Powload垃圾邮件的另一个趋势是其目标的针对性，对于确定的国家或地区，攻击者使用特定地区的品牌和词汇来发送垃圾邮件。


https://blog.trendmicro.com/tren ... ntelligence+Blog%29

---

3 Comando活动针对酒店业以窃取客户信用卡信息

Unit 42的研究人员确定了针对酒店业（特别是酒店预订）的活动，攻击者使用定制的恶意软件CapturaTela窃取客户的信用卡信息。恶意软件通过电子邮件传播，邮件主题通常与旅行预订和优惠券有关，主要针对巴西用户。初步分析显示攻击者没有使用任何新技术或高级手段。在基础架构级别，攻击者利用动态DNS（DDNS）服务，如DuckDNS、WinCo或No-IP，其中许多提供免费帐户，从而降低了攻击者基础架构成本。有效载荷是一个用.NET编写的PE文件，具有信息窃取功能，够将屏幕截图保存到Bitmap对象中。除了使用自定义木马CapturaTela之外，攻击者还使用LimeRAT、RevengeRAT、NjRAT、AsyncRAT、NanoCoreRAT以及RemcosRAT执行其恶意活动。


https://unit42.paloaltonetworks. ... edit-card-business/

---

4 信息窃取木马Ursnif新变种针对日本用户进行攻击

Cybereason研究人员发现信息窃取木马Ursnif新变种，新变种强化了窃取模块，例如Microsoft Outlook窃取程序、Internet Explorer窃取程序和Mozilla ThunderBird窃取程序，窃取来自邮件客户端的数据和存储在浏览器中的电子邮件凭证，并且添加了新的隐秘的持久性机制。恶意软件会检查计算机系统语言，确定为日语时，宏代码解密PowerShell有效载荷，将其设置为环境变量，并执行代码。恶意软件具有Anti-PhishWall模块，以逃避日本安全产品PhishWall。


https://www.cybereason.com/blog/ ... d-with-new-features

---

5 Adobe Photoshop GIF解析漏洞可致远程代码执行

Adobe Photoshop在解析GIF文件时存在漏洞（CVE-2019-7094）。该问题是对用户提供的数据缺乏适当验证导致的，可能导致内存损坏情况。攻击者可以利用此漏洞在当前进程的上下文中执行代码，但是利用需要用户交互，例如访问恶意页面或打开恶意文件。Adobe已发布安全更新，建议用户立刻更新。


https://www.zerodayinitiative.com/advisories/ZDI-19-258/

---

6 微软发布三月安全补丁包含64个漏洞的修复程序

微软2019年3月12日发布安全更新修补了64个漏洞，包括在针对性攻击中利用的两个Windows零日漏洞。CVE-2019-0808零日漏洞由谷歌披露，存在于WIN32K组件中，攻击者可利用该漏洞提升权限和在内核模式执行任意代码。另一个零日漏洞CVE-2019-0797是特权提升漏洞，影响Win32k组件，成功利用该漏洞可以在内核模式下运行任意代码。修补的64个漏洞中，四个漏洞被列为“重要”，微软发布修复程序之前就被公开披露。


https://securityaffairs.co/wordp ... esday-march-09.html

---