每日安全简讯(20190524)

1 安全厂商发布Shade勒索软件活动分析报告

Shade勒索软件也被称为Troldesh，于2014年底首次出现，通过恶意垃圾邮件和漏洞利用工具包针对Windows用户。研究表明受Shade勒索软件影响最大的前五个国家分别为美国、日本、印度、泰国和加拿大。Shade勒索信始终包括英语和俄语文本，当Windows主机感染Shade勒索软件时，其桌面背景会通知感染，并且桌面上会出现10个文本文件，分别名为README1.txt-README10.txt。十个README文件都包含相同的指令。基于垃圾邮件的Shade感染都会在受感染的服务器上检索可执行文件，通过可执行文件可以确定Shade勒索软件感染位置。统计结果表明受Shade勒索软件感染最多的国家是美国。


https://unit42.paloaltonetworks. ... ia-thailand-canada/

---

2 勒索软件GetCrypt通过漏洞利用工具包传播

研究人员发现了在Popcash恶意广告活动中利用RIG漏洞利用工具包传播的勒索软件GetCrypt。恶意广告将受害者重定向到托管漏洞利用工具包的页面时，恶意脚本会利用计算机上的漏洞下载并安装GetCrypt。当漏洞利用工具包执行勒索软件时，GetCrypt检查Windows语言是否设置为乌克兰语、白俄罗斯语、俄语或哈萨克语。如果是，则勒索软件将终止加密进程。否则，勒索软件检查计算机的CPUID并使用它来创建一个4字符的字符串，该字符串用作加密文件的扩展名。GetCrypt使用Salsa20和RSA-4096加密算法，在每个加密的文件夹和桌面上创建名为“＃decrypt my files＃.txt”的勒索信。GetCrypt解密工具已发布，用户现在可以免费解密。


https://www.bleepingcomputer.com ... decryptor-released/

---

3 安全厂商披露攻击者常用的三种逃避检测方法

Yoroi研究人员用最近分析的三个攻击活动揭示威胁组织常用的逃避检测方法。其中一个是与Office文档相关的技术，用于隐藏恶意载荷。第三种与二进制有效载荷有关，通过代码签名手段避开传统安全控制。第一个手段是以文档损坏为由欺骗用户恢复原始文件并下载恶意载荷而不会产生警报。第二种手段是隐藏MS Office开发人员控制对象中的实际载荷，由于在大多数Office安装中，默认情况下禁用开发人员选项，因此识别异常对象的存在更加困难。第三种手段是证书欺骗，证书可能是有效的也可以是无效的，用于绕过基于签名检测的反病毒引擎。


https://blog.yoroi.company/resea ... to-avoid-detection/

---

4 美国网络司令部上传的恶意软件仍被用于攻击

研究人员表示上周美国网络司令部上传到VirusTotal的恶意软件样本仍然被用于主动攻击，攻击目标是中亚国家的外交组织。上传的恶意软件类似于XTunnel，是俄罗斯组织APT28在2016年入侵DNC使用的工具。恶意样本最初上传到VirusToal时，卡巴斯基实验室和ZoneAlarm可以检测到，目前VirusTotal上71个引擎中有41个检测到恶意文件。恶意软件共享计划于去年启动，旨在加强对抗对手的防御。


https://www.cyberscoop.com/cyber ... aspersky-zonealarm/

---

5 研究人员在24小时内披露微软三个零日漏洞

5月22日，SandboxEscaper披露了 Windows任务管理器中的零日漏洞，在24小时内又发布了两个未修补的微软零日漏洞。其中一个新的零日漏洞会影响Microsoft Windows错误报告服务，可以通过使用自主访问控制列表（DACL）操作来利用，攻击者可以利用该漏洞删除或编辑任何Windows文件，包括系统可执行文件。第二个新披露的漏洞影响Internet Explorer 11，研究人员没有公布技术细节，但发布了一个视频PoC，显示该漏洞可能用于欺骗用户浏览器运行恶意DLL文件。


https://securityaffairs.co/wordp ... osoft-zero-day.html

---

6 ActiveX控件中存在多个严重漏洞影响韩国用户

大多数ActiveX控件具有非常低的代码成熟度，并且存在许多缓冲区溢出等基本漏洞，ActiveX技术被认为是过时和不安全的。Microsoft已经删除了对Microsoft Edge中ActiveX的支持，大多数网站也不再依赖ActiveX技术。但韩国依然使用ActiveX控件支持的Internet Explorer，其在政府、银行和教育网站上也都依赖ActiveX控件。2019年初，研究人员对韩国ActiveX控件就进行了研究，发现曾被用于攻击的零日漏洞依然存在部分控件中，并且10个ActiveX控件中存在40个漏洞，包括各种类型的缓冲区溢出和不安全的暴露功能，允许攻击者在用户系统上执行代码。


https://www.riskbasedsecurity.co ... n-activex-controls/

---