每日安全简讯(20190821）

1 新网络钓鱼活动针对美国国家电网传播Adwind

Cofense研究人员发现在美国国家电网基础设施传播Adwind恶意软件的网络钓鱼活动。网络钓鱼电子邮件来自一个被劫持的Friary Shoes账户，主题为需要签名的汇款通知。邮件包含伪装成PDF文件附件的图像，实际为带有嵌入式超链接的jpg文件，用户点击后，将从受感染的URL下载“.JAR”文件形式的初始有效载荷。执行后，创建两个java.exe进程，加载两个单独的.class文件，然后JRAT向C2服务器发送信标，完成Adwind恶意软件的安装。Adwind还试图使用taskkill.exe禁用流行分析工具和防病毒软件来规避检测。


https://cofense.com/new-phishing ... utilities-industry/

---

2 黑客利用虚假NordVPN软件网站传播木马Bolik

Doctor Web病毒实验室的研究人员发现黑客使用虚假NordVPN软件网站传播银行木马Bolik。虚假网站克隆NordVPN软件的官方网站，使用类似的域名和证书颁发机构Let's Encrypt于8月3日颁发的有效SSL证书。用户访问该虚假网站后，在下载正常的NordVPN应用程序的同时，投放银行木马Bolik变种。Bolik具有多组分多态文件病毒的性质，允许黑客执行网络注入、流量拦截、键盘记录和从不同的银行客户端系统窃取信息。该活动于2019年8月8日推出，主要针对英语用户，该虚假网站已经有数千次的访问。


https://news.drweb.com/show/?i=13388&lng=en&c=5

---

3 基于开源的新勒索软件Syrk攻击Fortnite游戏用户

Cyren安全研究人员发现一个基于开源Hidden-Cry恶意软件的新勒索软件Syrk，专门针对Fortnite游戏用户。Fortnite是一款非常受欢迎的游戏，在全球拥有超过2.5亿的用户使用基础。新勒索软件Syrk试图通过伪装成Fortnite的游戏黑客工具，一旦被执行，恶意软件就开始加密受害者机器上的文件，并将. syrk文件扩展名。Syrk的二进制文件大小为12MB，其资源部分中嵌入了大量文件。在执行时，Syrk试图通过注册表项禁用Windows卫士和用户帐户控制(UAC)，并实现持久性。它还监视系统中可能终止进程的工具，如任务管理器、Procmon64和ProcessHacker。Syrk还试图感染连接到系统的USB驱动器以进一步传播。Syrk每两个小时删除一次文件来诱骗用户尽快支付赎金，目前研究人员已经发现了两种解密加密数据的方法。


https://www.cyren.com/blog/artic ... gets-fortnite-users

---

4 新VxWorks TCP/IP堆栈漏洞影响多制造业组织

安全厂商Kovrr在VxWorks操作系统中发现了一个TCP/IP堆栈漏洞，影响自动化过程控制和楼宇自动化领域等多制造业企业。VxWorks已嵌入超过20亿台设备中，攻击者利用该漏洞的攻击可导致业务中断，这是对企业交付产品和满足客户需求的能力的攻击。Kovrr没有提到任何易受此类攻击影响的特定公司的名称，并表示因操作的复杂性以及设备在不中断的保持运行的情况下，修复该漏洞是一个长期的挑战。


https://www.darkreading.com/risk ... risk/d/d-id/1335563

---

5 安全研究人员发布针对最新iOS版本的公开越狱

iOS安全研究人员Pwn20wnd发布了针对最新稳定iOS版本（iOS 12.4）的公开越狱。Pwn20wnd利用的是苹果重新引入的漏洞CVE-2019-8605，该漏洞最初存在于iOS 12.2版本中，在5月13日发布的iOS 12.3版本中得到修复，重新引入意味着版本12.2中的漏洞利用适用于版本12.4，允许攻击者瞄准巨大的iOS用户群。Pwn20wnd发布了其越狱工具的新版本unc0ver v3.5.1，支持iOS 11.0到12.4。很多iOS用户进行了测试表示可以实现越狱。


https://www.bleepingcomputer.com ... npatches-older-bug/

---

6 研究人员发现通过公共沙箱公开的敏感数据信息

英国威胁情报公司Cyjax的研究人员在三个流行的在线恶意软件分析沙箱中，发现包含敏感信息的许多可公开访问文件。三个未命名的沙箱服务，允许用户上传文件以确定它们是恶意还是非恶意文件，并允许任何人查看或下载提交的文件。研究人员通过分析其包含的PDF文档和电子邮件文件，确定了200多张发票和采购订单，表示这些信息对于进行鱼叉式网络钓鱼或BEC欺诈活动的攻击者来说具有实用性。研究人员确定了数十份简历和专业证书，包括含有护照复印件的证书，还有存储了姓名、电话号码、电子邮件地址和物理地址等个人信息的保险凭证文件。还有一个暴露的文件似乎是美国中央司令部使用军用飞机的申请表，其包括姓名、旅行者联系方式以及旅程信息。专家们分析了3天内的URL扫描服务，发现许多提交的URL指向托管在Google Drive等服务上的敏感数据和文件共享服务WeTransfer。这些数据可被攻击者用于多个行业的攻击。


https://www.securityweek.com/org ... -analysis-sandboxes

---