每日安全简讯(20190823）

1 Gamaredon组织新活动攻击乌克兰政府机构

FortiGuard实验室最近发现Gamaredon组织针对乌克兰执法部门和政府机构的新攻击活动。攻击初始通过鱼叉式网络钓鱼投放的主题关于乌克兰军事冲突的诱饵存档文件，其中包括word文档、jpg图片和txt文本文件。文档名称为乌克兰语，而内容为俄语。用户打开文件后触发WinRAR unacev2模块漏洞，释放三个文件，一个为模仿谷歌浏览器的lnk快捷方式，另一个为相同的快捷方式通过自启动实现持久性，最后一个文件为受密码保护的自解压RAR存档，其使用合法Microsoft工具的假数字签名，通过其嵌入式的SFX脚本启动C2上托管的主要载荷，窃取信息。研究人员还发现其使用新的Linux恶意软件Evil Gnome。


https://www.fortinet.com/blog/th ... ofile-analysis.html

---

2 朝鲜威胁组织利用伪装法国政府网站进行钓鱼活动

Anomali研究人员在2019年8月9日发现疑似朝鲜威胁组织，伪装成法国政府外交门户登录页面网站的攻击活动。虚假网站冒充法国欧洲和外交部（MEAE）在线门户网站的登录页面，窃取目标用户凭据。研究人员通过对攻击者基础设施的进一步分析，发现了针对三个不同国家外交部机构的更广泛的网络钓鱼活动。具体对象包括美国斯坦福大学、英国智库皇家联合服务研究所、美国国会研究服务中心和五家不同的电子邮件服务提供商。该基础设施与已知的朝鲜攻击者存在重叠，包括相同的域名和共享托管服务提供商。这些目标与制裁朝鲜问题相关。


https://www.anomali.com/blog/sus ... ies-and-think-tanks

---

3 Asruex后门变种通过旧Office和Adobe漏洞传播

趋势科技研究人员发现Asruex后门变种通过感染旧Office和Adobe漏洞的Word和PDF文档传播。其中利用PDF的感染中使用了CVE-2010-2883漏洞，如果用户使用旧版本的Adobe Reader和Adobe Acrobat打开受感染的PDF文件，该后门将释放机器后台并执行。后门可执行文件可检测杀软是否存在任何根目录上，并且确定是否在沙箱环境中运行，以逃避检测。可执行文件还将DLL注入合法的Windows进程内存。利用word的感染中，该后门使用特制模板利用CVE-2012-0158漏洞感染Word文档，用户打开文档后，将在后台释放并执行，同时显示给用户正常的文档，防止用户怀疑。


https://blog.trendmicro.com/tren ... be-vulnerabilities/

---

4 RubyGems软件包存储库中11个库包含后门机制

研究人员在RubyGems软件包存储库中发现了11个包含后门的Ruby库。黑客在一个库（rest-client)的多个版本中植入挖矿恶意代码，攻击者可以通过发送签名cookie来触发后门机制，然后代码会将捕获的凭据发送回攻击者，后门机制也允许攻击者在受感染的系统上执行任意命令。目前这些恶意库已被删除，但在被发现之前已有多个项目使用了这些被篡改的库。


https://securityaffairs.co/wordp ... aries-backdoor.html

---

5 研究人员披露第二个Steam Windows端0day漏洞

俄罗斯研究员Vasily Kravets今天公开披露了第二个Steam Windows客户端0day漏洞，该漏洞影响超过9600万用户。该权限升级漏洞可以允许具有有限权限的攻击者，使用称为BaitAndSwitch的技术在Steam客户端服务提升权限，运行可执行文件。这将允许潜在的攻击者发起一个三段式的攻击，通过利用Steam游戏、Windows应用程序或操作系统本身的漏洞获得远程代码执行特权，随后提升受攻击设备上的特权，并使用系统权限运行恶意载荷。


https://www.bleepingcomputer.com ... lion-windows-users/

---

6 未受保护的服务器暴露MoviePass客户信用卡记录

SpiderSilk的安全研究员Mossab Hussein发现包含约1.61亿条记录的MoviePass子域的数据库在互联网上暴露。在线数据库没有任何密码保护或数据加密。暴露的记录包括超过1.6亿个人信用卡详细信息和超过5万个电影票订阅服务MoviePass客户的卡号，其用来储存现金余额，具体包括借记卡号、到期时间、客户卡余额及其卡激活日期等详细信息。研究人员在6月底首次发现该系统，所以该数据库已经暴露数月。


https://cyware.com/news/moviepas ... ed-servers-a2228d5e

---