每日安全简讯(20190831）

1 Trickbot利用谷歌文档传播来绕过Proofpoint网关

Cofense网络钓鱼防御中心检测到一项网络钓鱼活动，通过嵌入谷歌文档中链接传播Trickbot，并绕过用户使用的Proofpoint网关。钓鱼邮件由谷歌文档合法生成，点击所带的链接后，将指向一个真正的谷歌文档页面，其中包含一个虚假404错误消息和另一个嵌入的链接，并提醒收件人手动点击链接下载文档。该链接将从托管在Google驱动器上下载伪装成“.PDF”文件的“.EXE”文件，.EXE隐藏在.PDF后面（Review_Rep.19.PDF.exe）来欺骗收件人。打开该文件将执行Trickbot有效载荷，并创建两个副本，其配置文件包含混淆文本。设置从“Speedlan”文件夹启动恶意文件的计划任务，触发器设置为每11分钟重复一次，然后将恶意代码注入Svchost进程，不断地启动越来越多的Svchost运行Trickbot模块。


https://cofense.com/trickbot-usi ... roofpoints-gateway/

---

2 Heatstroke活动使用多级网络钓鱼手段以窃取信息

趋势科技披露了Heatstroke活动，其通过动态多级的网络钓鱼攻击窃取PayPal和信用卡信息。该活动首先从合法域发送钓鱼邮件，要求用户验证其PayPal（或亚马逊）帐户。用户点击邮件中所带的按钮或URL后，将被重定向到第一阶段的网站，使其通过内容过滤器，然后将受害者重定向到第二阶段网络钓鱼工具包的网站。第二阶段网站用于验证是否是真正的用户，并检查用户是否在其阻止的IP范围内，例如FBI的域。然后转到第三阶段实际的网络钓鱼网站，网络钓鱼内容是从Base64编码的PHP脚本生成，以绕过防火墙。内容根据受害者的IP地址进行了本地化，要求用户填写信息字段，包括电子邮件凭据、信用卡详细信息和其他个人身份信息（PII）。当用户提交后再次访问该网站将不会加载网络钓鱼工具包。


https://blog.trendmicro.com/tren ... t-card-information/

---

3 研究人员发现针对巴西的新Android远控木马BRATA

卡巴斯基研究人员发现一个新Android远控木马BRATA，目前专门针对巴西用户进行传播。BRATA自2019年1月以来一直活跃，运行在Android Lollipop 5.0及以上版本，通过被入侵网站推送通知、使用WhatsApp或SMS发送的消息以及谷歌搜索中的赞助商链接来传播。BRATA主要托管在谷歌软件商店中（也存在非官方Android应用商店中），目前已在其中发现超20个变种，大部分利用即时通讯应用程序WhatsApp的更新通知，包括WhatsApp漏洞CVE-2019-3568补丁更新。一旦受害者设备被感染，BRATA就会启用其键盘记录功能，并通过实时流功能增强它，使用Android的辅助功能与用户设备上安装的其它应用程序进行交互。虚假的WhatsApp更新在官方的谷歌软件商店中下载超过10,000次，每天的受害者多达500人。


https://securelist.com/spying-an ... brazil-brata/92775/

---

4 勒索软件Sodinokibi加密百家美国牙科诊所备份数据

8月26日，DDS Safe在线备份系统遭勒索软件Sodinokibi攻击，加密其美国牙科诊所远程备份数据和加密文件，导致数百家依赖备份解决方案的客户数据被锁定。DDS Safe是Digital Dental Record (DDS)的在线备份产品，此次攻击通过其云管理提供商感染了勒索软件。处理医疗记录备份的两家公司的联合声明告知解密器可用，勒索软件锁定了大约400家牙科诊所的数据，其中约100家的记录被恢复。据称公司正在支付赎金以恢复更多的数据。


https://www.bleepingcomputer.com ... f-dental-practices/

---

5 北美硬地板零售商遭恶意软件攻击导致其网络崩溃

北美硬地板零售商Lumber Liquidators于8月21日发现遭到恶意软件攻击，导致其网络崩溃。该公司表示21日上午其网络和计算机系统开始出现恶意软件症状，最终导致全国某些公司和商店系统无法使用。专家发现存在公司网络和计算机系统中的感染指标，立即采取行动遏制该攻击，并在数小时内恢复系统流程，部分受攻击的系统耗费近一周时间得以恢复。该公司目前没有发现证据表明任何敏感和机密的消费者或员工数据被入侵。


https://securityaffairs.co/wordp ... malware-attack.html

---

6 美国对伊朗用于记录目标油轮的数据库进行网络攻击

据《纽约时报》报道，美国6月20日针对伊朗伊斯兰革命卫队用于目标油轮的数据库进行了秘密网络攻击，该数据库用于策划袭击海湾地区的油轮。美国高级官员表示该攻击降低了伊朗准军事部队瞄准海湾航运的能力，伊朗仍在努力恢复信息，重启军事通信网络和其他被切断网络的系统。


https://www.securityweek.com/us- ... et-tankers-ny-times

---