每日安全简讯(20191113)

1  Geumseong121针对朝鲜脱北者进行移动端APT攻击

ESTsecurity研究人员捕获到APT组织Geumseong121针对移动端的攻击活动。攻击者创建了一个标题为朝鲜脱北者的筹款活动的网站，该网站基于WordPress构建，于2019年8月23日创建，并在10月更新，添加了指向谷歌软件商店安卓应用程序的安装链接，该程序显示可用于朝鲜脱北者分享自己的生活问题，获得支持，并指定一项捐赠服务。研究人员根据该恶意移动程序在"DragonTask"路径下收集信息并伪装成安全聊天工具，将该活动称为“Dragon Messenger”。目前该恶意程序已从Google中删除。


https://blog.alyac.co.kr/2588

---

2 研究人员发现TA505针对系统集成商的攻击活动

研究人员发现了TA505组织针对系统集成商的攻击活动。在过去几周内，TA505针对荷兰VPS托管提供商LeaseWeb发送恶意电子邮件。邮件附件包含word文档，诱使受害者启用宏功能，然后执行文档所包含两个VBA宏，VBA宏解码混淆的Javascript代码，然后远程下载最终的恶意可执行文件并运行。攻击中使用的基础设施表明，网络犯罪组织TA505参与其中。


https://marcoramilli.com/2019/11 ... tegrator-companies/

---

3 Sodinokibi勒索软件利用RIG漏洞利用包攻击亚洲

研究人员发现了一项利用RIG漏洞利用工具包来安装Sodinokibi勒索软件的恶意活动，其目标是越南、韩国、马来西亚等亚洲国家的IE浏览器用户。当IE用户浏览低质量的网页游戏或博客时，恶意广告活动将用户重定向到RIG漏洞利用工具包网关，该网关将尝试利用浏览器中的Flash漏洞。成功后，漏洞利用工具包将执行JScript命令，同时IE浏览器开始崩溃，Windows脚本主机发出各种警告。JScript命令下载混淆的VBScript脚本，然后VBScript在受害者的计算机上下载并安装Sodinokibi勒索软件。一旦执行，勒索软件将开始加密受害者的文件，加密完成后，桌面壁纸将被更改为指示受害者打开赎金通知的说明。目前没有免费的方法可以解密Sodinokibi。


https://www.bleepingcomputer.com ... he-rig-exploit-kit/

---

4 勒索软件Ryuk攻击墨西哥国营石油公司致工作中断

2019年11月11日，墨西哥国营石油公司Pemex的计算机服务器遭受勒索软件Ryuk攻击，导致行政工作暂停。该公司官员表示，此次攻击影响了墨西哥国内Pemex的多个服务器，未遂的网络攻击已被解决，并且只影响了不到5％的计算机，目前正在全国范围内采取措施来对抗勒索软件RYUK。


https://www.reuters.com/article/ ... 1XM041?rpc=401&

---

5 安全厂商披露Android银行木马Cerberus相关细节

Anomali研究人员披露了Android银行木马Cerberus的相关细节。Cerberus于2019年6月被首次曝光，至少自2017年以来就一直处于活动状态，通过“恶意软件即服务”的形式在俄罗斯暗网售卖。幕后攻击者在Twitter广告中展示了Cerberus管理面板，其带有测试APK感染和提供潜在受害者的注入对象列表的功能，还开发了APK构建器和注入生成器。幕后攻击者自称来自乌克兰，还表示入门工具包预先包装有针对美国、法国、土耳其和意大利的注入器，但研究人员通过分析样本发现预先注入的目标覆盖了16个国家/地区，包括银行组织、电子商务、金融科技和电信领域。Cerberus具有Android信息窃取木马的功能，包括发送、拦截并隐藏拦截的短信功能等。


https://www.anomali.com/blog/leashing-cerberus

---

6 黑客利用vBulletin 0day漏洞入侵ZoneAlarm论坛

网络安全软件公司ZoneAlarm的论坛遭到黑客入侵，泄露了论坛用户的数据。ZoneAlarm为以色列网络安全公司Check Point的子公司，为用户提供了防病毒软件、防火墙和其它病毒防护解决方案。该公司发言人称，黑客利用了vBulletin论坛程序套件中一个严重的RCE 0day漏洞（CVE-2019-16759），来破坏ZoneAlarm的网站并获得未经授权的访问。此漏洞影响了vBulletin 5.0.0版本至最新的5.5.4，项目维护人员在9月下旬了解该漏洞后，已针对该版本发布了补丁更新，但仅适用于最新版本5.5.2、5.5.3和5.5.4。目前该公司已向受影响用户发送了邮件通知，邮件中建议论坛用户立即更改其论坛帐户密码，并告知黑客未经授权获得对其名称、电子邮件地址、哈希密码和生日的访问权。


https://thehackernews.com/2019/1 ... um-data-breach.html

---