每日安全简讯(20191122)

1  安全厂商披露Donot组织近期活动技术细节

Positive Technologies研究人员近期观察到APT组织Donot Team（也称为APT-C-35，SectorE02）攻击活动，并对技术细节进行了分析。初始感染通过带有Office Open XML格式的MS Word文档的鱼叉式钓鱼邮件传播，通过触发CVE-2018-0802漏洞来下载恶意文件。Donot在近几个月以来不断更改Lo2加载器，开始使用不同的加密算法进行加密，该加载器是将yty框架组件嵌入到系统中，从而允许提取有关受害者更完整的信息。多数控制服务器从提供商DigitalOcean租用，并为每个新域名保留一个新的专用主机。


https://www.ptsecurity.com/ru-ru ... pirovki-donot-team/

---

2 SectopRAT创建第二个桌面来控制浏览器

Gdata Software研究人员发现了一个新远控木马SectopRAT，通过创建第二个对系统用户不可见的桌面，来控制受感染机器上网。SectopRAT是基于.NET编写，所发现的第一个样本由Sectigo RSA代码签名CA签名，使用Flash图标，第二个样本未签名，使用了看起来像红色软盘的图标。攻击者使用了ConfuserEx混淆控制流，并向. net程序集添加无效的元数据，无效的元数据阻止了工具对代码进行反编译。


https://www.gdatasoftware.com/bl ... to-control-browsers

---

3 银行木马Mispadu利用麦当劳广告感染用户

ESET研究人员发现针对拉丁美洲的新银行木马Mispadu，通过利用麦当劳的恶意广告来感染用户，并将其攻击面扩展到Web浏览器。该木马使用Delphi编写，针对巴西和墨西哥，通过垃圾邮件和恶意广告分发伪造的麦当劳折扣券，来将用户重定向由攻击者控制的网站，感染Mispadu，收集受害者信息。Mispadu还具有后门功能，可以屏幕截图、模拟鼠标和键盘动作还有键盘记录，可以通过下载并执行的Visual Basic脚本(VBS)文件来进行自我更新。


https://www.welivesecurity.com/2 ... unted-unhappy-meal/

---

4 法国北部鲁昂大学医院遭遇勒索软件攻击

法国北部的鲁昂大学医院在11月15日发现遭遇勒索软件攻击，影响了该医院综合大楼覆盖的所有站点。为了防止感染扩散，该医院已决定关闭IT系统并以所谓的“降级模式”运行。目前尚不清楚是由哪个勒索软件和攻击者进行的此次活动。医院的IT团队正在从法国国家信息系统安全局获得帮助。


https://www.forbes.com/sites/dav ... les-6000-computers/

---

5 Apache企业搜索平台Solr存在RCE漏洞

研究人员在Apache企业搜索平台Solr中发现严重漏洞，影响其Linux用户。该漏洞ID为CVE-2019-12409，运行Solr的Linux用户容易受到远程代码执行攻击，该缺陷与Apache Solr中的solr.in.sh文件的配置问题有关。此漏洞影响两个版本的Apache Solr 8.1.1和8.2.0，目前已被修复。


https://threatpost.com/apache-so ... gh-severity/150484/

---

6 WordPress Jetpack插件漏洞暴露数百万站点

WordPress中的Jetpack插件存在漏洞，可暴露百万个站点。Jetpack插件可提供免费的安全性、性能和站点管理功能，包括站点备份、安全登录、恶意软件扫描和暴力破解防护，目前有超过500万的安装。研究人员在该插件中发现漏洞，该漏洞由Jetpack处理嵌入代码的方式导致，影响5.1版本至2017年7月的所有版本。直到最新版Jetpack 7.9.1发布，还未发现该漏洞被利用的证据。


https://www.bleepingcomputer.com ... k-wordpress-plugin/

---