每日安全简讯(20210317)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 安天发布通过U盘传播的多功能勒索软件分析

近日，安天CERT捕获到一种具备可移动介质传播功能的BleachGap勒索软件。该勒索软件最早出现于2021年2月，目前已迭代多个版本。BleachGap勒索软件具备添加自启动、添加计划任务、改写MBR、使键盘按键失效、通过可移动介质传播等多项功能，采用“AES-256”对称加密算法加密文件，在已知密钥的情况下可快速解密。目前，勒索软件的功能已经不局限于加密文件，开始尝试通过可移动介质的方式横向传播，用户需及时针对此类攻击手段做好有效防范措施。


https://mp.weixin.qq.com/s/P-mDJtc8rhveY9yMQyloHA

---

2 研究人员发现与Taurus窃取程序有关的新活动

最近，研究人员发现与Taurus窃取程序有关的事件激增。最初的感染始于一个伪装成合法软件的zip文件，其中包含一个恶意的SFX二进制文件。SFX二进制文件将几个文件放置到用户的临时目录。Dimagrato.accde（批处理脚本）是链中的下一个链接，这个小批处理脚本被混淆成116kb的大小。首先，脚本检查％userdomain％环境变量是否等于字符串“ DESKTOP-QO5QU33”，研究人员猜测这是一种沙箱检测技术。然后它通过用魔术字节MZ替换Scoute.dll的前缀来创建AutoIt解释器二进制文件，将当前有效的二进制文件重命名为“ Ali.com”。 最后，以Dai.xlsm作为命令行参数执行Ali.com。攻击的主要模块是一个高度混淆的AutoIt脚本，它使用逃避技术来避免分析和沙箱环境，之后在内存中启动实际的窃取程序。


https://blog.minerva-labs.com/taurus-stealers-evolution

---

3 钓鱼网站检查用户浏览器运行设备以逃避检测

网络安全公司通常使用没有显示器的设备或虚拟机来判断一个网站是否被用于网络钓鱼。为了绕过检测，网络钓鱼工具利用JavaScript来检查浏览器是在虚拟机下运行还是在没有附加监视器的情况下运行。如果发现任何分析尝试的迹象，它将显示一个空白页面，而不是显示钓鱼页面。MalwareHunterTeam发现了该脚本，它检查访问者的屏幕宽度和高度，并使用WebGL API查询浏览器使用的渲染引擎。如果浏览器使用常规的硬件渲染引擎和标准的屏幕大小，则脚本将显示网络钓鱼登录页面。


https://www.bleepingcomputer.com ... o-bypass-detection/

---

4 Blender官方网站遭到黑客攻击关闭了部分内容

根据网站上显示的消息，流行的3D电脑图形软件Blender的官方网站Blender.org现在处于维护模式。今天早些时候，官方账号Blender在Twitter上表示:“由于黑客攻击，http://blender.org网站正在进行维护，网站将尽快恢复。”根据Blender的说法，Blender网站的部分内容和一些博客仍处于关闭状态，可能会离线几个小时。在此次攻击中，位于cloud.blender.org上用于访问Blender培训视频的Blender云服务也没有受到影响，因为黑客攻击只影响了该网站的www子域。


https://www.bleepingcomputer.com ... er-hacking-attempt/

---

5 美国布法罗公立学校遭网络攻击影响教学计划

最近几天，勒索软件攻击者似乎对布法罗公立学校进行了猛烈的攻击，星期五破坏了学校系统的远程课程和亲自学习的计划。根据一份声明，学校系统已经慢慢恢复了亲自学习计划，周一在应对这一事件的过程中取消了所有课程。布法罗公立学校负责人克里纳·卡什（Kriner Cash）在一份声明中说，联邦调查局(FBI)正在调查这起攻击事件，但到目前为止，调查还没有发现在攻击过程中有任何关于学生和教师的敏感信息被曝光。


https://www.cyberscoop.com/buffa ... rattack-ransomware/

---

6 加拿大税务局锁定了80多万纳税人的账号

加拿大税务局（Canada Revenue Agency，CRA）周六在一项调查显示，一些用户名和密码可能被“未经授权的第三方”获取，之后将80多万纳税人的账号锁定。该机构上周五表示，此举是一项预防性的网络安全措施，是在今年2月类似行动之后采取的，当时有超过10万个账户被锁定。作为网络安全工作的一部分，CRA将锁定所有使用与其他帐户相同的登录信息的帐户，这些帐户已在所谓的“暗网”中提供。该机构表示，受影响的纳税人的电子邮件将从他们的账户中删除，并且无法使用该机构网站上的传统方法重置密码。受影响的个人将收到有关如何重新获得其CRA帐户的说明。


https://www.cbc.ca/news/politics/cra-accounts-locked-1.5947714

---