每日安全简讯(20210704)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员发现投送Warzone RAT的攻击活动

Quick Heal研究人员发现攻击者正试图通过诱饵文档诱骗用户以投送Warzone RAT，Warzone RAT是APT组织Confucius攻击活动中使用的恶意软件。感染链以“.docx”诱饵文档开始，文档打开后，将下载RTF漏洞利用程序（CVE-2017-11882），该漏洞被触发后，muka.dll将被释放并执行，Muka.dll用于下载Warzone RAT。


https://blogs.quickheal.com/warz ... s-office-documents/

---

2 Kaseya VSA遭遇供应链REvil勒索软件攻击

攻击团伙通过Kaseya公司的IT管理软件VSA发起了供应链REvil勒索软件攻击，约40家Kaseya客户受到影响。事件发生后，该公司表示，除通知其本地客户关闭其VSA服务器以防止受到损害外，作为预防措施，已立即采取措施关闭公司的SaaS服务器。该公司还表示，已经确定了漏洞的来源，并且正在准备一个补丁来缓解该安全问题。


https://thehackernews.com/2021/0 ... somware-attack.html

---

3 Wizard Spider团伙使用新勒索软件Diavol

FortiGuard Labs研究人员发现了一个新勒索软件家族Diavol，并通过分析将其归因于疑似Wizard Spider网络犯罪团伙。研究人员发现名为locker.exe的Conti有效载荷是使用Microsoft Visual C/C++ Compiler编译的32位可执行文件，执行时，Diavol首先检查命令行参数。Diavol使用一种反分析技术来混淆其代码，其将主要例程保存在位图图像中，位图图像存储在PE资源部分，在调用每个例程之前，它会将位图中的字节复制到具有执行权限的全局缓冲区中。Diavol使用用户模式异步过程调用（APC）进行加密操作，而不使用对称加密算法。在这次攻击中，Diavol与Conti勒索软件一起被部署，并且分析发现二者具有一定的相似性，所以研究人员认为Diavol可能与Conti幕后团伙Wizard Spider有关。


https://www.fortinet.com/blog/th ... ed-by-wizard-spider

---

4 伪装提供隐私工具的网站用于传播恶意软件

Proofpoint研究人员发现一个看似合法的“Privacy Tools”隐私工具网站，其提供一种类似Zip实用程序加密用户数据的工具，最终目的为诱骗用户下载恶意软件。研究人员将初始载荷确定为Smoke Loader下载器，该下载器随后安装了包括Raccoon Stealer和RedLine在内的数据窃取恶意软件。


https://www.proofpoint.com/us/bl ... erades-privacy-tool

---

5 TrickBot木马的Webinject模块增加新功能

2021年6月，Kryptos Logic团队观察到TrickBot木马Webinject模块的新发展。Webinject模块支持注入的静态和动态配置。研究人员在获得该模块的调试版本中，发现其包含正在测试的新功能。以前，Webinject配置文件被存储在两个文件中，一个是sinj(静态注入)，一个是dinj(动态注入)，现在，一个名为winj的配置文件包含了zeus风格的webinject。


https://www.kryptoslogic.com/blog/2021/07/trickbot-and-zeus/

---

6 保险巨头AJG在遭勒索攻击后报告数据泄露

总部位于美国的全球保险经纪和风险管理公司Arthur J. Gallagher（AJG）在2020年9月下旬遭遇勒索软件攻击后，目前正在向可能受影响的个人发布数据泄露通知。该公司在后续的调查中发现，存储在系统上的多种敏感信息被泄露，具体包括社会安全号码或税号、驾照、护照或其他政府识别号、出生日期、用户名和密码、员工识别号、财务账户或信用卡信息、电子签名、医疗、索赔、诊断、药物或其他医疗信息、健康保险信息、医疗记录或帐号以及生物识别信息。该公司还警告受影响的个人存在身份盗用风险，并建议密切关注他们的账户报表和信用报告中的异常活动。


https://www.bleepingcomputer.com ... -ransomware-attack/

---