每日安全简讯(20221023)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员发现SideWinder APT组织使用了一种新的恶意软件


最近，研究人员发现SideWinder APT威胁组织在针对巴基斯坦的活动中使用了一种新的恶意软件，并称之为WarHawk”的后门。SideWinder APT，又名Rattlesnake或T-APT4，是一个疑似印度威胁组织，至少自2012年以来就活跃起来，历史上一直针对整个亚洲，尤其是巴基斯坦的政府、军队和企业。新发现的WarHawk后门包含各种提供Cobalt Strike的恶意模块，并结合了新的TTP，例如KernelCallBackTable注入和巴基斯坦标准时区检查，以确保活动有效进行。

https://www.zscaler.com/blogs/security-research/warhawk-new-backdoor-arsenal-sidewinder-apt-group-0

---

2 美国政府警告Daixin团队使用勒索软件攻击健康机构

CISA、FBI和卫生与公众服务部(HHS)警告说，一个名为Daixin团队的网络犯罪组织正在积极针对美国医疗保健和公共卫生(HPH)部门进行勒索软件攻击。Daixin团队是一个勒索软件和数据窃取组织，至少从2022年6月开始就针对HPH部门进行勒索软件和数据窃取行动。联邦机构还在今天发布的联合公告中分享了入侵指标(IOC)和策略、技术和程序(TTP)，以帮助安全专业人员检测和阻止使用这种勒索软件的攻击。

https://www.bleepingcomputer.com/news/security/us-govt-warns-of-daixin-team-targeting-health-orgs-with-ransomware/

---

3 批发巨头METRO遭网络攻击后IT系统中断

在最近的一次网络攻击之后，国际批发巨头METRO正在经历基础设施中断和商店支付问题。该公司的IT团队目前正在外部专家的帮助下调查此事件，以找出导致此次事件持续中断的原因。根据研究人员的一份报告，至少自10月17日以来，IT系统中断就一直影响奥地利、德国和法国的商店。该公司表示，虽然METRO商店正在运营，并且定期提供服务，但可能会出现中断和延误。通过网络应用程序和在线商店的在线订单正在处理中，但预计也会出现延迟。该公司已就此安全事件通知当局，并将配合与此次攻击有关的任何调查。

https://www.bleepingcomputer.com/news/security/wholesale-giant-metro-hit-by-it-outage-after-cyberattack/

---

4 黑客开始利用Text4Shell漏洞发起攻击

研究人员表示，在2022年10月18日开始已经检测到针对Apache Commons Text中新披露漏洞的利用尝试。该漏洞被跟踪为CVE-2022-42889，也被称为Text4Shell，在CVSS等级上的严重性等级为9.8。攻击者可以使用脚本、dns和url查找远程发送精心设计的有效载荷，以实现任意远程代码执行。成功利用该漏洞可以使威胁行为者仅通过特制的有效载荷打开与易受攻击的应用程序的反向shell 连接，从而有效地为后续攻击打开大门。

https://thehackernews.com/2022/10/hackers-started-exploiting-critical.html

---

5 FBI警告篡改2020年大选的伊朗黑客可能再次瞄准美国

美国联邦调查局在周四晚间发布的通知中警告说，被指控试图干预2020年总统大选并在2022年初攻击一个未具名的美国组织的伊朗黑客组织可能再次寻求渗透美国目标。该局表示，该组织被确定为Emennet Pasargad，近年来一直在使用“以多重身份为幌子的虚假旗帜活动”来针对以色列组织并进行黑客和泄密行动。联邦调查局判断这些技术可能被用来针对美国实体，正如Emennet针对2020年美国总统大选的网络信息行动中所看到的那样。

https://www.cyberscoop.com/fbi-iran-warning-hacktivists-election-israel/

---

6 多个活动利用VMware漏洞部署加密矿工和勒索软件

研究人员已观察到VMware Workspace ONE Access中一个现已修补的漏洞被用来在受影响的机器上提供加密货币矿工和勒索软件。攻击者打算尽可能多地利用受害者的资源，不仅安装RAR1Ransom勒索软件进行勒索，还传播GuardMiner挖矿木马以收集加密货币。该问题被跟踪为CVE-2022-22954(CVSS评分：9.8)，涉及一个源自服务器端模板注入案例的远程代码执行漏洞。尽管这家虚拟化服务提供商在2022年4月解决了这一缺陷，但此后攻击者一直在野外积极利用该漏洞。

https://thehackernews.com/2022/10/multiple-campaigns-exploit-vmware.html