每日安全简讯(20190215)

1 Astaroth木马滥用windows程序攻击巴西

安全团队发现针对巴西和欧洲部分地区的大规模垃圾邮件活动，传播Astaroth木马的新变种。Astaroth恶意利用BITSAdmin实用程序和WMIC实用程序等合法windows工具与C2服务器进行交互并下载有效载荷，具体为垃圾邮件附件.7zip存档包含.lnk文件，该文件将生成滥用wmic.exe来初始化XSL脚本处理攻击，Astaroth将连接到C2服务器，传输使用跨国防病毒软件Avast的组件来获取有关目标系统的信息，和使用属于巴西信息安全公司GAS Tecnologia的流程unins000.exe收集的个人信息。在将加密的XSL脚本下载到受感染的计算机之后，Astaroth将使用BITSAdmin从另一个C2服务器获取有效载荷，其为仔细混淆的图像或文件，而不包含Astaroth模块的扩展。该变种使用两种混淆技术：使用函数fromCharCode()它避免显式地编写想要执行的命令，并隐藏正在启动的实际代码；使用函数radador()对代码进行模糊处理。


https://www.cybereason.com/blog/ ... razil-full-research

---

2 安全团队发现新macOS恶意软件变种Shlayer

安全团队发现新版本macOS恶意软件Shlayer的样本。Shlayer主要伪装成Adobe Flash软件更新进行分发，许多基于初始DMG文件（还包括.pkg、.iso、.zip文件）都使用合法的Apple开发人员ID进行签名，然后将用户重定向到伪装成合法的虚假更新网站或被劫持的合法网站，在用户机器在后台静默启动.command脚本，此脚本使用base64编码，并且解密随后执行第二个AES加密脚本。然后进行权限升级，一旦升级到root权限，将下载包含广告软件在内的其它软件，并确保它们能够通过禁用Gatekeeper保护机制在受感染的Mac上运行。该样本影响10.10.5到10.14.3的macOS版本。


https://www.carbonblack.com/2019 ... yer-osx-discovered/

---

3 假区块链认证更新分发Dark Comet RAT

研究人员发现利用虚假区块链更新通知分发Dark Comet RAT的活动。邮件中声称用户需安装新的身份验证方法，诱骗用户打开文档，运行后，屏幕将显示无法打开文件，将从钓鱼网站上下载Dark Comet RAT。


https://myonlinesecurity.co.uk/f ... ers-dark-comet-rat/

---

4 英特尔SGX可被滥用来隐藏高级恶意软件

网络安全研究人员发现了一种将恶意软件隐藏在英特尔SGX enclave的方法。SGX (软件保护扩展)允许开发人员在一个完全隔离的内存安全区域(enclave)中运行选定的应用程序模块，enclave目的是保护模块不受运行在更高权限级别进程的影响。研究人员利用面向返回的编程(ROP)技术，成功地绕过了这种保护，并在安全enclave中获得了使用的恶意应用程序。此次演示攻击还使用了现代英特尔CPU中的事务同步扩展（TSX），以及一种称为基于TSX的地址探测（TAP）的新型抗故障读取原语技术。一旦恶意软件进入安全enclave，SGX从根本上保证合法程序的机密性和完整性也将禁止研究人员或安全解决方案检测和分析enclave内的恶意软件。从而允许攻击者操作系统级地址空间布局随机化(ASLR)、目标系统上执行任意代码等一系列攻击。


https://thehackernews.com/2019/02/intel-sgx-malware-hacking.html

---

5 Snapd漏洞允许攻击者获得root访问权限

研究人员在Ubuntu Linux中发现了一个权限提升漏洞，该漏洞存在于默认服务snapd API中，漏洞ID为CVE-2019-7304，任何本地用户都可以利用此漏洞获得对系统的直接root访问权限。该漏洞被称为“dirty_sock”，该漏洞可在使用“create-user”API根据从Ubuntu SSO查询的详细信息创建本地用户，和侧载包含生成新本地用户的安装snap的快照的情况下利用。目前snapd团队已发布安全更新版本，修复该漏洞。


https://shenaniganslabs.io/2019/02/13/Dirty-Sock.html

---

6 美国军方发布五角大楼人工智能战略计划

2月12日美国军方发布新五角大楼人工智能战略计划，该战略显示美国军方将如何依靠人工智能作为防御工具。战略中指出作为安全使用人工智能的先决条件，将把重点放在硬件和软件平台的防御性网络安全上。为了确保国防部人工智能系统的安全性、可靠性和稳健性，我们将资助对事故风险较低的人工智能系统的研究，包括防御黑客攻击和对抗性欺骗。新战略的一个重点是研究“紧急效应”，即当两个人工智能系统相互作用时会发生的情况。有研究人员表示，在网络攻击中使用人工智能是带有特殊风险的，五角大楼计划正试图打击其它国家对机器学习的重大投资。


https://www.fifthdomain.com/dod/ ... -for-cybersecurity/

---