1 安全厂商称加密货币业务仍是Lazarus的目标
卡巴斯基发布报告称APT组织Lazarus仍然以加密货币为目标并采用新策略。自去年11月以来，Lazarus组织积极开展新业务，开发了自定义PowerShell脚本，利用PowerShell来控制Windows系统以及macOS恶意软件针对苹果用户。PowerShell脚本与C2服务器通信并执行运营商的命令。C2服务器脚本名称伪装成WordPress文件以及其他流行的开源项目。一旦创建了与服务器的恶意软件控制会话，恶意软件就能够上传和下载文件、更新恶意软件配置以及收集基本主机信息等。
https://securelist.com/cryptocur ... d-by-lazarus/90019/
2 安全厂商发布利用WinRAR漏洞攻击活动分析
FireEye发布利用WinRAR零日漏洞(CVE-2018-20250)的四个攻击活动分析。第一起攻击活动中诱饵文档称来自教育认证委员会，用户表使用低于5.70的WinRAR版本提取ACE文件时，Windows Startup文件夹中会创建名为winSrvHost.vbs的文件，该文件在Windows下次启动时执行。第二起攻击针对以色列军事工业，攻击者使用名为SysAid-Documentation.rar的ACE文件作为附件向受害者发送欺骗性电子邮件。第三起攻击针对乌克兰，名为zakon.rar的ACE文件使用指标中提到的恶意URL进行传播，最终投放Empire后门。第四起攻击使用凭据转储和可能被盗的信用卡转储作为诱饵文档来分发不同类型的RAT和密码窃取程序。
https://www.fireeye.com/blog/thr ... iple-campaigns.html
3 安全厂商发布LockerGoga勒索软件攻击分析
Palo Alto Networks已确定31个LockerGoga勒索软件样本，其中最早的样本于1月24日上传至VirusTotal，该样本用于攻击法国工程攻击Altran。样本是用C ++编程语言编写的，并使用了诸如Boost、Cryptopp和regex等公共可用的库。LockerGoga不支持任何类似蠕虫的功能，只能通过服务器消息块（SMB）协议在网络中移动，并且由MIKL LIMITED颁发的已被撤销的证书签名。LockerGoga使用Cryptopp库来实现RSA。LockerGoga勒索软件正在不断发展，不断开发新的变种用于攻击，每个版本都包含改进或新功能。
https://unit42.paloaltonetworks. ... gins-of-lockergoga/
4 美财政部信息系统漏洞可导致未经授权访问
美国政府问责局（GAO）于2019年3月26日发布了一份管理报告，其中指出美国财政部系统中发现的安全漏洞可能会增加未经授权进入联邦储备银行（FRB）系统的风险。 GAO对截至2018年9月30日的财政以及2017年的年度财政进行了审计，确定了影响配置管理的财务服务信息系统控制的新缺陷。GAO还发现了在几年前审计中发现的信息系统控制中的两个漏洞截至2017年9月30日尚未修补。GAO建议联邦储备银行解决影响配置管理的新漏洞，GAO计划在审计2019财政年度联邦债务表时，采取后续行动，确定为解决这些漏洞及相关建议而采取的纠正措施。
https://www.gao.gov/products/GAO-19-304R
5 安全厂商披露GOG Galaxy Games中六个漏洞
GOG Galaxy Games是一个视频游戏商店，其启动器包含多个漏洞。GOG Galaxy的`Temp`目录的文件系统权限中存在可利用的本地权限提升漏洞CVE-2018-4048，攻击者可利用此漏洞并使用SYSTEM权限执行任意代码。GOG Galaxy的“Games”目录的文件系统权限中存在可利用的本地权限提升漏洞CVE-2018-4049。攻击者可利用此漏洞使用提升的权限执行任意代码。GOG Galaxy Games的特权帮助工具中存在可利用的本地特权升级漏洞CVE-2018-4050。攻击者可以全局调整文件夹权限，从而使用提升的权限执行任意代码。GOG Galaxy游戏的特权帮助工具1.2.47版本中存在可利用的本地特权升级漏洞CVE-2018-4051，适用于macOS。攻击者可利用该漏洞在根文件系统上全局创建目录和子目录，以及更改现有目录的权限。GOG Galaxy游戏的特权帮助工具中存在可利用的本地信息泄漏漏洞CVE-2018-4052。攻击者可以传递PID并接收只能由root用户访问的信息。GOG Galaxy游戏的特权帮助工具中存在可利用的本地拒绝服务漏洞CVE-2018-4053。攻击者可利用漏洞将恶意数据发送到根侦听服务，从而导致应用程序终止。
https://blog.talosintelligence.c ... light-multiple.html
6 研究人员发现Grandstream产品中多个漏洞
研究人员在针对中小型企业的各种Grandstream产品中发现了一系列未经身份验证和认证的远程代码执行漏洞，这些产品包括音频和视频会议单元、IP视频电话、路由器和IP PBX。攻击者可以扫描、安装远程访问特洛伊木马并攻击网络上其他机器或安装任意应用程序。攻击者还可以利用这些漏洞访问摄像头和麦克风进行监听甚至获取设备的帐户密码。研究人员在Shodan上可以搜索到超过135,000种易受攻击的设备。
https://threatpost.com/grandstream-bugs-smbs-attacks/143141/
|
发表于 2019-3-27 21:09