每日安全简讯(20230519)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 MalasLocker勒索软件入侵Zimbra服务器窃取电子邮件和加密文件

一种新的勒索软件操作是入侵Zimbra服务器以窃取电子邮件和加密文件。然而，威胁行为者并没有要求支付赎金，而是声称要求向慈善机构捐款以提供加密器并防止数据泄露。被BleepingComputer称为MalasLocker的勒索软件行动于2023年3月底开始对Zimbra服务器进行加密，受害者在BleepingComputer和Zimbra论坛上都报告说他们的电子邮件已加密。Zimbra论坛中的许多受害者报告发现上传到/opt/zimbra/jetty_base/webapps/zimbra/或/opt/zimbra/jetty/webapps/zimbra/public文件夹的可疑JSP文件。加密电子邮件时，文件名不会附加额外的文件扩展名。

https://www.bleepingcomputer.com/news/security/malaslocker-ransomware-targets-zimbra-servers-demands-charity-donation/

---

2 攻击者利用恶意Microsoft VSCode扩展窃取密码及系统信息

网络罪犯开始瞄准微软的VSCode Marketplace，上传三个恶意Visual Studio扩展，Windows开发人员下载了46600次。据Check Point称，其分析师发现了恶意扩展并将其报告给Microsoft，恶意软件使威胁行为者能够窃取凭据、系统信息，并在受害者的机器上建立远程shell。这些扩展于2023年5月4日被发现并报告，随后于2023年5月14日从VSCode市场中删除。但是，任何仍在使用恶意扩展程序的软件开发人员必须手动将它们从系统中删除并运行完整扫描以检测感染的任何残留项。Visual Studio Code (VSC)是Microsoft发布的源代码编辑器，全球很大一部分专业软件开发人员都在使用它。

https://blog.checkpoint.com/securing-the-cloud/malicious-vscode-extensions-with-more-than-45k-downloads-steal-pii-and-enable-backdoors/

---

3 ScanSource遭受勒索软件攻击导致部分系统中断

技术提供商ScanSource宣布已成为勒索软件攻击的受害者，影响了其部分系统、业务运营和客户门户。ScanSource是一家位于美国的云服务和SaaS连接和网络通信提供商，还提供特殊的PoS（销售点）和支付、安全和AIDC（自动识别和数据捕获）解决方案。从5月15日左右开始，ScanSource客户联系研究人员称他们无法再访问该公司的客户门户网站和网站，担心他们遭受了网络攻击。ScanSource证实他们在2023年5月14日遭受了勒索软件攻击，影响了其部分系统。网络攻击的影响是巨大的，因为该公司警告说，在未来一段时间内，向客户提供的服务将会出现延迟，预计这将影响北美和巴西的业务。

https://www.bleepingcomputer.com/news/security/scansource-says-ransomware-attack-behind-multi-day-outages/

---

4 FBI确认BianLian勒索软件转变攻击战术

网络安全和基础设施安全局(CISA)发布了来自美国和澳大利亚政府机构的联合网络安全咨询，警告组织注意BianLian勒索软件组织使用的最新策略、技术和程序 (TTP)。BianLian是一个勒索软件和数据勒索组织，自2022年6月以来一直以美国和澳大利亚关键基础设施中的实体为目标。BianLian最初采用双重勒索模式，从受害者网络窃取私人数据后对系统进行加密，然后威胁要发布文件。然而，自2023年1月Avast发布勒索软件的解密器以来，该组织转向了基于数据盗窃而不加密系统的勒索。

https://www.bleepingcomputer.com/news/security/fbi-confirms-bianlian-ransomware-switch-to-extortion-only-attacks/

---

5 微软更新Microsoft Defender修复本地安全机构保护漏洞

微软已经推出了最近的Microsoft Defender更新，该更新本应修复一个已知问题，该问题会触发持续重启警报和Windows安全警告，即本地安全机构(LSA)保护已关闭。LSA Protection通过阻止LSASS进程内存转储和将不受信任的代码注入LSASS.exe进程来帮助保护Windows用户免受凭据盗窃企图，否则将允许提取敏感信息。微软在3月21日承认了这个问题，此前发布的用户报告称Windows 11系统警告LSA保护已关闭。但是，它在设置用户界面中显示为已打开。数周后发布的后续Microsoft Defender更新将LSA保护功能的用户界面设置替换为名为内核模式硬件强制堆栈保护的新功能。

https://www.bleepingcomputer.com/news/microsoft/microsoft-pulls-defender-update-fixing-windows-lsa-protection-bug/

---

6 思科警告客户注意多个小型企业交换机存在的高危漏洞

思科今天警告客户注意四个严重的远程代码执行漏洞，其中公开的漏洞利用代码影响多个小型企业系列交换机。所有四个安全漏洞都获得了几乎最高的严重性评级，CVSS基本分数为9.8/10。成功的利用允许未经身份验证的攻击者在受感染的设备上以root权限执行任意代码。这些漏洞（跟踪为CVE-2023-20159、CVE-2023-20160、CVE-2023-20161和CVE-2023-20189）是由于对发送到目标交换机Web界面的请求的验证不当造成的。在不需要用户交互的低复杂性攻击中，攻击者可以通过目标设备的基于Web的用户界面发送恶意制作的请求来利用它们。

https://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-switch-bugs-with-public-exploit-code/

---