每日安全简讯(20230721)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Turla组织使用DeliveryCheck恶意软件进行攻击活动

研究人员称，Turla黑客组织正在发起新一轮的攻击活动，并使用新型“DeliveryCheck”恶意软件针对国防工业和微软Exchange服务器进行攻击。Turla组织又名Secret Blizzard、KRYPTON、UAC-0003，被认为是俄罗斯的APT组织。攻击者利用包含Excel XLSM附件的钓鱼邮件发起攻击，这些文件中包含恶意宏，执行后将会执行PowerShell命令，并创建仿冒Firefox浏览器更新程序的计划任务。该计划任务将下载DeliveryCheck后门（也称为CapiBar和GAMEDAY）并在内存中运行，与C2服务器进行连接，以接收执行或部署进一步恶意载荷的命令。

https://cert.gov.ua/article/5213167

---

2 攻击者仿冒浏览器更新页面传播NetSupport远控木马

研究人员近期发现了一起仿冒浏览器更新页面的攻击活动，并称之为“FakeSG”。在此次攻击活动中，攻击者利用入侵的WordPress网站来仿冒受害者浏览器的自定义登录页，并以压缩包下载或通过URL快捷方式传播NetSupport远控木马。攻击者采用了多种浏览器的模板，并将页面伪装成相对应浏览器的更新页面。当用户从该更新页面中下载URL快捷方式后，将会执行一个恶意的hta文件，该脚本文件经过严重混淆，用于下载恶意的PowerShell脚本，并最终执行NetSupport远控木马。

https://www.malwarebytes.com/blog/threat-intelligence/2023/07/socgholish-copycat-delivers-netsupport-rat?&web_view=true

---

3 攻击者利用WebAPK技术进行网络钓鱼攻击

WebAPK是一种能够创建web应用程序的技术，这些应用程序可以作为本地应用程序安装在安卓设备上。当用户选择“添加到主屏幕”一个网络应用程序时，安卓系统会自动为该应用程序生成一个APK文件。攻击者首先向用户发送短信，并在短信中表明用户需要更新手机中的银行应用。短信中的链接将会跳转至一个使用WebAPK技术的网站，从而将恶意的安卓应用程序安装至受害者的设备中。应用程序安装后，将会向用户展示一个仿冒的银行应用程序登陆界面，并要求用户输入账户、密码、2FA代码和SMS代码，这些代码用于对交易进行授权。

https://www.linkedin.com/pulse/using-webapk-technology-phishing-attacks-csirt-knf

---

4 Oracle发布508个安全更新

Oracle发布508个安全更新，其中包含针对数十个针对高危漏洞进行修复的安全更新。作为本季度安全更新的一部分，对金融服务产品的补丁数量最多，为147个。在已解决的漏洞中，115个可以被具有网络访问权限的未经身份验证的远程攻击者利用。Oracle建议客户及时应用可用的修补程序，或阻止网络访问未修复的应用程序，以降低遭受攻击的风险。目前已经发现相关安全漏洞被恶意利用，未经修复的Oracle产品已成为攻击的目标。

https://www.securityweek.com/oracle-releases-508-new-security-patches-with-july-2023-cpu/?web_view=true

---

5 雅诗兰黛遭受两个勒索组织的攻击

BlackCat和Clop两个勒索组织在其数据泄露网站上将雅诗兰黛列为受害者，并且雅诗兰黛证实了其中的一次网络攻击，称攻击者访问了其部分系统，并且可能窃取了数据。雅诗兰黛没有提供太多关于该事件的细节，称其采取了积极行动，并关闭了一些系统，以防止攻击者进行进一步的入侵。Clop勒索组织称窃取了该公司131GB的数据；BlackCat勒索组织则表示他们没有对该公司的文件进行加密，并要求雅诗兰黛与他们进行谈判。

https://www.bleepingcomputer.com/news/security/est-e-lauder-beauty-giant-breached-by-two-ransomware-gangs

---

6 通用电气修复Cimplicity产品中的安全漏洞

通用电气Cimplicity人机界面（HMI）和监控与数据采集（SCADA）产品中含有安全漏洞，其中一个被标记为CVE-2023-3463，是一个远程代码执行漏洞。通用电气发布了一个安全补丁，并指出只有通过本地访问系统的身份验证用户从恶意来源获取并打开文档，该漏洞才有可能被利用，因此用户的安全部署和强大的访问管理至关重要。除此之外，还存在13个漏洞，包括未初始化的指针、越界读取、越界写入、释放后使用以及基于堆的缓冲区溢出漏洞。

https://www.securityweek.com/recently-patched-ge-cimplicity-vulnerabilities-reminiscent-of-russian-ics-attacks/?web_view=true

---