每日安全简讯(20230802)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Konni组织伪造国税局邮件进行网络攻击活动

研究人员发现了Konni的新的网络攻击活动，该组织为朝鲜背景的APT组织，于2017年首次被披露。主要目的为窃取金融信息，此次活动攻击者伪装成国税局邮件中心发送的通知服务。当国税局有信息通知纳税人时，攻击者将向纳税人的地址发送邮件。典型的是税单或申报通知书等邮件，如果纳税人未能及时查看国税局的邮件，可能会出现欠税情况。攻击者利用这一点，将其作为鱼叉式网络钓鱼攻击的主题。

https://www.genians.co.kr/blog/threat_intelligence_report_konni

---

2 Bahamut组织利用安卓恶意软件进行网络钓鱼活动

研究人员捕获到针对南亚地区个人的高级安卓恶意软件。该软件归因于Bahamut APT组织。该安卓恶意软件最初被称为“CoverIm”，通过 WhatsApp 发送给受害者，并伪装成名为“SafeChat”的虚拟聊天应用程序。该应用程序的用户界面成功地欺骗用户相信其真实性，从而使威胁行为者能够在受害者意识到该应用程序是假应用程序之前提取所有必要的信息，该恶意软件利用安卓库以提取数据并将其传输到命令和控制服务器。

https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/

---

3 研究人员披露Qakbot恶意软件

研究人员披露Qakbot（也称为 QBot 或 Pinkslipbot）银行木马攻击活动，C2 基础设施，攻击链分析等内容。该恶意软件自 2007 年以来一直活跃，针对不同国家的企业。Qakbot主要关注从网络浏览器窃取财务数据和登录凭据，它还充当注入Cobalt Strike和勒索软件等下一阶段有效负载的后门。研究人员深入研究了 Qakbot 的攻击链、加密方法及其广泛的地理范围的复杂性。使网络安全专业人员能够更好地防御这种复杂且持久的银行木马。

https://www.zscaler.com/blogs/security-research/hibernating-qakbot-comprehensive-study-and-depth-campaign-analysis

---

4 研究人员发现WikiLoader恶意软件的攻击活动

研究人员发现WikiLoader新型恶意软件针对意大利的组织发起网络攻击活动。攻击者利用该恶意软件，最终目的是安装名为Ursnif（又名 Gozi）的银行木马、窃取程序和间谍软件。攻击手法为使用包含 Microsoft Excel、Microsoft OneNote 或 PDF 附件的电子邮件作为部署下载程序的诱饵，该下载程序随后用于安装 Ursnif。该恶意软件使用多种机制来逃避检测，并且大概率被开发为可以出租给选定的网络犯罪威胁参与者的恶意软件。

https://www.proofpoint.com/us/blog/threat-insight/out-sandbox-wikiloader-digs-sophisticated-evasion

---

5 攻击者利用BleedingPipe RCE攻击Minecraft服务器和玩家

攻击者利用 Minecraft mod 中的“BleedingPipe”远程代码执行漏洞在服务器和客户端上运行恶意命令，从而控制设备。BleedingPipe是许多 Minecraft mod 中发现的一个漏洞，是由于在Java的“ObjectInputStream”类中错误地使用反序列化在服务器和客户端之间交换网络数据包而导致的。然后，威胁行为者可以使用这些被黑的服务器来利用连接到服务器的玩家使用的相同 Minecraft mod 中的缺陷，从而允许他们在这些设备上安装恶意软件。

https://blog.mmpa.info/posts/bleeding-pipe/

---

6 研究人员发现伪装成硬币和投资相关内容的恶意软件

研究人员发现传播伪装成代币兑换和投资相关内容的恶意代码。恶意代码以可执行文件和word文档的形式传播，从恶意代码中使用的User-Agent名称判断，推测是Kimsuky组织制作的。诱饵文档中标识的可执行文件被伪装成 Word 文档和 PDF 图标，看起来像普通文档。披露的恶意可执行文件为SFX（自解压存档）格式，内部包含正常文档文件。因此，当执行该文件时，会创建正常的文档文件。

https://asec.ahnlab.com/ko/55646/

---