每日安全简讯(20230823)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 安天发布《“游蛇”黑产团伙利用微信传播恶意代码的活动分析》
　
近期安天CERT发现“游蛇”网络黑产团伙通过社交软件、搜索引擎恶意推广、钓鱼邮件等多种途径传播投递Gh0st远控相关恶意程序，过程中利用FTP服务器下载文件，使用侧加载、内存解密等技术逃避检测防御，最终通过Gh0st远控获得受害者主机的远程访问权限，进行窃密、传播恶意代码等操作。进一步溯源分析发现，“游蛇”网络黑产团伙通过“代理人”招收大量成员的运营模式，实现恶意程序的大规模传播，后续会基于受控主机对联系人和所属企业展开更加精确的钓鱼攻击。

https://mp.weixin.qq.com/s/AcYNcThoAdK_saixteifSg

---

2 日本钟表制造商Seiko遭遇BlackCat勒索软件组织攻击

BlackCat/ALPHV 勒索软件组织声称对日本手表制造商 Seiko 进行了黑客攻击，并将该公司添加到其数据泄露网站中。精工集团公司在今年 7 月 28 日承认公司可能遭遇数据泄露事件。似乎某些尚未识别身份的一方或几方获得了对我们至少一台服务器的未经授权的访问。现在，BlackCat/ALPHV 勒索软件组织已将 Seiko 添加到其数据泄露网站上发布的受害者名单中。该组织公布了据称从公司网络中窃取的一些数据样本，包括护照扫描和新手表项目。该勒索软件组织表示，该公司的网络和产品安全性较低。

https://securityaffairs.com/149734/cyber-crime/blackcat-alphv-ransomware-group-seiko.html

---

3 研究人员披露CypherRAT和CraxsRAT恶意软件开发者身份

研究人员揭露了 CypherRAT 和 CraxsRAT 远程访问木马 (RAT) 背后开发人员的真实身份。过去八年中，此人使用“ EVLF DEV ”的在线账号在叙利亚境外开展业务，据信通过向各种威胁行为者出售这两种 RAT 赚取了超过 75000 美元。此人也是恶意软件即服务 (MaaS) 运营商。在过去的三年里，EVLF 一直在 Surface 网络商店上提供 CraxsRAT，这是目前最危险的 Android RAT 之一，迄今为止已售出至少 100 个终身许可证。

https://www.cyfirma.com/outofband/unmasking-evlf-dev-the-creator-of-cypherrat-and-craxsrat/

---

4 TP-Link智能灯泡存在漏洞可导致WiFi密码泄露

研究人员在 TP-Link Tapo L530E 智能灯泡和 TP-Link Tapo 应用程序中发现了四个漏洞，攻击者可以利用这些漏洞窃取目标的 WiFi 密码。TP-Link  Tapo L530E 是包括亚马逊在内的多个市场上最畅销的智能灯泡。TP-link Tapo是一款智能设备管理应用程序，在Google Play上拥有1000万安装量 。最令人担忧的攻击场景是利用漏洞进行灯泡冒充和检索 Tapo 用户帐户详细信息。然后，通过访问 Tapo 应用程序，攻击者可以提取受害者的 WiFi SSID 和密码，并获得连接到该网络的所有其他设备的访问权限。

https://arxiv.org/pdf/2308.09019.pdf

---

5 Ivanti警告MobileIron零日漏洞可导致身份验证绕过

美国 IT 软件公司 Ivanti 警告客户一个关键的 Sentry API 身份验证绕过漏洞正在被利用。Ivanti Sentry（以前称为 MobileIron Sentry）中发现了一个漏洞。此漏洞影响 9.18 及更早版本。该漏洞不会影响其他 Ivanti 产品，例如 Ivanti EPMM 或 Ivanti Neurons for MDM。如果漏洞被利用，未经身份验证的攻击者可以访问一些敏感 API，这些 API 用于在管理员门户（端口 8443，通常为 MICS）上配置 Ivanti Sentry。虽然该问题的 CVSS 评分较高，但对于不向互联网公开端口 8443 的客户来说，被利用的风险较低。

https://forums.ivanti.com/s/article/CVE-2023-38035-API-Authentication-Bypass-on-Sentry-Administrator-Interface?language=en_US

---

6 Duo持续中断导致Azure Auth身份验证错误

思科旗下的多重身份验证 (MFA) 提供商 Duo Security 正在调查持续中断事件，该中断导致身份验证失败和错误。这次中断还导致多个 Duo 服务器出现核心身份验证服务问题，从而在系统范围内的中断中触发 Azure 条件访问集成的 Azure Auth 身份验证错误。虽然 Azure 身份验证问题已自动解决，但客户仍然报告遇到问题，包括登录时身份验证速度缓慢和失败。

https://status.duo.com/incidents/rw7g0q7ztj8f

---