每日安全简讯(20240905)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 攻击者利用恶意NPM包针对Roblox开发人员进行攻击

自2023年8月以来，研究人员发现数十个伪装成noblox.js库的恶意NPM包，攻击者利用恶意NPM包针对Roblox开发人员进行持续的攻击活动，最近的相关攻击活动出现于2024年8月底。这些攻击活动传播的恶意软件的功能包括窃取Discord令牌、收集系统信息、建立持久性以及投递Quasar RAT等恶意载荷。该恶意软件通过Windows注册表在受感染的计算机中建立持久性，当用户每次打开“设置”程序时就会无意间执行该恶意软件。尽管多个恶意NPM包已被移除，但是攻击者的GitHub存储库中仍有多个恶意程序，这表明攻击者将来可能还会进行攻击活动。

https://checkmarx.com/blog/year-long-campaign-of-malicious-npm-packages-targeting-roblox-users/

---

2 Mekotio恶意软件利用PowerShell执行其有效载荷

Mekotio木马是一种复杂的恶意软件，利用PowerShell作为加载器，来执行其有效载荷。该PowerShell加载器经过混淆处理，使用攻击者自定义的XOR加解密等技术来隐藏关键的恶意代码，能够执行多种功能：包括收集系统信息、与命令和控制 (C2) 服务器进行连接以下载执行实际的Mekotio木马程序，并通过修改注册表项实现持久化，使Mekotio木马程序在系统启动时自动运行。

https://www.cyfirma.com/research/analyzing-the-mekotio-trojan/

---

3 研究人员披露名为Underground的勒索软件

第一个Underground勒索软件样本首次发现于2023年7月初，其背后的攻击者在2023年7月13日在其数据泄露网站中发布了第一个受害者的信息。与大多数勒索软件一样，该勒索软件会加密受害者Windows计算机上的文件，并威胁受害者支付赎金。有研究报告表明，位于俄罗斯的RomCom组织，也被称为Storm-0978，利用Underground勒索软件进行攻击活动。该勒索软件运行后会释放名为“!!readme!!!.txt”的勒索信，对文件进行加密但不会添加或更改被加密文件的扩展名。该勒索软件会创建并执行temp.cmd，以删除原始勒索软件，获取并删除Windows事件日志。

https://www.fortinet.com/blog/threat-research/ransomware-roundup-underground

---

4 VMware Fusion修复CVE-2024-38811安全漏洞

VMware发布一则安全公告，修复了VMware Fusion产品中的一个安全漏洞，该漏洞可能允许攻击者执行恶意代码。该漏洞被标识为CVE-2024-38811（CVSS v3评分为8.8），源于应用程序使用了不安全的环境变量。在MacOS上运行的VMware Fusion 13.x版本受到该漏洞的影响。VMware已发布安全更新以修复该漏洞，建议用户尽快进行更新。目前尚未发现恶意利用该漏洞的攻击活动。

https://cybersecuritynews.com/vmware-fusion-code-execution-vulnerability/

---

5 谷歌发布安卓9月安全补丁

谷歌在2024年9月发布的安卓安全补丁中修复了36个安全漏洞，其中一个漏洞已在攻击活动中被利用。该零日漏洞被标识为CVE-2024-32896（CVSS分数为7.8），是一个权限提升（EoP）漏洞。CVE-2024-32896是由安卓代码中的逻辑错误引起的，允许攻击者在不需要额外执行权限的情况下进行本地权限提升，该漏洞需要一定程度的用户交互才能被利用。攻击者可以利用此漏洞在安卓设备上获得提升的权限，从而未经授权访问敏感数据或控制关键功能。谷歌称有迹象表明攻击者利用该漏洞进行攻击活动。

https://securityonline.info/google-patches-actively-exploited-zero-day-in-september-android-update/

---

6 哈里伯顿证实其数据遭到泄露

石油及天然气服务公司哈里伯顿（Halliburton）在提交给美国证券交易委员会（SEC）的一份文件中证实，其数据在近期发生的网络安全事件中遭到泄露。哈里伯顿在8-K表格文件中称，未经授权的第三方访问并提取了其系统中的敏感信息，公司目前正在确定数据泄露的确切范围。此外，哈里伯顿承认该事件导致公司业务应用程序的部分功能和公司运营的某些方面受到了影响，并表示正在与客户和其他利益相关者沟通此次事件。

https://www.bleepingcomputer.com/news/security/halliburton-confirms-data-stolen-in-recent-cyberattack/

---