每日安全简讯(20161229)

1、国务院印发“十三五”国家信息化规划
2、安天移动安全推出一站式情报管理服务
3、研究发现2016年无文件实体攻击模式激增
4、安全厂商发现感染WiFi路由安卓木马变种
5、WordPress插件被发现任意文件删除漏洞
6、360团队发布移动平台流量黑产调研报告

【安天】搜集整理（来源：xinhuanet、avlsec、darkreading、threatpost、packetstormsecurity、360）

1、国务院印发“十三五”国家信息化规划
{CHN}
标题：国务院关于印发“十三五”国家信息化规划的通知

作者信息：2016年12月28日 14:33:28  By 中国政府网

//BEGIN
信息产业生态体系初步形成，重点领域核心技术取得突破。集成电路实现28纳米（nm）工艺规模量产，设计水平迈向16/14nm。“神威 太湖之光”超级计算机继“天河二号”后蝉联世界超级计算机500强榜首。高世代液晶面板生产线建设取得重大进展，迈向10.5代线。2015年，信息产业收入规模达到17.1万亿元，智能终端、通信设备等多个领域的电子信息产品产量居全球第一，涌现出一批世界级的网信企业。

//END
各地区、各部门要进一步提高思想认识，在中央网络安全和信息化领导小组的统一领导和统筹部署下，把信息化工作提上重要日程，加强组织领导，扎实开展工作，提高信息化发展的整体性、系统性和协调性。中央网信办、国家发展改革委负责制定规划实施方案和年度工作计划，统筹推进各项重大任务、重点工程和优先行动，跟踪督促各地区、各部门的规划实施工作，定期开展考核评估并向社会公布考评情况。各有关部门要按照职责分工，分解细化任务，明确完成时限，加强协调配合，确保各项任务落地实施。地方各级人民政府要加强组织实施，落实配套政策，结合实际科学合理定位，扎实有序推动信息化发展。各地区、各部门要进一步强化责任意识，建立信息化工作问责制度，对工作不力、措施不实、造成严重后果的，要追究有关单位和领导的责任。

    中央网信办、国家发展改革委要聚焦重点行业、重点领域和优先方向，统筹推进信息化试点示范工作，组织实施一批基础好、成效高、带动效应强的示范项目，防止一哄而起、盲目跟风，避免重复建设。各地区、各有关部门要发挥好试点示范作用，坚持以点带面、点面结合，边试点、边总结、边推广，推动信息化发展取得新突破。

//下载： “十三五”国家信息化规划.pdf (503.16 KB, 下载次数: 49)

2016-12-29 21:21 上传

点击文件名下载附件

文件名：“十三五”国家信息化规划.pdf
文件大小：515，235 bytes
MD5     : 7A8D8B49A1D3C240F07A32789AEBA0CD

点评：难怪有关专家以及一大批同事昨晚都睡不着觉，原来.....

2、安天移动安全推出一站式情报管理服务
{CHN}
标题：AVL Insight 开源情报工具：一站式情报管理服务

作者信息：2016年12月28日 By AVLTeam

//BEGIN
AVL Insight 开源情报工具是安天移动安全推出的一款情报收集工具，它是配合AVL Insight移动威胁情报平台的Chrome浏览器扩展程序，用户可以使用该工具，对网站中的公开信息进行收集整理，并对关键信息点进行结构化提取生成自定义情报，从而形成自己的公开情报库。 　　

　　AVL Insight 开源情报工具基于移动威胁分析人员收集情报的需求而产生，以公开情报的收集和管理为目标，具有自定义情报、关联搜索、情报管理、情报导出等功能。AVL Insight 开源情报工具的出现将大大减少以往分析人员收集情报时的重复性工作，有效提升分析人员的工作效率。

//END
五、后续功能规划

1.情报导出时，支持STIX和Open IOC的相关的标准化的输出结构。
2.将陆续开放“关联搜索”的功能。
3.情报标签分类
4.部分交互优化

点评：AVL Insight走Open Source开源路线了....

3、研究发现2016年无文件实体攻击模式激增
标题：Fileless Malware Takes 2016 By Storm

作者信息：12/27/2016 05:20 PM By Ericka Chickowski

//BEGIN
In-memory attacks are all the rage, creating a growing class of "non-malware."
Malware creators have spent a lot of energy over the years obfuscating the malicious files they drop on infected systems to stay one step ahead of detection mechanisms. This year they're taking their efforts to a new level by dispensing with dropped files altogether. According to security researchers, 2016 saw a surge in attack patterns that had the bad guys taking a fileless approach by executing attacks in memory.
来自三家不同的安全公司的研究人员发现了一种同样的安全现状以及明年的趋势：无文件实体的恶意攻击在急剧扩散，其破坏力也在增强。这三家公司分别是Carbon Black、ProofPoint以及Symantec等。
所谓无文件实体其实就是指通过内存直接发起攻击，这得益于Powershell以及WMI的支持，前者已经被连篇累牍；而后者是Windows Management Instrumentation的简称。其实恶意代码的作者们一直在与安全专家玩猫捉老鼠的游戏，这个所谓的无文件实体也不是什么创新的发明和创造。只是在过去的一年被不断重复使用，并在一些类似DNC等重要的数据泄露事件中大出风头，因此跟随者众。
其攻击路线图一般是这样的：通过各种方式（垃圾邮件邮件URL或者直接附件、挂马等）给用户的机器上下载一个看似有用的文档文件（一般是DOC格式的），当然用户打开时一切看似正常。但是却督促用户在打开的文档中“启用宏”，正是这个功能使得PowerShell下载和运行后续的一系列所谓的“无文件实体恶意代码”，因为它们可以通过直接将这些恶意代码以数据组的形式DUMP到内存，这样就直接运行了。

//END
"Fileless infections are difficult to detect and often elude intrusion prevention and antivirus programs," says Brian Kenyon, chief strategy officer for Symantec. "This type of attack increased throughout 2016 and will continue to gain prominence in 2017, most likely through PowerShell attacks. "
从以上的简略分析可以看到，检测和识别以及预防这些无实体文件的攻击还些困难，特别是对于那些传统的入侵检测工具以及防病毒程序而言。这种攻击在2016年已经肆虐已久，2017年恐怕还会持续。

点评：推荐安天智甲防护企业版！

4、安全厂商发现感染WiFi路由安卓木马变种
标题：ANDROID TROJAN SWITCHER INFECTS ROUTERS VIA DNS HIJACKING

作者信息：December 28, 2016 , 4:00 am By Chris Brook

//BEGIN
A new Android Trojan uses a victims’ devices to infect WiFi routers and funnel any users of the network to malicious sites. The malware doesn’t target users directly – instead its goal is to facilitate further attacks by turning victims into accomplices.
木马名：Switcher
主要变种：2个
主要伪装手段2个：一个是伪装成Baidu移动搜索客户端；另外一个是装成定位和分享WiFi登录密码的搜索应用。
感染平台：Android
感染对象：WiFi无线路由器，根安全公司的研究发现已经感染了1280个无线网络了。
主要感染地区：中国大陆
一旦安装了以上2个恶意APP，则恶意代码会对其上网的路由器发起暴力破解WEB登录界面；一旦成功，将修改其设置，使得其指向恶意的DNS，这样就能完成所有上网用户的网络流量拦截。从这里可以看出，修改路由器的默认登录密码该有多么重要！

//END
The behavior of Switcher is somewhat similar to that of DNSChanger, malware that’s been repurposed as an exploit kit as of late. A recent campaign observed by Proofpoint was targeting wireless routers and changing DNS entries in order to steal traffic. In that instance routers made by D-Link, Netgear, Pirelli and Comtrend were vulnerable. According to Buchka, the hardcoded names of input fields and the structures of the HTML documents that the Switcher Trojan tries to access suggests it may work only on web interfaces of TP-LINK Wi-Fi routers.
这个木马的行为与以前流行的DNSChanger有点类似。但是当下的这个的木马经过分析发现只是针对TP-LINK的无线路由器。

点评：Android下的防护推荐AVL Pro!

5、WordPress插件被发现任意文件删除漏洞
标题：WordPress Image Slider 1.1.41 / 1.1.89 Arbitrary File Deletion

作者信息：Dec 27, 2016 By Tom Adams

//BEGIN
WordPress Image Slider plugin versions 1.1.41 and 1.1.89 suffer from an arbitrary file deletion vulnerability.
Details
================
Software: Image Slider
Version: 1.1.41,1.1.89
Homepage: http://wordpress.org/plugins/image-slider-widget/
Advisory report: https://security.dxw.com/advisor ... rs-to-delete-files/
CVE: Awaiting assignment
CVSS: 5.5 (Medium; AV:N/AC/Au:S/C/I/A:N)

Description
================
Arbitrary file deletion vulnerability in Image Slider allows authenticated users to delete files

Vulnerability
================
Any user able to create or edit aSlidersa (the same users who can create/edit posts, as far as I can tell) is able to delete arbitrary files that the web user has permission to write to. In addition, the attackerA is toldA whether that operation succeeded or failed.
Depending on configuration this could lead to the attacker being able to:

Delete media uploads
Delete plugin files (this would be especially bad if there were security plugins limiting the attackeras abilities)
Delete important system files (/etc/hosts, /usr/bin/php)
AttemptA to delete unimportant files in order to discoverA more information about the system (i.e. attempting to deleteA /usr/share/doc/apt/changelog.gz would have little effect on the system if successful but it would tell the attacker that the host is running a Debian derivative)

//END
Proof of concept
================

First, make sure you have a file to delete. Iam going to use /etc/hosts as an example because it demonstrates that youare not limited to files within the WordPress installation, but make sureA whichever file you use can be deleted by the user account WordPress is running under
VisitA /wp-admin/post-new.php?post_type=easyimageslider
Input the following JavaScript in the inspectoras consoleA to get the nonce value: document.querySelector(\'[data-tnonce]\').dataset[\'tnonce\']
Create a page containing the following code, replace NONCE with the nonce you got in the previous step, visit the page and click submit

<form action=\"http://localhost/wp-admin/admin-ajax.php\" method=\"OST\">
  <input type=\"text\" name=\"action\" value=\"ewic_timthumb_check\">
  <input type=\"text\" name=\"turl\" value=\"/etc/hosts\">
  <input type=\"text\" name=\"security\" value=\"NONCE\">
  <input type=\"submit\">
</form>
If WordPress is being run as root (or if the web user has permission to write to that file) then the page will display a1a, if not it wonat display anything.

Mitigations
================
DisableA the plugin. No fixed version is known.

Disclosure policy
================
dxw believes in responsible disclosure. Your attention is drawn to our disclosure policy: https://security.dxw.com/disclosure/

Please contact us on security@dxw.com to acknowledge this report if you received it via a third party (for example, plugins@wordpress.org) as they generally cannot communicate with us on your behalf.

This vulnerability will be published if we do not receive a response to this report with 14 days.

Timeline
================

2015-10-29: Discovered
2016-12-09: Reported to vendor via info@ghozylab.com
2016-12-23:A Vendor has not respondedA after 14 days
2016-12-23: Published



Discovered by dxw:
================
Tom Adams
Please visit security.dxw.com for more information.

点评：又一个不理不睬的，一言不合就公开呀.....

6、360团队发布移动平台流量黑产调研报告
{CHN}
标题：移动平台流量黑产研究——色情播放器类恶意软件产业链

作者信息：2016 年 12 月 27 日 By 360烽火实验室

//BEGIN
摘    要

360烽火实验室8月底发现了三组异常流量曲线，流量曲线呈现存活时间短，连续3天此消彼长的态势，访问量集中最高峰值达到近2万次。
大量可疑下载链接数指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件，并且链接都包含固定的“list/日期”格式。
可疑下载链接均来自重定向跳转，流量数据包中的Set-Cookie的值都有一个十分明显的固定特征“cdm=http”。

//END
一、趋势
以色情播放器类恶意软件产业链视角看移动平台流量黑产的趋势，主要表现在传播手段、变现方式、技术特点、攻击对象和资源实力五个方面。

//下载： 色情播放器类恶意软件产业链2016分析报告.pdf (3.18 MB, 下载次数: 50)

2016-12-29 21:27 上传

点击文件名下载附件

文件名：色情播放器类恶意软件产业链2016分析报告.pdf
文件大小：3，336，722 bytes
MD5     : 65CE7AF2331AB4F8F533C355B13205A1

点评：色字头上一把刀，谁能躲过？