每日安全简讯(20170426)

1.安全厂商找到勒索软件XPan变种破解方法

卡巴斯基的研究人员发现勒索软件XPan的新变种持续影响巴西用户。攻击者通过RDP（远程桌面协议）暴力破解受害主机，手动安装勒索软件，加密系统文件。研究人员认为，该变种很可能是其它XPan变种的“父亲”。通过深入地逆向分析，研究人员发现XPan该变种所采用的加密算法存在弱点，可免费恢复加密文件。


https://securelist.com/blog/research/78110/xpan-i-am-your-father/

---

2.360警告新僵尸网络通过HTTP 81广泛传播

360 网络安全研究院近日监测到一个新的僵尸网络正在大范围扫描整个互联网。考虑到该僵尸网络的以下因素，我们决定向安全社区公开我们的发现成果：规模较大，我们目前可以看到 ～50k 日活IP；有Simple UDP DDoS 攻击记录，可以认定是恶意代码；较新，目前尚有较多安全厂商未能识别该恶意代码 ( 7/55 virustotal )；与mirai僵尸网络相比，借鉴了其端口嗅探手法和部分代码，但是在传播、C2通信协议、攻击向量等关键方面完全不同于mirai，认为是新的恶意代码家族而不应视为mirai的变种。


http://blog.netlab.360.com/a-new ... rnet-on-port-81-ch/

---

3.NSA泄露内核利用工具在网络被广泛使用

在影子经纪人泄露NSA黑客工具两个星期之后，专家认为DoublePulsar对于windows内核攻击相当有潜力，渗透测试人员发现未打MS17-010补丁暴露在外的服务器比Conficker蠕虫病毒感染的还多。MS17-010在3月发布，它关闭了Windows SMB Server中的一些漏洞。NSA泄露Fuzzbunch漏洞利用平台的EternalBlue，EternalChampion，EternalSynergy和EternalRomance都是将DoublePulsar投放在目标主机上。 DoublePulsar是一个复杂的、基于内存的内核负载，可以连接到x86和64位系统，并允许攻击者执行任何所需的原始shellcode有效载荷。


https://threatpost.com/nsas-doub ... ternet-wide/125165/

---

4.CIA联合FBI从内部员工开始调查泄密事件

据CBS新闻报道，美国情报机构正在缉拿曾经过物理途径接触文件的中央情报局员工或承包商，该报告打破了这一最新发展的故事。 维基解密3月份公开披露了来自美国前情报承包商的文件。 这些文件统称为Vault 7，其中包含Windows，Android和iOS的0day漏洞信息，以及针对路由器和智能电视的漏洞利用。 维基解密泄露事件之后不久，网络安全公司就将Vault 7文件与一个以利用各种工具针对政府和私人公司而闻名的cyberespionage集团联系起来。 卡巴斯基实验室称之为Lamberts集团，赛门铁克称之为Longhorn。


http://www.darkreading.com/attac ... gins/d/d-id/1328710

---

5.俄APT组织对法国总统候选人发起钓鱼攻击

网络安全专家表明，法国总统候选人伊曼纽尔·马克隆（Emmanuel Macron）被臭名昭著的俄罗斯黑客小组Fancy Bear所针对。Fancy bear与2016年希拉里竞选团队Podesta的邮箱入侵与攻击民主党全国委员会（DNC）有关。以前Macron曾经指责俄方的黑客企图破坏他的竞选活动，但没有提供任何证据。 据报道，网络安全公司趋势科技有证据表明，在过去两个月中，该集团针对39岁的法国总统候选人Macron发起网络钓鱼攻击。


http://www.ibtimes.co.uk/french- ... ing-attacks-1618449

---

6.丹麦称俄APT组织入侵该国国防部电子邮件

周日，丹麦网络安全中心发布了一个报告，指控一批来自俄罗斯的黑客在2015、2016年间入侵属于国防部职工的电子邮件。该组织是APT28，或更多人知道的名字是 - Fancy bear。丹麦认为APT28渗透国防部邮件账户属于俄罗斯的侵略行为。


http://news.softpedia.com/news/d ... emails-515118.shtml

---

以CV500视角看安天每日安全简讯
2017.4.26

今日安全简讯中提到的安全公司中，位列CV500的有5家：Kaspersky（28） 、 Qihoo 360（126）、RiskSense（178）、Symantec（9）和Trend Micro（29） 。

今日简讯头条延续了昨天的“传统”：再次被勒索软件占据。该文发自Kaspersky公司，可能是原勒索软件XPan的变种，目标受害用户群主要是在南美洲的巴西，他们主要说葡萄牙语。入侵途径主要是未受到良好保护的远程桌面RDP的机器和服务器，一旦成功入侵，就能完全被控制，进而安装勒索软件。不过，细心的Kaspersky的安全人员在这个勒索软件的实现代码中发现了一个明显的弱点和漏洞，因此可以轻易破解被加了密的重要文档和系统文件。这对感染者可能是个福音，但整体看这只是个小概率事件，勒索软件被加密后，很多是无法通过找到其实现的漏洞进行破解的，因此最关键的还是建议用户从加强防范开始。参见安天2016安全年报4.2 勒索软件从一种恶意代码行为扩展到一种经济模式。（附件1 第22页）

360公司的物联网安全研究团队发布了一条信息：一个新IoT僵尸网络正在 HTTP 81上大范围传播。分析了该物联网代码与Mirai的区别和联系，结论证实为一个全新的物联网恶意代码。该分析主要从技术角度进行了剖析，全景式的思索，可以参见安天2016安全年报5.1 IoT威胁影响国家基础设施安全（附件1 第26页）

虽然MS08-067漏洞已经历时大约10年多，但除了被震网病毒利用外（参见附件1 安天2016威胁年报第9页 表1 震网事件与乌克兰电力系统遭受攻击事件对比），至今依然被黑客广泛利用。与此有一拼的漏洞“常青树”可能要出现了：MS17-010，它是由影子经纪人最新披露的NSA攻击工具集中被曝光的。由于它是通过内存利用，并无文件实体，最最关键的是其应用分布广泛（x86和64位环境通吃），因此RiskSense公司的安全专家预计与MS17-010的争斗可能要重蹈MS08-067的覆辙。

安天每日安全简讯在4月12日前后分别报告了Symantec和Kaspersky发布的Vault 7相关的活动,只是这两家公司对其称呼不同而已：Lamberts和Longhorn。CIA和FBI已经联合起来调查究竟是谁将这些机密文档泄露给维基解密的，让我们来看看FBI和CIA如何追踪朔源。

趋势科技的研究人员发现来自俄罗斯的APT组织Fancy Bear针对法国大选的候选人：帅哥马克龙发起了钓鱼邮件攻击。为啥不对另外一个候选人实施类似攻击呢？据有关专家分析：马克龙是亲欧盟派，而另外候选人则是亲俄派。这个事件很容易让人联想到去年的美国大选，好像调调很一致。不过最新的发展好像也不能完全解释这种结果，我们还是拭目以待吧。

除了国产航母成功下海、切尔诺贝利核泄漏事故和国际知识产权纪念日，今儿对于从事恶意代码防范的工作者来说，还是个特殊的日子：426。想当初号称第一个攻击计算机硬件的病毒席卷了我国乃至世界很多地区。如今已经是互联网的天下，像那种大范围的瘫痪计算机主机的情形，也许不会再显性发生（不知道勒索软件会不会继承其衣钵），但是我们能感受到的是威胁等级却在进一步加深、延展，影响到我们每一个人、渗透到世界的各个角落！安全工作者永远在路上。

相关链接：
a   Kaspersky    https://securelist.com/blog/research/78110/xpan-i-am-your-father/
b   Qihoo 360    http://blog.netlab.360.com/a-new ... rnet-on-port-81-ch/                       
c   RiskSense    https://threatpost.com/nsas-doub ... ternet-wide/125165/
d   Symantec、Kaspersky http://www.darkreading.com/attac ... gins/d/d-id/1328710   
e   Trend Micro  http://www.ibtimes.co.uk/french- ... ing-attacks-1618449

附件0：2016年安天移动安全年报 参见[20170414]
附件1：2016年安天威胁年报 参见 [20170413]
附件2：CV500 参见 [20170411]